![[포럼] ‘개인정보 비식별화’ 법제화 시급하다](http://contents.dt.co.kr/images/201604/2016042902102251607001[1].jpg "[포럼] ‘개인정보 비식별화’ 법제화 시급하다")
기업은 자신이 보유한 데이터, 서비스 제공되는 동안 생성된 데이터 그리고 공개되어 있는 데이터를 수집·분석해 서비스 제공과 연관된 통계, 학술 연구 등의 목적으로 활용하고자 한다. 빅데이터를 분석하면 유의미한 가치를 갖는 새로운 정보를 산출한다. 국내에서 대표적인 빅데이터 활용 사례는 2013년 서울시의 이동통신 통화량 분석을 통해 최적의 심야 버스 노선을 확정한 것이다.
빅데이터 속에 개인정보가 포함되어 있다면, 기업이 처리를 위해 정보주체로부터 목적에 대해 사전 동의를 받아야 한다. 데이터 양이 크고 범위가 넓어서 처리 목적과 항목에 대해 사전 동의를 정보주체로부터 받는 것은 현실적으로 어렵다.
2014년 12월 방송통신위원회는 '빅데이터 개인정보보호 가이드라인'을 발표했다. 여러 경로를 통해 수집한 데이터를 결합해 빅데이터로 활용할 경우 특정 개인을 식별할 수 없도록 조치(이하 비식별화 조치)를 취해야 한다고 권고했다. '개인정보 비식별화'는 데이터값 삭제, 가명처리, 총계처리, 범주화, 데이터 마스킹 등을 통해 개인정보의 일부 또는 전부를 삭제하거나 대체함으로써 다른 정보와 결합하여도 특정개인을 식별할 수 없는 기술적 조치로 정의된다. 비식별화는 하나의 기법이 아니라, 여러 다양한 기법을 결합한 프로세스에 의해 달성된다.
데이터는 특정 정보주체를 식별할 수 있는 개인정보와 특정 정보주체를 식별할 수 없는 익명정보로 구분된다. 개인정보에 비식별화 기술을 적용하면 특정 개인을 알아볼 수 없는 비식별화 데이터로 변환된다. 비식별화 기법의 적용 수준에 따라 비식별화 데이터는 개인정보에 가까운 비식별화 데이터와 익명 데이터에 가까운 비식별화 데이터로 다시 구분된다. 전자는 기업에 의해 원래 정보주체와 연결될 가능성이 있는 데이터이며, 후자는 원래 정보주체와 연결이 매우 어려운 데이터다.
기업은 빅데이터 활용에 방점을 두고 빅데이터를 처리하기 원하고 있고, 개인정보규제기관과 시민사회는 비식별화 데이터 활용으로 인한 정보주체의 정보자기결정권의 침해 가능성을 우려하고 있다.
최근 국내외를 망라하고 비식별화 가이드라인 형태를 탈피해 활용의 법적 근거를 마련하기 위한 비식별화 법제화 요구가 나타나고 있다. 방송통신위원회는 2016년 청와대 연두 업무 보고에서 개인·위치정보를 활용한 산업 활성화'를 위해 시행될 '개인정보 비식별화 조치, 선활용 후거부 방식 등의 법제화'를 추진하겠다고 밝힌바 있다.
일본은 2015년 비식별화된 데이터를 익명가공정보를 정의하고, 익명가공정보를 처리할 수 있도록 개인정보보호법을 개정한 바 있다. 유럽연합에서도 2015년 유럽 단일개인정보보호법(GDPR) 제정을 통해 기업이 개인정보를 가명으로 변환한 가명 데이터를 수집 및 이용할 수 있게 했다. 또한 가명 데이터를 기업에 의해 조직적, 기술적 보호조치를 취하도록 요구하고 있다. 이외, 미국은 비식별화에 대한 가이드라인을 제정해 빅데이터 활용 근거를 이미 마련한 바 있다. 국제표준화 기구인 정보보호기술 연구반 27(ISO/IEC JTC 1/SC 27)에서는 비식별화 기술을 국제적으로 표준화를 추진하고 있다. 2015년 4월부터 국제 표준(ISO/IEC 20889)을 개발하고 있다. 이 표준에서는 모든 비식별화 기술을 정의하고, 각 방식의 장단점을 제시할 예정이다.
위의 국내외 법제화 동향을 살펴보면, 개인정보 비식별화 법제화 근거 마련은 글로벌 추세라고 볼 수도 있다.
국내 비식별화 법제화와 관련되어 나타날 주요 고려사항은 △비식별화된 데이터가 재식별화될 위험이 없는지 △사전 동의가 필요치 않은 비식별화된 데이터의 처리 범위(수집과 이용만 허용할지 아니면 제3자에게 제공까지 포함할지) △어느 정도 비식별화 안전성 수준을 적용해야 충분한 비식별화 데이터로 간주할지 △기업이 다른 기업으로부터 제공받은 비식별화 데이터를 모아 더 큰 비식별화 데이터로 결합하는 것을 허용할지 여부 등으로 요약된다.
국내 개인정보 비식별화를 위한 법제도 근거 마련 시 다음의 사항을 고려해야 한다. 비식별화 데이터를 활용하기 위해서는 비식별화된 데이터가 다시 원래 개인정보로 되돌아가는 재식별화 위험이 존재할 수 있다. 기업은 안전한 비식별화 기술을 적용해야 하며, 기업이 비인가적으로 비식별화 데이터를 재식별화하는 행위는 금지돼야 한다. 기업에게 비식별화 데이터에 대한 최소 보호조치도 요구해야 한다. 안전한 비식별화 기술에 대한 가이드라인 개발 및 보급도 필요하다. 정보주체의 비식별화 처리에 대한 사후 거부권도 보장돼야 한다.
비식별화에 대한 법제화 수준은 주요 참여주체의 요구를 고려해야 한다. 유럽, 일본 등의 법제화 수준도 고려해 결정돼야 한다. 개인정보 보호와 활용에 대한 적절한 수준을 결정하기 위한 주요 참여 주체의 합의가 필요하다. 비식별화 수준과 정도에 대한 선택 대안마다 장단점이 있어 선택 수준의 합의도 필요하다.
서비스 영역마다 차별화된 비식별화 안전성 변수 설정도 필요하다. 민감성이 요구되는 의료나 금융 분야의 경우 다소 높은 안전성 수준을 적용해야 한다. 다소 덜 민감한 서비스 영역의 경우, 보통 수준의 비식별화 안전성 수준을 요구해야 한다. 안전성 수준에 반비례해 보호조치도 취해져야 한다.
6월이면 개원될 20대 국회가 최우선 과업으로 주요 개인정보보호 참여주체와 협력해 조속히 비식별화의 법적 근거를 마련하기를 희망한다.
염흥열 순천향대 정보보호학과 교수
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
