'데이터 시장 육성'을 위한 데이터3법(개인정보보호법·정보통신망법·신용정보법) 시행령 개정안이 오는 8월 시행을 앞둔 가운데 법 조항에 명시된 핵심 내용의 정의가 모호하고 시장 육성하는 법안으로는 부족한 점이 많다는 목소리가 커지고 있다.
행정안전부와 방송통신위원회, 금융위원회는 29일 오후 2시 관계부처 합동으로 데이터 3법 시행령 개정안 토론회를 개최했다. 이번 토론회는 지난 1월 9일 국회를 통과한 데이터 3법 시행령 개정안에 대한 산업계 등 전문가와 국민으로부터 심도있는 의견을 수렴하기 위해 개최됐다.
데이터3법 개정안은 기존 ‘개인정보보호’에서 ‘데이터 활용’으로 무게추를 옮기기 위한 법안으로, 다소 위험이 있으나 인공지능(AI)으로 대표되는 미래 기술의 경쟁력 확보를 위해 추진된다는 점에서 IT업계의 큰 주목을 끌었다. 하지만 막상 데이터3법 시행령 개정안이 입법예고 되자 업계 분위기가 싸늘해졌다. 시행령에서 요구됐던 법조항의 모호함이 여전히 해소되지 않았기 때문이다.
실제 개정법에서 데이터를 활용하기 위해서는 ‘개인정보’, ‘가명정보’, ‘익명정보’의 구분이 가장 중요하다. 개인정보의 경우 기존법과 마찬가지로 정보주체의 동의를 받아야만 하고, 동의받은 범주 내에서만 활용할 수 있도록 엄격히 관리되어야 하는 것이 핵심이다. 그런데 현재 데이터3법은 ‘가명정보’에 대한 구체적인 정의와 개인정보를 가명정보로 바꾸는 ‘비식별 조치’에 대한 기준이 모호한데다 어떤 비식별 조치를 취해야 가명정보가 되는지는 등도 불분명하다.
이날 토론회 패널로 참여한 이욱재 코리아크레딧뷰로(KCB) 상무는 "산업계는 가명정보를 활용한 새 가치 창출에 대한 요구가 많은데, 법 해석상 불확실성이 있는 반면 처벌은 아주 강화돼 있어 산업계는 오히려 위축될 수 있다"며 "이 법으로는 산업계에서 데이터를 어찌 활용할지 비전과 인식을 갖기 어렵다"고 지적했다.
김재환 한국인터넷기업협회 실장은 "개인정보의 추가 이용이나 제공하기 위해서는 4가지 사항을 모두 충족하는 경우에만 허용을 하는데 이는 너무 경직되고 엄격한 조건이 설정돼 사업자가 실제 업무현장에서 개인정보 및 데이터를 추가 이용하거나 제공하기는 어렵다"며 "'상당한'이나 '관행' 등과 같은 불명확한 개념도 현실적으로 개인정보 처리를 기대하는 것을 매우 어렵게 만든다"고 비판했다.
같은 데이터법으로 묶였지만, 개인정보보호법과 신용정보법 간 법 조항이 지나치게 다르게 기술돼 있는 점도 문제시됐다. 김진환 김앤장 변호사는 "데이터 결합 관련해, 개인정보보호법은 분석공간을 요구하고 반출을 승인해주는 제도를 둔다면, 신용정보법은 결과물을 전달하고 적절성을 평가하는 제도를 운영하고 있다"며 "운영하며 비슷하게 될 수 있지만, 실질적 차이가 상황상 있을 수 있다"고 짚었다.
시민단체에서는 개인정보 침해 가능성에 주목했다. 오병일 진보네트워크센터 대표는 "현재 시행령은 업체가 개인정보 결합을 의뢰할 때 과학적 연구 목적인 경우 승인을 하지만, 해당 목적이 과학적 목적인지 검증하는 절차가 없다"고 강조했다. 이어 "또 "데이터 반출을 허용함으로써 기업의 정보 재식별 위험성이 높아졌다"며 "불명확한 정보 반출 기준 등으로 원칙을 우회할 수 있는 기회가 넓어지고 있다"고 꼬집었다.