‘공통고객 성향 분석’이 학술연구?…정보보호 후퇴 우려 개인 동의 없이 누구인지 확인할 수 없게 처리된 고객정보를 둘 이상 합쳐 의미 있는 정보를 만들려 했다가, 개인정보보호법 위반 혐의로 고발당한 통신·금융사들이 검찰에서 무혐의 처분을 받았다. 정부가 ‘데이터 경제 활성화’ 명목으로 개인정보보호법을 느슨하게 개정할 예정이어서, 검찰의 이번 처분이 논란이 될 것으로 보인다. 28일 <한겨레>가 입수한 서울중앙지검의 ‘불기소 결정서’를 보면, 검찰은 개인정보보호법 위반 혐의로 고발당한 에스케이텔레콤(SKT) 등 통신 3사와 비씨·신한·삼성카드, 한화·삼성생명 등 기업 20곳과 한국인터넷진흥원 등 기관 4곳을 모두 무혐의 처분했다. 고발당한 기업들은 정부가 2016년 6월 만든 ‘개인정보 비식별조치 가이드라인’에 따라, 한국인터넷진흥원 등 공공기관에 자신들이 가지고 있던 고객정보에서 개인을 식별할 수 있는 ‘식별자’를 삭제한 뒤, 다른 기업의 고객정보와 결합을 신청한 곳들이다. 예컨대, 삼성생명과 삼성카드는 보험가입내역과 카드이용실적을 결합해 고객 성향을 분석하기로 했고, 에스케이텔레콤·한화생명보험·에스시아이(SCI)평가정보는 통신요금·보험료 납부실적과 대출·연체 금융정보를 결합해 ‘고객성향분석’을 하려 했다. 기업들이 고객 동의 없이 서로 주고받은 정보는 3억4천만건에 이른다. 시민단체들은 2017년 11월 “기업들이 고객 동의 없이 개인정보를 제공한 것이 개인정보보호법 위반에 해당한다”며 검찰에 고발했다. 결합된 정보를 원래 자신들이 보유한 고객정보와 맞추면 ‘재식별’될 가능성이 존재하므로, 이는 제공할 때 동의를 구해야 하는 ‘개인정보’에 해당한다는 것이다. 또 현행 개인정보보호법은 ‘개인을 알아볼 수 없게 처리된 정보’는 따로 동의를 받지 않고도 학술연구 및 통계작성 목적으로 활용할 수 있으나, 해당 기업은 ‘학술연구’가 아닌 영리 목적으로 이를 활용하려 했다는 것도 고발 사유가 됐다. 검찰은 이에 대해 “‘비금융정보를 활용한 신용평가 방안 연구’ 등은 학술연구 목적이 인정된다”고 판단했다. 또 고발대상인 한국인터넷진흥원 관계자의 “정보집합물(결합된 정보)의 재식별화는 거의 불가능한 상황”이라는 진술을 인정해 “개인정보로 보기 어렵다”고 판단했다. 이어 “해당 정보가 개인정보에 해당하더라도 상관이나 관계기관의 승인 또는 지시(가이드라인 준수)에 따른 행위로 처벌할 수 없는 경우”라고 밝혔다. 고발 시민단체들은 검찰의 처분에 우려를 나타냈다. 검찰의 판단이 개인정보보호법 개정 논의 과정에 개인정보 보호를 완화하는 방향으로 쓰일 가능성이 높기 때문이다. 정부는 개인을 식별할 수 없도록 조처한 ‘가명정보’ 개념을 명문화하고, 가명정보의 개인 동의 없는 활용범위를 통계작성·연구·공익적 기록보존으로 하는 개인정보보호법 개정을 추진 중이다. 기업들이 이런 가명정보를 결합할 수 있도록 하고, 이를 반출할 수 있는 조항도 개정안에 포함돼 있다. 법률상 효력이 없는 비식별조치 가이드라인을 입법화하는 셈으로, 정부는 기업들이 검찰 수사를 받고 있다는 점을 법 개정이 필요한 근거로 강조하기도 했다. 검찰이 활용목적에 ‘연구’라는 이름이 있다는 이유로 ‘학술연구’로 인정한 것도 논란이다. 활용 가능한 연구범위를 놓고 정부·기업과와 시민단체는 견해차가 매우 큰 상황이다. 조지훈 민주사회를위한변호사모임 디지털정보위원장은 “검찰이 불기소 근거로 든 내용을 보면 ‘재식별이 불가능하다’고 말한 한국인터넷진흥원 직원의 진술 말고는 기존 가이드라인에 있는 내용을 그대로 옮겨온 수준”이라며 “검찰 판단으로 인해 기업들이 고객정보를 동의 없이 이용·결합할 수 있도록 개인정보보호법이 완화될까 우려된다”고 말했다.