"개인정보 비식별 조치 안전하지 않다는 건 오해"

파수닷컴 윤덕상 전무 인터뷰

“많은 분들이 개인정보 비식별 조치에 대해 안전하지 않다고 오해하고 있습니다. 비식별 조치를 했더라도 지속적인 모니터링을 통해 재식별 여부를 검증하고, 재식별이 될 경우는 즉시 개인정보로 분류돼 보호받게 됩니다. 현존하는 절차 중 매우 안전한 절차로 비식별 조치가 진행된다고 볼 수 있습니다.”

파수닷컴 윤덕상 전무는 개인정보 비식별 기술에 대한 사회적 인식과 규제로 인해 데이터 활용이 늦어지고 있다며 이같이 말했다.

최근 국회에서는 데이터 규제 혁신과 개인정보보호 거버넌스 체계 정비를 주 내용으로 하는 3개 법률 (개인정보보호법, 정보통신망법, 신용정보보호법) 개정안이 발의됐다. 하지만 개정안이 통과돼 산업계에 데이터 활성화 바람이 불기까지는 아직 먼 걸음이다. 개정안 상세 내용에 대해 여야 간 견해차가 존재하고, 시민단체의 반발도 여전하기 때문이다.

파수닷컴은 지난 9월 문재인 대통령이 참석한 ‘데이터 경제 활성화 규제혁신 행사’에 보안 솔루션 업체로는 유일하게 참가, 데이터를 안전하게 활용하기 위한 비식별 기술을 발표했다. 윤 전무는 이날 개인정보보호법 개정을 촉구하며, 자유로운 데이터 활용 환경을 하루빨리 구축할 것을 피력했다.

윤 전무는 “2017년 시민단체가 비식별조치 전문기관과 비식별 데이터를 활용한 기업을 고발해 개인정보 활용 시장이 축소된 시기에도 파수닷컴은 비식별 기술 관련 조직을 해체하지 않고 꾸준히 유지해왔다”며 “이제는 적극적인 규제 혁신을 통해 데이터 산업을 육성해야 한다”고 강조했다.

파수닷컴 윤덕상 전무

그는 “지금은 속도의 시대인데, 한국이 규제와 개인정보 고발 사건 등으로 잠시 주춤하는 사이 중국, 일본 등은 정부가 나서서 기업의 데이터 활용을 장려하고 있다”며 “정부가 산업 활성화를 아무리 얘기해도 규제가 풀리지 않는 이상 선언적 측면에 그칠 뿐”이라고 지적했다.

스위스 국제경영대학원(IMD)에서 발표한 자료에 따르면, 작년 기준 한국의 데이터 활용 규제 수준은 전 세계 63개국 중 52위다. 윤 전무는 “데이터 활용 역량은 31위로 중간 수준인 데 반해, 활용 규제 수준은 높다”며 “2016년에는 규제 수준이 44위였는데, 작년에는 오히려 8계단이 더 떨어졌다”고 설명했다.

시민단체의 반발과 개인정보 활용에 대한 부정적 사회 인식도 데이터 활용을 늦추는 요인이다.

윤 전무는 “비식별조치에 대해 많은 사람들이 오해하고 있다”고 말했다. 그는 시민들이 비식별 조치에 대해 불안해하는 요인으로 기존 정보유출의 트라우마와 비식별가이드라인을 꼽았다.

“다른 나라와 달리 우리나라의 비식별조치 가이드라인은 ‘법률’이 아니라 ‘가이드라인’이기 때문에 개인정보보호법 상으로는 위법이라 정의돼있어 시민단체에서 고발을 했다”며 “시민 입장에서는 기업들이 데이터를 임의로 부정적으로 활용했다고 인식할 수 있다”고 설명했다. 또 “이로 인해 비식별 기술 자체가 안전하지 않다는 오해도 들 수 있다”고 덧붙였다.

