.jpg)
새로운 개인정보 정의 요구하는 4차 산업혁명과 디지털 경제 환경에서의 대응방안
[보안뉴스 김성미 기자] 지난해 5월부터 유럽 개인정보보호법(GDPR)이 시행된 이후 유럽연합(EU) 회원국들 담당 공무원들은 각종 항의와 민원 제기로 몸살을 앓고 있다. 8개월 만에 무려 9만 5,000여건이 넘는 민원이 접수됐기 때문이다. 이 중 몇 건은 대규모 벌금을 구형받았다.
프랑스 정부는 구글에 5,000만유로의 벌금을 선고했다. 데이터 사용에 관한 사용자 동의 정책을 투명하고 이해하기 쉽게 제공하지 않아서다. 프랑스 정부는 특히, 표적 광고에 있어 구글이 사용자의 개인정보를 어떤 의도로 어떤 방식으로 다루고자 하는지에 대한 설명이 지나치게 어려워서 일반인이 이해할 수가 없다고 판결했다.
이 사태에 대해 프란스 티머만스(Frans Timmermans) EU GDPR 부문 부회장은 “시민들은 GDPR 시행 이후 데이터 보호 문제와 개인정보와 관련된 개개인의 권리에 대해 깊이 이해하게 됐다”고 분석했다.
한편, 페이스북은 미국의 연방거래위원회(FTC) 역사상 최고의 벌금형을 받게 될지도 모른다. 페이스북이 이런 상황에 처한 것은 캠브리지 애널리티카(CA : Cambridge Analytica) 사건 때문이다. CA는 도널드 트럼프 대통령의 당선을 위해 페이스북 사용자 수천명의 데이터를 수집하고 프로파일링해 러시아 첩보 기관과 데이터를 공유해 도널드 트럼프 대통령의 당선에도 튼 도움을 줬다는 의심을 받고 있다.
FTC는 이런 의혹에 따라 220명의 페이스북 사용자의 개인정보와 프라이버시가 심각하게 침해됐다고 보고 있으며 페이스북은 벌금형의 위기에 처하게 됐다. 현재 기록 보유자는 구글로, 2012년 FTC로부터 2,250만달러의 벌금형을 받았다.
GDPR 시행 이면의 함의 : 경제 패권
GDPR 시행 반년여 만에 이처럼 서구권에서 큰 이슈가 발생하고 있는 것은 4차 산업혁명에 따른 디지털 경제의 주도권을 누가 잡느냐는 경제 패권 다툼으로 해석되고 있다. 전 산업과 사회 부분에 걸쳐 데이터 활용이 확대되면서 개인정보를 활용하는 비즈니스가 증가하면서 개인정보보호가 중요한 이슈로 부상하고 있으며, GDPR의 시행은 개인정보보호가 새로운 국면에 진입하고 있음을 대변하고 있다. 4차 산업혁명은 데이터를 매개로 인공지능(AI), 사물인터넷(IoT) 등 최근의 정보기술의 발전의 배경으로 한층 심화되고 있다.
EU는 역대 디지털 경제의 활성화와 개인정보보호 사이에 균형을 맞추고 글로벌 디지털 시장에서의 지위도 강화하기 위해 GDPR을 제정해 2018년 5월부터 적용하고 있다. GDPR의 주요 골자는 ①EU 역내 국민의 개인정보를 처리하는 역외 기업에게도 적용되며 ②중대 사항 위반 시 최대 전년도 글로벌 매출액의 4%까지 벌금이 부과될 수 있고 ③개인정보처리 기준을 매우 높였고 ④정보주체인 개인의 권리를 확대하기 위해 데이터 삭제권과 이동권 등을 법제화했다는 것이다.
