빅데이터 활성화 위해 개인정보 보호체계와 감독기구 일원화 시급하다!

– 가명정보 활용은 공익적 목적에 한정하고, 안전조치 전제되어야 –

경실련, 녹색소비자연대, 서울YMCA, 소비자시민모임, 진보네트워크센터, 한국소비자연맹, 함께하는시민행동 등 7개 시민단체는 빅데이터 시대의 개인정보 원칙을 제시하고, 국회에 발의된 관련 법에 대한 의견을 국회와 4차산업혁명위원회에 제출했다. 빅데이터 시대의 개인정보 활용에 대한 사회적 요구가 커지며, 개인정보 활용과 개인정보 보호에 대한 논란이 거세지고 있다. 빅데이터 산업 활성화하기 위해서는 신뢰할 수 있는 개인정보 체계가 마련돼야 한다. 이에 시민사회는 개인정보의 안전한 활용을 위한 ‘빅데이터 시대의 개인정보 원칙’을 다음과 같이 제시한다.

첫째, 개인정보 체계와 개인정보 감독기구를 일원화해야 한다.

정보통신망법, 신용정보보호법, 위치정보법 등 여러 법률로 나누어져 있는 개인정보 보호 체계를 「개인정보보호법」으로 통합하고, 행정안전부, 방송통신위원회, 금융위원회 등에 분산된 개인정보 감독 기능을 개인정보보호위원회로 일원화해 독립성을 보장해야 한다.

국회에는 개인정보보호 체계를 「개인정보보호법」으로 일원화하고, 개인정보보호위원회를 중앙행정기관으로 격상해 개인정보 감독기구의 권한을 부여하는 다수의 개정안을 상정되어 있다. 빅데이터 시대의 안전한 개인정보 활용을 위해서는 개인정보 관련 법 정비 및 감독기구 일원화가 시급히 이루어져야 한다. 개인정보보호위원회의 권한 강화와 독립성 보장은 문재인 대통령의 공약이자 국정과제이다. 또한, 개인정보보호위원회는 전문성과 업무량을 고려해 최소 3명 이상의 상임위원으로 구성해야 한다.

둘째, 개인정보의 관련개념을 ‘개인정보, 가명정보, 익명정보’로 구분하고, 각각 적합한 활용과 보호 방식을 적용해야 한다.

가명정보는 일부 식별자가 제거되어 직접적인 식별이 불가능하여도 다른 정보와 결합하면 식별이 가능해지는 정보이며, 익명정보는 다른 정보와 결합하여도 더는 개인을 식별할 수 없는 정보이다. 가명정보는 개인정보보호법 적용을 받아 적절한 안전조치를 전제로 일정한 조건에서 동의 없이 활용할 수 있고, 익명정보는 개인정보보호법의 적용을 받지 않고 자유롭게 이용할 수 있다.

해커톤 합의에 따라 국회에 발의된 ‘개인정보 비식별조치 가이드라인’을 법제화하는 다수의 개정안은 폐기되어야 한다. 또한, 개인정보 정의를 축소하거나 개인정보보호법 적용을 받지 않는 익명정보 개념 도입도 부적절하다.

셋째, 가명정보 활용은 공익적 목적에 한정해야 하고, 안전조치가 전제되어야 한다.

정보 주체의 동의 없는 가명정보 활용은 공익적 목적에 한정해야 하고, 반드시 안전조치가 전제되어야 한다. 공익적 목적으로 가명처리를 하더라도 최소한의 정보만 제공되어야 하며, 익명처리를 통해서 이러한 목적이 달성될 수 있으면 익명처리를 우선 고려해야 한다.

가명정보 활용 범위를 규정하고 있는 다수의 개정안이 국회에 상정되어 있다. 시장조사 등 사적 이익을 위해 정보 주체의 권리를 제한하는 것은 부당하며, 통계작성 및 학술연구 등 공익적 목적에 한정하는 것이 바람직하다. 아울러 개인정보 침해에 대한 예방과 신속한 피해구제를 위해 집단소송제와 징벌적 손해배상제 도입, 배상명령제와 과징금 상향이 필요하다.

