지나치게 폭넓은 가명정보 활용에 우려를 표명하며 정보주체 권리 강화 권고
개인정보 보호위원회의 독립성과 다원성을 강화할 것을 권고

국가인권위원회(위원장 최영애, 이하 인권위)가 국회에서 심의 중인 개인정보보호법안에 대해 의견 표명을 했다. 인권위는 지난 7월 22일 더불어민주당 인재근 국회의원 대표발의 ｢개인정보 보호법 일부개정법률안｣(이하 개정안)에 담긴 가명정보 활용에 대한 우려와 개인정보 자기결정권의 보호를 위해 가명정보의 활용 범위를 보다 구체적이고 명확하게 규정하고 정보주체의 권리를 보호할 수 있도록 규정을 마련할 필요가 있다고 국회의장에게 의견을 표명했다.

더불어 인권위는 국제적 기준에 비추어 봤을 때 개정안의 개인정보 보호위원회 구성 및 운영에 있어 독립성과 다원성이 부족하고 조사 및 처분 권한이 미흡한 데 대해서도 보완할 것을 권고했다.

우리 소비자·시민단체들은 개정안에 대한 인권위의 결정을 환영하며 정보주체 보호에 대한 문제의식과 지적사항에 대해 깊은 공감을 표한다. 더불어 현재 개인정보 보호법을 심의 중인 국회가 인권위의 의견에 응답할 것을 강력히 촉구한다. 

우선 인권위는 개정안이 규정하고 있는 가명정보의 처리 목적 중 ‘과학적 연구’의 범위가 모호하여 자칫 기업·단체 등이 가명정보를 상업적 용도로 이용, 제공, 공유, 심지어 판매하는 등 오·남용하는 행위를 방지하기 어렵다고 판단하였다. 이에 ‘과학적 연구’의 범위를 객관적으로 예측할 수 있도록 보다 구체적이고 명확하게 규정할 필요성이 있다고 의견을 밝혔다. 

또한, 가명정보 처리시 정보주체의 권리가 미흡하다며 “정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없는 경우에 한하여”라는 조건을 추가할 것과 가명정보의 목적 외 이용 또는 제3자 제공 처리 시에 이를 공표하도록 하는 조항, 개인정보 프로파일링(profiling)의 정의 신설 및 개인정보 프로파일링으로 인한 정보주체 권리침해 방지에 대한 조항 등을 추가로 반영할 것을 권고했다.

특히 인권위는 결정문에서 우리나라의 개인정보의 처리 환경의 특수성을 강조하였다. 즉, 우리나라는 다른 주요 선진국과 다르게 주민등록번호가 국민의 거의 모든 경제·사회 활동에서 신원을 확인하는 수단으로 활용되고 있다며, 개인정보 데이터베이스가 이미 대량으로 유출되어 가명정보의 재식별 및 오·남용 위험성이 더욱 크다는 것이다.

또한 기업의 자율적 개인정보 보호 인식이 부족하고 개인정보 침해·유출 사고에 대해 감독기관의 행정벌 혹은 민·형사상 배상과 제재가 선진국에 비해 상대적으로 가벼운 점도 동의 없는 가명정보 처리에 있어 고려되어야 한다고 주문하였다.

그동안 정부안의 가명정보 활용 조항에 대한 우려를 계속해서 표명해 온 소비자·시민단체들은 정부안에 대한 인권위의 문제의식에 깊이 공감하는 바이다. 우리는 국회와 정부에 정보주체 동의 없는 가명정보 활용 목적을 학술적, 공익적 목적의 연구로 제한할 것을 다시 한번 요구한다.

‘과학적 연구’에 기업 내부적인 연구도 포함하고 있는 개정안은 유럽연합의 개인정보보호규정(GDPR)보다 훨씬 폭넓게 가명정보의 이용을 허용하고 있으며, 이는 기업들에게 고객정보를 판매하고 공유하는 길을 열어주는 것과 다름이 없다.

또한 학술적, 공익적 연구 목적으로 개인정보를 정보주체의 동의 없이 사용할 경우에도 GDPR과 마찬가지로 데이터 최소화 등의 기본 원칙을 지켜야 한다. 공공기관이 민간기업의 고객정보를 결합해주고 심지어 결합된 고객정보의 반출까지 허용하는 것은 중단돼야 한다.

인권위는 또한 세계 각국이 정부기관이나 대기업과 같은 개인정보 처리자로부터 정보주체를 보호하기 위해 독립적이고 전문적인 개인정보 보호 감독기구를 설립·운영해 왔음을 강조하였다. 더불어 다수 행정기관을 상대로 업무를 독립적으로 추진하기 위해서는 개인정보 보호위원회를 국무총리 소속 중앙행정기관으로 두도록 한 개정안 조항을 재고해야 한다고 지적하였다.

또한 보호위원회 위원 전원을 대통령이 임명 또는 위촉하도록 한 것은 구성의 다원성과 독립성 측면에서 현행보다 후퇴한 것이며 정보주체를 대변하는 시민사회의 참여를 제약할 가능성에 대하여도 우려를 표했다. 중앙행정기관이나 지방자치단체의 개인정보 보호 위반행위에 대한 보호위원회의 조사 및 처분 권한도 강화하는 것이 바람직하다고 보았다.

우리 소비자·시민단체 역시 개정안에서 개인정보 보호위원회의 독립성과 다원성이 현재보다 후퇴할 가능성에 대하여 우려해 왔다. 나아가 아무런 명분 없이 보호위원회 이관을 거절한 금융위원회의 개인정보 감독 권한을 마저 통합하고 국무총리의  행정감독권을 배제하는 등 보호위원회의 명실상부한 독립성과 권한을 보장해야 할 것이다.

인권위의 이번 결정은 정부안이 국민의 정보인권을 침해할 수 있다고 우려해 온 시민사회의 그간 지적이 타당했음을 보여준다. 현재 개보법 개정안을 심의 중인 국회는 가명정보 처리시 정보주체 보호 대책을 수립해야 할 과제를 안게 되었다. 

특히 인권위는 우리나라 개인정보 처리 환경의 특수성을 고려할 때 “가명처리를 이유로 정보주체의 권리를 제약하는 입법적 조치는 신중을 기할 필요가 있으며” “신산업 육성의 이유만을 앞세워 정보주체의 동의 없이 가명정보를 정보주체가 예측하지 못하는 목적으로 널리 이용하거나 심지어 다른 기업 간에 제공, 결합할 수 있도록 폭넓게 허용하는 입법을 추진하는 것은 국가가 개인정보 자기결정권에 대한 기본권 보호 의무를 충분히 이행하는 것으로 보기 어렵다”고 강조하였다.

국회는 인권위 결정의 취지를 살려 국민의 정보인권을 보장하는 방향으로 개인정보보호법 개정안을 처리해야 할 것이다.

(2019년 8월 26일)

참여연대, 금융정의연대, 민주사회를 위한 변호사모임 디지털정보위원회, 진보네트워크센터,서울 YMCA 시청자시민운동본부, 소비자시민모임, 한국소비자연맹, 함께하는 시민행동

[공동논평]  

<저작권자 © 시민사회신문, 무단 전재 및 재배포 금지>