[비즈니스포스트] 지난 7월29일 서울 송파구 한국광고문화회관. 개인정보보호위원회 주최로 '개인정보 처리 통합 안내서(이하 안내서) 설명회'가 열렸는데, 행사장은 물론이고 복도와 계단까지 참석자들로 붐볐다.

한 참석자는 후일 비즈니스포스트와 만나 "예정된 시간보다 일찍 도착했는데도 이미 설명회장은 꽉 찼고 복도까지 북적였다"며 "얼추 참석자가 500명을 넘어 보였다"고 당시 상황을 전했다.

개인정보보호위 관계자는 "300명을 넘지 않을 것으로 예상해 의자를 준비했는데 500명 넘게 왔다"고 밝혔다. 이 관계자는 "설명회 영상을 찍어 유튜브에 올리겠다고 사전 공지했는데도 직접 듣겠다고 몰려왔다. 지방에서 온 분들도 많았다"고 덧붙였다.

개인정보보호위 다른 관계자는 "개인정보보호법 개정으로 바뀐 부분이 많고, SK텔레콤이 사상 최악 수준 해킹 및 개인정보 유출 사태를 일으켜 역대 최대 규모의 과징금을 부과받을 것으로 전망되면서 개인정보에 대한 관심이 커진 것 같다"며 "지역 순회 설명회를 해달라는 요청까지 있었다"고 밝혔다.

안내서엔 개인정보 처리 현장에서 숙지하고 지켜야 할 사항들이 담겼다. 앞서 개인정보보호위는 7월14일 안내서 설명회 개최 일정을 언론을 통해 알리며 "2023년 개인정보보호법 개정 이후 그동안 시기별로 수차례 나눠 안내했던 개정 사항들을 체계적으로 정리하고, 판례와 심결 사례 등을 추가해 통합본을 마련했다"고 설명했다.

개인정보보호위는 안내서를 누리집에 올리고, 설명회를 영상으로 찍어 유튜브를 통해 공개하겠다고 사전 공지했다. 굳이 무더운 날씨를 무릅쓰며 설명회장까지 걸음할 필요가 없었다. 하지만 멀리 지역에서까지 몰려왔다.

이유가 뭘까.

물론 대다수는 'SK텔레콤 개인정보 유출 건으로 경영진 관심이 크니 일단 가서 들어보라'는 상사의 성화에 떠밀려서 왔다. 하지만 개인정보 처리 담당자로써 진짜 궁금한 게 많아 참석한 경우도 많았다.   

이 날 설명회장을 찾은 한 통신사 CR실 직원은 후일 비즈니스포스트와 만나 "개인정보보호법은 물론 안내서에도 관점과 처지에 따라 자의적인 해석이 가능한 조항들이 많다. 개인정보보호위 담당자들의 설명을 들어보고, 부족한 부분에 대해서는 질문도 하기 위해 참석했다"며 "현장에서 만난 다른 참석자 중에도 같은 얘기를 하는 사람들이 많았다"고 말했다.

실제로 개인정보보호법은 물론 안내서에도 관점에 따라 다르게 해석될 수 있는 문구가 다수 포함돼 있다.

'서비스 이용 계약을 체결하거나 이행하기 위해 필요한 개인정보는 정보주체가 충분히 예측 가능한 범위 안에 있으므로 별도로 동의를 요구할 필요가 없다.'

'2023년 시행령 개정으로 당초 개인정보를 수집한 목적과 합리적으로 관련되는 범위 안에서 개인정보를 추가적으로 이용하거나 제공하려는 경우, 그 이용 또는 제공이 지속적인 경우에는 개인정보 처리 방침에 판단기준을 미리 공개해야 하지만, 일시적인 경우에는 별도의 공개 없이 자체 판단 기준에 따라 추가적 이용 및 제공이 가능하다.'

모두 안내서에 담긴 설명 내용인데, '충분히 예측 가능한 범위'와 '합리적으로 관련되는 범위'가 어디까지를 말하는 것인지 애매하다.

개인정보 처리 담당자 쪽에서 보면, 정보주체가 예측 가능한 범위가 어디까지인지, 당초 개인정보를 수집한 목적과 합리적으로 관련되는 범위는 또 어디까지를 말하는 것인지 답답할 수밖에 없다.

개인정보보호위 관계자는 이와 관련해 "법에 '합리적인 범위'라는 문구가 있어 안내서에도 그냥 쓰고 있다"고 밝혔다.

실제로 개인정보보호법 제15조(개인정보의 수집.이용)를 보면, '불가피한 경우'와 '합리적인 범위를 초과하지 아니하는 경우' 등 자의적 해석이 가능한 대목이 수두룩하다. '법령상 의무를 준수하기 위하여 불가피한 경우', '소관 업무의 수행을 위해 불가피한 경우', '필요하다고 인정되는 경우', '긴급히 필요한 경우', '정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우' 식이다.

개인정보 처리 담당자 쪽에서 보면, 일이 벌어졌을 때 정보주체나 수사기관에 의해 되치기를 당할 수도 있다. 합리적이고, 불가피하고, 긴급하지 않다는 판단이 내려지는 순간 법을 어긴 것으로 간주될 수 있다.

