개인정보 국외이전 동의, 일률적으로 규정할 게 아니다
정상적인 사회에서 어떠한 패러다임이 새로운 것으로 바뀌고 그에 따라 구성원들의 의식이 전환되는 것은 지극히 자연스러운 현상이다.
그러나 이 같은 전환과 변화의 속도를 법이 실시간으로 따라잡는 경우는 거의 없다.
본래 법은 공동체 구성원인 국민들 간에 숙려된 의견 교환을 통하여 일반적인 동의 즉 총의(總意)를 이루고 이러한 총의에 기초해서 만들어져야 하지만, 현실적인 한계로 대의(代議)기관인 국회가 국민들의 의사를 수렴하여 법을 만들고 있기 때문이다.
소수의 대표자들이 국민들의 총의를 잘못 파악하거나 개인적인 사상관에 얽매여 잘못 이해하는 등 오류가 발생할 수 있으므로 헌법과 법률은 제안, 의결, 공포 등 법 제정하는 과정을 엄격하게 규율함으로써 위와 같은 오류 발생 가능성을 최소화하였고, 그 결과 현실과 법 사이의 간극을 메우기 위하여 시간이 걸리는 것은 어찌 보면 필요불가결한 일이다.
한 발 더 나아가 현실에 맞게 법을 정비하고 시행한다 해도 법률에 모든 발생 가능한 경우를 상정하는 것은 불가능할 뿐더러 바람직하지도 않다는 사실을 경험으로 알게 되면서 입안자들은 발생 가능한 사례를 상정한 후 그것에 대하여 법률로 하여금 원칙허용―예외금지 방식 또는 원칙금지―예외허용 방식 중 하나로 규율하여 법과 현실의 괴리를 좁히려 하였다.
여기서 질문을 던져보자. IT융합의 시대에 있어, 개인정보를 국외로 이전할 때마다 이용자의 동의를 받게 하는 것은 과연 현실과 부합하는 방식일까? 어떤 IT와 관계된 제도나 서비스를 적용받거나 적용하기 위한 전제로 개인정보를 국외 이전함에 있어 무조건 이용자의 사전 동의 절차를 거치게 하는 게 맞을지, 아니면 일단 제도나 서비스의 적용대상으로 되되 이용자가 개인정보 국외 이전에 대하여 적용 거부의사를 밝힐 경우에 비로소 대상에서 제외하는 게 맞을지의 문제다.
전자의 방식이 옳다고 생각하면 옵트 인(Opt-in) 방식에 찬성하는 것이고, 후자의 방식이 옳다고 생각하면 옵트 아웃(Opt-out) 방식에 찬성하는 것이다.
이와 관련하여 현행 개인정보보호법은 개인정보처리자가 개인정보를 국외의 제3자에게 제공할 때에는 일정한 사항을 정보주체에게 알리고 동의를 받도록 하고 있고, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 `정보통신망법')은 정보통신서비스 제공자로 하여금 이용자의 개인정보를 국외로 이전함에 있어 이용자의 동의를 받게 하고, 동의를 받기에 앞서 이용자에게 ① 이전되는 개인정보 항목, ② 개인정보가 이전되는 국가, 이전일시 및 이전방법, ③ 개인정보를 이전받는 자의 성명(법인은 그 명칭 및 정보관리책임자의 연락처), ④ 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간을 고지하도록 하고 있다.
정보통신망법의 위 조항은 2004. 1. 29. 개정법에서 처음 도입되었는데, 취지는 이용자의 개인정보가 무단으로 수집되거나 유출 또는 남용될 위험이 있음에도 불구하고 그 같은 위험을 방지하지 못한 나타난 제도운영상의 미비점을 개선ㆍ보완하는 데 있었다.
동법은 이용자의 개인정보를 보호하기 위하여 정보통신서비스제공자의 의무를 강화해야 한다는 당시의 요구를 충족하기 위해 옵트 아웃(Opt-out) 방식의 위 조항을 추가한 것이다.
그런데 위 조항은 클라우드, 빅데이터, 사물인터넷, 소셜미디어와 같은 새로운 IT 패러다임을 예정하지 못한 시대에 만들어진 것이다.
새로운 패러다임에 따른 구성원들의 변화된 의식과 법 사이에 간극이 생긴 셈이다.
그렇다면 이번에 법을 서둘러 고쳐 간극을 메우면 그걸로 끝나는 걸까? 그렇지 않다.
향후 우리가 예상치 못할 새로운 패러다임이 등장하면 또 다시 반복될 수 있는 일이다.
개인정보가 이전될 국가의 정보보호 수준, 개인정보의 민감도에 따라 동의의 필요성을 분류하는 등의 근본적인 해결책을 수립해야 하는 이유다.
