개인정보보호위원회
심의ㆍ의결
제2021-002-041호
「신용정보의 이용 및 보호에 관한 법령」 개선권고에 관한 건
의결일: 2021년 1월 27일
요지
안건번호 : 제2021-002-041호
안건명 : 「신용정보의 이용 및 보호에 관한 법령」 개선권고에 관한 건
의결연월일 : 2021. 1. 27.
안건명 : 「신용정보의 이용 및 보호에 관한 법령」 개선권고에 관한 건
의결연월일 : 2021. 1. 27.
주문
신용정보의 이용 및 보호에 관한 법령상 본인신용정보관리회사가 영업을 위해 통합ㆍ제공할 수 있는 신용정보의 범위에 '주문내역정보’가 포함됨으로써, 개인신용정보의 오용ㆍ남용으로부터 사생활의 비밀을 보호하고 헌법상 기본권인 개인정보 자기결정권을 보장하는데 있어 간과하기 어려운 위험을 초래할 우려가 있고, 개인정보 보호 관련 법령 간 적용 관계와 관할 감독기구에 관한 수범자의 혼란을 초래할 우려가 있어, 「개인정보 보호법」 제7조의9 제1항 제3호 및 제4항에 따라 금융위원회에 다음과 같이 법령 등을 개선할 것을 권고한다.
가. 「신용정보의 이용 및 보호에 관한 법률 시행령」 [별표 1]에 따른 주문내역정보의 범위를 신용판단에 객관적으로 필요하고 신용정보주체의 신용관리에 요구되는 최소한의 정보로 제한하고, 본인신용정보관리회사가 최소 수집 및 목적 명확성의 원칙 등 개인정보 보호 원칙을 준수하여 개인정보 침해를 방지할 수 있도록 법령 등을 정비할 것
나. 일반법인 「개인정보 보호법」과 특별법인 「신용정보의 이용 및 보호에 관한 법률」 간 적용 규정과 감독기구에 관한 수범자 혼란 해소를 위해신용정보의 이용 및 보호에 관한 법령에 따른 개인신용정보와 수범대상 및 감독의 범위를 일반법인 「개인정보 보호법」과 달리 규정할 필요가 있는 부분으로 한정하도록 관련 규정 등을 정비할 것
다. 개인정보 처리를 수반하는 규정이 포함된 「신용정보의 이용 및 보호에 관한 법률 시행령」 개정 과정에서 개인정보 침해요인 평가 절차를 누락한 하자를 치유할 방안을 강구할 것
가. 「신용정보의 이용 및 보호에 관한 법률 시행령」 [별표 1]에 따른 주문내역정보의 범위를 신용판단에 객관적으로 필요하고 신용정보주체의 신용관리에 요구되는 최소한의 정보로 제한하고, 본인신용정보관리회사가 최소 수집 및 목적 명확성의 원칙 등 개인정보 보호 원칙을 준수하여 개인정보 침해를 방지할 수 있도록 법령 등을 정비할 것
나. 일반법인 「개인정보 보호법」과 특별법인 「신용정보의 이용 및 보호에 관한 법률」 간 적용 규정과 감독기구에 관한 수범자 혼란 해소를 위해신용정보의 이용 및 보호에 관한 법령에 따른 개인신용정보와 수범대상 및 감독의 범위를 일반법인 「개인정보 보호법」과 달리 규정할 필요가 있는 부분으로 한정하도록 관련 규정 등을 정비할 것
다. 개인정보 처리를 수반하는 규정이 포함된 「신용정보의 이용 및 보호에 관한 법률 시행령」 개정 과정에서 개인정보 침해요인 평가 절차를 누락한 하자를 치유할 방안을 강구할 것
이유
별지와 같다.
이상과 같은 이유로 주문과 같이 의결한다.
<img src="/LSW/flDownload.do?flSeq=151176761" alt="1번째 이미지"></img>
1. 제안이유
가. 검토배경
개인신용정보의 전송요구권 도입 등을 내용으로 하는 「신용정보의 이용 및 보호에 관한 법률(이하 '신용정보법’이라 한다)」 및 같은 법 시행령('21.2.4. 시행)과 관련하여, 개인신용정보의 범위가 지나치게 확대되고 전송요구 대상 정보에 주문내역정보가 포함된 것에 대해 여러 가지 문제가 제기되고 있다.
나. 신용정보법 시행 관련 문제 제기
한국소비자연맹과 진보네트워크 등 소비자ㆍ시민단체는 '주문내역정보는 개인신용정보에 해당하지 않을 뿐만 아니라, 호텔 등 숙박, 여행, 취미생활, 콘텐츠 구매 등 개인이 민감하게 생각하는 정보까지 마이데이터 사업을 위해 제공되어 개인정보 침해 우려가 크고, 범주화 등 가명처리한 형태로 제공된다고 해도 시계열로 축적해서 이용될 가능성을 고려하면 사생활 침해 우려는 달라지지 않는다’는 의견이다('20.9.1.).
