4차 산업혁명 시대의 데이터 활용과 보호의 조화를 위해 개인정보보호법제의 중복성, 불명확한 정의 및 형식적 규제 방식을 개선하고 법적 체계의 정합성을 확보해야 한다. doc_id PCY_201807110524134531_2

개인정보보호법제의 주요한 문제점으로 지적되어 온 것 중의 하나가 바로 개인정보보호법령 사이의 중복이다. 개인정보보호법제를 연혁적으로 살펴보면, 정보통신망법이 먼저 입법이 된 후 개인정보보호법이 제정되었다. 일반법이 먼저 제정되고, 그 기본 원칙 하에서 예외를 인정하는 특별법이나 개별법이 제정되면 법률 사이의 체계적 정합성이 비교적 유지될 수 있을 것이지만, 정보통신망법이 먼저 시행되고 있던 중에 그에 대한 충분한 고려 없이 개인정보보호법이 제정되고, 법률 사이의 관계에서도 정보통신망법이 개인정보보호법의 특별법적 지위에 있다 보니 불가피하게 법제 사이의 정합성이 충분히 고려되지 못하였다. 그런데 각 법률에 대하여 서로 다른 부처가 소관부처로서 규율하다 보니 그 괴리가 충분히 극복되지는 못하였다. 최근 비식별가이드라인과 같이 개인정보 관련 부처가 협업하는 경우가 생겨나고 있지만, 아직 법률 단계에서의 중복이나 부조화가 완전히 해결되지는 못하고 있다. 그리고 나아가 법률 개정 소요가 생겨나면서, 일반법에 규정된 사항에 대하여는 특별한 예외나 개별 법률 상의 특별한 규정 사유가 존재하지 않는 이상은 가급적 일반법에 일원적으로 규정하고 그에 따르도록 하는 것이 타당하지만 여러 법률들에 중복하여 규정하는 경우도 발생하게 되었다. 4차 산업혁명 시대가 가속화될수록 개인정보의 처리 필요성은 높아질 것이고 다양한 방식으로 개인정보가 수집, 가공, 결합, 분석 등 처리될 것으로 예상할 수 있는데 이러한 처리 중에서는 사회·경제적 측면에서 처리의 필요성이 높은 경우가 생겨날 수 있다. 또한 처음 법이 만들어질 당시에는 예측하지 못했던 개인정보의 활용에 대한 수요도 있을 것이다. 이러한 개인정보 처리 수요에 맞춰서 기존의 법을 적용하여 무조건 규제하거나 막는 것보다는 유연하게 대응하여 안전하게 처리할 수 있도록 체계를 구축해주는 것이 개인정보의 보호와 활용의 조화와 사회·경제의 발전이라는 측면에서도 바람직할 것이다. 예를 들면, 사업자가 사업을 시작하기 전에 시장의 수요를 파악하기 위하여 건물 입구 혹은 특정 도로의 길목 등에 CCTV를 설치해놓았지만, 해당 CCTV는 사람의 얼굴을 저장하지는 않고 남성인지 여성인지의 구분, 몇명이 지나가는지와 같이 특정 개인보다는 일정한 통계를 추출하기 위한 기능만을 갖추고 있는 경우에 현행 개인정보보호법에 따르면 CCTV 설치가 허용되는 5가지 사유의 어느 것에도 해당되지 않기 때문에 설치·운영 자체가 불가능하다. 심지어 연구목적으로 대학이나 연구소의 도로에 설치하는 경우에도 마찬가지이다. 개인정보보호법제의 공통적인 규제방식인 사전적인 고지후 동의는 형해화된 동의로 전락한 경우가 많아서 사실상 형식규제에 그치고 있다. 문제는 그러한 형식 규제를 통과하기만 하면 합법적인 처리근거가 인정된다는 점이다. 그러나 개인정보침해의 문제는 동의를 받았는지 안받았는지와도 관련이 없는 것은 아니지만, 실제에 있어서는 얼마나 안전하게 처리하는가에 달려있다. 