“국민은 내 데이터의 가치와 유용성을, 기업은 개인정보 침해 예방이 경쟁력임을 알기를”

[hany]

“국민은 내 데이터의 가치와 유용성을, 기업은 개인정보 침해 예방이 경쟁력임을 알기를”

고학수 개인정보보호위원회 위원장  나라경제 2023년 04월호

일시: 2023년 3월 15일(수) 오전 10시

장소: 정부서울청사 위원장 집무실

미국 컬럼비아대 경제학 박사
2000~2004    미국 로펌 ‘휴즈 허바드 앤 리드’ 변호사
2004~2005     법무법인 세종 미국변호사
2005~2007     연세대 법과대학 부교수
2007~             서울대 법과대학 교수
2022.10.~      개인정보보호위원회 위원장

개인정보보호위원회(이하 개인정보위)가 출범 4년 차를 맞았습니다. 그동안의 주요 성과부터 소개해 주세요. 
개인정보위는 2020년 8월 독립 중앙행정기관으로 출범한 이래 2년 반 동안 개인정보 정책의 컨트롤타워 역할을 수행했습니다. 코로나19 상황에서 개인정보 안심번호 도입, 어린이집 아동학대 의심 시 CCTV 열람 개선, 한·EU 「일반개인정보보호법(GDPR)」적정성 결정 등 국민이 체감할 수 있는 여러 정책 성과도 도출했습니다. 특히 마이데이터 전 분야 확산에 필요한 개인정보 전송요구권 등을 담은 「개인정보 보호법」 개정안이 지난 2월 말 국회를 통과해 3월 14일 공포됐습니다. 데이터 영역 전반에 대한 사회적 관심이 하루가 다르게 높아지고, 글로벌 빅테크의 「개인정보 보호법」 위반에 대한 조사·처분 등으로 우리나라 개인정보 관련 법·제도 집행 및 감독체계에 국제적 관심이 모아지고 있습니다. 이러한 상황에서 취임 후 지난 4개월간 개인정보 체계를 혁신하는 「개인정보 보호법」 개정과 데이터 기반 글로벌 질서 재편성 과정에서의 주도적 리더십 확보를 위해 노력했습니다. 또한 국제 개인정보보호감독기구 협의체(GPA), 아시아·태평양 개인정보보호감독기구 협의체(APPA) 회의에 참석해 우리의 주요 법 집행 경험을 나누고, 프랑스 개인정보보호감독기구(CNIL)와 양해각서를 체결하는 등 주요국과의 공조체계를 구축해 왔습니다. 

최근 열린 오픈마켓 사업자 간담회에선 어떤 논의가 오갔나요?
지난해 7월에 오픈마켓 10개 사업자, 9월에 셀러툴(오픈마켓과 판매자 중간에서 오픈마켓 플랫폼과 연동해 판매자의 상품 등록, 주문 관리 등을 대행하는 쇼핑몰 통합관리 프로그램) 8개 사업자와 오픈마켓 생태계 내에서 이용자의 개인정보 보호를 강화하기 위한 ‘민관협력 자율규제’ 규약을 마련한 바 있습니다. 이 규약은 빠르게 변화하는 온라인 플랫폼의 개인정보 처리 특성을 반영해 민간과 정부가 함께 실효적인 개인정보 보호 원칙과 기준을 마련하고 적용해 나간다는 데에 의의가 있습니다. 이를 토대로 오픈마켓과 셀러툴 사업자는 상호 간 꼭 필요한 정보만 선택해 전송하는 표준 API(Application Programming Interface, 응용프로그램 간 데이터를 주고받는 방법) 연동협약서를 마련하는 등 약속한 보호조치 방안을 이행하고 있습니다. 지난 2월 7일 참여사들 간담회 자리에서는 현장의 애로사항을 들었습니다. 오픈마켓 플랫폼, 셀러툴, 판매자 간 개인정보 처리에서 책임 소재의 복잡성을 해결할 수 있는 현실적인 방안이 ‘민관협력 자율규제’임을 재확인했으며, 최근 온라인 쇼핑몰에서 피해가 발생한 크리덴셜 스터핑(credential stuffing, 해커가 이미 유출되거나 사전에 탈취한 이용자 계정과 비밀번호를 다른 웹사이트 등에 무작위로 대입해 정보를 빼가는 수법) 공격 등 이용자 계정 탈취·도용 공격에 대한 해결방안도 함께 논의했습니다. 

