가명처리 가이드라인에 대한 의견

8월 5일부터 시행한 개정 개인정보보호법은 정보주체의 권리 보호 관점에서 많은 문제점을 가지고 있을 뿐만 아니라 해석상 모호한 규정들을 다수 포함하고 있음. 그동안 법적 규범력을 가지고 있지 않음에도 기업들의 요구에 따라 행정안전부가 가이드라인을 제작, 배포해 사실상 유권해석처럼 여겨져 온 것은 문제가 있었음. 특히 기업들은 법에서 정한 개인정보 보호 규정과 절차에 따라 관련 조치를 취하고 그에 따른 책임을 지면 됨에도, 행안부가 제작 배포한 가이드라인에 따랐다며 사실상 면책의 근거로 악용해 왔음. 2016년 <개인정보 비식별조치 가이드라인>과 같이 법령 위반의 소지가 있는 가이드라인이 발표될 경우, 오히려 사회적인 혼란을 확대할 가능성이 큼.

이번 개인정보보호법은 해석상 모호한 규정이 다수 있는 등 개정의 여지가 다분하고 따라서 시급히 개정이 필요한 법률에 근거해 급박하게 가이드라인을 제작하는 것은 문제가 있음. 더구나 이번 가이드라인은 정보주체의 권리를 오히려 제한하는 방향으로 법령을 해석하고 있어, 향후 기업들이 가이드라인에 따랐을 뿐이라며 면책사유로 주장할 우려가 큼. 이런 식의 가이드라인이라면 차라리 제정하지 않는 것이 바람직하며, 보호위원회는 “개인정보 보호 기본계획, 법령 및 제도 개선 등”의 역할을 수행해야 하는 설치 이유에 충실하게 현행 법령의 문제를 해결하는 것이 우선 순위가 되어야할 것임. 특히 다음과 같은 문제는 지적하지 않을 수 없음.

1. 개인정보를 지나치게 협소하게 규정하고 있음
개인정보는 특정 개인을 ‘알아볼 수 있는’ 정보인데, 그 주체가 누구인지가 문제가 됨. 관련하여 가이드라인은 ‘개인정보 처리자’의 관점에서 판단하는 것으로 규정하고 있음.

그러나 이처럼 개인정보 처리자 관점에서 개인정보인지 여부를 판단하게 된다면, 개인정보 처리자가 알아볼 수 없는 경우에는 개인정보가 아닌 것으로 규정이 되므로 개인정보보호법이 적용되지 않으며, 이에 따라 개인정보처리자는 해당 정보를 자유롭게 공개해도 무방할 것임. 이렇게 되면 개인 식별에 필요한 다른 정보를 가지고 있는 제3자가 공개된 정보를 통해 개인을 식별할 수 있게 될 위험이 있음.
이러한 해석은 개정 개인정보보호법의 취지와도 맞지 않음. 개정 개인정보보호법의 애초 발의안(인재근 의원 대표발의)은 개인정보처리자의 관점에서 개인정보 여부를 판단하였으나 국회를 통과한 개정 개인정보보호법은 해당 문구를 삭제하였음.

이러한 해석은 한국 정부가 현재 적정성 결정을 추진하고 있는 유럽연합의 개인정보보호법(GDPR)의 규정과도 상충함. 유럽연합의 경우 개인정보처리자 뿐만 아니라 제3자의 관점에서도 식별 가능한지 여부를 기준으로 하고 있음.

어떤 수단이 자연인을 식별하기 위해 사용될 합리적 가능성이 있는지 확인하기 위해서는, 처리 시점에 이용 가능한 기술과 기술 발전 을 감안하여 식별에 필요한 비용과 시간 등 모든 객관적 요소를 고려해야 한다.개인정보 자기결정권의 수호자가 되어야 할 개인정보보호위원회의 첫번째 가이드라인에서 이처럼 개인정보의 개념을 협소하게 규정하여 정보주체의 보호 범위를 제한하려고 하는 것은 납득하기 힘든 일임. 개인정보처리자 뿐만 아니라 제3자에 의해서도 식별 가능할 수 있다면 개인정보로 규정되어야 함.

