노동시민사회 공동 긴급 여론조사 결과, 국민 80.3% 가명정보 동의 없이 기업간 제공 반대

국민 81.9%, 개인정보보호법 개정 추진 사실 자체를 몰라

의료·건강 등 민감정보 가명처리후 비동의 수집·활용 70.5% 반대

경제발전 명분 정보인권 포기 불가 66.7%, 2030세대는 77%

시민사회단체가 의뢰해 실시한 긴급 여론조사 결과 국민의 다섯 중 넷 이상이(81.9%) 개인정보보호법 개정이 추진되고 있다는 사실 자체를 잘 모르고 있는 것으로 나타났습니다. 알고 있다고 응답한 응답자는 18.1%에 불과했습니다. 오늘(11/13) 무상의료운동본부, 민주노총, 민주사회를위한변호사모임디지털정보위원회,진보네트워크센터, 참여연대 등 노동·의료·시민단체가 11월 14일 개인정보보호법안의 국회 행안위 법안심사소위 심사를 앞두고 지난 10일 긴급 실시한 여론조사 결과를 발표했습니다.  

이번 여론조사는 문재인 정부가 혁신경제를 내세우며 개인정보보호법안 등http://www.peoplepower21.org/PublicLaw/1663821" rel="nofollow"> 데이터3법(개인정보보호법, 정보통신망이용촉진및정보보호에관한법률, 신용정보보호법)의 개정을 적극 추진하면서도 국민일반의 여론을 살피고 동의를 구하는 과정을 거치지 않았다는 지적을 해 온 노동·의료·시민단체가 직접 국민일반의 개인정보보호법 개정에 대한 여론을 확인하기 위해 실시했습니다.

여론조사 결과, 포털, 통신 보험 등 기업들이 고객 정보를 제대로 보호하고 있지 않다고 답한 응답자가 전체의 59.4%로 불신이 상당함을 보여주었습니다. 또한, 데이터3법에서 가장 문제로 지적되고 있는 가명정보의 활용에 대해서도 절대다수(80.3%)가 동의없이 수집,이용하는 데 반대했습니다. 특히 질병정보, 의료정보를 포함한 민감정보를 가명처리해 동의없이 수집,이용하는 것에도 70.5%가 반대했습니다. 뿐만 아니라, 데이터산업과 경제발전을 위해 개인정보보호와 관련된 권리 일부라도 포기할 수 있느냐는 질문에는 66%가 넘는 응답자가 불가능하다고 응답했습니다. 20,30대 응답자의 77% 이상이 불가능하다고 답하는 등 특히 20,30대 응답자의 부정적 응답비율이 평균보다 월등히 높았습니다. 

개인정보보호법은 국가 개인정보보호의 기본 원칙을 제시하기 위해 지난 2011년 이명박 정부하에서 어렵게 제정된 이후 카드3사 고객정보대량 유출 사고 등 개인정보유출사고가 발생할 때마다 조금씩 보완하면서 현재에 이르게 되었습니다. 개인정보보호법도 시대에 맞게 개선되어야 한다는 데는 이견이 없습니다. 그러나 충분한 사회적 합의과정 없이 데이터 산업 육성에만 방점을 찍는 데이터3법이 통과된다면 이후 감당해야 할 사회적 비용과 혼란, 불신은 상상하기 어렵습니다.

현재 국회에서 심사 중인 데이터3법은 개인정보보호법 체계의 기본 틀을 바꾸는 중차대한 사안임에도 개정안 마련을 사실상 주도한 정부는 공청회 등 국민여론을 수렴하는 절차를 거치지 않았습니다. 정부는 물론 더불어민주당을 비롯한 여야 정당들은 데이터 3법의 국회 처리를 중단하고, 사회적 논의를 다시 시작해야 합니다.

▶ https://drive.google.com/file/d/1fWcscSG1SqXoGGn2hsrwpXOYLc0Q90wP/view?u... rel="nofollow">여론조사 결과보고서 보기(pdf)

▶ https://infogram.com/3-1h0n25vjwydz6pe?live" rel="nofollow">주요 결과 요약 보기(인포그래픽)

※ 이번 조사는 여론조사전문기관인 서든포스트_(주)포스트데이터에 의뢰해 전국에 거주하는 만 19세 이상 성인 남녀를 대상으로 유·무선 RDD (무작위 임의걸기) 방식에 의한 ARS 여론조사(유선 20%, 무선 80%)로 진행되었다. 인구비례에 따른 성·연령·지역별 할당 무작위 추출방식으로 1,000명의 표본을 추출, 성·연령·지역별 가중값 부여방식으로 오차를 보정했으며, 가중방법은 림가중, 신뢰수준 95%에서 최대허용오차 ±3.10%point, 응답률은 4.4%, 조사시간은 2019년 11월 10일(일) 하루이다.

