2020년 2월 10일 Vol. 20 No. 3

ISSN 1976-0515

미국 개인정보보호법 입법 동향:

국내 개정법과의 비교 및 시사점

이규엽  무역통상실 무역투자정책팀 팀장 (kylee@kiep.go.kr, Tel: 044-414-1233)

엄준현  무역통상실 무역투자정책팀 전문연구원 (jheom@kiep.go.kr, Tel: 044-414-1149)

미국 개인정보보호법 입법 동향: 국내 개정법과의 비교 및 시사점

KIEP

오늘의세계경제

2020.2.10

오늘의 세계경제 ㅣ 2011. 4.11

-

차  례

1. 개요

2. 미 연방 차원의 입법 논의 배경

3. 미 입법안과 한국 개정 법률의 주요 내용

4. 주요 쟁점과 평가

5. 시사점

주요 내용

▶ 2020년 1월 1일 미 캘리포니아 주에서 「소비자보호법(CCPA)」이 발효되고, 연방정부 차원의 「개인정보보호법」 입법 요구도 높아지는 가운데, 제안된 연방 법률안에 대한 논의가 상원에서 진행 중

- 미국에는 데이터 보호를 일반적으로 규율하는 연방 법률이 없으며, 교육, 통신, 보험 등 분야별 연방 법률이 있을 뿐임.

▶ 한국은 「개인정보보호법」·「신용정보법」·「정보통신망법」을 통칭하는 이른바 ‘데이터 3법’이 2020년 2월 4일 개정되어 8월 5일 시행될 예정

- 「개인정보보호법」(개정)의 주요 내용은 ① 가명정보 개념 도입 및 활용 허용 ② 활용과 관련한 안전장치 마련 ③ 개인정보보호위원회를 중앙행정기관으로 격상 및 기능 강화임.

- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(개정)의 주요 내용은 개인정보 관련 내용을 「개인정보보호법」으로 이관임.

- 「신용정보의 이용 및 보호에 관한 법률」(개정)의 주요 내용은 ① 금융분야 빅데이터 분석ㆍ이용의 법적 근거 명확화 ② 「개인정보보호법」 등과의 유사ㆍ중복 조항 등의 정비 등임.

▶ 한국의 개정 법률 내용과 미 연방 법률안을 비교하면 가명정보의 정의 및 처리 허용 여부 명확화, 정보 이동권과 알고리즘 의사결정 관련 권리의 일반적 적용 허용 여부에서 차이를 보임.

- [가명정보] 우리나라의 「개인정보보호법」은 가명정보의 정의, 가명정보의 처리에 관한 특례가 규정되어 있는 반면, 미국의 법률안들은 가명정보와 익명정보의 구별 없이 비식별정보로 분류했으며, 비식별정보를 개인정보로 포함할 것인지에 대해서는 법안별로 입장이 다름.

- [정보 이동권과 알고리즘 의사결정 관련 권리] 우리나라의 개정 법률에는 신용정보에 대해서만 적용되도록 규정한 반면, 미국의 법률안에는 신용정보 이외의 분야에서도 일반적 적용을 인정

▶ 데이터 3법 관련 후속조치를 마련하기 전까지 우리 정부는 가용한 여러 채널을 동원하여 데이터 3법의 보완점과 개선점에 대한 공론화 과정을 거칠 필요

- 세계 디지털 통상규범 형성에 있어 미국의 역할을 고려할 때, 미 연방 차원의 개인정보보호 법안 논의 동향을 지속적으로 모니터링할 필요

1. 개요

미국 개인정보보호법 입법 동향: 국내 개정법과의 비교 및 시사점

KIEP

오늘의

세계경제

2020.2.10

■ 미 연방정부 차원에서 논의 중인 개인정보보호 관련 법안들을 검토하고, 최근 개정된 한국의 데이터 3법과 간단히 비교하고 시사점을 살펴보는 것은 다음의 세 가지 측면에서 의미가 있음.

- 첫째, 미 연방 차원의 법안 논의는 한국이 디지털 경제를 활성화하고 인공지능 기술의 선도국가로 거듭나기 위해 선제적으로 고민해야 할 논의 주제의 방향성을 내포

- 둘째, 미 연방 차원의 법안 논의는 한국이 개정한 데이터 관련법을 지속해서 정비해나가는 데 참고할 만함.

- 셋째, 미국은 FTA와 WTO를 통한 디지털 통상규범 논의 과정에서 규범을 형성하는 역할을 수행할 것이므로 미 연방 차원의 법안 검토는 그 자체로 중요하며, 향후 전개될 디지털 통상규범의 전개 방향을 가늠해볼 수 있는 단초를 제공

■ 미 캘리포니아 주의 「소비자보호법(CCPA)」이 2020년 1월 1일 발효됨에 따라 미 연방 차원의 개인정보보호를 위한 입법 요구가 높아지는 가운데, 데이터와 프라이버시를 규율하기 위한 연방 법률안이 제안되어 상원에서 논의 중

- 미국에는 데이터 보호를 일반적으로 규율하는 연방 법률이 없으며, 교육, 통신, 보험 등 분야별 연방 법률이 있을 뿐임.

“Data Protection Law: An Overview”(2019. 3. 25), p. 69, Congressional Research Service, https://fas.org/sgp/crs/misc/R45631.pdf (검색일: 2020. 1. 15).

