소비자권익 3법, 더 이상 미룰 수 없다. 국회가 결단하라.

일시 장소 : 2020년 10월 26일 (월) 오전10시, 국회 정문 앞

한 회사가 물건을 개발해 판매하는데 안전성능을 위한 검사와 시스템 마련에 10억원의 추가비용이 발생하지만, 안전성능 검사를 하지 않아서 소비자에게 피해가 발생하더라도 10억원으로 막을 수 있다고 가정해보자. 과연 어느 기업이 이러한 조치를 취할 것이라고 기대할 수 있을 것인가. 그런데 만약 50억원, 100억원에 달하는 손해배상과 피해구제 조치를 해야한다면 어떠할까. 기업들이 보다 책임있는 안전검증과 시스템 개발에 몰두하지 않겠는가.

단언하건데, 소비자권익 3법은 앞의 사례와 같이 단순히 돈과 비용의 문제에 국한되지 않는다. 인체에 유해한 성분을 제대로 검증하지 않아 천여명에 달하는 생명과 신체에 돌이킬 수 없는 위해를 가한 가습기살균제, 라돈이 포함된 침대, 발암물질이 함유된 생리대와 식품들, 주행 중 화재가 발생하는 자동차 등 일부 기업들의 ‘이윤추구’에 매몰되어 수많은 국민들이 생명과 안전을 위협받아왔다. 한번 유출되면 돌이킬 수 없는 개인정보가 금융기관과 인터넷기업의 보안사고로 단돈 몇푼에 불법거래되고, 평생을 모은 재산이 불완전 금융상품 때문에 날아가는 일이 더 이상 낯설지 않다. 그럼에도 불구하고 어느 누구도 책임지는 사람은 없고 어느 누구도 재발방지를 위해 애쓰지 않는다.

집단소송법, 징벌적손해배상제도, 증거개시제도 도입은 더 이상 미룰 수 없는 우리 사회의 중요한 과제다. 재계와 일부 경영자 단체들은 소비자권익 3법의 도입이 기업활동을 위축시키고 코로나19로 인한 경제침체를 가중시킬 것이라는 반협박을 통해 국회를 압박하고 있지만 우리 소비자시민단체들은 이러한 그들의 주장에 전혀 동의할 수 없다. 소비자권익3법은 충분한 안전검증과 피해예방 시스템을 갖추고 정상적인 기업활동을 하고자 하는 기업들에게는 전혀 해당되지 않는다. 소비자권익 3법을 반대하는 기업들은 국민들의 생명과 신체, 안전과 재산을 해치지 않는 방법으로는 기업활동을 하기 어렵다는 것을 자인하는 것인가. 오히려 이런 기업들이 세계 시장에 나가 국내 기업들의 실력과 국산제품의 우수성을 해치는 것을 막는 것이 우리 기업들의 경쟁력을 높이고 경제를 활성화시키기 위한 최우선 방안 아닌가.

국회 또한 이미 19대, 20대를 거치며 충분한 논의를 거쳐온 소비자권익 3법을 미룰 명분이 없다. 집단소송을 광범위한 영역에 적용하고 징벌적손배를 상법에 도입하는 정부안도 빠른 시일 내 논의하되 일단 이번 정기국회에서는 가능한 안부터 단계적으로 빠르게 도입하는 방안도 적극 고려해야 한다. 이미 언론에서는 여야가 소비자권익3법의 속도조절에 나섰음을 암시하면서 기업의 불법행위에 집단적인 피해를 입은 국민들의 좌절감과 분노를 불러일으키고 있다. 국회와 정부는 하루빨리 집단소송법과 징벌적손배제 법안 처리하라. 우리 소비자시민단체들은 집단소송법과 징벌적손배제가 도입되어 기업들이 자신들의 책임을 다하고 소비자들이 생명과 안전을 지킬 수 있도록 끝까지 연대하고 행동할 것이다.

