데이터 3법 개정안 쟁점사항

1. 머리말

  데이터는 '미래의 원유'라고 불린다. 그만큼 원유를 어떻게 가공하느냐에 따라 만들어낼 수 있는 제품의 종류가 무궁무진하듯이 데이터 역시 어떻게 활용하느냐에 따라 이전에는 미처 발견하지 못했던 수많은 새로운 가치들을 창조해낼 수 있다는 것이다. 이렇게 생산되는 데이터를 정제, 가공하여 이를 기업, 정보, 공공기관 등이 활용함으로써 소비자, 시민 등이 데이터 기반 혁신 서비스를 이용하도록 함으로써 풍성한 데이터 생태계를 만들고 이를 통하여 경제적인 가치를 창출하는 것이 가능해지는 것이다. 이러한 데이터로는 사물인터넷, 인공지능 등으로 대표되는 4차 산업혁명의 흐름 속에서 혁신성장의 토대가 되고 이를 통하여 '데이터 경제'가 구현되는 것이다. 데이터 활용에 리스크 제로는 없다. 창과 방패의 관계처럼 보호와 공격의 기술은 나날이 발전하고 있다. 데이터를 안전하게 활용하기 위한 제도적 장려와 더불어 문제가 생겼을 경우 즉시 대응이 가능한 명확한 규칙이 필요할 뿐이다. 현재 우리나라는 명확치 않은 데이터 활용에 대한 법적 근거 등으로 시장이 위축되어 있고, 시민단체의 고발 사건 등에 따라 데이터 활용에 대한 리스크가 과대하게 부풀려질 수밖에 없는 상황이다. 그러므로 가명정보를 활용함에 있어 과학적, 기술적, 사회적으로 합의 가능한 수준의 명확한 기준을 수립, 적용하는 부분이야말로 데이터의 활용 관점에서 매우 중요하다. 이와 같은 '데이터 경제'의 성장은 데이터의 활용에서부터 시작되기 때문에 이를 위한 '데이터 3법'의 개정이 이루어지게 되었다. 기업의 가명화 데이터 활용에 따른 시장 변화 및 이종 데이터 결합 활용을 통한 경제적 창출 효과는 매우 클 것이다. 본 연구에서는 데이터 3법 통과 이후 가명 데이터의 처리 방법에 대해 알아보고 이슈사항을 정리한다.

2. 데이터 3법 개정안

2-1. 개정 개요

    데이터 3법은 '개인정보보호법', '정보통신망 이용촉진 및 정보보호등에 관한 법률'(이하 '정보통신망법'), '신용정보의 이용 및 보호 등에 관한 법률'(이하 '신용정보법') 등 3개 법률을 총칭하는 것이다. 2011년 9월 개인정보 분야 일반법인 '개인정보 보호법'이 실행된 이후 9년 동안 주민등록번호 처리의 법정처리와 같은 규제를 강화해 왔다. 제 4차 산업혁명 시대의 도래에 따른 세계 각국의 데이터 경제 활성화 전략 추진과 유럽연합의 일반 개인정보보호법(GDPR, General Data Protection Regulation) 시행(201.5) 및 국내에서의 개인정보의 효율적 활용을 위한 법 개정의 요구에 따라 변화해온 것이다. 데이터 경제로의 전환은 전 세계적 추세이며 이러한 변화를 수용할 사법제도의 틀을 마련하는 것은 우리 모두의 과제이자 책무로 놓여 있다. 대한민국도 이러한 국제 흐름에 뒤처지지 않기 위해 정부는 '데이터를 가장 안전하게 잘 쓰는 나라'를 슬로건으로 내세워 '데이터 고속도로 구축'을 위한 데이터 규제 혁신을 적극적으로 추진하고 있다. 그러나 데이터의 활용과 보호에 대한 균형점을 제시하고 데이터의 오남용이나 과잉 보호로 인한 문제를 최소화할 수 있는 규제를 설계하는 것은 쉬운 일이 아니다. 더 나아가 제도 혁신안을 마련하고 국회의 입법을 완성하는 것은 개인정보를 보호해야 한다는 정보주체로서의 국민의 뜻과 데이터의 적극적 활용을 통해 국민 삶의 질을 향상시켜야 한다는 경제 주체로서의 국민의 뜻이 절충되는 지점을 담아내야 하는 입법적, 정치적으로 행하는 어려운 선택을 의미한다[1]. 현재 논의되고 있는 데이터 규제 3법 개정안의 주요 내용과 의미, 향후 쟁점과 과제를 살펴본다.

