코로나19라는 공공보건 위기상황을 맞아 개인정보 수집 및 처리를 기반으로 하는 방역 대책이 몇개월째 지속되고 있습니다. 이러한 상황에서 개인정보보호위원회는 개인정보를 보호하고, 법에 정해진 목적에 맞는 처리를 하고 있는지 감독하는 역할을 수행해야 합니다. 이에 진보네트워크센터는 오늘(11/2) 개인정보보호위원회에 건의민원을 신청하여 다음과 같은 내용의 개선을 요청했습니다.
감염병 위기상황에서 개인정보의 실질적인 보호를 위한
개인정보보호위원회의 적극적인 역할을 촉구합니다.
정부가 코로나19 대응 시스템을 ‘K-방역모델’이라고 명명하며 ‘① 검사·확진→② 역학·추적→③ 격리·치료’로 이어지는 3T(Test-Trace-Treat)로 표현한 바 있습니다. 이는 감염병 환자에 대한 역학조사를 통해 접촉자를 파악하고 적극적으로 진단 검사를 시행하는 시스템을 의미합니다. 그런데 이러한 시스템은 건강정보, 위치정보, 취향과 인적 관계 등 민감한 개인정보의 수집과 처리를 전제로 하기 때문에, 이 과정에서 개인정보 침해 논란이 야기될 수 있습니다.
공중보건 위급상황이 발생했을 경우 공익적 목적으로 민감정보를 포함한 개인정보를 처리할 수도 있으며, 필요한 경우 일정하게 정보주체의 권리가 제한될 수도 있습니다. 하지만 최소한 법에 근거해야 하며, 공공보건 목적에 필요하고 비례하는 수준이어야 합니다. 또한 기간이 한정되어 있어야 하고 침해를 최소화하는 방식으로 이루어져야 하며 인권 침해에 대비한 책임성 및 안전장치를 포함해야 합니다. 이는 국제기구 및 인권단체들이 감염병 대응 과정에서 정부가 지켜야 할 인권원칙으로 공통적으로 제시하고 있는 것들입니다.
‘K-방역모델’에서도 드러나듯 방역은 여러 단계로 이루어지는데, 역학조사 과정에서의 개인정보 수집, 동선 공개, 감염병 환자나 의심자에 대한 자가격리 감시 등 여러 국면에서 개인정보 이슈가 얼마든지 논란이 될 수 있습니다.
따라서 이번 코로나19 사태에 있어 개인정보 수집 및 처리에 대한 명확한 방침이 필요하며, 개인정보보호위원회가 한국의 개인정보 감독기구로서 방침을 세워야 합니다.
개인정보보호위원회가 각 단계에서 한국의 방역조치가 실제 어떻게 이루어지는지 살펴보고, 이러한 조치가 정보주체에 미치는 영향과 문제점은 무엇인지, 그리고 법적, 정책적 측면에서 개선해야할 점은 무엇인지 등에 대해 검토하고 개선할 필요성이 있습니다.
1. 확진환자 이동경로 정보공개
코로나19 관련 개인정보 수집 및 활용에서 가장 이슈가 되고 논란이 된 문제가 바로 동선공개입니다. 이와 관련해 개인정보보호위원회에서도 여러 차례 의견을 내고 여러 관계부처와 협의를 통해 정보주체의 권리를 침해하지 않는 선에서 방역을 위한 동선공개가 이루어질 수 있도록 정책 개선을 이루어낸 바 있습니다. 이는 매우 바람직한 일입니다.
개인 신상이 드러날 수 있는 확진자별 동선공개에 대한 문제점이 여러 번 지적됨에 따라 중앙방역대책본부는 6월 30일 정보공개 가이드라인 3판을 개정하며 확진자별 동선공개 대신 장소, 시간별 목록으로 공개하도록 했습니다. 10월 7일 중앙방역대책본부에서 발표한 지침인 ‘확진환자의 이동경로 등 정보공개 지침 1판’도 마찬가지이며, 10월 14일 개인정보보호위원회에서도 확진자별 동선공개는 하지 말 것을 재차 당부한 바 있습니다. 해당 지자체 내에서 발생하는 확진자만이 문제가 아니라 지자체를 방문하는 타 지자체 확진자의 동선도 포함된다는 것을 고려할 때에도, 확진자별 동선공개보다는 어느 확진자의 정보인지와 상관없이 장소와 시간의 목록만을 공개하는 것이 합리적입니다.
