“빅데이터 활용위해 ‘가명처리정보’ 도입을”

프린트

Live 중기 ㅣ 산업뉴스 “빅데이터 활용위해 ‘가명처리정보’ 도입을” 암호화로 누군지 모르지만 정보 모이면 주체 알 수 있어 법적장치 必

기사입력2016-04-11 13:30

이가영 기자 (young@junggi.co.kr) ㅣ다른기사보기

빅데이터의 상업적 활용을 위해 ‘가명처리정보’의 개념을 도입해야 한다는 주장이 나왔다.

가명처리정보(pseudonymous data)란 개인정보를 기술적으로 처리해 해당 정보의 주체가 누구인지 명확하게 알수 없도록 한 정보를 말한다. 누구인지 전혀 알수 없는 익명처리정보(anonymous data)와는 달리, 여러 정보가 모이거나 재식별화 과정을 거치면 정보주체를 알수 있어 이를 활용하는 것에 대해서는 그동안 논란이 있어왔다.

IT IP 전문로펌 ‘법무법인 민후’가 최근 주최한 ‘제1회 신기술 경영과 법’ 컨퍼런스에서 최민정 변호사는 “국내 현행법상으로는 가명처리정보에 관한 법적 근거가 없어 정보주체의 사전 동의없이는 활용이 불가능하다”며 “이 때문에 국내기업들이 정보가 있어도 쉬쉬하며 내부적으로만 사용할 뿐 실제 사업화하는데는 어려움을 겪고 있다”고 밝혔다.

최 변호사는 따라서 “현행 개인정보보호법 해석으로는 빅데이터의 상업적 활용이 어려우나, 최근 해외의 입법변화 추세에 따라 향후 활용을 확대하는 방향으로 입법이 될 가능성이 높다”며 “우리나라도 가명처리정보에 대한 명확한 정의를 내려 사용요건을 완화·확대해 빅데이터 산업에 활용해야 한다”고 했다.

개인정보는 나라마다 차이가 있으나 대개 ‘개인을 식별할 수 있는 정보’로 보는 것이 일반적이다. ‘식별’이라는 것은 다른 사람과 구별짓는다는 의미다. 예를 들어 어떤 회사에 10년간 하루도 빠짐없이 빨간 구두를 신고 오는 단 한명의 여직원이 있다고 가정해보자. 이 여직원의 이름은 몰라도 ‘10년간 매일 빨간 구두를 신고 오는 여자직원’이라고만 해도 다른 사람과 구별 짓기 충분하기 때문에 이 또한 개인정보로 볼 수 있다. 즉 이름이나 전화번호, 주민등록번호가 아니더라도 충분히 개인정보가 될 수 있다.

과거에는 다른 정보와 결합해서 개인정보가 식별성을 갖는 경우가 많지 않았기 때문에 별다른 문제가 없었다. 그러나 최근에는 컴퓨팅 기술의 발전으로 데이터 처리능력과 분석기술이 향상된데다가 소셜미디어 데이터, 공공데이터 개방 등으로 각종 데이터들이 넘쳐나 가명처리정보의 사용이 개인정보를 침해할 수도 있다는 지적이 꾸준히 제기됐다.

그럼에도 불구하고 국내에는 아직 가명처리정보 취급과 관련한 법령이 없다. 각종 안내서나 가이드라인에서는 개인정보를 익명화가 아닌 비식별화 처리를 해도 빅데이터로 사용가능하다고 명시하고 있으며, 나아가 비식별화 정보에는 개인정보보호 법령이 적용되지 않는 것으로 기술하고 있다.

2014년 12월 방송통신위원회가 비식별화를 전제로 빅데이터 처리원칙과 관련한 ‘빅데이터 개인정보보호 가이드라인’을 발표했으나, 비식별화의 개념과 판단이 명확하지 않다. 또 가명처리정보가 사실상 개인정보가 아니라고 규정함으로써 정보주체의 권리침해 우려가 있다는 비판을 받은 바 있다.

<그래픽=이가영 기자> ©중기이코노미

최 변호사는 “EU의 경우 지난해 수년간 논의해 온 가명처리정보에 대한 개념을 신설해 이를 개인정보로 인정했으며, 미국도 개인정보를 좁게 해석해 기업 자율성을 강조하던 기존 입장에서 벗어나 최근에는 개인정보 범위를 확대하는 추세”라고 설명했다.

EU는 지난해 12월 개인정보보호일반법(GDPR)을 최종 합의하는 과정에서 가명화(pseudonymisation)에 대해 명시적으로 정의를 내렸다. 이에 따르면 ‘가명화’는 암호나 킷값 등 추가정보의 이용 없이는 정보가 특정개인에게 더 이상 귀속될 수 없는 방식으로 처리하는 것을 말한다. 이와 함께 해당 추가정보로 식별되거나 또는 식별 가능한 사람에게 연결되지 않도록 해당 추가정보는 분리해야 하고, 기술적·관리적 조치를 취해야 한다고 규정하고 있다.

EU의 개인정보보호일반법에서 가장 주목해야 할 부분은 가명처리정보와 익명정보의 법적 취급을 명시적으로 구분하고 있다는 점이다. 이에 따르면 가명처리정보의 경우 개인정보성을 인정해서 정보보호조치가 필요하나, 익명정보의 경우 개인정보가 아니기 때문에 보호조치가 필요하지 않다.

그러나 가명처리정보의 경우 개인정보성이 인정되더라도, 기술적·관리적 조치를 통해 공익·통계·역사적 목적 등을 위해서는 활용할 수 있도록 예외를 두고 있다.

미국 역시 국내 개인정보보호가 부실하다는 비판에 따라 지난해 소비자 프라이버시 권리장전법안(Consumer Privacy Bill of Rights Act of 2015)을 발표했다. 이에 따르면 1974년 프라이버시법이 고유식별자를 통해 개인이 식별되는 정보만을 보호대상으로 인정해온 것과 달리, 특정개인과의 연결가능성을 통해 정보주체를 식별할 수 있는 경우도 개인정보의 범위로 인정했다. 물론 EU와는 달리 비식별화 처리를 거친 정보(de-identified data)를 비개인정보로 취급한다는 점에는 차이가 있으나, 비식별화와 익명화의 개념을 구분지어 사용범위를 달리했다는 점에서 의의가 있다.

일본도 지난해 개인정보보호법을 개정하면서 빅데이터 활용 목적으로 ‘익명개인정보’라는 개념을 만들었다. 익명개인정보란 특정개인을 식별할 수 없도록 개인정보를 가공해 얻을 수 있는 정보로, 복원할 수 없는 것이 특징이다. 복원할 수 없기 때문에 비개인정보로 취급, 정보주체의 동의 없이 사용할 수 있도록 하고 있다. 다만 이를 위해 일정한 기술적·관리적 조치를 취해야만 한다.