헌법의 가치보다 기업의 이익을 우선시 하는 「규제프리존 특별법」에 반대한다!

 ‘지역전략사업육성’ 명목 하에 일방적인 비식별화 법정화 시도 중단해야-

 정부와 국회는 국민의 개인정보 보호를 강화하고 ‘정상화’ 하겠다는 약속 지켜야

 개인정보 보호 관련 특례 조항에 반대하는 시민사회 공동 의견서 국회 제출

지난 3월 24일 새누리당 강석훈 의원은  ‘지역전략산업육성’이라는 명목으로 개인정보보호 관련 법률 적용을 배제하는 특례조항이 포함된  「지역전략산업육성을 위한 규제프리존의 지정과 운영에 관한 특별법」( 이하 「규제프리존 특별법」)을 대표발의 했습니다. 경실련, 진보네트워크센터, 참여연대는 헌법에서 보호하고 있는 기본권인 개인정보의 자기결정권을 ‘지역전략산업육성’이라는 명목 하에 제한하는 「규제프리존법 특별법」 제정을 강력히 반대합니다.

「규제프리존 특별법」은 ▲자율주행전자장비가 수집한 개인정보 및 위치정보(「위치정보의 보호 및 이용 등에 관한 법률」), ▲영상정보 자동처리기기로 수집된 개인정보(「개인정보보호법」), ▲사물인터넷을 기반을 통해 수집된 개인정보(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」)를 ‘비식별화’ 하면 관련 법률의 적용을 배제시켜 기업들이 이용자의 동의 없이 마구잡이로 사용할 수 있도록 하고 있습니다. 이는 기업의 이득을 위해 디지털 시대 중요한 인권으로 주목받고 있는 개인정보에 대한 자기결정권을 중대하게 침해하고 있는 법안입니다.

원칙적으로 개인정보의 수집・이용・제공 등은 정보주체의 동의를 받는 것이 국제규범 및 우리 헌법이 보장하고 있는 개인정보 자기결정권의 본질적인 내용입니다. 이러한 관점에서 암호화 등  ‘비식별화’는  ‘익명화’와 달리  ‘재식별화’하여 개인을 특정할 수 있어 정보주체의 동의 없이 개인정보를 처리하는 것은 현행 개인정보 보호법제와 대치됩니다.

박근혜 정부가 빅데이터 산업과 관련하여  ‘익명화’와 다른  ‘비식별화’의 법정화를 추진하는 것은 국제적으로 강화되는 개인정보 보호 추세에 어긋날 뿐만 아니라 유사 입법례도 찾을 수 없습니다.

유럽연합은 빅데이터 시대에 대비하기 위해 프로파일링 거부권 등 개인정보에 대한 정보주체의 권리를 강화하는 「일반 개인정보 보호 규정」(GDPR)을 제정을 통해 개인정보 보호 권리를 강화하고 있습니다. 반면 우리나라의 경우 반복적인 개인정보 대량 유출과 주민등록번호의 무분별한 사용으로 국민 한사람 한사람의 개인정보에 대한 식별성이 매우 높은 상태로 국제적으로 우리 국민의 개인정보가 암암리에 거래되는 매우 위태로운 형편입니다.

빅데이터 시대에는 개인정보에 대한 자동화된 처리가 더욱 급증할 것으로 예상됩니다. 이에 대한 국가의 책무는 빅데이터 시대 국민의 개인정보를 더욱 안전하게 보호할 수 있는 방안을 마련하는데 있습니다. ‘지역전략산업육성’의 명목으로 기존에 잘 작동해온 개인정보 보호 법제의 적용을 오히려 배제하는 것은 시대적 요구와 국민적 기대를 역행하는 처사임을 분명히 알아야 합니다.

정부와 국회는 불과 2년 전에 발생한 카드3사 사건에서 국민의 개인정보 보호를 강화하고 ‘정상화’하겠다고 국민 앞에 약속한 바 있습니다. 일부 산업의 이득을 위해 국민의 개인정보에 대한 동의권을 박탈하는 것은 국민과의 ‘약속’을 저버리는 행위로 사회적 반발과 논란을 야기할 것입니다.

개인정보 ‘비식별화’는 어떠한 사회적 논의와 합의 없이 여전히 논란의 중심에 있습니다. 정부는 위험성을 제기하는 여러 목소리를 무시하고 강행할 것이 아니라,시민사회와 유기적으로 협력하여 개인의 자유와 권리를 침해하지 않도록 노력해야 합니다.

경실련, 진보네트워크, 참여연대는 시민들의 안전과 개인정보 보호를 위해 관련 특례에 대한 공동 반대 의견서를 국회 해당 상임위에 제출하고, 적극적인 대응을 지속할 것입니다.

<규제프리존 - 비식별화 관련 의견서>

 

「지역전략산업육성을 위한 규제프리존의 지정과 운영에 관한 특별법안」(강석훈의원 대표발의) 관련 의견서
-    개인정보 보호 관련 특례 조항에 반대함 - 

 

 

1.    취지 및 배경

 

강석훈의원이 2016. 3. 24. 대표발의하였고 여야가 합의하였다고 알려진 「지역전략산업육성을 위한 규제프리존의 지정과 운영에 관한 특별법안」(이하 ‘규제프리존 법안’)에는 개인정보 보호 관련 법률의 적용을 배제하는 특례 조항들이 포함되어 있음 

지역전략산업육성이라는 명목으로 「위치정보의 보호 및 이용 등에 관한 법률」, 「개인정보 보호법」과 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 대한 특례 규정을 두어야 할 불가피성은 찾을 수 없는 반면, 지역전략산업육성의 명목으로 헌법이 보호하고 있는 국민의 기본권을 일방적으로 제한하고 있음

특히 위치정보법이나 정보통신망법에 대한 특례 조항의 경우 암호화 등 ‘비식별화’ 처리를 하면 기업들이 개인정보를 이용하거나 제공할 때 이용자의 동의 절차를 배제할 수 있도록 함. ‘비식별화’는 ‘익명화’와 다른 개념으로서 익명화되지 않은 정보를 자유롭게 사용할 수 있도록 허용하는 것은 관련 기업의 이익을 위하여 정보주체의 개인정보에 대한 자기결정권을 중대하게 침해함

