개인정보 관련 법령·정책, 경제 활성화 방안도 함께 고려해야

[보안뉴스= 이철영 기획재정부 사무관] 최근 애플과 미국 FBI의 소송이 국제적인 뉴스가 된 적이 있다. 미국 FBI는 캘리포니아 총격 사건 테러 용의자의 아이폰 잠금장치 해제를 애플에 요구하였으나, 당시 애플은 고객의 개인정보보호를 이유로 거부했다. 미국 FBI는 애플과 법적 공방을 벌여오다 애플의 도움 없이 아이폰 암호를 해제하는데 성공했다며 소송을 취하했다.


▲ 개인정보, 보호와 활용의 끊임없는 균형잡기

여기서 재미있는 점은, 미국 FBI가 테러범의 아이폰을 해킹하기 위해 130만 달러, 약 15억원을 지출했다고 알려졌다는 사실이다. FBI 국장의 연봉이 2억 9000만원 수준임을 감안하면, 국장의 7년 연봉을 테러범의 아이폰을 해킹하는데 지출한 셈이다. 이러한 애플과 미국 FBI의 소송이 우리에게 던지는 질문은 무엇일까. 바로 개인정보를 보호하는 측과 적극적인 활용이 필요하다는 측의 계속되는 논쟁인 것이다.

우리나라의 경우 개인정보보호법이 2011년에 시행되었고, 이 법은 사회 전 분야에 큰 변화를 가져오고 있다. 이것은 무분별하게 관리되지 않던 주민번호를 비롯한 각종 개인정보가 체계적으로 관리되는 계기가 됐다. 그러나 개인정보 유출사고는 끊이지 않아서 국내 개인정보 유출 신고현황은 지난 2011년부터 2015년까지 67건이 발생했고, 카드사의 개인정보 유출사고, 병원에서의 의료관련 개인정보 유출 등 그 때마다 언론 등을 통해 개인정보 관리 강화의 목소리가 높아져 왔다.

그동안 개인정보보호를 위한 각종 정책과 시스템은 많은 발전을 이루었다. 개인정보보호 강화로 인해 각종 범죄예방 등에 대한 효과는 있으나, 한편으로는 지나친 법률 강화로 인해 IT관련 산업의 발전에 장애가 된다는 지적도 있다. 이 글에서는 개인정보보호의 발전과정을 살펴보고 그로 인한 반대의 목소리를 같이 얘기해보고자 한다.

우리나라 개인정보보호 분야의 발전과정
먼저 최근 법률분야에서의 발전을 살펴보자. 개인정보보호 분야에서 가장 큰 기준은 바로 개인정보보호법이다. 개인정보보호법은 2011년에 처음 제정되어 개인정보의 범위를 명확히 하고, 개인정보 전담기관(개인정보보호위원회) 설치 등 개인정보의 체계적인 관리를 위한 기준을 명시했다. 2014년에는 카드사의 개인정보 유출사태의 영향으로 주민번호를 암호화해 저장하도록 개정되었고, 2015년에는 징벌적 손해배상제도를 도입하고 개인정보를 통한 범죄의 제재수준을 강화했다.

(1) 개인정보보호법
올해에는 다시 일부 개정이 되는데, 주요 내용은 개인정보 수집 출처 고지 의무화와 주민등록번호 수집에 대한 관리와 처리 의무요건 강화, 민감한 개인정보에 대한 안정성 확보조치 의무화이다. 첫째, 법 개정 이전에는 각 개인의 별도 동의를 받은 경우에는 주민번호를 포함한 고유식별 정보처리가 가능했지만, 개정 후에는 주민번호에 한해 정보주체의 동의를 통한 수집도 금지되게 되었다.

둘째, 법 개정 전에는 주민번호를 보관할 때 개인정보 위험도 분석 결과에 따라 암호화 여부 및 보안수준을 선택적으로 적용 가능했으나, 법 개정 후에는 주민번호를 보관할 때 의무적으로 암호화 조치를 해야 한다.

셋째, 개인정보 유출사고가 발생했을 경우 개인정보 유출 피해자가 피해규모를 직접 입증하지 않아도 배상판결을 받을 수 있도록 했다. 기존에는 개인정보를 보유하고 있는 사업체의 서비스를 이용하는 소비자들은 해킹으로 인한 정보유출에 따른 손해 규모를 직접 입증해야 했다. 하지만 앞으로는 해킹 피해를 입은 일반 소비자가 손해 규모를 직접 입증할 필요가 없어졌으며, 적절한 수준의 배상을 받을 수 있게 되었다. 또한, 사업자들이 고의로 개인정보를 유출했을 경우, 실제 손해액의 최대 3배까지 배상하도록 했다.

