지난해 교육부의 교육행정정보시스템(NEIS) 도입 추진 과정과 그에 뒤이은 뜨거운 논쟁은 우리나라의 개인정보보호 수준을 여실히 보여주는 한 단면이었다. 교육부는 개인의 프라이버시에 어떠한 영향을 끼칠 것인가를 고려하지 않은 채, 법률에 근거하지도 않은 정책을 수립하고 일방적으로 추진했다. 그리고 그 결과 엄청난 사회적 반발이 일어났고 그에 따른 막대한 사회적 비용이 소진됐다. 교육부의 입장에서 보더라도, 교육부는 사회적 권위에 타격을 입었고 예산은 불필요하게 소모됐으며 정보화 추진 일정은 오히려 더 미뤄졌다. 만약 NEIS 추진 과정이 정보주체들에게 알려지지 않았다면, 그리고 알려졌다 하더라도 정보주체들의 힘이 미약했다면, 치명적인 프라이버시 침해가 일어났을 것은 두 말할 필요도 없다.

양날의 칼, 프라이버시 영향평가
프라이버시 영향평가는 말하자면 이러한 전 과정을 제도화는 것이라 할 수 있다. 정보주체들은 어떤 제도·정책·기술의 도입 자체를 인식 못할 수도 있고, 자신들에게 어떠한 영향을 미칠지는 더더욱 알기 어렵다. 또한 알게 된다 하더라도 대응할 방법이 별로 없고, 힘도 부족할 수밖에 없다. NEIS의 경우는 진행 과정에서 그 위험성이 널리 알려졌으며, 전교조를 비롯한 힘있는 단체들이 조직적으로 저항할 수 있었다는 점에서 차라리 다행스러운 사례이다. 따라서 정보주체들은 위험을 사전에 제거하고, 자신들의 권리를 제도적으로 보장할 수 있는 프라이버시 영향평가제도의 필요성이 절실하다.

다른 한편 사업을 추진하는 공공기관이나 민간기업의 입장에서도 프라이버시 영향평가제도를 도입할 필요성이 있다. 물론 단기적으로는 규제가 강화되고 비용이 증가하겠지만, 장기적으로는 예상되는 사회적 반발을 회피할 수 있다는 점에서 오히려 이득이 될 수 있다. NEIS가 법률에 기초했었다면, 형식적일지라도 영향평가를 거쳤다면, 교육부 반발을 줄이거나 혹은 반발에도 불구하고 NEIS를 계속해서 추진할 수 있었을 것이다.

이러한 면에서 프라이버시 영향평가제도는 양날의 칼이라고 할 수 있다. 한국 사회에서 프라이버시 영향평가제도를 최초로 요구한 것은 2002년 인권시민단체들이었고, 지난달 제시된 개인정보보호법 시민사회단체안에는 이러한 주장이 구체화되어 있다. 그리고 작년 11월 한국전산원과 정보통신부는 전자정부에 적용되는 공공부문 정보기술아키텍처에 개인정보보호영향평가를 적용하는 방안을 연구중이라고 밝혔다. 또한 올해 정부혁신지방분권위원회는 개인정보기본법의 제정 방침을 밝히고 이 제도의 도입을 검토중이다. 이렇게 언뜻 보기에는 합의가 이뤄진 것으로 보인다. 그러나 정보주체와 정보수집자의 명확히 대립되는 입장은 여전하며, 싸움은 끝난 것이 아니라 NEIS에서 프라이버시 영향평가제도로 싸움터만 바뀐 것이다.

프라이버시 영향평가의 과제와 전망
지난 7월 1일, 국가인권위원회 배움터에서는 진보네트워크센터가 주최하고 국가인권위원회가 후원하는 토론회 <프라이버시 영향평가의 과제와 전망>이 열렸다. 이은우 변호사(법무법인 지평)가 사회를 맡았고, 장여경 활동가(진보네트워크센터)와 박준우 팀장(함께하는시민행동 개인정보보호팀)이 발제를 했다. 토론자로는 김병수 간사(참여연대 시민과학센터), 박혜련 연구원(녹색사회연구소), 박종찬 교수(고려대학교 경상대), 윤현식 정책연구원(민주노동당)이 참여했다.

장여경 활동가는 미국과 캐나다의 영향평가 현황을 중심으로 외국의 선례를 검토한 후, 어떻게 영향평가의 실질성을 담보할 수 있을 방안에 대해 발표했다. 미국과 캐나다는 모두 원칙적으로 모든 정부기관의 전자정부 사업에 대해 의무적으로 프라이버시 영향평가를 도입하고 있다. 그러나 미국의 경우 정부기관이 자체적으로 영향평가를 실시해왔으나, 그 내용이 매우 부실하고 평가 결과에 따른 사후 조처가 명확하지 않다는 점에서 문제가 있다. 캐나다의 경우는 독립적인 개인정보보호기구가 평가 결과를 감독하고 그에 따른 권고를 한다는 점에서 미국과는 차별성을 갖는다.

