온 국민의 QR코드 정보는 언제, 어떻게 폐기될까?
[코로나19 시대의 정보 ①] 감염병 대응 과정에서 '정보인권'을 돌아보다
전 세계로 확산된 코로나 19는 인류의 생명과 안전을 위협하며 사회 모든 영역에 이전과는 다른 방식으로의 전환을 요구하고 있다. 특히 재난 정보전달에서부터 포스트 코로나 시대의 산업정책에 이르기까지 이른바 코로나19시대는 정보의 영역에서 많은 변화와 새로운 쟁점들을 예고하고 있다.
이에 정보공개센터(www.opengirok.or.kr)는 코로나 시대의 정보인권, 데이터 정책, 정보접근권을 주제로 연속 토론회를 개최해 우리 사회 정보정책의 현황과 과제를 짚어보고자 한다.
이러한 고민의 첫 번째로 지난 11월 20일 '투명사회를 위한 정보공개센터'와 '진보네트워크센터'는 '코로나19 대응과정에서 정보공개 및 정보인권 진단을 위한 토론회'를 온라인으로 개최했다. 코로나19의 위협이 본격화 되면서 방역 대책의 일환으로 확진자의 동선공개가 실시되었는데, 확진자 동선공개가 프라이버시를 침해하고 2차적 피해를 낳는다는 비판이 일어 정부와 지자체의 확진자 동선공개 방침이 여러번 바뀌기도 했다.
본 토론회에서는 감염병 대응 과정에서 어떤 지침에 따라 어떤 정보가 당국에 수집 및 공개되고 있는지, 이 과정에서 개인정보침해가 어떻게 발생하고, 이를 방지하기 위한 노력은 어떻게 이루어지고 있는지 그리고 방역 및 보건정책의 관점에서는 개인정보활용의 효과를 어떻게 평가할 수 있을지 함께 고민하는 자리를 가졌다.
토론회에서는 총 네 명의 패널이 각자 '감염병 대응에서개인정보 수집 현황과 정보인권'(희우 진보네트워크센터 활동가), '감염병 대응에서 개인정보보호위원회의 활동과역할'(이병남 개인정보보호위원회 개인정보보호정책과 과장), '감염병 관련정보공개의 현황과 논란'(김조은 정보공개센터 활동가), '방역의 윤리에서개인정보활용과 효과성, 코로나19시대 정보인권'(최은경 경북대 의대의학교육센터 교수)에 대해 발제 한 후 상호 질문 및 토론을 이어갔다.
감염병 대응에서개인정보 수집 현황과 정보인권
희우 활동가는 K-방역이 현재 거두고 있는 성과가 감염병 대응에 대한 효과나 인권 및 민주적 가치를 제대로 고려하고 있는 선상에서 일궈낸 성과인지 되물었다.
현재 K-방역모델은 '1단계 검사/확진, 2단계 역학/추적, 3단계 격리/치료'의 과정으로 이루어져 있으며, 이 방역모델은 감염병 환자에 대한 역학조사를 통해 접촉자를 파악하고, 해당 접촉자를 대상으로 '적극적으로' 진단검사를 시행하는 방식이다.
이 모델이 효과적으로 작동하기 위해선 반드시 한 개인의 건강정보, 위치정보, 치안과 인적관계에 민감한 개인정보의 수집과 처리가 전제된다. 즉, K-방역모델은 개인정보 침해 논란을 야기시킬 수 밖에 없는 방법이다.
사실 감염병 위기 시 개인정보의 처리 방법에 대해서는 유엔을 포함한 국제기구나 각국의 개인정보 감독기구, 인권 단체 등에서 세운 가이드라인이 존재한다. 가이드 라인의 다섯가지 원칙에 따르면 ▲개인정보 처리는반드시 법에 근거해야 한다 ▲개인정보 처리는 공공보건 목적에 필요하고 피해에 비례하는 수준이어야 한다 ▲ 개인정보 처리는기간이 한정되어야 하고 필요한 만큼만 지속되어야 한다 ▲침해를 최소화하는 방식으로 이루어져야 한다 ▲독립기구에의한 감독을 포함하여 인권 침해에 대비한 책임성과 안전장치를 포함해야 한다.
