[W포럼]개인정보 규제 패러다임의 전환

플랫폼·데이터 경제, 4차 산업혁명 등 현 시대를 지칭하는 어떠한 상황에도 데이터 활용은 필수적이다. 특히 산업계에서 필요한 데이터의 약 70~80%가 개인정보라고 한다. 그럼에도 불구하고 작금의 개인정보 규제는 ‘활용’보다는 강력한 ‘보호’에 초점이 맞춰졌다.

그러나 ‘개인정보’를 보호하는 근원은 개인정보 자체가 아니라 개인정보 자기결정권에 근거한 정보주체의 인격권이다. 이러한 정보주체의 권리와 무관한 ‘개인정보’ 자체에 대한 맹목적·무분별한 보호는 지양돼야 한다. 이러한 관점에서 우선 정보주체의 권리침해 가능성이 미미한 개인정보 활용은 허용될 필요가 있다. 그 대표적인 예가 인공지능(AI) 학습용 데이터로서 개인정보의 활용이다. AI가 제 기능을 발휘하기 위해서는 데이터에 기반한 학습이 필수적이다. 충분한 데이터가 필요하다.

그러나 우리 ‘개인정보보호법’에 의하면 일일이 정보주체의 동의를 받거나, 모델을 고용해서 동의를 받고 촬영하는 방법밖에 없다. 이 경우 정보주체의 권리침해 가능성이 미약함에도 불구하고 충분한 양적·질적 개인정보의 획득은 요원하다. 작년 네이버가 라인 메신저, 스노우 등을 서비스하면서 중국의 안면인식 AI기업인 ‘센스타임’의 기술을 사용한 것도 우리의 이러한 엄격한 개인정보 보호 규제와 무관하지 않다. 개인정보보호위원회(개인정보위)의 감독하에 정보주체의 동의 없이도 AI 학습용 데이터로 개인정보를 활용하는 방안이 필요하다.

다음으로 온라인 플랫폼이 부담해야 하는 개인정보 처리 범위의 합리화다. 지난 8일 서울행정법원은 G마켓과 네이버가 개인정보위를 상대로 낸 시정명령 취소 소송에서 원고 승소로 판결했다. G마켓과 네이버 등 오픈마켓 사업자는 ‘개인정보보호법’상 소속 임직원 등 개인정보취급자에 대한 관리·감독 의무가 발생하는데, 개인정보위는 입점 사업자를 임직원 등과 같은 개인정보취급자로 보아 이들에 대한 개인정보 관리·감독 의무를 이행하지 아니한 것에 대하여 과태료와 시정명령 처분을 부과했다. 그러나 입점사업자는 오픈마켓 사업자의 관리·감독을 받는 임직원 등이 아니다. 따라서 이들에 대한 관리·감독 의무가 없다는 취지의 판결로 G마켓과 네이버가 승소했다.

개인정보위의 시정명령과 전자상거래법 개정안처럼 오픈마켓 등이 입점업체 또는 이용자 간 거래의 개인정보를 모두 처리하도록 한다면 이들이 오히려 민간영역의 ‘빅브라더’가 될 것이다. 이는 개인정보의 ‘보호’와 요원한, 오히려 거래의 부담만 증가시키며 사업자와 정보주체 모두에게 해롭다.

우리 사회의 개인정보 보호에 대한 민감성은 상당히 높아지고 있다. 2000년대 초 ‘빅브라더’ 논란으로 ‘전자주민증’과 ‘교육행정정보시스템(NEIS)’이 무산됐다. 최근 ‘이루다’ 사건에서 보듯 개인정보 보호조치를 제대로 하지 않는 기업은 영업 자체가 불가능하다. 개인정보 보호 비친화적 기업이나 정부 정책은 시민으로부터 외면당하거나 시장에서 발붙이기 힘들게 됐다.

이제 ‘처벌’ 중심의 강력한 공적 규제보다는 건전한 시장과 성숙한 시민에 걸맞은 자율규제를 시도할 시기다. 최근 개인정보위가 ‘민관협력 자율규제’의 첫 성과물로 10개 온라인쇼핑 중개 플랫폼이 참여하는 민관협력 자율규제 규약을 마련했다. 그러나 우리나라에서 대부분의 ‘민관협력’은 ‘자율’보다는 ‘관(官)’ 주도였다. 시장의 탄력을 증진하고 정보주체의 권리보장에 실질적으로 기여하는 진정한 의미의 ‘자율규제’가 실현돼야 할 것이다.

김현경 서울과기대 IT정책전문대학원 교수

유현석 기자 guspower@asiae.co.kr