코로나19 동선공개에 대한 법적 고찰:

메르스는 중동지역 아라비아 반도를 중심으로 2012년 사우디아라비아에서 처음 발생하였는데,⁸⁾ 메르스는 중동호흡기증후군이라는 이름처럼 총 감염환자의 약 98% 가까이가 중동지역에서 나타났다는 특징을 보였다.⁹⁾ 이에 2012년 첫 발병이후 2015년 7월까지 총 26개국에서 1,392명에게서 발병하였고, 538명이 사망하여 약 40%에 가까운 치사율을 보였음에도 불구하고, 우리나라에서는 국내 발병 환자가 없었던 탓에 메르스가 국내에 본격적으로 유입되기 전까지 약 3년 가까이 크게 관심을 가지지 않은 상태였다.

국내에서 메르스 사태가 시작되게 된 것은 2015년 5월 20일인데, 2015년 5월 4일 중동의 사우디아라비아와 UAE를 거쳐 바레인에서 입국한 한 내국인이 그 시초이다. 이 환자는 국내에 들어온 이후 고열과 근육통을 동반한 호흡기질환으로 평택성모병원과 삼성의료원 응급실을 내원하게 되었는데, 그 과정에서 병·의원의 메르스의 높은 전파력에 대한 이해 부족 및 제대로 된 방역조치를 시행하지 못하는 등의 사정으로 인하여 국내에서 약 3개월 간 전국적으로 유행하게 되었다.¹⁰⁾ 우리나라의 경우 총 확진자 186명 중 36명이 사망하여 치사율 약 20%를 보였으며, 격리자 17,000 여명이라는 기록을 세운 감염병이었다.¹¹⁾

2015년의 메르스 사태는 우리나라 방역체계의 문제점들을 그대로 노정하였는데, 이는 우리나라가 국제적으로 유행하는 신종 감염병에 대하여 적절히 관리할 수 있는 법령체계와 방역체계를 갖추지 못한 데에서 비롯된 것으로 보인다.¹²⁾¹³⁾ 특히 메르스 사태 당시의 감염병예방법이 메르스와 같은 신종 감염병 부분에 대하여 명확히 규정하지 못한 탓에 신종 감염병의 예방조치에 관한 법적 근거가 없었다는 점이 문제점으로 지적되었으며, 메르스 사태를 총괄하는 정부의 정보 독점 또는 부정확한 정보공개로 인하여 2차, 3차 감염자들을 적시에 예방하지 못하였던 것도 지적된 바 있다.¹⁴⁾

이에 신종 유행성 감염병에 대한 정부 차원의 컨트롤 타워 확립 및 그에 대한 법적 근거를 마련하는 것이 필요하게 되었고, 메르스 사태 당시 방역 당국인 정부의 메르스 환자에 대한 정보 비공개 원칙 및 정보 공개에 대한 법령 규정 미비로 인하여 2차, 3차 감염자 또는 격리자가 대량 양산되었다는 비판¹⁵⁾때문에 신종 유행성 감염병의 확진자에 대한 정보 공개(특히 확진자의 동선 등)에 대한 필요성이 대두되었다.

이러한 문제점들을 보완하고자 2015. 7. 6.자로 감염병예방법이 개정(법률 제13392호 2015. 7. 6. 개정된 것)되면서 메르스가 제4군 법정감염병으로 지정되었다(동법 제2조 제5호 머목). 이후 2020. 1. 1. 기존의 질환의 특성을 기준으로 제1-4군으로 분류하던 감염병 분류체계를 감염병의 심각도·전파력·격리수준·신고시기 등을 중심으로 하는 제1-4급별 분류체계로 재편하는 법개정을 하였는데(법률 제15534호, 2020.1.1. 개정된 것), 제1급감염병에 대하여 생물테러감염병 또는 치명률이 높거나 집단 발생의 우려가 커서 발생 또는 유행 즉시 신고하여야 하고, 음압격리와 같은 높은 수준의 격리가 필요한 감염병으로서 다음 각 목의 감염병을 말한다. 다만 갑작스러운 국내 유입 또는 유행이 예견되어 긴급한 예방·관리가 필요하여 보건복지부장관이 지정하는 감염병을 포함한다.“라고 정의하면서 메르스 역시 제1급감염병으로 분류되게 되었다(동법 제2조 제2호 하목).

