개인에게 ‘잊힐 권리’가 있다면 타인에게는 ‘기억할 권리’도 있다. 어느 개인이 자신과 사회·경제적 관계를 맺고 있는 주변인들에게 “나에 대한 정보를 모두 잊어달라”고 요구한다면 관철될 수 있을까. 그 사람이 속세와의 인연을 끊고 산에라도 들어가지 않는 이상은 관철되기 어려울 것이다. 타인에게도 ‘상대방의 개인정보를 이용하여 법률행위를 할 권리’가 있기 때문이다.
잊힐 권리 또는 개인정보처리정지요구권은 절대적인 권리가 아니다. 정보주체의 자기결정권과 상대방의 활용권 사이의 균형선상에서 보호되는 상대적 권리일 뿐이다. 그런데 ‘개인정보 자기결정권’이라는 용어가 과거 ‘민족 자기결정권’와 닮아서 그런지, 모든 개인정보의 흐름은 정보주체가 결정할 수 있어야만 한다는 인식이 당연시되는 경향이 있다.
최근 시민단체에서 이동통신사를 상대로 가명처리 정지를 요구하는 공익소송을 제기했다. 이용자의 개인정보를 향후에도 가명처리하지 말라고 미리 요구한 것이다. 개인정보의 본래 목적 처리는 허용하면서 가명처리라는 특정 목적에 한정하여 처리정지요구권을 행사할 수 있을까. 가명처리를 할 수 있을지, 없을지의 결정권을 오로지 정보주체에게 주어야 하는가. 이 주장은 입법론으로는 경청할 만하지만, 현행법의 해석론으로써 가능할지는 다소 의문이다.
가명처리란 무엇인가. 통상의 가명처리는 개인별 고유한 식별자(이하 키값)를 해시(hash)값처럼 원문을 역산할 수 없는 안전한 암호문으로 1대 1 치환하고, 특이한 속성값을 지우는 방식으로 개인정보를 가공하는 작업을 수반한다. 그러면 휴대폰 번호와 같은 키(key)값은 ‘B99A16295D0972’처럼 생긴 암호문으로 바뀌고, ‘국회의원’과 같이 특이한 속성값은 지워진다. 제대로 가명처리된 정보는 공개되더라도 ‘개인의 신상을 털 수 없는 정보’에 그친다. 다만 키값 대신 붙은 암호문이 여전히 개인별 고유값이기 때문에 이것이 누구의 것인지 알 수는 없지만, 예컨대 통계를 낼 때 누군가 한 사람이 여러 번 참여한 것을 제외하고 집계한다든가 하는 식으로 빅데이터 분석의 정확도를 높일 수 있다.
이렇게 가명처리를 이미 끝낸 정보에 대해서는 처리정지요구권을 행사할 수 없다(개인정보 보호법 제28조의 7). 왜냐하면 가명정보 데이터셋 안에서 그 사람의 정보를 찾을 수 없기 때문이다. 만약 찾을 수 있다면 이것은 가명정보가 아니라 여전히 개인정보에 해당한다. 예컨대 가명처리를 한 사업자가 키값 원문과 암호문을 모두 가지고 있다면, 그 사람의 키값을 같은 알고리즘으로 암호화함으로써 어느 암호문이 그 사람의 것인지 대조하여 찾을 수 있다. 그러므로 이럴 때는 여전히 개인정보로서 취급된다. 다른 한편 가명처리한 데이터를 넘겨받는 외부 연구기관의 관점에서는 키값 원문을 안 가지고 있기 때문에 어느 암호문이 그 사람의 것인지 찾을 수 없다. 후자에서는 특정인의 가명정보를 찾아서 지울 방법이 없으므로 정보주체의 처리정지요구권이 배제된다.
그렇다면 가명처리가 되기 전 개인정보에 대해서 “내 정보는 가명처리 하지 말라”고 미리 요구할 수 있을까. 이것이 이 글에서 검토하고자 하는 쟁점이다.
일각에서 ‘정보주체는 개인정보 처리자에 대하여 자신의 개인정보 처리의 정지를 요구할 수 있다’고 규정한 개인정보 보호법 제37조 1항에 따라 사업자는 정보 주체의 가명처리 금지요구에도 응할 의무가 있다고 주장한다. 그 주장에는 찬성하기 어렵다. 위 법규정은 특정한 개인정보 ‘항목’에 대한 처리정지요구권을 보장한 것일 뿐, 개인정보를 특정 ‘목적’으로만 처리하고 다른 목적(예 가명처리)으로 활용하지 말라고 요구할 권리를 보장한 것이 아니기 때문이다.
