고학수 개인정보위원장 "구글·메타 1000억 과징금, 적극 대응 자부심"

출입기자단 기자간담회 열어…'데이터 활용 신뢰' 강조

[프라임경제] "한국이 디지털 관련 경제에서 앞서가는 면도 있지만, 문제 상황에 대해 적극적으로 대응하고 처분하는 모습에 대해서도 나름의 자부심을 느끼고, 리더십을 만들어가고 있다고 본다."

고학수 개인정보보호위원회 위원장이 15일 정부서울청사에서 개최된 출입기자단 간담회에서 인사말을 하고 있다. = 박지혜

고학수 개인정보보호위원회(이하 개인정보위) 위원장은 15일 정부서울청사에서 열린 출입기자단 기자간담회에서 구글과 메타를 대상으로 1000억원 과징금 처분을 한 것에 대해 이같이 말했다.

고 위원장은 "구글·메타 처분 건에 대해서는 외국 규제당국들이 관심을 가지고 문의가 많다"면서 "미국과 유럽에서는 적극적인 조사·처분이 적지 않게 있는데, 아시아권 국가에서는 이렇게 적극적으로 조사하고 처분한 사례가 없는 것으로 안다"고 언급했다.

개인정보위는 지난 9월 이용자의 개인정보를 불법으로 수집해 맞춤형 광고에 이용한 구글과 메타에 1000억 원에 달하는 역대 최대 과징금을 부과했다. 이용자의 타사 행태정보를 맞춤형 광고 등에 사용하면서 이같은 사실을 이용자에게 알리지 않았고 사전 동의도 구하지 않았다는 이유에서다. 

개인정보위는 지난 9일 구글과 메타에 과징금 의결서를 서면으로 송달했다. 고 위원장은 "수긍할지 불복할지 모르겠지만, 90일간의 기간이 주어지고 어떤 판단을 할지는 지켜보고 판단해야 할 것 같다"고 했다.

다음은 고학수 개인정보보호위원회 위원장과의 일문일답. 

-내년이면 개인정보위가 출범 3주년을 맞는다. 지금까지 개인정보위가 올린 성과와 향후 과제는 무엇인가.

"3년차 접어들게 되는데 개인정보위가 처음 독립된 중앙행정기관으로 설립돼서 자리 잡는 과정이 지난 2년 여의 과정이다. 새로운 기구가 설립돼 자리잡는 것 자체가 쉽지 않다. 데이터시대를 어떻게 준비할 것인지 그런 폭넓은 정책에 담을 수 있는 다양한 역할을 할 수 있는 체계를 마련했다. 틀을 잡아가는 과정이었다. 구체적인 성과는 데이터3법 체계를 마련하고 나서 국제적으로는 지난해 EU GDPR 적정성 결정 최종 통과에 이어 영국과도 적정성 결정을 위한 입법절차를 완료했다. 국민으로부터 신뢰를 받아가면서 큰 그림을 어떻게 그려갈 것이냐가 가장 큰 과제다."

-내년 키워드에 대해 말해 달라. 

"내년의 주요 키워드는 '신뢰 기반의 데이터 활용'이다. 현재 우리나라 법제는 동의 기반의 수집과 이용을 기본으로 하고 있는데, 이는 자칫하면 동의 만능주의로 빠질 수 있다. 데이터의 주체가 되는 개인의 요구에 부합하게 데이터가 활용돼야 하고, 개인은 그 활용을 신뢰할 수 있어야 한다."

-개인정보위의 권한과 조직규모가 작다는 의견이 있는데, 이에 대해 어떻게 생각하는가.

"위원회가 너무나 많은 일을 하고 있는데 중앙행정기관 중 가장 작은 규모다. 위원회가 2020년 출범 이후 조사 처분 건이 456건이 있었고, 1000억 넘는 과징금을 부과했다. 조사관이 24명 있다. 24건이 500건 가까운 사건을 처리한 것인데 사실은 역부족이다. 위원회가 하는 역할은 가이드를 주는 것이다. 당연히 인력과 역량이 확보돼야 하는데 역부족인 점이 있다. 지난 5일 국회 정무위원회 문턱을 넘은 개인정보 보호법 개정안 통과를 계기로 조직을 전반적으로 보강해 나갈 계획이다. 전 분야 마이데이터 도입에 따른 범정부 추진체계 마련, 공공기관 대상 개인정보 보호 수준평가, 개인정보 처리방침 평가제 도입 등 개인정보위의 새로운 정책 및 권한을 반영할 필요가 있다. 행정안전부 등 관계부처와 협력해 디지털 시대에 부합하도록 조직체계를 정비하겠다."

-위원회가 그간 제도 정비나 공공기관 대상 감사, 유노출에 대한 조사 등에 집중했는데, 앞으로 개인정보보호 관련 기업 들에대한 지원이나 기술 표준 및 개인정보 기술에 대해 개인정보위가 해야 할 역할은 무엇인가.

"외부와 소통하는 맥락에서는 가이드를 제시하는 역할이 굉장히 중요하다. 법이 더 중요하다고 말할 수 있지만, 현업에 있는 분들 기준으로는 법은 추상적 원칙이 담겨 있는 것이다. 가이드를 잘 만들어 제공하는 것이 중요하다. 연구 현장에서 새로운 기법이 개발될 때 법제도에 녹아 들어갈 수 있다. 프라이버시 보호가 가능하게 되고 유연성은 확보하게 될 수 있을지 등을 위원회가 잘 해야 한다. 내부적으로는 연구개발(R&D) 영역에 관심을 갖고 '개인정보 보호·활용 기술 R&D 로드맵'을 마련하고 본격 추진하고 있다."

-마이데이터 표준화 작업이 어느 단계까지 와있나.

