[ 개인정보보호법 2차 개정안에 대한 기업들의 공동 입장문 비판 ]

개인정보 활용은 적극 요구, 그러나 책임은 지기 싫다?

1. 지난 2021년 6월 10일, 한국경영자총협회, 한국인터넷기업협회, 한국통신사업자연합회 등 주요 기업 협회들은 개인정보 보호법 2차 개정안에 대한 공동 입장문을 발표하였다. 이 입장문에서 기업들은 “전체 매출액 기준의 과징금 상향, 과도한 개인정보 전송요구권의 도입, 사법절차에 준하는 분쟁조정위원회 사실조사권 부여 등 개인정보 보호법 개정안의 주요 조항”의 수정을 요구하였다. 한마디로 개인정보 활용은 쉽게, 그러나 책임은 지지 않겠다는 것이다. 개인정보보호위원회는 기업들의 뻔뻔한 압력에 굴복해서는 안 된다.

2. 개인정보보호위원회가 개인정보보호법 2차 개정안을 입법 예고한 이후, 기업들은 과징금을 전체 매출액 기준으로 변경한 것에 대해 집중적으로 반대 입장을 표명해왔다. 그러나 전체 매출액 기준 과징금 부과는 한국만의 독특한 정책이 아니며, 유럽연합의 개인정보보호법(GDPR)을 비롯한 국제적인 흐름이 되어가고 있다.

기업들은 GDPR이 전체 매출액 기준으로 과징금을 부과하고 있는 것이 “EU내 경쟁력 있는 디지털 기업이 거의 없고 시장 전체를 글로벌 기업에 잠식당한 상황에서 우회책으로 마련한 통상제재 수단”이라고 폄하하고 있는데, 이는 터무니없는 해석이다. GDPR은 글로벌 기업을 비롯해서 EU 역내의 모든 사업자에게 적용이 되는데, 기업들의 논리대로라면 EU는 디지털 산업 육성을 포기라도 했다는 말인가.

더구나 2차 개정안은 현행 형사처벌을 완화하고 경제적 제재를 강화하고 있는데, 이는 기업들이 오래 동안 요구해온 것을 반영한 것이다. 기업들은 “과징금 규모를 높이는 것이 개인정보 보호 강화에 영향을 미친다는 ‘실증적 연구결과’가 전혀 없다”고 하는데, 그렇다면 개인정보 보호 강화에 영향을 미치는 제재 방법에 대한 실증적 연구결과를 제시해보라. 단지 형사처벌도 싫고 과징금 규모를 높이는 것도 싫다면, 개인정보 침해에 대해 제대로 책임을 지지 않겠다는 것 아닌가. 그렇다고 미국처럼 집단소송제와 징벌적 손해배상제도가 있어 피해를 당한 정보주체들에게 엄청난 손해배상을 감당해야 하는 것도 아니지 않은가.

기업들은 전체 매출액이 아닌 ‘관련’ 매출액 기준으로 하자고 하지만, 한 기업 내에서 개인정보가 관련된 매출액을 엄밀하게 구분해낼 수 있는가. 이를 축소해석하여 개인정보 침해에 대한 책임을 회피하고, 관련 매출액에 대한 해석 논란을 제기하여 시간을 끌자는 꼼수임이 뻔히 보인다.

3. 기업들은 분쟁조정위원회에 강제적 조사권을 부여하는 것에 대해서도 반대하고 있다. 개인정보 분쟁조정 제도와 관련한 2차 개정안의 취지는 분쟁조정에 의무적으로 응해야 할 대상을 확대하고 효과적인 사실조사를 할 수 있는 법적 근거를 마련하여, 분쟁조정 제도를 활성화하고자 하는 것이다. 개인정보와 관련된 분쟁의 경우, 다수의 피해자가 존재하지만 특정 개인에게 미치는 피해는 크지 않아, 피해 당사자들이 소송을 제기하는 것이 부담스러운 경우가 많다. 그렇기 때문에 빠르고 적은 비용으로 분쟁을 해결할 수 있는 분쟁조정 제도를 활성화할 필요가 있는 것이다. 그나마 2차 개정안과 같이 개정되어도 기업들이 조정안을 수락하지 않으면 분쟁조정이 성립하지 않기 때문에 한계가 있다. 그럼에도 기업들이 2차 개정안조차 수용하지 못하겠다는 것은 분쟁조정 제도의 활성화를 막고자 하는 것이고, 이는 개인정보 침해의 피해자들이 손쉽게 소송을 제기하지 못할 것임을 고려한 ‘배째라’식 행태에 다름 아니다.

