빅데이터 시대로 나아가기 위한 이정표 데이터 3법 개정안 국회 의결

빅데이터 시대로 나아가기 위한****이정표

데이터 3법 개정안 국회 의결

- 개정안들의 주요 내용 및 향후 실무 쟁점에 관하여

가명정보의 이용 및 데이터 결합, 개인정보 보호 감독 기구의 일원화 및 지위 격상, 개인정보 보호 법률의 일원화를 내용으로 하는 「개인정보 보호법」(이하 “개인정보법”) 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “정보통신망법”) 개정 법률안이 2020. 1. 9. 국회 본회의를 통과하였습니다. 또한 개인정보법과 같이 가명정보 개념을 도입하고, 신용정보 관련 산업에 관한 규제체계를 정비하는 한편, 신용정보주체의 개인정보 자기결정권을 강화하는 것을 골자로 하는 「신용정보의 이용 및 보호에 관한 법률」(이하 “신용정보법”) 개정 법률안도 함께 국회 본회의를 통과하였습니다.

데이터 경제 활성화에 대한 기대를 높이고 있는 개인정보법, 정보통신망법 및 신용정보법의 주요 개정 내용과 그에 따른 향후 전망을 아래와 같이 보내 드리니 업무에 참고하시기 바랍니다.

1. 개인정보법 주요 개정 내용

(1) 가명정보 개념 도입 및 활용 가능성 확대

개정 개인정보법은 개인정보를 “살아 있는 개인에 관한 정보”로 규정하면서 다음과 같이 3가지로 분류하고 있습니다.

개인 정보	가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보
나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보(쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려)
다. 가명처리를 통해 원래의 상태로 복원하기 위한 추가 정보의 사용∙결합 없이는 특정 개인을 알아볼 수 없는 정보

이와 함께 용어로 정의하지는 않았지만, “이 법은 시간∙비용∙기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보에는 적용하지 아니한다”는 적용제외 규정을 두어 “더 이상 개인을 알아볼 수 없는 정보”인 “익명정보”를 실질적으로 개인정보에서 분리해 내고 있습니다.

우선 개정법은 위 항목 중 나.에서 “쉽게 결합할 수 있는지 여부”의 기준으로 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 제시함으로써 개인정보가 다른 정보와의 결합가능성을 통해 무제한 확대되는 것을 방지하고 있습니다.

이와 함께 위 다.와 같이 “가명정보”의 개념을 도입하여 정보주체의 동의가 없더라도 통계작성, 과학적 연구, 공익적 기록보존의 목적으로 가명정보인 개인정보를 처리할 수 있도록 허용하고, 서로 다른 정보처리자가 보유하고 있는 가명정보는 개인정보보호위원회 또는 관계 중앙행정기관의 장이 지정한 전문기관이 결합할 수 있도록 하였으며, 결합된 정보는 가명정보 또는 익명정보로 처리한 뒤 전문기관의 장의 승인을 받아 결합 수행 기관 외부로 반출할 수 있도록 하여, 개인정보를 가명처리한 후 다양하게 이용할 수 있는 길을 열고 있습니다. 이와 같이 정보주체의 동의 없이 가명정보 이용이 가능하도록 하는 한편, 이에 따라 발생할 수 있는 정보주체 권리 침해를 방지하기 위해 가명정보의 복원에 필요한 추가정보의 분실∙유출 등을 방지하기 위한 안전성 확보 조치 의무, 가명정보 처리 관련 기록 작성∙보관 의무, 특정 개인을 알아보기 위한 가명정보처리 금지의무, 가명정보 처리시 생성된 특정 개인 식별 가능 정보 처리 중지∙회수∙파기 의무 등을 규정하고, 이를 위반할 경우 형사처벌, 과태료, 과징금 등의 제재가 이루어지도록 하였습니다.

(2) 정보주체의 동의 없는 개인정보 이용 범위 확대

개정법은 “당초 수집 목적과 합리적으로 관련된 범위 내”에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 정보주체의 동의 없이 개인정보를 이용할 수 있도록 함으로써 정보주체의 동의 없는 개인정보 이용 범위를 확대하고 있습니다. 이는 EU GDPR 제5조 제1항 (b)호와 제6조 제1항 (f)호를 차용한 조항으로 볼 수 있는데, 다만 개정법은 구체적인 이용범위를 대통령령으로 위임하고 있어 향후 개정될 개인정보법 시행령 규정을 확인할 필요가 있습니다.

