개인정보 비식별 조치, 기업은 활용 효용성 떨어지고 리스크 떠안아
소비자, 어떤 정보를 어떤 기술로 조치했는지 공개하고 사회적 합의 이뤄야
[보안뉴스 김경애 기자] ‘개인정보 비식별 조치 가이드라인’을 두고 정부, 기업, 시민단체의 의견이 상충되며 계속 온도차를 보이고 있다. 비식별 조치와 관련해 여전히 식별 가능성이 있다는 점과 비식별정보가 투명하게 공개돼야 한다는 의견 등이 제기됨에 따라 이를 둘러싼 논란은 더욱 커지고 있는 상황이다.
이러한 가운데 3일 국회 과방위 소속인 더불어민주당 유승희 의원과 김성수 의원, 행안위 소속 국민의당 권은희 의원이 주최한 빅데이터 활용을 위한 ‘개인정보 비식별 조치 간담회’에서 개인정보 비식별 조치 가이드라인을 두고 열띤 토론이 벌어졌다.
2013년 12월 8일 초안이 발표된 ‘빅데이터 개인정보보호 가이드라인’은 당시 개인정보보호 측면보단 활용에 치중됐다는 의견이 제기됐다. 더욱이 개인정보보호위원회 등의 반대에도 불구하고 2014년 12월 확정 발표됐다. 하지만 보호와 활용 측면에서 현재까지도 논란이 끊이지 않고 있으며, 의견 차이 또한 갈수록 벌어지고 있는 추세다.
이러한 갈등을 해결하기 위해 정부는 민감한 개인정보에 대해 비식별 조치와 적정성 평가 제도 등을 도입하기로 하고, 개인정보 비식별 조치 가이드라인을 발표했다.
비식별조치는 이를테면 개인의 이름과 주민번호 등을 삭제하거나 가명, 혹은 마스킹 처리하고, 나이의 경우 연령대(ex 30대)로 범주하는 등의 개인이 식별되지 않도록 데이터를 처리하고 가공한 것을 뜻한다.
개인정보 비식별 조치 가이드라인에서는 기업의 단계별 조치사항으로 △사전검토 △비식별조치 △적정성 평가 △사후관리를 명시하고 있다.
사전검토는 개인정보에 해당하는지 여부를 검토한 후, 개인정보가 명백하게 아닌 경우 법적 규제 없이 자유롭게 활용할 수 있다는 의미를 담고 있다.
사전검토와 관련해 동국대학교 이창범 박사는 “사전검토는 기업에서 활용하는 데이터의 이용목적, 기간, 방법 등이 구체적으로 명시돼야 하고, 계약서나 공문 등과 같은 문서화로 확인돼야 한다”고 강조했다. 또한, 보안이 유지될 수 있도록 접근통제와 보안서약 등이 필요하다는 설명이다.
현재 비식별 조치는 신청기업에 한해 진행되는데, 한국인터넷진흥원에서 ‘적정성 평가단’을 구성해 심사 후 비식별정보 활용 여부를 결정하게 된다. 이후 기업에서는 허가받은 범위 내에서만 활용이 가능하다.
이에 대해 한라대학교 김순석 교수는 “비식별 조치는 가명처리, 총계처리, 데이터 삭제, 데이터 범주화, 데이터 마스킹 등 여러 가지 기법을 단독이나 복합적으로 활용해야 한다”며 “각각의 기법에는 다양한 세부기술이 있으며, 이를 추가로 적용해 식별의 위험성을 낮출 수 있다”고 설명했다.
적정성 평가는 다른 정보와 쉽게 결합해 개인을 식별할 수 있는지를 ‘비식별조치 적정성 평가단’을 통해 평가하는 것을 말한다. 현재 한국인터넷진흥원에서 이러한 업무를 맡고 있으며, 기업에 비식별조치를 신청받아 외부전문가와 함께 평가에 나서고 있다.
