염흥열 순천향대 정보보호학과 교수
![[포럼] 프라이버시 보호기술이 부상한다](http://contents.dt.co.kr/images/202206/2022061602102369073001[1].jpg "[포럼] 프라이버시 보호기술이 부상한다")
정보통신 신기술이 급속하게 발전하고 있고 데이터 활용 요구가 증가하고 있는 만큼 정보 주체의 개인정보 침해 소지가 커지고 있다. 개인정보의 활용 목적을 달성하면서 정보 주체의 프라이버시 침해를 막는 방법이 무엇인가? 현실적 방법은 프라이버시 강화 기술을 적용하는 것이다. 수집된 개인정보를 주체를 식별할 수 없는 비식별 정보로 변환하거나 익명 정보로 만들어 처리하는 것이 가장 대표적인 방법이다.
예컨대 자율자동차에 의해 수집되는 영상 정보를 개인정보 보호법을 준수하면서 안전하게 데이터를 처리하고자 하는 경우를 보자. 차량에 의해 수집된 영상 정보에 포함된 모든 정보주체로부터 사전에 수집 동의를 받는 방법이 있으나, 이는 현실적으로 거의 불가능하다. 다른 방법은 영상 정보 처리를 해당 자율자동차의 인공지능 머신에서만 처리해 개체를 식별하는 방법이 존재하나 이 방법 역시 자율자동차에서 컴퓨팅 기기의 높은 연산 및 저장 능력을 요구하게 된다. 이러한 환경에 적용하는 프라이버시 강화 기술은 수집된 식별 가능한 영상 정보를 정보주체를 식별할 수 없는 비식별 영상 정보로 만들어 중앙 클라우드에서 처리하거나 자율자동차와 클라우드가 연합해 학습하는 프라이버시 강화 기술을 적용하는 방법이다.
다른 활용 사례는 동형 암호 기법을 적용하는 것이다. 예를 들어, 여러 개인정보 처리자로부터 정보 주체의 개인정보를 받아서 데이트의 값을 합해서 그 결과를 해당 개인정보처리자에 되돌려주는 데이터 결합기관에서 활용 사례를 살펴보자. 만약 데이터 결합기관이 처리자로부터의 암호화된 개인정보를 복호한 후 평문 값을 구해 두 값을 합치는 경우, 데이터를 제공하는 처리자는 개인정보를 제삼자에게 제공하게 되어 정보주체로부터 별도 동의를 받아야 한다. 그러나 결합기관이 동형암호를 사용하면 여러 개인정보처리자로부터 수신한 암호화된 데이터를 복호화하지 않고 암호화된 상태에서 데이터에 대해 연산을 수행해 그 결과를 처리자에게 되돌려주고, 해당 개인정보처리자가 복호 해 그 결과를 얻을 수 있게 된다. 이 경우 제삼자 제공의 별도 동의를 받지 않아도 원하는 데이터 연상을 수행할 수 있다.
사회 관계망을 통해 여러 정보주체간에 교환되는 텍스트 스트링을 이용해 인공지능 머신에 입력해 사용자의 성향이나 성격을 분석하는 사회 서비스를 생각해 보자. 이 경우 개인정보처리자는 본래 수집 목적과 다른 인공지능 학습 목적에 대해 정보주체의 별도 동의를 받아야 한다. 이러한 별도 동의를 받는 것은 현실적으로 매우 어렵다. 따라서 수집된 텍스트 스트링에 포함된 개인정보를 제거하여 익명 데이터 스트링으로 변환해 인공지능 머신의 학습에 이용하는 프라이버시 강화 기술도 존재한다.
개인정보보호 관련 비영리단체인 미래 프라이버시 포럼(Future of privacy forum)은 향후 10년간 기업이 주목해야 할 10가지 프라이버시 강화 기술로 동형암호, 안전한 다자간 계산, 차분 프라이버시, 영지식 증명 등 암호화 기법, 난독화 기법, 가명처리, 데이터 최소 수집, 트래픽 익명화 등의 데이터 마스킹 기법, 그리고 합성 데이터 생성, 연합 학습 등의 기계학습 연관 기법 등을 꼽았다.
