* 오는 7월 발간될 <네트워커> 창간호에 게재될 글입니다.
여러나라 프라이버시 보호 현황에 대해 간략히 정리한 내용이지만 관심있는
분들은 참고하시기 바랍니다. (http://networker.jinbo.net)
<기획>
■ 찾아라, 내 개인정보에 대한 권리
개인정보 유출로 인한 사고가 잇따르면서 어떻게 하면 자신의 개인정보를
보호할 수 있는지 궁금해 하는 사람들이 많아졌다. 그러나 개인정보 보호는
흔히 기술적인 보안 문제로 알려져 있기 때문에 일반인들은 정부나 업체에서
개인정보가 유출되지 않도록 잘 조치해줄 것을 기대할 뿐이다. 자신의
개인정보에 대한 통제권을 정보 관리자의 처분에 맡기는 셈이다.
개인정보 보호는 보안의 문제가 아닌 권리의 문제
보안 기술은 해킹 기술과 한 수 씩 주고 받으면서 발전한다. 따라서 해킹의
위협에서 100% 안전한 보안 기술이 없다는 것이 보안 전문가들의 지적이고 보면
개인정보 보호는 보안 이전의 문제이다. 즉 개인정보 보호는 사후에 잘
관리하는 문제가 아니라 개인정보를 수집할 당시부터 발생하는 문제라는
것이다.
바로 이 때문에 많은 국가들이 개인정보를 수집하는 단계에서부터 당사자의
권리를 법으로 보장하고 있다. 1980년 경제협력개발기구(OECD)는
<프라이버시보호와 개인정보의 국제유통에 관한 가이드라인>이라는 이사회
권고안을 채택했다. 이 권고안의 주요 내용은 자기 정보가 언제 어떻게
수집되고 사용되는지를 본인 스스로 결정해야 한다는 것이다. 개인정보 보호의
문제는 단지 기술적인 문제가 아니라 본인의 사적 정보에 대한 것이고
프라이버시권의 문제이기 때문이다. 권고안은 개인정보를 수집하고 사용할 때
반드시 본인에게 구체적인 사용 목적을 밝히고 동의를 얻어야 한다고 밝히고
있다.
최근 교육행정정보시스템(네이스)에서도 가장 큰 논란을 빚은 부분이 바로
'동의'의 문제였다. OECD 가이드라인에 따르면 교육에 관한 개인정보도
수집하고 사용할 때 당사자인 학생과 학부모에게 동의를 구해야 하는데
네이스는 그 과정이 없었던 것이다. 특히 전에는 학교 안에 있던 교육정보가
네이스로 인하여 학교 담을 넘어 국가에 집적되자 많은 학생과 학부모가
반발하였다. 40만 명에 달하는 학부모가 '동의하지 않았다'고 선언하였고
3월에는 "네이스가 개인정보에 대한 권리를 침해했다"며 손해배상 청구소송과
행정소송을 제기했다. 2천 명의 학생들이 네이스에 동의하지 않는다는 선언을
한 데 이어 지난 6월 졸업생 역시 국가를 상대로 손해배상을 청구하였다.
"내 정보에 대한 결정, 내가 하게 해 주세요"
전자정부의 기초라 할 주민등록제도 역시 국민의 자기정보통제권을 침해하고
있다는 지적을 받고 있다. 1960년대 박정희 정권이 도입한 주민등록제도는
명확한 수집과 사용 목적을 밝히지 않고 140여 개에 달하는 국민의 개인정보를
임의로 수집·사용·전산화하고 있다는 것이다. 특히 시민사회단체들은 국민이
미성년자일 때 지문을 강제로 날인받아 임의로 경찰에 넘겨 평생 관리하는 것이
위헌이라며 1999년 위헌소송을 제기했다.
OECD는 개인이 자기 정보를 스스로 통제할 수 있도록 다양한 청구권을 인정하고
있다. 개인은 정보 관리자에게 자신과 관련된 정보가 있는지 없는지를
확인받고, 합리적인 방식으로 자기 정보를 열람할 수 있어야 하며, 자기 정보에
대해 삭제·정정·보완·수정할 수 있어야 한다는 것이다.
OECD 가이드라인은 전세계 여러 나라 프라이버시보호법의 모델이 되었고
우리나라에서도 개인정보 보호 관련 법률의 모델이 되어 왔다. 우리
헌법재판소도 자기 정보에 대한 통제권을 헌법 상의 프라이버시권으로 인정한
바 있다. 그러나 네이스나 주민등록제도에서 기본적인 수집 동의의 원칙조차
논란의 대상이 되고 있는 현실은, 개인정보 보호에 대한 우리 사회의 인식이
아직 낮은 수준에 머물고 있음을 보여준다.