한편 정부의 정보 독점 및 비공개 역시 국민여론의 질타를 받았다. 메르스 확진자의 동선을 정부가 즉시 투명하게 공개하였다면 이를 통해 국민들이 확진자와 조기 접촉이 있었는지 여부를 스스로 조기에 판단할 수 있게 되고 따라서 의심이 되는 환자들은 자발적으로 병원에 내원하여 메르스 감염 여부를 조기에 검사할 수 있게 되어 불필요한 2차, 3차 감염을 예방 및 차단할 수 있었다는 이유가 지배적이었다.¹⁶⁾ 특히 메르스 확진자 중의 한 명(35번 확진자, 삼성의료원 의사)이 2015년 6월 4일 메르스 확진판정을 받았는데, 확진판정을 받기 이전인 2015년 5월 30일 서울 서초구에서 개최된 아파트 재건축조합의 총회에 참석했던 사실(참석자 약 1,600명)이 밝혀지면서 확진자의 동선에 대한 정보공개가 필요하다는 여론이 조성되었다.¹⁷⁾

이에 보건복지부는 현재의 감염병예방법 제34조의2를 신설하여 “보건복지부장관은 국민의 건강에 위해가 되는 감염병 확산 시 감염병 환자의 이동경로, 이동수단, 진료의료기관 및 접촉자 현황 등 국민들이 감염병 예방을 위하여 알아야 하는 정보를 신속히 공개하여야 한다. 다만, 공개된 사항 중 사실과 다르거나 의견이 있는 당사자는 보건복지부장관에게 이의신청을 할 수 있다.”라는 확진자 동선 공개에 대한 법적 근거를 마련하였다. 그리고 2020. 3. 4. 자 개정을 통하여 “감염병위기 시 대국민 정보 공유의 중요성을 고려하여 감염병위기 시 감염병 환자의 이동경로 등에 대한 정보공개 범위와 절차를 구체화하도록” 동법 제34조의2를 개정하고, 당사자의 보건복지부장관에 대한 이의신청 절차 등을 상세히 규정하였다.

이처럼 2015.7.6. 이후로 감염병예방법이 꾸준히 개정되어 감염병 실태조사부터 위기관리 대책의 수립 및 시행, 그리고 감염병 확진자에 대한 정부의 정보공개의무 등이 부과되어 점차 정부의 감염병에 대한 적극적인 조치 및 대국민 정보공개가 강화되었다. 특히 메르스 사태 당시 정부가 정보를 비공개함으로써 오히려 허위사실이 더 유포되는 등의 부작용이 속출하기도 하였던 점과 감염병 및 확진자에 대한 올바른 정보가 공개되지 아니함으로 인하여 국민들이 적절한 예방조치를 할 수 없었다는 점, 그리고 확진자와 접촉한 국민들이 적극적으로 선별검사 등을 받지 못함으로써 오히려 메르스 확산에 기여하게 되었다는 점 등을 고려하여, 이에 대한 반성적인 조치로써 확진자와 감염병의 정보에 관한 것을 공개하도록 규정한 것이다.

헌법에서는 모든 국민은 보건에 관하여 국가의 보호를 받는다고 규정하고 있고(헌법 제36조 제3항), 국민 보건의 보호를 위하여 감염병에 관련된 부분은 ‘감염병예방법’에서 주로 규율하고 있다. 감염병예방법에서는 감염병의 정의에 대하여 특수한 질병의 종류를 나열하는 방식으로 규정하고 있다. 각 질병의 치사율, 전파가능성 및 격리 필요성의 여부를 고려하여, 그 위험성이 높아 국가적으로 관리할 필요성이 있는 질병들을 각 제1~4급감염병·기생충감염병·인수(人獸)공통감염병 등으로 분류하고 분류된 질병의 급 별로 각기 다른 수준의 국가 및 지자체의 대응 방식을 규정하고 있는 것이다.

국민의 보건을 지켜야 할 의무는 국가의 필수적인 의무이기는 하나, 효과적인 감염병예방을 위해서는 역학조사 및 강제격리 등의 개인의 자유와 권리를 침해할 수 있는 강제조치들이 수반될 수 있으므로 감염병의 예방과 관련하여 공익과 사익이 충돌하는 부분이 생길 수 있다. 따라서 이런 공익과 사익의 충돌을 최대한 해소하고 국민의 건강 보호라는 공익적 목적 달성에 맞추어 개인의 권리침해를 최소화하려는 차원에서 현재의 감염병예방법은 각 질병들이 인간의 건강을 위해하는 정도에 따라 국민의 건강 보호라는 공익적 목적의 달성을 위하여 필요한 만큼만 국가 및 지자체가 그에 상응하는 수준으로 대응할 수 있도록 감염병 질병에 대하여 법적으로 분류하고, 이후 대응 조치들을 차등적으로 규정하고 있다.