또한, 사업자 단체인 (사)한국인터넷기업협회와 (사)코리아스타트업포럼은 전송요구 대상 정보에 주문내역정보가 포함된 데 대해, ①신용정보의 범위가 지나치게 확장되어 「개인정보 보호법(이하 ’보호법'이라 한다)」과 신용정보법 간 적용 관계 및 감독부처 혼란 문제가 있고, ②입법예고에 없던 내용을 재입법예고 없이 추가한 것이어서 절차적으로 중대한 하자가 있으며, ③신용정보법 제2조 제1호는 신용정보를 '신용을 판단할 때 필요한 정보’로 규정하고 있음에도, 시행령에 '의류ㆍ운동화 상품명ㆍ사이즈, 배송지’와 같이 신용판단에 필요하지 않은 정보까지 추가한 것은 신용정보를 신용판단에 기여할 수 있는 모든 정보로 확대해석한 것으로 중대한 내용적 하자라는 의견을 제시하며, 이에 대해 보호법을 소관하는 개인정보 보호위원회(이하 '개인정보위’라 한다) 의견을 요청하였다('20.12.29.).
개인정보 보호 관련 학계에서도 일반법ㆍ기본법으로서의 「개인정보 보호법」 위상 정립과 개인정보 보호 관련 법령간 체계 정합성 제고를 위해 특별법으로 규율하는 범위를 필요 최소한으로 제한하여야 한다는 의견을 제시하고 있다.(각주:권건보(2014), 김일환(2018), 김현경(2020), 이인호(2016) 등) 다. 개인정보위의 권한과 책무
보호법 제7조의9 제1항 제3호는 “개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항”을 개인정보위의 심의ㆍ의결 사항으로, 같은 조 제4항은 “제1항 제3호의 사항을 심의ㆍ의결한 경우에는 관계기관에 그 개선을 권고할 수 있다.”라고, 같은 조 제5항은 “제4항에 따른 권고 내용의 이행 여부를 점검할 수 있다.”라고 규정하고 있다.
이러한 규정에 따라 개인정보위는 특별법에 의해 규율되는 개인정보 보호 사항이더라도 보호법이 규정하는 최소 수집의 원칙, 목적 명확성의 원칙 등 핵심 가치들이 준수되도록, 법ㆍ제도의 개선을 이끌어 내는 책무와 권한을 부여받고 있다.
라. 검토 대상 법령
개인신용정보의 범위와 관련하여, 신용정보법 제2조 제1호 및 제2호는 신용정보와 개인신용정보를 각각 정의하고 있고, 같은 조 제1의3 마목은 신용정보의 유형 중 하나로 “상법 제46조에 따른 상행위에 따른 상거래의 종류, 기간, 내용, 조건 등에 관한 정보”를 규정하고 있다.
전송요구의 대상이 되는 개인신용정보와 관련하여, 신용정보법 시행령 [별표 1]은 주문내역정보 등을 규정하고 있다.
2. 검토
가. 주문내역정보가 전송요구 대상 개인신용정보로 적절한지 여부
1) 개인신용정보 전송요구 제도의 원칙
우리나라 개인정보 보호의 일반법인 보호법은 제3조에서 개인정보처리자는 개인정보의 처리 목적을 명확히 하고(목적 명확성의 원칙), 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하도록 하고(최소 수집의 원칙), 처리 목적에 필요한 범위에서 적합하게 처리(목적 제한의 원칙)하도록 하는 등의 개인정보 보호 원칙을 제시하고 있다.
신용정보법 제1조는 신용정보 관련 산업을 건전하게 육성하면서 신용정보의 오ㆍ남용으로부터 사생활의 비밀 등을 보호함을 목적으로 명시하고 있고, 같은 법 제15조는 신용정보회사등은 “업무 범위에서 수집 및 처리의 목적을 명확히 하여야 하며, 이 법 및 개인정보 보호법 제3조 제1항 및 제2항에 따라 그 목적 달성에 필요한 최소한의 범위에서 합리적이고 공정한 수단을 사용하여 신용정보를 수집 및 처리”하도록 규정하고 있다.
이와 같은 원칙은 정보주체의 개인정보 통제권을 강화하려는 개인신용정보 전송요구 제도에 있어서도 반드시 준수해야 할 개인정보 보호 기본원칙이자 엄연한 실정법상 의무이다.
2) 주문내역정보의 전송요구 대상 적절성 여부
신용정보법 제33조의2 제2항의 위임에 따라 마련된 신용정보법 시행령 [별표 1]은 전송요구 대상 개인신용정보로 주문내역정보 등을 규정하고 있다. 주문내역정보가 전송요구 대상인 개인신용정보로 적절하기 위해서는 첫째, 개인신용정보에 해당하여야 하고, 둘째, 신용정보법 제1조의 목적에 비추어 신용정보 산업 진흥과 사생활의 비밀 보호를 고려한 결과여야 하며, 셋째, 본인신용정보관리회사가 신용정보법 제15조에 따른 최소 수집의 원칙 등을 준수하여 처리할 수 있도록 규정되어야 한다. 그런데 전송요구 대상 개인신용정보에 모든 주문내역정보를 포함시키고 있는 것은 다음과 같은 이유에서 부적절하다고 판단된다.
