오픈넷, 정부의 개인정보 비식별조치 가이드라인을 입법화하려는

정보통신망법 개정안(강길부 의원안)에 대한 반대의견 제출

• 빅데이터 시대의 개인정보보호는 대규모 개인정보 처리환경에서 개인정보처리자의 “투명성”과 “책임성” 강화 논의부터 시작되어야
• 비식별화만 거치면 제한 없이 동의 의무를 면제하려는 시도나 비식별화가 모든 문제를 해결할 것이라는 비식별화 만능주의 프레임을 지양해야
• 정부의 개인정보 비식별조치 가이드라인(2016)은 폐기하고 비식별화 적정성 평가단이 아닌 개인정보보호위원회가 컨트롤타워 역할을 해야 함
• 논의과정의 투명성 부족과 조급증도 문제- 이해당사자가 모두 참여하는 협의체를 구성하여 논의를 본격화해야

강길부 의원이 대표발의한 정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정안 (이하 강길부 의원안: 첨부1)은 비식별화라는 개념을 추가하면서 비식별화한 개인정보를 이용자의 동의 없이 이용하거나 제3자에게 제공할 수 있도록 하고 있다. 오픈넷은 지난 2017. 1. 14. 아래와 같은 이유로 강길부 의원안 입법예고에 반대의견을 제출하였으며, 더불어 지난 2016년에 정부가 제정한 개인정보 비식별조치 가이드라인(이하 “가이드라인”)에 대해서도 폐기 의견을 함께 제시한다.

빅데이터 시대의 개인정보보호는 대규모 개인정보 처리환경에서 개인정보처리자의 “투명성”과 “책임성” 강화 논의부터 시작되어야

EU 개인정보보호감독관의 빅데이터 의견서(첨부2)에서 타당하게 결론 내린 것처럼 빅데이터의 진정한 위험 요소와 도전 과제는 대규모 개인정보 처리에 대한 “투명성 부족”과 “정보의 불균형”으로 인해 “개인정보보호 핵심원칙”이 위협에 빠진다는 것이다. 즉 빅데이터 시대에서 “알 수 없는 알고리즘”을 통해 정보주체에 대한 충분한 고지나 동의 획득 없이 개인정보 처리가 대규모로 이루어진다면 개인정보 처리에 관한 정보는 더욱 불균형해질 것이며 이로 인해 개인정보자기결정권은 형해화할 것이다.

우리나라의 경우 식별성이 가장 높은 주민등록번호가 여전히 이동통신사 등 사적 주체에 의해 행정 목적 외에도 널리 활용되고 있으며, 법령상 상존하는 각종 본인확인 의무로 인하여 비식별화를 거치더라도 결합을 통해 개인이 재식별될 위험성은 매우 크다. 특히 주민등록번호를 수집할 수 있는 본인확인기관에 개인정보가 고도로 집중되어 있다는 점도 재식별화 위험성을 가중시키고 있다.

요컨대 빅데이터 시대의 개인정보보호는 개인정보처리자의 “투명성”과 “책임성” 강화가 가장 중요한 고려 요소가 되어야 한다.

비식별화만 거치면 제한 없이 동의 의무를 면제하려는 시도나 비식별화가 모든 문제를 해결할 것이라는 비식별화 만능주의 프레임을 지양해야

(1) 비식별화 만능주의 프레임 지양해야

강길부 의원안은 개인정보처리자의 투명성과 책임성 강화에 대한 진지한 고민 대신, 비식별화 그 자체에만 천착하고 있다는 것이 핵심적 문제이다. 강길부 의원안은 대통령령이 정하는 비식별화 적정성 평가단(안 제28조의2 제2항, 이하 “평가단”)의 적정성 평가나 기술적 관리적 보호조치(안 제28조의5)의 구체적인 내용은 전혀 정하지 않았다. 막연히 추후에 제정될 대통령령에 의해 개인정보 보호가 충분히 이루어질 것이고, 비식별화만 이루어지면 빅데이터 산업이 부흥할 것이라는 소박한 믿음에 기초하고 있는 것이다.

