사단법인 오픈넷은 지난 3월25일 EU개인정보보호관과 EU집행부에, 대한민국에 대한 GDPR적정성(adequacy) 평가를 함에 있어 우리나라 법이 가명정보에 대해 열람권 등의 정보주체권리를 박탈한 것에 대해 그리고 개인정보의 상업적 이용을 정보주체의 동의 없이 허용하는 ‘과학적 연구’특례의 정의에 있어서 연구내용의 공개를 요구하지 않는 점들을 고려해 줄 것을 요청하는 서한을 발송하였습니다.

GDPR적정성 평가는 EU회원국 시민들의 개인정보가 대한민국으로 이전될 수 있도록 하기 위한 즉 한국의 정보처리자들이 유럽시장에 진출하기 위해서는 필수절차이며(사안별로 비용을 들여야 하는 표준계약을 피하기 위해서는) 현재 아시아에서는 일본만 받은 상황입니다. EU집행부와 EU개인정보위원회는 대한민국과 적정성 결정을 내리기 위한 교섭을 진행 중입니다. 

개인정보보호법 제28조의7은 과학적 연구 등의 특별한 목적이 아닌 경우에도 가명화만 되더라도 열람권 등 정보주체의 여러 권리가 박탈됩니다. 28조의5는 일단 가명화가 된 정보는 정보주체가 열람권 등 권리를 행사하기 위해 필요한 경우에도 재식별화를 할 수 없도록 하여 실제로 열람권 등의 정보주체의 권리를 소멸시키고 있습니다. 이렇게 될 경우 많은 정보처리자들이 과학적 연구 등의 특수한 정보처리를 수행하고 있지 않은 상황에서도 정보를 가명화된 상태로 보관한다는 이유만으로 열람권 등 정보주체의 권리 행사를 거부하는 일들이 발생하게 됩니다.

게다가 가명화만으로 이렇게 심각한 권리의 박탈이 발생하므로 가명화의 절차가 더욱 복잡하고 엄격해지면서 GDPR이 장려하고 요구하는 ‘안전조치(safety measure)’로서의 가명화를 하려는 정보처리자도 더욱 어려움을 겪게 되어 결과적으로는 정보주체들의 프라이버시가 더욱 침해됩니다.

또 우리나라 법에서는 가명화된 정보는 정보주체의 동의 없어 과학적 연구목적으로 처리할 수 있게 허용하고 있는데 이때 ‘과학적 연구’가 순수히 사적인 목적이 아니라 과학적 지식의 지평을 넓힐 수 있도록 연구가 공유될 것을 요구한 GDPR 전문 159조의 내용에 대응하는 내용이 우리나라 개인정보보호법에는 없다는 점도 지적하였습니다. 

유럽시민들의 개인정보가 국내 정보처리자들에 의해 처리될 때 위와 같은 정보주체권리의 박탈이 이루어진다는 사실 또 ‘안전조치’로서의 가명화가 어려워진다는 사실은 적정성평가절차에 있어서도 중요한 의미를 가지게 될 것입니다. 우리나라 국회와 개인정보보호위원회가 하루 빨리 개인정보보호법의 가명특례조항들을 개정하길 기대합니다.

수구적 비상사태 선포에 이어 ‘비상사태에 대한 유언비어’ 금지

유신헌법 비판금지한 유신헌법 하 긴급조치 1호 및 9호와 유사 

말레이시아 정부는 지난 1월 비상사태 및 의회해산을 선언한 이후 지난 3월 12일 코로나 바이러스 상황과 비상사태 선포에 대한 ‘유언비어’를 형사처벌하는 소위 “긴급조치 2호“를 선포하였다. 사단법인 오픈넷은 동남아시아 표현의 자유 네트워크(Southeast Freedom of Expression Network, SAFENET)와 함께 이 긴급조치가 현 말레이시아 정부에 의해 남용되어 현재의 초헌법적 상황을 장기화하는 시도에 동원될 수 있다는 점에 우려를 표한다. 이와 관련하여 오픈넷은 지난 3월 15일 아티클19(Article 19), ASEAN Parliamentarians for Human Rights(APHR)와 함께 말레이시아 표현의 자유 및 프라이버시 보호 차원의 논평을 낸 바 있다. 