2020년 10월 26일

기자회견 참가자 일동

기자회견 보도자료

문의 : 경실련 정책국(02-3673-2142)

갈수록 후퇴하는 문재인 정부의 개인정보 보호정책에 깊은 우려를 표한다

개인정보 보호위원회의 첫 행보, 무척 실망스럽다

8월 26일, 개인정보 보호위원회(이하 보호위원회)는 ｢가명정보의 결합 및 반출 등에 관한 고시｣를 의결하였다. 그러나 이는 지난 6월 3일 행정예고된 ‘가명정보의 결합 및 반출 등에 관한 고시(안)’에 대해 시민사회가 제출한 의견은 일체 수용하지 않고 산업계의 의견만을 받아들여 오히려 개인정보 보호를 후퇴시킨 것이다. 이 정도면 문재인 정부의 개인정보 보호정책이 박근혜 정부 시절보다 대폭 후퇴했다고 평가할 만하다. 더구나 개인정보의 보호와 정보주체의 권익 보장을 목적으로 독립성을 부여하여 신설된 보호위원회가 설립 목적과 취지에 부합하지 않는 내용이 포함된 고시를 의결하고 시행한다는 점에서, 향후에 보호위원회가 제 역할을 할 수 있을지 심히 우려하지 않을 수 없다.

첫째, 무엇보다 가장 큰 문제는 서로 다른 두 기업의 가명정보를 결합하여, 결합된 정보를 두 기업에 반출할 수 있도록 허용하고 있다는 점이다. 이렇게 되면 각 기업이 보유하고 있던 정보를 어느때든 결합해 개인을 식별할 가능성이 높아진다. 시행령 개정안과 행정예고된 고시안에 대한 시민사회 공동의견서에서 우려한 바와 같이, 애초에 결합전문기관의 안전시설 내에서 결합 정보에 대한 접근을 허용한 것에서 후퇴하여, 결합 정보 반출을 사실상 결합전문기관 스스로 결정함에 있어 아무런 사전 통제 장치를 규정하지 않고 있다. 개인정보는 한 번 유출되면 되돌릴 방법이 없다는 것은 그 동안의 개인정보 유출사고에서 명백하게 확인이 되었음에도 사후적 통제 장치만을 규정하고 있는 점은 도저히 납득하기 어렵다. 이는 2016년 박근혜 정부에서 발표한 으로의 회귀이며, 개인정보를 기업 간에 공유할 수 있도록 허용하는 것과 다르지 않다.

반출 심사를 한다고는 하지만, 제11조 3항의 심사기준은 가명처리나 보안조치만 하면 되는 수준의 가장 기본적인 조치일 뿐이다. 그나마 행정예고안에서는 ‘반출 정보를 제공받는 자가 특정 개인을 알아보기 위하여 사용할 수 있는 정보가 포함되어 있지 않을 것’이라는 기준을 통해 원래의 개인정보 처리자에게 반출하는 것이 곤란할 수도 있었으나 이마저 전면 삭제하였다. 가명처리를 하더라도 원본 개인정보를 보유하고 있는 사업자들은 가명처리된 결합 정보를 재식별하는 것이 어렵지 않을 것이다. 정보주체 입장에서는 한 기업에 제공된 자신의 개인정보가 언제든지 재식별이 가능한 방식으로 다른 기업으로 공유될 수 있는 커다란 위험에 처한 것이다. 보호위원회가 이러한 개인정보 남용의 위험성을 방치해도 되는 것인가.

