신산업 촉진을 위한 규제개혁과제와 사례연구

그런데 이것은 단순한 변화가 아니다. 적어도 근대 이후 개인이라는 가치의 보호를 어떻게 하면 더 잘 보장할까에 대한 고민에 근본적 도전을 가하기 때문이다. 더구나 빅데이터를 활용하면 할수록 이런 개인정보 보호와의 상충성에 대한 문제가 더욱 다양한 방식으로 심화되어 제기될 것이다. 빅데이터의 가치발견은 이제 막 시작이며, 앞으로 무궁하게 이루어질 것이기 때문이다. 개인정보는 보호의 대상인가 활용의 대상인가, 아니면 이 둘 사이의 합리적인 경계를 어떻게 만들어야 할 것인가가 바로 빅데이터와 관련된 문제의 핵심인 것이다. 여기 몇 가지 문제를 고민해 보자. 먼저, 빅데이터의 요소를 이루는 개인정보의 개념이다. 통상 개인정보는 개인에 ‘전속된’ 정보를 의미한다. 그런데 과연 개개인의 정보 중 어떤 것이 전속적인 것이고, 어떤 것은 그렇지 않을 것일까. 의료정보나 계좌정보, 개인신상정보는 매우 전속성이 높은 정보라고 생각되곤 한다. 그래서 누군가 나의 계좌정보를 나의 동의도 없이 알고 있다면 그것은 큰 문제라 생각한다. 미국은 빅데이터 처리에 대한 규제가 상대적으로 낮은 편이다. 개인의 사생활이 침해되지 않는다면, 개인정보의 수집, 공유, 분석이 가능한 것이다. 공공 기관에서는 정보이용이 까다로운 옵트인(opt-in) 규제가 적용되고 있지만 민간부문에서는 옵트아웃(opt-out) 규제를 인정하며 자율규제를 허용하고 있기때문이다(김용대⋅장원철, 2016). 즉, 옵트인 규제는 개인정보의 수집과 처리를 위해서는 사전에 동의를 받아야 하는 반면, 옵트아웃 규제는 기본적으로 개인에 대한 정보의 수집과 처리를 인정하지만, 당사자가 이를 거부하는 경우 정보수집과 처리가 불가능한 방식이다. 따라서 옵트인 규제에서보다 옵트아웃 규제에서 기업은 데이터 수집과 처리, 사용에 대한 보다 폭넓은 자율성을 갖는다. 유럽연합은 회원국 국민의 개인정보와 사생활의 자유를 보장하면서도 유럽 연합 국가 사이의 개인정보가 보다 자유롭게 유통될 수 있도록 다양한 노력을 해왔다. 한편, 2016년 4월, 유럽연합에서는 1995년부터 적용되어 오던 개인정보보호지침(Directive 1995(95/46/EC)을 대체하는 개인정보보호규정(General Data Protection Regulation: GDPR)이 통과되었는데 이것이 2018년부터 적용되면서 유럽연합 내에서의 빅데이터 산업도 큰 영향을 받을 것으로 전망하고 있다. 이 규정의 내용은 일반적으로 개인정보의 제3국으로의 이전에 대해 원칙적으로 금지를 표명하면서, 제3국의 정보보호 수준에 대해 유럽연합 집행위원회가 개개의 국가에 대해 적절성 평가(adequacy assessment)를 거쳐 그것이 인정되는 경우에만 정보이전을 인정하게 되어 있다. 이 규정은 1995년의 개인 정보보호지침에 비해 개인정보보호의 의무를 준수할 것에 대한 보다 엄격한 권한을 부여하고 있는 것으로 평가된다. 그리고 만약 이것을 위반하게 되면, 최대 2,000만 유로, 혹은 개인정보처리자의 직전사업년도 전 세계 매출액의 4%에 해당하는 벌금을 부과할 수 있도록 강력한 규제를 도입하고 있다. 일본은 기존의 개인정보보호법 제정 이후, 시간이 지나면서 기업과 소비자의 이해, 빅데이터 기술의 발전과 산업적 가능성의 증대 등 변화된 환경을 반영하기 위해 제도개선을 추진하고 있다. 개인정보 당사자의 사생활을 보호하면서도 개인정보의 활용을 도모해야 하는 이중적인 요구를 충족해야 하는 어려운 과제에 부응하기 위한 것이다. 또한 클라우드 서비스의 등장으로 데이터의 유통에 국경이 거의 사라지고 있는 점도 주요 고려 대상이었다. 