개인정보보호와 관련된 법과 제도들은 국내외를 막론하고 OECD가 제정한 8가지 원칙에 기초하고 있다. 1970년대 이후, 국가간의 경제적 협력이 증가하면서 OECD는 국제적으로 유통되는 정보에 관심을 갖고 있었다. 특히 전자상거래가 국제적인 관심사로 부각되고 있었지만 개인정보의 유출에 대한 우려가 전자상거래 발전에 커다란 장애가 될 것이라고 판단한 OECD는 각 나라가 합의하는 통일된 개인정보보호지침의 제정을 준비하였다. 그리하여 채택된 원칙이「프라이버시 보호와 개인데이터의 국제유통에 대한 가이드라인에 관한 이사회 권고안, 1980」이다.
이 원칙은 OECD 회원국 뿐만 아니라 우리나라, 일본을 비롯한 세계 각국의 개인정보보호법 제정에 중요한 모델이 되었다. 오늘은 OECD가 제정한 개인정보보호 8가지 원칙을 하나씩 살펴보도록 하자. 이 원칙에 대한 이해는 현행 우리나라의 개인정보보호 관련 법과 제도를 이해하는데 많은 도움이 될 것이다.
1) 수집 제한의 원칙 (Collection Limitation Principle)
모든 개인정보는 적법하고, 공정한 수단에 의해 수집되어야 하며, 정보주체에게 알리거나 동의를 얻은 후 수집되어야 한다.
최근 인터넷 게시판에 이용자가 공개한 이메일주소들을 취합하여 이를 마케팅수단으로 이용하는 개인사업자와 기업들이 늘어나고 있다. 이들이 아르바이트생을 고용하여 일일이 인터넷을 서핑하면서 개인정보를 수집하건, 인터넷 프로그램을 이용하여 자동으로 수집하건간에 이는 정보주체에게 알리지도 않고, 동의를 구하지도 않은 상태에서 수집한 것이기 때문에 이 원칙에 위배되는 부도덕한 행위라고 할 수 있다. 비록 개인이 자발적으로 공개한 이메일정보이긴 하지만 이 정보를 광범위하게 수집하여 마케팅 수단으로 이용했다면 이는 분명 개인의 사생활 침해에 해당된다고 볼 수 있다. 설령 공개되어 있는 개인정보라 하더라도 함부로 수집해서는 안될 것이다.
2) 정보 정확성의 원칙 (Data Quality Principle)
개인정보는 그 이용목적에 부합하는 것이어야 하고, 이용목적에 필요한 범위 내에서 정확하고 완전하며 최신의 상태로 유지하여야 한다.
개인정보가 만약 정확하지 않다면 어떤 피해가 발생할 수 있을까? 가장 빈번한 예로 잘못된 개인정보로 인하여 여러분은 신용불량자로 등록될 수도 있고, 취직할 때 불이익을 당할 수도 있다. 개인정보를 기반으로 하는 신용사회에서 잘못된 개인정보는 자칫 정보주체에게 치명적인 피해를 줄 수 있다는 점에서 개인정보는 항상 정확하고, 완전하며, 최신의 것이어야 한다. 때문에 정보주체가 자기정보의 수정을 요구할 경우에는 지체없이 이를 허락하여야 하며, 정보가 수정될때까지는 그 정보를 이용하지 말도록 법에서는 규정하고 있다.
3) 목적 명확화의 원칙 (Purpose Specification Principle)
개인정보를 수집할때는 목적이 명확해야 하고, 이를 이용할 경우에도 애초의 목적과 모순되지 않아야 한다.
인터넷 서비스 업체에 가입할 때 대부분 개인정보를 제공하는데 과연 그러한 정보를 어떤 목적으로 수집하는지 명확하게 제시한 업체를 본적이 있는가? 아마 대부분 업체들이 개인정보를 수집하는 목적에 "고객에게 보다 좋은 서비스제공을 위하여"라고만 명시하고 있을 것이다. 이는 엄밀한 의미에서 명확한 목적을 제시한 것이 아니다. 이렇게 추상적으로 제시된 목적은 언제든지 개인정보를 오·남용할 수 있는 가능성을 열어줄 수 있다.
"고객에게 보다 좋은 서비스제공"이라는 가치판단을 누가 하는가? 당연히 서비스제공자가 할 것이다. 그런데 서비스제공자는 "좋은 서비스 제공"이라고 판단하지만 이용자는 "사생활 침해"라고 판단할 수도 있다. 따라서 이 원칙에 따른면서 서비스제공자는 '주민등록번호'를 왜 수집하는지, '주소와 전화번호, 이메일주소'등의 연락정보는 왜 수집하는지, '학력이나 가족관계' 등은 어떤 목적으로 수집하는지를 각 항목별로 명확하게 밝힐 필요가 있는 것이다.
4) 이용 제한의 원칙 (Use Limitation Principle)
개인정보는 정보주체의 동의가 있는 경우나 법률의 규정에 의한 경우를 제외하고는 명확화된 목적 이외의 용도로 공개되거나 이용되어서는 안된다.