이 긴급조치는 비상사태에 대한 유언비어를 처벌하는 내용을 담고 있는 일종의 ‘허위사실유포죄’이다. 국제인권법은 ‘허위사실유포죄’는 평화와 공익을 보호한다는 명분과는 달리 숱한 역사 속에서 권위주의 정부에 의해 시민들의 진실된 비판을 억압하는 데에 이용되므로 금지되어야 한다는 원칙이 확립되어 있다. 바로 이와 비슷한 이유로, 이번 긴급조치와 비슷한 내용을 담은 법이 2018년 4월에 통과되었다가 국제사회의 반발로 개혁성향의 말레이시아 의회에 의해 2019년 10월에 폐기되었다. 그런데 2021년 긴급조치는 바로 그 법을 되살리고 있는 것이다. 이번 긴급조치는 독일의 소위 네트워크법(NetzDG)을 모델로 삼고 있지만 실상은 전혀 다르다. 네트워크법에는 허위사실유포죄 자체가 없으며 기존 형법이 금지하는 표현에만 적용될 뿐이다. 

말레이시아 정부는 비상사태 선포를 통해 의회 통제 없이 법을 만들 수 있게 하고 바로 그 비상사태에 대한 토론을 막기 위해 이번 긴급조치를 통과시켰다. 이와 같은 ‘자기거래’는 1972년 우리나라 유신정권이 부정선거로 통과된 유신개정헌법에 대한 국민의 비판을 막기 위해 바로 그 헌법이 허용하는 긴급조치 1호와 9호를 통해 유신헌법에 대한 ‘유언비어’를 처벌하겠다고 나선 상황과 비슷하다. 한국에서는 이런 역사적 교훈 속에서 긴급조치 1호의 ‘유언비어유포죄’도 2009년 새롭게 집행되던 ‘허위사실유포죄’도 모두 위헌결정이 내려져 있다. 현재 말레이시아는 독립 후 60년 만에 처음으로 야당이 2018년 5월 선거를 통해 집권한 후 야당연합 내 개혁세력이 정권을 이양받기 직전에 보수세력 중심의 정계개편이 이루어졌으며, 보수세력이 다시 아슬아슬하게 우위를 점하던 상황에서 코로나 사태를 빌미로 지난 1월 비상사태가 선포되었다. 이번 긴급조치는 비상사태 상황을 장기화하는 도구가 될 수 있는 것이다. 

긴급조치는 국제인권상의 다른 흠결도 가지고 있다. 독일의 네트워크법처럼 경찰이나 정보통신부처의 요청이 있는 게시물을 24시간 내에 차단하지 않으면 플랫폼 운영자에게 가혹한 벌금을 매기는데, 이와 같은 조항은 플랫폼이 인지하지 않은 게시물에 대해 책임을 지워서는 안 된다는 국제기준이 된 EU 전자상거래지침을 직접적으로 위반하지는 않으나, 플랫폼 운영자에게 경찰이나 정보통신부처의 모든 차단요청을 합법적인 게시물에까지 적용할 동기를 부여한다. 또, 모든 플랫폼 운영자에게 계정 비밀번호 등의 접근권한 및 통신사실확인자료를 영장이나 기타 사법적 통제 없이 수사기관에게 넘기도록 한 것 역시 문제이다. 

이번 ‘유언비어 퇴치’ 긴급조치는 이웃의 미얀마가 겪고 있는 위기를 생각할 때 더욱 걱정스럽다. 위에서 언급했듯 말레이시아는 2018년 4월에도 한 달 후 선거에 영향을 미치기 위해 비슷한 내용의 법이 통과되었었다. 말레이시아의 민주주의 전통은 계속되어야 하며 다른 동남아시아 국가들에 모범이 되어야 한다. 우리는 긴급조치가 폐기되어 코로나 상황뿐 아니라 현재의 초헌법 상황에 대한 자유로운 토론이 허용될 것을 요구한다. 

2021년 4월 9일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

4월 1일 더불어민주당 민병덕 의원은 개인정보 보호법 일부개정법률안(의안번호 2109273)을 대표발의했다. 개정안의 주요 내용은 공익제보 목적의 개인정보 이용·제공을 가능하게 하고 개인정보보호법 제28조의5와 제28조의7을 개정해 가명정보에 대한 정보주체의 열람권 등을 보장하는 내용이다. 사단법인 오픈넷은 데이터3법의 통과 직후부터 제28조의7의 문제를 지적하고 민병덕 의원실과 함께 토론회를 주최하는 등 개정을 위해 노력해왔다. 이번 개정안은 그러한 노력의 결실로 다음 개인정보보호법 개정에 꼭 반영되어야 할 것이다.

