시민사회단체 토론회

프라이버시 영향평가의 과제와 전망

□ 일시 : 2004년 7월 1일(목) 오전 10시

□ 장소 : 국가인권위원회 배움터

□ 후원 : 국가인권위원회

□ 주관 : 진보네트워크센터

□ 공동주최 : 문화연대, 민주사회를위한변호사모임, 지문날인반대연대, 진보네트워크센터, 참여연대, 한국노동네트워크협의회, 함께하는시민행동 (이상 □프라이버시법제정을위한연석회의□ 참가단체)

차   례

□ 사회 : 이은우 (민주사회를위한변호사모임, 법무법인 지평)

□ 발제 (10:10~10:50)

1. 프라이버시 영향평가 제도의 소개와 해외 현황

- 장여경 (진보네트워크센터 활동가)

2. 프라이버시 사전영향평가의 의의와 쟁점

- 박준우 (함께하는시민행동 개인정보보호팀장)

□ 토론 (11:00~11:40)

1) 김병수 (참여연대 시민과학센터 간사)

2) 박혜련 (녹색사회연구소 연구원)

3) 박종찬 (고려대학교 경상대 교수)

4) 윤현식 (민주노동당 정책연구원)

□ 전체토론 (11:50~     )

프라이버시 영향평가 제도와

해외 현황

장여경 (진보네트워크센터 활동가)

지난해 10월 서울대에서는 <서울대 학생증의 미래에 대한 합의회의>라는 제목의 이색 회의가 열렸다. 대학본부가 학생증을 스마트카드로 일원화하려는 계획을 발표하면서 학생 개인정보의 보호 문제를 두고 총학생회와 대립하는 가운데 개최된 회의였다. <합의회의>에는 일반 학생 패널 13명이 학생 대표로 참가하여 양측 전문가들의 의견을 검토한 후 스마트카드가 자신들에게 미치는 영향에 대해 직접 평가하였다. 1박2일 동안의 숙고 끝에 학생들은 □학생증을 스마트카드로 일괄통합하는 것은 당사자의 권리를 무시하는 것이며 원하는 사람에 한해 스마트카드를 발급하더라도 학번이나 주민등록번호 등 개인정보를 금융기관에 넘겨주면 안된다□고 결론을 내렸다.

당시 전자건강카드 등 스마트카드의 도입을 적극 주장하고 있었던 IT업계는 학생들이 스마트카드의 도입을 반대했다는 측면에서 이 사례를 충격으로 받아들였다.(□서울대 학생증 통합 차질□, 디지털타임스 2003.10.20일자 등) 그러나 개인정보의 주체인 학생 당사자가 자신의 개인정보의 수집과 이용, 전달에 대한 정책을 결정했다는 측면에서 이는 개인정보에 대한 원칙적인 권리 선언으로 볼 수 있다. 당시 불거진 NEIS 문제로 개인정보 보호에 대해 심각하게 우려하고 있던 많은 이들은 이 사례의 긍정성에 주목했으며 NEIS처럼 사후에 전자정부의 개인정보 문제가 불거지지 않으려면 전자정부에도 이와 같은 평가가 제도화될 필요가 있다고 보았다.

전자정부가 국민의 프라이버시와 개인정보에 미치는 영향에 대한 평가를 제도화한 것을 프라이버시 영향평가(Privacy Impact Assessment, PIA), 혹은 개인정보영향평가라고 부른다. 최근 캐나다와 미국에서는 전자정부 사업에 프라이버시 영향평가를 의무화하였다.

이렇게 운영되고 있는 프라이버시 영향평가는 새로운 정보시스템의 도입이나 개인정보 수집에 앞서 시스템의 구축·운영이 고객 및 국민의 프라이버시에 미칠 영향에 대하여 미리 조사·예측·검토하는 체계적인 절차를 말한다. 프라이버시 영향평가는 단순한 시스템 평가 차원을 넘어 사업시행으로 개인정보에 미칠 수 있는 중대한 영향을 □사전적으로□ 고려하기 위한 정책임이 강조되고 있다. 현재 정부 사업에 이 제도를 도입하고 있는 국가들에서는 대규모 정보시스템의 신규 도입 및 변경시 예산배정의 검토 자료로 활용되고 있다.(권선경, 2003)

공공부문에 적용되는 경우에 주목하여 이 제도의 도입 목적을 좀더 명확히 정의해 보자면, 프라이버시 영향평가는 정부기관이 각종 정보화사업을 추진하는 과정에서 개발하거나 도입하게 되는 정보시스템 등이 개인정보의 수집 및 관리 등의 업무와 밀접한 관계가 있는 경우, 당해 정보시스템 등이 개인정보와 프라이버시에 어떠한 영향을 미치는지를 파악하여 프라이버시 침해 여지가 있다고 판단되는 경우에는 사전에 그 대책을 마련함으로써 정부기관에 의한 프라이버시 침해 가능성 자체를 최소화하는 일련의 절차를 말한다.(구병문, 2004)

캐나다 정부는 프라이버시 영향평가를 새로운 기술, 정보 시스템, 계획이나 제안된 프로그램과 정책이 기본적인 프라이버시 요구를 충족하는지 여부를 정부 부처와 기관들이 판단할 수 있도록 지원하는 절차로 보고 있다. 이는 또한 제안된 사업이 프라이버시에 미치는 영향에 대해 국민이 어떻게 반응할지 정부 기관이 예측할 수 있도록 돕거나 그 결과로 프로그램, 서비스, 절차를 재설계하는데 비용이 소요되는 것을 방지할 수 있도록 한다.(Treasury Board of Canada Secretariat, 2003)

한국 사회에서 프라이버시 영향평가제도를 최초로 요구한 것은 인권시민단체들이었다. 진보네트워크센터, 함께하는시민행동 등 정보인권 관련 단체들은 2002년 대통령 선거 당시 각당 후보들에게 □정보기본권 공약□을 제안하면서 이 제도의 도입을 요구하였다. 지난해 NEIS 논쟁을 겪으면서 프라이버시 영향평가에 대한 논의가 본격화되어 □공공기관의개인정보보호에관한법률□이 개정되는 과정에서 이에 대한 각계 의견이 개진되기도 하였다. 지난해 11월 한국전산원과 정보통신부는 전자정부에 적용되는 공공부문 정보기술아키텍처(ITA)에 개인정보보호영향평가를 적용하는 방안을 연구중이라고 밝혔다. 공공기관이 정보화 사업계획을 수립할 때 사전에 개인정보에 대한 영향평가를 실시해 평가결과에 따라 사업계획을 보완하거나 철회하도록 조치하겠다는 것이다.

올해 들어 이 같은 움직임은 보다 본격화되었다. 정부혁신지방분권위원회가 개인정보기본법의 제정 방침을 밝히고 이 제도의 도입을 검토중이다. 개인정보보호기본법을 염두에 두고 인권시민사회단체들이 지난 27일 공개한 개인정보보호법 인권시민사회단체(안)에도 프라이버시 영향평가가 포함되어 있다.

