규제란 특정한 행정 목적을 실현하기 위하여 국민의 권리를 제한하거나 의무를 부과하는 것(행정규제기본법 제2조)으로서 국가안전보장ㆍ질서유지 또는 공공복리라는 사회적ㆍ국가적 공익을 실현하기 위해 존재하는 것이다. 현대사회에서 정도의 차이는 있겠지만 모든 정부는 기업에 대한 규제를 하고 있다. 하지만 규제는 영구불변적인 것은 아니며 시장 환경이나 기술 환경의 변화에 따라 같이 변해야 한다. 특히 시장 환경이나 기술 환경이 가장 급변하는 영역은 ICTㆍSW 영역이라 할 수 있는데, 이러한 ICTㆍSW 환경의 변화에 맞춘 규제 개선을 위하여 여타의 정부처럼 우리 정부는 총력을 쏟고 있다. 규제 개선은 별도의 재정 투입 없이도 기업의 부담을 줄여 기업의 경쟁력을 제고할 수 있는 가장 효과적인 수단이기 때문에 모든 정부의 필수적 과제라 할 수 있다. 한편 인터넷과 디지털로 대변되던 ICTㆍSW 시장은 정보혁명시대로 전환하면서 사물인터넷, 클라우드, 빅데이터의 새로운 영역으로 진화하고 있고, 로봇과 인공지능을 앞세운 제4차 산업혁명을 대비하고 있다. 특히 ICTㆍSW 기술의 다른 산업과의 융ㆍ복합 현상으로 인하여 무인자율자동차, 원격의료, 핀테크 등과 같은 신산업이나 산업간의 경계를 허무는 새로운 영역이 속속 등장하고 있다. 어느 나라든지 마찬가지이지만 이러한 새로운 트렌드는 중소기업이나 스타트업기업이 주도하고 있다. 중소기업이나 스타트업기업은 변화하는 ICTㆍSW 시장 환경에 발맞춘 새로운 아이디어와 창의성을 주무기로 하여 시장을 공략하면서 고용을 창출하고 있다. 하지만 획일적인 규제로 인하여 중소기업이나 스타트업기업은 성장에 저해를 받고 있다. 실제로 동일한 규제로 인하여 지출되는 규제비용은 중소기업이나 스타트업기업에게 큰 부담인 것으로 조사되었는데, 예컨대 2012년 한국행정연구원 조사 결과, 매출액 10% 이상의 규제비용 부담기업이 20인 미만 기업의 경우에는 20.0%인 반면, 20인 이상 기업의 경우에는 10.8%로 기업규모에 따라 두 배 정도 규제부담이 큰 것으로 나타났다. 규제로 인하여 시장에서의 공정한 경쟁기회마저도 상실당하고 있는 실정인 것이다. 걷지도 못하는 유아에게 뛰라는 의무를 부여한다면 그 유아의 아이디어와 창의는 시장의 햇빛을 받기도 전에 규제로 인하여 사장될 것이다. Untitled-1기업의 규모나 지역, 보유 정보의 양 등을 감안하여 규제를 감면하거나 유예하는 ‘규제차등제’가 절실하다. 예컨대 영국에서는 일정한 평가를 통하여 50인 이하의 기업에 대하여 3년간 규제 면제를 해 주는 법이 2014년 3월부터 시행되고 있는바, 기존 10인 이하의 기업에게 적용되던 법을 확장한 것이다. 최근 정부는 ‘규제프리존’ 정책을 발표하였고, 또 다른 예로 방송통신위원회는 소규모 LBS 사업자를 대상으로 기존 위치기반서비스 신고를 간소화한 간이신고제도를 신설할 계획인바, 이러한 차등규제제의 취지가 전체 ICTㆍSW 규제에 전면적으로 확장되어야 할 것이다. 규제는 국민의 자율과 창의를 촉진하여 국가경쟁력을 지속적으로 향상시키기 위한 것인바(행정규제기본법 제1조, 제5조 제1항), 획일적인 부적절한 규제로 인하여 황금알의 부화를 억제하지 않아야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 전자신문(2016. 1. 31.), 블로그(2016. 2. 1.), 리걸인사이트(2016. 2. 24.) 기고.

내년부터 도로에서 사이드 미러 없는 차들을 볼 수 있을 것 같다. 사이드 미러를 의무화하는 규제를 풀어 사이드 미러 대신에 카메라를 장착한 차량도 도로 위를 달릴 수 있도록 한다는 것이다. 이른바 규제개선 결과의 산출물이라 할 수 있다. 규제는 어려운 개념처럼 보이지만 법적으로 풀면 간단하다. 법적으로는 ‘특정한 행정 목적을 실현하기 위하여 국민의 권리를 제한하거나 의무를 부과하는 것’으로 정의되어 있다(행정규제기본법 제2조 제1호). 규제는 일단 우리를 불편하게 하지만 그 대신에 안전이나 공정, 인권의 보호 등을 가져다 줄 수 있다. 하지만 영원한 규제는 존재하지 않는다. 규제는 시대상황에 맞추어야 한다. 규제개선이라는 것은 단순한 규제철폐가 아니라 규제의 현실화도 포함된다. 즉 현 시대에 맞는 규제로 변환해야 한다는 것이다. 사이드 미러 장착을 없애는 것이 아니라 신기술 시장에 맞추어 카메라로 이를 대체할 수 있도록 하는 것이 바로 규제의 현실화의 대표적인 예이다. 규제개선은 비용을 드이지 않고 신산업을 발전시키는 핵심이라고 알려져 있다. 비용이 적게 드는 규제개선이 그 효과면에서는 한 산업을 키우기 위해 수조 원을 쏟아 붓는 것과 동일한 효과가 난다는 것이다. 이에 정부는 각 부처, 국무조정실 산하 민관합동규제개선추진단, 규제개혁위원회 등을 통하여 규제개선에 온 힘을 쏟고 있다. 하지만 기업 등이 체감하는 규제개선 효과는 크지 않다. 한국경제신문과 대한상공회의소가 국내 300개 기업의 기획담당 임원을 대상으로 ‘규제개혁의 주요 장애와 향후 과제’에 대해 설문조사를 한 결과, 개선되었다고 답변한 사람은 23%에 불과하다. 규제개선 작업을 하는 과정을 지켜보면 왜 이렇게 되는지 금방 알 수 있다. 첫째, 큰 규제나 핵심 규제는 손도 못대고 있다. 기업 등이 원하는 것은 큰 규제나 핵심 규제의 개선이나 철폐인데, 막상 이러한 큰 규제는 각 부처 또는 위원회의 조직이나 예산과 연관이 되어 있기 때문에 접근하기 어려운 경우가 많다. 어떤 경우는 위원회의 존재 목적이 오직 규제에 있는 경우도 있다. 그러다 보니 작은 규제, 예컨대 제출 기간의 단축, 서류의 간소화 등에 집중하고 있고 이러한 것도 건수로 세기 때문에 건수는 늘어나지만 실질적인 효과는 크지 않은 것이다. 둘째, 정부나 지자체는 규제를 없애가고 있는데 국회는 규제 법안을 늘려가고 있는 경우가 많다. 즉 정부나 지자체가 줄이는 규제건수보다 국회가 늘리는 규제건수가 많기 때문에 기업 등은 전혀 규제 개선에 대하여 체감을 못하게 되고, 어떤 경우는 늘어가는 규제건수 때문에 더 열악해지는 경우도 많다. 이런 문제 때문에 국회의원의 입법에 대하여도 규제영향분석평가를 해야한다는 의견이 힘을 얻어 가고 있다. 셋째, 현재 진행하고 있는 규제개선 작업은 일정한 철학이 없다. 