개악 개인정보보호법 후속 과제에 대한 시민사회 의견서 행정안전부에 제출

분야별 가이드라인 등 개인정보보호의 내용적 지침은 개인정보보호위원회 주도, 가명처리의 수준, 과학적연구 범위 등 모호한 규정에 대한 즉각 재개정 논의착수 등 개악된 법의 개인정보침해 위험 최소화하기 위해 방법 강구할 것 요구

 

오늘(2월 17일) 금융정의연대, 무상의료운동본부, 민주사회를위한변호사모임 디지털정보위원회, 보건의료단체연합, 서울YMCA 시청자시민운동본부, 연구공동체 건강과대안, 전국민주노동조합총연맹, 전국사무금융노동조합연맹, 진보네트워크센터 , 참여연대 등 10개 시민사회단체는 행정안전부(장관 진영)에 지난 1월 9일 국회를 통과한 개인정보보호법에 대한 의견서를 전달했다. 

 

우선 단체들은, 헌법적 권리인 개인정보자기결정권을 희생하여 정보주체 동의없이도 개인정보를 기업의 돈벌이 수단으로 판매할 수 있게 한 이번 개정 개인정보보호법에 반대함을 분명히 밝히고 개악된 법을 개정하기 위한 투쟁을 이어갈 것임을 천명하였다. 다만, 그동안 지적해 온 정보인권 침해가 가시화될 법시행일인 8월 5일 전에 가능한 선에서나마 개인정보 침해 위험을 최소화하기 위한 방안을 제시하기 위한 의견서를 행안부에 제출한다고 밝혔다. 

 

붙임1 : 개악 개인정보보호법 후속 과제에 대한 시민사회 의견서

보도자료 http://bit.ly/2P0EhbB" rel="nofollow">원문보기/다운로드

 

<개악 개인정보보호법 후속 과제에 대한 시민사회 의견서>

 

개인정보 주체의 권리 보호 장치 없애고 개인정보를 기업의 돈벌이 수단으로 전락시킨 개악 개인정보법은 반드시 재개정되어야 함

법 재개정 전 개인정보 피해 최소화하기 위한 의견

 

우선 시민사회의 반대에도 불구하고 충분한 토론 없이 국회에서 개인정보 3법이 졸속 통과된 것에 대해 심각한 유감을 표합니다. 우리는 이 법들의 재개정을 위해 투쟁할 것입니다. 다만, 개악된 법을 제대로 개정하기 전이라도 개인정보 침해 위험을 최소화하고 올바른 방향으로 개인정보보호법을 재개정하기 위하여 아래와 같이 의견을 제출합니다. 

 

1. 보호위원회는 기본권의 수호자로서 독립적으로 운영되어야 함 

○ 개정법에 따라 개인정보 보호위원회(이하 보호위원회)가 인사권 및 예산권을 갖는 독립적인 중앙행정기관으로 다시 설립될 예정임. 독립된 개인정보 보호위원회의 설립은 개인정보보호법 제정 이전부터 일관된 시민사회의 요구였음. 국제인권규범에서도 1990년 <유엔 전산처리된 개인정보파일의 규제 지침> 이래로 개인정보 감독기구들의 독립성을 요구하고 있음. 이는 독립적이고 전문적인 개인정보 감독기구야말로 개인정보 처리자로부터 정보주체인 국민과 소비자의 기본권을 보호할 수 있기 때문임. 갈수록 개인정보의 빅데이터 처리와 자동화된 의사결정으로 국민의 정보인권이 침해될 위험성이 커지는 시대에 권한이 강화된 보호위원회가 국민을 위해 자신의 존재 가치를 입증해야 할 때임. 

 

○ 국민들의 방대한 개인정보를 처리하고 있는 개인정보처리자로서의 공공기관 및 막강한 시장 권력을 가지고 있는 기업 등 민간의 개인정보처리자를 제대로 감독하기 위해서는 개인정보 감독기구의 독립성이 무엇보다 중요함. 독립적인 감독기구의 중요성은 개인정보보호법 개정 과정에서도 드러났음. 국가인권위원회가 개인정보보호법 개정안이 정보주체의 권리를 충분히 보호하지 못한다는 점을 지적하며 개선을 요구한 반면, 보호위원회는 개정안에 대한 개선 의견을 내지 못한 채 정부부처에 종속적인 모습을 보여주었음. 개정된 개인정보보호법에서 보호위원회의 독립성과 권한을 강화하였다고 하나, 보호위원회의 소속을 국무총리 산하로 격하하고 대부분의 업무에서 국무총리의 행정감독권(정부조직법 제18조)을 배제하지 않았다는 점에서 보호위원회의 독립성이 ‘실질적으로’ 보장될 수 있을지 시민사회는 우려하고 있음. 이러한 우려를 불식하고 보호위원회가 개인정보처리자들로부터 독립적인, 기본권의 수호자가 될 수 있도록 보호위원회의 모든 조직 구성원의 자각을 촉구함. 

 

○ 개인정보 보호위원회가 독립성과 전문성을 갖고 제 역할을 할 수 있기 위해서는 위원 구성이 매우 중요함. 개정안에서 위원회가 현직 공무원 위원을 포함할 수 있도록 하고 정보주체를 대변하는 시민사회단체 또는 소비자단체 추천 몫을 삭제한 것에 대해 시민사회는 우려를 표명한 바 있으며, 이에 대해 정부는 시민사회단체를 배제한 것이 아니고 ‘단체’에 포함된다고 설명해 왔음. 정부와 국회는 개인정보 보호에 대한 전문성과 신념을 가진 인사를 개인정보 보호위원으로 선임할 것을 촉구함. 더불어, 보호위원회는 상임위원 증원과 독임제 행정부처의 역할까지 갖추게 되었지만 합의제 위원회로서 국민을 대표하는 비상임위원들의 심의 의결권을 충분히 보장해야 함. 

