“가명정보 잘 다루면 편익 커” “개인 신상 노출 우려 커”

그래픽_김지야

개인정보 규제 완화 논란

그래픽_김지야

31일 정부가 발표한 데이터 산업 관련 개인정보 보호 규제 완화 방침의 핵심은 ‘가명정보’ 개념 신설과 개인정보주체의 동의 없는 가명정보 활용, 가명정보 데이터 간 결합 허용 등이다. 정부는 가명정보 활용 활성화와 데이터 결합을 통해 인공지능(AI)을 비롯한 산업이 발전하고 사회적 편익이 커질 수 있다고 말하지만, 시민사회단체는 개인정보 보호를 위한 마땅한 장치를 마련하지 않은 채 기업들의 활용 범위만 넓힌 것이라고 지적한다.

※ 그래픽을 누르면 크게 볼 수 있습니다.

■ ‘산업계 주장’ 반영된 규제 완화 가명정보는 개인을 식별할 수 있는 이름·주민등록번호·전화번호 등을 알아볼 수 없도록 처리해, 추가정보(암호화 논리 등) 없이는 개인을 특정할 수 없게 한 정보를 말한다. 이를테면, 병원이 가지고 있는 이름·주민번호·나이·성별·진료과·병명·처치내역 등의 데이터 가운데 이름·주민번호 등을 ‘대체번호’ 등으로 바꾼 뒤의 데이터가 가명정보다. 이런 가명정보는 개인을 알아볼 수 없기 때문에, 개인정보처리자(기관·기업)가 개인정보주체(고객)의 동의 없이도 애초 개인정보를 수집한 목적과는 다른 용도로 ‘활용’할 수 있다는 것이다.

정부 “상업 목적 활용 길 터야”
신약개발 등 사회적 편익 커져
사후 동의 없을 땐 정보 삭제
개인정보 유출엔 강력히 처벌

정부는 이 가명정보의 활용범위를 △시장조사 등 상업적 목적을 포함한 통계 작성 △산업적 연구를 포함한 연구 △공익적 기록보존 목적으로 정했다. 지난 4월 4차산업혁명위원회 주관으로 정부·시민사회·산업계가 참여한 해커톤에서 3자는 유럽연합의 일반개인정보보호규정(GDPR)에 규정된 내용을 바탕으로 △공익적 기록보존 △학술 연구 △통계 목적으로 사용하되, 학술 연구에는 산업적 연구, 통계에는 상업적 목적이 포함된다는 데까지는 합의가 됐다. 그러나 시민사회단체들은 기업이 활용한다 하더라도 ‘공익적 목적’의 학술연구라는 점을 강조했다. 정부 발표내용을 보면 산업계의 의견을 더 받아들여 ‘학술’이라는 언급을 빼고 ‘시장조사’를 넣은 것으로 보인다.

■ 사회적 편익이 클까, 개인정보 침해 우려가 클까 정부는 가명정보 활용이 사회적 편익을 높일 것이라고 주장한다. 병원에서 수집한 환자들의 가명정보를 통해 신약 개발에 사용하거나, 각 금융사에 흩어져 있는 신용정보들을 모아 낮은 금리의 대출상품을 만들 수 있다. 음성정보도 가명처리를 해 인공지능 플랫폼의 학습용 데이터로 사용될 수 있다. 과학기술정보통신부 관계자는 “기업들이 높은 규제 때문에 많은 사업 모델을 만들지 못했을 뿐이지 가명정보를 활용한 다양한 서비스가 가능할 것으로 보인다”고 말했다. 이날 문재인 대통령은 데이터경제 관련 기술개발을 지원해 전문인력 5만명과 데이터 강소기업 100개를 육성하고, 데이터 산업에 내년에만 1조원을 투자하겠다고 밝히기도 했다.

그러나 규제가 완화되면 그동안 형식적으로나마 이행됐던 ‘동의’ 절차가 사라진 채, 개인은 자신의 가명정보가 어떻게 활용되는지 전혀 알 수 없어, 프라이버시 침해 우려도 적지 않다. 현재 한국에서는 의료빅데이터 업체가 환자 4400만명의 약국 처방전을 주민등록번호를 암호화한 뒤, 약국 처방전 관리 프로그램 업체로부터 환자 동의 없이 사들여 제약회사 등에 되판 혐의로 형사재판을 받고 있기도 하다. 정부가 추진하는 대로 개인정보보호법이 개정될 경우, 이런 사업 모델이 ‘안전한 가명정보처리’와 ‘연구·시장조사 목적’이라면 가능해진다.

시민단체 “공익 목적 한정해야”
진료기록 등 사생활 침해 위험
데이터 결합 땐 개인 식별 쉬워져
감독체계 일원화도 빠져 법망 허술

특히 이번 규제 완화가 병원과 보험사, 통신사와 은행 등 다른 종류의 데이터 간 결합도 허용하기 때문에 ‘개인을 식별할 수 없을 뿐’ 프라이버시에 밀접한 자료를 대거 수집할 가능성도 높다. 여러 종류의 데이터가 결합되면 개인을 재식별할 수 있는 가능성도 높아진다. 시민단체에서는 가명정보 활용 사실이 개인에게 충분히 고지돼야 한다고 주장하지만, 행정안전부 관계자는 “사전고지 의무화는 지금처럼 사용을 못 하도록 막겠다는 것과 다름 아니다”라며 “개인이 사후적으로 가명정보 제공 사실을 인지해 이런 정보활용에 동의하지 않을 경우 개인정보를 삭제할 수 있도록 하는 등의 보완장치를 법에 명시할 것”이라고 밝혔다.

■ 보호대책은 ‘처벌 강화’가 전부 정부는 개인정보 유출·침해는 ‘강력한 처벌’로 제재하겠다는 방침이다. 가명정보 이용 과정에서 특정 개인을 알아볼 수 있게 된 경우 처리를 중지하고 데이터를 삭제하도록 의무화하는 한편, 고의적으로 개인을 재식별한 경우 형사처벌과 과징금을 부과하는 쪽으로 입법을 추진할 계획이다.

그동안 개인정보 보호 법률과 규제기관이 개인정보보호법(행정안전부, 개인정보보호위원회), 정보통신망법(방송통신위원회), 신용정보법(금융위원회) 등으로 분산돼 있고, 법률마다 중복·유사 규정이 난립하고 있다는 점을 들어 시민사회단체는 물론 기업들 역시 규제·감독체계 일원화를 주장해왔지만, 정부는 개인정보보호위원회의 위상을 강화하겠다고 언급했을 뿐, 구체적인 내용은 빠졌다. 주로 정보기술(IT) 기업을 대리해온 구태언 변호사(테크앤로 법률사무소)는 “부처 간에 난립한 개인정보 보호 법령 통합, 거버넌스 정리가 시급한데 (이번 정부 발표에서) 그건 쏙 빼놨다”고 말했다.

박태우 김효실 기자 [e-mail]