유엔총회는 1990년 개인정보 처리자로부터의 공정성과 독립성을 보장받아야 하는 개인정보 감독기구의 원칙을 정했다. 유럽연합 역시 1995년 ‘개인정보보호지침’에서 완전히 독립적인 개인정보 보호 감독기구를 설치하도록 의무화했다. 개인정보 보호 감독기구의 ‘완전한 독립성’(with complete independence)의 의미는 이후 유럽연합 일반개인정보보호법(GDPR)에서 발전돼 규정됐다.

유럽사법재판소는 “독립적인 개인정보 보호 감독기관의 설치가 개인정보 처리와 관련해 개인 보호의 필수 요소”라고 전제한 뒤 ‘완전한 독립성’의 의미를 구체화한 바 있다. 재판소는 일관되게 개인정보 보호 감독기관들이 외부 영향에서 자유롭게 임무를 수행할 수 있는 독립성을 향유해야 하고, 직접적이든 간접적이든 결정에 영향을 미칠 수 있는 외부로부터 자유로워야 한다고 강조했다. 이때 독립성의 보장은 개인정보 감독기관 자체와 그 직원들에게 특별한 지위를 보장해 주기 위한 것이 아니라 그 결정에 의해 영향을 받는 개인과 기관의 보호를 강화하기 위해 규정된 것이라고 판단해 왔다.

2012년 오스트리아 정보보호위원회에 대한 판단에서는 “보호위원회의 임원이 정부 감독에 복종해야 하는 공무원이라는 점”, 또는 “연방 총리가 보호위원회의 모든 직무에 대해 무조건적인 정보권을 가진다는 점” 때문에 독립적이지 않다고 판단했다. 2020년에도 독일 개인정보 보호 감독기관이 “국가 감시에 복종하도록 규정한 점”을 문제삼았다.

우리나라는 2020년 1월 9일 개정된 ‘개인정보보호법’에서 과거보다 독립적인 개인정보 보호 감독기구, 즉 현재의 개인정보보호위원회의 설치를 정했다. 이에 따라 개인정보보호법에서는 과거보다 한 걸음 나아가 개인정보보호위원회를 중앙행정기관으로 규정하면서도 국무총리의 행정감독권 대상이 되지 않도록 독립적인 기능성을 입법화했다.

하지만 과거 여러 독립적인 위원회들이 막 입법화됐던 예에서 보듯이 신생 위원회의 독립성은 입법만으로는 실현이 쉽지 않다. 이를 위해서는 초대 위원장과 초대 위원들의 리더십과 의지, 그리고 의미 있는 역할들이 뒷받침돼야 한다.

윤종인 초대 위원장의 개인정보보호위원회는 오랜 세월 숙원 사업이었던 유럽연합과의 적정성 결정 채택을 비롯해 구글·페이스북 등 글로벌 사업자에 대해 엄중하면서도 굵직한 정책적 판단을 했다. 시민의 권리와 인권보장에 대해서도 분쟁 절차 활성화 등을 통해 거침없는 리더십을 발휘해 왔다. 편견 없이 서로 다른 의견을 가진 사회 이해관계자 간 의견과 생각을 섞으며 대화를 증진하려는 노력을 하고 소통을 해 온 점도 놀라웠다.

신생 위원회의 위상을 충실하게 일궈 놓은 점은 초대 위원회의 전문성과 이를 실현하려는 리더십이 큰 역할을 했다. 최근 윤 위원장이 아직 임기가 남아 있음에도 사임 의사를 밝혔다고 해 아쉬운 마음이 크다. 지금까지 닦아 온 방향과 역할들이 더 발전하길 희망해 본다.