개인정보의 정의와 식별가능성을 바탕으로 한 개인정보보호법의 현황, 쟁점 및 빅 데이터 환경에서의 한계와 개선 방향 doc_id PCY_201509210500089561_37

개인정보보호법 제2조 제1호는 개인정보를 “살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)”로 정의하고 있다. 따라서 개인정보보호법에 의해 보호되는 개인정보에 해당하기 위해서는 해당 정보가 살아 있는 개인에 관한 정보여야 할 뿐 아니라, 그 정보를 통해서 특정 개인을 알아볼 수 있는 식별가능성을 가지고 있어야 한다. 즉 ‘개인식별가능성’은 개인정보보호법에 의해 보호되는 개인정보의 핵심적인 개념표지가 된다. 다만 문제가 되고 있는 정보 그 자체가 이와 같은 개인식별가능성을 갖지 않더라도, 그 정보가 다른 정보와 쉽게 결합함으로써 개인식별가능성을 갖게 되는 경우라면, 그 정보는 개인정보보호법의 보호대상이 되는 개인정보에 해당하게 된다. 특정 정보가 이처럼 개인식별가능성을 갖는 것이라면, 그것이 반드시 개인의 내밀한 영역에 속하는 것이 아니라 하더라도 개인정보에 해당하게 되고, 그 결과 개인정보보호법의 보호범위 내에 놓이게 된다. 이처럼 현행 ｢개인정보 보호법｣에 대한 이러한 비판 입장은 ㉮ ‘개인정보’를 곧 바로 ‘프라이버시’와 동일시하는 관점은 오류라고 지적하면서 현행법이 사회적 자본의 가치가 있는 정보의 중요성을 무시한 채 오로지 개인정보의 보호만 강조하는 것을 바람직하지 않다고 본다. 그리고 이러한 전제에서 현재 지나치게 넓게 설정 되어 있는 개인정보 개념을 좁게 재설정하여 보호범위를 축소할 필요가 있다고 주장한다. 즉 ‘살아 있는 개인에 관한 정보로서 성명, 주민등록 및 영상 등을 통하여 개인을 식별할 수 있는 정보(개인식별정보)’와 ‘해당정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보(결합에 의한 식별가능정보)’를 구별하여 후자를 보호범위에서 제외하여 활용가능성을 열어 놓아야 한다는 것이다[이하 이러한 주장을 ‘개인정보수정론’으로 약칭]. 이와 달리 개인정보인권 옹호론은 개인정보보호법의 가치를 강조하면서 현행 규제체계 및 태도를 유지해야 한다고 말한다. 이 견해는 빅 데이터 과학에 대한 개인정보보호를 강화하고 있는 유럽연합의 일반정보보호규칙(안)을 원용하면서, 현행 개인정보보호법을 개선해야 한다는 빅 데이터 과학 옹호론의 주장을 반박한다. 다만 이 견해도 빅 데이터 과학 및 환경에 비추어볼 때 현행 개인정보보호법 이 한계를 지니고 있다는 점은 인정한다. 그것은 우리 개인정보보호법이 개인정보의 ‘수집’에만 초점을 맞추고 있어, 이렇게 수집한 개인정보를 분석해서 새로운 정보를 생산하거나 사용하는 것에 관해서는 관심을 소홀히 하고 있다는 것이다. 그러나 그렇다고 해서 현행 개인정보보호법이 원칙으로 삼고 있는 동의제도 등을 섣불리 바꾸는 것은 타당하지 않다고 말한다. 개인정보보호법은 정보주체의 정보자기결정권을 실현하기 위해, 정보주체에 대해 개인정보 열람요구권, 정정･삭제요구권 및 처리정지요구권을 부여하고 있다(제 35조-제37조). 하지만 빅 데이터 환경에서는 다음과 같은 이유들로 인해 이러한 권리들이 실질적으로 보장되기가 어렵다. 먼저 빅 데이터 과학에서는 개인정보를 제3자에게 제공하는 것이 본질적인 역할을 하는 것인데도, 정보주체의 개인정보 열람요구권, 정정･삭제요구권 및 처리정지요구권은 개인정보처리자에 대해서만 행사 될 수 있다. 