‘개인 정보 수집 및 이용에 동의하시겠습니까.’

현재 ‘개인 정보 보호법’에 따르면 개인 정보를 수집하기 위해서는 사전에 개인 정보 주체의 동의를 받아야 한다. 이는 개인의 자기결정권을 보장하기 위한 조치다. 개인 정보 보호법 제1조는 ‘개인의 자유와 권리를 보호하고, 나아가 개인의 존엄과 가치를 구현함을 목적으로 한다’고 밝히고 있다.

여기서 개인 정보는 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)로 규정돼 있다.

문제가 되는 것은 ‘다른 정보와 쉽게 결합해 알아볼 수 있는 것을 포함한다’는 부분이다. 비식별 조치를 해서 정보의 주체를 알 수 없어도 개인 정보로 봐야 하느냐가 쟁점이다. 비식별 조치란 이름을 가명으로 바꾸거나 별표(*)로 처리하는 등의 기법을 말한다.

앞서 정부는 지난 2016년 개인 정보 비식별 조치 가이드라인을 발표한 바 있다. 이에 따르면 개인 정보에 해당하는지 여부를 검토한 후, 개인 정보가 아닌 것이 명백한 경우 법적 규제 없이 자유롭게 활용하도록 하고 있다. 하지만 법적 구속력이 없어 법 위반 여부를 다툴 경우 해당 가이드라인을 근거로 삼을 수 없다.

이처럼 법이 그대로 머물러 있는 동안 기술은 비약적으로 발전했다. 사물인터넷, 빅데이터, 인공지능 등 새로운 산업이 일상생활까지 파고들었다. 이 중 근간이 되는 빅데이터 산업은 정보(데이터)를 토대로 발전할 수 있다. 하지만 현행법에서는 개인 정보 수집 및 활용이 엄격하게 제한되고 있어 빅데이터 산업 발전까지 어려움을 겪고 있다는 지적이 제기된다.

이에 국회 4차산업혁명특별위원회는 국회에서 공청회를 열고, 개인정보 활용 및 보호에 대한 전문가의 의견을 수렴하고 있다.

김성식 4차산업특위원장은 “공청회를 통해 개인정보 활용 문제에 대한 사회적 공감대를 만들어 갔으면 좋겠다”면서 “빅데이터 기술 발전 없이는 인공지능, 자율주행차, 핀테크(Fin-tech) 등 4차 산업혁명이 무의미해진다”고 밝혔다.

지난 23일 공청회에서 전문가들은 개인정보 보호법으로 인해 질 좋은 데이터를 얻기 힘들다고 토로했다. 이들은 비식별 조치가 된 정보는 자유롭게 활용할 수 있어야 한다고 입을 모았다. 아울러 기업이 고객의 개인 정보 관리를 소홀히 했던 과거 사례를 인정하며 기업이 먼저 신뢰를 확보하기 위해 노력하는 것도 중요하다고 말했다.

◆ 식별 정보와 비식별 정보는 구분해야

4차산업혁명위원회 사회제도혁신위원을 맡고 있는 구태언 변호사는 “기업과 산업계에서 개인정보 보호법이 규제로 작용하고 있다는 목소리가 커져가고 있다”며 “특히 스타트업에는 걸림돌”이라고 주장했다.

구 변호사는 개인정보 보호법이 대기업에 유리하고 스타트업에 불리하게 작용하고 있다고 지적했다. 그는 “고객 정보를 입수하기 위해서는 일일이 고지를 하고 동의를 받아야 하는데, 대기업과 중소기업 간 실력차이가 존재한다”며 “예를 들어 사람들은 잘 알지 못하는 애플리케이션을 설치할 때 동의하지 않지만, 대기업이 새로운 서비스를 출시하면 누구나 쉽게 동의한다”고 말했다.

이어 “개인정보를 비식별 상태로 만들어도 사전 동의를 받아야 한다면 (스타트업은) 기업 운영에 불리하다”며 “결국 강자에게 유리한 산업구조를 만드는 데 (개인정보 보호법이) 기여하고 있다고 생각한다”고 덧붙였다.

또 그는 현재의 사전 동의 방식은 자기결정권이 아닌 사실상 국가결정권이라고 꼬집었다. 그는 “개인정보 고지 방식을 국가가 특정 방식으로 강요함으로써 개인정보 주체의 결정권을 국가가 하고 있다”며 “개인이 포괄적으로 동의하고 싶으면 할 수 있도록 허용해야 한다”고 강조했다.

그러면서 “‘개별적 사전동의형’과 ‘포괄동의 후 사후 동의 배제형’ 중에 선택할 수 있게 해야 한다”며 “또 식별정보와 식별가능정보는 나눠서 식별정보만 동의 제도를 적용하도록 해야 한다”고 제안했다.