1. 과학기술과 평가

서구 여러 국가가 최근 프라이버시 영향평가를 신속하게 제도화할 수 있었던 것은, 이미 1960년대부터 기술의 사회적 영향에 대해 평가하는 다양한 기술영향평가(Technology Assessment, TA)를 도입해 온 역사적 배경이 있기 때문이다. 이러한 점에서 기술영향평가의 핵심적인 문제의식과 제도화 배경에 대해 먼저 살펴보는 것이 의미 있을 것이다.

기술영향평가는 과학기술의 부정적 측면을 제거하도록 기술개발과정에 적극적으로 개입하는 것으로서 서구 과학기술정책 수립의 필수적인 과정으로 자리잡고 있다.(이영희, 2000) 서구의 선진국들이 TA를 제도화했던 가장 중요한 배경은 □과학기술에 대한 정책결정의 사회화□의 필요성 때문이다. 즉 과학기술정책의 결정이 기술관료들에 의해 독점되는 것이 아니라, 정책결정 과정에 좀더 많은 전문가들과 이해당사자들이 참여해야 한다는 필요성이 TA 활동의 확산과 제도화를 가져온 것이다.

TA 제도화의 흐름은 크게 두 단계로 나뉘는데, 첫 번째는 1960년대 후반부터 미국에서 시작되어 1972년 의회 산하 기술영향평가국(OTA)의 설립으로 정점에 달했던 시기이다. 두 번째 단계는 1980년대 들어와 유럽지역에서 TA의 제도화가 이루어진 시기이며 네덜란드의 구성적 TA(Constructive TA)가 대표적이다. 첫 번째 단계에서 신기술이 초래할 결과에 대한 두려움, 정부주도 정책에 대한 평가의 필요성 등에 주목했다면, 두 번째 단계에서는 TA의 질적인 개선, 즉 국민적 참여에 기반한 기술정책 입안의 필요성에 주목했다.

네덜란드의 기술영향평가국(Netherlands Organization for Technology Assessment, NOTA)은 미국의 OTA와 마찬가지로 의회의 요청에 따라 TA를 수행하지만 방법론은 매우 다르다. OTA는 TA분야의 개척자이자 많은 공헌을 했음에도 불구하고 평가가 사후적이어서 실제 기술정책에 미치는 실효성이 적고 대응 역시 소극적이라는 한계를 지니고 있었다. 기술 변화에 있어 환경(사회)의 영향을 중시하는 신슘페터주의의 진화적 기술혁신론과 기술의 사회적 구성론에 영향을 받은 구성적 TA는 사후적이고 결과지향적인 전통적 TA를 개선하여 훨씬 과정지향적이고 적극적인 기술정책을 실시하고자 하였다. 전통적 TA가 기술자 중심이었던 데 비해, 구성적 TA는 다양한 사회과학자들과 이해당사자들의 참여로 기술개발과정의 적극적인 분석과 평가를 통해 바람직한 기술발전의 방향을 미리 설정, 조정하는데 중점을 두었다.

최근엔 이러한 평가 과정에 주민의 참여를 촉진함으로써 정책결정과정을 더욱 민주화·사회화하는 방향으로 변화하고 있다. 특히 과학기술에 대한 공공정책을 둘러싸고 일어나는 사회갈등의 해결을 위해 공공참여가 확대되고 있다.(이영희, 2004) 이영희(2004)는 우리나라의 공공정책 갈등이 주로 절차갈등의 성격을 지니고 있다면서 그 이유로 기술관료의 경직된 문화에서 찾았다. 최근 우리 사회의 권위주의체제가 쇠락하면서 일반 시민의 정책 참여 욕구가 높아지고 있으나, 국가가 시민의 삶과 직결된 공공정책을 기획, 결정하고 실행함에 있어서는 여전히 DAD(Decide-Announce-Defend: 미리 결정해서 선포하고 사후적으로 설득한다)로 상징되는 효율성 우선의 관료 문화가 지배하고 있는 것이다. 실제로 우리나라에서 현재 문제가 불거진 공공정책 사례의 대부분은 이해당사자들의 목소리를 사전에 충분히 경청하는 등 해당 정책을 기획하고 결정하는 과정이 투명하고 민주적으로 이루어지지 못해 사회갈등이 야기된 경우들이다.

특히 과학기술과 결부된 공공 정책을 기획하고 입안하는 데 있어서 관료적인 효율성 우선주의는 전문가주의와 결합되면서 더 강화된다. 전문가주의는 과학기술과 관련된 공공정책은 여타의 공공정책과는 달리 복잡성과 전문성을 그 특징으로 하기 때문에 이를 효과적으로 다룰 능력을 지닌 전문가들만이 그와 관련된 논의과정에 참여할 자격을 지닌다고 보는 것이다. 그러나 오랜 경험으로 전문가들을 충분히 신뢰할 수 없는 일반 시민의 입장에서는, 자신들의 삶에 커다란 영향을 미치게 될 공공정책의 결정을 관료와 전문가들에게만 맡겨둘 수는 없는 일이다.

따라서 최근 과학기술 공공정책에 있어 일반 시민의 참여를 보장하고 특히 사후 해결보다 예방적 접근을 시도하는 유럽과 미국의 공공참여(public participation) 제도에 주목해 볼 만 하다. 공공참여 제도는, 공공정책을 입안하는 과정에서 예측되는 사회 문제와 갈등을 사전적으로 평가하고 이해당사자와 일반 시민들의 참여와 대화에 기반한 사회적 합의 형성을 통해 입안하고자 하는 공공정책의 사회적 수용성을 높인다. 공공참여 제도의 대표적인 사례로는 덴마크 의회 산하 기술위원회가 1993년 시도했던 생태친화적 도시개발에 대한 시나리오 워크샵(scenario workshop), 미국 환경청이 여러 환경규제정책을 입안할 때 많이 활용하는 규제협상(negotiated rule-making 또는 regulatory negotiation) 등이 있다. 시민단체나 민간공익재단 등에 의해 수행되는 합의회의도 최근 여러 나라에서 실시되고 있다.

프라이버시 영향평가의 제도화에 있어서 이러한 기술영향평가의 선례와 교훈을 살피는 것은 매우 중요하다. 미국의 OTA는 사후적인 평가로 실질성을 담보하지 못하고 결국 1990년대 중반 폐지되었다. 이에 대한 비판적 평가로 도입된 구성적 TA는 사전적인 평가로 실질성을 담보하는 한편 이해당사자와 일반 시민의 참여를 적극적으로 보장함으로써 갈등을 예방하고자 하였다. 특히 자기 정보에 대한 정보주체의 결정권이라는 권리가 문제가 되는 개인정보의 영향평가제도는 관료와 전문가들만의 일방적인 결정에 그치는 것이 아니라 이해당사자의 폭넓은 참여와 정책 결정권을 보장하는 것이 중요하다.

2. 미국과 캐나다의 프라이버시 영향평가 현황

프라이버시 영향평가를 가장 먼저 제도화한 캐나다는 지난 2002년 5월 관련 정책을 발표하고 같은 해 8월 구체적인 프라이버시 영향평가 지침을 고시했다. 미국도 같은 해 전자정부법에 프라이버시 영향평가의 실시를 명문화하여 2003년 4월부터 발효되었다. 엄격한 프라이버시 보호법을 갖고 있는 뉴질랜드의 경우 1997년 이후 운전면허, 의료정보, 교육 등 공공·민간의 다양한 분야에서 자발적인 프라이버시 영향평가가 시행 중이며 뉴질랜드 프라이버시 감독관이 2002년 프라이버시영향평가 핸드북을 발행하기도 하였다. 호주는 공개키 시스템 등 일부 영역에 프라이버시 영향평가를 도입 중이다.

