[기고] 마이데이터 전 분야 확대, 개인정보 기본권은 어디에

개인정보개보위원회(이하 개보위)는 최근 소비자가 마이데이터 사업자에게 전송 요청하는 개인정보의 범위를 산업 전 분야로 확대하는 내용의 시행령을 추진 중이다. 게다가 마이데이터 사업자가 정보주체를 대리해 전송요구권을 행사하면 정보를 제공하는 기업은 이를 거부할 수 없도록 규정했다. 즉 네이버, 카카오뿐 아니라 구글·유튜브, 메타 등은 이용자가 개인정보를 마이데이터 사업자에게 전송하라고 요청하면 이들은 제공해야 한다. 마이데이터 사업자는 이러한 개인정보를 관리 분석해 통합조회, 맞춤형 서비스, 연구, 교육 등에 이용하는 서비스를 제공할 수 있다. 세계 최초로 정부가 법령을 통해 마이데이터 산업을 조성하고자 한 것이다. 그러나 규제의 전문·표준화를 추구하는 유럽조차 세계 최초로 마련한 인공지능(AI)법의 주요 시행을 16개월 늦추는 시도를 하듯, 세계 최초 시행은 신중해야 한다. 따라서 세계 최초 마이데이터 전 분야 확대 역시 다음과 같은 고민을 제안한다.

우선 '마이데이터 사업자' 본질이다. 정부는 개정 기대효과로 “기업의 경우 본인 전송정보 관리·분석을 통한 통합조회 서비스 개발 및 신규 비즈니스 기회 창출”이 예견된다고 한다. 이를 위해 마이데이터 사업자에게는 몇 가지 특혜가 주어진다. 정보주체를 대신해 포괄적 대리권 행사할 수 있으며, 정보전송자 시스템에 직접 기술적으로 접근할 수 있고, 이러한 전송을 요청받은 기업은 거부할 수 없다. 이들은 기존 기업이 혁신 서비스를 통해 획득한 데이터를 무료로 획득하고 이를 자신의 비즈니스를 위해 이용할 수 있다. 일종의 '개인정보 자산관리' 산업을 개보위가 창설하는 것이다.

이러한 마이데이터 사업이 데이터 시장의 경쟁을 촉진하고 혁신 유발할 것인가, 아니면 타사가 혁신을 통해 획득한 데이터에 무임승차하는 서비스 모델을 정부가 지원하는 것인가, 혹은 혁신에 의한 시장의 자생적 형성이 아닌 규범에 의해 시장 창출이 바람직한가에 대한 고민이 필요하다. 이런 우려에 대해 개보위는 마이데이터 사업 진입의 엄격한 잣대와 공익적 규제를 다짐할 수 있다. 그러나 이러한 엄격한 규제를 적용한 금융·보건 마이데이터는 3년 누적 손실이 약 3000억원에 이르며, 통합계좌조회 외 새로운 서비스 개발이 거의 이뤄지지 않고 있고, 이로 인해 마이데이터 사업 라이선스를 반납하고 폐업에 돌입한 기업도 상당수다. 더욱이 정보주체 대리 행사를 하기 위한 구조와 시스템을 갖춘 사업자가 극소수이면 특정 마이데이터 사업자 독점화 또는 데이터 거래 오남용으로 소비자 피해가 유발될 수 있다.

좀 더 본질적 문제로, 개보위 역할이 개인정보를 '재산적 가치'를 지니는 자산으로 취급해 개인정보의 상업적 활용을 장려하는 것인가 하는 점이다. 개인정보자기결정권은 재산권이 아닌 인격권이며 개인정보를 특정 기업 수익모델을 위해 이동시키는 것이 기본권 내용인지 의문이다. 무엇보다도 전 영역 개인정보를 대상으로 하면 구매 내역·취향 등 민감한 사생활 정보가 마이데이터 사업자를 통해 국내외 업체에 전송 가능할 수 있다.

마지막으로 그간 혁신서비스로 이용자를 유치한 기업이 부담해야 할 의무다. 정보주체의 전송요구권 행사 시, 기업이 제공해야 하는 데이터 형식, 양, 처리 범위가 광범위해지고, 특히 이미지, 음성, 위치기반 정보 등 대용량 비정형 데이터까지 포함될 경우, 전송 및 검증을 위한 기술적 준비와 운영 비용이 급증할 수 있다. 이는 중소·중견 사업자에게는 과도한 기술·인력·재정적 부담으로 작용할 수 있다.

개인정보 보호법은 정보 주체의 권리보장이 핵심인데, 데이터 시장법으로 혼용돼 입법목적이 희석될 수 있다. 입법 목적과 부수적 효과는 다른 것이다. 주객이 전도돼서는 안 될 것이다.

김현경 서울과학기술대 IT정책전문대학원 교수 hkyungkim@seoultech.ac.kr