데이터 3법, 빅데이터 활성화 첫 발 될까 헛발 될까

4차위 해커톤·GDPR 대응 성격…본회의 통과 무산 이후 상임위서 계류

인공지능(AI) 기술 활용과 빅데이터 산업 활성화를 위해 현행 개인정보보호 제도와 규정을 손질한 '데이터 3법' 개정안의 운명에 관심이 쏠렸다. 지난주 여야 원내대표가 3법을 처리하기로 합의한 직후 이달중 국회서 신속히 통과될 것이란 관측이 있었지만 무산됐다. 개인정보보호법을 제외한 두 법안의 상임위 논의가 늦어졌기 때문이다. 다음달 정기국회 중 처리될 가능성이 남았다.

데이터 3법은 개인정보보호법·신용정보법·정보통신망법 개정안으로 구성돼 있다. ▲비식별 처리한 개인정보를 '가명정보'라는 법적 개념으로 도입 ▲개인정보 보호 감독 기능을 개인정보보호위원회로 일원화 ▲전문 기관을 거친 정보집합물의 반출·결합 허용 등의 내용이 담겨 있다. 기업 간 데이터 융합, 유럽 일반 개인정보보호법(GDPR) 적정성 국가 지정 등을 고려한 내용들이다.

이런 세부 내용들은 다년간의 사회적 합의 과정 속에서 도출됐다. 현 정부 출범 이후 개인정보의 산업적 가치가 조명받으면서 기업과 시민단체, 법조계, 정부가 논의한 결과물이다.

국회에 따르면 지난 14일 데이터 3법에 속하는 개인정보보호법 개정안이 국회 상임위 법안심사소위원회를 통과한 데 이어 신용정보법, 정보통신망법 개정안도 상임위 논의 테이블에 오를 예정이다. 조속한 처리는 지나갔지만, 개정이 무산될 것이라 단정할 수도 없다. 데이터 3법이 대두된 배경과, 유럽 GDPR 등 국외 제도와의 관계, 실질적인 연내 통과 가능성을 분석해 본다.

국회의사당(사진=지디넷코리아)

■'데이터 3법' 마련 과정 살펴보니

현재 데이터 3법을 구성하는 세부 사안들은 문재인 정부가 4차 산업혁명 연관 산업을 육성하기 위해 마련한 4차산업혁명위원회를 통해 마련됐다.

4차위는 신산업에 대한 각계의 사회적 합의를 도출하는 '규제·제도 혁신 해커톤'에서 데이터 활용 방안을 논의했다.

지난해 4월 열린 3차 해커톤에서 ▲정보 주체를 알아볼 수 없도록 비식별 처리한 '가명정보'의 활용 목적과 범위 ▲개인정보 비식별 전문 기관 마련 ▲데이터 간 결합 제도 구체화 ▲개인정보 보호 법제와 거버넌스 개선 등에 대한 의견 공유가 이뤄졌다.

이후 두 달 뒤인 6월 이같은 합의 내용을 토대로 4차위는 '데이터 산업 활성화 전략'을 의결했다.

데이터 산업 활성화 전략은 ▲정보 주체가 자신의 정보를 기관으로부터 직접 내려받아 활용할 수 있는 '마이데이터' 시범 사업 추진 ▲공공·민간 데이터 개방 등 데이터 활용 과정 혁신 ▲빅데이터 선도 기술 확보 등의 내용이 담겼다.

이에 따른 개인정보 법제 개정 추진도 예고했다.

금융위원회도 그해 7월 마이데이터 사업 등 '금융 분야 데이터 활용 및 정보보호 종합 방안'을 위해 필요한 법 개정 사항을 담은 신용정보법 개정안을 마련하겠다고 밝혔다.

이에 따라 사실상 정부 안의 성격으로 지난해 11월 데이터 3법이 국회에 동시 발의됐다.

다만 법안소위를 통과한 개인정보보호법 개정안에 대해, 가명정보의 처리 목적을 불분명하게 규정하고 있다는 비판의 목소리도 있다.

