[전승재 변호사의 IT 인사이트] 개정 데이터 3법 시행

지난 5일 바야흐로 개정 데이터 3법이 시행됐다. 데이터 3법이란 개인정보 보호법, 정보통신망법, 신용정보법을 일컫는 것으로, 이용자 개인 데이터 활용에 관한 규제가 주요 내용이다. 법률 개정안은 지난 2018년 11월 15일 국회에 발의됐으나, 개인정보 보호 강화를 주장하는 입장과 산업적 활용을 강조하는 입장이 팽팽히 맞서는 바람에 사회적 합의에 이르는데 다소 시간이 소요됐다.

개정법으로 인해 달라지는 제도는 크게 다음과 같다.

첫째, 개인정보 정의규정이 개정돼 그 범위가 축소된다. 예컨대 질병진단 인공지능 알고리즘을 개발하는 IT회사에게 환자 이름표를 뗀 엑스레이 사진, CT/MRI 사진 등을 학습데이터 용도로 제공한다면, 이 사진은 촬영한 의료기관의 관점에서는 진료기록과 결합하여 환자 개인을 특정할 수 있는 정보로서 당연히 개인정보에 해당하지만, IT회사의 입장에서는 그 환자가 누구인지 알 수 없다. 입수가 어려운 다른 정보와 결합해야만 개인을 식별할 수 있는 데이터의 경우, 종전 법률에 따를 때 개인정보에 해당할 소지가 컸던 반면, 개인정보의 범위를 축소한 개정법에 따르면 개인정보에 해당하지 않을 여지도 있게 된다.

둘째, '가명정보' 개념이 도입됐다. 일상생활 주변에서 볼 수 있는 가명정보의 예시는 바로 코로나 확진자 번호이다. 예컨대 코로나 확진자의 이름 등 인적사항을 확진자 번호(가명)로 대체함으로써 외부에서 해당 개인을 알아보지 못하도록 가공하면 가명정보에 해당할 수 있다. 한편, 확진자 번호 이외에 공개된 다른 정보 중 예컨대 '직업: 국가대표 펜싱선수'와 같은 특이한 속성이 포함되면 그 개인을 사실상 특정할 수 있기 때문에 이것은 가명정보가 아니다. 이처럼 가명정보는 광의의 개인정보이기는 하지만, 개인을 알아보기 위해 필요한 결합정보(법문상 '추가정보')가 비밀로 유지된다는 전제 하에 산업적 활용이 일부 허용된 정보이다.

셋째, 신용정보법에서 '개인신용정보 전송요구권'(이른바 '마이데이터') 제도가 도입됐다. 신용정보주체 본인은, 금융기관, 기간통신사업자 및 일정한 공공기관(한전, KRX 등)을 상대로 그 기관이 보유하는 본인의 신용정보를 본인이 지정한 다른 금융기관(마이데이터 사업자 포함)으로 API를 통해 전송해줄 것을 요구할 수 있다. 이로 인해 해당 개인의 계좌정보, 대출정보, 카드정보, 보험정보, 금융투자 정보, 세금 및 통신료 등 납부정보 등이 금융기관 간 공유되어 맞춤형 금융 서비스를 보다 정교하게 제공할 수 있게 됐다.

넷째, 개인정보 보호 컨트롤타워가 종전에는 정보통신망법 소관부처인 방송통신위원회 및 개인정보 보호법 소관부처인 행정안전부로 나뉘어 있었는데, 이것이 개인정보 보호위원회로 통합된다.

이에 따라 정보통신망법상 개인정보 보호에 관한 규정도 개인정보 보호법으로 이관된다. 다만, 금융분야 개인정보 보호에 관한 법집행 권한은 신용정보법의 소관부처인 금융위원회에 그대로 남았다. 즉, 완전한 통합은 아니고 금융부문 금융위원회, 비금융부문 개인정보 보호위원회로 양분된 셈이다. 연혁적으로 개인정보 보호법은 개인정보 침해사고에 대비한 규제 쪽으로 방향을 잡은 반면, 신용정보법은 개인신용정보를 여신서비스 등에 활용하기 위한 근거로서 발전돼 온 측면이 있다. 이 때문에 일반법인 개인정보 보호법보다 특별법인 신용정보법의 규제가 오히려 더 완화돼 있는 부분도 있으며, 두 법률의 관계에 대해 향후 본격적으로 논의될 것으로 보인다.