‘처리정지요구’는 ‘수집 동의’와 서로 대칭된다. 현행법상 개인정보 수집 동의를 받을 때 개인정보 항목별로 ‘필수/선택’을 구분해야 할 의무가 있을 뿐, 개인정보 처리 목적별로 구분할 의무는 없다. 예컨대 온라인 쇼핑몰이 수집하는 이용자의 연락처와 배송 주소는 필수 항목이지만, 연령대나 관심분야 등을 수집한다면 이것은 선택 항목이다. 현행법은 필수/선택 항목을 구분하여 개인정보 수집 동의를 받도록 의무화하고 있다(개인정보 보호법 제22조 3항). 이에 따라 정보주체는 개인정보 항목별로 수집 동의를 할 수 있고, 항목별로 동의 거부(처리정지요구)를 할 수 있다.
이와 다르게 개인정보 처리 목적별 구분 동의는 법제화되어 있지 않다. 예컨대 온라인 쇼핑몰의 개인정보 처리 동의서에 A목적(주문 배송)과 B목적(서비스 품질 개선)으로 개인정보를 수집한다고 되어 있다면 어떨까. 정보주체는 A·B 목적 전체에 대해서 동의를 하거나 또는 그 중 B목적에 대해서 동의하지 못한다면 전체에 대해서 동의를 거부할 수 있는 선택권을 갖는다. 정보주체가 ‘A는 동의, B는 미동의’식으로 이렇게 일부만 동의하겠다고 하는 것은 마치 “‘1+1’ 상품을 묶음 그대로 사지 않고 하나만 사면서 반값만 내겠다”는 것과 다름이 없다. 그러한 정보주체의 ‘일부 동의’는 그 자체로는 유효한 동의가 될 수 없고 서비스 제공자 측의 승낙까지 받아야만 유효하다. 이것이 민법 제534조에 따른 계약법의 기본 원칙이다.
다시 말하면 개인정보 처리에 있어서는 ‘필수 목적’이 있을 뿐 ‘선택 목적’은 없다. 유일한 예외가 바로 ‘광고 목적’ 개인정보 처리 동의인데, 이것은 선택 목적으로 반드시 구분하여 일부 동의권을 보장해야만 한다(개인정보 보호법 제22조 4항). 그러한 특별규정이 없는 일반적인 개인정보 처리 목적에 대해서는 정보주체가 원하는 것만 선택하여 동의할 법적 권리는 없다. 모든 목적에 대해 전부 동의를 하였다면 그 후 일부 목적에 대해 동의 거부(처리정지요구)를 할 권리도 없다. 목적 전부에 대해서 거부(예컨대 서비스 이용 해지)를 할 수 있을 뿐이다.
위 사례의 B목적을 ‘가명처리’로 대신해볼 수 있다. 가명처리는 정보주체의 동의를 받지 않아도 개인정보 보호법 제28조의 2 1항에 의해 서비스 제공자가 적법하게 취할 수 있는 개인정보 처리 목적이다. 그렇다면 정보주체는 개인정보 처리 목적 중 일부에 한정해서 거부를 할 수 없으므로, 가명처리라는 특정 목적에 한정해서 거부권을 행사할 수 없다는 결론에 이른다. 만약 정보주체에게 가명처리에 한정한 거부권을 부여하려면 ‘광고 목적 선택동의’와 같은 특별규정을 따로 입법해야 한다.
결국 현행법상 정보주체는 서비스를 받는 이상 자기 정보가 가명처리되는 것을 수인해야 하는 셈이다. 그렇게 해도 현실적으로 문제가 없는 것이, 앞서 살펴본 것처럼 가명처리가 안전하게 되었다면 특정 개인을 알아보지 못하기 때문이다. 가명처리가 미흡하였을 때 법적 책임을 부과하는 사후 규제로써 규율되는 것이지, 가명처리 기술이 이론상 완벽하지 않다고 해서 정보주체에게 사전적 거부권을 부여할 일은 아니라고 본다.
이번 시민단체의 공익소송을 계기로 개인정보 자기결정권 및 처리정지요구권의 행사 범위에 대한 우리 사회의 건설적인 논의가 촉발되기를 기대한다.
전승재 법무법인 바른 변호사(‘해커 출신 변호사가 해부한 해킹 판결’ 저자) seungjae.jeon@barunlaw.com