온라인 수업 늘었는데… 아동 개인정보 보호는 '뒷전' [fn 패트롤]

개인정보위, 연내 가이드라인 마련
당초 계획보다 반년 가량 늦어져
KISA·네이버·카카오 등 참여
英 규약 벤치마킹도 빈틈 많아

아동·청소년들의 개인정보 보호에 대한 법·제도적 안전망이 허술하다는 비판이 커지고 있다. 코로나19에 따른 학생들의 장기간 온라인수업, 스마트폰 소셜네트워크 이용 급증 등 아동·청소년이 온라인서비스의 주요 소비자로 부상했으나 정작 이들의 개인정보 보호가 사각지대에 놓여있다는 것이다. 아동·청소년 개인정보보호에 대한 '특별한' 인식 부족과 온라인서비스 확산 정도에 비해 보호 대책이 늦었다는 지적도 나오고 있다.

■개인정보위 대책 반년 늦어져

15일 개인정보보호위원회는 아동·청소년 정보보호 가이드라인(지침)을 마련 중으로, 이르면 내달 중에 윤곽이 나올 것으로 예상된다.

아동·청소년 개인정보보호 제도 추진 방향은 크게 세갈래다. △가이드라인 제정 △개인정보보호 대책 및 관련 법 개정 △별도 아동·청소년 개인정보보호법 입법이다.

개인정보위는 우선 아동·청소년 개인정보보호 가이드라인을 발표한다. 이를 확장해 구속력있는 '보호 대책(방침)'으로 구체화하고, 내년 중에 개인정보보보호법 개정에 반영한다. 사회적 반향 등을 고려해 별개의 아동·청소년 개인정보보호법으로의 입법 추진도 예상된다. 이와 관련 윤종인 개인정보위원장은 최근 출범 1주년 간담회에서 "높은 수준의 아동·청소년 정보보호 가이드라인 제정, 법제 개선 방안 마련 등 특별한 대책을 올해 중 마련하겠다"고 했다.

하지만 개인정보위의 이같은 방침은 당초 계획보다 반년 가량 늦어진 것이다. 올 1월 발표한 업무계획에서 올 6월까지 아동·청소년 개인정보보호 종합대책을 마련하겠다고 약속했다.

실제 개인정보위가 논의를 본격화한 것은 지난 7월이다. 이때부터 각계 전문가 및 한국인터넷진흥원(KISA) 등이 참여한 아동·청소년 개인정보보호 가이드라인 제정 연구반이 가동 중이다. 업계에선 네이버, 카카오, 구글이 참여했다.

연구반은 지난달 7일 킥오프 회의에 이어 오는 19일 예정된 3차 회의에서 초안 격인 가이드라인 안건을 논의한다. 연구반의 한 관계자는 "지금까지 주요국의 사례 연구를 토대로 의견을 주고받았다. 이르면 이달 중에 가이드라인 초안을 공유하고 9월 중순까지 최종 검토가 가능할 수 있다"고 말했다.

개인정보위는 윤 위원장의 공언과 코로나19로 인한 아동·청소년의 장시간 온라인 환경 노출, 인터넷 과의존 위험군 청소년 증가 등 달라진 상황을 고려, 제도 마련에 속도를 낼 방침이다.

조한아 개인정보위 서기관은 "우선 가이드라인으로 추진 중인데 논의 과정에서 '보호 대책'으로 확장될 수 있다. 최대한 서둘러 제도를 마련할 방침"이라고 했다.

■'높은 수준' 英 규약 벤치마킹

개인정보위는 특히 영국의 아동청소년 개인정보보호 대책을 벤치마킹하고 있다.

영국은 지난해 자국의 개인정보보호법(DPA)에 근거해 연령 적합 설계 규약을 만들었다. 온라인 서비스 기업이 18세 미만을 대상으로 연령에 적합한 서비스를 설계하도록 제시한 15개 표준이다.

안은진 KISA 선임연구원은 "영국의 규약은 세계 처음이자 가장 높은 수준의 규정이다. 나이를 세분화해 서비스사업자가 법적으로 어떤 것을 준수해야는지를 구체적으로 명시하고 있다"고 말했다. 영국은 1년 간의 계도기간을 거쳐 내달 2일부터 강제 규약으로 시행한다. DPA에 준해 심각한 위반시 과징금(전세계 연관매출의 4%)도 부과한다.

영국과 달리, 우리의 개인정보보호법에는 아동·청소년에 특정한 규정이 거의 없다. '개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위해 법정대리인의 동의를 받아야 한다'는 게 유일하다.

이런 상황에서 개인정보위가 벤치마킹하는 영국 규약의 상당수는 우리의 법·제도에 규정돼 있지 않다. 상당부분을 새로 규정해야 한다는 얘기다. △서비스 설계·개발시 아동 이익을 최우선 고려 △아동의 연령, 역량 등에 따른 위험도 평가 △연령에 적합한 요구사항 △'높은 프라이버시'의 기본설정 의무화 등 이용자의 의사결정을 유도하는 기술 적용 고지 등이 그것이다.

가이드라인은 구속력은 없으나 기업들은 사회통념상 준수 의무가 주어진다.

특히 기존에 국내에 없던 조항(지침)들이어서 상당한 파장이 예상된다. 이에 네이버, 카카오톡, 구글, 페이스북 등 국내 시장을 장악하고 있는 온라인 서비스사업자는 가이드라인 적용 대상 사업자 범위 등에 촉각을 세우고 있다.

최주선 변호사는 "기업 규제로 접근할 사안이 아니라 부모, 교사, 아동·청소년 등 주체들이 개인정보보호에 관한 역할과 책임을 조화롭게 협력해 실효성을 높이는 게 중요하다"고 말했다.

[e-mail] 정상균 기자

※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지