 

○  이번 개정으로 개인정보 감독권한이 보호위원회로 일정하게 통합되었음에도 불구하고, 신용정보에 대한 감독은 여전히 금융위원회가 담당하고 있음. 개시인정보보호법과 신용정보의 이용 및 보호에 관한 법률(이하 ‘신용정보법’) 간의 중복과 혼란 역 완전히 해소되지는 않았음. 시민사회 단체는 금융위원회의 개인정보 감독권한이 보호위원회로 조속히 통합할 수 있도록 보호위원회가 부처간 협의를 진행하고 제도를 정비할 것을 촉구함. 

 

2. 하위 법령 제정에 대한 의견 

 

(1) 내용적 지침은 보호위원회가 제정해야 함. 

 

○ 지난 2020년 1월 22일, 정부는 관계기관 합동 보도자료를 통해 “올 2월까지 시행령 개정안을 마련하고, 3월까지 고시 등 행정 규칙 개정안을 마련하며, 법 시행 시점에 분야별 가이드라인과 해설서 개정안을 발간”할 계획임을 밝혔음. 이는 중요한 내용적 지침들을 보호위원회의 설립 전에 기존의 정부부처가 정하는 것으로 보호위원회를 처음부터 무력화하는 것이나 다름없음. 

 

○ 시민사회는 행정안전부, 금융위원회, 방송통신위원회 등 기존 정부부처가 개인정보 보호에 대한 인식없이 개인정보 활용에만 매몰되어 왔다고 평가하고 있으며, 따라서 기존 정부부처가 만든 가이드라인을 신뢰할 수 없음. 관계 부처의 역할은 보호위원회 설립을 위한 시행령 제정에 한정되어야 하며, 분야별 가이드라인이나 해설서 등 구체적인 지침은 새로 설립되는 보호위원회가 국민들의 의견을 수렴하여 만드는 것이 바람직함. 

 

○ EU와의 GDPR 적정성 평가의 추진도 지금까지 독립적인 감독기구의 부재가 가장 큰 걸림돌이었던 만큼, 새롭게 구성된 보호위원회가 주체가 되어 추진하는 것이 바람직할 것임. 

 

(2) 보호위원회의 투명성 

 

○ 보호위원회는 투명하고 민주적으로 운영되어야 함. 이를 위한 조건으로 보호위원회의 회의록은 특별한 사유가 없는 한 홈페이지를 통해 공개해야 하며, 관심이 있는 사람은 누구나 회의를 참관할 수 있도록 보장되어야 함. 

 

(3) 가명처리의 수준  

 

○ 가명처리와 관련한 가장 큰 우려는 여전히 재식별의 위험성이 큼에도 불구하고 일부 직접 식별자만을 제거하는 정도의 개인정보 처리를 가명처리로 인정하는 것임. “해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보”는 이미 개인정보의 정의에 포함되어 있고, 가명처리된 정보를 “원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보”로 별도 규정한 만큼, 가명처리한 개인정보처리자가 아닌 제3자의 입장에서는 익명정보에 가깝도록 처리되어야 함. 

 

 1. "개인정보"란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다.

    가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보

    나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다.

    다. 가목 또는 나목을 제1호의2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 ”가명정보”라 한다)

  1의2. “가명처리”란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.

 

○ 시행령 역시 기술중립적으로 작성되어야 하며 특정한 기술적인 방법을 시행령에 포함해서는 안됨. 

 

○ 한편 시민사회단체들은 여전히 개정 개인정보보호법 등이 가명처리만 하면 개인정보를 목적 외로 폭넓게 활용할 수 있는 반면, 정보주체의 권리를 전면 배제하고 있기 때문에 개인정보 보호의 관점에서 여전히 문제가 있다는 입장이며, 이는 가명처리의 기술적 수준과는 별개의 문제임. 즉, 안전조치로서 가명처리가 의미가 있기 위해서 관련 시행령에서 이를 규정하는 것과 별개로, 개정 개인정보보호법 등 개정 법률이 가진 근본적 하자를 치유하기 위해서는 법률이 재개정되어야 함. 

 

(4) 과학적 연구의 범위 

 

○ 개정 개인정보보호법 제2항 8호는 다음과 같이 과학적 연구를 정의하고 있지만, 그 범위는 명확하지 않음. 

 

8. “과학적 연구”란 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말한다.

 

○ 특히 개정 개인정보보호법의 제안 이유에서 “새로운 기술, 제품, 서비스의 개발 등 산업적 목적을 포함하는 과학적 연구”라고 했기 때문에 시민사회는 기업 내부적인 상업적 연구까지 포괄하는 것에 대해 비판해왔음. 이에 대해 행정안전부는 과학적 연구가 기업에서 수행하는 모든 종류의 연구를 포함하는 것은 아니며, 또한 기업 간에 가명정보의 ‘판매’는 허용하지 않을 것이라고 공언해왔음. 

 

○ 따라서 개정 개인정보보호법이 의도한 ‘과학적 연구’의 범위는 구체적으로 어디까지인지, 개인정보처리자가 ‘연구’라고 주장하면 무조건 허용되는 것인지, 적절한 과학적 연구 여부에 대한 판단이 필요한지, 필요하다면 누가하는 것이 좋을 지 등에 대해 구체적인 지침을 제공할 필요가 있음. 

