개인정보 동의제도 개편..."기업 부담 증가하고 무료 서비스도 위협"

전문가들 "맞춤형 광고나 디지털 서비스 제공하는 사업자들에게 영향"

개인정보 보호법 개정으로 동의제도가 바뀌면서, 기업들의 개인정보 활용 방식이 달라질 전망이다. 전문가들은 맞춤형 광고와 디지털 서비스 사업자의 부담이 커지고, 무료 서비스 운영이 어려워질 수 있다고 우려했다.

한국인터넷기업협회(회장 박성호)은 지난 13일 오후에 FKI타워 사파이어홀에서 '개인정보 동의제도 개편이 가지는 의미와 영향력' 세미나를 열었다. 

지난 2011년 개인정보보호법 제정 이후 계약 체결 및 이행을 위해 불가피한 경우 외에는 필수적으로 동의를 받는 관행이 오랜 기간 지속됐으나, 최근 시행된 개인정보 보호법에서는 서비스 이용계약과 관련해 개인정보를 수집·이용할 때에는 동의 없이 가능하도록 개정됐다.

이에 지난해 12월 개인정보보호위원회는 사업자가 적법근거를 채택할 때 검토해야 하는 방향을 제시하는 등 필수동의 관행 개편과 관련된 내용을 담은 '개인정보 처리 통합 안내서(안)'를 공개했으나, 한편으로는 안내서에서 필수동의 자체를 금지하는 것은 법적 근거가 부족하다는 지적이 이어지고 있다.

개인정보 동의제도 개편 세미나

먼저 이날 세미나에서는 법무법인 세종 안정호 변호사는 첫번째 발제자로 나서 '개정 개인정보 보호법에 따른 동의제도 개편에 관하여'를 주제로 발표했다. 

안정호 변호사는 “안내서(안)에서 설명하는 것처럼 필수동의를 민감정보 수집 등 일부 예외적인 상황에서만 허용하는 것이 법률의 해석론에 맞는 것인지 의문”이라며 “관련 법이나 시행령을 개정해 이 부분을 명확히 하는 것이 우선”이라고 지적했다.

또한, “계약 이행을 위해 필요한 개인정보에 대한 해석을 과도하게 엄격히 하는 경우 동의제도 개선의 목적을 달성할 수 없을 것”이라며, “사업자가 동의 없는 개인정보 수집·이용 적법근거를 활용하기 보다는 안전하게 동의받는 방법을 선택하게 될 것”이라고 우려했다. 안 변호사는 “개인정보처리자의 정당한 이익을 위해 필요한 경우의 범위도 합리적으로 해석해 사업자들이 부담없이 활용할 수 있는 환경을 마련해야 한다”고 강조했다.

두 번째 발제자인 건국대학교 법학전문대학원 이상용 교수는 '필수 동의와 계약 자유의 원칙'을 주제로 발표했다.

이상용 교수는 “안내서(안)의 문구는 계약에 필요한 경우에 동의를 받는 것은 위법하다고 읽힐 수 있다”고 지적했다. “수범자 입장에서 적법근거는 많이 갖출수록 안전한 것”이라며, “필수 사항에 대한 비동의 처리 허용은 묵시적 동의에 기반한 것으로 볼 수 있고, 복수의 처리 근거를 갖추는 것도 가능하다”고 덧붙였다. 

이어 “필수 사항에 대해 명시적 동의를 구하는 것은 위법한 것이 아니며 이에 대한 제재 시도는 부당하고 위법한 것"이라며 “필수 사항은 서비스의 본질적 기능 수행을 위해 반드시 필요한 정보다. 필수 사항의 처리에 대한 부동의로 서비스를 거절하는 것은 적법하다”고 주장했다. 

마지막으로, “소비자에게 무상으로 서비스를 제공하기 위해 맞춤형 광고나 신규 서비스 개발 등 목적으로 개인정보를 제공받는 경우에는 선택사항에 대한 부동의를 근거로 서비스를 거절할 수 있다”고 첨언했다. 

이어진 종합토론에서 성균관대학교 법학전문대학원 이승민 교수는 “동의 없는 개인정보 처리 적법근거는 수범자의 판단에 따라 선택해야 하는데, 입증책임도 수범자에게 있는 상황에서 명확한 기준 없이 자율적으로 판단하라고 하는 것은 법적 안정성과 준수 측면에서 상당한 부담이 될 수 있다”고 지적하며, “구체화된 규율을 조속히 마련할 필요가 있다”고 역설했다. 이어서, “적법한 이용약관은 원칙적으로 계약에 포함돼야 한다”며 “안내서(안)에서도 공정위에서 심사한 적법한 약관이면 계약의 범위에 포함돼야 한다고 명확히 안내해야 한다”고 말했다.

이어, 법무법인 인 권창범 변호사는 “한국의 서비스 대부분은 본인 확인을 하며 가입을 해야 한다”고 말했다.

권 변호사는 “서비스 전반에서 나의 개인정보가 필요한 경우보다는 물건을 구매하거나 배송 등 중요 결정이 발생할 때 개인정보가 필요한 경우가 대부분”이라며, “특정 상황에서 필요한 경우 개인정보를 수집하기 보다는 본인 인증을 해야만 서비스를 이용할 수 있는 문화를 개선하는 것이 우선돼야 한다”고 강조했다.

한국디지털광고협회 곽대섭 팀장은 “맞춤형 광고는 디지털 플랫폼 생태계를 운영하는 필수 기반 산업”이라며, “온라인 플랫폼 및 디지털 서비스에서 개인정보의 활용 유연성이 개선돼야 한다”고 강조했다. 그러면서도 안내서(안)에서는 필수동의를 금지하는 것으로 해석될 수 있다고 우려했다.

곽 팀장은 “필수동의 제도는 법으로 강제할 문제가 아니라, 기업들의 사업 운영 모델에 따라 자유롭게 운용돼야 할 사안”이라며 “자사의 비즈니스 모델과 서비스 특성에 맞게 필수동의 항목을 결정하고, 시장경쟁과 소비자 선택을 통해 자연스럽게 조정되어야 한다”고 말했다. 

다만 개인정보보호위원회 임종철 사무관은 “정보통신망법부터 24년간 동의 의무 준수 환경이 지속돼왔다”며 “동의를 받도록 하는 절차를 합리적으로 개선하기 위해 법을 개정한 것”이라고 설명했다. 그러면서 “개인정보보호위원회에서도 오늘 논의됐던 개인정보처리자의 정당한 이익과 같은 적법 처리 근거들에 대한 사회적 공감대를 형성하기 위한 노력을 계속하고 있다”고 말했다. 

좌장인 김도승 교수는 “EU의 GDPR은 우리나라 개인정보 보호법에서 참고를 하고 있는 모델이나, EU는 토종 서비스를 보유하고 있지 않다”며 “EU의 법을 참고는 하되 한국의 AI 및 데이터 산업 발전을 위한 정책을 마련하는 것이 가장 중요하다”고 강조했다.