정부가 가명 처리된 개인정보의 이용과 제공을 허용하는 내용을 담은 개인정보보호법 개정안을 추진하자 시민단체에서 반대 목소리가 나왔다. 기업 사이에 고객 정보를 판매 또는 공유하는 것을 인정하면 개인정보 침해가 우려된다는 이유에서다.

진보네트워크센터 등 7개 시민단체는 지난 21일 국회 정문 앞에서 기자회견을 열고 "개인정보 판매와 공유를 허용하는 개인정보보호법은 빅데이터 활성화를 명분으로 개인정보를 침해할 수 있다"고 주장했다.

진보네트워크센터 등 7개 시민단체는 지난 21일 국회 정문 앞에서 기자회견을 열고 "개인정보 판매와 공유를 허용하는 개인정보보호법은 빅데이터 활성화를 명분으로 개인정보를 침해할 수 있다"고 밝혔다. 사진=진보네트워크센터정부는 이날 오전 당정협의를 열고 가명처리된 개인정보를 통계 작성·과학적 연구 등 공익 목적으로 쓸 수 있도록 허용하기로 했다.

새롭게 도입되는 개념인 '가명정보'는 추가정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 처리한 정보를 말한다. 가명정보는 빅데이터를 활용할 때 개인정보를 보호하는 동시에 활용도도 높아 산업계가 줄곧 주장해온 개념이다.

시민단체들은 이날 기자회견에서 개인정보보호법 개정안이 △가명정보 활용 범위 △개인정보 정의 △개인정보 감독기구 등에서 문제가 있다고 지적했다.

이들은 기자회견문에서 "정부가 발의한 개인정보보호법 개정안에는 동의 없는 가명정보의 활용범위를 넓혀 정보 주체의 권리를 침해하고 있다"며 "정부가 빅데이터 산업을 활성화하겠다는 명분으로 개인정보 보호 강화가 아닌 동의 없는 개인정보 활용을 선택했다"고 밝혔다.

이어 "정부가 개인정보의 정의를 변경해 개인정보의 범위를 심각하게 축소하고 있다"며 "직접적인 개인 식별이 힘들더라도 제3자가 개인식별이 가능한 결합정보를 가지고 있다면 이를 개인정보로 보는 것이 세계적인 추세"라고 지적했다.  

다음은 이날 국회 정문 앞에서 발표한 기자회견문 전문이다. 

개인정보 판매와 공유를 허용하는 개인정보보호법 반대한다!

지난 11월 15일, 개인정보보호법 개정안에 대한 정부안이 더불어민주당 인재근 의원안으로 대표 발의되었다. 우선 정부가 공청회와 같은 정당한 의견수렴 과정도 없이 의원입법 형식으로 법안을 발의하는 것이 옳은 것인지 의문이다. 더 나아가 정부안은 그동안 시민사회가 지적해왔던 문제들을 그대로 포함하고 있다.

정부안은 빅데이터 활성화를 명분으로 기업 간 고객정보의 무분별한 판매와 공유를 허용하는 법안으로서 심각한 개인정보 침해가 우려된다. 또한, 행정안전부와 방송통신위원회의 권한을 개인정보보호위원회로 이관했다고 하지만, 개인정보보호위원회의 독립성은 매우 제한적이며 자칫 개인정보 활용을 위한 알리바이 기구가 될 위험성을 포함하고 있다.

우리는 개인정보보호법 개정안에 대해 심각한 우려를 표하며, 국회에서 아래와 같이 독소 조항이 수정되지 않는다면 개인정보보호법 통과에 반대하지 않을 수 없다.

첫째, 정부안은 개인정보의 정의를 변경하여 개인정보의 범위를 심각하게 축소하고 있다. 휴대전화의 IMEI 번호나 IP 주소와 같이 개인정보처리자가 직접적인 개인 식별이 힘들다고 할지라도 제3자가 개인식별이 가능한 결합정보를 가지고 있다면 개인정보로 보는 것이 세계적인 추세임에도, 정부안은 개인정보처리자가 개인을 식별할 수 없으면 개인정보가 아닌 것으로 보고 있다. 이렇게 되면, 수많은 개인정보가 개인정보보호법 적용에서 배제될 수밖에 없다.

