자녀들 사진 막 올리고, 왜 문제인지 모른다…영국이 택한 방법

25일 정부서울청사에서 아동·청소년 개인정보 보호를 주제로 전문가 간담회가 열렸다. [사진 개인정보보호위원회]

성인보다 상대적으로 가볍게 취급하던 아동·청소년 개인정보를 보호해야 한다는 목소리가 커지고 있다. 개인정보보호위원회는 지난 12일 아동·청소년 개인정보보호 기본계획을 발표한 데 이어, 22일 아동·청소년 개인정보 보호 가이드라인을 발표했다. 어린이 개인정보를 온라인상에서 처리하는 개인정보 처리자가 준수해야 하는 사항을 주로 설명했다. 오는 2024년 아동·청소년 개인정보 보호 법제를 마련하는 정부가 관심을 가져야 할 문제는 무엇일까. 중앙일보는 25일 정부서울청사에서 아동·청소년 개인정보 보호를 주제로 전문가 간담회를 개최했다.

정부가 최초로 아동·청소년 개인정보를 보호하기 위한 기본계획을 마련했다.  

최경진 가천대 법과대학 교수: 법제도적 관점에서, 아동·청소년은 법의 보호 대상이다. 하지만 이들 개인정보 보호는 상대적으로 경시되는 상황이었다. 이번에 범부처 차원에서 내놓은 법제 방향은 이런 면에서 상당한 전환점을 마련했다고 평가한다. 정보보호 주체가 다층적이라는 점을 전제로 했기 때문이다. 따라서 아동·청소년에 방점을 둔 이번 기본계획 발표를 기점으로, 향후 고령자·장애인·외국인 등 다양한 계층을 위해 차별화한 개인정보 보호 정책을 육성할 수 있을 것으로 기대한다.

이정렬 개인정보보호위원회 개인정보정책국장이 25일 간담회에서 발언하고 있다. [사진 개인정보보호위원회]

그간 아동·청소년 개인정보 보호 수준은 얼마나 미흡했나.

이정렬 개인정보보호위원회 개인정보정책국장: 지난해 개인정보보호위원회 조사에 따르면, 아동·청소년 개인정보가 ‘중요하다’고 응답한 사람은 92.8%에 달했다. 이처럼 중요성을 알면서도 실제로 아동·청소년 개인정보를 보호하려는 노력은 부족했다. 예컨대 애플리케이션을 설치할 때 23.3%만이 개인정보 접근 권한 내용을 확인한다고 답했다. 개인정보 처리 방침을 확인하는 경우는 15.7%에 그쳤다. 자녀 동의를 받지 않고 보호자가 자녀 사진을 임의로 소셜네트워크서비스(SNS)에 올린다고 하는 사람도 86%나 됐다.

나종연 서울대 소비자학과 교수: 통계에서 드러나듯이, 아동·청소년 계층은 디지털 정보 친화도가 높은데도 자발적 권리 보장 측면에서는 노력이 부족했다. 그간 아동·청소년 개인정보 보호 수준을 학점으로 따지자면 C~C+ 정도라고 볼 수 있다. 앞으로 갈 길이 멀다는 뜻이다.

아동·청소년 개인정보 보호를 강화하기 위해 가장 시급한 문제는

나종연 교수: 제도 마련이 시급하다. 영국은 ‘연령 적합성 설계’라는 이름으로 연령대별 개인정보 보호제도를 세밀하게 설계하고 있다. 이에 비해 한국 개인정보보호법은 개인정보 권리 행사가 미숙한 청소년에 대한 고려가 부족한 편이다. 악마는 디테일에 있다는 말이 있다. 이제는 구체적으로 연령대 개인정보 규율 체계를 마련해 체계적으로 아동·청소년 개인정보보호 방안을 제도화할 시점이다.

최경진 교수: 근본적으로 사람의 의식 변화가 필요하다. 아동·청소년의 개인정보가 중요하다는 의식을 모두 공유해야 한다. 개인정보보호위원회를 주축으로 아동·청소년 개인정보가 얼마나 중요한지 인식을 제고하는 캠페인에 나서고, 교육부 등 범부처 차원에서 어린이·청소년을 위한 개인정보 보호 교육을 해야 한다. 어릴 때부터 개인정보 보호가 얼마나 중요한지 인지한다면, 향후 이들이 개인정보 관리자 위치에 있든, 개인정보의 주체자 위치에 있든 당연히 개인정보를 보호하게 될 것이다.

최경진 가천대 법과대학 교수는 근본적으로 아동·청소년 개인정보의 중요성에 대한 의식 변화가 가장 중요하다고 강조했다. [사진 개인정보보호위원회]

개인정보 보호의 중요성을 교육과정에 반영한다면 어떤 내용을 어떻게 강조해야 하나.

나종연 교수: 우선 교육목표를 명확히 세울 필요가 있다. 개인정보가 왜 중요하고 본인이 직접 통제하는 것이 왜 중요한지 아동·청소년이 스스로 이해할 수 있어야 한다. 영국은 18세 미만 아동·청소년을 5단계로 나누어 발달 단계별로 개인정보 보호의 중요성을 강조한다. 한국의 가이드라인은 초등학교 저학년, 초등학교 고학년, 중·고등학교 등 3단계다. 영국처럼 이를 좀 더 세분화하는 방안도 고민해볼 필요가 있다.

