'형식적 동의' 무용론…최종구 "정보보호 못하고 정보활용만 저해" 미국식 사후거부제 순차 도입…"현행 주민번호 체계선 무리" 비판도
금융거래 때 각종 서류에 뭔지도 모르고 '체크'하는 경우가 적지 않다.그중에 '개인정보 제공 동의'가 있다.
개인정보의 무분별한 유통·남용을 방지하고 자기결정권을 보호한다는 취지로 이 같은 '사전동의(Opt-in)제'는 계속 강화됐다.
우리나라의 정보보호 규제는 "아시아에서 가장 강한 수준"이라거나 "조사 대상 경제협력개발기구(OECD) 주요국 중 가장 높은 수준"으로 해외에서 평가받았다.특히 2014년 '신용카드사 정보유출' 사태로 이런 경향이 짙어졌다는 평가다.
금융권의 안이한 대응, 언론의 질타, 정부의 여론 눈치 보기가 겹쳐 지나친 규제로 흘렀다.
미국, 유럽, 중국 등지는 경쟁적으로 각종 정보를 집적·가공해 상업화하는 와중에 우리나라는 이처럼 주요국 추세와 정반대로 향하면서 '빅데이터 갈라파고스화(化)' 우려가 커졌다.금융위는 금융분야 정보라도 사전동의제를 대폭 완화하겠다는 입장을 19일 간담회에서 발표했다.
사후거부제(Opt-out)인 미국보다는 강한 수준을 유지하되, 사전동의제에 예외를 많이 두는 유럽식처럼 절충점을 찾을 것으로 보인다.
최종구 금융위원장은 지난 16일 사전브리핑에서 "지나치게 형식적인 사전동의제가 정보 주체를 실질적으로 보호하지도 못하면서 정보 활용만 저해하고 있다"고 말했다.
우선 올해 하반기부터 현재의 '정보 활용 동의서류'를 '요약정보'만 제공하는 형태로 대폭 단순화한다.
고객이 요구할 경우에만 상세정보를 제공한다.
실제로 온라인 거래의 정보 제공·이용 동의서는 평균 2천500개 단어다.
일반인이 자세히 읽는 데 10분 넘게 걸린다.
모두 읽고 서명하는 비율은 4%도 안 된다.
여러 항목에 대한 '무더기 동의'로 사실상 쓸모없다는 비판을 받던 방식 역시 정보의 활용목적, 활용기관별로 구분해 동의 여부를 선택한다.
본격적인 사후거부제는 금융지주 그룹 내에서 영업 목적으로 공유할 때, 거래 중이던 상품과 동종·유사상품을 마케팅 목적으로 활용할 때, 사전동의가 물리적으로 어려운 사물인터넷(IoT) 분야 등에 순차적으로 도입될 전망이다.
대신 정보 주체인 소비자의 대응권이 강화된다.
데이터 분석에 기댄 '프로파일링(알고리즘 신용평가, 보험료 자동산정 등) 대응권'이 대표적 예다.
자신의 신용등급이나 보험료가 책정된 정보 분석에 대해 설명을 요구하고, 이의를 제기할 수 있는 권리다.
'개인신용정보 이동권'도 도입된다.
정보 주체가 자신의 정보를 보유한 금융회사·신용평가(CB·Credit Bureau)사 등에 이를 다른 회사나 자신에게 제공하도록 요구하는 권리다.
다만 정보 활용을 위해 정보 보호의 중요성을 가볍게 여겨선 안 된다는 의견이 만만치 않다.
특히 사전동의제를 사후거부제로 전환할 경우 예상치 못한 부작용이 생길 수 있다는 점에서다.
정보 유출·도용 등으로 법적 분쟁이 발생할 경우 사후거부제는 입증 책임 문제, 즉 자신이 제공을 거부한 정보라는 점을 증명해야 구제받을 수 있다는 주장이 제기된다.
또 사후거부제인 미국이나 사전동의제지만 예외가 많은 유럽보다 우리나라가 강한 규제를 적용하는 것은 정보 주체의 거의 모든 것을 손쉽게 파악할 수 있는 주민등록번호제도를 염두에 뒀다는 견해가 정보보안 업계에서 나온다.최 위원장은 "보호 일변도의 접근에서 벗어나 정보 보호와 데이터 활용 간의 균형을 회복하는 근본적인 정책 방향 전환이 필요하다"고 말했다.