(조세금융신문=방영석 기자) 데이터3법 통과에 힘입어 급물살을 탄 보험사의 빅데이터 활용 움직임에 잡음이 일고 있다.

금융당국이 보험사의 비식별 의료정보의 상업적 활용이 가능하다는 법령해석을 내놨지만 법리 해석의 차이를 드러내며 시민단체들이 격렬하게 반발했기 때문이다.

시민단체들은 신용정보법(신정법)상 ‘데이터3법’(개인정보보호법정보통신망법신용정보법 개정안) 통과와 관계없이 의료정보는 정보 주체의 동의 없이 비식별화 자체가 위법행위라 주장하고 있다.

이들은 금융위가 법령해석을 폐기할 것을 요구함은 물론 보험사가 실제 상업적으로 이를 활용할 경우 민형사상 대응에 나설 것을 천명한 상태다.

◇금융위 “보험사 비식별 의료정보 상업적 활용 가능”

9일 보험업계에 따르면 보험사의 비식별 의료정보 상업적 활용을 놓고 금융당국과 시민단체가 엇갈린 판단 아래 대립하고 있다.

금융위는 최근 가명처리 된 개인 질병정보에 대해 보험사가 고객 동의없이 상업적 활용이 가능하다고 법령해석(200258)을 내놨다.

특정 개인을 알아볼 수 없도록 가명처리 된 비식별 데이터에 한정할 경우, 민감성이 낮으며 이는 정보주체의 동의를 받지 않는 ‘예외’로 봐야 한다는 판단을 내린 것이다.

지금까지 보험사는 질병정보 자체를 활용할 방법이 없었다. 신정법 제33조 2항에서 '신용정보회사 등이 질병 정보 등 을 수집·조사하거나 제3자에게 제공하려면 해당인의 동의를 받도록 규정했기 때문이다.

그러나 올해 초 ‘데이터3법’이 통과되면서 새롭게 도입된 가명정보 개념으로 상황이 변했다. 해당 법안의 핵심은 개인정보를 '가명처리'해 산업·연구 목적에 활용하는 것을 허용하는 것이다.

정보주체 동의 없이 활용할 수 있는 가명정보의 목적으로 과학적 연구, 통계작성, 공익적 기록보존은 물론, 기업 마케팅 전략 등 '상업적 연구'까지 포함하는 것으로 해석되면서 실제 금융당국의 판단에 금융사들의 이목이 집중됐던 상황이다.

때문에 이번 금융위의 법령해석은 비식별 정보의 상업적 활용이 가능하다는 사실을 실제로 확인했다는 점에서 보험업계는 물론 전 금융사에게 시사점이 크다.

금융위는 현 법규 아래에서 특정 개인을 식별할 수 없는 가명처리 질병 정보 등은 정보주체를 알아볼 수 없는데다 동의를 구하려 재식별 작업을 거치는 것 자체가 금지되어 있다는 사실에 주목했다.

보험사가 비식별 의료정보를 상업적으로 활용하더라도 신정법 제33조 2항을 적용하기 어렵다는 결론을 내린 셈이다.

실제로 금융위는 법령해석 회신문에서 "가명처리 된 비식별 정보는 정보주체를 알아볼 수 없어 본인의 동의를 받는 것이 불가능하다"며 "통계작성·연구·공익적 기록보존 목적일 경우 건강정보도 상업적 활용이 가능하다"고 밝혔다.

◇시민단체 “위법한 법령해석 폐기해야”…활용 강행 보험사엔 법적 대응 ‘강수’

문제는 시민단체들이 금융위의 이 같은 해석 자체가 법리적으로 위법하다고 주장하면서 촉발됐다. 금융당국의 법령해석이 데이터3법 통과와 무관하게 ‘위법’하다는 것.

경제정의실천연합(경실련)과 참여연대 등 8개 단체는 최근 공동 성명문을 내고 “금융위의 위법한 유권해석은 범죄행위를 조장하는 것"이라고 주장한 바 있다. 

금융위의 법령해석을 성토하는 시민단체의 주장은 크게 의료정보가 개인신용정보가 아니라는 것과 개인정보로 인정하더라도 질병정보의 활용은 정보주체의 사전동의가 필수적이라는 두 가지 근거에 기반한다.

시민단체는 우선 개인의 질병정보 자체가 개인신용정보가 아니라고 해석하고 있다. 질병정보를 개인신용정보에서 제외한 조항이 데이터3법 적용 이후에도 여전히 동일하게 유지되고 있으며 질병정보를 신용정보로 판단한 금융위 법령해석 자체가 잘못됐다는 설명이다.

이들은 성명서를 통해 “금융위는 그 동안 질병정보 등은 개인신용정보에 해당하지 않는다고 유권해석해 왔으며 특히 개정전 신용정보법에서는 제23조 제1항 제2호에서 ‘개인의 질병에 관한 정보’를 개인신용정보로 포함하였다가, 반성적 고려하에 개인신용정보의 개념에서 개인의 질병정보가 삭제되고 오히려 질병정보 등에 대한 사전동의가 강화됐다“고 꼬집었다.