기업이 내 동의 없이 내 정보를 가져다 쓴다?

데이터 3법, 위험하다

이상윤 연구공동체 건강과대안 책임 연구위원

문재인 대통령이 지난 10월 28일 "데이터 3법이 연내에 통과되도록 국회와 적극 협력하겠다"고 말하자 더불어민주당이 10월 30일 "데이터 3법(개인정보보호법, 신용정보법, 정보통신망법)'을 이번 정기국회에서 통과할 수 있도록 하겠다"고 밝혔다. 정부와 민주당이 말하는 법 개정의 이유는 '데이터 산업 발전'이다.

하지만 데이터는 데이터 저장장치에 존재하는 단순한 정보 묶음이 아니다. 이는 현실 세계에서 살아가는 개인들에 대한 정보이고 이들이 살면서 만들어 낸 삶의 이력 그 자체이다. 개인정보는 경제발전을 위한다는 명목으로 국가에 의해 동원될 수 있는 자원도 아니고 연료도 아니다. 이는 개인의 삶의 궤적이며, 역사이고, 존엄성 그 자체이다. 개인정보에 대한 권리는 정보 주체에게 있고, 개인정보를 활용하고 싶은 이들이 있다면 그게 누구이든 정보 주체의 동의를 받아야 한다.

정부와 민주당이 추진하는 '데이터 3법' 개정 중 특히 문제가 되는 것은 개인정보 보호법 개정안에 담긴 '가명정보'의 경우 정보 주체의 동의 없이도 개인정보를 활용할 수 있도록 한 조항이다. 개정안은 통계작성, 과학적 연구, 공익적 기록보존 등으로 그 목적을 한정하긴 하였으나, 통계, 과학적 연구를 매우 폭넓게 정의함으로써 사실상 기업, 개인의 사익 추구를 위한 통계, 연구도 정보 주체의 동의 없이 개인정보를 처리할 수 있도록 허용하고 있다. 누구든 약간의 기술적 조치만 취하면 정보 주체의 허락 없이 타인의 개인정보를 마음대로 사용할 수 있게 하겠다는 것이다.

정부, 여당은 '가명화'라는 형태로 개인을 알아볼 수 없게 한 정보에 한정된 것이고, '가명 정보'를 활용하여 개인을 식별하는 행위를 한 경우 무거운 과징금을 부과하도록 하였기에 우려할 필요는 없다고 한다. 하지만 이는 빅데이터 시대의 데이터 특성을 몰라도 너무 모르고 하는 소리다.

확률의 문제일 뿐 가명정보를 활용하여 개인을 재식별 하는 것은 불가능하지 않다. 이른 바 빅데이터 시대인 지금은 한 개인에 대한 개별적인 정보를 대량으로 포함하고 있는 데이터 집합을 사용하여 개인을 식별하는 것은 더욱 쉬워졌다. 데이터 양이 많아지면 많아질수록 가명정보를 활용한 개인 식별은 쉬워진다. 미국 국립보건원이 자신들이 가지고 있던 연구 데이터들을 가명화한 이후 온라인에서 누구나 다운 받을 수 있게 했다가 곧바로 철회한 이유도 이러한 이유 때문이었다.

과징금 등의 처벌 강화 조치는 사후약방문일 뿐 개인정보 재식별과 유출을 막기 위한 원천적 예방책은 아니다. 해커나 데이터 기업들이 벌금이나 과징금이 무서워 법 위반 행위를 하지 않을 것이라는 생각은 너무 순진하다. 이들은 발각될 가능성이 적기도 하지만, 발각되어 벌금이나 과징금을 내더라도 그게 더 이익이기 때문에 개인정보를 도둑질하고 유출하고 활용한다.

이러한 상황에서 정보 주체의 권리 제약이 정당화되려면, 이것이 합당한 공공 이익 목적을 위한 것이고, 동일한 목표에 도달하기 위해 활용할 수 있는, 상대적으로 침해나 제한의 성격이 약한 다른 수단이 존재하지 않는다는 것을 정부, 여당이 설득력 있게 입증해야 한다. 하지만 기업과 정부가 주창하는 '데이터 산업 발전'은 공공의 이익을 위한 것이라 보기 힘들다. 정보 주체의 정보인권을 존중하면서 데이터 산업을 발전시킬 다른 수단이 없는 것도 아니다. 데이터 산업을 발전시키기 위해 정보 주체의 동의 없이도 개인정보를 활용할 수 있도록 하는 것은 명백히 정보인권 침해이며 윤리적으로 정당화되기 힘들다.