미국의 프라이버시 영향평가는 연방기관에 의무적으로 시행된다. 이에 따라 정부기관은 개인정보를 수집하거나 이와 관련된 정보시스템을 개발 혹은 조달하는 경우 수집되는 개인정보와 그러한 정보를 수집하는 이유 및 그 용도, 수집된 개인정보를 공유하고자 하는 대상과 정보보호에 관한 사항에 대해 프라이버시 영향평가를 실시하고 그 결과를 웹사이트나 연방 관보에 공개한다. 전자정부 기금의 출연이 필요한 경우에는 관리예산처(OMB)에 평가결과를 제출해야 한다. 미국은 OMB에 프라이버시 영향평가에 관한 구체적인 정책 및 지침을 개발하도록 의무를 부과했고 이에 따라 OMB는 2003년 프라이버시 영향평가 지침(OMB Guidance for implementing th Privacy Provision of the E-Government Act of 2002)을 발표하였다.

캐나다 정부는 2002년 5월, 프라이버시법에 근거하여 프라이버시 영향평가 정책(Privacy Impact Assessment Policy)을 발표하고 동년 8월에 이를 구체화한 프라이버시 영향 평가 지침을 고시했다. 공공부문에 대한 프라이버시법(Privacy Act 1983)과 민간부문에 대한 개인정보보호및전자문서법(Personal Information Protection and Electronic Documents Act 2001)에 따라 활동하고 있는 연방 프라이버시 감독관(Privacy Commissioner, 캐나다의 개인정보보호기구)이 평가 결과들을 감독하고 그에 따른 권고를 하도록 한 점이 미국과 차이가 있다.

강력한 프라이버시보호법과 보호기구 제도가 나름대로 발달해 있는 캐나다가 프라이버시 영향평가를 또다시 도입하게 된 배경은 전자정부에 대한 대국민 신뢰를 확보하기 위해서이다. 캐나다는 지침에서 정부기관은 프라이버시법과 원칙을 준수하고 있음을 국민에게 명백히 밝힐 책임이 있고 개인정보의 수집이유, 이용 및 공개방법 등에 관하여 일반 국민과 지속적으로 의견을 교환해야 하며, 궁극적으로는 정부 프로그램이나 서비스의 구상에서부터 시행에 이르기까지 프라이버시가 보호되도록 하여, 사업 추진 후에 프라이버시 보호를 이유로 사업을 중단하거나 변경하는 위험을 감소시키기 위해 프라이버시 영향평가를 도입하게 되었다고 밝히고 있다.(이하 내용 구병문, 2003a; 2003b; 2004 참고)

1) 미국

OMB 지침에 따르면 프라이버시 영향평가는 개인정보를 다량 보유·관리하는 정보시스템을 신규로 구축하거나 기존 시스템을 확장·실명화·통합하는 등 시스템 변경으로 프라이버시 침해 가능성이 우려되는 경우에 일차적으로 적용된다. 구체적인 예로는 △일반문서에 기록된 내용을 IT시스템으로 옮기는 경우 △정보수집과정에서 익명의 정보가 신원확인이 가능한 정보로 변경되는 경우 △기존 IT시스템을 새로운 용도로 사용함에 따라 신원확인이 가능한 정보의 관리방식에 중대한 변화를 가져오는 경우 △업무절차의 변화로 인해 신원확인이 가능한 정보가 포함된 데이터베이스가 다른 데이터베이스와 통합되는 경우 △일반 국민이 이용하는 IT시스템에 새로운 이용자 인증기술을 도입하는 경우 △상용 또는 공개된 것으로서 신원확인이 가능한 정보 데이터베이스를 기존 IT시스템에 활용하는 경우 △다부처 업무를 추진하는 과정에서 신원확인이 가능한 정보를 신규로 이용하거나 교환하는 경우 △업무절차의 변화로 정부기관간 정보의 공공이용이 발생하는 경우 △신원확인이 가능한 정보가 신규로 추가 수집됨으로써 프라이버시 침해 가능성이 문제되는 경우이다.

프라이버시 영향평가는 수집되는 개인정보, 수집이유 및 그 용도, 공유대상, 정보제공의 거절과 제한적 이용 및 이에 대한 동의의 의사표시, 정보보안 등에 대한 분석과 프라이버시 영향평가 결과에 따른 정보시스템의 구축방안 또는 개인정보의 수집방안에 대한 분석이 반드시 포함되어야 한다. OMB 지침의 경우 이를 다음과 같이 구체화하였다. 정보기술의 개발단계의 경우 ①필요성, 기능분석, 대안분석, 실행가능성분석, 이익/비용분석, 초기 위험분석 등에 대한 문건상의 검토 ②시스템이 프라이버시에 미치는 잠재적 영향 검토 ③계획단계에서 확인되지 않는 요소를 검토하기 위한 평가 방법의 업데이트 등의 내용으로 평가가 실시되어야 한다. 대규모 정보시스템의 경우에는 ①정보의 수집 및 유포에 따른 결과 ②각종 대안 및 각종 대안별 위험을 경감하기 위한 적절한 수단 ③최종 고안 또는 업무절차에 대한 합리적 근거 등을 기준으로 평가가 이루어져야 한다.

각 정부기관이 프라이버시 영향평가를 실시한 후에는 당해 기관의 정보화책임관이나 그에 상응하는 공무원이 그 결과를 검토하고 □검토위원□의 승인을 거쳐 웹사이트, 연방관보 등에 공개한다. 이때 검토위원은 당해 기관의 장이나 정보화책임관이 자체적으로 지명하도록 되어 있으며 안보상의 문제나 민감한 정보의 유출 등을 이유로 공개 제한이 가능하다. 전자정부 기금의 출연이 필요한 정보시스템은 평가서를 관리예산처장에게 제출한다.

2) 캐나다

캐나다 프라이버시 영향평가는 총4단계로 구성되어 있다. 1단계(project Initiation)에서는 프라이버시 영향평가의 필요성을 판단한다. 사전에 프라이버시 영향 평가의 필요성을 판단하고 평가 범위를 확정하는 단계이다. 이때 프라이버시 영향 평가가 필요한 경우는 다음과 같다. △개인의 동의여부를 불문하고 개인정보를 신규로 수집, 이용, 공개하거나 기존의 개인정보 수집, 이용, 공개 범위를 확대한 경우 △개인정보의 수집대상을 확대한 경우 △개인정보의 수집방법을 직접적인 방법에서 간접적인 방법으로 변경한 경우 △프로그램의 통합, 관리 등을 목적으로 개인정보의 수집을 확대한 경우 △프로그램간, 기관간, 공공·민간부문간 개인정보가 일치 및 공유된 경우 △공통된 개인 식별자의 신규 개발 또는 사용을 확대한 경우 △개인정보의 물리적 또는 논리적 분리와 관계있는 업무절차나 업무시스템, 또는 개인정보에 대한 접근을 관리 및 통제하기 위하여 사용되는 보안체계에 중대한 변화가 있을 경우 △계약 등을 통해 프로그램이나 서비스가 정부기관 또는 민간부문으로 이전되는 경우 등이다. 이 정책 시행 전에 추진된 프로그램이나 서비스의 경우에는 본질적인 부분에 대한 변경이 있는 경우에만 프라이버시 영향평가가 적용된다.

