정부가 지난달 31일 '데이터 규제혁신' 정책을 발표했다. 이날 문재인 대통령은 판교 스타트업 캠퍼스에서 열린 '데이터 경제 활성화 규제혁신' 행사에 참석해 "데이터 규제혁신은 기업과 소상공인, 소비자 모두에게 도움이 되고, 혁신성장과 직결된다"며 규제혁신 필요성을 강조했다. 데이터 경제 규제혁신을 경부고속도로에 비유하면서 '데이터 고속도로'를 구축하겠다고 밝혔다. 이 같은 규제 완화 움직임은 문재인 정부 들어 의료기기, 인터넷전문은행에 이어 세 번째다.

 

 

정부가 빅데이터 환경에서의 개인정보 활용정책을 내놓았다. 박근혜 정부 때인 2013년 이후 5년 만이다. 당시 안전행정부는 '공공정보 개방·공유에 따른 개인정보 보호 지침'을 발표해 개인정보를 '비식별화'하면 수집 목적 외로 활용하거나 공개할 수 있도록 했다. 비식별화의 골자는 이름 혹은 주민등록번호를 삭제하거나 암호화해서 정보 주체의 동의 없이 활용할 수 있다는 점이다. 개인정보 비식별화는 창조경제 바람을 타고 각 정부 부처에서 적극적으로 추진되기도 했다.

 

활용 범위와 용어 사용을 둘러싼 논란 끝에 올해 초 개최된 '제2차 규제·제도혁신 해커톤'에서 '개인정보 비식별조치 가이드라인'이 폐기되면서 개인정보 비식별화 논의는 더 이상 진행되지 않았다. 법적 근거가 모호하고 활용 범위가 지나치게 넓어지면 정보 주체의 피해가 예상된다는 시민사회의 비판도 한몫했다. 폐기 수순으로 접어든 비식별화 개인정보가 다시 모습을 드러낸 건 지난달 31일이었다.

 

판교 스타트업 캠퍼스에서 열린 '데이터 경제 활성화 규제혁신' 행사에 참석한 문재인 대통령은 "데이터 규제혁신은 기업과 소상공인, 소비자 모두에게 도움이 되고, 혁신성장과 직결된다"며 규제혁신 필요성을 강조했다. 정부가 의료기기와 인터넷전문은행에 이어 세 번째 규제 완화 방침을 밝힌 것은 데이터 경제 활성화가 4차 산업혁명 흐름에서 기업과 소상공인, 소비자 모두에게 도움이 될 뿐 아니라 혁신성장과 직결된다는 이유에서다.

 

규제 완화에 따른 반발에 대해 문 대통령은 세계적으로 피할 수 없는 흐름인 데이터 경제에 발맞춰 전략을 세워야 한다고 답했다. 실제로 유럽연합(EU)은 지난해 데이터 경제 육성전략을 세웠다. 미국은 2016년 빅데이터 연구개발 전략을 발표하기도 했다. IT 선진국들의 데이터 경제 활성화 행보에 발맞추기 위해 정부는 내년까지 빅데이터 센터 100곳을 새로 만들고 중소·벤처기업에 데이터를 구매하고 가공할 수 있는 바우처를 제공하는 등 1조원을 투자하겠다고 밝혔다.

 

국내 데이터 활용도는 IT 선진국에 비해 크게 뒤처진 것이 사실이다. 지난해 스위스 국제경영개발대학원(IMD) 조사를 보면 한국 빅데이터 활용 능력은 조사 대상 63개국 중 56위였다. 데이터 핵심 인프라라고 할 수 있는 기업의 클라우드 활용도는 12.9%로 OECD 33개국 중 27위에 불과했다. 국내 기업들의 빅데이터 이용률은 7.5%를 기록했다.

 

'데이터 경제 활성화 규제혁신'은 산업계의 요구를 만족시키는 한편 빅데이터를 활용해 일자리를 늘려 고용 쇼크를 극복하겠다는 정부의 의지가 반영됐다. 실제로 정부는 규제 완화와 투자를 통해 빅데이터 원천 융합기술을 선진국의 90% 수준으로 높이는 구상과 함께 청년인재 교육, 국가기술자격 신설 등의 제도로 5만명의 전문인력을 양성하는 계획을 구체화했다. 정부 안에 따르면 컴퓨팅자원과 데이터셋 지원 등으로 100개 데이터 강소기업을 육성하고, 범부처 협업을 통해 교육, 의료, 행정 등 전 분야에 클라우드를 접목한 혁신사례를 2021년까지 8개를 창출할 계획이다.