정부, 여당의 개인정보 보호법은 인권 보장 측면뿐 아니라 윤리적으로도 큰 문제를 가지고 있다. 특히 크나큰 오욕의 역사를 가지고 있는 생명, 의학 연구 영역에서 발전해 온 생명/의학 연구 윤리의 원칙과 이 법은 정면으로 배치된다. 생명/의학 연구 윤리의 원칙 중 가장 중요한 것 중 하나는 '충분한 정보에 근거한 자발적 동의(Informed consent)'이다. 한국의 생명윤리법 제3조 제2항에서는 이를 "연구 대상자등의 자율성은 존중되어야 하며, 연구대상자등의 자발적인 동의는 충분한 정보에 근거하여야 한다"고 명시하고 있다. 이는 개인이 자신의 개인정보 및 생물학적 물질 사용에 대한 통제권을 행사할 수 있는 권리를 포함한다.

과학적 연구 참여에 대한 개인의 동의는 연구 수행 기관에 대한 신뢰를 기반으로 하는 경우가 많다. 그러므로 누가 동의 없이 내 개인정보를 사용하는가도 매우 중요한 고려사항이다. 민간보험회사가 연구 목적이라고 하더라도 내 의료 정보, 건강 정보를 동의 없이 사용한다고 하는데 별 문제 없다고 생각하는 이들이 얼마나 될까. 데이터 기업이 연구 목적으로 내 정치적 입장, 종교, 성적 취향 등에 대한 개인정보를 수집하여 분석한다고 하면 다수가 이를 불편하게 여기지 않겠는가. 그런데 개정안이 통과되면 내 동의 없이도 기업이 내 민감 정보를 활용할 수 있게 된다.

상업적 연구가 아니라 과학적 발전을 위한 연구로 한정하여 법을 적용한다고 해도 문제는 남는다. 아무리 과학적 발전을 위한 연구라 하더라도 한 개인은 자신의 윤리적 신념에 반하는 연구에 참여를 거부할 권리가 있다. 예를 들어 자신의 가족과 미래 세대에 대한 프로파일링을 위한 유전체 연구, 인종차별의 근거가 될 가능성도 존재하는 유전체 연구, 특정 집단을 차별하고 배제하는 근거로 악용될 수도 있는 건강 연구, 유전적 특질을 이용한 생물학적 무기 개발에 이용될 수도 있는 연구 등에 자신의 개인 건강정보, 유전정보가 동의 없이 사용되기를 원하지 않는 이들이 다수이다. 빅데이터를 활용한 연구는 그 최종 결과가 무엇이 될지 연구자조차 예상하기 힘든 경우도 있다. 최악의 경우 정보 주체의 동의 없이 활용한 그 개인정보로 인해 정보 주체에게 해가 되는 연구 결과가 도출될 수도 있다. 내 동의 없이 사용한 내 개인정보로 인해 내가 불이익을 받아야 하는 부조리한 상황이 벌어질 수도 있는 것이다.

정보 주체의 프라이버시를 침해할 가능성이 있을 뿐 아니라 연구 대상자의 자율성을 해칠 가능성이 있는 정부, 여당의 개인정보 보호법 해당 조항은 절대 원안대로 통과되어서는 안 된다. 데이터 산업 육성이라는 명목으로 기업이 정보 주체의 동의 없이 개인정보를 활용할 수 있도록 하는 것에 신중해야 한다. 공공적 목적에 부합하는 용도에 국한하여 매우 제한적으로 가능하도록 규제의 틀을 만들어야 한다. 더디게 가더라도 국민적 합의와 신뢰를 바탕으로 관련 정책을 추진하는 것이 데이터 산업 발전에도 더 좋다.

참여사회연구소는 2011년 10월 13일부터 '시민정치시평'이란 제목으로 <프레시안> 에 칼럼을 연재하고 있습니다. 참여사회연구소는 1996년 "시민사회 현장이 우리의 연구실입니다"라는 기치를 내걸고 출범한 참여연대 부설 연구소입니다. 지난 19년 동안 참여민주사회의 비전과 모델, 전략을 진지하게 모색해 온 참여사회연구소는 한국 사회의 현안과 쟁점을 다룬 칼럼을 통해 보다 많은 시민들과 만나고자 합니다. 참여사회연구소의 시민정치는 우리가 속한 공동체에 주체적으로 참여하고, 책임지는 정치를 말합니다. 시민정치가 이루어지는 곳은 우리 삶의 결이 담긴 모든 곳이며, 공동체의 운명에 관한 진지한 숙의와 실천이 이루어지는 모든 곳입니다. '시민정치시평'은 그 모든 곳에서 울려 퍼지는 혹은 솟아 움트는 목소리를 담아 소통하고 공론을 하는 마당이 될 것입니다. 많은 독자들의 성원을 기대합니다. 같은 내용이 프레시안에도 게시됩니다. 목록 바로가기(http://www.pressian.com/news/review_list_all.html?rvw_no=1661" rel="nofollow">클릭)

 

* 본 내용은 참여연대나 참여사회연구소의 입장과 다를 수 있습니다.