(2) 비식별화만 거치면 어떠한 제한도 없이 동의를 면제 – 재식별 위험이 매우 큰 정보라는 점을 간과

강길부 의원안은 어떠한 방법으로든 비식별화가 이루어지면 어떠한 제한도 없이 개인정보보호법의 기본 원칙인 “동의 요건”을 광범하게 면제해주고 있어 문제이다. 이는 김병기 의원이 대표 발의한 개인정보보호법 개정안이 현행법과 같이 비식별화를 거친 정보라도 “정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 경우”에만 동의 요건을 면제하고 있는 것과 비교된다. (첨부3: 김병기 의원안)

그러나 우리나라처럼 재식별 위험이 매우 큰 상황에서 비식별화한 정보에 어떠한 제한도 없이 이용 및 제3자 제공을 허용할 지 여부에는 매우 신중한 검토가 요구된다. 완벽한 비식별화 기술이란 존재하지 않으며, 평가단의 검증을 거쳤다고 비식별화의 적정성이 담보되는 것도 아니다.

한편 EU의 GDPR에서 강길부 의원안이 비식별화 방법으로 예시한 가명화(pseudonymisation)는 개인정보 보호를 위해 권장되는 수단이지 가명화한 정보에 대한 개인정보 보호를 배제하려는 것이 아님을 명확히 하고 있다. (recital 28 : The explicit introduction of ‘pseudonymisation’ in this Regulation is not intended to preclude any other measures of data protection.) 최근 개인정보보호법을 개정한 일본의 경우 GDPR과 달리 익명가공정보를 개인정보와 별개로 규정하여, 이를 이용하거나 제3자에게 제공하려는 개인정보처리자에게 익명가공정보에 포함되는 개인에 관한 정보의 항목을 공표 및 취지를 명시하도록 하는 등 개인정보와 준하는 취급을 하고 있다.

(3) 개인정보 정의조항의 변경 – 정보통신망법과 개인정보보호법과의 괴리 발생

강길부 의원안은 개인정보의 정의 중 다른 정보와의 결합가능성 부분에 “해당 정보를 처리하는 자”를 판단 기준으로 제한하고 있어 이 같은 제한이 없는 개인정보보호법과 간극이 발생하게 된다. 물론 개인정보보호법 정의 조항의 합헌적 해석상 결합가능성은 해당 정보를 처리하는 처리자의 입장에서 판단되어야 한다고 볼 여지가 있다. 그러나 개인정보 정의 규정은 개인정보보호법제의 핵심을 이루는 것으로 개인정보보호법의 정의조항은 그대로 둔 채 정보통신망법의 개정으로 손쉽게 접근할 문제가 아니다.

(4) 투명성, 책임성 요건 결여 – 정보주체의 통제권한 상실, 개인정보 유통에 대한 정보불균형 심화

강길부 의원안에는 빅데이터 시대의 개인정보 보호에 가장 핵심적인 투명성과 책임성 요건이 결여되어 있어 정보주체의 실질적 통제 권한이 상실되고 개인정보 유통에 대한 정보불균형이 더욱 심화할 우려가 크다. 강길부 의원안에 따르면 정보주체는 본인의 어떤 개인정보가 어떻게 비식별화 처리되는지 전혀 알지 못한 채 개인정보처리자의 선의 또는 평가단 적정성평가의 무결성을 기대할 수밖에 없는 셈이다. 이는 아래 일본의 개정 개인정보보호법이 익명가공정보에 포함되는 개인에 관한 정보의 항목을 공표하게 하는 등 최소한의 투명성과 책임성 요건을 갖춘 것과 비교해보아도 그러하다.

정부의 개인정보 비식별조치 가이드라인(2016)은 폐기하고 비식별화 적정성 평가단이 아닌 개인정보보호위원회가 컨트롤타워 역할을 해야 함

한편 지난 2016년 정부 각 부처는 개인정보 비식별조치 가이드라인을 제정하였는데, 가이드라인은 한 걸음 더 나아갔다. 비식별조치를 취하면 동의 요건을 아무런 제한 없이 면제하고 있을 뿐 아니라 반증이 없는 한 개인정보가 아닌 것으로 추정하는 등 법 개정 없이 고지와 동의(notice and consent)라는 개인정보보호의 기본 원칙의 변경을 꾀한 것으로 즉시 폐기되어야 한다.