빅데이터 시대의 개인정보 활용에 대한 사회적 합의가 진행되는 상황에서, 정부 부처는 관련 법과 감독기구에 정비 없이 제각각 개인정보 활용정책을 쏟아내고 있다. 4차 산업혁명과 빅데이터라는 허울 좋은 개념에 매몰된 보여주기식 개인정보 정책은 정보 주체의 권리만 침해할 뿐 공공의 이익확대에 도움이 되지 않는다. 개인정보 활용에 대한 정보 주체의 신뢰가 없다면, 결국 빅데이터의 활용도 제한될 수밖에 없다. 안전하고 신뢰할 수 있는 개인정보 체계를 마련하는 것이 빅데이터 산업 활성화의 첫걸음이다.

2018년 5월 17일

경제정의실천시민연합, 녹색소비자연대, 서울YMCA, 소비자시민모임, 진보네트워크센터, 한국소비자연맹, 함께하는시민행동

▣ 별첨자료 1. 빅데이터 시대의 개인정보 관련 시민사회 의견서
▣ 별첨자료 2. 관련 법안 국회 발의 현황

별첨자료1. 시민사회 의견서

빅데이터 시대의 개인정보 관련 시민사회 의견서

빅데이터 시대의 개인정보 활용에 대한 사회적 요구가 높아지면서, 개인정보 활용과 개인정보 보호에 대한 논란이 거세지고 있습니다. 시민사회는 혁신적 서비스 개발이나 증거 기반 정책 수립을 위한 빅데이터의 활용에 반대하지 않습니다. 그러나 빅데이터 산업 활성화를 명분으로 한 무분별한 개인정보의 수집, 처리, 유통 과정에서의 정보인권 침해를 우려하고 있습니다.

빅데이터의 활용은 개인정보 최소수집의 원칙, 수집 목적 외 사용 제한 등 개인정보 보호 원칙을 준수하면서 적절한 안전조치 하에 이루어져야 합니다. 무엇보다 개인정보의 보호와 안전한 활용에 대해 효과적인 규제와 감독이 이루어질 수 있는 환경, 즉 개인정보보호 법제의 정비 및 개인정보 감독기구의 독립성과 권한 강화가 전제되어야 합니다. 개인정보 활용에 대한 정보 주체의 신뢰가 없다면, 결국 빅데이터의 활용도 제한될 수밖에 없습니다.

이에 소비자·시민단체는 개인정보의 보호와 안전한 활용과 관련한 주요 논쟁거리에 대한 의견과 더불어 국회에 발의되어있는 「개인정보보호법」, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 등 개인정보 관련 개정안에 대한 의견을 드립니다. 빅데이터 시대 개인정보의 안전한 활용과 자기결정권이 실질적으로 보장될 수 있도록 반영하여 주시기 바랍니다.

1. 개인정보 활용에 대한 시민사회 입장

1) 개인정보 보호 체계 개선

여러 법률에 나뉘어 있는 개인정보 체계를 정비하고, 개인정보 감독기구를 일원화하여 독립성을 보장해야 합니다.

정보통신망법, 신용정보보호법, 위치정보법 등 특별법들은 각 부문에서 고유하게 규정할 필요가 있는 사항을 제외하고, 개인정보 보호와 관련한 중복·유사 조항을 「개인정보보호법」으로 통합해야 합니다.

또한, 행정안전부, 방송통신위원회, 금융위원회 등에 분산된 개인정보 감독 기능을 개인정보보호위원회로 이관하고, 개인정보보호위원회에 예산 및 인사권을 부여해 독립성을 보장해야 합니다. 개인정보보호위원회의 권한 강화와 독립성 보장은 문재인 대통령의 공약이자 국정과제입니다.

2) 개인정보 개념 정비

시민사회는 4차산업혁명위원회의 ‘규제·제도혁신 해커톤’에서 합의된 개인정보 법적 개념 정비에 동의합니다. 즉, 개인정보 관련 개념을 개인정보, 가명정보, 익명정보로 구분하고 각각에 적합한 보호와 활용 방식이 적용되어야 합니다.