(2) 개인정보 보호위원회로 개인정보 보호 감독 기구 일원화 및 권한 확대

개정법은 개인정보 보호위원회((이하 “보호위원회”)를 국무총리 소속 중앙행정기관으로 격상하는 한편, 현행법상 개인정보 관련 주무부처였던 행정안전부와 방송통신위원회의 개인정보 보호 관련 기능을 보호위원회로 이관하여 개인정보 보호 감독 기구를 일원화하고, 개인정보처리자에 대한 검사참여, 시정조치 요청, 처분에 대한 의견 제시 등 보호위원회의 권한을 확대하고 있습니다.

(3) 현행 정보통신망법상 규제 반영

현행법은 개인정보에 관한 일반법으로서 개인정보법, 정보통신서비스제공자와 이용자 관계에서 적용되는 개인정보 관련 법률로서 정보통신망법으로 나뉘어 있는데, 개정법은 개인정보 관련 법제를 개인정보법으로 단일화하기 위해 현행 정보통신망법에서 개인정보 관련 규정을 삭제하고, 개인정보 이용내역 통지, 개인정보 국외 이전 시 보호조치, 국외 재이전시 조치, 국내 주소 또는 영업소가 없는 정보통신서비스 제공자의 국내대리인 지정, 손해배상 보험 가입 등 손해배상의 보장, 노출된 개인정보의 삭제∙차단, 상호주의 등 정보통신망법에 규정되어 있던 규정을 개인정보법에 특례 규정으로 옮겨 규정하였습니다.

2. 정보통신망법 주요 개정 내용

위와 같이 개인정보 관련 법제 일원화를 위해 현행 정보통신망법에 규정되어 있던 개인정보 관련 규정이 삭제되었습니다.

3. 신용정보법 주요 개정 내용

(1) 개인신용정보에 가명정보 포함 및 활용 가능성 확대

개정 신용정보법은 “개인신용정보”를 “기업 및 법인에 관한 정보를 제외한 살아 있는 개인에 관한 신용정보”라고 정의하고, 이를 “성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보”와 “해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보”로 구분하고 있습니다.

개정 개인정보법과 달리 개인신용정보의 정의 아래 가명정보를 포함하지 않고, 별도로 “가명처리한 개인신용정보”를 “가명정보”로 정의하는 한편, “가명처리”를 “추가정보를 사용하지 아니하고는 특정 개인인 신용정보주체를 알아볼 수 없도록 개인신용정보를 처리하는 것”이라고 정의하고 있습니다. 또한 개정 개인정보법에서는 별도로 정의규정을 두지 않은 “익명처리”에 대해서도 “더 이상 특정 개인인 신용정보주체를 알아 볼 수 없도록 개인신용정보를 처리하는 것”으로 별도 정의규정을 두고 있습니다.

개정 신용정보법은 이와 같은 가명정보와 관련하여 통계작성, 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 이를 이용할 수 있도록 하고 있는데, 이 때 시장조사 등 상업적 목적 통계작성 및 산업적 연구가 포함된다는 점을 명확히 하여 가명처리된 개인신용정보를 이용하여 금융분야 데이터 관련 산업이 성장할 수 있는 토대를 제공하고 있습니다.

이와 같은 가명정보의 활용에 따른 부작용을 방지하기 위해 개정법은 신용정보회사 등에 대하여 가명처리에 사용한 추가정보는 일정한 방법으로 분리하여 보관하도록 하고, 신용정보회사 등은 가명정보를 보호하기 위하여 일정한 기술적∙물리적∙관리적 보안대책을 수립∙시행하도록 하며, 가명정보를 이용하는 과정에서 특정 개인을 알아볼 수 있게 된 경우 처리를 즉시 중지토록 하고, 특정 개인을 알아볼 수 있게 된 정보를 즉시 삭제하도록 하는 등의 안전조치 의무를 부과하고 있습니다. 이와 같은 의무 위반시 과태료가 부과되며 영리 또는 부정한 목적으로 가명정보를 재식별 조치할 경우 형사처벌, 과징금 등의 제재가 가능합니다.

