금융위원회는 개인정보에서 손 떼라

금융위원회 <금융분야 데이터활용 및 정보보호 종합방안>에 대한 시민사회 입장 

어제 (3월 19일) 최종구 금융위원장은 <금융분야 데이터활용 및 정보보호 종합방안>(이하 종합방안)을 발표하며 금융분야를 빅데이터의 테스트베드로서 우선 추진하겠다고 발표했다. 종합방안은 개인정보 자기결정권 강화를 양념처럼 끼워넣고 있지만, 전반적으로 금융 개인정보의 공유와 활용을 확대하여 산업적으로 활용하겠다는 것에 초점을 두고 있다. 금융 개인정보는 개인의 경제적 삶에 큰 영향을 미칠 수 있는 민감한 개인정보로서 그 무엇보다도 더욱 조심스럽게 접근해야 한다. 그럼에도  금융위가 개인정보의 상업화를 앞장서 추진하겠다는 것은 금융분야 감독기구로서 할 일인지 되묻지 않을 수 없다. 우리는 이번 종합방안이 개인정보의 무분별한 공유와 활용을 촉진시킬 것을 우려하며 다음과 같이 문제점을 지적하고자 한다. 

우선, 현재 대통령 산하 4 산업혁명위원회 주관으로 개최된 해커톤을 통해 각 이해관계자들이 개인정보의 보호와 활용 방향에 대해 사회적 논의를 진행하고 있는 상황에서 금융위원회가 독단적으로 이러한 종합방안을 발표한 것은 유감이다.

가명정보 및 익명정보의 활용 조건과 범위에 대한 구체적인 논의도 진행되지 않은 상황에서 마치 일정하게 비식별 조치를 하면 자유롭게 개인정보를 활용할 수 있는 것처럼 얘기하는 것은 해커톤에서의 사회적 논의를 무시하고 추진하겠다는 것이나 마찬가지다.  종합방안은 “추가 논의가 필요한 사항에 대해서는 ‘4차산업혁명위원회’ 주관 해커톤 회의 등을 거쳐 확정”하겠다고 하고 있으나, 여전히 기존 비식별 조치 가이드라인을 염두에 두고 있다. 혼란을 야기하고 있는 비식별 조치라는 개념을 여전히 사용하고 있고 “금융회사 등의 비식별 조치에 대하여 전문기관(금융보안원･신용정보원)을 통해 적정성 평가를 받도록 하는 등 의무”를 부과하겠다고 하는 등 그동안 비판을 받아왔던 비식별조치 가이드라인의 방식으로의 개인정보 활용을 고집하고 있다.

또한, “비식별처리된 익명정보 등의 중개를 허용(개인정보는 제외)”한다고 하는데, 여기서 ‘익명정보’가 어떤 의미인지, 기존 비식별조치를 적용한 사실상 가명정보의 수준은 아닌지 의심스럽다. 

둘째, 결국 이 종합방안이 이행되기 위해서는 신용정보보호법이 개정되어야 하며, 금융위원회도 올해 상반기에 법 개정을 추진하겠다고 한다. 이는 현재 개인정보보호법, 정보통신망법, 신용정보보호법 등으로 분산되어 수범자의 혼란과 중복규제를 야기하고 있어 관련 법제를 개인정보보호법으로 일원화해야 한다는 사회적인 요구에 역행하는 것이다. 시민사회는 행정안전부, 방송통신위원회, 금융위원회로 분산된 기능도  개인정보보호위원회로 통합하여, 개인정보보호위원회가 명실상부하게 개인정보 감독기구로 역할할 수 있도록 그 독립성과 권한을 강화해야 한다고 주장해왔다. 이는 문재인 대통령의 공약이자 국정과제이기도 하다. 금융위원회의 이번 발표는 금융 분야의 감독기관으로서 자신의 권한을 놓지 않으려하는 조직이기주의의 발로이다. 

셋째, 이미 금융분야의 개인정보 보호는 개인정보 보호원칙에서 벗어나 가장 완화된 상황이다. 그럼에도 종합방안은 지주회사 그룹 내 통신, 전기ㆍ가스 등 관련 정보공유, 신용정보원을 통한 세금ㆍ사회보험료 납부실적 등 공공정보의 공유 확대, 신용정보원이 모든 차주의 개인사업자 여부를 일괄 확인하여 CB사ㆍ금융권에 공유 추진, CB사의 개인정보 이용 범위 확대 등을 추진하겠다고 한다. “빅데이터를 활용한 개인신용평가 체계 고도화”라는 명목으로 금융 개인정보의 기관간 공유 및 활용을 무분별하게 확대하고 있다. 

넷째, 종합방안은 비금융 개인정보 활용을 통해 마치 저소득층 및 금융소외계층에 이익이 되는 것처럼 얘기하고 있지만, 오히려 취약계층에 대한 사회적 차별이 강화될 수도 있다. 결국 빅데이터의 활용은 금융 개인정보 분석을 통해 금융 업체의 수익을 극대화하려는 목적 하에 움직일 것이며, 열악한 환경에 있을 수밖에 없는 취약계층은 오히려 부정적인 평가를 받을 가능성이 커지기 때문이다. 

