금융위 빅데이터 활성화 방안에 대한 시민단체 입장

지역

금융위 빅데이터 활성화 방안에 대한 시민단체 입장

익명 (미확인) 님 | 금, 2015/06/05- 11:32

금융소비자 보호는 외면한 금융위,

무분별한 빅데이터 활용 계획 즉각 중단하라

- 개인정보 보호의 기본원칙마저 무시한 「신용정보법 시행령」 개정 계획 -

- 금융소비자의 안전을 위해 개인신용정보 강화 방안 모색 우선돼야 -

지난 3일 금융위원회(이하 금융위)는 금융회사와 핀테크 기업의 동반성장 토대를 구축하기 위한 ‘빅데이터 활성화 방안’을 발표했다. 금융위는 「신용정보의 이용 및 보호에 관한 법률 시행령」(이하 「신용정보법 시행령」) 개정 및 유권해석을 통해 비식별화한 정보는 보호대상인 개인신용정보에서 제외함으로써 금융회사들이 이를 빅데이터 업무에 활용할 수 있도록 하겠다는 계획이다.

현행 「신용정보법」에서 개인신용정보는 비식별화 여부와 무관하게 보호되고 있다. 하지만 금융위는 여러 차례 대규모 개인정보 유출 사태로 인한 국민들의 규제강화 요구 흐름과는 반대로, 빅데이터·핀테크 산업 활성화라는 미명하에 무분별하게 관련 규제를 풀려 하고 있다.

경실련 소비자정의센터와 진보네트워크센터는 경제활성화·산업육성에 매몰돼 금융소비자보호는 전혀 고려치 않은 금융위에 위 방안을 즉각 철회할 것을 촉구한다.

개인정보 비식별화와 관련하여, 지난해 방송통신위원회의 「빅데이터 개인정보보호 가이드라인」 발표 때부터 지속적으로 재식별 위험가능성에 대한 지적이 이어지고 있다. 또한 보다 강화된 개인정보 보호를 위해서 *비식별화가 아닌 **익명화 처리가 돼야 한다는 주장도 지속되고 있다.

하지만 금융위는 위와 같은 논의는 뒤로 한 채, 시행령 개정을 통해 종부가 의도하는 데로 문제를 해결하려 하고 있다. 최근 국회법 개정 논란의 상황 속에서 정부가 개인정보 보호를 목적으로 제정한 「신용정보법」의 취지에 반하고, 나아가 시민들의 요구와 의지에도 반하는 정책을 추진하는 것은 시민과 법을 제정한 국회를 무시하는 행태에 불과하다.

이에 우리는 금융소비자들의 개인신용정보 보호를 위해 아래와 같이 주장한다.

첫째, 금융위는 「신용정보법 시행령」 개정 계획을 즉각 중단하라. 비식별화를 명분으로 개인정보를 빅데이터에서 무분별하게 활용할 수 있게 하는 것은, 향후 발생할 수밖에 없는 금융소비자들의 개인신용정보 유출 피해를 방치하는 것에 불과하고 대규모 개인정보 유출피해를 여러 법 경험한 국민들을 불안하게 하는 처사이다. 개념과 내용도 모호한 비식별화에 대해 어떠한 사회적 합의도 되지 않은 상태에서 정부가 일방적으로 밀어붙이는 행위를 즉각 중단해야 한다.

둘째, 종합신용정보집중기관 운영에 따른 개인신용정보 보호 대책을 즉각 마련하라. 금융위는 5개 협회의 신용정보집중기관을 2016년 3월까지 종합신용정보집중기관으로 통합할 계획이다. 하지만 ‘세계 최초’ 통합 사례라는 타이틀과 운영에 따른 효율성만 내세울 뿐, 개인신용정보의 과도한 집중에 따른 위험성과 개인정보 유출 방지대책 등에 대해서는 간과하고 있다. 현재의 상태에서 정보집중기관에 개인신용정보가 모두 통합된 후, 또 다시 대규모 개인정보 유출사고가 발생한다면 그 피해는 감히 상상할 수 없는 수준에 달할 것이다.

마지막으로 빅데이터 산업을 활성화 하더라도 금융소비자들의 ‘실질적인’ 개인정보자기결정권을 보장해야 한다. 개인신용정보 보호를 위해 비식별화 여부와 상관없이 모든 개인신용정보의 수집·처리·활용 등을 할 때에는 금융소비자들이 실질적으로 직접 동의하고 선택해야 한다. 나아가 원하지 않을 시 이를 거부할 권리 역시 기본적으로 보장할 수 있는 장치 등이 최우선적으로 마련돼야 한다.

개인정보 보호를 위한 각종 법령들은 빅데이터 활용을 가로막고 있는 제약사항이 아닌, 소비자들의 개인정보를 보호하기 위한 최소한의 장치이다. 정부가 이를 망각한 채 규제 완화에만 치중할 경우, 심각한 사회적 혼란과 소비자 피해를 야기할 것이라는 것을 반드시 명심해야 한다.

*‘비식별화’란 개인정보가 식별되지 않도록 일종의 암호화 등의 작업을 거치는 것을 의미. 하지만 재식별 가능성이 있어 안전성을 보장할 수 없음

**‘익명화’란 개인정보가 개인을 식별할 수 없는 상태이거나, 식별할 수 없도록 회복 불가능하게 변경하는 것을 의미

경실련 소비자정의센터, 진보네트워크센터

시민들의 의견

댓글 달기

이름

Comment

텍스트 형식 정보

텍스트 형식

Plain text

웹 페이지 주소 및 이메일 주소는 자동으로 링크로 전환됩니다.
줄과 단락은 자동으로 분리됩니다.
사용할 수 있는 HTML 태그: <a href hreflang> <em> <strong> <cite> <blockquote cite> <code> <ul type> <ol start type> <li> <dl> <dt> <dd>

CAPTCHA

스펨 사용자 차단 질문

빅데이터 관련 국회 법안심사 관련 의견

요약문:

‘비식별화’ 개념은 행정입법에 그치지 않고 국회에 발의되어 있는 일부 법안들에서 법정 개념으로 도입하고 있습니다. 이에 우리 단체들은 다음 비식별화 관련 법안들에 대한 반대 의견을 제출합니다.

<의견>

발표일자:

2015/11/23

나머지 보기

빅데이터, 개인정보보호법, 프라이버시, 의견서 및 소송

화, 2015/11/24- 13:07

367

[기자회견] 정부는 금융정보 장악 통한 빅브라더 추진 중단하라

정부는 국민의 금융정보 장악을 통한 빅브라더 추진을 즉각 중단하라!

