“개인정보보호법 개정안, EU 정보보호 수준으로 높여야”

정보 주체의 권리를 강화하는 방안이 현재 국회에서 심사 중인 개인정보보호법 개정안에 반영돼야 한다는 주장이 제기된 가운데, 특히 개인정보의 자동 프로파일링(Profiling·다양한 개인정보를 활용해 분석, 평가, 예측하는 행위)​ 및 활용에 대한 결정 권리 도입, 개인정보의 상업적 판매를 막기 위한 안전장치 마련 등이 대안으로 제시되고 있다. 

지난 15일 인재근 더불어민주당 의원(국회 행정안전위원장)이 정부와 합의해 개인정보보호법 개정안을 발의했다. 이 개정안은 개인정보를 개인정보, 가명정보, 익명정보로 구분해 가명정보는 통계작성, 연구, 공익적 기록보존 목적으로 처리할 수 있도록 했다. 

서로 다른 기업이 가진 정보집합물은 공공기관 등에서 결합하고, 전문기관 승인을 거쳐 반출을 허용했다. 동시에 가명정보를 처리하거나 정보집합물을 결합하는 경우 관련 기록을 작성‧보관하는 등 안전성 확보조치를 하도록 했다. 특정 개인을 알아보는 행위를 금지하고 이를 위반하면 형사벌, 과징금 등 벌칙을 부과하도록 했다.

그러나 이 개정안이 개인정보의 보호에 있어 부족하다는 평가가 나온다. 개인정보의 자동 프로파일링 및 활용에 대한 결정 권리 도입, 개인정보의 상업적 판매를 막기 위한 안전장치 마련 등이 빠졌기 때문이다.  개인정보 보호 수준을 ‘유럽연합 개인정보 보호규정(GDPR)’ 수준으로 높여야 한다는 것이다.

GDPR은 유럽연합 의회에서 유럽 시민들의 개인정보 보호를 강화하기 위해 만든 통합 규정이다. 유럽연합 거주 시민의 개인정보를 처리하는 모든 정보 통제자, 정보 처리자, 정보보호책임자 등은 GDPR을 지켜야 한다.

GDPR의 주 내용은 사용자가 본인의 데이터 처리 관련 사항을 제공 받을 권리, 열람 요청 권리, 정정 요청 권리, 삭제 요청 권리, 처리 제한 요청 권리, 처리 거부 요청 권리, 개인정보의 자동 프로파일링 및 활용에 대한 결정 권리 등이다. 개인정보의 자동 프로파일링 및 활용에 대한 결정 권리는 마케팅 목적으로 개인의 직업, 취미, 위치 등을 자동 수집·처리해 활용되는 경우에 대해 데이터 주체자에게 고지, 활용 여부 결정 및 거부할 수 있는 권리 등에 대한 것이다.

오병일 진보네트워크센터 활동가는 “정부안은 ‘새로운 기술, 제품, 서비스 개발’까지 과학적 연구 범위로 간주하고 있다. 서로 다른 기업의 고객정보를 공공기관이 결합한 후에 결합된 고객정보를 반출할 수 있도록 하고 있다”며 “기업들이 자신의 개인정보를 무상으로 다른 기업에 제공할 이유가 없다고 한다면 이는 기업들의 고객정보 판매와 서로 다른 기업 간 고객정보 공유를 허용하는 것과 같다”고 말했다. 

오 활동가는 또 “현재 다국적 기업 IMS 헬스는 빅데이터 분석을 목적으로 우리 국민의 처방전 정보를 구매해 기소를 당했다. 정부안은 이러한 개인정보 판매를 합법화시킬 우려가 있다”고 말했다.

이에 국회 행정안전위 법안심사소위원인 이재정 의원실(민주당) 관계자는 “행안위 법안심사소위에서 프로파일링에 대한 정보 주체의 권리와 개인정보처리 거부권 등이 보완돼야 한다는 것을 토론하면서 개진할 계획”이라며 “정보주체의 개인정보처리 거부권, 프로파일링 활용에 대한 결정권 등이 보완돼야 한다는 것은 당정 협의에서나 정부 측에서도 동의한 내용이었다”고 말했다.

이번 개인정보보호법 개정안은 개인정보 활용과 개인정보보호위원회 독립성 강화에 초점을 맞추고, 정보 주체의 권리 강화는 법안 처리 과정에서 논의하기로 했다는 것이다.

이 의원실 관계자는 “추후에 개인정보보호위원회가 독립기구로 독립되면 거기서 GDPR 내용과 우리나라 현실을 반영해서 관련법 개정을 보완해 나간다는 것이 정부와 당정협의에서 논의된 내용이었다”며 “추후에 이런 부분을 보완해야 한다는 것은 다 알고 있다”고 말했다.

개정안을 발의한 인재근 의원실 관계자도 “개인정보의 상업적 목적 판매 가능성 등에 대해서는 상임위원회에서 개정안 처리 과정 중 논의할 것”이라며 “이 개정안은 완성 단계가 아니다. 아직 논의돼야 할 과정이 남아있다”고 말했다.