가명정보 활용 길 열려...빅데이터 산업 '날개'

[이슈진단+] 데이터3법 통과, 산업계 영향은 (상)

'데이터 3법(개인정보보호법·신용정보법·정보통신망법)' 개정안이 국회 본회의를 통과했다. 문재인 정부가 어느 나라보다 데이터를 잘 쓰는 나라로 만들겠다고 강조한 만큼, 데이터 3법은 다양한 산업군에서 파급력을 지닐 것으로 보인다. 기업의 데이터 이용 허들이 다소 낮아졌기 때문에 빅데이터와 인공지능(AI) 관련된 분야서 큰 기대감을 갖고 있다. 반면 데이터 3법에 따라 개인 정보가 주체 동의없이 상업 목적으로 쓸 수 있다는 우려도 제기되고 있다. 데이터 3법이 산업계에 미칠 영향을 다방면으로 분석해봤다. [편집자주]

개인정보의 법적 정의에 기존 개인정보 외 가명정보·익명정보가 추가된다. 이는 지난 9일 국회 본회의를 통과한 데이터 3법의 핵심 내용 중 하나다.

정보 주체를 알아볼 수 없게 비식별 처리한 개인정보를 뜻하는 가명정보의 경우 정보 주체 동의 없이도 통계 작성·과학적 연구·공익적 기록 보존 목적으로 처리할 수 있게 된다.

현행법은 가명 처리와 관계 없이 기업·기관이 수집한 데이터를 활용하기 앞서 정보 주체의 동의를 받도록 의무화해왔다. 개인 사생활 침해를 방지하기 위해 만들어진 조항이지만, 산업계는 데이터 경제 시대에 뒤떨어진 법제라는 지적을 제기해왔다. 미국, 중국 등 해외 정부가 기업의 데이터 수집·활용을 적극 지원해 인공지능(AI), 클라우드 등 미래 기술 경쟁력 확보에 노력을 기울이고 있는 반면, 한국은 과도한 개인정보 규제가 국내 기업의 경쟁력을 깎아먹고 있다는 것이다.

데이터 3법 통과에 따라 가명정보가 법적 개념으로 포함되면서 산업계는 비식별 데이터 결합과 활용이 활성화될 것으로 전망하고 있다. ▲수집할 수 있는 데이터의 양과 질 확대 ▲일반 개인정보보호법(GDPR) 준수에 따른 데이터 확보·활용 가능성 증가 ▲개인정보 불법 활용 논란으로부터의 탈피 등이 주요한 이유다.

■빅데이터, 몸집 커지고 세분화된다

데이터 3법에서는 전문기관을 통한 가명처리 및 정보 반출을 법제화하고, 이를 위반 시 형사처벌 또는 과징금 등을 부과하는 등 가명정보의 처리 및 활용 절차를 구체화했다. 기업이 필요한 빅데이터를 확보하기 위해 거쳐야 하는 단계를 마련한 것이다.

사전 동의를 받을 필요 없는 가명정보 특성상 기업·기관이 활용할 수 있는 데이터의 양적 규모가 증가할 것으로 전망된다. 아울러 수집, 활용 가능한 데이터의 질도 향상될 것으로 예상된다.

데이터 바우처 지원 산업, 개방형 데이터 스토어 등을 담당하는 한국데이터산업진흥원 관계자는 "데이터 수요 기업들은 비즈니스 차원에서 다양한 상품을 이용하고 싶어한다"며 "데이터 3법이 도입되면 데이터 공급 기업이 제공 가능한 정보의 범주가 늘어나는 만큼 상품을 더 많이 내놓을 것이고, 이에 따라 기업의 수요도 늘어나는 결과가 나타나게 될 것"으로 전망했다.

개인을 대상으로 금융·통신·에너지·유통·의료 5개 분야에서 데이터 활용 서비스를 제공하는 마이데이터 사업에 대해서도 긍정적 영향을 끼칠 것으로 봤다.

이 관계자는 "기존에는 개인정보 보호를 이유로 정보 주체를 알아볼 수 없도록 집계 데이터만 제공했는데 분석, 활용에 한계가 있었다"며 "데이터 3법이 도입되면 가명 처리된 원본 데이터를 받아볼 수 있게 되는 건데 데이터를 다양하게 활용하기 위해 기업들이 이런 원본 데이터를 희망해왔다"고 설명했다.

