‘개인정보 가명처리’법원 오판? 판결은 정당했다
지난 2021년 이용자들은 SKT를 상대로 자신의 개인정보를 원래 수집목적이 아닌 과학적 연구 목적으로 활용하기 위해 가명처리하지 말 것을 요구하는 소송을 제기하였다. 개인정보보호법은 정보주체가 개인정보 처리자에 대해 열람권, 정정삭제권, 처리정지권 등의 권리를 행사할 수 있도록 보장하고 있다. 2023년 1월19일 1심 판결 및 12월20일 항소심 판결에서 법원은 이용자의 권리를 옹호하는 판결을 내렸으며, 이는 너무나 상식적인 판단이었다. 그런데 최근 중앙일보에 이 법원의 판결을 비판하는 이인호 교수의 칼럼(<‘데이터 경제 시대’에 역행하는 법원의 오판> 2024년 5월8일자)이 실렸다. 그러나 필자는 오히려 현행 개인정보보호법을 잘못 해석하고 있는 것은 법원이 아니라 이인호 교수라고 생각하며, 반론을 제기하고자 한다.
[ 관련기사 : 중앙일보) ‘데이터 경제 시대’에 역행하는 법원의 오판 ]
우선 이인호 교수는 한국에서 “개인정보를 사생활 비밀처럼 그 자체를 보호해야 한다거나, 정보 주체의 동의가 없으면 개인정보의 처리는 불법이라거나, 정보 주체가 원하면 무조건 개인정보 처리를 정지해야 한다”는, 개인정보보호법에 대한 오해가 널리 퍼져 있다고 비판하면서 법원의 판결 역시 이러한 오해에 따른 것이라 보고 있는데 동의하기 힘들다. 필자가 아는 한 누구도 그러한 주장을 한 바 없으며, 법원의 이번 판결도 그러한 전제 속에서 이루어진 것이 아니다. 당연히 동의 외에 다른 적법 처리 근거가 있으며, 정보 주체의 권리도 일정한 조건에서 제한될 수 있다. 다만, 특정 사안에서 동의를 받을 필요가 있는지, 처리정지권을 보장해야하는지 등에 대한 이견이 있을 뿐이다. 오히려 현재 개인정보보호법에 대해 퍼져 있는 오해는 마치 기업들의 사익을 위해 정보주체의 동의권을 무시하거나 정당한 권리를 제한하는 것을 ‘보호와 활용의 균형’이라고 생각하는 것이다.
이인호 교수는 개정 개인정보보호법이 ‘가명정보의 활용 목적을 통계 작성, 과학적 연구, 공익적 기록보존으로 한정’한 반면, ‘일본과 EU는 목적에 제한 없이 가명 처리해 활용하도록 허용’했다고 주장했는데, 여기에도 오류가 있다. ‘통계 작성, 과학적 연구, 공익적 기록보존’이라는 표현 자체가 유럽의 개인정보보호법(GDPR)에서 가져온 것이다. 오히려 한국은 유럽연합과 달리 과학적 연구를 동어반복적으로 정의하여, 가명처리만 하면 기업들이 연구라고 주장하는 모든 목적으로 소비자 개인정보를 활용할 수 있도록 허용의 폭을 넓히고 있다. GDPR에서 가명처리는 안전조치의 하나일 뿐 목적 외 처리를 정당화하는 요건이 아니며, 과학적 연구 목적으로 처리할 경우에 정보주체의 권리를 무조건 제한하지도 않는다.
▲ 5월8일 중앙일보 ‘‘데이터 경제 시대’에 역행하는 법원의 오판’ 칼럼 갈무리. 출처 : 미디어오늘(https://www.mediatoday.co.kr)
또한 이인호 교수는 “1심과 2심 법원은 국회의 입법 의도를 잘못 해석”했다고 지적하고 있는데, 오히려 잘못 해석하고 있는 것은 이 교수이다. 개인정보보호법 제28조의7은 과학적 연구 등을 목적으로 처리된 가명 정보에 대해서 정보 주체의 권리를 제한하고 있는데, 애초에 국회에 발의되었던 법안은 ‘가명정보’에 대한 정보 주체의 권리 제한뿐만 아니라, ‘가명처리’에 대해서도 정보 주체의 권리를 제한하는 조항을 포함하고 있었다. 하지만 국회 논의 과정에서 후자는 삭제되었는데, 과학적 연구 목적 등을 위해 이미 가명처리된 개인정보(가명정보)에 대해서는 정보주체의 권리를 제한하지만, 가명처리되기 이전의 개인정보에 대해서는 정보주체의 권리를 인정한 것이다. 법원은 이러한 국회의 입법의도에 정확하게 부합하여 정보주체의 권리를 옹호하고 있다.