 

○ 특히, 서로 다른 개인정보처리자 사이에 가명정보를 제공할 경우에는 특정 개인정보처리자 내부에서 과학적 연구 및 통계 목적으로 처리하는 것보다 개인정보 침해 위험성이 커지는 바, 이 경우에는 보다 엄격한 조건이 필요함. 행정안전부는 기업 간에 가명정보의 판매는 허용하지 않겠다고 했는데 이를 어떻게 규율하겠다는 것인지 구체적으로 설명할 필요가 있음. 

 

○ 국가인권위원회 역시 2019년 11월 13일 "｢개인정보 보호법 일부개정법률안｣ 등 일명 ‘데이터 3법’ 개정에 대해 정보주체의 권리가 충분히 보호될 수 있도록 국회에서 신중을 기하여 논의할 것"을 권고하면서 "가명 개인정보의 활용범위를 보다 구체적이고 명확하게 규정"해야 한다는 의견을 표명한 바 있음. 

 

○ 시민사회는 비록 가명처리되었다고 하더라도 가명정보 역시 개인정보이므로 (가명처리된) 개인정보의 애초 수집 목적 외 이용은 정보주체의 권리를 일정하게 제한하게 되는 바, 과학적 연구가 정보주체의 권리 제한 이상의 사회적인 가치를 가져야 하며 따라서 “학술 연구”로 제한할 것을 제안한 바 있음. 비록 개정 개인정보보호법에서는 ‘과학적 연구’라는 개념을 사용하고 있으나  시민사회가 제안하는 취지를 고려한다면, 그 결과물이 사회에 공개, 공유되어 사회 전체의 지식 기반을 확대하는 데 기여하는 연구로 과학적 연구의 범위를 구체화할 필요가 있음. 

 

○ 한편 개정 신용정보법은 제32조 제1항 제9의2호에서 개인정보보호법과 달리 ‘과학적 연구’ 대신 ‘연구’라는 개념을 사용하고 있으며, “통계작성에는 시장조사 등 상업적 목적의 통계작성을 포함하며, 연구에는 산업적 연구를 포함”시키고 있음. 이러한 법률 조항의 내용은 그 자체로서 정당화되기 어려울 뿐만 아니라 개인정보보호법과의 일관성도 저해하는 만큼, 해당 조항을 뒷받침하는 방식으로 신용정보법에 대한 시행령이 제정되어서는 안 될 것임. 시민사회단체는 시행령 제정에 앞서 개정 신용정보법의 재개정을 우선적으로 고려할 것을 촉구함. 

 

(5) 합리적으로 관련된 범위와 관련된 고려사항 

 

○ 개정 개인정보보호법 제15조 3항 및 제17조 4항은 합리적으로 관련된 범위 내에서 정보주체의 동의 없이 개인정보를 이용 혹은 제공할 경우의 고려 사항으로 법에서는 ‘정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부’만을 언급하고 있으며 보다 구체적인 내용은 대통령령에 위임하고 있음. 

 

제15조(개인정보의 수집·이용)

③ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위 내에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령이 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.

 

 제17조(개인정보의 제공)

④ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위 내에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령이 정하는 바에 따라 정보주체의 동의 없이 개인정보를 제공할 수 있다. 

 

○ 참고로 EU GDPR의 경우에는 제6조 4항 양립가능한 처리의 고려사항으로 (a) 수집 목적과 의도된 추가처리 목적 간의 연관성; (b) 특히 정보주체와 정보처리자 관계의 맥락에서 개인정보가 수집된 상황; (c) 특히 개인정보의 성격이 제9조의 특정 범주의 개인정보의 처리 여부, 또는 제10조의 범죄경력 및 범죄행위와 관련한 개인정보의 처리 여부; (d) 의도된 추가처리가 정보주체에 초래할 수 있는 결과; (e) 암호처리(encryption) 및 가명처리(pseudonymisation) 등 적절한 보호수단의 유무를 제시하고 있음. 

 

○ 이 조항은 자칫하면 정보주체에게 동의를 받는 노력을 회피하는 데 악용될 우려가 있음. 따라서 해당 조항의 ‘수집 목적과 합리적으로 관련된 범위 내’는 매우 좁은 범위에서, 즉 정보주체가 납득할 수 있는 범위 내에서 엄격하게 해석되어야 함. 제정될 시행령은  분명하고 구체적인 기준을 규정해야 할 것임

 

○ 나아가 시민사회단체들은 근본적으로 위와 같은 조항이 정보 주체에게 초래할 위험을 충분히 고려하여 도입된 것인지 의문을 가지고 있음. 따라서 위 조항들이 시행령이 아닌 법률의 차원에서 재논의되기를 기대함. 

 

(6) 가명정보에 대한 안전조치

 

제28조의4(가명정보에 대한 안전조치의무 등) ① 개인정보처리자는 가명정보를 처리하는 경우에는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관·관리하는 등 해당 정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 대통령령이 정하는 바에 따라 안전성 확보에 필요한 기술적․관리적 및 물리적 조치를 하여야 한다.

  ② 개인정보처리자는 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자 등 가명정보의 처리 내용을 관리하기 위해 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 한다.

 

제28조의7(적용범위) 가명정보는 제20조, 제21조, 제27조, 제34조제1항, 제35조부터 제37조까지, 제39조의3, 제39조의4, 제39조의6부터 제39조의8까지의 규정을 적용하지 아니한다.

