• ‘누군가 나인 척한다’ 個人情報 流出 恐怖

• 違反 時 公務員은 退出, 企業은 課徵金 撤退

• 個人情報 保護와 데이터 經濟라는 두 마리 토끼

• 데이터 間 合從連橫, 스몰테크 企業엔 機會

• 人工知能의 自動化된 決定을 拒否할 人間의 權利

• 얼리어답터 韓國이 個人情報 分野 글로벌 規範 先導

“이것만 있으면 알 수 없는 게 하나도 없어요. 이것만 있으면 네가 뭘 샀는지, 뭘 願하는지, 뭘 가졌는지, 뭘 먹었는지, 누구를 좋아하는지, 누구를 싫어하는지. 이것만 있으면 누구든 내 뜻대로 움직일 수 있고, 누구든 될 수 있는데 근데 뭐, ‘말도 안 되는 생각하지마’야.”

映畫 ‘스마트폰을 떨어뜨렸을 뿐인데’에서 나미의 스마트폰을 주운 俊英이 被害者 家族을 脅迫하고 빈정거리며 한 말이다. 그는 “알 수 있는 게 많다”가 아니라 “알 수 없는 게 하나도 없다”고 得意揚揚해한다. 俊英은 주운 스마트폰에 스파이웨어를 심어 主人에게 돌려준 뒤 해킹한 相對의 삶을 마음대로 操縱한다. 그가 주운 건 스마트폰이 아니라 個人情報였던 것. ‘當身의 스마트폰으로 누군가 當身인 척하고 있다’는 映畫 廣告 文句는 個人情報 流出의 危險性을 알리는 섬뜩한 警告였다.

지난해 水原市 區廳 公務員이 2年餘 동안 1000餘 件의 個人情報를 興信所에 넘기고 件當 2萬 원씩 받아온 犯行이 發覺됐다. 甚至於 이렇게 흘러나간 情報가 스토킹 殺人의 빌미를 提供했다는 事實도 드러났다. 또 다른 스토킹 殺人이 벌어진 서울 新堂驛 事件에서는 加害者가 職場 內部 電算網을 통해 被害者의 勤務時間과 動線 等을 把握한 것으로 알려지면서 公共機關의 不實한 個人情報 管理 實態가 도마에 올랐다. 이를 契機로 監督機構人 個人情報保護委員會(以下 ‘個人情報委’)는 個人情報를 故意로 流出하거나 否定 利用한 公務員에 對해 1回 摘發에도 罷免·解任하는 ‘怨 스트라이크 아웃’ 制度를 導入하는 等 公共部門의 個人情報 管理를 大幅 强化했다.

個人情報委는 글로벌 빅테크 企業들의 個人情報 無斷 蒐集·利用 行爲에 對해서도 칼을 빼 들었다. 利用者 同意 없이 個人情報를 蒐集해 온라인 맞춤型 廣告에 活用하는 等 個人情報保護法을 違反한 구글과 메타에 1000億 원(구글 692億 원, 메타 308億 원)의 課徵金을 賦課한 것. 이는 온라인 맞춤型 廣告 플랫폼의 行態 情報 蒐集·利用과 關聯된 첫 番째 制裁이자, 個人情報保護法 違反 事例 中 最大 規模의 課徵金 賦課여서 큰 注目을 받았다. 同時에 個人情報委는 ‘빅테크의 저승使者’로 떠올랐다. 구글과 메타가 이 措置에 不服해 지난 2月 個人情報委를 相對로 行政訴訟을 提起하자 고학수 委員長은 “積極 對應하겠다”며 正面 勝負를 豫告했다.

