개인정보보호법 법제 정비와 감독기구 일원화

-인재근의원 대표 발의 개보법 개정안 소개

1. 박근혜 정부의 비식별화가이드라인의 문제점

비식별화 가이드라인으로부터 시작된 개인정보보호규제체계에 대한 수년간의 논쟁이 법안으로 현실화되어 가고 있다.

비식별화 가이드라인의 최초 안은 미래창조과학부가 2013년 12월 11일 [빅데이터산업발전전략]을 박근혜 정부 창조경제 및 정부 3.0의 핵심동력이라고 소개한 이래, 그로부터 7일 후인 2013년 12월 18일 [빅데이터 페어 2013]행사에서 공개된 개인정보를 동의없이 활용할 수 있는 [빅데이터 개인정보보호 가이드라인]을 발표하면서 시작되었다.

그러나 개인정보보호위원회는 “[빅데이터 개인정보 가이드라인]이 규정하고 있는 공개된 개인정보, 이용내역정보라 하더라도 개인정보인 이상 개인정보 보호법 제15조, 정보통신망법 제22조, 제24조에도 적용되며, 제3자에게 적용하는 경우에는 원칙적으로 동의를 받아야 한다]라고 비판하는 의견을 개진하였다.

이후 비식별조치가 이루어지는 경우 동의없는 수집, 이용, 제3자 제공 등의 개인정보처리를 광범위하게 인정하는 범정부 [비식별화 가이드라인]이 제정되었다. 그러나 이 비식별화 가이드라인은 ① 재식별이 90%까지 가능함이 실증보고서에 검증되었음에도, 개인정보가 아닌 것으로 처리하고, ② 개인정보주체들에게 통제권이나 투명성을 인정하지 않는 점 등이 큰 문제로 드러나 참여연대, 민변 등에 의하여 개인정보보호법 및 정보통신망법 등으로 형사고발을 당하였다. 이후 이 비식별조치 가이드라인의 적용은 잠정 중단되었다.

2. 대통령 직속 4차 산업혁명위원회

대통령 직속 4차산업혁명위원회는, 이후 수년간 산업계와 시민사회의 합의가 이루어지지 않았던 개인정보보호법제 논쟁에 대하여, 2018년 4월 3일과 4일 양일간 열린 [제3차 규제・제도 혁신해커톤]에서 다음과 같이 산업계, 법조계, 시민단체가 참석하여 합의가 이루어졌음을 발표하였다.

3. 인재근 의원안 소개

인재근 의원은 당정합의하에 정부의 개인정보보호법 개정안을 2018년 11월 15일 의원입법형식으로 대표 발의하였다.

가. 개인정보 정의 규정 개정

이 조항은 개인정보의 범위를 “개인정보처리자”를 기준으로 식별가능한 것으로 규정하고 있다. 만약 위와 같은 취지로 개인정보의 정의가 해석될 경우, 그간 개인정보로 해석되어 온 휴대전화번호 IMEI 번호나 IP주소는 개인정보로 해석되지 않을 가능성이 있다.

나. 가명정보의 활용

이 조항은 가명처리의 활용범위 및 기업들에게 데이터결합을 허용하였으나, 이의 안전을 담보할 장치들이 법률에 근거하지 아니하고 대통령령에 근거하고 있다.

다. 합리적인 범위내에서의 개인정보의 동의없는 활용 허용

이 조항은 유럽 개인정보보호법의 [수집목적과 양립가능한 경우에 관한 규정]을 참조하여 만들어진 규정이나, 중요한 요건사항을 대통령령에 사실상 포괄적으로 위임하였다는 점에서 그 요건들이 구체적이지 아니하다.

라. 개인정보 감독기구의 독립성과 권한

행정안전부 및 방송통신위원회가 보유하고 있던 개인정보 감독 권한을 개인정보보호위원회로 이관하고, 개인정보보호위원회를 중앙행정기관으로 격상하여 재정 및 인사권의 독립성을 부여하였다. 그러나 금융위원회의 개인정보감독기능은 위 이관범위내에 포함되지 아니하였다.

개인정보보호위원회의 구성에 있어서 국회의 통제가 아닌, 대통령의 임명에 의하며, 그 구성에 현직 고위 공무원 등을 포함할 수 있도록 되어 있다.

위원의 제척, 기피와 관련하여, 현 개인정보보호법 시행령은 [위원 또는 위원의 배우자, 4촌 이내의 혈족, 2촌 이내의 인척인 사람이나 그 사람이 속한 기관·단체와 이해관계가 있는 사항]에 대하여 제척, 기피제도를 두고 있으나, 개정안은 이보다 좁게 제척, 기피제도를 규정하고 있다. 또한 소위원회의 판단으로 전체위원회 의결을 완전히 생략하는 경우를 규정하고 있다.

4. 개인정보 주체의 권리 및 책임성 조항의 보완의 필요성

정보주체들에게 실질적으로 개인정보통제권을 보장하는 규정들을, 규제완화의 이슈로 접근할 수는 없다. 개인정보통제권 보장이 되지 않는 사회의 민주주의는, 스노든의 폭로 및 최근 캠브리지 애널리티카 등의 사례에서 드러난 것처럼, 심각한 위해에 노출되어 갈 수 밖에 없다.

한편, 4차 산업혁명이라는 구호하에 창조경제정책이 드러냈던 규제완화에 편향된 문제들이 반복될 가능성이 점점 커지고 있다. 지금 당장 그 위협이 드러나지 않더라도 [다목적 강제형식의 주민등록제도]과 [실명제 정책]이 제도가 도입된 지 짧게는 수년 길게는 수십년이 지나 전체 대한민국 국민들의 삶의 안전을 위협하였던 것처럼, [개인정보규제완화]정책 역시 시간이 그 해법을 찾을 수 없을 정도로 사회에 큰 해악을 미칠 가능성이 크다. 따라서 이제는 기술발전에 보조를 맞추어 좀 더 구체적이며, 실질적으로 개인정보통제권을 보장하는 방법들을 섬세하게 고민해야 한다.

인재근 대표발의 개인정보보호법 개정안은, 개인정보처리의 투명성 및 실질적인 통제권 행사가 가능할 수 있어야 함에도 불구하고 이에 대한 안전장치는 명확하게 규정되지 아니하고 있다. 정보주체의 입장에서는 프로파일링을 거부하거나 설명을 요구할 권리가 중요하게 대두되고 있고, 국내에서도 이러한 프로파일링 및 자동화된 처리가 광범하게 도입되고 있으나, 이 법안에서는 이러한 측면의 보호장치는 법률안에서는 드러나지 않고 있다.

이번 개정안이 유럽개인정보보호법을 참조하여 활용을 위한 근거를 규정하였다면, 보호역시 유럽개인정보보호법에서 규정하는 수준을 규정할 필요가 있다. 설계 단계에서부터 개인정보 보호를 고려하도록 한 개인정보 보호 중심 설계(Privacy by Design), SNS나 사물인터넷 기기 등의 기본 설정을 개인정보 친화적으로 하도록 요구하는 개인정보 보호 기본설정(Privacy by Default) 등을 의무화해야 하며, 개인정보 영향평가 역시 강조되어야 할 필요가 있다.