개정안의 제안이유와 주요내용에 의하면 “현재 가명정보는 어떠한 경우에도 재식별화가 되지 않도록 하고 있어 정보주체가 열람권과 정정권 등을 행사하려고 할 때도 재식별화를 할 수가 없어 권리보장이 이루어지지 않는 점”이 있고, “가명정보의 재식별화가 완전히 불가능하다는 이유로 가명정보에 대해서는 정보주체의 열람권과 정정권을 제약한 것은 GDPR이 과학적 연구 등 사회적 가치가 있는 연구를 급부로 하여 정보주체의 열람권 정정권 등을 제약하려 한 것과 큰 차이”가 있다. 따라서 “통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 이용된 가명정보”에 대해서만 정보주체의 열람권 등을 제한하고, 다른 목적의 가명정보에 대해서는 정보주체의 권리를 행사할 수 있도록 제28조의7을 개정하면서, 정보주체의 권리 행사나 개인정보처리자의 의무를 이행하기 위한 경우에는 예외적으로 재식별화가 가능하도록 제28조의5를 개정하려는 것이다.

그리고 현행법 제18조 제2항은 개인정보를 목적 외의 용도로 이용하거나 제3자 제공을 할 수 있는 경우를 규정하고 있는데, GDPR과 달리 공익제보의 목적 외 이용 또는 제공을 허용하고 있지 않아 공익제보를 가로막고 있다. 이에 개정안은 “공익을 위하거나 개인정보처리자의 공무수행에 필요한 경우”와 “개인정보처리자 또는 제3자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우”를 추가하여 공익제보를 활성화하는 내용도 담고 있다. 이 또한 오픈넷에서 문제의식을 갖고 있었던 부분이다.

현행법에서 가명정보도 개인정보임에도 불구하고 가명정보에 대해서는 개인정보 열람권(제35조), 정정·삭제권(제36조), 처리거부권(제37조) 등 정보주체의 권리를 인정하지 않고 있는 것은 개인정보자기결정권에 대한 큰 침해이다. GDPR에서는 ‘과학적 연구, 통계, 공익적 기록(archiving) 등의 목적’을 위해서 이용된 경우에만 열람권, 정정권, 처리거부권 등이 제한되고 있고, 이를 위해 해석상 정보주체의 권리 보장 즉 열람, 정정, 처리거부 등을 위한 가명정보의 재식별화는 자유롭게 허용되고 있다. 가명처리가 되었다고 해서 과학적 연구 목적 등 이용에 대한 동의요건이 없어짐은 물론 모든 목적의 이용에 대한 열람, 정정, 삭제, 처리거부 등의 권리도 없어진다면 ‘가명정보도 개인정보’라는 GDPR의 대전제에 정면으로 반하는 것이다.  또한  개인정보처리자 입장에서는 가명정보의 재식별화가 예외없이 금지되어 있기 때문에 정보주체의 권리를 보장해주려고 해도 할 수 없는 상황이다. 실제로 이통사들은 동 조항들에 근거해 가명정보 처리에 관한 정보주체의 권리 행사를 거부하고 있고, 참여연대는 개인정보보호법 제28조의7에 대해 헌법소원을 제기했다.

문재인 정부의 4차 산업혁명 정책의 핵심에는 데이터 활용에 기반한 데이터 산업 육성이 있고, 데이터 관련 규제 완화 기조 하에 2020년 데이터3법의 개정이 급하게 이루어졌다. 하지만 그 과정에서 제28조의7과 같이 정보주체의 정보인권을 침해하는 내용이 들어오는 등 졸속입법의 한계가 드러났으며, 개인정보보호위원회는 데이터3법 개정이 이루어진지 1년도 안 되어 개인정보보호법 개정을 준비하고 있다. 민병덕 의원안의 내용이 반영된 개정이 이루어지도록 정부와 국회가 함께 노력할 것을 촉구한다.

2021년 4월 23일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

[관련글]
[보도자료] 오픈넷·민병덕 의원실, “가명정보 열람권 등 정보주체 권리 보장을 위한 토론회” 개최 (12/7, 유튜브 라이브) (2020.12.01.)
[논평] 오픈넷, EU에 대한민국 GDPR 적정성 평가시 가명정보특례조항에 대한 검토 요구 (2021.03.31.)
[입법정책의견] 개인정보보호위원회의 개인정보 보호법 개정안에 대한 의견 제출 (2021.02.17.)
[논평] 개인정보보호법 가명화 도입, 입법불비부터 선결되어야 GDPR 수준의 정보보호 할 수 있다. (2020.04.06.)