"개인정보 이동권 단계적 확대…과징금 `전체 3%` 재검토 필요"

(왼쪽부터)황창근 홍익대 교수, 이경상 대한상의 본부장, 강형덕 중소기업중앙회 실장, 이진규 네이버 이사, 최경진 가천대 교수, 김현종 삼성전자 상무, 오병일 진보네트워크 대표, 정지연 한국소비자연맹 사무총장, 박민철 김앤장 변호사가 8일 오후 진행된 `개인정보 보호법 2차 개정안` 온라인 공청회에서 지정토론을 실시하고 있다.(사진=개인정보보호위원회 제공)

[이데일리 이후섭 기자] 개인정보보호위원회는 개인정보 이동권 도입, 동의제도 개선, 과징금 부과기준 상향 등을 골자로 하는 `개인정보 보호법` 2차 개정안을 추진하고 있다. 하지만 산업계와 시민단체에서는 개인정보 이동권 악용으로 인한 침해 우려와 더불어 인적·물적 여건이 미비한 중소기업에는 부담이 되기에 유예기간이 필요하다는 의견이 나온다.

또 과징금 부과기준을 `위반행위 관련 매출액의 3%`에서 `전체 매출액의 3%`로 강화하는 것은 공정거래법이나 정보통신망법에 비해 지나치게 과중한 제재라는 반발의 목소리가 높다. 개인정보 위반행위와 관련한 매출액 산정기준을 마련하는 등 합리적인 대안을 우선적으로 검토할 필요가 있다는 것이다.

◇정보주체 권리 실질적 보장 노력…상빈기 국회 제출 예정

개인정보보호위원회는 8일 개인정보 보호법 2차 개정안에 대한 학계, 산업계, 법조계, 시민단체 등의 의견을 수렴하기 위해 온라인 공청회를 개최했다. 개인정보위는 지난 1월 6일 개인정보 보호법 2차 개정안을 입법예고했고, 이번 공청회를 포함해 관계부처 및 이해관계자의 의견수렴 과정을 거쳐 올해 상반기 내에 개정안을 국회에 제출할 계획이다.

이번 개정안에는 본인 정보를 본인 또는 제3자에게 전송 요구할 수 있는 개인정보 이동권을 도입해 국민이 자신의 개인정보가 언제, 누구에게, 어느 범위까지 이용·제공되도록 할 것인지 스스로 결정할 수 있도록 한다. 금융·공공 등 일부 분야에서 개인정보 이동권 근거를 마련해 마이데이터 사업을 추진해왔는데, 이를 일반적 권리로 확대하는 것이다.

과징금을 대폭 강화해 부과 대상을 정보통신서비스 제공자에서 전체 기업·기관으로 확대하고, 부과기준도 `위반행위 관련 매출액`에서 `전체 매출액`으로 상향한다. 사전동의 제도에 지나치게 의존하고 있는 필수동의 규정을 정비해 `동의 만능주의`를 타파할 방침이다. 서비스 계약체결이나 이행에 필수적인 개인정보는 동의 없이도 수집·이용이 가능하도록 개선하고, 개인정보 처리방침의 적정성을 심사하는 제도를 도입한다.

최경진 가천대 교수는 “개인정보위가 독립 출범한 후 처음으로 추진하는 법안으로, 정보주체 권리를 실질적으로 보장할 수 있는 노력이 담겼다”며 “글로벌 규제에 부합하고, 지난해 데이터 3법 개정을 통해 물리적으로 이뤄졌던 통합을 넘어 화학적인 통합을 이뤄내기 위한 법안”이라고 평가했다.

(자료=개인정보보호위원회 제공)

◇“사생활 침해 안전장치 필요”…부담 큰 중소기업엔 유예기간 부여

이날 공청회에 참석한 각계 대표들은 개정안이 정보주체 권리 강화, 개인정보 규제 합리화 측면에서 보다 진전된 법이라는 데에는 공감했지만, 일부 조항에 대해서는 우려와 경계의 시선을 보냈다.

