개인정보보호법은 가상ㆍ증강현실 기술을 맞이할 준비가 되어 있는가
고범준 변호사(변호사시험 5회)
조금만 움직여도 불쾌지수가 높아지는 무더운 날씨가 계속되고 있다. 그러나 ‘포켓몬 고’의 열기는 폭염마저 무색해지게 한다. 이러한 ‘포켓몬 고’의 흥행 덕분에 새삼 주목을 받는 것이 있다. 바로 가상ㆍ증강현실 기술이다. 우리나라뿐만 아니라 해외에서도 가상ㆍ증강현실 기술을 미래 먹거리로 발전시키려는 모양새이다. 장밋빛 전망도 여기저기서 쏟아지고 있다. 이 기술에 대한 낙관적인 전망이 지나치게 큰 탓일까. 부작용을 우려하는 시선은 적은 것 같다.

무엇보다 개인정보 문제를 염려하지 않을 수 없다. 개인정보보호법의 시행으로 어느 정도 개인정보의 수집이 제한되었지만 아직까지 관행적으로 과도하게 개인정보를 수집하는 경우를 심심치 않게 볼 수 있다. 개인정보를 수집하는 이유는 돈이 되기 때문이다. 이 때문에 개인정보가 불법적으로 수집되거나 유출·판매되어 개인정보자기결정권이 침해받는 부작용이 나타나고 있다.

불행하게도 가상ㆍ증강현실 기술의 발전은 개인정보자기결정권 침해 문제를 더 악화시킬 전망이다. 가상ㆍ증강현실 기기 제작자나 프로그램을 만드는 회사(이하 ‘공급자’)가 이름, 나이, 주소, 전화번호와 같은 개인정보를 넘어 소비자의 내밀한 정보를 수집해서 프로그램을 만드는 데 이용하거나 제3자에게 넘길 수 있기 때문이다.

가상현실을 이용하기 위해서는 관련 프로그램을 VR기기에 설치하거나 클라우딩 시스템을 이용하여 서버에서 전송받아야 한다. 이때 공급자는 이용패턴을 분석하여 정보주체의 관심사, 취향, 집에 머무는 시간대 등을 파악할 수 있다. 또한, 정보주체가 더 생생한 가상현실을 즐기기 위해 얼굴뿐만 아니라 손, 발, 허리 등 신체의 대부분에 VR기기를 착용하면 공급자는 근육의 떨림, 신경반응, 호흡상태와 같은 정보(이하 ‘신체정보’)도 손쉽게 수집할 수 있다.

문제는 이 같은 공급자의 정보 수집ㆍ이용 행위를 현행 개인정보보호법만으로 충분히 통제할 수 있는지 여부이다. 개인정보보호법에서 말하는 개인정보란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보를 말한다. 즉, 개인정보에 해당하려면 ‘살아 있는 개인’, ‘특정 개인과의 관련성’, ‘정보의 임의성’, ‘식별 가능성’이라는 구성요소가 필요하다. 다만, 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있으면 해당 정보도 개인정보에 해당한다.
일반적으로 취미, 관심사 또는 취향은 개인정보보호법상 개인정보로 본다. 그러나 정보주체가 공급자에게 ‘내 관심사는 스포츠입니다’라고 구체적으로 알려주는 것이 아니라, 공급자가 데이터를 분석하여 ‘스포츠와 관련된 프로그램을 자주 이용하므로 이 사람의 관심사는 스포츠일 것’이라고 추정하는 경우에도 개인정보보호법이 적용되는지에 대해서 논란이 발생할 수 있다. VR기기의 작동시간 혹은 프로그램을 이용하는 시간으로 특정 공간에서 머무는 시간대를 수집하는 경우 시간대 정보만으로는 개인을 식별할 수 없다는 문제점도 간과해서는 안 된다.

신체정보 역시 논쟁의 소지가 있다. 공포물을 배경으로 한 가상현실에 있거나 격투를 하는 가상현실 게임을 할 때 정보주체의 근육이 얼마나 떨리고 어떤 신체적 반응을 보이는지를 수집한다고 해서 특정 개인의 정체성을 구별하거나 개인을 알아볼 수 있는 정보를 수집한다고 보기는 어렵기 때문이다. 그렇다고 이런 정보들이 개인의 과거 및 현재의 병력, 신체적ㆍ정신적 장애에 해당하는 정보는 아니므로 민감정보 중 건강에 관한 정보라고 딱 잘라서 말할 수도 없다.

결국, 가상ㆍ증강현실 기술을 이용할 때 공급자가 수집할 수 있는 정보주체의 내밀한 정보 대부분은 개인정보보호법의 보호영역에 속할 가능성이 작다. 설령, 이러한 정보들이 개인정보보호법에서 규정하는 개인정보나 민감정보에 해당한다고 하더라도 정보주체에게 수집ㆍ이용 동의를 받는 절차가 형식적으로 치우칠 우려가 있다. 개인정보 수집ㆍ이용에 동의해야만 가상ㆍ증강현실 프로그램을 이용할 수 있다고 한다면 누가 동의를 거부할 수 있겠는가.

이 밖에도 생각해 볼 문제점은 많다. 가상현실 세계에서 인공지능이 스스로 개인정보를 처리하는 경우 현행법상으로는 인공지능 자체를 개인정보처리자로 정의하기 곤란하다. 그렇다면 인공지능의 개인정보 처리를 인공지능 개발자나 공급자의 행위로 보자는 의견이 나올 수 있다. 그러나 실체가 없는 인공지능의 행위를 개인이나 단체의 행위와 동일하게 보는 것이 타당할지는 의문이다. 가상현실 안에서 위치정보를 이용한 증강현실을 구현하는 경우 그 위치정보를 개인정보보호법상 개인정보 혹은 위치정보의 보호 및 이용 등에 관한 법률상 위치정보와 같은 맥락으로 평가할 수 있을지에 대해서도 고민이 필요하다. 이러한 논의는 시작에 불과하다. 가상·증강현실 기술이 실생활에 녹아들면 더욱 복잡한 문제에 직면할지도 모른다.

이 같은 공백은 가상ㆍ증강현실 기술이 불러올 사회적 변화를 미리 감지하지 못했기 때문에 발생하는 문제이다. 기술이 편리함만 가져오는 것이 아니라는 사실은 이미 많은 경험을 통해서 알고 있다. 우리가 스마트폰 후면카메라로 사진을 남기고 있을 때 정체 모를 누군가는 전면카메라를 통해 나의 일거수일투족을 엿볼 수도 있음을 예상했던 사람이 얼마나 있었을까.
지금 중요한 것은 ‘포켓몬 고’의 아류작을 내놓는 게 아니다. 발생할 수 있는 문제점을 고민하고 대응책을 마련해나가야 한다. 제도적 정비가 늦어지면 늦어질수록 눈 뜨고 코만 베이는 게 아니라 우리의 내밀한 정보마저 넘어가게 된다. 사후약방문식 처방은 이제 그만할 때가 됐다. 또 다른 빅 브라더의 출현을 방지하기 위해서라도 가상·증강현실 시대에 맞춘 개인정보보호법의 점검이 필요하다.