 

○ 제28조의4 1항은 가명처리되기 이전의 원래의 개인정보처리자만을 대상으로 한 것으로 해석될 수도 있는데(왜냐하면 “원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관·관리하는 등”이라는 문구가 있기 때문에), 가명정보를 제공받은 제3자 역시 개인정보처리자이고 당연히 안전조치를 취해야할 것임. 시행령에서 제3자의 안전조치 의무와 책임 역시 명시할 필요가 있음. 

 

○ 제28조의4 2항은 단지 ‘관련 기록의 작성 및 보관’ 의무만을 규정하고 있는데, 이 기록은 개인정보처리방침을 통해 공개되어야 함. 그래야 정보주체가 자신의 개인정보가 가명처리가 되었는지 여부 및 가명처리된 개인정보가 어떻게 이용, 제공되는지 알 수 있고, 이에 따라 자신의 권리를 행사할 수 있을 것임. 참고로 개인정보보호법 제30조 및 시행령 제31조에서 개인정보처리방침에 수록될 사항을 규정하고 있는데, 가명처리 역시 개인정보의 처리이므로 이에 포함되는 것임.. 

 

○ 제28조의7은 가명정보에 대해 제21조(개인정보의 파기)를 배제하도록 하고 있는데, 그 의미가 모호함. 과학적 연구 및 통계 등을 위해 가명정보가 이용될 경우 애초 수집 목적에 필요한 기간 이상으로 보관될 수는 있지만, 해당 과학적 연구 및 통계 작성이 완료되면 당연히 폐기되어야 함. 그렇지 않고 가명정보라고 해서 무한대로 보관할 수 있도록 한다면 정보주체의 권리가 침해될 위험성이 매우 커질 것임. 제28조의7에서 제21조를 배제한다는 의미가 모호한만큼, 시행령을 통해서라도 보다 명확하게 규정할 필요가 있음. 

 

(7) 가명정보의 결합 

 

○ 시민사회는 제28조의3 가명정보의 결합 조항에 반대해왔음. 이는 우선 과학적 연구의 범위가 지나치게 폭넓게 규정이 되어 영리적인 목적의 가명정보 결합까지 허용을 하고 있기 때문으로 사실상 2016년 박근혜 정부 당시 <개인정보 비식별조치 가이드라인>과 다를 바 없다고 보았기 때문임. 실제로 전 세계적으로 공공기관이 기업들 사이의 개인정보 결합을 지원하고 결합된 가명정보를 원 개인정보처리자에게 다시 제공하는 사례는 찾아볼 수 없음. 다만, 공공기관이 보유하고 있는 개인정보를 가명처리 및 결합하여 제한적으로 학술 연구자에게 제공하는 경우는 있으며 시민사회가 이에 대해서까지 반대하는 것은 아님. 따라서 비록 개인정보보호법에 제28조의3이 포함되었지만, 가명정보의 결합에 따른 개인정보 침해 위험을 최소화하기 위해 매우 엄격한 조건에서 시행되어야 함. 

 

제28조의3(가명정보의 결합 제한) ① 제28조의2에도 불구하고 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행한다.

  ② 결합을 수행한 기관 외부로 결합된 정보를 반출하려는 개인정보처리자는 가명정보 또는 제58조의2에 해당하는 정보로 처리한 뒤 전문기관의 장의 승인을 받아야 한다.

  ③ 제1항에 따른 결합 절차와 방법, 전문기관의 지정 및 지정취소 기준·절차, 관리·감독, 제2항에 따른 반출 및 승인 기준・절차 등 필요한 사항은 대통령령으로 정한다.

 

○ 결합된 가명정보로부터의 재식별 위험성을 막기 위해, 가명정보의 결합에 관여하는 원 개인정보처리자들, 결합에 사용될 연계키의 제공자, 결합된 가명정보를 연구자에게 제공하는 기관이 서로 분리되어 있어야 함.  신뢰할 수 있는 제3자(Trusted Third Party)를 통한 연계 방식이 이를 위한 하나의 방법이 될 수 있음. 

 

○ 결합된 가명정보에는 폐쇄적인 안전시설 내에서만 접근 가능해야 하며, 가명정보 형태로 외부에 반출되어서는 안됨. 

 

○ 전문기관은 결합된 가명정보에 접근하는 연구자가 개인정보 보호에 대한 충분한 교육 및 훈련을 받을 수 있는 제도적 방안을 마련해야 함. 

 

 

○ 전문기관은 연구평가위원회를 구성하여 가명정보 결합의 목적이 과학적 가치가 있는지, 과도한 개인정보 침해의 위험성이 없는지, 해당 연구자가 개인정보보호에 대한 훈련을 받았는지에 대해 검토를 해서 허용 여부를 판단해야 함. 

 

○ 결합된 가명정보는 과학적 연구, 통계 작성 등 해당 목적을 달성한 후에 안전하게 폐기해야 함. 

 

○ 관련 기관 간의 데이터 전송 과정에서부터 안전시설 내의 데이터 보관까지 모든 과정에서 충분한 보안 조치가 취해져야 함. 

 

○ 가명정보 결합과 관련한 사실은 기록되고 정보주체가 알 수 있도록 공개되어야 함. (결합/연구의 목적, 원 데이터 보유기관, 결합 건수, 연구 기간, 연구 책임자 등 해당 연구와 관련된 정보 일체)

 

○ 보호위원회는 전문기관을 통한 가명정보 결합 과정에서 개인정보 침해 위험은 없는지  전문기관을 자문하고 감독해야 함. 