정부가 종합신용정보집중기관 장악, '금융산업의 국정원' 우려 대두

금융위원회는 종합신용정보집중기관 장악하려는 모든 시도 포기해야

○ 일시 및 장소 : 8/18(화) 오전10시 국회 정론관

○ 공동주최 : 국회의원 김기준, 민병두, 신학용, 이상직, 이학영

최근 금융위원회가 추진하고 있는 개인 금융정보와 관련한 일련의 정책이 개인의 사생활 침해와 빅 브라더(Big Brother) 등장이라는 우려를 자아내고 있다. 금융위는 지난 6월초에 재식별화의 위험을 제대로 통제하지 않은 상태에서 금융권 빅데이터 유통을 허용하는 졸속 정책을 발표한 데 이어, 최근에는 종합신용정보집중기관을 사실상 정부가 장악하는 형태로 설립하려고 갖은 편법을 동원하고 있다. 금융위원회는 2014년 초 카드3사의 1억여 건에 달하는 개인정보 유출사태를 계기로 개인의 신용정보를 안전하게 보호한다는 미명하에 개인 신용정보와 금융권의 빅데이터(Big Data) 정보를 하나의 기관에 집중하는 종합신용정보집중기관 설립을 추진하고 있다. 개인의 신용정보를 금융기관등 신용정보의 이용자가 안전하고 투명하게 활용할 수 있도록 효과적으로 관리해야 할 정책적 필요성을 인정한다고 하더라도, 모든 중요 금융정보를 하나의 기관에 집중하는 것이 옳은지, 또 그 기관을 정부의 영향력이 미치는 사실상의 정부 산하기관으로 두는 것이 옳은지에 대해서는 심도있는 논의와 국민적 공감대가 필요하다. 지난 2015년 3월 11일에 개정되고 2015년 9월 12일에 시행 예정인 「신용정보의 이용 및 보호에 관한 법률」개정 법률(법률 제13216호)은 개인의 신용정보 보호를 강화하기 위한 여러 중요한 사항을 포함하였지만, 신용정보의 공적 집중이 개인의 사생활을 훼손할 수 있는 가능성에 대해서는 논의가 부족했던 것이 사실이다. 바로 이런 이유 때문에 당초 국회 정무위원회는 여야 합의로 신설되는 종합신용정보집중기관을 정부가 관장하는 기구가 아니라 민간단체인 은행연합회를 중심으로 구성․운영토록 제한했던 것이다.

대한민국 헌법 제17조는 “모든 국민은 사생활의 비밀과 자유를 침해받지 아니한다”고 규정하여 사생활 보호를 헌법적 권리로 천명하고 있다. 또한 헌법 제37조 제2항은 “국민의 모든 자유와 권리는 국가안전보장·질서유지 또는 공공복리를 위하여 필요한 경우에 한하여 법률로써 제한할 수 있으며, 제한하는 경우에도 자유와 권리의 본질적인 내용을 침해할 수 없다”고 하여, 비록 정부가 다른 공익적 목적을 위해 국회가 제정한 법률에 따라 이 권리를 일부 제한할 수는 있어도 그것은 마땅히 필요한 최소한에 그쳐야 한다고 밝히고 있다. 그러나 작금에 금융위원회가 추진하는 개인 금융정보의 집중 및 활용과 관련한 정책들은 졸속과 편법에 치우친 나머지 국민의 사생활 보호라는 헌법적 가치를 심각하게 훼손하고 있다. 우리는 특히 정부가 중요하고 민감한 개인정보를 독점하는 것은 자유 시민사회의 근간을 훼손하는 처사라는 점에서 현재의 정책 방향을 심각하게 우려하지 않을 수 없다. 이에 우리는 정부가 개인의 자유와 사생활 보호를 훼손하는 현재의 정책 추진을 즉각 중단하고, 이에 대한 국민 여론을 광범위하게 수렴하여 올바른 개인정보 보호 및 활용 정책을 수립할 것을 촉구한다.

현재 금융위원회는 민간기구에 의한 정보집중 및 관리라는 입법부의 명시적인 입법 의도를 사실상 무시한 채 자신들의 주도 하에 은행연합회 산하의 별도법인 설립 방안을 강행하고 있다. 형식적으로는 은행연합회와의 관련을 유지하지만 실질적으로는 은행연합회와 절연된 금융위의 산하기관을 만들겠다는 것이나 다름없다. 이렇게 될 경우 국회의 입법의도와는 달리 사실상 금융위원회가 모든 조직과 운영을 장악하게 된다. 특히 종합신용정보집중기관을 공적 기관으로 만들어 금융위원회가 장악할 경우 이렇게 설립된 종합신용정보집중기관이 보유한 개인의 금융정보와 기타 금융권 빅데이터 정보가 금융위원회 산하기관인 금융정보분석원(FIU)으로 넘어가고, 또 금융정보분석원은 이 정보를 검찰, 경찰, 국세청, 관세청, 선관위 등 공공기관에 제출할 가능성을 배제할 수 없다. 결국 현재의 금융위원회 정책이 그대로 추진될 경우 자칫 전체 국민들의 금융정보를 정부가 장악한 후 검찰, 국세청, 선관위 등 공공기관이 자신의 입맛에 맞게 이 정보를 사용하는 상황이 발생할 수 있다. 이것이 바로 빅브라더 사회의 출현이다. 이는 국정원에 의한 개인정보 해킹 의혹에 버금가는 정부 주도의 민간정보 침탈이다. 개인의 사생활 침해는 물론이고, 정부기관이 보유하게 될 금융정보가 특정 정당이나 특정인에게 유리하거나 불리하게 활용될 가능성도 배제할 수 없다는 점에서 이는 자유 시민사회의 근간을 흔들 수 있는 잠재성을 가지고 있다.

이에 우리는 금융위원회가 현재 추진하고 있는 개인신용정보 관련 정책이 초래할 빅 브라더 출현 가능성에 대해 강력한 우려를 표명하면서 다음과 같이 천명한다.

첫째, 금융위원회는 국회 정무위원회의 여야 권고 및 합의를 사실상 무시한 채, 종합신용정보집중기관의 조직과 운영을 장악하려는 모든 시도를 중각 중단하라.

둘째, 정부와 국회는 빅 데이터 시대의 도래에 따라 개인의 사생활 보호와 개인 정보의 활용 간의 적절한 균형에 대한 국민 여론을 광범위하게 수렴하여 이를 정책에 반영하라.

셋째, 종합신용정보집중기관 출범은 이 기구의 설치, 조직 형태, 업무 범위, 정부로부터의 독립 등에 관하여 국민 여론을 충분히 수렴한 후, 이를 현재 논의 중인「신용정보의 이용 및 보호에 관한 법률」 전부개정안에 새롭게 반영할 때까지 전면 중단하라.

우리는 온 국민의 금융정보를 장악하려는 정부의 부당한 시도를 강력히 규탄한다. 정부가 빅브라더를 강행할 경우 온 국민적 저항에 직면할 것이며, 우리는 국민과 함께 정부의 금융정보 침탈에 맞서 강력히 대응해 나갈 것임을 밝힌다.