법안에서는 통계 작성, 연구, 공익적 기록 보존에 대해 정보 주체 동의 없는 가명정보 활용을 허용하고 있다.

이에 대해 산업계는 법문에 기업이 상업적으로 가명정보를 활용할 수 있다는 내용이 포함돼야 한다고 주장한다. 향후 법적 논쟁의 불씨를 미연에 방지하기 위해서다. 데이터 3법 중 신용정보법 개정안의 경우 법문에 상업적 목적의 통계 작성을 위해 가명정보를 활용할 수 있다는 내용이 담겨 있다.

현재 시민단체들이 비식별 처리한 정보를 활용 또는 제공한 기업·기관에 대해 소송을 제기하고 있는 것을 의식한 지적이다. 시민단체들은 정부가 충분한 사회적 합의 없이 비식별 정보의 활용을 사실상 용인하고 있으며, 지난 2016년 정부가 내놓은 개인정보 비식별 조치 가이드라인은 법적 효력이 없다고 비판해왔다.

이와 달리 데이터 3법은 도입 과정과 효력에 있어 차이가 있다. 해커톤이라는 사회적 합의 과정을 거쳤으며, 가명정보를 법적 개념으로 도입하는 내용을 담고 있다.

데이터 3법의 근간이 된 해커톤에서는 이미 상업적 목적의 가명정보 활용을 합의 내용으로 도출한 바 있다. 정부도 법안 제안 이유에 신산업 육성이 언급돼 있어 상업적 목적의 가명정보 활용에 문제될 것이 없다는 입장이다.

■"한국, GDPR 준수하려면 '데이터 3법' 도입 필요"

개인정보에 대한 법제 개편을 촉발한 원인 중에는 유럽 연합(EU)이 지난해 시행한 GDPR도 있다.

GDPR은 EU 회원국 국민들을 대상으로 하는 개인정보 취급 지침이다. 정보 주체를 식별 가능한 모든 정보를 개인정보로 규정하고, 정보 주체의 권리를 보장하는 내용을 담았다.

EU 회원국을 대상으로 사업을 펼치는 기업들에 대해 개인정보책임자 지정을 의무화하고, GDPR에서 요구하는 규정을 준수했을 때에만 EU에서 수집한 정보를 역외로 이전할 수 있게 하는 등 다양한 규제가 GDPR에 담겼다.

특히 현지에 법인이 없는 기업이더라도, EU 회원국 국민에게 제품이나 서비스를 제공하면 GDPR 적용을 받게 된다. GDPR 규정을 위반한 기업에게는 연 매출의 4% 2천만 유로 중 더 높은 금액이 과징금으로 부과된다.

기업이 EU 지역에서 수집된 데이터를 한국으로 자유롭게 이전하기 어렵게 된 것이다.

GDPR

이에 산업계에서는 GDPR 적정성 결정 대상국 지위를 획득해야 한다는 목소리가 높아졌다. 적정성 결정 대상국은 EU가 타국의 법제를 검토하고, 개인정보 보호 수준이 GDPR을 위반하지 않는다고 판단되는 국가에 부여하는 지위다. 적정성 결정 대상국 지위를 획득하면 해당 국가의 규제를 준수하는 기업은 별도의 허가 없이도 EU 지역에서 수집된 데이터를 국내로 이전할 수 있게 된다.

우리나라는 일본과 함께 2017년 1월 EU로부터 적정성 결정 평가 우선 협상국으로 지정됐다. 일본은 지난해 9월 적정성 결정 대상국으로 지정됐지만, 우리나라는 만 3년이 돼 가는 현재까지 적정성 결정 대상국 지위를 획득하지 못한 상태다.

개인정보보호위원회는 EU GDPR 적정성 결정을 지속 추진하기 위해 외교협력을 강화하고 있다는 입장이다. 그 일환으로 지난 20일 김일재 위원장 대행이 EU집행위원회 베라 요로바 집행위원 등을 만나 한국 적정성 결정의 경과를 확인하고, EU의회 자유소비자사법위원회(LIBE) 위원장과 정보보호이사회(EDPB) 위원들과 면담해 적정성 결정 지지를 요청했다고 밝혔다.

