빅 데이터 환경에서 개인정보 인권을 보장하기 위한 물리적·기술적 규제 수단과 새로운 인권 개념의 필요성 doc_id PCY_201509210500089561_23

이러한 물리적･기술적 규제는 라이덴버그(Joel Reidenberg)나 레식(Lawrence Lessig)과 같은 정보법학자들이 강조한 것처럼 정보영역에서 전형적으로 발견할 수 있다. 이는 이러한 새로운 규제방식을 빅 데이터 인권에도 적용할 수 있다는 것을 뜻한다. 예를 들어, 정보자기결정권을 통해 불법적인 개인정보 수집을 통제하는 것보다 개인정보 수집을 불가능하게 만드는 기술적인 장치를 마련하는 것이 개인정보인권을 보장하는 데 더욱 효과적일 수 있다. 이를테면 법적 권리보다 기술적인 코드가 개인정보인권을 보장하는 데 더욱 실효적일 수 있는 것이다. 이러한 측면에서 빅 데이터 인권을 두 가지로 구분하고자 한다. 규범적 빅 데이터 인권과 물리적･기술적 빅 데이터 인권이 그것이다. 여기서 물리적･기술적 빅 데이터 인권은 물리적･기술적 규제수단을 이용하여 빅 데이터 과학으로부터 개인정보 인권을 보장할 것을 요청하는 인권을 말한다. 넷째, ‘프라이버시 친화적 설계’(Privacy by Design)를 채택한다(제23조 제1항). 여기서 프라이버시 친화적 설계란 정보처리시스템, 가령 컴퓨터 등의 프로그램을 설정할 때 가능한 한 정보주체의 프라이버시를 보장할 수 있도록 설계하라는 것을 말한다. 이는 일종의 물리적･기술적 규제, 즉 아키텍쳐 규제에 해당한다. 다섯째, ‘프라이버시 친화적 초기값 설정’(Privacy by Default)을 규정한다(제23조 제2항). 여기서 프라이버시 친화적 초기값 설정이란 특정한 목적에 필요한 개인정보만을 최소한의 범위에서 처리할 수 있도록 정보처리시스템의 초기값을 설정해야 하는 것을 말한다. 이는 독자적인 원칙이라고 말할 수 있기보다는 프라이버시 친화적 설계의 한 유형이라고 볼 수 있다. 같은 맥락에서 개인정보의 범위 역시 기본적으로 현행 태도를 유지하는 것이 타당하다. 이를 시사하듯 유럽연합의 2012년 일반정보보호규칙(안) 역시 빅 데이터 환경에 대응하기 위해 개인정보의 범위를 축소하고 있지는 않다. 빅 데이터 과학 및 환경에 적정하게 대응하기 위해서는 개인정보의 개념을 축소하기보다는 오히려 개인정보사용에 대한 동의방식을 수정하는 것이 더욱 바람직하다. 다만 현행 개인정보보호법이 규정하는 개인정보의 개념 중에서 ‘결합가능성’ 표지에 관해서는 신중하게 고려해야 할 점이 없지 않다. 빅 데이터에 관한 유력한 견해가 주장하는 것처럼, 쿠키정보처럼 인터넷 웹페이지를 방문했을 때 자동적으로 생성되는 정보 등을 개인정보의 범주에 포함시킬 수 있는지 문제될 수 있다. 왜냐하면 이 정보들은 그 자체만으로는 특정 개인을 식별할 수 없지만, 빅 데이터화되어 데이터 마이닝을 거치게 되면 자연스럽게 어느 누구의 쿠키정보인지 식별할 수 있게 해주기 때문이다. 빅 데이터 과학을 활성화시키는 것을 더욱 중요하게 여기는 진영에서는 이 같은 쿠키정보 등을 개인정보의 범주에서 제외시키고자 하지만, 오히려 빅 데이터 과학의 힘을 고려할 때 이러한 정보들은 개인정보 범주에 포함시켜야 한다고 판단한다. 그 점에서 현행 개인정보보호법의 태도는 타당하다. 일곱째, 개인정보보호 영향평가 제도를 규정한다. 이에 따르면, 개인정보를 수집･이용하는 정보처리자는 개인정보 처리의 특성, 범위, 목적 등을 원인으로 하여 개인정보를 처리하는 과정에서 정보주체의 권리와 자유를 위협할 만한 특별한 위험이 있는 경우에는, 개인정보 처리 과정이 개인정보보호에 미칠 것으로 예상되는 영향을 평가해야 한다. 특히 다음과 같은 경우에는 개인정보보호 영향평가가 의무화된다. 