데이터 3법이 최근 국회를 통과했고, 감독기구인 개인정보보호위원회가 독립된 형태로 출범했지만 정부의 대통령령 안에서 시행 입법이 만들어지도록 해 독립성이 훼손될 우려가 있다는 의견이 제기됐다.

이인호 중앙대학교 법전원 교수는 18일 개인정보보호법학회, 스타트업얼라이언스, 체감규제포럼이 주최해 프레스센터에서 개최된 '데이터 3법의 개정과 향후 입법과제 모색' 세미나에서 "미국, 일본, 유럽과 달리 우리나라는 가명정보를 잘못 처리해 법이 허용하는 범위 벗어나면 5년 이상 형사 처벌에 처할 수 있다"는 점을 문제로 지적했다.

이 교수는 "가명정보의 잘못된 처리로 검찰까지 갈 수 있기 때문에 기업들이 데이터 활용에 조심스러울 수밖에 없다"며 "데이터 3법 통과는 4차 산업혁명 기술을 활성화시키기 위한 것인 데 이를 반감시킬 수 있다"는 문제를 지적했다.

그는 "미국의 경우, 이 같은 법규에 대해서는 공법적인 처리를 하지 않는다"고 덧붙였다.

이 교수는 또 "연방거래위원회(FTC)가 제3자와 계약을 체결해 가명처리된 데이터를 제공할 때 재식별하지 않도록 계약상 의무를 부과하는데, FTC가 이를 잘 이행하는지 판단까지 해준다"고 설명했다. 그는 "우리나라도 형사법 처리에 있어 가명처리인지 아닌지 누군가 판단해줘야 한다"며 "개인정보보호위원회가 가명처리에 대해 하나의 기준과 세분화된 규정을 마련해 이를 활용할 수 있도록 하고, 가명처리가 유효하다고 판단을 해줄 필요가 있다"고 강조했다.

구태언 변호사(법무법인 린)는 "가명처리는 '1사람을 의미하는 정보를 2사람 이상으로 만드는 것'으로 규정할 필요가 있다"며 "19대 대통령이라고 하면 1사람이 되지만 19대를 빼면 12명이 돼 더 이상 1사람이 아니게 된다"고 설명했다. 그는 "미국식으로 제한적인 식별자 제거로는 불충분하며, 우리나라에는 맥락으로 만들어 경우의 수를 2이상으로 만드는 것이 적합하다"며 "산업별로 다시 가명처리에 대한 규정을 만들 필요가 있으며, 위원회에서 가명처리인지 아닌 지 인정해주고 이를 통해 유권해석이 가능하도록 해야 한다"고 지적했다.

이상직 변호사(법무법인 태평양)는 "EU(유럽연합)의 개인정보보호규정(GDPR)에서는 개인정보 보호 침해 정도 등을 고려하기 때문에 민감 정보에 대해서는 과학적인 조치를 통해서 풀 수 있을 정도로 더 보호하고 있다"며 "우리나라에서는 일반 개인정보와 건강, 의료, 정치적 견해 등 민감정보 사이의 차이가 없어 민감정보에 대해서는 개인정보보호법의 합리적인 해석을 통해 안전조치를 마련해야 한다"고 주장했다.

이 변호사는 또 "기업이 가명처리를 한 전문기관에 의뢰할 수도 있고, 여러 전문기관에 의뢰할 수도 있는데 여러 전문기관이 어떻게 협력을 할지 시행령에서 고려해야 한다"며 "플랫폼을 만들어 하나의 처리기관에 올리고, 이 기관이 다른 곳과 연계해 해결해주던지 하는 해결책이 필요하다"는 의견을 밝혔다.

황창근 홍익대 교수는 "가명 정보의 개념은 추가정보 없이는 개인을 알아볼 수 없는 것으로 볼 수 있다"며 "추가정보를 사용하면 개인정보가 되는 데 현재 법에서는 추가정보를 어떻게 한다는 것에 대한 내용이 없어서 행정 규칙 정도로 추가 정보의 문제를 상세하게 정할 필요가 있다"고 지적했다.

고환경 법무법인 광장 변호사는 "가이드라인이 산업별로 다양하게 만들어져야 한다는 것이 중요하다"며 "전에는 개인정보로 보던 기기 식별 정보, IP 주소를 현재는 개인정보가 아니라고 판단하기 때문에 이를 모두 가명처리해야 한다고 하는 주장은 맞지 않다"고 말했다.