우리나라는 유럽이나 미국에 비하여 개인정보 보호에 대한 논의가 부족한 편이다. 역사·문화적으로 개인보다는 국가나 사회를 중요시하는 분위기 때문에 공공의 이익이 우선시 되곤 했다. 

빅데이터 기술의 발달로 기업들은 소비자의 소비성향을 분석해 세밀한 타겟팅 광고를 할 수 있게 됐고 미처 자신도 파악하지 못 한 소비패턴을 파악한 알고리즘에 의해 우리는 맞춤형 쇼핑 목록을 제공받는다. 이러한 기술발전은 효율적인 마케팅, 편안한 쇼핑, 효율적인 연구 및 통계 측정 등 많은 이익이 있지만, 그에 비례해 개인정보 침해도 증가한다. 

특히 개인정보를 수집 활용하는 기업 입장에서는 이에 대한 대비가 필요하다. 어디까지가 개인정보에 포함되는지가 문제가 되는데, 개인정보보호법은 개인정보를 구성하는 요소로 ▲ 살아 있는 개인 ▲ 특정 개인과 관련성 ▲ 정보의 임의성 및 결합가능성 ▲ 식별 가능성을 규정하고 있다. 

개인정보보호법에 따라 살아있는 '자연인'에 대한 정보만이 이 법에 따른 정보로 보호받으며 회사 및 기타 단체에 대한 정보는 이 법의 개인정보에 해당하지 않는다. 정보가 특정 개인과 관련성이 있어야 하므로 개인을 특정할 수 있는 주민등록번호, 생일, 진료내역 등은 개인정보에 해당한다. 그러나 개인을 특정할 수 없는 정보, 예를 들어 특정 집단의 연령, 성별 및 소득 수준 등은 개인과의 관련성이 없고 개인을 특정할 수 없어 개인정보에 포함되지 않는다.  
 
개인의 성별, 나이, 학력 등 정보 뿐 아니라 정보주체가 속한 집단에서 해당 개인에 대한 평가, 은행 등 금융기관에서의 신용평가 등 주관적인 정보도 개인정보에 포함된다. 두 개 이상의 정보가 결합하여 개인을 식별할 수 있고 그 개인과 관련이 있는 정보인 경우 개인정보에 해당한다. 다만 정보의 결합에 상당한 수준의 시간, 비용 및 노동이 투여되어 그 결합이 용이하지 않은 경우 개인정보라 할 수 없다.

개인정보는 그 개인이 '누구인지' 특정할 수 있어야 한다. 해당 정보만으로 특정 개인을 알아볼 수 없다 하더라도 다른 정보와 쉽게 결합하여 개인을 특정할 수 있으면 개인정보에 해당한다. 다만 해당 정보의 결합에 의해 개인이 누구인지 특정이 가능하더라도 그 특정을 위해 상당한 정도의 시간, 비용, 노동이 드는 경우에는 개인을 식별할 수 있는 정보에 해당한다고 볼 수 없다.

이러한 개인정보를 수집, 처리하는 자는 개인정보주체의 동의를 받아야 한다. 개인정보주체에게  ▲동의의 내용 ▲동의를 거부할 권리가 있다는 사실 ▲동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용을 구체적으로 알려야 한다. 동의를 받았더라도 이러한 내용을 정확히 제공하지 않은 채 받은 것이라면 그 효력이 부정될 수 있다.

개인정보를 관리하는 것도 중요하다. 기술의 발달로 개인의 성명, 주민등록번호, 주소 등을 암호화 처리할 수 있으며, 제3자에게 제공할 때도 마찬가지이다. 그럼에도 불구하고 개인정보 유출의 위험은 항상 존재한다. 개인정보에 대한 2중, 3중의 암호화 작업은 물론 정보접근권한의 제한이 필요하지만 상당수 회사가 이러한 절차를 도외시 한다.

개인정보 유출 등 사고가 발생하면 형사상 고소는 물론 민사상 손해배상 청구를 당할 수 있다. 개인정보 유출 사고는 그 특성상 수천, 수만 명의 피해자를 양산하므로 회사 입장에서는 상당한 경제적 손실을 감수해야 한다. 지금이라도 개인정보 관리에 고민을 해야 할 이유이다.

▶▶ ▶ 고영상 변호사는...

■ 학 력
  고려대학교 졸업

■ 경 력
  전) 국회비서관
  전) 문재인대통령후보 선거캠프 부대변인

  현) 엔케이법률사무소 대표변호사
  현) 중소기업기술정보진흥원 평가위원
  현) 더불어민주당 법률위원회 자문위원
  현) 수서경찰서 민원상담센터 자문변호사
  현) 가천대학교 산학협력단, 동작구청, 동작구의사회 자문변호사
  현) 사단법인 대한한방해외의료봉사단(KOMSTA) 감사

<칼럼-고영상 변호사, 정리-정성화 기자>