공공데이터 운동 | 민주주의의 산업화

글 | 박경신(고려대 법학전문대학원 교수, 오픈넷 이사)

지젝은 “자본주의의 바깥은 없다”는 말을 회자시킨 적이 있다. 세월호사태, 메르스사태, 옥시사태, 구의역 사고를 보면서 시민에 의한 권력과 자본에 대한 감시가 필요하다는 강렬한 공감대가 형성되고 있다. 감시자에 대한 감시 즉 역감시는 민주주의의 핵심요소이다.

우리는 정보들을 축적, 가공, 공유, 공개하면서 권력과 자본을 감시할 수 있다. 그 효과는 위키리크스의 사례에서 보듯이 인터넷을 통해 극대화될 수 있다. 영리서비스라고 해서 그 효과가 훼손되는 것도 아니며 도리어 민주주의는 자본주의 생산관계의 한 축으로 자리 잡을 때 자본주의 내에서 근본적인 변화를 발생시킬 수 있다.

강력한 개인정보보호법은 항상 필요하다. 하지만 개인정보보호법의 목적은 정보주체들의 프라이버시 보호이다. 프라이버시 법익이 남아 있다고 보기 어려운 정보들에 대해서 개인정보보호법이 적용되어 그 축적이나 공개가 어렵게 되면 민주주의가 위축된다. 이 정신은 1980년 OECD가이드라인, 이를 계승한 2004년 APEC프레임워크에 문서화되어 있다.

아래의 두 가지 영리서비스들에 대한 독일연방개인정보보호법 판례와 EU의 1995년 개인정보보호지침 판례는 이와 같이 프라이버시 법익이 없는 정보의 자유로운 이용의 중요성을 설파하고 있다. 참고로 EU지침은 회원국들에게 특정한 내용의 입법을 할 것을 강제하는 구속력을 가진다.

2007년부터 독일에 spickmich.de라는 웹사이트가 개설되었는데 학생들이 교사들의 실력, 복색 등을 점수를 매겨 평가하고 학교의 기자재, 건물, 학풍 등을 점수를 매겨 평가하는 사이트였다. 평가대상은 실명으로 거론되었지만 학생들은 익명으로 평가를 하였다. 2010년 3월에는 160만명 가입자를 모으고 있는 청소년대상 웹사이트 중 최대를 기록할 만큼 인기가 좋았다. 이 사이트는 곧바로 영리사이트로 발전하였다.

교사 1명이 위 사이트가 자신의 프라이버시를 침해한다며 연방개인정보보호법 상의 소송을 제기하였다. 그러나 지방법원, 지방고등법원 그리고 연방대법원에서도 패소하였다(23 June 2009 – VI ZR 196/08; LG Köln – 28 O 319/07 – Judgment of 30 January 2008; OLG Cologne – 15 U 43/08 – judgment of 3 July 2008). 연방대법원은 독일연방개인정보보호법 제29조, 즉 “개인정보의 상업적인 수집, 보존, 수정, 및 이용은 정보주체가 그와 같은 수집, 보전, 수정을 금지할 법익을 가지고 있지 않은 것으로 보이는 경우”에 합법적이라는 조항에 따라 위 사이트의 운영이 합법적이라고 판시하였다. 정보주체가 그러한 법익을 가지고 있는가에 대하여 연방대법원은 “사실적 주장을 하고 있는 것이 아니라 견해와 감정을 표현하는 것이라서 명예훼손이 되지 않는다”고 하며 개인정보보호법을 위반하지 않는다고 결론내렸다. 교사의 평판정보는 아예 처음부터 학생들의 머릿속에서 생성되는 것이기 때문에 교사가 은밀하게 보호할 수 있는 정보가 아니었기 때문에 애시당초 프라이버시 법익이 깃들지 않은 정보였음을 확인한 것이라고 볼 수 있다. 연방헌법재판소 상고허가는 기각되었다. 위 판결은 정보주체의 프라이버시 법익이 깃들지 않은 정보에 대해서는 상업적 이용도 자유롭게 허용됨을 확인하였다는 의의가 있다.