프라이버시 영향평가는 각 기관이 맡아서 수행한다. 그러나 공동관리책임을 두어 책임을 강화하였다. 프로그램 및 프로젝트 매니저, 프라이버시 정책 및 법률 전문가, 기능별 또는 기술 전문가 등 여러 관련자에게 공동관리 책임을 부여한 것이다. 다만 이러한 프라이버시 영향 평가의 필요성 여부를 판단할 수 있는 권한은 정부기관의 부기관장에게 있다. 하지만 이러한 평가 필요성이 명백히 드러나지 않는 경우에도 각 기관의 담당자가 수집·이용·공개되는 개인정보의 양 및 유형 등을 확인하는 예비적 프라이버시 영향 평가를 실시하는 것이 가능하다.

2단계는 데이터 흐름 분석 단계(Data Flow Analysis)이다. 당해 사업계획상에 나타나는 업무절차, 아키텍처, 데이터 흐름 등을 기술하고 분석하여 개인정보의 흐름을 파악하는 것이 목적이다.

3단계는 프라이버시 분석 단계(Privacy Analysis)이다. 프라이버시 관련 법률 및 정책 하에서 데이터 흐름을 검토하는 단계이다. 당해 사업계획과 관련된 주요 프라이버시 침해 가능성이나 취약점을 용이하게 확인하기 위하여 체크리스트 형태의 질문서를 활용한다. 캐나다에는 개인정보보호에 대한 10대 원칙이 있는데 각각의 원칙별로 세부적인 질문서가 제시되어 있다. 제2원칙인 개인정보 수집에 대해서만 △정보주체로부터 직접 수집되는가 △수집 목적이 어떻게 문서화되어 있는가 △수집된 개인정보가 꼭 필요한 것인가 △정보주체에게 수집의 목적을 고지하였는가 △2차적 이용의 가능성이 있는가 △공공 데이터베이스로부터 수집된 개인정보가 포함되어 있는가 등 14개 항목에 대해 상세히 기술할 것을 요구하고 있다. 수집 이외에도 개인정보의 적절성, 동의, 이용, 공개, 정확성, 보안, 참가, 자기정보통제권 등 10개 분야에 대해 상세한 기준을 제시하고 있다.

이때 정부기관은 프로그램 및 서비스를 제공하는 과정에서 프라이버시 원칙, 정책 및 법률을 준수하고, 관련 프라이버시 영향 및 침해 가능성을 해소하거나 경감시킬 의무가 있다.

4단계는 프라이버시 영향 분석 보고 단계(Privacy Impact Analysis Report)이다. 프라이버시 침해 가능성 평가, 프라이버시 침해 가능성 및 관련 문제 해소 또는 경감 방안 등 결과를 문서화하는 단계이다.

<캐나다 프라이버시 영향 평가 절차도>

* 출처 : 구병문, 2003a

3. 비판과 시사점

미국과 캐나다 모두 원칙적으로 모든 정부기관의 전자정부 사업에 의무적으로 프라이버시 영향평가를 도입하고 있다. 다만 각 정부기관이 자체적으로 평가하도록 하였기 때문에 평가의 실질성을 어떻게 담보할 것인가가 관건이라 하겠다.

실제로 미국의 경우에는 도입되고 나서 채 1년도 되기 전에 평가의 실질성에 대한 비판이 제기되었다. 지난해 12월 프라이버시 영향평가를 입안한 당사자인 조셉 리버만 상원의원이 국토안보부가 유에스-비짓(US-VISIT) 시스템의 생체인식기술에 대해 충분히 평가하지 않았다고 비판한 것이다. 유에스-비짓은 비자 비면제국가 국민이 미국에 입국할 때 각 공항과 항만에서 지문과 얼굴을 촬영하여 보관하고 테러용의자 데이터베이스와 대조하는 등 타국민의 개인정보를 활용하는 시스템이다. 국토안보부는 유에스-비짓이 가동하기 직전에야 프라이버시 영향평가 결과를 발표했는데 프라이버시 담당자를 두었으니 충분하다고 되어 있을 뿐이었고 그나마 이 담당자의 역할이 매우 모호하게 설정되어 있었다는 것이 비판의 골자이다. 입국자들이 지문날인을 안했다는 이유로 입국을 거절당하거나, 자신의 정보에 대한 열람·정정·삭제를 요구할 때 어떻게 응할 것인지에 대해 아무런 언급이 없는 것이다. 이처럼 미국의 프라이버시 영향평가는 그 내용도 매우 부실할 뿐더러 평가 결과에 따른 사후 조처가 명확하지 않은 점이 비판받고 있다.

캐나다의 경우 독립적인 개인정보보호기구인 연방 프라이버시 감독관이 평가 결과를 감독하고 그에 따른 권고를 하도록 한 점에서 미국과 차이가 있다. 여기서 시사적인 점은 프라이버시 감독관처럼 각 정부부처의 외부 기관에서 일정 수준 이상으로 프라이버시 영향평가 과정에 관여하도록 보장했다는 것이다. 이는 평가의 객관성과 실질성을 담보하기 위한 장치이다. 캐나다의 프라이버시 영향평가가 실제로 얼마나 객관적이고 실질적으로 이루어지고 있는지에 대한 평가는 시간이 좀더 경과한 후에 가능할 것으로 보이지만, 적어도 절차상으로는 최소한의 장치를 마련한 것으로 보인다.

또한 평가의 내용적인 실질성 뿐 아니라 평가 결과에 따른 개선이나 실시를 어떻게 보장할 것이냐도 매우 중요한 문제이다. 캐나다의 경우 프라이버시 영향평가 과정에서 각 정부기관에 프로그램 및 서비스를 제공하는 과정에서 프라이버시 원칙, 정책 및 법률을 준수하고, 관련 프라이버시 영향 및 침해 가능성을 해소하거나 경감시키도록 의무를 부여한 점이 뚜렷하다. 이는 강력한 프라이버시 보호법과 프라이버시 보호 감독기구가 존재해 온 국가의 특수성이다. 각 정부의 프로젝트가 강력한 프라이버시 보호법의 요건을 충족하는지의 여부를 사전에 충분히 평가할 필요성이 있는 것이다. 자율적인 프라이버시 영향평가를 도입하고 있는 뉴질랜드의 경우에도 주요 평가 목적은 프라이버시 보호법의 준수이다. 결국 프라이버시 영향평가의 실질성이 담보되기 위해서는 충분한 수준의 프라이버시 보호법과 감독기구의 설립 등 프라이버시 보호를 위한 제도와 체계 전반이 갖추어질 필요가 있음을 알 수 있다.

