개인정보보호와 관련해 가장 중요한 두 글자로 된 단어를 찾으라면 무엇일까?
필자는 단연코 ‘동의’라고 생각한다. 대부분 동의를 받았는지 여부에 따라 적법 여부가 정해지기 때문이다. 개인정보 보호법에 따르면 고객의 개인정보를 활용하기 위해서는 그 목적을 알리고 동의를 받아야 한다. 하지만 고객으로부터 동의를 받는 게 쉽지 않기에 회사가 고객의 개인정보를 활용함에 있어 ‘동의 획득’이 늘 큰 장벽으로 작용한다. 이같은 어려움에 대한 절충적인 해결책으로 등장한 것이 ‘가명정보’다. 가명정보란 개인정보를 가명처리해 추가 정보없이는 누군지 알아볼 수 없도록 만든 정보를 뜻한다. 가명정보를 통계작성, 과학적 연구 등의 목적으로 활용하는 경우에는 동의 없이 이용이 가능하다.
최근 가명정보와 관련해 주목할 만한 판결이 있었다. 아직 1심 판결에 불과하지만 가명정보와 관련된 최초의 판결이라는 점에서 그 내용을 주의 깊게 살펴볼 필요가 있다. 이동통신사가 고객의 개인정보를 가명처리해 활용하고 있었는데, 고객이 자신의 개인정보를 가명처리하는 행위를 정지해 달라고 요구한 사건이다.
법원은 ‘개인정보를 가명처리하는 행위’와 ‘가명처리된 정보(가명정보)를 이용하는 행위’를 구분해 가명처리하는 행위도 독자적인 개인정보의 처리에 해당한다고 판단했다. 즉 ‘식별가능정보를 가명처리하여 가명정보로 만드는 행위’는 동의 없이 가능하다고 허용한 행위가 아니기 때문에 고객이 정지를 요구할 수 있다고 본 것이다. 결국 1심 재판부는 해당 이통통신사가 개인정보 가명정보 처리를 중단해야 한다고 판결했다. 그런데 이러한 판결 내용을 현행 법 규정과 연결해서 생각하다 보면 왠지 매끄럽지 못한 부분이 생긴다. 개인정보 보호법에서 개인정보를 처리하기 위해서는 동의를 받아야 한다는 것이 기본 원칙이다. 식별가능정보를 가명처리해 과학적 연구 등에 동의없이 이용하는 것은 ‘가명처리 행위 + 생성된 가명정보의 이용 행위’ 일체를 ‘가명정보의 처리’라고 판단했기 때문이다. 가명처리 행위를 별도의 개인정보의 처리라고 본다면 이런 처리가 어떻게 동의없이 가능해지는 것일까? 판결의 논리를 그대로 따른다면 별도의 개인정보 ‘처리’ 행위인 식별가능정보를 가명처리하는 행위도 동의가 있어야만 가능하다고 봐야 한다. 그렇다면 가명처리라는 목적에 동의한 고객의 가명정보에 대해서만 이용이 가능하다는 결론에 이를 것으로 보인다.
결국 법규정이 명확하지 않기에 가명정보 활용에 대한 불분명한 해석들이 생겨나는 것이고 이러한 논란은 개인정보 보호법에 식별가능정보의 가명처리도 동의없이 가능하다는 점을 명시하지 않는다면 계속될 것으로 보인다. 법을 그대로 준수해야 하는 일반인의 입장에서 법이 좀 더 명확해야 하는 것이 아닌지 한 번 고민해볼 문제다.
< 저작권자 ⓒ 서울경제, 무단 전재 및 재배포 금지 >
mina@sedaily.com