첫째, 신용정보법 제2조 제1호 및 제2호에 따르면, 개인신용정보는 '살아있는 개인인 신용정보주체의 신용을 판단할 때 필요한 정보’이다. 그런데 무슨 상품을, 얼마의 수량과 가격으로, 어느 판매자에게, 어떤 방법으로, 언제 주문하였는지 등과 관련된 '주문내역정보’가 신용을 판단할 때 어떻게 필요한지 명확하게 알려진 바가 없고, 가까운 시일 내에 특정 신용정보주체의 신용판단을 위해 활용될 것이라는 것도 확정하기 어렵다.(각주:국가인권위원회는 주문내역정보는 원칙적으로 신용정보에 해당한다고 보기 어려우므로 신용정보법 시행령 제2조 제22항, 제23항 및 같은 시행령 [별표 1] 본인신용정보관리업에 관한 신용정보의 범위 중에서 주문내역정보를 삭제할 것을 권고한 바 있다(’20.12.17.).) 또한, 주문내역정보의 구체적인 품목 대신 이를 범주화하는 방안(예 : 음식료, 농축수산물→식품 등)이 논의 중인 것으로 알려져 있으나, 일부의 우려와 같이 지속적으로 개인신용정보주체의 데이터가 축적되는 경우를 고려한다면 품목의 범주화가 사생활 침해를 줄일 수 있다고 단정할 수 없다. 또한, 문제의 본질이 주문내역정보가 개인신용정보에 해당하는지 여부인 점을 고려한다면 주문내역정보의 범주화는 신용판단과 더욱 관련성이 높아진다고도 할 수 없을 것이다.
일부에서는 주문내역정보가 신용판단에 활용될 가능성이 있고 신용정보법 제2조 제1호의3에 규정된 '「상법」 제46조의 상행위에 따른 상거래의 종류, 기간, 내용, 조건 등에 관한 정보’ 중 하나이므로 모두 개인신용정보로 볼 수 있어 법 체계상 문제가 없다고 주장한다. 그러나 이와 같은 주장에는 신용정보는 신용정보제공ㆍ이용자의 객관적인 신용판단과 관련된 정보임을 간과한 것은 아닌지, 법문에만 치우쳐 개인정보 보호 관련 법령 간 정합성을 고려하지 않은 것은 아닌지 우려가 제기되고 있다.
둘째, 전송요구 대상 정보의 범위도 신용정보 산업 진흥과 사생활의 비밀 보호 등을 고려해서 정해야 한다. 그런데 신용정보법 시행령 [별표 1]은 신용판단에 필요성 여부가 확인되지도 않았고 사생활과 관련되어 알리고 싶지 않은 주문내역정보 모두를 전송요구 대상 정보로 규정하고 있다.
이와 같은 규정은 주문내역정보가 과연 신용판단에 얼마나 기여하는지, 또 사생활 침해 가능성은 얼마나 되는지, 나아가 우리 사회에 필요한 신용판단 수준을 고려하였는지 등 보다 본질적인 사항을 반영하여 정해져야 할 것이다.
또한, 신용정보 관련 산업 진흥과 사생활의 비밀 보호 모두를 고려하기 위해서는 본인신용정보관리업자 뿐만 아니라 정보주체의 권리나 이익에 어떻게 도움이 되는지 충분한 의견 수렴이 되어야 할 것이다. 그런데 소비자ㆍ시민단체가 주문내역정보는 신용평가를 위해 왜 필요한지, 마이데이터 사업자에게 제공하도록 규정한 이유는 무엇인지를 밝히도록 촉구하고 있어(각주:한국소비자연맹, 경제정의실천시민연합, 민주사회를 위한 변호사모임 디지털정보위원회, 서울YMCA 시청자시민운동본부, 소비자시민모임, 진보네트워크, 참여연대는 공동성명서를 통해 소비자가 “무엇을, 언제, 얼마에 샀는지”가 개인의 신용평가를 위해 왜 필요한지 또 소비자가 그 정보를 마이데이터 사업자에게 제공하도록 규정한 이유에 대하여 명확하게 해명해야 할 것이라고 하면서, 소비자의 주문내역정보가 마이데이터 사업자에게 제공되는 것을 중단하도록 촉구(’20.9.8.)한 바가 있다.) 신용정보법 시행령의 개정 과정에서 의견수렴이 충분하지 못했음을 보여주고 있다.
셋째, 신용정보회사등이 신용정보법 제15조에 따른 최소 수집의 원칙 등을 준수하도록 하여야 한다. 그런데 신용정보법 시행령 [별표 1]은 신용판단에 필요한지 여부가 객관적으로 검증되지 않은 주문내역정보 모두를 개인신용정보로서 전송요구대상으로 규정하여, 정보주체가 동의만 하면 수집할 수 있도록 하였다. 이는 본인신용정보관리업이나 신용정보주체의 신용관리를 위해 필요한 최소한의 정보를 규율한 것인지 명확하지 않은 부분이다.
더욱이, 주문내역정보를 개인신용정보로 명시함에 따라, 주문내역정보를 신용정보법 제32조 제6항에 따라 정보주체의 동의 없이 채권추심 목적으로 제공될 수도 있게 되었다. 이는 개인인 신용정보주체가 주문내역정보를 전송하면 제공받은 신용정보제공ㆍ이용자는 정보주체도 모르게 주문내역정보를 채권추심 목적으로 처리할 수도 있다는 점에서 개인정보 보호 원칙인 최소 수집의 원칙, 목적 명확성의 원칙, 목적 제한의 원칙 등과 충돌할 소지가 있다.
나. 개인정보 보호 법령 간의 정합성 문제
1) 보호법과 신용정보법의 취지 및 법령 간 관계
정부는 보호법, 신용정보법 및 「정보통신망 이용촉진 및 보호 등에 관한 법률(이하 '정보통신망법’이라 한다)」 개정('20.2.)을 통해 개인정보 감독기구 및 관련 법령 간 유사중복 규정을 각각 개인정보위와 보호법으로 일원화하여 수범자 혼란을 해소하고자 하였다. 그러나 신용정보법은 금융기관 규율의 특수성을 고려하여 특별법으로 존치시킴으로써 일반법인 보호법을 보완하도록 하였다.