한국전산원의 구병문 연구원은 사견임을 전제로 하여 2003년에는 사업 추진 기관에서 프라이버시 영향평가를 자체적으로 실시하고 전문기관과 민간 전문가로부터 지원을 받는 모델을 제시하였고 올해는 개인정보보호감독기구 설립이 현실화되고 있는 추세를 반영하여 미국과 캐나다와 마찬가지로 주관 정부기관이 자체적으로 실시하고 그 결과에 대해 개인정보보호기구로부터 검토를 받는 메커니즘을 제안하였다.(구병문, 2003a; 2004) 구체적으로는 정보화사업계획의 심의기관, 즉 정보화추진위원회가 개인정보보호기구에 각 정부부처의 평가에 대한 검토를 의뢰하고, 그 검토 결과는 정보화사업계획 심의시 반영하는 방안이다. 검토 결과에 따라 개인정보보호기구는 정보화사업의 변경 또는 보완을 요구할 수 있고 정보화추진위원회는 이를 반드시 수용하도록 한다는 것이다.

그러나 이 제안에서 정보화추진위원회가 직접적으로 언급된 것이 다소 우려스럽다. 그간 국가정보화 추진체계의 문제로 지적되어 온 것이 지금은 해체된 전자정부특위와 국무총리실 산하 정보화추진위원회, 정통부 정보화기획실, 한국전산원, 그리고 정부 각 부처의 각개약진이었다. 이때 정보화추진위원회는 정부 각부처의 이해관계가 충돌하는 경우 거의 제대로 된 심의 기능을 발휘하지 못했다는 비판을 들어 왔다. 이런 상황에서 같은 프로젝트를 두고 이견이 발생할 것이 분명한 각 부처와 개인정보보호 감독기구 사이에 명목상의 정보화추진위원회를 두는 것은 프라이버시 영향평가의 집행을 오히려 약화시키는 결과로 이어질 소지가 높다. 특히 해외의 경우와 달리 주민등록번호라는 국민고유식별번호가 일반적으로 사용되고 있는 우리 사회의 특수성 상 평가의 실효성을 담보하기 위해서는 평가 결과를 보다 강력하게 집행할 수 있는 제도적 대책이 마련되어야 할 것으로 보인다.

또다른 한 측면으로는 프라이버시 영향평가를 전자정부 사업에만 한정할 필요가 있느냐는 것이다. 프라이버시 보호체계가 매우 취약한 데다 민간기업도 국민식별번호를 이용한 대규모 데이터베이스를 자유롭게 구축할 수 있는 우리 현실에서 전체 데이터베이스는 아니라 하더라도 일정 규모 이상의 민간 사업에 대해서도 프라이버시 영향평가를 실시할 필요가 있다.

마지막으로 최근 과학기술 정책 관련 분쟁을 조정하고 합리적인 과학기술 영향평가 제도의 도입을 위해 고민하고 있는 선진 사례에서 적극적인 시사점을 찾을 필요가 있다. 이해당사자의 광범위한 참여와 발언, 그리고 결정권을 보장하는 것이다. 개인정보의 주체인 국민 개개인이 자신의 개인정보의 수집과 이용, 전달에 대한 권리를 충분히 행사하기에 어려운 점이 있는 만큼, 평가 과정에서의 참여로 이를 보장해야 할 필요가 있는 것이다. <합의회의>가 여러 형태의 기술영향평가 중에서도 돋보이는 것은 해당 기술의 영향을 받게 되는 사회 구성원들이 직접 참가하는 것을 특징으로 한다는 점이다. 최근 몇몇 대규모 개발사업에 부실하게 적용되어 오히려 물의만 일으키는 환경영향평가나 파행을 겪고 있는 일부 과학기술영향평가의 사례들을 보면 중요한 것은 단지 시행한다는 것이 아님을 알 수 있다. 국민이 자신의 권리에 미치는 영향에 대해 실질적으로 평가하고 결정할 수 있도록 하는 것이야말로 영향평가제도의 핵심이다. 지금 막 우리 사회에 도입되고 있는 프라이버시 영향평가가 가장 중요하게 고려해야 할 점이라 할 것이다.

<참고문헌>

권선경(2003), □국외 프라이버시 영향평가제도 시행 현황□, KISA 국외동향보고서(2003.8.1)

구병문(2003a), □캐나다 및 미국의 프라이버시 영향 평가 제도 분석과 국내 전자정부 법제로의 도입방향 검토 □, 정보화이슈분석 03-16(2003.7.23), 한국전산원

구병문(2003b), □미국 OMB 프라이버시 영향 평가 지침 분석□, 정보화이슈분석 03-24(2003.10.21), 한국전산원

구병문(2004), □프라이버시 영향평가제도의 도입 검토□, 정부혁신지방분권위원회 개인정보보호 정책 포럼(2004.6.16)

이영희(2000), □과학기술정책과 기술영향평가□, 과학기술의 사회학, 한울아카데미

이영희(2004), □과학기술, 사회갈등, 그리고 시민참여□, 2004년도 한국과학기술학회 전기 학술대회(2004.6.26)

Office of Management and Budget(2003), OMB Guidance for Implementing the Privacy Provisions of the E-Government Act of 2002(September 26, 2003)

Treasury Board of Canada Secretariat(2003), The Privacy Impact Assessment Guidelines: A Framework to Manage Privacy Risks(May 2, 2003)

프라이버시 사전영향평가의 의의와 쟁점

박준우 (함께하는 시민행동 개인정보보호팀장)

1. 영향평가의 의의

지난 해 출판된 □더 나은 세계는 가능하다 - 세계화, 비판을 넘어 대안으로□(세계화국제포럼 지음, 이주명 옮김, 필맥출판사, 2003년)라는 책은 □지속가능한 사회□라는 개념을 대안 세상의 모습으로 설명하면서 그런 사회를 위한 □10가지 원칙□을 제시하고 있다. 그 중 10번째 원칙이 바로 □예방의 원칙□이다. 간략하게 이야기하면, 어떤 기술이나 제도, 상품이 인간이나 환경에 잠재적으로 위험성을 갖고 있다고 한다면, 설령 그 위험성이 분명하지 않다 하더라도 도입하려는 쪽에서 무해함을 입증하기 전까지는 예방 차원에서 도입을 금지할 수 있어야 한다는 것이다. 이러한 원칙에서 환경 영향평가를 비롯한 각종 사전영향평가가 나타난다.

사실 영향평가라는 것은 어떻게 보면 양날의 칼이 될 수도 있다. 어떤 가치를 적극적으로 추진하기보다는 최소한의 보호수단으로 기능하는 타협적 시스템이 되는 경우가 일반적이다. 게다가 평가를 소홀히 하거나 문제점을 은폐하는 등 과정상의 문제가 빈번하게 발생하면서, 오히려 영향평가의 목적에 반하는 사업들을 추진하는 것을 합리화하는 수단으로 전락하는 경우가 많다.

그럼에도 영향평가가 유의미한 정책 수단으로 도입되어온 것은 다음의 이유들 때문이다. 우선 영향평가는 갈등 비용을 감소시킬 수 있다. 최소한의 객관적 사실들을 확인한 후에 논쟁이 시작되기 때문이다. 또한, 불법적이거나 심각한 반대를 불러일으킬 사업들을 계획 단계에서 걸러낼 수 있다. 다음으로 영향평가의 목적에 순기능적인 방향으로 사업을 진행하게끔 돕는다. 즉 모범 사례(best practice)를 실천하도록 유도한다. 이는 사업 추진 주체의 입장에서 볼 때 영향평가가 컨설팅 기능을 수행하기 때문이다. 물론 이 모든 이점은 영향평가가 잘 수행된다는 것을 전제로 하고 있다.