- 제안된 법안들에는 우리나라 법률에는 없는 새로운 내용도 다수 포함되어 있어 살펴볼 가치가 있음.

■ 한국은 2020년 1월 9일 「개인정보보호법」·「신용정보법」·「정보통신망법」을 통칭하는 ‘데이터 3법’ 개정안이  국회를 통과, 1월 28일 국무회의에서 공포안이 의결됨에 따라 8월 5일 시행될 예정

본회의 표결에서 개인정보보호법 일부 개정안은 재석 151인 중 찬성 116인, 반대 14인, 기권 21인, 「신용정보법」 일부개정안은 재석 152인 중 찬성 114인, 반대 15인, 기권 23인, 「정보통신망법」 일부개정안은 재석 155인 중 찬성 137인, 반대 7인, 기권 11인으로 각각 가결됐음.

｢데이터 3법, 국회 본회의 표결서 진통 끝 통과｣(2020. 1. 9), 『지디넷코리아』, http://www.zdnet.co.kr/view/?no=20200109195258(검색일: 2020. 1. 15).

- 데이터 3법 개정을 둘러싼 논란이 여전히 첨예하게 대립 중이며, 데이터 3법 개정에 대한 국민(특히 소비자)의 이해와 공감대가 불충분한 실정임.

■ 본고에서는 개인의 권리, 기업의 의무, 알고리즘(인공지능 기술의 편향성), 개인정보보호 감독기구의 역할 등을 포함하여 데이터 관련법의 미비점을 보완하기 위해 미 연방차원의 「개인정보보호법 입법안 논의와 한국의 개정 법률안을 비교 검토하고 쟁점 사항을 살펴본 후 시사점을 도출함.

2. 미 연방 차원의 입법 논의 배경

■ 미국 전역에서 데이터 유출(data breach)이 지속적으로 증가하고 미국 내 거대 디지털 기업이 소비자의 정보를 무단 이용하는 사례가 알려지면서 미국 소비자들의 데이터와 프라이버시 보호에 대한 요구가 확산

- 단적으로 2017년 7월 29일 신용조사기관인 이퀴팩스(Equifax)에서 발생한 데이터 유출(1.46억 소비자 개인정보) 사고와 2018년 3월 17일 무단으로 이전된 페이스북(Facebook) 이용자 정보가 미 대선 맞춤형 광고에 활용된 사례 등이 미국사회에 큰 반향을 일으킴(이규엽, 강민지 2019).

미 소비자들이 개인정보보호에 대한 추가적인 법적 보호장치 마련을 요구함(Pew Research 2016).

■ 소비자 프라이버시(privacy), 정보 보안(security), 아동 온라인 프라이버시 등에 대한 감독과 규제 기능을 수행하는 미 연방거래위원회(FTC)의 권한과 자원 부족에 대한 문제점 지적 지속

- 프라이버시 고지 내용과 다르게 소비자 정보를 활용하는 기업에 대한 벌금 부과 권한이 미 연방거래위원회에 있지만 집행력을 강제하기에 벌금 수준이 낮으며, 미 전역의 디지털 혁신기업과 금융·신용 기관을 감독하고 소비자 정보침해 여부를 판단할 만한 숙련된 기술전문가 등 인력이 부족한 상황(이규엽, 강민지 2019)

■ EU가 「개인정보보호법」에 해당하는 GDPR을 발효(2018. 5. 25)함에 따라 미 기업도 영향권에 놓임.

- EU가 발효한 「개인정보보호법(General Data Protection Regulation)」은 기존 「개인정보보호지침(Directive, 1995)」을 대체하는 것으로, 개인정보 보호권과 기업의 데이터 활용 관련 책무를 대폭 강화했을 뿐 아니라 EU 내 사업장이 없는 해외기업까지도 EU GDPR의 규정을 준수할 것을 규정하는 역외적용을 채택

■ EU GDPR 도입 및 발효는 미 캘리포니아 주정부가 「소비자보호법」인 CCPA를 통과하는(2018. 6. 29) 과정에 영향을 미친 것으로 추정되며, 해당 법안은 2020년 1월 1일부터 발효됨.

- 미 주정부로서는 처음으로 캘리포니아에서 「소비자보호법」인 CCPA(California Consumer Privacy Act)가 통과되었는데, EU GDPR과 유사한 조항을 다수 포함

■ 미국은 CCPA 통과 이후 현재까지 연방정부 차원의 「개인정보보호법」 입법을 위해 각계각층의 의견을 수렴하고 조율해 나가면서 양당간 합의에 근거한 입법안 도출을 위해 논의를 지속함.

- 「소비자 온라인 프라이버시권 법(Consumer Online Privacy Rights Act)」은 마리아 캔트웰(Maria Cantwell) 미 상원의원(민주당, 워싱턴 주)이 2019년 12월 3일 제안, 같은 날 상원 통상·과학·교통 위원회에 회부됨.

- 「2019년 온라인 프라이버시권 법(Online Privacy Act of 2019)」은 안나 에슈(Anna G. Eshoo) 미 상원의원(공화당, 캘리포니아 주)이 2019년 11월 5일 제안, 12월 18일 하원 에너지·통상·법사 위원회에 회부됨.