뒤이어서 박준우 팀장은 프라이버시 영향평가의 범위/대상/주체/시점/권능 등 각각의 지점에서 검토해야 할 부분을 꼼꼼하게 지적했다. 그의 주장을 정리하자면, △범위에 있어서 공공기관은 물론 민간부문도 일정 규모 이상의 사업은 모두 포함해야 한다는 것, △평가의 주체로서 독립적 개인정보보호기구가 직접, 간접으로 개입해야 한다는 것과 자격을 갖춘 민간 기관을 활성화 해야 한다는 것, △사업의 계획단계에서부터 평가가 시작되어야 한다는 것, △평가 결과에 따라, 계획 변경과 사업 중단을 포함한 시정 조치가 강제되어야 한다는 것, △이미 도입된 시스템의 경우도 사후적인 평가가 이뤄질 수 있어야 한다는 것 등이다. 이에 덧붙여 장기적으로는 규모와는 무관하게 정보주체들의 요구에 의해서 영향평가를 실시할 수 있는 방안과 정신적 고통과 스트레스에 대한 역학 조사를 평가에 반영하는 방안 등을 제안했다.

과학기술/환경 영향평가제도가 주는 교훈
김병수 간사와 박혜련 연구원은 각각 과학기술 영향평가제도와 환경 영향평가제도의 오랜 경험을 바탕으로 프라이버시 영향평가제도에 대한 중요하고 생생한 조언을 해 주목받았다. 김병수 간사는 "사업주체가 자체적으로 평가하는 것은 선수가 동시에 심판 역할도 하겠다는 것에 다름아니"라면서, △과기부 산하 평가기관이 과기부의 눈치를 보는 탓에 보고서가 왜곡되는 점 △평가를 맡은 과기부가 타 부처에 대해 간섭하지 못한다는 점 △평가 주제가 모호하고, 주제 선정이 과기부 장관에게 독점되어 있다는 점을 문제로 지적했다.

박혜련 연구원은 환경영향평가의 문제점을 ①평가주체의 객관성 문제, ②평가 주제선정 범위의 문제, ③평가 시기와 규모의 문제, ④주민의 참여 보장 문제, ⑤평가의 질적 수준의 문제로 정리하고 각각의 사례와 개선 방안을 제시했다. 특히 △미시적인 사업에 치중하면서 전국가적인 계획에 대한 대응이 부재했다는 점, △특별법이 정한 예외 조항이 지나치게 많다는 점, △평가 대상을 규모로만 판단할 경우, 소규모로 시작하고 나중에 확대하는 편법이 있을 수 있다는 점, △주민 공청회가 형식적인 절차로 전락했던 점 등을 비판함으로써 프라이버시 영향평가에도 큰 시사점을 주었다.

한편 박종찬 교수는 "계획이 끝난 이후의 계량적 평가에 그칠 것이 아니라, 계획 과정 자체에 개입해서 컨설팅 효과를 갖도록 하는 방안을 강구해야 한다"고 조언했다. "민간부문의 경우는 영향평가가 비용 부담도 적고 기업 이미지 제고에 도움이 된다는 점을 교육함으로써 영향평가를 기업 업무의 일부분으로서 정착시키는 방향으로 접근해야 한다"고 말했다. "이를 위해서 잘 못 됐을 경우 비용이 크다는 점을 인식시킬수 있도록 적어도 초기 단계에는 엄격한 심판이 필요함"을 주장했다. 윤현식 정책연구원은 영향평가제도가 기술도입을 정당화하는 선전 도구로 전락할 가능성이 있다는 점을 지적하고, 이를 방지하기 위해서 △평가에 대한 의견 개진을 넘어서 평가 자체에서 일반 시민이 참여할 수 있는 방법을 강구하고, △평가 범위도 단순히 규모로만 판단할 것이 아니라 종업원 수, 업종, 정보의 종류 등을 포함한 복합적이고 포괄적인 기준을 마련해야 한다고 주장했다.

정보주체를 위한 정보주체에 의한 영향평가
프라이버시 영향평가제도가 도입 검토되고 있는 것은 일단 환영할 만한 일임에는 틀림없다. 그러나 현재 우리나라의 척박한 상황을 감안하면, 프라이버시 영향평가제도를 애초의 취지대로 정보주체의 프라이버시권을 실질적이고 효과적으로 보호할 수 있도록 만드는 것이 결코 수월하지만은 않다. 이번 토론회는 프라이버시 영향평가제도를 수립하는 과정에서 고려해야 할 점을 본격적으로 제기한 출발점으로서 의의를 가지는 한편 앞으로의 험난한 과정을 예고했다.

영향평가 과정에서 정보주체의 참여는 보장되어야 한다. 그리고 정확히 같은 의미에서 영향평가제도의 도입과정에서도 정보주체의 참여는 바람직한 제도를 만드는 필수불가결한 조건이다.