정관영 법무법인(유한) 정률 변호사
정상적인 사회에서 어떠한 패러다임이 새로운 것으로 바뀌고 그에 따라 구성원들의 의식이 전환되는 것은 지극히 자연스러운 현상이다.
그러나 이 같은 전환과 변화의 속도를 법이 실시간으로 따라잡는 경우는 거의 없다.
본래 법은 공동체 구성원인 국민들 간에 숙려된 의견 교환을 통하여 일반적인 동의 즉 총의(總意)를 이루고 이러한 총의에 기초해서 만들어져야 하지만, 현실적인 한계로 대의(代議)기관인 국회가 국민들의 의사를 수렴하여 법을 만들고 있기 때문이다.
소수의 대표자들이 국민들의 총의를 잘못 파악하거나 개인적인 사상관에 얽매여 잘못 이해하는 등 오류가 발생할 수 있으므로 헌법과 법률은 제안, 의결, 공포 등 법 제정하는 과정을 엄격하게 규율함으로써 위와 같은 오류 발생 가능성을 최소화하였고, 그 결과 현실과 법 사이의 간극을 메우기 위하여 시간이 걸리는 것은 어찌 보면 필요불가결한 일이다.
한 발 더 나아가 현실에 맞게 법을 정비하고 시행한다 해도 법률에 모든 발생 가능한 경우를 상정하는 것은 불가능할 뿐더러 바람직하지도 않다는 사실을 경험으로 알게 되면서 입안자들은 발생 가능한 사례를 상정한 후 그것에 대하여 법률로 하여금 원칙허용―예외금지 방식 또는 원칙금지―예외허용 방식 중 하나로 규율하여 법과 현실의 괴리를 좁히려 하였다.
여기서 질문을 던져보자. IT융합의 시대에 있어, 개인정보를 국외로 이전할 때마다 이용자의 동의를 받게 하는 것은 과연 현실과 부합하는 방식일까? 어떤 IT와 관계된 제도나 서비스를 적용받거나 적용하기 위한 전제로 개인정보를 국외 이전함에 있어 무조건 이용자의 사전 동의 절차를 거치게 하는 게 맞을지, 아니면 일단 제도나 서비스의 적용대상으로 되되 이용자가 개인정보 국외 이전에 대하여 적용 거부의사를 밝힐 경우에 비로소 대상에서 제외하는 게 맞을지의 문제다.
전자의 방식이 옳다고 생각하면 옵트 인(Opt-in) 방식에 찬성하는 것이고, 후자의 방식이 옳다고 생각하면 옵트 아웃(Opt-out) 방식에 찬성하는 것이다.
이와 관련하여 현행 개인정보보호법은 개인정보처리자가 개인정보를 국외의 제3자에게 제공할 때에는 일정한 사항을 정보주체에게 알리고 동의를 받도록 하고 있고, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 `정보통신망법')은 정보통신서비스 제공자로 하여금 이용자의 개인정보를 국외로 이전함에 있어 이용자의 동의를 받게 하고, 동의를 받기에 앞서 이용자에게 ① 이전되는 개인정보 항목, ② 개인정보가 이전되는 국가, 이전일시 및 이전방법, ③ 개인정보를 이전받는 자의 성명(법인은 그 명칭 및 정보관리책임자의 연락처), ④ 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간을 고지하도록 하고 있다.
정보통신망법의 위 조항은 2004. 1. 29. 개정법에서 처음 도입되었는데, 취지는 이용자의 개인정보가 무단으로 수집되거나 유출 또는 남용될 위험이 있음에도 불구하고 그 같은 위험을 방지하지 못한 나타난 제도운영상의 미비점을 개선ㆍ보완하는 데 있었다.
동법은 이용자의 개인정보를 보호하기 위하여 정보통신서비스제공자의 의무를 강화해야 한다는 당시의 요구를 충족하기 위해 옵트 아웃(Opt-out) 방식의 위 조항을 추가한 것이다.
그런데 위 조항은 클라우드, 빅데이터, 사물인터넷, 소셜미디어와 같은 새로운 IT 패러다임을 예정하지 못한 시대에 만들어진 것이다.
새로운 패러다임에 따른 구성원들의 변화된 의식과 법 사이에 간극이 생긴 셈이다.
그렇다면 이번에 법을 서둘러 고쳐 간극을 메우면 그걸로 끝나는 걸까? 그렇지 않다.
향후 우리가 예상치 못할 새로운 패러다임이 등장하면 또 다시 반복될 수 있는 일이다.
개인정보가 이전될 국가의 정보보호 수준, 개인정보의 민감도에 따라 동의의 필요성을 분류하는 등의 근본적인 해결책을 수립해야 하는 이유다.
정관영 법무법인(유한) 정률 변호사
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