국회의원 김기준, 민병두, 신학용, 이상직, 이학영

참여연대 / 민주사회를위한변호사모임 / 전국금융산업노동조합

<보도자료>

국회의원 김기준, 민병두, 신학용, 이상직, 이학영, 참여연대, ‘민주사회를 위한 변호사모임’(이하 민변), 전국금융산업노동조합(이하 ‘금융노조’)은 공동으로 연대하여 금융위원회의 금융정보 장악을 통한 전체 국민의 프라이버시 침해 및 빅브라더 추진 의도를 규탄함

금융위원회(이하 ‘금융위’)는 2014년초 카드3사의 1억여건에 달하는 개인정보 유출 사태를 사전에 방지하지 못한 관리 감독 책임이 자신들에게 있음에도 불구하고 오히려 민간의 정보인 신용정보와 금융권의 빅데이터(Big Data)정보를 다루는 종합신용정보집중기관을 지난 30여년간 동 업무를 수행해온 은행연합회로부터 분리시켜 별도의 임원 선임을 통해 장악한 후, 동 정보를 공공목적으로 이용할 의도를 드러내고 있음

모든 근거 자료(붙임 참조)는 금융위가 장악한 집중기관이 보유한 신용정보와 금융권 빅데이터 정보를 자신들의 산하기관인 금융정보분석원(FIU)으로 넘기고 금융정보분석원은 동 정보가 검찰, 경찰, 국세청, 관세청, 선관위 등 공공기관에 이전될 수 있도록 하는 것이며, 이미 국세청은 기존의 금융정보분석원 정보만을 가지고 2014년중 2.3조원의 추가 징세 실적이 있고 과거 3년간 12만여건의 FIU정보가 관련 공공기관에 이전되었음

결국, 금융위가 민간기관인 은행연합회를 중심으로 개정 신용정보법에 따른 종합신용정보집중기관을 구성․운영하라는 국회 정무위원회의 거듭된 의견을 무시하고 있는 진정한 의도는 전체 국민들의 금융정보를 자신들이 장악하여 검찰, 국세청, 선관위 등 공공기관들이 기관별 의도에 맞게 이용하게 하는 것이며, 이는 정부에 의한 감시 사회를 지칭하는 “빅브라더 사회(Big Brother Society)의 도래”나 “정부에 의한 전체 국민의 프라이버시 침해” 우려가 매우 높으며, 개인정보의 대량 유출과 악용 가능성도 증가시킴

이는 국정원에 의한 카카오톡 해킹 의혹에 버금가는 정부 주도의 민간 정보 침탈이며, 공공기관 등이 보유하게 될 금융정보가 특정 정당이나 특정인에게 유리하거나 불리하게 활용될 가능성도 증가시켜 우리나라의 정치 선진화는 물론, 국민의 자유권 향유 등에도 많은 지장을 초래할 것임 (붙임 「가상 사례」참조)

이 같은 공동의 우려 제기와 빅데이터는 예외없이 민간에서 다루도록 하는 해외의 사례 등을 감안하여 정부는 민간 신용정보와 금융정보의 집중과 활용에 관여하려는 일체의 시도를 즉각 중단하고 국회의 합의 및 권고에 따라, 지난 30여년간 신용정보를 집중해온 민간기구인 은행연합회가 이 업무를 계속 수행토록 할 것을 요구함

국회의원 김기준, 민병두, 신학용, 이상직, 이학영, 참여연대, 민변, 금융노조는 온 국민의 금융정보를 장악하려는 정부의 부당한 시도가 중단되지 않을 경우 온 국민과 함께 강력히 대응해나갈 것임.

※ 첨부자료

- 보도자료

- (붙임1) 정부의 빅브라더 추진 근거

- (붙임2) 빅브라더 ‘가상사례’

- (붙임3) 신용정보 집중 체계 개편 관련 주요 경과 등

- (붙임4) 핵심 Q&A

금융위원회, 신용정보, 빅데이터

화, 2015/08/18- 10:43

367

보건의료 빅데이터 활용에 대한 시민사회노동단체의 입장

보건의료 빅데이터 활용에 대한

시민사회노동단체의 입장

보건의료 영역에서 빅데이터는 공중보건, 공익적 연구, 임상 치료 영역에서 공공적 가치를 실현하는데 도움이 될 가능성이 있다. 하지만 정부 차원에서 제시되고 있는 그 가능성은 공공적 가치보다는 산업적 활용을 전제로 예시되고 있으며, 그로 인한 성과가 공공적 가치로 전환될 수 있다는 우선순위가 뒤바뀐 방식으로 제기되고 있다. 산업 발전 영역조차도 데이터 및 기술 자체의 문제나 여러 가지 사회적 장벽으로 인해 빅데이터 활용의 효과, 효용 등에 대한 평가는 더 많은 논의와 검증이 필요한 것이 현실이다.

반면 효과, 효용 등이 불확실한 것에 견줘 보건의료 빅데이터 활용으로 인한 개인 정보인권 침해 가능성과 윤리적·사회적 문제, 그리고 그로 인한 건강불평등의 가능성은 보다 현실적이다. 여러 우려 목소리를 수렴해 최근 복지부가 ‘시범’ 사업으로 제한하고, 공공 기관이 수집한 정보로만 제한하겠다고 내놓은 수정된 ‘보건의료 빅데이터 플랫폼 구축’ 사업 역시 개인정보 주체의 별도 동의를 받지 않고, 현재 법적 근거도 마련되어 있지 않다는 점에서 개인정보보호법 위반의 소지가 있다.

우리는 원칙적으로 학술 연구 및 공공정책의 개발을 위해 개인 건강정보가 활용될 수 있다고 생각한다. 그러나 이러한 활용은 개인의 정보인권이 침해되지 않을 수 있는 적절한 안전장치의 구축이 전제되어야 한다. 개인정보의 보호와 안전한 활용을 보장할 수 있도록 관련 법제와 데이터 거버넌스 체제가 정비될 필요가 있다. 보건의료 빅데이터 플랫폼은 이러한 거버넌스 체제 내에서 운영되어야 한다. 시범사업은 이러한 데이터 거버넌스 체제를 구축하고, 공익적인 효과 및 위험성에 대한 분명한 평가를 통해 거버넌스 체제를 개선하는 과정이 되어야 한다.

이에 우리는 보건의료 빅데이터 플랫폼과 관련한 법제도 개선 및 거버넌스 구축 방향에 대하여 다음과 같이 의견을 밝힌다.

1. 개인(건강)정보의 보호와 활용을 위한 법제도 정비

개인정보 관련 법제가 제대로 정비되지 않았을 경우, 정보주체는 개인정보의 활용 과정에서 자신의 개인정보가 보호될 것이라는 신뢰를 갖기 힘들다. 특히, 개인 건강정보는 가장 민감한 정보의 하나로서 유출되거나 오용될 경우 개인에게 치명적인 영향을 미칠 수 있다. 그럼에도 불구하고, 현행 보건의료 법제는 개인 건강정보에 대한 적절한 보호를 제공하고 있지 않다. 예컨대, 국민건강보험공단, 심평원 등은 수십 종의 개인 건강정보 데이터베이스를 보유하고 있고 수십억 명의 개인정보를 준영구적으로 보유하고 있지만, 해당 개인정보 수집의 법적 근거, 수집된 개인정보 범위의 적절성, 보유기간 등에 대한 법적 규율은 미비한 상황이다. 보건의료 빅데이터 플랫폼 구축 이전에 개인정보 보호원칙(목적적합성, 최소수집 등)을 준수하는 방향으로 보건의료 관련 법제가 정비되어야 한다.