왜 규제개선을 해야하는지에 대한 동인도 없고, 규제개선에 대한 원칙도 없으며, 법령 변경으로 인하여 규제가 개선되었는지에 대한 검증 절차도 존재하지 않고, 단지 건수 위주로 세는 게 현재 규제개선의 실태이다. 규제개선은 국정철학과 맞물려야 하고 일정한 원칙이나 철학적 기반에 근거해야 한다. 하지만 현재 진행되는 규제개선은 이런 부분을 찾아보기 어렵다. 그렇다 보니 규제개선 작업을 하는 사람들도 왜 하는지 이해하지 못하고 있는 경우도 발견된다. 규제개선을 위한 규제개선보다는 국정철학을 달성하기 위한 규제개선, 즉 목표가 있는 규제개선이 아쉬울 따름이다. 넷째, 인권보호를 위한 입법이 규제가 되는 경우가 많다. 예컨대 개인정보보호 규정을 만들면 이게 인권보호에 도움이 된다고 생각하지만 어떤 부분에서는 규제가 된다. 인권보호에 도움이 되기 때문에 마냥 규제로 보고 철폐할 수 있는 것은 아니다. 하지만 기업은 이를 규제로 생각하는 경우가 많다. 인권보호와 규제 사이에 혼선이 생기고 있는 것이다. 이 혼선에 대하여 명확하게 한계를 설정해 주거나 가이드라인을 만들어 주어야 하는데, 이러한 바탕 작업이 없기 때문에 규제개선은 작업자의 주관성에 의존하고 있고 경우에 따라서는 방향성을 잃고 있는 것이다. 지금가지 현 정부가 추진하고 있는 규제개선 작업의 문제점과 개선방안을 살펴보았다. 규제개선은 단순한 규제의 개선이 아니라 또 하나의 입법과정이라 보아야 한다. 가볍게 볼 문제는 아니고 신중하게 접근해야 한다는 것이다. 하지만 현행 규제개선 작업은 비전문가에 의하여 너무 쉽게 접근하는 게 아닌가 하는 생각도 든다. 지금이라도 규제개선의 개선의 선행되어야만 방향성 있고 실효성 있으며 국민이나 기업에 실질적으로 도움이 되는 규제개선이 될 것이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2016. 5. 9.), 리걸인사이트(2016. 5. 24.) 기고.

서초동의 박모 변호사는 매일 아침 우유와 토스트를 먹고 출근한다. 그런데 어느 날 아침 냉장고에 우유가 없는 것을 발견하고 아침을 굶고 출근했다. 이것이 지금의 현실인데 앞으로는 이런 것을 걱정하지 않아도 될 듯하다. 아침마다 박변호사가 우유를 소비한다는 분석데이터를 보유한 냉장고는 주기적으로 여러 용기에 붙어있는 RFID 태그를 분석하고 우유가 다 떨어졌다는 사실을 박변호사에게 미리 문자로 알려줄 수 있기 때문이다. 심지어 박변호사는 지방에 계신 부모님의 팔찌로부터 혈압 정보를 매일 전달받을 수 있다. 이렇게 센싱이나 데이터 취득이 가능한 사물에 인터넷을 연결한 기술을 사물인터넷(Internet of Things, IoT)이라 부른다. 사물인터넷 시대에는 사물이 사람 역할을 하는 것이다. 최근 인터넷의 변화 중 가장 큰 변화이다. 이를 보고 정말 편리한 세상이 되었구나 라고 생각하는 사람도 있지만, 빅브라더를 연상하면서 무섭다고 생각하는 사람도 있다. 이미 기정사실이 된 사물인터넷의 보급으로 인해 어떤 이슈가 발생할까? 가장 먼저 거론되는 것이 우리의 개인정보 노출 문제이다. 우리가 알지 못하는 사물감시자에 의해 부지불식간에 우리의 개인정보가 수집되고 분석될 수 있다는 것이다. 특히 동의에 의해 개인정보를 수집하고 제공하는 원칙이 유명무실해질 것이다. 다른 걱정은 보안 문제이다. 보안에 취약한 사물이 해커에 의하여 점령당한 다음, DDoS 공격이나 스팸 발송의 진원지로 이용되거나 해킹의 통로나 수단으로 악용될 수 있으며, 마케팅 메일을 보내는 소스로도 사용될 수 있다. 사회적으로는 사람들의 실업률 증가, 정보격차(digital divide)로 인한 불평등의 심화, 사물과의 소통이 일반화되면서 발생하는 사람들의 고립화(isolation) 등의 문제가 제기된다. 사물인터넷 보급으로 인하여 개인정보법, 정보보안법, 인터넷정책법 등의 프레임 변화가 예상된다. 하지만 어떤 구도에서도 제일 무게를 두어야 하는 것은 프라이버시와 안전이 아닐까. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 6. 2.) 기고.

빌게이츠의 은퇴 이후 13년 동안 MS를 이끌던 스티브 발머가 은퇴 선언을 했다. 스티브 발머에 대한 평가는 분분하지만, MS의 최근 실적을 보건대 영광스런 은퇴는 아닌 듯하다. 스티브 발머의 실패 요인은 두 가지로 요약된다. 새로운 기술환경인 모바일ㆍ스마트 혁명에 적응하지 못했다는 것과 단기적인 경영지수에 집착한 나머지 장기적인 기술 혁신에 집중하지 못했다는 것이다. 2007년 등장한 모바일·스마트 기기가 스티브 발머를 몰아낸 것이다. 하지만 스티브 발머를 몰아낸 모바일ㆍ스마트 기기도 서서히 다음 세대에 왕좌를 내줄 준비를 하고 있다. 시장조사기업 스트래티지어낼리틱스에 따르면 스마트폰 평균가격이 최초로 300달러 이하로 떨어졌고, 스마트폰 기술 표준화 및 저가폰의 공습으로 인하여 모바일·스마트 시대의 주역인 삼성이나 애플의 시장점유율이 떨어지고 있다고 한다. 기술혁신도 한계에 도달해 신제품이 나와도 예전과 같은 감흥이 없다. 모바일·스마트 기기를 잇는 다음 세대의 주역은 무엇일까? 웨어러블 기기(wearable computer)가 되지 않을까. 웨어러블 기기란 안경, 시계, 의복 등과 같이 몸에 착용할 수 있는 기기이다. 구글 글라스, 삼성 갤럭시기어, 애플 아이워치가 대표적이다. 웨어러블 기기 내부에서도 글라스 계열 대(對) 워치 계열의 한 판 승부가 있을 것으로 예상하고 있다. 이미 판매 중인 소니의 스마트워치는 큰 주목을 끌지 못하고 있으며, 구글 글라스를 착용해 본 한 기자는 스마트폰 대신에 착용할 이유를 못 느낀다고 혹평했고 최근 프라이버시 침해 사례가 발표되어 사람들의 걱정을 사고 있다. 하지만 웨어러블 기기에 대한 평가는 아직 이르다. 새로운 기기가 나왔다고 하여 항상 혁명을 가져오는 것은 아니다. 혁명적인 기술은 혁신적이어야 하고 기본적으로 직관에 합치되어야 한다. 웨어러블 기기가 스마트폰과 같은 혁명을 가져올까. 수년 후, 법정에서 컴퓨터를 보는 대신 글라스를 착용하는 법조인을 상상해 본다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2013. 9. 2.), 법률신문(2013. 9. 2.) 기고.