익명정보는 다른 정보와 결합하여도 더는 개인을 식별할 수 없는 정보로서 개인정보보호법의 적용을 받지 않기 때문에 자유로운 활용이 가능합니다. 그러나 가명정보는 일부 식별자가 제거되어 직접적인 식별이 불가능하여도 다른 정보와 결합하면 식별이 가능해지는 정보로서, 이 역시 여전히 개인정보이며 따라서 개인정보 보호법의 적용을 받아야 합니다. 다만, 적절한 안전조치를 전제로 한 일정한 조건으로는 정보 주체의 동의 없이 활용될 수 있을 것입니다. 가명처리 또는 익명처리를 제대로 하지 않거나, 가명정보를 적절한 안전조치 없이 활용하거나 허용된 범위를 넘어 활용하는 경우 해당 개인정보처리자가 법적 책임을 져야 합니다.

3) 가명정보 활용 조건과 범위

가명처리는 제한 없는 개인정보 활용을 보장해주는 조건이 아니며, 오히려 개인정보 보호를 위한 조치로써 이해되어야 합니다.

공익을 위한 유지보존(아카이브)의 목적, 학술 및 역사 연구, 통계 목적 등 공익적인 목적을 위해 제한된 범위 내에서 정보 주체의 동의 없이도 개인정보의 활용은 가능하지만, 이는 가명처리를 포함한 안전조치가 반드시 전제되어야 함이 법정되어야 합니다. 이 경우 정보 주체의 권리는 일부 제한될 수도 있을 것입니다. 민감정보도 이와 같은 공익적 목적으로 활용될 수 있지만, 이 또한 더욱 엄격한 법적 기준이 마련되어야 할 것입니다.

이와 같은 공익적 목적의 가명정보 활용을 위해서는 안전조치가 선행되어야 하는데, 안전조치는 가명처리를 포함한 기술적, 관리적, 물리적 조치를 의미합니다. 공익적 목적으로 가명처리를 하더라도 최소한의 정보만 제공되어야 하며, 익명처리를 통해서 이러한 목적이 달성될 수 있으면 익명처리를 우선하여 고려해야 합니다.

2. 주요 내용에 대한 의견

1) 개인정보 감독기구 개편 / 소병훈, 송희경, 변재일, 진선미의원 대표발의

소병훈, 송희경, 변재일, 진선미 의원이 대표 발의한 개인정보보호법 개정안은 개인정보보호위원회를 중앙행정기관으로 격상하고, 개인정보 감독기구의 권한을 부여하는 내용을 포함하고 있어 찬성합니다. 다만, 소병훈, 송희경의원안의 경우 ‘그 권한에 속하는 사무를 독립적으로 수행한다’라고만 규정하고 있는데, 개인정보보보호위원회의 독립성을 보장하기 위해서는 변재일·진선미의원안과 같이 ‘독립적인 업무 수행을 위하여 같은 법(정부조직법) 제18조^[1]를 적용하지 아니한다’는 규정을 포함해야 합니다.

개인정보보호위원회의 구성에 대하여 진선미의원안은 5명(위원장 1명, 전원 상임), 송희경·소병훈 의원안은 9명(위원장 1명, 상임위원 2명 포함), 변재일의원안은 9명 (위원장 1명, 상임위원 3명 포함)으로 차이를 보입니다. 개인정보보호위원회의 전문성과 업무량을 고려할 때, 최소한 3명 이상의 상임위원으로 구성되어야 합니다.

진선미·변재일의원안에서와 같이, 개인정보보호위원회의 업무 지원을 위해 ‘개인정보보호원’과 같은 공공기관을 설립할 필요가 있습니다.

2) 개인정보 법제 일원화 / 이은권, 강길부, 오세정, 변재일, 고용진의원 대표발의

「개인정보보호법」과 「정보통신망 이용촉진 및 정보보호에 관한 법률」로 이원화되어 있는 개인정보 보호에 관한 사항을 「개인정보보호법」으로 일원화하는 진선미 의원안을 찬성합니다.