오늘날 개인정보 이용이나 제공은 수집·이용·제3자 제공은 물론 판매(홈플러스 사건, IMS헬스코리아 사건)를 포함하는 개념임. 이 과정에서 동의권을 박탈하는 내용의 입법은 정보주체인 국민의 반발과 사회적 논란을 야기할 것이며 건강한 미래 산업의 육성 또한 위태롭게 할 것이 분명함

 

2. 디지털 정보 및 정보통신을 통한 서비스와 관련된 규제의 완화는 일정 지역에서 규제를 완화한다는 취지에 부합할 수 없음

 

규제프리존 법안에서 지역 전략산업 육성을 위해 완화하는 규제는 거의 모두 해당 지역 안에서만 규제가 완화되는 효과가 나타나게 할 수 있는 것들임. 예를 들어 규제프리존 지역에서 자율주행자동차 임시운행 허가, 무인기 비행전용공역 지정, 미래창조과학부장관의 승인을 받지 않은 통신기기 제조업 영위 등이 그러함

그런데 디지털 정보가 활용되는 서비스, 정보통신 기술을 이용하는 서비스의 경우는 권역이 무의미하기 때문에 규제 완화의 효과를 규제프리존 안으로만 제한할 수 없음

그래서 만약, 정보통신 기술 업체들이 새로운 분야의 사업을 신기술 기반사업으로 신청하여 개인정보보호법을 어기는 방식으로 사업을 추진하는 경우 전국적으로 혼란이 확장될 것임

 

3.    ‘개인정보 관련 규제’가 사업상 어떤 어려움을 야기하고 있기에 완화가 필요한지 불분명함

 

규제프리존에서 완화할 수 있는 규제는 건강한 사업환경 조성 등을 위해 부정적인 측면을 걷어내는데 초점을 맞추어야 함. 이를 통해 일부 산업이 초기 산업을 정상적으로 궤도에 이끌어 올릴 수 있도록 지원하는 역할을 하도록 해야 함

그런데 개인정보 관련 규제는 전혀 성질이 다름. 해당 규제를 일정 지역 안에서 통제할 수 있는 것도 아니고, 해당 규제 때문에 기술 발전이 막혀 있는 것도 아님

개인정보 관련 규제완화는 기업들이 이익을 추구하기 위해 개인정보 주체의 권리를 침해하면서 개인정보를 처리하려는 욕구의 발현에 다름 아님

 

4.    비식별화 개념의 법정화

 

원칙적으로 개인정보에 대한 수집 등 처리는 정보주체의 동의를 받아야 하는 것이 국제규범 및 우리 헌법이 보장하고 있는 개인정보 자기결정권의 본질적인 내용임. 다만 더이상 개인이 식별되지 않는 ‘익명’ 정보의 경우 개인정보 관련 법률들의 적용대상이 되지 않음. 즉, 개인정보 보호법 등 국내외 개인정보 보호 규범은 (1) 개인정보인 경우 동의권 등 정보주체의 권리 보장 (2) 다만 익명인 경우 적용예외를 인정하는 구조로 되어 있음. 

규제프리존 법안은 ‘비식별화’라는 별도의 개념을 만들어 개인정보보호규제 면제의 조건으로 삼았는데, 암호화 등 ‘비식별화’는

‘익명화’와 달리 궁극적으로 한 개인을 다른 개인과 식별하여 개인정보를 처리하는 방법 중 하나로서 그 결과물은 개인정보 자기결정권의 행사 대상임. 예를 들어, 처음부터 정보주체를 식별할 수 없는 상태에서의 원본정보를 수집하는 것과는 달리 개인정보 수집을 한 이후에 식별자제거, 범주화, 총계화, 데이터마스킹이 된 사본을 만드는 것은 원본을 이용하여 개인정보를 복원할 수 있다는 면에서 익명화라고 할 수 없는데 이 법안은 이 경우에도 자유롭게 사용할 수 있게 허용하고 있음.    

정부는 “미국, 영국 등 해외에서는 빅데이터 활용을 위하여 개인정보 비식별화 지침을 마련하여 활용 중”이라고 홍보하고 있으나, 이는 사실과 다름. 유럽연합은 오히려 빅데이터 시대 프로파일링 거부권 등 개인정보에 대한 정보주체의 권리를 강화하는 <일반 개인정보 보호 규정>(GDPR)을 제정하였음(4월 14일 유럽의회 최종 통과). 

미국에서도 개인정보 비식별화가 입법으로 규율되고 있는 것이 아니라 가이드라인 수준으로 업계 자율에 맡겨져 있으며 미국의 취약한 개인정보 보호 환경이 유럽 등과 국제 분쟁의 대상이 되고 있다는 점에서 모범 사례로 보기 어려움. 영국의 경우 엄밀히 말해 개인정보 감독관(Information Commissioner’s Office)이 발행한 가이드라인 은  비식별화(de-identification)가 아닌 <익명화(Anonymisation)>에 대한 가이드라인으로서, 익명화하여 처리하면 개인정보 보호규범에서 제외된다는 원칙적 내용을 소개하고 있음. 나아가 재식별될 위험성에 대해 경고하고 재식별되는 경우 개인정보에 대한 보호 원칙을 보장해야 한다는 점을 명시하고 있음.

박근혜 정부와 빅데이터 기업들이 ‘익명화’와 다른 ‘비식별화’의 법정화를 추진하는 것은 국제적으로 강화되는 개인정보 보호 추세에 어긋날 뿐 아니라 유사 입법례도 찾을 수 없음

최근 다국적 통계회사 IMS헬스 코리아가 전국 약국과 병원에서 총 4,400만 명에 해당하는 국민 건강정보 47억 건을 빅데이터 처리하여 판매한 사건으로 형사기소되어 재판을 받고 있음. 약학정보원 등 피고는 암호화로 주민등록번호를 ‘비식별화’ 처리를 하였다며 개인정보 판매에 대한 무죄를 주장하여 국민들에게 충격을 주고 있음. 비식별화를 입법하면 향후 모든 산업에서 유사한 피해 사례가 확산될 것이 명약관화함. 