법원뿐만 아니라 개인정보보호위원회가 발간한 개인정보보호법에 대한 해설서(2020년 12월)에서도 “정보주체는 자신의 정보가 가명정보로 처리되기 이전에는 자신의 개인정보에 대한 가명처리 정지를 요구할 수 있다(p383)”고 하고 있으며, 보건의료데이터 활용 가이드라인(2024.1)에서도 “개인정보처리자는 정보주체의 가명처리 정지를 요구 받았을 때에는 지체 없이 해당 정보주체의 개인정보 처리의 전부 또는 일부를 정지하여야 함”이라고 동일한 해석을 지지하고 있다.
법원이 “국회가 어렵사리 마련한 특례조항을 거의 무력화”했다는 이인호 교수의 주장도 지나친 과장이다. 이 소송과 같은 맥락에서 필자는 KT에 대해 가명처리 정지를 요구하고 KT가 이를 거부하자 개인정보 분쟁조정위원회에 분쟁조정을 신청한 바 있다. 2021년 4월, 분쟁조정위원회는 “신청인의 개인정보에 대한 가명처리 정지 조치를 이행”할 것을 주문하는 조정 결정을 내렸고, KT는 이 결정을 수용하였다. 그러나 이 결정을 수용했기 때문에 KT가 과학적 연구 목적으로 개인정보를 활용하는데 장애가 있었다는 얘기를 들어본 바 없다. 일부 이용자들이 자신의 개인정보에 대해 처리정지권을 행사한다고 해서, 개인정보보호법에서 규정하고 있는 과학적 연구 목적 활용이 불가능해질리는 없다. 만일 수십-수백만 명의 이용자가 처리정지권을 요구할 정도라면 해당 기업에 대한 신뢰가 없다는 것이니 당연히 과학적 연구 목적 활용을 중단해야 옳지 않을까.
정리하자면, 현행 개인정보보호법이 과학적 연구 목적의 가명처리를 정지해달라는 정보주체의 권리를 보장하고 있음은 비단 1·2심 법원뿐만 아니라 개인정보보호위원회와 개인정보 분쟁조정위원회의 일관된 입장이며, 입법 연혁을 고려할 때 국회 또한 같은 의도를 갖고 있었음을 알 수 있다. KT가 이용자의 처리정지권 요구를 수용한 바, 이용자들이 통신사가 수용 불가능한 요구를 하고 있는 것도 아니다. 개인정보보호법에서 과학적 연구 목적으로 ‘이용자의 동의 없이’ 개인정보를 처리할 수 있도록 하고 있는 바, 처리정지권은 목적 외로 자신의 개인정보가 처리되기를 원하지 않는 이용자가 행사할 수 있는 최소한의 자구책일 뿐이다.
현재 개인정보 분쟁조정위원회 위원장을 맡고 있는 이인호 교수가 자기 기관의 과거 결정을 반박하고 있는 것은 흥미롭다. 그러나 중립성을 유지해야 할 분쟁조정위원장이 정보주체의 권리보다 산업계의 이익을 옹호하는 주장을 공개적으로 표명하는 것이 적절한지는 의문이다. 과연 정보주체가 분쟁조정위원회의 결정을 신뢰하고 이를 통해 자신의 권리 구제를 요구할 수 있을까. 개인 학자로서 자신의 견해를 표명할 자유는 누구나 갖고 있지만, 현재는 분쟁조정위원회의 위원장의 직위에 있기 때문에 특정 사안에 대한 의견 표명에 있어 좀 더 신중했으면 어땠을까 하는 아쉬움이 있다.
