세계적인 정보통신기술(ICT) 기업들의 이용자 보호 정책을 평가하여 순위를 매긴 ‘2017 기업책임지수(Corporate Accountability Index)‘가 공개되었다. ICT 기업을 평가하는 국제 프로젝트인 RDR(Raning Digital Rights)은 전세계 22개 기업을 대상으로 하여, 이들이 이용자의 표현의 자유와 프라이버시를 얼마나 잘 보호하는지 집중 평가한 결과를 최근 발표했다.
올해의 평가 대상 기업은 ‘인터넷 및 모바일 부문’ 12개 기업과 ‘이동통신 부문’ 10개 기업이다. 구글, 페이스북, 트위터, 얀덱스, 바이두 같은 인터넷 기업들, AT&T, 텔레포니카 같은 이동통신 기업들이 포함됐다. 삼성과 애플 등 모바일 기업은 올해 처음으로 이 평가에 포함되었다.
평가 결과, 인터넷 및 모바일 부문에서는 구글, 마이크로소프트, 야후가 1~3위를 차지했고 이동통신 부문에서는 AT&T, 보다폰(영국), 텔레포니카(스페인)가 1~3위에 올랐다. 한국 기업으로는 카카오와 삼성이 인터넷 및 모바일 부문에 포함되어 평가를 받았다. 해당 부문 12개 기업 중에 카카오는 5위로 페이스북보다는 못하지만 트위터보다는 나은 점수를 받았다. 삼성은 9위를 차지함으로써, 같은 분야 기업인 애플(7위)보다 두 계단 처졌다.
RDR이 각 기업을 평가한 주요 가치는 표현의 자유와 프라이버시다. 기업들이 이용자의 표현의 자유와 프라이버시를 보장하기 위해 얼마나 노력하고 있는지, 이러한 노력이 기업 정책으로 구체화되어 있는지, 또 그러한 정책이 각종 문서나 약관을 통해 명백하게 밝혀져 있는지 등이 평가 요소였다. 이를 측정하기 위해 35개 지표, 183개의 측정 기준이 적용되었다.
RDR은 세계 ICT 기업들이 이용자에게 제공하는 보호정책 정보가 전체적으로 미흡하며, 특히 스마트폰을 만들어 모바일 생태계를 조성하는 기업들에서 투명성이 떨어졌다고 평가했다. 또 표현의 자유를 지키려는 노력이 프라이버시 보호보다 더 부족한 것으로 나타났으며, 이용자 정보가 어떻게 수집되고 사용되는지를 충분히 고지하지 않는 것도 문제라고 비판했다.
한국 기업에 대해서는, 카카오는 이용자의 표현의 자유와 관련한 정책을 잘 명시하고 있고 개인정보 사용 내용도 비교적 잘 고지하고 있다고 평가했다. 삼성은 인권 일반에 대한 강한 보호 방침에도 불구하고 표현의 자유 및 프라이버시 영역에서는 구체적인 조항을 갖고 있지 않으며, 특히 정부나 사기업이 이용자의 개인정보를 요구할 때 이를 어떻게 처리하는지에 대해 명확히 밝히지 않는다고 지적했다.
2015년에 이어 올해 두 번째인 RDR의 기업 평가 프로젝트는 미국의 명망 있는 싱크탱크인 뉴아메리카 재단에서 주관하고 세계 유수의 전문가 단체가 참여하는 방식으로 진행됐다. 평가팀은 2016년 9월부터 6개월에 걸쳐 복잡한 다단계 검증 과정을 거치며 작업을 수행했다. 사단법인 오픈넷은 이번 평가에서 한국 기업인 카카오와 삼성에 대한 기초 평가를 담당했다.
문의: 오픈넷 사무국 02-581-1643, [email protected]
[관련 글]
[13자리 주민번호 도입 40년 인권시민단체 공동입장]
연일 국민들에 충격적인 소식이 계속되고 있다. 최순실이라는 개인이 박근혜 대통령과 청와대를 좌지우지 해 왔다는 것이다. 무능하고 부적절한 인사가 계속되고 문화체육관광부를 비롯한 정부부처들의 정책추진 체계도 무너졌다. 이제 국민들은 세월호 사건 진상규명을 비롯해 그간 의문스러웠던 국가 정책들의 배경을 전면 의심할 수밖에 없는 상황이다.
빅데이터 정책도 그렇다. 2011년부터 2014년까지 병원과 약국을 다녀간 4천4백만 국민 처방정보 50억 건이 이미 IMS헬스라는 미국 빅데이터 업체에 팔렸고 그렇게 팔린 한국 국민 주민번호의 암호 알고리즘을 지난해 하버드대 연구진이 다 풀어버린 상황이다.