 

5.    조항별 문제점 및 의견

 

(1)    제36조 : 반대

제36조(「위치정보의 보호 및 이용 등에 관한 법률」등에 관한 특례) 규제프리존 내 지역전략산업과 관련된 자율주행자동차 전자장비의 인터넷 주소를 이용하여 자동수집장치 등에 의해 개인정보 및 위치정보를 수집하고 수집한 개인정보에 대하여 데이터 값 삭제, 총계처리, 범주화, 데이터 마스킹 등을 통하여 개인정보의 일부 또는 전부를 삭제하거나 대체함으로써 특정 개인을 식별할 수 없도록 하는 조치(이하 “비식별화”라 한다)를 한 경우에는 「위치정보의 보호 및 이용 등에 관한 법률」및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」을 적용하지 아니한다.

 

암호화 등 비식별화를 하는 경우 위치정보법과 정보통신망법 등 기존 개인정보 보호법제의 적용을 배제하는 것은 기업이 국민의 개인정보를 무분별하게 수집하고 이용, 나아가 판매하는 결과를 야기할 것임. 

반면 자율주행자동차 산업 육성을 위해 동의권 등 국민의 개인정보 자기결정권을 제한해야 할 불가피한 사정이 보이지 않음. 해외 어디에도 자율주행자동차 산업 육성을 위해 정보주체의 동의 없는 개인정보 처리를 허용하는 입법례를 발견할 수 없다는 점에서 이는 과잉 제한에 해당함

오히려 유럽자동차공업협회(The European Automobile Manufacturers’ Association, ACEA)는 빅데이터 처리로부터 개인정보 보호를 강화한 GDPR의 통과를 환영하는 성명을 발표하며 업계의 개인정보 보호 원칙으로서 ① 투명성(transparency) ② 소비자 선택권(customer choice) ③ 프라이버시 중심 설계(privacy by design) ④ 정보 보안(data security) ⑤ 비례적 정보 이용(the proportionate use of data)을 제시하였음 .

 

(2)    제39조 : 반대

제39조(「개인정보 보호법」에 관한 특례) 규제프리존 내 지역전략산업과 관련하여 역내사업자는 영상정보를 수집하여 특정개인을 알아볼 수 없도록 조치하는 경우에는 「개인정보 보호법」제25조제1항에도 불구하고 시·도에서 정한 조례에 따라 영상정보처리기기를 설치·운영할 수 있다.

 

개인정보 자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 개인의 내밀한 영역이나 사사(私事)의 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함함(헌재 2005. 5. 26. 99헌마513 등). 또한 우리 개인정보 보호법 뿐 아니라 개인정보 보호에 관한 국제규범에 따르면 ‘개인정보’란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는(identified) 정보 뿐 아니라 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는(identifiable) 것도 포함함

따라서 영상정보 자동처리기기를 이용하여 공개적으로 수집되었고 직접적일 뿐 아니라 간접적으로 특정개인을 알아볼 수 있는 경우에는 마땅히 국민의 개인정보 자기결정권의 행사 대상임. 개인정보 보호법의 경우 영상정보 자동처리기기의 특수성을 감안하여 그 설치와 운영의 목적을 제한하고 있으나(제25조) 목적외 이용과 제3자 제공 등에 대해서는 일반적인 개인정보 보호 규정의 적용을 받음

국민의 기본권에 속한 개인정보 자기결정권을 제한하기 위해서는 구체적이고 명확한 ‘법률’적 근거가 충족되어야 하며, 특정 지역이라는 이유만으로 국민이 그 권리의 행사를 포기하도록 포괄적으로 규정하는 것은 위헌적임. 반면 이 조항에 따르면 개인정보 처리에 대한 동의권의 행사가 헌법 및 개인정보 보호법에서 보장하고 있는 영상정보의 수집과 이용에 관한 규정을 무시하고 시도 조례에 의해 제한받도록 함

디지털 네트워크의 특성상 특정지역에서 수집된 영상정보라 하더라도 가공하여 다른 지역, 나아가 다른 국가에서 이용 혹은 판매될 가능성을 감안해 볼 때 특정지역을 이유로 영상정보 보호 규정의 적용을 배제하는 것은 불합리함

 

(3)    제40조 : 반대

제40조(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 관한특례) ① 규제프리존 내 지역전략산업과 관련하여 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제2조제3호에 따른 정보통신서비스 제공자 중 역내사업자에 대하여는 규제프리존 내 설치된 사물인터넷 기반을 통하여 수집한 같은 법 제2조제6호에 따른 개인정보에 대하여 비식별화를 하는 경우에 같은 법 제24조 및 제24조의2를 적용하지 아니한다.

② 제1항에 따른 역내사업자는 비식별화 정보를 이용하는 과정에서 개인정보가 생성되는 경우 이를 지체없이 파기하거나 추가적인 비식별화 조치를 하여야 한다.
③ 제2항을 위반한 자에게는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제24조 및 제24조의2를 적용한다.
④ 제1항부터 제3항까지에서 규정한 사항 외에 역내사업자의 지정방법, 관리방법 및 기타 절차에 관한 사항과 비식별화의 수준 및 방법 등 필요한 사항은 미래창조과학부장관과 방송통신위원회가 협의하여 정하는 바에 따른다.