個人情報 侵害인가 데이터의 安全한 活用인가

지난해 10月 尹錫悅 大統領은 고학수(56) 서울대 法學專門大學院 敎授를 第2代 個人情報保護委員會 委員長으로 임명했다. 고 委員長은 서울대 經濟學科에서 學士·碩士 學位를 取得했고, 美國 컬럼비아대학 로스쿨과 經濟學科에서 各各 學位를 받은 뒤 國內外 大學에서 法經濟學, 個人情報 保護, 빅데이터, 人工知能, IT政策에 對한 講義를 했다. 또한 아시아法經濟學會 會長, 韓國人工知能法學會 會長, 서울대 人工知能政策 이니셔티브 共同디렉터, 서울大 AI硏究院 副院長을 歷任했다. 大統領室은 고 委員長에 對해 “個人情報 保護, 데이터 經濟, 人工知能 關聯 다양한 學術 活動을 活潑히 遂行했고, 政府委員會 等에 參與해 法·制度의 現實에도 밝은 個人情報 保護 分野 最高 專門家”라며 限껏 期待를 드러냈다.



2011年 個人情報保護法 制定과 함께 設置된 個人情報保護委員會는 2020年 데이터 3法(個人情報保護法, 信用情報의 利用 및 保護에 關한 法律, 情報通信網 利用促進 및 情報保護 等에 關한 法律) 改正과 함께 行政安全部, 放送通信委員會, 金融委員會로 分散돼 있던 個人情報 保護 監督 機能을 統合 管理하는 長官級 中央行政機關으로 格上됐다.

그러나 個人情報 分野의 眞正한 컨트롤타워로 자리매김하려면 保護와 活用이라는 두 마리 토끼를 모두 잡아야 했다. 이미 先進 各國이 ‘데이터 經濟’로 패러다임 轉換을 꾀하는 狀況에서 國內에서는 이를 뒷받침할 個人情報保護法 一部 改正 法律案(2次 改正案)李 1年 넘게 國會에서 空轉하다 보니 데이터 産業의 成長 모멘텀을 놓치는 것 아니냐는 憂慮가 커지고 있었다. 이 무렵 고 委員長이 登板했다.

2011年 個人情報保護法 制定 以後 처음으로 學界, 法曹界, 産業界, 市民團體 等과 2年餘의 協議 끝에 마련한 全面 改正案이기에 조바심이 날 만했지만 ‘急할수록 돌아가라’는 말대로 고 委員長은 먼저 ‘디지털 大轉換’의 必要性을 說明하고 個人情報 活用에 對한 國民의 信賴를 얻는 데 注力했다. “國民은 언제든 自身의 個人情報를 實質的으로 統制해 權利를 行使할 수 있고, 企業은 國民의 信賴를 基盤으로 데이터를 安全하게 活用할 수 있는 善循環 構造가 定着돼야 한다”는 것을 强調한 칼럼과 인터뷰, 動映像까지 모든 弘報 手段을 動員했다.

이러한 努力의 結果로 個人情報保護法 2次 改正案은 2月 27日 國會 本會議 通過, 3月 7日 國務會議 議決, 3月 14日 空表에 이어 6個月 뒤 施行乙앞두고 있다. 고 委員長은 上半期 中 ‘國家 마이데이터 革新 로드맵’을 마련하겠다고 밝히며 迅速하게 後續 作業에 들어갔다. 3月 3日 政府서울廳舍 個人情報保護委員會에서 進行된 인터뷰는 9月 15日부터 施行되는 個人情報保護法 改正案의 主要 內容을 미리 살펴보고 마이데이터 時代를 여는 個人情報委의 役割에 焦點이 맞춰졌다.

個人情報 電送要求權과 마이데이터 時代

只今까지 委員會의 活動이 個人情報 ‘保護’ 爲主였다면 向後 ‘活用’에 重點을 둘 計劃인가.

“個人情報委 委員長 就任 後 가장 많이 받은 質問이 ‘保護와 活用 中 무엇이 더 重要한가?’ ‘委員長은 保護論者인가, 活用論者인가?’였다. 그러나 保護냐 活用이냐가 제로섬 게임으로 認識돼서는 안 된다고 본다. 保護하면 活用이 안 되고 活用하면 保護를 抛棄하는 것이 아니다. 保護와 活用은 포지티브섬 게임이 돼야 한다. 또 잘 保護하는 것과 잘 保管하는 것은 다르다. 다시는 꺼내 쓰지 않을 物件이라면 倉庫에 넣고 잘 잠가두기만 하면 된다. 그것이 保管이다. 그러나 언젠가 使用할 物件이라면 어떻게 保管하고 어떻게 꺼내 쓸지 同時에 苦悶해야 한다. 그것이 保護다. 國民의 所重한 個人情報를 侵害 危險으로부터 保護하는 것은 委員會의 存在 理由고, 이를 前提로 情報 主體의 信賴에 基盤해 어떻게 데이터를 有用하게 活用할 것인지에 對한 苦悶도 함께 해나가야 한다. 産業界의 데이터 活用 要求 擴大와 國民의 個人情報 侵害로 인한 不安感 擴大 사이에서 個人情報委가 均衡 잡힌 羅針盤 구실을 해야 한다고 생각한다.”