우선 개인정보 이동권에 대해서는 산업계와 시민단체 모두 충분한 논의가 더 이뤄져야 한다는 입장이다. 시민단체와 중소기업중앙회는 입법 수요 발굴 과정에서 자신들의 의견이 반영되지 않은 점에 대해 유감을 표명했다.

정지연 한국소비자연맹 사무총장은 “현재 형식화된 동의 제도나 정보의 비대칭성을 고려하면 자칫 대량의 개인정보를 합법적으로 수집·활용하는데 악용될 우려가 있다”며 “이를 소비자가 사전에 충분히 인지하도록 하고, 안전장치를 만들 필요가 있다”고 지적했다.

오병일 진보네트워크 대표도 “개인정보 이동권이 신용정보법상의 마이데이터 사업 활성화를 위해 도입되고 있는 것처럼 보인다”며 “완전히 별개 이슈이고 서로 다른 모델인데, 특정 개인정보 처리자가 이를 통합 관리할 경우 개인을 감시할 수 있는 우려가 있다”고 걱정했다.

중소기업 업계에서는 개인정보 이동권이나 자동화된 의사결정에의 대응권 도입으로 업무 부담을 커질 것을 우려하고 있다. 강형덕 중소기업중앙회 실장은 “중소기업은 개인정보 전담인력이 부족하고, 시스템이나 기술도 많이 부족하기에 도입 대상에서 예외토록 하거나 충분한 준비기간을 가질 수 있도록 재검토해주길 바란다”고 촉구했다.

이에 개인정보위는 개정안 시행령에 이해관계자 의견을 수렴해 중소기업에 대해서는 일정 유예기간을 주고, 대상요건을 단계적으로 확대할 계획이라고 답했다.

(자료=개인정보보호위원회 제공)

◇매출액 산정기준 고민이 우선돼야…합리적 대안도 충분히 고려

과징금 부과기준 상향에 대해서는 대기업, 중소기업을 막론하고 산업계가 일제히 반발했다. 공정거래법이나 정보통신사업법도 `관련 매출액의 3%`인데 너무 과중한 기준이며, 불의의 사고로 발생한 유출이 대부분인데 기업에 너무 큰 부담을 지울 필요가 있느냐는 것이다.

김현종 삼성전자 상무는 “삼성전자의 지난해 기준 글로벌 매출액은 237원에 달하는데 3%면 최대 7조2000억원의 과징금으로 모수가 너무 커진다. 과연 위반행위에 비례한 제재가 되는지 의문이 생긴다”고 지적했다.

전체 매출액의 3%로 강화하기 보다 다른 방안도 충분히 모색해 볼 수 있다는 제언이다. 이진규 네이버 이사는 “과징금을 높인다고 해서 침해를 예방한다는 효과는 입증된 것이 없다”며 “개인정보 위반행위와 관련한 매출액만 따로 분류해 부과하는 것이 현실적으로 어렵다면 관련 매출액을 산정하는 기준을 우선적으로 마련하는게 맞지 않나”고 목소리를 높였다.

이경상 대한상의 본부장도 “합리적인 방법으로 관련 매출액의 3%에서 5%로, 징벌적 손해배상 기준을 3배에서 5배로 높이는 식으로 제재를 강화할 수 있다”고 제안했다.

또 개인정보 보호와 관련해 일반법인 개인정보 보호법이 다른 특별법에 우선해 적용되지만, 다른 법과 상충될 경우 개인정보 주체의 이익을 우선한다는 규정이 법 예측 가능성이 낮고 기업 입장에서 어떤 법을 지켜야 하는지 혼란을 초래할 수 있다는 지적도 나왔다.

이병남 개인정보위 개인정보보호정책과장은 “개인정보 보호 관련 규정이 다른 특별법에서 필요하더라도 개인정보 보호법의 기본 원칙은 준수돼야 한다는 방향성”이라며 “이번 개정안과 관련해 각계 의견을 들어 필요하다면 문구를 수정하고 반영하도록 하겠다”고 말했다.