데이터를 안전하게 보호하면서도 산업발전에 잘 활용할 수 있는 가장 쉬운 방법은 개인정보를 제공하는 개인에게 일일이 활용 동의를 받아 사용하는 것이다. 하지만 윤 전무는 “법으로 최초 개인정보 수집 당시 동의받은 목적 이외에 중간에 다른 목적으로 데이터를 활용하려면 다시 동의를 받게 돼 있다”며 “이런 방법으로는 데이터 활용이 거의 불가능하다”고 설명했다.

따라 그는 “개인정보를 비식별화해서 사용하는 것이 가장 좋은 방법”이라며 비식별 기술의 중요성에 대해 강조했다.

비식별 기술은 가명화와 익명화를 통칭한다. 가명정보는 다른 데이터랑 결합했을 때 재식별이 가능한 정보를 말하며, 익명정보는 다른 데이터와 결합하더라도 재식별이 불가능한 정보를 말한다.

비식별 조치는 크게 3단계에 걸쳐 진행된다. 데이터 집합 내에서 개인을 식별할 수 있는 정보를 찾아 가명처리, 총계처리, 범주화, 마스킹 등 17가지 이상의 비식별 처리 기술에 따라 변경을 하거나 삭제하는 작업이 1단계다. 2단계는 다른 데이터와 결합해 개인이 식별될 수 있는 특이 정보를 추가로 찾아내 제거한다. 이후 내·외부 전문가들로 구성된 적정성평가 위원회를 구성해, 위원회에 비식별 조치가 적정하게 이뤄졌다는 승인을 받아야만 데이터를 실제로 활용할 수 있다.

윤 전무는 “비식별 조치는 이미 검증된 기술과 철저한 단계를 걸쳐서 이뤄지고 있고, 활용 도중에도 지속적으로 재식별 가능성을 모니터링하게 돼 있다”며 “앞으로는 비식별 조치된 데이터를 의도를 가지고 임의로 재식별할 경우는 처벌도 가능해 비식별 조치의 안정성에 대해서는 신뢰해도 된다”고 설명했다. 이어 “여태까지의 비식별 조치는 완벽한 익명화였지만 가명화가 논의되면서 가명정보 시장에서도 비식별 기술은 많이 쓰일 것으로 보인다”고 덧붙였다.

그는 한국의 데이터 산업 정책은 “너무 느리다”고 평가했다. 이미 지난 4월 4차산업위원회가 해커톤을 통해 가명화와 익명화를 비롯한 여러 가지 이슈에 대해 합의를 이뤘지만, 11월이 지나서야 개인정보보호법 개정안이 발의됐다. 윤 전무는 “데이터 활용이 시급함에도 불구하고 그에 비해 진행속도가 너무 느리다”며 “좀 더 빠른 법 제정과 정책적 지원이 필요하다”고 촉구했다.

데이터 생성, 관리, 유통, 공유 생태계를 조성하고 데이터 전문 인력 육성에도 정부가 적극 나서야 한다고 피력했다. “현재 활용 가치가 높은 데이터는 정부와 대기업에 집중돼 있다”며 “집중화된 데이터를 다른 기업들도 다양하게 활용할 수 있는 길을 열어주는 고민을 해야 하고, 중소기업들이나 산업현장에서도 적극적으로 데이터를 모으고 이를 위한 투자가 이뤄질 수 있도록 지원해야 한다”고 설명했다.

또 “국내에는 데이터 전문인력이 많이 부족하다”며 “정부와 대학이 적극적으로 나서서 신규 전문인력을 양성하고, 현재 기업에 종사하는 인력들이 단기 전환 교육을 통해 데이터 산업에 투입될 수 있도록 다양한 교육 환경과 지원을 추진해야 한다”고 덧붙였다.

시민들의 개인정보 활용에 대한 인식 변화를 위해서는 “불법적인 개인정보 활용에 대해 엄단할 수 있는 법적 안전장치를 마련해야 한다”고 강조했다.