둘째, 독립성이 요청되는 결합전문기관의 성격상 가명정보 결합에 이해관계를 가질 수 있는 기업들의 참여를 제한하는 기준이 없을 뿐만 아니라 자본금 50억원을 충족해야 하는 조건을 고려하면 사실상 대기업이 우회적인 방법으로 결합전문기관을 설립할 수 있도록 허용한 것으로 볼 수밖에 없다. 역시 박근혜 정부 당시보다 후퇴한 것이다. 이렇게 되면 통신사나 포털사도 요건만 갖추면 결합전문기관이 될 수 있다. 더구나 이런 민간 결합전문기관이 자신의 개인정보와 타 사의 개인정보를 결합할 가능성을 통제할 수 있는 조항도 없다. 이른바 ‘셀프 결합’을 방지할 수 없는 것이다.

애초에 결합전문기관을 통해 결합하도록 한 취지는 결합을 요청하는 기관과 결합을 집행하는 기관을 분리하여 개인정보 침해 위험을 최소화하자는 것이다. 보호위원회 역시 개인정보 보유기관, 서로 다른 가명정보의 결합키를 제공하는 기관, 결합된 가명정보를 연구자(결합신청자)에게 제공하는 기관(즉, 결합전문기관)이 서로 분리될 필요성이 있다는 기능분리의 원칙을 천명한 바 있다.(개인정보보호위원회 결정 제2017-15-125호) 심지어 지나치게 개인정보 활용에 치우쳤다는 비판을 받고 있는 신용정보법에서조차 “데이터전문기관은 자기가 보유한 정보집합물을 결합하려는 경우에는 다른 데이터전문기관을 통하여 결합하여야 한다”는 원칙을 포함하고 있다. (신용정보업감독규정 제15조의2 5항)

셋째, 결합전문기관에 대한 보호위원회의 감독권한 역시 이전보다 후퇴하였다. 특히 민간기업을 결합전문기관으로 허용할 경우 이전보다 관리, 감독이 더욱 엄격해질 필요가 있다. 그런데, 행정예고안에서는 보호위원회가 자료요청이나 현장실사를 할 수 있는 조항(행정예고안 제6조 2항)이 있었는데, 이번에 의결된 고시(제13조)에서는 관련 규정이 삭제되었다. 반출된 결합정보를 목적 달성 후 파기하는 규정도 여전히 없다. 기업의 로비에 밀려 보호위원회의 감독권한조차 유명무실해지는 것인가.

넷째, 시계열 분석을 위해 반복적으로 결합되는 경우 어떻게 처리되는 것인지 명확하지 않다. 결합 신청서에는 시계열 분석 여부를 선택하도록 되어 있으나 고시에는 관련 조항이 없다. 가명정보 결합을 위한 결합키나 결합키연계정보는 결합 후에 삭제하는 것이 원칙인데, 시계열 분석을 어떤 방식으로 하려는 것인지 의문이다. 혹여라도 결합키나 결합키연계정보를 파기하지 않고 보관하는 것이라면 개인정보 침해 위험성이 매우 커질 우려가 있다. 보호위원회가 결합신청서에만 넣어놓고 가이드라인 등을 통해 자의적으로 처리하려는게 아니라면 시행령 등 상위규정에서 그 허용여부를 명확하게 밝힐 필요가 있다.

우리 단체들은 「개인정보보호법 시행령」 및 「가명정보의 결합 및 반출 등에 관한 고시(안)」에 대해 여러가지 의견을 전달한 바 있다. 반출심사 뿐만 아니라 과학적 연구인지 여부를 판단할 수 있는 (가칭) 연구평가위원회의 구성 필요성, 가명정보 결합 현황에 대한 정보공개의 필요성, 가명 혹은 익명 정보 반출 기준의 명확화 등 여러 의견을 전달했지만 전혀 수용된 것이 없으며, 그 이유에 대한 설명도 들은 바 없다.

개인정보 보호위원회의 임무는 정보주체의 권리를 보호함에 있다. 보호위원회는 정보주체의 권리를 보호, 강화하는 방향으로 ｢가명정보의 결합 및 반출 등에 관한 고시｣를 수정, 재의결해야 한다. 활용에 방점을 둔 정부와 기업의 압력에 굴복하여, 자신들의 임무가 정보주체의 권리를 수호하는 것임을 벌써 잊은 것인가.