 

사물인터넷 환경에서는 오히려 광범위하고 자동적인 개인정보의 수집과 이용이 많아지면서 그로부터 국민의 개인정보 자기결정권을 보장하기 위한 국가적 조치가 필요함. 반면 이 조항은 사물인터넷 환경에서 암호화 등 ‘비식별화’ 처리를 하면 정보통신망법상 개인정보의 이용 제한(제24조) 및 제공 동의(제24조의2) 절차를 생략할 수 있도록 하였음

암호화 등 비식별화를 하는 경우 정보통신망법 등 기존 개인정보 보호법제의 적용을  배제하는 것은 기업이 국민의 개인정보를 무분별하게 수집하고 이용, 나아가 판매하는 결과를 야기할 것임. 특히 개인정보를 비식별화하였다가 재식별화하는 경우 개인정보 처리에 정보주체의 동의를 받거나 즉시 ‘처리 중단’하는 것이 아니라 선택적으로 ‘추가적인 비식별화’를 하겠다는 것은 결국 기업이 비식별화 정보가 재식별된 후에도 계속 이용하는 것을 보장하고 있음

무엇보다 ‘역내사업자’라고는 하지만 정보통신망법상 정보통신서비스 제공자의 경우 정보통신망을 통한 서비스 대상이 역내에 그치지 않고 전국, 혹은 전세계에 걸쳐 있음. 결국 이 조항은 지역전략산업을 이유로 국민의 개인정보에 대한 자기결정권을 전국 혹은 전세계에 걸쳐 무력화하는 효과를 불러올 것으로 보임

반면 사물인터넷 산업 육성을 위해 동의권 등 국민의 개인정보 자기결정권을 제한해야 할 불가피한 사정이 보이지 않음. 해외 어디에도 사물인터넷 산업 육성을 위해 정보주체의 동의 없는 개인정보 처리를 허용하는 입법례를 발견할 수 없다는 점에서 이는 과잉 제한에 해당함

오히려 유럽연합 29조 개인정보 보호 작업반에서는 2014년 9월 16일 발표한 사물인터넷 관련 의견서 에서 설령 가명화(pseudonymised), 심지어 익명화하더라도 예외없이 개인정보로서 보호할 것을 권고하고 있으며 사물인터넷 환경에서는 익명인 것처럼 보였던 정보로부터 개인 식별이 충분히 이루어질 수 있다는 사실을 경고하고 있음. 유럽연합에서는 사물인터넷의 경우에도 최종 이용자(end user)의 동의권 등 정보주체의 권리를 보장해야 한다는 점을 강조하고 있음

 

6.    결론

한국의 경우 반복적인 개인정보 대량 유출과 주민등록번호의 무분별한 사용으로 인해 국민 한 사람 한 사람의 개인정보에 대한 식별성이 매우 높은 상태로, 지금도 국제적으로 우리 국민의 개인정보에 대한 판매가 암암리에 이루어지고 있는 위태로운 형편임

빅데이터 시대에는 개인정보에 대한 자동화된 처리가 더욱 급증할 것이 예견되고 있음. 이에 대한 국가의 책무는 빅데이터 시대 국민의 개인정보를 더욱 안전하게 보호할 수 있는 방안을 마련하는 데 있다고 할 것임. 지역전략산업 육성의 명목으로 기존에 잘 작동해온 개인정보 보호 법제의 적용을 오히려 배제하는 것은 시대적 요구와 국민적 기대에 역행하는 처사임

개인정보 처리에 대한 동의권 등 개인정보 자기결정권은 헌법상 기본권(헌재 2005. 5. 26. 99헌마513 등)으로서 특정지역에 거주한다는 이유만으로 국민들에게 그 행사를 입법으로 그 포기를 강요하는 것은 위헌적임

비식별화에 대한 입법은 해외에서도 그 예를 찾아볼 수 없을 뿐 아니라 빅데이터 시대 개인정보 보호를 강화하는 유럽 등 국제 추세에 역행함. 산업의 이해를 위해 비식별화 개인정보에 대한 보호를 배제하는 것은 디지털 네트워크를 통해 특정 지역에서 뿐 아니라 전국, 나아가 전세계적으로 국민의 개인정보를 위험에 빠뜨리는 결과를 낳을 것임

정부와 국회는 불과 이년 전에 발생한 카드3사 사건에서 국민의 개인정보 보호를 강화하고 ‘정상화’하겠다고 국민 앞에 약속한 바 있음. 일부 산업의 이익을 위해 국민의 개인정보에 대한 동의권을 박탈하는 것은 국민과의 “약속을 저버리는” 행위로서 국민적 반발과 사회적 논란을 야기할 것으로 보임. 나아가 건강한 미래 산업의 육성 또한 위태롭게 할 것인 바, 개인정보 보호에 대한 대책은 지역전략산업 육성의 측면에서도 결코 소홀히 할 수 없는 국가적 과제임

 

2016. 5. 3.
경제정의실천시민연합
진보네트워크센터
참여연대

개인의 자유와 권리를 침해하고 존엄과 가치를 훼손하는,
금융위의 「신용정보법」 개정에 반대한다

27일(수) 경실련, 진보네트워크센터, 참여연대 공동 기자회견 개최
개인신용정보 활용하기 위해 동의절차도 보호장치도 최소화한 금융위. 개인정보 보호의 기본원칙도 무시한 「신용정보법」 개정 중단해야
정보주체의 동의절차 강화하고 재식별화가 불가능한 모델 마련 우선돼야

지난 18일 금융위원회(이하 금융위)는 ▲개인정보보호법제의 중복 적용 문제를 해결하고 ▲신용정보의 빅데이터 활용 등을 위해 「신용정보의 이용 및 보호에 관한 법률」(이하 「신용정보법」) 전면 개정하겠다는 계획을 발표하고, 20일 입법예고를 시행했습니다. 작년 6월 빅데이터 활성화를 위해 「신용정보법 시행령」 개정할 것이라는 기존 계획을 뛰어 넘어 모법인 「신용정보법」 자체를 개정하겠다고 나선 것입니다. 

하지만 이는 위험성을 제기하는 여러 목소리를 무시한 채, 개인정보를 범위를 축소하여 금융소비자들을 유출 등의 피해에 노출 시키고 업체들의 무분별한 개인신용정보 활용을 허가해주는 개정에 불과합니다. 이에 경실련, 진보네트워크센터, 참여연대는 「신용정보법」 개정에 강력하게 반대합니다.

