[딜사이트 조아라 기자] A회사는 주요 고객인 김춘향 씨의 결제 정보를 가지고 있다. 특정 개인을 식별할 수 있는 이름, 휴대전화번호 등은 개인정보다. 암호화된 휴대번호는 가명정보에 해당한다. 가명정보란 추가 정보를 사용하거나 결합하지 않으면 특정 개인을 알 수 없는 정보를 말한다. 휴대번호를 암호화한 것은 가명조치 또는 비식별조치라고 한다. 이름과 휴대번호가 없고 구매금액이 정확하지 않은 경우 익명정보로 분류할 수 있다. 

지난 1월 통과한 데이터3법(개인정보보호법·신용정보법·정보통신망법)에 따르면 A회사는 고객인 김춘향 씨의 동의 없이 통계작성이나 연구 목적으로 김춘향 씨의 가명정보를 활용할 수 있다. 데이터3법은 이처럼 개인정보를 보호하면서도 4차 산업 시대에 맞는 데이터 산업을 활성화하자는 ‘두 마리 토끼’를 잡는데 기본 취지가 있다. 문제는 '가명정보의 범위'다. 

전문가들은 데이터3법의 규율 대상과 범위가 모호하기 때문에 개정안의 기본 취지가 훼손될 수 있다고 한 목소리로 지적한다. ▲추가정보의 범위 ▲가명조치의 정도 ▲비식별의 판단 기준이 불명확하다는 것이다. 시장은 빅데이터 산업 위축을 우려하는 반면 시민사회는 개인정보 침해 위험성을 내세운다.

◆‘모호한’ 가명정보 범위 놓고 '충돌' 

규율 범위의 모호성은 비식별 기준 부재에서 명확히 드러난다. 김진환 김앤장법률사무소 변호사는 21일 인공지능법학회가 주최한 ‘인공지능과 데이터3법’ 세미나에서 무엇보다 제3자가 아닌 개인정보처리자를 기준으로 비식별 기준을 정해야 한다고 강조했다. 

예를 들어보자. 김춘향 씨의 정보를 활용하려고 하는 개인정보처리자인 C씨와 김춘향 씨의 남편 D 씨가 있다. C 씨는 김춘향 씨의 가명정보만으로 김춘향 씨 여부를 특정할 수 없지만 D 씨는 자신의 아내라는 것을 알 수 있다고 치자. D씨의 경우를 재식별이라고 한다. 데이터3법은 재식별을 금지하고 있다. 

C 씨를 기준으로 비식별 여부를 판단하면 암호화된 휴대번호 등의 정보는 가명정보에 해당한다. 이 경우 C 씨는 김춘향 씨의 동의 없이 정보를 활용할 수 있다. 반면 D 씨를 비식별기준으로 C 씨는 김춘향 씨의 동의없이 정보를 활용할 수 없다. 

김진환 변호사는 “우리나라는 재식별 형사처벌 규정이 있기 때문에 엄격하게 해석해야 한다”며 “객관적인 3자는 판단기준이 되어서는 안된다. 개인정보처리자가 개인을 특정하지 못하면 가명정보로 봐야 한다”고 주장했다. 이진규 네이버 개인정보보호 책임이사는 “가명정보에 대한 명확하지 않은 규정이나, 이의 잘못된 활용에 대한 강화된 처벌 규정으로 인해 가명정보의 이용 활성화가 기대만큼 잘 이뤄지지 않을 가능성도 높다는 평가가 많다”고 말했다.

반면 오병일 진보네트워크센터 대표는 “가명처리와 관련된 가장 큰 우려는 여전히 재식별 위험성이 큼에도 불구하고 일부 직접 식별자만을 제거하는 정도의 개인정보 처리를 가명처리로 인정하는 것”이라고 꼬집었다. 그러면서 가명정보에 대해 “제 3자의 입장에서 익명정보에 가깝도록 처리돼야 한다”고 주장했다.

◆ ‘졸속 처리’ 비판도...“선 개방 후 처벌”

전문가들은 오로지 ‘개정안 통과’에 급급한 나머지 정부가 활용 가능한 정보의 범위를 구체적으로 정하지 못했다고 지적했다. 그러면서 오는 8월 개정안이 이대로 시행되면 개인정보보호와 데이터 경제 산업 육성 모두 놓칠 수 있다고 경고했다. 

오병일 대표는 “시민사회의 반대에도 불구하고 충분한 토론 없이 국회에서 데이터3법이 졸속 통과된 것에 대해 심각한 유감을 표한다”고 비판했다. 최경진 교수는 “개인정보, 가명정보, 비개인정보 사이의 구별에 대한 시각이나 해석의 차이로 개인정보의 안전한 활용 범위에 대한 논란이 지속될 가능성이 있다”며 “데이터3법에 대한 오해 또는 과도한 기대는 과도한 실망으로 이어질 수 있다. 데이터3법이 희망고문이 될까 우려된다“고 거듭 강조했다.

최대선 공주대 의료정보학과 교수는 데이터3법이 육성보다 보호에 방점이 찍혔다고 견해를 밝혔다. 최 교수는  “단순히 가명조치를 하면 무엇이든 해도 된다는 오해를 할 수 있다”며 “국내 개정법령 가명조치의 배경이 되는 유럽의 GDPR에 가명조치가 등장한 배경은 데이터의 활용을 도와주려는 관점이 아니다. 개인정보를 보호해야 하니 데이터를 그냥 보관‧관리하지 말고 최소한 가명조치라도 해서 관리하라는 취지”라고 설명했다.

이어 최 교수는 '선 개방과 후 처벌'을 강조했다. 최 교수는 “문을 열어서 들어오게 한 후 나쁜 짓을 하는 사람들을 처벌해야 한다”며 "처음부터 문을 닫으면 법의 실효성을 확보하지 못한다. 개인정보 활용 대상과 범위를 넓히되, 재식별은 강하게 처벌해야 한다”고 강조했다.

배성호 개인정보보호위원회 과장은 “시행령 등 법개정 후속작업을 진행하고 있다”며 “조만간 시행령 안이 마련되면 공청회를 통해 설명할 수 있는 기회를 가지게 될 것”이라고 말했다.