스웨덴의 행정 데이터 구축 및 통합 현황과 개인정보 보호를 위한 법적·제도적 대응 및 시사점 doc_id PCY_201810040413450001_2

스웨덴 국가의 운영과 관련하여 핵심적인 등록 데이터는 대표적으로 국세청이 담당하고 있는 개인의 배경(생년월일, 카운티, 성별, 출생지역) 데이터, 소득 및 세금 등록 데이터(IoT, 1968- )와 개인등록 데이터(1968- ), 통계청이 담당하고 있는 센서스 데이터(1960, 1970, 1980, 1990), 교육과학부가 담당하고 있는 교육등록 데이터(1985- ) 등이 있다. 교육등록 데이터는 의무교육 성적(1988- ), 중등교육(1971- ), 고등교육 진학자의 경우, 전공과 학위(1962- ), 성인교육(1990- ) 정보를 포함하고 있다. 센서스 조사는 10년 단위로 이루어진 전체 인구를 대상으로 하는 조사이다. 모든 행정 데이터의 기본이 되는 센서스 데이터는 전통적으로 우편 조사를 통해서 이루어졌다. 그러나 등록 데이터를 기반으로 하는 조사로 전환되고 있다. 1990년까지 전통적인 조사 방법인 우편 조사를 통해서 조사가 이루어졌지만, 1995년 스웨덴 의회가 다음 센서스 조사는 완전하게 등록 자료에 기반을 두고 이루어져야 한다는 결정을 내렸다. 각종 국가기관과 공공기관은 인구 데이터뿐만 아니라 다양한 데이터를 수집하고 관리하고 있다. 이들 행정 기관의 데이터 통합은 통계청이 관리하는 총인구등록 데이터나 센서스 데이터와 다른 기관에서 생산된 행정 데이터를 통합하거나 행정 데이터에 기반을 둔 서베이 조사와 같은 다양한 방식으로 행정 데이터 통합이 이루어지고 있다. 현재 행정 데이터 통합에서 중요한 역할을 담당하고 있는 것이 세 가지 핵심적인 등록 데이터들이다. 세 가지 핵심적인 데이터는 비즈니스 등록 데이터(Business Register), 총인구등록 데이터(Total Population Register)와 부동산 등록 데이터(Real Property Register, RPR)이다. 이들 세 가지는 각각 고용, 직업, 복지, 건강, 교육과 주거 등의 하위 영역에서 등록 데이터와 결합되어 사용된다. 스웨덴은 행정 데이터의 산출과 행정 데이터의 통합과 활용에서 가장 선도적인 사례를 보여준다. 인구등록 데이터의 수집에서 시작하여, 총인구등록 데이터, 재산등록 데이터, 사업등록 데이터, 주거등록 데이터, 통합된 의료 데이터에 이르기까지 다양하고 포괄적인 행정 데이터를 구축하여 활용하고 있다. 20세기 후반 이후 스웨덴의 행정 데이터는 국가의 기능뿐만 아니라 컴퓨터와 디지털 기술의 발달과 같은 과학기술의 발전과 맞물려 새로운 변화를 보여주고 있다. 행정 데이터의 수집, 보관과 활용은 정책적 차원에서 중요하지만, 시민 개개인의 정보를 바탕으로 하고 있다는 점에서, 개인정보 보호의 문제가 첨예한 문제가 되었다. 개인 정보가 컴퓨터를 통해서 전송되고 또 활용되기 시작하면서, 개인정보 보호의 문제는 대단히 중요한 법적, 제도적 이슈가 되었다. 스웨덴에서 개인정보 보호를 둘러싼 다양한 집단들 간의 이해 대립은 개인 정보의 문제가 개인의 문제뿐만 아니라 집단의 문제라는 것을 잘 보여준다. 특히 상업적인 이익을 목적으로 하거나 혹은 범죄적인 목적으로 개인 정보를 해킹하는 경우에 발생하는 피해는 심각하다는 점에서 개인정보 보호는 행정 데이터와 관련하여 가장 핵심적인 이슈가 되었다. 스웨덴에서 개인정보 보호의 문제는 개인정보의 수집이 행정적으로 일찍 시작되었고, 정보통신 기술이 행정에 사용되면서, 개인정보의 보호 문제가 제기되었다. 1973년 3월 스웨덴 의회에서 데이터법(Datalagen)이 통과되고, 1974년 7월 1일부터 데이터법이 실시되었다. 그리고 데이터 관련된 문제를 다루는 정부 위원회(DIB)가 1973년 7월 세계 최초로 법무부 산하에 설립되었다. DIB는 정보의 남용이나 관리상의 문제를 다루는 것이 아니라 자문과 권고 역할을 하는 기구로 기능했고, 규제는 옴부즈만 제도를 통해서 이루어졌다. 