- 「프라이버시 권리장전 법(Privacy Bill of Rights Act)」은 에드 마키(Edward Markey) 미 상원의원(민주당, 매사추세츠 주)이 2019년 4월 11일 제안, 같은 날 상원 통상·과학·교통 위원회에 회부됨.

- 「데이터 프라이버시 법(DATA Privacy Act)」은 캐서린 코테즈 매스토(Catherine Cortez Masto) 미 상원 의원(민주당, 네바다 주)이 2019년 2월 27일 제안, 같은 날 상원 통상·과학·교통 위원회에 회부됨.

3. 미 입법안과 한국 개정 법률의 주요 내용

가. 미 입법안의 주요 내용

■ 민주당 측 법안 중에서는 마리아 캔트웰 상원의원의 「소비자 온라인 프라이버시권 법」(안)을, 공화당 측 법안으로는 안나 에슈 상원의원의 「2019년 온라인 프라이버시권 법」(안)을 상호 비교함.

- 민주당 캔트웰 상원의원의 법안은 선행연구에서도 중요하게 다루어졌고, 공화당 에슈 상원의원의 법안은 데이터에 관한 연방법(안)으로서 공화당 측에서 가장 최근에 제안한 법률안임.

“Game on: What to make of Senate privacy bills and hearing”(2019. 12. 3), Cameron F. Kerry, Brookings Institution, http://www.brookings. edu/blog/techtank/2019/12/03/game-on-what-to-make-of-senate-privacy-bills-and-hearing/(검색일: 2020. 1. 16).

■ [공통점] 두 법안은 개인의 권리, 기업의 의무, 알고리즘에 관한 규정에서 공통점이 있음.

- 개인이 갖는 권리의 내용으로 접근권, 삭제권, 정정권, 이동권 등을 규정

- 기업의 의무로는 필요 최소한의 데이터 처리 및 유지 의무, 위험평가 의무 등을 규정

- 두 법안 모두 알고리즘 또는 자동화된 의사결정과 관련된 권리 및 의무를 규정

■ [차이점] 두 법안은 적용대상 데이터의 범위, 집행기관, 알고리즘 관련 규정에서 차이가 있음.

- 적용대상 데이터에 관해 「소비자 온라인 프라이버시권 법」(안)은 ‘개인 또는 소비자 전자기기를 식별 또는 연결하는(또는 합리적으로 연결 가능한) 정보’라고 정의하면서 비식별정보는 제외

- 반면 「2019년 온라인 프라이버시권 법」(안)은 ‘적용대상 데이터에 대한 정의 규정 없이 공개 행위에 대한 정의에서 개인정보 및 통신 내용과 관련이 있다’고 정의할 뿐이며, 특히 개인정보에 대한 정의에서 비식별정보가 개인정보에 포함된다고 규정

-  집행기관으로서 「소비자 온라인 프라이버시권 법」(안)은 미 연방거래위원회(FTC: Federal Trade Commission)를 규정한 반면, 「2019년 온라인 프라이버시권 법」(안)은 미 디지털 프라이버시국(United States Digital Privacy Agency)을 규정

- 알고리즘과 관련하여, 「소비자 온라인 프라이버시권 법」(안)은 알고리즘 의사결정에 관한 정의는 물론 알고리즘 공정성 등에 대한 적용대상 주체의 설명 및 평가 의무를 규정

- 반면 「2019년 온라인 프라이버시권 법」(안)은 알고리즘 대신 ‘자동화된 의사결정 과정’이라는 용어를 사용하면서도 정의 규정은 두지 않았는데, 인간에 의한 재검토를 요구할 권리까지 보장한 것이 차이점임.

나. 한국 개정 법률의 주요 내용

■ [개인정보보호법] 개정 법률의 주요 내용은 ① 가명정보 개념 도입 및 활용 허용 ② 활용과 관련한 안전장치 마련 ③ 개인정보보호위원회를 중앙행정기관으로 격상 및 기능 강화 ④ 「정보통신망법」에서의 개인정보보호 관련 규정 삭제임.

- 첫째, 개인정보와 관련된 개념체계를 개인정보, 가명정보, 익명정보로 명확히 하고, 가명정보는 통계 작성, 과학적 연구, 공익적 기록보존의 목적으로 처리할 수 있도록 하며, 서로 다른 개인정보처리자가 보유하는 가명정보는 대통령령으로 정하는 보안시설을 갖춘 전문기관을 통해서만 결합할 수 있도록 하고, 전문기관의 승인을 거쳐 반출을 허용

- 둘째, 가명정보를 처리는 경우에는 관련 기록을 작성·보관하는 등 대통령령으로 정하는 안전성 확보조치를 하도록 하고, 특정 개인을 알아보는 행위를 금지하는 한편, 이를 위반하는 경우 형사처벌, 과징금 등의 벌칙을 부과하도록 함.

- 셋째, 개인정보보호위원회를 국무총리 소속 중앙행정기관으로 격상하는 한편, 현행법상 행정안전부 및 방송통신위원회의 개인정보 보호 관련 기능을 개인정보보호위원회로 이관하여 개인정보 보호 컨트롤타워 기능을 강화

- 넷째, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」의 개인정보보호 관련 규정을 삭제하면서, 국외 이전 시 보호조치, 국외 재이전, 국내대리인, 손해배상 보험 등 현행법과 상이하거나 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에만 있는 규정을 특례로 규정

■ [정보통신망법] 개정 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」의 주요 내용은 개인정보 관련 내용을 「개인정보보호법」으로 이관하는 것임.