‘적정성 평가단’에서는 비식별조치가 완료된 정보가 개인식별 요소를 포함하고 있는지, 비식별조치가 적절히 수행됐는지는 물론 관리적·기술적 보호조치와 접근통제 등 환경요소도 평가하게 된다. 또한, 적정성 평가를 받은 기업은 허가 받은 범위안에서만 활용이 가능하도록 제한하고 있다.
마지막으로 사후관리는 비식별 정보 안전조치, 재식별 가능성 모니터링 등 비식별정보 활용 과정에서의 재식별 방지를 위해 필요한 조치를 수행해야 한다는 것이다.
이러한 가이드라인이 제시됐음에도 이날 간담회에서는 익명성에 맞춰 비식별 조치를 한다고 해도 재식별될 수 있는 가능성과 비식별조치 데이터를 이용자에게 알리고 동의를 받아야 한다는 점, 그리고 이해관계자 등에 의한 평가로 적정성 평가의 투명성이 확보되지 않는 점 등이 거론됐다.
오픈넷 박지환 변호사는 “실험실에서의 안전함과 현실 적용시 문제처럼 큰 괴리가 있다”며 “비식별조치 가이드라인에 대해 충분한 사회적 합의가 이뤄져야 한다”고 지적했다. 또한, 실제 비식별조치가 취해졌을 때 어떤 정보가 비식별화됐는지, 어떤 기술이 적용됐는지 등이 투명하게 공개돼야 한다는 얘기다.
개인정보 비식별조치에 대한 불만은 기업 입장도 마찬가지다. 비식별조치로 정보의 효용성은 떨어지고, 리스크는 커져 부담만 떠안은 격이라 탐탁치 않다는 입장이다.
SKT 김정선 박사는 “정작 데이터의 품질이 낮거나 데이터가 유실돼 효율성이 떨어진다”며 “제대로 활용도 못하고 리스크만 남은 것 같다. 글로벌 기업은 이미 소비자의 동선까지 확보해 활용하고 있다. 보다 적극적이고 유연한 활용 정책과 함께 효용성을 높이는 법이 필요하다”고 강조했다.
KT 조인우 박사도 “많은 사람들이 비식별정보를 도감청 등으로 오해하는 경우가 있고, 기업에서 비식별정보로 어떤 걸 갖고 있는지에 대한 공포감도 있다”며 “우려하는 만큼 기업에 많은 정보가 있진 않다. 비식별조치에 대한 안전성 우려도 일부 이해가 되지만 충분히 개선될 수 있는 부분이다. 개인정보 보호 측면에서는 보험 의무화나 징벌적 손해배상 등이 보다 활발히 논의돼야 하고, 활용 측면에서는 형벌을 완화해야 한다”고 말했다.
또한 법무법인 광장 고환경 변호사는 “적정성 평가를 해보면 기업의 비식별조치 수준은 식별되지 않는 익명화 수준에 가깝다”며 “이는 개인정보로 볼 수 없다. 익명화된 가공 수준의 비식별조치 데이터는 유통을 위해 일정 부분 개정이 필요하다”고 말했다. 또한, 고 변호사는 가이드라인이 법적 근거가 없다는 건 지나친 해석이라고 덧붙였다.
이날 진행된 논의에서는 정부에 대한 신뢰감도 문제로 대두됐다. 녹색소비자연대 이주홍 사무총장은 “정부가 신뢰를 쌓았느냐가 문제다. 투명성과 신뢰성을 높이는 측면에서의 노력이 부족했다”며 “소비자 측면에서는 더욱 불안하다. 홈플러스처럼 개인정보를 보험사에 판 건 아닌지, 내 정보는 어디로 가고 있는지, 기업에서는 비식별조치를 어떻게 하고 있는지 투명하게 공개해야 한다”고 강조했다.
이번 간담회에서는 이외에도 ‘비식별조치 적정성 평가단’에 참여하는 전문가그룹 검증 필요성, 직·간접적 이해관계자가 심사에서 배제돼야 하는 점, 비식별 정의가 명확하지 않은 점, 가이드라인의 법적 효력 이슈, 맞춤형 광고 이용시 개인정보 유출 우려 등이 제기됐다.
