비식별화하고 개인정보 무제한 퍼가세요?

비식별화하고 개인정보 무제한 퍼가세요?

규제 프리존 특별법, 개인정보 규제 완화 논란… 지역 넘어 유출 가능성, 헌법상 기본권 침해 비판도

여야 3당이 19대 국회에서 경제관련 법안들을 우선처리하기로 합의하면서 새누리당이 발의한 ‘규제프리존 특별법’ 통과여부가 주목을 받고 있다. 하지만 경제활성화를 명목으로 발의된 해당 법안이 개인정보보호권을 침해할 소지가 있다는 지적이 나온다.

원유철 새누리당 원내대표는 25일 상임위원장-간사단 연석회의에서 “우리도 맞춤형 특화 발전을 통해 지역거점 활성화가 필요하다. 규제프리존 특별법 처리가 절실하다”며 “더불어민주당과 국민의당도 긍정적”이라고 밝혔다.

강 석훈 새누리당 의원이 대표 발의한 ‘규제프리존 특별법’은 규제를 일정 지역에 한정해 완화해주는 ‘지역별 맞춤형 규제완화’다. 박근혜 정부가 추진하는 규제완화의 흐름과 일맥상통하며, 따라서 의원들이 발의한 법안임에도 정부가 청부한 ‘청부입법’으로 꼽힌다.

3 당(새누리당, 더불어민주당, 국민의당)은 큰 틀에서 법안 처리에 동의하지만 각론에는 이견 차가 있다. 더민주와 국민의당은 법인의 이·미용업 진출로 인한 골목상권 피해, 의료법인의 부대사업 확장에 대한 의료영리화 등을 우려하고 있다.

이외에 규제프리존 특별법에서 눈에 띠는 대목은 ‘개인정보 비식별화’다. 특별법은 ‘비식별화’된 개인정보는 개인의 동의 없이도 정보수집 및 제3자 제공을 할 수 있다고 규정하고 있다.

특 별법 제36조는 “규제프리존 내 지역전략산업과 관련된 자율주행자동차 전자장비의 인터넷 주소를 이용하여 자동수집장치 등에 의해 개인정보 및 위치정보를 수집하고 수집한 개인정보에 대하여 비식별화를 한 경우에는 ‘위치정보의 보호 및 이용 등에 관한 법률’ 및 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률‘(정보통신망법)을 적용하지 아니한다”고 규정한다.

개인정보보호법 18조는 개인정보처리자가 정보를 ‘익명화’하더라도 통계, 연구목적 등으로 제공하는 경우 외에 정보주체의 동의 없이 개인정보를 제3자에게 제공할 수 없다고 규정하고 있다.

특 별법 40조는“정보통신서비스 제공자 중 역내사업자에 대하여는 규제프리존 내 설치된 사물인터넷 기반을 통하여 수집한 개인정보에 대하여 비식별화를 하는 경우 ‘정보통신망법’ 24조를 적용하지 아니한다”고 규정한다. 정보통신망법 24조는 정보통신서비스 제공자가 이용자의 개인정보를 제3자에게 제공하려면 이용자에게 이를 알리고 동의를 받아야 한다는 내용이다.

또한 특별법 제39조는 “규제프리존 내 지역전략산업과 관련해 역내사업자는 영상정보를 수집하여 특정개인을 알아볼 수 없도록 조치하는 경우에는 ‘개인정보보호법’ 제25조 1항에도 불구하고 조례에 따라 영상정보처리기기를 설치‧운영할 수 있다”는 내용이다. 개인정보보호법 해당 조항은 범죄 예방, 교통단속 등을 제외하고는 공개된 장소에 영상정보처리기기를 설치할 수 없도록 규정하고 있다.

요 약하면 규제프리존 특별법의 취지는 산업적 목적을 위해 ‘비식별화된’ 개인정보 수집 및 이용을 제한적으로(특정 지역에 한해) 허용하겠다는 것이다. 특별법은 정보통신망법, 개인정보보호법 등에 우선한다. 특별법 제3조는 “규제프리존에 적용되는 규제특례를 적용하는 경우 다른 법령보다 우선하여 적용한다”고 되어 있다.

동의 없는 정보수집 및 이용을 가능하게 하는 근거는 ‘비식별화’다. 비식별화란 데이터 값 삭제, 총계처리, 범주화, 데이터 마스킹을 통하여 개인정보의 일부 또는 전부를 삭제하거나 대체함으로써 특정 개인을 식별할 수 없도록 하는 조치다. 이런 데이터의 변조를 통해 개인이 식별되지 않으면 개인정보 수집 및 이용에 문제가 없다는 것이다.