2020년 8월 27일

건강과 대안, 경제정의실천시민연합, 무상의료운동본부, 민주사회를 위한 변호사모임 디지털정보위원회, 서울YMCA 시청자시민운동본부, 전국민주노동조합총연맹, 진보네트워크센터, 참여연대

문의 : 경실련 정책국(02-766-5624)

디지털뉴딜,

‘국민사생활’ 팔아 경제성장하겠다는 것

정부의 713한국판뉴딜 중 디지털뉴딜 비판 기자설명회 개최

1. 오늘 (7/21) 무상의료운동본부,민주사회를위한변호사모임 디지털정보위원회, 진보네트워크센터, 서울YMCA, 참여연대, 경실련 등 6개 시민사회단체는 참여연대 2층 아름드리홀에서 기자설명회 <디지털뉴딜, ‘국민사생활’ 팔아 경제성장하겠다는 것-713한국판뉴딜 중<디지털 뉴딜> 진단>을 개최하였다.

1. 정부가 지난 2020. 7.13. 발표한 한국판 뉴딜은 코로나 19 이후 사회 경제적 구조 변화에 선도적으로 대비한다는 명분 아래 디지털경제로의 이행을 가속화하겠다는 것이다. 그런데 데이터경제란 결국 국민의 개인정보를 모아 데이터화 하고 이를 경제적 용도로 활용하겠다는 것임에도 정작 데이터 생산의 주체인 국민의 정보인권에 미칠 영향에 대한 어떠한 고려도 보이지 않는다는 비판이 거세다.

1. 우리 민주주의 경험에서 인권이 배제되거나 희생하고 얻은 경제성장은 반드시 국민의 비판을 받았다. 단체들은 정보인권과 떼려야 뗄 수 없는 불가분의 관계에 있음에도 이에 대한 그 어떤 정책적 고려도 보이지 않는 이번 713디지털뉴딜을 포함하여 문재인 정부의 데이터/개인정보 정책 기조를 진단하고 비판하였다. 특히 행정안전부가 주도하고 있는 「개인정보보호법 시행령」 개정안은 1차 입법예고 안에서 결합된 가명정보의 결합전문기관 외부로의 반출을 원칙적으로 제한하는 규정을 최소한의 안전장치로 두고 있었는데 재입법예고를 하면서 이를 제거해 버렸다. 단체들은 7월 20일 행안부에 제출한 <개인정보보호법시행령 재입법예고(안)에 대한 시민사회 공동의견서>에서 기업들의 요구를 그대로 수용한 재입법예고는 사실상 정부가 개인정보보호를 포기했다고 선언한 것이라고 지적했다. 마지막으로, 단체들은 개정 개인정보보호법에 따라 8.5 출범하는 통합 개인정보 보호위원회의 역할을 확인하고 보호위원회가 국민의 개인정보보호라는 설립 취지를 제대로 수행할 것을 주문했다. 끝.

▣ 붙임1 : 참고자료

자료 1. [공동성명]정보인권‌ ‌보호가‌ ‌규제혁파‌ ‌대상인가‌———————– p. 3
자료 2. [성명]디지털 뉴딜, 정보인권과 함께 가야 한다. ———————– p. 5
자료 3. [보도자료] 시행앞둔 개인정보보호법,신정법 시행령 각 개정안에 대한 의견서 제출 — p. 8
자료 4. 행안부의 개인정보보호법시행령 재입법예고(안)에 대한 시민사회 공동의견서 ——- p.11
자료 5. [의견서]「가명정보 결합 및 반출 고시(안)」에 대한 시민사회 공동 의견서 제출 —— p.16