2. 과학적 연구의 범위 모호함
가이드라인은 과학적 연구에 대해 여전히 포괄적으로 서술하고 있을 뿐, 어떤 연구가 과학적 연구에 포함되고 어떤 것이 되지 않는지 구체적으로 설명하고 있지 않음. 과학적 방법을 적용하지 않는 연구를 거의 상상할 수 없다는 점에서, 가이드라인에 따르면 ‘연구’라고 주장하는 모든 활동에 가명정보를 활용할 위험이 있음. 그렇게 되면 그나마 ‘통계작성, 과학적 연구, 공익적 기록보존 등’에 한정하여 동의없이 가명정보를 처리할 수 있도록 한 법률 규정의 취지조차 법적 구속력도 없는 가이드라인이 무력화할 수 있음.

GDPR의 경우 한국의 개인정보보호법과 달리 ‘과학적 연구(scientific research)’를 정의하고 있지 않음. GDPR이 과학적 연구를 학계(academy) 내의 연구로 제한하지 않고 있는 것은 사실이나, 그렇다고 ‘연구’라고 불리는 모든 활동으로 확대해석하고 있지 않음. 2020년 1월, 유럽개인정보보호감독관(EDPS)는 <개인정보보호와 과학적 연구에 대한 사전 의견서>에서는 “개인정보처리자가 단지 과학적 연구 목적이라고 주장하는 것으로는 충분하지 않다”, “대학의 연구뿐만 아니라 비영리 단체, 정부기관, 영리 기업도 과학적 연구를 수행할 수 있다. 공통된 전제는 과학적 연구가 전체 사회에 유용하고 과학적 지식은 증진하고 지원해야 할 공공재라는 것이다”라고 언급하고 있음. 더불어 “GDPR은 인간에 관한 연구를 규율하는, 오래동안 수용되어 온 윤리적이고 전문적인 규범의 존재를 전제로 한다”고 함.
영국의 개인정보감독기구인 ICO는 GDPR 해설을 위한 홈페이지에서 “과학적 연구는 시장 조사 혹은 고객만족도조사와 같은 상업적 연구 목적의 개인정보 처리에는 적용되지 않는다”고 언급하고 있음. 한국의 개인정보보호법에 따른 ‘과학적 연구’는 유럽 GDPR의 과학적 연구 범위와 다른 것인지, 다르다면 어떻게 다른 것인지 명확하게 제시할 필요가 있음.
개인정보보호법 및 가이드라인이 인정하고 있듯이 “가명정보도 개인정보에 해당”하며 정보주체의 동의없는 개인정보(가명정보)의 활용 및 제3자 제공은 정보주체의 권리를 일정하게 제한하는 것임. 따라서 그러한 제한을 합리화하기 위해서는 상응하는 공공의 이익이 존재해야 함. 그러나 시민사회가 비판해왔듯이, 사회적인 지식 기반 확대에 기여하는 학술 연구와는 달리 기업 내부적인 연구는 해당 기업의 사적 이익에 도움이 될 수는 있어도 공익적 가치는 없기 때문에, 과학적 연구의 범위를 기업 내부적인 연구로까지 확대하는 것은 부당함.
가이드라인의 예시는 의료정보를 포함한 개인정보를 일개 앱 제작업체에 제공할 수 있다고 해석하고 있음. 이는 개인의 의료정보를 목적 외로 활용한 것으로 의료법 위반일 뿐만 아니라, 이런 식으로 병원이나 공공기관이 보유한 의료정보가 민간기업에게 제공될 경우 정보주체에게 미칠 해악이 매우 큼. 또한 민감정보를 정보주체의 별도의 동의 혹은 법령의 근거가 있는 경우 외에 애초 수집 목적 외로 활용하는 것은 근거법인 개인정보보호법 위반 소지가 있음.
만일 개인정보보호법이 개인정보처리자가 스스로 과학적 연구라고 주장하는 모든 활동에 대해서 허용하고자 하는 것이 아니라면, 무엇이 과학적 연구이며, 무엇이 과학적 연구가 아닌지에 대한 보다 구체적인 기준과 사례를 제시할 필요가 있음.