감염병예방법에서 ‘보건복지부장관은 국민의 건강에 위해가 되는 감염병 확산으로 인하여 주의 이상의 위기 경보가 발령되면 감염병 환자의 이동경로, 이동수단, 진료의료기관 및 접촉자 현황 등 국민들이 감염병 예방을 위하여 알아야 하는 정보를 정보통신망 게재 또는 보도자료 배포 등의 방법으로 신속히 공개하여야 한다’고 규정하고 있다(감염병예방법 제34조의2 제1항). 따라서 현재의 코로나19 사태에 비추어 본다면, 코로나19에 감염된 것으로 확진된 환자의 경우, 그 환자의 이동경로, 이동수단, 진료의료기관 및 접촉자 현황 등의 정보에 대하여 보건복지부장관이 국민에게 그 정보들을 제공해야 하는 의무를 부과하고 있는 것이다. 한편 동법 시행규칙에서는 보다 구체적인 정보공개절차에 대하여 규정하고 있는데(시행규칙 제27조의3), ‘감염병 환자의 이동경로, 이동수단, 진료의료기관 및 접촉자 현황 등을 정보통신망에 게재하거나 보도자료를 배포하는 등의 방법으로 국민에게 공개하여야 한다’고 규정하고 있다(시행규칙 제27조의 3 제1항).

요컨대 메르스 사태에 따른 감염병예방법 개정에 따라 코로나19 환자의 경우에는 보건복지부장관에게 코로나19 확진자의 이동경로 등의 동선에 대하여 공개할 의무가 부여된 것이며, 그에 따라 정부 및 지자체에서는 확진자가 생길 때마다 그의 이동경로 및 이동수단 등에 대하여 정보를 정보통신망 또는 보도자료를 통하여 국민들에게 제공하게 된 것이다.

한편 지방자치단체의 역학조사 및 동선정보의 공개에 대하여 법적인 근거가 있는 지에 대한 논란이 제기된 바 있다.¹⁸⁾ 실제로 감염병예방법을 살펴보면, 역학조사에 대하여 규정한 제18조¹⁹⁾에서는 질병관리본부장, 시·도지사 또는 시장·군수·구청장을 역학조사를 할 수 있는 법적인 주체로 규정하고 있어, 지방자치단체가 개별적으로 실시하는 역학조사에 대하여는 감염병예방법에 법적인 근거가 명확히 규정되어 있다. 하지만 동선정보의 공개에 관련된 부분은 감염병예방법 제34조의2 제1항에서 보건복지부장관만을 정보공개의 주체로 한정하여 규정하고 있고, 또 제2항에서 이의신청을 보건복지부장관을 통해서 하도록 규정하고 있다. 즉, 동선정보의 공개와 관련하여서는 현행 감염병예방법 상으로 공개 권한이 있는 자는 보건복지부장관이 유일하게 규정되어 있기 때문에, 보건복지부장관이 동선정보의 공개에 관한 권한을 지방자치단체의 장에게 특별히 위임을 했다는 등의 사정이 없는 한, 지방자치단체의 위와 같은 동선정보 공개는 적어도 현행법 상으로 법적인 근거가 없는 것이 된다. 이에 대하여 중앙방역대책본부에서는 지방자치단체의 장이 역학조사를 수행할 수 있으므로, 역학조사와 관련된 동선정보의 공개와 같은 것은 지방자치단체가 당연히 할 수 있는 권한 내의 일이다라고 의견을 밝힌 바 있다.²⁰⁾ 하지만 이와 관련하여 원희룡 제주도지사가 (동선정보의) 공개권한을 시·도지사에게 위임해 달라는 식의 요청을 한 바도 있다는 점 등을 고려한다면, 감염병예방법에서 주어진 권한을 넘어선 지자체의 동선정보 공개 행위가 동선정보의 공개의 필요성이나 당위성이 인정된다고 하여 정당화될 수는 없다고 보인다. 적어도 법률에서 부여한 권한에 대해서는 권한이 부여된 자만이 그 권한을 행사할 수 있는 것이 원칙이며, 법에서 권한이 부여되어 있지 않은 자는 권한의 위임과 같은 정해진 적법절차를 통해서만이 비로소 그 권한을 행사할 수 있는 것이기 때문이다.