다양한 개인정보보호법제들이 존재하는 이유는 그 중요성이 크기 때문입니다. 하지만 금융위가 내놓은 개정안은 규제완화와 산업 활성화 측면만 강조하다 보니 개인정보의 중요성을 망각하여 그 보호의 기능을 기존에 비해 크게 후퇴시키고 있습니다. 오늘날 각종 산업부문이 서로 융합되어가면서 정보 또한 온·오프라인의 구분을 넘어 결합·축적되어가고 있음에도 불구하고, 동 개정안은 「신용정보법」의 적용대상을 축소시켰습니다. 이는 기업들의 무책임한 개인정보 수집·이용 등을 제한하고 있는 현행 개인정보보호법제의 두터운 보호장치를 헐어내는 것임은 물론이거니와 개인정보보호법제의 입법취지를 크게 손상한 것이기도 합니다. 뿐만 아니라 금융위는 여전히 비식별 정보가 개인신용정보에 해당하지 않고, 그렇기 때문에 기업 등이 정보주체의 동의를 받지 않고도 이를 빅데이터 분석 등에 이용해도 된다고 주장하고 있습니다. 무관한 대법원 판결(해당 대법원 판결은 개인신용정보의 범위에 관한 것으로써, 신용에 관한 정보만을 개인신용정보로 본다는 신용정보법 관련 판결이다. 즉 해당 법에 따라 신용정보보호법에 따른 개인신용정보는 아니지만 개인정보보호법 등에서 규정하는 개인정보에 해당함은 명백합니다. 이 판결을 현재 개정안의 취지에 비추어 보아 어떠한 의미도 찾아볼 수 없습니다.)까지 인용한 것을 보면 개인신용정보와 개인정보를 분리하여 개인신용정보를 빅데이터 산업 등에 무분별하게 활용하고자 허용하는 것이 이번 개정의 목적임은 분명해보입니다.

하지만 아무리 개인정보를 비식별화 하더라도 ▲재식별을 가능하게 하는 매개 정보 증가, ▲데이터 공개의 증가, ▲맞춤형 광고 데이터의 증가와 데이터 집중의 심화, ▲데이터 마이닝 및 프로파일링 기술의 가속화, ▲사물통신 환경과 비식별 정보의 폭증 등으로 인해 재식별의 위험을 완전히 제거하는 것은 불가능합니다. 또한 기업은 “보다 정밀한 경영 및 마케팅 전략을 수립”하기 위해 “재식별 의지가 높은 주체중 하나”입니다(한국정보화진흥원, 2014, “개인정보 비식별화에 대한 적정성 자율평가 안내서” pp.17-20.). 따라서 금융소비자들은 물론 수많은 시민들의 정보가 무분별하게 수집되고 이용될 가능성이 높습니다. 그렇지만 금융위는 이에 대한 어떠한 고민도, 아무런 대비도 제시하지 않았습니다. 스스로 개정안에 비식별 정보를 제공받은 자의 재식별 금지(개정안 제32조의2제7항)하는 조항을 신설할 정도로 쉽게 재식별 될 수 있음을 자인하면서도, 어떠한 대안도 찾아볼 수가 없습니다.

금융위의 인식과는 달리, 개인정보보호법제들은 개인정보의 수집부터 이용까지 그 범위와 목적을 명확히 규제하고 있습니다. 뿐만 아니라 정보주체의 권리를 보호하고 사생활 침해 등이 최소화되는 상황에서만 정보의 수집과 유통 및 활용을 허하는 것을 주요한 원칙으로 하고 있습니다. 이는 곧 인권이 이익에 우선함을 의미하는 것이기도 합니다. 따라서 금융위의 경도된 입장으로 일관된 금번 개정안은 정보산업의 건강을 해치는 개악이자 우리 헌법의 대원칙에 역행하는 그야말로 심대한 오류임이 분명합니다.

경실련과 진보네트워크센터, 참여연대는 개인정보보호의 기본원칙마저 무시한 채 진행되는 금융위의 「신용정보법」 개정에 대해 반대해왔습니다. 우리는 지속적으로 다음과 같이 주장해왔고, 개악이 진행되고 있는 지금도, 그리고 앞으로도 그 입장에는 변함이 없습니다. 

첫째, 비식별 개인정보의 활용에 대한 논의에 앞서 비식별의 구체적인 정도와 기준설정에 관한 공개적인 논의가 반드시 있어야 합니다. 현재 국내에서 논의되고 있는 비식별화의 수준이 국제적 기준에 비해 낮아 재식별 가능성이 높다는 지적이 있습니다. 

둘째, 재식별 방지를 위한 현실적인 방안 또는 구체적인 기술에 대하여 명확히 설명하여 정보주체인 국민들의 동의를 구해야 합니다. 그 어떤 나라보다 우리나라 국민들은 개인정보와 관련한 많은 사건들을 겪어왔기 때문에, 국민들이 신뢰할 수 없는 그 어떠한 정보의 가공도 용납될 수 없습니다. 

셋째, 개인정보에 관한 그 어떠한 새로운 논의도 현행 개인정보보호법제가 허하는 범주 내에서, 그리고 우리 헌법의 정신에 부합하는 형태이어야 한다는 것을 잊지 말아야 합니다. 이에 비추어 보자면, 금융위가 시도하는 금번 「신용정보법」의 개악은 그야말로 일탈일 수밖에 없습니다. 

비식별 개인정보에 대한 올바른 논의의 진행하기 위해서, 금융위는 이렇듯 잘못된 접근으로 일관할 것이 아니라 개인정보보호위원회 등의 개인정보 관련기관은 물론 정보인권 및 프라이버시 관련 시민사회와 유기적으로 협력하여 개인의 자유와 권리를 침해하지 않도록 노력해야 합니다.

우리 세 단체는 향후에도 적극적인 입법 저지 운동 등 시민들의 안전과 개인정보 보호를 위한 적극적인 대응을 지속할 것입니다.

