“금융기관 맞춤형 정보보호법 제정해야”

대규모 고객정보 절취사건이 대규모 유통으로 이어진 사태를 맞아 정부가 정보보호 종합대책을 내놓긴 했지만 제대로 보호하려는 목표 달성까지는 신용정보법을 포함, 관련 법령의 광범위한 손질이 절실하다는 지적이 잇달아 나왔다.

또한 금융권으로 한정하더라도 권역마다 실정이 다른 만큼 매우 정치(精緻)한 법령 제·개정을 추진하는 동시에 관련 규정과 금융사 내규 등 제도와 조직 등 인프라 개선 역시 폭 넓고 세밀하게 이뤄져야 한다는 주장들이다.

또한 신용정보법의 개선방향으로 신용정보법의 불분명한 부분들을 보다 명확히 할 것을 요구했다. 이같은 지적과 주장이 21일 오후 국회입법조사처 대회의실에서 열린 ‘금융기관의 신용정보 관리와 보호를 위한 법률적 대책’ 세미나에서 제시됐다.
◇ 개인정보보호법이 개별법과 충돌

이날 발표자로 나선 박재현 변호사(법무법인 율촌)는 개인정보보호법 시행 이전에도 금융회사들에 대해 신용정보법과 금융실명법 등 정보보호에 관한 개별법들이 적용되고 있었기에 개인정보보호법이 은행 업무에 직접적으로 미친 영향은 막상 그리 크지 않을 수도 있다고 주장했다.

또한 “개인정보보호법이 시행 이후 상당한 영역에서 기존 개별법들과 상호 모순·충돌되거나 모호한 상태라는 점이 은행권이 법을 준수하는 데 가장 큰 장애요인”이라며 “금융회사들에 적용되는 개별법으로서의 정보보호법률이 제정될 필요가 있다”고 방안을 제시했다.

기존에 금융권에 적용되던 개별법인 신용정보법이나 금융실명법은 금융업무의 특정한 부분에만 적용되기에 업무 전반에 적용될 수 있는 보다 체계적이고 통합적인 법률을 제정할 필요가 있다는 것이다.

◇ 동의에 의한 규제 자칫 동의 만능주의로
토론자로 나선 고환경 변호사(법무법인 광장)는 동의에 기초한 개인정보보호 규제의 한계를 지적했다.

“개인정보 자기결정권을 보장하는 방안으로 동의의 구체화, 동의 방법에 대한 구체적 규제의 도입을 고려하는 것은 타당하나 동의의 규제는 자칫 동의 만능주의로 치우칠 우려가 있다”는 것이다. 결국 현행 법제 하에서 실질적 동의를 구현하기 위해서는 이를 위한 보다 구체적인 가이드라인이 제시될 필요가 있을 것으로 판단했다.

또한 신용정보법을 개정하여 분사하는 회사의 경우 원칙적으로 자사 고객이 아닌 개인정보를 이관 받지 않도록 하는 방안에 대해 다양한 제휴 서비스가 제공되고 있는 상황에서 어느 범위까지 자사 고객으로 판단할 것인지 해석상 다툼이 발생할 가능성이 있다고 주장했다.

현재 신용정보법상 ‘신용정보제공·이용자’의 범위가 금융기관이 아닌 일반 사업자까지 포섭될 수 있어 이 범위를 ‘금융기관’으로 제한하여 규제할 필요성이 있다는 논리다.

◇ 개인정보 파기 어떻게 할 것인가?

토론자로 나선 한국씨티은행 이창원 부행장은 실무자로서 겪는 어려움에 대해 토로하며 이번 정보 유출 사태 이후 큰 이슈 중 하나였던 개인정보 파기에 대해 “실무상 가장 많은 어려움을 겪고 있는 부분이다”라고 말했다.

법규정 자체가 명확하지 않아 다의적 해석이 가능하기 때문이다. 향후 민원에 대비하거나 거래종료 이후에도 일정기간 보관할 필요가 있고 개인정보를 마케팅 목적으로 이용하는데 동의한 경우 등 파기시점과 관련해 거래종료와 동시에 해당 개인정보가 불필요하게 되었다고 볼 수 있는 것인지 불분명하다.

또한 “실제 파기시점이나 별도 보관시점이 도래한 정보를 일자별로 저장·보관된 문서에서 선별해 파기하거나 별도 보관 조치를 취하는 것은 실무상 매우 어렵다”고 설명했다.

이에 대해 발표자로 나선 서울대학교 법학전문대학원 정순섭 교수는 “보관기간, 파기의무의 근거를 명확히 하고 유출신고의무를 도입할 것”을 개선방향으로 제시했다. 거래종료 이후 정보 보유기간에 대해서는 법령상 채권보유기간, 법령에 의한 최저보유기간, 고객이 동의하는 기간 중 가장 긴 기간까지 보유하는 것이 바람직하다고 보았다.

김효원 기자 hyowon123@fntimes.com



관리자 기자