.jpg)
.jpg)
빅데이터 시대, 개인정보의 비식별화 조치에 대한 학계·입법·기업의 입장
제23회 정보통신망 정보보호 컨퍼런스(NetSec-KR 2017)에서 집중 논의
[보안뉴스 원병철 기자] 유럽연합(EU)의 일반정보보호규정인 GDPR 시행을 1년 앞두고 개인정보의 보호와 활용이 뜨거운 감자로 떠오른 지 오래다. 특히, 유럽의 개인정보 보호 강화 추세와 미국의 개인정보 활용 강화추세, 그리고 개인정보 비식별화와 익명처리 용어의 불명확성 등이 부딪히면서 개인정보의 보호와 활용이 연일 이슈가 되고 있다.
이러한 가운데 한국정보보호학회와 한국정보보호산업협회가 공동으로 주관하고, 한국인터넷진흥원이 주최한 ‘제23회 정보통신망 정보보호 컨퍼런스(NetSec-KR 2017)’ 첫째 날 진행된 ‘개인정보 비식별화’ 세션은 개인정보 보호와 활용의 현주소를 확인할 수 있는 자리였다.
.jpg)
세션 첫 번째 강연자로 나선 충남대학교 박원환 교수는 빅데이터의 등장으로 기업은 물론 정부부처, 기관, 기업 등에서 정보를 가공하고 활용할 수 있게 됐다면서, 2008년 오바마 전 대통령의 선거 캠프에서 유권자의 정보를 수집하고 가공했던 사례를 예로 들었다.
박 교수는 “빅데이터는 정보 수집의 목적보다는 수집된 정보를 가공해서 만든 필요한 정보를 활용하는 것이 목적”이라면서 실제로 수집된 정보를 모두 사용하는 것은 아니라고 강조했다. 특히, 박 교수는 “연말정산을 예로 들면, 연말정산 페이지에 들어가면 우리가 일일이 찾지 않아도 연말정산에 필요한 데이터를 다 받을 수 있다. 하지만 이걸 개인이 일일이 찾으려고 하면 엄청난 시간과 노력, 비용이 들어간다”면서 빅데이터를 어떻게 활용하느냐가 중요하다고 설명했다.
이어 개인정보 비식별조치에 관한 입법적 대응방식에 대해 강연한 심우민 국회입법조사처 입법조사관은 현재 개인정보 비식별화와 익명화의 문제는 두 단어가 명확하지 않은데서 온다고 강조했다. 특히, 처음에는 비식별화와 익명화가 내포한 의미가 정확하게 달랐지만, 데이터 분석기술이 발전하면서 의미가 비슷해지고 있다는 것이다. 무엇보다 법적인 기준이 없기 때문에 논란이 지속되고 있다고 설명했다.
심 조사관은 “개인정보 비식별조치 가이드라인이 개인정보 관련 부처들이 공동으로 제정 및 공표했다는 점에서 향후 우리나라의 개인정보보호 정책에 있어 중요한 의미를 가진다고 평가”하면서도, “개인정보 자기결정권 및 영업수행의 자유와 같은 헌법적 기본권 제한에 관한 문제이기 때문에 법률로써 규정할 필요가 있다”고 강조했다.
일례로, 영국도 가이드라인 방식을 통해 대응하지만, 이는 명백하게 법령 등에서의 위임이 있기 때문에 가능하다는 심 조사관은 우리는 현행 가이드라인이 비식별 조치가 이루어진 정보를 개인정보가 아닌 것으로 추정하는 내용을 담고 있는데, 이러한 법적 효과의 부여가 타당한 것인지에 대한 원론적 측면에서의 재검토가 필요하다고 주장했다.
법률을 근거로 한 대응은 경직성을 가질 수 있다는 주장에도 일리가 있지만, 개념이나 법적효과 등 기본적인 사항은 법률적 규정이 필요하며, EU와 영국의 실천규약과 같이 민간의 적극적인 의견수렴을 전제로 한 기준설정 작업도 필요하다고 심 조사관은 말했다.
마지막에 등장한 네이버의 이진규 CISO는 실제 업무현장에서 느끼는 가이드라인의 문제점을 중심으로 강연을 이어나갔다. 이 CISO는 가이드라인이 등장하면서 기업들은 개인정보 정의의 모호성이 해소되고 빅데이터 활용 가능성이 확대됨은 물론 비식별화 조치에 대한 실무적 가이드가 제공될 것으로 기대했지만 그렇지 못했다고 아쉬워했다.
특히, 이 CISO는 “식별자 조치기준에서 식별자는 미국 HIPAA 프라이버시 규칙을 참고해 작성했다고 하는데, HIPAA는 의료정보를 보호하기 위해 만들어졌기 때문에 무척 엄격하다”며, “일반적인 개인정보에서 왜 HIPAA를 기준으로 삼았는지 모르겠다”는 의견을 피력했다.
이날 개인정보 비식별화 세션에서는 현재 혼란을 겪고 있는 개인정보 비식별화에 대한 집중적인 논의가 진행되고, 특히 네이버 등 ‘데이터를 활용’하는 기업의 입장에서 바라본 개인정보 비식별 조치 가이드라인의 문제를 제시할 수 있었다는 점에서 의미 있는 시간이 됐다는 평가다.
.jpg)
한편, 제23회 정보통신망 정보보호 컨퍼런스는 ‘4차 산업혁명과 보안’이라는 주제로 26일까지 서울 삼성동 COEX에서 개최된다.