범죄를 저지른 기업이 법의 처벌을 받아도 범죄행위로 얻은 수익이 제대로 환수되는 경우는 보기 힘듭니다. 지난 7월 25일에 최종 확정된 홈플러스 개인정보 불법 판매 사건도 그중의 하나입니다. 법원은 홈플러스측의 유죄를 확정하면서도, 이러한 불법행위로 생긴 수익 232억 원은 추징할 수 없다고 하였습니다. 이러한 판단의 법리적 근거와 문제점에 대해 강태리 변호사가 비평하였습니다.

씁쓸하지만, 승자는 홈플러스다

[광장에 나온 판결] 홈플러스 개인정보 판매 유죄 인정했으나 범죄수익 추징 못 한 판결

2018도13694

대법원 제2부 재판장 안철상 대법관, 주심 김상환 대법관 

http://www.peoplepower21.org/files/attach/images/37219/980/557/001/ab48e... style="width:96px;height:150px;" />

강태리 변호사(참여연대 공익법센터 운영위원)

 

2014년 7월 27일 MBC <시사매거진 2580>에서는 홈플러스의 경품 사기극을 보도하였다. 홈플러스는 경품행사에서 "홈플러스에서 다이아몬드가 내린다"는 문구로 홍보를 하였고, 1등 당첨자에게 7800만 원에 상당하는 드비어스 다이아몬드를 지급한다고 하였다.

하지만 2580팀이 확인한 결과, 드비어스 측은 그런 다이아몬드를 홈플러스에 판매한 적도 없고, 경품 1등 당첨자에게 이 다이아몬드가 지급되지도 않았다. 2580팀은 홈플러스가 경품응모권으로 모은 고객정보를 보험회사에 판매한 사실도 밝혀냈다. 홈플러스 사태의 서막이 오른 것이다.  

이후 국민들의 분노, 홈플러스 불매운동, 홈플러스 경영진 출국 금지, 홈플러스 본사 압수수색이 이어졌다. 수사 결과, 홈플러스의 경품행사는 애초에 보험회사에 팔 고객정보를 모으기 위하여 계획된 것임이 드러났다. 홈플러스는 경품행사에 응모한 고객정보가 보험회사에 제공된다는 내용을 응모권 뒷면에 글씨 크기 1mm로 적어서, 사실상 고객들이 자신의 정보가 보험회사에 판매된다는 사실을 모르게 하였다.

이렇게 홈플러스는 2011년 12월부터 2014년 7월까지 경품 행사를 진행하고 보험회사로부터 약 232억 원의 수익을 얻었다. 검찰은 홈플러스 법인, 홈플러스 임직원들과 보험회사 임직원들을 기소하였다.   

그 뒤로 4년 세월이 흘렀고, 그 사이에 5번의 법원 판결이 이어졌다. 1, 2심은 홈플러스가 1mm로 깨알 고지한 것이 적법하다며 무죄를 선고하였으나, 3심 대법원에서는 1, 2심 판단을 뒤집고 "응모권에 기재된 1mm의 글씨는 소비자의 입장에서 보아 그 내용을 읽기가 쉽지 않다"라고 하여 유죄의 취지로 파기 환송했다.

이후 파기환송심에서는 유죄를 선고하면서 232억 원의 판매 수익은 몰수∙추징할 수 없다고 판단하였고, 대법원이 2019년 7월 25일 자로 최종 확정했다. 

일반 상식에서는 도저히 납득 안 되는 판결

왜 법원은 232억 원 판매수익을 몰수∙추징할 수 없다고 판단한 것인가. 개인정보 보호법과 정보통신망법에서는 개인정보 불법 유통 등으로 인한 범죄 수익을 박탈하고자, "위반행위와 관련하여 취득한 금품이나 그 밖의 이익은 몰수할 수 있으며, 이를 몰수할 수 없을 때에는 그 가액을 추징할 수 있다"는 규정을 2015년과 2016년경 신설하였다.