연구 목적으로 보건의료 빅데이터를 활용하기 위해서는 일반법인 개인정보보호법 역시 정비가 필요하다. 제18조 2항 4호에서 통계작성 및 학술연구 등의 목적을 위해 개인정보의 목적 외 이용을 허용하고 있지만, 해당 조항의 해석에 있어 많은 논란이 있으며 학술연구 목적으로 활용할 경우의 안전조치 등에 대한 구체적인 규정이 부재하기 때문이다. 공익 목적의 아카이브, 학술연구 및 통계 목적으로 개인정보의 활용을 제한적으로 허용하더라도 적절한 안전조치를 취해야 함을 명확하게 규정할 필요가 있다.

이와 더불어 개인정보보호위원회의 독립성 및 권한을 강화하여, 개인정보보호위원회가 감독기구로서 제 역할을 할 수 있도록 해야 한다. 보건복지부나 개인정보 주무부처인 행정안전부는 산업 진흥의 역할도 수행하거나 독립성을 결여하고 있기 때문에 감독기구로서 제 역할을 하리라 기대하기 힘들다. 합당한 권한을 가진 독립적 감독기구가 존재할 때, 개인정보 보호에 대한 정보주체의 신뢰가 높아질 수 있을 것이다.

보건의료 빅데이터 플랫폼 역시 명확한 법적 근거 하에 추진되어야 한다. 플랫폼 구축을 위한 기술 개발, 거버넌스 체제의 구축, 사회적 공론화 과정, 시범적 데이터의 제공 및 평가 등 시범사업의 추진은 법제 정비와 동시에 진행할 수 있겠지만, 본격적인 보건의료 빅데이터 플랫폼의 운영은 관련 법제가 정비된 이후에 시작되어야 한다. 그렇지 않으면 개인정보의 불법적 활용이라는 논란을 야기할 수 있다. (관련하여 개인정보 비식별조치 가이드라인에 따라 개인정보를 연계 처리한 업체 및 공공기관이 고발된 바 있다.)

보건의료 빅데이터의 연구 목적 활용을 위해서는 개인정보보호법 상의 일반적 규정 외에도 보건의료 데이터 거버넌스를 위한 별도의 규율이 필요하다. 아래에서 보다 자세히 설명하겠지만, 데이터의 보호 및 활용의 원칙, 연구 제안서의 심사 등을 위한 거버넌스 기구나 절차가 법적으로 규정될 필요가 있다.

이러한 법제 정비 과정에서 숙의 민주주의적 절차, 공청회, 토론회, 다양한 층위의 사회적 대화 등 관련 정보를 제공한 상태에서 숙고를 거쳐 의견을 개진할 수 있는 다양한 방법을 동원하여 보건의료 빅데이터 활용 여부 및 조건에 대한 다수 국민의 의사를 충분히 확인하는 과정을 먼저 거쳐야 한다.

2. 보건의료 데이터 거버넌스 체제 구축

관련 법제와 더불어 개인정보의 보호 및 안전한 활용을 위한 보건의료 데이터 거버넌스 체제가 구축될 필요가 있다. 이와 같은 거버넌스 체제는 관련 법제 및 세부 지침에 반영되어야 한다.

가. 연구 제안서에 대한 엄격한 평가가 필요하다.

연구를 목적으로 개인 건강정보의 수집 목적 외 활용을 허용하더라도, 해당 연구의 공익적 가치와 프라이버시 침해 위험성에 대한 엄격한 평가가 수반되어야 한다. 개인정보보호법에서 일정한 안전조치를 전제로 학술 연구 및 통계 목적으로 가명(혹은 익명)화된 개인 건강정보를 제공하더라도, 개별 사례에서 어떠한 연구가 이에 해당하는지 법에서 일률적으로 규정하기는 힘들다.

따라서 특정한 연구 프로젝트를 심의할 수 있는 전문적이고 독립적인 연구평가위원회가 구성될 필요가 있다. 연구평가위원회는 해당 연구의 학술적 가치, 해당 연구가 개인정보에 미치는 영향, 연구기관 및 연구자의 신뢰성, 연구 제안서의 완성도 등의 기준에 입각하여 허용 여부를 엄격하게 평가해야 한다. 이러한 연구평가위원회에는 시민사회가 추천하는 위원을 반드시 포함해야 한다. 해당 연구가 공익에 기여할 수 있도록 하기 위해 연구 결과물은 공개되어야 한다.

연구평가위원회는 단지 데이터 제공의 허용 여부만을 평가하는 것이 아니라, 데이터 제공의 필요성 및 그 범위도 평가하고 제안할 수 있어야 한다. 학술 목적으로 개인정보 제공할 때에도 가능하다면 정보주체의 동의에 기반하는 것이 원칙이다. 다만, 동의를 얻는 것이 현실적으로 불가능하거나 지나치게 비용이 많이 들거나 기술적으로 어려운 경우 정보주체의 동의없이 제공될 수 있다. 다만, 이 경우에도 가명화 조치를 포함하여 개인정보 보호를 위한 안전조치를 해야 한다. 또한, 익명화된 형태로도 연구가 가능하다면 익명처리하여 활용해야 한다. 즉, 연구 목적에 필요한 최소한의 개인정보만이 제공되어야 한다.

나. 개인정보 보호를 위한 안전조치가 전 과정에서 구비되어야 한다.

책임성 있는 연구기관 및 연구자에게만 데이터가 제공될 수 있도록, 연구자들은 개인정보 및 보안 요구조건에 대한 교육·훈련을 받아야 하며, 정부는 이를 뒷받침할 체제를 마련해야 한다. 이러한 교육·훈련은 보건의료 빅데이터를 관리하는 공공기관의 직원에게도 적용되어야 한다.

개인정보의 침해 시 합당한 책임을 질 수 있도록 연구자와 계약이나 이용약관을 체결해야 한다. 또한, “이해관계 상충(Conflict of Interest)” 여부를 확인하기 위해 책임 연구원 포함 모든 공동 연구원에게 “Disclosure statement”를 제출하도록 의무화해야 한다.

