비전 불명확한 ‘유통 마이데이터’ 규제 부담만 [김현아의 IT세상읽기]

개인정보보호위원회의 전향적 정책 변화를 기대하며

[이데일리 김현아 IT전문기자] “만약에 그냥 시행된다면 저와 함께 회사 하나 차리시죠. 커머스 선두 기업들의 마케팅 데이터를 전송받아 쉽게 사업할 수 있지 않을까요?”

개인정보보호위원회가 마이데이터(개인정보 전송요구권)를 유통과 통신 등 전 분야에 확대 적용하는 ‘개인정보보호법 시행령 개정안’을 추진하자, 인터넷 기업들이 강하게 반발하고 있습니다. 시행령은 입법 예고 기간이 끝나 법제처 심사, 차관회의를 거쳐 국무회의에서 의결되면 끝납니다.

그런데, 쿠팡, SSG닷컴, 네이버스마트스토어 등 주요 온라인 유통업체들은 크게 걱정하고 있습니다. 이들은 금융 마이데이터와 달리, 마케팅 데이터가 기업의 자산으로 분류되는 현실에서 무조건 공유(전송)하도록 하는 방향에 문제가 있다고 지적합니다.

마이데이터 규제 적용 대상이 롯데백화점 등 오프라인 대기업은 빠지고, 디지털 전환에 성공한 기업들만 포함된다는 점도 불공평하다고 합니다.

개인정보위가 ▲주문정보, 구매정보, 이용정보 등을 경쟁사나 잠재적 경쟁사에 전송하라고 요구하면서 ▲정보 전송자로 ‘전자상거래법에 따른 통신판매업자 또는 통신판매중개업자이면서 연 매출액 1500억원이상 또는 정보주체 수 100만 명 이상인 자 중 고시하는 자’로 규정했기 때문입니다. 즉 오프라인 대기업은 이 규제에 포함되지 않습니다.

위에서 언급한 인터넷 업계 임원의 말대로, 퇴사한 뒤 회사를 차려 쿠팡 등이 가진 주문정보와 구매정보, 이용정보 등을 전송받아 손쉽게 사업할 수 있는 겁니다.

그런데, 국가가 법으로 기업의 자산으로 분류되는 마케팅 데이터를 무조건 공유(전송)하도록 하는 것이 당연한 일인지 의문입니다.

게다가 온·오프라인 기업을 구분하여, 온라인에서 더 활발하게 활동하는 기업들만을 규제 대상으로 삼는 것도 이해하기 어렵습니다.

[이데일리 문승용 기자]

시민단체와 학계도 우려

시민단체와 학계도 우려의 목소리를 내고 있습니다. 시민단체들은 마이데이터의 핵심은 개인정보 전송요구권, 즉 자기결정권에 있는데, 현재 상황이 기업 간 데이터 거래로 변질하고 있다고 걱정합니다. 데이터가 오갈수록 해커의 표적이 될 가능성이 커지고, 사고 발생 시 책임 소재에 대한 우려도 크기 때문입니다.

개인정보보호법 전문가인 A 교수는 “금융 마이데이터의 중앙집권적 개념을 유통 등 전 산업 분야로 확장하려는 시도가 잘못됐다”고 지적합니다. 그는 “금융은 금리와 신용정보를 집중적으로 활용하는 개념인 반면, 유통 등 다른 산업 분야는 그 개념이 다르다”면서 “ICT 기업에 맞지 않는 정책을 무리하게 밀어붙이는 것은 바람직하지 않다”고 했습니다.

산업 정책으로 기울어진 마이데이터

이처럼 유통 마이데이터 정책이 산으로 가게 된 것은 ‘개인정보 전송요구권’이라는 본질을 잊은 채, 사업자 간 더 많은 데이터를 주고받도록 하는 산업 정책으로 기울어졌기 때문이 아닌가 합니다. 그것도 사회적 효용에 대한 명확한 비전이 없는 상태에서 말이죠.

금융 마이데이터는 ‘개인 자산의 통합 조회’라는 분명한 비전이 있었습니다. 다양한 금융 자산을 이용자가 한눈에 볼 수 있게 하려는 목적이 명확합니다.

반면 유통 마이데이터는 이러한 비전이 없습니다. 그렇다 보니, 각 기업의 데이터 공유에 대한 저항이 클 수밖에 없다고 생각됩니다. 명분도 없고, 실리도 없다 보니, 기업 관계자들은 데이터 전송 범위가 유럽 일반 개인정보보호법(GDPR)에서 규정한 개인정보의 전송 범위를 넘었다고 반발합니다.

개인정보보호법 시행령 철회하고 다시 논의해야

기업들의 공감이 전혀 없는 상태에서 강행되는 유통 마이데이터 사업이 성공할 수 있을까요?

과거 금융 마이데이터 사업에서도 핀테크 기업들이 강력히 반발하면서 세부적인 항목별 판매 정보가 아닌 카테고리화된 정보만 제공되는 사례가 있었습니다.

개인정보보호위원회는 입법 예고된 시행령 개정안을 철회하고 처음부터 논의해야 합니다. 유통 마이데이터의 저항을 줄이고 성공 가능성을 높이기 위해 명확한 목표와 전략을 제시해야 합니다. 이를 통해 기업과 시민단체, 학계의 우려를 없애고, 개인정보 보호와 데이터 활용의 균형을 맞추어야 합니다.

‘법이 만들어졌으니 시행령이 필요하다’는 식의 형식적인 결정은 안 됩니다. 이리되면 국민의 프라이버시 권리를 보장하고 기업 간 데이터를 융합해 생태계를 활성화하려는 정책 목표를 달성하지 못할 뿐만 아니라, 기업에 규제 부담만 가중시키게 될 겁니다. 개인정보보호위원회의 전향적인 정책 변화를 기대합니다.