3.가명정보의 파기
가명정보도 개인정보이고 모든 개인정보는 개인정보 처리원칙의 적용을 받아야 함. 개인정보 처리원칙은 모든 개인정보를 특정한 수집 목적에 필요한 한도 내에서 적법하게 처리하고 처리 목적이 다한 경우 파기하도록 하고 있음.
개인정보보호법 시행령 제29조의5에서, 2020년 3월 31일 입법예고된 시행령(안)에 있었던 “③ 개인정보처리자는 가명정보의 처리 목적이 달성되거나 가명정보 보유 기간이 경과한 때에는 그 가명정보를 지체 없이 파기하여야 한다.”는 조항을 삭제한 것은 가명정보를 영구적으로 활용할 수 있도록 한 것은 아닌지 매우 우려스럽지만, 비록 시행령에서 명시적으로 규정되어있지 않더라도 개인정보 보호원칙에 비추어 가명정보 역시 처리 목적이 달성된 경우 파기해야한다고 해석하는 것이 올바를 것임.
가이드라인에서 “개인정보처리자는 가명정보를 처리하고자 하는 경우 가명정보의 처리 목적, 처리 및 보유기간, 제3자 제공 시 제공받는 자, 추가정보의 이용 및 파기 등에 관한 사항을 작성하여 보관하여야 함”(가이드라인 28p)을 명시한 것은 긍정적이지만, 혼란을 방지하기 위해 목적 달성 후 가명정보 파기를 보다 명확하게 강조할 필요가 있음.

4. 정보주체의 권리
가이드라인은 가명처리 및 가명정보에 대한 정보주체의 권리와 관련하여 다음과 같이 짧게만 언급하고 있음. (가이드라인 30p) 개인정보보호위원회의 가이드라인에서 이런 식으로 정보주체의 권리에 대해 신경쓰고 있지 않다는 것은 매우 실망스러움.

이미 가명처리된 정보를 통해서는 정보주체를 식별하기 힘들다고 하더라도, 개인정보처리자는 누구의 개인정보를 대상으로 가명처리를 하는지 쉽게 알 수 있음. 따라서 최소한 가명처리와 관련한 정보주체의 권리가 어떻게 보장되는지 보다 구체적으로 설명할 필요가 있음. 예를 들어, 정보주체는 자신의 개인정보가 어떠한 목적으로 가명처리되었는지, 가명처리된 후에 누구에게 제공되었는지, 자신의 개인정보를 가명처리해서 활용하는 것을 거부할 권리가 있는지 등에 대해 알 필요가 있으며, 만일 정보주체의 권리를 제한한다면 그 이유가 설득력있게 제시될 필요가 있음.

2020년 8월 27일

경제정의실천시민연합, 민주사회를 위한 변호사모임 디지털정보위원회,서울YMCA 시청자시민운동본부, 전국민주노동조합총연맹, 진보네트워크센터, 참여연대

문의 : 경실련 정책국(02-766-5624)

[개인정보보호위원회 1주년 논평]

개인정보보호위,

정보인권의 수호자로서 본연의 임무에 집중하라

가명정보의 결합과 활용에만 신경쓰는 보호위, 정보주체의 권리 보호는 방치

보호위, 법에서 위임한 대로 자신의 활동 방향을 재설정해야

8월 5일, 개인정보보호위원회(이하 보호위)가 출범한 지 1주년이 되었다. 그동안 조직 체계와 개인정보 보호지침들을 정비하고, 법을 위반한 기관이나 기업에 제재처분을 내렸으며, EU와 적정성 결정을 위한 협상을 진행하고, 개인정보보호법 2차 개정을 준비하는 등 나름대로 바쁜 1년을 보냈을 것이다. 이제 1년 된 조직의 성과를 따지는 것은 성급한 일일 수도 있다. 그러나 보호위가 제대로 된 방향을 설정하고 있는지는 반드시 짚어볼 필요가 있다. 보호위가 법에서 위임한 임무와 역할에 충실한 사업들을 해오고 있는지, 그리고 한국 사회의 개인정보보호라는 핵심적인 임무를 제대로 수행하고 있는가를 보면 좋은 점수를 주기는 어렵다.

