최근 국가인권위원회가 금융위원회에 대해 ‘주문내역 정보’를 마이데이터(MyData) 사업자들의 수집·제공 범위에서 빼도록 권고하기로 했다는 보도를 접했다. 마이데이터는 본인신용정보관리업을 말하는데 올 초 신용정보법이 개정되면서 도입됐고 시행을 눈앞에 두고 있다. 마이데이터 사업자들은 개인의 동의를 받아 수집한 정보를 바탕으로 개인의 정보관리를 돕는 한편 금융상품 추천이나 자문을 한다.

사실 인권위의 방침이 나오기 훨씬 전부터 ‘주문내역 정보’를 두고 사생활 침해 문제가 논란이 된 바 있다. 마이데이터 산업에는 주로 금융회사나 전자상거래 업체들이 진출할 것으로 예상되는데 전자상거래 주문 내역이 공유되는 경우 개인의 일거수일투족이 노출된다는 우려가 제기됐다. 요즘에는 단순한 물품 구매뿐 아니라 콘텐츠, 여행, 숙박, 선물 등 온갖 것들이 전자상거래의 대상이다. 어떤 책을 읽고, 어느 곳을 여행하고, 옷 사이즈는 얼마인지 등이 모이면 사생활이 그대로 노출될 수 있다.

이러한 논란이 지속되자 금융위원회는 관련 업계 등과의 논의를 거쳐 주문내역 정보를 범주화한 형태로 공유하는 방안을 제시했다. ‘270㎝ 사이즈의 A브랜드 운동화’ 같은 구체적인 정보 대신 ‘신발’로 범주화해 제공하는 것이다. 그런데 이렇게 범주화한 정보도 여전히 사생활 노출 우려가 있으니 아예 통째로 삭제하라는 게 인권위 의견이라고 한다.

반면 금융위는 이 권고를 수용하지 않을 것으로 보인다. 개인데이터 이동권이라는 권리가 더 크게 보장된다는 점을 자세히 설명한다는 방침이라는 언론 보도가 있다.

이러한 국가기관 간의 첨예한 의견 대립을 해소하기 위해서는 개인정보의 ‘주인’인 소비자 의견을 중심에 두고 판단해야 한다. 사실 그동안 어떤 정보를 어떤 방식으로 공유할지 논의하는 과정에서 소비자 의견이 충분히 반영됐는지 의문이다. 주문내역 정보를 제공하느냐 마느냐 여부나, 어느 수준으로 범주화하느냐에 대해서도 각 개인이 결정하도록 맡기는 게 옳다고 본다. 이제라도 개인정보의 ‘주인’인 소비자 개인을 중심으로 생각할 필요가 있다.

원래 마이데이터는 자신의 정보를 기꺼이 제공할 의사가 있는 개인들을 대상으로 하는 사업이다. 혹시 사생활이 노출될 우려가 있지만 정보 제공에 대해 지불되는 금전적 또는 비금전적 대가를 더 원하는 사람도 많을 것이다. 한 개인에 대한 정보는 전자상거래 업체나 금융회사, 공공기관 등 온갖 곳에 저장돼 있는데 이들을 통합 관리해 주는 것이 마이데이터 사업이다. 여러 정보를 결합하면 가치가 커지는 것이 상식이다. 여러 사람의 통합된 데이터를 모아 산업적으로 활용하면 부가가치는 훨씬 더 커지게 된다. 그 일부를 정보 주체에게 제공하는 한편 데이터 관련 산업도 활성화하는 것이 마이데이터업 도입의 취지다.

물론 정보를 수집할 때 동의를 받는다고 만능 해결책은 아니다. 요즘 정보 제공 동의를 해 달라는 곳이 너무 많아 제대로 읽지도 않고 동의해 주는 일이 흔하지 않은가. 그렇다면 인권위에서 동의제도를 보다 실질적으로 만드는 방향으로 권고하는 게 맞다. 특정 정보를 마이데이터 수집범위에서 빼는 것은 정답이 아니다. 더욱이 유럽 등 마이데이터 산업이 먼저 도입된 해외 사례를 보면 정보 수집·제공 범위가 매우 넓다. 유럽연합(EU)의 GDPR(General Data Protection Regulationㆍ개인정보보호규정)에서는 개인정보 전반에 걸쳐 데이터 이동권을 부여하고 있다. 인권위의 판단대로라면 GDPR의 데이터 이동권 가운데 일부는 옳고 일부는 틀리다는 것이다.

한국은 개인정보보호법에서 정보이동권이나 마이데이터 제도를 도입하지 않고 신용정보법에서 먼저 도입했다. 그 바람에 신용정보냐, 아니냐 여부가 논란이 되기도 했지만 개인정보 전반에 걸쳐 마이데이터업이 도입되면 이 문제는 바로 해소될 수 있다. 마침 개인정보보호위원회는 개인정보보호법을 다시 개정해 개인정보이동권을 신설하고 금융부문을 넘어 전 산업 분야로 마이데이터업을 확산시키는 방안을 검토하고 있다. 이러한 방향의 개정은 개인의 정보 통제권을 더욱 강화할 것이라는 것이 개인정보보호위원회 보도자료에 나와 있는 결론이다.