빅데이터 시대에 개인 정보를 보호할 수 있는 ‘개인정보 관련법’ 정비가 필요하다는 주장이 나왔다.

17일 국회 과학기술정보방송통신위원회 변재일·김성수·추혜선 의원, 국회 행정안전위원회 진선미·권은희·이재정 의원과 언론개혁시민연대, 참여연대 등 시민단체가 공동주최하고 국가인권위원회가 후원하는 토론회 ‘빅데이터 시대 이용자의 권리-프로파일링 규제를 중심으로’가 국회에서 열렸다.

이 자리에서 박노형 고려대 법학전문대학원 교수는 2018년 5월부터 시행되는 유럽연합(EU) 28개 회원국에 적용되는 ‘일반개인정보보호규칙(General Data Protection Regulation, GDPR)’을 한국이 참고할 필요가 있다고 조언했다.

한국을 비롯한 글로벌 기업들도 EU 역내외에서 경제 활동을 하는 경우 GDPR을 준수해야 하기 때문에 정부 차원에서도 이를 준비해야 한다는 것이다. 한국 기업이라도 개인 정보를 다루는 기업은 프로파일링 규정에서 자유로울 수 없기 때문이다.

프로파일이란 개인 정보를 통해 그 사람이 어떤 범주에 속한 사람인지, 그래서 어떻게 행동할지 확인하는 작업을 말한다. 이때 프로파일링은 의사 결정이 이루어질 때 개인 정보를 자동화해 처리하는 것을 뜻한다.

GDPR은 프로파일링을 구체적으로 언급해 정보 주체를 보호하기 위한 장치들을 마련하고 있다. 다만 현재 한국의 관련법은 프로파일링을 구체적으로 언급하지 않고 있다.

GDPR은 지난해 5월 발효된 일반 개인정보보호 규칙으로, 개인정보보호와 함께 컨트롤러의 개인 정보 활용 기준을 제공한다. 박 교수는 “GDPR이 개인정보보호에 방점을 두고 있지만 이를 활용하고자 하는 기업에 부담만 주는 규칙은 아니”며 “정보 주체와 개인정보 처리자 사이의 균형이 중요하다”고 말했다.

박 교수는 “GDPR의 목적은 개인정보보호와 함께 개인정보의 자유로운 이용에 중심을 두고 있지만 국내 개인정보보호법은 개인정보보호에만 국한돼 있어 4차 산업혁명 실현을 위한 다양한 데이터 활용이 불가능하다”고 지적했다.

GDPR에선 기업 등 컨트롤러가 개인에게 자신의 정보가 활용되고 있다는 사실을 고지해야 한다. 개인은 컨트롤러에게 정보 처리 여부 등을 물을 수 있는 접근권과 자신의 정보 활용을 반대할 권리도 제공받는다.

GDPR에선 프로파일링을 포함해 자동화한 의사 결정 과정에서 정보 주체의 권리를 침해하면 2000만 유로 이하 또는 직전 회계연도의 연간 총 매출액 4% 이하 중 큰 금액으로 과징금을 부과하도록 하고 있다.

박 교수는 “방송통신위원회와 한국인터넷진흥원 등이 발표한 ‘개인 정보 처리 관련 가이드라인’이 법 규정에 근거하지 않은 권고사항”이라며 “GDPR을 통해 개인 정보법상 근거를 구비해 개인정보보호와 활용 모두를 달성할 수 있어야 한다”고 주장했다. 이어 박 교수는 “가이드라인 내용 하나하나에 어떤 법 근거가 있는지 알려 개인이나 기업이 정확하게 이해할 수 있도록 법을 정비해야 한다”고 주장했다.

GDPR을 참고할 필요는 있지만 유럽과 한국의 환경 차이도 고려해야 한다는 주장도 나왔다. 심우민 국회 입법조사처 입법조사관은 “유럽의 컨트롤러 개념이 한국에서 말하는 개인정보 처리자와는 다르다”며 “컨트롤러 개념이 확장되는 분위기고 정보 통신 서비스 제공자, 개인정보 처리자 뿐 아니라 디바이스 제조업자, OS(운영체제) 제조업자도 컨트롤러 개념에 포괄되고 있다”고 말했다.

이어 ‘주민등록번호 감식’을 사례로 들며 “한국에서는 개인정보를 통해 타겟팅할 때 특정인을 타겟팅하게 되지만 외국에서는 해당 디바이스를 소지하고 있는 사람이 타겟팅된다”고 말했다. “한국은 전기통신사업법에 따라 기기를 사용하려면 주민등록번호를 통해 실명 확인을 해야 하기 때문”이라는 것. 즉 사생활 보호, 인격 보호라는 대의엔 공감하지만 국가별 여건의 차이를 고려해야 한다는 주장이다.

심 조사관은 “전 세계적으로 (정보인권, 사생활침해 등) 이런 부분에 대한 두려움이 있어, 통제 기구에 대한 논의가 나오고 있는 것 같다”며 “외국에서 말하는 건 다 맞는 얘기인 것 같겠지만 한국 상황을 고려할 필요가 있다”고 주장했다.