그러나 현재 한국의 방역하에서는 "공공 위생등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 경우에는 개인 정보보호법을 배제한다"라는 '감염병의 예방및 관리에 관한 법률'의 조항을 우선 적용하기에, 개인정보보호법에서 다루는 원칙들이 전혀 적용될 수 없는 상황이다.
현재 한국에서는 성명, 주민등록번호, 주소, 전화번호 등 인적사항뿐만 아니라 진료기록, 출입국관리기록, 이동경로 파악을 위한 정보, 신용카드나교통카드 사용 내역, CCTV를 통해 수집된 영상정보 등의 개인정보를 수집할 수 있다.
그런데 이에 더해 코로나19 사태가 장기화되면서, 코로나19역학조사 지원시스템이 통신사 및 카드사정보수집을 연계시키고, 출입국 기록 및 QR코드 출입자 정보와 연계시키는 방식으로 보완되어 이례없는 개인들의 정보가 당국에 수집되고 있다.
특히 이태원클럽 발 대규모 감염 사태가 발생했을 때 4월 24일부터 5월 6일까지 이태원 주변 기지국 접속 정보를 통해 1만 명 가까운 사람들의 정보를 수집했는데, 당시 정보 수집은 법원의 허가도 없이 보건당국과 지자체 장의 요청만으로, 개인에 대한 동의 없이 이루어졌다.
당국이 개인정보를 수집하는 데 있어 큰 문제는, 그 수집한 정보의 질과 양 뿐만 아니라 수집된 개인정보가 언제 파기될 것인가에 대한 규정이 부재한다는 부분이다. 개인정보를 위와 같은 방식으로 수집해야 한다면 그 개인정보를 다루는 방식에 대한 논의도 이루어져야 한다.
만약 역학조사를 위한 개인정보가 파기되지 않고 보관된다면, 의료적인 목적이나 연구가 필요해서 개인정보 보관이 필요한 것인지(즉 보관 목적이 무엇인지), 보관 기간이 어느 정도인지 등에 대한 명확한 법적 조항이나 실제적인 규칙 마련이 필요한 시점이다. 특히 확진자 동선을 공개하는 방식이 개인에 대한 혐오를 조장할 수 있다는 점에 대해 중앙방역대책본부에서도 인지한 바 있듯, 이 문제점을 개선할 동선 공개 방식과 그것을 감시할 기구가 마련되어야 할 것이다.
희우 활동가는 다양한 사례(이태원 클럽발 감염 사태, 자가격리자 감시 어플, 안심밴드-자가격리자안전보호앱과 연동, QR코드를 활용한 전자명부시스템의 의무화)를 들어 현 정부가 지금껏 방역 대책을 이유로 개인정보를 수집해 왔다면, 앞으로는 방역 대책을 세우는 것만큼이나 개인 정보 처리 원칙을 세우고 집행하는 것에 대한 중대성 또한인지 할 것을 촉구했다.
집행 기구 외부에 있는 독립적인 기구에서 보건 당국이 개인 정보를 어떻게 수집하고 처리하는지에 대한 감독이 필요하다는 의견도 제시하였다.
감염병 대응에서 개인정보보호위원회의 활동과 역할
이병남 개인정보보호위원회 개인정보보호정책과 과장은 감염병 대응 과정에서 독립 중앙행정기관인 개인정보보호위원회가 어떤 활동과 역할을 해야 할 것인가를 검토하고 관련 과제를 제시했다.
현 정부의 데이터 공유 및 IT 인프라를 활용한 코로나19 확산방지 및 예방 성과는 국내외에서 고평가 받아온 바이다. 그러나 '개인정보 처리 기준이 부재하다는 점'과 '무분별한 감시와 통제 우려를 방지하지 못한다는 점'때문에 개인정보의 안전한 활용 기반 마련 및 부처 간 협력 강화에 대한 요구가 더불어 대두되고 있는 시점이기도 하다.