이와 같은 일반법과 특별법 체계에서 법령 간 중복, 혼란, 불일치 및 사각지대가 발생하지 않도록 정합성을 유지하기 위해서는 특별법의 규정이 일반법의 기본이념과 원칙에 위배되어서는 아니 되고, 위배될 경우 그 원칙에 부합하는 방향으로 개정 또는 해석되어야 한다. 따라서 신용정보법의 개인신용정보 관련 규정은 보호법의 기본원칙에 부합하여야 할 것이다.
2) 개인신용정보의 범위 확대와 문제점
신용정보법 제2조 제1호 및 제2호에 따르면, 개인신용정보는 '살아 있는 개인인 신용정보주체의 신용을 판단할 때 필요한 정보’이다. 이때 판단에 '필요한’의 해석은 헌법 제37조 제2항의 '필요한’의 해석처럼 다양한 이익의 형량을 통한 비례의 원칙이 적용되어야 한다.
그런데 신용정보법 제2조 제1의3은 신용정보의 범위에 「상법」 제46조의 상행위에 따른 상거래의 종류, 기간, 내용, 조건 등에 관한 정보를 포함하여, 사실상 개인의 상거래와 관련된 모든 정보가 개인신용정보로서 신용정보법이 적용되도록 규정하였다. 이로 인해, 특별법이 일반법의 기본원칙을 훼손하는 등 다음과 같은 체계 정합성 문제가 발생할 우려가 있다.
첫째, 개인과 관련된 거의 모든 상거래 정보가 개인신용정보로 포섭됨에 따라 신용정보법의 규율 범위가 확대되었다. 이에 따라, 보호법의 적용 영역이 축소되는 등 보호법 규정이 형해화될 우려가 있다.(각주:김현경은 신용정보법 제2조 제1의3에 따른 '상법 제46조의 상행위에 따른 상거래의 종류, 기간, 내용, 조건 등에 관한 정보’는 신용정보를 지나치게 확대하여 일반법ㆍ기본법으로서 보호법의 지위를 위태롭게 할 수 있으므로 삭제하고, 신용정보의 범위를 신용판단의 기초가 될 수 있는 거래정보로 제한하여야 한다고 한다.(김현경, "개인신용정보의 범위에 대한 비판적 고찰 - 기본적 상행위 거래정보는 모두 개인신용정보인가? -", 이화여자대학교 법학논집 제25권 제2호 통권 72호 (2020. 12), 257-291.)) 둘째, 신용정보의 범위 확대로 보호법과 신용정보법 간 수범자 혼란이 발생할 수 있다. 보호법 수범자인 개인정보처리자가 개인신용정보를 처리하는 경우가 확대되어 준수해야 할 법이 모호해질 수 있는 것이다. 이에 따라, 보호법과 신용정보법 간 유사규정(각주:보호법 제21조에 따른 개인정보의 파기 규정과 신용정보법 제20조의2의 개인신용정보의 보유기간, 보호법 제34조에 따른 개인정보 유출 통지 규정과 신용정보법 제39조의2에 따른 신용정보 누설통지, 보호법 제29조에 따른 안전조치의무와 신용정보법 제19조에 따른 신용정보전산시스템의 안전보호 규정 등은 유사중복규정으로 적용 상 혼란 사례임) 에 대해서는 두 법을 모두 따라야 하는지, 아니면 어느 한 법만 따르면 되는지 혼란이 초래될 수 있다.
셋째, 금융위 등 영역별 소관부처의 감독이 우선시 되어 엄격한 독립성 요건을 갖춘 통합 개인정보 감독기구는 유명무실해지고, 금융기관 업무감독 및 지휘가 목적(각주:금융위원회의 설치 등에 관한 법률 제3조(금융위원회의 설치 및 지위) ① 금융정책, 외국환업무 취급기관의 건전성 감독 및 금융감독에 관한 업무를 수행하게 하기 위하여 국무총리 소속으로 금융위원회를 둔다.) 인 금융위가 개인정보 보호 업무 전반을 담당하게 될 수 있다.
다. 개인정보 침해요인 평가 미이행
보호법 제8조의2는 법령 제정ㆍ개정으로 개인정보 처리를 수반하는 정책이나 제도의 도입ㆍ변경 시 개인정보위에 개인정보 침해요인 평가를 요청하도록 규정하고 있다.
신용정보법 시행령의 경우, 입법예고안에 주문내역 정보가 포함되지 않은 채로 전송요구 대상 정보를 규정하여 개인정보위의 개인정보 침해요인 평가를 통과하였다(’20.5.11.).
이후, 금융위는 법제처 심사 과정에서 전송요구 대상 개인신용정보에 주문내역정보를 추가하여, 신용판단과 관련없는 정보까지 전송요구 대상이 될 수 있도록 하는 등 중대한 내용을 변경하고도 변경된 내용에 대해서는 별도로 개인정보 침해요인 평가를 받지 아니하였다.
이에 따라, 주문내역정보가 전송요구 대상 개인신용정보로 규정되어 개인정보 침해가 발생할 수 있는지, 해당 규정과 일반법인 보호법과의 관계는 적절한지 등에 대해 개인정보위가 면밀한 검토를 하지 못하였다.
