文 주도한 데이터3법, 시행령이 발목..‘산업적 활용’ 쉽지 않아

[이데일리 김현아 기자]문재인 대통령이 ‘데이터 경제로의 전환’을 선언하며 데이터3법(개인정보보호법, 정보통신망법, 신용정보법)의 국회 통과를 이끌었지만, 행정안전부가 내놓은 개인정보보호법 시행령 개정안대로라면 가명정보(그 자체로 개인임을 식별할 수 없는 정보)로 가공했다 해도 산업적 활용이 크게 제한될 것으로 보인다.

“데이터는 미래의 석유이며, 한국이 데이터를 가장 잘 다루는 나라가 돼야 한다”는 문 대통령의 언급이 법의 취지를 살리지 못한 시행령 개정으로 무용지물이 될 수 있다는 우려가 제기된다.

29일 행안부·금융위·방통위가 주최한 데이터3법 시행령 개정안 토론회에서는 금융위원회가 주도한 신용정보법 시행령 개정안은 그나마 데이터 결합 절차가 간단하고 가명정보 처리 수준도 명확하지만, 행안부가 주도한 개인정보보호법 시행령 개정안은 ①개인정보 추가 이용 조건이 과다하고 ②가명정보 결합 절차가 지나치게 엄격한 데다 ③가명정보 안전조치를 개인정보 수준으로 지나치게 높게 설정했다는 비판이 제기됐다.

여기에 ④데이터3법 자체를 반대했던 시민단체(진보네트워크센터·경실련)와 학계·법조계·산업계가 보는 ‘가명정보의 산업적 활용 가능 여부’도 달라, 시행령 조문을 명확히 하고 시행령을 집행할 개인정보보호위원회 인력 구성 등에서 단일한 메시지를 주지 않으면 불필요한 사회적 갈등을 초래할 가능성이 커졌다.



개인정보 추가 이용 기준 지나치게 포괄적(14조의2)

개인정보보호법 시행령 개정안에 있는 ‘제14조 2항’이 가장 독소조항으로 꼽혔다. 우리나라는 세계 어떤 나라보다 강한 개인정보보호법제를 갖고 있는데, 정부는 인공지능(AI)의 원료가 되는 데이터 이용을 활성화하기 위해 법을 개정했지만, 정작 시행령단에서는 법보다 더 엄격한 요구를 한다는 비판이 제기됐다.

기업이 활용하려면 당초 목적과의 상당한 관련성,추가 이용 예측 가능성, 제3자 이익 침해 방지,가명처리 의무 등 4가지 조건을 ‘모두’ 충족해야 한다고 규정돼 있기 때문이다.

김민호 성균관대 교수는 “법체계 대부분은 종합 고려형인데 이 조항은 요건 충족형이다. 이렇게 규정할 때 작동(개인정보 추가이용)이 가능한가”라고 말했다.

강현정 법무법인 세종 변호사는 “14조의 2는 법의 위임보다 상당히 엄격하다”며 “모든 걸 충족해야 한다면 사실상 추가 이용하거나 제공은 어려울 것”이라고 말했다.

가명정보 결합절차와 가명정보 보호 지나치게 엄격(29조의 2등)

가명정보의 결합을 위해 연계정보 생성기관과 결합전문기관을 거쳐야 하는 절차가 복잡하다는 점도 문제다. 이는 간소하게 의뢰기관이 직접 연계정보를 생성할 수 있도록 한 신용정보법 시행령 개정안과도 다르다.

코로나19이후 기업체와 관공서, 학교들이 클라우드나 웹을 이용해 재택근무,온라인 개강을 하고 있는 상황에서 결합정보를 지정된 특정의 물리적 공간에 직접 가서 분석하도록 제약하는 조항은 시대의 흐름에 맞지 않는다는 지적이다.

김현경 과기대 교수는 “결합을 하는 이유는 분석을 위한 것인데 시행령에서 분석에 대한 장소적 제한을 규정한 게 타당한 가 고려할 필요가 있다”고 말했다.

김진환 김앤장 변호사는 “개인정보보호법 시행령과 신용정보법 시행령 개정안의 가명정보 결합절차 등이 달라 실질적인 차이가 발생할 수 있다”며 “국민이 두 법을 두고 법률 쇼핑을 하는 상황이 발생할 수 있다”고 우려했다.

웨비나로 진행된 토론회에서는 개인정보 중 일부를 비식별화한 가명정보 보호 수준을 개인 정보와 똑같이 보호하라는 요구도 지나치다는 댓글도 이어졌다.

문재인 대통령이 2018년 8월 31일 오후 경기도 성남 판교 스타트업 캠퍼스에서 열린 데이터 규제혁신 현장방문 행사에서 연설하고 있다. 연합뉴스 제공

가명정보 산업적 활용 여부와 수준도 시민단체와 동상이몽

법의 취지보다 개인정보보호법 시행령이 엄격하게 만들어지다 보니, 데이터3법 국회 통과 이후 의료정보라도 가명정보로 만들면 어느정도의 산업적 활용이 가능하지 않겠냐는 기업들의 기대도 쉽지 않을 전망이다. 법은 국민들에게 명확성을 줘야 하는데 모호한 규정이 너무 많다.

최경진 가천대 교수는 “개인추적 목적이 아니라면 산업적 활용이라도 리서치 연구 정도는 가능하지 않은가”라고 했고, 김재환 한국인터넷기업협회 실장은 “당연히 신용정보법에서 상업적 연구나 통계작성을 허용한 것처럼 이견이 없는 것으로 안다”고 말했다.

하지만 오병일 진보네트워크센터 대표는 “개인정보보호법에서 허용한 것은 과학적 연구, 우리 용어로는 학술연구 개념”이라며 “기업이 ‘연구’라는 이름으로 사적 이익 확대로 해석해선 안된다”고 말했다. 그는 “현행 의료법에서는 데이터 활용 자체가 안되니 연구목적 활용도 안된다”고 했다.

그러자 김진환 김앤장 변호사는 “그러려면 법을 왜 만들었는가”라면서 “이런 질문 자체가 상당히 당혹스럽다”고 말했다.

개인정보보호법 시행령 개정안을 두고 논란이 뜨거워지자, 하인호 행안부 개인정보보호정책과장은 “개인정보 추가 이용요건의 경우 최소 요건으로 규정하고자 하는 입법 취지가 있다. 최소 요건의 수준이 적정한지 의견을 검토하겠다”며 “결합 장소 제한의 경우 반출을 막겠다는 게 아니라 가치 높은 정보를 분석 할 수 있는 공간을 제공한다는 관점도 있었다”고 해명했다.

한편 대통령직속 4차 산업혁명위원회(위원장 윤성로)는 최근 “데이터 옴부즈만” 및 “데이터 제도혁신 연구반”을 운영해 정부의 데이터3법 후속조치를 지원한다고 밝힌 만큼, 법의 취지를 살리지 못한 개인정보보호법 시행령 개정에 합리적인 의견을 제시할지 주목된다.