改正案의 核心 內容으로 ‘마이데이터’ 時代를 꼽았다. 本格的으로 自身의 個人情報를 꺼내 쓰는 時代가 열리는 것인가.

“마이데이터는 企業의 必要에 따라 ‘同意’ 意思를 表示하는 受動的 位置에 있던 情報 主體들이 自身의 情報를 積極的으로 統制할 수 있게 하는 것이다. 또한 個人情報 保護 中心의 패러다임에서 벗어나 마이데이터를 통해 自己 主導的으로 데이터를 活用할 수 있는 길이 열렸다. 代表的인 것이 이番에 新設된 ‘個人情報 電送要求權’이다. 이는 自身의 個人情報를 保有한 企業·機關에 그 情報를 다른 곳으로 옮기도록 要求할 수 있는 權利로 移動權이라고도 한다. 이에 따라 그間 金融·公共 等 一部 分野에서만 制限的으로 可能했던 마이데이터 서비스가 國民 個個人의 뜻에 따라 醫療·流通 等 모든 領域에서 普遍的으로 이뤄질 基盤이 마련됐다고 보면 된다. 例를 들어 영·幼兒의 境遇 身體 情報, 豫防接種 情報 等을 活用해 맞춤型 成長 支援 서비스를 받을 수 있고, 學生들은 成跡과 進學 情報를 土臺로 學習 코칭 서비스를, 靑·壯年層은 經歷과 資格 情報 等을 土臺로 일자리 推薦 서비스를, 老年層은 運動量과 水面時間, 健康檢診 情報 等을 통해 健康管理 서비스를 제공받을 수 있다. 이와 같은 데이터 間 合從連橫이 加速化되면 一部 빅테크 中心의 데이터 集中 構造에 龜裂을 일으켜 革新的인 아이디어로 武裝한 데이터 基盤의 다양한 스몰테크 企業이 多數 登場할 것으로 期待한다.”

1000億 원 課徵金, 글로벌 빅테크에 警鐘

지난해 9月 個人情報委가 구글과 메타에 1000億 원의 課徵金을 賦課한 後 企業들이 個人情報委의 處分에 銳敏하게 反應하고 있다.

“구글·메타 같은 온라인 플랫폼이 無料 서비스를 提供한다는 名目下에 利用者가 알지 못하는 사이 맞춤型 廣告를 위해 個人情報를 無斷으로 蒐集·利用한 行爲를 是正토록 했다는 데 큰 意義가 있는 制裁였다. 올해 들어서도 메타의 利用者가 他社 行態 情報 提供을 拒否하면 페이스북 및 인스타그램 서비스를 加入할 수 없도록 한 것에 對해 是正命令 및 660萬 원의 過怠料를 賦課했다. 이 處分은 國際的으로도 個人情報와 關聯된 글로벌 빅테크의 不適切한 處理 慣行에 警鐘을 울린 主要한 事例로 評價되고 있다. 비슷한 脈絡에서 海外 主要 監督機構들도 他社 行態 情報 蒐集 및 맞춤型 廣告 活用과 關聯해 구글과 메타가 法的 義務를 遵守하지 않았다고 잇따른 制裁 處分을 하고 있다. 빅테크를 包含한 플랫폼들이 利用者의 他社 行態情報 等을 蒐集·利用하려 할 境遇, 利用者가 該當 內容을 쉽고 明確하게 認知하고 자유롭게 決定權을 行使할 수 있도록 서비스를 設計하고 提供해야 한다는 事實을 明確히 한 措置였다고 생각한다.”

