데이터 3법(개인정보보호법ㆍ신용정보법ㆍ정보통신망법) 개정안이 9일 국회 본회의를 통과하자 4차산업혁명의 기반을 마련했다는 평가에도 불구하고, 개인정보 유출을 우려하는 목소리가 여전히 크다.
이번 법개정의 핵심 개념은 ‘가명정보’다. 개인정보 주체의 실명을 가려놔 특정 개인을 식별할 수 없는 정보다. 이름과 주민등록번호처럼 주체가 누군지 알 수 있는 ‘개인정보’와 ‘30대 여성’처럼 개인 식별이 불가능한 익명정보의 중간에 있는 개념이다. 예를 들어 ‘서울시 종로구 세종대로 209에 거주하는 32세 여성 김지영’은 개인정보지만, ‘서울시 종로구에 사는 30대 여성 김모씨’는 가명정보다. 이러한 가명정보를 개인의 동의 없이도 금융ㆍ연구ㆍ통계작성 등에 이용할 수 있도록 하는 게 이번 법개정의 골자다.
가명정보는 개인을 식별할 순 없지만 정보를 통합적으로 활용할 수 있어 빅데이터로서 가치가 높다. 특정 연령대나 성별 등 계층별ㆍ개인별 맞춤 서비스를 개발할 수도 있고, 과학적 연구에도 유용한 기초정보가 될 수 있다. 건강ㆍ금융ㆍ유통 등 여러 영역의 정보를 통합해 볼 수도 있다. 예컨대 ‘나이별 맞춤형 의료정책’을 수립하거나 ‘세대에 따른 맞춤형 신용카드’를 내놓을 수도 있다는 얘기다.
하지만 가명정보로 인한 정보유출 우려도 적지 않다. 다른 정보를 결합해도 누구의 정보인지 식별할 수 없는 익명정보와 달리 가명정보는 추가 데이터가 있으면 개인 식별도 가능할 수 있다는 것이다. 또 의료정보나 유전자 정보, 생체인식 정보 등 사실상 가명처리가 어렵거나 쉽게 재식별이 가능한 개인정보를 어떻게 취급할지도 분명하지 않은 상태다.
채이배 바른미래당 의원은 이날 데이터3법 국회 통과를 반대하며 참여연대와 건강과대안 등 12개 시민단체와 함께 기자회견을 열고 “안전장치는 거의 전무하고 개인정보 감독기구의 역할은 반쪽에 불과하다”고 지적했다. “개인정보 감독기구인 개인정보보호위원회가 금융위의 개인 신용정보, 복지부의 개인 의료정보 등은 권한을 제대로 미치지 못한다”면서 “유럽연합(EU)의 개인정보보호규정(GDDR)을 차용하면서도 GDPR에서 보호의 장치로 마련된 프로파일링에 대한 영향평가 의무나, 프로파일링에 대하여 개인이 행사할 수 있는 권리도 대부분 빠져있다”는 지적이다.
지난해 7월 국가인권위원회도 가명정보 관련 사항이 국민의 정보인권 보호와 관련이 있다며 이에 대한 의견을 표명했다. 인권위는 가명정보 활용 여부를 판단할 때 우리나라의 개인정보 처리 환경의 특수성을 고려해야 한다고 강조했다. 인권위는 “우리나라는 △주민등록번호 제도로 인하여 전 국민의 식별이 매우 용이한 점 △성명ㆍ주민등록번호 등의 개인정보 데이터베이스가 이미 대량으로 유출, 음성적으로 거래ㆍ활용되고 있는 점 △가명정보 재식별 위험성이 상대적으로 큰 점 등을 고려할 때 여타 선진국에 비해 가명정보의 활용 목적 확대에 정보주체의 보호 및 개인정보 보호를 위한 안전장치를 보다 강화하고, 그런 장치가 마련되지 않는 상황에서는 가명정보 활용에 신중을 기할 필요가 있다”고 말했다.
가명정보를 통한 사생활 침해를 방지하기 위해 법안에는 안전장치가 마련돼 있다. 가명정보에 다른 정보를 추가해 개인을 재식별할 경우 기업은 매출액의 3%까지 과징금 부과, 개인은 5년 이하 징역과 5,000만원 이하의 벌금형에 처하게 했다. 하지만 우려를 완전히 불식시키지는 못했다.
양진하 기자 realha@hankookilbo.com
기사 URL이 복사되었습니다.
댓글0