[경제 view &] 개인정보와 빅데이터 산업

유경준 한국기술대교수

얼마 전 국정감사에서 보건복지부 산하 건강보험심사평가원(심평원)이 국민의 건강보험정보를 민간 보험사에 제공했다는 이유로 질책을 받았다. 복지부 장관은 향후 심평원의 관련 빅데이터 제공을 중지하겠다고 답변하는 것을 보았다. 이후 심평원은 민간보험사뿐만 아니라 대학 등 연구기관에도 일체의 의료 빅데이터를 제공하지 않는다. 그뿐만 아니라 고용보험을 취급하는 고용노동부 산하 한국고용정보원도 아예 고용보험 관련 자료의 제공을 중단하고 있다고 한다. 이는 ‘구더기 무서우니 장을 담그지 말자’는 식의 처방이라 할 수 있다.

심평원, 보험사에 데이터 제공 거부 #세계는 빅데이터 확보 전쟁중인데 #한국은 관련 법 제정도 아직 못해 #불확실성 제거해 미래 대비해야

지금은 제4차 산업혁명시대이고 빅데이터는 그 핵심이다. 전 세계적으로 데이터 확보 전쟁이 벌어졌는데, 한국에서는 아직 개인정보 수집과 배포에 대한 법도 제정되지 않았다. 따라서 터질 것이 터진 면도 있지만, 이번 일로 빅데이터 산업이 더 위축될까 걱정이다.

2016년 6월에 행정자치부에서 개인정보보호와 빅데이터 산업 육성의 조화를 위해 개인정보 비식별화 가이드라인을 발표한 바 있다. 이에 따르면 개인정보에 해당하면, 익명화나 삭제 등 다양한 방법으로 비식별화 조치를 해 다른 정보의 결합이나 추론에 의해서도 재식별이 되지 않도록 해야 외부에 제공이 가능하다.

그러나 이 조치는 법이 아닌 가이드라인의 성격이어서 개인정보 사용에 사전 동의를 전제로 하는 관련법과 충돌할 가능성은 언제든지 있었다. 개인정보보호법과 정보통신망법, 신용정보법, 위치정보법에서는 모두 직접적인 개인정보뿐만 아니라 다른 정보와 결합하여 개인식별이 가능한 정보를 개인정보로 보고 있다. 즉, 제공기관에서 아무리 직접적인 개인정보를 충분히 제거했다 하더라도, 타 정보와 결합하거나 발달한 추론 기법에 의해 재식별될 가능성은 여전히 남아 있을 수밖에 없다. 이러한 상황이니 정보를 제공하고 나중에 법 위반으로 처벌을 받는다면 누가 위와 같은 빅데이터를 제공하려 하겠는가?

한편, 개인정보수집 방식에는 옵트인(opt-in)과 옵트아웃(opt-out)이 있다. 옵트인은 정보제공 주체의 동의를 받아야 개인정보를 활용할 수 있고, 옵트아웃은 거부 의사가 없다면 개인의 동의 없이 개인정보를 처리할 수 있는 방식을 의미한다.

미국은 공공기관의 경우 옵트인을 적용하나, 민간분야에서는 옵트아웃도 허용하고 있다. 유럽은 옵트인을 고수하고 있다. 그 결과 이러한 규제 정도의 차이에 의해 빅데이터 산업은 현재 미국의 일방적인 압도로 진행되고 있다. 유럽에서는 구글과 페이스북과 같은 미국 기업에 유럽인의 개인정보가 국경을 넘는 것에 대하여 제재를 가하는 상황이다. 이른바 정보전쟁이 발발한 것이다. 가까운 일본도 2015년에 개인정보보호법의 개정을 통해 개인정보의 역외유출을 제한하고, 익명 가공정보에 대한 정의 확립을 통해 일정한 틀 안에서 본인의 동의 없이 개인정보를 빅데이터 사업에 활용하는 것을 이미 허용하고 있다. 중국은 세계 최고의 유전자 분석기관을 보유하고 있을 정도로 규제에 자유로운 상황이니 언급할 필요도 없다.

금번 심평원 건에 있어 건강보험자료를 받은 민간보험사에 이를 바탕으로 개인정보를 재식별하여 보험가입이나 보험금지급 거절로 이어졌다는 기사도 있다. 이 내용의 사실 여부 확인도 필요하지만, 문제의 핵심은 이 경우 누구에게 책임이 있느냐는 것이다. 필자의 생각은 자료 사용자가 비식별화 자료를 부당하게 재식별하여 사용했다면 불법 사용자를 처벌해야 한다는 것이다. 즉 대부분 신산업이 그러하듯이 사전규제가 아닌 사후규제가 정답일 것이다.

효율성과 공평성의 조화는 가치관이 개입되기 때문에 쉽지 않은 일이다. 빅데이터 산업육성과 개인정보보호도 그러하지만, 현재는 양자의 조화 시도조차 제대로 진행되지 않아 우려된다. 개인정보의 수집과 제공에 관련한 불확실성이 법의 제정으로 조속히 제거되어야 한다. 그렇지 않으면 한국은 제4차 산업혁명과 관련된 세계적인 흐름에 계속 뒤처져 미래를 기약하기 어려울 것이다.

유경준 한국기술교육대학 교수