최경진 교수: 요람기 교육의 중요성은 아무리 강조해도 지나치지 않다. 어릴 때부터 디지털 기기를 사용할 때 개인정보가 얼마나 중요한지 체감할 수 있는 교육이 필요하다. 이론 교육보다, 직관적으로 체험할 수 있는 교육 방식이면 좋겠다. 예를 들어 통장번호를 잘못 다뤘다가 당장 본인의 계좌에서 돈이 빠져나가는 형태의 가상 체험 교육을 경험한 어린이는 커서도 개인정보의 중요성을 잊지 않을 것이다. 특히 이런 내용은 정규 교육과정에 편입될 필요가 있다. 개인정보보호위원회가 교육부와 협의해서 개인정보 보호 교육안을 교과서에서 다루는 방안을 고민해야 한다.

이정렬 국장: 교육부가 고시하는 국가 교육과정인 ‘2022년 개정 (초·중·고) 교육과정 각론’이 연말경 확정·발표된다. 개인정보보호위원회는 초등학교 ‘실과’, 중·고등학교 ‘정보’ 등 정보교과를 중심으로 관련 과목의 교육과정 각론에 개인정보 보호 내용을 반영하는 방안을 협의하겠다.

아동·청소년 개인정보 보호에 대해 토론하고 있는 나종연 서울대 소비자학과 교수. [사진 개인정보보호위원회]

개인정보 보호 정책이 개인정보를 관리하는 기업에 부담을 준다는 인식도 있다.

이정렬 국장: 정부가 발표한 아동·청소년 개인정보보호 기본계획의 핵심은 2가지다. 첫째, 아동·청소년의 개인정보에 대한 권리를 강화하고 실질적 권리를 보장하는 것이다. 둘째, 아동·청소년이 개인정보의 중요성을 인식할 수 있도록 역량을 강화하는 내용이다. 쉽게 말해서 미래를 이끌어갈 세대의 역량 강화와 권리 보장이 핵심이지, 기업 규제가 목적이 아니다. 개인정보를 다루는 산업계 측에서 이를 일종의 규제라고 오해하지 않았으면 좋겠다.

최경진 교수: 국외에선 개인정보 처리 관련한 자유를 상대적으로 많이 보장하지만, 만약 아동·청소년을 불법적으로 노출하면 굉장히 강하게 규제한다. 반면 한국은 대체로 아동·청소년 개인정보를 불법 이용한 취급자에 대한 규제가 상대적으로 적은 편이다. 개인적으로 아동·청소년에 특화한 개인정보 보호 법규가 제정될 필요가 있다고 생각한다. 다양한 맥락을 고려해서 실효성 있는 명확한 규정이 필요하다. 이렇게 될 경우 개인정보를 처리하는 기업도 예측 가능성이 커지고 문제의 소지가 있는 개인정보 처리 방식은 도입하지 않을 것이다. 개인정보 보호 법제가 마련되기까지 앞으로 약 2년 정도 남았다. 이때까지 사회적 논의를 거쳐 아동·청소년의 개인정보를 충분히 보호하면서도 기업에게 과도한 책임을 묻지 않을 수 있는 실효성 있는 제도를 연구할 필요가 있다.

아동·청소년 개인정보 보호 전문가 간담회에 참여한 나종연 서울대 소비자학과 교수와 이정렬 개인정보보호위원회 개인정보정책국장, 최경진 가천대 법과대학 교수(왼쪽부터). [사진 개인정보보호위원회]

아동·청소년 개인정보 보호 기본계획에선 이른바 ‘잊힐 권리’ 시범사업이 눈에 띈다.  

이정렬 국장: 잊힐 권리란 온라인상에 퍼진 글·사진·동영상 등 정보 주체 본인과 유관한 개인정보를 삭제하거나 확산방지를 요구할 수 있는 권리다. 잊힐 권리는 이번 기본계획에서 아동·청소년의 기본 권리 중 하나라고 선언했다는 의미가 있다. 다만 잊힐 권리 보장을 위한 효율적 방안이 무엇인지 여전히 고민이 많다.

나종연 교수: 아동·청소년은 성장하는 과정에서 과거의 미숙한 행동을 노출하지 않고 싶을 수 있다. 따라서 인간의 자율성 측면에서 잊힐 권리는 중요한 권리다. 표현의 자유를 중시하는 미국에서도 일부 주법을 통해 ‘아동 대상 정보 공개’라는 예외적 조항을 통해 아동·청소년의 잊힐 권리를 보장한다. 우리나라는 현재 자신의 개인정보가 부정확한 경우 수정을 요청할 수 있는 권리(삭제권·right to delete)가 규정돼 있지만, 타인이 올린 글이나 이 글에 접속할 수 있는 링크를 업로드한 경우에는 잊힐 권리가 충분히 보장되지 못하는 측면이 있다. 이런 문제를 해결할 수 있는 제도 마련이 시급하다.

아동·청소년의 개인정보를 보호하기 위한 범국가적 관리 체계와 민·관 협력은 어떤 방식이 효과적일까.  

최경진 교수 : 정부와 기업이 함께하는 ‘협력적 자율(공동) 규제’가 필요하다. 기업이 아동·청소년 개인정보 보호를 위해 자발적으로 참여하고 자율보호를 실천하는 새로운 모델이 필요하다.

나종연 교수: 아동·청소년 개인정보보호 협의회는 개인정보보호위원회 부위원장을 중심으로 교육부·복지부·여가부 등 관계 부처와 관련 기업·전문가 등으로 구성된다. 모든 부처가 나름대로 중요한 역할을 하기 때문에 개인정보보호위원회를 중심으로 범부처가 원활히 소통할 필요가 있다. 특히 기업의 역할이 중요하다고 생각한다. 기업이 현장에서 실제로 실천할 수 있는 개인정보 보호 정책이야말로 실효성 있는 정책이라고 평가할 수 있기 때문이다.

문희철·이수민 기자 reporter@joongang.co.kr