1994년부터 핀란드의 유료잡지 Veropörssi는 매년 핀란드인들의 소득과 자산정보를 게재해왔고 2002년에는 전 인구의 3분의 1 즉 120만명의 과세정보가 게재되었다. 이 정보는 핀란드법 상 완전한 공개정보이다. 2003년부터 이 잡지사는 문자로 사람 이름을 보내주면 그 사람의 과세정보를 제공하는 서비스를 개시하였다. 이 문자서비스에 대해 핀란드 개인정보보호기구가 개인정보보호법 위반을 주장하자, 2008년 12월 유럽사법재판소는 표현의 자유와의 균형을 고려할 때 EU개인정보보호지침 95/46/EC가 법적용을 면제하고 있는 “언론행위(journalistic activities)”는 “반드시 신문, 방송 등의 전통적인 언론사에 의한 보도만을 의미하는 것이 아니라 무언가를 일반대중에게 공개하는 모든 행위를 포함하는 것”이라고 하였다. 특히 매체와 영리목적을 불문하고 그렇다고 명시하였다. (ECJ Case 73/07 Satakunnan Markkinapörssi and Satamedia (2008)) 그 이후 유럽인권재판소가 언론행위라고 보기 어렵다고 판시했지만 그 이유는 인구의 3분의 1에 대하는 엄청난 양을 과세정보에 대한 논평, 토론이 부재한 문자서비스의 형태로 게시했기 때문이며 유럽사법재판소의 판결의 유효성에는 변함이 없다.

공공데이터는 운동이 되고 산업이 되어야 한다. 민주주의를 확보하기 위해 우리에게 공개되어야 하는 개인정보들은 너무나 많기 때문이다. 프라이버시로 보호되어야 할 법익이 깃들지 않은 정보들을 신중히 가려내 더욱 창의적이고 조직적인 산업화가 이루어지길 바라는 마음이다.

* 위 글은 허핑턴포스트코리아에 기고한 글입니다. (2016.06.14.)

적폐 중 하나 맞아요.

한 통신정책 전문가가 이동통신 기본료를 두고 한 말이다. 1996년 개인휴대통신(PCS)서비스가 시작된 뒤로 21년째, 이동통신이 대중화해 2017년 4월 현재 가입자 수가 6225만3000명에 닿기까지 진즉 없앴어야 할 기본료를 여태 남겨 뒀다는 뜻. 그는 특히 “(기본료를 없애면 통신사업자의) 아르푸(ARPU: 통신상품 가입자당 평균 수익)가 낮아져서 안 된다고 정부 보고서에 쓰여 있다”며 “정부가 그걸 왜 걱정해 주느냐”고 되물었다. 기본료 폐지로 아르푸가 떨어지면 “사업자들이 뼈를 깎는 노력으로 해결할 문제”라고 일갈했다.

옛 정보통신부와 방송통신위원회, 미래창조과학부가 이동통신 요금 인하 정책에 소극적인 나머지 시민은 통신사업자에게 공공 재원인 전파(주파수)를 싼값에 내 준 것도 모자라 기본료마저 21년째 다달이 내는 처지다.

▲ 2017년 4월 무선통신서비스 가입자 수 (자료= 한국통신사업자연합회)

‘엘티이(LTE)’ 정액 요금제에도 기본료 숨어 있다

기본료는 이동통신 서비스를 쓸 때 기본적으로 내는 돈. 음성이나 데이터 통화량에 상관없이 미리 정해 둔 금액을 사업자가 다달이 거두어들인다. 2011년 9월부터 최근까지 SK텔레콤과 KT 각각 1만1000원, LG유플러스 1만900원으로 마치 세금처럼 고착했다.