이는 개인정보 보호에 관한 사회적 논의에 기여할 중요한 제도적 장치가 작동할 기회가 상실되었음을 의미하므로 개인정보위와 다양한 방식의 협의 등을 통해 이를 치유할 방안을 강구할 필요가 있다.
3. 소결
신용정보법 시행령에 전송요구 대상 정보로 주문내역정보를 포함함에 따라, 사업자단체 및 소비자ㆍ시민단체는 주문내역정보가 개인신용정보인지의 문제에서 더 나아가 신용정보법 적용 범위나 감독기구의 문제까지 제기하고 있다.
일반법인 보호법과 특별법인 신용정보법과의 관계, 유사중복 규정과 감독기구를 일원화하려는 정부의 데이터 3법 개정 취지 등에 비추어 보면, 전송요구 대상 개인신용정보는 명백히 신용판단을 위해 필요한 부분으로 한정하고 그 외에는 보호법으로 규율하도록 할 필요가 있다.
아울러, 신용정보의 범위에 상법 제46조에 따른 상거래 정보가 포함되어 신용정보의 범위가 지나치게 확장되는 등으로 일반법과의 적용관계 및 감독범위 등에 대한 혼란과 문제 제기가 있어, 이를 해소할 필요가 있다.
또한, 향후 개인신용정보 전송요구 제도 운영에 있어서 개인정보 침해요인 평가 누락 등에 따른 개인정보 침해 우려를 대비하여 관계기관 및 이해관계자 등과 협의하는 절차가 필요할 것으로 판단된다.
자칫 주문내역정보 논란을 계기로, 개인정보 자기결정권과 사생활 침해 등이 부각되어 개인정보 보호에 대한 국민의 신뢰를 잃게 된다면 데이터 경제 시대의 핵심인 개인정보 활용에 한계가 있을 수밖에 없을 것이다.
이상과 같은 이유로 주문과 같이 의결한다.
<img src="/LSW/flDownload.do?flSeq=151176761" alt="1번째 이미지"></img>
1. 제안이유
가. 검토배경
개인신용정보의 전송요구권 도입 등을 내용으로 하는 「신용정보의 이용 및 보호에 관한 법률(이하 '신용정보법’이라 한다)」 및 같은 법 시행령('21.2.4. 시행)과 관련하여, 개인신용정보의 범위가 지나치게 확대되고 전송요구 대상 정보에 주문내역정보가 포함된 것에 대해 여러 가지 문제가 제기되고 있다.
나. 신용정보법 시행 관련 문제 제기
한국소비자연맹과 진보네트워크 등 소비자ㆍ시민단체는 '주문내역정보는 개인신용정보에 해당하지 않을 뿐만 아니라, 호텔 등 숙박, 여행, 취미생활, 콘텐츠 구매 등 개인이 민감하게 생각하는 정보까지 마이데이터 사업을 위해 제공되어 개인정보 침해 우려가 크고, 범주화 등 가명처리한 형태로 제공된다고 해도 시계열로 축적해서 이용될 가능성을 고려하면 사생활 침해 우려는 달라지지 않는다’는 의견이다('20.9.1.).
또한, 사업자 단체인 (사)한국인터넷기업협회와 (사)코리아스타트업포럼은 전송요구 대상 정보에 주문내역정보가 포함된 데 대해, ①신용정보의 범위가 지나치게 확장되어 「개인정보 보호법(이하 ’보호법'이라 한다)」과 신용정보법 간 적용 관계 및 감독부처 혼란 문제가 있고, ②입법예고에 없던 내용을 재입법예고 없이 추가한 것이어서 절차적으로 중대한 하자가 있으며, ③신용정보법 제2조 제1호는 신용정보를 '신용을 판단할 때 필요한 정보’로 규정하고 있음에도, 시행령에 '의류ㆍ운동화 상품명ㆍ사이즈, 배송지’와 같이 신용판단에 필요하지 않은 정보까지 추가한 것은 신용정보를 신용판단에 기여할 수 있는 모든 정보로 확대해석한 것으로 중대한 내용적 하자라는 의견을 제시하며, 이에 대해 보호법을 소관하는 개인정보 보호위원회(이하 '개인정보위’라 한다) 의견을 요청하였다('20.12.29.).
개인정보 보호 관련 학계에서도 일반법ㆍ기본법으로서의 「개인정보 보호법」 위상 정립과 개인정보 보호 관련 법령간 체계 정합성 제고를 위해 특별법으로 규율하는 범위를 필요 최소한으로 제한하여야 한다는 의견을 제시하고 있다.(각주:권건보(2014), 김일환(2018), 김현경(2020), 이인호(2016) 등) 다. 개인정보위의 권한과 책무
보호법 제7조의9 제1항 제3호는 “개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항”을 개인정보위의 심의ㆍ의결 사항으로, 같은 조 제4항은 “제1항 제3호의 사항을 심의ㆍ의결한 경우에는 관계기관에 그 개선을 권고할 수 있다.”라고, 같은 조 제5항은 “제4항에 따른 권고 내용의 이행 여부를 점검할 수 있다.”라고 규정하고 있다.
이러한 규정에 따라 개인정보위는 특별법에 의해 규율되는 개인정보 보호 사항이더라도 보호법이 규정하는 최소 수집의 원칙, 목적 명확성의 원칙 등 핵심 가치들이 준수되도록, 법ㆍ제도의 개선을 이끌어 내는 책무와 권한을 부여받고 있다.