재산을 자녀에게 상속 또는 증여할 경우 상속세와 증여세를 내야 하는 것은 일반상식이다. 그런데 통상 상속세율이나 증여세율은 다른 세금보다 그 비율이 매우 높기에, 기업과 같이 그 가치가 매우 큰 재산을 물려줄 경우에는 그 세금이 일반 재산과는 비교할 수 없을 만큼 큰 금액이 된다. 만약 여기에 일반 재산과 같은 비율의 세금을 부과한다면, 가업을 물려주었다는 이유만으로 개인이 함부로 빼낼 수도 없는 기업 가치의 상당 부분에 해당하는 액수를 세금으로 내야만 상황이 되는바, 이는 국가경제적으로도 부작용이 더 크기 때문에, 우리나라에서는 상속세 및 증여세와 관련하여 각종 가업승계 지원방안을 마련하여 두고 있다. 이에 본 글에서는, 특히 상속세 부분에 대한 가업승계 지원제도의 주요 내용을 살펴보고자 한다. 먼저 그 적용대상을 살펴보면, 가업승계 지원제도는 중소기업과 중견기업에 대해서 적용된다. 여기서 중소기업이란 ‘상속개시일이 속하는 소득세 과세기간 또는 법인세 사업연도의 직전 소득세 과세기간 또는 법인세 사업연도 말 현재 1) 자산총액 5천억원 미만, 2) 제조업, 건설업, 정보서비스업, 음식점업, 부동산업 등 상속세 및 증여세법(이하 ’상증세법‘) 시행령 [별표]의 업종을 주된 사업을 영위, 조세특례제한법 시행령 제2조 제1항 제1호 및 제3호의 요건 충족을 모두 만족하는 기업’을 의미한다(상증세법 제15조 제1항). 또한 중견기업은 ‘상속개시일이 속하는 소득세 과세기간 또는 법인세 사업연도의 직전 소득세 과세기간 또는 법인세 사업연도 말 현재 업종이나 매출액 등이 상증세법 시행령 제15조 제2항의 요건을 모두 만족하는 기업’을 의미한다. 또한 위 제도가 적용되려면, 1) 피상속인(물려주는 사람)이 10년 이상 계속하여 최대주주 또는 최대출자자로서 (피상속인과 그 특수관계인을 합하여) 50% 이상의 지분을 보유하면서 경영한 기업이어야 하며, 2) 피상속인이 ①상속개시일부터 소급하여 10년 중 5년 이상의 기간, ②100분의 50 이상의 기간, 또는 ③10년 이상의 기간(상속인이 피상속인의 대표자 또는 대표이사직을 승계하여 그 승계일부터 상속개시일까지 계속 재직한 경우) 동안 대표자 또는 대표이사로 재직한 경우여야 한다. 나아가 상속인은 1) 18세 이상이어야 하며, 2) 상속개시일 전에 2년 이상 가업에 종사한 경우여야 하고 다만 피상속인이 65세 이전에 사망하거나 천재지변 및 인재 등으로 사망한 경우에는 2)번 요건을 필요로 하지 않는다. 그리고 만약 상속인이 병역이나 질병으로 인해 중간에 잠시 가업에 종사하지 못하였다면 이는 가업에 종사한 기간으로 간주한다. 위와 같은 적용요건을 모두 충족한 경우, 가업의 영위기간을 기준으로 하여 각기 다른 금액의 상속세 공제가 이루어지며, 이는 정확히는 세금 공제가 아니라 상속재산가액을 줄여주는 것으로서, 1) 10년 이상을 영위했다면 200억원까지, 2) 15년 이상을 영위했다면 300억원까지, 3) 20년 이상을 영위해다면 500억원까지 상속재산가액을 줄여 준다(상증세법 제18조 제2항 제1호). 이를 실제 사례에 대입하여 살펴보자. 아래 표는 20년 이상 경영한 중소기업으로 가업상속재산이 600억원인 경우를 가정하여 계산한 표이다. 위 표를 보면, 20년 이상의 경영으로 500억원의 공제가 적용되며, 따라서 600억원의 재산에서 500억원을 뺀 금액(상속세 일괄공제 적용으로 인해 5억원 추가공제. 상증세법 제21조 제1항)을 기준으로 상속세 과세표준액을 결정한 것을 볼 수 있다. 따라서 상속세 과세표준은 95억원이 되며, 이 금액에 대해서만 세율이 적용되고, 거기에 자진신고로 인한 신고세액 공제 7%(상증세법 제69조 제1항. 위 표의 원출처에는 10% 공제로 되어 있으나 이후 법이 개정됨)까지 반영하면, 최종 세액은 약 39억원이 된다. 가업상속공제를 적용하지 않았을 때보다 무려 232억 5천만원이나 상속세가 감소하는 것이다. 이처럼 가업승계 지원제도가 적용되면 기업의 승계가 훨씬 수월해지고 부담이 줄어드는바, 중소기업 또는 중견기업을 배우자나 자녀에게 물려줄 계획을 가지고 있는 경영자라면 본 제도에 대하여 반드시 미리 숙지하고 그 요건을 충족시킬 수 있도록 준비를 해 두어야 할 것이다. * 법무법인 민후 최주선 변호사 작성, 디지털데일리(2017. 8. 7.) 기고.