빅 데이터 과학에서는 개인정보처리자에 의해 수집･저장･관리되고 있는 개인정보가 그 분석을 위해 빅 데이터 전문가에게 제공되는 과정이 요구된다. 이러한 과정을 거쳐야만 빅 데이터 과학의 종착점이라 할 수 있는 새로운 통찰 및 가치의 창출이 가능해지기 때문이다. 그러므로 빅 데이터 환경에서는 정보주체의 개인정보 열람요구권, 정정･삭제요구권 및 처리정지요구권이 개인정보처리자로부터 개인정보를 제공받은 제3자에 해당하는 빅 데이터 전문가에 대해서도 행사될 수 있도록 해야 한다. 그렇게 하지 않으면 이러한 권리들이 실질적으로 보장될 수는 없는 것이다. 위의 기사는 크게 두 가지 측면을 시사한다. 첫째는 빅 데이터가 단순히 과학영역에만 머무는 것이 아니라, 이를 넘어서 스포츠와 같이 빅 데이터와 무관해 보이는 영역까지 활용되고 있다는 점이다. 둘째는 빅 데이터가 강력한 예측력을 갖고 있다는 점이다. 이 기사가 예시하듯이, 구글은 빅 데이터를 활용해 지난 2014년 브라질 월드컵의 8강팀이 누가 될 것인지를 정확하게 예측하였다. 이를 수학적 확률로 계산하면 불과 0.4%밖에 되지 않는 낮은 확률이다. 물론 구글이 빅 데이터를 활용해 월드컵 모든 경기를 정확하게 예측한 것은 아니다. 왜냐하면 구글은 4강에 올라갈 팀으로 브라질, 프랑스, 네덜란드, 아르헨티나를 꼽았지만, 실제로는 4강 팀에 프랑스 대신 독일이 올라갔다. 그리고 이러한 독일이 브라질을 7-1로 대파하고, 결승전에서도 아르헨티나를 1-0으로 이김으로써 우승하였다. 이렇게 보면, 구글의 빅 데이터 과학이 완벽한 예측력을 갖고 있다고는 말할 수 없다. 그렇지만 수학적으로 볼 때 확률이 고작 0.4%밖에 되지 않는 8강 8개팀을 정확하게 예측한 것은 분명 무시할 수 없는 예측력이라고 말할 수 있다. 현대 정보화 사회에서 개인정보를 보호하는 것은 더 이상 거역할 수 없는 세계적 추세가 되고 있다. 우리나라에서도 1990년대부터는 개인정보를 보호하기 위한 법제를 본격적으로 마련하기 시작하였다. 먼저 공공부문에서 개인정보를 보호하기 위한 일반법으로서 “공공기관의 개인정보보호에 관한 법률”(이하 “공공기관개인정보보호법”)이 1994년에 제정되었다. 그런가 하면 민간부문에 대한 개인정보보호법 제는 공공부문에서와 달리 일반법의 성격을 갖는 법률을 제정하지 않고, 특정 분야별로 개별법을 제정하는 형태로 마련되어 왔다. 정보통신서비스 이용자의 개인 정보 보호 등을 그 목적으로 하는 “정보통신망 이용촉진 및 정보보호 등에 관한 법률”(이하 “정보통신망법”)이 그 가장 대표적인 예이다. 하지만 이러한 개인정보보호법제에 대해서는 다음과 같은 한계가 지적되어 왔다. 첫째, 개인정보를 보호하는 데 불가피하게 보호의 사각지대가 발생한다는 점이다. 이는 특히 개인정보의 보호에 관한 일반법이 마련되어 있지 않았던 민간부문에 대해 제기되어 온 문제점이다. 개인정보의 수집, 이용, 제공 등은 우리 사회 전반에 걸쳐 등장하는 문제인데도, 민간부문에서는 개별법이 마련되어 있는 특정 분야에서 이루어지는 정보처리 등만이 규제의 대상이 될 뿐이었다. 그 때문에 개별법이 마련되어 있지 않은 민간분야에서 이루어지는 정보처리 등에 대해서는 불가피하게 규제의 공백이 발생하게 되었다. 둘째, 개인정보보호를 위한 규제의 통일성이 결여되어 있다는 점이다. 개인정보라는 것은 개인정보처리자가 누구인지에 따라 그에 대한 보호가 차등적으로 이루어져서는 안 되는 것임에도 불구하고, 공공 부문과 민간부문이 각기 다른 법률들에 의해 규율됨으로써 불가피하게 개인정보 처리자에 따라 개인정보의 보호가 차별적으로 이루어지게 되었다.