그럼에도 불구하고 정부는 아무런 조치를 취하지 않고 있다. 아니, 오히려 한술 더 떠 허술함이 드러난 방식의 빅데이터 산업을 권장하며 국민들의 건강정보 5조 건을 시장에 공개하고 나섰다. 나아가 금융실명제 등 공익적 목적으로 금융기관들이 보유하고 있는 ‘신용정보’, 이동통신 부정방지라는 공익적 목적을 위해 통신사들이 보관하고 있는 정확한 ‘위치정보’, 그밖에 수많은 개인정보들을 모두 거래해야 경제가 산다고 목소리를 높인다.
지난 2014년 카드3사에서 국민 금융정보 1억 건이 유출되고 나서 개인정보 보호의 "비정상의 정상화"를 하겠다고 선언했던 목소리는 지금 정부 안에서 찾아볼 수 없다. 개인정보 보호 컨트롤타워로 재탄생하겠다던 개인정보보호위원회는 존재감이 없고, 개인정보 보호법률들을 주무하는 행정자치부, 방송통신위원회는 오히려 법률 완화에 앞장서고 있는 형국이다.
지난 4월 14일 유럽은 개인정보보호 일반규정(GDPR)을 제정하였고, 10월 27일 미국은 사상 처음으로 통신법에 옵트인 규정을 신설하였다. 세계 각국은 빅데이터 시대 국민들의 개인정보를 보호하기 위한 제도정비에 나선 것이다. 반면 우리 정부와 기업은 우리나라 개인정보 보호 수준이 지나치게 강하다며 이를 완화하기 위해 온 힘을 집중하고 있다.
그리고 이 비정상의 배경에는 청와대가 있다. 지난 5월 18일 박근혜 대통령이 기업들과 규제개혁장관회의를 개최한 후, 평소에는 개인정보 보호를 주무하던 행정자치부가 6월 30일 개인정보 보호를 완화하는 범정부 가이드라인을 급조해 발표했다. 8월 30일에는 보건복지부가 국민건강복지를 위해 건강보험공단, 건강심사평가원이 보유한 국민 건강정보 5조건을 모두 공개하겠다는 과감한 계획을 발표했다. 방송통신위원회는 국민 위치정보를, 금융위원회는 국민 신용정보를 모두 공개하겠다고 한다.
도무지 말이 안 되는 상황이다. 버젓이 개인정보 보호 법률들이 존재하는 상황에서 이는 불법이다. 이에 대해 정부가 내놓은 해법은 '비식별화'이다. "가명" 등 비식별화 처리를 하면 "개인정보가 아닌 것으로" 정부가 "추정"해줄 테니 일단 팔아버리라고 한다. 미국의 일개 빅데이터 기업에서도 우리 국민의 주민번호와 민감한 처방정보를 이미 다 가지고 있는데 땡땡땡(OOO) 표시에 불과한 몇 가지 조치로 개인정보가 보호될 것이라는 거짓말이 횡행한다.
이뿐만 아니다. 과학기술, 정보방송통신 등 소위 미래 성장동력에 대한 대응전략을 짜기 위해 박근혜 정부가 신설한 미래전략수석 비서관 인사가 신설초기부터 지금까지 거대 통신사 경영진 출신 일색이다. 중요한 국가정책을 결정해야 하는 이 자리를 이해 당사자인 통신사 출신들이 독식한다면 정책의 방향이 누구를 위한 것일지는 명약관화하다.
그간 임명된 4명 중 3명의 미래전략수석이 KT 사외이사(윤창번, 현대원), SK 사장(조신) 출신이다. 이런 배경에서 청와대는 통신사 등 친기업적인 정책을 추진해 온 것이다. 태생부터 통신 소비자의 권리, 개인정보와 같은 인권을 기업이익에 우선할 구조가 아니었던 것이다.
우리는 빅데이터 정책을 무조건 반대하는 것이 아니다. 예컨대, 특정 개인을 다시는 식별할 수 없는 완전 익명처리된 빅데이터 교통정보는 공공정책에 유용하게 사용될 수 있다. 이는 현행 개인정보 보호법제18조 제2항4호에서도 보장하고 있는 내용이다.