마이데이터 제도는 이미 영국과 미국, 일본 등에서 실행 중이다. 우리 정부도 이를 실현하기 위해 정책적 노력을 기울인다. 다만 현행 법령 해석상 마이데이터를 새로운 입법 없이 실현할 수 있는지 여부는 법적 이슈가 발생할 수 밖에 없다. 마이데이터는 개인이 자신의 정보를 적극적으로 관리·통제하는 것은 물론 자신의 정보를 신용이나 자산관리 등에 능동적으로 활용하는 과정을 말한다. 마이데이터 제도는 개인정보처리자(기업)가 수집한 개인정보를 정보주체(개인)가 원하는 마이데이터 사업자에 제공 또는 통합해 마이데이터 사업자로부터 데이터 비교·분석 등 각종 서비스를 제공받거나 마이데이터 사업자가 제3자에 재제공해 데이터를 활용하도록 하는 제도다. 마이데이터는 정부주체 의사를 전제로 데이터를 공유해 새로운 비지니스를 창출하는 등 데이터 활용도를 올릴 수 있다. 동시에 정보 주체 개인정보 통제권을 강화할 수 있는 제도다. ◇ 각 법적 근거 마다 제약 존재 마이데이터 제도 법적 근거는 무엇일까. 이에 대해 ▲정보주체 제공 의사로 보는 견해 ▲정보주체 열람청구권으로 보는 견해 ▲정보주체 개인정보 이동권으로 보는 견해 등이 있다. 정보주체 제공의사를 근거로 보는 견해는 정보주체가 개인정보처리자가 보관·관리하는 개인정보를 마이데이터 사업자에 제공하는 것에 동의할 수 있다는 점을 근거로 한다. 하지만 현행 개인정보보호법 제17조 제1항을 해석하면 정보주체로부터 동의를 받는 자는 마이데이터 사업자가 아니라 개인정보처리자이어야 한다. 하지만 정보주체가 마이데이터 사업자에 동의를 하는 경우는 법령상 포섭이 어렵다. 또 정보주체가 개인정보처리자에 제공 동의를 하는 경우라도 개인정보처리자가 마이데이터 사업자에 개인정보를 이전하지 않고 정보주체에게 개인정보를 건네주는 경우 매우 번거로울 수 있다. 뿐만 아니라 개인정보 제공동의는 개인정보처리자를 위한 제도이지 정보주체를 위한 제도가 아니다. 개인정보처리자가 정보를 내주는 것을 거부하면 사실상 이를 강제할 수단이 없다는 점에서 한계가 나타난다. 정보주체 열람청구권을 근거로 보는 견해는 정보주체가 열람청구권을 행사함으로써 자신의 정보를 받아 마이데이터 사업자에 넘길 수 있다는 점을 근거로 한다. 하지만 정보주체가 열람을 요구하면 개인정보처리자는 정보주체에게만 열람시키면 된다. 마이데이터 사업자에 건네줄 의무가 없다. 따라서 정보주체는 자신의 정보를 받아 마이데이터 사업자에 다시 건네주어야 한다는 점에서 한계가 있다. 정보주체 개인정보 이동권을 근거로 보는 견해도 있지만, 현행법에는 이러한 권리가 인정되지 않는다. 다만 금융위원회에서 추진하는 마이데이터 사업은 개인정보 이동권을 전제로 입법이 추진 중이다. 아직까지는 입법이 되지 않았기에 당장 근거는 될 수 없다. 만일 이 권리가 입법화된다면 개인정보 제공이나 정보주체 열람청구권이 갖는 단점은 상당 부분 극복될 수 있다. ◇ 개인정보 유출 및 이전 시 발생 문제 해결해야 개인정보 처리자로부터 마이데이터 사업자에 데이터가 이전되는 과정에서도 법적 이슈가 발생할 수 있다. 데이터 호환성은 법적으로 보장해야 하기 때문이다. 또 개인정보처리자가 개인정보를 마이데이터 사업자에 이전하지 않은 경우 법적으로 이를 강제할 수단이 없다는 점도 이유다. 개인정보 이전 과정에서 생길 수 있는 개인정보 유출 문제, 개인정보 이전시 발생할 수 있는 비용의 부담자 결정 문제 등도 같은 맥락이다. 마이데이터 사업자가 여러 유형의 개인정보를 통합, 관리하고 있어 법적 이슈도 생길 수밖에 없다. 마이데이터 사업자 관련 법령이나 감독기관 선정 문제가 있을 수 있기 때문이다. 또 마이데이터 사업자 개인정보 이용 범위가 불명확하다면 그로 인한 오남용 문제도 발생할 수 있다. ◇ 쌓여가는 고민거리들 마이데이터 사업자 정보주체에 대한 보상이나 그 기준, 보상 방법에 대한 논의도 전제돼야 한다. 정보주체가 개인정보 일부에 대해 이용 등 동의를 철회할 경우 마이데이터 사업자가 취해야 할 조치나 파기 문제 등도 고민해야 한다. 마이데이터 사업자가 이전받을 수 있는 범위 또는 정보주체가 이전을 원할 수 있는 범위가 개인정보처리자가 정보주체로부터 수집한 원래 데이터에 한정되는지 아니면 개인정보처리자가 가공한 데이터까지 포함하는지에 대한 문제도 발생한다. 마이테이터 제도를 운영하는 경우, 민간 데이터에 한정할 것인지 아니면 공공데이터까지 확장할 것인지에 대한 논의도 필요하다. 바람직하게는 공공데이터도 포함시키는 게 맞다. 다만 공공데이터 계층화에 대한 접근권 선별화 작업이 전제돼야 한다. 마이데이터 제도는 데이터 산업 영역에서 새로운 비지니스를 촉진시킬 수 있고 그로 인한 데이터 혁명을 앞당기는 데 기여할 수 있다. 하지만 비식별조치 가이드라인 관련업체에 대한 시민단체 고발 사건에서 볼 수 있듯, 탈 없고 지속적인 비지니스를 위해서는 관련 입법이 선행돼야 한다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2019. 7. 30.) 기고.

빅데이터 시대가 도래하면서 개인정보의 가치가 높아지고 있다. 이러한 추세에 발 맞추어, 금융위원회는 개인의 특성을 반영한 다양한 맞춤형 금융상품의 개발을 통해 금융산업을 육성하고자 2019. 5. 11. 개인신용정보 이동권을 도입하는 내용의 정책방안을 제시하였다. 이후, 데이터3법(개인정보보호법·신용정보법·정보통신망법)의 개정을 통해 개인신용정보이동권의 내용이 담긴 이른 바, '마이데이터(My data, 본인신용정보관리업, 이하 마이데이터)'라는 개념이 등장하였다. 이러한 마이데이터 사업과 관련하여, 현재 하나은행, 카카오페이 등이 마이데이터 사업 예비허가를 받았고, 지방은행이나 기타 핀테크사들 또한 금융위원회로부터 마이데이터 사업 허가를 받고자 사활을 걸고 있다. 마이데이터 서비스가 도입되면, 개인이 자신의 신용정보를 확인하고, 이에 맞춘 서비스를 제공받을 수 있어 그 수요가 많을 것으로 예상되기 때문이다. 쉽게 말해, 개인이 자신의 신용정보를 확인하기 위해서는 거래하는 금융사마다 자신의 신용정보를 열람하여야 했는데, 마이데이터 서비스를 이용하면, 자신의 신용정보를 '한 번에' 확인할 수 있어 수요자들의 유입이 예측되기 때문이다. 