금융위의 「신용정보법 개정안」에 대한 시민단체 공동 기자회견

○ 일 시 : 2016년 4월 27일(수) 오전 11시
○ 장 소 : 금융위원회 앞
○ 기자회견 순서

- 사회 : 경실련 박지호 간사

- 기자회견 개최 취지 설명 : 경실련 박지호 간사
- 「신용정보법 개정안」 주요 문제점 설명 – 진보넷 장여경 활동가
- 기자회견문 낭독 – 참여연대 김은정 간사
- 금융위 의견서 제출
  ※ 참여연대는 이번 신용정보법 개정안과 관련하여 보다 엄밀한 검토를 거친 의견서를 추후 발표 예정임. 

<기자회견문>

 

개인의 자유와 권리를 침해하고 존엄과 가치를 훼손하는, 금융위의 「신용정보법」 개정에 반대한다

 

우리 세 단체는 시민들의 개인정보의 소중함을 알리기 위해 이 자리에 모였습니다. 특히 오늘은 정부의 안일한 개인정보 정책을 비판하고 반대하기 위해 이 자리에 모였습니다.

 

약 4억 건이 넘는 개인정보가 유출됐습니다. 온 시민들의 개인정보가 전 세계의 “공공재”로 활용되고 있는 현실에 시민들은 불안해하고 있습니다. 하지만 정부의 방치 속에 기업은 자사 이익을 위해 개인정보를 무분별하게 수집·이용했고 상황은 더욱 악화되었습니다.

 

정부는 말 그래도 방치하고 있습니다. 오히려 자신들이 한 시민들과의 약속도 지키지 않고 있습니다. 우리는 분명히 기억하고 있습니다. 2014년초 카드3사의 대규모 개인정보 유출사건이후, 정부는 개인정보 주체의 권리를 강화하기 위해 자기정보결정권을 보장하는 방안을 마련하겠다고 발표한 바 있습니다.

 

하지만 최근 금융위원회가 「신용정보의 이용 및 보호에 관한 법률 일부개정법률안」(이하 「신용정보법 개정안」)을 내놓으며 이 약속을 완전히 뒤집었습니다. “개인정보보호법제의 중복 적용 문제를 해결”하고 “신용정보의 빅데이터 활용”등을 위함이라고 이야기하지만, 정부는 시민들에게 반드시 필요한 규제를 일방적으로 완화하려 합니다.

이는 마땅히 보호받아야 할 개인정보 범위를 과도하게 축소하여 업체들의 무분별한 활용을 허가해주는 것에 불과하고, 금융서비스를 이용하는 시민들을 개인정보 유출 등의 피해에 노출 시키는 것에 해당합니다. 하지만 금융위원회는 규제완화와 산업 활성화 측면만 강조하다 보니 개인정보의 중요성을 망각하여 그 보호의 기능을 기존에 비해 크게 후퇴시키고 있습니다.

 

이에 우리 세 단체는 다음과 같이 주장합니다.

 

먼저, 「신용정보법」의 적용대상을 축소시키는 것에 반대합니다. 오늘날 각종 산업이 서로 융합되고, 정보는 온·오프라인의 구분을 넘어 결합·축적되어가고 있습니다. 개별적인 금융 산업이란 존재하지도 존재할 수도 없습니다.
이러한 상황에서 신용정보를 보호하는 법제를 「신용정보법」으로 축소할 경우, 기업들의 무책임한 개인정보 이용 등을 제한하고 있는 현행 개인정보보호법제의 두터운 보호장치를 헐어내고 그 입법취지를 크게 손상시키게 됩니다.

 

또한 비식별화 작업을 거친 신용정보를 기업이 무분별하게 사용하도록 허용하는 것 역시 반대합니다. 이는 시민들의 개인정보 보호 강화 요구를 무시하는 것입니다. 정부의 주장과 달리 비식별화된 개인정보도 개인정보입니다. 그렇기 때문에 기업 등이 이를 이용하기 위해서는 반드시 우리의 동의를 구해야 합니다.

 

무엇보다 비식별화 작업은 충분한 안전장치가 될 수 없습니다. ▲재식별을 가능하게 하는 매개 정보 증가, ▲데이터 공개의 증가, ▲데이터 마이닝 및 프로파일링 기술의 가속화 등으로 인해 재식별의 위험이 너무나 높습니다. 금융위원회 역시 스스로 개정안에 비식별 정보를 제공받은 자의 재식별을 금지하는 조항을 신설할 정도로 쉽게 재식별 될 수 있음을 자인하고 있습니다. 그럼에도 불구하고 어떠한 대안도 제시하지 않고 있습니다.

 

정부는 무분별한 제도를 수정할 것이 아니라, 개인정보의 비식별화 작업에 대한 구체적인 정도와 기준설정은 공개적이고 충분한 논의 과정을 거쳐야 합니다. 또한 근본적인 대안으로서 재식별 방지를 위한 현실적인 방안 또는 구체적인 기술에 대하여 명확히 설명하고, 정보주체인 국민들의 동의를 구하는 제도적 안전장치를 마련해야만 합니다.

 

현행 개인정보보호법제들은 개인정보의 수집부터 이용까지 그 범위와 목적을 명확히 규제하고 있습니다. 뿐만 아니라 정보주체의 권리를 보호하고 사생활 침해 등이 최소화되는 상황에서만 정보의 수집과 유통 및 활용을 허하는 것을 주요한 원칙으로 하고 있습니다. 이는 곧 우리 인권이 이익에 우선함을 의미하는 것입니다. 따라서 금융위원회의 경도된 입장으로 일관된 금번 개정안은 정보산업의 건강을 해치는 개악이자 우리 헌법의 대원칙에 역행하는 것입니다.

 

정부는 기업이 아닌 시민을 바라봐야 합니다. 우리는 다시 한 번 정부가 개인정보에 관한 논의에 있어서 현행 개인정보보호법제가 허하는 범주 내에서, 그리고 우리 헌법의 정신에 부합하는 형태이어야 한다는 점을 잊지 않기를 요구합니다.