다만 감염병예방법 제4조 제3항에서 국가·지방자치단체는 감염병의 효율적 치료 및 확산방지를 위하여 질병의 정보, 발생 및 전파 상황을 공유하고 상호 협력하도록 한다라고 규정하고 있어, 이에 근거하여 정부와 지방자치단체 사이에 동선정보를 공유하는 것이 가능해 보인다. 하지만 정보의 공유와 정보의 공개는 약간 다른 차원이라고 보는 것이 타당하다고 생각되는데, 이는 정보의 공유는 행정부 내에서의 공유인 반면 정보의 공개는 대중에의 공개라는 점에서 그 파급효과 등이 전혀 다르게 나타나기 때문이다. 이에 현재 행해지고 있는 지방자치단체 수준에서의 동선정보의 공개는 적어도 그것이 보건복지부장관의 권한 위임과 같은 특별한 사정이 없는 한, 현행법 상 법적인 근거가 없는 것으로 위법한 권한 행사에 해당할 소지가 높다고 보인다.

이러한 동선공개 제도는 개인정보 보호법에 크게 저촉될 여지가 있다. 개인정보를 수집하고 저장하며 제공하고 처리하는 일련의 과정을 정보주체의 동의없이도 단행되도록 설정해 놓았기 때문이다. 심지어 이러한 정보들은 건강 및 성생활에 관한 정보 등에 해당하므로 민감정보에 해당될 여지가 크므로 원칙적으로 처리가 제한되고 정보주체의 별도 동의를 받거나 법령에서 그 처리를 요구하는 경우와 같이 예외적인 경우에만 처리가 허용되는 정보이기도 하다(개인정보 보호법 제23조 제1항 제1호 및 제2호). 그런데 개인정보 보호법은 민감정보에 해당하여 처리가 제한될지라도 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 개인정보에 관하여는 개인정보 보호법을 적용하지 아니한다고 규정한다(개인정보 보호법 제58조 제1항 제3호).²¹⁾

이러한 예외규정은 그 필요성이 당연히 인정되며 유럽연합의 GDPR(Article 9 (2) (i))²²⁾을 비롯하여 세계 각국의 개인정보 보호관련 입법례에서도 유사한 조항이 빈번하게 발견된다. 하지만 이를 두고 개인정보 보호법 제58조가 적용되는 상황에서 정보주체의 권리나 개인정보의 안전한 관리 등에 관한 규정을 일괄적으로 적용배제하는 것은 문제가 있다는 지적이 제기된다.²³⁾ 개인정보 보호법은 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 개인정보에는 개인정보 보호법 제3장부터 제7장까지를 적용하지 않고 있는데, 그 결과 개인정보의 처리(제3장), 개인정보의 안전한 관리(제4장), 정보주체의 권리 보장(제5장), 개인정보 분쟁조정위원회(제6장), 개인정보 단체소송(제7장) 관련 규정들이 모두 적용되지 않게 되기 때문이다.

현행 개인정보 보호법에 따르면 위의 경우 정보주체에게 일반적으로 인정되던 열람권(제35조), 정정·삭제권(제36조), 처리정지권(제37조) 등이 일률적으로 적용배제된다. 그런데 세계 여러 개인정보 보호규정의 준거가 되고있는 유럽연합의 GDPR의 경우 공중보건을 위한 개인정보처리에 대한 예외를 인정하면서도 국내 개인정보 보호법 제58조와 같이 포괄적으로 적용제외를 규정하고 있지는 않다. 즉 공중보건 목적을 위해 민감정보를 비롯한 개인정보의 처리를 허용하나 정보주체에 대한 개인정보 보호수준을 낮추지 않고 있다.²⁴⁾²⁵⁾ 이를 도식화하여 비교하면 아래와 같다.

그림 1. 우리나라 개인정보 보호법과 EU GDPR의 비교²⁶⁾

Download Original Figure

개정된 감염병예방법에 근거규정을 바탕으로 현재 동선공개 제도는 활발하게 운영되고 있다. 이는 한국의 앞서가는 정보통신기술(IT)과 결합하여 기존에는 평균 하루 이상 소요되었던 이동동선 파악 등 역학조사 분석시간을 10분 안에 마칠 수 있는 시스템을 구축하는 데에 이르기도 하였다. 이러한 코로나19 역학조사 지원시스템은 감염병예방법에 따른 역학조사 절차를 자동화하는 시스템으로서, 대규모 도시데이터를 수집하고 처리하는 스마트시티 연구개발 기술을 활용했다고 알려져 있다.²⁷⁾ 그 결과 우리나라는 K방역 신드롬을 불러일으킬 정도로 코로나19 방역선진국으로 널리 알려지게 되었다.²⁸⁾