이는 최근의 개인정보 문제에 있어 가장 핵심적인 원칙이라고 할 수 있다. 많은 업체들이 개인정보를 이용하여 전략적 제휴를 하거나 심지어는 개인정보를 돈을 받고 판매하기도 한다. 그러나 이는 OECD의 '이용제한의 원칙'에도 위배될 뿐 아니라 현행법에도 위배되는 행위이다. 만약 개인정보를 이용자 동의없이 제3자에게 제공하는 것을 용인한다면 우리는 개인정보에 관한 어떠한 권리도 행사할 수 없게 된다. 만약 A라는 업체가 이용자의 동의를 구하지 않고 개인정보를 B라는 업체에 넘기고, 또 B라는 업체에게 C라는 업체에게 개인정보를 넘겼다면 이용자는 자신의 정보가 B와 C라는 업체에 제공된 사실조차 모르기 때문에 개인정보를 열람할 수도, 수정할 수도, 삭제할 수도 없게 된다. 때문에 현행법에서도 이 조항을 어겼을 경우에는 단순히 과태료 부과처분이 아니라 징역형에 처함으로써 엄격하게 제제하고 있다.
5) 안정성 확보의 원칙 (Security Safeguards Principle)
개인정보의 분실, 불법적인 접근, 파괴, 사용, 수정, 공개위험에 대비하여 합리적인 안전보호장치를 마련해야 한다.
개인정보에 대한 가치가 높아지면서 개인정보에 대한 행킹 위험성도 높아지고 있다. 즉, 개인정보보호라는게 정책적인 수단으로만 보호될 수 있는 성질의 것이 아니라 기술적인 대책에 의해서도 보호되어야 한다는 의미이다. 올해 한 고등학생이 몇몇 인터넷 업체의 서버를 해킹하여 수백만명의 개인정보를 빼내고 이를 판매하려다 적발된 적이 있다. 이는 해당 서비스 업체가 아무리 정책적으로 개인정보롤 보호하려고 노력해도 기술적 대책이 동반되지 않으면 무용지물임을 말해주는 사건이었다.
6) 공개의 원칙 (Openness Principle)
개인정보에 관한 개발, 운용 및 정책에 관해서는 일반적인 공개정책을 취하여야 한다. 개인정보의 존재, 성질 및 주요이용목적과 함께 정보관리자의 신원, 주소를 쉽게 알 수 있는 방법이 마련되어야 한다.
개인정보를 수집하고 있는 대부분의 웹사이트마다 "개인정보보호정책"이라는 것을 제시하고 있다. 이 정책에는 개인정보를 수집하는 이유, 수집하는 개인정보, 개인정보를 보호하기 위한 대책, 정보관리자의 성명과 연락처 등이 제시되어 있다. 모든 업체가 개인정보보호정책을 제시하도록 법적으로 강제하는 이유도 바로 이런 공개의 원칙 때문이다. 이런 공개원칙이 지켜지지 않는다면 정보주체는 자신의 정보가 어떻게 관리·보호되고 있는지를 전혀 모른 상태에서 개인정보를 제공해야하는 부당함을 겪을 수밖에 없다.
7) 개인 참가의 원칙 (Individual Participation Principle)
정보주체인 개인은 자신과 관련된 정보의 존재확인, 열람요구, 이의제기 및 정정·삭제·보완 청구권을 가진다.
개인정보는 누구의 것인가? 바로 정보주체인 여러분의 것이다. 기업의 것이 아니다. 이용자는 계약조건에 따라 개인정보라는 가치있는 정보를 제공하고 이에 합당한 서비스를 제공받는 것이다. 기업들이 공짜서비스라고 말하는 것은 엄밀하게 말하면 거짓말이다. 따라서 개인정보에 관한 모든 권리는 바로 여러분에게 있는 것이다. 간혹 서비스에서 탈퇴하려는 이용자들의 권리를 제한하는 기업이 있는데 이는 명백히 이용자의 권리를 침해하는 행위일 뿐만 아니라 개인참가의 원칙에도 위배되는 행위이다.
8) 책임의 원칙 (Accountability Principle)
개인정보 관리자는 위에서 제시한 원칙들이 지켜지도록 필요한 제반조치를 위해야 한다.
개인정보를 이용하는 자는 그에 따른 책임이 따른다. 앞서 지적한대로 정보주체의 권리를 침해하지 말아야 하며, 목적에 맞게 이용해야 하며, 적합하고 공정한 수단에 의해 수집해야 하며, 해킹을 막기 위한 기술적 대책까지 강구해야 한다. 이런 의미에서 본다면 개인정보는 아무나 수집해서 이용할 수 있는 성질의 것이 아니다. 이에 따른 책임을 지기 어렵다면 말이다.
위에서 제시한 원칙들은 엄밀하게 말하자면 개인정보보호와 차원을 달리하는 사생활 침해 문제 - 직장내 이메일감시나 도청과 감청에 의한 통신자유 침해, CCTV에 의한 사생활 침해 등 - 까지는 적용되지 않는다. 그러나 개인의 통신기록, 개인의 움직임에 대한 비디오테이프기록 등을 포괄적인 의미에서의 개인정보라고 본다면 이 원칙이 적용될 수 있을 것이다.