더욱이 가이드라인은 법적 근거 없이 전문기관에 의해 비식별조치의 적정성을 판단하도록 하고 있어 문제인데, 강길부 의원안은 비식별화 적정성 평가단을 입법화하면서 가이드라인의 전문기관에 법적 근거만 부여하려는 시도와 다름아니다.

그러나 평가단 신설로 생겨날 “관치 보안”의 문제는 차치하더라도 이는 개인정보보호위원회가 수행해야 할 이른바 컨트롤타워 역할을 무력화하는 시도와 다름아니다. 일본의 경우 개인정보보호위원회가 컨트롤타워로서 익명가공에 요구되는 기술적, 관리적 조치를 종합적으로 규율하도록 하고 있는 것과 비교된다.

논의과정의 투명성 부족과 조급증도 문제 – 이해당사자가 모두 참여하는 협의체를 구성하여 논의를 본격화해야

일본의 경우 개인정보보호법을 개정하기 위하여 다양한 이해당사자가 참여하는 협의체를 구성하여 2년에 걸친 광범한 논의를 거쳤다. 그러나 2016년 가이드라인의 경우 세부논의 내용과 초안을 비공개하는 등 폐쇄적인 방법으로 제정되었다. 정보주체를 대변하는 시민사회는 가이드라인의 초안이 대부분 결정된 뒤 단 1회 시행된 내부 간담회 외에는 논의에 제대로 참여할 수 없었다.

따라서 가이드라인의 주요 내용을 그대로 입법화하는 강길부 의원안은 정보주체를 대변하는 이해당사자의 의견 수렴을 전혀 거치지 않은 것과 다름없어 원점에서 다시 검토되어야 한다. 늦었지만 지금부터라도 국회를 중심으로 모든 이해당사자가 참여하는 협의체를 구성하여 빅데이터 시대의 개인정보 보호를 위한 논의를 진지하게 시작해야 할 것이다.

2017년 1월 17일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

원전 안전 홍보하는 한수원 직원들 신문 독자투고, 사측 개입한 정황 드러나

지난해 11월, 경북지역 6개 지역신문에 일제히 원전 안전을 강조하는 독자투고가 게재됐다. 11월 한 달 동안 모두 11건이다. 투고자는 모두 한수원 월성원자력본부 직원들이었다. 투고 내용은 원전의 안전을 강조하고 원전을 계속 유지 확대해야 한다는 내용 일색이었다.

그런데, 뉴스타파 <목격자들>이 월성원자력본부의 내부 공문을 확인한 결과, 직원들의 독자투고 과정에서 한수원 사측이 개입한 정황이 드러났다.

▲ “2017년 11월 언론사 독자투고 실적 알림”이라는 제목의 한수원 내부 공문

월성원자력본부가 작성한 ‘2017년 11월 언론사 독자투고 실적 알림’이라는 제목의 내부 보고서에 따르면 월성원자력본부는 2017년 1월, 회사 차원에서 ‘언론사 독자투고 시행 계획안’을 마련해 직원들의 독자투고 실적을 관리해온 것으로 드러났다.

내부 공문에는 부서별로 언론사 독자투고 건수를 실적으로 표시하고 있다. 한수원이 직원들을 동원해 찬핵 여론을 조성하려 했다는 의혹이 제기된 것이다. 이에 대해 한수원 월성본부 측은 “회사 차원에서 독자투고를 독려한 것은 아니고, 직원들의 독자투고를 안내한 것”이라고 해명했다.

한수원 노조, 지난해부터 탈핵 인사 무차별 고소

한수원 노조는 또 지난해 8월부터 원전에 비판적인 교수와 탈핵 시민단체 활동가들을 무더기로 형사 고발해 논란이 일고 있다. 지금까지 한수원 노조가 형사 고소했거나 고소를 예고한 이들은 모두 5명이다. 동국대 박종운 교수, 김익중 전 원자력안전위원, 양이원영 환경운동연합 처장, 탈핵법률가모임 해바라기 대표를 맡고 있는 김영희 변호사, 이헌석 에너지정의행동 대표 등이다.