첫째, “개인의 특성, 경제적 상황, 위치, 건강, 개인적 선호, 신뢰도, 품행 등을 자동적으로 분석･예측하기 위하여 체계적이고 광범위한 평가체계를 구축한 경우”, 둘째, “특정 개인에 대한 조치나 결정을 내리기 위해 대규모로 민감정보, 이를테면 성생활, 건강, 인종, 민족에 관한 정보 및 건강보험, 전염병 또는 정신병 연구를 위해 제공되는 정보를 수집･이용하는 경우”, 셋째, “대규모 비디오 감시 시스템 등을 이용하여 공개된 장소의 모니터링을 실시하는 경우”, 넷째, “대규모 파일링 시스템(filing system) 안에 어린이에 관한 정보, 유전자 정보, 바이오 인식정보 등이 저장된 경우”가 그것이다. 개인정보 영향평가 요청권도 빅 데이터 인권으로서 고려할 수 있다. 개인정보 영향평가 요청권은 빅 데이터 사업자 등이 빅 데이터를 수집함으로써 각 정보주체의 개인정보이익에 어떤 영향을 미치는지를 평가하도록 요청하는 권리를 말한다. 관련 정보주체가 이러한 권리에 따라 개인정보 영향평가를 요청하면, 데이터 수집 주체는 개인정보 영향평가를 실시해야 한다. 이러한 개인정보 영향평가 제도는 이미 우리 개인정보보호법이 규정하고 있다. 이를테면 개인정보보호법 제33조는 “개인정보 영향평가”라는 표제 아래 제1항에서 다음과 같이 규정한다. 즉 “공공기관의 장은 대통령령으로 정하는 기준에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 평가(이하 “영향평가”라 한다)를 하고 그 결과를 행정자치부장관에게 제출하여야 한다. 이 경우 공공기관의 장은 영향평가를 행정자치부장관이 지정하는 기관(이하 “평가기관”이라 한다) 중에서 의뢰하여야 한다.” 이러한 개인정보 영향평가 요청권은 인권철학의 관점에서 볼 때 가장 대표적인 생태적 인권에 해당한다고 생각한다. 이러한 생태적 인권은 독일의 법사회학자인 군터 토이브너(Gunther Teubner)가 제안한 것이다. 아래에서 이를 간략하게 소개하도록 한다. 그 누구보다도 선구적으로 법영역에서 루만의 체계이론을 수용한 토이브너는 인권 역시 체계이론의 토대 위에서 새롭게 재구성한다. 여기서 인권을 체계이론의 바탕 위에서 재구성한다는 것은, 행위모델이 아닌 소통모델의 바탕 위에서 인권을 재해석한다는 것을 의미한다. 토이브너는 체계이론의 토대 위에서 “분할적 기본권 개념”(divisionale Grundrechtskonzepte)과 “생태적 기본권 개념”(ökologische Grundrechtskonzepte)을 구별한다. 여기서 “분할적 기본권 개념”이란 “＜전체와 부분＞이라는 도식에 바탕을 둔 것으로서, 전체 사회를 개별적인 주체로 분할하고 이렇게 분할된 주체를 기본권 주체로 설정하여 기본권을 파악하는 것”을 말한다. 지금까지 제시된 기본권･인권 이론이 대부분 이러한 분할적 기본권 개념에 속한다. 분할적 기본권 개념에 따르면, 각각의 기본권 주체는 소통으로 연결되지 않는 분할된 그래서 개별적이고 고립된 주체이다. 각각의 기본권 주체는 소통이 아닌 행위를 통해 연결된다. 이러한 측면에서 분할적 기본권 개념은 ＜전체와 부분＞이라는 도식뿐만 아니라, ˂주체- 객체 모델˃ 및 ˂행위모델˃과 관련을 맺는다. 여기에서는 주체와 행위가 전면에 등장한다. 이러한 분할적 기본권 개념은 전체에 해당하는 국가와 개별 분할체에 해당하는 기본권 주체 사이의 대립과 충돌을 염두에 두면서, 기본권을 국가에 대항하는 수단으로 이해한다. 따라서 기본권은 한편으로는 소송을, 다른 한편으로는 폭력을 정당화하는 수단이 된다. 또한 기본권은 사회 전체의 자원인 권력, 자본, 지식 등을 균형 있게 배분하는 데 기여한다.