 

또한 개정 신용정보법은 신용정보회사 등이 가지고 있는 정보집합물을 제3자가 보유하는 다른 정보집합물과 데이터 전문기관을 통해 결합할 수 있도록 하는 한편, 데이터 전문기관이 결합된 정보집합물을 해당 신용정보회사 등에게 전달하는 경우에는 가명처리 또는 익명처리가 된 상태로 전달하도록 하여 산업분야 간 데이터 결합 및 가명정보 또는 익명정보인 결합 데이터 활용이 가능하도록 하고 있습니다.

(2) 개인신용정보의 수집∙이용 등 관련 규정 정비

그 동안 현행 신용정보법은 개인신용정보의 처리와 관련하여 개인정보법과 다른 체계를 가지고 있어 해석에 상당한 혼란을 초래하여 왔습니다. 그런데 이번 개정으로 개인정보법과 유사한 체계로 개인신용정보의 처리에 관한 규정들을 정비하면서 정보주체의 동의 예외와 관련한 규정도 개인정보법과 유사하게 정비∙확대하였습니다.

우선 개인신용정보 수집과 관련하여, 개인신용정보를 수집하기 위해서는 원칙적으로 신용정보주체의 동의를 받아야 하는데, 현행 신용정보법은 동의 없이 개인신용정보 수집이 가능한 범위가 개인정보법과 달리 규정되어 있었으나, 개정법은 개인정보법상 수집 동의 예외 사유가 그대로 적용되도록 하는 한편, 공시 또는 공개된 정보도 정보주체의 동의 없이 수집할 수 있도록 하여 개인정보법보다 동의 예외 사유를 더욱 확대하고 있습니다.

또한 신용정보 처리업무의 위탁과 관련하여서도 개인정보법상 개인정보 처리업무 위탁 관련 규정을 준용하여 정보주체의 동의 없이 신용정보 처리업무 위탁이 가능하다는 점을 분명히 하였습니다.

개인신용정보를 제공하는 경우에도 원칙적으로 정보주체의 동의를 받아야 하지만, 동의 예외 사유에 (i) 통계작성(시장조사 등 상업적 목적 통계작성 포함), 연구(산업적 연구 포함), 공익적 기록보존 등을 위하여 가명정보를 제공하는 경우, (ii) 정보집합물의 결합 목적으로 데이터 전문기관에게 개인신용정보를 제공하는 경우, (iii) 당초 수집한 목적과 상충되지 아니하는 목적으로 개인신용정보를 제공하는 경우로서 양 목적 간의 관련성, 신용정보회사등이 신용정보주체로부터 개인신용정보를 수집한 경위, 해당 개인신용정보의 제공이 신용정보주체에게 미치는 영향, 해당 개인신용정보에 대하여 가명처리를 하는 등 신용정보의 보안대책을 적절히 시행하였는지 여부 등을 고려하는 경우를 추가하여 동의 예외 사유가 확대되었습니다.

개인신용정보 이용에 관해서도, 현행 신용정보법은 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하는 것을 원칙으로 하면서, 정보주체의 동의, 정보주체의 직접 제공 등의 경우에 이용이 가능한 것으로 규정하고 있습니다. 그런데 개정법은 현행법상 개인신용정보 이용 요건에 더하여, 위에서 살펴 본 (i) 통계작성, 연구, 공익적 기록 보존 등을 위하여 가명정보를 이용하는 경우, (ii) 정보집합물 결합 목적으로 데이터 전문기관이 이용하는 경우, (iii) 당초 수집한 목적과 상충되지 아니하는 목적으로 이용하는 경우 등 정보주체의 동의 없이 개인신용정보 이용이 가능한 요건을 규정하고 있습니다.

(3) 신용정보 관련 산업의 규제체계 정비

개정 신용정보법은 포괄적으로 규정되어 있던 현행 신용조회업을 개인신용평가업, 개인사업자신용평가업, 기업신용조회업으로 구분하고, 진입규제를 각 사업에 맞게 조정하였습니다. 특히 개인신용평가업의 한 종류로 통신, 전기, 가스, 수도 요금 등 비금융정보를 활용하여 신용을 평가하는 비금융정보 전문개인신용평가업을 추가로 도입하면서 허가요건을 대폭 완화하는 등 금융분야 데이터산업 진입규제를 완화하고 이를 통한 경쟁 활성화를 유도하고 있습니다.

