이미지 크게보기

전문가 “업종별로 세분화 필요”
강행 규정 아냐 실효성 우려도

중국의 대표적인 e커머스인 알리익스프레스·테무 등의 무차별적 개인정보 수집과 관련해 경찰에 고발장이 접수된 가운데, 관련 법령에 적절한 개인정보 수집 범위에 대한 규정이 없어 정부가 대책 마련에 애를 먹고 있다. 중국 업체들의 개인정보 수집을 강력하게 규제해야 한다는 여론이 들끓고 있지만, 개인정보보호위원회가 법·시행령 등에 명시한 강행 규정이 아닌 ‘가이드라인’ 정도의 대책을 내놓을 예정이어서 제재의 실효성을 기대하기 어렵다는 지적도 나온다.

29일 정부와 업계에 따르면 개인정보위는 오는 9월 15일 시행되는 개인정보보호법 시행령 개정안에 맞춰 개인정보 수집 동의 절차와 동의 없이 수집 가능한 정보의 범위 등을 설명하는 안내서를 발간할 예정이다. 현행 개인정보보호법에는 개인정보 처리자의 ‘개인정보 수집 범위’에 대한 구체적 명문 조항이 없다. 지난 24일 시민단체가 알리·테무가 로그인과 회원가입 시 약관 및 개인정보 수집 활용 등에 강제적으로 일괄 동의를 받은 점, 상품 구매와 관련 없는 개인정보까지 과도하게 수집·활용하고 있다는 점 등을 문제 삼아 경찰에 고발한 바 있다. 그러나 법조계에서는 이와 관련한 구체적 기준이 명시된 법 규정이 없어 실효성 있는 제재를 가하기 어렵다는 분석이 나온다.

실제, 개인정보보호법 제16조는 “개인정보 처리자는 목적에 필요 최소한의 개인정보만을 수집해야 하며 필요 최소한의 정보 외의 개인정보 수집에 동의하지 않는다는 이유로 서비스 제공을 거부할 경우 3000만 원 이하의 과태료에 처한다”고 규정하고 있다. 그러나 정작 ‘필요 최소한’의 구체적 범위를 규정해 놓지 않아 사건별 판단에 의존하고 있다. 개인정보위 관계자는 “온·오프라인, 배송 여부 등 서비스에 따라 필요한 개인정보가 다 다르기 때문에 필요 최소한의 범위 역시 사안마다 다를 수밖에 없다”며 “명문 규정을 만들기가 어려운 상황”이라고 설명했다.

법령으로 규제하기 어려운 내용일 뿐만 아니라, 법 개정은 국내 업체들에도 동일하게 영향을 미친다는 점에서 정부의 중국 e커머스 업체만을 특정해 대응하기가 어렵다는 분석도 있다. 황석진 동국대 국제정보보호대학원 교수는 “업종에 따라 세분화·구체화해 개인정보의 수집과 관리가 어떻게 이뤄지는지 정확히 명시하는 게 바람직하다”며 “업종별 범위에 따라 필요치 않은 정보는 수집하지 않도록 하는 것이 중요하다”고 지적했다.

구혁 기자 gugija@munhwa.com