연구를 허가받더라도 데이터셋 자체를 다운로드 받거나 파일로 제공받아 사용할 수 있도록 해서는 안 된다. 데이터 보안을 위한 설비가 구축된 안전시설(“safe havens”)에서 데이터에 접근해야 하며, 이용 기록을 모니터링함으로써 데이터 유출 및 목적 외 사용의 가능성을 최소화해야 한다. 데이터 보유기관, 안전시설 등에서의 데이터 보관 및 전송 과정의 보안을 위한 기술적, 물리적, 관리적 보안조치가 취해져야 한다. 이러한 안전시설은 데이터 보안만이 아니라, 데이터 분석도구의 제공이나 컨설팅 등 연구 지원의 역할도 할 수 있을 것이다.

연구자가 연구 결과물을 안전시설에서 갖고 나가기 이전에 연구 결과물이 의도하지 않게 개인정보를 포함하거나 노출할 위험성에 대한 검토가 이루어져야 한다.

다. 데이터 연계

보건의료 빅데이터 플랫폼은 통합 데이터를 보유하지 않으며, 단지 각 데이터 보유기관이 보유하고 있는 데이터에 대한 접근 및 연계를 지원하는 역할을 해야 한다.

데이터 연계는 “신뢰할 수 있는 제3자(Trusted Thired Party, TTP) 모델”과 같이 데이터 보유기관, 연계기관, 제공기관, 연구자 등이 개인정보에 대한 접근을 최소화할 수 있는 방식으로 이루어져야 한다.

데이터 연계를 위한 연계키로서 비록 암호화된 형태더라도 주민등록번호를 이용해서는 안된다. 이미 현행 법제는 주민등록번호를 법령에 근거가 있는 경우에만 처리할 수 있도록 하고 있다.(개인정보보호법 제24조의2) 궁극적으로 주민등록번호는 번호 체계도 변경되어야 하고 수집 및 처리의 범위도 제한되어야 하는 바, 보건의료 빅데이터 처리를 위해 주민등록번호에 의존해서는 안 된다.

참고로, 유엔 <통계 및 관련 연구 목적을 위해 수행되는 데이터 통합의 기밀성 관련 원칙과 가이드라인>(여기서 통합은 연계와 유사한 의미이다)에서는 명확한 법적 보호가 존재하지 않을 경우, 국가통계기구는 자연인 및 법인과 관련된 데이터 통합을 하지 말 것, 합리적이고 실행 가능하다면, 데이터 제공자의 동의를 얻을 것, 목적을 위해 필요한 데이터만이 승인된 데이터 통합 작업을 위한 데이터셋에 포함되어야 함 등을 데이터 연계와 관련된 원칙들을 제안하고 있다.

라. 정보주체의 거부권

연구 목적의 제공시 정보주체의 동의권이나 열람권 등이 제한될 수 있으나, 자신의 개인정보가 애초 수집 목적 외로 사용되는 것을 원하지 않는 사람의 경우 애초에 거부권(Opt-out)을 행사할 수 있도록 보장할 필요가 있다. 예를 들어, 해당 기관은 보유 정보가 연구 목적으로 활용될 수 있음을 홈페이지 등을 통해 고지하고, 정보주체의 요청이 있을 경우 해당 개인은 연구 목적 제공에서 제외할 수 있을 것이다.

마. 거버넌스 기구와 개인정보보호위원회의 감독

보건의료 빅데이터 사업의 정책, 원칙 등을 결정할 거버넌스 기구가 필요하다. (이는 연구평가위원회와 별개로 구성될 수도 있고, 통합될 수도 있다.) 이 거버넌스 기구는 시민사회, 노동단체를 포함하여 다양한 이해관계자 주체로 구성될 수 있다.

거버넌스 기구는 보건의료 빅데이터 플랫폼 사업에 대해 개인정보 영향평가를 수행해야 하며, 정책 및 운영원칙의 수립 과정에서 개인정보보호위원회와 수시로 협의할 필요가 있다.

3. 투명성과 시민참여

투명성과 시민참여는 사회적 신뢰 구축을 위한 전제조건이다.

관련 법제의 정비에서부터 보건의료 빅데이터 시범사업의 목적, 범위, 내용, 방법, 절차, 거버넌스 체제 등 전반에 걸쳐 정보주체인 시민과 환자, 시민사회 및 노동단체의 참여가 보장되어야 한다. 관련 정책, 지침, 가이드라인은 투명하게 공개되고 이에 따라 운영함으로써 정부의 자의적인 판단과 개입을 최소화할 수 있어야 한다.

연구 제안서에 대한 심의, 채택, 결과물 등 보건의료 빅데이터를 활용한 연구의 전 과정이 투명하게 공개되어 항상적으로 모니터링되는 구조를 만들어야 한다. 그래야 보건의료 빅데이터 플랫폼의 실효성 및 개선점을 면밀하게 평가할 수 있다.

4. 시범사업의 신중한 추진

시범사업은 법적 근거가 없이 추진되는 것인만큼, 위험성이 적고 국민적 동의를 얻을 수 있는 부분부터 가능한 신중하게 추진되어야 하며, 이에 대한 평가를 토대로 본 사업의 추진 여부 혹은 미비점 보완을 진행해야 한다.

가. 제공되는 데이터셋의 제한

시범사업을 통해 제공되는 데이터는 다양한 목적으로 정부 혹은 공공기관이 기왕에 수집, 보관하고 있는 공공 보건의료 데이터셋에 한정해야 한다. 이 데이터셋 중에서도 개인이 드러날 수밖에 없는 유전정보가 포함되어 있는 데이터셋은 제외한다. 의료기관에서 자체적으로 수집, 보관하고 있는 다양한 개인 건강정보의 활용, 모바일 기기나 웨어러블 기기 등을 통해 수집·보관되는 다양한 개인 건강정보의 활용, 인터넷·SNS 등을 통해 수집 가능한 다양한 개인 건강정보 등의 활용 등은 보건의료 빅데이터 시범사업의 대상이 되어서는 안 된다.

예를 들어, 의료기관에서 전자의무기록뿐 아니라 다양한 의료기기 등을 통해 수집한 건강정보를 다른 빅데이터셋과 연계하여 연구를 수행하려 하는 경우, 모바일 기기·웨어러블 기기 등을 통해 수집된 건강정보를 다른 빅데이터셋과 연계하려는 경우, SNS 등을 통해 수집된 개인 건강정보를 다른 빅데이터셋과 연계할 경우 등 민간 영역의 데이터셋의 활용은 보건의료 빅데이터 시범사업에서 제외한다.

나. 연구 목적의 제한

시범사업에서는 공중보건과 관련된 사회정책적 목표를 달성하기 위한 연구로 한정되어야 한다. 여기서 ‘공중보건’이라 함은 국민 다수의 건강과 관련된 것으로서, 건강 수준(유병률, 장애율 등), 건강 결정 요인, 보건의료 요구, 보건의료 자원 할당, 보편적 의료 보장의 제공, 보건의료 재정, 사망원인 등을 말한다. 공중보건과 관련된 연구라 할지라도 사회정책적 목표가 불확실한 연구나, 보건의료 기술 개발을 위한 연구, 연구의 결과가 특정 사업주, 보험회사, 제약회사 등 제3자의 이익을 위한 것이 명백한 연구, 시장분석이나 마케팅을 목적으로 한 연구는 제외한다.

