국회는 ‘이동통신요금 인상법’ 즉각 철회하라/p>

요금인가제 폐지하는 ‘전기통신사업법’ 국회 과방위 통과 규탄

요금인가제 폐지하면 이통사의 자의적 요금 견제 장치 사라져

기간서비스인 ‘이동통신의 공공성 포기’ 선언과 다름없어

지난 7일, 국회 과학기술방송통신위원회 전체회의에서 이용약관인가제도(이하 요금인가제)를 폐지하고 유보신고제로 완화하는 내용의 ‘전기통신사업법 개정안’이 통과됐다. 경제정의실천시민연합, 민생경제연구소, 사단법인 오픈넷, 소비자시민모임, 진보네트워크센터, 참여연대, 한국소비자연맹 등 통신소비자단체들은 이번 요금인가제 폐지 법안은 정부와 국회가 전국민에게 필수품이 되어버린 이동통신요금의 결정권한을 완전히 이동통신3사에 넘겨주는 ‘이동통신요금 인상법’이자 ‘통신 공공성 포기 선언’임을 분명히 한다. 통신소비자단체들과 많은 국민들이 ‘휴대폰요금 인상’을 우려하며 줄곧 반대해온 요금인가제 폐지 법안을 처리하려는 정부와 국회의 시도에 대해 강력히 규탄하며, 즉각 해당법안을 철회할 것을 엄중히 촉구한다.

이동통신 서비스는 공공자산인 주파수를 기반으로 제공되는 ‘기간통신서비스’로, 사실상 SKT, KT, LGU+ 3개 통신사의 독과점이 이루어져 온 상황이다. 2010년 정부의 MVNO 활성화 정책으로 알뜰폰 사업자가 통신 서비스 시장에 합류했으나 여전히 통신3사가 시장의 90%가량을 차지하는 독과점 시장이 유지되고 있다. 특히 사업 초기부터 변함없이 통신 시장의 50% 이상을 1위 사업자인 SK텔레콤이 점유하고 있으며, 마케팅비(약8조)로 영업이익(약3조)의 2.5배를 사용하는 특이한 지출구조를 가진 사업영역이다. 반면 이동통신서비스 가입자는 5천만명을 넘어 사실상 전국민이 이용하는 생활 필수품이며, 전체가계지출에서 통신비로 지출하는 비용은 세계 최고 수준이다. 그렇기 때문에 정부는 1위 사업자의 시장교란 행위를 막고 통신 공공성을 확보하기 위해 신규 요금제 출시 및 기존 요금제 인상 시에 과학기술정보통신부장관에게 인가를 받는 ‘요금 인가제’를 시행해 왔다. 요금인가제는 주파수라는 공공자산을 기반으로 제공되는 이동통신서비스가 기간통신서비스로서 높은 수준의 공공성을 필요로 하고, 이동통신 가입자가 5천만명을 넘는 등 대다수의 국민들에게 큰 영향을 미치기 때문에 이동통신의 공공성 확보 측면에서 반드시 필요한 최소한의 장치인 것이다.

이동통신사와 정부, 국회는 요금인가제를 폐지하면 이통사들이 소비자들의 편익에 부합하는 더 빠른 요금제 출시가 가능하고 이통3사의 요금제 경쟁을 통해 가계통신비 부담이 내려갈 것이라고 하지만, 이미 현재도 기존 요금제의 요금을 인하할 때는 신고만으로 가능하도록 하고 있기 때문에 이통사들이 요금을 올리려고 할 때 정부가 견제할 수 있는 장치만 사라지는 꼴이다. 오히려 지금같은 통신3사의 90% 독과점이 변하지 않는 상황에서 인가제를 폐지하게 되면 요금이 폭등할 우려만 높다. 실제로 정보통신정책연구원에서 발표한 ‘인가제 완화에 따른 통신요금 정책 방안’(2009) 에 따르면 요금인가제 완화를 통해 요금인하 경쟁이 촉발될 것이라고 기대하는 것은 지나치게 낙관적이고 오히려 과점시장 구조에서는 암묵적, 명시적 담합에 의해 요금이 유지될 가능성이 있다고 경고해 왔다. 단 한 차례를 제외하고는 수정이나 반려 없는 부실한 인가제를 유지해 오다가 비로소 제 역할을 하기 시작한 인가제를 이제와서 폐지하는 것은 납득하기 어렵다. 정부와 국회는 요금인가제를 폐지할 것이 아니라 이통사들의 통신요금 폭리를 견제할 수 있도록 오히려 보완하고 강화하는 것이 맞다. 인가제를 폐지하고 15일 이내에 신고를 반려하는 등의 보완책을 마련했다고 하지만 통상 1개월 가량 검토하는 현재의 인가제도 하에서도 요금이 적정한 수준인지에 대해 제대로 된 검증을 하지 못해 폭리에 가까운 이동통신요금을 용인해주고 있는 상황인데, 단 15일만에 검토를 통해 신고된 요금제를 반려한다는 것은 불가능한 얘기다.