다섯째, 종합방안은 데이터 중개ㆍ유통 기능을 강화하겠다고 하는데, 이를 통해 개인정보의 상업적 거래가 증가하지 않을까 우려된다. 이미 홈플러스의 개인정보의 상업적 판매, 약학정보원 등을 통한 개인 의료정보의 상업적 판매 등을 통해 개인정보의 동의없는 상업적 활용에 대한 국민의 불안감이 높아진 상황이다. 마치 미국 등의 사례를 선진적인 사례인 것처럼 얘기하고 있으나, 미국에서도 데이터 브로커에 대한 비판이 높은 상황이다. 

오늘 청와대는 정부 헌법 개정안의 일부 내용을 발표했는데, 개인정보 자기결정권을 헌법에 명시적으로 포함하였다. 그러나 이렇게 정부부처에서 개인정보 자기결정권을 침해할 정책을 무분별하게 추진하는 것은  자기 모순이 아닐 수 없다. 이번 종합방안은 금융위원회가 개인정보 감독기구로서 자격 미달임을 보여준다. 금융위원회는 충분한 사회적 논의도 없이 발표한 종합방안을 철회해야하며, 개인정보 감독 권한을 개인정보보호위원회로 이관해야 한다.  

2018년 3월 20일

경제정의실천시민연합, 소비자시민모임, 서울YMCA 시청자시민운동본부, 진보네트워크센터, 참여연대, 함께하는시민행동

지난 7월 20일 대법원은 통신사가 이용자의 신원정보를 영장 없이 수사기관에 제공한 내역의 공개를 거부한 것에 대해 이용자의 '개인정보자기결정권'을 침해하였기에 손해배상해야 한다는 판결을 내렸습니다.

개인정보 보호의 중요성은 이미 두말할 필요도 없는 상식이 되어있습니다. 하지만 타인에게 맡긴 자신의 개인정보가 어떻게 활용되거나 유포되는지에 대한 개인의 권리 또한 못지않게 중요합니다. 법원의 이번 판결은 이 권리가 법으로 보장받아야함을 명시한 중요한 선례 중 하나라고 볼 수 있을 것입니다.  '개인정보자기결정권'의 가치를 법원이 어떻게 바라봤는지, 강태리 변호사가 짚었습니다.

  

이 글은 오마이뉴스와 슬로우뉴스에서도 볼 수 있습니다. 

나몰래 넘겨진 개인정보, '사이다' 판결이 막았다

[광장에 나온 판결] 이용자 개인정보 제공내역 공개거부한 통신사에 대한 손해배상소송 판결(서울고등법원 제1민사부 2015. 1. 1. 2014나2020811, 대법원 제2부 2018. 7. 20 2015다208856)

강태리 변호사, 참여연대 공익법센터 운영위원

미래창조과학부에서 2017년 6월 5일 발표한 내용에 따르면, 2016년 한 해 동안 전기통신사업자가 검찰과 경찰, 국정원 등 수사기관에 제공한 이용자정보(성명·주민등록번호·주소·전화번호·아이디 등)는 전화번호 수 기준으로 약 830만 건이라고 한다. 이는 대한민국 국민 6명당 1명의 통신자료가 수사기관에 제공되었다는 의미이다.

다른 나라들의 경우는 어떨까? 유엔 특별보고관 데이비드 케이(David Kaye)의 2017년 5월 9일 자 의견서에 따르면, 영국 국민 170명당 1명(2015년 기준), 프랑스 국민 1375명당 1명(2015년 10월 ~ 2016년 10월 기준), 미국 국민 600명당 1명(2012년 기준)의 개인정보가 수사기관에 제공되었다고 한다. 비교 자체가 무의미할 정도의 엄청난 차이이다.

'통신자료 제공' 6명당 1명-600명당 1명

그렇다면 대한민국에서 이처럼 엄청난 양의 통신자료가 수사기관에 제공되는 근본적인 원인은 무엇일까? 수사기관의 요청에 대한 제재가 없기 때문이다. 

일반적으로 법치국가에서는 수사기관의 권한 남용을 막기 위한 헌법적 원칙으로서 '영장주의'를 보장한다. 법관이 발부한 영장 없이는 수사기관이 강제수사를 할 수 없다는 원칙으로, 수사기관의 권한 남용을 막는 사법적 감시체계이다. 그런데 통신자료 제공요청의 근거법률인 전기통신사업법 제83조 제3항과 4항에는 영장주의에 대한 내용이 없다. 수사기관이 통신자료 제공요청을 남용할 경우 이를 막는 방법을 법에서 정하고 있지 않다는 의미이다.

국가기관들도, 기업들도 통신자료 제공에 대한 아무런 감시체계를 마련하지 않은 상황에서, 2013년 핸드폰 이용자 3명이 소송을 제기했다. 이들은 이동통신 3사를 상대로 "나의 통신자료가 수사기관에 제공된 현황을 공개하라. 또한 공개청구가 거부당함으로써 입은 정신적 피해를 배상하라"라고 했다. 

