허술한 빅데이터 허용조항… 활용 근거 명확해야

제32조 이용자보호 측면 부족
통계 · 학술 목적 제한도 없애
미·일 등 개인정보 정의 고민


■긴급진단 21년만의 대수술 '신용정보법' (중)

금융권은 물론이고 정보보호 전문가도 빅데이터를 활용할 수 있는 법률이나 제도는 분명 필요하다고 입을 모은다. 문제는 금융당국이 빅데이터 활용의 중요성에도 지나치게 허술하게 허용 조항을 마련했다는 것이다.

◇통계·학술 목적 제한 삭제 논란=신용정보법 개정안은 정보보호 전문가들의 의견을 반영하지 않다 보니 법률 곳곳에 '구멍'이 적지 않은 상태다. 먼저 빅데이터 활용 근거로 꼽히는 제 32조가 이용자 보호 측면에서 부족하다는 지적이다.

개정안은 '특정 개인을 알아볼 수 없는 형태로 처리하는 경우(제 32조의 2 제2항 제4호)' 금융회사가 신용정보를 활용할 수 있다고 규정했다.

즉 금융회사가 수집한 정보를 비식별화하면 본래 금융거래 목적으로 수집한 정보여도 '목적 외' 이용이 가능하고 빅데이터 등에 활용할 수 있으며 제 3자에게도 제공할 수 있다는 의미다.

그런데 이 조항은 일반법인 개인정보보호법과 충돌하고 있다. 현행 개인정보보호법은 '통계작성 및 학술연구 등의 목적을 위해 필요한 경우 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공(제18조 제2항 제4호 )'하도록 허용하고 있다. 신용정보법 개정안은 개인정보보호법 조항과 달리 '통계작성 및 학술연구 등의 목적'의 제한이 삭제돼 있다.

김경환 법무법인 민후 대표변호사는 "개인정보보호법 조항에 대해 많은 전문가들은 목적 범위를 좁게 해석한 것과 달리 금융위원회는 해당 조문을 지나치게 넓게 해석했다"며 "통계 작성이나 학술연구는 공공의 목적에 활용할 수 있도록 한 것이고, 기업의 사익을 위해 활용해도 된다는 의미로 보기는 어렵다"고 말했다. 또 "타 산업에서도 빅데이터 활용을 위해 여러 고민을 하고 있지만 개인정보보호법을 준수하기 위해 많은 고민을 하고 있는데, 금융위원회만 해당 규정을 삭제해 금융회사의 데이터 활용을 허용한 것은 금융산업에 대한 특혜"라고 꼬집었다.



◇유럽, 미국, 일본 등은 '개인정보' 정의부터 고민=개인정보를 안전하게 보호하면서도 산업 현장에서 빅데이터를 충분히 활용할 수 있도록 하려면 업계 전반의 의견을 다양하게 수렴한 후 신중하고 꼼꼼하게 개정을 해야 한다는 게 전문가들의 지적이다.

최근 유럽이나 미국, 일본 등 주요 국가에서 빅데이터에 관한 제도나 법률을 제정한 것을 살펴보면 이 같은 현상이 잘 드러나 있다.

빅데이터를 활용할 수 있도록 규제를 완화해야 한다는 개념에 따라 유럽이나 미국, 일본 등은 정보보호법에 '빅데이터 조문'을 마련했다. 나라별로 그 사람이 누구인지 알아볼 수 없는 상태로 정보를 익명화하고 가공해 데이터를 활용할 수 있도록 법률 조항을 신설하고 있다. 유럽의 경우 빅데이터 활용에 이용하는 정보를 '가명처리정보(Pseudonymous Data)'라고 규정하고 있다. 이 정보는 기업에서 수집한 정보를 익명으로 가공한 것이기 때문에 재식별이 쉬우며, 따라서 개인정보에 해당한다고 보고 본인 동의를 받도록 하고 있다. 사업자에게는 제3자 제공시 공표 및 명시의무, 식별행위 금지의무, 안전관리조치의무 등을 부여한다.

미국과 일본은 빅데이터에 활용하는 정보는 익명으로 가공처리 된 '비식별화 정보'라고 판단한다. 양국 정부는 이 정보에 대해 개인이 누구인지 알아볼 수 없기 때문에 개인정보가 아니라는 해석을 내리고 있다.

김 변호사는 "익명처리정보를 개인정보로 볼 것인지 아닌지, 이 결정이 금융회사와 이용자에게는 각각 어떤 영향을 미치는지, 이에 대한 분석과 예측을 당국이 모두 수행했는지 의문"이라며 "빅데이터 활용을 위한 규제 개선은 필수인 만큼 당국이 신용정보법 개정안을 원점부터 재검토해야 한다"고 강조했다.

강은성기자 esther@dt.co.kr