[김경애 기자(boan3@boannews.com)]
소비자, 어떤 정보를 어떤 기술로 조치했는지 공개하고 사회적 합의 이뤄야
[보안뉴스 김경애 기자] ‘개인정보 비식별 조치 가이드라인’을 두고 정부, 기업, 시민단체의 의견이 상충되며 계속 온도차를 보이고 있다. 비식별 조치와 관련해 여전히 식별 가능성이 있다는 점과 비식별정보가 투명하게 공개돼야 한다는 의견 등이 제기됨에 따라 이를 둘러싼 논란은 더욱 커지고 있는 상황이다.
▲빅데이터 활용을 위한 개인정보 비식별 조치 간담회[사진=보안뉴스]
이러한 가운데 3일 국회 과방위 소속인 더불어민주당 유승희 의원과 김성수 의원, 행안위 소속 국민의당 권은희 의원이 주최한 빅데이터 활용을 위한 ‘개인정보 비식별 조치 간담회’에서 개인정보 비식별 조치 가이드라인을 두고 열띤 토론이 벌어졌다.
2013년 12월 8일 초안이 발표된 ‘빅데이터 개인정보보호 가이드라인’은 당시 개인정보보호 측면보단 활용에 치중됐다는 의견이 제기됐다. 더욱이 개인정보보호위원회 등의 반대에도 불구하고 2014년 12월 확정 발표됐다. 하지만 보호와 활용 측면에서 현재까지도 논란이 끊이지 않고 있으며, 의견 차이 또한 갈수록 벌어지고 있는 추세다.
이러한 갈등을 해결하기 위해 정부는 민감한 개인정보에 대해 비식별 조치와 적정성 평가 제도 등을 도입하기로 하고, 개인정보 비식별 조치 가이드라인을 발표했다.
비식별조치는 이를테면 개인의 이름과 주민번호 등을 삭제하거나 가명, 혹은 마스킹 처리하고, 나이의 경우 연령대(ex 30대)로 범주하는 등의 개인이 식별되지 않도록 데이터를 처리하고 가공한 것을 뜻한다.
개인정보 비식별 조치 가이드라인에서는 기업의 단계별 조치사항으로 △사전검토 △비식별조치 △적정성 평가 △사후관리를 명시하고 있다.
사전검토는 개인정보에 해당하는지 여부를 검토한 후, 개인정보가 명백하게 아닌 경우 법적 규제 없이 자유롭게 활용할 수 있다는 의미를 담고 있다.
사전검토와 관련해 동국대학교 이창범 박사는 “사전검토는 기업에서 활용하는 데이터의 이용목적, 기간, 방법 등이 구체적으로 명시돼야 하고, 계약서나 공문 등과 같은 문서화로 확인돼야 한다”고 강조했다. 또한, 보안이 유지될 수 있도록 접근통제와 보안서약 등이 필요하다는 설명이다.
현재 비식별 조치는 신청기업에 한해 진행되는데, 한국인터넷진흥원에서 ‘적정성 평가단’을 구성해 심사 후 비식별정보 활용 여부를 결정하게 된다. 이후 기업에서는 허가받은 범위 내에서만 활용이 가능하다.
이에 대해 한라대학교 김순석 교수는 “비식별 조치는 가명처리, 총계처리, 데이터 삭제, 데이터 범주화, 데이터 마스킹 등 여러 가지 기법을 단독이나 복합적으로 활용해야 한다”며 “각각의 기법에는 다양한 세부기술이 있으며, 이를 추가로 적용해 식별의 위험성을 낮출 수 있다”고 설명했다.
적정성 평가는 다른 정보와 쉽게 결합해 개인을 식별할 수 있는지를 ‘비식별조치 적정성 평가단’을 통해 평가하는 것을 말한다. 현재 한국인터넷진흥원에서 이러한 업무를 맡고 있으며, 기업에 비식별조치를 신청받아 외부전문가와 함께 평가에 나서고 있다.