2-2. 개정 내용

  개정 데이터 3법은 흩어져 있던 개인정보 관련 규정을 정비하고 가명정보 개념을 도입하여 빅데이터 시대 정보활용도를 제고하는 것을 주 내용으로 한다. 공포된 각 개정 법률은 신용정보법 일부 조항을 제외하고는 2020년 8월 5일부터 시행된다. 정부는 4월 시행령과 시행규칙을 입법하였고 법 시행 지점까지 분야별 가이드라인, 해설서 개정안 등을 발간하여 개정 데이터 3법의 해석을 구체화할 계획이다. 주요 개정 내용으로는 '개인정보보호법'은 심의, 의결 기구에 머물렀던 개인정보보호위원회를 중앙행정기관화하고, 행정안전부와 방송통신위원회가 수행하고 있던 개인정보 보호 관련 법 집행 권한을 보호위원회로 이관하여 일원화하였다. 또한 개인정보 정의의 판단 기준 명확화, 가명정보 개념 도입 및 가명정보 처리 시 준수의무 등 개인정보의 안전한 이용 활성화를 도모하고자 하였다. 한편, '정보통신망법'의 개인정보 규정(제4장)을 삭제하여 이 중 '정보통신망법'에만 있는 조항들은 '개인정보보호법'내에 특례규정으로 편입되었다. 그리고 '신용정보법'도 '개인정보보호법'과의 정합성, 가명정보의 도입 등을 내용으로 하여 개정되었다[2].

2.2.1. 개인정보보호법 개정안

  개인정보와 관련된 개념 체계를 개인정보, 가명정보, 익명정보로 명확히 하고 가명정보는 통계작성, 연구, 공익적 기록보존의 목적으로 처리할 수 있도록 한다. 서로 다른 기업이 보유하고 있는 정보집합물은 대통령령으로 정하는 보안시설을 갖춘 전문기관을 통해 결합할 수 있고 전문기관의 승인을 거쳐 반출을 허용하도록 한다. 나아가 가명정보를 처리하거나 정보집합물을 결합하는 경우에는 관련 기록물을 작성, 보관하는 등 대통령령으로 정하는 안전성 확보조치를 하도록 하고 특정 개인을 알아보는 행위를 금지하는 한편 이를 위반하는 경우 형사벌칙과 과징금을 부과하도록 한다.

2.2.2. 정보통신망법 개정안

  개정안의 주요 내용은 개인정보보호법, 정보통신망법 등으로 산재한 법체계와 행정안전부, 방송통신위원회, 개인정보보호위원회 등 다수의 감독기구가 존재함에 따른 수범자의 혼란과 중복규제 부담 등의 문제를 해결하기 위하여 정보통신망법에 규정된 개인정보 보호에 관한 사항을 개인정보보호법으로 이관하고 온라인상의 개인정보 보호와 관련된 규제 및 감독의 주체를 방송통신위원회에서 개인정보보호위원회로 변경하는 것이다.

 