課徵金을 包含한 處罰 條項은 어떻게 바뀌었나.

“簡單히 말해 課徵金 基準은 强化됐고 代身 刑事處罰 條項은 빠졌다. 旣存에 個人情報 蒐集·利用 同意를 違反할 境遇 5年 以下의 懲役 또는 5000萬 원 以下 罰金刑, 個人情報를 流出할 境遇 2年 以下 懲役 또는 2000萬 원 以下의 罰金刑에 處한다고 된 데서 刑罰 條項이 削除됐다. 課徵金은 全體 賣出額의 3% 以下로 하되 ‘違反行爲와 關聯 없는 賣出額’을 除外한 賣出額을 基準으로 算定하는 것으로 變更했다.”

市民社會團體들이 改正案에 對해 “産業界 로비에 밀려 國際規範에 한참 못 미치는 水準으로 妥協했다”며 再改正을 要求하고 있다. 特히 課徵金에서 違反行爲와 關聯 없는 賣出額을 除外한 것은 當初 政府案(賣出額의 3%)에서 오히려 後退했다고 指摘했다.

“課徵金 賦課 基準 變化는 그 自體로 違反 억지 效果가 적지 않다고 생각한다. 違反行爲 關聯 賣出額의 立證責任을 法 違反 企業 等에 轉換하는 效果가 있고, 萬若 賣出額 關聯 資料를 提出하지 않거나 거짓으로 提出하는 境遇, 結局 ‘全體 賣出額’ 基準으로 課徵金이 賦課되기 때문이다. 輕微한 違反 事項도 刑罰로 規律하던 것을 過怠料·課徵金과 같은 經濟罰(經濟制裁) 中心으로 轉換한 것이 오히려 글로벌 스탠더드에 符合한다. 이는 企業들이 個人情報 保護 責任을 擔當者에게 떠넘기는 것을 막고, 個人情報 保護에 對한 關心을 促求하고 警覺心을 불러일으키는 效果가 있다. 다만 課徵金 等 制裁 强化가 個人情報 侵害 豫防 手段으로서 實效的 結實을 보려면 處罰 萬能主義 視角에서 벗어나 社會的 全般의 認識이 함께 提高돼야 한다. 國民은 個人情報의 價値와 有用性을 알고 企業은 個人情報 侵害 豫防措置가 單純한 費用이 아닌 企業 競爭力 强化의 前提이며 社會的 責任임을 理解해야 한다.”

人工知能(AI)李 個人情報를 蒐集하고 프로파일링하는 것이 普遍化하면서 SF小說 ‘마이너리티 리포트’와 같은 未來를 想像하지 않을 수 없다. 技術 發展에 隨伴되는 國民의 基本權 侵害를 막을 安全裝置는 確保돼 있나.

“人工知能의 高度化에 對한 國民의 漠然한 두려움과 새롭게 開發되고 있는 人工知能 서비스의 便益 사이에서 政策의 適切한 均衡感覺이 必要한 時點이다. 프로파일링이란 個人의 特徵에 關해 情報를 蒐集하고 分類해 유형화하는 것을 말한다. 이렇게 유형화된 情報를 가지고 利用者에게 맞춤型 서비스를 提供할 수 있지만 個人情報 侵害 憂慮도 分明히 存在한다. ‘自動化된 決定’은 이미 採用이나 人事, 福祉 受給者 選定 等 多樣한 分野에서 活用되고 있다. 人工知能을 活用한 ‘自動化된 決定’으로 새로운 形態의 프라이버시 이슈들이 提起되고 있다. 改正法律에서는 ‘自動化된 決定’李 情報 主體의 權利 또는 義務에 重大한 影響을 미치는 境遇, 該當 決定을 拒否하거나 說明 等을 要求할 수 있는 權利를 導入했다.”

얼리어답터 韓國, 個人情報 關聯 글로벌 規範 先導

‘自動化된 決定’이라는 脈絡에서 改正案에 導入된 이동형 映像情報處理機器에 注目해야 하는 理由는 무엇인가.