 

 

3. 개인정보보호법의 개정 필요성 

 

다음과 같은 측면에서 개인정보보호법의 재개정을 준비해야 함. 

 

(1) 법 해석상의 혼란 해소

 

○ 그동안 개인정보보호법, 정보통신망법, 신용정보법 등 개인정보 보호법제가 분산되어 있고 중복, 유사 규정으로 수범자의 혼란을 초래하고 있는 점에 대해 비판이 제기되어 왔음. 이번 개정을 통해 정보통신망법의 개인정보 규정은 개인정보보호법으로 통합되었음에도 불구하고, 여전히 이러한 혼란은 정리되지 않고 있음. 

 

○ 개인정보보호법은 기존의 정보통신망법 상의 유사규정을 개인정보보호법 내 관련 조항으로 통합하지 못하고 ‘정보통신서비스 제공자 등의 개인정보 처리 등 특례’로 처리함으로써 유사 조항 사이의 혼란은 해결하지 못하였음. 

 

○ 개인정보보호법과 신용정보법은 함께 개정되었음에도 불구하고 서로 다른 개념을 사용하고 있음. 예를 들어, 개인정보보호법은 ‘과학적 연구’라는 용어를 사용하고 있는 반면, 신용정보법은 ‘연구’라는 용어를 사용하고 있고 그 정의 조항이 없음. 또한, 신용정보법은 개인정보보호법과 달리 ‘익명처리’ 개념을 정의하고 있음. 함께 처리되었음에도 이러한 혼란을 해결하지 못한 것은 이 법들이 졸속적으로 통과되었음을 방증하는 것이라 할 수 있음. 어쨌든 서로 다른 법률 사이의 이와 같은 혼란을 조속히 해결할 필요가 있음. 

 

(2) 민감정보에의 적용 여부 명확화

 

○ 개정안의 ‘제3절 가명정보의 처리에 관한 특례’가 민감정보에도 적용되는지에 대해서도 논란이 있을 수 있음. 정부는 지금까지 민감정보는 특별한 보호를 필요로 하는 정보로서 제23조에 근거해서만 민감정보를 처리할 수 있도록 해석해 왔음. 예를 들어, 2016년 12월 발간된 <개인정보보호법 해설서>에서는 "제23조는 개인정보 처리에 관하여 특별한 규정이므로 제15조, 제17조 및 제18조 등 개인정보 처리에 관한 규정에 우선하여 적용된다. 따라서 민감정보의 경우에는 제23조 제1항 각호에서 정하는 예외 사유가 존재하는 경우에 한하여 처리할 수 있다."고 하고 있음. 가명처리도 처리의 하나이므로 민감정보에 대한 기존의 처리 원칙, 즉 23조에 근거해서만 처리한다는 원칙이 적용됨. 

 

○ 또한, 헌법재판소는 <건강보험 요양급여내역 제공 요청 및 제공 행위 등 위헌확인> 결정(2018. 8. 30. 2014헌마368_에서 "개인정보처리자가 민감정보를 제공하기 위해서는 개인정보 보호법 제23조 제1항에서 규정한 요건뿐만 아니라, 같은 법 제18조 제2항에서 규정한 요건까지 충족하여야 한다"고 보았음. 재판관 서기석은 별개의견으로 "민감정보의 처리에 관하여 규정한 ‘개인정보 보호법’ 제23조 제1항은 일반적인 개인정보의 제3자 제공에 관하여 규정한 같은 법 제18조 제2항의 특별규정이다. 따라서 개인정보처리자가 민감정보를 제공하기 위해서는 ‘개인정보 보호법’ 제23조 제1항에서 규정한 요건만 충족하면 족하고, 같은 법 제18조 제2항에서 규정한 요건까지 충족할 필요는 없다."고 해석하였음. 어떤 해석이든 헌법재판소 역시 민감정보는 제23조 제1항의 요건을 충족해야 한다고 보고 있음.  

 

○ 만일 제3절 가명정보의 처리에 관한 특례가 민감정보에도 적용된다면, 이는 민감정보에 대한 특별한 보호를 근거없이 완화한 것이 되며 이는 해외 사례에 비추어보아도 그 보호수준이 낮다고 할 수 있음. 대표적인 민감정보가 건강정보, 의료정보일 텐데 해외에서는 의료/건강정보의 연구목적 활용에 대해 별도의 법적 근거를 두고 있는 경우가 많음. 

 

○ 예를 들어, GDPR에서는 9조 특별범주의 개인정보처리(민감정보)에서 이를 별도로 규정하고 있고 회원국의 법에 근거가 있어야 한다고 규정하고 있음. 영국의 경우 보건의료 개인정보의 연구 목적의 이용을 위해 ‘국가보건서비스법(NHS Act 2006)’의

Section 251에 근거 규정을 두고 있음. 아이슬란드의 경우 건강분야 과학적 연구에 관한 법률(the Act on Scientific Research in the Health Sector, no. 44/2014)을 별도로 두고 있으며, 아일랜드의 경우 건강연구규정 2018(Health Research Regulation 2018)에서 건강연구와 관련된 거버넌스 및 안전조치 등을 구체적으로 규정하고 있음. 물론 건강연구에 대해서는 일반적인 과학적 연구에 비해 더욱 엄격한 안전조치를 요구하고 있음. 