2.2.3. 신용정보법 개정안

  은행, 카드, 보험, 금융투자 등 금융업 분야별로 관리되고 있는 데이터가 대량으로 축적되어 있는 금융 분야는 다양한 개인 특성 정보를 결합하여 맞춤형 금융상품을 개발할 수 있고 다른 산업 분야와의 확장적인 융합도 가능하기에 데이터의 활용 가치가 상당히 높다. 이에 데이터 시대 도래로 인한 기술·경제적 환경 변화를 수용하여 적극적으로 데이터를 활용할 수 있도록 하는 동시에 빅데이터 활용에 따른 부작용을 방지하기 위한 안전장치를 강화하기 위하여 2018년 11월 15일 김병욱 의원의 대표발의로 신용정보법 개정안(의안번호 제16636호)이 발의되었다[3]. 개정안은 유럽연합 개인정보보호법(GDPR) 등 해외의 데이터 규제와 관련된 입법례를 국내 실정에 맞추어 도입하고 기존의 개인정보 보호규제 완화 필요성에 관한 사회적인 논의를 반영함으로써 금융 분야의 데이터 분석‧활용의 제도적 기반을 마련하기 위한 취지로서 그 주요 내용은 다음과 같다.

  추가정보를 사용하지 아니하고는 특정 개인을 알아볼 수 없도록 처리(가명조치)한 개인신용정보로서 가명정보의 개념을 도입하여 빅데이터 분석·이용의 법적 근거를 명확하게 한다. 가명정보는 통계작성, 연구, 공익적 기록보존 등을 위해서는 신용정보주체의 동의 없이도 이용하거나 제공할 수 있다. 또한 데이터 전문기관을 통한 데이터 결합의 근거를 마련하고 가명정보의 안전한 이용을 위한 보안장치를 의무화하였으며 영리·부정한 목적의 재식별시 징벌적 과징금 부과 등 엄격한 사후 처벌을 신설하는 등의 빅데이터 활성화 조항들을 다수 추가하였다. 더불어 개인정보보호위원회의 위상과 기능을 강화하고 개인정보보호법과 신용정보법 간 유사 중복 조항을 정비하는 내용을 담고 있다.

3. 쟁점사항

  개정된 데이터 3법은 가명정보 등 새로운 개인정보 관련 개념의 도입, 개인정보 관련 감독 기관의 일원화 등으로 그 핵심 내용을 공유하고 있다. 이 장에서는 쟁점 사항으로 논의될 수 있는 사항들에 대해 알아본다.

3.1. 적용 범위 확대에 따른 조정의 전문화 필요

  법리 해석에 따른 분쟁해결방식(ADR, Alternative Dispute Resolution)은 미국에서 민사사건을 법원이 아닌 다른 방법으로 해결하고자 마련된 제도이다. 협상에 의한 규칙을 제정하여 조정을 하는데 이해관계자의 참여를 하도록 하여 분쟁을 조정하는 것이다. 이러한 방식은 법원의 소송보다 시간과 비용을 줄일 수 있다는 장점이 있다. 분쟁조정제도의 가장 큰 우려사항은 법치주의와 관계이다. 만약 사법부가 아닌 제 3자가 분쟁을 해결한다면 이는 사법권에 대한 저항이 될 수 있기 때문이다. 국내에서는 '개인정보 보호법'에서 개인정보 분쟁조정위원회와 분쟁의 조정을 위하여 필요한 업무와 범위에 대한 내용을 규정하고 있다. 개인정보 분쟁조정은 '개인정보 보호법'에 따라 개인정보 처리에 대한 갈등과 다툼을 위원회에서 당사자들의 주장을 중심으로 개인정보 처리에 대한 사실관계를 확인하고, 법률적 기준에 따라 개인정보 침해행위 중지, 원상회복, 손해배상, 재발방지 등을 통해 해결하는 방식이다[4].

  데이터 3법 개정에 따라 위원회는 '개인정보 보호법'을 중심으로 정보통신망법, 신용정보법 그리고 개인정보를 처리하는 다른 업무에 대해서도 조정을 할 수 있다. 따라서 이전보다 분쟁조정의 범위는 늘어난 것으로 볼 수 있다. 앞으로는 통신사업자, 금융사업자 등 전문 분야별 분쟁사건을 해당 분야 전문가가 심의할 수 있도록 전문분야에서 분쟁사건을 조정하고 해당분야에서 자주 발생하는 사건의 해결방안 등 노하우를 숙지하여 전문분야 소관 사건을 신속히 처리해야 할 것이다. 그리고 개인정보 침해사고의 재발을 예방하기 위해 개인정보 침해유형 및 사례를 많은 사람들이 알 수 있도록 공개하는 것이 필요하다.