그러나 청와대에 의해 추진되는 빅데이터정책은 이와 다르다. 현재 정부와 기업이 말하는 규제완화는 개인정보보호법에서 허용하는 ‘완전한 익명'이 아니라 기업들에 유용한 개인정보를 자유롭게 거래하기 위해서 개인정보보호법을 우회하겠다는 것이다. 이에 따르면, 앞으로 보험사는 위치정보, 건강정보 등 다양한 개인정보를 수집해서 자기 고객들의 위치, 질병 등을 추론할 수 있게 되었다. 그러나 당사자는 모른다. 헌법이 보장하고 있는 자기 개인정보에 대한 정보주체의 동의권은‘불필요한 규제'로 제거 대상이 된 것이다.
결론적으로 현재 추진하는 청와대발 빅데이터 정책은 모두 중지돼야 한다. 청와대는 지금까지 정상적인 민주적 절차에 따라 위임된 권력이 아닌 ‘비선실세’에 따라 국정이 좌지우지되었다는 증거가 넘쳐나고 있다. 비선실세로 알려진 최순실에 의해 급조된 재단들에 아무런 보상없이 수백억을 기부했을 리가 없다. 그리고 이들 기업이 앞장서서 추진하는 빅데이터 사업을 국민들은 신뢰할 수 없다. 일부 기업이 비선실세와 유착한 대가로 국민들의 개인정보를 손쉽게 판매할 수 있는 권한을 부여 받은 게 아닌지 의심을 떨쳐낼 수 없다.
이에 우리 10개 단체들은 비식별화 가이드라인을 필두로 정부와 기업이 지금까지 추진해 온 초법적인 개인정보 활용 정책들을 중단할 것을 강력하게 촉구한다. 나아가 20대 국회가 최근 미국이나 유럽의 조치처럼 빅데이터 처리로부터 국민의 동의권도 함께 보장하기 위해 이를 제고하는 정책을 처음부터 재논의할 것을 요구한다.
2016년 11월 1일
경실련 시민권익센터, 진보네트워크센터, 참여연대, 건강과 대안, 건강권실현을위한보건의료단체연합, 건강사회를위한약사회, 건강사회를위한치과의사회, 노동건강연대, 인도주의실천의사협의회, 참의료실현청년한의사회
이른바 ‘4차 산업혁명’과 개인정보 보호와 관련한 논의가 사회적으로 크게 일고 있다. 참여연대, 건강과대안 , 건강사회를위한약사회, 건강사회를위한치과의사회, 경실련, 노동건강연대, 미디액트, 서울YMCA 시청자시민운동본부, 언론연대, 인도주의실천의사협의회, 진보네트워크센터, 참의료실현청년한의사회, 함께하는시민행동은 오늘(2월12일) 빅데이터 시대 국민의 개인정보 보호를 위하여 개인정보 감독 체계의 강화가 시급하다고 보고 대통령비서실, 대통령직속 4차산업혁명위원회, 국정과제추진점검단, 국회 4차산업혁명특별위원회, 국회 행정안전위원회, 국회 과학기술정보방송통신위원회, 개인정보보호위원회, 국가인권위원회에 현재 여러 개별법에 분산된 개인정보 보호법체를 개인정보보호법으로 일원화하고 국제규범에 부합하도록 개인정보보호위원회의 독립성과 권한을 강화해야 한다는 등의 의견을 제출하였다.
보도자료[원문보기/다운로드]
문재인 대통령은 후보 시절부터 개인정보 감독 체계를 현재보다 강화할 것을 국민 앞에 약속하였습니다. 공약에는 “개인정보 보호 체계 효율화” 및 “개인정보보호위원회의 위상 강화”가 포함되어 있고 국정과제로서 “2018년부터 개인정보 보호 거버넌스 강화 및 개인정보 보호 체계 효율화”를 제시한 바 있습니다. 그러나 아직까지 국정과제 이행을 위한 구체적인 조치가 가시화되지 않았다는 점이 크게 아쉽습니다.
개인정보 감독 체계의 독립성과 전문성 보장은 유엔을 비롯한 국제사회가 권장하는 규범이기도 합니다. 유엔은 일찍이 1990년 총회에서 “모든 국가들은 열거된 원칙들의 준수를 감독할 기관을 국내법에 따라 설치한다. 이 기관은 개인정보 처리를 담당하는 개인 혹은 기관에 대해 불편부당성, 독립성, 기술적 역량을 제공해야 한다.”고 선언하였고(UN 컴퓨터화된 개인 정보파일의 규율에 관한 지침) 다시금 2013년 총회에서 “통신감시, 감청, 개인정보 수집 등 국가감시의 투명성 및 책임성을 보장할 수 있는 독립적이고, 효과적인 국내적 감독 체제를 수립 혹은 유지할 것”을 각국 정부에 권고하는 결의안을 채택하였습니다(디지털시대 프라이버시권 결의안).