4. 기업들은 “산업계의 현실을 반영하지 못하면서 정보주체의 권리 강화에도 도움이 되지 않는 개보법 2차 개정안 주요 조항들의 재검토”를 주장하고 있다. 드러내놓고 정보주체의 권리를 보호하고자 하는 조항들에 반대하면서 말이다. 그렇다고 정보주체의 권리를 강화하기 위한 다른 합리적 방안을 제안한 것도 아니지 않는가.

지난 2020년 1월 개인정보보호법 개정은 정보주체의 동의없이 개인정보를 활용하고자 하는 기업들의 일방적 요구를 수용한 것이었다. 인공지능 등 신기술에 대응하여 정보주체의 권리를 보호하고 기업들의 책임성을 강화하기 위한 조항들은 논의조차 되지 못했다. 정보주체의 권리를 강화한다는 2차 개정안의 내용도 시민사회의 기대에 현저히 미치지 못하기 때문에 우리 시민사회는 정보주체의 권리를 강화할 별도의 개정안을 준비하고 있다.

이번 기업들의 공동 입장문에서 볼 수 있다시피, 한국 기업들의 개인정보 보호인식은 매우 낮은 수준이다. 인공지능 챗봇 이루다 사태가 발생한 것도 개인정보 보호에 대한 인식도 없이 기술 개발만 잘하면 된다는 기업과 정부의 무책임에 기인한 바 크다. 심지어 통신사와 같은 대기업조차 개인정보의 동의없는 활용에만 치중하고 있을 뿐, 정보주체의 권리를 제대로 보장하지 않고 있는 것이 우리의 현실이다.

● 기업들은 개인정보보호법 2차 개정안에 대한 뻔뻔한 요구를 즉각 철회하라!

● 개인정보보호위원회는 정보주체의 권리를 제대로 보호하고 기업의 개인정보 침해 행위에 엄중한 책임을 물어라!

2021년 06월 15일

경실련, 무상의료운동본부, 민주사회를위한변호사모임 디지털정보위원회, 서울YMCA 시청자시민운동본부, 연구공동체 건강과대안, 전국민주노동조합총연맹, 진보네트워크센터, 참여연대, 한국소비자연맹

첨부파일 : 20210615_공동성명_개인정보보호법 2차 개정안에 대한 기업들의 공동 입장문 비판.hwp
첨부파일 : 20210615_공동성명_개인정보보호법 2차 개정안에 대한 기업들의 공동 입장문 비판.pdf

문의 : 경실련 정책국(02-766-5624)

시민사회단체, 전자정부법 시행령 입법예고안 의견서 제출

본인행정정보 전송 대상의 무분별한 확대 반대

건강정보까지 보험사 등 민간기업에 제공하는 규정 삭제 해야

범용 식별자로서 제2의 주민등록번호인 연계정보 활용 삭제

인공지능 활용 행정서비스 제공 범위와 한계, 책임성 명확히 할 것

오늘(8/31) 건강권 실현을 위한 보건의료단체연합(건강권 실현을 위한 행동하는 간호사회, 건강사회를 위한 약사회, 건강사회를 위한 치과의사회, 노동건강연대, 인도주의실천의사협의회, 참의료실현청년한의사회), 민변 디지털정보위원회, 민주노총, 무상의료운동본부, 사단법인 정보인권연구소, 연구공동체 건강과대안, 진보네트워크센터, 참여연대, 경실련 등 시민사회단체들은 정부의 「전자정부법시행령」 일부개정령안(행정안전부공고제2021-418호)(이하 ‘개정령안’)에 대해 입법의견서를 제출했다.

이번 개정령안은 지난 5/20 국회를 통과한 「전자정부법」의 12월 시행을 앞두고 법에서 위임한 사항을 반영하기 위한 것이다. 단체들은 의견서에서 가장 문제가 있는 ▶범용식별자로서 제2의 주민등록번호인 연계정보(CI) 활용 조항(개정령안 제12조 4항), ▶민감정보인 건강정보를 보험사 등 민간기업에 제공하는 조항(개정령안 제90조)은 삭제하고, ▶대다수 금융사, 보험사 등 국민의 행정정보 전송 대상으로 무분별하게 확대하는 것(개정령안 제51조의2)에 반대, ▶인공지능 전자정부 서비스의 책임성 등을 보장할 수 있는 규정을 마련할 것(개정령안 제15조의2, 제17조), ▶모바일신분증 개념, 요건 등 명확히 규정할 것 등의 의견을 제시했다.