또한 개인인 신용정보주체의 신용관리를 지원하기 위하여 본인의 신용정보를 일정한 방식으로 통합하여 그 본인에게 제공하는 행위를 영업으로 하는 본인신용정보관리업(MyData)을 도입하고 있습니다. 본인신용정보관리업은 진입요건이 완화되어(최소 자본금 5억원) 다양한 사업자가 진입하여 개인 금융정보 관리, 맞춤형 상품 추천, 투자 및 금융 관련 자문 등의 업무를 수행하는 것이 가능해 졌는데, 이와 같은 진입요건 완화와 함께 신용정보의 전송은 표준 API 방식 등 안전한 방식을 이용하도록 정보보호체계가 보완되었습니다.

(4) 신용정보주체의 개인정보 자기결정권 강화

개정 신용정보법은 가명정보 활용 등을 통해 데이터 기반의 금융산업이 발전할 수 있는 토대를 제공하는 한편, 금융분야 개인정보 보호를 강화하는 내용도 추가되었습니다. 특히 신용정보주체가 금융회사, 정부, 공공기관 등에 대하여 본인에 관한 개인신용정보를 본인이나 본인신용정보관리회사, 다른 금융회사 등에게 전송하여 줄 것을 요구할 수 있는 전송요구권을 도입하고, 신용정보주체가 금융회사 등에게 자동화평가 실시 여부 및 자동화평가의 결과, 기준 등에 대한 설명을 요구하고, 관련 정보의 제출, 정정∙삭제 요구 등을 할 수 있는 자동화평가에 대한 대응권을 도입하여 신용정보주체의 개인정보 자기결정권을 강화하고 있습니다.

4. 향후 주요 쟁점

이처럼 개인정보법과 신용정보법이 개정됨에 따라 금융분야를 비롯한 전체 산업분야에서 데이터가 폭넓게 이용될 수 있는 기초가 마련되었습니다. 한편 이번 개정으로 한∙EU간 개인정보 국외전송에 대한 EU 집행위원회의 적정성 결정이 이루어질 가능성이 높아졌고, 이에 따라 표준계약체결 등의 절차가 생략되는 등 국내 기업의 EU 거주자 정보 활용이 용이해질 것으로 보입니다. 다만, 개정 데이터 관련 법률들은 구체화가 필요한 다양한 내용을 대통령령에 위임하고 있고, 개인정보법과 신용정보법간 규정이 일치하지 않는 부분도 여전히 존재하여 앞으로 개정법의 해석 및 적용과 관련하여 시행령의 규정 내용, 개인정보 보호위원회 등의 유권해석 등을 지속적으로 주시할 필요가 있습니다.

(1) 가명정보 해당 여부 및 이용 범위

우선 가명정보가 이용될 수 있는 범위와 관련하여, 개정 신용정보법은 상업적/산업적 목적이 포함된다는 점을 명시하고 있으나, 개정 개인정보법은 이를 명시하고 있지 않습니다. 국회는 개인정보법 의안에 “가명정보 활용 범위를 상업적/산업적 목적을 포함하는 것으로 명시적으로 규정할 필요가 있다”는 소수의견을 기재하고 있는데, 이를 현 개정 개인정보법에 이미 상업적/산업적 목적이 포함된 것으로 본다는 취지로 이해할 수 있는 것인지, 최종적으로 명시적 규정이 제외된 만큼 포함되지 않는 것으로 보아야 하는지 해석이 갈릴 수 있을 것으로 보입니다. 특히 상업적/산업적 목적의 포함 여부는 개정안과 관련하여 가장 논쟁이 활발히 이루어진 문제였고, 데이터가 산업에 어느 정도로 활용될 수 있는지 좌우할 수 있는 요소인 만큼 명확한 해석과 적용례가 조속히 마련될 수 있도록 할 필요가 있을 것으로 보입니다.

또한, 가명정보의 범위와 관련하여 “추가 정보를 사용(및 결합)하지 아니하고는 특정 개인을 알아볼 수 없는 개인(신용)정보”라고 규정하고 있으나, 실제 기업들이 많이 활용하고 있는 ADID 기반의 정보를 가명정보로 볼 수 있는지 여부 등에 관한 해석이 필요한 것으로 생각됩니다.