때문에 형식적 동의에 천착하기 보다는 정보주체의 정보 비대칭성을 완화하고 필수적인 정보(개인정보의 처리기준, 절차, 방법 등)에 언제든 접근할 수 있도록 하는 측면에서 고지나 동의를 활용함으로써 형식적인 동의 요건 때문에 개인정보의 할용 가능성이 저해되는 것은 막으면서 실질적으로 개인정보보호가 이루어질 수 있도록 패러다임의 전환이 필요하다. 그 자체에 개인 식별성이 존재하는 정보보다는 그 자체로는 개인 식별성이 없거나 매우 낮지만 다른 정보와 결합하여 개인식별성이 강화되는 정보가 실제에 있어서 더욱 유용하거 활용도도 높다. 이러한 정보에 대하여 4차 산업혁명 시대에 보다 많은 정보를 안전하게 처리하여 부가가치도 창출할 수 있도록 하기 위해서는 그러한 중간 영역에 있는 정보에 대한 합법적인 처리를 허용할 필요가 있다. 이를 위해서는 크게 두 가지 방법론을 생각해볼 수 있다. 우선 해석론에 의하여 ‘식별 가능성’과 ‘결합 용이성’을 합리적·규범적으로 해석하고 이익형량을 통하여 개인정보의 범위를 합리적으로 축소하는 해석을 함으로써 문리적·기술적으로만 해석한 결과로서의 개인정보의 범위보다 줄어들게 되면, 결과적으로 개인정보가 아닌 정보에 해당되어 그에 대한 처리가 가능해진다. 그러한 정보들 중에는 이론적·기술적으로는 재식별 가능성이 있지만, 합리적·규범적으로는 재식별이 거의 불가능하거나 무의미한 경우에 해당하게 되는 경우가 있을 수 있다. 다양한 의무와 제재가 규정되어 있는 현행 개인정보보호법제가 적용되는 대상이 명확하지 않음으로 인하여 혼란을 주고 있다는 비판이 지속되는 상황에서 개인정보 정의 개념을 수정하거나 혹은 적어도 판단기준을 보다 명확히 하는 것이 필요할 것으로 보인다. 특히 데이터를 기반으로 하는 4차 산업혁명 시대에는 처리하는 데이터의 불법성 여하에 따라 경쟁력에 차이가 생길 수 있기 때문에 개인정보의 개념을 둘러싸고 발생하는 불필요한 법적 논쟁을 최대한 줄이는 방향으로의 입법적 개선을 검토할 필요가 있다. 특히 우리는 엄격한 형사제재도 규정하고 있기 때문에 적용대상인 개인정보의 범위가 너무 넓게 되면 부당하거나 과도한 형사책임이 발생할 가능성이 있다. 이 때문에 개인정보의 성질, 관련 규정 위반시 위법성 혹은 권리 침해의 정도 등을 묻지 않고 너무 과도한 제재를 규정한 것은 아닌지 반성이 필요하다. 만일 현재와 같이 형사제재, 행정제재, 과징금, 민사책임을 높은 수준으로 유지한다면, 적용대상인 개인정보의 범위를 보다 명확히 함으로써 수범자에게 예측 가능성을 확보해줄 필요가 있다. 반면, 형사제재 등 제재의 대상이나 범위를 축소하거나 제한적으로 규정하면서 사후규제 중심으로 전환한다면 현재와 같이 폭넓은 개인정보 개념을 유지하더라도 무방할 것이다. 개인정보보호법제의 개선을 위해서는 우선 개별적·구체적인 규정을 개선하는 것에 앞서서 왜 개인정보를 보호고자 하는가에 대한 개인정보보호법제의 입법 목적과 취지를 명확히 해야 할 것이다. 