이번 개정령안의 가장 문제가 되는 내용 중 하나는 행정기관, 공공기관 등이 보유한 국민의 행정정보를 은행, 보험사 등 제3자에 제공할 수 있도록 한 것이다. 전자정부법 제43조의2는 행정기관이 보유하고 있는 개인정보를 정보주체의 요구에 따라 행정기관 등과 은행, 그리고 대통령령이 정하는 개인, 법인 또는 단체에 줄 수 있도록 하였는데, 입법예고된 개정령안은 거의 대부분의 금융사, 보험사, 협동조합을 포괄할 뿐 아니라 고시에 재위임하면서 거의 무한대로 확장하는 것을 가능케하였다. 이렇게 되면 민간기업들이 영리적 목적으로 개인들을 회유하여 행정기관이나 공공기관이 보유하고 있는 개인정보를 수집, 활용할 우려가 있을 뿐 아니라 이에 대해 통제할 방법이 거의 없다. 특히 개인정보보호법에 가명정보 특례가 도입되어 기업이 보유한 개인정보를 정보주체 동의없이 무한대로 활용할 수 있는 조건에서 이렇게 행정정보까지 민간기업이 수집, 보유할 수 있도록 하는 것은 국민의 행정정보를 기업과 공유하겠다는 것과 다름없는 무책임한 행정이라는 것이 단체들의 지적이다.

여기에 더해 개정령안 90조는 국민의 건강정보까지 이들 “제3자”가 처리할 수 있도록 하여 사생활의 자유 등 기본권 침해 소지가 있다. 현 시행령에 따라 이미 중앙행정기관등의 장은 공공서비스 등록시스템 구축·운영 및 공공서비스 목록 제공 등의 사무를 수행하기 위하여 불가피한 경우에 건강정보를 처리할 수 있는데, 이 개정령안에 따르면 앞으로 보험사 등 민간기업도 건강정보를 본인 동의라는 미명하에 제공받고 사용할 수 있다. 그러나 국민의 건강정보는 세계적으로 법규범에 따라 특별히 보호받는 민감정보로, 개인정보보호법에서도 건강에 관한 정보 등 민감정보는 그 수집을 엄격히 제한하고 있다. 그럼에도 개정 전자정부법에 따르면 “행정정보”라고 포괄적으로 취급되어 민간보험사 등 기업이 건강정보를 언제든 자산으로 활용할 수 있도록 길을 열어주고 있을 뿐 아니라, 전자정부법에서 위임하지 않았음에도 특별한 보호가 필요한 국민 건강정보를 명시적으로 처리할 수 있도록 규정한 것은 「개인정보보호법」의 민감정보 보호 규정과 「의료법」의 환자 정보 등 보호 조항에도 반하는 것이며 헌법상의 사생활비밀의 보장에도 위반되는 조항이다. 따라서 이 조항은 반드시 삭제되어야 한다고 단체들은 주장한다.

제2의 주민등록번호인 연계정보(CI)를 본인확인방법으로 도입하는 것도 문제다. 연계정보(CI)는 주민등록번호를 특정한 방식으로 암호화하여 생성한 번호로, 주민등록번호와 1:1 매칭되는 고유식별번호이다. 연계정보(CI)는 “정보통신서비스 제공자의 온·오프라인 서비스 연계를 위해” 생성한 인증정보일 뿐임에도 수많은 민간 정보통신서비스 제공자들은 본인확인을 통해 이용자의 연계정보(CI)를 애초의 목적을 넘어 개인식별정보의 하나로 수집해 왔다. 무엇보다 연계정보(CI)는 법령이 아닌 방통위 고시에 그 근거가 규정되어 있을 뿐이며, 여기에서도 연계정보(CI)의 생성주체, 생성방법, 사용기준, 정보주체의 권리 등에 관한 어떠한 규정도 없어 그 법적 성격과 사용기준, 통제방법 등이 모두 불분명한 정체불명의 정보이다. 이러한 정체불명의 정보를 전자정부법 시행령에 다른 법령과의 별다른 연결고리 없이 갑자기 ‘이용자 식별 정보’라 규정하고 본인확인방법의 하나로 도입하는 것은 올바른 입법이라 할 수 없다. 연계정보(CI) 생성과 수집에 행정기관 등까지 확대함으로써 연계정보(CI)는 과거 주민등록번호와 마찬가지로 민간 및 공공영역을 불문하고 ‘범용 국민식별번호’로서 활용될 위험이 크다. 단체들은 연계정보 자체의 문제점 뿐 아니라 애초 주민등록번호 대체수단의 탄생 배경이 주민등록번호의 남용에 따른 사회적 위험을 막기 위한 것임을 상기할 때 이번 연계정보 활용 조항은 반드시 재고해야 한다고 주장했다.

