비식별정보도 활용 못하는 한국…'사전동의 절차'도 문제
미국, 개인정보 활용 길 트고 사후 규제…빅데이터 경쟁력 높여
난립한 개인정보 법제도 정비하고 보호·활용 균형 찾아야
안현실 논설·전문위원·경영과학박사 ahs@hankyung.com
개인정보, 보호냐 활용이냐
‘보호냐, 활용이냐.’ 한국에서 개인정보를 두고 벌어지는 해묵은 논쟁이다. 미국 등 선진국은 이미 개인정보 ‘보호’와 ‘활용’의 균형으로 발빠르게 움직이고 있다. 이른바 4차 산업혁명을 이끄는 사물인터넷(IoT), 클라우드, 빅데이터, 인공지능(AI) 등이 모두 데이터를 기반으로 하는 만큼 ‘활용’에도 길을 터준 것이다. 하지만 한국은 견고한 개인정보 ‘보호’ 도그마에서 벗어나지 못하고 있다. 첫 대통령 업무보고에 나선 과학기술정보통신부가 4차 산업혁명을 꺼냈다. 문재인 정부의 개인정보 정책은 다를까. 국정기획자문위원회가 발표한 ‘국정운영 5개년 계획’을 살펴보자.
개인정보 문제는 100대 국정과제 중 여섯 번째인 ‘국민 인권을 우선하는 민주주의 회복 강화’(주관부처 법무부, 행정안전부, 국가인권위원회)에 포함됐다. 2018년부터 개인정보 보호 거버넌스 강화 및 개인정보 보호 체계 효율화, 무분별한 개인정보 이용에 대한 제재 강화가 골자다. 민주주의와 인권이란 이름으로 ‘개인정보 보호 강화’에 방점이 찍혔다. 시민단체의 주장 그대로다.
반면 ‘소프트웨어 강국, 정보통신기술(ICT) 르네상스로 4차 산업혁명의 선도 기반 구축’(주무부처 과기정통부)은 국정과제 33번째다. ICT 신기술·서비스 시장 진입이 원활하도록 규제 개선을 추진한다는 내용이 담겼다. 데이터 혁명이나 다름없는 ICT 신기술·서비스를 막는 규제라면 단연 보호 위주의 개인정보 법제일 것이다. 그러나 정부가 개인정보 보호 강화로 질주하면 개인정보 활용의 문이 더 좁아질 것은 두말할 필요도 없다.
“모든 정보가 개인정보” 규제
한국은 지금도 세계에서 가장 강력한 개인정보 보호 법제를 갖고 있다. 부처 간 게리맨더링을 방불케 하는 복잡한 법체계부터 그렇다. 2011년 시행된 일반법에 해당하는 개인정보보호법 말고도 정보통신망법, 신용정보법, 위치정보법 등 분야별 법이 난무한다. 학생 개인정보에 관한 교육기본법, 보건의료 개인정보를 다루는 생명윤리법, 보건의료기본법도 있다. 개인정보보호위원회, 부처별 행정기구 등 거버넌스도 복잡하기 이를 데 없다.
여기에 개인정보 개념은 무한 확장성을 갖고 있다. ‘식별가능성’만 있으면 모든 정보가 개인정보라는 식이다. 그러면 프라이버시에 해당하지 않는 정보조차 개인정보로 규제 대상이 되고 만다.
획일적인 정보 주체의 ‘사전동의 절차(opt-in)’도 문제다. 사전동의 절차가 작동하는 현실을 보면 더욱 그렇다. 데이터가 폭발하는 상황에서 일일이 동의 절차를 밟는다는 것은 정보 주체가 감당하기도 어렵거니와 인식할 수 있는 범위를 초월한다. 과잉 동의에다 요식 행위로 전락하고 있는 게 지금의 사전동의 절차다. 사전동의가 불필요하거나 사실상 불가능한 경우조차 처벌을 받게 한다는 것은 ‘과잉범죄화’나 다름없다.
정보 주체의 추가 동의 없이 활용할 수 있다는 비식별정보의 제한도 그렇다. 박근혜 정부가 빅데이터 산업 활성화 등을 위해 ‘개인정보 비식별 조치 가이드라인’을 내놓은 바 있지만, 되레 논란만 키운 꼴이 되고 말았다. 적정하게 비식별 조치한 정보는 개인정보가 아닌 것으로 ‘추정’한다는 식이어서 가이드라인의 법적 실효성에 대한 의문을 해소하지 못했다. 여기에 식별 가능성 자체를 원천 봉쇄하는 강력한 익명화 조치를 요구하는 시민단체, 산업적·경제적 활용 가치가 없는 데이터는 무용지물이라는 업계 간 대립만 심화시켰다는 평가다. 문재인 정부가 시민단체 손을 들어 주면 비식별화 개인정보 활용은 더 제한될 게 분명하다.
