EU “개인정보 주체가 언제라도 활용 거부할 권리 보장”

유럽연합은 어떻게]
개인정보 활용-보호 ‘균형’ 중시
공익 외 마케팅 활용도 허용하지만
정보 주체에게 ‘반대할 권리’ 확고히

개인정보 처리 영향평가 ‘사전에’
정보 책임자, 경영진 겸직 못하게

<한겨레> 자료

올해 5월 유럽연합(EU)은 빅데이터 활용 원칙을 명문화한 일반개인정보보호규정(이하 GDPR)을 발효시켰다. 빅데이터의 혁신적 가치를 인정하는 동시에, 기업이 정보주체인 개인들의 권리를 해치지 않아야 산업과 정보주체 모두에게 득이 된다는 것이 이 규정을 관통하는 정책적 균형 원리다. 유럽연합은 특히 개인정보 수집·처리에서 해당 개인에게 최대한 쉽고 친절하게 설명하는 ‘투명성 원칙’과, 개인이 원하면 언제든 자신의 개인정보를 다른 기업으로 이동시킬 수도 있는 ‘정보의 자유로운 흐름’을 중시했다. 그래야 빅데이터가 창출할 경제적인 부가 일부 거대기업에 편중되지 않을 수 있다고 봤다.

이 규정은 유럽연합 회원국이 아니어도 유럽시민을 대상으로 경제활동을 하는 모든 기업에 적용되므로, 우리 정부도 ‘GDPR 적정성 평가’를 신청한 상태다. 정부 차원에서 이 평가를 통과하면 우리 기업들이 유럽에서 경제활동을 더 편하게 할 수 있다. 신청 국가의 개인정보 보호 수준이 GDPR과 비슷하다고 유럽연합이 판단해야 이 평가를 통과할 수 있기 때문에 우리 정부도 국내 개인정보 보호 규제를 GDPR 수준으로 끌어올리는 작업이 필요하다. 31일 정부가 발표한 ‘가명정보’ 개념 도입과 활용 범위 확대도 GDPR을 본뜬 것이다. 하지만 전문가들과 시민사회단체들은 “정부안은 GDPR과 달리 ‘활용’에만 치우쳐 ‘보호’ 관련 대응이 매우 부실하다”고 지적했다.

최근 <한겨레>가 유럽연합 집행위원회에 전자우편으로 GDPR의 가명정보 활용 범위와 개인정보 보호 조처에 대해 질의해 받은 답변서를 보면, 유럽연합은 가명정보의 활용 범위를 민간 후원 연구까지 폭넓게 허용하되 공익 목적 연구와 상업적 목적 연구를 구분해서 규제한다. 유럽연합 집행위원회는 답변서에서 정보제공 동의 여부와 관련해 “예를 들어 대학 등 공적 성격의 기관이 공익 목적으로 연구를 할 경우에는 GDPR 제6조 1항(개인정보 처리의 적법한 근거를 6가지로 규정한 조항)의 5호와 관련되며, 민간 기관이 상업적 목적을 위한 연구를 할 경우는 같은 조항 6호에 근거할 수 있다”고 말했다. 정보주체의 동의 없이 정보를 활용할 수 있으려면 공익을 위하거나(5호) 개인정보처리자의 ‘정당한 이익’(6호)이 뒷받침되어야 한다는 것이다. 여기서 ‘정당한 이익’은 직접 마케팅 목적도 포함하지만, 정보주체가 자신의 정보가 어떤 방식으로 처리될 것이라고 합리적으로 예상할 수 있는 범위를 지켜야 한다.

또 GDPR은 개인정보처리자가 5호 또는 6호에 근거해 적법하게 개인정보를 가명처리해서 사용할 경우에도, 정보주체가 언제든 자신의 개인정보 처리에 ‘반대할 권리’를 행사할 수 있도록 했다. 연구 목적 활용의 경우에도, 공익적 목적 연구가 아니면 정보주체가 ‘반대할 권리’를 행사할 수 있다. GDPR은 개인정보처리자가 당사자의 정보가 어떤 목적으로 어떻게 처리되고 있으며 개인정보 열람·삭제·정정·반대권 등을 어떻게 행사할 수 있는지를 투명하게 또 지속적으로 통지하도록 규정하고 있다. 우리나라 개인정보보호법에도 현재 자신의 개인정보 처리 정지를 요구할 수 있는 조항이 있지만, 가명정보에 대해서는 새로 규정을 마련해야 한다.

※ 그래픽을 누르면 크게 볼 수 있습니다.

GDPR은 또 개인정보처리자가 정보를 처리하기 전에 사생활 침해 및 개인정보 유출 등과 관련된 영향평가를 미리 수행하고 감독당국과 협의하도록 했다. 국내 개인정보보호법에도 개인정보 영향평가가 명시되어 있지만, 이미 개인정보를 처리한 뒤에 이뤄지는 ‘사후 평가’란 점에서 GDPR과 다르다. 또 우리나라 개인정보보호법과 GDPR 모두 기업이나 기관에 개인정보 보호 책임자를 두도록 했지만, GDPR은 이 책임자의 독립성을 엄격히 따진다는 점에서 다르다. 한국의 경우 회사 사장이나 임원이 책임자를 겸직할 수 있지만, GDPR은 책임자가 경영진으로부터 독립적인 권한을 행사할 수 있도록 규정했다.

GDPR은 나아가 기술이 더 발전해 향후 사람 대 사람으로 대면하지 않은 채 빅데이터만으로 이뤄지는 각종 생활영역(영업·채용 등)에서 개인이 부당한 일을 겪는 일이 일어나지 않도록 정보주체에게 ‘프로파일링’(개인의 특성을 분석하는 기법)을 거부하고 ‘자동화된 의사결정에 종속되지 않을 권리’까지 보장했다. 예컨대 개인의 질병기록에 따른 보험사의 보험상품 가입 배제나 신용정보기록에 따른 은행 대출 배제 등이 일어나지 않도록 하는 것이다. 이번 우리 정부의 발표안에는 모두 언급되지 않은 내용이다.

김효실 기자 [e-mail]