아직까지 GDPR이 글로벌 표준이 될지는 미지수이나 중요한 변수가 되고 있으며 GDPR의 첫 번째 타깃이 되고 있는 미국 등도 이에 따른 전략을 세우고 대응 방법을 마련하고 있다. 이에 따라 국내에서도 EU 대상 비즈니스를 수행하고 있는 국내 기업부터 개인정보를 활용하는 모든 업종의 글로벌 경쟁 지형에서 GDPR이 큰 영향을 미칠 전망이다. 국내 기업들도 유럽 역내 데이터의 역외에 이동하려면 적정성 평가를 받아야 하기 때문이다. 향후 GDPR은 국내 개인정보보호 제도에도 영향을 미칠 것으로 예상되고 있다.
국내·외 개인정보보호 제도 비교
이러한 가운데 최근 과학기술정책연구원(이하 연구원)은 ‘유럽 개인정보보호법(GDPR)과 국내 데이터 제도 개선방안 보고서’를 통해 국내 개인정보 관련 4대 쟁점을 분석했다. 연구원은 ①개인정보와 개인식별정보의 동일시에 따른 산업 내 위험 부담 ②데이터 소유권과 활용을 위한 동의서 이슈 ③데이터 이동권 도입의 필요성 여부 ④연구목적의 데이터 활용 등을 4가지 쟁점으로 꼽았다.
연구원은 개인정보와 개인식별정보에 대해 각 법령안에서 구분이 모호하고 통상적으로 개인정보와 개인식별정보를 동일시하기 때문에 데이터를 활용하고자 하는 연구자나 기업이 식별이 필요하지 않은 정보까지 비식별화해야 하는 부담이 존재해 데이터의 활용을 위축시키고 있다고 봤다.
개인정보와 개인식별정보, 비식별 조치, 가명화, 익명화 등이 법과 가이드라인에서 혼용해 쓰이고 있어 개인정보에 대한 혼선이 야기된다는 설명이다. 개인정보보호법에서는 ‘개인정보’만 명시돼 있고 생명윤리법에서는 ‘개인식별정보’, ‘개인정보’, ‘익명화’로 구분되며 개인정보 비식별 조치 가이드라인에서는 비식별화라는 용어가 사용되고 있다는 지적이다.
반면, 미국은 포괄적이고 기본법적인 개인정보 법체계가 아닌 특정 분야에서 프라이버시 문제를 해결하기 위해 조각낸 형태로 법이 제정된다. 예를 들어 보건의료 데이터에 대해서는 ‘의료보험의 이동성 및 신뢰성에 관한 법률(HIPAA)’이, 어린이의 개인정보를 보호하기 위해서는 ‘어린이 온라인 개인정보보호법률(COPPA)’이 제정돼, 특정 프라이버시법은 해당법에 따라 개인정보를 그 법이 규제하고자 하는 분야에 맞게 정의된다. 이 외에는 산업 내 자율 내규와 기업의 개인정보보호정책에 따라 처리하고 활용하고 있다. 미국의 헬스케어 기업인 트웨니쓰리앤미(23andMe)는 개인정보를 여러 범주로 구분해 수집하고 저장하며 구분된 정보별로 데이터 활용정책을 수립해 활용한다.
GDPR은 연구를 위한 데이터 활용을 허용하는 예외를 두고 있다. 공익적 기록 보전과 과학적·역사적·통계적 연구 목적을 위한 처리를 위해서는 다양한 범주와 수준에서 예외를 허용하고 있다. 그러나 국내 개인정보보호법은 학술연구 등의 목적을 위해 예외적으로 ‘목적 외 활용’을 허용하고 있으나 특정개인을 알아볼 수 없는 형태로 개인정보가 제공돼야 함을 강조하고 있어 연구 활용이 쉽지 않고 산업계의 부담이 큰 상황이다. 이에 따라 국내 산업의 육성과 글로벌 경쟁력을 확보하기 위해서는 개인정보 관련 국내법과 규제의 모호성 제거가 요구되고 있으며, 관련 용어의 정의와 실질적 범주에 대한 재정의가 필요한 시점이다.
[김성미 기자(sw@infothe.com)]
[보안뉴스 김성미 기자] 지난해 5월부터 유럽 개인정보보호법(GDPR)이 시행된 이후 유럽연합(EU) 회원국들 담당 공무원들은 각종 항의와 민원 제기로 몸살을 앓고 있다. 8개월 만에 무려 9만 5,000여건이 넘는 민원이 접수됐기 때문이다. 이 중 몇 건은 대규모 벌금을 구형받았다.