▲ 김익중 동국대 의과대학 교수(왼쪽), 박종운 동국대 원자력공학과 교수(오른쪽) 각각 지난해 8월과 9월 한수원 노조로부터 허위사실 유포한 혐의로 형사고소를 당했다.

한수원 노조가 이들 탈핵 인사를 무더기로 고발한 이유는?

한수원 노조가 검찰에 제출한 고소장을 보면 이들 인사들이 허위사실을 유포하여 한수원 노조의 명예를 훼손하였다고 밝히고 있다. 특히 박종운, 김익중 두 교수의 경우, 언론 기고문 등에서 한수원 노조를 ‘(핵) 마피아’라고 지칭해 노조의 명예를 훼손했다는 주장이다. 한수원 노조의 검찰에 제출한 고소장에는 박종운, 김익중 두 교수의 다음과 같은 발언을 문제 삼고 있다.

정부·연구원·규제기관·학계가 똘똘 뭉쳐있다. 이런 마피아도 없을 거다.

박종운 교수 / 2017년 8월 4일 경향신문과의 인터뷰 중

현재 한국 정부나 한수원은 원전 한 기를 하루만 가동하면 10억의 경제적 이득이 생긴다며 가동을 멈추려고 하지 않는다… 굳이 그들을 핵마피아라고 부르는 이유는 바로 그들이 마피아처럼 조직의 이해관계를 깰 수 없기 때문이다.

김익중 교수 2016년 12월 19일 서울혁신파크 강연 중

그러나, 두 교수는 한수원 노조를 직접 지칭하지는 않았다. 법조계에서는 김 교수가 말한 한수원도 문맥상 한수원이라는 사업자 특히 경영진을 가리키는 것이지, 한수원 직원이나 노조를 가리키는 것이 아니라고 말한다. 또한 박 교수는 한수원을 언급조차 하지 않았다. 이 때문에 명예훼손 자체가 성립될 수 없는 무리한 고소라는 지적이 나온다.

한수원 노조, “핵 마피아”라는 말 받아들일 수 없다.

이에 대해 한수원 노조는 원자력계를 비난하는 ‘핵마피아’ 표현을 받아들일 수 없다고 말한다.

한수원의 노동자 뿐 아니라 원자력 계에 종사하는 사람들 전체를 통틀어서 핵마피아라고 표현합니다. 저희는 그것을 전혀 받아들일 수가 없는 거예요… 원전 종사자는 전부다 문제가 있다고 전반적으로 그렇게 바라보시잖아요.

한국수력원자력 노동조합 김병기 위원장

저희들은 어쩔 수 없이 한수원이에요. 한수원이 그런 거짓을 하고 핵마피아라는 형태로 언급하시기 때문에 그것에 대해서 대응을 한 거죠.

한국수력원자력 노동조합 법무담당 강창호 새울발전소지부장

“고등어, 대구, 명태 먹지 말라”는 발언도 고소 사유

한수원 노조는 “일본산과 북태평양 산 고등어, 명태, 대구에서 세슘이 검출되니 먹어서는 안된다”는 김익중 교수의 발언도 고소 사유로 삼았다. 기준치 이하의 방사능이 안전한데도 불구하고 허위사실을 유포해 불안감을 조성했다는 것이다. 또한 국내에서 “원전 사고가 발생할 위험이 30%”라는 발언도 고소사유에 포함시켰다. 원전사고의 가능성과 방사능 위험에 대한 경고까지 한수원 노조는 허위사실에 해당한다고 주장하는 것이다.

그렇다면 한수원 노조는 왜 무리한 고소를 하는 것일까?

한수원 노조가 박종운, 김익중 교수를 고소한 것은 2017년 8월과 9월. 신고리5,6호기 공론화가 한창 진행되던 시기였다. 당시 한수원 노조는 신고리 5,6호기 건설 중단 반대를 앞장서서 주장했다. 당시 한수원 노조에게는 문재인 정부의 탈원전 정책을 비판하는 여론의 형성이 절실했을 것이다.