2. 프라이버시 사전영향평가의 의의

이런 영향평가제의 특징들은 프라이버시 사전영향평가(Privacy Impact Assessment, 이하 PIA)에서도 그대로 확인될 수 있다. 사실 얼마전까지만 해도 개인정보 보호를 위한 영향평가라는 것은 선뜻 사회적 합의를 얻어내기 어려운 제도였다. 영향평가를 수행한다는 것은 어쨌든 사업 추진에서 당장 비용을 증가시키는 요인이므로, 사회적 중요성을 인정받지 못하던 개인정보 보호를 위해 영향평가를 도입한다는 것은 지나치게 앞선 논의라는 것이 일반적인 인식이었을 것이다.

그러나, 지난 해 NEIS를 둘러싼 갈등을 경험한 후 극적인 인식의 변화가 찾아왔다. 개인정보 침해를 이유로 전자정부 사업 자체가 좌초되는 경험을 하게 되자, 전자정부 사업을 계속 추진하기 위해서라도 PIA를 실시하는 것이 효율적이라고 판단하게 된 것이다. 사실 상당수 전자정부 사업들에는 대개 수백억, 수천억에 달하는 막대한 비용이 투입된다. PIA는 이런 막대한 비용을 투입한 사업이 좌초되면서 발생하는 행정 및 예산상의 낭비를 예방하는 데 도움이 된다.

또한, 개인정보의 수집 및 처리는 정보주체의 동의에 기반하여 이루어진다. 그런데, 사실 정보주체와 정보수집자 사이에는 정보의 불균형이 존재한다. 때문에 정보주체로서는 이 시스템이 어떻게 개인정보를 수집, 보관, 처리하는지 파악하기 어렵다. 설령, 파악한다 하더라도 정당한 수집인지 판단하기 어려우며, 판단할 수 있다 치더라도 대부분의 경우 정보수집자에 비해 권력적·경제적으로 불리한 위치에 있는 정보주체로서는 적절하게 대응하기도 어렵다. 역시 NEIS의 경우를 예로 들면, 약 2년 가까이 시스템이 추진되고 구축되어 왔음에도 정작 당사자인 교사와 학생들은 별다른 정보를 갖지 못하고 있었으며, 뒤늦게나마 나타난 반대 움직임에 대해서도 추진 주체였던 교육부에 의해 무시당했었다. 개인정보의 이런 특성을 고려할 때, 전문적 지식을 가진 평가자가 정보 수집 행위를 공적으로 평가할 필요성이 제기되는 것이다.

마지막으로, PIA를 실시함으로써 정보수집자들이 개인정보 보호 지향적인 시스템을 구축하게끔 촉진할 수 있다. 좀 더 세분화된 기준들과 평가자들의 조언을 통해, 단순히 법률에 규정된 내용을 따르는 것을 넘어 좀 더 잘 보호하는 방식을 도입하려고 노력하게 될 것이다. 특히 우리 사회의 정보수집자들은, 개인정보 보호에 대한 필요성은 인식하고 있으나 그 원리나 방법 등에 대한 인식은 높지 않다. 이런 점을 고려할 때 PIA는 그 과정 자체가 정보수집자들에 대한 교육적 효과를 가질 것이다.

3. PIA 절차와 관련된 쟁점 검토

(1) 어떤 경우에 실시하는가?

PIA를 실시하는 경우로는 크게 네 가지를 생각해볼 수 있다. a) 새로운 정보수집/감시 기술이 수집되는 경우 b) 새로운 개인정보 데이터베이스를 구축하는 경우 c) 기존 DB들을 통합 혹은 연계하는 경우 d) 기존 DB에 새로운 정보를 추가하는 경우 중 새로 추가된 정보가 그 자체로, 혹은 기존 DB의 개인정보 항목과 연계되어 정보주체에 대한 판단/평가 정보를 생산할 수 있게 되는 경우 e) 위치정보 등 민감한 정보가 새로 수집되거나 기존 DB에 추가되는 경우.

그런데, a)의 경우 사실 기술영향평가의 성격을 가진다. PIA가 기술영향평가의 성격을 가질 것인지에 대해서는 논란이 있을 수 있다. 우리 사회에 별도의 기술영향평가 시스템이 없는 경우에는 PIA에 기술영향평가를 포함시킬 수도 있을 것이다. 하지만, 우리 사회에는 과학기술기본법에서 기술영향평가를 규정하고 있다. 따라서, PIA에서는 이를 제외해도 무방할 것이다. 다만, 향후 설립될 독립적 개인정보보호기구가 기술영향평가를 요청하고 의견을 제시할 수 있도록 하는 법적 장치를 마련해둘 필요가 있겠다.

한편, d)의 경우로는 쿠키를 새로 도입하는 경우나 학원의 학생 성적 정보에 IQ 정보를 추가하는 경우 등을 생각해볼 수 있겠다. 이 경우는 다른 경우와 달리 상대적으로 평가과정이 간략하게 이루어질 것이다.

(2) 어떤 대상에 대해 시행하는가?

해외에서는 공공부문의 개인정보 처리에 대해서만 영향평가를 적용하는 것이 일반적이다. 우리의 경우도 지난 6월 16일 정부혁신지방분권위원회의 개인정보보호 정책 포럼에서 한국전산원 구병문 연구원은 공공기관의 개인정보 처리에 대해서 우선적으로 시행하는 것을 제안하고 있다. 그러나 그 역시 민간부문으로 확대될 가능성을 언급하고 있으며, 지난 6월 정보통신부가 예고한 민간부문의개인정보보호에관한법률 제정안에서도 일정 규모 이상의 민간부문 DB에 대해 PIA를 실시하는 안을 담고 있다.

사실 정보주체의 입장에서 볼 때는 공공부문과 민간부문의 구분이 판단 기준이 되는 것이 아니라 개인정보의 수집 방식(법률에 의해 강제되는 것인지 동의에 의해 수집되는 것인지), 그리고 수집되는 개인정보의 민감성과 규모가 판단 기준이 된다. 특히 PIA의 경우, 영향평가라는 취지에서만 보면 민간부문이 제외되어야 할 이유는 별로 없다. 민간부문을 제외한다면, 그것은 개인정보에서의 차이보다는 (특히 해외 기업들과 비교할 때) 영업상의 부담이 발생하기 때문일 것이다.

원칙적으로는 공공과 민간을 가리지 않고 일정 규모 이상의 모든 DB에 대해 적용해야 한다. 만일 현 시점에서 민간부문을 대상으로 전면 시행하는 것이 정 어렵다면, 적어도 통신비밀이나 위치정보, 의료정보, 교육정보 등 매우 민감한 정보를 수집하는 기관에 대해서만이라도 PIA를 적용하는 것이 타당할 것이다.

(3) 누가 시행하는가?

