시사위크=송가영 기자  네이버가 올해 초 국회 문턱을 넘은 ‘데이터 3법’의 주요 내용을 다룬 연구를 공개했다. 개정안 처리 당시 신중한 논의가 이뤄지지 못한 부분, 개정안의 모순점 등 향후 데이터 3법의 개정 방향성에 대해서도 전문과들과 공유하는 자리를 가졌다.

◇ 네이버 프라이버시 백서 출간… 데이터 3법 개정 방향 연구 담아

데이터 3법은 △개인정보보호법 △신용정보법 △정보통신망법의 개정안을 아우르는 말로 중복 규제를 없애 4차 산업혁명에 맞춰 데이터를 활용할 수 있도록 하기 위해 마련됐다. 지난 1월 국회 문턱을 넘었음에도 여전히 미흡한 부분이 많다는 전문가들과 다양한 산업계의 주장에 따라 개정 방향에 대한 논의가 활발히 이뤄지고 있다. 

이에 네이버는 실효성 데이터 활용법에 대한 의견을 교류하는 ‘프라이버시 세미나’를 10일 개최했다. 앞서 지난 8일 데이터 3법 관련 연구 내용을 담은 ‘2020 네이버 프라이버시 백서(이하 백서)’를 공개했다. 

지난 2015년부터 매년 프라이버시 센터를 통해 개인정보 및 프라이버시를 주제로 한 연구결과를 공개해온 네이버는 정보 주체의 개인정보와 권리를 보호하고 혁신의 원동력으로 데이터를 활용할 수 있는 방안 등을 공유하기 위해 세미나를 개최했다. 

이날 세미나에는 백서 출간에 참여한 이동진 서울대 법학전문대학원 교수와 김현경 서울과학기술대 교수가 참석했다. 이 교수는 ‘목적구속의 원칙에서 목적합치의 원칙으로’를, 김 교수는 ‘통합 개인정보 보호법의 의의 및 개선 방향’을 주제로 발표에 나섰다.

‘목적구속의 원칙에서 목적합치의 원칙으로’를 주제로 발표에 나선 이 교수에 따르면 개정된 개인정보보호법과 신용정보법의 각각 제15조3항, 제17조4항, 제32조6항9호4에 ‘목적합치 원칙’으로 불리는 개인정보 이용에 관한 원칙을 도입했다. 개정 전 법이 엄격한 ‘목적구속’에 입각한 것과 구별되는 특징이 있다.

법이 개정된 이후 목적합치 원칙은 목적구속을 전제로 하며 이를 확장하는 것으로 그 자체 처리의 법적 근거에 해당한다. 이를 위해 별도의 처리 근거를 확보할 필요가 없고 이는 지난 2016년 유럽법에 수용되기 시작한 EU 일반정보보호규정(GDPR) 입장과도 일치한다.  

두 개정안에 도입된 목적합치 원칙은 좁은 의미의 이용과 제3자 제공뿐만 아니라 일체의 처리에 적용되고 정보통신망을 통한 정보처리에도 적용된다. 또한 경계획정은 당초의 수집 및 제공 목적에 의해야 한다.

그러나 개정 모두 법률에 해당하기 때문에 목적합치가 법률상의 원칙으로 규범통제의 근거가 될 수 없다는데 이 교수는 우려를 표했다. 우리나라의 법상 개인정보에 관한 규범통제는 개인정보자기결정권과 비례‧과잉금지의 원칙에 의한다.

이에 따라 목적합치 여부를 판단하려면 먼저 가급적으로 문서화해 후속 처리의 목적을 정립해야 한다고 주장했다. 당초 목적의 연장선에 있는 경우 목적합치가 비교적 쉽게 인정될 수 있기 때문이다. 

당초 목적과 후속 처리의 목적 사이에 상당한 차이가 발생해도 적절한 안정장치가 갖춰질 때 목접합치를 인정할 여지가 생긴다고도 분석했다. 이 외에도 후속 처리에 대해 투명성을 확보하고 정보 주체에게 이의할 가능성을 부여하는 경우에도 폭 넓게 목적합치를 인정할 수 있다고도 설명했다.

민감정보와 고유식별정보의 경우에도 취지상 목적합치 원칙을 적용해야 한다고도 했다. 다만 당초 목적과 관련이 없는 후속 처리를 목적합치의 원칙으로 정당화하는 데에는 신중해야 한다고 선을 그었다.

이 교수는 “우리 법상 목적합치 원칙의 미래도 개인정보처리자들이 안전하게 목적에 합치되는 범위의 이용 및 제공 경험을 쌓아나가는데 성공하는지가 관건”이라며 “현행 두 법의 목적합치 원칙에는 입법기술상의 문제도 있는 만큼 다음 개정에는 시정돼야 한다”고 말했다.

◇ 개인정보보호법, 일반법으로서 역할해야… 개보위 “공감한다”

통합 개인정보 보호법의 의의 및 개선 방향을 주제로 발표에 나선 김 교수는 데이터 3법 중 개인정보보호법은 현재까지 개정된 법안에 여전히 문제점이 존재하고 일반법 및 기본법으로서의 역할을 다하도록 개정해야 한다고 주장했다. 

김 교수에 따르면 현재 개인정보보호법은 대외적, 법체계적으로 정합성이 미비하다. 신용정보법 개념을 무리하게 확장시킴으로서 개인정보보호법이 일반법으로서 가지는 지위가 불명확해졌다. 

