빅 데이터 인권 보호를 위한 직접·자율·책임법적 규제 및 물리적·기술적 규제 방식의 특성과 보완 방안 doc_id PCY_201509210500089561_22

우선 직접규제란 전통적인 국가 혹은 국가기관이 빅 데이터 인권침해를 직접 규제하는 것을 말한다. 이를 달리 ‘타율규제’라고 부르기도 한다. 전통적인 규제방식이 이러한 직접규제에 해당한다. 직접규제는 규제권한을 국가가 독점하는 경우에 해당한다. 정보인권을 보장하기 위해서는 오늘날에도 여전히 직접규제는 필요하다. 이러한 맥락에서 정보보호위원회에 직접규제권한을 인정하고 있지 않은 것은 문제이다. 그러나 직접규제는 신자유주의적 규제비판론자들이 말하는 규제의 역설에 취약하다. 이에 따르면, 규제기관은 규제대상이 안고 있는 상황논리를 적절하게 파악하지 못함으로써 규제가 본래 추구하는 목적을 달성하지 못하고, 오히려 규제의 외부효과, 즉 부작용을 낳을 수 있다. 이러한 이유에서 자율규제를 포함한 규제의 다원화가 제기된 것이다. 자율규제는 직접규제가 안고 있는 문제를 해결하기 위해 제안된 것이다. 자율규제는 규제권한을 국가가 아닌 수범자 자신이 갖는 것을 말한다. 규제받는 자가 규제권한을 갖고 스스로를 규제하는 것을 말한다. 즉 피규제자가 동시에 규제자가 되는 것이다. 이러한 자율규제는 신자유주의적 규제이론가들에 의해 지지를 받고 있다. 이들은 시장은 스스로를 조절할 수 있는 능력을 갖고 있으므로, 시장에 대한 국가적 규제는 철폐해야 하고, 그 대신 시장에 의한 자율규제로 규제방식을 바꾸어야 한다고 역설한다. 이러한 자율규제의 예로는 최근 유행을 탄 기업의 사회적 책임이나 윤리경영 혹은 자율규제 프로그램(complicance program) 등을 거론할 수 있다. 빅 데이터 과학에 자율규제를 적용하면, 빅 데이터 사업자가 빅 데이터 인권을 보장할 수 있도록 스스로를 규제하는 방식을 생각할 수 있다. 책임법적 규제수단으로서는 대륙법의 체계가 그런 것처럼 크게 세 가지 유형으로 구분할 수 있다. 민사법상 손해배상책임에 기반을 둔 규제수단과 형사법에 기반을 둔 규제수단 그리고 행정법에 기반을 둔 규제수단이 그것이다. 민사법상 손해배상책임에 기반을 둔 규제수단이란 빅 데이터 인권에 대한 침해가 발생한 경우 이를 민법상 불법행위(민법 제750조)로 파악하여 이에 대해 손해배상책임을 부과하는 것을 말한다. 이에 대해 형사법에 기반을 둔 규제수단이란 빅 데이터 인권에 대한 침해를 형법상 범죄로 파악하여 이에 대해 형벌을 부과하는 것을 말한다. 이는 현행 개인정보보호법이 채택하는 것이기도 하다. 마지막으로 행정법에 기반을 둔 규제방식이란 빅 데이터 인권침해가 이루어진 경우 행정청과 같은 규제기관이 인권침해자에 대해 영업정지와 같은 행정조치를 취하는 것을 말한다. 이 가운데서 정보주체가 직접 사용할 수 있는 규제수단은 손해배상법에 기반을 둔 규제수단이다. 우리 법체계상 형사법에 기반을 둔 규제수단은 검찰이 그리고 행정법에 기반을 둔 규제수단은 행정청이 주도권을 쥔다. 그러나 이러한 국가기관은 현실적으로 개인정보를 보장하는 데 관심이 있기보다는 개인정보에 대한 빅 데이터를 확보하는 데 더 관심을 기울인다. 특히 수사기관과 같은 국가기관이 빅 데이터에 관심을 기울이면, 자칫 형사법적 규제수단이나 행정법적 규제수단이 제대로 작동하지 못할 우려가 있다. 이러한 점을 고려하면, 현실적으로 정보주체에게 가장 유리한 규제수단은 민사법적 규제수단이라고 할 수 있다. 