장여경 / 네트워커
■ OECD의 <프라이버시보호와 개인정보의 국제유통에 관한 가이드라인>
△ 수집 제한의 원칙 개인정보를 수집하는 것은 원칙적으로 제한되어야 하며
개인정보를 수집할 때는 적법하고 공정한 수단에 의해야 하며 적절한 상황에서
정보주체에게 알리거나 동의를 구해야 한다.
△ 개인정보의 질에 대한 원칙 개인정보(데이타베이스)는 사용 목적에
부합해야 하고, 사용 목적에 필요한 범위 내에서 정확하고 완전하며 최신의
상태로 유지되어야 한다.
△ 목적 명확화의 원칙 개인정보를 수집할 때는 수집시 그 수집 목적이
명확하게 제시되어야 하고 이후 이를 사용할 때는 애초 목적과 모순되지 않아야
하며 사용 목적이 변하는 각각의 경우에는 다시 명시되어야 한다.
△ 사용 제한의 원칙 개인정보는 정보주체의 동의가 있거나 법률 규정에
의하지 않고는 수집 당시 목적 이외의 용도로 누출되거나 사용되어서는 안된다.
△ 보안 확보의 원칙 개인정보의 유출, 권한 이외의 접근·파괴·사용·수정,
누출 위험에 대비하여 합리적인 보안 장치를 마련해야 한다.
△ 공개의 원칙 개인정보에 관한 개발, 운용 및 정책에 관해서는 일반적인
공개 정책을 취하여야 한다. 개인정보의 존재와 특성, 주요 사용 목적과 함께
정보 관리자의 신원과 주소를 쉽게 알 수 있는 수단이 마련되어야 한다.
△ 개인 참가의 원칙 정보주체인 개인은 정보 관리자에게 자신과 관련된
정보가 있는지 없는지 존재를 확인하고, 합리적인 시간 안에 과도하지 않은
비용과 합리적인 방식, 그리고 쉽게 알아볼 수 있는 형태로 자기 정보를 열람할
수 있어야 하며, 자신의 정보에 대해 이의를 제기하고
삭제·정정·보완·수정을 청구할 수 있어야 한다.
△ 책임의 원칙 정보 관리자는 위의 원칙들이 지켜지도록 필요한 제반조치를
취할 책임을 진다.
■ 보호받아야 할 나의 정보란 무엇인가
본인을 알아낼 수 있으면 개인정보
개인정보란 "생존하는 개인에 관한 정보로서 직간접적으로 본인을 식별할 수
있는 정보"를 의미한다. 일반적으로 성명과 주민등록번호, 연락처가
개인정보라고 알려져 있지만 본인의 신용이나 건강 기록도 개인정보에
포함된다. 또 화상·홍채·지문과 같은 사람의 생체 정보나, 개인을 추적하는
데 사용될 수 있는 인터넷 이용 기록과 핸드폰 위치정보도 개인정보로 인정받고
있다. 이상과 같은 개인정보에는 모두 개인정보 보호의 원칙이 적용된다.
최근 우리 사회에서는 교육행정정보시스템의 개인정보 보호 범위를 둘러싼
논쟁이 길어지고 있다. 교육부는 지난 6월 1일 네이스 시행지침을 발표하면서
교무·학사 170개 항목 가운데 56개를 빼고 보건영역은 143개 가운데 8개만
남겼다. 교육부가 네이스에 아무런 문제가 없다던 애초의 태도를 벗어나
생활보호 대상자 여부, 소년소녀 가장 여부, 징계내용, 상담내용, 선도 필요성,
질병 이름 등 '민감한' 일부 개인정보를 네이스에서 제외하기로 한 것이다.
그러나 국가인권위원회는 네이스에 대한 인권침해 결정에서 이름과
주민등록번호, 사진, 성별과 같은 기초 학적정보도 삭제할 것을 권고했다.
교육행정정보시스템의 개인정보 전체가 개인정보를 보호하기 위한 기본 원칙을
따라야 한다고 본 것이다.