안타깝게도 보호위가 지난 1년 동안 수행해 온 핵심 사업 중 하나는 ‘가명정보 결합과 활용의 활성화’이다. 이는 보호위 홈페이지의 공지사항과 보도자료만 보더라도 쉽게 알 수 있다. 출범하자마자 ‘가명정보의 결합 및 반출 등에 관한 고시’를 의결하고 결합전문기관 지정을 추진하였으며 최근에는 가명정보 결합·활용 성과 및 규제혁신 보고회를 개최하기도 했다. 과기정통부 행사였으면 차라리 그러려니 했을 것이다. 이미 여러 부처에서 데이터 이용 활성화에 앞다투어 나서고 있는 판이다. 과연 이것이 한정된 자원을 갖고 있는 보호위의 우선 순위 사업이어야만 하는지 개탄스러울 따름이다.

반면, 한국 사회에서 특히 정보 인권이 취약한 지점들, 그래서 독립된 개인정보 감독기구로서 보호위가 앞장서 해결해 주기를 바라던 문제들은 거의 다뤄지지 않았다.

공공부문과 주요 민간부문에서 여전히 뿌리 깊은 주민등록번호를 기반으로 한 시스템, 그리고 주민등록번호와 연동된 연계정보(CI)를 통해 확대되고 있는 실명기반 온라인 환경은 한국 사회에서 개인정보 자기결정권과 프라이버시권을 위협하는 고유한 문제임에도 불구하고 보호위는 이에 대한 관심조차 보이지 않았다. 이용자가 가입한 사이트 가입 내역을 알려주는 서비스가 무려 ‘e프라이버시 클린서비스’라는 이름으로 부끄러운지도 모르고 보호위 홈페이지에 링크되어 있다.

거대 인터넷 사업자들조차 기본적인 정보주체의 권리를 보장하고 있지 않는 것이 현실임에도, 보호위가 정보주체의 권리가 어느 정도 보장되고 있는지 실태조사라도 한 적이 있는가. 더불어 개인정보 침해신고센터는 권리구제기관으로서 제 역할을 하고 있는가. 개보위에 대한 감시와 비판이 주된 역할인 시민단체 활동가의 침해신고조차 제대로 처리해주지 못하는데, 과연 일반 정보주체들의 개인정보 침해 문제를 침해신고센터가 잘 해결해줄 수 있을거라 기대할 수 있을까 의문이다.

정부로부터 독립적인 기구라면서 국가정보원의 국민 사찰에 대해서 보호위는 제대로 조사하고 있는가. EU 적정성 결정을 추진하면서, 보호위가 국가정보원에 대해서도 감독 권한이 있다고 떳떳하게 얘기하려면, 당장 지금 문제가 되고 있는 불법적인 국민사찰 문제부터 팔을 걷어붙이고 나서야 하지 않는가.

노동자 개인정보 문제, 노동 감시의 문제도 특히 방치되고 있는 이슈 중 하나다. 불평등한 노사간의 권력 관계에서 정보주체인 노동자들이 자신의 권리를 행사할 수 있도록 보호위는 제 역할을 하고 있는가. 여러 개인정보 보호지침들이 정비되고 있지만, 2017년에 국가인권위원회가 제안한 <개인정보보호 가이드라인(인사, 노무편)>은 우선 순위에서 여전히 밀려나 있다.

소위 빅테크의 독점과 개인정보 남용 문제는 현재 정보자본주의의 핵심적 문제다. 전 세계 개인정보 감독기구 역시 빅테크의 개인정보 침해 문제에 적극적으로 대응하고 있다. 보호위도 페이스북의 개인정보 침해를 다루긴 했지만, 이는 기존 방통위에서 시작한 사안을 매듭지은 것일 뿐이다. 과연 보호위는 국내외 빅테크의 개인정보 남용에 대응하기 위해 어떠한 준비를 하고 있는가.

이러한 문제들 하나하나가 쉽지 않은 것들이다. 그러나 개인정보 감독기구가 감당하지 않으면 안 되는 문제이다. 개인정보보호법 제정 이전인 2000년대부터 시민사회는 독립적인 개인정보 감독기구의 설립을 주장해왔고, 그렇기에 비록 ‘데이터 3법’ 추진의 맥락 속에서 탄생하기는 했으나, 보호위에 대한 시민사회의 기대는 적지 않았다. 1년밖에 되지 않은 보호위에 많은 성과를 바란 것은 아니지만, 여전히 보호위의 행보는 제 갈 길을 잃은 듯하여 매우 실망스럽다. 보호위 설립 1년을 맞아, 보호위가 ‘정보인권의 수호자’로서 자신의 임무를 절실하게 되새길 것을 다시 한번 촉구한다. 끝.