중앙방역대책본부가 발표한 확진환자의 이동경로 등 정보공개 지침 1판 내 동선공개 예시. 2020.10.7
KISA와 개인정보위원회가 지자체에 배포한 “코로나19 확진환자 정보공개 관련 개인정보보호 강화 안내문”, 2020.10.14.
하지만 정작 동선공개를 시행하고 있는 일선 지자체에서 해당 지침이 제대로 반영되고 있지 않은 경우가 많습니다. 여전히 몇몇 지자체에서는 확진자별 번호를 붙여 동선을 공개하고 있습니다. 마포구의 경우, “확진자 정보는 ‘확진환자의 이동경로 등 정보공개 지침 1판(중앙방역대책본부, 2020.10.7)에 의거해 공개한다고 하는 동시에, 3월 14일에 최초 마련되었던 ‘확진환자의 이동경로 등 정보공개안내(1판)’을 따른다고 혼용해 안내하고 있습니다. 그러면서 확진자별 공개는 지속하고 있는 상황입니다.
여전히 확진자별로 동선을 공개하고 있는 마포구청 홈페이지. 2020.10.20.
개인정보 관련 지침을 지자체에서 제대로 이행할 수 있도록, 개인정보보호위원회에서 지침 마련에 그치지 않고 실제 감독에 나설 필요성이 있습니다.
2. 확진환자 및 접촉자 개인정보 보관 및 파기
언론에 보도된 정춘숙 의원실의 국정감사 질의 결과에 따르면, 질병관리청은 232만 명의 개인정보를 별다른 법적 근거 없이 영구보존할 예정이며 역학조사관이 ‘코로나19 역학조사 지원시스템’에 별도로 수집한 1만73건의 위치정보와 카드 사용 내역도 사실상 반영구 상태로 보관 중이라고 합니다. 한국의 확진자가 2만여 명임을 고려하면 확진 환자뿐만 아니라 접촉자의 개인정보도 모두 수집되어 영구 보존되는 것으로 보입니다.
당초 코로나19 역학조사 지원시스템을 처음 가동할 당시 국토교통부, 과학기술정보통신부, 질병관리청이 합동으로 보도자료를 내며 코로나19 상황이 종료되는 즉시 개인정보는 파기할 예정이라고 밝힌 바 있습니다. 하지만 정부는 코로나19 종식 시점이 언제인지에 대한 본 단체의 질의에 대해서는 구체적인 답변을 주지 않았습니다. 또한 수집된 개인정보를 반영구적으로 보관하려는 것은 애초에 정부가 밝힌 입장과 모순됩니다. 감염병 대응 과 관련하여 어떠한 개인정보 파일을 운용하고 있는지, 어떠한 개인정보를 어떤 목적으로 언제까지 보관할 것인지는 사전에 명확하게 정해지고 공개될 필요가 있습니다. 공공기관인 개인정보처리자의 감독기관으로서 개인정보보호위원회가 코로나19와 관련된 개인정보 파일들의 보유기간에 대해 명확히 밝혀주시기 바랍니다.
3. 개인정보 보호원칙에 맞게 감염병 예방법의 개선
코로나19 대응 과정에서 개인정보 처리의 근거가 되고 있는 감염병 예방법의 규정 역시 모호합니다. 감염병 예방법에는 제76조의2 등에서 정보주체의 동의 없이 개인정보를 수집할 수 있다는 것만 규정돼 있을 뿐 수집된 개인정보를 어떻게 처리해야 하는지에 대해서는 자세하게 규정하고 있지 않습니다. 예를 들어 제76조의2 8항은 질병관리청장으로부터 정보를 제공받은자가 이 법을 위반하여 처리한 경우에만 개인정보보호법에 따른다고 규정하고 있어 마치 질병관리청장이 수집한 개인정보에 대해서는 개인정보보호법이 적용되지 않는 것과 같이 규정하고 있습니다. 또한 제76조의2 제2항은 감염병 환자 등의 위치정보를 수집할 경우 경찰관서를 통해서 요청할 수 있도록 하고 있지만, 수집된 개인위치정보에 대해 경찰관서가 접근, 처리 권한이 있는지 여부에 대해서는 아무런 규정도 없습니다. 공공방역이라는 목적에 의한 수집이라고 하더라도 목적 달성에 필요한 최소한의 정보만 수집하도록 하고 목적 달성 후 폐기하는 등 개인정보 보호원칙이 적용되어야 합니다. 현재 국회에서 감염병 예방법이 지속적으로 개선되고 있는 바, 개인정보보호위원회가 개인정보 보호 측면의 개선 방안을 제안할 필요가 있습니다.
