모든 사물과 사람이 네트워크에 연결되는 초연결 사회에서 프라이버시 내재화(privacy by design)는 제품이나 서비스의 전체 생명 주기에서 개인정보 보호 원칙의 준수를 고려하기 위한 개념이다. 개인정보영향평가는 제품이나 서비스의 설계 단계에서나 운영 중에 심대한 변화가 있을 경우 적용돼야 하는 프라이버시 내재화를 위한 하나의 정책 수단이라고 볼 수 있다.
개인정보영향평가는 개인 정보 처리로 인해 발생 가능한 프라이버시 측면의 부정적 영향을 미리 식별 및 분석해 그 영향의 정도를 평가하고, 그 결과를 주요 이해당사자 사이에 소통해, 그로 인한 부정적인 영향을 감소하기 위한 보호 대책을 준비하기 위한 전반적 프로세스로 정의되고 있다. 우리나라 개인정보보호법 제33조에 의거하면, 5만 명 이상의 우리 국민의 민감 정보 또는 고유 식별 정보를 처리하는 개인정보 파일을 운영하는 공공기관은 국내 개인정보영향평가를 평가기관으로부터 의무적으로 수검 받도록 규정돼 있다. 개인정보영향평가는 '개인정보 파일의 운용으로 인해 정보 주체의 개인정보 침해가 우려되는 경우에 그 위험요인의 분석과 개선 사항을 위한 평가'라고 규정하고 있다. 또한 공공기관의 장은 일정 기준에 해당하는 개인정보 파일의 운용으로 인해 정보주체의 개인정보 침해가 우려되는 경우에는 개인정보영향을 평가하고 그 결과를 행정안전부장관에게 제출하도록 요구하고 있다. 공공기관의 장은 영향평가를 행정안전부장관이 지정하는 평가기관에서 영향평가를 받도록 돼 있다.
2018년 5월 25일부터 발효되는 유럽연합 개인정보보호규정(GDPR)에서도 개인정보처리가 살아있는 자연인의 권리와 자유에 높은 위험을 초래할 가능성이 있는 경우, 개인정보처리자가 개인정보 처리 작업으로 인해 개인정보 보호에 미치는 영향의 평가를 의무적으로 수행하도록 요구하고 있다.
미국은 2002년부터 전자정부법 등에 의거해 정부기관 개인정보영향평가를 의무화하고 있다. 캐나다도 연방정부기관 등에 대해 법률에 개인정보영향평가를 규정하고 있으며, 재무위원회 정책에 의해 의무적으로 영향평가를 수행하도록 요구하고 있다. 호주는 법이나 정책에 의해 개인정보 영향평가를 의무화하는 대신 자율규제 차원에서 수행할 것을 권고하는 방식을 채택하고 있다.
필자가 에디터로 활동하면서 최근 채택된 ISO 표준인 '개인정보영향평가 가이드라인(ISO/IEC 29134)'에서는 개인정보영향평가를 개인정보를 처리하는 프로세스, 정보 시스템, 프로그램, 소프트웨어 모듈, 디바이스 또는 기타 이니셔티브에서 프라이버시 측면에서 잠재적 영향을 평가하기 위한 도구로 규정하고 있다. 이 국제표준에서 개인정보영향평가 과정은 준비 과정, 수행 과정, 그리고 후속조치 과정으로 구성하고 있다. 준비 과정은 평가팀 구성, 평가 대상 선정 등의 업무를, 수행 과정은 개인정보 흐름 분석, 프라이버시 위험 평가, 보호 조치 준비 등을 수행한다. 후속조치 과정은 평가보고서 준비, 요약보고서 공개, 보호조치 계획 등으로 구성돼 있다.
이러한 각 주요 국가의 영향평가 정책 방향과 국제 표준화 기구의 동향에 근거하면, 우리나라 개인정보영향평가 제도 개선을 위해 다음의 사항이 고려돼야 한다.
첫째, 개인정보 영향평가의 의무화 범위 확대다. 개인정보 처리 규모나 성격 그리고 민감성 등을 고려해, 공공과 민간 영역을 망라한 개인정보처리자에 대해 영향평가 제도의 의무화를 고려해야 한다. 이는 영역에 따라 의무 적용 여부를 정하는 것이 아니라 국민의 개인정보 영향 크기에 따라 의무 적용 여부가 결정돼야하기 때문이다.
둘째, 개인정보영향평가 평가 대상도 확대돼야 한다. 회사나 기관의 프로세스 위주의 영향평가 운영에서 개인정보를 처리하는 제품이나 서비스에 대해서도 확대돼야 한다. 개인정보를 다뤄 정보주체의 프라이버시에 크게 영향을 미치는 제품이나 서비스의 신규 구축이나 변경 시에도 적용돼야 한다.
특히 많은 개인정보를 수집해 처리하고 있는 스마트 디바이스 등 신규 ICT 제품의 개발이나 신규 서비스 도입 시에도 적용해야 한다.
셋째, 개인정보영향평가 요약 보고서도 공개돼야 한다. 전체 보고서를 공개하는 것은 오용 우려가 있으므로, 요약 보고서를 공개해 정보주체가 서비스나 제품 이용 시 참조하도록 해야 한다. 개인정보영향평가 요약 보고서는 서비스나 제품을 이용하고자 하는 정보주체의 하나의 중요 선택기준이 되기 때문이다.
넷째, 각 개인정보영향평가의 기준도 국제 표준에 근거해 개선되어야 한다. 이렇게 함으로써 평가기관과 평가팀에 독립적이면서 일관성 있는 평가 결과를 산출할 수 있기 때문이다.
다섯째, 개인정보의 활용을 위한 비식별화 기법도 개인정보영향평가 시 고려돼야 한다. 유럽 일반개인정보보호 규정에서도 비식별화 방법은 정의하고 있고 부정적 위험을 감소시키는 중요한 수단이기 때문이다.
개인정보영향평가는 국민의 기본권인 프라이버시를 보호하기 위한 하나의 중요한 정책적 도구이다. 초 연결사회에서 국민의 프라이버시를 지키기 위해서는 개인정보영향평가제도의 적용 범위와 대상은 확대는 필연이다.