[이미지=iclickart]
프랑스 정부는 구글에 5,000만유로의 벌금을 선고했다. 데이터 사용에 관한 사용자 동의 정책을 투명하고 이해하기 쉽게 제공하지 않아서다. 프랑스 정부는 특히, 표적 광고에 있어 구글이 사용자의 개인정보를 어떤 의도로 어떤 방식으로 다루고자 하는지에 대한 설명이 지나치게 어려워서 일반인이 이해할 수가 없다고 판결했다.
이 사태에 대해 프란스 티머만스(Frans Timmermans) EU GDPR 부문 부회장은 “시민들은 GDPR 시행 이후 데이터 보호 문제와 개인정보와 관련된 개개인의 권리에 대해 깊이 이해하게 됐다”고 분석했다.
한편, 페이스북은 미국의 연방거래위원회(FTC) 역사상 최고의 벌금형을 받게 될지도 모른다. 페이스북이 이런 상황에 처한 것은 캠브리지 애널리티카(CA : Cambridge Analytica) 사건 때문이다. CA는 도널드 트럼프 대통령의 당선을 위해 페이스북 사용자 수천명의 데이터를 수집하고 프로파일링해 러시아 첩보 기관과 데이터를 공유해 도널드 트럼프 대통령의 당선에도 튼 도움을 줬다는 의심을 받고 있다.
FTC는 이런 의혹에 따라 220명의 페이스북 사용자의 개인정보와 프라이버시가 심각하게 침해됐다고 보고 있으며 페이스북은 벌금형의 위기에 처하게 됐다. 현재 기록 보유자는 구글로, 2012년 FTC로부터 2,250만달러의 벌금형을 받았다.
GDPR 시행 이면의 함의 : 경제 패권
GDPR 시행 반년여 만에 이처럼 서구권에서 큰 이슈가 발생하고 있는 것은 4차 산업혁명에 따른 디지털 경제의 주도권을 누가 잡느냐는 경제 패권 다툼으로 해석되고 있다. 전 산업과 사회 부분에 걸쳐 데이터 활용이 확대되면서 개인정보를 활용하는 비즈니스가 증가하면서 개인정보보호가 중요한 이슈로 부상하고 있으며, GDPR의 시행은 개인정보보호가 새로운 국면에 진입하고 있음을 대변하고 있다. 4차 산업혁명은 데이터를 매개로 인공지능(AI), 사물인터넷(IoT) 등 최근의 정보기술의 발전의 배경으로 한층 심화되고 있다.
EU는 역대 디지털 경제의 활성화와 개인정보보호 사이에 균형을 맞추고 글로벌 디지털 시장에서의 지위도 강화하기 위해 GDPR을 제정해 2018년 5월부터 적용하고 있다. GDPR의 주요 골자는 ①EU 역내 국민의 개인정보를 처리하는 역외 기업에게도 적용되며 ②중대 사항 위반 시 최대 전년도 글로벌 매출액의 4%까지 벌금이 부과될 수 있고 ③개인정보처리 기준을 매우 높였고 ④정보주체인 개인의 권리를 확대하기 위해 데이터 삭제권과 이동권 등을 법제화했다는 것이다.
▲GDPR 개인정보 처리 6대 원칙[자료=EU(2016)]
▲정보제공 주체의 권리 관련 신설/강화 조향[자료=EU(2016), 정리=과학기술정책연구원]
▲GDPR 위반시 제재 조항[자료=한국인터넷진흥원, 정리=과학정책연술원]
아직까지 GDPR이 글로벌 표준이 될지는 미지수이나 중요한 변수가 되고 있으며 GDPR의 첫 번째 타깃이 되고 있는 미국 등도 이에 따른 전략을 세우고 대응 방법을 마련하고 있다. 이에 따라 국내에서도 EU 대상 비즈니스를 수행하고 있는 국내 기업부터 개인정보를 활용하는 모든 업종의 글로벌 경쟁 지형에서 GDPR이 큰 영향을 미칠 전망이다. 국내 기업들도 유럽 역내 데이터의 역외에 이동하려면 적정성 평가를 받아야 하기 때문이다. 향후 GDPR은 국내 개인정보보호 제도에도 영향을 미칠 것으로 예상되고 있다.