3.2. ‘가명정보’의 기준에 대한 모호함

  개정법에서 데이터를 활용하기 위해서는 '개인정보', '가명정보', '익명정보'의 구분이 중요하다. 개인정보의 경우 기존법과 마찬가지로 정보주체의 동의를 받아야 하고, 동의 받은 범주 내에서만 활용할 수 있도록 엄격히 관리되어야 하는 것이 핵심이다. 그러나 현재 데이터 3법은 '가명정보'에 대한 구체적인 정의와 개인정보를 가명정보로 바꾸는 '비식별 조치'에 대한 기준이 모호한데다 어떤 비식별 조치를 취해야 가명정보가 되는지 등도 불분명하다. 예를 들어 개인정보 결합을 의뢰할 때 과학적 연구 목적인 경우 승인을 하지만, 해당 목적이 어떤 과학적 목적인지 검증하는 절차가 없다는 것이다. 가명정보의 데이터 반출을 허용함으로써 기업의 정보 재식별 위험성이 높아지고 있고 불명확한 정보 반출 기준으로 원칙을 우회할 수 있는 기회가 더 많다.

  정부는 모호한 개인정보의 판단 기준을 명확하게 하고 결합할 수 있는 다른 정보의 입수 가능성, 식별에 소요되는 시간, 비용, 기술 등을 합리적으로 고려하도록 하였고 이러한 요건에 해당하지 않는 익명화된 정보는 개인정보보호법을 적용하지 않는다고 발표했다. 또한 가명처리를 위해 개인 식별 요소를 삭제하는 다양한 방식을 [표 1]과 같이 제시하였다.

처리 기법	예시	세부기술
가명처리	홍길동, 35세, 서울 거주, 한국대 재학 ->임꺽정, 30대, 서울 거주, 국제대 재학	1. 휴리스틱 가명화 2. 암호화 3. 교환방법
총계처리	임꺽정 180cm, 홍길동 170, 이콩쥐 160, 이팥쥐 150 -> 물리학과 학생 키 합: 660cm, 평균 키 165cm	4. 총계처리 5. 부분총계 6. 라운딩 7. 재배열
데이터삭제	주민등록번호 901206-1234567 ->90년대 생 남자	8. 식별자 삭제 9.식별자 부분삭제 10. 레코드 삭제 11. 식별요소 전부삭제
데이터 범주화	홍길동, 35세 -> 홍씨, 30~40세	12. 감추기 13. 랜덤라운딩 14. 범위 방법 15. 제어 라운딩
데이터 마스킹	홍길동, 35세, 서울 거주, 한국대 재학 ->홍OO, 35세, 서울 거주, OO대 재학	16.임의 잡음 추가 17. 공백과 대체

  휴리스틱 가명화는 식별자에 해당하는 값을 몇가지 규칙으로 대체하거나 사람의 판단에 따라 가공해 자세한 개인정보를 숨긴다. 성명을 몇몇 일반화된 이름으로 대체 표기하거나 소속(직장)명, 주소 등을 화성, 금성 등으로 대체하는 것처럼 사전에 규칙을 정해 수행할 수 있다. 모든 데이터를 동일한 방법으로 가공하기 때문에 사용자가 쉽게 이해해 활용이 가능한 것이 장점이다. 하지만 활용할 수 있는 대체 변수에 한계가 있어 다른 값으로 대체하는 일정한 규칙이 노출되는 취약점이 있을 수 있기 때문에 규칙을 수립할 때 개인을 쉽게 식별할 수 없도록 세심한 고려가 필요하다.

  암호화는 정보 가공시 일정한 규칙의 알고리즘을 적용해 암호화함으로써 개인정보를 대체하는 방법으로, 보안성을 강화하기 위해 개인정보 등 중요정보에 널리 쓰이는 기법이다. 통상 다시 복호화가 가능하도록 복호화 키(key)를 가지고 있어 이에 대한 보안방안이 필요하다. 일방향 암호화(one-way encryption 또는 hash)를 사용하는 경우는 이론상 복호화가 원천 불가능하다. 하지만 일방향 암호화는 개인정보의 식별성을 완전히 제거하는 것으로, 양방향 암호화에 비해 더욱 안전하고 효과적인 비식별 기술에 해당된다. 주민등록번호, 여권번호, 의료보험번호, 사용자 아이디(ID), 신용카드번호, 생체정보 등에 적용할 수 있다.