하지만 홈플러스의 범죄행위는 위 규정 신설 전인 2011~2014년에 발생한 것이어서 위 규정을 적용하지 못하고, 형법 상 몰수∙추징이 가능한지 문제되었던 것이다. 결국 법원은, 형법 상 몰수는 '물건'(유체물)에 대해서만 가능하고 몰수가 어려우면 가액을 추징하게 돼 있는데, 개인정보를 형법 상 몰수할 수 있는 '물건'이 아니라고 보았다.

형법 상 몰수는 그 대상이 '물건'에 제한되어서 무형적인 이익은 몰수대상이 되지 못하므로, 오늘날 재산이 무체물화 되어가는 추세를 고려할 때 범죄수익 몰수에 있어서 극히 제한적인 기능밖에 수행할 수 없다. 몰수∙추징의 대상 범죄가 점점 더 전문화∙고도화되어 가면서 형법이 따라가지 못하는 것이다.

형법은 1953년에 제정되었고, 그 시대에 '개인정보' 같은 무형적 이익이 형사처벌과 연관될 것이라고 상상하기 어려웠을 것이다. 그 결과, 홈플러스의 행위는 위법이지만 그 행위로 취득한 232억 원의 수익금은 몰수(추징)할 수 없다는, 일반 상식에서는 도저히 납득 안 되는 판결이 나오는 것이다.

홈플러스 사태가 우리에게 남긴 것

2014년 <시사매거진 2580>의 보도부터 2019년 7월 대법원 최종 판결까지, 이 홈플러스 사태가 우리에게 남긴 것은 무엇인가. 

우선 우리는 우리의 개인정보가 이곳저곳에서 잘 팔리고 있음을 알게 되었다. 홈플러스가 매장에 진열된 물건만 파는 게 아니라 고객정보도 열심히 팔고 있었다는 사실을 알게 되었다. 그 와중에 1mm의 작은 글씨로 작성한 저의가 명백함에도 개인정보보호법상 의무를 지켰다고 주장하는 뻔뻔함도 보게 되었다.

이렇게 내 개인정보는 홈플러스가 보험회사에 팔고, 내 병원 처방전 정보는 약학정보원이 모아서 IMS헬스에 판다(약학정보원-IMS헬스 개인정보 판매사건 참조). 개인정보를 대량으로 수집 관리하는 기업·단체들은 사람들 몰래 정보를 팔아서 돈을 벌고 있는 것이다.

또 우리는, 개인정보 판매가 위법행위로 처벌받아도 사실상 기업이 손해 보는 것은 없다는 것을 잘 알게 되었다. 5번의 판결까지 받았지만 홈플러스는 결국 200억 원 넘는 수익을 거두었다. 이러니 기업 입장에서는 개인정보를 안 팔 이유가 없다. 개인정보 장사만큼 알짜배기 장사가 어디 있을까 싶다. 방통위나 공정위의 제재금, 법원의 벌금이야 비용으로 생각하면 되지 않나. 그 얼마 안 되는 비용을 내면 수억 원의 수익을 얻을 수 있다.

기업 입장에서는 점포를 임대할 필요도, 초기 투자 비용도 없이, 그저 고객정보를 팔면 된다. 홈플러스는 자기 고객정보가 부족해서 경품행사로 정보를 더 모아서 팔았다. 그렇게 하면 200억 원이 넘는 수익이 떨어진다. 이런 고수익 저비용 사업을 마다할 기업이 도대체 어디 있겠나. 

홈플러스 사태 이후, 앞으로는 어떻게 될까. 어떤 주체의 이익이 향하는 곳에, 그 행동이 따르기 마련 아니겠는가. 우리 법원 판결들은 기업들에 개인정보 보호를 극대화하라고 가르치는가, 아니면 개인정보를 잘 판매하여 수익을 거두라고 속삭이는가? 이 문제는 답이 너무 뻔해서, 그저 안타깝기만 하다.

참여연대 사법감시센터는 최근 판결 중 사회 변화의 흐름을 반영하지 못하거나 국민의 법 감정과 괴리된 판결, 기본권과 인권보호에 기여하지 못한 판결, 또는 그와 반대로 인권수호기관으로서 위상을 정립하는데 기여한 판결을 소재로 http://www.peoplepower21.org/index.php?mid=Judiciary&document_srl=147684... style="background:0px 0px;color:rgb(102,153,204);" target="_blank" rel="nofollow">[판결비평-광장에 나온 판결]사업을 진행하고 있습니다.

주로 법률가 층에만 국한되는 판결비평을 시민사회 공론의 장으로 끌어내어 다양한 의견을 나눔으로써 법원의 판결이 더욱더 발전될 수 있다는 생각 때문입니다.