그러나, 최근 금융위원회가 은행 적요(摘要)정보(통장에 찍히는 송금인과 수취인 정보)를 '나의 개인정보'가 아닌, '제3자(송금인,수취인)의 개인정보'로 잠정결론을 내리면서 마이데이터 서비스가 활성화될지 여부가 의문이다. 금융위원회는 신용정보법상 적요정보가 제3자의 개인정보에 해당하기 때문에, 개인신용정보 전송요구권의 행사 대상에 포함될 수 없다고 본 것인데. 아래와 같은 이유로 적요정보는 제3자(송금인·수취인)의 정보가 아닌 계좌 명의인인 마이데이터 서비스 이용자의 개인신용정보로 보아야 한다. 첫째, 신용정보법 제3조의2 제1항은 신용정보의 이용 및 보호에 관하여 다른 법률에 특별한 규정이 있는 경우 신용정보법에 우선하여 적용하도록 하고 있고, 금융실명법 제9조 제1항은 금융실명법과 다른 법률이 서로 일치하지 않는 경우에는 금융실명법에 따른다고 규정하고 있으므로, 금융실명법이 신용정보법에 우선하여 적용되어야 하기 때문이다. 금융실명법 제4조 제1항에 따르면, 금융회사등에 종사하는 자는 명의인의 서면상 요구나 동의에 따라 그 금융거래의 내용에 대한 정보 또는 자료를 타인에게 제공할 수 있도록 정하고 있고, 금융실명법 시행령 제6조에 따르면, 금융거래정보등이란 특정인의 금융거래사실과 금융회사등이 보유하고 있는 금융거래에 관한 기록의 원본, 사본 및 그 기록으로부터 알게된 것을 의미하는 바, 적요정보는 계좌 명의인인 마이데이터 서비스 이용자의 개인신용정보에 해당한다고 보아야 한다. 둘째, 거래 등의 상황에서는 상대방이 자신의 개인정보를 처분하는 것에 대해 묵시적으로 동의하였다고 해석하는 것이 사회통념에 부합하기 때문이다. 개인정보보호위원회 역시 최근 ㈜스캐터랩의 ‘이루다’서비스 제재 건과 관련하여 ‘다수가 포함된 사진을 일방 당사자가 입력할 때에도 일방 당사자가 자신의 책임하에 이를 처리하는 것이고, 개인정보처리자가 다수의 동의를 받아 수집할 것이 요구되지 않는 것과 마찬가지로 카카오톡 대화를 수집하는 경우 일방 당사자의 동의만으로 대화 내용을 수집할 수 있다’고 설명한 바 있다(개인정보보호위원회 2021. 4. 29.자 보도자료). GDPR 제20조의 정보이동 해석과 관련된 가이드라인(Guideline on the right to data portability,WP 242 rev.01)에서도 이메일 주소록이나 은행거래 내역 내 타인의 정보도 정보이동권의 대상이 된다는 점을 명확히 밝힌 바 있다. 쉽게 말하자면, 내가 누구에게 돈을 보냈는지, 누구에게 돈을 받았는지 가계부에 써낼 때 마다 상대방에게 동의를 얻지 않는다. 적요정보는 ‘나의 정보’로 보아야 한다. 셋째, 마이데이터 서비스의 도입취지가 몰각될 우려가 있다. 은행 적요정보를 제3자의 개인정보로 볼 경우, 마이데이터 서비스 이용자들은 자신의 통장에 입금한 사람의 정보를 알 수 없게 된다. 즉, 송금인이나 수취인 정보를 확인하기 위해서 종전처럼 거래하는 금융사에서 열람을 하여야 하는 불편함이 유지되므로 그 사용 실익이 있을지 우려가 생긴다. 정보주체의 개인정보자기결정권을 실질적으로 보장하면서 금융산업의 육성을 하고자 개인신용정보이동권에 대한 정책방안을 제시하였던 초심을 생각하여, 금융위의 현명한 판단이 필요한 때이다. * 법무법인 민후 송미나 변호사 작성, 디지털데일리(2021. 5. 28.) 기고.

최근 금융위원회는 마이데이터 산업을 도입하고 관련 규정인 신용정보법을 개정하겠다는 계획을 발표하였습니다. 계획안은 공개되었으니 살펴보면 될 것이고, 이번 글에서는 마이데이터 산업을 준비하기 위하여 필요한 사항이 무엇인지 정리하려고 합니다. 마이데이터 산업은 EU, 미국, 일본 등에 이미 유사한 제도가 있는 서비스 형태입니다. '본인신용정보관리업'이라 불리우는 마이데이터 산업은 신용정보법의 신용조회업(CB)과 유사하게 보이나, 개인의 신용상태를 평가해서 은행 등 필요한 기관에 제공하는 업무를 하지만, 마이데이터 산업은 정보주체의 동의 하에 은행 등으로부터 신용정보를 수령하여 하나로 모아 관리하는 서비스 형태입니다. 예를 들어 정보주체 A가 은행, 증권회사, 신용카드사, 보험회사, 통신사 등으로부터 자신과 관련된 정보를 제공받을 권리를 마이데이터 업자에게 부여하면, 마이데이터 업자는 A를 대신하여 은행 등으로부터 A와 관련된 정보를 제공받아 통합하여 관리할 수 있습니다. 이렇게 제공받고 통합된 A의 데이터는 분석하여 다시 A에게 부가가치 있는 재무정보 등으로 제공되며, A는 경우에 따라서 금융투자상품에 대하여 자문서비스도 제공받을 수 있습니다. 다만 금융투자자문을 하려면 그 전에 마이데이터 산업 허가와 별개로 투자자문업 등에 대한 라이선스가 있어야 할 것입니다. 마이데이터 업자가 되려면, 최소 5억원 이상의 자본금이 있어야 하며, 개인정보 유출 등에 대비한 배상보험에 의무적으로 가입해야 합니다. 신용정보를 관리하는 업이다 보니 신용정보를 안전하게 관리할 수 있는 보안시설을 필히 갖추어야 하고, 전문가로서 신용정보관리보호인을 두어야 합니다. 이런 조건하에 금융위원회로부터 허가를 득해야 합니다. 허가요건을 열거하면, 1) 최소 5억원 이상의 자본금, 2) 배상보험의무가입, 3) 안전관리를 위한 보안시설, 4) 신용정보관리보호인이라 할 수 있고, 향후 입법에 따라 추가될 수도 있어 보입니다. 사실 이 제도는 내용은 간단하지만 복잡한 개인정보 처리가 들어 있고, 이러한 처리 내용의 대부분이 우리나라 개인정보 보호 법령에 없는 내용이기에 실제 이 제도가 현실화되기 까지는 쉽지 않을 것으로 생각됩니다. 예를 들어, 이 제도는 우리 법에 없는 개인정보 이동권과 개인정보 프로파일링 등이 전제되어 있고, 제공동의를 개인정보를 제공하는 자의 동의가 아니라 제공받는 자의 동의를 전제로 하고 있습니다. 개인정보 이동권이나 개인정보 프로파일링, 제공받는 자의 동의 등은 현행 개인정보보호법에 없는 제도로서, 일반법인 개인정보보호법에 없는 내용을 신용정보법에 도입하는 것이 가능할지 갑론을박이 있을 수밖에 없다는 의미입니다. 하여튼 개인정보 활용보다는 보호 쪽에 치중되어 있는 현행 개인정보 규제 현황에 신선한 바람을 불러오고, 새로운 계기를 마련할 수 있다는 점에서 긍정적인 면이 매우 크다고 생각합니다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2018. 7. 24.) 기고.