2016년 4월 27일
경제정의실천시민연합 ‧ 진보네트워크센터 ‧ 참여연대

 

대우조선해양 도산시 56조 손실 추계액 사실상 ‘셀프 추정’

해당 보고서와 관련하여 산업은행과 금융위의 인지 여부, 인지 시점, 활용 여부와 활용 정도 등에 관한 정밀조사 필요
3/23 발표예정 금융위의 대우조선해양 구조조정방안의 진실성 전면 재검토해야

오늘(3/21), 헤럴드경제는 “대우조선해양의 도산시 직접적 손해액이 약 56조원에 달한다는 손실추계액이 대우조선해양의 사실상 셀프 추정의 결과였다”고 단독보도했다(https://goo.gl/hVC3r9). 이 보도에 따르면 대우조선해양은 이 회사의 대표이사인 정성립 사장이 이사장으로 활동하는 학교법인 세영학원 소속의 거제대학 산학협력단을 통해 이 대학의 이모 교수에게 의뢰하여 ‘대우조선 도산으로 인한 국가경제적 손실 규모’ 보고서를 작성했다는 것이다. 대우조선해양 도산시 국가경제에 미치는 손실이 거제대 산학협력단의 추산에 따르면 약 56조원에 달한다는 보도는 이미 존재했다(https://goo.gl/GZ33AE). 그러나 이 용역의 의뢰자가 채무자인 대우조선해양이고, 정성립 대우조선해양 대표이사가 거제대가 속한 학교법인 세영학원의 이사장이라는 점은 이번에 처음 드러난 것이다. 56조원의 손실 주장이 객관성을 갖지 못하게 된 결정적인 이유가 바로 여기에 있다. 한편 국민의당 김관영 의원은 오늘자 국민의당 원내 대책회의에서 “어제 금융위원회 부위원장이 국회에 (대우조선해양 파산 시 57조원 피해와) 관련한 내용을 보고하러 왔다”며 “사실상 정부가 정한 4조3000억원의 공적자금 투입을 받아들이라는 것”이라고 말했다(https://goo.gl/mebGuD). 묘한 우연의 일치가 아닐 수 없다.

채무기업이 자신의 재무적 상황을 진단하고, 이를 근거로 채권자와 정부를 설득하기 위해 용역보고서를 준비할 수는 있다. 문제는 산업은행 등 채권단과 금융위원회(이하 ‘금융위’)의 태도다. 채권단과 금융위가 과연 이 보고서의 존재를 알고 있었는지, 알았다면 언제 알았는지, 또 이 보고서에 등장하는 손실 추계 액수가 산업은행이나 금융위의 자체적 손실액 추계에 얼마나 영향을 미쳤는지 등은 대우조선해양에 막대한 공적 자금이 이미 투입된 상황이라는 점에서 국민적 관심사가 아닐 수 없다. 참여연대 경제금융센터(소장 대행: 김성진 변호사)는 거제대학 산학협력단의 보고서와 관련하여 산업은행과 금융위의 인지 여부, 인지 시점, 활용 여부와 활용 정도 등에 관해 국회 정무위가 철저히 조사하여 만에 하나라도 금융위가 국민을 상대로 신뢰하기 어려운 숫자를 이용하여 대우조선해양에 대한 자금 지원을 압박하는 일이 없도록 할 것을 촉구한다.  

앞에서 인용한 이데일리의 2017.03.16.자 기사(https://goo.gl/GZ33AE)에 따르면 거제대 산학협력단의 보고서의 손실추계 기준시점은 2016년 9월말로 알려졌다. 따라서 이 보고서의 최종 완료 시점은 작년 하반기 정도로 추정된다. 문제는 이 보고서가 산업은행과 금융위에 전달되었는지, 또 전달되었다면 그 시점은 언제인지 하는 점이다. 이 사실이 중요한 이유는 금융위가 작년 12월에 대우조선해양의 증자와 관련하여 땜질식 처방을 한 적이 있기 때문이다. 주지하듯이 금융위는 대우조선해양의 재무건전성 악화가 심해져서 상장 폐지 위험에 처하자, 지난 2016년 12월 29일 산업은행의 출자전환과 수출입은행의 영구채 매입 등 땜질식 처방을 통해 상황을 모면했기 때문이다(https://goo.gl/tJOQia). 

만일 이 보고서가 작년말 부근의 어느 시점에서 완성되었고, 그 내용이 객관적이고 정확한 것이라면 대우조선해양이 이 보고서를 상장폐지 방어와 자본확충 필요성을 입증하기 위해 사용하지 않았으리라고 상정하기란 대단히 어렵다. 만일 채권단 또는 금융위가 작년 하반기 어느 시점에 이 보고서의 결론을 파악하고 있었다면, 왜 작년 말에는 56조원의 손실 추계를 손에 받아 들고도 출자전환과 영구채 발행으로 ‘땜질 처방’을 했으면서, 지금 새 정부가 출범하기 두 달도 안 된 시점에서는 거의 동액의 손실 추계가 ‘본격적 구조조정 자금의 신규 투입’을 정당화하는 논거가 되는지 도무지 납득할 수 없다. 이 보고서의 작성 경위와 보고 시점 및 활용 정도에 대한 국회 정무위의 면밀한 진상 조사가 필요한 이유가 바로 여기에 있다.

상황을 반대로 가정하여, 금융위가 작년말까지는 이런 내용을 전혀 알지 못했고 올해 들어 뒤늦게 손실액 추계에 나서서 비로소 국민경제상 손실액이 57조원에 달한다는 점을 새삼 깨달았다고 해도 문제는 계속 남아 있다. 왜냐하면 금융위는 정확한 비용-편익 분석도 없이 작년 말에 땜질식 처방을 한 것이 되기 때문이다. 현재 금융위는 당장 대규모 신규 공적 자금을 투입해야 하는 이유로 57조원의 손실 이외에 유동성 부족이 현재화되는 상황에서 구조조정 지연은 추가부실 확대, ‘4월 위기설’ 등 불안심리 확산 등 부작용이 우려된다는 논리를 펼치는 듯하다. 그러나 그런 상황은 대통령 탄핵이 한창 진행 중이고 상장폐지 가능성이 거론되는 작년말에도 사실상 동일했다. 따라서 현재 금융위가 펼치는 논리대로라면 작년말의 시점에서 본격적인 비용-편익 분석을 하고 구조조정의 방향을 재평가했어야 한다.