둘째, 정부안은 ‘새로운 기술․제품․서비스의 개발’까지 과학적 연구 범위로 간주하고 있으며, 서로 다른 기업의 고객정보를 공공기관이 결합한 후에 결합된 고객정보를 반출할 수 있도록 하고 있다. 기업들이 자신의 개인정보를 무상으로 다른 기업에 제공할 이유가 없다고 한다면, 이는 기업들의 고객정보 판매와 서로 다른 기업 간의 고객정보 공유를 허용하는 것에 다름없다. 예를 들어, 현재 다국적 기업 IMS 헬스는 빅데이터 분석을 목적으로 우리 국민의 처방전 정보를 구매하여 기소를 당한 바 있는데, 정부안은 이러한 개인정보 판매를 합법화시킬 우려가 있다.

셋째, 정부안은 개인정보보호위원회를 중앙행정기관으로 격상하고 기존의 행정안전부와 방통위의 권한을 이관하고 있지만, 개인신용정보 활용에 앞장서고 있는 금융위원회의 권한은 그대로 놔두고 있다. 또한, 개인정보보호위원회의 전체 업무에 대한 독립성을 보장하고 있지 않은 것은 산업 활성화를 명분으로 언제든지 개인정보보호위원회의 정책 방향을 통제하겠다는 의도이다. 나아가 개인정보보호위원회의 조직 및 업무와 관련해 현행보다 후퇴한 내용까지 포함하고 있어, 자칫 개인정보보호위원회가 정부에 대한 감독이 아니라 개인정보 활용을 위한 알리바이 기구가 될 위험성을 포함하고 있다.

넷째, 정부안은 개인정보의 활용에만 초점을 맞추고 있고, 정보주체의 권리와 개인정보처리자의 책임성을 강화하는 조항은 미약하여 전체적인 균형을 상실하고 있다. 예를 들어, 프로파일링에 대한 정보주체의 권리, 개인정보 중심 설계 및 기본 설정(Privacy by Design, Privacy by Default), 개인정보 영향평가의 확대 등 중요한 내용이 배제되어 있다. 정보주체의 권리 및 개인정보처리자의 책임성 강화가 뒷받침되지 않는다면, 개인정보의 활용 과정에서 정보주체에 미치는 부정적 영향은 더욱 커질 것이다.

정부는 유럽의 개인정보보호규정(GDPR)을 참조하여 그에 부합하는 방향으로 제정하겠다고 하지만, 현재 발의된 정부안은 GDPR에 훨씬 미흡한 수준이다. 이는 현재 정부가 추진하고 있는 EU 개인정보 적정성 평가에도 부정적인 영향을 미칠 수밖에 없다.

정부가 4차 산업혁명 시대에 맞는 개인정보보호 체계 개선을 진정으로 원한다면, 시민과 소비자의 신뢰를 얻을 수 있는 법안을 만들어야 한다. 그러나 현재 정부안은 기업들의 고객정보 활용을 지원하는데 급급한 것으로 밖에 보이지 않는다. 정부와 국회는 기업들의 고객정보 판매와 공유를 허용하자는 입장인지 명확히 밝혀라.

 무분별한 개인정보의 판매와 공유에 반대한다!

 개인정보보호위원회의 완전한 독립성을 보장하라!

 금융위원회의 개인신용정보 감독권한도 이관하라!

 정보주체의 권리와 개인정보처리자의 책임성을 강화하라!

2018년 11월 21일

건강과 대안, 경제정의실천시민연합, 무상의료운동본부, 민변 디지털정보위원회, 서울YMCA, 소비자시민모임, 의료연대본부, 진보네트워크센터, 참여연대, 한국소비자연맹, 함께하는시민행동