윤창술 (경남과학기술대학교 전자상거래학과 교수)
은행, 카드사 등에서 개인정보가 유출되는 사건이 근래 수년간 지속적으로 발생하고 있다. 연이은 대규모 개인정보 유출사고는 제도적 차원의 개인정보 보호체계에 문제가 있음을 명확하게 보여주는 것이다. 개인정보 유출은 그 피해가 막대하며 2차 피해를 야기할 가능성도 높아 이를 방지하는 법적ㆍ제도적 장치 마련이 필요하다. 우리나라의 인터넷 환경은 그간 편의성을 이유로 제도적 차원에서 매우 광범위한 본인확인 체계를 구축해 왔다. 이렇게 과도하게 본인확인을 요구하는 우리나라의 인터넷 규제체계상 ‘본인확인기관’은 매우 중요한 기구이다. 그런데 근래 발생한 카드사 및 이동통신사의 개인정보 유출사고를 주목할 필요가 있다. 개인정보 유출의 계기를 제공하거나 정보를 유출당한 업체가 바로 방송통신위원회가 지정한 본인확인기관이라는 점인데 본인확인기관 활용문제에 대한 입법정책적 관점에서 진지한 재검토의 필요성을 보여준다.
올 5월 28일 정부는 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)’ 개정시 개인정보 보호조치를 강화하면서 동법상의 의무위반에 대한 정보통신서비스 제공자의 처벌을 엄격히 하고 300만원 이하의 법정손해배상 청구제도를 도입하는 등 이용자 권리구제 수단을 보완해 시행했다. 특히 개인정보가 분실ㆍ도난ㆍ누출된 경우 정보통신서비스 제공자 등에 대한 법정손해배상을 청구할 수 있다고 신설했는데, 동 규정이 진정으로 이용자를 위한 것이었는지에 대해서는 회의적이다. 즉 개인정보의 수집·이용기관인 본인확인기관과 관련된 동법 개정은 본질에 접근하지 못한 측면이 있어 보인다.
본인확인기관이란 인터넷상에서 이용자의 본인 여부를 공식적으로 확인해 주는 기관을 의미한다. 현행법상 본인확인기관 업무는 정보통신망법에 근거해 방송통신위원회로부터 심의·의결을 통해 지정받은 자들만 수행할 수 있는데 이를 민간신용평가사들과 이동통신사들인 민간 사업자들에게 맡기면서 개인정보 유출의 위험성이 다른 국가들에 비하여 매우 높은 편이다. 물론 국가 및 공공기관에서 개인정보를 집적·관리한다고 하더라도 유출 위험성이 모두 해소되는 것은 아니다. 오늘날과 같이 네트워크화된 정보사회에서는 데이터가 집적된다는 사실만으로도 위험성이 높아지기 때문이다. 또한 개인정보 자기결정권 보장의 원칙에 근거해 정보수집 및 이용을 위해 정보주체의 동의를 받는다고 할지라도, 이렇게 수집된 정보들을 본인확인기관이 합법적으로 보유하고 사적 영업이익의 수단으로 활용할 수 있도록 해 준다는 점에는 문제가 있어 보인다.
더구나 본인확인 체계는 주민등록번호 등 개인 식별번호의 활용을 반드시 수반하므로 결국 본인확인이 전제된 인터넷 규제체계는 필연적으로 개인정보 유출의 위험성을 높일 수밖에 없다. 하지만 무엇보다 개인정보 유출사고를 사전에 예방하는 것이 중요하므로 이러한 임시적인 대응으로는 한계가 있다. 장기적 관점에서 가급적 개인정보를 활용하지 않을 수 있는 방향으로의 제도적 디자인이 요구된다. 더구나 본인확인이 가장 빈번하게 이뤄지고 있는 인터넷상 전자금융 및 상거래 영역에서도 실질적인 본인여부 확인은 대부분 공인인증서를 기반으로 이뤄지고 있으며, 정보통신망법상의 본인확인기관을 활용한 i-PIN 및 휴대폰 인증은 거의 활용되고 있지 않는 실정을 감안할 때 본인확인 체계를 단계적으로 계속 축소해 나가고, 궁극적으로는 본인확인을 법령상 거의 요구하지 않는 방향으로의 개선이 필요하다.
올 5월 28일 정부는 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)’ 개정시 개인정보 보호조치를 강화하면서 동법상의 의무위반에 대한 정보통신서비스 제공자의 처벌을 엄격히 하고 300만원 이하의 법정손해배상 청구제도를 도입하는 등 이용자 권리구제 수단을 보완해 시행했다. 특히 개인정보가 분실ㆍ도난ㆍ누출된 경우 정보통신서비스 제공자 등에 대한 법정손해배상을 청구할 수 있다고 신설했는데, 동 규정이 진정으로 이용자를 위한 것이었는지에 대해서는 회의적이다. 즉 개인정보의 수집·이용기관인 본인확인기관과 관련된 동법 개정은 본질에 접근하지 못한 측면이 있어 보인다.
본인확인기관이란 인터넷상에서 이용자의 본인 여부를 공식적으로 확인해 주는 기관을 의미한다. 현행법상 본인확인기관 업무는 정보통신망법에 근거해 방송통신위원회로부터 심의·의결을 통해 지정받은 자들만 수행할 수 있는데 이를 민간신용평가사들과 이동통신사들인 민간 사업자들에게 맡기면서 개인정보 유출의 위험성이 다른 국가들에 비하여 매우 높은 편이다. 물론 국가 및 공공기관에서 개인정보를 집적·관리한다고 하더라도 유출 위험성이 모두 해소되는 것은 아니다. 오늘날과 같이 네트워크화된 정보사회에서는 데이터가 집적된다는 사실만으로도 위험성이 높아지기 때문이다. 또한 개인정보 자기결정권 보장의 원칙에 근거해 정보수집 및 이용을 위해 정보주체의 동의를 받는다고 할지라도, 이렇게 수집된 정보들을 본인확인기관이 합법적으로 보유하고 사적 영업이익의 수단으로 활용할 수 있도록 해 준다는 점에는 문제가 있어 보인다.
더구나 본인확인 체계는 주민등록번호 등 개인 식별번호의 활용을 반드시 수반하므로 결국 본인확인이 전제된 인터넷 규제체계는 필연적으로 개인정보 유출의 위험성을 높일 수밖에 없다. 하지만 무엇보다 개인정보 유출사고를 사전에 예방하는 것이 중요하므로 이러한 임시적인 대응으로는 한계가 있다. 장기적 관점에서 가급적 개인정보를 활용하지 않을 수 있는 방향으로의 제도적 디자인이 요구된다. 더구나 본인확인이 가장 빈번하게 이뤄지고 있는 인터넷상 전자금융 및 상거래 영역에서도 실질적인 본인여부 확인은 대부분 공인인증서를 기반으로 이뤄지고 있으며, 정보통신망법상의 본인확인기관을 활용한 i-PIN 및 휴대폰 인증은 거의 활용되고 있지 않는 실정을 감안할 때 본인확인 체계를 단계적으로 계속 축소해 나가고, 궁극적으로는 본인확인을 법령상 거의 요구하지 않는 방향으로의 개선이 필요하다.
윤창술 (경남과학기술대학교 전자상거래학과 교수)
저작권자 © 경남일보 - 우리나라 최초의 지역신문 무단전재 및 재배포 금지
