식별 못하는 개인정보 동의없이 이용 “위법”

프린트

Live 중기 ㅣ 산업뉴스 식별 못하는 개인정보 동의없이 이용 “위법” 비식별화해도 재식별 가능성…방통위 빅데이터 가이드라인 논란

기사입력2015-08-20 00:00

현행 정보통신망법에 따르면 개인정보 수집을 원하는 기업은 당사자의 동의를 얻어야 한다. 그러나 ‘비식별화’ 조치를 한 개인정보의 경우 당사자 동의없이 수집할 수 있다. 방송통신위원회(이하 방통위)의 ‘빅데이터 개인정보보호 가이드라인’(이하 빅데이터 가이드라인)에 따른 것이다. 그런데 이 가이드라인이 만일 상위법에 어긋난다면 어떤 일이 벌어질까? 정부지침을 따랐을 뿐인데, 위법행위를 저질렀다는 이유로 기업들이 손해를 보는 일도 벌어질 수 있다.

19일 새정치민주연합 장병완 의원과 최원식 의원, 경실련 소비자정의센터, 진보네트워크센터가 공동으로 개최한 ‘빅데이터 활용과 다가올 위험’ 토론회에서 법무법인 지향의 이은우 변호사는 방통위의 빅데이터 가이드라인의 내용 중 일부에 대해 “개인정보보호법의 규정에 정면으로 위반되는 것”이라고 비판하며 가이드라인을 폐기 또는 수정할 것을 촉구했다.

비판의 대상이 된 가이드라인은 지난해 12월 방통위가 발표한 것이다. 당시 방통위는 “현행 정보통신망법 등 개인정보보호 관련 법령상 개인정보 수집·이용을 위해서는 반드시 이용자의 사전동의(Opt-In)가 필요하다. 그러나 대량의 데이터를 수집하고 처리하는 빅데이터 산업 특성상 사전동의를 얻기가 쉽지 않아, 이로 인해 발생할 수 있는 프라이버시 침해 우려가 끊임없이 제기됐다”며 가이드라인 지정의 배경을 설명했다.

방통위 가이드라인 상 비식별화와 동의없는 정보수집 관련 조항

<자료=‘빅데이터 개인정보보호 가이드라인’>

가이드라인 4조는 “정보통신서비스 제공자가 개인정보가 포함된 공개된 정보를 비식별화 조치한 경우에는 이용자의 동의 없이 수집·이용할 수 있다”는 내용이다. 모든 정보가 아니라 ‘비식별화 조치’를 한 경우에 한해서 예외적으로 허용하고 있음을 알 수 있다. ‘비식별화’라는 단어는 “데이터 값 삭제, 가명처리, 총계처리, 범주화, 데이터 마스킹 등을 통해 개인정보의 일부 또는 전부를 삭제하거나 대체함으로써 다른 정보와 쉽게 결합해도 특정 개인을 식별할 수 없도록 하는 조치를 말한다”고 정의내리고 있다.

진보네트워크센터의 운영위원이기도 한 이 변호사는 “비식별화만 한다면 개인정보주체의 동의를 받지 않고도 개인정보가 포함된 공개된 정보와 이용내역 정보를 수집, 저장, 조합, 분석할 수 있다는 것은 위법하다”고 주장했다. 만일 개인정보가 현재 일시적으로 비식별화됐더라도 장래의 식별가능성이 있다면 개인정보보호법이나 정보통신망법이 적용돼야 하는데, 가이드라인은 이를 배제했기 때문이라는 것이다.

또 “특히 이용내역 정보에는 쇼핑 내역, 검색 내역, 통신 내역, 의료 등이 포함될 수 있는데, 이들 정보는 개인의 사상, 종교, 성적 취향, 정치적 신조, 노동조합 가입 여부, 인종, 건강, 성생활에 대한 정보 등 민감한 정보를 포함할 수 있다”며 “비식별화를 하더라도 장래의 재식별 가능성이 있다면 반드시 당사자의 동의가 필요하다”고 강조했다.

수집한 정보를 분석해 새로운 정보를 생성할 수 있도록 한 규정 역시 문제점이 있다고 지적했다. 현행 규정은 비식별화한 정보를 분석해 새롭게 생성한 정보에 개인정보가 포함돼 있을 경우, “즉시 파기하거나 비식별화 조치를 취해야 한다”고 정하고 있다. 당사자에게 알리거나 동의를 받을 필요없이, 단순히 비식별화 조치를 재차 하기만 하면 된다는 의미다.

비식별화된 정보와 익명화된 정보 개념

<자료=‘개인정보 비식별화에 대한 적정성 자율평가 안내서’>

이 변호사는 대안으로 “비식별화라는 용어보다 익명화라는 용어를 사용해야 한다”고 주장했다. 이 개념은 행자부와 한국정보화진흥원이 발간한 ‘개인정보 비식별화에 대한 적정성 자율평가 안내서’에 잘 설명돼 있다. 비식별화를 거친 개인정보는 재식별화의 위험에 노출될 수 있다. 이처럼 개인을 알아볼 수 있는지 여부에 관한 판단이 어려운 ‘회색지대’의 정보를 대상으로, 비식별화 조치가 적정했는지를 기업들이 스스로 평가할 수 있는 방안을 안내서는 제시하고 있다.

안내서는 적정한 조치결과 더 이상 개인을 식별할 수 없는 정보를 ‘익명화된 정보’라고 부르고 있다. 이 변호사는 이를 근거로 “비식별화라는 용어보다 익명화라는 용어를 사용해야 한다”고 했다. 자칫 회색지대의 정보까지 동의없는 수집과 사용이 가능하다는 잘못된 인식으로 연결되는 것을 방지해야 한다는 것이다.

토론회에 참석한 국회입법조사처 심우민 입법조사관 역시 “최근 EU에서는 익명화 또는 비식별화 방식의 일환인 가명정보도 개인정보의 일종으로 포함시켜 규제하기 위한 시도가 이뤄지고 있다”며 “이는 비식별화 또는 익명화된 정보도 재식별화의 위험성을 가지기 때문에, 이를 개인정보에 준해서 보호하겠다는 의도를 나타낸다고 볼 수 있다”고 설명했다.

방통위 엄열 개인정보보호윤리과장은 이에 대해 “비식별화 개념은 익명화를 기반으로 해야 한다는 의견에 공감한다”며 “가이드라인에서 정의하고 있는 비식별화는 익명화를 기반으로 하고 있다고 할 수 있다”고 말했다.

엄 과장은 또 “사업자가 빅데이터 처리 시 비식별화해야 하는 개인정보의 항목과 범위, 비식별화 기술 유형 등 현장 적용기준이 부재하다는 일부의 지적이 있다”며 “방통위는 현지 비식별화 현장 적용 기준 마련을 검토 중이다. 국내외 개인정보의 비식별화 처리 기준 및 현장 적용 사례 등을 면밀히 조사·분석해 우리나라 실정에 적합한 기준을 마련하도록 하겠다”고 밝혔다.