교육정보는 특히 엄격한 보호 대상
다른 나라에서도 교육정보를 전체적으로 '민감한' 개인정보로 분류하고 사전에
당사자의 동의를 받아야 하는 '옵트인'(opt-in) 정책을 적용하고 있다. 미국은
'가족의 교육권과 프라이버시 보호법'을 두고 교육정보의 공개 목적·공개 대상
등에 대해 당사자가 충분한 설명을 듣고 사전에 서면 동의를 한 경우에만 이를
공개하거나 제3자에게 제공할 수 있도록 했다. 루이지애나주와 텍사스주는 학생
기록을 비밀 정보로 분류하고 있으며 네브라스카주에서는 학생이 졸업할 때
학생의 처벌 기록을 파기하도록 법률로 명시했다.
이에 따라 개인정보의 민감성에 대한 교육부의 판단이 자의적이라는 비판을
받고 있다. 교육부가 '민감하지 않다'고 판단한 학생의 기초 학적정보도
특수학교 학생에 대한 것이라면 민감한 정보가 될 수 있다.
전자정부특별위원회에서 2002년에 펴낸 한 보고서도 교육정보를 금융신용정보와
같은 2급 보호대상으로 분류하고 있다.
장여경 / 네트워커
<표> 개인정보의 등급
등급 개인정보의 유형
1급 신조·의료·성생활·인종·혈통·범죄·국가안보와 관련된 비밀정보
2급
교육·고용·금융신용·주민번호·자격증명·지문·혈액형·DNA·출입국정보 등
3급 개인이 제출한 정보, 프로파일링된 개인정보, 법령에 의한 수집정보 등
4급 기관의 견해, 타인의 견해, 정부기관의 응답, 공개가능한 통신문 등
5급 연구목적, 통계목적, 학술자료 등의 집합적으로 활용되는 정보 등
* 출처 : 전자정부특별위원회(2002), <안전한 전자정부를 구현하기 위한
개인정보 보호 및 정보보안 대책>
■ 많은 나라가 프라이버시보호법을 갖고 있다
프라이버시위원회의 활약
개인정보가 나치에 의해 악용된 후 유럽은 일찌기 프라이버시권을 인격권
차원에서 보호해 왔고 1995년에는 전자상거래와 인터넷에 적용되는 <개인정보의
처리와 자유로운 유통에 관한 개인정보 지침>을 채택하였다. 이 지침은
회원국들이 독립적인 프라이버시 감독기구를 의무적으로 설치하게 하고
개인정보를 적절히 보호하지 않는 국가로 개인정보 이전을 금지했다. 지침 발표
후 유럽연합의 회원국들은 1998년까지 공공·민간을 포괄하는
프라이버시보호법을 제·개정했고 독립적인 프라이버시 감독기구를 설치했다.
영국은 '데이터 보호 감독관' 제도를 두고 정부기관이 국민의 개인정보를
포함하는 데이터베이스를 만들 때 사전에 반드시 감독관의 평가를 받도록 했다.
프랑스는 '국가정보처리자유위원회'를 두고 정부 뿐 아니라 개인정보의
소지자라면 누구에 대해서든 프라이버시보호법의 위반 여부를 조사하고 시정
명령을 내리거나 검찰에 고발하도록 했다. 특히 공공기관이 개인정보를
포함하는 데이터베이스를 만들 때는 위원회의 의견을 청취하도록 하고 위원회가
데이터베이스에 찬성하지 않으면 법적 절차 없이는 이를 거스를 수 없도록
하였다. 특히 보건 분야의 개인 정보는 위원회의 허가를 얻어야만 구축할 수
있다. 민간도 개인정보 데이터베이스를 구축할 때 위원회에 신고해서 일반인이
열람하거나 자기 권리를 주장할 수 있도록 보장했다.
우리처럼 전자주민카드의 도입을 두고 정부와 시민사회가 맞섰던 호주는 논쟁
끝에 프라이버시보호법을 제정하고 호주의 교육정보시스템을 이 법률에서
명시한 국민의 정보인권과 조화하도록 노력했다.
프라이버시보호법을 제정한 여러 나라에서 우리의 주민등록번호에 해당하는
국민 식별번호를 엄격히 관리하는 것이 눈에 띈다. 독일, 프랑스, 영국, 미국,
호주를 비롯한 대다수 국가들이 전국민에 대한 고유 식별번호를 도입하지 않고
있거나 고유 식별번호가 될 가능성이 있는 사회보장번호나 납세자 번호에 대해
특별한 법적 보호를 하고 있다. 독일과 헝가리, 필리핀에는 전국민에게 고유
식별번호를 부여하는 것이 위헌이라는 판례도 있다.