요금인가제 폐지법안은 박근혜 정부 시절 과기부가 추진해온 대표적인 ‘대기업 규제 완화법안’으로, 문재인 정부 들어와서는 가계통신비정책협의회 등을 통해 통신소비자들이 여러 차례 불가 입장을 전달하여 추진되지 않았던 법안이다. 전국민은 세계 최고 수준의 가계통신비를 부담하는데 비해 이통재벌 3사가 연 3조원의 영업이익을 꾸준히 기록하는 상황에서 이통사에 날개를 달아주는 ‘서민악법’임이 명백하기 때문이다. 그런데 갑자기 정부와 국회가 20대 국회 막바지에 통신소비자단체들의 반대에도 불구하고 해당법안을 무리하게 추진하려는 이유를 묻지 않을 수 없다. 요금인가제도 폐지는 명백한 ‘이동통신요금 인상법’이며, 정부와 국회의 ‘이동통신 공공성 폐기 선언’이다. 우리 통신소비자단체들은 정부와 국회가 통신소비자단체들의 지속적인 반대에도 불구하고 이러한 법안을 처리하려고 하는 것에 대해 강력히 규탄하며, 즉각 ‘이동통신요금 인상법’ 개정을 포기할 것을 촉구한다. 끝.

전자금융거래법 개정안 개인정보 침해 및 개인정보보호법 적용 배제 우려

개인정보·민감 거래정보 한곳에 집중, 수집내용·목적, 처리과정 등은 법에 불문명

– 소비자가 이용한 네이버·카카오 등 빅테크 기업 거래정보 모두 수집해 데이터집중 –

– 소비자의 개인정보에 대한 권리행사 쉽지않아 자기결정권과 예측가능성 침해 –

금융위원회가 현재 ‘디지털 금융혁신’을 내걸고 추진 중인 전자금융거래법 개정안이 수집하는 개인정보의 내용이나 목적 등과 관련 근거 규정 없이 예측할 수 없는 상황에서 개인정보보호법의 적용은 배제하고 있다. 이는 소비자가 개인정보자기결정권을 행사할 수 없도록 하면서도 그 목적이 명확하지 않아 디지털 금융혁신과 어떤 관계인지 알 수 없고 소비자의 권리를 과도하게 침해하게 될 것이 분명하다.

이번에 개정되는 전자금융거래법안은 그 적용대상을 전자금융거래의 범위를 거래 일부가 전자적 방식으로 처리되는 거래까지 대폭 확대하고, 전자금융업을 유형별로 라이센스를 구분하여 부여해 금융위원회의 감독권을 전면적으로 재정립하고 있다. 또한 일정한 전자금융업자가 행하는 전자지급거래에 관하여 전자지급거래 청산기관을 통하여 청산할 의무를 부여하는 등의 내용을 담고 있다.

이 개정법안에서 가장 크게 우려되는 부분은, 빅테크 업체를 포함하여 모든 전자지급거래에 대해 전자지급거래청산기관에서 의무적으로 청산하도록 하는 부분이다. 과도한 데이터의 집중에 대한 문제와 함께 이러한 수집과 활용의 근거가 법에 충분하게 담겨있지 않고 추가로 개인정보보호법의 적용까지 배제하고 있어 소비자의 예측가능성, 자기결정권 등 관련 소비자보호에 있어 심각한 문제가 발생할 가능성이 있다는 점이다.