그러나 일부 전문가들은 GDPR에서 요구하는 법제 개편 사항을 포함하고 있는 데이터 3법이 통과되지 못한 것을 핵심적인 이유로 지목하고 있다.

GDPR에서는 독립적인 개인정보 보호 감독 기구의 운영, 가명정보 처리를 위한 안전 조치 확보 등을 규정하고 있다.

반면 현행 개인정보보호법에는 가명정보의 법적 개념과 가명 처리·활용 방식이 존재하지 않고, 정부의 개인정보 보호 기능이 행정안전부·개인정보보호위원회·금융위원회·방송통신위원회 등으로 흩어져 있어 GDPR의 규정과는 차이가 있다.

법제 개선이 이뤄지지 않은 조건에선 GDPR 적정성 결정 대상국 지정이 어려울 것이라는 분석이 나오는 이유다.

출처=한국인터넷진흥원

최광희 한국인터넷진흥원 개인정보정책단장은 데이터 3법 포함 GDPR 적정성 결정 대상국 선정에 필요한 법안 46건이 계류돼다고 지적하면서, 한국이 적정성 검토 우선 순위를 잃게 될 수 있다고 우려하기도 했다.

■상반기는 허송세월…'12월 정기국회' 통과도 낙관 어렵다

빅데이터 활용 촉진, GDPR 대응 등 다양한 이유로 데이터 3법의 통과를 바라는 산업계 목소리가 높았다. 그러나 올해 상반기엔 법안이 논의되지 못했다. 야당이 국회 일정을 보이콧하면서 국회 파행이 거듭된 탓이다.

하반기 들어서는 정무위원회, 행정안전위원회에서 각각 신용정보법, 개인정보보호법 개정안에 대해 법안소위에서 논의가 이뤄졌다. 그러나 시민단체의 반대 등 법안에 대한 이견으로 소위 통과까지는 이르지 못했다.

그러던 중 여야 3당 교섭단체 원내대표가 데이터 3법을 본회의에 상정하기로 지난 12일 합의했다고 발표했다. 이에 따라 지지부진했던 법안 처리 상황을 벗어나 연내 법안이 통과될 수 있다는 기대감이 높아졌다.

실제 개인정보보호법 개정안의 경우 여러 차례 법안소위에 상정됐음에도 여야 합의에 이르지 못했으나, 14일엔 법안소위를 통과했다.

그러나 국회 예산안조정소위원회도 진행 중이던 상황에서 원내대표들이 본회의에 상정하기로 한 19일에 맞춰 법안을 처리하기엔 기한이 촉박했다. 특히 정보통신망법을 담당하는 과학기술정보방송통신위원회의 경우 법안소위에서 해당 법안을 논의한 적이 없을 뿐더러, 예산소위도 마무리하지 못한 상태였다. 이 때문에 이인영 더불어민주당 원내대표가 데이터 3법 전체가 통과될지는 장담할 수 없다고 언급하기도 했다. 결과적으로 19일 본회의에서는 데이터 3법이 통과되지 못했다.

정무위는 21일 신용정보법 개정안을 법안소위에 상정했으나, 보류하기로 했다.

과방위 상황은 더 나쁘다. 여야가 입장 차를 좁히지 못해 정부 예산안 심사를 마무리하지 못한 채로 예산소위가 끝났다. 여야 간 골이 깊어진 상황에서 현재까지 법안소위 일정조차도 정하지 못하고 있다.

업계에서는 12월 정기국회가 실질적으로 데이터 3법이 통과될 수 있는 마지막 기회라는 전망도 내놓고 있다. 내년 총선이 예정돼 있는 만큼 각 당이 총선 준비 절차에 돌입할 것으로 점쳐지기 때문이다.

국회 과방위 관계자는 "예산소위가 좋게 마무리되지 못한 만큼 야당이 데이터 3법 등 법안 처리 일정에 대해 협조적으로 나올 것으로 기대하긴 어렵다"며 "법안소위 일정에 대해선 아직 논의하지 못한 상태"라고 말했다.