Daum 뉴스

[경향신문] ㆍ정부·산업계 “법안 처리 촉구”에 시민단체 “보완 요구”
ㆍ4차 산업혁명 시대 IT·금융·의료 분야 ‘가명정보’ 활용 필요성
ㆍ공익 목적 외 악용 우려…“개인이 언제든 동의 철회할 수 있어야”

‘개인정보 활용에 동의하십니까’라는 질문에 한번 ‘동의’ 버튼을 누르면 보험사 등 금융사와 마케팅 업체 등은 동의 버튼을 누른 사람의 ‘가명정보’를 활용할 수 있다. 가명정보는 추가정보를 사용하지 않으면 누구인지 특정할 수 없는 정보다. 만약 추가정보를 활용해 누구인지 특정하면 강한 처벌을 받는다. 개인정보보호법·신용정보보호법·정보통신망법 개정안(이른바 ‘데이터 3법’) 내용은 이렇게 요약할 수 있다.

데이터 3법은 4차 산업혁명 시대를 위한 ‘잘 익은 밥’일까, 아니면 ‘설익은 밥’일까. 산업계는 “국회가 1년간 데이터 3법 처리를 방관해 혁신이 막혔다”고 아우성이다. 반면 시민단체는 “데이터 3법에 빈틈이 많아 기업들의 돈벌이를 위해 국민들의 개인정보 통제권을 희생하는 결과가 나올 것”이라고 반발한다.

법안 내용부터 찬찬히 짚어보자. 개인정보보호법 개정안은 개인정보 개념을 개인정보·가명정보·익명정보로 나눴다. 이 중 가명정보는 내가 동의하지 않아도 통계작성과 과학적 연구, 공익적 기론보존 등의 목적에 사용할 수 있게끔 했다. 또 국가가 정한 전문기관에서 가명정보를 결합할 수 있게 했다. 예를 들어 SK텔레콤이 가진 통신비 납입 정보와 한화생명이 가진 추정 소득, 추정 주택가격, 보험 가입 건수 정보를 합칠 수 있다.

신용정보보호법 개정안은 가명정보 활용범위에 ‘시장조사 등 상업적 목적의 통계작성과 산업적 연구’를 명시했다. 대신 개인정보보호법 개정안은 가명정보의 원래 주인이 누구인지를 알아보는 작업을 진행할 경우 행사책임과 과징금을 물게 했다. 정리하면, 데이터 3법은 누구의 정보인지 알아보지 않는다면 기업들이 가명정보를 자유롭게 쓰게끔 하는 것이다.

산업계는 “더 이상 데이터 3법 통과가 늦어져선 안된다”는 입장이다. 한국의 빅데이터 활용·분석 수준은 지난해 기준 63개국 중 31위에, 데이터 분야 기술은 2017년 기준 미국 대비 79%에 머물러 있다. 데이터 3법이 통과되면 인공지능(AI), 플랫폼 산업에서 경쟁력을 갖추게 될 것으로 산업계는 기대한다. 지난 8월 은행연합회 등 8개 금융협회가 신용정보보호법 개정안의 국회 통과를 촉구한 것도 이런 이유에서다.

정보통신(IT)과 금융분야뿐만이 아니다. 의료산업계도 데이터 3법이 통과되면, 국민건강보험공단·건강보험심사평가원이 보유한 6조건의 의료데이터를 활용할 수 있을 것으로 기대한다. 문재인 대통령도 지난달 “데이터 3법이 연내 통과되도록 국회에 적극 요청하겠다”고 밝힌 바 있다.

반면 시민사회에서는 “현 상태의 데이터 3법은 기업들에 악용될 수 있다”는 우려의 목소리가 나온다. 개인정보를 보호하기보다는 기업들이 개인정보를 활용하는 데 초점이 맞춰졌다고 보기 때문이다.

가장 먼저 지적되는 것은 나의 ‘정보 통제권’이 약화된다는 점이다. 비록 가명정보라 하더라도 한번의 ‘동의’만으로 나와 상관없는 기업들이 내 정보를 마음껏 사용하게 된다. 데이터 3법의 벤치마킹 대상이 된 유럽연합(EU)의 개인정보보호규정(GDPR)은 이 부분에서 보호책을 뒀다. ‘정보주체가 진심으로 동의하지 않았거나, 손해 없이 동의를 철회할 수 없는 경우, 해당 동의는 자유롭게 제공된 것으로 간주하지 않는다’고 명시한 것이다.

최종연 참여연대 정보인권사업단 변호사는 지난 6일 국회에서 열린 ‘데이터 3법의 위험성과 정보인권 보장 토론회’에서 “데이터 3법에서 개인이 언제든 쉽게 동의를 철회할 수 있도록 해야 한다”고 지적했다.

가명정보의 사용처도 불분명하다. 개인정보보호법 개정안에서 사용처로 명시한 ‘과학적 연구’ 등이 추상적이기 때문이다. 수익 창출을 위해 가명정보를 활용하면서 “방법론적으로 과학적 연구에 해당한다”고 주장한다면 이를 막을 방법이 없다. 이 같은 이유로 지난 7월 국가인권위원회는 “과학적 연구의 범위를 객관적으로 예측할 수 있도록 보다 구체적이고 명확하게 보완할 필요가 있다”는 의견을 국회의장에게 전달했다.

가명정보의 정의 자체도 명확하지 않다고 시민단체는 지적한다. 개인정보보호법과 신용정보보호법 개정안은 가명정보에 대해 ‘(특정) 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려해야 한다’고 명시했다. 반면 유럽은 ‘특정 개인을 알아보는 데 기술적 발전까지 고려해야 한다’고 정했다. 슈퍼컴퓨터, 양자컴퓨터 등 기술의 발전에 따라 쉽게 가명정보를 악용할 우려를 차단한 것이다.

가명정보의 ‘결합’에 대한 불분명함도 문제가 된다. 가명정보를 결합한 정보집합물이 무엇인지 법에 명시하지 않았기 때문이다. 통계작성, 과학적 연구, 공익적 기록보존 등의 목적에 부합하는지를 사후적으로 판단하겠다는 뜻이다. 결합된 가명정보로 기업들은 가난한 사람을 배제할 우려도 있다. 보험회사가 통신료 연체기록을 들고 신용대출을 거절할 수 있는 상황이 벌어질 수 있는 것이다. 또 변혜진 건강과대안 상임연구원은 해당 토론회에서 “의사와 만나 내밀하게 나눈 모든 기록이 건강보험심사평가원으로 들어가는데 그 정보가 가명처리된 후 민간에 공유된다”며 “공익적 목적이 아닐 수 있다”고 비판했다.

기업들이 수익을 위해 가명정보를 사고팔 위험도 제기된다. 2011~2014년 홈플러스는 경품행사를 통해 모은 710만건의 고객정보를 보험사에 1건당 1980원에 판매한 적이 있다. 이 때문에 시민단체들은 “법안 통과 이전에 더 논의해야 한다”고 주장한다.

정부와 여야는 올해 데이터 3법의 국회 통과를 목표로 하고 있지만 정치 상황과 시민단체 반발 등이 변수가 될 것으로 보인다.

곽희양 기자 huiyang@kyunghyang.com