이론적으로는 어떤 시스템이 개인정보와 관련해서 문제를 발생시키는지 아닌지를 가장 잘 판단할 수 있는 존재는 정보주체일 것이다. 따라서 가장 바람직한 것은 정보주체가 평가하는 것이다. 그러나, 이는 현실적으로 불가능하다. 다만 평가 과정에서 정보주체의 의견을 청취하도록 강제함으로써 보완해볼 수는 있을 것이다.

시행 주체와 관련해서는 크게 두 가지 방법이 논의된다. 정보수집자가 직접 PIA를 시행하는 방법과 독립적 개인정보보호기구가 시행하는 방법이 그것이다. 위에 언급한 발표문에서 구병문 연구원은 전자를 제안하고 있다. 그는 독립 보호기구가 모든 정보화 사업에 대해 PIA를 수행하는 것이 현실적으로 어려우며, 해당 사업에 대한 이해 부족으로 정확한 평가를 하기도 어려울 것이라는 점을 그 근거로 들고 있다.

그러나, 그도 지적하고 있듯이 자체 평가 방식은 평가의 객관성·신뢰성 확보에 문제가 발생할 수 있다. 물론, 독립 보호기구가 직접 PIA를 실시할 때 발생하는 비효율성과 업무 과부하 문제도 무시할 수 있는 문제는 아니다. 따라서, 연구소, 시민·소비자단체, 대학의 관련 학과, 컨설팅 업체, 법무법인 등 영향평가를 실시할 수 있는 자격을 갖춘 민간 기관을 활성화하는 것을 검토할 필요가 있다. 해당 기관은 이 민간 기관들에 평가를 의뢰하고 민간 기관들이 평가 결과를 독립 보호기구에 보고하며, 독립 보호기구는 PIA에 관한 면허 부여·취소를 통해 민간 기관들을 통제하는 일련의 과정을 통해 평가의 신뢰성과 독립 보호기구의 부담 완화를 함께 달성할 수도 있을 것이다. 또한 여러 평가 기관이 다양한 보호 체계를 제안하게 되므로, 보호기구의 획일적 기준에 따른 평가와는 달리, 모범사례(best practice)가 빠르게 발굴될 것이며 각 정보화 사업의 개인정보 보호 친화적 성격이 강화되는 등 자율규제 역량이 성숙해질 것이다.

장기적으로는 규모와 무관하게 정보주체들의 요구에 의해 PIA를 실시할 수 있도록 하는 것도 고려할 필요가 있다. 현재도 작업장에서 새로운 정보수집/감시 시스템이 도입될 경우 노동조합 입장에서는 PIA 실시를 희망할 수도 있다. □일정 규모 이상의 DB'라는 기준에 따라서만 PIA를 실시하는 제도 하에서는, 이런 필요성을 담아내기 어렵다.

(4) 어느 시점에서 평가가 이루어져야 하는가?

사전영향평가라는 취지이므로 당연히 사업 시작 이전에 평가가 이루어져야 한다. 공공부문의 경우 기획예산처의 예산 심의에 평가서를 첨부하도록 하는 것이 타당할 것이다. 그러나 민간부문의 경우 내부 회계 절차가 다양하므로 평가 시행 시점을 일률적으로 규정할 수는 없을 것이다. PIA 대상이면서도 평가를 실시하지 않고 서비스를 시작한 경우 처벌하는 방식으로 사전 평가를 강제해야 할 것이다.

(5) 평가 결과에 따라 어떤 조치를 취할 것인가?

공공부문 정보화 사업의 경우 평가 결과에 따라 계획 변경, 혹은 심각한 경우 사업 중단까지도 강제할 수 있어야 한다. 공공부문이 개인정보 보호 시스템의 모범을 보인다는 의미에서 강제 조항으로 두는 것이 타당하다고 보여진다.

다만 민간 영역에까지 강제 규정을 둘 수 있는지에 대해서는 의문의 여지가 있다. 이는 공공과 민간의 구분 문제가 아니라 PIA 자체의 특성 때문이다. 뒤에서 상세히 검토하겠지만, PIA는 법률의 위반만을 평가하는 것이 아니라 개인정보 보호에 미치는 포괄적인 영향을 평가한다. 따라서 모든 권고 사항을 따를 의무는 없는 것이다. (다만 공공부문의 경우 모범을 보이는 의미에서 강제 규정을 두는 것이다) 게다가 법률에 저촉되는 계획이라 하더라도, 계획 단계일 뿐 구체적으로 불법 행위가 발생한 것이 아니므로 처벌할 방법은 없다. 다만, 평가 결과에 따른 권고에 응하지 않을 경우 평가 결과를 공표할 수 있도록 함으로써 강제력을 높이는 방향은 검토할 수 있을 것이다.

한편, 이후 실제 운영되는 시스템에 대한 조사나 정기 감사 때 이 평가 결과가 일차 자료로 활용될 것이다.

(6) 기존에 구축된 시스템은 어떻게 해야 할 것인가?

PIA가 순수한 □사전 영향□ 평가라면 기존에 구축된 DB에 대해서는 굳이 적용할 필요가 없을 것이다. 그러나, 역시 뒤에서 상세히 검토하겠지만 PIA의 일부 내용은 영향평가라기보다는 □예비검속□에 가까운 측면이 있다. 즉 시행되고 있는 시스템이 그 일부 내용을 위반한 경우 불법행위를 하고 있는 셈이 된다. 게다가 공공 부문에 대해 PIA의 기준을 의무 적용할 경우 기존에 구축된 시스템도 재평가의 대상이 되어야 한다.

따라서, 적어도 공공부문 정보화 사업 중에서 평가 대상인 경우는 일정한 경과 기간을 두고 계획을 수립하여 사후 평가를 진행하는 것이 타당할 것이다. 다만, 이미 운영되고 있는 시스템임을 감안하여 조치 사항에 대한 처리 기간을 일정 정도 보장하는 것이 필요할 것이다. 한편, 민간 부문에 대해서는 처벌할 수 없다면 실익이 없으므로 반드시 사후 평가를 진행해야 할 지는 의문이다. 다만 정기적으로 진행될 실태 조사에 이 기준을 적용해보는 정도로 충분하리라 생각된다.

4. PIA 평가 기준과 관련된 쟁점 검토

PIA의 절차와 관련된 논의는 해외의 PIA 평가 기준을 그대로 적용한다고 가정했을 때 논의될 내용들이다. 그러나 실제로 고민해보아야 할 것은 어떤 기준을 가지고 평가할 것인가 하는 지점이다. 평가 기준에 따라서 절차 및 사후 조치 방식에서도 많은 차이가 발생할 수 있을 것이다.

(1) 기존 평가 기준의 약점

PIA의 본래 목적은 위험 수준을 평가하는 지표를 제공하는 것이다. □수준을 평가□한다는 것은 한 시스템과 다른 시스템이 비교가능하다는 것을 의미한다. 이를 위해서는 환경영향평가나 교통영향평가처럼 가급적 객관적 수치로 표현되는 비교 기준이 채택되어야 한다. 그런데 실제로 캐나다의 PIA 평가 기준을 살펴보면, 평가의 대부분의 질문이 Yes/No로 평가하도록 되어 있음을 확인할 수 있다.