 

 

 

이날 과학기술정보통신부와 방송통신위원회, 행정안전부, 금융위원회 등 정부 관계부처는 데이터 경제 활성화 대책으로 익명정보와 가명정보를 도입하기로 발표했다. 익명정보는 정보 주체가 누군지 알 수 없어 통계에서나 의미가 있는 정보다. 사실상 개인정보로서 의미가 없다.

 

반면 가명정보는 이름·주민등록번호·생체정보 등이나 신체·라이프 특징 등으로 구성된 개인정보에서 이름을 바꾸는 등 개인 식별 요소에 비식별 조치를 취해 정보 주체를 특정할 수 없는 개인정보다. 하지만 가명정보를 사용한 여러 데이터를 종합하면 정보 주체가 드러나게 된다. 따라서 가공 처리된 가명정보들을 결합해 특정인을 식별하는 재식별 행위와 관련한 우려가 제기되기도 한다.

 

이 같은 불안에 정부는 엄격한 보안시설을 갖춘 국가지정 전문기관에 한해서 가명정보를 관리하겠다고 밝혔다. 가명정보 생성 과정에서 정부는 개인정보 재식별을 막기 위해 정보 주체를 특정할 수 있는 식별정보를 삭제하거나 암호화하는 등 3중 보안장치를 마련하겠다고 밝혔다. 또한 정부는 가명정보를 재식별할 시 과징금을 부과하고 이전과는 달리 가명정보 재식별자를 형사처벌하겠다고 전했다.

 

정부의 대책 마련에도 이번 규제 완화로 개인정보 유출이 늘어날 것이란 비판과 우려도 제기된다. 잇따른 지적에 지난달 30일 정부 합동 데이터 경제 활성화 브리핑에서 장윤기 행정안전부 국장은 "개인정보 보호 규제 개선이 아니라 개인을 알아볼 수 없도록 안전하게 조치된 정보(비식별 데이터)를 활용할 수 있게 한 것이 핵심"이라고 말했다. 한편 정부는 데이터 규제를 실질적으로 완화하는 차원에서 가명정보 개념을 도입하고 가명정보 이용·제공 범위를 법제화하기로 했다.

 

문재인 대통령이 규제 완화 방침을 밝히자마자 정부가 이처럼 신속히 움직인 데는 2016년 제정된 '개인정보 비식별 처리 가이드라인'이 가명정보와 익명정보를 구분하지 않으면서 제기된 비판을 의식한 것으로 풀이된다. 당시 정부가 발표한 가이드라인에는 가명정보와 익명정보가 제대로 구분되지 않아 무분별한 비식별 정보 이용을 야기할 수 있다는 문제가 제기되기도 했다.

 

 

정부가 가명정보를 도입하는 등 데이터 활용에 빗장을 풀자 산업계는 환영하는 분위기다. 특히 IT 관련 기업들은 OECD 주요국 중 가장 높은 수준이었던 개인정보 규제가 완화하면 기업 경쟁력이 확보될 것으로 보고 있다. 그동안 엄격하게 통제됐던 개인정보 활용이 가능해지면 미국보다 2년 가까이 뒤처진 인공지능 기술 격차도 줄일 수 있을 거란 전망도 나온다. 시장조사와 산업적 연구에도 가명정보를 활용할 수 있는 분위기가 형성돼야 한다는 주장도 나온다.

 

가명정보 활용 범위 확장 주장에 힘을 실어주듯 야권에서 개인정보보호법 개정안을 속속 발의하고 있다. 오세정 바른미래당 의원은 가명정보 활용 범위를 '통계 작성, 연구개발' 외에 '시장조사'까지 확장하는 법안을 내놓았다. 김규환 자유한국당 의원은 '통계 작성, 학술연구, 서비스 제공 및 개선'을 위해 가명정보를 활용할 수 있다며 상업적 활용의 폭을 더욱 넓혀놓았다.

 

학계에서도 이번 데이터 경제 활성화 방안이 우리 경제에 새로운 활력을 심어줄 것으로 기대한다. 고려대학교 법학과 이대희 교수는 "4차 산업혁명 시대에서 데이터의 활용은 매우 중요한 역할을 하는데, 한국에서 데이터 활용은 매우 엄격하게 규제되고 있다"고 진단하면서 "새로운 비즈니스 모델의 생성에 따른 일자리 창출 등 데이터의 증가된 활용은 우리 경제에 상당한 기여를 할 것"이라고 전망했다. 정부가 도입하기로 한 가명정보 활용안에 대해 이 교수는 "가명정보 활용은 종전 개인정보 활용보다 침해의 위험성이 상당히 낮아진 만큼 각 가명정보의 침해 위험성에 따라 보호 내지 활용 정도를 달리할 수 있다"고 내다봤다.

