개인정보보호법이 시행된 지도 한 달이 훌쩍 지났다. 주요 언론들의 크고 작은 보도도 있었지만, 이 법이 시행됨에 따라 개인정보를 취급하는 모든 기업과 기관·단체들은 시행령·시행규칙과 각종 고시·지침 등 후속 규범들을 예의주시하면서 앞으로 대처 방법과 투자 적정성 문제 등을 놓고 고심을 거듭하고 있다.

개인정보보호법은 일반법이다. 따라서 국내에 등록된 모든 기업, 기관, 단체들을 빠짐없이 규율하게 된다. 법 적용 대상 사업자 수는 무려 350만 곳이고 개인정보를 처리하는 개인사업자나 정보주체인 국민 개개인까지 포함하면 사실상 전 국민을 규율하는 만만찮은 규범이다. 이처럼 중요한 개인정보보호법이 성공적으로 정착되려면 적용대상인 업계 및 일반 국민의 반응도 매우 중요하다. 시행 한 달여 만에 업계의 반응을 속단하는 것은 무리지만, 크게 보아 두 가지 정도로 요약해볼 수는 있을 듯싶다.

하나는 정보보호의 중요성에 대한 공감이다. 정보주체인 국민의 권리의식이 과거보다 현저히 높아졌을 뿐 아니라 ‘글로벌 스탠더드’로 떠오른 개인정보보호 문제를 소홀히 해서는 안 된다는 총론에는 대부분 공감을 나타내고 있다. 문제는 ‘무엇을 어떻게 할 것인가’와 그에 따른 ‘실제적 부담’ 문제인 것 같다. 기업의 입장에서 가장 큰 부담은 ‘사업자의 책임’이 크게 강화됐다는 점이다. 개인정보보호법은 개인정보보호책임자(CPO)와 법인에 대한 양벌규정을 통해 관리적 책임을 강하게 묻고 있다. 또 문제가 발생했을 때의 ‘입증책임’이 정보처리자에게 지워진다는 점도 기업 입장에선 부담스러울 수밖에 없다. 주민번호 등 ‘고유식별정보’의 암호화 조치 의무 등 비용과 투자가 수반되는 경우도 적지 않다.

이처럼 기업에 큰 부담이 돌아가는 일이라면 정부가 법 시행을 위한 사전 교육과 홍보에 좀 더 노력했어야 하지 않았나 지적하는 목소리도 업계 일각에서 고개를 들고 있다. 350만 사업자의 대표단체를 자임하는 우리 협의회도 시행령 등 마련 과정, 당국과의 간담회 등을 통해 이러한 요구를 충분히 전달했다. 정부 당국도 문제점을 충분히 인지하고 있다고 생각된다. 다만, 올해는 가용 예산을 제대로 세워놓지 못한 상태에서 법이 통과되는 바람에 뜻한 바만큼 교육·홍보에 투자하지 못했다는 해명도 어느 정도는 이해할 수 있는 대목이다. 사실 예산보다 더 중요한 것은 정책이고, 지향이다. 솔직히 우리는 정부 당국에 한두 가지 우려의 시각을 갖고 있다. 하나는 법 만능, 행정 만능의 사고방식이다. 개인정보보호 문제는 법제도적 뒷받침이 일차적 과제임을 부인할 수 없다. 지난 수년간, 이 부분에서 정부가 나름대로 상당한 노력을 기울였음은 긍정 평가하고 싶다. 하지만, ‘행정’의 특성 혹은 공무원들의 ‘일하는 방식’의 특성상 또 다른 허점이 드러날 수 있다는 것 또한 부인해서는 안 될 것이다.

기본적으로 ‘정보 안심 사회’는 정보주체들의 마인드가 달라지고, 일하는 방식과 행태·습관까지 바뀌어야만 달성될 수 있는 궁극 목표이다. 법 경시를 부추기자는 건 결코 아니지만, 법은 기본적으로 ‘만능’이 아니다. 특히 정부의 견해에서 개인정보보호법은 ‘양날의 칼’이 될 수도 있다. 잘 쓰면 좋지만, 잘못 쓰면 법 경시 풍조를 더욱더 부추기게 될 수도 있다는 말이다. 이러한 관점에서, 개인정보보호 문제를 근본적으로 해결하려면-보안대책 일변도가 아니라-국민의 의식과 행태를 바꾸는 게 가장 확실한 방법이 아닌가 생각된다. 바로 ‘정보 안심 사회’를 캐치프레이즈로 하는 범국민운동의 필요성을 말하는 것이다.

한 가지가 또 있다. 개인정보보호는 새로운 ‘정부 규제’가 아니며 국제화시대 기업의 ‘필수 사회적 책임’이라는 사실을 일깨우기 위해서라도 ‘민간자율규제’는 소홀히 해서는 안 될 핵심 정책이 되어야 할 것이다. 이 부분에 대한 정부 당국의 깊은 정책적 고려가 있기를 바라마지 않는다.