2021년 08월 05일

경제정의실천시민연합, 무상의료운동본부, 민주사회를 위한 변호사모임 디지털정보위원회, 서울YMCA 시청자시민운동본부, 전국민주노동조합총연맹, 진보네트워크센터, 참여연대, 한국소비자연맹

첨부파일 : 20210805_개인정보보호위원회 1주년 공동논평.hwp

첨부파일 : 20210805_개인정보보호위원회 1주년 공동논평.pdf

 
문의 : 경실련 정책국(02-766-5624)

“개인정보3법 통과 이대로 안된다.”

– 바른미래당 채이배 국회의원, 시민사회노동건강단체 긴급 기자회견 개최

– 일시 장소 : 2020.1.9.(목) 오전 9:00, 국회 정론관

1. 취지와 목적

● 국회가 패스트트랙법안 중 검경수사권 조정과 관련된 법안들을 처리하기 위해 본회의를 9일 개최하면서 민생법안들도 함께 처리하겠다고 함. 이 민생법안들과 함께 법제사법위원회에 계류되어 있는 개인정보3법(이른바 데이터3법)도 통과시키겠다고 알려지고 있음.

● 그동안 정보인권을 현행보다도 대폭 후퇴시키는 개인정보보호법·정보통신망법·신용정보법 개정안 등 개인정보3법안에 반대해 온 시민사회노동보건소비자운동단체들은 보호조치도 없이 오로지 정보활용에만 초점이 맞춰져 있는 입법에 강력한 우려의 의견을 제시함

● 이대로 개인정보 3법이 통과된다면 지금과는 비교도 할 수 없는 규모와 유형의 데이터범죄, 정보유출 등의 피해가국민들에게 돌아올 것임.

● 국회의 입법권은 국민을 위해 사용되어야 하는데 기업의 이윤을 위해 충분한 안전장치도 없이 정보주체의 권리를 일방적으로 희생할 것을 요구하는 것은 국민의 대표기관이 할 일이 아님.

● 이에 시민사회노동건강소비자운동단체들은 국회정론관에서 개인정보3법안의 처리 중단을 요구하고 최소한의 보호조치를 마련한 후 다시 논의할 것을 요구하는 긴급기자회견을 아래와 같이 개최함.

● 이번 기자회견은 개인정보3법안이 정보활용과 정보인권의 조화를 이루는 방향으로 개정되어야 한다고 주장하며 입법활동을 해 온 바른미래당 채이배 국회의원의 소개로 진행됨.

2. 개요

● 제목 : “개인정보 3법 통과 이대로는 안 된다.”

● 일시 장소 : 2020. 1 9(목) 9시 / 국회 정론관

● 주최 : 국회의원 채이배·건강과 대안·경제정의실천시민연합·금융정의연대 보건의료단체연합 무상의료운동본부·민변 디지털정보위원회 민주노총 사무금융노조·서울YMCA·소비자시민모임·진보네트워크센터 ·참여연대·한국소비자연맹·함께하는시민행동

● 발언
-소비자시민모임 윤명 사무총장
한국소비자연맹 정지연 사무총장
경실련 김보라미 소비자정의센터 운영위원, 윤철한 정책실장
민주노총 사무금융노조 이재진 위원장, 백정현 교육국장
참여연대 한상희 정보인권사업단장, 이경민 간사, 이지은 간사
보건의료단체연합 진전한 정책국장
진보네트워크센터 정선화 간사
공공운수노조 방은숙 의료연대본부 조직국장

● 문의 : 윤철한 경실련 정책실장 010-3459-1109, 이지은 참여연대 간사 010-7365-2037
기자회견문은 첨부파일 참고.

200109_기자회견자료_데이터3법 국회처리 반대

최악의 금융개인정보 유출사고, 즉각 소비자 개인정보 보호를 위한 조치를 취하라!