▲ 비식별화의 사례. 미래창조과학부, 한국정보화진흥원이 발간한 ‘빅데이터 활용을 위한 개인정보 비식별화 사례집’ 중 발췌.

하지만 비식별화가 안전한지에 대해서는 논란이 많다. 이미 대규모 유출이 이루어진 개인정보를 비식별화된 데이터와 결합하면 해당 정보의 주인을 알아낼 수 있다는 이유 때문이다. 실제 규제프리존 특별법 40조 2항에는 “비식별화 정보를 이용하는 과정에서 개인정보가 생성되는 경우 지체 없이 파기하거나 추가적인 비식별화 조치를 해야 한다”고 나와 있다. 개인정보가 만들어질 수 있다는 점을 인정한 셈이다.

이은우 법무법인 지향 변호사는 26일 미디어오늘과 통화에서 “비식별화는 쉽게 말해 모자이크처리다. 모자이크 처리를 벗겨낼 수 있는 방법은 기술적으로 얼마든지 있다”며 “그리고 개인정보가 생성되면 파기한다는데 그 말은 ‘모자이크가 벗겨지면 다시 모자이크 처리한다’는 말과 뭐가 다른가”라고 지적했다.

이런 조치가 헌법상 기본권에 해당하는 개인정보자기결정권을 침해한다는 지적도 있다. 헌법재판소는 지난 2005년 정보주체가  자신의 개인정보의 공개와 이용에 관해 스스로 결정할 수 있는 개인정보자기결정권이 헌법에서 보호하는 기본권이라는 결정을 내렸다.

개인정보자기결정권은 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리이다. 즉 정보주체가 개인정보의 공개와 이용에 관하여 스스로 결정할 권리를 말한다.
개 인정보자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 개인의 내밀한 영역이나 사사(私事)의 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함한다. 또한 그러한 개인정보를 대상으로 한 조사·수집·보관·처리·이용 등의 행위는 모두 원칙적으로 개인정보자기결정권에 대한 제한에 해당한다.
- 헌재 2005.5.26. 99헌마513

산 업 활성화를 이유로 비식별화 된 개인정보의 동의 없는 수집 및 이용을 허용하려는 움직임은 이전부터 이어져왔다. 경실련 소비자정의센터, 진보네트워크센터가 2015년 6월 8일 발표한 의견서에서 “창조경제와 빅데이터 산업 활성화를 위해 정부가 행정입법으로 개인정보 보호 규범을 완화하려는 시도를 계속하고 있다”고 밝힌 이유다.

2014년 12월 방송통신위원회는 행정규칙에 해당하는 ‘빅데이터 개인정보보호 가이드라인’을 발표했다. 이 가이드라인 4조는 “정보를 비식별화 조치한 경우 이용자의 동의 없이 수집‧이용할 수 있다”고 규정한다. 방통위는 ‘빅데이터 산업의 활성화’를 이유로 들며 “현행 법령 내에서 공개된 정보 등을 합법적으로 수집‧활용할 수 있는 구체적인 기준을 제시한 것”이라고 설명했다.

2015년 6월 3일 금융위원회는 신용정보법 시행령을 개정하겠다고 밝혔는데, 비식별정보를 개인신용정보에서 제외하는 것이 골자다. 비식별화된 개인신용정보를 금융회사 등이 새로운 상품개발 등에 활용할 수 있도록 한다는 것이 개정의 이유였다.

정부가 행정규칙, 시행령 개정 등 ‘행정입법’을 통해 시도한 개인정보보호규범 완화가 ‘규제프리존 특별법’이라는 입법 활동으로 이어진 것이라 볼 수 있다.

이 은우 변호사는 “방통위에서 기존 법체계를 바꾸려는 시도를 했고 이에 대한 우려가 나오던 상황이다. 이런 상황에서 규제프리존 특별법을 도입한 것은 규제프리존 지역 안에서 실험적으로 비식별화된 개인정보를 산업에 활용해보자는 취지인 것 같다”고 설명했다.

이 변호사는 또한 “경제활성화라는 취지는 이해하지만 개인정보는 규제완화의 대상이 될 수 없다고 본다”며 “규제프리존 특별법은 지역 맞춤형 규제완화인데, 개인정보는 한 번 수집되고 축적되면 그 유출범위가 해당 지역의 범위를 넘어설 수 있다”고 강조했다.