개정안 제36조의9는 일정한 전자금융업자에 대하여 외부에서 청산할 의무를 부여하는데, 이러한 의무청산대상인 전자지급거래에는 ‘지급인과 수취인의 거래상대방이 같은 전자금융업자인 전자금융거래를 포함한다’고 하고 있다. 이러한 일정한 전자금융업자는 전자지급거래의 빈도, 화사 또는 법인의 규모 등을 고려하여 시행령으로 정해지게 된다. 개정안에 따르면 일반 상거래회사 내부에 적립된 포인트(현금상당)나 일반 상거래 회사 내부 자금으로 고객과 전자지급거래를 하는 경우에는 이를 외부의 전자지급거래청산기관으로 보내어 청산을 할 ‘의무’를 부여하고 위반시에는 위반 수익등의 50% 이내에서 과징금을 부여하여 이를 강제하는 내용을 신설하고 있다.

금융결제원을 통해 정보가 지나치게 집중되는 부분에 대한 우려와 함께 이렇게 수집된 소비자의 개인정보와 거래정보가 한곳에 모여 영리목적으로 활용될 가능성이 있는데 이 경우 소비자는 자신의 정보가 왜 수집되었고 어떻게 활용될 지에 대해 전혀 알 수 없다. 이 과정에서 소비자가 예상하지 못한 결합처리등의 정보처리과정 역시 쉽게 예상할 수 있다.

개인정보보호법 제18조의 배제도 이해할 수 없는 일이다. 목적 외 이용 및 제3자 제공 시 법적근거, 목적 및 범위 등의 공개의무 및 안전성 확보 조치의무(개인정보보호법 18조제4항 및 제5항)도 적용되지 않아 개인정보보호 법체계를 무너뜨릴 우려가 있다. 또한 개정안은 ‘이용자에 관한 정보’와 ‘전자지급거래에 관한 정보’를 제공할 수 있도록 되어 있으나 구체적인 내용을 모두 대통령령에 위임해 헌법 제75조에 따른‘포괄위임금지 원칙’에 위배되고, 제공정보에 개인의 사생활에 관한 정보까지 포함될 수 있어 헌법 제17조의 사생활의 비밀과 자유 및 개인정보자기결정권도 침해할 수 있다.

한국소비자연맹은 지난 2월 초 금융위원회에 전자금융거래법 개정안과 관련 제36조의9제2항 전자금융업자에 대해 전자지급거래청산기관에 개인 전자거래지급 정보의 제공을 의무화하면서 개인정보 보호를 목적으로 제정한 3개 법률(금융실명거래 및 비밀보장에 관한 법률 제4조, 신용정보의 이용 및 보호에 관한 법률 제32조 및 제33조, 개인정보보호법 제 18조)의 적용을 면제하고 있는데 개정안에서 의미하고 있는 대통령으로 정하는 전자지급거래청산기관에 제공하여야 하는 정보는 무엇이고 제공목적은 무엇인지 구체적인 내용에 대해 요청했으나 회신을 받지 못한 상황이다.

지난해 8월 5일 통합 개인정보보호위원회가 출범했지만 금융위가 담당하는 금융분야는 개인정보보호위원회 권한이 미치지 못하는 것은 아닌지 우려되고 있다. 데이터 수집과 이용이 활발하게 이루어지기 위해서는 소비자의 신뢰 환경을 만드는 것이 무엇보다 중요할 것이다. 흩어져 있는 개인정보의 문제를 일관성 있고 종합적으로 판단할 수 있도록 금융 분야 역시 개인정보보호법에서 정하고 있는 기본적인 보호 원칙에서 벗어나지 않아야 한다. 금융위원회는 전자금융거래법 개정안 관련 지적된 문제조항에 대해 즉시 개선할 것을 요청한다.

2021년 2월 26일

경제정의실천시민연합, 한국소비자연맹

첨부파일 : 20210226_공동성명_전자금융업법 개정안 개인정보 침해 우려.hwp

첨부파일 : 20210226_공동성명_전자금융업법 개정안 개인정보 침해 우려.pdf

문의 : 경실련 정책국(02-766-5624)

가명정보 결합 및 반출 고시(안)에 대한 시민사회 공동 의견서 제출

– 개인정보보호법 및 신용정보보호법 시행령(안)에 대해
시민사회가 지적한 문제점 여전히 존재정보가 결합될수록 식별 가능성 높아, 시행령 또는 고시에 명확한 기준 있어야

6월 16일, 경제정의실천시민연합 소비자정의센터, 무상의료운동본부, 민주사회를 위한 변호사모임 디지털정보위원회, 서울YMCA 시청자시민운동본부, 연구공동체 건강과대안, 전국민주노동조합총연맹, 진보네트워크센터, 참여연대, 한국소비자연맹 등 9개 시민사회단체는 지난 6월 3일 행정예고된 「가명정보의 결합 및 반출 등에 관한 고시(안)」에 대한 시민사회 공동 의견서를 전달했다.