이은권, 강길부, 오세정, 변재일, 고용진의원이 대표발의 한 정보통신망법 개정안 및 정부발의 정보통신망법 개정안은 개인정보보호법과의 법제 일원화를 우선 처리 후 검토되어야 합니다. 그렇지 않으면, 법제 간의 중복과 혼란을 심화시킬 수 있습니다.

오세정의원이 대표발의한 정보통신망법 개정안은 정보통신망법과 개인정보보호법의 규정이 경합하는 경우 정보통신망법을 우선 적용하도록 하고 있습니다. 이는 개인정보보호법의 위상을 약화시키는 결과를 초래하므로 이에 반대합니다. 개인정보보호법이 일반법으로서 개인정보 보호 원칙과 일반적인 내용을 규정을 담고, 정보통신망법 등 특별법은 분야별로 특수한 내용을 포함하는 방향으로 개선되어야 합니다.

정부가 발의한 「개인영상정보보호 등에 관한 법률안」을 반대합니다. 이 법안은 개인영상정보의 규제 수준을 완화하여 사생활 침해를 방지할 수 없을뿐더러, 무엇보다 지금도 개인정보 관련 법제가 중복, 분산된 상황에서 오히려 혼란을 심화시킬 것입니다. 이동형 영상정보처리기기를 포함하여 영상정보 보호에 대한 규범 개선이 필요하나, 진선미·변재일안과 같이 개인정보보호법으로 일원화해 다루는 것이 적절합니다.

3) 개인정보 비식별조치 가이드라인 법제화 / 김병기, 송희경, 김정우, 이은권, 강길부, 윤영석의원 대표발의

김병기, 송희경, 김정우의원이 대표발의 한 개인정보보호법 개정안과 이은권, 강길부, 윤영석 의원이 대표발의 한 정보통신망법 개정안은 ‘개인정보 비식별조치 가이드라인’의 내용을 법제화하고 있습니다.

개인정보 비식별조치 가이드라인 법제화를 반대합니다. 비식별조치 가이드라인은 ‘비식별’이라는 불분명한 개념을 사용하여 혼란을 야기해 왔으며, 한국인터넷진흥원 등 공공기관을 통해 개인정보를 연계하여 서로 다른 업체가 공유할 수 있도록 해 왔습니다. 해커톤에서 합의한 바와 같이 법적 개념은 개인정보, 가명정보, 익명정보로 명확하게 규정되어야 하는바, 개인정보 비식별조치 가이드라인은 폐기하고, 법제 개선도 해커톤에서 합의한 방향으로 추진되어야 합니다.

4) 개인정보 개념 정비 / 윤영석의원 대표발의

윤영석의원이 대표발의 한 정보통신망법 개정안은 개인정보 정의에 ‘해당 정보를 처리하는 자가 알아볼 수 있는’을 추가하고 있습니다. 이는 개인정보의 보호 범위를 축소하고, 정보처리자에 따라 개인정보를 다르게 판단할 수 있어 법적 안정성의 측면에서 결코 타당하지 못합니다. 또한, 유럽 일반 개인정보보호규정(GDPR)에서 규정한 개념에 배치되거나 협소해 국제적인 통용성에도 부합하지 않아 반대합니다.

오세정의원이 대표발의한 개인정보보호법 개정안 및 정보통신망법 개정안은 ‘이 법은 다른 정보와 결합하여도 특정 개인을 알아볼 수 없도록 가공한 정보에 대하여는 적용하지 아니한다.’라고 규정하고 있습니다. 해커톤에서 합의한 바와 같이, 익명정보 개념은 개인정보보호법에 별도로 규정할 필요가 없습니다. 개인정보가 아닌 익명정보는 개인정보보호법 적용을 받지 않으며, 익명처리가 제대로 되지 않은 상태에서 제3자 제공 등을 하는 경우에는 개인정보보호법 위반으로 제재하게 됩니다.