한국이 이렇듯 개인정보 활용 측면에서 꽉 막힌 반면 선진국은 미래를 향해 달려가고 있다. 날로 증대하는 개인정보 활용을 통한 법익과 개인정보 보호로 인한 법익을 비교해 판단하려는 게 그렇다. 비식별화 정보 활용과 관련해서도 합리성이 돋보인다.
미국은 개인정보 보호에 관한 일반법을 갖고 있지 않다. 의료, 교육 등에 개인정보 보호에 관한 개별 법령이 있을 뿐이다. 개별 법령에서 제한하지 않았으면 자유로운 데이터 이용을 보장한다. 비식별 조치한 정보의 이용도 제한 없이 가능하다. 길을 터주되 위법 행위는 처벌한다는 철학이다.
일본 ‘익명 가공 정보’ 개념 도입
시민단체들이 개인정보 보호 강화의 근거로 많이 인용하는 유럽연합(EU)도 실상은 다르다. 유대인 학살 등 제2차 세계대전 당시의 아픔을 잊지 못하는 유럽이지만 그 지향점은 ‘보호’와 ‘활용’의 균형이다. EU의 개인정보보호법(GDPR)만 해도 그렇다. 익명화된 정보는 개인정보가 아니라고 본다. 가명 처리 정보는 공익을 위한 기록 보존 목적, 과학적 연구, 역사적 연구, 통계적 목적 등에 정보 주체의 동의 없이 사용이 가능하다.
올해 1월부터 시행된 일본의 개정 개인정보보호법도 ‘익명 가공 정보’ 개념을 도입해 정보 주체의 동의 없이 빅데이터 활용의 길을 열어주고 있다. 주목되는 것은 일본 정부가 ‘완전한 익명화’는 있을 수 없음을 인정하고 익명화 수준을 단계별로 구분해 접근하는 ‘비식별 가이드라인’을 전문가들과 논의하고 있다는 점이다.
미국이 빅데이터, 인공지능 등을 선도하는 것을 보면 국가별 4차 산업혁명 경쟁력이 개인정보보호 규제의 유연성과 궤를 같이한다고 봐도 크게 틀리지 않는다. 사정이 이런데도 한국이 개인정보 활용의 길을 열기는커녕 보호 강화라는 역행적 방향으로 질주한다면 어찌되겠나. 글로벌 ICT, 신산업 경쟁에서 한국 기업이 절대적으로 불리할 수밖에 없다.
더구나 정보 주체 입장에서 보더라도 보호만이 이익에 부합한다고 볼 수 없는 시대다. 수동적인 측면에서 ‘프라이버시’ ‘개인정보 자기결정권’ 등 개인정보 보호를 통한 정보 주체의 이득과 능동적인 측면에서 개인정보의 처리 등 활용을 통해 기대되는 정보 주체의 이득을 마땅히 비교해야 한다. 시민단체가 개인정보를 바탕으로 눈부시게 진화하는 ICT 신기술·신서비스 흐름 속에서 개인정보 활용과 관련한 정보 주체의 권리를 무시할 권한은 없다. 프라이버시 위험이나 시민의 민감도에 따라 개인정보를 그룹핑해 가령 일반정보, 비식별정보, 민감정보 등에 따라 ‘차등 규제’할 필요가 있다는 제안이 나오는 것도 그런 배경에서다.
사전동의 절차도 대안 필요
획일적인 사전동의 절차도 마찬가지다. 규제의 유용성을 의심케 할 만큼 형해화된 마당이면 대안을 찾는 게 맞다. 개인정보의 위험이나 민감도에 따라 선(先) 활용·후(後) 거부, 열람권 보장, 이용내역 통지 등 ‘사후통제 방식(opt-out)’을 허용하는 것이 개인정보 처리 사업자는 물론이고 정보 주체의 이익에도 부합할 수 있다.
한국에서 생명윤리법과 더불어 신산업을 가로막는 대표적 규제로 꼽히는 게 개인정보보호법이다. 4차 산업혁명으로 ‘혁신 주도 성장’을 도모하겠다는 문재인 정부가 개인정보 보호 강화로 간다는 것은 앞뒤가 맞지 않는다. 지금이라도 난립한 개인정보 법제, 무질서한 거버넌스를 개혁해야 한다. 그 개혁의 방향성이 개인정보 활용에도 길을 터주는 ‘보호’와 ‘활용’의 균형이어야 함은 물론이다. 그렇지 않고 5년을 또 허비한다면 한국 ICT, 신산업에 희망이 있을까.
