개인정보도 한우처럼 등급제?

지난해 박선숙 바른미래당 의원이 `개인정보 활용 등급제` 도입을 주요 골자로 한 정보통신망법 개정안을 발의했다. 한우처럼 개인정보에 등급을 매긴다는 것은 전혀 현실성이 없기 때문에 법안이 국회를 통과할 리 없다 생각했고, 그래서 솔직히 법안에 별다른 관심이 없었다. 그런데 의외로 많은 사람들이 개인정보등급제에 대해 심각한 오해를 하고 있음을 알았다. 개인정보등급제가 도입되면 자신의 개인정보가 얼마나 활용되는지 한눈에 알 수 있고, 정보통신 서비스 제공자도 등급이 높아지는 것을 피하기 위해 불필요한 개인정보 수집을 줄일 것이라는 막연한 생각을 하고 있는 것이다.

국민의 인식이 그렇다면 법안이 국회를 통과할 가능성도 있겠다는 우려(?) 때문에 그런 일이 생기기 전에 개인정보보호법을 연구하는 한 사람으로서 개인정보등급제의 허(虛)와 실(失)을 분명히 알려야겠다고 생각했다. 개인정보의 활용 정도를 등급으로 구분하는 것은 기술적으로도 현실적으로도 불가능한 일이다. 정보통신망에서 제공되는 서비스들은 그 성격, 목적, 범위 등이 너무나 다양해 등급을 나누는 기준을 설정할 수가 없다. 설령 기준이 마련된다 하더라도 530만여 개에 이르는 사업자가 등급을 받기 위해 제출한 활용 사항이 사실에 부합하는지 그 적정성을 점검할 방법도 없다. 십분 양보해서 개인정보 활용 등급을 매기는 것이 가능하다 해도 그것이 정보 주체의 개인정보 보호에 반드시 도움이 되는 것도 아니다. 왜냐하면 활용 등급의 높고 낮음에 따라 개인정보 관리 수준을 달리할 수 있는 게 아닌데 사업자들이 등급의 높고 낮음에 따라 그 관리 수준을 달리해도 되는 것처럼 오해할 수 있기 때문이다. 실제로 관리에 대한 경각심이 현저히 떨어질 것으로 우려된다.

또한 등급이 높아도 관리를 철저히 하면 관리를 엉터리로 하는 낮은 등급보다 개인정보가 더욱 안전하게 보호될 수 있음에도 정보 주체 입장에서는 높은 등급의 사업자에 개인정보를 제공하는 것을 꺼리는 회피 심리가 생길 수 있다. 다양한 서비스를 제공하기 위해 불가피하게 개인정보 활용 등급이 높을 수밖에 없는 사업자 입장에서는 커다란 경영 부담이 될 것이다. 물론 사업자의 불편이나 경영상 어려움이 있더라도 개인정보의 안전한 보호와 활용에 큰 도움이 된다면 어느 정도 희생을 감수하더라도 제도를 도입하는 것이 타당하다.

하지만 이 제도는 개인정보의 안전한 관리에 크게 도움이 되지 않으면서 오히려 정보 주체에게 불안감만 조성할 뿐이다. 우리나라는 개인정보 유효기간제, 개인정보 이용내역 통지제도 등과 같이 다른 나라에는 없는 제도를 두고 있다. 글로벌 스탠더드에 맞지 않는 규제들로 인해 우리나라 기업들만 역차별을 받고 있는 것은 어제오늘 일이 아니다. 역외 기업에 대한 규제 집행력의 부재로 우리나라 인터넷 산업이 가뜩이나 위축돼 있는 상황에서 실효성도 검증되지 않은 또 다른 규제를 만들려는 정치권의 태도를 정말 이해하기 어렵다.

구글, 페이스북 등 글로벌 기업들이 개인정보를 어떠한 방식으로 처리하는지 우리 정부가 정확히 파악하는 것은 불가능에 가깝다. 예를 들어 아마존에서 상품 검색을 하면 구글이 관련 상품에 대한 광고를 앱 푸시로 보내고, 구글 앱 푸시를 터치하면 아마존 앱이 해당 상품을 노출하는데, 이 경우 구글, 아마존이 개인정보를 어느 정도 활용하고 있는지 우리 정부가 등급을 매기는 것은 결코 쉬운 일이 아니다.

그저 해당 기업이 제공한 자료를 바탕으로 등급을 매길 수밖에 없고, 사실 확인 점검도 불가능하다.

반면 우리나라 기업은 정부가 조사권을 발동해 얼마든지 점검·확인이 가능하므로 제도 운영상 역차별이 생길 것은 불 보듯 뻔하다. 미국 등 선진국에서도 개인정보 활용 등급제에 대한 실험적 시도가 있었으나 그 실현 가능성이 희박하고 실효성이 없는 것으로 밝혀져 이에 대한 논의를 중단했다. 개인정보등급제는 득보다 실이 많은 제도임을 바르게 이해해야 한다. 

 김민호(개인정보보호법학회 회장·성균관대 교수)
출처-매일경제 2019. 4.19[매경의 창]
<원문>https://www.mk.co.kr/opinion/contributors/view/2019/04/242996/