개인 정보를 보호하기 위하여, DIB는 등록 데이터의 수집, 축적, 사용과 분석에 엄격한 제한을 가하였다. 그리하여, DIB의 인가를 획득한 사람만이 각종 등록 데이터에 접근할 수 있었다. 예를 들어, 개인 데이터의 정확성을 확인하는 공무원이나 행정 데이터를 학술적인 목적으로 분석을 하고자 하는 연구자들도 DIB의 허가를 받은 경우에 한하여 제한된 기간 동안만 데이터 접근이 허용되었다. 그러나 정부기관에 등록한 개인은 언제든지 자신의 등록 데이터에 접근할 수 있는 당사자의 데이터 접근권이 보장되었다. 스웨덴 개인 데이터 보호법과 정책은 90년대 EU 가입으로 큰 변화를 겪었다. 1995년 스웨덴이 EU에 가입하면서, 스웨덴의 개인 데이터 보호와 관련된 법과 제도도 변화를 보였다. 1995년 EU는 ‘데이터 보호 지침’(Data Protection Directive 95/46/EC, DPD)을 규정하여 개인 데이터 보호를 위한 제도를 도입하였다. 1998년 개인 데이터법은 개인 정보의 수집, 처리와 사용에 관한 조항을 포함하고, ‘개인 정보’와 ‘민감한 개인 정보’를 구분하고 있다. 민감한 개인 정보는 인종과 민족, 정치적 견해, 종교와 철학적 신념, 노조가입 여부, 건강과 성생활에 관한 정보들이다. ‘민감한 개인정보의 접근, 활용 및 분석’은 금지된다. 민감한 데이터의 분석은 당사자들의 명백한 동의가 있는 경우, 본인에 의해서 출판된 경우, 고용법에서 요구하는 의무를 완수하기 위한 경우, 비영리 기구 내에서 정보를 처리하는 경우, 건강과 의료 보장을 위해 필요한 경우에만 예외를 인정하였다. 데이터법의 개정은 데이터법의 실시 결과로 나타나는 여러 가지 문제에 기인하였다. 먼저, 데이터법에서 제시한 개인정보 보호는 살아있는 사람에게만 적용되었기 때문에, 사망한 사람들의 사망원인 분석 등에서는 개인 정보를 보호할 수가 없었다. 개인정보 보호가 제한적으로 이루어져서, 개인정보 보호의 효과도 제한적으로 나타났다. 또한 컴퓨터 사용이 확대되면서, 개인 정보에 대한 위협이 더욱 높아졌다. DIB는 이러한 위협에 대응하여 데이터 사용을 더 엄격하게 하고자 하였지만, 스웨덴 통계청은 데이터를 사용하는 사람들이 겪는 어려움을 덜고자 하였기 때문에, 개인정보 보호의 수준을 낮추어야 한다고 주장하였다. 데이터 사용을 둘러싼 DIB와 스웨덴 통계청의 갈등은 컴퓨터의 발달과 보급에 따른 행정 데이터의 이용을 둘러싸고 발생한 국가기관 간 이해 대립의 산물이었다. 스웨덴 행정 데이터의 수집과 통합은 한국에 여러 가지 시사점을 제공하고 있다. 먼저, 스웨덴의 행정 데이터 생산과 활용을 통하여 스웨덴 복지국가의 제도적, 행정적 기반이 정확한 개인 정보의 축적과 활용에 있다는 점이다. 복지국가는 사상이나 정치적 이념에 의해서 논의가 시작되었지만, 복지정책과 제도는 사회에 대한 정확한 진단과 분석에 출발해야 하고, 정확한 데이터에 기반을 두어야 한다. 스웨덴의 행정 데이터가 이러한 기능을 선도적으로 하고 있다. 둘째, 한국은 이미 주민등록번호제도를 실시하고 있기 때문에, 행정 데이터 통합과 관련하여서는 개인 ID 문제는 어느 정도 해결되었다고 볼 수 있다. 개인 ID의 암호화와 행정기관이나 공공기관들 사이의 데이터 통합이 과제로 남아있지만, 한국의 주민등록제도는 스웨덴보다 더 효율적으로 행정 데이터 통합이 가능할 수 있다는 것을 시사한다. 즉, 개인 주민등록번호를 암호화된 개인번호(PIN)로 전환하는 것이 사전적으로 필요하며, 개인정보와 민감한 개인정보에 대한 사용자의 접근 시 보안이 더욱 강화되어야 한다. 스웨덴 사례는 스웨덴의 개인정보 보호와 관련된 법과 제도의 변화와 OTP와 같은 새로운 기술의 사용 예를 잘 보여준다.