넷째, 개인정보의 안전성 확보조치 이행 여부를 행자부가 정기적으로 감독하게 되고, 개인정보를 제3자에게 제공하는 경우 해당 개인에게 정보 수집 및 제공 사실을 고지할 의무가 있게 되었으며, 주민번호의 경우는 법률 및 시행령에 반드시 근거가 있어야 처리가 가능하도록 강화된다.

(2) 신용정보법
개인정보보호법 이외의 중요한 법률에는 신용정보법이 있는데, 금융회사에서 취급하는 개인신용정보와 관련된 규제는 신용정보법으로 일원화되었다. 금융위원회는 4월 17일 신용정보법과 개인정보보호법, 정보통신망법 간 유사 중복 규제를 해소하기 위해 신용정보법 개정안을 발표했다. 주요 내용은 금융회사가 금융거래를 위해 처리하는 모든 정보는 신용정보에 포함돼 개인신용정보보호를 한층 강화한다는 내용이다. 고객의 모든 개인정보가 신용정보로 규정돼 개인정보를 취급하는 금융기관들의 과징금 부담이 커지게 되었다.

또한, 특정 개인을 구분할 수 없도록 비식별화된 개인식별정보를 금융회사나 핀테크 업체가 새로운 상품개발 및 시장개척에 활용할 수 있도록 제도적인 기반을 마련했다. 이러한 변화에 따라서 많은 법령서식에서 기존에 주민등록번호를 수집하던 것을 생년월일 수집으로 변경하는 내용의 법령 고시 개정이 이루어지고 있다. 예를 들어, 물류정책기본법 시행규칙에서는 국제물류주선업 등록신청서에 주민등록번호를 기재하던 것을 생년월일로 변경하는 방식으로 개정한 것이다.

개인정보보호를 위한 대외활동도 활발히 진행되어 우리나라 방송통신위원회는 미국 연방방송통신위원회, 연방거래위원회와 양국의 개인정보, 사물인터넷, 빅데이터 산업 관련 정책현안을 공유하고 서로 협력을 강화하기로 했다. 또한, 정기적인 실무협의체를 구성하고 정책협력을 위한 별도 채널도 가동하기로 했다.

개인정보보호 관련 규제 강화의 그림자
하지만 빛이 있으면 그림자도 있는 법이다. 개인정보보호 규제와 관련된 IT 분야의 다른 의견들도 짚어보자. 개인정보의 범위가 성명, 주소, 전화번호 외에도 컴퓨터 IP주소, 이메일 등 개인을 식별할 수 있는 정보도 규제 대상에 포함되면서 중앙정부, 공공기관, 대기업, 중소기업과 중소상인에게는 개인정보보호법이 부담으로 다가오고 있다. 개인정보보호법은 개인정보에 대한 점검 및 관리 기록 등을 요구하며, 그에 따른 조치를 하기 위해서 많은 비용들이 발생하는 사업이 되고 있는데, 중소기업과 소상공인은 개인정보보호 시스템을 도입하고 운영하는데 현실적으로 무리가 있다. 특히나 영세한 소기업 및 소상공인들이 비용을 부담해 개인정보보호법에 따른 보안 시스템 구축, 취약점 점검, 보안교육 등 제반조치 사항을 이행하기에는 더욱 부담스러운 현실이라서 영세한 사업장에는 인재를 구하기가 너무도 어려운데, 개인정보보호를 위한 전담 인력을 구하는 것은 더더욱 어려운 것이다.

올해 개정된 개인정보보호법이 적용되면 강화된 규정에 따라 기존에 저장되어 있거나, 새로 형성되는 여러 형태의 개인정보들을 암호화해서 저장해야 할 것이므로 이에 대한 추가 비용도 부담해야 한다. 또한, 정보통신망법에 따른 정보보호체계의 경우에는 법률에서 정한 의무대상자(매출액 100억원 이상 또는 이용자 수 100만명 이상인 사업자)들이 주로 이행하고 있고, 중소규모의 기업과 조직에 대해서는 자율에 맡기고 있는데, 중소기업의 경우 비용과 인력의 한계로 인해 높은 수준의 정보보호 활동 기준을 준수하기에는 어려움이 많은 상황이다.