- 과학기술정보방송통신위원회는 개인정보보호법 일부개정법률(대안)에 대해 6개의 의견(후술)을 첨부하여 법제사법위원회에 송부하기로 의결

■ [신용정보법] 개정 「신용정보의 이용 및 보호에 관한 법률」의 주요 내용은 ① 금융분야 빅데이터 분석ㆍ이용의 법적 근거 명확화 ② 「개인정보보호법」 등과의 유사ㆍ중복 조항 등의 정비 ③ 본인신용정보관리업(MyData)의 도입 등임.

- 첫째, 더 이상 특정 개인을 알아볼 수 없도록 개인신용정보를 처리하는 익명조치에 대해서는 금융위원회가 지정하는 데이터 전문기관의 적정성 평가를 거친 경우에는 더 이상 특정 개인을 알아볼 수 없도록 처리된 정보로 추정하여, 금융회사 등의 빅데이터 활용에 따른 법적 불확실성을 해소

- 둘째, 개인신용정보의 처리, 그 업무의 위탁, 유통 및 관리와 신용정보주체의 보호에 대하여 일반법인 「개인정보보호법」의 일부 규정을 금융분야에 맞게 특별법인 이 법에 수용하거나 일반법과 특별법의 적용관계를 보다 명확하게 규정하고, 유사하거나 중복적으로 규정하고 있는 내용에 대해서는 「개인정보보호법」의 해당 조문을 적용하도록 하는 등 현행 개인정보보호 체계를 보다 효율화하도록 정비

- 셋째, 개인인 신용정보주체의 신용관리를 지원하기 위하여 본인의 신용정보를 일정한 방식으로 통합하여 그 본인에게 제공하는 행위를 영업으로 하는 본인신용정보관리업을 도입하고, 본인신용정보관리업을 하려는 자는 금융위원회로부터 허가를 받도록 함.

다. 한국의 개정 법률과 미 입법안의 비교 분석

■ [가명정보] 우리나라의 개정 법률에서는 가명정보에 대한 정의, 가명정보의 처리에 대한 특례가 규정되어 있는 반면, 미국의 법률안에서는 가명정보와 익명정보의 구별 없이 비식별정보로만 구별됨.

- 우리나라의 「개인정보보호법」 개정안은 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보를 가명정보로 정의하면서 개인정보의 하나로서 포함하였고, 통계 작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 개인정보처리자가 가명정보를 처리하는 것을 허용

- 한편 캔트웰 법안의 경우 특정 개인, 가정, 또는 개인기기에 관한 정보를 알아내기 위해 합리적으로 사용될 수 없는 정보를 비식별 데이터(De-identified Data)라고 정의했고, 적용 대상 데이터에서 제외

- 반면 에슈 법안의 경우 개인정보를 특정 개인 또는 개인기기에 연결되거나 연결될 수 있는 정보로 정의하면서, 비식별정보는 물론 행태적 개인화*를 위한 수단까지 포함한 것이 특징임.

◦ 행태적 개인화(behavioral personalization)는 개인의 행위에 영향을 미치거나 개인맞춤형 상품 또는 서비스를 제공하거나 또는 콘텐츠가 개인에게 접근할 수 있도록 분류하기 위한 목적으로, 일정 기간 수집된 개인정보 또는 비슷한 상황에 놓인 개인들의 취합된 정보를 알고리즘, 모델, 또는 기타 수단을 통해 처리하는 것을 의미함.

■ [정보 이동권] 우리나라의 개정 법률에는 정보 이동권에 대한 일반적인 규정 없이 신용정보에 대해서만 이를 인정한 반면, 미국의 법률안에는 정보 이동권에 관한 일반적인 규정이 포함됨.

- 우리나라의 「신용정보법」(개정)에서 개인인 신용정보주체가 정보제공·이용자 등에 대해 본인의 개인신용정보 전송을 요구할 수 있도록 규정함으로써 신용정보에 대한 정보 이동권이 신설되었음.

- 그러나 우리나라의 「개인정보보호법」(개정)에는 정보 이동권에 관한 명시적 규정이 없기 때문에, 신용정보가 아닌 다른 정보와 관련해서는 아직 정보 이동권이 허용되지 않음.

◦ 우리 법은 열람이 ‘사본의 발급을 포함’한다고 규정하므로 전자적 형태도 사본이라고 적극적으로 해석하여 이에 대해 열람권을 행사하고 명시적 규정이 있는 삭제권과 결합하여 행사하는 경우 결과적으로 정보 이동권과 유사한 효과를 기대할 수도 있지만, 열람의 방법을 정하도록 위임받은 「개인정보보호법 시행령」에서 개인정보처리자가 ‘서면, 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공할 것’을 규정했기 때문에 해석을 통한 해결 가능성이 현재로서는 낮다고 판단됨.

◦ 법률에 비해 상대적으로 개정이 용이한 시행령을 통해 정보 이동권을 보장하는 방안도 생각해볼 수 있으나, 이를 위해서는 먼저 열람권의 대상이 되는 정보를 개인정보의 목록으로 규정하는 미국의 법률안들과 달리 개인정보 그 자체도 포함되는 것으로 보는 「EU 개인정보보호법」(GDPR)과 같은 입장을 취하는 것으로 우리나라의 입장을 명확히 정리하는 경우에 가능할 것임.