※ 이후 첨부파일 참고

2020년 7월 21일

경제정의실천시민연합, 무상의료운동본부, 민주사회를위한변호사모임 디지털정보위원회,
서울YMCA, 진보네트워크센터, 참여연대

첨부파일 : 200721 디지털뉴딜, ‘국민사생활’팔아 경제성장하겠다는 것
첨부파일 : 200721 디지털뉴딜, ‘국민사생활’팔아 경제성장하겠다는 것

문의 : 경실련 정책국(02-766-5624)

개인 의료정보까지 상품화하나

보건의료 데이터 활용 가이드라인 철회하라

지난 8월 28일, 개인정보보호위원회와 보건복지부는 보건의료 데이터 활용 가이드라인(안)을 공개하고 의견수렴을 받고 있다. 그러나 이 가이드라인(안)은 개인 의료정보를 불법적으로 활용, 공유, 결합, 판매하는 것을 허용하는 문제가 있다. 국민의 민감한 의료정보를 보호해야 할 개인정보보호위원회와 보건복지부가 오히려 의료정보의 상업적 활용을 부추기는 가이드라인(안)을 만든 것을 규탄하며 이를 즉각 철회할 것을 촉구한다.

첫째, 개인 의료정보는 개인정보보호법 제23조에서 규정하고 있는 ‘민감정보’이며, 민감정보는 정보주체의 별도의 동의를 받거나 법령에서 허용하는 경우 외에는 그 처리를 엄격하게 제한하고 있다. 가명처리는 ‘개인정보’의 처리이며, 가명정보 역시 개인정보라는 점에서 가명처리를 했다고 제23조를 적용하지 않을 이유가 없다. 산업계는 제3절 가명정보의 처리에 관한 특례가 민감정보에도 적용된다고 주장하나 이렇게 될 경우 민감정보의 보호를 별도의 조항으로 두어 보호하고 있는 취지 자체를 훼손하게 된다. 만일 공공적인 의료 연구를 목적으로 개인정보를 활용할 필요가 있다면 법에서 그 허용범위와 절차를 명확하게 규정할 필요가 있다. 현재 명확한 규정이 없는 상황에서는 보호위원회와 보건복지부는 정보주체의 권리를 보호하는 방향으로 해석하는 것이 합당하다.

둘째, 개인정보보호법에 대한 해석과 별개로, 개인 의료정보의 경우 의료법으로도 보호되고 있다. 의료법에서는 환자들의 개인 의료정보를 환자가 아닌 다른 사람에게 열람하게 하거나 제공하지 못하도록 하고 있다(21조). 그런데 가이드라인(안)은 ‘가명처리하여 환자식별력이 없는 진료기록(정보)’에는 의료법이 적용되지 않는다고 해석하고 있다. 그러나 가명정보 역시 개인정보라는 점에서 이러한 가명처리된 진료기록에는 의료법이 적용되지 않는다는 해석은 아무런 근거가 없다.

그러면서도 가이드라인(안)은 “정보 주체의 인권 및 사생활 보호에 중대한 피해를 야기할 수 있는 정보에 대해서는 본인 동의를 받아 활용을 원칙”으로 한다고 하고 있다. 보호위원회와 보건복지부 역시 개인 의료정보가 환자들의 인권을 위협할 수 있는 민감한 개인정보로 인지하고 있다. 그럼에도 불구하고 가명처리하면 의료법이 적용되지 않는다고 해석하는 것은 자기모순일 뿐만 아니라 환자 정보주체 보호라는 부처의 의무를 외면하는 처사이다.

셋째, 가이드라인(안)은 법령에서 규정해야 할 사항들을 가이드라인으로 처리하고 있다. 예를 들어, △ 정신질환 및 처방약 정보 등 정보 주체의 인권 및 사생활 보호에 중대한 피해를 야기할 수 있는 정보에 대해서는 본인 동의를 받아 활용을 원칙으로 하고 있고, △ 기관 내에 「데이터 심의위원회」를 설치・운영하도록 하고 있다. 개인 의료정보의 경우 정보주체의 인권에 치명적인 영향을 줄 수 있음을 보호위원회 및 보건복지부 역시 인지하고 있는 것으로 보인다. 그렇기 때문에 법령에서 명확하게 규정해야 한다. 법령에 근거없는 가이드라인만으로는 민감한 개인 의료정보의 남용을 막기 힘들다.