전자정부에는 프라이버시영향평가를
최근 여러 나라에서 전자정부가 국민의 정보인권에 미치는 영향을 평가하는
제도를 도입하고 있다는 사실에도 주목할 만 하다. 과학기술이 사회에 미치는
영향을 사전에 평가하고 정책에 반영하기 위해 환경영향평가, 교통영향평가를
시행하듯 프라이버시영향평가(Privacy Assessment) 제도를 도입하는 것이다.
캐나다는 2002년 세계 최초로 전자정부에 프라이버시영향평가를 의무적으로
도입했다. 연방기관의 모든 시스템이 신규, 변경에 대한 예산을 승인받기
위해서는 영향평가 보고서를 예산처에 제출해야 한다. 미국도 지난 12월에
공포한 2002년 전자정부법에서 연방기관은 의무적으로 프라이버시영향평가를
받도록 규정했다.
장여경 / 네트워커
■ 개인정보 보호 관련 법률, 갈길이 멀다
국내 개인정보 보호 관련 법률은 크게 공공기관에 적용되는 경우와 민간에
적용되는 경우가 나뉘어 있다. 공공기관에 대해서는 '공공기관의 개인정보
보호에 관한 법률'이 규제하고 있고 주민등록 정보에 대해서는 '주민등록법'이
보호하고 있다. 민간의 인터넷 개인정보에 대해서는 '정보통신망 이용촉진 및
정보보호 등에 관한 법률'이, 신용정보에 대해서는 '신용정보의 이용 및 보호에
관한 법률'로 보호하고 있다. 이 밖에 통신비밀이나 음성 정보에 대해서는
'통신비밀보호법'이 보호하고 있다.
하지만 이 법률들은 개인정보 보호 원칙을 편의적으로 부분 적용하여 많은
문제점을 갖고 있다는 것이 전문가들의 지적이다. 일례로 공공기관의 개인정보
보호에 관한 법률의 문제점을 살펴 보면 △ 적용 범위가 컴퓨터 처리 정보에
국한되어 있고 △ 국가안전보장이라는 모호한 이유로 예외 적용하는 경우가
많으며 △ 사상·신조와 관계 있는 정보에 대해서만 일부 본인의 동의를
구하도록 한 것이 개인정보 보호 원칙에 어긋난다. 또한 △ 공공기관이 보유할
수 있는 개인정보의 한계를 막연하게 지정하여 사실상 무제한으로 개인정보를
수집할 수 있도록 허용했으면서도 △ 당사자인 국민에게는 공공기관이 보유한
개인정보를 제대로 공개하지 않고 △ 자기 정보에 대한 열람이나 정정 등
개인정보에 대한 국민의 청구권을 충분히 보장하지 않으며 △ 업무를 이유로
당사자 동의를 받지 않고도 다른 기관에 개인정보를 제공할 수 있도록 허용한
점도 문제로 지적되고 있다.
가장 큰 문제는 법률이 흩어져 있고 서로 다른 원칙을 적용받으면서 국가적인
개인정보 보호 원칙이 없다는 점이다. 새로운 기술이 나올 때마다 개인정보
보호에 대한 논란이 끊이질 않는다. 인터넷 기업이 통폐합하거나 폐업할 때
수많은 개인정보가 위험한 상태로 방치되는 결과도 낳고 있다. 이런 법률
체계로는 피해 구제 측면에서도 무력할 수 밖에 없다. 현재 정보통신부 산하에
개인정보분쟁조정위원회가 설치되어 있기는 하지만 민간업체가 일으킨 피해에
대해 약간의 위로금을 지급하도록 권고할 뿐이다.
이 때문에 시민사회단체들은 "공공영역, 민간영역과 온라인-오프라인을 포괄할
수 있는 통합적인 프라이버시보호법의 제정이 시급하다"고 주장해 왔다.
함께하는시민행동의 박준우씨는 "다른 나라의 경우처럼 프라이버시영향평가
제도를 도입하고 프라이버시 보호에 대해 상당한 권한과 전문성을 지닌
프라이버시보호위원회를 설치해야 한다"고 지적한다. 최소 23년 전에 발표된
OECD 가이드라인 수준 만큼 개인정보를 보호하는 법과 제도가 시급히
마련되어야 한다. 중앙대 이인호 교수는 "개인정보에 대한 자기결정권을
보장하게 되면 종래 정부가 법적 근거 없이 개인정보를 자유롭게 수집·처리해
온 관행이 더 이상 용납되지 않을 것"이라고 꼬집었다.
