빅데이터, 수집 시 부터 철저히 비식별화 조치해야

방통위, ‘빅데이터 개인정보보호 가이드라인’ 발표

현행 법상 공개된 정보에 대한 합법적 수집·활용 기준 마련

[보안뉴스 김태형] 개인정보의 오·남용을 방지하면서, 빅데이터 산업의 활성화라는 두 마리 토끼를 다 잡을 묘안이 나왔다. 방송통신위원회(위원장 최성준)는 12월 23일, 빅데이터 처리·활용 시 개인정보보호와 활용을 위한 구체적인 기준을 정한 ‘빅데이터 개인정보보호 가이드라인’(이하 ‘가이드라인’)을 발표했다.

현행 정보통신망법 등 개인정보보호 관련 법령상 개인정보 수집·이용을 위해서는 반드시 이용자의 사전동의(Opt-In)가 필요하다. 그러나 대량의 데이터를 수집하고 처리하는 빅데이터 산업 특성상 사전동의를 얻기가 쉽지 않아, 이로 인해 발생할 수 있는 프라이버시 침해 우려가 끊임없이 제기됐다.

이에 방통위는 빅데이터 처리와 관련해 현행 개인정보보호 관련 법령 적용 방안에 대해 구체적으로 설명하는 지침서를 마련하기 위해, 지난해 연구반 운영 및 가이드라인 초안 발표를 시작으로 총 4차례의 공개 토론회 등 각계각층의 의견을 수렴해왔다.

그 결과 사업자 등에게 새로운 의무나 제한을 가하지 않도록 하되, 현행 법령 테두리 안에서 개인정보 보호를 위해 사업자가 지켜야 할 기술적·절차적 사항을 구체적으로 규정한 가이드라인을 마련하게 되었다.

구체적으로 빅데이터 처리 과정에서 수집된 데이터에 개인정보가 포함된 경우, 이를 다른 정보로 대체하거나 다른 정보와 결합하여도 특정 개인을 식별하기 어렵도록 하는 ‘비식별화’ 조치가 선행된다면 수집·활용이 가능하도록 했다. 사업자들의 규제 불확실성을 최소화하기 위해 현행 법령 내에서 공개된 정보 등을 합법적으로 수집·활용할 수 있는 구체적인 기준을 제시한 것이다.

아울러, 데이터의 수집 단계에서 개인정보를 비식별화 했다고 하더라도 조합·분석 단계에서 다른 정보와 결합해 재식별화 될 수 있는 가능성이 있는 경우 반드시 이를 즉시 파기하거나 추가적인 비식별화 조치를 취하도록 명시했다.

또한 기존 정보통신망법과 마찬가지로 빅데이터 처리 사실·목적·수집출처 및 정보활용 거부권 행사 등에 대해 개인정보 취급방침을 통해 이용자에게 투명하게 공개하도록 했으며, 특정 개인의 사상 등 민감정보 생성이나 이메일·문자 통신 내용의 이용 등은 금지된다. 정보통신서비스제공자는 비식별화 조치가 취해진 정보를 저장·관리하고 있는 정보 처리시스템에 대해 기술적·관리적 보호조치를 취해야 한다.

방송통신위원회는 1월 중 사업자 등 관계자를 대상으로 설명회를 가질 예정이다. 한편, 방송통신위원회는 가이드라인 시행 후 빅데이터 시장 현황 등을 파악해 추가적인 개인정보보호 관련 법령 개정 사항에 대해서도 검토해 나갈 예정이다.

최성준 방송통신위원회 위원장은 “개인정보보호와 산업 발전간 균형점을 모색하기 위한 의미 있는 첫 발을 내디뎠다”고 평가하고 “빅데이터 개인정보보호 가이드라인을 통해 우리 국민의 소중한 개인정보를 보호하면서 인터넷 분야의 새로운 성장동력인 빅데이터 산업이 활성화될 수 있는 기반이 마련되길 기대한다”고 밝혔다.

<빅데이터 개인정보보호 가이드라인 주요 내용>

△수집 시부터 개인식별 정보에 대한 철저한 비식별화 조치(제3조·제4조·제5조·제10조)

-개인정보가 포함된 공개된 정보 및 이용내역정보는 비식별화 조치를 취한 후 수집·저장·조합·분석 및 제3자 제공 등 가능

△빅데이터 처리 사실·목적 등의 공개를 통한 투명성 확보(제4조·제5조·제9조)

-개인정보 취급방침을 통해 비식별화 조치 후 빅데이터 처리 사실·목적·수집 출처 및 정보 활용 거부권 행사 방법 등을 이용자에게 투명하게 공개

·개인정보 취급방침 : 비식별화 조치 후 빅데이터 처리 사실·목적 등을 이용자 등에게 공개하고 ‘정보 활용 거부 페이지 링크’를 제공하여 이용자가 거부권을 행사할 수 있도록 조치

·수집 출처 고지 : 이용자 이외의 자로부터 수집한 개인정보 처리 시 ‘수집 출처·목적, 개인정보 처리 정지 요구권’을 이용자에게 고지

△개인정보 재식별시, 즉시 파기 및 비식별화 조치(제3조·제6조)

-빅데이터 처리 과정 및 생성정보에 개인정보가 재식별 될 경우, 즉시 파기하거나 추가적인 비식별화 조치토록 함

△민감정보 및 통신비밀의 수집·이용·분석 등 처리 금지(제7조·제8조)

-특정 개인의 사상·신념, 정치적 견해 등 민감정보의 생성을 목적으로 정보의 수집·이용·저장·조합·분석 등 처리 금지

-이메일, 문자 메시지 등 통신 내용의 수집·이용·저장·조합·분석 등 처리 금지

△수집된 정보의 저장·관리 시 ‘기술적·관리적 보호조치’ 시행(제3조제2항)

-비식별화 조치가 취해진 정보를 저장·관리하고 있는 정보 처리시스템에 대한 기술적·관리적 보호조치 적용

*보호조치 : 침입차단시스템 등 접근 통제장치 설치, 접속 기록에 대한 위·변조 방지 조치, 백신 소프트웨어 설치·운영 등 악성프로그램에 의한 침해 방지 조치

[김태형 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)