그림 2. 코로나19 역학조사 지원시스템 운영화면 (자료 = 국토부 제공)²⁹⁾

Download Original Figure

위와 같이 개정된 감염병예방법 제34조의2 및 개인정보 보호법 제58조 제1항 제3호에 따라 현재 한국의 보건복지부와 질병관리본부를 비롯한 공공기관은 전염병 발생시 7가지 범주의 정보를 수집하고 프로파일링하여 공유할 수 있다. 이는 위치정보, 개인식별정보, 의료정보, 출입국정보, 카드정보, 대중교통정보, CCTV정보 등이다. 질병관리본부는 중앙정부와 지방자치단체 및 전문가협회 등과 위 데이터를 공유할 수 있다.³⁰⁾ 이를 바탕으로 상술한 코로나19 역학조사 지원시스템을 구현할 수 있었으며, 이는 국내에 구축된 인프라를 기반으로 효율적인 역학조사를 가능하게 하였다. 다만 후술하듯 이는 심각한 프로파일링으로 귀결되어 개인정보 보호논란을 촉발하는 단초가 되기도 하였다.

감염병예방법 제76조의2에서 확진자에 대한 정보 제공 요청 및 정보 확인 등에 대하여 규정하고 있는데, 동조 제1항³¹⁾에서 감염병환자등 및 감염병의심자의 성명·주민등록번호·주소 및 전화번호와 같은 인적사항과 처방전·진료기록부 및 출입국관리기록에 대한 정보제공을 요청할 수 있으며, 요청 받은 자는 이에 따라야 한다고 규정하고 있다. 또한 대통령령으로 정하는 이동경로를 파악하기 위한 정보를 요청할 수 있다고 규정하고 있는데, 감염병예방법 시행령 제32조의2에서 신용카드 등에 대한 사용정보, 교통카드 사용명세 및 영상정보처리기기를 통하여 수집된 정보라고 규정하고 있어³²⁾, 이런 정보들을 통해 감염병환자 또는 의심자의 동선정보를 추적해 나갈 수 있다.

그리고 실제로 역학조사 및 동선을 추적하는 과정에서, 이러한 법률 규정에 근거하여 다각도로 해당 환자의 동선정보들을 적극적으로 취합한 것으로 보인다.

그림 3. 한국의 코로나19 역학조사 프로세스³³⁾

Download Original Figure

감염병 확진자에 대한 동선을 공개하는 것은 감염병예방법이 개정되어 정보공개에 대한 법적 근거를 갖춘 이후 코로나19 사태가 사실상 처음이다. 처음이니만큼 동선 공개에 따른 부작용도 속출하였다. 코로나19에 확진된 환자들의 동선 공개 초반에는 확진자들에 대한 일방적인 비난이 특히 거세었는데, 일례로 3번 확진자의 경우 3번 확진자가 국내에 입국한 이후 일산에서 강남까지 거쳐갔던 광폭 행보에 대하여 온라인 커뮤니티에서는 확진자가 지나치게 활보한 것 아니냐는 과도한 비난이 쏟아진 바 있다³⁴⁾.

이외에도 확진자들이 속속 추가되면서 그들에 대한 동선이 개인별로 시간 순서대로 공개되었는데, 이를 보도자료 또는 정보통신망을 통하여 접한 누리꾼들이 동선이 공개된 확진들에 대한 억측 또는 비난 등을 쏟아내며 확진자들이 스스로 동선 공개한 이후에 2차, 3차 피해를 입기도 하였다. 동선을 공개한 일부 확진자는 노래방 도우미가 아니냐는 식으로 여론몰이가 흘러가 비난을 받기도 하였고, 어떤 확진자에 대하여는 그 확진자가 코로나19 확진 이전에 교통사고로 병원에 입원한 것이 밝혀졌는데, 교통사고로 병원에 입원한 이후에도 병원 외에서 광폭행보를 한 정황이 동선 공개를 통하여 드러났다고 하면서 결과적으로 해당 확진자가 경미한 교통사고를 빌미로 병원에 입원까지 한 나이롱 환자가 아니냐는 비난이 일기도 하였다³⁵⁾.

그밖에 확진자가 다녀간 영업장들이 방역당국의 긴급조치에 따라 임시폐쇄되는 등, 코로나19 확진자가 다녀갔다는 것 자체만으로 해당 업장 입장에서는 일종의 주홍글씨가 되는 것 아니냐는 비판이 일어나기도 하였고, 일부 몰지각한 사람들은 특정 영업장에 대하여 본인이 확진자라고 사칭하며 확진자가 다녀갔다는 이유로 영업장이 일시 폐쇄조치 되기 싫으면 금품을 달라는 식으로 영업주들을 상대로 한 금품 등을 갈취하는 범죄가 횡행하기도 하였다³⁶⁾.