2018년 3월 28일

건강과대안, 건강권실현을위한보건의료단체연합, 건강사회를위한약사회,
건강사회를위한치과의사회, 건강세상네트워크, 노동건강연대, 무상의료운동본부,
사회진보연대, 인도주의실천의사협의회, 전국의료산업노동조합연맹,
진보네트워크센터, 오픈넷, 참의료실현을위한청년한의사회

문의: 오픈넷 사무국 02-581-1643, [email protected]

논평/보도자료, 프라이버시, 개인정보보호, 거버넌스, 건강정보, 보건의료 빅데이터, 빅데이터, 시민참여, 정보인권, 투명성

수, 2018/03/28- 10:32

364

“파업 참가할 사람 먼저 손 들라”

금융노조 성과연봉제 반대 총파업 앞두고 기업은행 “조합원 50%만 참가토록” 지침 내려

금융노조(위원장 김문호)가 23일 성과연봉제에 반대하는 총파업에 들어간 가운데 일부 은행 지점에서 조합원들의 파업 참가를 가로막아 논란이 되고 있다.

금융노조가 23일 오전 공개한 녹취록에 따르면 기업은행 한 지점의 관리자는 22일 조합원인 직원들을 불러 모아 놓고 “경영전략본부장 주재하에 각 지역본부장이 컨퍼런스 콜을 했고 경영진 지침이 내려왔다”며 “각 지점마다 조합원의 50%는 무조건 남아서 일을 하기로 했다”고 말했다.

이 관리자는 “모든 은행들이 은행 문을 닫고 파업을 하는 경우가 없는데 기업은행만 이런 상황이 돼서 경영진이 이것에 대한 모든 것을 해결하고 책임지겠다는 컨퍼런스 콜 내용이 있었다”며 이같이 말했다.

은행 차원에서 각 지점의 조합원들 중 절반만 파업에 참가하도록 지침을 내렸다는 사실이 확인된 것이다.

녹취록에 등장하는 관리자는 “참석하고 싶은 사람은 먼저 보내주고 만약에 다 가겠다 그렇게 되는 경우에는 지점장하고 부지점장하고 상의해서 인원을 찍어주면 남아서 일을 하면 된다”며 “그래도 싫다면 가면 된다. 그러면 그것은 은행에서 인사상 어떤 조치를 취할 것 같다”고 말했다.

▲ 지난 22일 저녁 한 기업은행 지점. 파업에 참가할 조합원과 불참할 조합원 명단을 정하느라 직원들이 퇴근하지 못하고 있다. (사진제공=금융노조)

그러면서 이 관리자는 “일단 먼저 가고 싶다는 사람만 손을 들어주면 반영을 해주겠다”고 말하기도 했다. 모두 가겠다고 하면 강제적으로 인원을 조정하겠다고 하자 한 직원은 “그것은 개인 의사를 존중하는 게 아니다”고 말했다.

그러자 이 관리자는 “본인이 따르기 싫다고 그러면 가면 된다”고 대답했다. 직원들이 한숨을 쉬자 이 관리자는 “노동운동을 하는 데에 대해 수도 없이 얘기했는데 너무 앞서거나 뒤서면 안 되고 중간만 가면 된다”고 훈계하기도 했다.

금융노조에 따르면 이런 부당노동행위가 확인된 곳은 기업은행의 경우 불광동지점, 종로지점, 중곡동지점, 중곡중앙지점, 서소문지점, 동대문지점, 목동PB센터, 반포지점, 강남구청역지점 등이었다.

이런 일은 다른 시중은행에서도 벌어졌다. NH농협은행은 “파업 참여 인원을 4천 명 이하로 줄이라”는 정부 쪽 지침이 내려온 것으로 알려졌다. 이에 따라 서울과 경기 등 일부 NH농협은행 지점에서도 파업 불참을 종용하며 퇴근을 못 하게 하는 일이 벌어진 것으로 전해졌다.

노동조합 및 노동관계조정법에 따르면 노동자가 정당한 단체행위에 참가한 것을 이유로 불이익을 주는 행위는 부당노동행위에 해당한다.

금융노조는 지난 21일 임종룡 금융위원회 위원장이 주요은행 행장들과 만난 자리에서 “파업을 막기 위해 노력해 달라”고 당부한 점을 문제 삼아 22일 노조법 위반 혐의로 서울중앙지검에 고소했다.

박근혜 대통령도 22일 “국민을 볼모로 제 몸만 챙기는 기득권 노조의 퇴행적 행태가 반복되지 않도록 불법행위에는 적극 대응해주기 바란다”며 금융노조의 파업에 대해 부정적인 발언을 했다.

금, 2016/09/23- 13:26

355

오픈넷, 정부의 개인정보 비식별조치 가이드라인을 입법화하려는 정보통신망법 개정안(강길부 의원안)에 대한 반대의견 제출

오픈넷, 정부의 개인정보 비식별조치 가이드라인을 입법화하려는

정보통신망법 개정안(강길부 의원안)에 대한 반대의견 제출

빅데이터 시대의 개인정보보호는 대규모 개인정보 처리환경에서 개인정보처리자의 “투명성”과 “책임성” 강화 논의부터 시작되어야
비식별화만 거치면 제한 없이 동의 의무를 면제하려는 시도나 비식별화가 모든 문제를 해결할 것이라는 비식별화 만능주의 프레임을 지양해야
정부의 개인정보 비식별조치 가이드라인(2016)은 폐기하고 비식별화 적정성 평가단이 아닌 개인정보보호위원회가 컨트롤타워 역할을 해야 함
논의과정의 투명성 부족과 조급증도 문제- 이해당사자가 모두 참여하는 협의체를 구성하여 논의를 본격화해야

강길부 의원이 대표발의한 정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정안 (이하 강길부 의원안: 첨부1)은 비식별화라는 개념을 추가하면서 비식별화한 개인정보를 이용자의 동의 없이 이용하거나 제3자에게 제공할 수 있도록 하고 있다. 오픈넷은 지난 2017. 1. 14. 아래와 같은 이유로 강길부 의원안 입법예고에 반대의견을 제출하였으며, 더불어 지난 2016년에 정부가 제정한 개인정보 비식별조치 가이드라인(이하 “가이드라인”)에 대해서도 폐기 의견을 함께 제시한다.

빅데이터 시대의 개인정보보호는 대규모 개인정보 처리환경에서 개인정보처리자의 “투명성”과 “책임성” 강화 논의부터 시작되어야

EU 개인정보보호감독관의 빅데이터 의견서(첨부2)에서 타당하게 결론 내린 것처럼 빅데이터의 진정한 위험 요소와 도전 과제는 대규모 개인정보 처리에 대한 “투명성 부족”과 “정보의 불균형”으로 인해 “개인정보보호 핵심원칙”이 위협에 빠진다는 것이다. 즉 빅데이터 시대에서 “알 수 없는 알고리즘”을 통해 정보주체에 대한 충분한 고지나 동의 획득 없이 개인정보 처리가 대규모로 이루어진다면 개인정보 처리에 관한 정보는 더욱 불균형해질 것이며 이로 인해 개인정보자기결정권은 형해화할 것이다.