라. 검토 대상 법령
개인신용정보의 범위와 관련하여, 신용정보법 제2조 제1호 및 제2호는 신용정보와 개인신용정보를 각각 정의하고 있고, 같은 조 제1의3 마목은 신용정보의 유형 중 하나로 “상법 제46조에 따른 상행위에 따른 상거래의 종류, 기간, 내용, 조건 등에 관한 정보”를 규정하고 있다.
전송요구의 대상이 되는 개인신용정보와 관련하여, 신용정보법 시행령 [별표 1]은 주문내역정보 등을 규정하고 있다.
2. 검토
가. 주문내역정보가 전송요구 대상 개인신용정보로 적절한지 여부
1) 개인신용정보 전송요구 제도의 원칙
우리나라 개인정보 보호의 일반법인 보호법은 제3조에서 개인정보처리자는 개인정보의 처리 목적을 명확히 하고(목적 명확성의 원칙), 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하도록 하고(최소 수집의 원칙), 처리 목적에 필요한 범위에서 적합하게 처리(목적 제한의 원칙)하도록 하는 등의 개인정보 보호 원칙을 제시하고 있다.
신용정보법 제1조는 신용정보 관련 산업을 건전하게 육성하면서 신용정보의 오ㆍ남용으로부터 사생활의 비밀 등을 보호함을 목적으로 명시하고 있고, 같은 법 제15조는 신용정보회사등은 “업무 범위에서 수집 및 처리의 목적을 명확히 하여야 하며, 이 법 및 개인정보 보호법 제3조 제1항 및 제2항에 따라 그 목적 달성에 필요한 최소한의 범위에서 합리적이고 공정한 수단을 사용하여 신용정보를 수집 및 처리”하도록 규정하고 있다.
이와 같은 원칙은 정보주체의 개인정보 통제권을 강화하려는 개인신용정보 전송요구 제도에 있어서도 반드시 준수해야 할 개인정보 보호 기본원칙이자 엄연한 실정법상 의무이다.
2) 주문내역정보의 전송요구 대상 적절성 여부
신용정보법 제33조의2 제2항의 위임에 따라 마련된 신용정보법 시행령 [별표 1]은 전송요구 대상 개인신용정보로 주문내역정보 등을 규정하고 있다. 주문내역정보가 전송요구 대상인 개인신용정보로 적절하기 위해서는 첫째, 개인신용정보에 해당하여야 하고, 둘째, 신용정보법 제1조의 목적에 비추어 신용정보 산업 진흥과 사생활의 비밀 보호를 고려한 결과여야 하며, 셋째, 본인신용정보관리회사가 신용정보법 제15조에 따른 최소 수집의 원칙 등을 준수하여 처리할 수 있도록 규정되어야 한다. 그런데 전송요구 대상 개인신용정보에 모든 주문내역정보를 포함시키고 있는 것은 다음과 같은 이유에서 부적절하다고 판단된다.
첫째, 신용정보법 제2조 제1호 및 제2호에 따르면, 개인신용정보는 '살아있는 개인인 신용정보주체의 신용을 판단할 때 필요한 정보’이다. 그런데 무슨 상품을, 얼마의 수량과 가격으로, 어느 판매자에게, 어떤 방법으로, 언제 주문하였는지 등과 관련된 '주문내역정보’가 신용을 판단할 때 어떻게 필요한지 명확하게 알려진 바가 없고, 가까운 시일 내에 특정 신용정보주체의 신용판단을 위해 활용될 것이라는 것도 확정하기 어렵다.(각주:국가인권위원회는 주문내역정보는 원칙적으로 신용정보에 해당한다고 보기 어려우므로 신용정보법 시행령 제2조 제22항, 제23항 및 같은 시행령 [별표 1] 본인신용정보관리업에 관한 신용정보의 범위 중에서 주문내역정보를 삭제할 것을 권고한 바 있다(’20.12.17.).) 또한, 주문내역정보의 구체적인 품목 대신 이를 범주화하는 방안(예 : 음식료, 농축수산물→식품 등)이 논의 중인 것으로 알려져 있으나, 일부의 우려와 같이 지속적으로 개인신용정보주체의 데이터가 축적되는 경우를 고려한다면 품목의 범주화가 사생활 침해를 줄일 수 있다고 단정할 수 없다. 또한, 문제의 본질이 주문내역정보가 개인신용정보에 해당하는지 여부인 점을 고려한다면 주문내역정보의 범주화는 신용판단과 더욱 관련성이 높아진다고도 할 수 없을 것이다.
일부에서는 주문내역정보가 신용판단에 활용될 가능성이 있고 신용정보법 제2조 제1호의3에 규정된 '「상법」 제46조의 상행위에 따른 상거래의 종류, 기간, 내용, 조건 등에 관한 정보’ 중 하나이므로 모두 개인신용정보로 볼 수 있어 법 체계상 문제가 없다고 주장한다. 그러나 이와 같은 주장에는 신용정보는 신용정보제공ㆍ이용자의 객관적인 신용판단과 관련된 정보임을 간과한 것은 아닌지, 법문에만 치우쳐 개인정보 보호 관련 법령 간 정합성을 고려하지 않은 것은 아닌지 우려가 제기되고 있다.