지난해 10월 20일. 신고리 5,6호기 공론화위원회는 시민참여단 여론조사 결과 59.5%대 40.5%로 건설 재개 의견이 높게 나왔음을 발표하고, 정부에 신고리 5.6호기의 건설 재개를 권고했다. 다음 달인 11월.월성원자력본부 직원들은 지역신문에 기고한 11건의 독자투고에서 신고리 5,6호기 공론화 결과를 언급하며 탈원전은 시기상조임을 주장했다.

또 지난해 12월에는 한수원 노조가 주도해 원자력 분야의 공기업 노조 5곳, 원자력 학계와 산업계의 전직 인사들로 구성된 “원자력살리기국민연대”, 원자력학회와 서울대원자력정책센터 등 원자력 학계가 참여하는 “원자력바로알기운동본부” 등과 함께 원자력정책연대를 결성해 정부의 탈원전 정책의 폐지를 주장했다. 원자력정책연대는 현재 친원전을 주장하는 핵심체로 한수원 노조는 원자력정책연대의 출범을 주도한 것으로 알려져 있다.

이번 주 뉴스타파 목격자들은 한수원 노조가 무리한 형사고소를 남발하는 이유가 무엇인지, 한수원 사측이 어떤 방식으로 원전 찬반 여론에 개입하려 했는지 추적했다.

취재작가 김지음
글 구성 김근라
촬영 김성환 남태제
취재 연출 남태제

통신자료 제공과 관련된 대법원의 메시지를 정확하게 읽어야

오늘 대법원 민사4부는, 이동통신사나 포털 등과 같은 전기통신사업자들이 수사기관에게 이용자 신원정보를 제공해온 관행에 대하여, 전기통신사업자들은 전기통신사업법 제83조 제3항(구 전기통신사업법 제54조 제3항) 상의 통신자료제공 요청을 받을 때 그 요청을 실질적으로 심사할 의무를 ‘일반적으로’ 가지고 있지 않다고 판시하였다. 그 취지로는 수사기관의 권한 남용에 대한 통제는 국가나 해당 수사기관에 대하여 직접 이루어져 하는 것이지 통신자료제공 요청의 적절성에 대한 판단의 부담을 사인에게 전가할 수 없다는 것이다.

이 사건은 공인인 유인촌 당시 문화부 장관이 ‘연아 회피 동영상’ 게시물을 인터넷에 게시한 네티즌들을 명예훼손으로 형사고소하였고, 사건 담당 경찰서장이 이 사건을 수사하기 위하여 이 게시물을 매개한 포털에게 성명, 주민등록번호, 주소, 전화번호, 아이디 등 이용자에 관한 통신자료를 요청하였고 해당 포털이 수사기관에 통신자료를 제공함으로써 불거진 사건이다. 이후 명예훼손으로 형사고소당하고 또한 자신의 통신자료가 포털에 의해 수사기관에 제공된 이용자는 포털을 상대로 손해배상을 구하는 민사소송을 제기하였다. 제2심을 담당한 서울고등법원은2012. 10. 18. 손해배상을 인정함으로써, 2012년 10월의 서울고등법원 판결 이전까지 전기통신사업자가 거의 모든 통신자료제공요청에 대하여 아무런 심사 없이 기계적으로 제공해온 관행에 경종을 울렸었다. 하지만 대법원은 포털의 손해배상책임을 인정하지 않는 취지의 판결을 내린 것이다.

개인정보 보호 내지 통신비밀 보호와 관련되는 이 사건에서 대법원의 판결이 던지는 메시지를 곡해해서는 안 되고 정확하게 읽어야 한다.