올해 ‘아동·청소년 디지털 잊힐 권리 시범사업’이 추진됩니다. 아동·청소년 사업이 우선적으로 시행되는 배경은 무엇인가요? 
이른바 ‘디지털 네이티브’인 지금의 아동·청소년은 어린 시절부터 온라인상에 많은 개인정보가 장기간 누적되는데, 온라인상 개인정보는 복제가 쉽고 누구나 접근 가능하며 삭제하지 않는 한 오랜 기간 남아 있게 돼 개인에게 미치는 영향이 큽니다. 또한 아동·청소년은 활발한 온라인 활동에 비해 자신의 개인정보에 대한 삭제권·처리정지권 등 실질적 통제권을 행사하는 데 한계가 있습니다. 이에 ‘아동·청소년 디지털 잊힐 권리 시범사업’을 통해 만 18세 미만 아동·청소년들이 본인이 온라인에 게시한 개인정보가 포함된 게시물을 삭제할 권리를 행사할 수 있도록 지원할 예정입니다. 또한 시범사업 결과를 바탕으로 잊힐 권리를 명문화하고 지원 근거를 마련하기 위해 ‘(가칭)아동·청소년 개인정보 보호법’ 제정을 추진할 계획입니다. 디지털 잊힐 권리 지원 시범사업은 아동·청소년의 개인정보 자기결정권 행사를 실질적으로 뒷받침하는 첫걸음이 될 것으로 기대합니다.

개인정보 보호와 관련해 특별히 더 관심을 쏟는 대상이 있는지요? 
디지털 시대에 개인정보 보호의 사각지대가 없도록 다각적인 노력을 기울이고 있습니다. 예컨대 근로자 개인정보 보호 수준을 높이기 위해 올해 1월 개인정보 보호 가이드라인(인사·노무편)을 개정했습니다. 개정 가이드라인에는 근로관계 전반에 걸쳐 개인정보 보호를 위해 조치할 사항과 CCTV 및 위치·생체 정보 처리장치 등 디지털 장치 도입 시 준수해야 하는 사항이 담겼습니다. 지난해에는 아동·청소년, 다문화 가정, 북한이탈주민 등 기존 교육 대상에 고령층, 장애인 등 디지털 취약계층을 추가해 개인정보 보호 교육을 확대했습니다. 올해는 지자체와 협업 프로그램을 구성해 교육 접근성을 높이고, 디지털 취약계층 대상 맞춤형 교육을 확대해 일상생활에서 개인정보 보호 인식을 확산하는 기반을 강화할 예정입니다. 향후에는 초중고 교육과정에 ‘개인정보 보호’ 내용이 반영될 수 있도록 교육부 등과 협력하고 부모 의존도가 높은 아동 시기 특성을 고려해 보호자 교육도 확대할 것입니다.

개인정보 유출 피해를 입은 개인은 어떤 도움을 받을 수 있나요?
개인정보를 침해당한 사람은 개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있습니다. 특히 「개인정보 보호법」 개정으로 공공에 한정됐던 분쟁조정 참여 의무가 민간까지 확대되고, 현장조사권이 조사관에게 부여되는 등 분쟁조정을 통한 권리구제가 더욱 활성화될 것으로 기대합니다. 개정된 「개인정보 보호법」에서는 글로벌 법제와의 정합성을 확보하고 개인정보 보호의 중요성을 반영하기 위해 과징금 규모를 상향조정했습니다. 오는 9월 15일 법 개정 시행에 대비해 현재 시행령 및 하위 규정 개정안을 마련하고 있으며, 중대한 위반을 하거나 법 위반을 반복하는 경우 처벌 수위를 높일 계획입니다. 한편 과징금 등 제재 강화가 개인정보 침해 예방수단으로서 실효를 갖기 위해서는 개인정보의 중요성에 대한 사회 전반의 인식이 함께 제고돼야 할 것입니다. 국민은 자신에 대한 데이터의 가치와 유용성을 알고, 기업 등은 개인정보 침해 예방조치 이행이 단순한 비용이 아닌 기업 경쟁력 강화의 전제이며 사회적 책임임을 이해해야 합니다.