 

○ 이와 같은 논리라면 우리나라도 23조에서 민감정보를 과학적 연구, 통계작성 목적으로 처리할 수 있다는 조항을 별도로 두고 의료법 등에서 건강정보를 과학적 연구 목적으로 활용할 경우의 구체적인 거버넌스나 안전조치 등을 규정하는 방안을 고려할 수 있을 것임. 만일 개인정보보호법에서 이를 명확하게 규정하지 않고 가명처리를 통한 의료정보의 활용을 강행할 경우에는 법적 분쟁을 야기할 가능성이 큼. 따라서 소모적인 논쟁을 방지하기 위해서는 개인정보보호법 및 의료법 등에서 건강정보의 과학적 연구 및 통계 목적 활용을 위한 구체적인 거버넌스 체제를 명확하게 규정하여야 할 것임. 

 

(3) 인공지능 등 신기술 환경에서 개인정보처리자의 책임성 강화 

 

○ 개정법 발의 전부터 정부가 공언해온 것처럼, 개인정보처리자의 책임성 강화 조항(예를 들어, 개인정보영향평가, Privacy by Design/by Default, DPO 제도 등), 프로파일링 등 정보주체의 권리 강화, 생체인식정보의 민감정보 포함 등 추가적인 개정이 필요함. 

 

○ 개인정보보호법은 반드시 재개정되어야 하고 개인정보보호법 개정안은 보호위원회 혹은 소수 전문가가 주도하는 것이 아니라 주요 이슈를 개방적으로 토론하고, 시민사회와 정보주체를 포함한  다양한 의견을 수렴하는 과정이 되어야 함. 끝.

 

2020년 2월  17일 

 

금융정의연대, 무상의료운동본부, 민주사회를위한변호사모임 디지털정보위원회, 보건의료단체연합, 서울YMCA 시청자시민운동본부, 연구공동체 건강과대안, 전국민주노동조합총연맹, 전국사무금융노동조합연맹, 진보네트워크센터 , 참여연대 

 

 

제대로 된 감청 통제 포기, 통비법 졸속 처리 국회 규탄한다

헌법불합치 결정 취지 제대로 반영 안 해

수사기관의 일방적 논리 수용한 법사위원들 기억할 것

 

국회 법제사법위원회가 어제(3월 4일) 시민사회의 제대로 된 감청 통제법안 마련 및 신중한 심사 요구에도 불구하고 사실상 정부안인 송기헌의원 대표발의 통신비밀보호법개정안(이하 통비법안)을 거의 그대로 통과시킨 데 이어 오늘(⅗) 본회의에서 최종 처리했다. 더불어민주당 송기헌 의원이 통비법안을 대표발의한 지  채 한달도 되지 않았음에도 단 한차례 열린 법사위 법안심사소위에서 통과시킨 후 법사위 전체회의를 거쳐 오늘 본회의에서 통과시킨 것이다. 정부가 졸속 법안을 청부입법 형태로 발의하고, 법사위는 헌법에서 보장하는 통신의 비밀과 자유와 관련된 중요 법안을 충분한 심리와 논의 없이 졸속으로 처리했다는 비판을 면하기 어려울 것이다. 헌법재판소의 헌법불합치 결정으로 어렵사리 얻은 국정원 등 수사기관의 무분별한 감청 남용을 통제할 계기를 졸속입법으로 무산시킨 정부와 법사위원의 안일한 행태에 분노한다.  

 

이번 통비법 개정의 계기가 된 헌법불합치 결정(2018. 8. 30. 2016헌마263 결정)에서 헌재는 “현행 감청 제도가 특정 범죄수사를 위한 최후의 보충적 수단이 아니라 법원으로부터 허가받은 범위를 넘어 특정인의 동향 파악이나 정보 수집을 위한 목적으로 수사기관에 의해 남용될 가능성을 배제하기 어렵다”고 지적하였다. 그리고 정보수사기관의 전기통신감청 집행 일반에 대해 법원이 감청집행을 통제하는 해외 사례 참조를 권고하며 통제방안을 마련할 것을 주문한 바 있다. 

 

그러나 이번 통과된 법사위 대안은 이와 같은 헌법불합치 결정 취지를 제대로 반영하지 않았으며 심지어 그에 반하는 내용까지 담고 있다. ▶헌법불합치 결정의 심판대상이었던 인터넷 패킷감청의 요건에 대해서는 아무런 제한을 두지 않았을 뿐 아니라, ▶감청 자료를 법원이 아니라 수사기관 자체적으로 보관하도록 하였으며, ▶통신제한조치의 집행에 관한 통지를 받은 당사자가 감청자료를 열람하고 통신제한조치의 집행의 적법성을 다툴 수 있는 장치가 없으며, ▶ 정보수사기관이 신설 조항을 위반했을 경우에 대해 아무런 처벌 조항도 두지 않았다.

 

무엇보다 헌법재판소가 감청 남용 조항으로 지목한 현행 제12조, 특히 남용의 가능성이 큰 “범죄를 예방하기 위하여 사용하는 경우”에 대한 어떤 개선도 없다. 오히려 여기서 더 나아가 추후 “사용을 위하여” 보관하도록 허용함으로써 현행보다 더 남용의 범위를 넓혀 놓았다. 결국 통과된 통비법안은 감청으로 취득한 자료의 보관을 법원의 승인을 구하는 방식으로 개선하였다고 하나 형식적인 것에 불과하다는 비판을 받기에 충분하다. 법원의 감청 영장 기각율이 현저히 낮은 현실에서 이 또한  인터넷 패킷감청은 물론 정보수사기관의 일상적인  동향 파악이나 정보 수집에 실질적으로 아무런 통제력을 발휘하지 못한다는 점에서 통제를 강화하라는 헌법불합치 결정의 취지를 제대로 반영하지 않았다.