코로나19 확진자 이동경로는 개인정보에 해당하기도 한다. 이중에서 특정인이 코로나19에 걸렸다는 정보는 건강 및 성생활 등에 관한 정보로서 법이 정하는 민감정보로서 원칙적으로 그 처리가 제한된다(개인정보 보호법 제23조 제1항). 개인의 과거 및 현재의 병력, 신체적·정신적 장애, 성적 취향 등에 관한 정보이기 때문이다. 이는 정보주체의 동의를 받은 경우 또는 법령에서 처리를 요구하는 경우 같이 예외적인 사유에 해당할 경우에만 처리할 수 있다(개인정보 보호법 제23조 제1항 제1호 및 제2호)

그럼에도 불구하고 개인정보 보호법은 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 개인정보에 관하여는 개인정보 보호법의 적용을 사실상 배제하고 있다(개인정보 보호법 제58조 제1항 제3호). 결국 코로나19 확진자 이동경로 공개는 감염병예방법에 근거하고 있는 기본권 제한으로서 개인정보 보호법의 적용대상이 되지도 아니한다. 하지만 개인정보 보호법으로 보호받지 않는다고 해서 프라이버시에 보호가치가 없는 것은 아니다. 국가는 개인이 가지는 불가침의 기본적 인권을 확인하고 이를 보장할 의무(기본권 보호의무)를 지니는바(헌법 제10조 제2문), 법률상 규정이 없어도 보호가치 있는 국민의 기본권은 보호해야 하기 때문이다.

감염병의 확산방지와 예방을 달성하기 위해 감염환자가 다녀간 방문장소와 방문시간을 일정부분 공개할 필요성이 있다. 다만 그 과정에서 확진환자 개인별로 필요이상의 사생활정보가 구체적으로 공개되면서 내밀한 사생활이 비자발적으로 노출되어 프라이버시가 과도하세 침해될 여지도 있다. 나아가 확진환자에 대한 비난과 조롱 및 혐오가 지나쳐 2차적인 피해확산이 우려되기도 한다. 이는 검사기피 현상으로 인해 방역에 지장을 초래할 수 있다는 점에서 경계되어야 한다. 실제로 서울대학교 보건대학원은 2020. 2. “응답자들은 자신이 감염되는 것보다는 확진환자가 되어 주변으로부터 비난을 받는 것을 더욱 두려워한다.”라는 설문조사 결과를 발표하였다. 모든 확진환자에 대해 상세한 이동경로를 공개하면 의심증상이 있는 사람이 프라이버시 침해를 우려하여 스스로 검사받는 것을 꺼리게 될 수 있기 때문이다.

확진자 동선공개로 인해 식당가와 상가는 매출이 급감하는 현상을 겪고 있다. 확진자가 다녀간 사실이 구청 홈페이지 등을 통해 알려진 방역이 완료되었다는 문구를 붙여도 그 식당이나 상가를 이용하지 않게 되었기 때문이다.³⁸⁾ 동선공개로 인한 피해보상을 해달라는 진정을 해보아도 구청에서도 적절하게 대응하기 어렵다는 입장으로 보인다. 법률에 근거한 정보공개로서 적법하며 인과관계가 명확하지 않으므로 손해배상이 되지 않으며, 손실보상의 경우에도 관련규정상 의료기관만이 그 대상이기 때문이다(감염병예방법 제70조).³⁹⁾ 보건당국은 방역 뒤 휴업을 권고하고 있을 뿐, 영업차질에 이어 기피현상까지 나타나면서 영세한 상인은 생계에 큰 위협을 받게 되었다.

개인정보는 살아있는 특정 개인에 대한 정보로서 식별(가능)성과 결합용이성을 요건으로 하였다. 그런데 이것만으로 데이터에 대한 사회적인 수요에 적절히 대처하기 어렵다는 인식이 공유되면서 원래상태로 복원하기 위해서는 추가정보의 사용이 필요한 정보를 가명정보라고 하였고 이 또한 개인정보의 범위에 포함시키게 되었다(개정 개인정보 보호법 제2조 제1호 다목). 이때에 가명처리란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 의미하는 것이었다(개정 개인정보 보호법 제1의2). 개인에 관련된 데이터는 식별자와 준식별자 및 속성자로 나누어볼 수 있는데, 가명정보는 식별자와 준식별자를 최대한 제거하는 반면 속성자를 살림으로써 정보주체의 프라이버시를 존중하는 동시에 데이터의 효용을 극대화하기 위하여 고안된 방법이라고 평가할 수 있다.⁴⁴⁾⁴⁵⁾