한국 이동통신 시장을 과점하는 세 사업자는 이 돈을 기존 통신망 설치에 들어간 비용을 도로 거둬들이거나 망을 유지하고 관리하는 데 쓴다고 설명해 왔다. 특히 4세대 이동통신 ‘엘티이(LTE: Long Term Evolution)’에 쓰이는 정액 요금제에는 과금 체계가 달라져 기본료가 들어있지 않다고 주장했다.

이런 주장은 3사 이동통신을 쓰는 5518만1000명 가운데 311만여 명으로 추산되는 2세대 상품 가입자와 600만여 명인 3세대 서비스 이용자만으로 기본료 폐지 대상을 줄이기 위한 노림수로 풀이됐다. 문재인 대통령 대선 공약에 따라 기본료를 폐지하게 되더라도 4607만여 엘티이 고객으로부터 거둬들이는 기본료 5000억여 원을 놓지 않겠다는 뜻으로 읽혔다.

기본료는 그러나 엘티이 정액 요금제에도 엄연히 들어 있는 것으로 확인됐다. 기자의 2017년 4월 치 SK텔레콤 엘티이 정액 요금제 ‘밴드 데이터 2.2G’ 청구서를 보면 ‘기본료/월정액’으로 안내됐다. 월정액 안에 기본료가 숨어 있는 셈. 경기 용인에 사는 한 시민의 2017년 5월 치 SK텔레콤 엘티이 정액 요금제 ‘밴드 데이터 6.5G’ 청구서에도 ‘기본료’가 월정액에 들어 있는 것으로 소개됐다.

KT와 LG유플러스 임원도 각각 엘티이 정액 요금제 상품에 기본료가 들어 있음을 인정했다. 정액 요금제 가운데 기본료가 얼마나 되느냐는 질문에 “1만1000원”이라거나 “엘티이를 도입할 때 통합형 요금제가 나온 뒤에는 얼마인지 정확히 계산해 내기 어렵지만 기본료로 받는 명목들이 포함돼 있기는 하다”고 말했다.

▲ 경기 용인에 사는 한 시민의 2017년 5월 치 엘티이 요금 청구서(왼쪽)와 기자의 4월 치 청구서(가운데). 정액제 안에 기본료가 들어 있음을 알 수 있다. 경기 고양에 사는 한 시민(오른쪽)은 KT 엘티이 요금제 안에 기본료가 얼마나 포함됐는지를 물었는데 엉뚱한 답변만 돌아왔다고 밝혀 왔다.

통신사업자 회계 검증 공개가 열쇠

미래부는 이동통신 3사 회계를 해마다 검증한다. 세 사업자가 공공 재원인 전파를 이용해 6225만여 시민에게 두루 미치는 상품을 팔기 때문에 통신 회계 검증을 소비자 편익 정책의 밑거름으로 삼는 것. 이를 위해 사업자 간 통신망 접속 행위에 따른 망 원가와 상품 요금 체계 따위를 두루 들여다본다.

이런 체계를 헤아리면, 미래부의 회계 검증 결과 공개가 기본료 폐지 여부를 가를 열쇠다. 이동통신 3사 상품마다 기본료가 얼마나 들어 있는지를 뚜렷하게 알아볼 수 있기 때문. 참여연대가 2011년 7월 이동통신 원가 공개 요구 소송을 일으켜 대법원에까지 간 까닭이기도 하다.

앞서 기본료를 적폐로 본 통신정책 전문가는 “기본료 폐지 얘기는 (오래전부터) 계속, 당연히 있었다”며 “애초 통신망이 다 설치되지 않았다는 가정 아래 고정액으로 받은 걸 ‘기본료’라고 했는데 그런 요소가 없어지면 그걸 없애는 게 당연한 것”이라고 말했다. “예전에 투자할 때보다 (망 설치 비용이) 덜 들 테니까 기본료에 변동이 있어야 하는 게 당연한 얘기이고, (지금은 4세대 망 설치도 끝나) 더 이상 망을 깔고 할 게 없지 않느냐는 취지에서 폐지 얘기가 나오는 것”이라고 덧붙였다.