안현실 논설·전문위원·경영과학박사 ahs@hankyung.com
미국, 개인정보 활용 길 트고 사후 규제…빅데이터 경쟁력 높여
난립한 개인정보 법제도 정비하고 보호·활용 균형 찾아야
안현실 논설·전문위원·경영과학박사 ahs@hankyung.com
개인정보, 보호냐 활용이냐
‘보호냐, 활용이냐.’ 한국에서 개인정보를 두고 벌어지는 해묵은 논쟁이다. 미국 등 선진국은 이미 개인정보 ‘보호’와 ‘활용’의 균형으로 발빠르게 움직이고 있다. 이른바 4차 산업혁명을 이끄는 사물인터넷(IoT), 클라우드, 빅데이터, 인공지능(AI) 등이 모두 데이터를 기반으로 하는 만큼 ‘활용’에도 길을 터준 것이다. 하지만 한국은 견고한 개인정보 ‘보호’ 도그마에서 벗어나지 못하고 있다. 첫 대통령 업무보고에 나선 과학기술정보통신부가 4차 산업혁명을 꺼냈다. 문재인 정부의 개인정보 정책은 다를까. 국정기획자문위원회가 발표한 ‘국정운영 5개년 계획’을 살펴보자.
개인정보 문제는 100대 국정과제 중 여섯 번째인 ‘국민 인권을 우선하는 민주주의 회복 강화’(주관부처 법무부, 행정안전부, 국가인권위원회)에 포함됐다. 2018년부터 개인정보 보호 거버넌스 강화 및 개인정보 보호 체계 효율화, 무분별한 개인정보 이용에 대한 제재 강화가 골자다. 민주주의와 인권이란 이름으로 ‘개인정보 보호 강화’에 방점이 찍혔다. 시민단체의 주장 그대로다.
반면 ‘소프트웨어 강국, 정보통신기술(ICT) 르네상스로 4차 산업혁명의 선도 기반 구축’(주무부처 과기정통부)은 국정과제 33번째다. ICT 신기술·서비스 시장 진입이 원활하도록 규제 개선을 추진한다는 내용이 담겼다. 데이터 혁명이나 다름없는 ICT 신기술·서비스를 막는 규제라면 단연 보호 위주의 개인정보 법제일 것이다. 그러나 정부가 개인정보 보호 강화로 질주하면 개인정보 활용의 문이 더 좁아질 것은 두말할 필요도 없다.
“모든 정보가 개인정보” 규제
한국은 지금도 세계에서 가장 강력한 개인정보 보호 법제를 갖고 있다. 부처 간 게리맨더링을 방불케 하는 복잡한 법체계부터 그렇다. 2011년 시행된 일반법에 해당하는 개인정보보호법 말고도 정보통신망법, 신용정보법, 위치정보법 등 분야별 법이 난무한다. 학생 개인정보에 관한 교육기본법, 보건의료 개인정보를 다루는 생명윤리법, 보건의료기본법도 있다. 개인정보보호위원회, 부처별 행정기구 등 거버넌스도 복잡하기 이를 데 없다.여기에 개인정보 개념은 무한 확장성을 갖고 있다. ‘식별가능성’만 있으면 모든 정보가 개인정보라는 식이다. 그러면 프라이버시에 해당하지 않는 정보조차 개인정보로 규제 대상이 되고 만다.
획일적인 정보 주체의 ‘사전동의 절차(opt-in)’도 문제다. 사전동의 절차가 작동하는 현실을 보면 더욱 그렇다. 데이터가 폭발하는 상황에서 일일이 동의 절차를 밟는다는 것은 정보 주체가 감당하기도 어렵거니와 인식할 수 있는 범위를 초월한다. 과잉 동의에다 요식 행위로 전락하고 있는 게 지금의 사전동의 절차다. 사전동의가 불필요하거나 사실상 불가능한 경우조차 처벌을 받게 한다는 것은 ‘과잉범죄화’나 다름없다.
정보 주체의 추가 동의 없이 활용할 수 있다는 비식별정보의 제한도 그렇다. 박근혜 정부가 빅데이터 산업 활성화 등을 위해 ‘개인정보 비식별 조치 가이드라인’을 내놓은 바 있지만, 되레 논란만 키운 꼴이 되고 말았다. 적정하게 비식별 조치한 정보는 개인정보가 아닌 것으로 ‘추정’한다는 식이어서 가이드라인의 법적 실효성에 대한 의문을 해소하지 못했다. 여기에 식별 가능성 자체를 원천 봉쇄하는 강력한 익명화 조치를 요구하는 시민단체, 산업적·경제적 활용 가치가 없는 데이터는 무용지물이라는 업계 간 대립만 심화시켰다는 평가다. 문재인 정부가 시민단체 손을 들어 주면 비식별화 개인정보 활용은 더 제한될 게 분명하다.