금융위원회와 신용정보원이 빅데이터 활용에 본격 시동을 건다고 한다. 이에 앞서 금융위는 신용정보법 개정안을 마련해 발표하기도 했다. 문제는 빅데이터 정보활용의 근거가 되는 법 개정안 자체가 개인정보보호에 큰 맹점을 지니고 있다는 점이다. 개정안은 ①신용정보법, 개인정보법, 정보통신망법 간 유사·중복규제를 해소하여 금융회사는 신용정보법만 준수하면 되는 것으로 하고, ②금융거래정보도 신용정보로 포섭하고, ③빅데이터 근거 조문을 만들었다. 개인정보보호법의 내용을 대거 신용정보법에 포함시킴으로써 중복규제 문제를 해결했는데, 입법기술적으로는 중복하여 기술하는 것보다 간단하게 ‘준용’하면 될 것인데 조문의 낭비로 보인다. 그리고 신용 판단과 무관한 정보도 ‘금융거래’와 관련만 있으면 신용정보로 보는데, 단순한 금융거래정보를 신용정보로 보는 것도 이해하기 어렵고 나아가 ‘금융거래’의 모호성·광범위성 때문에 신용정보 범위가 무제한 넓어질 수 있는 문제점이 있다. 본론으로 들어가서, 신용벙보법 개정안은 다음과 같은 빅데이터 조문을 신설했다. “제32조의2②제1항에도 불구하고 신용정보회사 등은 다음 각 호의 어느 하나에 해당하는 경우에는 신용정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인신용정보를 목적 외 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 4. 특정 개인을 알아볼 수 없는 형태로 처리하는 경우”다. 요약하면, 비식별화로 목적외 이용·제공이 가능하고(제32조의 2 제2항 제4호), 다만 재식별화는 금지된다는 것인데(제7항) 여기서는 몇 가지 문제점이 발견된다. 첫째, 제32조의 2 제2항 제4호는 개인정보보호법 제18조 제2항 제4호(통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우)에 근거한 것인데, 개인정보보호법 위 조항과 달리 ‘통계작성 및 학술연구 등의 목적’의 제한이 삭제되어 있다. 개인정보보호법 위 조항에 대하여 많은 전문가들은 목적 범위를 좁게 해석한 것과 달리 금융위원회는 위 조문을 넓게 해석하고 있었는데 그 결과의 반영으로 보인다. 개인정보보호법 조항과 달리 ‘통계작성 및 학술연구 등의 목적’의 제한없이 이용할 수 있게끔 규정한 것은 금융회사에 대한 특혜로 보이며, 일반법인 개인정보보호법에 나와 있는 목적 제한 범위를 삭제하는 것이 법체계상 타당한지의 의문도 생긴다. 둘째, EU 등은 빅데이터 조문을 신설했는데, 그 주류는 ‘pseudonymous data’의 개념정의와 도입이었다. 한 사람에게 대입할 수 있지만 그 사람이 누구인지 알아볼 수 없는 상태의 ‘pseudonymous data’를 도입함으로써 빅데이터 조항을 신설하는 것이 세계적 흐름이다. 하지만 금융위원회는 비개인정보는 법 적용이 없다는 너무나 당연한 논리의 접근을 하고 있는바, 일단 국제적 흐름에 전혀 부합하지 않는 문제점이 있고, 당연한 말을 굳이 법조문에 만들 필요성이 있는지 의문이며, 이 조문으로는 개인정보보호법 제18조 제2항 제4호의 예와 같이 실제 빅데이터 산업에 큰 기여를 하지 못할 것으로 보인다. 빅데이터의 핵심은 ‘pseudonymous data’의 도입에 있다. 비개인정보는 법 적용이 없다는 논리로 해결될 것은 아니며, EU, 일본 등도 빅데이터 문제를 이렇게 해결하지는 않았다. 빅데이터에서 정작 멀어지고 있는 신용정보법 개정안의 빅데이터 조항을 바로 잡아야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 디지털타임스(2016. 5. 29.), 전자신문(2016. 5. 30.), 리걸인사이트(2016. 5. 30.) 기고.

요즘 국민들의 가장 큰 관심사는 신용정보 유출이다. 가장 큰 규모이기도 하고, 카드번호, 계좌번호, 거래실적, 신용등급 등 가장 민감한 정보가 어이없게도 한명에 의해 대출업자 등에게 판매되었다는 사실에 대하여 국민들이 격분하고 있다. 금융당국도 고강도의 대책을 내세우고 있으며, 법령개선도 불가피해 보인다. 다만 고강도 대책이라지만, 사실상 금융회사 아닌 기업들의 개인정보보호 준수사항에 비하면 그 수준이 높다고 할 수 없다. 금융당국의 대책은 정보통신망법이나 개인정보보호법에 이미 도입되어 있는 제도들이거나 다른 기업들은 당연히 그렇게 하고 있는 내용들이 대부분이다. 금융회사의 개선점을 지적한 금융당국의 대책을 보고, 오히려 기존에 금융회사들이 다른 기업들의 개인정보보호 수준에도 미치지 못하고 있었다는 점에 더 놀라게 된다. 이는, 금융회사는 신용정보보호법이나 전자금융거래법만 준수하면 되고 개인정보보호법이나 정보통신망법은 준수하지 않아도 된다고 보는 관행 때문이다. 예컨대 주민등록번호의 암호화는 개인정보보호법이 의무사항으로 규정하고 있지만 이번 사태에서 보듯이 주민등록번호는 암호화가 되어 있지 않았다. 물론 이는 '다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보보호법에서 정하는 바에 따른다'라고 규정되어 있는 개인정보보호법 제6조에 비추어, 명백한 개인정보보호법 위반이다. 작년 7월 발간된 '금융분야 개인정보보호 가이드라인'도 이 점을 명확히 밝혔다. 금융당국은 개인정보 유출시 50억원 상한의 정액과징금 제도를 도입한다고 자랑스럽게 발표했지만, 방통위는 그보다 훨씬 제재를 강화하여, 개인정보유출시 인과관계를 입증하지 않고도 정액과징금 대신 관련매출액 1% 이하의 정률과징금을 부과할 수 있는 정보통신망법 개정을 시도하고 있다. 국민들은 금융회사가 가장 강력하게 개인정보보호를 할 것이라고 기대하고 있다. 이번 사태를 계기로 그 기대에 부응하는 금융회사와 금융당국의 뼈를 깎는 노력이 있어야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 1. 27.) 기고.

'9:00~9:20 출근 후 식사, 9:20~9:40 커피 마시며 잡담, 9:40~10:20 뉴스검색…' 한 사내 근로자가 회사 사장으로부터 받은 엑셀파일에 포함되어 있는 내용이다. 태만하게 일한다는 경고를 받은 것이다. 알고 보니 지문인식시스템, 사내 CCTV와 PC내의 감시프로그램을 통하여 회사 사장이 일거수일투족을 감시하고 있었던 것이다. 영업 때문에 외근을 하는 근로자들도 회사가 나눠준 스마트폰을 통하여 위치정보가 GPS 등으로 회사 서버에 실시간 전송되어 분석된다. '사내 불륜 32커플, 같은 부서 불륜 5커플…' 한 회사 보안팀이 사내 메신저 대화 내용을 분석한 결과를 임원진에게 보고한 내용이다. 회사 PC에서 보내고 받은 이메일과 메신저 대화 내용은 첨부파일까지 포함되어 회사서버에 저장되어 있고, 일정 시간마다 근로자 PC 모니터의 스크린, 인터넷 접속기록이 자동전송되는 장치를 도입한 기업도 있다. 어떤 회사는 직원 책상 바로 위에 녹음이 가능한 CCTV를 설치하여 대화 및 통화내용까지 감시하고 있다. 상상이 아니라 피해자나 회사 보안팀원으로부터 직접 들은 현실이다. 직원감시 기능을 하는 첨단장비나 보안솔루션은 직원들의 반발을 우려해 비밀리에 도입되어 설치된다고 한다. 근로자는 하루 일과 중 3분의2 이상을 직장에서 보내고 있지만, 회사에만 출근하면 프라이버시는 증발해 버리고, 회사는 근로자에 대한 너무나 많은 사적 정보를 보유하고 있다. 일부 첨단장비나 보안솔루션은 실정법을 어기는 것도 있다. 정보보호·시설보호라는 원래 의도가 '사람 감시'로 왜곡되어 가고 있다. 정보나 시설을 감시하여야 하는 회사 장비는 근로자 감시 용도로 사용되고 있다. 앞으로 이러한 현상은 점점 심해질 것이다. IT 기술 발전의 어두운 단면이자 부작용이라 할 수 있다. 증발해 버린 근로자들의 프라이버시를 살릴 수 있는 실질적인 방법을 하루빨리 찾아회사의 권리와 근로자의 권리 사이의 균형을 유지할 수 있도록 해야 한다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2013. 9. 9.) 기고.