기업이 데이터를 온전히 활용하는 데 아쉬운 측면도 있을 것 같습니다. 기업은 어떤 점을 요구하고 있습니까?
국민이 신뢰할 수 있는 개인정보 보호체계가 갖춰져야 기업들도 AI·자율주행 등 신기술 개발, 서비스 혁신을 안심하고 적극적으로 추진할 수 있습니다. 기업들도 개인정보 보호를 위한 법과 제도가 국민 인식, 국내외 산업구조 변화, 기술 발전 등을 반영할 수 있도록 ‘업그레이드된 규율체계’를 요구하고 있습니다. 이에 개인정보위는 우선, 이번 법 개정의 핵심이라 할 수 있는 마이데이터 ‘제3자 전송요구권’을 통해 국민의 신뢰를 확보하면서 우리나라의 데이터 활용 생태계가 한 단계 진일보할 수 있는 여건을 마련하려 합니다. 둘째, AI·자율주행차 등 새로운 기술이나 달라진 산업환경에 맞지 않는 낡은 규율체계를 개편하고, 개인정보 처리방식의 적법 여부가 모호하거나 불명확한 회색영역을 해소해 기업의 데이터 활용 불확실성을 제거해 나가겠습니다. 특히 AI를 위한 데이터 수집-학습-서비스 전 과정에서 발생할 수 있는 개인정보 관련 이슈를 명확히 하고, 합리적인 개선방안을 마련할 계획입니다. 

가명정보 결합으로 새롭게 태어난 서비스가 있을 텐데요, 데이터의 결합부터 분석까지 전 과정이 흥미로울 것 같습니다. 
데이터경제 활성화를 위한 ‘데이터 3법’ 개정과 함께 가명정보 활용 제도가 법제화되고 도입된 지 3년이 돼갑니다. 가명정보는 활용가치가 높은 개인정보를 개인이 식별되지 않는 안전한 상태로 처리해 개인의 별도 동의 없이 빅데이터 분석, AI 개발 등에 폭넓게 활용할 수 있도록 만든 정보입니다. 그간 개인정보위는 가명정보 활성화를 위해 가명정보 결합 선도사업을 발굴·추진해 왔으며, 그중 ‘전기차 충전소 최적입지 선정’ 사례를 소개할 수 있을 것 같습니다. 지자체(성남시)의 차량등록정보와 내비게이션 기업(티맵)의 차량운행정보를 결합해 개별 데이터만으로는 파악하기 어려웠던 전기차 충전소 최적입지 선정모델을 개발했고, 분당구 역사, 대형 병원 주변 등 해당 모델이 추천한 장소들은 지난해 4월 해당 지자체의 충전소 설치 결정에 실제로 활용됐습니다. 이는 민간과 지자체 간에 가명정보를 결합한 최초 사례로, 가명정보 제도를 통해 데이터 기반 과학행정을 구현했다는 데 의의가 있습니다. 

올해 초 ‘가명정보 제도 개선을 통한 데이터 활용 증대’ 계획도 발표했습니다. 기존과 달라진 내용은 무엇인가요? 
개인정보위는 가명정보 제도 도입 이후 관련 법·제도 및 인프라 기반을 지속적으로 개선하고 다양한 선도사례를 추진하고 있습니다. 그러나 엄격한 활용 절차·기준, 데이터 보유기관의 소극적 태도, 인력·비용 부족 등으로 금융 외 분야에서는 가명정보 결합·활용이 아직 미진한 상황입니다. 이에 가명정보 제도 전반을 원점에서 검토해 활성화 방안을 수립하고 관계부처, 산업계·전문가 의견을 들어 조만간 종합대책을 발표할 계획입니다. 또한 AI·자율주행차 등 신기술 발전을 촉진하기 위해 데이터 처리 환경의 안전성을 높이되 활용 절차·기준 등을 완화해 보다 자유로운 개인정보 활용이 가능한 ‘개인정보 안심구역’도 도입하려 합니다. 더불어 올해 안에 ‘비정형 데이터 가명처리 가이드라인’을 마련해 영상, 음성, 텍스트 등 다양한 형태의 개인정보가 적극적으로 활용될 수 있는 여건을 조성할 계획입니다. 