주지하다시피, 개인정보취급자는 개인정보보호법에 따라 개인정보를 안전하게 처리해야 하지만, 코로나 대응 초기에는 개인정보의 유출 혹은 노출 사례가 빈번하였다.
감염병 대응을 위해 마련된 개인정보 수집 시스템에 대해서 시스템의 당초 이용 목적과 그 부합성, 권한 관리 및 개인정보 파기 등의 이슈가 있으므로 시스템의 안정성 강화를 위한 체계적 개편이 필요한 상황이다.(확진자 동선 공개의 기준, 공공기관 간의 정보 공유의 근거, 58조 제1항 3호에 대한 보호법 적용 제외에 대한 기준 등 에 대한 논의)
이는 독자적으로 한 기관이 선도해서 해 나가기 어려운 일이기도 하다. 따라서 부처 간 협력 체계를 강화하여 개인정보의 적법하고 안전한 처리 및 선제적 대응을 위해 대외적 신뢰성 확보가 요청된다. 또한 국내에서의 부처 간 협력 뿐 아니라 국제 협력도 이루어져야 하는 상황이기도 하다. 감염병 대응 시 대외적 신뢰성을 확보하고 외국인 정보(입국자)의 안전한 개인정보 처리 및 감염 확산 방지를 위해 국가 간 이슈를 공유하는 등 협력 체계를 강화할 필요가 있다.
코로나 대응 초기 해외 언론에서는 한국식 개인정보 수집과 이용 방식에 대해 지나치게 프라이버시를 침해하고 있다는 우려를 제기하였다. 그러나 코로나19 상황이 지속되면서 유럽권 국가를 제외한 싱가포르나 이스라엘 등 많은 국가가 신속하고 효과적인 대응을 위해 한국과 유사한 방식으로 개인정보를 수집하고 처리하기 시작했다.
해외 개인정보보호 감독기구 및 단체는 감염병 대응 등 공중 보건을 위한 개인정보 수집이 불가피하지만, 프라이버시 보호를 위해 개인정보 처리에 대한 적법한 근거가 마련되어야 하고, 그 과정이 투명해야 하며, 또 공익과 프라이버시 침해에 대한 비례성이 고려가 되어야 함을 강조하고 있다.
또한 개인정보가 이용될 때에는 반드시 감독기구가 그 이용에 대해 감시해야 하며, 감염병 상황이 종료되었을 때 개인정보가 폐기되어야 함도 강력하게 권고하고 있는 상황이다.
이병남 과장은 감염병 예방 관련 개인정보보호의 주요 원칙을 되짚으며 각 소관부처와 관련 지어 앞으로 개선하고 강화해야 할 검토 과제를 제시하였다.
먼저 감염병 예방 관련 개인정보보호 주요 원칙은 첫째 개인정보 처리의 적법성 원칙(명확한 처리 근거), 둘째 개인정보 처리의 투명성 원칙(정보공개 및 권리 보장), 셋째 비례성 원칙에 따른 개인정보의 이용 목적 제한(처리 최소화), 넷째 개인정보의 안전한 관리, 처리 원칙(기술적, 관리적 조치)다.
위와 같은 원칙을 지키기 위해 정부가 수행해야 할 첫 번째 과제는 '개인정보 처리 근거 및 확진자 동선 공개 개선'으로, 보호법상 예외 규정은 불가피한 경우에만 한시적으로 이용할 수 있도록 구체적인 이용 기준 및 목적 제한 등 세부 기준 마련이 요청된다.
예를 들어 특정인 중심의 공개 대신 장소와 시간을 중심으로 공개하는 방식으로 전환하여 특정인 식별 가능성을 최소화할 수 있도록 하는 등의 고민이 필요할 것이다. 또한 법령 상 처리 근거 및 상세 기준을 점검할 때 심의와 의결을 반드시 거쳐 보완해야 한다.
두 번째 과제는 '개인정보의 오 ·남용 예방 및 관리 ·감독 강화'로 이는 보호위와 관계 기관이 소관해야 할 사안이다. 개인정보보호 관련 권리 구제를 강화하고, 개인정보 오남용 예방을 위한 안전 조치 및 관리, 점검을 강화해야 한다.