5) 수집 목적 외 활용 관련 / 오세정, 진선미의원 대표발의

오세정, 진선미 의원이 대표발의한 개인정보보호법 개정안은 학술연구 등의 목적을 위한 가명정보의 활용과 제공에 대해 새롭게 규정하고 있습니다. 오세정의원안은 ‘통계작성, 연구개발 및 시장조사 등의 목적을 위하여’로, 진선미의원안은 ‘통계작성 및 학술연구 등의 공익적 목적을 위하여’로 명시하고 있습니다.

진선미의원안은 ‘가명정보의 제공은 제공의 목적과 관련성이 있다고 합리적으로 인정되는 범위에서 이루어져야 한다’라고 제공범위를 제한하고는 있습니다. 가명처리는 여러 안전조치 중의 하나일 뿐임을 고려할 때 학술연구 및 통계 목적 제공의 경우에도 가명처리를 포함한 여러 안전조치를 취해야 합니다. 오세정의원안과 같이 가명정보 활용 시의 안전조치를 세부적으로 규율하는 것이 바람직합니다.

오세정의원안과 같이 시장조사 등 기업 등의 사적 이익을 위해 정보 주체의 권리를 제한하는 것은 부당하며, 통계작성 및 학술연구 등 공익적 목적에 한정하는 것이 바람직합니다. 기업이 지원하는 산업적 연구의 경우 학술적 가치 등 공익적 목적에 부합하는 지가 중요한 판단의 근거가 되어야 합니다.

오세정의원안은 ‘통계작성, 연구개발 및 시장조사 등의 목적을 위하여’, 진선미의원안은‘통계작성 및 학술연구 등의 공익적 목적을 위하여’로 모두 ‘∼ 등의’로 명시하고 있어 해석의 범위를 넓히고 있습니다. 이는 규정 해석의 모호성을 증가시키고 동시에 확대해석으로 인한 오․남용의 우려가 있으므로 삭제해야 합니다.

변재일 의원안은 개인정보의 수집과 이용 범위를 ‘수집 목적과 관련성이 있다고 합리적으로 인정되는 범위에서 이용할 수 있다’라고 개인정보의 추가적인 처리를 허용하고 있습니다. 그러나 현재 개인정보처리자들은 개인정보 수집과 이용 목적을 지나치게 추상적이고 광범위하게 해석하고 있어, 실제로는 정보주체의 권리를 심각하게 제한하고 있습니다. 따라서 그 수집의 목적을 이용자가 명확하게 인지하여 실질적 동의가 이루어질 수 있는 방향으로의 관행 개선이 선행되어야만 해당 법문의 취지가 유의미할 수 있을 것입니다. 즉 현재의 상황에서 만연히 동 규정을 도입하는 무리가 있다고 판단됩니다.

6) 개인정보 피해구제 강화 / 이학영, 김정우, 고용진, 변재일의원 대표발의

이학영의원이 대표발의한 개인정보보호법 개정안은 개인정보 침해에 대한 일부 피해자가 소를 제기하는 경우, 그 사건 판결의 효력이 나머지 피해자들에게 영향을 미칠 수 있는 집단소송제를 제도화하고 있습니다. 또한, 개인정보처리자의 위법행위로 인하여 발생한 직접적인 물적 피해에 대해 손해배상을 명령할 수 있는 배상명령제도를 함께 규정하고 있습니다. 개인정보 침해에 대한 집단소송제와 배상명령제도 도입은 바람직한 방향으로 개인정보처리자의 위법행위를 예방하고, 피해자의 권리구제를 신속하고 효과적으로 할 수 있어 찬성합니다. 다만, 배상명령을 행안부가 아닌 개인정보보호위원회에게 부여하여야 하고, 배상명령도 물적 피해와 더불어 정신적 피해까지 확대해야 합니다. 나아가 개인정보보호법상의 한정된 집단소송제도 도입이 아닌, 소비자보호의 전 분야로 확대된 집단소송법 제정이 필요합니다.