– 최악의 유출사태에도 불구하고 회피로 일관하고 있는 금융당국

– 조속히 피해 사실을 확인하고 정보주체에게 유출 사실을 고지하라.

– 개인정보 유출 기업에 책임을 묻고 피해자에게 보상하라.

– 정보주체 동의없는 무분별한 개인정보 활용을 중단하라.

1. 사상 최악의 금융개인정보 유출사고가 발생했다. 언론보도에 따르면, 현금자동입출금기(ATM), 카드가맹점 포스단말기, 멤버십가맹점 서버 등 해킹을 통해 1.5테라바이트(TB) 분량의 금융개인정보가 유출되었다고 한다. 유출된 개인정보에는 카드 번호, 유효 기간, 비밀번호 암호화값 등 신용·체크카드 정보, 은행계좌번화, 주민등록번호, 휴대전화번호 등이 포함되어 있다. 해당 언론에 따르면 데이터 용량으로 추정하였을 때 약 412억건 규모라고 하지만, 문제는 수사기관이나 금융당국조차 정확한 피해 규모와 상황도 파악하지 못하고 있다는 것이다.
2. 개인정보 유출이 발생하면 가능한 빨리 피해 사실을 파악하고 정보주체에게 이 사실을 통지하는 등 소비자 개인정보 보호를 위한 조치를 취해야 한다. 그런데 수사기관과 금융당국은 조사가 시작된지 3개월이 되어감에도 불구하고 서로 책임을 미룬채 아직도 정확한 피해 사실조차 파악하지 못하고 있다고 한다. 지금 이 순간에도 소비자들은 자신의 개인정보가 유출되었는지도 모르는 채 금융 피해에 노출되고 있을지 모른다.

3. 금융위원회와 금융감독원 등 금융당국은 금융개인정보의 상업적 활용에는 그렇게 눈에 불을 켜고 적극적이더니 정작 소비자 개인정보 보호는 외면하는 것인가. 지난 신용정보보호법의 개정 과정에서 금융위원회는 2014년 대량 금융개인정보 유출 이후 반성적 차원에서 강화한 규제를 특별한 사정변경 없이 대폭 완화하고 영리목적의 금융개인정보 수집, 활용 범위를 확대한 바 있다. 마치 금융 보안 환경이 개선된 것처럼 떠들었던 금융위원회가 무색하게 이번 사태는 국내 보안 환경이 2014년과 크게 달라지지 않았음을 보여준다. 이미 전 국민의 주민등록번호가 유출되어 있는 상황에서 금융개인정보의 대량유출과 기업들이 가명처리해서 공유하는 개인정보들이 결합했을 때 정보주체에게 얼마나 많은 피해를 야기하게될지 가늠하기 힘들다. 금융 당국은 현재까지 발생한 피해가 없다고 하지만, 내게 어떠한 금융 피해가 발생한다고 한들 언제 유출된 개인정보로 인한 피해인지 어떻게 알 수 있겠는가.

4. 이미 개인정보가 유출된 지 많은 시간이 지났기 때문에, 수사·금융 당국은 정확한 유출 경위와 내용, 예상되는 위험 등을 파악하고 해당 정보주체에게 유출 사실을 고지해주는 것이 급선무이다. 나아가 금융 당국은 사고의 책임 소재를 파악하여 개인정보 유출 기업에 책임을 묻고 재발을 방지할 수 있는 조치를 취해야 할 것이다. 또한 자신의 개인정보가 유출된 소비자들의 추가 피해가 없는지 확인하고 적절한 손해배상이 이루어질 수 있도록 해야한다. 이와 더불어 정보주체의 동의없는 개인정보의 무분별한 공유와 활용을 촉진하는 정책 추진을 즉각 중단할 것을 촉구한다!
우리 단체들은 수사가 조속하게 이루어지고 피해자가 적절한 보상을 받을 수 있도록 끝까지 책임을 물을 것이다.

2020년 6월 15일
경실련 소비자정의센터, 무상의료운동본부, 민주사회를 위한 변호사모임 디지털정보위원회, 사무금융노동조합연맹, 소비자시민모임, 전국민주노동조합총연맹, 진보네트워크센터, 참여연대, 한국소비자연맹

[성명] 최악의 금융개인정보 유출사고, 즉각 소비자 개인정보 보호를 위한 조치를 취하라!