국내·외 개인정보보호 제도 비교
이러한 가운데 최근 과학기술정책연구원(이하 연구원)은 ‘유럽 개인정보보호법(GDPR)과 국내 데이터 제도 개선방안 보고서’를 통해 국내 개인정보 관련 4대 쟁점을 분석했다. 연구원은 ①개인정보와 개인식별정보의 동일시에 따른 산업 내 위험 부담 ②데이터 소유권과 활용을 위한 동의서 이슈 ③데이터 이동권 도입의 필요성 여부 ④연구목적의 데이터 활용 등을 4가지 쟁점으로 꼽았다.
연구원은 개인정보와 개인식별정보에 대해 각 법령안에서 구분이 모호하고 통상적으로 개인정보와 개인식별정보를 동일시하기 때문에 데이터를 활용하고자 하는 연구자나 기업이 식별이 필요하지 않은 정보까지 비식별화해야 하는 부담이 존재해 데이터의 활용을 위축시키고 있다고 봤다.
개인정보와 개인식별정보, 비식별 조치, 가명화, 익명화 등이 법과 가이드라인에서 혼용해 쓰이고 있어 개인정보에 대한 혼선이 야기된다는 설명이다. 개인정보보호법에서는 ‘개인정보’만 명시돼 있고 생명윤리법에서는 ‘개인식별정보’, ‘개인정보’, ‘익명화’로 구분되며 개인정보 비식별 조치 가이드라인에서는 비식별화라는 용어가 사용되고 있다는 지적이다.
▲국내 개인정보 관련 법 용어 정리
반면, 미국은 포괄적이고 기본법적인 개인정보 법체계가 아닌 특정 분야에서 프라이버시 문제를 해결하기 위해 조각낸 형태로 법이 제정된다. 예를 들어 보건의료 데이터에 대해서는 ‘의료보험의 이동성 및 신뢰성에 관한 법률(HIPAA)’이, 어린이의 개인정보를 보호하기 위해서는 ‘어린이 온라인 개인정보보호법률(COPPA)’이 제정돼, 특정 프라이버시법은 해당법에 따라 개인정보를 그 법이 규제하고자 하는 분야에 맞게 정의된다. 이 외에는 산업 내 자율 내규와 기업의 개인정보보호정책에 따라 처리하고 활용하고 있다. 미국의 헬스케어 기업인 트웨니쓰리앤미(23andMe)는 개인정보를 여러 범주로 구분해 수집하고 저장하며 구분된 정보별로 데이터 활용정책을 수립해 활용한다.
▲개인정보의 연구 목적 활용 촉진 관련 규정 비교[자료=EU(2016), 정리=과학기술정책연구원]
GDPR은 연구를 위한 데이터 활용을 허용하는 예외를 두고 있다. 공익적 기록 보전과 과학적·역사적·통계적 연구 목적을 위한 처리를 위해서는 다양한 범주와 수준에서 예외를 허용하고 있다. 그러나 국내 개인정보보호법은 학술연구 등의 목적을 위해 예외적으로 ‘목적 외 활용’을 허용하고 있으나 특정개인을 알아볼 수 없는 형태로 개인정보가 제공돼야 함을 강조하고 있어 연구 활용이 쉽지 않고 산업계의 부담이 큰 상황이다. 이에 따라 국내 산업의 육성과 글로벌 경쟁력을 확보하기 위해서는 개인정보 관련 국내법과 규제의 모호성 제거가 요구되고 있으며, 관련 용어의 정의와 실질적 범주에 대한 재정의가 필요한 시점이다.
[김성미 기자(sw@infothe.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김성미기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