- 반면 미국 캔트웰 법안의 경우, 개인정보 주체의 요청에 따라 개인정보를 반출할 때 인간이 인식할 수 있는 형태와 기계로 판독이 가능한 형태 두 가지 모두로 제공할 의무가 적용대상 주체에 있음을 명시

- 한편 미국 에슈 법안의 경우, 여기서 더 나아가 개인정보 주체가 자신의 개인정보를 다운로드하여 다른 적용대상 주체에게 전송할 수 있는 합리적인 체제를 제공할 의무가 적용대상 주체에 있음을 명시

■ [알고리즘 의사결정] 우리나라의 개정 법률에는 신용정보 분야에서만 자동화평가에 대한 정보주체의 권리를 규정하는 반면, 미국의 법률안에는 모든 분야에 일반적으로 적용되는 알고리즘 관련 규정이 있음.

- 우리나라의 「개인정보보호법」(개정)에는 알고리즘 의사결정 또는 자동화된 처리에 관한 규정이 없음.

- 다만 우리나라의 「신용정보법」(개정)에는 개인인 신용정보주체는 개인신용평가회사 등에 자동화평가 여부·결과·주요 기준·기초정보에 대한 설명을 요구, 자신에게 유리하다고 판단되는 정보의 제출, 기초정보 정정 및 삭제, 자동화평가 결과 재산출을 요구할 수 있는 근거가 규정됨.

- 미국 캔트웰 법안의 경우, 의사결정을 내리거나 사람의 의사결정을 용이하게 하는 계산 프로세스로서 기계 학습, 통계, 또는 기타 데이터 처리 및 인공지능 기술에서 유래된 것을 포함하는 것으로 알고리즘 의사결정을 정의하고, 알고리즘 의사결정에 관여하는 주체에게 설계 및 훈련데이터를 포함한 알고리즘 의사결정 개발을 설명하고 평가할 영향평가를 매년 수행할 의무를 부과

- 미국 에슈 법안은 자동화된 의사결정 처리의 목록에 대한 정보 접근권과 더불어 자동화된 처리에만 근거한 결정이 정보주체에 중대한 손해를 끼칠 것이 합리적으로 예상되는 경우, 적용대상 주체가 이 사실을 정보주체에게 알리고 요청에 따라 결정에 대한 인간의 검토를 수행할 의무를 부과

4. 주요 쟁점과 평가

가. 주요 쟁점

■ 2019년 9월 11일 미국 브루킹스연구소에서 개최된 회의에 참석한 시민·사회단체들은 쟁점별로 다양한 이견을 보였지만, 의견의 일치를 이룬 것으로 보이는 부분도 일부 있었음.

- 시민·사회단체들이 의견의 일치를 이룬 것으로 보이는 부분은 ① 연방 법률이 소비자와 관련 산업 모두에게 혜택을 부여해야 한다는 점, 그리고 ② 개인정보 관련 권리의 고지에만 의존하여 소비자를 보호할 것이 아니라 연방 법률이 허용하는 방식을 명확히 규정해야 한다는 점이었음.

- 인텔(Intel) 사(社)와 ‘민주주의와 기술을 위한 센터(Center for Democracy and Technology)’를 포함한 단체들은 알고리즘 차별을 완화하기 위한 조항이 포함된 프라이버시 프레임 초안을 배포.

- 개인정보를 침해한 기업을 개인이 직접 제소할 수 있도록 허용할 것인지에 대해서는 참석자들 사이에 견해가 나뉘었음.

■ 미국 브루킹스연구소의 카메론 케리(Cameron Kerry) 선임연구원은 다양한 세부 쟁점들을 복잡성과 합의가능성이라는 기준에 따라 크게 ① 이행 관련 쟁점 ② 해결 가능한 쟁점 ③ 해결이 어려운 쟁점 ④ 해결이 가장 어려운 쟁점  네 가지 쟁점 영역으로 분류

- 예컨대 자신의 개인정보에 대한 접근, 정정, 삭제, 이동권은 복잡성이 낮고 합의 가능성이 높은 쟁점 영역으로 분류된 반면, 개인의 제소권 허용 여부는 복잡성이 높고 합의 가능성도 낮은 쟁점 영역으로 분류

그림 1. 미국에서의 쟁점별 난이도 분류

자료: “Highlights: Where stakeholders fall in the privacy debate”(2019. 9. 17), Chin, Caitlin and Marla Odell, Brookings Institution, https://www.brookings.edu/blog/techtank/2019/09/17/highlights-where-stakeholders-fall-in-the-privacy-debate/#cancel(검색일: 2020. 1. 20).

■ [개인정보보호법] 국가인권위원장의 성명 및 국회 본회의에서의 반대 토론 등 「개인정보보호법」 개정안에 대한 우려 및 반대 의견이 제기되었으며, 주로 가명정보의 활용과 관련이 있음.

- 국가인권위원장은 2020년 1월 15일 보도자료를 통해 국회 본회의를 통과한 「개인정보보호법」 등 이른바 데이터 3법 개정이 정보인권 보호에 대한 충분한 논의 없이 이루어졌다며 유감 표명

「｢개인정보보호법｣ 등 ‘데이터 3법’ 국회 통과에 대한 국가인권위원장 성명」(2020. 1. 15), 국가인권위원회, p. 1, https://www.humanrights.go.kr /siteprogram/board/basicboard/view?menuid=001004002001&pagesize=10&boardtypeid=24&boardid=7604976(검색일: 2020. 1. 28).