정보주체가 빅 데이터 인권침해자에게 직접 손해배상청구를 함으로써 빅 데이터 인권의 규범력을 확보할 수 있다. 그러나 여기서 고려해야 할 점이 한 가지 더 있다. 우리 민사법은 독일법의 손해배상원칙을 수용하여 발생한 손해에 대해서만 배상책임을 인정하고 있다는 것이다. 만약 손해가 미약하다면, 손해배상액 역시 미약할 수밖에 없다. 그런데 각 개인을 기준으로 할 때 개인정보를 침해함으로써 각 개인에게 발생하는 손해액은 상당히 미약한 경우가 많다. 이밖에도 프라이버시 친화적 설계(Privacy by Design) 등과 같은 물리적･기술적 빅 데이터 인권도 신설해야 한다. 징벌적 손해배상규정도 새로 규정해야 할 필요가 있다. 마지막으로 정보보호위원회의 권한을 강화해야 한다. 현행 개인정보보호법은 개인정보를 보호하는 데 필요한 실질적인 권한은 정보보호위원회가 아닌 안전행정부장관에게 귀속시키고 있다. 그러나 이렇게 하면 정보보호위원회는 개인정보보장에 관해 형식적이고 무력한 존재로 전락할 수밖에 없다. 개인정보보호법이 개인정보에 관한 문제를 관리하고 책임지는 정보보호위원회를 신설한 만큼, 정보보호위원회의 권한을 실질화할 필요가 있다. 개인정보영역이 갖고 있는 전문성에 비추어 보아도, 이를 행정자치부장관이 감독하도록 하는 것은 적절하지 않다고 생각한다. 현대 정보화 사회에서는 정보통신기술이 비약적으로 발전하면서 과거에는 존재하지 않았던 새로운 규제형식이 등장하고 있다. 이른바 ‘아키텍처 규제’(architectural regulation)라고 하는 ‘물리적･기술적 규제’가 바로 그것이다. 이는 현대 정보화 사회에서 ‘사회’(Gesellschaft)라는 사회적 체계와 정보통신기술이라는 기계적 체계가 상호진화를 함으로써 등장한 규제적 진화의 산물이다. 인간행위나 인간행위로 구성되는 사회적 구조나 체계를 직접적인 규제대상으로 삼는 법적 규제와는 달리, 물리적･기술적 규제는 컴퓨터 프로그램과 같은 기술적 언어나 건축공간 또는 도시 구조 같은 물리적 구조를 규제함으로써 법적 규제와 동일한 효과를 거두고자 한다. 규제의 강도나 실효성이라는 측면에서 보면, 물리적･기술적 규제가 법적 규제 보다 더욱 강력한 힘을 발휘한다. 이를테면 형법상 주거침입죄라는 규범적 규제를 통해 주거침입을 막는 것보다는, 주거침입을 방지하기 위한 강력한 기술적 보안장치를 마련함으로써 더욱 효과적으로 주거침입을 막을 수 있다. 이러한 물리적･기술적 규제는 기존의 법적 규제와 비교할 때 다음과 같은 차이점이 있다고 언급된다. 우선 법적 규제는 행위자가 이를 받아들일 것인가, 말 것인가에 대한 선택의 자유가 있지만, 물리적･기술적 규제에 대해서는 행위자에게 이러한 선택의 자유가 없다. 행위자는 물리적･기술적 규제를 받아들일 수밖에 없다. 예를 들어, 일정한 웹사이트가 기술적 규제를 사용해 미성년자는 사이트에 입장할 수 없도록 프로그램을 설정하면, 미성년자는 그렇게 할 수밖에 없다. 다음으로 법적 규제, 그 중에서는 형법적 규제는 현재의 행위뿐만 아니라 과거에 발생한 행위를 규제대상으로 삼는 반면, 물리적･기술적 규제는 지금 현재의 행위와 미래의 행위를 규제대상으로 삼는다. 말하자면, 물리적･기술적 규제는 현재적･미래지향적 규제인 것이다. 나아가 법적 규제의 경우에는 법치국가 원리에 따라 이에 대한 절차적 정당화가 필요한데, 기술적･물리적 규제의 경우에는 이러한 절차적 정당화 과정이 필요하지 않다고 한다. 마지막으로 기술적･물리적 규제는 매우 다양한 방식으로 이루어진다는 것이다.