“旣存 法은 特定 場所, 特定 建物에 附着돼 있는 固定型 映像機器(CCTV)만 規律하고 있어 自律走行車, 드론, 配達로봇, 보디캠처럼 移動하면서 撮影하는 境遇는 ‘灰色地帶’였다. 灰色地帶란 個人情報 處理 方式이 적합한지 아니지 判斷이 模糊한 狀態를 말한다. 改正法律에서는 이동형 映像情報處理機器의 槪念을 導入하고, 이동형 映像情報處理機器로 撮影하려면 情報主體의 同意를 받았거나 撮影 事實을 알고도 拒否 意思를 밝히지 않은 境遇에 許容할 수 있으며 撮影 時 불빛, 소리, 案內板 等으로 撮影 事實을 標示하도록 하는 等 移動型 機器의 特性을 反映한 合理的인 運營 基準을 마련했다. 向後 AI, 生體認識, 스마트都市 等 個人情報를 活用하는 새로운 技術 및 서비스의 登場으로 旣存과 다른 樣相의 個人情報 侵害 이슈가 繼續 發生할 것이고 그럴수록 技術 發展과 環境 變化 等을 모니터링하고 가이드라인을 마련하는 것도 個人情報委의 役割이다.”

個人情報 保護·監督 機能을 統合 管理하는 中央行政機關임에도 個人情報委의 存在와 機能에 對해 모르는 國民이 많다.

“올해 初 國家人權委員會가 遠隔 얼굴認識 技術이 人權侵害의 危險性이 있으니 基本權이 侵害되지 않도록 關聯 法이 마련될 때까지 公共場所에서 遠隔 얼굴認識 技術을 活用하지 않도록 措處하라고 國務總理에게 勸告했다. 顔面認識이라고도 하는 이 技術이 國民의 프라이버시를 毁損하는 方向으로 쓰일 수 있으니 곧바로 導入하지 말고 一旦 어떤 方式의 統制 裝置가 必要한지 苦悶해 달라는 것이다. 이런 勸告가 들어오면 政府 部處들 사이에서 어디에서 後續 作業을 할지 議論하게 되는데 基本的으로 우리 委員會가 맡게 될 可能性이 높다. 顔面認識 프로그램의 作動 原理는 實時間으로 作動하는 카메라가 앞에서 누군가 얼굴을 보며주면 데이터베이스의 寫眞과 同一人인지 아닌지 確認하는 것이다. 建物 出入 때 確認하는 用途로 많이 쓰이나 犯罪 手配者나 容疑者를 찾는 데 쓰이기도 하고, 一部 國家에서는 ‘査察’用으로 쓰이기도 한다. 같은 技術이라도 査察用으로 쓰인다면 社會的으로 容認하기 어려울 것이다. 그런 일에 對해 가르마를 타는 것이 우리 委員會의 役割이다.”

끝으로 고 委員長은 “데이터 領域에서 韓國은 國際社會가 注目하는 나라”라고 强調했다.

“現實的으로 人工知能 技術은 美國이 先導하고 있고 個人情報 領域의 規律 體系는 美國式과 유럽式이 存在하는데 이 둘 말고 아시아圈으로 눈을 돌리면 第一 눈에 띄는 나라가 韓國이다. 韓國은 固有의 言語와 플랫폼, 적지 않은 規模의 自體 市場을 갖고 있다. 스마트폰과 태블릿_ 普及率도 대단히 높은 얼리어답터의 나라로서 데이터 活用 서비스에 對한 期待感이 큰 反面 情報 流出이나 프라이버시 侵害에 對한 敏感度度 대단히 높다. 그런 理由로 데이터 産業의 領域에서 韓國은 美國, 유럽 國家들과 어깨를 맞대고 論議하는 位置에 있다. 特히 글로벌 빅테크의 個人情報保護法 違反에 對해 積極的으로 調査하고 處分하는 等 韓國의 個人情報 關聯 法과 制度·執行 및 監督 體系에 對해 國際的인 關心이 모이고 있다. 國際會議에 가면 參加者들이 늘 韓國 狀況을 궁금해한다. ‘글로벌 規範을 主導하는 個人情報 先導國家 實現’李 決코 口號로 끝나지 않는다는 것을 보여줄 생각이다.”