개인정보위가 추진하는 이번 시행령 개정안은 ‘본인정보 전송 요구권’을 전 산업으로 확대하는 것이 핵심이다. △연매출 1500억 원 이상 △정보 주체 100만 명 이상의 대·중견기업 및 공공기관 등 정보 전송자는 정보 주체(본인)가 요구하는 개인정보를 홈페이지에서 암호화 형태로 전송(다운로드)받을 수 있도록 했다.
규개위는 이 중 정보 전송자 기준을 ‘연매출 1500억 원 이상’에서 ‘1800억 원 초과’로 상향 조정하고, 시행 시점도 공포 후 1년이 지나도록 유예할 것을 권고했다. 지난해 2024년 1차 개정안에서 통신·의료 분야만 우선 시행하라고 했던 것과 달리, 이번에는 유예 기간만 두고 전 산업 확대 방침 자체에는 사실상 동의한 셈이다.
또한 규개위는 당초 산업계가 우려한 쟁점인 ‘영업비밀 유출 우려’에 대해서는 개정안에서 이미 “영업비밀 정보를 정보 전송 범위에서 제외하고 있다”며 원안 동의했다.
다만 또 다른 쟁점 조항들에 대해서는 일부 권고가 제기됐다. 정보 주체의 권리를 위임받은 ‘대리인’이 정보 ‘전송’을 넘어 ‘저장’하는 행위는 위임 범위를 벗어나므로 허용되지 않음을 명확히 하고, 정보 전송자 입장에서 전송을 거부할 수 있는 ‘정당한 사유’에 대한 판단 기준도 구체화할 것을 권고했다.
보안 우려가 제기돼 온 ‘스크래핑(데이터 자동 추출)’ 허용 여부 역시 논란이 컸던 부분이다. 규개위는 정보 전송자와 대리인이 사전에 협의한 자동화 도구를 활용하는 방식이라면 스크래핑이 불가피하다고 인정했지만, ‘사전 협의 방식’의 구체적 기준을 마련하라고 조건을 달았다. 사실상 스크래핑을 금지하진 않되 관리 장치를 두라는 취지다.
아울러 정보 전송자에게 발생하는 비용 부담을 고려해, 본인 전송 요구권에 대한 과금(수수료) 체계를 빠르게 마련하라는 권고도 포함됐다.
◇전 산업 확대 신호탄…산업계 “현장선 분쟁 불가피”
전문가들은 정보 전송 요구권의 전 산업 확대라는 개정안 취지가 받아들여진 만큼 후속 절차를 거쳐 시행령이 본격 시행되는 신호탄으로 보고 있다.
최경진 가천대 법과대학 교수는 “규개위가 시민사회 등이 우려하던 부분을 불식할 수 있는 조치를 하라는 조건을 달았지만, 결국은 전 산업에 확대하도록 해줬기 때문에 개인정보위에 힘을 실어준 것으로 해석된다”며 “다만 정보 주체의 개인정보 주도권을 강화하자는 도입 취지를 봤을 때, 과연 정보 주체에게 어떤 이익이 있는지 명확하지 않다는 아쉬움이 여전히 있다”고 평가했다.
개인정보위 관계자는 “규개위 권고를 반영한 수정안을 마련해 법제처 심사와 국무회의 의결 등 남은 절차를 거칠 예정”이라며 “최종 공포 시점은 2~3월로 예상하고 있다”고 밝혔다.
그러나 산업계에선 제도 시행과 별개로 실제 현장에서 적용되는 과정에서 잡음이 불가피할 것으로 우려하고 있다. ‘정당한 사유’와 ‘사전협의 방식’, 과금 체계 등 구체적인 기준을 마련해야 하는 과제가 남은 만큼 후속 조치가 관건이라는 지적이다.
권세화 한국인터넷기업협회 실장은 “정보 전송 요구권 자체가 본인 정보를 ‘전송’하라는 것인데, 그게 단지 위임받았다는 이유로 대리인의 스크래핑까지 허용하는 근거는 아니다”며 “사업자 입장에선 정보 전송에 따른 기술과 비용을 고려해야 하니 기준을 둔다 해도 사전협의가 쉽지 않을 것”이라고 주장했다.
영업비밀 유출 우려도 유통 업계를 중심으로 여전하다. 한 업계 관계자는 “영업비밀의 범위가 여전히 모호하다”며 “개인이 다운로드받은 본인 정보라도 대리인에게 한꺼번에 모이는 순간 영업비밀이 될 수 있다”고 설명했다. 이어 “실제 오픈마켓 판매 정보를 영업비밀로 인정한 판례도 있는 만큼, 제도 시행 후 법적 분쟁 가능성은 충분히 있다”고 덧붙였다.