예를 들어 감염병 대응 과정에서 개인정보 오남용 등 권익 침해 발생 시 상담 및 분쟁조정신청 지원 등 구제 강화책(보호위)을 대비할 필요가 있다. 또한 개인정보취급자(업무 담당 직원)대상 개인정보보호 교육을 확대 실시하고, 사용자 계정 공유 금지, 개인정보 접근 권한 최소화 부여 및 관리, 개인정보 조회(접속) 기록 보관 및 수시 점검 체계 유지 등의 규정을 세울 필요가 있다.
세 번째 과제는 '감염병의 효율적 ·안전한 대응을 위한 정보시스템 개선'으로 이는 복지부·행안부·국토부·심평원 등에서 소관해야 할 사안이다. 감염병 대응을 위한 기관 간 정보 공유 시 안전한 연계 방식으로 개선해야 할 것이며, 상황 종료 후 불필요한 개인정보는 파기를 실시할 수 있도록 시스템을 수정해야 한다.
네 번째 과제는 '개인정보 보호 및 이용의 균형을 모색'하는 것이다. 공익 목적의 개인정보 활용에 대한 사회적 합의를 이끌어내기 위해 추후 법령 개정 및 정책 개선에 대한 공청회 등 다양한 의견을 수렴할 수 있는 청구를 열어 공익목적의 개인정보 이용에 대한 신뢰성 확보가 필요하다.
다섯째 과제는 '개인정보 처리 ·보호 원칙 및 국민이 지켜야 할 수칙 개발'이다. 소관 부처와 공공기관 등 관계기관이 준수해야 할 원칙 및 지침을 마련하고, 사업자가 지켜야 할 개인정보보호 수칙도 마련해야 한다. 또한 일반 국민이 재택 근무, 온라인 교육 등을 이용하고 있으므로 개인정보보호 인식을 제고할 수 있도록 교육을 실시할 필요성이 있다. 전 국민을 대상으로 인터넷 상의 개인정보보호 수칙 및 Q&A를 마련하는 방안도 가능할 것이다.
마지막 과제는 '글로벌 개인정보 처리 환경을 고려한 국제협력 강화'다. 글로벌 상호 운용성을 고려해 해외 언론 등의 사생활 침해 우려 등에 대한 설명자료를 배포하고, 해외에서 우리 국민의 정보가 오남용 되지 않도록 국가 간 수시 소통 채널을 마련하는 등 협력을 강화해야 할 것이다.
감염병 관련 정보공개의 현황과 논란
김조은 정보공개센터 활동가는 정보공개 활성화에 대해 긍정적인 입장을 견지하고 있는 입장에서 정보공개를 주축으로 하는 현재 방역 관련 시스템이 정보비공개를 주축으로 했던 과거 메르스 사태를 비교하며 논의를 시작했다.
한국 정부는 메르스 사태 당시 주요 감염 거점이었던 병원 정보를 비공개하면서 방역에 실패한 경험을 교훈 삼아 감염병 관리 체계를 개선했다. 메르스 이후 위기 소통 전담부서를 신설하고 2018년 '공중보건 위험소통 표준운영절차' 등의 리스크 커뮤니케이션 절차를 만들어내는 등의 변화가 그것이다.
김조은 활동가는 위기소통 담당부서가 "감염병 위험 상황에서 신속·정확·투명하게 정보를 전달하는 것을 가장 중요한 존립 이유로 삼고, 국민들이 각자 처한 상황에서 자발적이고 주체적으로 긍정적인행동을 할 수 있도록 하여,사회 경제가 피해를 최소화"할 수 있도록 그 성격을 명확히 하고 업무에 임하고 있는 것이 고무적인 상황이라고 주장했다.
이렇게 감염병 상황에서의 정보공개에 대해 고민하고 대비를 해왔던 맥락 속에서, 코로나19 정보는 신속하게 공개되고 있다. 질병관리본부는 "비감염자에게 선제적으로 감염병에 대처할 기회"를 주고 "잠재적 감염자가 감염병 확산을 자체적으로 통제할 수 있도록 정보를 제공"할 수 있도록 정보를 공개한다는 입장이다.
