바이오 정보 수집·이용 실태조사

GDPR은 정보주체를 보호하기 위해 여러 가지 제도를 추가적으로 규정하였다. 그 중 제25조에서 규정하고 있는 ‘개인정보보호 중심설계 및 설정(Data protection by design and by default)’가 주목을 받고 있다. 개인정보 처리자는 개인정보의 처리 수단을 결정한 시점과 처리 당시 시점에서, 정보 최소화 등 개인정보보호의 원칙을 이행하고 본 규정의 요건을 충족하고 정보주체의 권리를 보호하기 위해, 처리에 필요한 안전조치를 포함하기 위해 고안된 가명처리 등, 적절한 기술 및 관리 조치를 이행해야 한다(by Design). 또 개인정보 처리자는 기본설정을 통해, 처리의 개별 특정목적에 필요한 정도에 한하여 개인정보가 처리될 수 있도록 보장하기 위한 적절한 기술 및 관리 조치를 이행해야 한다(by Default). 특히 분산저장의 원칙은 특정된 목적을 위해 수집된 개인정보는 다른 기관에서 다른 목적을 위해 수집된 개인정보와 원칙적으로 통합되지 않고 분리된 상태로 유지되어야 한다는 의미이다. 어떤 기관이 보유하고 있는 개인정보를 데이터베이스를 구축·통합하거나 다른 기관에 제공한다든가 자동 검색시스템을 통해 개인정보를 공동으로 활용한다든가 하는 것은 원칙적으 로 금지되는 것이다. 독일 연방헌법재판소는 이러한 원칙에서 특히 국가행정조직이 보유한 개인정보를 다른 목적으로 이용할 소지가 있는 개별 행정부서들에 대해 정보 접근을 차단해야 한다고 판결한 바 있다(권건보, 2005). 전자주민증을 도입한 유럽 국가들 중에서도 생체인식 정보의 민감성을 우려하여 일부는 지문정보 수록 여부를 선택하게 하였고 데이터베이스를 분산하여 구축하였다(Statewatch, 2011). 한편, 생체인식 정보도 다음과 같은 이유에서 원칙적으로 민감한 성격을 가진다. 첫째, 교환이 불가능한 정보이다. ID·패스워드 등은 누설된 경우에 변경할 수 있지만, 얼굴·지문·홍채 등을 간단히 바꿀 수는 없다. 이 같은 생체인식 정보의 성질로 인해 보안확보를 목적으로 이용할 경우 기밀성(confidentiality)·완전성(integrity) 및 가용성(availability)을 담보할 수 있어 향후에 더욱 보급이 확대될 것은 분명하다. 둘째, 부가적인 정보가 추출될 우려를 배제할 수 없다. 예를 들어 얼굴 화상으로부터 인종·건강상태·정신상태 등 본인인증과는 무관한 정보가 추출되어 이용될 위험도 있다. 셋째, 무의식중에 정보가 취득되기 쉽다. 특히, 얼굴 화상의 경우 현재의 정보환경을 고려할 때 본인이 의식하지 않는 사이에 원격시스템을 통해 간단히 취득 할 수 있다(박정훈, 2012). 유럽연합 제29조 개인정보보호 작업반 역시 위 2011년 의견서에서 유전정보와 생체인식 정보의 포함을 지지하였다. 고도화된 생체인식 장치들이 구체적인 법률적 근거나 사회적인 검토없이 수사기관의 자체적인 판단만으로 도입되고 있는 것은 문제이다. 통상 수사기관에 의한 개인정보 수집은 경찰법 3조, 경찰관직무집행법 2조상 ‘치안정보의 수집, 작성 및 배포’ 조항에 의해 정당화되는데, 기술발전으로 인해 심각해지는 프라이버시 침해의 위험성을 고려할 때 이것이 충분한지는 의문이다. 또한, 수사기관이 과거에도 범죄 용의자의 지문, 얼굴 등 바이오 정보를 비롯한 개인정보를 수집해왔다고 하더라도, 첨단기술을 이용한 자동화된 수집, 데이터베이스의 구축, 자동화된 검색 기능 등을 고려할 때 개인에게 미치는 영향은 과거와 비할 바 없이 커졌다. 