마이데이터 정책에서 역점을 두는 부분은 무엇인가요?
마이데이터의 성공적 안착을 위한 핵심 조건은 국민의 신뢰입니다. 이번 「개인정보 보호법」 개정에 따라 내 개인정보가 내가 원하는 곳에서 내 의사대로 활용될 수 있도록 하는 ‘개인정보 전송요구권’의 법적 근거가 마련된바, 이와 함께 열람·확인권, 전송요구·다운로드권, 전송·활용 중단권 등 파생되는 권리를 명확히 보장하기 위한 법적 기반을 조성하겠습니다. 또한 마이데이터 전 이용과정을 기술적으로 지원하는 온라인 플랫폼 등을 구축할 계획입니다. 기업의 데이터 활용 측면에서는, 공공 부문과 민간 기업 간 그리고 여러 분야 기업 간 다양한 데이터가 막힘없이 이동할 수 있는 인프라를 구축하고 시장 생태계를 조성하는 것에 중점을 둘 것입니다. 먼저 이종 산업·분야 간에 데이터가 막힘없이 이동하고 연계될 수 있도록 데이터 전송 규격·규칙인 API 구축과 데이터 형식 표준 수립을 추진하고 있습니다. 정보보유 기업이 능동적으로 데이터를 제공하는 선순환 구조가 확립되도록 적절한 과금·보상 체계를 만들고, 설비구축 비용이 부담스러운 중소기업을 위해 정보전송에 필요한 중계시스템 등 인프라를 지원하는 것도 검토하고 있습니다. 이런 내용이 앞으로 발표될 ‘국가 마이데이터 혁신 로드맵’에 담길 예정입니다.

최근 EU, 영국 등으로부터 우리나라 개인정보 보호 법체계를 인정받았습니다. 그 의미는 무엇인지요?
2021년 12월 EU 그리고 지난해 12월 영국이 한국에 대한 ‘적정성 결정(adequacy decision)’을 내렸습니다. 즉 한국의 개인정보 보호 수준이 자신들과 동등하다고 인정한 것입니다. 이에 따라 우리 기업은 별도의 조치 없이 EU·영국 역내의 개인정보를 한국으로 이전할 수 있게 됐습니다. 이로 인해 해당 국가 내 개인정보를 우리나라로 이전하기 위해 소요됐던 비용과 시간을 절감할 수 있어 유럽 지역에서 활동하는 우리 기업의 경쟁력이 강화되고 국내 데이터경제도 크게 활성화될 것으로 기대됩니다. 

모든 국민이 데이터 주권을 확보하고 잘 활용하기 위해서는 개인정보에 대한 이해도를 높이는 것이 매우 중요해 보입니다. 
기업은 개인정보의 주체가 국민임을 인식하고 기업 활동을 위해 개인정보를 활용하는 데 국민적 신뢰가 전제돼야 함을 알아야 합니다. 개인정보의 주체인 국민은 자신의 데이터에 대한 가치를 인식하고 나의 데이터가 제대로 쓰일 수 있도록 적극적으로 통제할 줄 알아야 합니다. 개인정보위는 데이터경제 활성화로 개인정보 활용사업이 증가하는 상황에서 사회 전반의 개인정보 가치 및 보호에 대한 인식을 높이기 위한 온·오프라인 교육 등을 적극 실시해 나갈 것입니다. 특히 올해는 AI 등 신기술 기반 서비스 활성화, 마이데이터 도입, EU GDPR 적정성 결정 등 국내외 법·제도 및 기술 환경 변화에 대응하기 위해 공공·민간 개인정보처리자를 위한 실무 중심의 사례교육 등을 강화하고, 정보 취약계층 맞춤형 교육과정도 확대할 것입니다. 아울러 ‘내 정보 지킴이 캠페인’ 및 ‘개인정보 보호 인식주간’ 등 국민이 참여하는 대국민 캠페인을 지속적으로 개최하고 개인정보 보호 문화가 사회 곳곳에 자연스럽게 정착되도록 지원하겠습니다. 
 

이지은 『나라경제』 편집장