1. 우선 단체들은 지난 5월 「개인정보 보호법 시행령 일부개정령안」 및 「신용정보의 이용 및 보호에 관한 법률 시행령 일부개정령안」에 대한 의견서에서 가명정보 결합에 관한 조항이 개선될 필요성이 있다고 짚은 바 있다. 하지만 시민사회의 의견이 최종 시행령에 어떻게 반영되었는지에 대한 답변은 아직 받은 바 없으며, 이번에 예고된 고시(안)에 비추어 보건대 시민사회가 우려한 문제점은 여전히 존재하는 것으로 보인다.

2. 정보는 결합되면 결합될수록 식별 가능성이 높아진다. 그러나 고시(안)은 여전히 결합 신청 목적이 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 목적’에 부합하는지 판단하는 절차, 연구자의 자격 요건을 검증하는 절차, 결합 데이터 반출에 대한 기준, 해당 결합과 관련된 제반 정보 공개 등 투명성 원칙 등 전반적인 데이터 거버넌스 체제 구축이 제대로 반영되지 않았다. 개인정보보호법 개정안에 가명정보 결합과 관련된 기준이 제대로 마련되지 않은 만큼 시행령이나 고시에서라도 명확한 기준을 세워 철저하게 관리할 필요가 있다.

3. 시민사회가 지난 개보법 시행령(안)에 대한 의견서에서부터 지속적으로 지적해 온 내용은 다음과 같다.

첫째, ‘가명정보의 결합 및 반출 실적 보고서’를 개인정보보호위원회에 제출하는 것 외에 결합전문기관의 홈페이지 등에서 결합에 관련한 최소한의 정보를 공개해 과학적 연구 등 해당 목적에 맞게 가명정보 결합이 이루어지고 있는지 등에 대해 사회적 감독을 받아야 함.

둘째, 개정법에 따르면 전문기관의 가명정보 결합은 가명정보 결합은 “통계작성, 과학적 연구, 공익적 기록보존 등을 위”한 목적으로 수행되어야 한다고 정하고 있음. 그러나 시행령(안)이나 고시(안)에 목적 부합 여부에 대한 심사 여부가 명확하지 않기 때문에, 단순히 결합신청서의 형식적 요건만 충족하면 모든 신청에 대해 결합을 허용할 위험이 있음. 따라서 결합전문기관 내에 (가칭)연구평가위원회를 구성해 해당 결합 신청이 목적에 부합하는지, 더불어 해당 목적을 달성하기 위한 최소한의 데이터만 사용하는지 심사하는 절차를 둘 필요가 있음.

셋째, 시민사회는 지난 의견서에서 이미 “결합에 필요한 연계정보를 생성하는 ‘신뢰할 수 있는 제3자’ 역할을 한국인터넷진흥원이 수행하는 것으로 되어 있으나 시행령에서는 “특정 개인을 알아볼 수 없도록 하는데 필요한 지원업무”로 표현되어 있어 명확하지 않”다고 지적한 바 있음. 고시(안)에서는 ‘결합키관리기관’을 정의하고 있는데, 시행령에서 이를 규정하는 것이 바람직할 것임.

넷째, 안전을 위해서는 데이터 반출이 극히 예외적으로만 허용되어야 하고, 그 기준이 명확해야 함. 그런데 개정법에도 기준이 나와있지 않고 시행령(안)에서도 다시 ‘고시’로 구체적인 판단 기준을 위임하고 있음. 그러나 이번 고시(안)에서도 반출 심사 과정에서의 고려 사항만 규정하고 있을 뿐 반출을 해야만 하는 불가피한 이유에 대한 판단은 하지 않고 있음. 어떤 경우가 가명정보 또는 익명정보로 반출이 가능한지 구체적으로 정하되 원칙적으로 익명정보로 반출하도록 하되 예외적인 사유에 한해(즉, 익명처리를 하면 연구가 불가능할 경우) 가명정보로 반출하도록 제한해야 함. 또한 재식별 가능성이 매우 높기 때문에 최소한 익명처리하지 않는 이상, 원래의 개인정보처리자에게는 반출할 수 없도록 규정하는 것이 보다 명확할 것임.