한국이 이렇듯 개인정보 활용 측면에서 꽉 막힌 반면 선진국은 미래를 향해 달려가고 있다. 날로 증대하는 개인정보 활용을 통한 법익과 개인정보 보호로 인한 법익을 비교해 판단하려는 게 그렇다. 비식별화 정보 활용과 관련해서도 합리성이 돋보인다.
미국은 개인정보 보호에 관한 일반법을 갖고 있지 않다. 의료, 교육 등에 개인정보 보호에 관한 개별 법령이 있을 뿐이다. 개별 법령에서 제한하지 않았으면 자유로운 데이터 이용을 보장한다. 비식별 조치한 정보의 이용도 제한 없이 가능하다. 길을 터주되 위법 행위는 처벌한다는 철학이다.
일본 ‘익명 가공 정보’ 개념 도입
시민단체들이 개인정보 보호 강화의 근거로 많이 인용하는 유럽연합(EU)도 실상은 다르다. 유대인 학살 등 제2차 세계대전 당시의 아픔을 잊지 못하는 유럽이지만 그 지향점은 ‘보호’와 ‘활용’의 균형이다. EU의 개인정보보호법(GDPR)만 해도 그렇다. 익명화된 정보는 개인정보가 아니라고 본다. 가명 처리 정보는 공익을 위한 기록 보존 목적, 과학적 연구, 역사적 연구, 통계적 목적 등에 정보 주체의 동의 없이 사용이 가능하다.
올해 1월부터 시행된 일본의 개정 개인정보보호법도 ‘익명 가공 정보’ 개념을 도입해 정보 주체의 동의 없이 빅데이터 활용의 길을 열어주고 있다. 주목되는 것은 일본 정부가 ‘완전한 익명화’는 있을 수 없음을 인정하고 익명화 수준을 단계별로 구분해 접근하는 ‘비식별 가이드라인’을 전문가들과 논의하고 있다는 점이다.
미국이 빅데이터, 인공지능 등을 선도하는 것을 보면 국가별 4차 산업혁명 경쟁력이 개인정보보호 규제의 유연성과 궤를 같이한다고 봐도 크게 틀리지 않는다. 사정이 이런데도 한국이 개인정보 활용의 길을 열기는커녕 보호 강화라는 역행적 방향으로 질주한다면 어찌되겠나. 글로벌 ICT, 신산업 경쟁에서 한국 기업이 절대적으로 불리할 수밖에 없다.
더구나 정보 주체 입장에서 보더라도 보호만이 이익에 부합한다고 볼 수 없는 시대다. 수동적인 측면에서 ‘프라이버시’ ‘개인정보 자기결정권’ 등 개인정보 보호를 통한 정보 주체의 이득과 능동적인 측면에서 개인정보의 처리 등 활용을 통해 기대되는 정보 주체의 이득을 마땅히 비교해야 한다. 시민단체가 개인정보를 바탕으로 눈부시게 진화하는 ICT 신기술·신서비스 흐름 속에서 개인정보 활용과 관련한 정보 주체의 권리를 무시할 권한은 없다. 프라이버시 위험이나 시민의 민감도에 따라 개인정보를 그룹핑해 가령 일반정보, 비식별정보, 민감정보 등에 따라 ‘차등 규제’할 필요가 있다는 제안이 나오는 것도 그런 배경에서다.
사전동의 절차도 대안 필요
획일적인 사전동의 절차도 마찬가지다. 규제의 유용성을 의심케 할 만큼 형해화된 마당이면 대안을 찾는 게 맞다. 개인정보의 위험이나 민감도에 따라 선(先) 활용·후(後) 거부, 열람권 보장, 이용내역 통지 등 ‘사후통제 방식(opt-out)’을 허용하는 것이 개인정보 처리 사업자는 물론이고 정보 주체의 이익에도 부합할 수 있다.
한국에서 생명윤리법과 더불어 신산업을 가로막는 대표적 규제로 꼽히는 게 개인정보보호법이다. 4차 산업혁명으로 ‘혁신 주도 성장’을 도모하겠다는 문재인 정부가 개인정보 보호 강화로 간다는 것은 앞뒤가 맞지 않는다. 지금이라도 난립한 개인정보 법제, 무질서한 거버넌스를 개혁해야 한다. 그 개혁의 방향성이 개인정보 활용에도 길을 터주는 ‘보호’와 ‘활용’의 균형이어야 함은 물론이다. 그렇지 않고 5년을 또 허비한다면 한국 ICT, 신산업에 희망이 있을까.
안현실 논설·전문위원·경영과학박사 ahs@hankyung.com
관련뉴스