◦ 국가인권위원장은 주민등록번호 제도를 시행 중인 우리나라의 경우 가명정보를 결합·활용하는 과정에서 특정개인을 재식별할 가능성이 있어 가명 개인정보의 오남용 가능성이 큼에도 불구하고, 정보주체 본인의 동의 없이 가명정보를 활용할 수 있는 과학적 연구의 정의에 민간투자 연구가 규정된 점 등 국가인권위원회가 그간 지적한 부분들이 해소되지 않은 채 법률개정안에 포함되었음을 지적

- 2020년 1월 9일 「개인정보보호법」 일부개정안에 대한 국회 본회의 반대 토론에서, 시민사회는 학술연구로 제한할 것을 주장하였으나 개정안에는 사실상 모든 연구로 확대된 점과 해커톤에서 합의되지 못한 데이터 결합이 허용된 된 점을 대표적인 문제로 지적

「제374회 국회(임시회) 국회본회의회의록  제2호」(2020. 1. 9), 국회사무처, pp. 49~50, http://likms.assembly.go.kr/bill/billDetail.do?billId= PRC_L1Y9A1T1D2G5C1D8U1C3A3N5L7A6C1(검색일: 2020. 1. 27).

◦ 2018년 4월 3~4일 개최된 제3차 규제·제도 혁신 해커톤 결과, ① 가명정보를 당초 수집 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있으며, 산업적 연구 목적이 포함될 수 있다는 점에 합의했으나 연구의 범위에 대한 이견으로 참석자들이 지지하는 표현은 ‘학술 연구’와 ‘학술 및 연구’로 나뉘었으며 ② 데이터 결합의 구체적인 방안에 대해 시민단체는 민간기업이 보유한 개인정보의 연계·결합 불허를 주장한 반면, 산업계는 인가 받은 제3자를 통한 결합의 허용을 주장하여 합의에 이르지 못하였음.

「제3차 규제제도혁신 해커톤 개최 결과」(2018. 4. 6), 4차산업혁명위원회, pp. 3~5, https://www.4th-ir.go.kr/pressRelease/detail/57?category =report(검색일: 2020. 1. 28).

■ [정보통신망법] 국회 과학기술정보방송통신위원회는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 개정안(대안)에 대해 6개의 의견을 첨부하여 법제사법위원회로 송부

｢정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안(대안)｣(2019. 12. 4), 과학기술정보방송통신위원장, http://likms.assembly.go.kr  /bill/billDetail.do?billId=PRC_F1L9C1M2N0G4U1B6E2Q2R4X9C8J7C8(검색일: 2020. 1. 9).

- 6개 의견 사항은 ① 개인정보처리자와 정보통신서비스 제공자의 용어 개념에 대한 명확성 제고 ② 개인정보 보호법 개정안 제28조의2 제1항(통계 작성, 과학적 연구 등을 위한 정보주체의 동의 없는 가명정보 처리 허용)에 대한 조건 추가 ③ 개인정보 프로파일링의 정의 신설 ④ 제28조의4 제1항 위반에 대한 법리적 차원의 개선 ⑤ 제28조의4 제2항 위반에 대한 처벌 수준의 개선 및 ⑥ 제28조의5 제1항의 처벌 요건 개선임.

■ [신용정보법] 국회 정무위원회가 제안한 「신용정보의 이용 및 보호에 관한 법률」 개정안(대안)에 대해 국회 본회의에서 반대 토론이 있었음.

「제374회 국회(임시회) 국회본회의회의록 제2호」(2020. 1. 9), 국회사무처, pp. 50~51, http://likms.assembly.go.kr/bill/billDetail.do?billId=   PRC_F1L9C1M2N0G4U1B6E2Q2R4X9C8J7C8(검색일: 2020. 1. 15).

- 반대 토론에서 ① 대규모 정보 유출 사고에 대한 반성적 조치였던 신용정보회사의 겸업을 공공 목적의 업무로 제한한 조치가 환원된 점 ② SNS에 올린 표현물들을 신용정보회사가 신용평가를 위해 동의 없이 활용할 수 있도록 허용한 점 ③ 금융감독위원회에 과도한 권한이 집중된 점 ④ 「개인정보보호법」과의 중복되는 규정이 다수 포함된 결과 이중규제의 위험 및 낮은 예측가능성이 있는 점을 대표적인 문제점으로 제기

나. 평가: 건설적 비판(constructive criticism)을 중심으로

■ [공감대 형성 부족과 소비자, 시민단체의 우려] 가명정보 개념을 도입하여 데이터 활용을 촉진하려는 전략이 특정 산업(금융, 의료 등)에 치우치는 경향이 있으며, 민감정보 오용에 대한 소비자 우려를 완화·불식하기 위한 기업의 법적 장치 보강과 이에 기초한 설득 과정이 불충분

데이터 3법 개정의 핵심은 소비자의 개인정보를 활용하는 데 있음을 고려할 때 입법자들이 국민에게 데이터 관련법 개정의 취지를 설명하고 미비점을 논의하며 충분한 공감대를 이끌어내려는 노력이 필요했음.