그는 특히 “기본료 폐지하랬더니 ‘알뜰폰’ 망한다는 얘기를 하는데 (이동통신 3사가 알뜰폰 사업자에게 망을) 도매로 주는 값을 깎아 주면 된다”며 “이동통신 3사가 요금을 내리면 알뜰폰 요금도 내려가고 그럼 모두 좋은 것”이라고 봤다.

미래부 쪽은 함구로 일관했다. 한 고위 공무원은 기본료 정책 흐름에 대해 “(대선) 공약 이행에 관한 것은 국정기획자문위에서 말씀하시는 거고, 부처는 관련 말씀을 안 드리는 걸로 되어 있다”며 “저희가 전혀 드릴 말씀이 없다”고 말했다. 통신 회계 검증 내용에 기본료가 들어 있느냐는 질문에도 마찬가지 답변을 내놓았다.

통신 요금 정책 경험이 있는 또 다른 고위 공무원은 2세대 상품에만 기본료가 남아 있다고 주장했다. 통신 회계를 검증할 때 사업자가 책정한 기본료 수준도 다 보이느냐는 질문에는 “예전엔 기본료가 있는 요금이 있었지만 요즘엔 어찌 되는지 모르겠다”고 에둘렀다.

오픈넷, 정부의 개인정보 비식별조치 가이드라인을 입법화하려는

정보통신망법 개정안(강길부 의원안)에 대한 반대의견 제출

• 빅데이터 시대의 개인정보보호는 대규모 개인정보 처리환경에서 개인정보처리자의 “투명성”과 “책임성” 강화 논의부터 시작되어야
• 비식별화만 거치면 제한 없이 동의 의무를 면제하려는 시도나 비식별화가 모든 문제를 해결할 것이라는 비식별화 만능주의 프레임을 지양해야
• 정부의 개인정보 비식별조치 가이드라인(2016)은 폐기하고 비식별화 적정성 평가단이 아닌 개인정보보호위원회가 컨트롤타워 역할을 해야 함
• 논의과정의 투명성 부족과 조급증도 문제- 이해당사자가 모두 참여하는 협의체를 구성하여 논의를 본격화해야

강길부 의원이 대표발의한 정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정안 (이하 강길부 의원안: 첨부1)은 비식별화라는 개념을 추가하면서 비식별화한 개인정보를 이용자의 동의 없이 이용하거나 제3자에게 제공할 수 있도록 하고 있다. 오픈넷은 지난 2017. 1. 14. 아래와 같은 이유로 강길부 의원안 입법예고에 반대의견을 제출하였으며, 더불어 지난 2016년에 정부가 제정한 개인정보 비식별조치 가이드라인(이하 “가이드라인”)에 대해서도 폐기 의견을 함께 제시한다.

빅데이터 시대의 개인정보보호는 대규모 개인정보 처리환경에서 개인정보처리자의 “투명성”과 “책임성” 강화 논의부터 시작되어야

EU 개인정보보호감독관의 빅데이터 의견서(첨부2)에서 타당하게 결론 내린 것처럼 빅데이터의 진정한 위험 요소와 도전 과제는 대규모 개인정보 처리에 대한 “투명성 부족”과 “정보의 불균형”으로 인해 “개인정보보호 핵심원칙”이 위협에 빠진다는 것이다. 즉 빅데이터 시대에서 “알 수 없는 알고리즘”을 통해 정보주체에 대한 충분한 고지나 동의 획득 없이 개인정보 처리가 대규모로 이루어진다면 개인정보 처리에 관한 정보는 더욱 불균형해질 것이며 이로 인해 개인정보자기결정권은 형해화할 것이다.