실제로 보건당국을 중심으로 일관된 브리핑을 하고, 시민들로 하여금 적극적으로 대응할 수 있도록 한 것은 나름의 효과라고 평가할 수 있다. 그러나 코로나 19 사태 속에서 시행된 정보공개는 '투명'하고 '정확'하게 정보를 공개하여, '신뢰'와 '참여'를 얻는 선순환 뿐 아니라, 지나친 프라이버시 침해로 인해 성소수자, 특정 종교집단, 지역에 대한 혐오와 차별을 불러일으켰다.
일부 비협조적인 확진자의 사례에 관심이 집중되며 처벌 중심의 여론을 형성하기도 했다는 점에서 부작용도 있었다.
김조은 활동가는 시민들이 방역에 참여하면서 생활을 이어가기 위해 필요한 정보는 다양할 수 있음에도 '확진자 동선 정보'에만 방점이 찍혀있는 것이 현재 문제점이라고 평가했다.
정부에서 운영 중인 코로나19 홈페이지의 정보 항목을 살펴보면, 주로 확진자에 대한 통계와 현황에만 집중하고 있으며, 방역을 위한 주요한 발표 내용들은 보도자료를 일일이 확인하지 않는 이상 확인하기가 굉장히 어려운 구조다.
게다가 외국인 등 정보취약계층을 위한 안내(기관,사이트 연계 등)가 부재하며, 각 기관별로 생산, 책임지는 정보가 무엇인지 알 수 있는 정보맵, 대응체계를 구성하는 주요 기관들의 역할과 권한, 과정에 대한 설명도 학인 할 수 없다.
초기 대응 단계와 달리, 코로나19 사태가 장기화되고 있는 상황에서는, 감염병을 장기적으로 통제하는 상황에 걸맞은 다른 유형의 정보 제공이 더 필요하다. 시민들의 일상적 행동에 영향을 미치는 정책 정보(단계별 행정지침의 기준과 내용의 상시 안내, 지침에 포함된 구체적 조치들의 근거와 절차에 대한 안내)가 정확하고 빠르게 전달되어야 한다.
또한 방문 기록 수집 등 기본권과 충돌할 수 있는 조치들의 경우 방역에 어떻게 활용되고 있는지 또 인권 침해를 최소화할 수 있는 방안과 공공의 책임이 무엇인지도 설명해야 한다.
김조은 활동가는 특히 코로나19 시대가 앞으로도 상당기간 지속될 것이기에 방역정책에 대한 다각적인 평가와 외부의 참여가 필요할 것이고, 궁극적으로 방역정책을 집행하는 과정에 대한 정보공개와 시민감시가 있어야 한다고 주장했다.
방역의 윤리에서 개인정보활용과 효과성, '코로나19시대 정보인권'
최은경 경북대 의대 의학교육센터 교수는 방역 윤리, 공중보건 윤리의 맥락 속에서, 외국의 사례와 비교하여 한국 방역정책이 서 있는 위치를 검토하였다.
각 관점에 따라 정보를 수집하는 목적이 다를 수 있는데, 방역의 관점에서 정보를 수집하는 목적은 '컨택트 트레이싱(Contact tracing)'이라고 일컫는다. 접촉 추적이라고 하는데, 이는 '바이러스에 감염된 사람과 접촉했을 수 있는 사람을 확인하고 추적하는 것'으로 정의할 수 있으며, 이 목표 자체는 새로운 감염 사례를 확인해서 시의적절하게 대응하는 것이다. 이는 전통적인 방법이라기 보다 에이즈 이후, 에볼라 이후 등 현대 사회 이후 감염병 유행을 방지하기 위해 나온 방침이고 효과가 있다는 것도 입증된 바 있다.
사실 이 같은 접촉 추적 방식은 감염자와 접촉한 이들을 무조건 범죄자 취급해서 차단하는 게 아니라 방역의 관점에서 방역 대응의 공동 일원으로서 그들이 적절하게 대처할 수 있는 선택의 여지를 주기 위해 시행되는 방법이다. 그런데 코로나19라고 하는 바이러스는 확산 속도도 빠르고, 무증상 확진자 수가 많기에, 기존의 접촉 추적의 방식으로는 최선의 대응이 어려운 것이 사실이다.