우리나라의 경우 식별성이 가장 높은 주민등록번호가 여전히 이동통신사 등 사적 주체에 의해 행정 목적 외에도 널리 활용되고 있으며, 법령상 상존하는 각종 본인확인 의무로 인하여 비식별화를 거치더라도 결합을 통해 개인이 재식별될 위험성은 매우 크다. 특히 주민등록번호를 수집할 수 있는 본인확인기관에 개인정보가 고도로 집중되어 있다는 점도 재식별화 위험성을 가중시키고 있다.

요컨대 빅데이터 시대의 개인정보보호는 개인정보처리자의 “투명성”과 “책임성” 강화가 가장 중요한 고려 요소가 되어야 한다.

비식별화만 거치면 제한 없이 동의 의무를 면제하려는 시도나 비식별화가 모든 문제를 해결할 것이라는 비식별화 만능주의 프레임을 지양해야

(1) 비식별화 만능주의 프레임 지양해야

강길부 의원안은 개인정보처리자의 투명성과 책임성 강화에 대한 진지한 고민 대신, 비식별화 그 자체에만 천착하고 있다는 것이 핵심적 문제이다. 강길부 의원안은 대통령령이 정하는 비식별화 적정성 평가단(안 제28조의2 제2항, 이하 “평가단”)의 적정성 평가나 기술적 관리적 보호조치(안 제28조의5)의 구체적인 내용은 전혀 정하지 않았다. 막연히 추후에 제정될 대통령령에 의해 개인정보 보호가 충분히 이루어질 것이고, 비식별화만 이루어지면 빅데이터 산업이 부흥할 것이라는 소박한 믿음에 기초하고 있는 것이다.

(2) 비식별화만 거치면 어떠한 제한도 없이 동의를 면제 – 재식별 위험이 매우 큰 정보라는 점을 간과

강길부 의원안은 어떠한 방법으로든 비식별화가 이루어지면 어떠한 제한도 없이 개인정보보호법의 기본 원칙인 “동의 요건”을 광범하게 면제해주고 있어 문제이다. 이는 김병기 의원이 대표 발의한 개인정보보호법 개정안이 현행법과 같이 비식별화를 거친 정보라도 “정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 경우”에만 동의 요건을 면제하고 있는 것과 비교된다. (첨부3: 김병기 의원안)

그러나 우리나라처럼 재식별 위험이 매우 큰 상황에서 비식별화한 정보에 어떠한 제한도 없이 이용 및 제3자 제공을 허용할 지 여부에는 매우 신중한 검토가 요구된다. 완벽한 비식별화 기술이란 존재하지 않으며, 평가단의 검증을 거쳤다고 비식별화의 적정성이 담보되는 것도 아니다.

한편 EU의 GDPR에서 강길부 의원안이 비식별화 방법으로 예시한 가명화(pseudonymisation)는 개인정보 보호를 위해 권장되는 수단이지 가명화한 정보에 대한 개인정보 보호를 배제하려는 것이 아님을 명확히 하고 있다. (recital 28 : The explicit introduction of ‘pseudonymisation’ in this Regulation is not intended to preclude any other measures of data protection.) 최근 개인정보보호법을 개정한 일본의 경우 GDPR과 달리 익명가공정보를 개인정보와 별개로 규정하여, 이를 이용하거나 제3자에게 제공하려는 개인정보처리자에게 익명가공정보에 포함되는 개인에 관한 정보의 항목을 공표 및 취지를 명시하도록 하는 등 개인정보와 준하는 취급을 하고 있다.

(3) 개인정보 정의조항의 변경 – 정보통신망법과 개인정보보호법과의 괴리 발생

강길부 의원안은 개인정보의 정의 중 다른 정보와의 결합가능성 부분에 “해당 정보를 처리하는 자”를 판단 기준으로 제한하고 있어 이 같은 제한이 없는 개인정보보호법과 간극이 발생하게 된다. 물론 개인정보보호법 정의 조항의 합헌적 해석상 결합가능성은 해당 정보를 처리하는 처리자의 입장에서 판단되어야 한다고 볼 여지가 있다. 그러나 개인정보 정의 규정은 개인정보보호법제의 핵심을 이루는 것으로 개인정보보호법의 정의조항은 그대로 둔 채 정보통신망법의 개정으로 손쉽게 접근할 문제가 아니다.

(4) 투명성, 책임성 요건 결여 – 정보주체의 통제권한 상실, 개인정보 유통에 대한 정보불균형 심화

강길부 의원안에는 빅데이터 시대의 개인정보 보호에 가장 핵심적인 투명성과 책임성 요건이 결여되어 있어 정보주체의 실질적 통제 권한이 상실되고 개인정보 유통에 대한 정보불균형이 더욱 심화할 우려가 크다. 강길부 의원안에 따르면 정보주체는 본인의 어떤 개인정보가 어떻게 비식별화 처리되는지 전혀 알지 못한 채 개인정보처리자의 선의 또는 평가단 적정성평가의 무결성을 기대할 수밖에 없는 셈이다. 이는 아래 일본의 개정 개인정보보호법이 익명가공정보에 포함되는 개인에 관한 정보의 항목을 공표하게 하는 등 최소한의 투명성과 책임성 요건을 갖춘 것과 비교해보아도 그러하다.

정부의 개인정보 비식별조치 가이드라인(2016)은 폐기하고 비식별화 적정성 평가단이 아닌 개인정보보호위원회가 컨트롤타워 역할을 해야 함

한편 지난 2016년 정부 각 부처는 개인정보 비식별조치 가이드라인을 제정하였는데, 가이드라인은 한 걸음 더 나아갔다. 비식별조치를 취하면 동의 요건을 아무런 제한 없이 면제하고 있을 뿐 아니라 반증이 없는 한 개인정보가 아닌 것으로 추정하는 등 법 개정 없이 고지와 동의(notice and consent)라는 개인정보보호의 기본 원칙의 변경을 꾀한 것으로 즉시 폐기되어야 한다.

더욱이 가이드라인은 법적 근거 없이 전문기관에 의해 비식별조치의 적정성을 판단하도록 하고 있어 문제인데, 강길부 의원안은 비식별화 적정성 평가단을 입법화하면서 가이드라인의 전문기관에 법적 근거만 부여하려는 시도와 다름아니다.

그러나 평가단 신설로 생겨날 “관치 보안”의 문제는 차치하더라도 이는 개인정보보호위원회가 수행해야 할 이른바 컨트롤타워 역할을 무력화하는 시도와 다름아니다. 일본의 경우 개인정보보호위원회가 컨트롤타워로서 익명가공에 요구되는 기술적, 관리적 조치를 종합적으로 규율하도록 하고 있는 것과 비교된다.