- [개정안 통과 전] 국민 다수가 데이터 3법 개정 논의를 모른다는 여론조사 결과가 있었는가 하면, 국가공익위원회의 우려와 함께 여러 시민단체가 (가용정보 활용을 포함한) 데이터 3법 개정 추진에 대해 반대의견을 내고 사회적 논의를 요구했으나 이를 불식하기 위한 공론화 과정이 충분히 이루어지지 않음.

｢데이터 3법 깜깜이 논의...“성인 5명 중 4명꼴 개정 추진 몰라｣(2019. 11. 13), 『연합뉴스』, https://www.yna.co.kr/view/AKR20191113035800004 (검색일: 2020. 2. 6).

[개정안 통과 후] 소비자시민모임, 참여연대, 한국소비자연맹, 함께하는시민행동, 건강과 대안, 경제정의실천시민연합, 금융정의연대, 무상의료운동본부, 민변 디지털정보위원회, 민주노동조합총연맹, 서울YMCA등 여러 단체가 합동으로 데이터 3법 처리 중단 촉구성명서 발표

실제 정부가 추진하는 마이데이터(MyData) 사업과 빅데이터 플랫폼 및 센터 사업에서 공통으로 나타나는 산업은 금융과 의료인데, 금융과 의료 정보는 민감정보(sensitive information)로 분류되는 것으로서 활용 시 매우 신중할 필요

■ [기업의 법적 예측력] 데이터 관련 개정법안이 시행되기까지 소요되는 시간이 상당함을 감안할 때 기업의 영업활동 간 필요한 법적 예측력을 높이는 차원에서 요구되는 데이터 활용 및 보호에 관한 가이드라인 제시의 부재

- 2016년 가이드라인은 존재하나 실제적 효용이 전무한 상태에서 2018년 말에 발의된 법안이 2020년 1월에 통과되기까지 상당한 시간이 소요됨.

- 가이드라인이 여전히 부재한 상태에서 기업은 데이터 관련법의 시행령이 공표되기까지 기다리는 상황

｢“신사업이요? 시행령 보고 결정"…데이터 3법 통과에도 움츠린 IT社｣(2020. 1. 21), 『한국경제신문』, https://www.hankyung.com/it/article/2 020012170841 (검색일: 2020. 2. 6).

■ [제한적인 인공지능 관련 법제 논의] 인공지능 선도국가를 주창하는 정부의 디지털 경제 비전을 고려할 때 비록 합의에 도달하거나 해결하기 어려운 사안일지라도 알고리즘의 투명성, 공정성, 인공지능 기술을 이용한 데이터 처리의 제한 등에 대한 고민과 논의가 불충분

- 인공지능의 편향성(bias of AI)에 대해서는 IT 전문가를 비롯 법학자, 경제학자, 기업인들도 고민 필요

- 인공지능 거버넌스(governance)에 관한 국제사회의 염려가 존재하며, 한국에서도 이에 대한 원칙을 수용하는 추세이나 데이터 관련법 논의에서는 중요한 부분으로 다루어지지 못한 점이 아쉬움.

- 인공지능 1등 국가를 위해서는 데이터 활용 촉진을 위한 가명정보 활용이 중요한 축을 이룰 수 있으나, 데이터를 활용한 인공지능 기술이 어떠한 방향으로 전개되어야 할지에 대해서는 최소한의 법적 논의가 진행되었어야 마땅함.

■ [감독기구의 구체적 역할 논의 불충분] 데이터 3법 입법 논의의 배경에는 EU GDPR의 적정성 평가에 대한 대비가 존재하나, 개인정보보호 감독기구의 독립성 강화라는 취지로 「개인정보보호법」에 관련 조항을 삽입하였을 뿐 개인정보보호 감독기구의 구체적인 역할에 대한 논의와 고민의 부재

- 미국의 논의를 살펴보면 개인정보보호 감독기구 역할을 수행하는 연방거래위원회(FTC)의 역할 확대를 위해 예산, 인력, 제소권 등 구체적인 논의가 진행 중

■ [입법 취지의 과장] EU GDPR이 요구하는 적정성 평가를 통과하더라도 한국기업이 EU GDPR이 요구하는 데이터 활용에 대한 책임 조항을 준수해야 하는 상황이 바뀌는 것은 아님을 주지할 필요

- 적정성 평가를 통과한다는 것은 한국기업이 유럽 시민에 관한 정보(데이터)를 기존의 방식대로 자유롭게 한국으로 전송할 수 있다는 뜻일 뿐, 여전히 유럽 시민에 관한 데이터를 수집, 가공, 처리, 공유 시 데이터 수집자(data collector)와 처리자(data processor)에 대한 의무는 여전히 존재

- 구체적으로 한국기업은 개인정보 이동권(portability), 개인정보 처리 제한권, 프로파일링 거부권 등 다수 조항에 대해서도 준수 의무를 지님.

■ [디지털 무역규범 관점의 부재] 데이터 활용의 주체를 국내 기업과 산업에 초점을 맞춘 반면, 국내 데이터 및 소비자 보호를 위해 해외 기업에 대한 규율 방식이나 책임에 대한 논의로까지 확대하지는 못함.

