[이정운 레이니스트 법무 본부장] 데이터3법과 마이데이터

2011년 봄이었다. 개인정보 보호법이라는 낯선 이름의 법률이 통과되었고, 사람들은 세상이 크게 바뀔 것이라고 이야기했다.

그로부터 10년 남짓 시간이 지나고, 개인정보 보호법은 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’, ‘신용정보의 이용 및 보호에 관한 법률’과 함께 데이터 3법이라 불리며 4차산업혁명을 가로막는 원흉으로 지목되었다.

정보주체의 동의 중심의 법체계가 문제라고 했고, 정보가 원유인 시대에 정보의 자유로운 흐름을 막는 것이 문제라고 했다.
실제 이러한 법률들의 체계나 내용이 개인정보 또는 신용정보의 이용보다는 보호에 치우쳐 있다는 비판은 법률이 제정되던 시점부터 있어왔다. 물론 정부와 입법기관도 이러한 문제를 충분히 인식하고 이를 해소하기 위해 노력해왔다.

하지만 결론적으로 말해 지난 10년간 기술과 사회의 변화 속도에 맞는 충분한 입법적, 행정적 대응이 이루어지지 못했던 것이 사실이다.

그렇다면 개인정보나 신용정보를 보다 쉽고 활용할 수 있도록 해달라는 요구가 그 동안 제대로 관철되지 못했던 이유가 무엇일까? 누군가는 정보주체의 높아진 권리의식 때문이라고 할 것이고, 또 누군가는 잊을만하면 한 번씩 발생했던 대규모 정보 유출 사태를 원인으로 지적할 것이다.

모두 일리가 있는 말이지만, 보다 중요한 이유는 정보주체의 동의를 중심으로 만들어진 법체계 내에서 그 정보주체를 배제하는 방식으로만 정보의 활용을 촉진하려고 했다는 점이다.

정보 활용 측면에서 논의되었던 빅데이터, AI, 비식별화, 가명화, 광고식별자 등 많은 주제들은 결국 어떻게 하면 정보주체의 동의 없이 개인정보 또는 신용정보를 활용할 수 있는지에 관한 것이었고, 시민단체 등 정보주체의 권익을 보호하려는 측의 즉각적인 반발에 부딪힐 수 밖에 없었다.
대표적인 사례가 2016년 정부부처들이 합동으로 발간한 ‘개인정보 비식별화 조치 가이드라인’이었다.

일정한 조치를 거쳐 비식별화된 정보는 더 이상 개인정보가 아닌 것으로 보아 정보주체의 동의 없이 다양한 산업적 목적으로 이용할 수 있다는 것이 가이드라인의 주요 내용이었다.

하지만 가이드라인 제정 후 얼마 지나지 않아 시민단체들은 이 가이드라인에 따라 비식별화 처리를 하였던 기관들과 이를 이용한 기업들을 검찰에 고발하였다.

이용자의 동의나 명확한 법적근거 없이 개인정보를 무단으로 활용했다는 이유에서였다.
이 사건은 결국 작년 검찰의 무혐의 결정으로 종결되었으나, 정보주체를 배제하는 형태의 정보 활용 방식이 갖는 근본적인 불완전성과 잠재적인 분쟁 가능성을 정확히 보여준 사례라고 할 것이다.

그렇다면 우여곡절 끝에 지난 8월 5일 시행된 개정 데이터3법은 이러한 고질적인 문제를 온전히 해결해냈을까? 새로 도입된 ‘가명정보’ 개념이라던지, ‘당초 수집 목적과 합리적으로 관련된 범위’에서 정보주체의 동의 없이 개인정보를 이용하거나 제3자에 제공할 수 있다는 규정들은 보다 나은 정보 활용 환경을 만들어 줄 것이라고 기대되지만, 동시에 법시행 전부터 그 기준과 범위를 둘러싼 우려와 갈등이 있었던 것 역시 사실이다.

이 과정에서 나타난 정보처리자와 정보주체의 대립이라던지 정보의 보호와 활용의 균형이라는 문제들이 과거 개인정보 비식별화 조치 가이드라인을 두고 발생했던 논란 상황과 크게 다르지 않다는 점에서 기존의 시도들과 얼마나 다른 결과를 가져올지 솔직히 의문이다.

다만, 이번 데이터3법 개정 중에 한가지 기대되는 부분이 있다면 ‘마이데이터’ 제도라고 불리는 신용정보 이용 및 보호에 관한 법률상 ‘정보전송요구권’과 ‘본인신용정보관리업’의 도입이다.

이제 신용정보주체는 자신의 개인신용정보를 보유하고 있는 금융기관 등에 대해 해당 정보를 자신 또는 특정 제3자에게 전송해줄 것을 적극적으로 요구할 수 있으며, 주로는 이러한 정보전송요구권에 바탕을 두고 개인신용정보를 통합하여 신용정보주체의 신용관리를 돕는 본인신용정보관리회사가 등장하게 되었다.

지금까지 정보의 유통과 활용에 있어 늘 배제하려고만 했던 바로 그 정보주체를 중심에 두고 정보가 자유롭게 이동할 수 있게 된 것이다.

신용정보주체의 자기정보결정권을 실질적으로 보장하겠다는 것이 주된 입법목적이었겠으나, 이러한 정보주체 중심의 정보 이동 구조를 통해 정보 활용과 보호의 개념적인 대립 관계를 해소하고 개인정보 활용의 새로운 패러다임을 제시하였다는 점에서도 큰 의미를 갖는다.

여기에 정보주체가 정보전송요구를 통해 누릴 수 있는 새로운 가치와 편익을 생산할 수 있는 사업자 개념을 함께 도입함으로써 이러한 형태의 정보 유통을 효과적으로 촉진시킬 수 있을 것으로 보이다.

가장 보수적이라고 평가되는 금융 분야에서 등장한 마이데이터 제도가 지난 10년간 풀어내지 못했던 정보 보호와 활용의 균형이라는 난제를 완전히 새로운 방식으로 해결할 수 있지 않을까 하는 행복한 기대를 하게 되는 대목이다.

마이데이터가 바꿔놓을 세상을 명확히 그리는 데는 어려움이 따른다. 세상을 바꿀지 못 바꿀지에 대한 문제가 아니라 도대체 얼마나 많은 변화를 가져올지 모르겠다는 의미이다.

다만, 확실한 것은 정보주체의 자발적인 선택과 결정을 기반으로 한 정보의 유통 체계, 그리고 이러한 유통을 가능하게 하는 기술적 제도적 뒷받침들은 이제 금융 뿐만 아니라 다른 분야에서도 반드시 고려해야 할 정책 방향이라는 것이다.

가명화, 익명화, 데이터거래소 등 기존의 데이터 전략과 함께 마이데이터 전략이 고민되어야 하고, 상호보완적으로 활용되어야 한다. 정보주체가 금융 뿐만 아니라 의료, 유통, 통신, 교육 등 다양한 분야의 자기 정보를 손쉽게 이동시킬 수 있는 효과적인 도구와 시스템이 갖추어진다면, 전세계 어느 나라도 가보지 못한 진정한 4차산업혁명 시대를 경험할 수 있지 않을까 조심스럽게 기대해본다.

[이정운 레이니스트 법무 본부장]