[원병철 기자(boanone@boannews.com)]
제23회 정보통신망 정보보호 컨퍼런스(NetSec-KR 2017)에서 집중 논의
[보안뉴스 원병철 기자] 유럽연합(EU)의 일반정보보호규정인 GDPR 시행을 1년 앞두고 개인정보의 보호와 활용이 뜨거운 감자로 떠오른 지 오래다. 특히, 유럽의 개인정보 보호 강화 추세와 미국의 개인정보 활용 강화추세, 그리고 개인정보 비식별화와 익명처리 용어의 불명확성 등이 부딪히면서 개인정보의 보호와 활용이 연일 이슈가 되고 있다.
이러한 가운데 한국정보보호학회와 한국정보보호산업협회가 공동으로 주관하고, 한국인터넷진흥원이 주최한 ‘제23회 정보통신망 정보보호 컨퍼런스(NetSec-KR 2017)’ 첫째 날 진행된 ‘개인정보 비식별화’ 세션은 개인정보 보호와 활용의 현주소를 확인할 수 있는 자리였다.
▲ 강연중인 심우민 국회입법조사처 입법조사관[ⓒ보안뉴스]
세션 첫 번째 강연자로 나선 충남대학교 박원환 교수는 빅데이터의 등장으로 기업은 물론 정부부처, 기관, 기업 등에서 정보를 가공하고 활용할 수 있게 됐다면서, 2008년 오바마 전 대통령의 선거 캠프에서 유권자의 정보를 수집하고 가공했던 사례를 예로 들었다.
박 교수는 “빅데이터는 정보 수집의 목적보다는 수집된 정보를 가공해서 만든 필요한 정보를 활용하는 것이 목적”이라면서 실제로 수집된 정보를 모두 사용하는 것은 아니라고 강조했다. 특히, 박 교수는 “연말정산을 예로 들면, 연말정산 페이지에 들어가면 우리가 일일이 찾지 않아도 연말정산에 필요한 데이터를 다 받을 수 있다. 하지만 이걸 개인이 일일이 찾으려고 하면 엄청난 시간과 노력, 비용이 들어간다”면서 빅데이터를 어떻게 활용하느냐가 중요하다고 설명했다.
이어 개인정보 비식별조치에 관한 입법적 대응방식에 대해 강연한 심우민 국회입법조사처 입법조사관은 현재 개인정보 비식별화와 익명화의 문제는 두 단어가 명확하지 않은데서 온다고 강조했다. 특히, 처음에는 비식별화와 익명화가 내포한 의미가 정확하게 달랐지만, 데이터 분석기술이 발전하면서 의미가 비슷해지고 있다는 것이다. 무엇보다 법적인 기준이 없기 때문에 논란이 지속되고 있다고 설명했다.
심 조사관은 “개인정보 비식별조치 가이드라인이 개인정보 관련 부처들이 공동으로 제정 및 공표했다는 점에서 향후 우리나라의 개인정보보호 정책에 있어 중요한 의미를 가진다고 평가”하면서도, “개인정보 자기결정권 및 영업수행의 자유와 같은 헌법적 기본권 제한에 관한 문제이기 때문에 법률로써 규정할 필요가 있다”고 강조했다.
일례로, 영국도 가이드라인 방식을 통해 대응하지만, 이는 명백하게 법령 등에서의 위임이 있기 때문에 가능하다는 심 조사관은 우리는 현행 가이드라인이 비식별 조치가 이루어진 정보를 개인정보가 아닌 것으로 추정하는 내용을 담고 있는데, 이러한 법적 효과의 부여가 타당한 것인지에 대한 원론적 측면에서의 재검토가 필요하다고 주장했다.
법률을 근거로 한 대응은 경직성을 가질 수 있다는 주장에도 일리가 있지만, 개념이나 법적효과 등 기본적인 사항은 법률적 규정이 필요하며, EU와 영국의 실천규약과 같이 민간의 적극적인 의견수렴을 전제로 한 기준설정 작업도 필요하다고 심 조사관은 말했다.
마지막에 등장한 네이버의 이진규 CISO는 실제 업무현장에서 느끼는 가이드라인의 문제점을 중심으로 강연을 이어나갔다. 이 CISO는 가이드라인이 등장하면서 기업들은 개인정보 정의의 모호성이 해소되고 빅데이터 활용 가능성이 확대됨은 물론 비식별화 조치에 대한 실무적 가이드가 제공될 것으로 기대했지만 그렇지 못했다고 아쉬워했다.
특히, 이 CISO는 “식별자 조치기준에서 식별자는 미국 HIPAA 프라이버시 규칙을 참고해 작성했다고 하는데, HIPAA는 의료정보를 보호하기 위해 만들어졌기 때문에 무척 엄격하다”며, “일반적인 개인정보에서 왜 HIPAA를 기준으로 삼았는지 모르겠다”는 의견을 피력했다.
이날 개인정보 비식별화 세션에서는 현재 혼란을 겪고 있는 개인정보 비식별화에 대한 집중적인 논의가 진행되고, 특히 네이버 등 ‘데이터를 활용’하는 기업의 입장에서 바라본 개인정보 비식별 조치 가이드라인의 문제를 제시할 수 있었다는 점에서 의미 있는 시간이 됐다는 평가다.
▲ 삼성동 COEX에서 제23회 정보통신망 정보보호 컨퍼런스가 열렸다[ⓒ보안뉴스]
한편, 제23회 정보통신망 정보보호 컨퍼런스는 ‘4차 산업혁명과 보안’이라는 주제로 26일까지 서울 삼성동 COEX에서 개최된다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