논의과정의 투명성 부족과 조급증도 문제 – 이해당사자가 모두 참여하는 협의체를 구성하여 논의를 본격화해야

일본의 경우 개인정보보호법을 개정하기 위하여 다양한 이해당사자가 참여하는 협의체를 구성하여 2년에 걸친 광범한 논의를 거쳤다. 그러나 2016년 가이드라인의 경우 세부논의 내용과 초안을 비공개하는 등 폐쇄적인 방법으로 제정되었다. 정보주체를 대변하는 시민사회는 가이드라인의 초안이 대부분 결정된 뒤 단 1회 시행된 내부 간담회 외에는 논의에 제대로 참여할 수 없었다.

따라서 가이드라인의 주요 내용을 그대로 입법화하는 강길부 의원안은 정보주체를 대변하는 이해당사자의 의견 수렴을 전혀 거치지 않은 것과 다름없어 원점에서 다시 검토되어야 한다. 늦었지만 지금부터라도 국회를 중심으로 모든 이해당사자가 참여하는 협의체를 구성하여 빅데이터 시대의 개인정보 보호를 위한 논의를 진지하게 시작해야 할 것이다.

일본의 개정 개인정보보호법 중 익명가공정보 해당 부분 발췌 – 번역 “개인정보보호위원회”

➈ 이 법률에서 “익명가공정보”라 함은 다음 각 호에 열거된 개인정보의 구분에 따라 당해 각 호에서 정하는 조치를 취하여 특정 개인을 식별할 수 없도록 개인정보를 가공하여 얻어지는 개인에 관한 정보로서, 당해 개인정보를 복원할 수 없도록 한 것을 말한다.
1. 제1항 제1호에 해당하는 개인정보 – 당해 개인정보에 포함되는 記述 등의 일부를 삭제하는 것 (당해 일부의 記述 등을 복원할 수 있는 規則性을 갖지 않는 방법에 의해 다른 記述 등으로 치환하는 것을 포함한다)
2. 제1항 제2호에 해당하는 개인정보 – 당해 개인정보에 포함되는 개인식별부호의 전부를 삭제하는 것 (당해 개인식별부호를 복원할 수 있는 規則性을 갖지 않는 방법에 의해 다른 記述 등으로 치환하는 것을 포함한다)
➉ 이 법률에서 “익명가공정보취급사업자”라 함은 익명가공정보를 포함하는 정보의 집합물이면서 특정의 익명가공정보를 전자계산기를 이용하여 검색할 수 있도록 체계적으로 구성한 것으로서 政令으로 정하는 것(제36조 제1항에서 “익명가공정보데이터베이스 등”이라고 한다)을 사업용으로 이용하는 자를 말한다. 다만, 제5항 각 호에 열거된 자를 제외한다.

다. 제2절 익명가공정보취급사업자 등의 의무 <신설>

제36조(익명가공정보의 작성 등) ① 개인정보취급사업자는, 익명가공정보(익명가공정보데이터베이스 등을 구성하는 것에 한정한다. 이하 같다)를 작성하는 때에는, 특정의 개인을 식별할 수 없도록 그리고 그 작성에 사용되는 개인정보를 복원할 수 없도록 하기 위하여 필요한 것으로서 개인정보보호위원회규칙으로 정하는 기준에 따라, 당해 개인정보를 가공하여야 한다.
➁ 개인정보취급사업자는, 익명가공정보를 작성한 때에는, 그 작성에 사용된 개인정보로부터 삭제된 記述 등과 개인식별부호 및 전항의 규정에 의해 행해진 가공의 방법에 관한 정보의 누설을 방지하기 위하여 필요한 것으로서 개인정보보호위원회규칙으로 정하는 기준에 따라, 이들 정보의 안전관리를 위한 조치를 취하여야 한다.
➂ 개인정보취급사업자는, 익명가공정보를 작성한 때에는, 개인정보보호위원회규칙으로 정하는 바에 따라, 당해 익명가공정보에 포함되는 개인에 관한 정보의 항목을 공표하여야 한다.
➃ 개인정보취급사업자는, 익명가공정보를 작성하여 당해 익명가공정보를 제3자에게 제공하는 때에는, 개인정보보호위원회규칙에서 정하는 바에 따라, 미리 제3자에게 제공되는 익명가공정보에 포함되는 개인에 관한 정보의 항목 및 그 제공의 방법에 대하여 공표함과 더불어, 당해 제3자에 대해 당해 제공과 관련된 정보가 익명가공정보라는 취지를 명시하여야 한다.
➄ 개인정보취급사업자는, 익명가공정보를 작성하여 스스로 당해 익명가공정보를 취급함에 있어서는, 당해 익명가공정보의 작성에 사용된 개인정보와 관계된 본인을 식별하기 위하여 당해 익명가공정보를 다른 정보와 照合해서는 아니된다.
➅ 개인정보취급사업자는, 익명가공정보를 작성한 때에는, 당해 익명가공정보의 안전관리를 위하여 필요하고 적절한 조치, 당해 익명가공정보의 작성 및 그 밖의 취급에 관한 고충의 처리 및 그밖에 당해 익명가공정보의 적정한 취급을 확보하기 위하여 필요한 조치를 스스로 강구하고 또한 당해 조치의 내용을 공표하도록 노력하여야 한다.

제37조(익명가공정보의 제공) 익명가공정보취급사업자는, 익명가공정보(스스로 개인정보를 가공하여 작성한 것을 제외한다. 이하 이 節에서 동일하다)를 제3자에게 제공하는 때에는, 개인정보보호위원회규칙으로 정하는 바에 따라, 미리 제3자에게 제공되는 익명가공정보에 포함되는 개인에 관한 정보의 항목 및 그 제공의 방법에 대하여 공표함과 더불어, 당해 제3자에 대해 당해 제공과 관련된 정보가 익명가공정보라는 취지를 명시하여야 한다.

제38조(식별행위의 금지) 익명가공정보취급사업자는, 익명가공정보를 취급함에 있어서, 당해 익명가공정보의 작성에 사용된 개인정보와 관계된 본인을 식별하기 위하여, 당해 개인정보로부터 삭제된 記述 등 또는 개인식별부호 또는 제36조 제1항의 규정에 의해 행하여진 가공의 방법에 관한 정보를 취득하거나 또는 당해 익명가공정보를 다른 정보와 照合하여서는 아니된다.

제39조(안전관리조치 등) 익명가공정보취급사업자는, 익명가공정보의 안전관리를 위하여 필요하고 적절한 조치, 익명가공정보의 취급에 관한 고충의 처리 및 그밖에 익명가공정보의 적정한 취급을 확보하기 위하여 필요한 조치를 스스로 강구하고 또한 당해 조치의 내용을 공표하도록 노력하여야 한다.

2017년 1월 17일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]