인공지능 기술 및 민간의 서비스를 전자정부서비스에 도입에는 인권침해와 차별 등 기타 서비스상의 제반 문제를 통제하고 전자정부서비스의 책임성을 담보하는 장치가 마련되어야 한다. 그러나 전자정부법 및 개정령안은 인공지능 및 민간서비스의 도입 및 활용만을 언급하고 있을 뿐, 인공지능 기술과 민간서비스 도입 과정에서 발생할 수 있는 위험을 통제하기 위한 원칙, 절차, 안전조치 등에 대해 전혀 언급하지 않고 있다. 또한 각 행정기관 등이 고유업무를 위해 수집, 보관하는 행정정보의 종류가 다양함에도 일괄 인공지능 행정서비스로 제공할 수 있도록 하고 있을 뿐이다. 인공지능 기술 및 관련 데이터에 대한 적절한 통제가 이루어지지 않을 경우 인권을 침해하거나 차별을 야기하는 등의 문제를 야기할 수 있다는 우려가 제기되고 있고 세계 각국에서도 인공지능에 대한 적절한 통제 규범을 마련하는 중이다. 이에 단체들은 투명하고 공정한 행정서비스를 제공하기 위해서 인공지능 기술을 활용하여 제공하는 행정서비스 종류와 범위를 구체적으로 규정하고 문제 발생시 권리구제 방안 등까지 명확하게 규정할 것을 요구했다. 끝.

2021년 08월 31일

건강권 실현을 위한 보건의료단체연합⋅경제정의실천시민연합⋅무상의료운동본부⋅민변 디지털정보위원회⋅민주노총⋅사단법인 정보인권연구소⋅연구공동체 건강과대안⋅진보네트워크센터⋅참여연대

첨부파일 : 20210831_경실련성명_시민사회단체, 전자정부법 시행령 입법예고안 의견서 제출.hwp

첨부파일 : 20210831_경실련성명_시민사회단체, 전자정부법 시행령 입법예고안 의견서 제출.pdf

문의 : 경실련 사회정책국(02-766-5624)

정부는 독립적인 개인정보보호위원회가 할 일을 방해･무시하지 말고, 정보인권 보완대책 마련하라.

1. 정부 관계부처 합동으로 15일 ‘바이오헬스 핵심규제 개선방안’을 발표했다. 발표된 내용은 의료데이터 활용 확대, VR·AR 기반 의료기기 품목 신설, 질병예방 및 건강관리 서비스 활성화 등이다. 핵심은 개인 의료정보를 개방해 산업을 활성화하겠다는 것이다. 이에 앞서 일명 데이터 3법으로 불리는 ‘개인정보 3법’이 국회 본회를 통과하자 행안부, 금융위, 과기부, 산업부는 각각 보도자료를 배포하며 ‘4차 산업혁명 시대 데이터 기반의 신산업 육성에 청신호가 켜졌다’, ‘새로운 혁신 Player 출현 기반이 마련됐다’며 앞다투어 섣부른 장밋빛 미래를 제시하며 자화자찬하기에 바빴다. 나아가 데이터산업 육성을 위한 각종 규제완화, 예산 확대, 플랫폼 구축, 데이터 표준화, 인센티브 도입, 가이드라인 제정 등 설익은 후속대책을 쏟아내기도 했다.

2. 각 부처의 무분별하고 정책은, (1) 개인정보 3법의 통과과정을 왜곡하거나, (2) 개인정보 3법과 무관한 무절제한 규제완화이거나, (3) 개인정보 3법과 관련된다 하더라도 독립적인 개인정보보호위원회의 역할을 무시하거나, (4) 법통과과정에서 드러난 정보인권침해부분에 대하여 무시로 일관하고 있어 경실련은 심각한 우려를 표하면서 동시에 다음과 같은 문제점들을 지적하는 바이다.

3. 첫째, 개인정보 3법은, 독립적인 개인정보 감독기구인 ‘개인정보보호위원회’가 충분한 사회적 논의와 의견수렴을 거쳐 시행령, 시행규칙 등으로 가명처리 절차 및 보안조치, 가명정보 활용 절차나 요건 등을 정하게 된다. 따라서 개별 부처가 관련 절차나 구체적인 요건까지 결정해 독자적인 가이드라인을 만들어 산업을 육성하겠다는 것은 개인정보보호위원회의 권한과 적법 절차를 무시하겠다는 것이며, 국제적인 기준인 독립적인 개인정보보호위원회의 기능과 견주어보아도 후진적인 정책제안이라고 평가할 수 밖에 없다. 따라서 ‘데이터 거래 촉진을 위한 가이드라인‘, ‘의료데이터 활용지침(가이드라인)’ 등을 마련하겠다고 발표한 바 있는 각 부처의 입장은 그야말로 월권행정의 전형이 아닐 수 없다.