아울러 “신용정보의 처리 목적이 대통령령으로 제한되는 내용으로 개정된 이전 조항은 데이터 3법 개정 이후에도 신용정보법 제33조로 조문 배열만 변경하여 여전히 유지되고 있다”고 지적했다.

나아가 해당 시민단체들은 설사 질병정보를 개인신용정보로 판단하더라도 개인 동의 없는 비식별 조치 및 상업적 활용은 위법하다 간주하고 있다.

질병정보 등을 수집할 때 개인의 동의를 받고 시행령에서 정하는 목적으로만 이용하도록 명시한 신용정보법 제33조 제2항을 우선 적용해야 함에도, 금융위가 예외규정을 우선 적용하는 오류를 범했다는 설명이다.

이들은 “행정안전부는 개인정보보호법 제24조(민감정보)와 개인정보보호법 제18조 제2항(목적외 제3자 제공의 예외) 해석에 있어 전자를 우선 적용해왔으며 이는 금융위도 마찬가지”라며 “동일한 체계인 신용정보법 제32조 제2항(민감정보의 사전동의 취지)가 존재함에도 불구, 적용 예외 규정인 제6항 제9의2(목적외 제3자 제공의 예외 취지) 우선 적용은 위법하다”고 지적했다.

결과적으로 시민단체는 의료정보 집적의 주체가 되는 정보주체의 동의 작업이 비식별화 과정에서도 이뤄져야하며, 동의 없는 의료정보 활용은 비식별 유무와 관계없이 위법하단 주장을 제기하고 있는 셈이다.

시민단체들은 금융위가 법령해석을 폐기할 것을 요구함과 동시에 보험사가 실제로 비식별 의료정보를 상업적으로 활용할 경우 민형사상 대응에 나설 것을 분명히 한 상태다.

◇갈등의 종착지는 법원?…보험업계 ‘당혹’

갈등 당사자들의 분기점은 이미 개정 시행된 신정법의 해석 및 적용의 문제에 있다. 어느 한쪽이 물러서지 않는다면 금융위와 시민단체가 갈등을 자체적으로 해결할 수 없을 것으로 점쳐지는 이유다. 

일차적으로 정부기관인 금융위의 해석에 공신력이 쏠릴 수밖에 없으나 시민단체가 주장을 굽히지 않을 경우 법원의 최종 판단이 필요할 것이란 의미다.

관련업계 관계자는 “신용정보법 개정 이후 금융위가 판단한 세부 법안 적용 층위와 시민단체가 주장하는 층위에서 차이가 발생한 상황”이라며 “금융위가 스스로 법안을 폐기할 가능성은 크지 않으나 소송을 불사하다면 결국 법원의 판결을 기다려야 할 가능성도 배제할 수 없을 것”이라고 말했다.

빅데이터 활용에 목말랐던 보험사들은 금융위 유권해석에 힘입어 발 빠르게 시장 진출을 타진했던 만큼 시민단체의 ‘위법’ 논란에 당혹감을 감추지 못했다.

금융당국의 해석 및 부수업무 자격 획득을 위한 심사를 통과했음에도 민형사상 대응을 예고한 시민단체의 주장에 난감한 처지에 놓인 것.

당장 현재 보험사가 진출을 타진한 빅데이터 사업이 비식별 질병정보의 활용은 아니나 장기적인 안목에서 헬스케어 등 주요 시장에서 문제시 될 이슈임이 분명하기 때문.

KB손보는 이미 8일 업계 최초로 ‘빅데이터 자문 및 판매 서비스업’ 부수업무 자격을 획득했다. 이를 통해 KB손보는 신용정보원과 금융보안원과 협력해 이종 데이터를 융합한 빅테이터 분석 및 판매가 가능해진 상태다.

바로 다음날은 삼성생명이 금융감독원에 자격을 신청했으며 타 보험사 역시 시장 진출이 기정 사실화 되고 있다. ‘빅데이터 판매’가 업권을 가리지 않고 보험사의 새로운 경쟁 시장으로 급부상한 것이다.

보험사들은 당장 대응이 불가능한 만큼 금융당국 및 상위부처들의 판단을 지켜보며 사업을 계속 추진할 것으로 보인다.

보험업계는 정보 활용이 보다 정교한 상품 개발 및 시스템에 투자, 소비자들을 합리적으로 보호하는데 활용될 것이란 사실을 강조하며 보험사의 ‘사익’에 악용될 것이란 우려에 안타까움을 표하기도 했다.

보험업계 관계자는 “필요하다면 금융위나 대법원이 기준을 세워야 하겠으나 언제까지 개인정보 활용 자체를 막고 해외 데이터로 상품 만들고 팔수는 없는것 아니겠느냐”며 “보험사의 악용을 막을 사후대책을 세우고 긍정적으로 활용할 수 방안을 적극 검토하는 것이 바람직 할 것”이라고 말했다.

[조세금융신문(tfmedia.co.kr), 무단전재 및 재배포 금지]