"내부적인 준비 과정은 해오고 있었고, 데이터안전정책과에서 마이데이터 관련 여러 논의를 해오고 있었다. '마이데이터 표준화 협의회'를 통해 주기적으로 회의를 해오고 있다. △유통 △국토교통 △문화여가 △정보통신 △교육 5대 분야 표준화 작업을 추진하고 있다. 미리 사전적인 준비 작업을 하고 있는 것이고, 법이 개정되면 본격적으로 논의가 될 것이다."

-빅테크 제재에 대한 관심이 높았는데 아직도 이용자 개인정보 등 데이터 수집 이용에 대한 범위가 방대하고 불신도 높다. 수집된 개인정보 데이터는 새로운 사업, 산업으로 커져가고 있다. 이런 상황을 어떻게 생각하는지와 개인정보위가 앞으로 빅테크와 데이터 산업에서 개인정보 보호를 위해 어떤 방향으로 풀어가고자 하는가.

"새로운 기술 개발이 끊임없이 이뤄지는 데이터 분야는 그 발전 속도와 방향을 예측하는 것이 어렵기 때문에 감독기구가 일률적인 규제방식을 정하는 것이 쉽지 않다. 원칙 중심의 의사결정이 중요하다. 특히 온라인플랫폼 환경은 기존의 사후 조사 중심의 제재방식으로는 더 이상 개인정보보호의 실효성을 확보하기 어려워 플랫폼 환경에 적합한 개인정보 보호방안을 마련하고자 민관협력 자율규제를 추진 중이다. 민관협력 자율규제는 온라인플랫폼 비즈니스 환경에서 개인정보처리과정에 대한 세부적인 분석을 바탕으로 규제감독기관인 개인정보위와 기업이 함께 협력해 규율 방향을 공동으로 설정해나가는 협업기반의 자율규제 체계다."

-정부에서 마이데이터 확대와 관련해 신용정보법에서 다루고 있는 개인신용정보의 전송요구권과 이번 개인정보보호법 개정안에서 다루는 전송요구권과의 차별성은 무엇이고, 제도적으로 보완할 부분은 무엇인가. 또 전송요구권이 시행된 이후에 사용자 입장에서 체감할 수 있는 부분은.

"백지에서부터 새로 그려나갈 예정이다. △개인 △기업 △사회 크게 3가지로 나눠 전속요구권 제도가 구체화되면 어떤 변화가 있을지 고민하고 있다. 국민 개개인의 개인정보에 대한 통제권을 강화하고, 이용하는 서비스에 대한 선택권을 보장하며 기업 등이 수집․관리하고 있는 자신의 정보에 대한 이용권을 정보주체에게 부여해 국민은 자신에 관한 정보를 자유롭게 이용하는 진정한 정보주체로서의 권리를 체감하게 될 것이다. 다양한 분야에서 혁신적인 융·복합 서비스가 등장함으로써기업들에게는 새로운 비즈니스의 기회가 창출될 수 있다. 사회적으로는 복지 등 다양한 사회적 난제를 해결하는 데 큰 역할을 할 수 있다."

-개인정보보호법 2차 개정안 관련 정부안이 과징금을 전체 매출액 3%로 상향하는 안에서 '전체 매출액-관련 없는 매출액'으로 수정돼 최근 정무위 법안소위를 통과했다. 예전 관련 매출액과 '전체 매출액-관련 없는 매출액'의 차이는 무엇인가. 원안은 전체 매출액의 최대 3%인데, 국회 통과를 위해서 취지에 맞지 않게 법안을 대폭 수정한 것은 아닌가.

"국회 정무위를 통과한 수정 대안에도 당초 정부안의 과징금상한액 기준을 '전체 매출액'의 3%로 유지하고 있다. 다만, 과징금 산정을 위한 기준점이 되는 금액을 정할 때 위반행위와 비례성이 필요하다는 산업계 의견을 반영해 '전체 매출액'에서 '위반행위와 관련이 없는 매출액'을 제외한 합리적인 기준금액을 법률에 명시한 것이다. 이렇게 객관적 측정이 가능한 '전체 매출액'을 기준으로 '위반행위와 관련이 없는 매출액'을 차감하는 방식으로 전환함으로써 법 위반 책임이 있는 개인정보처리자가 입증책임을 부담하게 되는 효과가 있다. 해외사업자 등이 매출액 관련 자료를 제출하지 않거나 거짓으로 제출한 경우 '전체 매출액'을 기준으로 과징금을 산정할 수 있어 실효성 있는 과징금 부과가 가능할 것으로 예상된다."

-구글, 메타 등 글로벌 기업의 불복 소송 가능성이 있다. 어떤 기준으로 대응할 건가.

"외국계 규제 감독 기관들과 만나봤지만, 법을 위반하는 사항이 있으면 엄중하게 처벌해야 한다는 입장이다. 개인정보를 보호해야 할 때 보호하는 것과 규제를 해야 할 때 규제하는 것은 당연하다. 무조건 보호한다고 하는 건 안 된다. 선을 넘은 것에 대해서는 조사 처분을 하는 것이 시장에 대한 넓은 의미의 가이드다."

-비식별정보에 대한 추가 조사가 어떻게 이뤄지고 있나. 맞춤형 광고 제도 개선 관련해 이 부분이 어떻게 되고 있는가.

"페이스북 서비스에서 동의창을 띄우면서 사회적 논란이 생긴 부분은 지난번 처분 건과는 별개로 들여다보고 있다. 특정 빅테크 기업에 대해 어떻게 조사하는지는 말씀드리기 어렵다. 이미 작업반을 만들어서 업계에 있는 분들과 논의를 해오고 있는 중이다. 내년 중에는 가이드라인을 만드는 것으로 논의하고 있다."