4. 둘째. 유럽연합(EU)의 적정성 평가를 각 부처 차원에서 추진하겠다는 것도 이해하기 어렵다. EU 적정성 평가는, 별도의 요건 없이 EU와 우리나라 국민의 개인정보를 활용할 수 있어 기업 부담을 크게 줄일 수 있는 장점이 있다. 과거 개인정보보호 정책에 독립성이 없는 EU 적정성 평가를 추진했으나 독립적인 개인정보보호위원회의 부재로 무산된 바 있다. 따라서 현재의 시점에서 재추진이 필요하다면 이 또한 독립적인 개인정보보호위원회를 통하여 추진되어야 마땅할 것이다. 그러나 행안부와 과기부가 ‘각각’ EU 적정성 평가를 추진하겠다는 의사를 밝히고 있는바, 이러한 입장은 쓸데없이 행정력과 예산을 낭비하는 정책임은 물론, 적정성 평가제도의 취지 자체를 몰이해하고 있다는 점에서 정책 설정의 취지를 납득하기가 어렵다.

5. 셋째, 법통과과정에서 드러난 정보인권침해적 문제점, 법적용 혼란의 문제점에 대하여 무시하거나 외면하고 있다. 특히, 개인정보 3법의 통과과정에서 신용정보법의 내용은 (1) 관련 산업의 이해에 따른 로비와 (2) 금융위의 부처이기주의로 점철되어 법적용과 해석을 혼란스럽게 하고 있음이 드러났음에도 금융위의 보도자료는 마치 사회적 합의에 의하여 법이 만들어진 것과 같은 허위적 내용으로 국민을 기만하고 있다. 개인정보보호법 역시 과거 정보통신망법상 보호되는 규정들이 완전히 도입되지 못하고, 정보주체의 권리를 제한하고, 프로파일링 보호조치조차 눈감고 있다. 지금이라도 정보인권침해적 요소에 대하여 보완입법을 마련하여야 한다.

6. 넷째, 규제완화가 마치 적폐청산인냥 치부되는 작금의 현실에 동의할 수 없다. 규제완화가 유행어가 되어서는 곤란하다는 것이다. 규제란 ‘규칙’과 ‘제도’로서, 모든 규제가 불필요함에도 존재해온 폐단은 아니기 때문이다. 본래 규제란 시대의 흐름과 기술의 발전, 사회적 인식과 가치관의 변화에 따라 강화 또는 완화될 수도, 신설 또는 폐지될 수도 있다. 물론 그 변화의 필요성에 대한 판단은, 충분한 토론과 면밀한 검토를 통한 사회적 공감대 형성이 전제되어야 한다. 이렇듯 규제의 변화는 사회적 요청에 의해 진행되는 자연스러운 과정인 것이지, 이를 타파의 대상으로 삼거나 특정 기업에 대한 정부의 선물보따리로 홍보될 수는 없는 것이다. 이러한 토대위에서 살필 때, 개인정보의 전면적 활용을 허하면서도 유용한 보호대책 하나 없는 금번의 법률개정이 충분한 토론과 면밀한 검토를 거친 것인지 의문이다. 또한 개인정보 자기결정권을 박탈당해버린 국민들의 사회적 공감대가 있었는지도 곰곰이 다시금 생각해 볼일이다.

개인정보 3법은 정보주체인 국민의 기본권을 제한하고, 산업 활성화를 위해 개인정보 거래를 허용하는 내용이다. 더 나아가 신용정보법은 거기서 더 나아가 부처 이기주의와 산업의 로비에 따라 만들어진 모피아 법이다. 그런데도 충분한 안전장치는 미비하고 감독기구의 역할은 모호하며, 각 부처들이 독립적인 개인정보보호위원회의 권한과 의미를 망각하고 서로 자기들의 할 일이라는 자화자찬성 보도자료로 국민들을 혼란스럽게 하고 있다. 따라서 지금은 새로운 환경 하에서 개인정보를 보호하기 위한 안전장치의 마련이 더없이 시급하다. 국민의 기본권 수호를 주요 업무로 하고 있는 정부의 역할을 분명히 할 것을 요구한다.

2020년 1월 20일

경제정의실천시민연합

문의: 경실련 정책실 (02-766-5625)

첨부파일 :  개인정보 3법 보완 대책 마련 입장