데이터3법이 올해 초 국회를 통과하면서 개인정보 활용에 대한 길이 열린다는 기대감이 높았지만, 막상 시행령이 발표되자 산업계와 시민단체, 법조계 등에서는 시행령의 미흡한 부분에 대한 쓴소리들이 나왔다. 산업계에서는 모호한 개념과 강도 높은 규제에 대해, 시민단체에서는 개인정보 결합데이터가 연구 목적이 아닌 다른 목적으로 활용될 가능성 등에 대해 우려했다.
행정안전부와 방송통신위원회, 금융위원회는 29일 관계부처 합동으로 데이터3법 시행령 개정안 토론회를 온라인으로 개최했다.
데이터3법은 개인정보보호법, 정보통신망 이용 촉진 및 정보보호 등에 관한 법률, 신용정보의 이용 및 보호에 관한 법률을 말한다. 데이터3법은 지난 1월 9일 국회를 통과하고 시행령 개정안이 다음달 11일까지 입법예고 중이다.
데이터 분석을 통해 새로운 가치 창출 및 비즈니스 개발이 가능해지면서 산업계에서는 데이터 분석 및 개인정보 활용을 위한 데이터3법 개정안 국회 통과에 대한 요구가 높았다. 이에 데이터3법이 국회를 통과하고 시행령 개정안이 나왔지만 가명정보 결합 절차가 엄격하고 활용 조건에 대한 모호한 표현으로 산업계에서는 데이터 활용이 실제 가능할지에 대한 의구심이 높았다.
< 데이터 3법 시행령 개정안 주요 내용 >
▴개인정보 보호법 시행령 개정안
①개인정보의 추가적인 이용·제공 요건, ②가명정보 결합 절차 및 전문기관 지정, ③가명정보의 안전성 확보조치 사항, ④민감정보에 생체인식정보와 인종·민족정보 포함, ⑤체계적인 개인정보 보호를 위한 위원회 운영제도 개선, ⑤정보통신망법 시행령의 관련 규정 이관
▴정보통신망법 시행령 개정안
①정보통신망법 시행령 중 법률 일원화로 위임 근거가 사라진 조항 삭제, ②정보통신망법에 존치되는 업무 관련 조문 체계 정비
▴신용정보법 시행령 개정안
①가명정보 결합 절차 및 전문기관 지정, ②개인신용정보 전송요구권 도입, ③마이데이터 산업 도입, ④신용정보업 규제체계 선진화, ⑤금융권 정보보호 상시평가제, ⑤금융권 정보활용·제공 동의서 개편
특히 이번 토론회에서는 개인정보보호법 시행령 제14조의 2에 대한 지적이 나왔다. 해당 안은 개인정보의 추가 이용과 제공 기준에 대해 ▲개인정보를 추가 이용하려면 당초 수집 목적과 상당한 관련성이 있을 것 ▲개인정보 수집 정황과 처리 관행을 볼 때 추가 이용할 수 있을 것으로 예측 가능할 것 ▲개인정보 추가 이용으로 정보주체 또는 제3자의 이익을 부당하게 침해하지 아니할 것 ▲가명처리해도 추가 이용 목적을 달성할 수 있는 경우를 모두 충족해야 한다고 명시했다.
김재환 한국인터넷기업협회 실장은 "개인정보의 추가 이용이나 제공하기 위해서는 4가지 사항을 모두 충족하는 경우에만 허용을 하는데 이는 너무 경직되고 엄격한 조건이 설정돼 사업자가 실제 업무현장에서 개인정보 및 데이터를 추가 이용하거나 제공하기는 어렵다"며 "'상당한'이나 '관행' 등과 같은 불명확한 개념도 현실적으로 개인정보 처리를 기대하는 것을 매우 어렵게 만든다"고 지적했다.
불명확한 개념은 분쟁 발생 시 사업자가 입증책임을 해야 하는 부담이 생기게 되며 이는 사업자들이 개인정보 처리를 쉽게 단념하게 만들 가능성이 높다.
이욱재 KCB 상무도 "개인정보 추가 이용 등에서 상당한 관련성과 수집 정황 등 상당히 해석하기 어려운 부분이 있기 때문에 예시를 들거나 어느정도가 활용 가능한지 구분을 명확히 해줘야 한다"면서 "개인정보 활용에서 결합과 반출 부분이 중요한데, 특히 반출할 때의 심의 과정 등이 정해지지 않았지만 이 제도들이 경직돼 운영된다면 데이터 활용에 큰 걸림돌이 될 수 있다"고 말했다.
이어 이 상무는 "시행령만 봐서는 산업계가 데이터를 어떻게 활용해야 하는지 명확한 비전과 인식을 갖기 어려우며 법적 안정성이 보장되지 않으면 기업들은 활용하기 어렵다"면서 "사례를 풍부하게 해서 어느 선까지 정보 활용이 가능한지 명확하게 해줘야 한다"고 덧붙였다.
법조계에서는 개인정보보호법과 신용정보법에서 일관되지 않은 규제 수준에 대해 지적했다. 결합 데이터 분석용 공간에 대해 신용정보법 시행령은 '결합데이터는 가명처리 또는 익명처리의 적정성 평가를 거쳐 적정한 경우에만 전달'할 수 있도록 명시했지만 개인정보보호법 시행령은 '분석공간에서 결합 목적을 달성하기 어렵거나 분석 공간의 이용이 어려운 경우'에 결합된 정보가 반출할 수 있도록 했다.
강현정 법무법인 세종 변호사는 "개인정보보호법 시행령에 따르면 결합데이터를 가져나오기 위해서는 분석공간에서 이용이 어렵다는 걸 사업자가 밝혀야 하는 추가 부담이 있다"고 설명했다.
시민단체에서는 개인정보 결합에 대한 우려를 나타냈다. 오병일 진보네트워크센터 대표는 "현재 시행령은 업체가 개인정보 결합을 의뢰할 때 과학적 연구 목적인 경우 승인을 하지만, 해당 목적이 과학적 목적인지 검증하는 절차가 없다"면서 "해외에는 연구자가 프로젝트를 신청할 때 학술적 가치가 있는지에 대한 심사 과정이 있는데 국내에는 결합 목적이 연구에 맞는 것인지, 목적에 맞는 최소한의 결합인 것인지에 대한 심사는 명시되지 않았다"고 강조했다.
마지막으로 최경진 가천대 교수는 개인정보보호위원회의 전문성을 강화하는 방안에 대해 언급했다. 데이터3법에서는 감독기구인 개인정보보호위원회의 권한을 대폭 늘리고 독립기구로 격상했다.
최 교수는 "향후 위원회는 법령 해석부터 사후 규제 등 다양한 역할을 하게 될텐데 전문성 확보를 위해 예산을 지원하고 인력을 충원해서 전문적 기능을 수행할 수 있도록 제도적으로 확보해야 한다"고 제언했다.
