4차 산업혁명 대응 법제 정비 연구 Research on the Improvement of Legislative Systems in the Era of the 4th Industrial Revolution

유럽연합의 ｢정보이동권에 대한 가이드라인｣(Guidelines on the right to data portability) (Working Party, 2017. 4. 5. revised)에 따르면, GDPR 제12조에서 정보처리자가 개인정보 제공에 대한 비용을 청구하는 것을 금지한다고 명시하고 있다. 정보처리자가 정보제공 요청이 명백하게 근거가 없거나 지나치다고 입증할 수 있는 경우를 제외한다면 말이다. 또한 정보이동권 요청 처리에 발생하는 전체 비용이 정보제공 요청이 지나치다고 보는 이유로 활용되어서는 안된다고 밝히고 있다. 결론적으로, 전체 시스템 운영비용을 정보주체에게 청구하여서는 안되고 정보이전 요청에 대한 거부 사유로 사용되어서도 안된다. 이처럼 GDPR은 정보이동에 소요되는 비용을 정보주체에게 청구하지 않는 것을 원칙으로 하고 있다. 이는 정보를 이동하는 방법이 전자적으로 처리되기 때문에 비용이 거의 발생하지 않는 점을 전제한 것이다. 우리나라의 K-MyData는 ‘지능정보사회 중장기 종합대책’(’16)에 그 추진 계획이 처음 소개되었다. K-MyData는 “특정 기업이 보유한 개인정보를 해당 개인의 동의하에 다른 기업에게 제공, 맞춤형 서비스 개발에 활용하는 것을 지원”하는 제도이다(관계부처 합동, 2016). 이 제도를 통해 공공 및 민간을 아우르는 데이터 활용을 보장하여 새로운 경제적, 사회적 가치 창출의 기회를 넓히고자 하였다. 그러나 우리나라는 개인정보보호법, 정보통신망법, 신용정보법 등 3대 개인정보보호 관련 법을 비롯해 여러 제도적 측면에서 개인의 자기정보 이용 권한이 제한되어 있다. 국내 법제가 개인정보의 활용보다는 개인정보의 보호에 치중하고 있는 것이 큰 이유이다(디지털타임즈, 2017. 6. 20). 따라서 제도 도입을 위한 법적 근거 마련이 필요하며, GDPR의 정보이동권이 고려할 수 있는 방안이라는 점에서 주목할 필요가 있다. 먼저 정보처리자에 의해 가공된 정보의 경우, 정보주체가 제공한 정보를 기초로 가공하여 새로운 가치의 정보를 생성하였다는 점에서 정보처리자에게 그 정보에 대한 권리가 있다고 보아야 타당하다. 따라서 정보주체가 행사하는 정보이동권의 대상이 될 수 없다. 물론 정보주체와 관련되는 정보이므로 이 경우도 정보이동권의 대상이 된다는 견해를 완전히 무시할 수 없으나 정보처리자의 권리를 어느 정도 보장해주지 않는다면 데이터를 통해 생성되는 새로운 가치 창출의 사건이 점점 희소해질 것이다. 또 정보처리자가 가공한 2차적 정보를 정보이동권의 대상에 포함시킬 경우 정보주체는 자기가 제공한 정보이상의 이익을 얻게 되어 부당이득을 취하는 셈이 된다. 2차적 정보는 원래의 정보와는 별도의 경제적 가치를 가지고 있으며, 따라서 정보처리자가 가공하는 경우 그 가공으로 인해 추가되거나 부가된 가치는 정보처리자에게 귀속하는 것이 타당하다. 정보이동권은 개인정보자기결정권에서 파생된 권리로서 인격권적인 성격이 강하다. 정보이동권 행사를 통해 정보주체가 일정한 경제적 이익을 향유하는 경우가 있더라도 이러한 사실만 가지고 정보이동권을 양도양수가 가능한 완벽한 재산권이라고 보기 어렵다. 만약 정보이동권의 양도양수가 가능하다고 하였을 때, 당사자가 정보주체로부터 양도 ․ 양수를 받았는지를 확인하는 절차가 필요해진다. 양도 ․ 양수받은 사실을 허위로 주장하여 타인의 개인정보를 이전받은 경우를 가정하면 문제가 되는 것이다. 게다가 개인정보의 수집 ․ 이용 ․ 제3자 제공에 있어 정보주체의 사전 동의를 받도록 하고 있는 현행 ｢개인정보 보호법｣ 혹은 ｢정보통신망법｣ 관련 규정을 무용화할 우려도 있다. 따라서 정보주체의 권한을 부여받은 대리인이 행사하는 경우를 제외하고 이를 양수받은 자가 자기에게 정보주체의 권리를 이전하거나 다른 제3자에게 이전하게 하는 것은 허용되어서는 안 된다. 정보이동권은 정보주체가 원할 경우 개인정보를 받아 처리할 권리를 보장한다. 정보의 이동 요청에 응하는 정보처리자는 제20조에 해당하는 조건에 따라 정보주체 또는 개인정보를 제공받는 다른 회사의 정보처리에 대해 책임지지 않는다. 정보처리자는 정보주체를 대신하여 실행하며 다른 정보처리자에게 개인정보를 직접적으로 이전할 때도 마찬가지이다. 정보수령자를 결정하는 자가 정보를 내보내는 정보처리자가 아니고 정보주체라는 점을 고려할 때 정보처리자는 정보수령자의 GDPR 준수 여부에 대해 어떠한 책임도 지지 않는다고 볼 수 있다. 정보주체의 정보이전 요청에 응하는 정보처리자는 또한 정보를 이전하기에 앞서 해당 정보의 질을 확인하고 입증할 구체적인 의무가 없다. 그리고 미래에 발생할 지도 모르는 정보이전 요청에 응하기 위해 필요이상으로 개인정보를 보관하거나 구체적으로 정해진 보관기간을 초과하여 개인정보를 보관할 의무도 없다. 또한 정보처리자의 고의과실로 정보주체가 제공한 개인정보가 분실 ․ 훼손된 경우 정보주체는 어떤 권리를 행사할 수 있는지를 따져볼 필요가 있다. 이는 개인정보 관리에 대한 주의의무라고 할 수 있다. ｢개인정보 보호법｣은 제29조에서 개인정보처리자의 안전조치 의무에 대한 규정을 두고 있다. 이에 따르면, 개인정보처리자는 개인정보가 분실 ․ 도난 ․ 유출 ․ 위조 ․ 변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적 ․ 관리적 및 물리적 조치를 하여야 한다. 따라서 정보주체가 개인정보를 자기 또는 제3자에게 이전하여 줄 것을 요청하였는데 정보처리자가 개인정보를 분실하거나 훼손한 경우에는 안전조치 의무를 위반하는 것이 된다. 이 경우 손해배상책임을 규정하고 있는 제39조 또는 제39조의2에 따라 손해배상책임을 지게 될 것이다.