4. 코로나19 역학조사 지원 시스템의 법적 근거
코로나19 역학조사 지원 시스템은 사실 제대로 된 법적근거 없이 도입되었습니다. 그동안 정부는 ‘코로나19 역학조사 지원시스템’의 법적 근거로 감염병 예방법 제18조(역학조사), 제18조의4(자료제출 요구 등), 제76조의2(정보 제공 요청 및 정보 확인 등) 등을 들었습니다. 그런데 정확하게 말하자면 이는 역학조사 지원시스템의 법적 근거라기보다는 역학조사를 통한 개인정보 수집 및 처리의 법적 근거라고 할 수 있습니다.
정부가 9월 추가 법개정으로 ‘감염병관리통합정보시스템’에 대한 조항인 제40조의5를 마련하긴 했지만, 현재 코로나 19 역학조사 지원시스템이 활용하고 있는 통신사, 여신협회 등과의 시스템 연동은 규정되어있지 않습니다. 따라서 여전히 개인정보의 수집ㆍ관리ㆍ보유 및 처리의 근거일 뿐 코로나19 역학조사 지원시스템의 명확한 근거라고 보긴 어렵습\니다.
법에서 명확하게 코로나19 역학조사 지원시스템의 활용 근거를 규정할 필요가 있는 이유는, 시스템을 통한 개인정보의 자동화된 처리가 정보주체에게 영향을 미칠 수 있기 때문입니다. 특히 정부는 향후 출입국정보, 의료정보 등 다른 정보와도 결합하는 등 이 시스템의 가동 범위와 대상을 넓힐 것이라고 밝힌 바 있습니다.
이 시스템을 통해 단지 처리 속도만 빨라지는 것이 아니라 여러 정보가 결합되어 확진자 및 감염병 의심자에 대한 추가적인 분석이 가능해진다면 법을 통해 이 시스템의 기능과 안전조치 등을 명확하게 규정하는 것이 반드시 필요합니다.
아울러 이 시스템으로 인해 수집된 개인정보는 결국 동선정보이며, 시일이 지나면 방역에 더이상 의미가 없는 정보입니다. 때문에 수집된 정보의 파기 시한에 대해서도 함께 규정되어야 할 것입니다.
5. 방역목적의 기지국 접속정보 수집의 조건
지난 5월 초 이태원 클럽에서의 감염 발생으로 관련 접촉자를 파악하는 과정에서 서울시와 보건당국은 이동통신사에 기지국 접속 기록을 요청했습니다. 4월 24일부터 5월 6일까지 매일 자정에서 새벽 5시 사이에 해당 클럽 주변의 17개 기지국에 접속한 내역을 기반으로 30분 이상 체류한 사람들의 명단을 선별했다고 합니다. 이렇게 선별된 사람은 10,905명에 달합니다. 코로나19 대응 과정에서 정부가 개인정보 수집 대상을 무한정 확대할 수 있음을 보여준 것이나 다름없습니다.
기지국 접속정보는 일정 영역 내의 광범위한 정보를 수집하면서도 정확한 위치가 특정되지는 않아 확진자와의 접촉 가능성을 확실히 파악할 수 없기 때문에, 정보주체의 권리 침해성에 비해 방역 효율성이 극히 떨어지는 정보입니다.