- 데이터는 기본 속성상 국경간 자유롭게 이동하기 때문에 이를 활용하는 국내 기업뿐 아니라 해외 기업에도 동일한 데이터 및 소비자 정보보호에 대한 책임을 묻도록 고려할 필요

- 보다 포괄적으로 WTO 전자상거래 협상, 최근 체결된 다자무역협정(USJTA, CPTPP, USMCA)의 디지털 무역 장(chapter)에서도 국경간 데이터의 자유로운 이동을 보장하면서도 마땅한 보호장치를 마련할 것을 강제하는 조항에 대해 합의가 이루어져 나가는 추세

- 데이터 활용과 보호에 대한 논의는 디지털 통상규범의 측면에서도 보완적으로 다루어질 필요가 있었으나, 이 부분에 대한 충분한 검토가 이루어지지 않았고 관련 데이터 법 정비도 그 만큼 더뎌진 상황

5. 시사점

■ 데이터 3법 관련 후속조치를 마련하기 전까지 정부는 가용한 여러 채널을 동원하여 데이터 3법의 보완점과 개선점에 대한 공론화 과정을 거칠 필요

국민·기업·관계부처·학계·싱크탱크 등을 포함한 공청회 개최 등을 통해 각계각층의 의견을 적극적으로 수렴하고 조율해나가는 공론화 과정이 필요

공론화 과정 자체가 데이터 3법에 대한 소비자의 이해를 돕고 데이터 관련법 개정 취지의 공감대를 높이는데 기여할 뿐 아니라, 기업 차원의 법적 예측력(predictability) 향상에도 도움을 줌.

- 데이터 3법 입법 논의 과정에서 지적된 여러 의견사항도 함께 검토하고, 통과된 데이터 3법의 취지를 살리고 우려를 완화하기 위한 구체적인 방안을 시행령에 반영

- 행정안전부에서 3월까지 데이터 3법의 후속조치로서 시행령 개정안 마련을 공표했으나, 의견수렴과 조율에 시간이 더 필요하다면 시행령 마련을 늦추더라도 완결성을 높이는 것이 더 중요

■ 개인정보보호 감독기구는 앞으로 발생할 수 있는 데이터 활용에 관한 여러 가능성을 선제적으로 진단하고 감독의 범위, 역할, 제소 방침 등에 대해 고민을 구체적으로 시작할 필요

국내 기업뿐 아니라 해외 기업에 대해서도 어떠한 방식으로 모니터링을 실시하고 규제할 것인지에 대한 고민이 필요하며, 이 과정에 미국 내 논의가 주요 참고사항이 될 수 있을 것으로 판단

데이터 활용 관련 기업의 공정 경쟁과 관련하여 공정거래위원회와 협업도 고려

■ EU GDPR에 대한 지속적인 대응과 함께 유사한 미 캘리포니아 CCPA 발효에 대한 대응책 마련도 병행

- EU GDPR 적정성 평가를 통과하기 위한 적극적인 노력도 중요하지만, 보다 근본적으로 EU GDPR이 요구하는 기업의 책무에 대해 한국기업이 잘 준비할 수 있도록 지속적으로 지원할 필요

■ 데이터는 기본적으로 국경간에 이동하기 때문에 디지털 통상규범의 관점에서 바라볼 필요가 있으며, 최근 변화하는 디지털 통상규범과 관련 논의를 종합적으로 고려하여 데이터 관련 국내 제도와 법제를 검토해야 함.

- 현재 한국은 WTO 전자상거래 협상에 참여 중이고, 데이터 3법 개정을 통해 인공지능 기술 강국으로 거듭나려는 노력을 기울이고 있으나, 국내 제도와 법제 정비 차원에서 데이터 관련법의 미비점을 보완하기 위한 논의 지속은 필수

- 데이터 관련법 정비 논의에서 USJTA, CPTPP, USMCA 등 최근에 체결·개정된 자유무역협정에서 새롭게 등장한, 강화된 디지털 무역규범의 내용과 함께 싱가포르·칠레·뉴질랜드가 2020년 1월 21일 디지털 경제에 특화하여 합의한 새로운 무역협정인 DEPA(Digital Economy Partnership Agreement, 2020. 1. 21)도 연계하여 검토할 필요

■ 한국의 ‘데이터 경제 비전’이 데이터 활용과 인공지능 기술 선도국가로의 도약을 추구하는바, 인공지능 기술의 편향성(bais of AI)을 포함한 거버넌스에 대해 진지하게 논의를 시작할 필요

인공지능 기술에 대한 거버넌스(governance)는 인공지능 1등 국가로 도약하기 위해서는 반드시 논의되어야할 사안이며, 선진국의 논의를 따라가기보다 자율적인 국내 논의를 기초로 향후 국제 논의를 이끌어가기 위한 연구를 진행할 필요

향후 인공지능 기술 발전에 따라 향후 발생할 이슈와 쟁점에 대해 선제적으로 고민할 필요가 있으며, 디지털 통상 전문가들과 협업이 이루어지길 기대함.

■ 세계 디지털 통상규범의 규범을 만들어나가는 미국의 역할을 고려할 때 미 연방정부 차원의 「개인정보보호법」 입법 논의 동향을 지속적으로 모니터링할 필요

- 미국 내에서 이루어지는 「개인정보보호법」 입법 관련 논의에 촉각을 세우고 한국의 데이터 관련법 정비에 필요한 정보에 대해서는 적극적으로 참고하고 관련 전문가와 반영 가능성을 검토