둘째, 전송요구 대상 정보의 범위도 신용정보 산업 진흥과 사생활의 비밀 보호 등을 고려해서 정해야 한다. 그런데 신용정보법 시행령 [별표 1]은 신용판단에 필요성 여부가 확인되지도 않았고 사생활과 관련되어 알리고 싶지 않은 주문내역정보 모두를 전송요구 대상 정보로 규정하고 있다.
이와 같은 규정은 주문내역정보가 과연 신용판단에 얼마나 기여하는지, 또 사생활 침해 가능성은 얼마나 되는지, 나아가 우리 사회에 필요한 신용판단 수준을 고려하였는지 등 보다 본질적인 사항을 반영하여 정해져야 할 것이다.
또한, 신용정보 관련 산업 진흥과 사생활의 비밀 보호 모두를 고려하기 위해서는 본인신용정보관리업자 뿐만 아니라 정보주체의 권리나 이익에 어떻게 도움이 되는지 충분한 의견 수렴이 되어야 할 것이다. 그런데 소비자ㆍ시민단체가 주문내역정보는 신용평가를 위해 왜 필요한지, 마이데이터 사업자에게 제공하도록 규정한 이유는 무엇인지를 밝히도록 촉구하고 있어(각주:한국소비자연맹, 경제정의실천시민연합, 민주사회를 위한 변호사모임 디지털정보위원회, 서울YMCA 시청자시민운동본부, 소비자시민모임, 진보네트워크, 참여연대는 공동성명서를 통해 소비자가 “무엇을, 언제, 얼마에 샀는지”가 개인의 신용평가를 위해 왜 필요한지 또 소비자가 그 정보를 마이데이터 사업자에게 제공하도록 규정한 이유에 대하여 명확하게 해명해야 할 것이라고 하면서, 소비자의 주문내역정보가 마이데이터 사업자에게 제공되는 것을 중단하도록 촉구(’20.9.8.)한 바가 있다.) 신용정보법 시행령의 개정 과정에서 의견수렴이 충분하지 못했음을 보여주고 있다.
셋째, 신용정보회사등이 신용정보법 제15조에 따른 최소 수집의 원칙 등을 준수하도록 하여야 한다. 그런데 신용정보법 시행령 [별표 1]은 신용판단에 필요한지 여부가 객관적으로 검증되지 않은 주문내역정보 모두를 개인신용정보로서 전송요구대상으로 규정하여, 정보주체가 동의만 하면 수집할 수 있도록 하였다. 이는 본인신용정보관리업이나 신용정보주체의 신용관리를 위해 필요한 최소한의 정보를 규율한 것인지 명확하지 않은 부분이다.
더욱이, 주문내역정보를 개인신용정보로 명시함에 따라, 주문내역정보를 신용정보법 제32조 제6항에 따라 정보주체의 동의 없이 채권추심 목적으로 제공될 수도 있게 되었다. 이는 개인인 신용정보주체가 주문내역정보를 전송하면 제공받은 신용정보제공ㆍ이용자는 정보주체도 모르게 주문내역정보를 채권추심 목적으로 처리할 수도 있다는 점에서 개인정보 보호 원칙인 최소 수집의 원칙, 목적 명확성의 원칙, 목적 제한의 원칙 등과 충돌할 소지가 있다.
나. 개인정보 보호 법령 간의 정합성 문제
1) 보호법과 신용정보법의 취지 및 법령 간 관계
정부는 보호법, 신용정보법 및 「정보통신망 이용촉진 및 보호 등에 관한 법률(이하 '정보통신망법’이라 한다)」 개정('20.2.)을 통해 개인정보 감독기구 및 관련 법령 간 유사중복 규정을 각각 개인정보위와 보호법으로 일원화하여 수범자 혼란을 해소하고자 하였다. 그러나 신용정보법은 금융기관 규율의 특수성을 고려하여 특별법으로 존치시킴으로써 일반법인 보호법을 보완하도록 하였다.
이와 같은 일반법과 특별법 체계에서 법령 간 중복, 혼란, 불일치 및 사각지대가 발생하지 않도록 정합성을 유지하기 위해서는 특별법의 규정이 일반법의 기본이념과 원칙에 위배되어서는 아니 되고, 위배될 경우 그 원칙에 부합하는 방향으로 개정 또는 해석되어야 한다. 따라서 신용정보법의 개인신용정보 관련 규정은 보호법의 기본원칙에 부합하여야 할 것이다.
2) 개인신용정보의 범위 확대와 문제점
신용정보법 제2조 제1호 및 제2호에 따르면, 개인신용정보는 '살아 있는 개인인 신용정보주체의 신용을 판단할 때 필요한 정보’이다. 이때 판단에 '필요한’의 해석은 헌법 제37조 제2항의 '필요한’의 해석처럼 다양한 이익의 형량을 통한 비례의 원칙이 적용되어야 한다.
그런데 신용정보법 제2조 제1의3은 신용정보의 범위에 「상법」 제46조의 상행위에 따른 상거래의 종류, 기간, 내용, 조건 등에 관한 정보를 포함하여, 사실상 개인의 상거래와 관련된 모든 정보가 개인신용정보로서 신용정보법이 적용되도록 규정하였다. 이로 인해, 특별법이 일반법의 기본원칙을 훼손하는 등 다음과 같은 체계 정합성 문제가 발생할 우려가 있다.
