개인정보 가명처리 정지 소송 승소! (vs. SKT 1심)

2023.1.19, 법원은 SK텔레콤(SKT) 가입자들이 통신사를 상대로 개인정보 가명처리 정지를 요구하며 제기한 소송에서 원고 승소 판결을 하였습니다. 법원이 가입자들의 손을 들어준 것이죠, 내 개인정보를 가명처리한 내역을 열람하게 해달라, 내 개인정보를 과학적 연구 목적으로 가명처리하지 말아달라(처리정지권)는 이용자의 당연한 요구를 거부한 SKT 와의 소송에서 법원이 이용자의 권리를 인정한 판결을 내렸습니다.

[box type=”info”]

가명정보란?

개인을 식별할 수 있는 정보를 일부 제거해서 그 자체로는 개인 식별이 불가능하지만, 다른 정보과 결합해서 개인 식별이 가능한 정보를 가명정보라고 한다. 가명처리된 정보를 어디까지 이용할 수 있느냐가 가장 중요한 이슈다. 정부는 가명 처리를 하면, 기업의 내부적인 R&D 등 신상품 개발을 위해서도 가명정보를 활용할 수 있다고 말하고, 반면에 우리(시민사회단체)는 학술연구나 통계의 목적으로 가명정보 이용을 제한해야 한다고 말한다. 기업이 학술연구를 상업적으로 활용할 수는 있지만, 사적인 목적을 위해서는 개인정보주체의 이익을 희생할 수 없고, 그럴 그럴 이유도 없다. (오병일, ‘진보넷 20년, 디지털 봉건주의를 넘어서’ 중에서)

유럽(GDPR)은 가명정보를 정의하고 있지 않으며, 유럽기본권청이 발간한 ‘유럽의 개인정보 보호법률 핸드북’에서는 유럽 법률에는 ‘가명정보(pseudonymised data)’라는 개념이 없다고 설명한다. 즉, 유럽에서는 가명정보라는 특정한 상태나 그 방법이 정해져있는 것이 아니라, 개인정보 침해 위험을 줄이기 위한 암호처리 등 여러 ‘안전조치’의 하나로서 가명처리를 인식하고 있으며 다양한 방식과 수준의 가명처리가 가능하다고 보고 있다. (진보넷, 대한민국 발명품 ‘가명정보’, 그것이 문제로다 중에서)

[/box]

지난한 싸움의 기록

위의 소송의 맥락은 2020년 9월로 거슬러 올라갑니다. 진보넷을 비롯한 시민사회가 SKT에 ‘개인정보 가명처리’ 관련 열람청구와 처리정지를 함께 요구했었지요. 그러나 SKT는 이미 가명처리된 정보에 대해서는 ‘개인정보보호법’ 제28조의2, 28조의 7을 근거로 개인정보 열람 및 처리정지권이 제한된다며 이에 응하지 않았습니다. 이에 소송을 제기하였고, 지난 19일, 법원 판결이 나온 겁니다.

판결에서 법원은 “정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구할 수 있다.”고 규정한 ‘개인정보보호법’ 제37조 제1항에 근거하여 정보주체가 ‘개인정보의 가명처리’ 정지를 요구할 수 있음을 확인해 준 것입니다.

당시, 통신 3사 모두 이용자의 열람 및 처리정지 요구를 거부했습니다. 정보주체의 열람청구권, 처리정지권은 가장 기본적인 정보주체의 법적 권리인데 말이죠. 이용자의 권리 구제를 위한 절차가 제대로 작동하고 있는지 살펴보기 위해 개인정보 분쟁조정신청(KT), 개인정보 침해신고(LGU+), 그리고 소송(SKT)을 제기했습니다(2021년 초). 그리고 2021년 4월, 개인정보분쟁조정위원회는 이용자의 손을 들어주었고, KT는 이를 수용했습니다.

이제 더는 정보주체 동의 없는 개인정보의 무분별한 가명처리는 할 수 없다. (2021. 4.)

LGU+에 대한 침해신고와 관련해서는 한국인터넷진흥원(KISA)이 담당하고 있는 개인정보침해 신고센터에서 2022년 7월 답변이 도착했는데, 1년 넘게 시간을 끌었을 뿐만 아니라 구제조치를 제대로 취하지 않았습니다. 앞서 KT와 관련한 분쟁조정위원회의 결정도 있었고, 개인정보보호위원회의 해설서에서도 가명정보가 아닌 개인정보의 가명처리에 대한 처리정지권을 인정하고 있음에도 불구하고, 개인정보침해 신고센터는 LGU+에 대해 이용자의 권리를 보호하라는 결정을 내리지 않았습니다. 시간만 끌고, 오히려 다른 구제절차를 활용할 기회를 놓친 꼴입니다.

지금까지도 곳곳에서 가입자 권리 구제절차로 알려진 ‘개인정보침해신고센터’가 유명무실하다는 불만이 들려옵니다. 개인정보침해신고센터의 제 역할을 할 수 있도록 개인정보위원회의 철저한 감독이 필요해 보입니다.