대내적 법체계 정합성도 미비하다. 정보통신망법 규정을 기계적으로 이관시켜 기존 개인정보보호규정과 물리적 형식적 통합을 이뤘을 뿐 화학작용 및 실질적 통합이 미흡하다. 두 가지 측면에서 개인정보보호법의 체계부정합은 독립기구인 ‘개인정보보호위원회(이하 개보위)’의 위상을 약화시키고 법의 집행력도 떨어뜨린다고 김 교수는 주장했다.

그러면서 개인정보보호법의 체계정합성 확보 중요성을 강조했다. 기본적으로 일반법인 개인정보보호법의 적용을 원칙으로 하고 특별법은 예외적으로 적용해야 한다고도 설명했다. 개인신용정보 처리에 있어 개인정보의 일반법과 유사한 수준으로 입법하는 방식 또한 지양해야 한다고도 했다.

이와 함께 신용정보법의 재정비 필요성도 언급했다. 개인신용 정보 범위가 확장되면서 상법 제46조에 따른 모든 상행위 정보가 포함됐다. 상행위는 모든 상거래 행위를 열거해놓은 것인데 모두 규율하게 될 경우 인류의 정형적 거래와 관련 정보들이 신용정보법 규율에 놓이게 되고 결국 개인정보보호법의 적용 영역이 크게 축소되는 부작용이 생겼다는 것이다.

신용정보법에는 도입됐지만 개인정보보호법에는 도입되지 않은 ‘개인정보 이동권’의 일반화에 대해서도 우려를 표했다. 신용정보법상 도입된 특수한 제도인데 자칫하다 개인정보보호법이 가지는 일반법으로서의 효력이 훼손될 수 있고 더 나아가 개보위의 기능 비정상화를 초래할 수 있다고 주장했다. 

특례조항에 대한 정비 필요성도 강조했다. 특례규범의 문제는 적용범위가 넓고 대부분 개인정보처리자까지 해당되는데 특례규정이 일반규정으로 적용되는 모순이 발생할 수 있다고 설명한다. 특례규정을 정비할 때도 원칙과 기준은 반드시 개인정보보호법이 돼야 한다고도 덧붙였다.

특례조항 중 개인정보 이용내역 통지 제도에 대해서는 규제의 형평성을 언급하며 실효성 차원에서 전면 재검토가 필요하다고 했다. 형별규정의 비형평성을 주장하며 비례의 원칙 측면에서 재검토에 대한 목소리를 높였다. 위법성의 정도나 비난가능성이 크게 다르지 않음에도 동일‧유사한 행위위반에 대해 일반 개인정보처리자와 정보통신서비스 제공자간 형벌 차이가 지나치게 크다는 것이다.

김 교수는 “통상 개인정보보호법 위반은 인격적 법익을 침해에 대한 처벌이기 때문에 유사한 형법상 형벌과 균형이 필요하다”며 “특히 과징금과 형벌의 병과는 비례 원칙 측면에서 전면적으로 재검토해야 한다”고 말했다.

이날 세미나에 토론에 나선 참석자들도 이 교수와 김 교수의 연구 결과에 공감을 표했다. 이날 토론자로 참가한 김도엽 법무법인 태평양 변호사는 신용정보법의 개정, 이용내역 통지 제도 전면 재검토 등에 동의했다. 그는 “개인정보 이동권의 경우는 일반적으로 모든 기업에게 적용하는 것이 쉬운가하는 문제가 있어 도입을 고민해야할 것으로 본다”며 “형사처벌 조항도 인과관계에 대한 논란이 있다고 보는데 매출을 기반으로 통제적 조치가 필요하다고 생각한다”고 말했다.

최경진 가천대 법학과 교수는 목적합치 원칙에 대해 공감하면서도 정립 가능한 원칙인지에 대해서는 의문을 제기하기도 했다. 또한 개인정보보호법의 개정이 시작되면 ‘동의제도 개편’에 대한 내용이 반드시 포함돼야 한다고도 주장했다. 이용내역 통지 제도에 대해서도 “다소 애매하다”고 꼬집으면서도 “사업자가 실효성있게 준수할 수 있는 방안을 고민해야 할 것으로 본다”고 말했다. 

특히 형벌규정 개편과 관련해서는 경제 제재의 필요성을 언급했다. 최 교수는 “경제 제재를 하고 비난을 받아야 하거나 위법 행위가 존재하는 경우 부가적인 형사 제재가 포함되는 방향이 좋다고 본다”며 “중소상공인의 경우 법의 준수가 어려운 환경인 만큼 시정명령을 먼저 한 후 따르지 않은 데 따른 처벌하는 형태의 규제를 제안한다”고 했다.

이날 토론에는 개보위 관계자도 참석했다. 이병남 개보위 개인정보보호정책과 과장은 “이 교수의 목적합치 원칙에 대해 기본적으로 동의한다”며 “특별히 목적을 구속해 한정적으로 정보주체에게 서비스를 제공하기보다 목적에 합리적 연관성이 있다면 합리적으로 목적 범위를 넓히는 것이 좋다는 생각”이라고 말했다.

이 과장은 데이터 3법의 향후 개정 방향과 관련해 △GDPR 수준의 개인정보 이동권 도입 △글로벌 기준에 맞는 동의제도 도입 △정보통신망법 특례규정의 일반규정 통합 일원화 작업 △과도한 형사제재의 완화 및 경제 제재 도입 등을 검토하고 있다고도 밝혔다.

올해 출범한 개보위의 권한 기능 강화에 대해서도 공감을 표했다. 그러면서 “최근에는 K-데이터, 데이터뉴딜 등의 말들이 나오면서 데이터 활용을 촉진하는 법안들이 준비 중”이라며 “개인정보보호법과 상충되는 경우 적극적으로 의견을 개진해 정리해 나가겠다”고 강조했다.