재판 진행을 위하여 관련 사건의 판결문을 구해보면 당사자 등의 개인정보가 도형화 처리되어 있어, 누구의 사건인지 알 수가 없다. 이렇게 정보주체를 식별하거나 식별할 수 있는 개인정보를 식별하지 못하거나 식별할 수 없는 형태로 만드는 조치를 데이터익명화(Data Anonymization)라 한다. 대표적으로 CCTV로 수집되는 영상에서 얼굴을 마스킹하는 것이 그러한 예이다. 이러한 익명화 조치가 데이터의 처리ㆍ분석ㆍ활용을 극대화하는 빅데이터 시대에 있어, 프라이버시 보호의 대책으로서 각광을 받고 있다. 민감한 의료 데이터 등에서 식별자를 가공함으로써 누구의 정보인지 알 수 없게 한 다음, 처리나 분석, 활용을 하게 되면 프라이버시 침해 우려도 없고 활용을 극대화할 수 있기 때문이다. 우리나라 개인정보보호법은 '개인정보처리자는 개인정보의 익명처리가 가능한 경우에는 익명에 의하여 처리될 수 있도록 하여야 한다(제3조 제7항)'라고 규정하여, 법적으로 익명화 처리를 권장하고 있다. 최근 영국의 ICO(Information Commissioner's Office)도 익명 데이터 실무지침(Anonymisation : managing data protection risk code of practice)을 발표하여 익명화에 대한 기준을 제시하고 있다. 이러한 익명화가 미국 국가안보국(NSA)의 대규모 데이터 수집과 감시 활동 이후에는 제3자의 감시를 피하기 위한 수단으로도 이용되고 있다. NSA 사건 이후 제3자의 감시가 어려운 익명성을 보장하는 웹 브라우징과 커뮤니케이션 서비스를 제공하는 인터넷 기업의 주가와 인기가 오르고 있다. 다만 이것저것 할 것 없이 모두 가려버리는 과잉 익명화는 정보의 자유나 알권리를 침해할 수 있고, 수준 낮은 익명화 기법은 시간이 지나면 다시 식별성이 되살아나는 재식별화의 문제점이 있다. 적정한 익명화 및 견고(robust)한 수준의 익명화 기준에 대한 고민이 필요한 때인 것 같다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2013. 12. 2.) 기고.

오랫동안 개인정보를 제공하고 각종 사이트에 가입한 적이 있는 누군가가, 그동안 제공했던 개인정보를 찾아 반환받고 싶다면 가능할까? 가입사이트가 수십개라면 거의 불가능하겠지만, 정보통신망법 제30조의2의 '개인정보 이용내역통지 제도'를 활용하면 가능할 수도 있다. 금년 가을, 많은 사이트로부터 개인정보 이용내역 통지라는 메일이 도착하였다. 메일을 받은 사람들은 자신이 가입한 사이트를 확인하고, 사용하지 않는 서비스를 해지함으로써 스스로 개인정보를 관리하였다. 다만 통지 내용을 보면 개인정보 취급 방침과 다를 바 없어 실망을 금할 수 없었다. 이 제도는 일률적인 개인정보 취급 방침을 그대로 보내는 제도가 아니다. 정보통신망법 시행령은 일률적인 개인정보 취급 방침을 그대로 보내도 되는 것처럼 규정하고 있지만, 법률의 '이용 내역'이라는 말은 연혁상 '이용 현황'이라는 말과 같기 때문에, 각 이용자의 개별적·구체적인 이용 현황이 이용자에게 보내져야 한다. 시행령 내용이 법률의 취지를 몰각시키고 있는 것이다. 이 제도는 개인정보 이용 현황을 이용자에게 열람시켜 주고 제공해 주는 정보통신망법 제30조의 이용자의 열람·제공 요구권과 그 뿌리가 같다. 이용자의 열람·제공 요구권은 이용자의 요구가 있을 시에만 이루어지는 '조건적' 열람 제공인 반면 이용 내역 통지는 이용자의 요구 여부와 무관하게 주기적·의무적으로 이루어지는 '무조건적' 통지인 것이다. 이 제도에 대하여 기업의 부담 증가와 무용성을 근거로 반대하는 견해도 있다. 하지만 이 제도는 기존의 이용자의 열람·제공 요구권의 변형일 뿐이며, 시행 1년차임에도 많은 사람들이 이를 활용하여 서비스 해지 및 개인정보 관리를 하고 있다. 현재 이 제도의 적용 대상은 일정 규모 이상의 대기업에 국한되어 있지만 사실 개인정보 관리가 부실한 영세기업에서 이 제도의 활용성은 더 크다. 이참에 정부가 간편하고 자동화된 개인정보 이용 내역 통지 시스템을 개발하여 오픈소스로써 누구나 이용하는 길을 터주는 것은 어떨까. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2013. 12. 9.), 블로그(2014. 1 .7.) 기고.

식물의 성장을 좌우하는 것은 넘치는 영양소가 아니라 가장 부족한 영양소라는 것이 리비히의 '최소량의 법칙(law of minimum)'이다. 질소, 인산 등의 영양소가 아무리 풍부해도 칼슘 하나가 부족하면 식물은 제대로 성장할 수 없다. 이 법칙은 우리 사회에도 그대로 반영된다. 문화, 사회, 경제가 아무리 특출나도 후진적인 정치가 있다면 국가성장은 정치수준에 맞추어질 것이고, 회사의 인사, 회계 파트가 아무리 열심히 해도 생산 부분이 후진적이라면 회사 성장은 그 수준에 맞추어질 것이다. 갖가지 편익이나 서비스를 제공받기 위하여 우리의 개인정보는 포털, 금융회사, 쇼핑업체, 피자회사, 통신회사, 국가, 직장 등 다양한 조직에 제공되었다. 하지만 여러 기업에 제공된 개인정보는 상이한 것이 아니고 같은 것이다. 이런 상황에서 하나의 기업이라도 개인정보를 제대로 관리하지 못하고 유출시킨다면, 다른 기업이나 국가의 노력은 물거품이 되고 만다. 최소량의 법칙이 개인정보보호에도 적용된다. '우리 기업 하나쯤 개인정보를 유출시켜도 큰 일 아니잖아'라고 생각할 일이 아니다. 금융회사뿐 아니라 통신회사, 쇼핑업체 등 다른 기업들이 똑같은 카드번호를 보유하고 있기 때문에, 금융회사의 카드번호 유출은 통신회사, 쇼핑 업체 등에서의 카드번호 이용으로 이어질 수 있다. 특히 일생을 통하여 고정되어 있는 주민등록번호 등의 고유 식별정보라면 한 기업의 태도가 국민 전체의 운명을 결정할 수도 있다. 어떤 이는 개인정보보호는 기업이 알아서 할 일이지, 국가가 이래라 저래라 할 내용이 아니라고 말한다. 작은 정부의 의도는 알겠지만, 모든 기업이 우리의 똑같은 개인정보를 보유하고 있는 상황에서 이를 기업에만 전적으로 맡길 것은 아니며, 기업들은, 자신들이 보유한 개인정보가 한 인간의 변하지 않는 인격일 수 있다는 인식을 가지고, 자신이 국민들의 개인정보보호에 있어서 결핍 영양소가 되지 않도록 노력해야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 2. 3.) 기고.