이런 정황을 고려할 때, 우리는 금융위가 이 보고서의 결론을 활용하고 있건, 아니건 간에 그 어떤 논리도 작년말의 땜질 처방과 최근의 대규모 신규자금 투입 불가피론을 동시에 정당화할 수 없다는 데 주목한다. 그리고 이런 논리적 부정합성은 자연스럽게 금융위가 대통령 선거를 앞두고 대규모로 신규 공적 자금을 투입하려고 하는 진정한 이유에 대한 의심을 가지게 한다. 주지하듯이 금융위는 지난 2015년의 서별관회의, 작년 여름의 자본확충펀드 등을 거치면서 일관되게 변칙적이고 음성적인 방식으로 대우조선해양에 자금을 지원하거나 그런 방향을 추구해 왔다. 그 이면에 대우조선해양의 주요주주로서 주식가치를 증발시켜 국유재산을 훼손한 금융위의 직접적 책임과, 대우조선해양의 최대 이해관계자라 할 수 있는 산업은행에 대한 감독기관으로서의 감독 부실 책임을 모면하려는 불순한 의도가 있는 것은 아닌지 의심할 수밖에 없다. 참여연대가 대우조선해양의 생사 문제를 차기 정부로 이관하는 것을 주장하는 이유가 바로 여기에 있다. 대우조선해양의 생사 문제는 이제까지 있었던 각종 변칙적, 음성적 행위들의 실상과 의도가 낱낱이 드러나고, 대우조선해양의 재산상황과 사업전망 및 국민경제에 미치는 진정한 영향이 정확히 평가된 이후에 가장 신속하고 효율적인 방식으로 처리되는 것이 마땅하다. 

이번 거제대 산학협력단 보고서의 작성 경위는 대우조선해양에 대한 채권단과 금융위의 의사결정이 아직도 대단히 불투명한 상황 속에서 이루어지고 있을 개연성을 여실히 보여 주었다. 참여연대 경제금융센터는 국회 정무위가 거제대학 산학협력단의 보고서와 관련하여 산업은행과 금융위의 인지 여부, 인지 시점, 활용 여부와 활용 정도 등에 관해 철저히 조사하여, 만에 하나라도 금융위가 국민을 상대로 신뢰하기 어려운 숫자를 이용하여 대우조선해양에 대한 자금 지원을 압박하는 일이 없도록 할 것을 촉구한다. 

참여연대, 건강과대안 「개인의료정보 유출 위험성」 설명자료 발표

사회적 낙인과 배제, 인사상 불이익, 혐오현상 발생

의료분야에서는 건강보험 불신, 의료인과 환자간 불신, 비급여 증가

참여연대와 건강과대안은 오늘(10/18) 「개인의료정보 유출 위험성」 설명자료를 발표하였다. 본 자료에서는 개인의료정보 유출로 발생할 수 있는 위험성을 지적하고 개인의료정보의 보완이 더 강화되어야 함을 주장하였다. 

정부는 건강관리서비스, 정밀의료, 맞춤형 의료 정책 등을 발표하고 있지만 이는 국가 및 지방자치단체가 공공보건의료 차원에서 책임져야 하는 국민의 질환예방, 건강 유지 등에 대한 공적 책임 부분을 시장에 맡기겠다는 것이 골자이다. 또한 이러한 정책은 민감정보로 분류되는 개인의료정보가 민간보험회사, 기업, 제약회사 등에게 공유될 수 있는 가능성이 큰 정책이다. 이처럼 개인의료정보가 유출될 경우, 인사상 불이익, 혐오 현상 발생, 사회적 낙인과 배제 등이 일어날 가능성이 크고 의료분야에서는 비급여 증가, 의료인과 환자간의 불신 및 건강보험 불신이 가중 될 것이다. 따라서 개인의료정보는 현재보다 보완이 더 강화되어야 한다. 

#1
개인의료정보, 유출되고 있다? 

#2
약학정보원, 환자 대인정보 43억건 불법거래
미 빅데이터 기업에 흘러간 한국 4300만 명의 처방전
최근 5년간 개인정보 무단열람 569건, 유출 156건
'주민번호' 5년간 1억건 털렸는데..."유출기관 비공개"
의료기록 유출 사고 펑펑..고양이에게 생선가게 맡기자는 정부
리베이트 위해 환자 처방전 내역까지 넘긴 의사들...돈 앞에 의료윤리 판 꼴

#3
"개인정보 유출사고 TOP 10" 한국1등
(2014년 미국 보안회사 SafeNet)
"의료분야 침해 급증"
(미국 신용도용범죄정보센터)

#4
누가 나의 의료정보를 탐내나?

#5
보험회사(보험료인상과 보험금 지급 거절 사유)
기업(취업과 면점, 해고 사유)
제약회사(개인대상 의약품이나 건강기능식품 판촉 이용)

#6
내 의료정보가 떠돌아 다닌다!

#7
"00이는 임신과 낙태를 했대"
"고객임은 질환이 있으셔서 결혼 소개 시장 등급이 낮아질 가능성이 있습니다"
"이 지원자는 건강이 좋지 않은 것 같군. 불합격!"

사회적 낙인과 배제, 인사상 불이익, 혐오 문화 가중

#8
유출된 의료정보 영원한 주홍글씨

#9
개인의 비밀이 노출되는 사회
사회 연대 붕괴
사회 비용 증가

#10
"나의 의료정보를 기록에 남기고 싶지 않아요. 건강보험이 적용되지 않아 비용이 많이 들더라도 비급여로 진료를 받고 싶어요" --> 비급여 진료가 증가합니다. 
"나의 의료정보를 의사가 유출시킬 것 같아요" --> 환자와 의료인간의 신뢰가 무너집니다. 
"이렇게 의료정보가 유출이 된다면 나의 정보를 집적하고 있는 건강보험공단을 믿을 수 없을 것 같아요" --> 국민건강보험 불신이 발생합니다. 

#11
개인의료정보유출 NO

#12
내 정보는 안돼 NO