우리나라의 경우 식별성이 가장 높은 주민등록번호가 여전히 이동통신사 등 사적 주체에 의해 행정 목적 외에도 널리 활용되고 있으며, 법령상 상존하는 각종 본인확인 의무로 인하여 비식별화를 거치더라도 결합을 통해 개인이 재식별될 위험성은 매우 크다. 특히 주민등록번호를 수집할 수 있는 본인확인기관에 개인정보가 고도로 집중되어 있다는 점도 재식별화 위험성을 가중시키고 있다.

요컨대 빅데이터 시대의 개인정보보호는 개인정보처리자의 “투명성”과 “책임성” 강화가 가장 중요한 고려 요소가 되어야 한다.

비식별화만 거치면 제한 없이 동의 의무를 면제하려는 시도나 비식별화가 모든 문제를 해결할 것이라는 비식별화 만능주의 프레임을 지양해야

(1) 비식별화 만능주의 프레임 지양해야

강길부 의원안은 개인정보처리자의 투명성과 책임성 강화에 대한 진지한 고민 대신, 비식별화 그 자체에만 천착하고 있다는 것이 핵심적 문제이다. 강길부 의원안은 대통령령이 정하는 비식별화 적정성 평가단(안 제28조의2 제2항, 이하 “평가단”)의 적정성 평가나 기술적 관리적 보호조치(안 제28조의5)의 구체적인 내용은 전혀 정하지 않았다. 막연히 추후에 제정될 대통령령에 의해 개인정보 보호가 충분히 이루어질 것이고, 비식별화만 이루어지면 빅데이터 산업이 부흥할 것이라는 소박한 믿음에 기초하고 있는 것이다.

(2) 비식별화만 거치면 어떠한 제한도 없이 동의를 면제 – 재식별 위험이 매우 큰 정보라는 점을 간과

강길부 의원안은 어떠한 방법으로든 비식별화가 이루어지면 어떠한 제한도 없이 개인정보보호법의 기본 원칙인 “동의 요건”을 광범하게 면제해주고 있어 문제이다. 이는 김병기 의원이 대표 발의한 개인정보보호법 개정안이 현행법과 같이 비식별화를 거친 정보라도 “정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 경우”에만 동의 요건을 면제하고 있는 것과 비교된다. (첨부3: 김병기 의원안)

그러나 우리나라처럼 재식별 위험이 매우 큰 상황에서 비식별화한 정보에 어떠한 제한도 없이 이용 및 제3자 제공을 허용할 지 여부에는 매우 신중한 검토가 요구된다. 완벽한 비식별화 기술이란 존재하지 않으며, 평가단의 검증을 거쳤다고 비식별화의 적정성이 담보되는 것도 아니다.

한편 EU의 GDPR에서 강길부 의원안이 비식별화 방법으로 예시한 가명화(pseudonymisation)는 개인정보 보호를 위해 권장되는 수단이지 가명화한 정보에 대한 개인정보 보호를 배제하려는 것이 아님을 명확히 하고 있다. (recital 28 : The explicit introduction of ‘pseudonymisation’ in this Regulation is not intended to preclude any other measures of data protection.) 최근 개인정보보호법을 개정한 일본의 경우 GDPR과 달리 익명가공정보를 개인정보와 별개로 규정하여, 이를 이용하거나 제3자에게 제공하려는 개인정보처리자에게 익명가공정보에 포함되는 개인에 관한 정보의 항목을 공표 및 취지를 명시하도록 하는 등 개인정보와 준하는 취급을 하고 있다.

(3) 개인정보 정의조항의 변경 – 정보통신망법과 개인정보보호법과의 괴리 발생

강길부 의원안은 개인정보의 정의 중 다른 정보와의 결합가능성 부분에 “해당 정보를 처리하는 자”를 판단 기준으로 제한하고 있어 이 같은 제한이 없는 개인정보보호법과 간극이 발생하게 된다. 물론 개인정보보호법 정의 조항의 합헌적 해석상 결합가능성은 해당 정보를 처리하는 처리자의 입장에서 판단되어야 한다고 볼 여지가 있다. 그러나 개인정보 정의 규정은 개인정보보호법제의 핵심을 이루는 것으로 개인정보보호법의 정의조항은 그대로 둔 채 정보통신망법의 개정으로 손쉽게 접근할 문제가 아니다.