질문의 종류도 크게 세 가지로 구분될 수 있다. 첫째, 어떤 구체적 조건을 갖추었냐 아니냐는 질문이 있다. 예컨대 □개인정보를 수집할 법적 근거가 있는가?□라는 질문이 그것이다. 이것은 오직 Yes/No만으로 답변할 수밖에 없다. 둘째, 마찬가지로 어떤 조건을 갖추었냐 아니냐를 묻는 질문이지만, 그 조건 자체가 상당히 추상적인 경우이다. 예컨대 □수집 단계에서 구체적 수집 목적과 법적 근거, 그리고 고충처리를 담당할 사람을 밝히고 있는가?□라는 질문을 들 수 있다. 비록 □구체적□이라는 수식어가 붙어 있기는 하지만, 수집 목적이나 법적 근거를 얼마나 상세히 밝히고 있는지가 천차만별일 수 있다. 그 경우 Yes/No의 판단은 평가자의 주관이 개입될 수밖에 없다. 셋째, □개인정보를 사용하는 법적 근거는 무엇인가?□라는 질문이 주어진다. 이 경우는 Yes/No라고 답변할 수가 없다. 때문에 이 문항의 경우 평가 자체가 불가능해진다. 둘째 유형과 셋째 유형의 질문이 Yes/No로 처리하기에는 무리가 있다고 해서 다른 방식의 수치나 등급으로 나타내는 것도 쉽지 않다는 점에 딜레마가 있다.

Yes/No 항목이라 하더라도 문항이 많기 때문에 시스템 전체에 대한 평가는 가능할 것이다. 단순히 Yes의 대답이 몇 개 있었는지를 따지는 것은 지나치게 단순한 계산 방식이 될테고, 각 문항마다 가중치를 부여해서 합산하는 방식을 택하게 될 것이다. 이 때 가중치를 부여하는 방식이 문제가 될 것이다. 평가자의 노하우에 맡기는 방식과 독립적 개인정보 보호기구가 각 항목에 대한 가중치를 정해주는 방식이 있을 수 있다.

한편 어떤 항목의 경우 법적 기준을 준수하는지를 확인하는 항목인 반면, 법적 기준을 충족한 상태에서 더 많은 노력을 했는지를 확인하는 항목들도 상당수 있다. 법적 기준을 충족하지 못한 경우에는 공공 부문이든 민간 부문이든 당연히 계획의 변경을 필요로 한다. 하지만 그 외의 항목의 경우 민간 부문에서는 Yes라는 답변을 할 수 있는 최소한의 기준만을 충족함으로써 면피하려는 경향이 나타날 수 있다.

(2) 장기적으로 고려할 만한 평가 기준들

<표 1> 개인정보보호 평가 영역 구분

정보주체	contents	최소수집의 원칙	얼마나 필요한 정보인가? (위치정보의 경우 정밀도 문제)
	process control	개인정보자기결정(통제)권	얼마나 유효하게 보장하고 있나?
정보수집자	process control & security	관리적 대책	규정, 권한 배분이 얼마나 치밀한가?
		기술적 대책	침입차단·관리 공인인증 시스템(K1∼K7의 7등급)이 대표적
		물리적(환경적) 대책	ID 카드 등 얼마나 치밀한가?

PIA의 객관화가 어려운 것은 물리적인 수치가 나오지 않기 때문이다. 대신 등급 구분은 가능할 수 있다. <표 1>에서 확인할 수 있듯이 보안 영역에서는 나름의 기준에 따라 7등급의 등급 구분을 하고 있다. 다른 영역에서도 이러한 등급 구분이 가능할 수 있다. 예컨대 한국정보보호진흥원에서는 개인정보를 중요도에 따라 5등급으로 구분하기도 한다. 혹은 데이터베이스의 규모나 서비스의 특성에 따른 등급 구분도 가능할 것이다. 이런 등급들을 상호연동하는 평가 기준이 가능할 것이다. 금융감독원이 금융 전산망에 대해서 K4 이상의 보안수준을 갖출 것을 요구하는 것처럼, 각 영역별로 여러 가지 등급체계가 존재하고 이 등급체계들간의 관계를 설정할 수 있다면 PIA도 상대적으로 객관화된 지표를 가질 수 있을 것이다.

한편 작업장 등을 중심으로 정보수집 목적 자체가 프라이버시 침해의 성격이 강한 경우들이 발생한다. ERP 상에서의 작업량 점검이나 CCTV 설치, 그리고 인터넷 사용 모니터링 등이 그런 예이다. 해외에서 통용되는 평가 기준만으로는 이런 경우에 별다른 역할을 하지 못할 것으로 보인다. 소수자 이슈와 관련된 정보시스템의 경우에도 현재의 기준만으로는 부족할 것 같다. 이와 관련해 장기적으로는 정신적 고통과 스트레스 등에 대한 역학 조사를 영향평가에 반영하는 것도 생각해볼 수 있겠다.

5. PIA 도입을 준비하자

지금까지 살펴본 바와 같이 PIA 도입에는 생각보다 고려해야 할 문제가 많다. 한편으로는 무분별한 정보수집/감시 시스템 구축에 대한 좋은 투쟁 수단을 하나 얻은 것이기도 하지만, 다른 한편으로는 오히려 그런 시스템의 구축에 면죄부를 주는 수단이 되어버릴 수도 있을 것이다. 특히 평가 기준에서 아직 부족한 점이 너무 많다.

그럼에도 불구하고 PIA 도입을 시기상조라고 생각하거나 주저할 필요는 없을 것이다. 부족한 대로 우리 사회에서 의미있는 변화를 가져올 수 있는 수단 중 하나가 될 것이다. 캐나다의 평가기준을 살펴보면, 표준식별자의 수집 / 활용 여부에 관한 항목이 곳곳에서 발견된다. 우리 사회에서 개인정보 침해가 확대되는 중요한 이유 중 하나가 주민등록번호를 별다른 문제의식 없이 마구 수집해왔기 때문이었다. PIA가 실시되면 주민등록번호에 대한 문제의식 확산에 상당한 기여를 할 것으로 보여진다.

객관적 수치로 평가되지 않는다는 문제도 PIA의 부족한 부분일 뿐이지, 근본적 문제는 아니라고 생각된다. 일종의 사회영향평가로서의 PIA의 특성은 버려야 할 부분이 아니기 때문이다. 환경영향평가도 역학조사 중심으로 시작되었지만 점차 사회영향평가 요소의 도입의 필요성이 인정되는 추세로 알고 있다.

해외에서도 PIA는 이제 겨우 걸음마를 뗀 단계이다. 부족한 부분들은 충분한 경험을 통해 보완되어야 할 부분이다. 사실 이 글 역시 한 번도 실제로 PIA를 실시해본 경험이 없는 상태에서 작성되었기 때문에 부정확한 부분들, 잘못된 생각들이 매우 많을 것이다. PIA에 대한 우리 사회의 준비 수준이 그 정도가 아닐까 생각된다. 때문에 지금 중요한 것은, 경험을 확대하는 것이다. 법률로 도입되는 것을 기다리기에 앞서 모의 실험의 기회라도 확대해나가야 할 것이다. 이와 관련하여 정부 등의 연구소에서 연구 결과들이 축적되고 있는 것으로 보여지는데, 그 결과들이 사회적으로 공유되지 않고 있다는 점은 아쉬운 부분이다.

이하 토론문 (추가 예정)