본인 동의 없이 활용 가능하지만
데이터 결합 때 개인 특정될 우려
식별되면 기업 매출액 3% 과징금
전담팀 꾸리기 분주한 로펌들
‘데이터 3법’(개인정보보호법·신용정보법·정보통신망법 개정안)의 본격적인 시행(8월 5일)을 100일가량 앞두고 기업과 법무법인의 움직임이 빨라지고 있다. 신종 코로나바이러스 감염증(코로나19) 여파에도 데이터를 활용해 새로운 비즈니스 모델을 창출하려는 기업들의 법률 자문 수요가 늘고 있어서다.
올해 초 박용만 대한상공회의소 회장과 정보기술(IT)업계 관계자는 SNS에서 “만세”를 외쳤다. 1년 넘게 국회에 계류됐던 데이터 3법이 국회 본회의를 통과했기 때문이다. 개인을 식별할 수 없도록 한 ‘가명정보’를 본인의 동의 없이도 통계 및 연구, 공익 등의 목적으로 사용할 수 있게 되면서 데이터 경제 활성화 기대가 커졌다. 아직 가명정보의 개념이 모호하다는 지적도 제기되지만, 데이터 활용 방안과 수준에 대한 기업과 로펌들의 법률 검토는 점차 활발해지고 있다.
가명정보 개념·활용 범위 ‘핵심’
이광욱 법무법인 화우 변호사는 19일 “데이터 3법이 통과된 이후 산발적으로 흩어진 개인정보를 모아 금융서비스를 제공하는 ‘마이데이터 사업’이나 데이터 플랫폼 사업 등을 추진하려는 기업들의 프로젝트성 자문이 많다”고 밝혔다. 김진환 김앤장법률사무소 변호사도 “일정 규모 이상의 B2C(기업과 소비자 간 거래) 기업이라면 개인정보의 활용과 보호에 관심이 둘 수밖에 없다”며 “특히 국내외 통신사, 온라인 기업, 의료데이터 기업 등에서 관련 질의가 많은 편”이라고 말했다. 대개 기업은 사업 모델의 적법성 등을 미리 점검받거나, 기존 법원 해석례 등에 비춰볼 때 정부 가이드라인이 어떻게 나올지 예측하고 있다.
기업들이 궁금해하는 단골 자문 내용은 가명정보의 개념과 활용 범위다. 지난달 행정안전부는 데이터 3법 개정안 시행령을 입법예고했다. 이에 따르면 이름, 주민등록번호, 주소 등 구체적인 정보는 개인정보다. ‘서울 강남구에 사는 1990년생 남성 김모씨’처럼 추가 정보 없이 개인을 특정할 수 없는 데이터는 가명정보로 분류했다. 가명정보라는 개념을 신설해 당사자 동의가 없더라도 이용할 수 있도록 했다.
문제는 가명정보를 결합하는 과정에서 개인이 식별될 가능성이 있느냐는 것이다. 강태욱 법무법인 태평양 변호사는 “‘서울 강남구에 사는 30대 남성 회사원’이라면 문제가 없지만 직업이 국회의원, 프로야구선수 등 아웃라이어(평균치에서 크게 벗어나 다른 대상과 확연히 구분되는 표본)라면 가명정보라도 데이터를 결합하는 과정에서 개인이 특정될 수 있다”고 지적했다. 강 변호사는 “그렇다고 직업 카테고리를 다 지워버리면 데이터 활용의 효과가 떨어진다는 딜레마가 있다”고 덧붙였다. 아직 구체적인 가이드라인이 확정되지 않은 상황에서 이 같은 불확실성과 관련해 기업의 문의가 많다는 것이다.
데이터 3법으로 데이터 활용의 물꼬가 트인 동시에 제재도 강화됐다는 점은 기업의 불안함을 더한다. 가명정보에 다른 정보를 추가·결합하는 과정에서 개인이 재식별될 경우 해당 기업은 매출의 3%를 과징금으로 내야 하고, 개인은 5년 이하 징역과 5000만원 이하 벌금이라는 형사처벌을 받을 가능성이 있다. 손도일 법무법인 율촌 변호사는 “가명정보를 처리하는 과정에서 발생할 수 있는 보안 리스크를 통제할 방법을 두고 기업의 고민도 많다”고 전했다.
정부는 입법예고안에서 추가처리 목적이 당초 수집 목적과 상당한 관련성이 있고, 수집 정황과 처리 관행에 비춰 예측 가능성이 있을 때 개인의 동의 없이 데이터를 이용할 수 있도록 했다. 업계에선 ‘상당한 관련성’ ‘관행’ 등 표현이 지나치게 모호하다는 점을 지적했다. 자칫 데이터 3법을 ‘빛 좋은 개살구’에 그치게 할 독소조항이 될 수 있다는 우려다. 정부는 오눈 8월께 이 같은 모호함에 대한 가이드라인 격인 법령 해설서를 공개할 계획이다.
ICT·TMT팀 중심으로 자문 경쟁
로펌들은 저마다 ICT(정보통신기술)팀이나 TMT(방송정보통신)팀을 중심으로 체계적인 자문을 제공하기 위한 경쟁에 나섰다. 세종은 데이터 규제와 산업 관련 이슈가 크게 증가할 것으로 내다보고 지난달 TMT 관련 조직을 팀에서 그룹(규제그룹)으로 확대했다. 정보통신부와 방송통신위원회 근무 경험이 있는 강신욱 변호사가 팀을 이끌고, 최재유 전 미래창조과학부 차관이 고문으로 활동하고 있다.
광장에는 박광배, 윤종수 변호사 등 30여 명의 ICT 분야 전문가가 포진해 있다. 윤 변호사는 “이번 데이터 3법은 유럽의 개인정보 규제 체계와 비슷한 내용을 포함하고 있다”며 “유럽연합(EU) 등 해외로 진출하려는 국내 기업과 국내에 진출하려는 해외 기업들의 데이터 관련 법률 자문도 늘고 있다”고 말했다.
국내 최대 로펌인 김앤장은 관련 업무를 수행하는 프라이버시·정보보안팀이 60여 명으로 가장 많다.
율촌은 이미 미국계 데이터 기업의 국내 진출 자문을 수행했고, 일본계 글로벌 업체의 사물인터넷(IoT) 기기 국내 진출 자문건도 진행하고 있다. 화우 관계자는 “데이터 3법 개정을 계기로 개인정보 처리와 관리에 대한 사항을 전반적으로 점검하려는 기업이 많다”며 “최근 국내 대규모 기업집단 L그룹과 외국계 식품기업 N사 등에 법률 서비스를 제공했다”고 밝혔다.
태평양은 개인정보보호 태스크포스(TF) 주도로 디지털포렌식, 핀테크, 컴플라이언스TF 등과도 협업해 데이터 3법 관련 자문을 진행하고 있다.