그로부터 5년 뒤인 2018년 드디어 대법원은 "이동통신사들은 통신자료 제공현황을 공개할 의무가 있다. 그리고 공개청구를 거부한 행위는 원고들의 개인정보자기결정권을 침해하는 불법행위이므로, 그로 인한 정신적 피해를 배상하라"고 최종 판단을 내렸다(대법원 2018. 7. 20 선고 2015다208856 판결).

그런데 '개인정보자기결정권'이란 무엇인가. 말 그대로 풀어보면 '개인정보'를 '자기'가 '결정'하는 '권리'이다. 좀 더 정확히 말하자면 자신에 대한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리이다. 이 권리는 개인의 헌법상 기본권이며 이를 토대로 자신의 개인정보 처리 여부를 확인할 권리가 보장된다. 

이러한 권리가 인정됨에도 불구하고 왜 위 사안에서 이동통신 3사는 통신자료 제공현황의 공개를 거부했던 것일까? 이러한 물음에 대한 복잡다단한 법리 다툼은 제쳐 두고, 필자는 개인정보자기결정권의 행사와 관련해 벌어지는 사회적 통념에서 그 답을 찾고 싶다. 

필자의 생각으로는, 우리 사회에 만연한 기본권 경시 풍조가 이 모든 상황의 토대가 되는 것으로 보인다.

"내 개인정보가 뭐 그렇게 대단한 거라고, 기본적인 건 이미 여러 군데 뿌려져 있겠지", "큰 기업에서 공개 안 해주려는 것에는 다 그만한 이유가 있겠지", "수사기관이 비밀리에 수사하려면, 개인정보를 몰래 수집하는 건 당연한 거 아냐?", "개인정보도 좀 수집되고 이용되어야, 나중에 더 발전된 사회로 진입할 수 있지 않겠어?", "내 인적사항 몇 개 알려지는 것 보다, 수사기관이 범죄에 신속히 대처하는 것이 더 중요지 않냐?" 등등.

법원 "수사 편의보다 개인정보자기결정권 실현"

이러한 막연한 생각들에 대하여, 법원은 다음과 같이 판시했다.

"수사기관의 수사업무에 지장이 발생할 수 있다는 막연한 사정만으로 헌법 및 정보통신망법에 의하여 법적으로 보장되어 있는 정보주체의 개인정보자기결정권을 제한할 수는 없다."

 

"수사의 밀행성 보장은 수사의 편의를 위한 것인 반면, 통신자료제공 현황의 공개는 헌법상 기본권인 개인정보자기결정권을 실현하는 것이므로 보호가치가 더 크다고 볼 수 있다." 

필자는 개인적으로 이 부분에서 사이다(!)를 느꼈다. "막연한 사정" 또는 "수사의 편의"를 이유로 개인의 기본권을 당연히 제한할 수는 없다는 명쾌한 선언. 

사실 우리는 이 복잡한 사회를 살아가면서 수도 없는 가치 충돌 상황을 목도한다. 그럴 때마다 사회구성원 모두가 어떤 가치를 더 우선해야 하는지 함께 치열하게 심사숙고해야 한다. 

그럼에도 불구하고 우리는 역사적으로 많은 경우, 국가, 사회, 회사, 가족과 같은 공동체가 처할 막연한 위협 또는 막연한 이익을 이유로, 개인의 행복추구 내지 권리행사를 보류하라는 요구를 받아오지 않았나? 이번 사건은 그것이 더 이상 통하지 않는다는 단순한 논리를 일깨워줘서 고맙다.

이번 사안을 한 문장으로 축약해보면, "수사기관에 의한 기본권 침해 가능성에 대해 국가가 아무런 감시체계를 마련해주지 않았고, 보다 못한 개인이 나서서 자신의 기본권을 지키려고 한 것"이다. 그리고 결국 대법원은 그 개인의 손을 들어줬다.

이제는 국가가 나서서 사법적 감시체계를 구축해줘야 할 때이다. 국회 및 법원의 아무런 감시 없이 수사기관의 자료제공요청이 이루어질 수 있는 현 법률 및 관행에 대한 근본적인 변화가, 부디 머지 않은 미래에 이루어지길 기대한다.

참여연대 사법감시센터는 최근 판결 중 사회 변화의 흐름을 반영하지 못하거나 국민의 법 감정과 괴리된 판결, 기본권과 인권보호에 기여하지 못한 판결, 또는 그와 반대로 인권수호기관으로서 위상을 정립하는데 기여한 판결을 소재로 [판결비평-광장에 나온 판결]사업을 진행하고 있습니다.
주로 법률가 층에만 국한되는 판결비평을 시민사회 공론의 장으로 끌어내어 다양한 의견을 나눔으로써 법원의 판결이 더욱더 발전될 수 있다는 생각 때문입니다.