김서안 / 법학과 박사
『개인정보이동권에 관한 공법적 연구』 김서안 著 (2022, 법학과 박사논문)
본 지면은 학위 논문을 통해 중앙대 대학원에서 어떤 연구 성과가 있는지 소개하고, 다양한 학과의 관점을 교류하고자 기획됐다. 이번 호에서는 법학과 김서안의 박사 논문 『개인정보이동권에 관한 공법적 연구』를 통해 정보주체의 확대된 권리와 그 활용에 대해 알아보고자 한다. <편집자 주>
내가 만든 내 정보, 내가 옮긴다
김서안 / 법학과 박사
‘디지털 트랜스포메이션(Digital Transformation)’, 디지털 전환 사회는 정보와 컴퓨터, 네트워크, 그리고 이들을 연결하는 기술(Connectivity Technology)이 결합돼 개인의 모든 일상생활을 디지털 사회에서 행할 수 있는 디지털 혁신을 의미한다. 코로나19의 장기화는 이러한 디지털 전환 사회 구축에 아주 강력한 가속도를 더했다. 이에 따라 ICT 기업들이 보유하고 있는 데이터의 양도 폭발적으로 증가했을 것으로 예상되며, 이는 곧 세계 경제에 영향을 미쳐 ‘데이터기반 경제(Data-Driven Economy)’로 패러다임을 전환시키고 있다. 이인호의 「지능정보사회에서 개인정보보호의 법과 정책의 패러다임 전환」(2020)에 따르면 데이터기반 경제란 “지식자산인 데이터(data)를 기반으로 하여 새로운 가치와 부(富)가 창출되는 경제시스템”을 의미한다.
그런데 이 산업구조는 구글(Google), 페이스북(Facebook), 등 미국 중심의 소수 IT 기업들이 독과점 형태로 주도하고 있다는 문제점이 있다. 이에 대항하기 위해 유럽연합(EU)에서는 2018년 「일반개인정보보호규정(General Data Protection Regulation, GDPR)」 제20조에 개인정보이동권(Right to Data Portability)을 도입했다. 여기에는 소수의 ICT 기업에 집중돼 있던 개인정보를 다른 기업들로 이전시키는 것을 가능케 함으로써 데이터 활용 산업의 경쟁을 촉진하게 하려는 정책적 목표가 있다. 더욱이 이 권리는 궁극적으로 정보주체에게 자신의 정보에 대한 통제권을 부여하는 최초의 적극적인 권리라는 점에 더 큰 의의가 있다.
디지털 국가로의 전환을 위한 법적 근거 마련
우리나라에서는 정보주체의 자기결정권을 강화하고, 데이터를 활용하기 위한 ‘마이데이터(MyData) 제도’의 법적 근거로 개인정보이동권을 도입하고자 한다. 금융, 의료, 통신 분야 등에 집중돼 있던 마이데이터 정책을 국민 생활의 모든 분야에 걸쳐 추진하는 정책을 펼치고 있다. 이러한 데이터는 인공지능(AI)과 5G 신기술과 결합해, 교통, 수자원, 도시와 1·2·3차 산업까지 우리 생활과 산업의 전반에 걸쳐 활용되도록 추진 중이다. 따라서 우리나라에서의 개인정보이동권 도입은 미국 중심의 IT 기업을 견제하고자 하는 유럽연합의 도입 목적을 넘어선다. 데이터 경제 시장에서 경쟁력을 갖추는 것뿐만 아니라 국내 사회 전반의 정보화 수준을 높여 디지털 국가로의 전환을 위한 법적 근거를 마련한다는 데 방점이 있기 때문이다.
정보주체에게 부여된 최초의 주체적인 권리의 향유
개인정보이동권은 정보주체에게 자신의 정보처리에 관해 주체적인 권리가 부여된 최초의 권리로서 그 법적 실익을 개인적 측면에서 살펴보면 다음과 같다. 첫째, 개인정보이동권은 정보주체에게 자신의 개인정보를 자율적으로 활용할 수 있도록 하는 통제·관리 권한을 부여하고 있다. 이를 통해 온라인 플랫폼 간의 이동성을 보장받게 되며 그 결과 사업자 변경이 간편해져 정보주체의 선택권이 확장될 수 있다. 회원가입을 할 때마다 개인정보를 입력하기 번거로운 이유 등으로 한 서비스를 이용하다가 유사한 새로운 서비스로 옮기기 쉽지 않은 것을 락인효과(Lock-in Effect)라고 한다. 이 때문에 신생 사업자들이 경쟁력을 갖기 힘든 것이다. 그러나 개인정보이동권이 보장되면 정보주체의 자율적 의사에 따라 개인정보를 이동시킨 후 기존 사업자 플랫폼에는 정보를 남겨둘 수도 있고 삭제도 할 수 있다. 따라서 플랫폼 사업자인 정보처리자와 정보주체, 그리고 신생 플랫폼과 기성 플랫폼 간에 힘의 재균형이 이뤄질 가능성이 있다.
