“개인정보의 범위는 어디까지 일까?”

실시간
뉴스

법제도/정책

“개인정보의 범위는 어디까지 일까?”

디지털데일리 발행일 2012-05-18 10:18:32

이민형 기자

URL복사

[IT전문 미디어 블로그=딜라이트닷넷]

흔히 개인정보라고 하면 이름, 주민등록번호, 전화번호 등을 떠올리기 쉽습니다.

그런데 최근 일각에서 인터넷서비스에서 사용하는 아이디(ID)도 개인정보에 포함되므로 이를 보호하기 위한 수단을 마련해야한다는 주장이 제기됐습니다.

이번 주장의 발단은 지난 3일 한국CPO포럼이 개최한 ‘국제 개인정보보호 심포지엄(Privacy Global Edge 2012) : 개인정보보호 애정남 - 애매한 것을 정해드립니다’라는 패널토의에서 시작됐습니다.

(관련기사 : ‘개인정보보호 애정남 - 애매한 것을 정해드립니다’ 10선)

패널토의에 참석한 박진식 변호사(법무법인 넥스트로)는 “지난 2005년 NC소프트 리니지2 정보유출 사건 소송에서 아이디가 개인정보냐 아니냐가 쟁점이 됐었다”며 “아이디는 익명성을 갖고 있지만 행위자의 인격을 표상하므로 개인정보에 해당한다는 판례를 받은 바 있다”라고 말하며 아이디도 개인정보에 포함된다고 주장했습니다.

정보통신망법과 개인정보보호법에서 말하는 ‘개인정보’의 정의를 한번 살펴보죠. 법령에서 말하는 개인정보란, ‘살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통해 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)’를 의미합니다.

여기서 ‘다른 정보와 쉽게 결합하여 알아볼 수 있는 것’이란 부분에 주목해야합니다. 앞서 소개한 것처럼 이름이나 주민등록번호, 전화번호는 그 자체로 개인을 특정할 수 있는 정보입니다. 이름은 사회에서 가장 많이 통용되는 개인정보이며, 주민등록번호는 중복되는 것이 없습니다.

금융기관이나 공공기관에서 업무를 처리하는데 있어 가장 핵심되는 정보가 이름과 주민등록번호라는 것을 생각하면 될 것입니다.

그러나 아이디나 닉네임과 같은 정보도 개인정보라고 볼 수 있을까.

아이디(ID, Identification)는 영어 단어 뜻 그대로 인터넷서비스 사용자가 자신의 신분을 나타내기 위해 사용하는 일종의 가명, 별명 등으로 볼 수 있습니다.

아이디가 자신의 본명도 아닌데 이를 제3자가 유포시키거나 암묵의 피해를 주었을 때, 개인정보침해로 인정받을 수 있을까요?

앞서 소개한 엔씨소프트의 리니지2의 경우는 ‘사용자의 인격이 반영됐다’라는 부분에서 개인정보로 인정을 받았지만 이제는 상황이 좀 변했습니다.

염흥열 순천향대 교수(한국정보보호학회장)은 “‘개인을 특정할 수 있는 정보’가 개인정보의 정의다. 그런 의미에서 아이디 자체는 개인정보라고 보기는 힘들다”며 “그러나 다른 정보들과 조합을 했을 경우 특정할 수 있는 정보가 될 수 있다. 이러한 부분은 기술의 발전과도 연관이 있다”고 설명했습니다.

실제 몇몇 검색엔진에서 사용자 아이디를 검색해보면 해당 아이디를 쓰는 사람의 인터넷 활동정보들을 쉽게 얻을 수 있다. 파편화된 정보를 조합한다면 충분히 위협적인 개인정보가 될 수 있다.

몇 년전 인터넷사이트 디시인사이트에서 활동하는 네티즌 중 한명이 ‘코글’이란 사이트를 개발했습니다. 코글은 구글을 비롯한 다양한 검색엔진 API를 사용해 인터넷에 파편화돼 있는 개인정보를 수집하는 사이트입니다.

이 시기부터 ‘아이디는 개인정보’라는 인식이 생기기 시작한 것 같습니다. 주요 인터넷서비스업체들은 보안을 위해 개인정보를 노출시킬 우려가 있는 것은 아이디로 쓸 수 없도록(생년월일, 이니셜 등) 권장했으며, 서비스에 사용되는 아이디 중 일부를 모자이크처리하는 등 개인정보 보호에 나섰습니다.

즉 이같은 분위기는 ‘법제화되진 않았지만 아이디는 개인정보다’라는 사회의 인식을 반영한 것으로 볼 수 있습니다.

인터넷검색 등을 통해 파편화된 정보를 얻을 수 있고, 이를 조합할 수 있는 ‘키워드’는 개인정보가 되는 것이고, 그렇지 않으면 개인정보가 아니라고 단편적으로 해석할 수도 있겠습니다만, 범위는 분명히 정해져야할 것 같습니다.

이와 관련 염 교수는 “올바른 생태계를 위해서는 정부에서 개인정보의 레벨과 범위를 정해줘야할 것 같다”며 “개인정보의 레벨에 따라 기업들이 능동적으로 대응할 수 있도록 정부에서 가이드라인을 제시하는 것도 좋을 것으로 보인다”고 말했습니다.

[이민형 기자 블로그=인터넷 일상다반사]