다섯째, 가명정보의 분석 또는 반출 이후 결합전문기관이 관련 정보를 파기해야 할 의무는 규정하고 있지만, 결합된 데이터를 반출한 경우의 해당 데이터를 반출한 기관이 목적 달성 후에 파기하도록 의무화하는 조항이 없음. 결합된 데이터는 목적 달성 후에 파기되어야 하며, 이에 관한 규정이 시행령 혹은 고시에 포함되어야 함.끝

▣ 붙임1 : 가명정보 결합 및 반출 고시(안)에 대한 시민사회 의견서

가명정보 결합 및 반출 고시(안)에 대한 시민사회 공동 의견서

기업 요구만 수용한 「개인정보보호법 시행령」 재입법예고(안)

전면 재수정해야

시민사회단체, 행안부의 재입법예고안에 대한 의견서 제출

최소한의 안전장치마저 제거해 국민 사생활 침해 심각할 것 경고

1. 지난 7월 20일 진보네트워크센터, 민주사회를 위한 변호사 모임 디지털정보위원회, 참여연대, 무상의료운동본부,서울YMCA, (사)소비자시민모임, 연구공동체 건강과대안,전국민주노동조합총연맹, 전국사무금융노동조합연맹, 한국소비자연맹, 경실련 등 11개 단체들은 행정안전부에 「개인정보보호법 시행령」 재입법예고(안)에 대한 의견서를 제출했다.

2. 행안부는 지난 3월 31일 「개인정보보호법 시행령」 일부 개정령(안)을 입법예고하였고 10개 단체들은 5월 11일 의견서를 제출한 바 있다. 그런데 행정안전부가 7월 14일 개인정보 보호법 시행령 일부개정령(안)을 재입법예고 하였고 이에 대해 11개 단체들이 다시 의견을 제출한 것이다.

3. 단체들은 이번 재입법예고안은 지난 3월 입법예고안보다도 현저히 후퇴한 안이라고 지적했다. 당시 입법예고안이 발표되자 기업들은 일제히 목적 외 이용 및 제3자 제공의 요건을 완화해 달라고 하고, 서로 다른 기업간 가명정보의 결합 후 반출 및 결합 정보의 보유를 무한정 허용해 달라는 요구를 했다. 그런데 이번 재입법예고안은 기업들의 이러한 요구를 거의 다 수용했다. 반면, 단체들은 개인정보의 수집 목적 외 추가 이용 및 제공의 범위가 무한정 확대될 위험 방지를 위한 엄격한 규정이 필요하고, 특히 서로 다른 기업들이 보유한 개인정보를 가명처리해 결합할 때의 요건 강화, 식별가능성이 높아지는 결합정보의 기업 반출의 원칙적 금지 및 목적 달성 후 결합 정보의 파기 원칙 등을 요구하였으나 행안부의 재입법예고안은 이를 전혀 수용하지 않았다.

4. 이번 재입법예고안에서 가장 치명적인 문제는 가명정보 결합에 대한 규정이다. 3월 입법예고안은 서로 다른 기업간 가명정보를 결합할 때, 결합전문기관 내 ‘안전한 분석공간’에서 분석하고 반출은 ‘결합 목적을 달성하기 어렵거나 분석공간의 이용이 어려운 경우 등 제한적 범위에서 가능하였다. 그러나 재입법예고안은 아예 가명정보의 결합 후 반출을 기본으로 하고 있고 반출 후에도 무한정 보유할 수 있도록 하고 있다. 이는 학술연구 목적의 가명정보 결합조차도 ‘안전한 분석공간’에서 수행하도록 하는 유럽연합(EU) 등 해외 다른 나라들의 관행이나 추세와도 다르다. 특히 개정 개인정보보호법은 기업의 다양한 ‘내부 연구’ 조차 ‘과학적 연구’로 확대 해석해서 인정하고 있는데 이에 더해 이번 재입법예고안은 결합된 가명정보를 기업간 공유할 수 있도록 함으로써 재식별의 위험은 더욱 커졌고, 국제적 규범도 거스르고 있는 것이다.

5. 또한 단체들은 재입법예고안이 ▶개인정보의 추가적 이용 제공 기준이 3월 입법예고안의 당초 수집목적과 “상당한 관련성”이 있을 것에서 당초 수집목적과 “관련성”이 있는지 여부를 고려하여야 한다로 후퇴한 점, ▶중립성과 안전을 책임져야 할 결합전문기관으로 민간결합전문기관이 지정됨으로써 스스로 결합신청자가 되지 못하도록 하는 등의 안전성 확보가 없는 점, ▶가명처리 목적 달성 후 가명정보 파기 규정을 삭제함으로써 무한정 기업이 가명정보를 보유할 수 있게 한 점, ▶침해사고 예방 대응 등을 위해 중앙행정기관의 장에게 공동 대응을 요청하여 이에 따르도록 한 안을 삭제하는 등 보호위원회의 권한을 약화시킨 점 등을 심각한 문제로 지적했다.