넷째, 가이드라인(안)은 개인정보 보호원칙을 권고 수준으로 격하하고 있다. 예를 들어, “가명정보를 최초 제공받을 당시 원 개인정보처리자에게 밝힌 목적(X) 외의 목적(Y)으로 처리할 경우 원 개인정보처리자에게 고지할 것을 권장”하고 있는데, 개인정보의 목적 내 처리는 권고 사항이 아니라 준수해야 할 원칙이다. 또한, “데이터 분석 대행 또는 협력연구 등을 통해 익명정보 반출 만으로도 목적을 달성할 수 있을 경우 원 개인정보처리자가 이러한 작업을 수행할 것을 권장”하고 있는데, 익명정보로 목적을 달성할 수 있는 경우 익명정보를 활용해야 하는 것 역시 권장 사항이 아니라 반드시 준수해야 할 원칙이다. 한편, “가명정보 제공에 대응되는 대가를 받는 것은 금지되지 않으나, 사회적인 통념 등을 고려할 때 과도한 데이터 활용 대가는 지양 할 것을 권장”하고 있는데, 이는 권장의 형태를 취하고 있지만 시민사회가 지금까지 주장해온 바와 같이, 사실상 개인정보의 판매를 허용하고 있음을 고백한 것이나 다름없다.

다섯째, 가이드라인(안)은 “가명정보를 활용할 예정이므로 동의 여부는 생명윤리법상 기관심사위원회(IRB) 심의 및 동의 면제 대상이 될 수 있으나 면제 여부에 대해 IRB의 확인 필요”라고 하고 있는데, 이를 보더라도 보호위원회와 보건복지부는 개인 의료정보의 활용에 혈안이 되어 있는 듯하다. 인간대상 연구는 기관심사위원회의 심사가 원칙이며, 가명/익명처리는 당연히 취해야 할 안전조치일 뿐이다. 이것이 국제적인 원칙에도 부합한다.

여섯째, 가이드라인(안)은 정보주체의 옵트아웃(가명처리정지요구) 권리를 명시하면서, 정보주체에게 홈페이지 개시 등 공개적인 방법으로 가명처리정지요구를 접수해야 하고, 요구를 받은 정보주체의 정보는 가명처리의 대상에 포함시키지 말아야 한다고 규정하고 있다. 정보주체의 권리는 당연히 보장받아야 하지만, 이는 동 가이드라인이 아니라, 일반적인 ‘가명처리 가이드라인’에서 규정해야 할 부분이다. 보건의료 정보에만 정보주체의 이 권리가 보장되는 것은 아니기 때문이다. 보호위원회는 정보주체의 권리를 보호하지 않는 개인정보처리자를 강력하게 규제해야 한다.

이번 가이드라인(안)은 개인 의료정보를 비롯한 민감정보 역시 가명처리하면 기업들이 판매, 공유, 결합할 수 있도록 허용하고 있으며, 이는 개인정보보호법 및 의료법 위반의 소지가 큰 만큼 폐기되어야 마땅하다. 또한 정보주체의 권리 보호를 최우선 원칙으로 정책을 수립할 것을 보호위원회와 보건복지부에 촉구한다.

2020년 9월 2일

건강과대안, 경제정의실천시민연합, 무상의료운동본부, 민주사회를 위한 변호사모임 디지털정보위원회, 서울YMCA 시청자시민운동본부, 전국민주노동조합총연맹, 진보네트워크센터, 참여연대, 한국소비자연맹

문의 : 경실련 정책국(02-766-5624)