첫째, 개인과 관련된 거의 모든 상거래 정보가 개인신용정보로 포섭됨에 따라 신용정보법의 규율 범위가 확대되었다. 이에 따라, 보호법의 적용 영역이 축소되는 등 보호법 규정이 형해화될 우려가 있다.(각주:김현경은 신용정보법 제2조 제1의3에 따른 '상법 제46조의 상행위에 따른 상거래의 종류, 기간, 내용, 조건 등에 관한 정보’는 신용정보를 지나치게 확대하여 일반법ㆍ기본법으로서 보호법의 지위를 위태롭게 할 수 있으므로 삭제하고, 신용정보의 범위를 신용판단의 기초가 될 수 있는 거래정보로 제한하여야 한다고 한다.(김현경, "개인신용정보의 범위에 대한 비판적 고찰 - 기본적 상행위 거래정보는 모두 개인신용정보인가? -", 이화여자대학교 법학논집 제25권 제2호 통권 72호 (2020. 12), 257-291.)) 둘째, 신용정보의 범위 확대로 보호법과 신용정보법 간 수범자 혼란이 발생할 수 있다. 보호법 수범자인 개인정보처리자가 개인신용정보를 처리하는 경우가 확대되어 준수해야 할 법이 모호해질 수 있는 것이다. 이에 따라, 보호법과 신용정보법 간 유사규정(각주:보호법 제21조에 따른 개인정보의 파기 규정과 신용정보법 제20조의2의 개인신용정보의 보유기간, 보호법 제34조에 따른 개인정보 유출 통지 규정과 신용정보법 제39조의2에 따른 신용정보 누설통지, 보호법 제29조에 따른 안전조치의무와 신용정보법 제19조에 따른 신용정보전산시스템의 안전보호 규정 등은 유사중복규정으로 적용 상 혼란 사례임) 에 대해서는 두 법을 모두 따라야 하는지, 아니면 어느 한 법만 따르면 되는지 혼란이 초래될 수 있다.
셋째, 금융위 등 영역별 소관부처의 감독이 우선시 되어 엄격한 독립성 요건을 갖춘 통합 개인정보 감독기구는 유명무실해지고, 금융기관 업무감독 및 지휘가 목적(각주:금융위원회의 설치 등에 관한 법률 제3조(금융위원회의 설치 및 지위) ① 금융정책, 외국환업무 취급기관의 건전성 감독 및 금융감독에 관한 업무를 수행하게 하기 위하여 국무총리 소속으로 금융위원회를 둔다.) 인 금융위가 개인정보 보호 업무 전반을 담당하게 될 수 있다.
다. 개인정보 침해요인 평가 미이행
보호법 제8조의2는 법령 제정ㆍ개정으로 개인정보 처리를 수반하는 정책이나 제도의 도입ㆍ변경 시 개인정보위에 개인정보 침해요인 평가를 요청하도록 규정하고 있다.
신용정보법 시행령의 경우, 입법예고안에 주문내역 정보가 포함되지 않은 채로 전송요구 대상 정보를 규정하여 개인정보위의 개인정보 침해요인 평가를 통과하였다(’20.5.11.).
이후, 금융위는 법제처 심사 과정에서 전송요구 대상 개인신용정보에 주문내역정보를 추가하여, 신용판단과 관련없는 정보까지 전송요구 대상이 될 수 있도록 하는 등 중대한 내용을 변경하고도 변경된 내용에 대해서는 별도로 개인정보 침해요인 평가를 받지 아니하였다.
이에 따라, 주문내역정보가 전송요구 대상 개인신용정보로 규정되어 개인정보 침해가 발생할 수 있는지, 해당 규정과 일반법인 보호법과의 관계는 적절한지 등에 대해 개인정보위가 면밀한 검토를 하지 못하였다.
이는 개인정보 보호에 관한 사회적 논의에 기여할 중요한 제도적 장치가 작동할 기회가 상실되었음을 의미하므로 개인정보위와 다양한 방식의 협의 등을 통해 이를 치유할 방안을 강구할 필요가 있다.
3. 소결
신용정보법 시행령에 전송요구 대상 정보로 주문내역정보를 포함함에 따라, 사업자단체 및 소비자ㆍ시민단체는 주문내역정보가 개인신용정보인지의 문제에서 더 나아가 신용정보법 적용 범위나 감독기구의 문제까지 제기하고 있다.
일반법인 보호법과 특별법인 신용정보법과의 관계, 유사중복 규정과 감독기구를 일원화하려는 정부의 데이터 3법 개정 취지 등에 비추어 보면, 전송요구 대상 개인신용정보는 명백히 신용판단을 위해 필요한 부분으로 한정하고 그 외에는 보호법으로 규율하도록 할 필요가 있다.
아울러, 신용정보의 범위에 상법 제46조에 따른 상거래 정보가 포함되어 신용정보의 범위가 지나치게 확장되는 등으로 일반법과의 적용관계 및 감독범위 등에 대한 혼란과 문제 제기가 있어, 이를 해소할 필요가 있다.
또한, 향후 개인신용정보 전송요구 제도 운영에 있어서 개인정보 침해요인 평가 누락 등에 따른 개인정보 침해 우려를 대비하여 관계기관 및 이해관계자 등과 협의하는 절차가 필요할 것으로 판단된다.
자칫 주문내역정보 논란을 계기로, 개인정보 자기결정권과 사생활 침해 등이 부각되어 개인정보 보호에 대한 국민의 신뢰를 잃게 된다면 데이터 경제 시대의 핵심인 개인정보 활용에 한계가 있을 수밖에 없을 것이다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).