수사기관의 개인정보 수집 및 이용에 대해서 법적 근거 및 사회적 감독 체제의 마련이 필요하다. 해외의 보호 수준을 감안할 때 바이오 정보의 수집, 이용, 결합, 제공 및 판매 등 처리와 관련한 국내 법률의 규범은 다소 모호한 수준이다. 반면 세계 여러 나라가 생체인식 정보, 유전정보, 건강관련 정보를 민감정보로서 특별한 보호를 규정하고 있는 경향은 우리에게 시사하는 바가 크다. 우선 생체인식 정보와 관련하여 그 민감성에 부합하는 보호규정을 정비할 필요가 있다. 특히 여러 법령에서 서로 다른 용어로 정의하고 있는 ‘생체인식 정보’의 법령용어를 정비하여야 한다. 또한 생체인식 정보를 비롯하여 유전정보 및 건강관련 정보 등 바이오 정보 전체적으로 통일적인 규율을 적용할 수 있어야 한다. 바이오 정보에 대한 보호를 위하여 현행 개인정보 보호법상의 민감정보에 대한 보호 조치를 제고할 필요가 있다. 특히 개인정보처리자가 민감정보의 처리를 위해 정보주체로부터 동의를 구할 때 그 동의 요건을 보다 명시적으로 규정할 필요가 있다. 생체인식 정보가 건강관련 정보를 노출하는 등 정보의 민감성이 배가되는 경우에는 추가적인 보호조치를 취하도록 보호하는 방안을 검토해볼 수 있다. 제3자 제공은 법원의 영장을 원칙적으로 요구해야 한다. 다만 통계작성 및 학술연구 목적으로 이용하고자 할 때는 더이상 식별될 수 없는 형태로 익명화해야 할 것이고 그 입증 책임은 개인정보처리자에 두는 것이 바람직하다. 익명화와 달리 가명 처리 등 결합 정보를 통해 개인이 식별되는 비식별화 조치를 할 경우에는 개인정보 처리의 일환으로서 원칙적으로 정보주체의 동의권 행사가 보장되어야 한다. 마지막으로, 민감한 개인 프로파일링 처리가 늘어나는 빅데이터 시대를 대비한 보호 조치 또한 규정할 필요가 있다. 바이오 정보에 기반한 프로파일링과 자동화된 의사결정은 원칙적으로 제한되어야 한다. 특히 바이오 정보는 그 자체로 의료·민족·인종, 특정한 행동에 관한 정보, 성생활에 관한 정보 등과 같이 민감정보가 추출될 위험이 있다. 따라서 이를 기반으로 프로파일링을 처리하는 경우 반드시 정보주체의 별도 동의를 얻도록 제한해야 한다. 유럽 GDPR은 전체적으로 프로파일링에 대한 처리를 제한하고 이에 대한 정보주체의 고지, 열람권 및 반대권 등을 보장하는 규정들을 두고 있다. 바이오 정보 보호의 민감성에 비추어 가장 중요한 것은 사전 예방이다. 그런 의미에서 현재 제도적 영향력을 크게 발휘하고 있지 못한 개인정보 영향평가 제도 또한 실질화하여 바이오 정보의 처리에 적용할 수 있어야 한다. 더불어 프라이버시 중심설계(Privacy by design) 및 프라이버시 중심설정(Privacy by default)에 대해 적극적으로 도입할 필요가 있다. 실효성을 거두고 있지 못한 개인정보 감독기구의 독립성 강화도 필수적이다. 개인정보 영향평가의 강화, 프라이버시 중심설계 및 설정 및 감독 강화는 유럽 제29조 개인정보보호 작업반은 물론 국가인권위원회도 2013년 <정보인권 보고서>에서 제언한 바 있다. 단기적으로는 위와 같은 내용으로 현행 개인정보 보호 관련 법령을 정비하여 생체인식 정보를 비롯한 바이오 정보를 보호할 수 있겠다. 장기적으로는 바이오 정보 보호에 관해 특화된 법률을 마련할 필요도 있어 보인다. 바이오 정보가 처리되는 모든 생애주기에 있어 목적제한, 최소 수집, 비례성, 적합성, 투명성, 안전장치가 보장될 필요가 있다.