6. 단체들은 이번 재입법예고안은 국민의 개인정보를 동의 없이 데이터화해 기업이 상업적으로 무한정 활용하도록 하기 위해 2016년 박근혜 정부가 만든 ‘개인정보 비식별조치 가이드라인’ 수준으로 사실상 회귀한 것이라고 평가했다. 문재인 정부는 항상 개인정보의 ‘안전한’ 활용을 강조해왔지만, 이번 재입법예고안을 통해 안전한 활용은 허구임이 드러났다고 비판했다. 국민의 사생활 침해 위험이 그 어느 때보다도 커지고 있는데도 이에 대한 정책적 고려가 전혀 보이지 않는 이번 재입법예고안은 전면 수정되어야 할 것이다. 끝.

▣ 붙임1 : 「개인정보보호법 시행령」 재입법예고(안)에 대한 시민사회 2차 의견서

2020년 7월 27일

경실련, 무상의료운동본부, 민주사회를 위한 변호사 모임 디지털정보위원회, 서울YMCA, (사)소비자시민모임, 연구공동체 건강과대안, 전국민주노동조합총연맹, 전국사무금융노동조합연맹, 진보네트워크센터, 참여연대, 한국소비자연맹

첨부파일 : 20200727_보도자료_기업 요구만 수용한 「개인정보보호법 시행령」 재입법예고(안) 전면 재수정해야.hwp
첨부파일 : 20200727_보도자료_기업 요구만 수용한 「개인정보보호법 시행령」 재입법예고(안) 전면 재수정해야.pdf

문의 : 경실련 정책국(02-766-5624)

가명처리 가이드라인에 대한 의견

8월 5일부터 시행한 개정 개인정보보호법은 정보주체의 권리 보호 관점에서 많은 문제점을 가지고 있을 뿐만 아니라 해석상 모호한 규정들을 다수 포함하고 있음. 그동안 법적 규범력을 가지고 있지 않음에도 기업들의 요구에 따라 행정안전부가 가이드라인을 제작, 배포해 사실상 유권해석처럼 여겨져 온 것은 문제가 있었음. 특히 기업들은 법에서 정한 개인정보 보호 규정과 절차에 따라 관련 조치를 취하고 그에 따른 책임을 지면 됨에도, 행안부가 제작 배포한 가이드라인에 따랐다며 사실상 면책의 근거로 악용해 왔음. 2016년 <개인정보 비식별조치 가이드라인>과 같이 법령 위반의 소지가 있는 가이드라인이 발표될 경우, 오히려 사회적인 혼란을 확대할 가능성이 큼.

이번 개인정보보호법은 해석상 모호한 규정이 다수 있는 등 개정의 여지가 다분하고 따라서 시급히 개정이 필요한 법률에 근거해 급박하게 가이드라인을 제작하는 것은 문제가 있음. 더구나 이번 가이드라인은 정보주체의 권리를 오히려 제한하는 방향으로 법령을 해석하고 있어, 향후 기업들이 가이드라인에 따랐을 뿐이라며 면책사유로 주장할 우려가 큼. 이런 식의 가이드라인이라면 차라리 제정하지 않는 것이 바람직하며, 보호위원회는 “개인정보 보호 기본계획, 법령 및 제도 개선 등”의 역할을 수행해야 하는 설치 이유에 충실하게 현행 법령의 문제를 해결하는 것이 우선 순위가 되어야할 것임. 특히 다음과 같은 문제는 지적하지 않을 수 없음.

1. 개인정보를 지나치게 협소하게 규정하고 있음
개인정보는 특정 개인을 ‘알아볼 수 있는’ 정보인데, 그 주체가 누구인지가 문제가 됨. 관련하여 가이드라인은 ‘개인정보 처리자’의 관점에서 판단하는 것으로 규정하고 있음.