(2) 익명정보의 활용범위

개정 신용정보법이 익명처리에 관한 정의규정을 두고, 신용정보회사등이 익명처리의 적정성에 대해 금융위원회의 심사를 요청할 수 있고, 그에 따라 금융위원회의 인정이 있는 경우 이를 익명정보로 추정하는 규정을 두고 있는 것과는 달리, 개정 개인정보법은 익명정보를 별도로 규정하지 않고, “시간∙비용∙기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보”에 대해서는 법을 적용하지 않는 것으로만 규정하고 있습니다. 그런데 위 규정은 “합리적 고려”라는 해석의 여지가 많은 개념을 사용하고 있어서, 개인정보법 적용이 제외되는 익명정보의 범위가 명확히 판단되지 않는 문제가 발생할 수 있을 것으로 보입니다.

(3) 개인정보법과 신용정보법간 규정 차이에 따른 해석 및 적용

개정 개인정보법은 정보주체의 동의 없이 개인정보를 이용할 수 있는 경우로서 “당초 수집 목적과 합리적으로 관련된 범위” 내에서 이용하는 경우를 규정하고 있는 반면, 개정 신용정보법은 유사한 규정으로서 “당초 수집한 목적과 상충되지 아니하는 목적으로 이용하는 경우”를 규정하고 있어, 양 법률의 규정이 동일하게 해석될 수 있는지 등 그 해석∙적용과 관련하여 유권해석 및 관련 사례 발생시 해결 방향 등을 유의하여 살펴보아야 할 것으로 보입니다.

또한 개정 개인정보법은 데이터 결합과 관련하여 결합 대상을 가명정보로 규정하고, 가명정보를 결합한 후에도 다시 가명처리, 익명처리를 하도록 규정하고 있는 반면, 개정 신용정보법은 데이터 결합과 관련하여 정보집합물을 그 대상으로 규정하고 있는데, 정보집합물의 정의에 “가명정보” 또는 “익명정보”의 성격을 명시하고 있지 않습니다. 이와 같은 양 법률상 규정의 차이로 인해 어떤 데이터를 결합할 수 있는지에 관하여 해석이 달라질 수 있고, 이에 따른 실무상 혼선이 야기될 수도 있을 것으로 보입니다. 특히 데이터 결합의 대상이 처음부터 가명정보인 경우 실제로 결합 데이터가 산업에 유의미하게 이용되기 어렵다는 의견도 있는 만큼 가명성 또는 익명성과 관련하여 명확하게 규정하고 있지 아니한 개정 신용정보법의 정보집합물에 대한 해석이 중요한 쟁점이 될 수 있을 것으로 생각됩니다.

(4) 신용정보주체의 개인정보 자기결정권 강화 관련

개정 신용정보법이 도입하고 있는 전송요구권이나 자동화 평가에 대한 대응권과 관련하여 관련 시스템의 구축 비용, 해당 권리에 따른 처리 절차 등과 관련하여서도 완전한 정착까지 다양한 이슈가 발생할 수 있을 것으로 보입니다. 특히 자동화 평가에 대한 대응권과 관련하여, AI 등을 통한 평가 결과가 입력 데이터의 문제 등으로 예상치 못한 편향성 등을 갖게 되는 경우 신용정보주체와 다양한 마찰이 발생할 우려도 있는바, 자동화 평가와 관련한 편향성 해소, 적정성 확보, 오류 해소 등과 관련한 사전점검의 필요성 등이 대두될 것으로 보입니다.

저희 법무법인은 그간 정보보호와 관련한 다수의 자문 및 소송 업무를 수행하여 왔고, 컴플라이언스 시스템 사전 수립 및 점검 등 다수의 실무 경험도 보유하고 있습니다. 이번 개정은 데이터 경제 진입의 초석이라고 평가 받고 있는 한편, 폭넓은 변화에 따른 다양한 문제가 발생할 가능성이 높으므로, 개정법과 관련한 자문 및 시스템 점검 등 문의사항이 있으면 언제든 저희 법무법인에 연락 주시기 바랍니다.