세계 여러 나라가 빅데이터 처리로부터 국민의 권리를 보호하기 위해 개인정보 감독 체계를 정비하고 있습니다. 그러나 우리나라에서는 개인정보 관련법이 개인정보보호법, 정보통신망법, 신용정보법 등으로 분산되어 있고 개인정보 감독기구 또한 개인정보보호위원회, 행정안전부, 방송통신위원회, 금융위원회 등으로 분산되어 있습니다. 카드3사 개인정보 유출사태가 국민을 경악케 한 이후로도 홈플러스 사건 등 기업이 소비자의 개인정보를 무단으로 판매하는 일이 증가하여 국민의 정보인권이 침해당하고 있는데도 효율적으로 대처하지 못하고 있습니다. 행정안전부나 방송통신위원회 등 개인정보 관련 부처들은 지난 박근혜 정부에서 개인정보의 보호 뿐 아니라 그 이용을 촉진하는 업무를 함께 하면서 산업 활성화를 위해 개인정보 보호를 완화하려 했습니다.
국제규범에 비추어 보았을 때 현재 우리나라의 개인정보 보호기관은 감독기구로서 독립성과 권한이 모두 부족합니다. 행정안전부는 정부부처 조직이므로 독립성이 결여되어 있으며, 개인정보보호위원회는 인사, 예산의 독립성과 직권조사권 등의 권한이 제한적이기 때문입니다. 실제로 2016년 10월 유럽연합은 한국 개인정보 보호기관의 독립성과 권한 미비에 대하여 부적격으로 평가한 바 있습니다. 그런데도 정부에서는 개인정보보호위원회의 독립성과 권한을 국제기준에 부합하도록 전체적으로 강화하기보다 방송통신위원회가 별도로 ‘부분 적정성 평가’를 추진하는 등 개인정보보호라는 가치보다 부처 이기주의적인 모습만을 보이고 있습니다.
특히 대통령직속 개인정보보호위원회의 주요 의견이 수용되지 않고 있다는 것은 큰 문제입니다. 개인정보보호위원회는 「개인영상정보 보호법」의 제정에 대하여 반대하고(제2017-01-07호) 비식별화 관련 법안들에 대한 반대 의견을 여러 차례 발표하였으며(제2016-23-83호 등) 유럽연합 부분적정성 평가에 반대하고 위원회 독립성 보완을 권고(제2017-25-198호)하였으나, 행정안전부 및 방송통신위원회 등 관련 부처가 이를 이행하고 있지 않습니다.
개인정보보호위원회가 국제규범에 부합하는 개인정보 감독기구로 바로 서기 위해서는 중앙행정기관에 해당하는 지위가 부여되고 예산 및 인사의 독립성이 확보되어야 하며, 직권조사, 시정(제재)권을 비롯한 권한 및 직무가 보완되어야 합니다. 또한 분산된 개인정보 관련법제를 개인정보보호법으로 일원화하고, 개인정보 감독기구 역시 독립전담기관으로서 개인정보보호위원회로 통합할 필요가 있습니다.
빅데이터 시대의 국가는 국민의 정보인권을 보호하고 기업의 무분별한 개인정보 처리로부터 정보주체인 소비자와 이용자의 권리를 보장할 수 있는 효율적이고 책임있는 대책을 강구해야 합니다. 개인정보 보호 체계의 효율화와 감독 체계 강화는 이를 위한 기반이자 국민들에게 약속한 국정과제입니다. 이에 우리 시민사회단체들은 개인정보보호위원회가 국제규범에 부합하는 독립성과 전문성을 갖출 수 있도록 개인정보보호법 및 정보통신망법 등 관련 법률 개정은 물론 정부조직개편을 빠른 시일 내 추진할 것을 요구합니다.
2018.2.12
참여연대, 건강과대안 , 건강사회를위한약사회, 건강사회를위한치과의사회, 경실련, 노동건강연대, 미디액트, 서울YMCA 시청자시민운동본부, 언론연대, 인도주의실천의사협의회, 진보네트워크센터, 참의료실현청년한의사회, 함께하는시민행동
* 여야가 합의했다고 보도가 계속 나오는 테러방지법(사이버테러방지법을 포함하는 의미입니다)의 문제점을 인권시민사회단체가 정리해 보았습니다. 테러방지법의 전체적인 문제점은 첨부파일을 참고하시기 바랍니다
시민들의 의견
댓글 달기