그러나 이처럼 개인정보 처리자 관점에서 개인정보인지 여부를 판단하게 된다면, 개인정보 처리자가 알아볼 수 없는 경우에는 개인정보가 아닌 것으로 규정이 되므로 개인정보보호법이 적용되지 않으며, 이에 따라 개인정보처리자는 해당 정보를 자유롭게 공개해도 무방할 것임. 이렇게 되면 개인 식별에 필요한 다른 정보를 가지고 있는 제3자가 공개된 정보를 통해 개인을 식별할 수 있게 될 위험이 있음.
이러한 해석은 개정 개인정보보호법의 취지와도 맞지 않음. 개정 개인정보보호법의 애초 발의안(인재근 의원 대표발의)은 개인정보처리자의 관점에서 개인정보 여부를 판단하였으나 국회를 통과한 개정 개인정보보호법은 해당 문구를 삭제하였음.

이러한 해석은 한국 정부가 현재 적정성 결정을 추진하고 있는 유럽연합의 개인정보보호법(GDPR)의 규정과도 상충함. 유럽연합의 경우 개인정보처리자 뿐만 아니라 제3자의 관점에서도 식별 가능한지 여부를 기준으로 하고 있음.

어떤 수단이 자연인을 식별하기 위해 사용될 합리적 가능성이 있는지 확인하기 위해서는, 처리 시점에 이용 가능한 기술과 기술 발전 을 감안하여 식별에 필요한 비용과 시간 등 모든 객관적 요소를 고려해야 한다.개인정보 자기결정권의 수호자가 되어야 할 개인정보보호위원회의 첫번째 가이드라인에서 이처럼 개인정보의 개념을 협소하게 규정하여 정보주체의 보호 범위를 제한하려고 하는 것은 납득하기 힘든 일임. 개인정보처리자 뿐만 아니라 제3자에 의해서도 식별 가능할 수 있다면 개인정보로 규정되어야 함.

2. 과학적 연구의 범위 모호함
가이드라인은 과학적 연구에 대해 여전히 포괄적으로 서술하고 있을 뿐, 어떤 연구가 과학적 연구에 포함되고 어떤 것이 되지 않는지 구체적으로 설명하고 있지 않음. 과학적 방법을 적용하지 않는 연구를 거의 상상할 수 없다는 점에서, 가이드라인에 따르면 ‘연구’라고 주장하는 모든 활동에 가명정보를 활용할 위험이 있음. 그렇게 되면 그나마 ‘통계작성, 과학적 연구, 공익적 기록보존 등’에 한정하여 동의없이 가명정보를 처리할 수 있도록 한 법률 규정의 취지조차 법적 구속력도 없는 가이드라인이 무력화할 수 있음.

GDPR의 경우 한국의 개인정보보호법과 달리 ‘과학적 연구(scientific research)’를 정의하고 있지 않음. GDPR이 과학적 연구를 학계(academy) 내의 연구로 제한하지 않고 있는 것은 사실이나, 그렇다고 ‘연구’라고 불리는 모든 활동으로 확대해석하고 있지 않음. 2020년 1월, 유럽개인정보보호감독관(EDPS)는 <개인정보보호와 과학적 연구에 대한 사전 의견서>에서는 “개인정보처리자가 단지 과학적 연구 목적이라고 주장하는 것으로는 충분하지 않다”, “대학의 연구뿐만 아니라 비영리 단체, 정부기관, 영리 기업도 과학적 연구를 수행할 수 있다. 공통된 전제는 과학적 연구가 전체 사회에 유용하고 과학적 지식은 증진하고 지원해야 할 공공재라는 것이다”라고 언급하고 있음. 더불어 “GDPR은 인간에 관한 연구를 규율하는, 오래동안 수용되어 온 윤리적이고 전문적인 규범의 존재를 전제로 한다”고 함.
영국의 개인정보감독기구인 ICO는 GDPR 해설을 위한 홈페이지에서 “과학적 연구는 시장 조사 혹은 고객만족도조사와 같은 상업적 연구 목적의 개인정보 처리에는 적용되지 않는다”고 언급하고 있음. 한국의 개인정보보호법에 따른 ‘과학적 연구’는 유럽 GDPR의 과학적 연구 범위와 다른 것인지, 다르다면 어떻게 다른 것인지 명확하게 제시할 필요가 있음.
개인정보보호법 및 가이드라인이 인정하고 있듯이 “가명정보도 개인정보에 해당”하며 정보주체의 동의없는 개인정보(가명정보)의 활용 및 제3자 제공은 정보주체의 권리를 일정하게 제한하는 것임. 따라서 그러한 제한을 합리화하기 위해서는 상응하는 공공의 이익이 존재해야 함. 그러나 시민사회가 비판해왔듯이, 사회적인 지식 기반 확대에 기여하는 학술 연구와는 달리 기업 내부적인 연구는 해당 기업의 사적 이익에 도움이 될 수는 있어도 공익적 가치는 없기 때문에, 과학적 연구의 범위를 기업 내부적인 연구로까지 확대하는 것은 부당함.
가이드라인의 예시는 의료정보를 포함한 개인정보를 일개 앱 제작업체에 제공할 수 있다고 해석하고 있음. 이는 개인의 의료정보를 목적 외로 활용한 것으로 의료법 위반일 뿐만 아니라, 이런 식으로 병원이나 공공기관이 보유한 의료정보가 민간기업에게 제공될 경우 정보주체에게 미칠 해악이 매우 큼. 또한 민감정보를 정보주체의 별도의 동의 혹은 법령의 근거가 있는 경우 외에 애초 수집 목적 외로 활용하는 것은 근거법인 개인정보보호법 위반 소지가 있음.
만일 개인정보보호법이 개인정보처리자가 스스로 과학적 연구라고 주장하는 모든 활동에 대해서 허용하고자 하는 것이 아니라면, 무엇이 과학적 연구이며, 무엇이 과학적 연구가 아닌지에 대한 보다 구체적인 기준과 사례를 제시할 필요가 있음.

