EU “개인정보, 가명처리해 활용” … 한국은 기준도 없다

빅데이터가 경쟁력이다 <상> 

빅데이터는 사람이 차를 타고, 밥을 먹고, 물건을 사고, 병원을 가는 등 일상생활에서 자연스럽게 생성되는 수많은 정보를 모은 것이다. 데이터의 수집 과정에서 개인정보가 포함될 수밖에 없다. 빅데이터 활성화와 개인정보 보호가 동전의 양면처럼 맞물려 있는 이유다.

빅데이터 구축, 규제 푸는 게 먼저 #미국, 사전 동의 없이도 쓸 수 있어 #‘사후 거부제’ 통해 개인정보 보호 #“한국, 개인정보 규제 아시아 최고” #개인정보법·통신비밀법·신용법 등 #여러 부처·법률 복잡하게 얽혀 있어

개인정보를 보호하면서 빅데이터를 구축하려면 특정인을 알아볼 수 없게 하는 작업(비식별화)이 필요하다. 여기엔 국제적으로 통용되는 두 가지 방법이 있다.

[그래픽=박경민 기자 minn@joongang.co.kr]

첫째는 특정인을 알아볼 가능성을 완전히 제거하는 ‘익명 처리’다. 개인 신상정보는 모두 삭제하거나 최소한으로 남긴다. 예컨대 ‘서울 거주 30대 남성’이란 식이다. 개인정보 보호에는 문제가 없지만 통계 분석 이외에 빅데이터로서 활용도는 떨어진다.

둘째는 특정인을 알아볼 수 있는 정보에 암호 등을 부여하는 ‘가명 처리’다. 암호를 풀 수 있는 열쇠(암호키)는 분리해 보관한다. 이렇게 모은 데이터는 ‘코드명 ○○○’ 같은 방식으로 성별·나이·거주지 등 개인 신상 정보를 포함할 수 있다. 건강·금융·유통 등 서로 다른 영역 간 정보의 결합도 어렵지 않다. 세밀하게 정보를 활용할 수 있기 때문에 빅데이터로서 가치가 크다.

해외 선진국들은 빅데이터와 개인정보 관련 법적·제도적 정비를 서두르고 있다. 유럽연합(EU)은 이달 말 ‘개인정보 보호 일반규칙(GDPR)’을 시행한다. EU는 익명 정보는 보호 대상이 아니라고 규정하고 모든 규제를 풀었다. 가명 정보에 대해선 일정 조건만 지킨다면 광범위한 활용이 가능하도록 길을 열어줬다.

미국에서는 기업이 이용자의 사전 동의를 받지 않더라도 개인정보를 수집·분석·활용할 수 있다. 대신 사후 거부제(opt-out)를 통해 이용자가 원하면 정보 제공을 거부할 수 있다.

국내 개인정보 관련 규제는 여러 부처와 법률에 걸쳐 있다. 개인정보보호법(행정안전부), 통신비밀보호법(과학기술정보통신부·법무부), 신용정보의 이용 및 보호에 관한 법(금융위원회), 정보통신망 이용 촉진 및 정보보호에 관한 법(과기정통부·방송통신위원회) 등이다.

영국의 대형 법무법인인 호건 로벨스는 “한국의 개인정보 규제는 아시아에서 가장 높은 수준이라 4차 산업혁명 관련 기업이 어려움을 겪는다”고 지적했다.

신수용 성균관대 디지털헬스학과 교수는 “국내 법에서 정의한 개인정보가 어디서부터 어디까지인지 명확하지 않고 국내법에는 비식별화라는 개념도 없다”며 “법적 모호성이 큰 문제”라고 말했다.

2016년 6월 정부는 6개 부처 합동으로 ‘개인정보 비식별 조치 가이드라인’을 발표했다. 당장 법을 고치기 어려우니 행정 해석으로 가능한 것부터 풀어보자는 취지였다. 그나마 정부가 바뀌면서 가이드라인도 흐지부지됐다. 지난해 11월 참여연대 등은 한국신용정보원 등 4개 전문기관과 카드·보험사 등 20개 기업을 개인정보보호법 위반 등 혐의로 검찰에 고발했다. 신용정보원 등이 가이드라인에 따라 개인 비식별화 데이터를 금융회사에 제공한 것을 문제 삼았다. 이후 “정부의 가이드라인을 지켜도 법 위반으로 처벌받을지 모른다”는 우려가 커졌다.

새 정부 출범 이후엔 대통령 직속 4차산업혁명위원회가 전문가와 시민단체·업계 관계자를 모아 논의를 시작했지만 과제가 쌓여 있다. 지금까지 익명·가명 정보의 용어 정리와 활용 방안에 대해선 일부 진전이 있었지만 빅데이터에 필수적인 ‘데이터 결합’에 대해선 결론을 내리지 못했다.

최대우 한국외대 통계학과 교수는 “빨간 신호에 길을 건너는 사람 때문에 교통사고가 난다고 모든 횡단보도를 없애고 지하도로 바꿀 수는 없다”며 “개인정보의 비식별 기술이 발전하고 있으니 기술적인 검토를 통해 사회적 합의점을 찾아야 한다”고 말했다.

주정완 기자