데이터 바이러스 주의보,

8월 5일부터 ‘개인정보 도둑법’이 시행됩니다

우리의 개인정보에 애도를 표합니다

8월 5일, 새로운 개인정보 보호법이 시행됩니다. 이름과 달리 개인정보에 대한 약탈을 허용하는 법입니다. 아무리 ‘데이터 3법’이란 미명으로 치장해도 그 데이터가 우리의 개인정보임은 변함이 없습니다. 개인정보 도둑법 입법 과정에서 시민사회는 이 법으로 인해 기업들 사이에 개인정보가 판매, 공유, 결합될 것에 대해 우려한 바 있습니다. 시행령 제정 과정은 이러한 시민사회의 우려가 기우가 아니었음을 확인해주었습니다.

▶ 가명정보를 ‘과학적 연구’ 목적으로 활용한다고 하지만 해당 목적으로 활용하는지 확인할 수 있는 아무런 장치도 마련되지 않았습니다. 해당 분야의 윤리 규범을 준수해야 하고 동료 평가(peer review)를 하며 그 결과물이 한 사회의 지식 기반 확대에 기여하는 학술 연구가 아니라, 연구라고 주장하는 기업의 모든 활동에 가명정보가 활용되어도 통제할 수 없게 되었습니다. ▶ 기업들이 고객정보를 가명처리해서 팔아도 이를 저지할 수 있는 수단 역시 마련되지 않았습니다. 가명정보 판매를 규제하겠다는 행정안전부의 변명은 거짓말이었습니다. ▶ 기업들의 가명정보 결합을 허용하는 것도 모자라, 그나마 결합된 가명정보를 안전시설 내에서 접근하도록 한 조항을 폐기하고, 결국 결합 정보의 반출을 허용했습니다. 두 기업들이 고객정보를 결합해서 공유할 수 있도록 허용한 것입니다. 이는 지난 박근혜 정부가 제정한 2016년 <개인정보 비식별조치 가이드라인>에서부터 비판받아 온 문제점입니다. 문재인 정부가 박근혜 정부와 다른 점이 도대체 무엇인가요. ▶ 가명정보를 목적 달성 후에 삭제하도록 한 시행령 규정도 기업들의 요구를 받아들여 폐기했습니다. 가명정보를 무한정 보유할 수 있도록 하겠다는 것인가요? ▶ 수집한 개인정보를 목적 외로 활용할 수 있는 범위가 대폭 확대되었습니다. 목적 외 활용은 정보주체의 합리적인 기대를 벗어나지 않는 매우 제한적인 범위 내에서 이루어져야 하지만, 정보주체의 동의 없는 추가 이용의 범위를 확대해 달라는 기업들의 요구가 전적으로 수용된 것입니다.

통합 개인정보 보호위원회, 기본권의 수호자 역할해야

그나마 기존에 행정안전부, 방송통신위원회가 가지고 있던 개인정보 감독권한을 이관하여, 통합 개인정보보호위원회(이하 보호위원회)를 설립한 것은 바람직한 방향입니다. 보호위원회가 독립적인 감독기구로서 제 역할을 한다면 말입니다. 개인정보처리자인 기업들과 공공기관의 개인정보 처리를 감독하기 위해서는 상업적인 이해관계는 물론 정부 권력으로부터도 독립적이어야 할 것입니다.

그러나 이번 보호위원회의 인사를 보면 과연 보호위원회가 독립적으로 제 역할을 할 수 있을지 우려됩니다. 행정안전부와 방송통신위원회 출신인 현직 고위 관료 두 분이 위원장과 부위원장을 맡았는데 과연 정부로부터 독립적으로 활동할 수 있을까요? 또한 보호위원회 위원장으로 내정된 윤종인 행안부 차관이 지금도 과거 언론 인터뷰에서처럼 개인정보 도둑법을 합리화하고, 이 법이 유럽연합 개인정보보호법(GDPR)과 유사한 수준이라고 생각하고 있다면 큰일이 아닐 수 없습니다.