 

야권과 산업계 등에서 개인정보 활용 범위 확장 요구가 거세지자 과학기술정보통신부와 행정안전부 등 정부 부처들은 가명정보를 ▲시장 조사 등 상업적 목적을 포함한 통계 작성 ▲산업적 연구를 포함한 연구 ▲공익적 기록 보존에 활용할 수 있게 하겠다고 밝혔다. 정부가 발표한 확장된 가명정보 활용 범위는 추후 국회 논의 과정을 거쳐 구체화할 것으로 보인다.

 

 

반면 시민사회에선 정부의 데이터 경제 활성화를 위한 규제 완화를 비판하는 목소리가 거세지고 있다. 가명정보에서 식별 요소를 수정하거나 제거하기는 했지만 여러 정보를 결합하면 개인 신상을 유출할 수 있기 때문이다. 미국 포털사이트 아메리카 온라인(AOL)에서 일어난 검색정보 유출 사건이 이 같은 우려에 설득력을 더한다.

 

2006년 AOL은 비식별화 조치한 65만여명의 검색기록 2000만건을 학술 연구 목적으로 학술지에 공개했다. 이후 언론이 비식별화한 정보들을 조합하고 분석한 결과 '우울증과 의료휴가', '배우자의 부정행위 두려움' 등을 검색한 이용자가 드러나는 등 대규모 개인정보 유출 사태가 벌어졌다.

 

이 같은 개인정보 유출 사례는 국내에서도 있었다. 2015년 진료 내용 기록 프로그램 공급 업체와 처방전 정보 입력 프로그램을 제공하는 재단법인이 미국계 통계회사 'IMS헬스' 한국법인에 환자 정보를 팔아넘겼고, 국내 제약업체들은 마케팅용으로 이 정보를 70억원에 다시 구매한 사건이다.

 

시민사회는 자신의 정보를 내주는 정보 주체들의 권리가 침해당할 수도 있다고 주장한다. 진보네트워크센터 오병일 활동가는 "혁신성장 자체에 반대하지 않는다"고 전제하면서도 "다만 개인정보 활용을 통한 혁신성장에는 정보 주체의 동의가 우선해야 한다"고 말했다. 이어 오병일 활동가는 "산업계에서 요구하는 개인정보 활용 범위 확장으로 특정 업체가 이익을 보는 것 자체가 정보 주체의 권리를 침해하는 행위"라며 "수집된 개인정보는 공적 가치를 위해서만 사용돼야 한다"고 강조했다.

 

일각에서는 데이터 규제 완화에 앞서 감독기구 정비와 법제 개선이 선결돼야 한다는 주장이 제기된다. 현재 개인정보보호법, 정보통신망법, 신용정보보호법 등으로 분산된 개인정보 관련 법들을 하나로 묶고 감독하는 기구를 일원화해 시정조치 명령 권한 등 강제력과 구속력을 줘야 한다는 주장이다.

 

EU는 지난 5월 GDPR(일반개인정보보호규정)을 발효해 빅데이터 활용 원칙을 명문화했다. EU는 GDPR을 통해 유럽 국가들의 법제를 통일해 역내에서 개인정보의 자유로운 이전을 가능케 하는 한편 빅데이터, 사물인터넷 등 신기술의 위협에 대응해 정보주체의 권리를 강화했다.

 

GDPR 집행위원회가 관련 조항에 별도 해석을 단 내용을 보면 개인정보처리자가 적법하게 가명처리된 개인정보를 사용하더라도 정보주체가 언제든 자신의 개인정보 활용에 반대할 권리를 행사할 수 있다. GDPR과 이를 통한 정보 주체의 권리 수호에서 핵심은 독립적인 감독기구 설립이다. 유럽사법재판소는 개인정보보호법이 있어도 개인정보 감독기구가 없다면 법의 실효성 있는 집행을 보장할 수 없으므로 독립적인 개인정보 감독기구의 설립은 개인정보보호의 핵심적 요소라고 밝혔다.

 

동지훈 KSRN 기자

편집 KSRN집행위원회(www.ksrn.org)