한 기업의 개인정보 처리 담당자는 이와 관련해 "회사는 충분히 예측 가능하고 합리적인 범위에 든다고 볼 수 있으니 그냥 진행하자고 하고, 나중에 정보주체는 당신들 마음대로 예측 가능하고 합리적으로 관련된다고 판단해 동의를 받지 않아 내 개인정보를 침해했으니 책임지라며 법적 시비를 거는 상황이 발생할 수도 있다"고 말했다.

잘못 접근된 규제 손질 결과란 지적이 나온다.

정부가 시장 성장과 기술 발전 흐름 등을 반영해 규제를 정비할 때는, 엄밀한 분석과 평가를 거쳐 잘못됐거나 필요없게 됐다고 판단되는 규제는 과감히 없애되, 꼭 필요한 것은 누구나 직관적으로 이해하고 따를 수 있도록 명시화·정교화·수치화해야 한다.

하지만 실제로는 '산업 육성을 위해 필요해서' 혹은 '기업의 어려움 해소를 위해' 등을 명분으로 규제 기준과 강도를 전반적으로 허물어트리는 경우가 많다. 이런 경우일수록 '규제혁신' 내지 '규제혁파' 구호가 난무한다.

꼭 필요한 규제인데 규제 완화 실적을 만들기 위해 손대다 보니, 어쩔 수 없이 어정쩡하거나 두루뭉술한 문구를 사용할 수밖에 없다. 현장 어려움을 덜어준다거나 산업 육성을 위해 필요하다는 명분으로 실제로는 기업들의 민원을 들어주는 경우도 많다.

이재명 정부가 AI 규제를 놓고 '선 진흥 후 규제'를 외치자, 시민단체 쪽에서 '구태'라는 지적이 나오는 것도 같은 맥락이다.

한 정보인권단체 활동가는 이와 관련해 "현장 목소리를 들어주는 게 아니다. 기업 쪽에서는 그만큼 불확실성이 커지는 셈이다. 느슨해진 규제 강도에 맞춰 서비스 내용과 절차 등을 세팅했는데, 어떤 계기로 규제 강도와 기준이 다시 강화되면 다 갈아엎어야 한다. 졸지에 범법자로 전락할 수도 있다"고 짚었다.

이 활동가는 "특히 국가기관 내지 공무원의 자의적 해석과 개입 가능성이 커지는 점을 주목해야 한다"며 "혹독한 대가를 치를 수도 있다"고 경고하기도 했다. 

같은 맥락에서 개인정보보호법 시행령의 과징금 산정기준을 놓고도 뒷 말이 나온다. 기준 금액 산정 잣대와 고려 요소부터 사실상 3차에 걸친 가중·감경 절차까지, 개인정보보호위 개입 여지가 너무 많다는 것이다.

고학수 개인정보보호위원장은 SK텔레콤 개인정보 유출 과징금 규모에 대해 "법대로 하겠다"고 거듭 천명해왔다. 하지만 '법대로' 하면 SK텔레콤에 대한 과징금이 적게는 수백억원에서 많게는 수천억원까지 부과될 수 있다. 위반 행위가 매우 중대하냐 약하냐(4단계)에 따라 기준 금액에서 이미 3천억원 가까운 차이가 나고, 이후 두 차례에 걸친 가중·감경에 이어 추가 감경 절차까지 거치는 과정에서 다시 수천억원이 왔다갔다 할 수 있다.

그만큼 결정하는 쪽의 개입 여지가 많고, 부과받는 쪽은 불확실성이 커진다. '사고를 친' 쪽이 어떻게든 개인정보보호위와 '딜'과 '합의'를 잘 해보려고 애쓸 수밖에 없게 만드는 구조라고 볼 수 있다.

유영상 SK텔레콤 사장이 고학수 개인정보보호위원장을 몰래 찾아가 만난 게 비즈니스포스트 보도로 들통나 '부적절한 만남' 논란을 빚은 것도 같은 맥락으로 볼 수 있다.

대형 법무법인 좋은 일 시키는 것이란 지적도 나온다. SK텔레콤은 국내 5대 법무법인 가운데 두 곳과 법률 대리인 계약을 맺고 개인정보보호위 과징금 제재에 대응하고 있다.

최태원 SK그룹 회장은 취임 초기 기자를 만나 "우리나라 재벌이 왜 기형적 구조를 갖게 된 줄 아느냐. 정부가 대기업 규제 법을 만들며 틈을 둬서다. 허술한 틈을 빠져나가려다 보니 기형적 모습을 할 수밖에 없다. 법의 허술함을 활용하지 않으면 배임으로 몰리니 어쩌겠냐"고 말한 바 있다.

당시 최 회장은 "룰을 빈틈없이 만들고 예외없이 집행하면 기업들은 그에 맞춰 사업을 추진하게 돼 있다"며 "어쭙잖게 기업을 도운답시고 규제에 틈을 두니 부작용이 생기는 것"이라고 짚기도 했다. 김재섭 선임기자