가명정보 또한 개인정보이므로 개인정보 보호법이 그대로 적용된다. 다만 추가정보의 활용 없이는 정보주체를 특정할 수 없기 때문에 정보주체 이외로부터 수집한 개인정보의 수집출처 등 고지(개인정보 보호법 제20조), 개인정보의 파기(개인정보 보호법 제21조), 영업양도 등에 따른 개인정보의 이전 제한(개인정보 보호법 제27조). 개인정보의 유출 통지(개인정보 보호법 제34조 제1항), 개인정보의 열람(개인정보 보호법 제35조), 개인정보의 정정 및 삭제(개인정보 보호법 제36조), 개인정보의 처리정지 등(개인정보 보호법 제37조), 개인정보의 수집 및 이용 동의 등에 대한 특례(개인정보 보호법 제39조의3), 개인정보 유출등의 통지 및 신고에 대한 특례(개인정보 보호법 제39조의4), 개인정보의 파기에 대한 특례(개인정보 보호법 제39조의6), 이용자의 권리 등에 대한 특례(개인정보 보호법 제39조의7), 개인정보 이용내역의 통지(개인정보 보호법 제39조의8)의 적용이 제한된다.

가명정보는 상술하였듯 개인정보의 활용을 촉진하되 그로인한 프라이버시 침해의 위협을 최소화하기 위하여 고안되었다. 데이터 활용으로 인해 달성할 수 있는 유용성은 극대화하되 그로 인해 초래될 수 있는 해악을 최소화하기 위하여 기술적이고 관리적이며 물리적인 보호조치를 취하게 된다. 하지만 개인정보 처리에 대한 개인정보 보호법상 제반규정의 적용이 면제되는 본 건과 같은 공중보건상의 조치에는 개인정보 관련법령에 규정되어 있는 자세한 규정들이 그대로 적용되리라고 기대하기는 어렵다. 다만 이 또한 일종의 개인정보이므로 공중보건의 목적이 아무리 심대하다 하더라도 사익도 가능한 범위 내에서 최대한 존중하는 것이 바람직한바, 일반적인 범주에서의 기술적이고 관리적인 보호조치는 적용하도록 고민할 필요가 있다.

기술적 보호조치란 개인정보 보호법 제28조의4와 제29조에 규정되어 있는 조치인데 일반적으로 해시함수를 적용하는 기법과 암호화 기법으로 나누어볼 수 있다. 해시함수란 임의의 길이를 지닌 메시지를 입력받아 고정된 길이의 값을 산출해내는 함수이다. 일방향으로만 처리할 수 있을 뿐 그 반대로 처리할 수는 없으므로 데이터를 변형하여 보호하는 데에 가장 광범위하게 사용되는 기법 중에 하나이다. 또다른 하나는 암호화 기법인데 이는 일정한 메시지(평문)를 특정 범주의 사람들만 알아볼 수 있는 다른 형태의 메시지(암호문)로 변환하는 과정이다. 해쉬함수의 경우와 다른 점은 암호화 기법의 경우 대개 복호화가 가능하도록 설계되어 있다는 점이다.⁴⁶⁾

관리적 보호조치로서 내·외부에 감사를 도입하는 방식과 TTP를 두는 방식이 제안된다. 회계의 맥락에서 법인을 대상으로 내부통제를 하고 외부감독을 하는 메커니즘이 존재하며 이는 국제적인 기준으로 정립되어 활용되고 있다. 이를 가명정보 보호에도 그대로 가져와 변용할 수 있다. 또한 TTP란 신뢰할 수 있는 제3자(Trustworthy Third Party)의 약자로서 내부에 독립적이고 중립적인 감시자를 두는 방식이다. 이는 보건의료 맥락에서 빈번히 활용되며 기존에 생명윤리법상 요청되던 기관윤리심의회(IRB) 형태로 존재하기도 하고, 이와 별개의 독립된 빅데이터검토심의회(BRB) 형태로 활동하기도 한다.⁴⁷⁾