◆ 개인정보 활용은 이익형량을 따져 유연하게

반면 경제실천시민연합 소비자정의센터 김보라미 변호사는 “비식별 정보에 대해 아무도 책임지지 않는 게 가장 큰 문제”라고 지적했다.

김 변호사는 “비식별 정보여도 정보가 결합되면 될수록 어느 한 개인을 특정하기가 쉬워진다. 그런데 정부의 비식별 가이드라인에는 비식별 조치가 되면 개인정보가 아닌 것처럼 설명돼 있다”며 “그 가이드라인에 따라서 현재 국가 기관이나 공공기관이 결합 업무를 수행하고 있지만, 결과나 과정에 대한 정보가 전혀 공개돼 있지 않다”고 비판했다.

이어 “통신사, 보험회사 등은 개인 정보를 많이 가지고 있는데 이런 회사가 결합 서비스를 하면 굉장히 위험하다”며 "미국, 일본 등에서는 결합 가능한 정보를 개인정보로 해석하고 있다”고 설명했다.

그는 개인정보 활용 여부는 이익형량을 따져 해결할 수 있다고 조언했다. 그는 “개인정보는 명확하게 정해지는 게 아니라 사회발전이나 기술발전 등 맥락에 따라 의미가 정해질 수 있다”며 “컨트롤타워가 이익형량을 따져 개인정보 활용 범위를 유연하게 할 수 있다”고 말했다.

이와 함께 개인이 자신의 정보를 잘 관리할 수 있도록 IT 서비스 교육의 필요성을 역설했다. 그는 “시민들이 기업과 국가로부터 원하지 않는 추적을 피하기 위한 노력을 함께 해야 한다”며 “자신의 정보 통제권을 회복하기 위한 측면에서 미디어 및 IT 서비스를 이용할 수 있는 미디어 리터러시 교육의 필요성이 전 세계적으로 증대되고 있다”고 했다.

◆ "가비지 인, 가비지 아웃(Garbage In, Garbage Out)"

성원경 한국과학기술정보연구원(KISTI) 융합기술연구본부장은 “정부에서 배포한 개인정보 비식별 조치 가이드라인에 따르면 비식별 정보를 개인정보가 아닌 것으로 ‘추정’하고 있다”며 “재식별 가능성이 있다면 그 정보를 쓰면 안 되는 것이다. 요즘에는 분석 기술이 좋아서 (비식별 정보로) 어느 한 사람을 식별해낼 수 있는데 결국 비식별 정보를 쓰지 말라는 얘기”라고 지적했다.

성 본부장은 “해외의 경우, 비식별 정보는 비교적 자유롭게 활용되고 있다”며 “미국은 비식별 정보를 제한 없이 이용하고, 유럽연합(EU)은 학술이나 통계 등 목적에는 동의 없이 이용할 수 있다. 또 일본은 상품·서비스 개발 용도로 비식별 정보 매매를 허용하고 있다”고 전했다.

이어 그는 “우리나라만 규제에 치중하고 있으며 개인정보 전체 수집·처리에 사전 동의 방식을 적용해 빅데이터 활용에 어려움이 있다”며 “개인정보 보호법 개선 노력이 필요하다”고 강조했다.

그러면서 “비식별 정보는 사전 동의를 얻는 것보다 연구자들이 일단 비식별 조치를 해서 활용하고, 그 과정에서 개인을 식별할 수 있는 요소가 만들어졌다면 제거하도록 규정을 만들어야 한다”며 “의도적으로 재식별하는 행위를 엄벌하는 방향으로 법 개정이 이뤄졌으면 좋겠다”고 당부했다.

아울러 “데이터는 ‘21세기의 원유’라고 불릴 만큼 4차 산업혁명의 성장과 변화의 주역이지만 활용할 수 있는 데이터의 품질은 매우 낮은 상황”이라고 지적했다.

◆ 법 무서워 사업 준비도 못하는 것이 현실

차인혁 SK텔레콤 테크 인사이트 그룹장은 “정부의 비식별 정보 가이드라인은 모호하기 때문에 실제로 활용할 수 없다“며 ”하지만 비식별 정보를 쓰지 않고 해낼 수 있는 일이 많지 않다”고 기업 현실을 토로했다.

차 그룹장은 “회사 내 기술팀에서는 나중에 환경이 바뀔 때를 대비해서 빅데이터 역량을 갖춰야 하는 거 아니냐고 말하지만 법률팀에서는 (법에 어긋나기 때문에) 준비를 하는 것도 안 된다고 말한다”면서 “최근에는 데이터를 가지고 사업하는 분들이 고발을 당하더라도 (빅데이터 사업) 준비라도 해보고 싶다고 하신다”고 전했다.

그는 “구글처럼 되고 싶다는 생각보다는 구글처럼 되지 않아야겠다는 입장이 더 많다”며 “기업이 해야 할 일은 국민이 더 좋은 결정을 할 수 있도록 (빅데이터를 통해 좋은 정보를 제공해) 도와드리는 것”이라고 말했다.