 

이번 통비법개정안의 법사위 논의 과정을 다시 지적하지 않을 수 없다. 2018년에 헌재가 인터넷패킷감청 등에 대해 헌법불합치 결정 이후 충분한 시간이 있었음에도 시효가 임박한 2월에서야 정부안에 해당하는 개정안을 제출한 것을 비롯해 정보수사기관의 수사편의에 치중한 내용을 거의 그대로 수용하였으며 제대로 된 통제방안을 제시한 추혜선 의원 대표발의 법안 내용은 아무 것도 반영하지 않았다. 해당 상임위로서 법사위는 충분한 논의 시간을 갖고 제대로 된 감청통제 장치를 마련하기를 염원하는 국민 다수의 바람을 외면했다는 비난을 면하기 어려울 것이다. 코로나19 사태로 나라 안팎이 혼란한 틈을 타 통신의 비밀과 자유라는 국민의 기본권 보호와 관련한 법안을 졸속으로 처리한 법사위원들을 비롯해 법안에 찬성한 20대 국회 의원들 이름을 기록하고 기억할 것이다. 

 

원문https://drive.google.com/open?id=1Kg125IXpnDItr3gPu81KEER32rfZuZADRTnPBA... rel="nofollow">보기/다운로드

삼성의 ‘불온 시민단체’ 후원 임직원 사찰,

민주주의에 대한 중대한 위협

재벌대기업 및 사용자 지위 이용, 노동자 사생활·정치적 자유 억압 

불법적 개인정보 사찰, 구시대적 노사관 및 제왕적 자세 드러내

철저한 수사 및 실태 규명, 피해자 사과, 재발방지 대책 필요

 

삼성그룹이 2013년 미래전략실 주도로 임직원 개인정보를 무단 열람한 뒤, 삼성 측이 규정한 일부 ‘불온’ 시민단체에 후원한 임직원을 특별 관리하는 등 불법사찰해온 사실이 ‘삼성그룹 노조 파괴 사건’ 수사 및 판결로 드러났다(http://bit.ly/2Zqq0cc" rel="nofollow">http://bit.ly/2Zqq0cc). 참여연대 경제금융센터는 재벌대기업이자 사용자라는 지위를 이용해 노동자인 일반 국민의 사생활과 정치적 자유를 억압하고자 한 삼성그룹의 행태를 강력하게 규탄한다. 민주주의에 대한 중대한 위협이라고 해도 결코 과언이 아닌 삼성그룹의 이러한 과오는 수사기관 및 법정에서 뿐만 아니라 삼성 스스로의 입을 통해 철저히 규명되어야 하며, 그 책임을 명명백백히 따져 묻는 동시에 재발방지 대책이 함께 수립되어야 할 것이다.

 

연말정산 자료 무단 열람 등으로 임직원을 불법사찰하고, 일부 시민단체에 ‘불온하다’는 딱지를 붙인 행태는 소위 ‘글로벌 기업’이라는 삼성그룹의 노사관계에 대한 구시대적인 인식을 적나라하게 보여주고 있다. 또한 삼성그룹의 입맛에 맞지 않는 ‘불온한’ 임직원의 정치적 성향이나 활동을 감시하고 통제하려고 시도했다는 점에서, 우리 사회가 정말 ‘삼성공화국’이었을지도 모른다는 경악과 분노를 금할 수 없다. 삼성에버랜드 노조 파괴 사건을 맡은 1심 재판부 또한, 찰스 디킨스의 소설 「어려운 시절」을 인용하며, ‘삼성그룹은 노동자를 먹고사는 것에만 만족하는 노예처럼 보았던 19세기 산업혁명기의 자본가와 같은 인식을 갖고 있다’고 질책한 바 있다. 반도체 등 첨단 산업분야를 이끌어가는 국내 최대기업이 구시대 산업가와 동일한 천박한 인식에 갇혀 있었다는 사실에 개탄하지 않을 수 없다. 

 

삼성그룹은 판결 직후(http://bit.ly/2Qq0Gie" rel="nofollow">http://bit.ly/2Qq0Gie), “과거 회사 내에서 노조를 바라보는 시각과 인식이 국민의 눈높이와 사회의 기대에 미치지 못했음”을 인정하고, 재발 방지를 다짐했다. 그러나 이번 사건 뿐 아니라 승계작업을 위한 ▲이재용 삼성전자 부회장의 국정농단 연루 뇌물 범죄, ▲불공정한 (구)삼성물산-제일모직 합병비율을 뒷받침하기 위한 삼성바이오로직스 회계사기 및 ▲이를 은닉하기 위한 각종 범죄 행위에 비추어 볼 때, 재발 방지와 진상 규명을 위해 삼성그룹이 가야할 길은 멀기만 하다. 이건희 삼성전자 회장 또한 2008년 삼성 비자금 사태 이후 대국민 사과를 발표하고, 4.5조 원대 불법 차명자금에 대한 사회 환원을 약속했지만 지켜지지 않았다. 이에 삼성그룹이 단지 사과문을 발표한다고 해서 진정으로 지난 잘못을 반성하고 있는지 의문이다. 삼성그룹이 진심으로 과오를 뉘우치고자 하는 마음이 있다면 지금 당장 다음을 실천해야 할 것이다. 첫째, 임직원 불법사찰 실태를 삼성 스스로 철저하게 규명해야 한다. 둘째, ‘무노조 경영’ 폐기를 공식적으로 선언하고, 직원들에 대한 불법적인 감시·통제 금지 및 개인정보보호 방안을 구체적으로 마련해야 한다. 셋째, 삼성그룹이 ‘불온단체’라고 딱지 붙인 시민단체에 진심으로 사죄하고, 그룹 차원에서 반인권적·반민주적 의식을 개선해나갈 것을 약속해야 한다. 삼성그룹은 정치적 중립성을 지키되, 임직원들의 자유로운 정치적 의견표명에 대해서는 어떠한 방식으로도 개입하지 않겠다는 선언도 필요하다. 