그래서 한국은 '디지털 컨택트 트레이싱(Digital Contact Tracing)'이라고 하는 기술을 활용서
K-방역을 해왔다. 그러나 이 방식은 앞선 다른 발제자들이 지적한 바 있듯이 인권보호 차원에서도 문제적이지만, 스마트폰 이용자 중심의 방역이라, 스마트폰을 이용하지 않는 경우의 사람들은 방역에서 제외시킬 수 있는 난점 역시 존재한다.
지금까지의 상황을 진단해 보았을 때,한국의 현 정책은 코로나19 유행을 효과적으로 봉쇄하기 위해, 필요한 정책이라고 볼 수도 있을 것이다. 그러나 비례적으로 정당한 해결책인가라는 질문을 던졌을 때, 분명히 논쟁점이 있음은 간과하기 어렵다.
앞서 발제자들의 지적과 마찬가지로, 감염병 확산 방지를 위해 수집한 많은 정보를 어떤 식으로 처리하고, 폐기할 것인가에 대해 시민사회 참여 통로가 분명하게 있어야 하는데 그런 것들이 불분명하다는 점과 개인정보보호위원회가 독립적인 감시기구 역할을 해야 할 텐데 명확한 지점이 없는 점, 개인이 수집된 개인정보에 대해서 이의 제기할 방안이 있어야 하는데 그 방안이 마땅하지 않은 점 등 맹점이 존재하기 때문이다.
윤리적인 고려와, 효율성, 실효성을 감안했을 때, 테크놀로지 기반 접촉자 추적 방식은 수작업으로 이루어진 접촉자 추적 방식에 대한 보완에 지나지 않아야 한다는 것이 최은경 교수의 결론이었다. 역학조사 요원의 능력을 벗어난 유행 전파 상황에서 제한적으로 도입되어야 할 것이고, 디지털로도 추적되기 어려운 유행 확산 국면에서 한계가 있을 수 있음도 인지해야 할 것이다.
디지털 컨택트 트레이싱이 완벽한 대안이 아님을 주지했을 때, 앞으로 주어진 과제는 다음과 같다. 일단, 목적 별로 최소 규모 데이터를 수집하고 있는지 그 적합성을 검토해야 한다.
현재는 목적 대비 사생활침해를 최소화하는 방안이라는 것이 사후적으로 침해 우려에 대해서 보완하겠다는 수준을 보이고 있는데, 처음부터 사생활 침해를 최소화는 방식을 고려하기 위한 틀은 주어져 있지 않은 상황이다.
같은 맥락에서, 완치 후 확진자와 접촉자 정보를 보유할 것인가에 대해 답도 내려야 할 것이다. 개인정보를 어떤 기관에서 책임지고 투명하게 관리하는가 책임 기관을 만들고, 그 데이터 보유 목적, 기한 및 방법, 폐기 절차 등을 투명하게 공개해 관리할 필요성이 있다.
정보인권을 고려한 방역정책 되어야
두 시간 남짓 이루어진 이날의 토론에서 공통적으로 나왔던 의견은 먼저 한국이 감염병 대응 과정에서 세계에서 가장 높은 수위의 개인정보 수집, 분석 그리고 보유와 보관을 하고 있는 상황이라는 점이었다.
그리고 이러한 상황을 고려했을 때, 개인정보 수집과 처분에 대한 관리감독이 제3자에 의해 이루어져야하며, 과정이 투명하게 공개되어야 한다는 점도 공통적인 논지였다.
토론회 자리에서 나눈 고민들을 바탕으로, 시민사회에서는 정부가 방역의 과정에서 정보인권을 더 고려하도록 요구하는 한편 감염병 예방법 개정을 위한 활동을 지속할 예정이다.
* '세상을 바꾸는 작은변화', 이번 토론회는 아름다운재단의 지원으로 개최되었습니다.
* 이 글은 오마이뉴스 기사에도 게재되었습니다.
시민들의 의견