  교환은 기존의 데이터베이스의 레코드를 사전에 정해진 외부 변수(항목)값과 연계해 바꾸는 방법이다. 사용자 아이디(ID), 기관 번호, 나이, 성별, 신체정보, 소득, 휴대전화번호, 주소 등에 적용할 수 있다.

  가명처리 외에 개인 식별요소를 삭제하는 비식별조치 방법으로는 총계처리, 식별 데이터 삭제, 데이터 범주화, 데이터 마스킹 등이 있다.

  총계처리(Aggregation)는 식별자 수치를 통계값(전체 혹은 부분)을 적용해 특정 개인을 식별할 수 없게 하는 방법이다. 데이터 삭제(Data Reduction)는 개인 식별이 가능한 데이터의 전부 혹은 일부를 삭제 처리하는 방법이다. 데이터 범주화(Data Suppression)는 특정 정보를 해당 그룹의 대푯값으로 변환(범주화)하거나 구간 값으로 변환해 개인 식별을 방지하는 방법이다. 데이터 마스킹(Data Masking)은 식별자 데이터의 전부 또는 일부분을 대체값으로 변환하는 방법이다. 공백 또는 대체(***, OOO), 잡음(랜덤 노이즈) 추가 등으로 바꿔 처리하는 방법이다.

  제시한 항목들을 사용하거나 복수 적용하여 고유 속성을 유지하면서 가명정보로 만들 수 있다. 하지만 이 가이드라인은 법적 근거와 구속력이 없어 산업계에서 활용하기에 부담과 불안감이 존재한다. 예를 들어 인공지능(AI)스피커가 이용자 음성 데이터를 수집했다는 논란은 프라이버시와 데이터 활용 간 충돌한 대표 사례이다. AI 스피커는 이용자 동의 후 음성 데이터를 가명처리하여 수집하고 있다. 더욱 정확한 음성인식 기술개발을 위해서다. 하지만 일각에서는 음성데이터가 누구인지 특정할 수 있을 것이라며 프라이버시 침해 우려를 제기한다. 또한 비식별 처리된 정보는 데이터 활용도와 유용성이 떨어진다는 점도 여전한 문제로 남아있다.