지난 2018년 6월 28일, 헌법재판소는 기지국 정보를 이용하는 수사방식에 대해 헌법불합치 결정을 내린 바 있습니다. 수사 편의 및 효율성만을 도모하면서 수사기관의 제공 요청 남용에 대한 통제가 충분히 이루어지고 있지 않다는 이유에서였습니다. 그러나 현재 감염병 예방을 명분으로 한 기지국 접속기록의 수집은 법원의 허가도 없이 보건당국이나 지자체장의 요청에 의해 바로 이루어지고 있는 실정입니다.
특정한 확진 환자에 대한 접촉자 추적과 달리 기지국 정보의 수집은 지나치게 포괄적으로 개인정보를 수집하고 있습니다. 헌법재판소에서 수사기관에 대해 우려했던 것처럼, 개인정보 수집에 대한 보건당국의 권한 남용을 어떻게 방지할 수 있는지 대책이 필요합니다.
6. 안심밴드
자가격리 중 격리장소의 무단이탈 등 격리조치를 따르지 않으면 <자가격리자 안전보호> 앱과 연동되는 ‘안심밴드’라는 이름의, 사실상 전자팔찌를 착용하게 됩니다. 일정 거리를 이탈하거나 밴드를 훼손, 절단하면 전담 관리자에게 통보됩니다. 정부는 안심밴드의 착용이 본인 동의에 기반한다고 하는데, 동의를 하지 않으면 시설에 격리되고 시설격리비용도 본인이 부담해야 하는 상황에서 자유로운 동의라고 보긴 어렵습니다.
자가격리자에 대한 사실상의 앱 설치 강제, 전담 공무원들의 정기적인 점검, 자가격리 이탈자에 대한 형사처벌 위협에도 불구하고 극소수 자가격리 이탈자가 존재한다는 이유로 정부는 전자팔찌를 도입했습니다. 이러한 종류의 감시도구는 지금까지 성폭력 범죄자에 대해서만 적용이 됐었는데, 사실상 잠재적 환자라고 볼 수 있는 자가격리 위반자에 대해서까지 적용하는 것은 과도하게 강압적이며 인권을 침해하는 정책이라고 볼 수 있습니다. 범죄자도 아닌 자가격리 위반자에게 조차 전자팔찌가 도입된다면, 향후 또 다른 사람들을 감시하기 위한 목적으로 더욱 손쉽게 전자팔찌가 도입될 수 있다는 것에 대해 시민사회는 우려하고 있습니다.
국가인권위원회도 기본권에 대한 과도한 제한을 우려하며 안심밴드 도입에 우려를 표한 바 있습니다. 자가격리 위반자에 대한 안심밴드 도입에 대한 개인정보보호위원회의 입장이 무엇인지 밝혀주시길 바랍니다.
7. 출입명부 의무화
현재 식당이나 유흥시설 등에서는 출입명부 작성을 요구하면서 개인의 동의를 받고 있습니다. 그러나 안심밴드와 마찬가지로 명부 작성을 거부할 경우 시설을 이용할 수 없는 상황에서는 자유로운 동의라고 보기 어렵습니다. 또한 출입명부 작성으로 인한 개인정보 유출 문제도 발생하고 있습니다.
전자적 방식이든 수기 방식든, 중요한 점은 정부가 필요할 경우 언제든지 시민들이 어디에 출입했는지 파악할 수 있다는 것입니다. 특히 코로나19 역학조사 지원시스템에 연동되어 특정 환자가 출입한 시설 및 특정 시설에 출입한 사람들의 개인정보를 쉽게 파악할 수 있습니다. 출입명부 의무화는 감염병 환자나 의심자에게만 적용되는 것이 아니라 모든 시민에게 강요된다는 점에서 일반적 시민감시라고 볼 수 있습니다. 아무리 감염병 예방이라는 공익을 목적으로 한다고 하더라도 일반 시민에 대한 감시 시스템을 의무화하는 것은 신중할 필요가 있습니다. 현재와 같이 강제적인 방식이 아니라 개별 시설에서 고객에 대한 서비스의 일환으로 방문자의 진정한 동의를 기반으로 시행하는 방안도 검토될 수 있을 것입니다. 이에 대한 개인정보보호위원회의 입장이 무엇인지 밝혀주시길 바랍니다.