김정우의원이 대표발의한 개인정보보호법 개정안은 비식별정보를 처리하는 과정에서 개인정보를 생성하여 이용하거나 제3자에게 제공하는 행위 등에 대하여, 3배의 범위에서 징벌적 손해배상책임을 지도록 규정하고 있습니다. 비식별정보 개념 사용에 대해서는 반대하는 입장이지만, 징벌적 손해배상제도가 해당 피해자의 실질적인 피해구제를 위해 효과적인 방안이라는 측면에서 집단소송제와 함께 병행․적용되는 것은 바람직합니다. 그러나 그 배상의 범위를 3배로 한정할 이유는 없습니다.

고용진의원과 변재일의원이 대표발의한 두 가지의 정보통신망법 개정안은 법률 위반행위에 대한 제제 처분의 실효성을 높이기 위해 매출액 기반 과징금 상한과 정액과징금 상한을 상향하고 있습니다. 과징금 상향은 집단소송제, 징벌적 손해배상제, 배상명령제도와 더불어 효과적인 개인정보 보호 정책입니다.

시민사회, 개인정보 안전한 활용 위한 ‘빅데이터 시대의 개인정보 원칙’ 제시{/}빅데이터 활성화 위해 개인정보 보호체계와 감독기구 일원화 시급하다!

– 가명정보 활용은 공익적 목적에 한정하고, 안전조치 전제되어야 –

첫째, 개인정보 체계와 개인정보 감독기구를 일원화해야 한다.

둘째, 개인정보의 관련개념을 ‘개인정보, 가명정보, 익명정보’로 구분하고, 각각 적합한 활용과 보호 방식을 적용해야 한다.

셋째, 가명정보 활용은 공익적 목적에 한정해야 하고, 안전조치가 전제되어야 한다.

별첨자료1. 시민사회 의견서

빅데이터 시대의 개인정보 관련 시민사회 의견서

1. 개인정보 활용에 대한 시민사회 입장

1) 개인정보 보호 체계 개선

2) 개인정보 개념 정비

3) 가명정보 활용 조건과 범위

2. 주요 내용에 대한 의견

1) 개인정보 감독기구 개편 / 소병훈, 송희경, 변재일, 진선미의원 대표발의

2) 개인정보 법제 일원화 / 이은권, 강길부, 오세정, 변재일, 고용진의원 대표발의

3) 개인정보 비식별조치 가이드라인 법제화 / 김병기, 송희경, 김정우, 이은권, 강길부, 윤영석의원 대표발의

4) 개인정보 개념 정비 / 윤영석의원 대표발의

5) 수집 목적 외 활용 관련 / 오세정, 진선미의원 대표발의

6) 개인정보 피해구제 강화 / 이학영, 김정우, 고용진, 변재일의원 대표발의

별첨자료2. 관련 법안 국회 발의 현황

관련 법안 국회 발의 현황

1. 개인정보보호법 일부개정법률안

1) 김정우의원 대표발의 / 의안번호 2012423

2) 진선미의원 대표발의 / 의안번호 2012312

3) 오세정의원 대표발의 / 의안번호 2012289

4) 변재일의원 대표발의 / 의안번호 2010738

5) 송희경의원 대표발의 / 의안번호 2007083

6) 소병훈의원 대표발의 / 의안번호 2006865

7) 이학영의원 대표발의 / 의안번호 2005062

8) 김병기의원 대표발의 / 의안번호 2004238

2. 정보통신망법 일부개정법률안

1) 진선미의원 대표발의 / 의안번호 2012308

2) 오세정의원 대표발의 / 의안번호 2012283

3) 고용진의원 대표발의 / 의안번호 2012200

4) 변재일의원 대표발의 / 의안번호 2011973

5) 오세정의원 대표발의 / 의안번호 2007913

6) 윤영석의원 대표발의 / 의안번호 2006618

7) 강길부의원 대표발의 / 의안번호 2004602

8) 이은권의원 대표발의 / 의안번호 2002160

9) 정부안 / 의안번호 2006042

3. 개인영상정보보호법 법률안

1) 정부안 / 의안번호 2010980

이 글 공유하기:

관련

Tags:

관련 사이트