염흥열 순천향대 정보보호학과 교수
![[포럼] 데이터산업, 주어진 기회 살려야 한다](http://contents.dt.co.kr/images/202003/2020032402102369660001[1].jpg "[포럼] 데이터산업, 주어진 기회 살려야 한다")
이번 개정안에서는 개인정보 정의 명확화와 가명 정보의 도입, 개인정보보호 법규제 체계 일원화 등 기존 체계와 내용이 많이 변화되었다. 개인정보의 정의에서 '쉽게 결합할 수 있는지 여부'를 판단하기 위해 다른 정보의 입수 가능성, 개인을 알아보는데 소요되는 시간·비용·기술 등을 합리적으로 고려하게 했다.
가명정보를 '원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보'로 정의해 개인정보처리자가 통계 작성, 과학적 연구, 공익적 기록보존 등의 목적으로 가명정보를 처리하고 정보 주체의 동의 없이 제3자에게 제공할 수 있게 했다. 가명정보의 활용 폭을 넓힌 것은 이번 법 개정의 핵심 중 하나다.
개인정보처리자가 가명정보를 국가가 지정하는 전문기관에 보내 가명정보의 결합을 가능케 했고, 가명정보의 결합물인 정보 집합물을 전문기관 밖으로 반출할 때에는 전문기관 장의 승인을 받도록 함으로써 가명정보의 유출 및 노출을 방지하게 했다.
또한 개인정보처리자의 가명정보 활용에 대한 책임성도 강화했다. 가명정보 안전조치 의무(기록 작성 보관, 추가정보의 분리 및 보관, 기술적·관리적·물리적 조치), 관련 기록 작성 보관, 재식별 금지 및 위반시 과징금 및 형사벌 등을 부과했다. 활용 폭을 확대함과 동시에 개인정보보호 장치도 마련한 것이다.
이와 함께 개인정보보호 관련 법령체계를 일원화했으며, 감독기구도 개인정보보호위원회로 일원화했다. 개인정보보호위원회 위상을 강화해 국무총리 소속 합의제 중앙행정기관으로 만들었다. 행정안전부와 방송통신위원회 개인정보 관련 업무를 개인정보보호위원회로 이관하게 해 개인정보보호 컨트롤타워 역할을 강화했다.
이번 데이터3법 개정안의 통과로 데이터 기반 경제를 달성하기 위한 토대가 비로소 마련됐다고 해야 할 것이다. 그러나 본격적인 법 시행을 위해 다음과 같은 세부 과제가 남아있음을 강조하고자 한다.
첫째, 2016년 6월에 발표된 '개인정보 비식별조치 가이드라인'을 '가명처리 가이드라인'으로 수정해야 한다. 법에서 정의된 가명 처리의 개념을 충실히 반영하고 데이터과학 전문가의 의견을 충분히 고려한 가이드라인이 개발되어야 한다. 기업에게 실질적인 이용 사례와 방법, 그리고 처리 가이드라인을 제공할 필요가 있다.
둘째, 가명정보 결합을 수행하는 전문기관은 공격자 목표 하니팟이 될 것이다. 전문기관의 안전 조치는 매우 중요하다. 또한 시행령에 위임한대로 지정과 지정 취소의 기준·절차, 관리·감독, 전문기관 반출 승인의 기준·절차 등을 정의해야 한다.
셋째, 가명정보로 처리하는 개인정보처리자에 대한 안전조치 의무사항을 정의해야 한다. 가명 정보를 별도 분리하여 보관 및 관리, 해당 정보의 분실, 도난, 유출, 위조, 변조 또는 훼손되지 않도록 하는 세세한 기술적·관리적·물리적 보호조치를 정의해야 한다.
넷째, 유렵연합(EU) 개인정보 적정성 평가 절차를 조속히 완료할 필요가 있다. 이번 개정안 마련으로 EU 개인정보 적정성 평가의 걸림돌로 간주되던 '감독기구 독립성 부족' 문제와 '범위 협소' 문제는 해소되었다. 따라서 EU와 협의를 착실히 진행해 연내에 개인정보 적정성 평가를 완성해 우리나라 데이터 산업의 국경을 넓혀야 한다.
다섯째, 개정안에서 위임한 시행령 마련이 필요하다. 법 시행을 준비하고 있는 행안부, 방통위, 개인정보보호위원회를 중심으로 정부부처 간의 정책협력 체계 마련도 필요하다. 이는 개인정보보호위원회의 보호와 활용을 위한 마스터 플랜을 지원할 수 있다. 데이터3법 개정 통과는 프라이버시 보호 요구와 데이터 활용 요구를 절충한 것이다. 이제부터는 데이터 산업 육성을 통한 국가 경쟁력 향상의 구체적인 길 위로 들어선 셈이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