둘째, 정보주체의 행복추구권을 실현할 수 있다. 개인정보이동권이 도입돼 마이데이터 제도를 잘 활용한다면 개인에게 가장 적합한 금융상품이나 기호품, 의료서비스의 제안 등 맞춤형 상품이나 서비스를 추천받을 수 있다. 그런데 이러한 상품이나 서비스를 제안받는 것보다 더 중요한 측면으로, 마이데이터 기술이 더욱 고도화된다면 궁극적으로 자신에 대해 더 잘 이해할 수 있는 방안을 맞춤형으로 제안받을 수 있을 것으로 기대된다. 한수웅의 「헌법학」(2020)에 따르면 ‘행복’이란 지극히 주관적이며 상대적인 개념이고, ‘행복추구’는 자기만족과 자기실현을 통해 얻을 수 있는 것이라고 한다. 그런데 자신에 대해 잘 이해하고 적용하는 사람은 많지 않다. 이에 대한 합리적이고 과학적인 추론과 제안을 마이데이터가 도울 수 있을 것이다. 아직은 산업의 초창기이다 보니 주력 산업을 중점으로 성장하고 있지만, 데이터 분석 기술이 좀 더 발전하게 되면 머지않아 다양한 분야에 마이데이터를 활용할 수 있을 것으로 예상된다.
본래 의미의 개인정보이동권 보장을 위한 방안
개인정보이동권은 정보주체가 디지털 사회 내에서 자신의 편익을 위해 자유롭게 개인정보를 활용할 수 있도록 보장하는 것이다. 그리고 마이데이터 제도는 여러 플랫폼에 흩어져 있는 정보주체의 정보를 한 플랫폼으로 통합해 관리할 수 있는 것으로, 개인정보이동권이 구현된 모습 중 하나이다. 그런데 우리나라에서는 마이데이터 제도만을 부각해 마치 마이데이터 제도와 개인정보이동권이 같은 개념인 것처럼 권리나 제도를 설계해 권리의 본질이 왜곡될 우려가 있어 다음의 문제를 제기하고자 한다.
첫째, 개인정보이동권은 정보주체가 자신의 디지털 사회 내의 적극적인 활동을 수반하기 위한 필요에 따라 정보주체의 자주적인 ‘요청’에 의해 개인정보가 전송되게 하는 권리이다. 이에 반해 마이데이터 제도는 정보처리자가 미리 설계해 놓은 방식에 ‘동의’를 하는 방식으로 개인정보가 전송된다. 따라서 전자는 정보주체가 자신의 정보 중 전송되는 정보의 범위에 대한 인식을 하고 요청하는 것임에 반해, 후자는 ‘알고 하는 동의’를 실행하기 어렵다는 지적을 계속 받고 있는 현행 동의제도의 한계를 그대로 옮겨 올 수밖에 없다.
둘째, 개인정보를 활용해 데이터 활용 산업을 육성하는 것이 마이데이터 제도의 주된 목적이 되는 경우, 정보주체의 개인정보는 산업의 희생물이 될 수 있다. 특히 활용되는 데이터에서 개인을 특정할 수 있기 때문에, 보안에 문제가 생길 경우 개인의 인격권과 프라이버시권에 심각한 피해를 가할 우려가 있다.
셋째, 개인정보이동권이 도입됨에도 마이데이터 제도만을 중심으로 정책을 시행하는 경우, 정보주체가 자신의 편익에 따라 개인정보를 전송할 권리가 있는지 잘 알지 못한다. 이 때문에 개인정보보호권을 수호하기 어려운 문제점이 있다.
따라서 본래 의미의 개인정보이동권을 보장할 수 있는 방안을 다음과 같이 제안하고자 한다. 첫째, 개인정보이동권은 온전히 정보주체의 필요에 의한 자발적 의사에 따라 요청할 수 있도록 보장이 돼야 한다. 이는 정보주체가 디지털 사회 내에서 활동하는 주체로서 자신의 활동 영역을 넓히거나 변경하기 위한 목적 등 다양한 활동에 수반이 필요한 권리이기 때문이다.
둘째, 기술적 문제 때문에 개인정보의 대량 전송이 힘들다면 정보주체가 주체적으로 생산한 정보부터 다른 온라인 플랫폼으로 옮겨 이를 연속해 사용할 수 있도록 보장해야 한다. 음악 마니아에게 플레이리스트가 갖는 의미는 매우 크다. 또한 사업가나 영업직원에게는 연락처 리스트가, 블로거에게는 사진과 여러 기록 등이 그럴 것이다. 이러한 정보들은 타인의 시각에서는 소소해 보이더라도 정보주체에게는 의미가 큰, 개인의 취향과 추억, 자신만의 노하우와 스토리가 담겨 있다. 이렇게 정보주체가 디지털 콘텐츠 생산자로서의 역할을 함에 따라 이를 연속해 이용할 수 있도록 하는 것이 개인정보이동권의 주요 내용이다. 따라서 기술적 문제로 인해 정보의 대량 전송이 어렵다면, 정보주체가 적극적으로 생산한 콘텐츠의 전송부터 우선 보장받아야 한다.
결론적으로 개인정보이동권은 정보주체가 디지털 사회의 주체로서 디지털 라이프의 연속성을 보장받고 자기 정보에 대한 통제권을 부여하기 위해 창설된 권리이다. 그러므로 이러한 궁극적인 목적이 훼손되지 않도록 본래 의미의 개인정보이동권이 보장받아야 한다.