우선, 대법원이 던진 메시지는 수사기관의 통신자료 제공 요청을 받을 때 그 요청을 ‘실질적’으로 심사할 의무를 전기통신사업자가 ‘일반적으로’ 가지고 있지 않다는 것이다. 이러한 메시지의 이면에는 전기통신사업자에 대해서 실질적 심사에 대한 물리적‧경제적 기대가능성을 인정하기가 쉽지 않다는 점을 고려한 것으로 보인다. 하지만 대법원의 메시지를 실질적 심사의무를 ‘전혀’ 가지고 있지 않다는 의미로 오해해서는 안 된다. 따라서 구 전기통신사업법 제54조 제3항이 규정하고 있는 요건이나 절차 위반 등(예컨대 통신자료 제공요청권자, 통신자료 제공요청서 등의 법정요건과 절차 위반이 있는 경우, 통신자료 제공요청서 자체에 명백한 오류가 있는 경우 등)의 위법성이 명백함에도 불구하고 통신자료를 제공한 경우라든지 혹은 수사기관이 자신의 수사권한을 오‧남용하기 위해 요청하는 것이 객관적으로 명백함에도 불구하고 통신자료를 제공한 경우에는 여전히 전기통신사업자는 수사기관의 통신자료 제공요청을 거부해야 한다. 이러한 경우까지 전기통신사업자에게 면책을 부여한 것으로 곡해해서는 안 된다.

다음으로, 대법원이 던진 메시지는 통신자료 제공제도를 둘러싼 문제점, 예컨대 개인정보자기결정권에 대한 침해 우려, 통신비밀보호라는 헌법적 가치에 대한 위해 등의 문제를 법원이 개입해서 판단할 것이 아니라 입법적으로 해결하라는 취지이다. 그동안 전기통신사업법상의 통신자료 제공제도에 대해서는 헌법상의 기본권인 통신비밀보호와 개인정보자기결정권을 침해하고, 영장주의와 적법절차원칙에 반하는 잘못된 제도라는 주장이 줄기차게 제기되어 왔다. 따라서 이번 대법원 판결을 계기로 하여 국회는 전기통신사업법상의 통신자료 제공제도에 대해서 통신비밀보호법과 마찬가지의 수준으로 영장주의를 적용하고, 적법절차원칙에 부합하는 방향으로 전기통신사업법을 신속하게 개정해야 할 것이다.

특히 대법원은 신원정보의 제공은 프라이버시를 깊게 침해하지 않는 것으로 보았는데, 이용자 신원정보는 특정 익명의 통신을 한 이용자의 신원정보이다. 통신자료제공은 익명의 통신의 내용을 특정인에게 연계시키기 때문에 특정인의 내밀한 통신의 내용을 취득하는 수사 즉 압수수색이나 감청과 효과 면에서 다를 것이 없음을 국회는 직시해야 할 것이다.

마지막으로 전기통신사업자들은 이번 판결을 근거로 잘못된 판단을 내려서는 안 될 것이다. 대법원의 판결이 이렇다고 하더라도 소비자들의 프라이버시를 경시하는 관행에 대해서는 시장에서, 그리고 계속된 법정에서 논란을 계속 낳을 수밖에 없다. 오픈넷은 이 판결과 관계없이 통신사업자들에게 통신자료제공이 되었는지를 확인하는 캠페인을 계속 벌일 것이며 통신자료제공이 확인 되는대로 그것이 올바른 제공이었는지 법정이나 여론 등 공론의 장으로 끌어오는 작업을 계속할 것이다.

특히 테러방지법 제9조제3항도 “국정원장이 개인정보처리자에게 개인정보 제공을 요구할 수 있다”라고 되어 있어 임의수사처럼 되어 있는데, 오픈넷은 이 조항이 우리나라 사업자들이 관의 ‘합법적’ 요구는 무조건 들어주어 왔던 관행과 결합한다면 엄청난 프라이버시 침해를 발생시킬 수 있음을 지적한 바 있다. (관련 논평: http://opennet.or.kr/11217) 테러방지법은 특히 통신의 내용에 대한 제공요청도 포함하고 국정원장이 요청건수를 공개할 필요도 없기 때문에 그 위험은 매우 크다. 이런 위험으로 번지지 않도록 아무런 검토 없이 개인정보를 제공하는 관행은 중단해야 한다.

2016년 3월 11일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]