보호위원회는 정부의 데이터 정책에 종속되어서는 안됩니다. 오히려 인권을 침해하지 않을 수 있도록 방향을 제시해야 합니다. 개인정보 처리와 활용의 균형은 개인정보의 활용을 위해 기본권을 타협하는 것이 아니기 때문입니다. 변화하는 기술 환경 속에서 보호위원회가 ‘기본권의 수호자’로서 개인정보 보호규범을 제대로 수립하고 이행을 감독한다면, 그 규범에 따라 활용도 제대로 이루어질 수 있을 것입니다.

정보인권을 위한 활동은 계속됩니다

비록 개인정보 도둑법이 시행되지만, 우리 단체들은 정보주체의 권리 보호를 위해 계속 싸워나갈 것입니다.

첫째, 현행법의 문제를 알리고 정보주체 스스로의 권리 인식을 위한 캠페인을 벌여나갈 것입니다. 정보주체는 기업들이 내 개인정보를 가명처리하는지, 어떤 목적으로 누구에게 제공하는지 알 권리가 있습니다. 또한, 정보주체가 원하지 않을 경우, 개인정보 처리의 정지를 요구할 권리가 있습니다. 우리 단체들은 이용자들이 자신의 정당한 권리를 행사할 수 있도록 돕고, 정보주체의 권리를 제대로 보장하지 않는 정부와 ‘나쁜 기업’들에 맞서 싸울 것입니다.

둘째, 의료법상 진료기록을 환자 동의 없이 연구 목적 등으로 가명화하여 활용하는 것에 대한 고발, 정보주체의 정당한 권리를 보장하지 않은 채 무분별하게 개인정보를 처리하는 기업들에 대한 민사소송 및 고발, 개인정보보호법의 독소조항에 대한 헌법소원심판청구 등 모든 사법적 구제수단을 통해 이 법에 대해 문제 제기할 예정입니다.

셋째, 결국 개인정보 보호법과 신용정보 보호법이 올바로 개정될 수 있도록 노력할 것입니다. 충분한 논의도 없이 법이 개정되면서, 개인정보 보호법과 기존 정보통신망법 조항의 모순점, 신용정보 보호법과의 적용 범위 충돌의 문제 등이 벌써 불거지고 있습니다. 개인정보 도둑법이 규정하는 독소 조항은 당연히 개정되어야 하고, 개인정보 영향평가나 개인정보 기본설계와 같이 개인정보처리자의 책임성 및 개인정보 보호를 강화하기 위한 조항도 개정 및 도입되어야 합니다. 보호위원회와 국회는 개인정보 보호법을 국제적인 수준으로 개선하기 위한 작업을 즉시 시작해야 합니다.

넷째, 보호위원회가 기본권의 수호자로서, 독립적인 감독기구로서 제 역할을 할 수 있도록 시민사회는 보호위원회의 감시자가 될 것입니다. 정보주체의 권리 보호를 위한 활동에는 적극 협력하겠지만, 자신의 역할을 망각하고 개인정보의 남용을 오히려 합리화하는 역할을 한다면 신랄하게 비판할 것입니다.

우리는 데이터 산업 발전을 명분으로 정보인권을 도외시해온 문재인 정부에 유감을 표합니다. 문재인 정부는 정보주체의 보호를 도외시한 정책의 추진이 결코 평탄하게 갈 수 없고, 오히려 기술과 산업의 발전을 지체시킬 수 있다는 점을 분명히 인식해야 할 것입니다.

2020년 8월 4일

건강권실현을 위한 보건의료단체연합 (건강사회를 위한 약사회, 건강사회를 위한 치과의사회, 노동건강연대, 인도주의실천의사협의회, 참의료실현청년한의사회), 경제정의실천시민연합, 무상의료운동본부, 민주사회를 위한 변호사모임 디지털정보위원회, 서울YMCA 시청자시민운동본부, 연구공동체 건강과대안, 전국민주노동조합총연맹, 정보인권연구소, 진보네트워크센터, 참여연대

첨부파일 : 20200804_공동성명_데이터바이러스주의보,8월5일부터개인정보도둑법이시행됩니다.hwp

첨부파일 : 20200804_공동성명_데이터바이러스주의보,8월5일부터개인정보도둑법이시행됩니다.pdf

문의 : 경실련 정책국(02-766-5624)