예를 들어 익명 처리된 정보 주체를 중심으로 국세청에서 수집된 세금 신고 데이터, 민간 기관에서 수집된 부동산 관련 데이터를 연결하는 것도 가능해진다. 총합이나 평균을 제공하는 데 그치던 통계 데이터 대비 데이터 활용 가능성이 극대화되는 것이다.

아울러 정보의 민감성 때문에 자체 수집한 데이터만 활용하는 데 그쳤던 의료 등의 분야에서도 각 기관 빅데이터센터 간 데이터 연계가 나타날 것으로 기대된다.

■'GDPR 적정성 결정 국가'에 한 걸음 전진

한국은 현재 유럽연합(EU) 일반 개인정보보호법(GDPR) '적정성 결정 국가'로 지정되기 위한 협의를 지난 2017년부터 지속 중이다.

적정성 결정 국가로 지정되면 EU 지역 시민의 개인정보를 전송할 수 있는 국가가 인정받게 된다. 개별 기업별로 GDPR 준수 여부를 평가받아야 EU에서 수집된 데이터를 이전할 수 있는 불편을 해소할 수 있게 되는 것이다.

GDPR 적정성 결정 우선 협상국으로 지정됐고, 다년간 협의를 지속해왔음에도 아직 적정성 결정 국가로 지정되지 못한 이유는 법적으로 GDPR에서 요구하는 사항을 충족하지 못했기 때문이라는 지적이 있어왔다. 독립된 개인정보 보호 감독 기구와 함께 가명정보 처리를 위한 안전 조치 확보 등이 주된 요구 내용이다.

행정안전부는 데이터 3법이 개정안으로 발의된 이후 이를 기준으로 EU와 적정성 결정 평가 협의를 지속해왔다. 법안이 국회 본회의를 통과함에 따라 협의에도 진전이 나타날 것으로 전망된다.

행정안전부 관계자는 "데이터 3법 내용을 토대로 EU와 어느 정도 합의해둔 상태"라며 "EU 집행위원회가 문제 유무를 판단하는 '초기 결정' 단계를 통과하게 되면 후속 절차를 밟아 최종적으로 적정성 결정 국가를 획득하게 되는데, 먼저 지위를 획득한 일본의 경우 초기 결정 이후 6개월 정도의 시간이 걸렸다"고 설명했다.

■가명정보 맘 놓고 쓴다…소송 싸움 일단락될 듯

데이터 3법이 통과되기 전까지 가명정보는 한국인터넷진흥원(KISA)이 제공하는 '개인정보 비식별 조치 가이드라인 상의 개념으로 존재했다.

정보 주체의 개인정보 보호 권리를 중시하는 시민단체들이 가명정보의 활용을 문제삼는 이유도 여기에 있었다. 가명정보의 활용에 대해 법적인 합의가 없었는데도 기업·기관들이 해당 가이드를 토대로 가명정보를 활용하는 것은 불법이라는 지적이다.

개인정보 비식별조치 가이드라인에 제시된 정보처리자의 조치기준 4단계 설명 도안.

이에 시민단체들은 해당 가이드라인에 따라 비식별 개인정보를 활용한 20여개 기업, 기관을 고발했으나 지난해 3월 서울중앙지방검찰청에 의해 무혐의 처분이 내려졌다. 항고장을 제출했으나 6월 서울고등검찰청이 이를 기각했다.

이후 7월 다시 재수사를 요청하는 재항고장을 제출했으나 지난달 27일 다시 기각됐다. 아울러 데이터 3법 통과에 따라 가명정보가 법적 개념으로 포함되면서 지속됐던 시민단체와 비식별 정보 활용 기업 간 소송 싸움은 일단락될 것으로 보인다.

이지은 참여연대 정보인권사업단 간사는 "헌법소원이라는 선택지가 남았지만 피해를 직접적으로 받았는지를 살피는 '당사자성' 측면에서 각하될 가능성이 있어서 고민하고 있다"며 "차후 21대 국회가 시작되고 바로 개인정보보호법 재개정안이 제출될 수 있도록 준비할 예정이고, 데이터 3법에 대해 제대로 알지 못하는 국민도 상당한 만큼 이에 대한 홍보와 안내도 중요하게 생각하고 있다"고 밝혔다.

가명정보에 대한 불법 논란이 해소되는 만큼 비식별화 솔루션 시장도 활성화될 것으로 전망된다.

파수닷컴 관계자는 "비식별화 솔루션을 지난 2015년부터 연구해 이듬해 출시했는데 지금까지 제대로된 사업을 하지를 못했다"면서 "법이 통과되고 나면 발 묶였던 시장이 풀리는 셈"이라고 언급했다.