‘적정성 평가단’에서는 비식별조치가 완료된 정보가 개인식별 요소를 포함하고 있는지, 비식별조치가 적절히 수행됐는지는 물론 관리적·기술적 보호조치와 접근통제 등 환경요소도 평가하게 된다. 또한, 적정성 평가를 받은 기업은 허가 받은 범위안에서만 활용이 가능하도록 제한하고 있다.
마지막으로 사후관리는 비식별 정보 안전조치, 재식별 가능성 모니터링 등 비식별정보 활용 과정에서의 재식별 방지를 위해 필요한 조치를 수행해야 한다는 것이다.
이러한 가이드라인이 제시됐음에도 이날 간담회에서는 익명성에 맞춰 비식별 조치를 한다고 해도 재식별될 수 있는 가능성과 비식별조치 데이터를 이용자에게 알리고 동의를 받아야 한다는 점, 그리고 이해관계자 등에 의한 평가로 적정성 평가의 투명성이 확보되지 않는 점 등이 거론됐다.
오픈넷 박지환 변호사는 “실험실에서의 안전함과 현실 적용시 문제처럼 큰 괴리가 있다”며 “비식별조치 가이드라인에 대해 충분한 사회적 합의가 이뤄져야 한다”고 지적했다. 또한, 실제 비식별조치가 취해졌을 때 어떤 정보가 비식별화됐는지, 어떤 기술이 적용됐는지 등이 투명하게 공개돼야 한다는 얘기다.
개인정보 비식별조치에 대한 불만은 기업 입장도 마찬가지다. 비식별조치로 정보의 효용성은 떨어지고, 리스크는 커져 부담만 떠안은 격이라 탐탁치 않다는 입장이다.
SKT 김정선 박사는 “정작 데이터의 품질이 낮거나 데이터가 유실돼 효율성이 떨어진다”며 “제대로 활용도 못하고 리스크만 남은 것 같다. 글로벌 기업은 이미 소비자의 동선까지 확보해 활용하고 있다. 보다 적극적이고 유연한 활용 정책과 함께 효용성을 높이는 법이 필요하다”고 강조했다.
KT 조인우 박사도 “많은 사람들이 비식별정보를 도감청 등으로 오해하는 경우가 있고, 기업에서 비식별정보로 어떤 걸 갖고 있는지에 대한 공포감도 있다”며 “우려하는 만큼 기업에 많은 정보가 있진 않다. 비식별조치에 대한 안전성 우려도 일부 이해가 되지만 충분히 개선될 수 있는 부분이다. 개인정보 보호 측면에서는 보험 의무화나 징벌적 손해배상 등이 보다 활발히 논의돼야 하고, 활용 측면에서는 형벌을 완화해야 한다”고 말했다.
또한 법무법인 광장 고환경 변호사는 “적정성 평가를 해보면 기업의 비식별조치 수준은 식별되지 않는 익명화 수준에 가깝다”며 “이는 개인정보로 볼 수 없다. 익명화된 가공 수준의 비식별조치 데이터는 유통을 위해 일정 부분 개정이 필요하다”고 말했다. 또한, 고 변호사는 가이드라인이 법적 근거가 없다는 건 지나친 해석이라고 덧붙였다.
이날 진행된 논의에서는 정부에 대한 신뢰감도 문제로 대두됐다. 녹색소비자연대 이주홍 사무총장은 “정부가 신뢰를 쌓았느냐가 문제다. 투명성과 신뢰성을 높이는 측면에서의 노력이 부족했다”며 “소비자 측면에서는 더욱 불안하다. 홈플러스처럼 개인정보를 보험사에 판 건 아닌지, 내 정보는 어디로 가고 있는지, 기업에서는 비식별조치를 어떻게 하고 있는지 투명하게 공개해야 한다”고 강조했다.
이번 간담회에서는 이외에도 ‘비식별조치 적정성 평가단’에 참여하는 전문가그룹 검증 필요성, 직·간접적 이해관계자가 심사에서 배제돼야 하는 점, 비식별 정의가 명확하지 않은 점, 가이드라인의 법적 효력 이슈, 맞춤형 광고 이용시 개인정보 유출 우려 등이 제기됐다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