신용정보법에 대해서도 우려의 목소리가 나온다. 신용정보법 개정안이 오히려 개인정보 침해를 가져올 수 있다는 것이다. 개정 법률안에는 식별할 수 없게 된 개인정보를 금융회사나 핀테크 회사가 새로운 금융상품 개발 및 시장개척에 활용할 수 있도록 했는데, 식별할 수 없게 한 정보라 하더라도 다시 식별화할 수 있는 가능성이 열려있는 만큼 신뢰할 수 있는 개인정보보호 대책 마련이 우선시돼야 한다는 것이다.

빅데이터 산업의 경우는 세계적인 유망 업종으로 떠올랐지만 국내에서는 엄격한 개인정보보호법 때문에 활성화가 쉽지 않다. 이름, 주민등록번호뿐만 아니라 다른 정보와 결합해 인적사항을 알아볼 수 있는 정보도 보호 대상이기 때문에 개인정보를 빅데이터로 활용하고자 한다면 개인 한명 한명에게서 전부 동의를 받아야 하는데, 현실적으로 쉽지 않은 일이다.

한편, 미국의 보험사인 프로그레시브 사의 경우는 이용고객의 데이터를 활용한 이후 4년 동안 수익률이 업계 평균보다 3배 이상 증가하고 미국의 페이스북은 마케팅 업체와 제휴를 통해 고객들의 오프라인 구매 기록을 분석해 온라인 광고에 활용함으로써 수익을 창출하고 있다. 스마트헬스케어산업도 개인정보보호법 및 의료법의 규제로 개인 의료정보를 활용한 맞춤형 헬스케어서비스 제공이 곤란한 상황이다. 개인의료 정보도 개인정보보호법의 규제를 받기 때문에 의료관련 산업에서의 효용이 큼에도 불구하고 오히려 관련 산업 발전에 장애물이 되고 있는 것이다. 의료정보의 건전한 활용을 뒷받침 할 수 있는 제도와 시스템을 만들어 의료정보 산업의 발전을 지원하는 것이 필요하다고 볼 수 있을 것이다.

개인정보 관련 법령 정책 검토 시 경제 활성화 측면 함께 고려돼야
이제 종합해보자. 앞에서 개인정보보호를 둘러싼 서로 다른 상황에 대해 살펴보았듯이 개인정보를 안전하게 보호하면서도 IT산업 활성화에 장애물이 되지 않도록 한다는 것은 풍선효과와 같아서 한쪽을 누르면 다른 쪽에서 불만이 튀어나오는 것이다. 따라서 법령을 개정할 때에는 업계와 학계 전반의 의견을 다양하게 수렴한 후 신중하고 꼼꼼하게 법령개정을 할 필요가 있다.

개인정보보호 관련 정책을 담당하고 있는 개인정보보호위원회(총괄), 행정자치부(개인정보보호법), 방송통신위원회(정보통신망법), 금융위원회(신용정보법) 등 중앙정부의 원활한 업무협조가 필요할 것이고, 불필요한 규제를 만들어서 업계의 혼란을 가중시키는 일은 없어야 할 것이다. 또한, 개인정보보호는 정부의 법률이나 제도만으로 되는 것이 아니며, 해당 조직의 담당자만이 조심한다고 되는 것도 아니다. 일반 국민들의 경우에는 그 기관 혹은 기업의 신뢰도를 측정할 때 개인정보 유출사고가 없는지 확인할 것이므로 정부, 공공기관, 기업 전체적으로 보안점검에 더욱 신경을 써야 하고, 정보유출, 해킹 등의 사고가 발생하지 않도록 예방조치에 만전을 기해야 할 것이다.

마지막으로, 우리나라도 개인정보의 철저한 관리와 함께 기업들의 신규 사업 창출도 지원할 수 있도록 정책방향을 다시 생각해볼 필요가 있다. 외국에서는 개인정보를 활용하여 마케팅, 신용평가 등에 활용해 회사의 수익 창출에 활용하는 사례가 많다. 따라서 우리나라도 개인정보와 관련된 법령, 정책을 검토할 때 경제 활성화에 기여할 수 있는 방향도 같이 심도 있게 검토하도록 하자.
[글_ 이철영 기획재정부 사무관(topman21@korea.kr)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>