정보시스템의 설계부터 파기까지 전 생명주기 동안 프라이버시가 고려하는 프라이버시 중심 설계 원칙은 너무 중요하며, 프라이버시 강화 기술은 이를 달성하기 위한 중요한 수단이다. 프라이버시 강화 기술을 적용한 최소의 개인정보를 수집하고 꼭 필요한 당사자에게만 공유하며 처리 목적을 달성하면 바로 파기하게 함으로써 정보주체의 개인정보 자기 결정권을 보장해야 한다.
개인정보보호위원회는 2021년 11월에 개인정보 보호와 안전한 활용을 통한 정보주체의 권리를 보장하기 위한 비전으로 누구나 안심할 수 있는 개인정보보호 활용하기 위한 기술개발 로드맵을 최초로 발표했다. 데이터보안의 요구사항을 반영하기 위해 시기 적절하게 마련되었다.
개인정보 보호는 개인정보에 대한 정보보호 보호조치에 더해 프라이버시 차원의 보호조치를 요구한다. 다시 말해, 개인정보 보호는 조직에 의해 관리되는 개인정보에 대한 기밀성, 무결성, 가용성을 보장해야 하고, 정보주체로부터 수집된 개인정보의 처리를 투명하게 보여주는 투명성(transparency), 관리되는 데이터 세트와 정보주체와 연결을 제거하는 비 연결성(unlinkability), 개인정보의 처리 과정에 정보 주체의 개입을 보장하는 개입 가능성(interveanability)을 추가로 보장해야 한다.
프라이버시를 존중하면서도 정보주체의 자기결정권을 보장하기 위한 개인정보보호 측면의 다양한 프라이버시 강화 기술의 연구개발은 기업의 경쟁력 강화에 매우 중요하다. 이러한 기술을 통해 우리나라 개인정보보호 수준을 획기적으로 강화하기 위해서는 다음을 고려해야 한다.
첫째, 정부는 프라이버시 강화 기술에 대한 연구개발을 확대하고 강화해야 한다. 연구개발의 형태도 기업과 대학, 공공기관이 참여하는 산학연 컨소시엄 협력을 통해 수행해야 한다. 장기 기술개발의 로드맵을 개발해 필요한 기술 수요를 도출하고, 그에 대한 연구개발을 통해 얻은 기술을 민간에 조속히 이전해 프라이버시 강화 기술을 적용한 제품과 서비스 개발로 연결해야 한다.
둘째, 개발된 개인정보 보호 기술에 상호 연동성이 요구되면 국내외 표준화 활동이 필요하다. 이를 통해 제품과 서비스의 상호 연동이 가능하게 된다. 프라이버시 강화 기술을 개발 운영하기 위한 인력양성 지원도 필요하다. 대학, 정부와 협력해 인력양성에 대한 장기 로드맵을 만들어 시행해야 한다. 프라이버시 강화 기술을 적용해 서비스를 제공하는 운영인력뿐만 아니라 기업 내에서 개인정보 보호를 책임지는 개인정보 보호책임자를 포함한 다양한 수준의 인력양성이 필요하다.
셋째, 개인정보보호 기술에 대한 국제 협력과 국제 파트너십의 구축 운영이 필요하다. 국제 공동 연구를 통해 선진 프라이버시 강화 기술을 우리나라에 조속히 이전해 우리나라 서비스나 제품의 기술경쟁력을 확보할 수 있기 때문이다.
개인정보 보호 자기결정권을 보장하면서 신뢰적 개인정보 처리가 가능한 프라이버시 강화 기술에 대한 연구개발과 적용은 국내 기업의 개인정보 보호 수준 향상에 직결되기 때문이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