3.가명정보의 파기
가명정보도 개인정보이고 모든 개인정보는 개인정보 처리원칙의 적용을 받아야 함. 개인정보 처리원칙은 모든 개인정보를 특정한 수집 목적에 필요한 한도 내에서 적법하게 처리하고 처리 목적이 다한 경우 파기하도록 하고 있음.
개인정보보호법 시행령 제29조의5에서, 2020년 3월 31일 입법예고된 시행령(안)에 있었던 “③ 개인정보처리자는 가명정보의 처리 목적이 달성되거나 가명정보 보유 기간이 경과한 때에는 그 가명정보를 지체 없이 파기하여야 한다.”는 조항을 삭제한 것은 가명정보를 영구적으로 활용할 수 있도록 한 것은 아닌지 매우 우려스럽지만, 비록 시행령에서 명시적으로 규정되어있지 않더라도 개인정보 보호원칙에 비추어 가명정보 역시 처리 목적이 달성된 경우 파기해야한다고 해석하는 것이 올바를 것임.
가이드라인에서 “개인정보처리자는 가명정보를 처리하고자 하는 경우 가명정보의 처리 목적, 처리 및 보유기간, 제3자 제공 시 제공받는 자, 추가정보의 이용 및 파기 등에 관한 사항을 작성하여 보관하여야 함”(가이드라인 28p)을 명시한 것은 긍정적이지만, 혼란을 방지하기 위해 목적 달성 후 가명정보 파기를 보다 명확하게 강조할 필요가 있음.

4. 정보주체의 권리
가이드라인은 가명처리 및 가명정보에 대한 정보주체의 권리와 관련하여 다음과 같이 짧게만 언급하고 있음. (가이드라인 30p) 개인정보보호위원회의 가이드라인에서 이런 식으로 정보주체의 권리에 대해 신경쓰고 있지 않다는 것은 매우 실망스러움.

이미 가명처리된 정보를 통해서는 정보주체를 식별하기 힘들다고 하더라도, 개인정보처리자는 누구의 개인정보를 대상으로 가명처리를 하는지 쉽게 알 수 있음. 따라서 최소한 가명처리와 관련한 정보주체의 권리가 어떻게 보장되는지 보다 구체적으로 설명할 필요가 있음. 예를 들어, 정보주체는 자신의 개인정보가 어떠한 목적으로 가명처리되었는지, 가명처리된 후에 누구에게 제공되었는지, 자신의 개인정보를 가명처리해서 활용하는 것을 거부할 권리가 있는지 등에 대해 알 필요가 있으며, 만일 정보주체의 권리를 제한한다면 그 이유가 설득력있게 제시될 필요가 있음.

2020년 8월 27일

경제정의실천시민연합, 민주사회를 위한 변호사모임 디지털정보위원회,서울YMCA 시청자시민운동본부, 전국민주노동조합총연맹, 진보네트워크센터, 참여연대

문의 : 경실련 정책국(02-766-5624)