 

삼성그룹은 이번 임직원 개인정보 무단 열람 및 사찰과 관련한 자신들의 잘못을 철저히 규명하고, 그 책임을 따져 묻는 동시에, 피해자에게는 진심 어린 사과를 해야 한다. 나아가 구체적인 재발방지 대책을 마련해 실천해야 한다. 이것이 삼성그룹이 19세기의 잔혹한 자본가의 이미지가 아닌 21세기에 어울리는 공정하고 깨끗한 이미지의 기업으로 변화할 유일한 길이다. 수사기관 역시 추가적인 불법사찰 행위를 엄정한 수사를 통해 밝혀야 할 것이다. 언제까지 국민들이 일류 기업이라는 삼성에 대해 양가감정을 느껴야만 하는가. 이러한 불법과 불공정의 고리를 이제 끊어야 한다. 지난날의 과오는 속속들이 파헤쳐 엄벌을 내리고, 앞으로는 진정한 공정과 상생을 위해 노력하는  것만이 삼성그룹이 다시 살 수 있는 유일한 길이다.

 

https://docs.google.com/document/d/1WQqY-7Yo_L3HV_xXAyXiUEOwEZnuaQYbwqSt... rel="nofollow">논평 [원문보기/다운로드]

참여연대 사법감시센터 · 아카데미느티나무 공동기획 강좌

민주주의, 진정한 검찰개혁의 길을 묻다

제1강 ‘검찰, 어떻게 ‘괴물’이 되었나’ 하태훈 고려대 교수 강연

10/8~10/22 매주 화요일 오후7시, 참여연대 2층 아름드리홀에서 진행

https://www.peoplepower21.org/./files/attach/images/37219/632/652/001/e6... />

 

참여연대 사법감시센터(소장 임지봉 서강대학교 교수)와 아카데미 느티나무(원장 주은경)는 검찰개혁의 필요성과 구체적인 방향을 시민들과 함께 공부하고 이야기하는 특별기획강좌를 내일(10/8)부터 매주 화요일 저녁 7시, 총 3회에 걸쳐 진행합니다. 

 

첫 강사로는 하태훈 고려대학교 법학전문대학원 교수(참여연대 공동대표)가 ‘검찰, 어떻게 ‘괴물’이 되었나’라는 주제로 강연합니다. 2강에서는 임지봉 서강대학교 법학전문대학원 교수(참여연대 사법감시센터 소장)이 ‘공수처, 왜 필요한가’를 주제로, 3강에서는 한상희 건국대학교 법학전문대학원 교수가 ‘검찰, 어떻게 지배계급이 되었나’의 주제로 강연합니다. 

 

검찰개혁에 대한 요구가 뜨거운 최근이지만 무엇이 검찰개혁인지, 어떤 개혁이 필요한지 에 대해서는 생각과 입장이 매우 다양합니다. 검찰이 어떤 과정을 거쳐 현재의 무소불위 권력이 되었는지 살펴보고, 국민이 바라는 검찰의 역할, 시대에 부응하는 검찰조직은 어떤 모습이어야 하는지, 대한민국 검찰이 민주적 통제를 받는다는 것은 무엇인지, 그것을 가능하게 하기 위해 어떤 제도개혁이 필요한지 등을 짚어보고 시민들과 함께 토론해보고자 합니다.  

 

※오프라인 현장접수도 가능합니다. 자세한 사항은 수강신청 페이지를 참고하시기 바랍니다. 

 

강좌 보도협조 [https://docs.google.com/document/d/1AnNoLzEcXqrTsJVI_YI-fDw7w-oK3FNECysY... target="_blank" rel="nofollow">원문보기 / 다운로드]

강좌 소개 및 수강신청안내 [http://academy.peoplepower21.org/lectures/24162" rel="nofollow">보러가기]

 

 

 

강좌 일정 

 

 

 

강사 소개

 

임지봉 서강대 법학전문대학원 교수, 참여연대 사법감시센터 소장

하태훈 고려대학교 법학전문대학원 교수, <검찰공화국, 대한민국> 공저자

한상희 건국대 법학전문대학원 교수

 

 

강좌 정보

 

일    시 : 2019. 10. 8. ~ 10. 22. 화요일 오후7시 ~ 9시30분 총3회

장    소 : 참여연대 2층 아름드리홀

수강료 : 4만원

할   인 : 참여연대 1만원 이상 후원회원 30% 할인, 20대 청년 50% 할인(중복 적용 안 됨, 계좌 입금만 가능) 

계   좌 : 하나은행 162-054331-00805 (예금주 참여연대)

 

 

※ 강좌할인 및 취소환불 규정은 http://academy.peoplepower21.org/lectures/24162" target="_blank" rel="nofollow">수강신청안내(클릭)를 꼭 확인하세요.