이런 일본의 개인정보보호법의 방향은 개인정보 및 프라이버시 보호를 전제로 하여 개인정보의 이용과 활용을 통해 신산업과 서비스를 창출하고 기존산업의 발전에도 기여하고, 이와 동시에 데이터의 공익적 이용을 위한 적절한 환경을 정비하는 것이었다. 이런 일본의 개인정보보호제도의 개정은 개인정보의 이용과 활용을 촉진하기 위해 개인의 특정성이 드러나지 않게 데이터를 분석하는 등 일정한 전제가 충족된다면 기존에는 당사자의 동의가 요구되는 제3자 제공에 대해 동의가 없더라도 가능하도록 하고 있다. 해외의 논의를 살펴보면 데이터 생태계의 중심이 개인정보 처리자에서 정보주체로 이동하고 있는 점을 확인할 수 있는데, 개인정보를 자산으로 인식하고 개인정보 처리자뿐만 아니라 정보주체도 편익을 향유할 수 있어야 한다는 것이다. 영국은 소비자가 과거 자신의 상품 및 서비스 거래정보를 기업으로부터 제공받아 활용할 수 있는 마이데이터(midata) 프로그램을 도입하였으며, 일본은 정보주체가 자신에 관한 정보를 개인정보 저장소(Pesonal Data Storage)에 제공하고 동 정보를 활용하는 기업으로부터 정보 활용에 대한 대가를 지불받는 시스템인 정보중개회사 설립을 추진하고 있다. 한편, 일본이 추진하고 있는 정보중개회사는 개인정보 수집과 처리단계를 기업 외부로 분리하는 것으로서 정부가 설립한 거래소를 통해 데이터 수집과 유통이 이루어지게 하여 개인정보 처리자의 법적인 부담과 불확실성을 해소하고자 하는 시도로 해석할 수 있다. 이러한 네거티브 규제방식은 한국이 예상 가능한 위험의 경우 수 각각에 대하여 규제를 마련하는 포지티브 규제 방식을 가지고 있다는 점과 좋은 대조를 보여주고 있다. 미국은 신중한 규제발행 및 최소한의 규제를 지향할 것을 법으로 지정하여 선언하고 있다. 이러한 예로서, 가령 “연방행정절차법”, “대통령 집행명령 제12866호”, “대통령 집행명령 제14563호”, “규제유연화법”, “경제성장과 규제감소법”, “의회심사법” 등 여러 관련 법제를 예시할 수 있겠다. 이러한 법률이 지시하는 대로 정부와 산하기관은 규제발행과 적용을 최소화 할 의무를 지니게 된다. 미국의 이러한 네거티브 규제 환경은 새로운 혁신사례가 나타났을 때, 사업자나 개발자가 비교적 높은 자유도에서 실험을 수행할 수 있는 환경을 제공하여 준다. 여기에는 새로운 혁신사례에 대하여 규제를 먼저 마련하기보다는 일단 “기다리고 지켜보는”(wait and see) 행정문화도 영향을 미치고 있다. ‘비조치 의견서’제도란, 정부의 법령 규제가 국민의 행위에 어떻게 적용되는지 모호하거나 불확실할 경우, 정부기관에 사전에 문의하여 적법한지 여부를 판단 받고, 당해 기관으로부터 문의한 내용에 대하여 규제조치를 취하지 않겠다는 의견서를 공식적으로 받는 제도를 말한다. 이때의 ‘의견서’를 ‘비조치 의견서’라고 부르는 것이다. 이 제도는 다른 말로 ‘사전심사청구제도’라고도 하며, 향후 계획하고 있는 행위 중 기존의 법령으로 규정하기 어려워 적법 여부를 판단하기 곤란한 경우에 유용한 제도라고 할 수 있다. 이는 신사업영역 발굴, 신상품 개발 등에 따른 기업의 법적 불안정성을 제거하는 데에 유용하다. 비조치의견서’는 원래 미국의 증권거래위원회(SEC: Securities and Exchange Commission)와 상품선물거래위원회(CFTC, Commodity Futures Trading Commission)을 중심으로 주식과 선물 시장에서 처음 발달한 제도이다. 그러나 최근에는 금융소비자보호청(CFPB, Consumer Financial Protection Bureau) 등 금융 및 다른 산업분야로 확대되어 가는 모습을 보이고 있다.