개인정보 그 자체를 강력하게 보호해야 할 당위성이 존재한다면 모르지만, 그렇지 않고 인간의 기본적 권리나 자유를 보호하는데 그 전단계에서 개인정보를 보호할 필요가 있고, 특히 정보화시대 나아가 4차 산업혁명 시대에 개인정보의 중요성은 점점 더 강조될 것이기 때문에 적법하고 안전한 처리를 위한 것이라면 그러한 관점을 명확하게 목적에 설정해야 할 것이다. 왜냐하면, 개인정보보호법제의 목적은 곧 그에 규정된 개별 규정들의 해석 기준으로 작용하기 때문이다. 개인정보에 대한 권리는 사람에 대한 정보를 대상으로 하고, 그 정보는 해당 정보로부터 식별되는 사람과 밀접한 관련을 가지기 때문에 개인정보에 대한 권리는 인격적 측면이 강조될 수밖에 없다. 그러나 실제 개인정보가 활용되는 측면에서는 인격적 측면의 활용도 있지만 경제적 측면에서 재화로서 다루어지는 것도 부인할 수 없다. 데이터 기반 경제에서의 재화로서의 성격은 더욱 강해질 것이다. 개인정보보호법의 일반법으로서의 성격을 강화하면서, 필요한 범위 내에서 특칙을 제정하는 방향으로 법체계를 전반적으로 정비할 필요가 있다. 제4차 산업혁명 시대에는 각종 센서나 사물인터넷, 각종 스마트 기기나 인공지능을 통한 개인정보의 처리가 불가피한데, 모든 처리가 온라인과 오프라인, 민간과 공공, 일반 개인정보와 특수한 개인정보(의료정보나 신용정보) 등의 경계를 넘나들면서 다양한 방법으로 다각적으로 개인정보가 처리될 것이다. 이러한 데이터 기반 사회·경제 환경에서 특정 순간에 어느 법률을 적용해야 할 것인지가 모호하거나 비합리적으로 중복 규제가 이루어지면 수범자에게 혼란이 야기될 수 있다. 이는 4차 산업혁명의 발전을 저해할 수 있다. 따라서 4차 산업혁명 시대의 변화된 환경에 적용될 여러 개인정보보호법령 사이의 정비 및 균형·조화가 필요하다. 즉, 개인정보보호법도 절대 불변이고 불가침의 법기준은 아니기 때문에 개인정보보호법과 다른 기준이 필요한 영역도 존재할 수 있다. 또한 각 영역의 특수성으로 인해서 개인정보보호법보다 개인정보의 활용을 더 허용해야 할 영역도 있을 수 있다. 그러한 특수성과 예외를 인정한다고 하더라도 개인정보보호법의 일반원칙의 관점에서 검토한 후 예외를 인정하는 순으로 입법이 이루어져야 한다. 결국 문제는 개인정보보호법제의 각종 규정들을 적용하기 위한 대상을 확정함에 있어서도 명확한 기준이 없거나 법규범 사이의 충돌이 존재한다는 것이다. 이로부터 발생하는 불명확성은 법적 안정성을 저해하고, 수범자로부터 개인정보의 처리에 대한 유인을 뺏어버리거나 아니면 법을 무시하고 개인정보를 처리하도록 만들어 법을 형해화 시킬 수 있는 위험을 만들어낸다는 것이다. 특히 우리의 개인정보보호법제는 다양한 형사적 및 행정적 제재를 규정하고 있어서 그러한 문제를 심화시킬 수 있다. 이러한 불명확성은 정보의 처리를 주된 기반으로 하는 4차 산업혁명에 매우 큰 장애물이 될 수 있다. 규제가 강하더라도 명확하면 비용이 들더라도 그것을 준수하는 방향으로 설계하면 되지만, 명확하지 않으면 그로 인한 사회적 비용은 훨씬 커질 수밖에 없고 결국 사회·경제의 발전을 저해할 수밖에 없게 된다. 이러한 문제를 없애기 위해서는 개인정보의 정의 및 범위와 판단기준을 명확화하는 방향으로 입법을 하거나 기준을 정립하는 것이 필요하다.