4. 맺음말

  산업계의 많은 전문가들은 데이터 3법의 개정으로 데이터 이용이 활성화 될 것으로 예상하고 있다. 실제로 세계 GIS(Geographic Information System)를 장악한 구글맵과 공공 데이터로 개방된 실시간 교통정보는 데이터 공유재로서 좋은 사례로 우버와 같은 세계 최대 운송 데이터 서비스 플랫폼을 탄생시킬 수 있었다. 이는 수요자와 공급자가 만든 데이터와 함께 개방된 공공데이터가 활용되었기에 가능한 데이터 서비스, 플랫폼이다. 4차 산업 혁명 시대에 데이터가 없다면 미래 산업 기술 개발도 불가능하다. 기존에는 없던 가명정보라는 개념의 도입으로 비식별화된 개인정보를 과학연구, 통계작성 등의 목적으로 활용할 수 있게 되었기 때문에 가능해지게 되었다. 하지만 국내에서는 그 범위의 불명확성 때문에 막상 데이터를 활용하려고 할 때의 데이터의 가공, 처리 방법에 대한 모호성이 여전히 존재한다. 법리 해석에서 오는 오해 때문에 처벌이 발생한다면 기업은 위축될 수밖에 없다. 우리 기업이 새로운 서비스를 개발하기 위해 필요한 높은 수준의 개발능력을 보유하고 있는데도 규제 위주의 환경에서는 새로운 기능을 개발하기는 쉽지 않을 것이다. 데이터 3법이 개정된 만큼 이번을 계기로 개인정보를 처리하는 사업자에게 보호와 처벌만을 강조할 것이 아니라 많은 사람들에게 도움이 될 수 있는 서비스가 개발되고 많은 사람들이 이용할 수 있도록 법 제도에 대한 기능의 전환이 필요하다고 생각한다. 모호한 시행령에 근거해 개인정보를 활용했다가 매출 3%이하의 과징금, 5년 이하의 형사처벌에 처해질 수 있는 것이다. 유럽의 GDPR 위반 과징금 부과기준 처럼 일반 위반과 심각한 위반으로 정도를 나누어 처벌하거나 과징금 부과의 기준을 명확하게 제시하면 도움이 될 것이다. 정부는 빅데이터의 활용을 자유롭게 허용해 주되 사고가 발생하거나 사회적 위험이 있는 분야에서 조사권을 발동하여 책임구조를 명확히 밝히고 그 후속 조치를 취하는 것에 집중해야 한다. 지금의 정책은 데이터 활용을 활성화하는 것이 아니라 기업에게 리스크와 입증책임을 떠넘기는 것이라는 의견이 많다[6]. 무조건적인 규제 완화보다 서비스 이용자의 권리가 침해받지 않음을 보장하는 것이 국민들이 체감할 수 있는 이용자 보호 정책이라고 할 수 있을 것이다. 산업계에서는 국민이 우려하지 않아도 될 만큼 개인정보 보호에 힘쓰고, 가명화 된 개인정보를 재식별 하고자 하는 등 개인정보 보호 위반 사례에 대해서는 강력한 처벌이 가능한 법규 시행과 사회적 공감대가 형성돼야 할 것이다.

  데이터 제공자와 소비자의 입장에서는 소중한 개인정보가 어떻게 활용되는지 관심 있게 지켜봐야할 뿐만 아니라 개인정보 빅 데이터를 통하여 앞으로 생활 속 깊이 자리잡을 송곳 마케팅의 유혹 속에서 개인정보 보호와 데이터 활용 간의 균형을 잘 이루어야 할 것이다. 한국에는 이용자의 동의 없이는 개인정보를 활용할 수 없다. 하지만 사전 동의만으로 정보주체의 권리를 보장하는 것은 아니다. 현재의 데이터 3법 개정안은 개인정보 침해 사고가 발생했을 때 사후에 권리구제를 받을 수 있는 방법에 대한 내용은 미비하다. 개인의 가명정보를 조합해 개인을 식별할 수 있는 위험과 이를 악용할 가능성이 존재하며 이에 대한 법규가 제대로 마련되지 않은 상황에서 산업의 이윤을 추구하는 것이 시기상조일 수 있다는 것이다. 자신이 보호해야할 개인정보의 범위가 명확해지고 있고 기업들은 비식별화된 정보라 할지라도 결합하여 사용하여 충분히 통계적 자료로 사용할 수 있음을 인지해야 한다.

5. References

[1] 방동희, “데이터 경제 활성화를 위한 데이터 법제의 필요성과 그 정립방향에 관한 소고”, 법학연구, 제59권 제1호, 2018.

[2] 강달천, "데이터 3법 개정의 주요 내용과 전망", KISA Report, 2020.

[3] 김정선, "가명 데이터 활용연구 - 기술적 처리방법 및 기업의 활용방향을 중심으로", KIISC, vol.30 no.2, pp.253-261.2020.

[4] 윤덕중, 지윤석, 김영애, 신용태, "데이터 3법 개정에 따른 분쟁조정위원회 역할과 이슈분석", KIISC, vol.30 no.2, pp.279-286, 2020.

[5] 이유지, "가명정보 활용 위한 개인정보 가명처리, 정보결합 어떻게 할까" [Online] Available: https://byline.network/2020/01/28-78/ 2020.

[6] 오지현, "데이터3법 무용론 '솔솔'나오는 이유는", [Online] Available: https://www.sedaily.com/NewsVIew/1Z1M154MCP. 2020.