개인정보보호위원회의 핵심 기능은 개인정보보호법 제8조 제1항에서 정한 12가지의 심의ㆍ의결 사항에 대한 심의ㆍ의결이다. 12가지의 사항 중 특히 개인정보 보호와 관련된 정책ㆍ제도 및 법령의 개선에 관한 사항, 개인정보 보호에 관한 법령의 해석ㆍ운용에 관한 사항, 개인정보의 목적외 이용ㆍ제공(제18조 제2항 제5호)과 관련된 사항, 다른 기관의 장에 대한 조치 권고에 관한 사항 등이 중요하다. 이 중에서도 엄격한 목적제한성을 완화시켜 주는 역할을 하는 ‘개인정보의 목적외 이용ㆍ제공(제18조 제2항 제5호)과 관련된 사항’이 많이 문제되고 있다. 제18조 제2항 제5호에 의하면, 공공기관은 ‘개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우’에 개인정보를 원래의 수집ㆍ이용 목적을 벗어나 이용하거나 제공할 수 있다. 이 조문의 활용은 빈번하다. 그간 농림축산식품부의 쌀소득 등 보전직접지불금 부당수령자의 주민등록번호 국회 제공 건, 국방부의 채권추심 목적의 개인정보 제공 건, 교육부의 특성화고 등 취업통계조사를 위한 개인정보 제공 건 등이 심의ㆍ의결 대상으로 논의되었다. 앞으로 이 조문의 활용 빈도는 증가할 것으로 보인다. 하지만 앞으로 엄격한 목적제한성의 벽을 깨면서 유연한 이용이나 제공을 목적으로 하는 이 조문이 제 기능을 발휘하려면 몇 가지 점은 반드시 개선되어야 할 것이다. 첫째, 심의 요건이 너무 엄격하다. 개인정보보호위원회의 심의 요건은 ‘개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우’로 되어 있는데, 일단 ‘다른 법률에서 정하는 소관 업무’ 부분이 심의 대상을 대폭 축소시키고 있다. 개인정보보호위원회는 대통령 소속의 개인정보 최고 심의ㆍ의결 기관임에도, 지나치게 심의 대상을 축소시키고 있고, 이 조항의 적용 대상을 대폭 줄임으로써 이 조항을 유명무실하게 하고 있다. ‘다른 법률에서 정하는 소관 업무’ 부분을 ‘다른 법령 또는 조례에서 정하는 소관 업무’로 개정하여 심의 대상을 넓힐 필요가 있다. 즉 법률이 정하는 소관업무에 한정할 것이 아니라 시행령이나 시행규칙, 조례 등에 의하여 정해지는 소관 업무에 대하여도 심의할 수 있도록 해 주는 게 바람직하다. 둘째, ‘소관 업무를 수행할 수 없는 경우’의 인정 요건이 지나치게 까다롭다. ‘소관 업무를 수행할 수 없는 경우’는 문언적으로 ‘불가능한 경우’로 해석되는바, 어떤 경우이든지 다시 동의를 얻어 개인정보를 수집한 다음에 이용하든지 제공하면서 업무를 수행할 수 있다는 점을 고려하면 과연 ‘불가능한 경우’가 있을 수 있나 하는 의구심이 들고, 개인정보 최고 심의ㆍ의결 기관의 위상을 고려하건대 이렇게 재량권을 과도하게 박탈할 필요성이 있나 하는 문제점도 있다. ‘소관 업무를 수행할 수 없는 경우’를 삭제하고 이익형량이나 개인정보보호의 8원칙을 통하여 해결하든지 아니면 ‘소관 업무를 수행하는 것이 곤란한 경우’로 완화하여 개인정보보호위원회의 폭넓은 재량을 인정하는 것이 이 조항의 취지에 부합한다. 셋째, 목적외 제공을 하고자 하는 경우에는 더욱 심각한 논란을 보이고 있다. 예컨대 『개인정보를 제공하는 기관』이 심의를 요청하여야 하는지 아니면 『개인정보를 제공받고자 하는 기관』이 심의를 요청하여야 하는지 아니면 둘 다 심의요청을 할 수 있는지 여부,『개인정보를 제공받고자 하는 기관』이 심의를 요청한 경우, 심의를 요청하지 않은 『개인정보를 제공하는 기관』에게 심의ㆍ의결의 구속력이 미쳐서 심의ㆍ의결에 따른 제공 의무가 발생하는지 여부 등에 관하여 논란이 많다. 위 문제점들을 해결할 수 있는 법문을 포함하여, 제18조 제2항 제5호의 심의ㆍ의결에 관하여 그 절차나 효과에 대한 명시적 규정이 시행령 등으로 정비되어야 할 것이며, 구체적인 절차 등에 대하여는 개인정보보호위원회 규정으로 명시하는 것이 필요해 보인다. 넷째, 사기업의 경우에도 개인정보보호위원회의 심의ㆍ의결로써 이러한 혜택을 누릴 수 있도록 문을 열어주는 것이 바람직해 보인다. 제18조 제2항 제5호는 엄격한 목적제한성을 사후적으로 완화하여 유연하고 융통성 있는 개인정보의 이용 또는 제공을 가능하게 해 주는 조항인바, 이 조항을 공공기관에 제한하여 적용시킬 필연성은 없어 보인다. 대통령 소속의 개인정보 최고 심의ㆍ의결 기관인 개인정보보호위원회의 업무 관장을 공공기관에 제한하여 둘 필연성이 없기 때문이다. 이 조문의 긍정적인 기능은 사기업도 같이 향유할 수 있도록 법령의 문을 열어두는 게 형평성에 반하지 않을 것이다. 지금까지 개인정보보호법 제18조 제2항 제5호를 중심으로 개인정보보호위원회의 심의ㆍ의결 권능에 대하여 살펴보았다. 개인적으로는, 향후 수집과정의 엄격성은 유지하되, 수집 이후의 활용에 관한 이 조문의 적용범위를 확대하고, 심의요건을 완화함으로써 보호위원회의 재량을 늘려, 안전하면서도 유연한 개인정보 활용을 지원하는 방향으로 변모하는 것이 바람직해 보인다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2013. 11. 18.), 보안뉴스(2014. 2. 11.), 블로그(2014. 2. 25.) 기고.