염흥열 순천향대 정보보호학과 교수
![[포럼] 개인정보 국제표준을 주도해야 할 이유](http://contents.dt.co.kr/images/202203/2022032502102369073001[1].jpg "[포럼] 개인정보 국제표준을 주도해야 할 이유")
개인정보의 내용도 다양해지고 있고, 개인정보 저장도 국경을 넘어 이뤄지고 있다. 예를 들어, 특정 기업이 클라우드 서비스를 이용한다면 수집되어 저장되는 개인정보는 수집된 특정 국가에만 저장되지 않고 전 지구적 차원에서 개인정보가 저장될 가능성이 크다.
국제표준기구(ISO)에 의하면 데이터 프라이버시(data privacy)는 '개인정보의 수집, 이용, 보관, 제공, 공개 및 파기에 관한 개인의 권리와 조직의 의무'로 정의되고 있다. 개인정보 자기결정권은 정보 주체가 개인정보를 수집, 이용, 제공, 파기 등의 처리를 자기 의사로 행사할 수 있는 권한이다. 이러한 위협에 대응하는 가장 쉬운 방법은 법·제도를 이용해 정보 주체로부터 비인가적으로 개인정보를 처리하는 것을 강력히 제한하고 위반시 강력히 처벌하는 것이나, 이럴 경우 기술혁신을 저해해 결과적으로 디지털 전환을 막는 부작용이 존재한다.
다른 기술적 방법은 개인정보 자기결정권을 보장하면서 최소 수집 등의 원칙을 만족하는 프라이버시 향상 기술(PET) 등을 이용하는 것이다. PET는 정보시스템의 본래 기능을 잃지 않고, 처리되는 개인정보 요소를 제거하거나 줄이는 등의 불필요하거나 원하지 않은 개인정보 처리를 방지하는 기술을 의미한다. 법 제도적·물리적·기술적 보호조치는 국제적으로 표준화된 방법이나 모범 사례를 따라야 우리나라가 글로벌 수준의 개인정보 보호 수준을 달성할 수 있다.
개인정보 보호는 개인정보와 처리시스템에 대한 기밀성, 무결성, 가용성을 보장해야 한다. 이에 더해 기업이 정보 주체로부터 수집된 개인정보의 처리 방법과 과정을 투명하게 보여주는 투명성 (transparency), 기업이 관리되는 데이터 집합과 특정 정보 주체와 연결을 제거하는 비연결성 (unlinkability), 그리고 개인정보의 처리 과정에 정보 주체의 관여를 보장하는 개입 가능성 (interveanability)을 보장해야 한다.
개인정보 보호에 대한 국제 표준화는 국제표준화기구 작업반(ISO/IEC JTC 1/SC 27/WG 5 - 신원관리 및 프라이버시 기술)과 국제전기통신연합(ITU-T SG17) 에서 주로 수행되고 있다. 이 작업반은 개인정보보호 기술과 신원증명 기술에 대한 국제표준 개발을 담당하고 있으며, ISO/TC 307(블록체인/분산원장기술)과 협력해 분산원장기술 (DLT) 기반 정보시스템에서 처리되는 개인정보 보호 이슈를 다루고 있다. 또한 120 가지의 인공지능 이용사례에 대한 프라이버시 영향을 식별하고 이에 대한 대응책을 제공하는 국제 표준화 작업도 시작했다. 국제전기통신연합(ITU-T SG17)에서도 신원 관리, 개인정보 보호 준칙, 개인정보 처리를 최소화하기 위해 데이터 비식별화 기법과 보증 수준에 대한 국제표준을 개발하고 있다.
현재 국제 표준화 기구에서 수행되는 주요 표준화 과제를 살펴보면, 개인정보 자기 결정권을 기술적으로 보장하는 프라이버시 향상 기술, 선호도 기반 개인정보 처리, 기업 개인정보보호 관리체계 및 보호 준칙, 온라인 동의 방법, 디지털 신원 관리, 디지틀 인증 및 생체 인증, 비식별화 기술 및 처리 등을 망라해 다루고 있다.
개인정보 자기결정권을 보장하기 위한 프라이버시 향상 기술에 대한 국내외 표준화 추진이 매우 중요하다. 기업의 제품이나 서비스의 국내외 경쟁력 강화에 도움을 주기 때문이다. 우리나라가 개인정보 보호 국제 표준화를 전략적으로 추진하기 위해서는 다음 사항이 고려되어야 한다.
첫째, 우리가 개인정보 보호 분야 국제 표준화 주도권을 강화해야 한다. 주도할 수 있는 표준화 항목을 도출하고 이를 기반으로 전략적으로 추진해야 한다. 또한 장기적인 목표 수립을 위한 개인정보보호에 특화된 표준화 로드맵의 마련이 시급하다. 민간기업이 보유한 프라이버시 향상 기술을 국제표준으로 개발하면 표준 특허를 창출할 수 있을 뿐만 아니라 서비스나 제품의 기술 경쟁력을 확보할 수 있다. 국제 표준화 노력은 산·학·연·관 협력과 노력을 통해 추진되어야 한다. 또한 대표적인 표준화 기구 회의의 국내 유치를 통해 국내 개인정보 보호 국제 표준화에 대한 인식 제고를 도모하고 관련 전문가 간의 관심을 유도해야 한다.
둘째, 가칭 '개인정보보호 기술·표준화 포럼'의 신설이 고려되어야 한다. 이 포럼이 국내 전문가의 정보 교류와 국제 표준화 추진을 위한 플랫폼 역할을 제공해야 한다. 이 포럼은 민간과 정부 그리고 공공기관을 엮는 가교 구실을 해야 하며, 기술 및 표준화 정책 자문 및 기업의 역량 강화 등 자문 기능도 수행하도록 해야 한다.
셋째, 개인정보 보호 분야 표준 인력 양성, 역량 개발과 문화 조성에 힘써야 한다. 실제 표준화된 방식으로 프라이버시 향상 기술을 적용하는 운영인력에서부터 기업에서 개인정보 보호를 책임지는 최고 개인정보보호 책임자까지 다양한 수준의 인력 양성이 필요하다. 이는 대학과 산업체가 연합한 형태의 프로그램 신설을 통해 수행되어야 한다. 국제표준 중 영향력이 큰 표준을 선정해 국내 KS 또는 단체 표준으로 채택해야 한다.
넷째, 국제표준 개발을 위한 국제협력을 강화해야 한다. 특히 국제표준 선도국인 미국과 영국 등과의 공동 파트너십의 설정과 운영이 필요하다. 다섯째, 개인정보 보호 기술에 대한 연구개발과 연계된 국내외 표준화 추진이다. 연구·개발된 시스템이 다른 시스템과 상호연동이 필요한 경우 국내외 표준으로 개발되어 상호 운용성을 보장해야 한다.
프라이버시가 기업의 경쟁력이다. 이는 글로벌로 진출해야 하는 모든 우리나라 기업이 반드시 고려해야 하는 필수 요구사항이다. 개인정보 보호에 대한 연구개발과 국내외 표준화는 매우 중요하다. 디지털 전환의 신뢰 기반을 마련할 수 있기 때문이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