국가인권위원회의 성명과 보건당국(중앙방역대책본부)의 조치는 가명처리 기법과 아이디어를 활용한 것이라고 평가된다. 국가인권위원회의 경우 확진환자 개인별로 방문시간과 방문장소를 일일이 공개하는 현재의 방식이 부적절하다고 주장하며, 확진자 개인을 특정하지 않고 시간별로 방문장소만을 공개하는 방안 등을 고려해야 한다고 하였다. 기존 동선공개는 확진자의 이름만 숫자로 바꾸었을 뿐 그 외의 정보에 변형을 가하지는 않았기 때문이다. 물론 기존의 동선공개 또한 추가정보의 결합 없이는 특정 개인을 식별할 수 없는 정보라는 점에서 기초적인 가명처리에 해당하기는 하나 추가정보로서 분리해 놓은 특정 개인의 이름 등과 별개로 제3자의 배경지식이 작용하게 되면서 정보주체를 식별하여 사회적인 불이익을 주는 경우가 빈번하게 목도되어 문제시 되었던 것으로 보인다. 국가인권위원회는 그에 대응하기 위하여 식별자와 준식별자를 남기지 말고 일부 속성자만을 남기는 방식으로 보다 심도있는 가명처리를 하도록 권고한 것으로 해석된다. 이는 가명처리의 기법과 아이디어를 적극 활용한 것으로서 공중보건 상의 수요에 부합하되 정보주체의 프라이버시를 최대한 보호할 수 있는 방안으로서의 의미가 있다.

이러한 국가인권위원회의 의견을 적극 수용한 보건당국(중앙방역대책본부)의 2020. 3. 14. 감염병환자의 이동경로 등 정보공개 범위에 관한 가이드라인은 감염병 환자의 이동경로, 접촉자 현황 등의 정보공개는 역학적 이유, 법령상의 제한, 확진자의 사생활 보호 등의 다각적 측면을 고려하여 감염병 예방에 필요한 정보에 한하여 공개해야 한다는 것이 그 골자이다. 코로나19 확진자를 대상으로 하여 기본권이 제한되는 정보주체의 범위를 최소화하였으며 공개범위에 있어 종적인 측면인 장소나 이동수단 기타 접촉자뿐만 아니라 횡적인 측면인 공개대상이 되는 시간의 범위까지 제한함으로써 개인정보 보호법이 적용되지 않는 개인정보 처리이지만 실질적으로는 개인정보 보호법상 주요원칙이 적용되는 결과에 이르게 하였다. 또한 해당 공간 내의 모든 접촉자가 파악된 경우 굳이 가명처리된 정보조차 공개하지 않을 수 있도록 여지를 남겨두었는바 융통성 있게 운용될 수 있도록 배려하였다. 결국 이는 개인정보 보호법의 취지를 고려한 대처였다고 보인다.

나아가 보건당국(중앙방역대책본부)가 2020. 5. 31. 도입하기로 발표한 전자출입명부는 개인정보의 안전한 활용을 위해 고안된 가명정보의 보호를 적용한 사례라고 해석된다. 전자출입명부는 감병병 위기가 심각할 경우에만 예외적으로 역학조사를 지원하기 위해 도입되었는바 공익과 사익을 형량하였고, 개인정보와 방문기록을 분산하여 보관하며 역학조사에 필요한 경우에만 개인이 식별되도록 정보를 결합하여 방역당국이 참고하게 함으로써 가명처리 특례에서 고민했던 개인정보 보호방식이 적용되도록 하였다. 무엇보다도 역학조사에 필요한 4주가 지나면 정보가 자동적으로 파기되도록 디자인함으로써 개인정보가 추후 오남용되지 않으리라는 정보주체의 신뢰를 확보할 수 있는 단초를 마련하였다. 무엇보다도 전자출입명부 도입은 시설관리자에게는 의무이나 이용자에게는 그렇지 않아 거부할 여지가 있으므로 정보주체의 선택권도 존중하였다.

이처럼 국가인권위원회의 성명과 보건당국의 조치들은 가명처리 특례에서 고민했던 개인정보의 안전한 활용방식을 일부 수용한 것이었다. 이러한 시도들은 분명 의미가 있었고 앞으로도 장려되어야 할 것이다. 다만 여전히 부족한 점이 있었다고 보인다. 기술적이고 관리적인 조치가 일부 간과되었기 때문이다. 가령 공중보건 목적으로 민감정보를 처리할 때에 암호화 등 기술적 조치를 적용하는 방식을 고려해볼 수 있다. 또한 공중보건 목적으로 개인정보를 처리하고 공개하는 데에 있어 전반적인 거버넌스 체계를 재정비하고 이를 독립적이고 중립적인 제3자를 두어 주기적으로 관리할 필요가 있다. 우리나라의 경우 공중보건에 대한 역학조사 결과가 중앙정부와 지방자치단체라는 두 가지 차원에 걸쳐 나누어 공개되는데, 지방자치단체는 중앙정부와는 달리 프라이버시를 상대적으로 덜 고려하는 경향이 있다.⁴⁸⁾ 이 점은 추후 정책적으로 재고되고 조정되어야 할 과제로 보인다.