[데이터링] ESG와 개인정보 보호는 '한몸'

[아이뉴스24 김혜경 기자] 최근 개인정보 보호법 2차 개정안이 정무위원회 법안소위를 통과하면서 전송요구권 신설과 전송 범위, 예외 규정 등 세부 내용을 둘러싼 논의가 이어지고 있다.

신중한 접근이 필요하다는 목소리가 나오는 가운데 개인정보 처리 투명성 확보, 정보주체 권리 보장은 기업의 ESG(환경‧사회‧지배구조) 경영 실현과도 맞닿아 있다.

2일 개인정보보호위원회 등에 따르면 지난달 22일 열린 정무위 법안소위에서 보호법 개정안 관련 총 21건의 법안이 의결됐다. 이중 개인정보위가 제출한 정부안 1건과 의원 발의안 16건을 대상으로 병합 심사가 이뤄졌으며 4개 의원안은 별도 검토됐다. 정무위 전체회의와 법제사법위원회를 거쳐 본회의에서 최종 의결될 예정이다.

지난 1일 열린 '디지털 대전환 시대에 맞는 개인정보법 개선방안' 세미나에서 조수영 숙명여대 교수는 ESG 경영 실현과 개인정보 보호의 연관성을 강조했다. 조 교수는 "한국ESG기준원(KCGS)이 제시한 ESG 모범규준에서도 사회(S) 영역 모범규준 중 하나로 개인정보 보호의 필요성이 포함됐다"고 말했다.

그는 "모범규준에 따르면 기업은 개인정보 보호법을 준수하고 효과적인 자율규제가 이뤄질 수 있도록 정당한 방식으로 개인정보를 수집‧활용해야 한다"며 "개인정보 보호 관련 활동을 투명하게 공개하고 정보주체의 자유와 권리를 보장해야 한다고 규정하고 있다"고 설명했다.

ESG기준원은 세부기준으로 ▲개인정보 보호 정책 수립 ▲개인정보 보호 책임자 ▲개인정보 위험 관리 ▲수집‧활용 ▲모니터링 체계 구축 ▲개인정보 처리 투명성 확보 ▲정보주체 권리 보장을 제시했다.

해외평가기준위원회와 평가사들은 특정 산업군을 대상으로 데이터 보안을 '중대성(Materiality)' 이슈로 제시하고 있다. 중대성 이슈란 산업 활동의 특성에 따라 기업 재무상태와 영업 성과에 큰 영향을 미칠 가능성이 크다고 판단되는 지속가능성 사안이다.

각 산업의 ESG 이슈는 같지 않으며, 섹터별 비슷하더라도 하위산업마다 중대성이 다르거나 평가 요소별 가중치가 다르게 부여된다. 지속가능성회계기준위원회(SASB)는 인터넷 미디어‧소프트웨어(SW)‧통신 부문의 중대성 이슈로 데이터 보안과 고객 프라이버시 등 5가지를 꼽았다.

조 교수는 '데이터 보호(Data Protection)'와 '개인정보 보호(Data Privacy)'를 명확하게 구분해야 한다고 전했다. 그는 "데이터는 개인데이터와 비개인데이터로 구성되고 데이터를 보호하기 위한 정책은 일반적으로 데이터의 안전한 관리라는 기술적 문제로 귀결된다"며 "개인정보 보호는 적법한 개인정보 처리와 안전한 관리가 관건인데 기술적 접근만으로는 프라이버시 보호 문제를 해결하는 데 어려움이 있다는 점이 차이"라고 말했다.

개인정보 보호는 개인정보처리자의 적법한 처리와 정보주체의 신뢰확보가 핵심이다. 데이터 보호는 기술적 정책, 프라이버시 보호는 개인정보 침해에 대응하고 법적 요구사항을 준수하는 정책 마련이 골자다.

조 교수는 "데이터 보안 관련 기술적 정책이 없다면 개인정보 보호를 보장할 수 없지만 프라이버시 보호가 언제나 데이터 보호를 의미하는 것은 아니다"며 "개인정보 보호는 기술적 보안과 적법한 처리 모두 충족해야 가능하다"고 전했다.

ESG 경영과 개인정보 보호는 자율규제 관련 법정책과도 궤를 같이 한다고 조 교수는 강조했다. 그는 "디지털 전환 시대 데이터 산업 생태계 조성과 개인정보 보호의 양립을 위해선 국가의 획일적 규제만으로는 한계에 봉착할 수 있다"며 "각 산업별 특화된 자율규제 법정책 마련이 필요하다"고 말했다.