데이터 3법이 오는 8월5일부터 시행되고, 이에 따라 현재 시행령과 고시 등이 마련되는 절차가 진행 중이다.

개인정보 보호법·정보통신망법·신용정보법을 일컫는 ‘데이터 3법’ 개정안은 지난 1월 국회 본회의를 통과했다. 당시 규제 완화 등에 대한 기대로 많은 이목이 쏠렸지만, 정작 개인정보에 관한 내용 중 어떤 게 변화했는지를 정확히 아는 이는 적다.

한국인터넷진흥원(KISA)은 이에 데이터 3법 개정으로 변화되는 개인정보에 관한 내용을 설명회를 통해 안내했다. 이 설명회는 최근 신종 코로나바이러스 감염증(코로나19)의 확산을 고려해 유튜브 생중계로 27일 열렸다.

KISA는 데이터 3법 중 개인정보와 관련한 일반법인 개인정보 보호법에 대해서 개인정보보호위원회(보호위), 행정안전부(행안부), 방송통신위원회(방통위) 등 관련 부처와 후속 조치를 실시하고 있다.

KISA는 현재 관련 부처와 함께 후속 조치로 법률 구체화를 위한 ‘행정입법’을 추진하고 있다. 하위 법령인 시행령과 고시(행정규칙)을 마련하고 있는 단계다. 가이드와 해설서도 제작되고 있다.

시행령은 3월말에서 4월초에 나올 것으로 보인다. 개정안 시행일정(8월5일)에 앞서 입법예고, 규제심사 등의 일정을 고려한 시점이다. 고시는 시행령이 나온 후에 더 구체적으로 마련해 4월말에서 5월초에 발표될 예정이다.

오용석 한국인터넷진흥원 개인정보정책단장은 “시행령엔 가명정보 처리를 위한 전문기관을 지정하고, 기존 정보통신망법에서 이관된 사안을 특례로 신설하는 등의 내용이 담길 예정”이라며 “고시엔 데이터 결합의 세부절차와 행안부ㆍ방통위의 안정성 확보 조치 등이 담긴다”고 설명했다.

◇개인정보 보호법의 주요 개정사항...기업책임 강화와 함께 정보 활용할 수 있는 범위 넓어져

개인정보 보호법의 주요 개정사항은 ▲개인정보 거버넌스 일원화 ▲데이터 이용 활성화 ▲개인정보 처리자(기업)의 책임성 강화 등이다.

개인정보 거버넌스 일원화는 보호위를 중앙행정기관으로 격상해 관련 업무를 통합ㆍ이관하는 내용을 담고 있다.

그간 개인정보보호 기능을 수행하는 국가기관이 분산돼 있어, 비효율적이라는 지적이 많았다. 보호위, 행안부, 방통위가 분산 운영하고 있어 중복 규제에 대한 비판도 줄곧 있었다.

이번 법 개정을 통해 보호위가 개인정보보호 관련 업무를 전담해 처리한다. 이와 함께 보호위는 국무총리실 소속의 중앙 행정기관으로 격상된다. 인사ㆍ예산도 보호위가 독립적으로 처리할 수 있다.

또한 이번 개정으로, 정보통신망법에 있던 개인정보 관련 조항들이 ‘개인정보 보호법’으로 통합, 일원화됐다. 그간 정보통신망법과 개인정보 보호법 간 적용 관계에서 혼란이 있었는데, 이 지점이 크게 줄 것으로 기대된다.

오용석 단장은 “이번 법 개정을 통해 안전한 데이터 활용을 위한 감독 체계가 구축된다”고 말했다.

데이터 이용 활성화를 위해 ‘개인정보’ 개념도 보다 명확히 지정됐다. 개인정보, 가명 정보, 익명 정보로 개념 체계를 구체화해, 데이터의 이용ㆍ제공 범위가 확대된다.

개인정보는 이제 ‘수집목적과 합리적으로 관련된 범위 내’에서 정보 주체의 동의 없이 이용이 가능하다. 가명 정보도 통계작성ㆍ과학적 연구ㆍ공익적 기록 보존의 목적으로 사용될 수 있다.

오용석 단장은 “이런 개정을 통해 기존에 불분명했던 신기술, 신제품, 신서비스 개발을 위해 산업적 목적을 포함하는 과학적 연구 등에서 정보를 처리할 수 있게 됐다”며 “다만 ‘과학적 목적’이 다소 불분명해 향후 이에 대한 해석을 향후 해설서를 통해 안내할 예정”이라고 설명했다.

데이터 결합에 대한 법적 근거도 마련됐다.

기존 법에선 데이터 결합에 대한 명시가 없어 많은 논란이 있었다. 그러나 이번 개정을 통해 이에 대한 법적 근거가 마련됐다.

이제 올 8월부터 기업 내부 데이터는 자체적으로 결합이 가능하고, 서로 다른 기업 간 데이터는 보안 시설을 갖춘 전문기관 내에서 수행할 수 있다. 이 전문기관은 보호 위원회나 관계증명행정기관장이 지정한다.

결합한 데이터를 기관 외부로 반출해야 할 경우엔 가명 또는 익명 조치 후, 전문기관장의 승인을 받아야 한다. 이 과정을 통해 정보 유출 등의 안정성을 높였다.

가명 정보에 대한 기업의 책임도 높아졌다. 가명 정보 안전조치 의무가 부과된다. 기술적ㆍ관리적ㆍ물리적 조치가 시행된다. 이런 의무를 위반한다면 과태료 및 형사벌을 받을 수 있다.

오용석 단장은 “가명 정보 역시 개인정보여서 기존 개인정보 처리하는데 갖춰야 할 다양한 조치를 함께 시행해야 한다”며 “특정인을 알아보기 위한 목적으로 가명 정보를 처리하는 것은 불가하다”고 설명했다.