(4) 투명성, 책임성 요건 결여 – 정보주체의 통제권한 상실, 개인정보 유통에 대한 정보불균형 심화

강길부 의원안에는 빅데이터 시대의 개인정보 보호에 가장 핵심적인 투명성과 책임성 요건이 결여되어 있어 정보주체의 실질적 통제 권한이 상실되고 개인정보 유통에 대한 정보불균형이 더욱 심화할 우려가 크다. 강길부 의원안에 따르면 정보주체는 본인의 어떤 개인정보가 어떻게 비식별화 처리되는지 전혀 알지 못한 채 개인정보처리자의 선의 또는 평가단 적정성평가의 무결성을 기대할 수밖에 없는 셈이다. 이는 아래 일본의 개정 개인정보보호법이 익명가공정보에 포함되는 개인에 관한 정보의 항목을 공표하게 하는 등 최소한의 투명성과 책임성 요건을 갖춘 것과 비교해보아도 그러하다.

정부의 개인정보 비식별조치 가이드라인(2016)은 폐기하고 비식별화 적정성 평가단이 아닌 개인정보보호위원회가 컨트롤타워 역할을 해야 함

한편 지난 2016년 정부 각 부처는 개인정보 비식별조치 가이드라인을 제정하였는데, 가이드라인은 한 걸음 더 나아갔다. 비식별조치를 취하면 동의 요건을 아무런 제한 없이 면제하고 있을 뿐 아니라 반증이 없는 한 개인정보가 아닌 것으로 추정하는 등 법 개정 없이 고지와 동의(notice and consent)라는 개인정보보호의 기본 원칙의 변경을 꾀한 것으로 즉시 폐기되어야 한다.

더욱이 가이드라인은 법적 근거 없이 전문기관에 의해 비식별조치의 적정성을 판단하도록 하고 있어 문제인데, 강길부 의원안은 비식별화 적정성 평가단을 입법화하면서 가이드라인의 전문기관에 법적 근거만 부여하려는 시도와 다름아니다.

그러나 평가단 신설로 생겨날 “관치 보안”의 문제는 차치하더라도 이는 개인정보보호위원회가 수행해야 할 이른바 컨트롤타워 역할을 무력화하는 시도와 다름아니다. 일본의 경우 개인정보보호위원회가 컨트롤타워로서 익명가공에 요구되는 기술적, 관리적 조치를 종합적으로 규율하도록 하고 있는 것과 비교된다.

논의과정의 투명성 부족과 조급증도 문제 – 이해당사자가 모두 참여하는 협의체를 구성하여 논의를 본격화해야

일본의 경우 개인정보보호법을 개정하기 위하여 다양한 이해당사자가 참여하는 협의체를 구성하여 2년에 걸친 광범한 논의를 거쳤다. 그러나 2016년 가이드라인의 경우 세부논의 내용과 초안을 비공개하는 등 폐쇄적인 방법으로 제정되었다. 정보주체를 대변하는 시민사회는 가이드라인의 초안이 대부분 결정된 뒤 단 1회 시행된 내부 간담회 외에는 논의에 제대로 참여할 수 없었다.

따라서 가이드라인의 주요 내용을 그대로 입법화하는 강길부 의원안은 정보주체를 대변하는 이해당사자의 의견 수렴을 전혀 거치지 않은 것과 다름없어 원점에서 다시 검토되어야 한다. 늦었지만 지금부터라도 국회를 중심으로 모든 이해당사자가 참여하는 협의체를 구성하여 빅데이터 시대의 개인정보 보호를 위한 논의를 진지하게 시작해야 할 것이다.

2017년 1월 17일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]