감독 강화한다더니…정부 ‘개인정보 보호’ 공수표 날렸나

[한겨레] 개인정보보호법 개정안 뜯어보니

가명정보 활용목적 ‘과학적 연구’에

기업의 영리목적 연구도 포함

개인정보보호위원회도 국무총리 소속

GDPR이 규정하는 ‘독립성’과는 거리

시민사회 “개인정보 판매 횡행할 것”

더불어민주당과 정부가 데이터산업 활성화를 위한 개인정보보호법 개정안을 이른 시일 안에 통과시키기로 협의했다. 정부는 개인정보 활용 범위를 넓히는 만큼 감독기구 강화 등 개인정보를 ‘안전하게’ 쓸 수 있도록 하겠다는 입장을 밝혀왔으나, 보호장치가 미흡하다는 지적이 나온다.

정부·여당은 21일 오전 국회에서 홍영표 원내대표, 김태년 정책위 의장, 인재근 행정안전위원장, 노웅래 과학기술정보방송통신위원장과 최종구 금융위원장, 심보균 행정안전부 차관, 허욱 방송통신위원회 부위원장 등이 참석한 가운데 당정협의를 갖고 지난 16일 여당이 발의한 개인정보보호법과 정보통신망법 개정안을 조속히 통과시키도록 노력하겠다고 밝혔다.

그동안 기업들은 인공지능(AI)·빅데이터 등 분야에서 데이터를 활용할 수 있도록 개인정보보호 규제를 완화해야 한다고 주장해왔다. 현재는 정보주체의 ‘동의’가 없으면 개인정보 활용이 불가능하다는 이유에서다. 이번 개정안에는 개인정보에서 정보주체를 식별할 수 있는 요소를 암호화하는 ‘가명정보’ 개념을 신설해, 통계나 공익적 기록보존, 과학적 연구 목적으로 동의 없이 활용할 수 있게 했다. 지난 8월 정부는 가명정보의 동의 없는 활용범위를 ‘연구’로 규정했는데, 시민사회단체가 반발하자 이를 수용해 ‘과학적’이라는 조건을 추가했다.

진보네트워크센터·경제정의실천시민연합 등은 이날 오전 국회 앞에서 기자회견을 열어 “정부는 개정 이유에서 새로운 기술·제품·서비스의 개발까지 과학적 연구 범위로 간주하고 있다”며 “기업들에 고객정보를 판매하고 공유할 수 있도록 하는 것에 다름 아니다”라고 비판했다. 서로 다른 기업이 시장분석이나 소비자 기호를 파악하려고 수행하는 연구도 ‘과학적 연구’로 간주된다면, 기업들이 어떤 명목으로든 고객의 가명정보를 사고팔 수 있다는 것이다.

또 개정안이 개인정보 범위를 협소하게 정해 식별 가능성이 있는 ‘사실상의 개인정보’는 보호받지 못할 우려도 제기됐다. 개정안에는 “개인정보처리자가 모든 수단을 합리적으로 고려할 때 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보에는 적용하지 않는다”는 적용제외 규정이 있다. 오병일 진보네트워크센터 정책활동가는 “정부안대로라면 아이피(IP) 주소 등이 개인정보보호법 적용을 받지 않아 개인정보 주체들의 권리가 침해당할 수 있다”며 “지디피아르는 ‘개인정보처리자’뿐만 아니라 (통신사 같은) ‘제3자’의 식별가능성이 있으면 개인정보로 인정할 수 있도록 규정했다”고 말했다.

정부는 개인정보보호 규제완화에 따른 정보인권 침해 우려를 보완하기 위해, 현재 행정안전부·방송통신위원회·금융위원회 등으로 분산돼있는 개인정보보호·감독권한을 개인정보보호위원회(개보위)로 이관하는 등 감독기관의 위상을 강화하겠다고 밝힌 바 있다. 이번 법안에 개보위를 중앙행정기관화하는 내용은 포함됐으나, 현재 대통령 소속인 개보위를 국무총리 소속으로 변경했다. 위원 자격으로 3급 이상 공무원이나 공무원 출신도 신설됐다. 이런 내용은 개보위의 ‘독립성 강화’와는 배치된다는 것이 시민단체들의 주장이다. 지디피아르의 감독기관 관련 규정을 보면 “감독기관은 업무를 수행하고 권한을 행사할 때 완전히 독립적으로 행동해야 하고, 구성원은 누구에게든 지시를 구하거나 지시를 받지 않아야 한다”는 내용이 있다.

이번 개정안은 정부가 추진하는 지디피아르 적정성 평가에도 부정적 영향을 미칠 것으로 보인다. 유럽연합은 2016년 10월 한국 정부의 개인정보감독기구가 독립성이 없다는 것을 문제 삼아 ‘부적격’ 통보했다.

박태우 기자 ehot@hani.co.kr

▶ 한겨레 절친이 되어 주세요! [오늘의 추천 뉴스]
[▶ 블록체인 미디어 : 코인데스크] [신문구독]
[ⓒ한겨레신문 : 무단전재 및 재배포 금지]