“개인정보 비식별조치 가이드라인, 여전히 미흡”…기업들 고민 더 커져

실시간
뉴스

법제도/정책

“개인정보 비식별조치 가이드라인, 여전히 미흡”…기업들 고민 더 커져

디지털데일리 발행일 2017-04-26 09:47:15

최민지

URL복사

[디지털데일리 최민지기자] “정부가 개인정보 비식별조치 가이드라인을 마련한다고 했을 때 현장에선 분명 기대감이 있었다. 제3자와 데이터 공유를 활성화시켜 빅데이터 관련 사업을 할 수 있지 않을까라는 생각도 들었다. 그러나 가이드라인 발표 후 사업자 입장에서 당혹스러웠다. 기업이 신뢰하고 따를 수 있는 가이드라인이 아니었다.” (이진규 네이버 CISO 겸 CPO)

정부는 지난해 7월 관계부처 합동으로 ‘개인정보 비식별조치 가이드라인’을 마련했다. 개인정보를 안전하게 활용하며, 빅데이터 산업을 활성화시켜 새로운 비즈니스 가치를 창출시키기 위한 방안이었다.

이러한 정부의 계획에 기업들도 뜨거운 관심을 보냈다. 개인정보보호에 막혀 빅데이터 확보와 활용에 겪었던 어려움을 해소할 수 있을 것으로 예상했기 때문이다.

그러나 가이드라인의 뚜껑을 열어본 후 기업들은 외면하기 시작했다. 대체 무슨 이유일까?

◆“불분명한 가이드라인, 기업 책임만 커져” = 네이버 정보보호최고책임자(CISO) 겸 개인정보보호책임자(CPO)인 이진규 이사는 25일 서울 삼성동 코엑스에서 열린 ‘제23회 정보통신망 정보보호 컨퍼런스’를 통해 개인정보 비식별조치 가이드라인 적용에 대한 기업의 고민을 털어놨다.

이 이사는 먼저 가이드라인과 관련해 개인정보 정의 모호성, 비식별 정보에 대한 보호조치, 처벌 문제 등을 지적했다.

이 이사는 “가이드라인 발표 후 여러 기대와 상당히 다른 내용이 나왔는데, 개인정보의 해당성 부분은 기존 법률과 크게 달라진 바 없었다”며 “이 가이드라인은 결국 비식별된 것이 확실하면 자유롭게 사용할 수 있지만 자신 없으면 적정성 평가단의 도움을 받아야 하고, 그럼에도 재식별되면 처벌될 수 있다고 명시한 것”이라고 말했다.

자유로운 데이터 활용보다 기업의 책임 소지를 강화한 부분 때문에, 이 가이드라인을 도입하기 어려운 상황이라는 설명이다.

기업은 정보의 재식별 가능성을 우려할 수 밖에 없다. 가이드라인에서는 정보를 제공받은 자와 향후 정보를 처리할 예정인 자까지 포함해 개인을 알아볼 수 있는 주체로 명시했다.

아무리 기업에서 비식별 조치를 철저히 했어도 다른 곳에서 식별이 된다면 해당 기업이 처벌을 받을 수 밖에 없다. 차라리 이런 리스크를 버리고 고객들에게 정보 활용 동의를 구한 후 내부에서 데이터 활용을 꾀하는 편이 낫다는 판단이다.

이 이사는 “기업이 개인정보를 비식별화 했어도 모든 주체 중 한 곳이라도 알아볼 수 있다면 여전히 개인정보에 해당하는 것”이라며 “비식별 조치 후 데이터를 공유한 제3자가 언젠가 알아볼 수 있다면 제대로 가이드라인을 지키지 않았다고 볼 수 있다”고 설명했다.

이어 “제3자 제공 때도 동의를 받고 정보를 전달할 수밖에 없다는 실무 부서 의견이 있었다”며 “아무리 비식별 조치를 하더라도 재식별 가능성이 조금이라도 있다면 데이터를 공유할 수 없다”고 덧붙였다.

◆비식별 데이터, 공공에 공개 금지?... “들키지 말고 쓰라는 것”=비식별 조치된 데이터의 활용 문제도 제기됐다. 가이드라인에 따라 조치를 했음에도 공공이나 불특정 다수에 공개하는 것이 원칙적으로 금지돼 있다. 제한된 사람들끼리 공유하고 보호하기 위해 비식별 조치까지 취해야 할 명분이 무엇이냐는 지적이다.

이 이사는 “공공데이터로 활용하고 제3자에 전달해 다시 새로운 가치를 창출하는 정보의 순환이 이뤄져야 한다”며 “결국 들키지 말고 조용히 쓰라는 것”이라고 꼬집었다.

또 “개인정보가 아닌 비식별정보를 제3자에게 제공하는 것에 대해 정기적 모니터링 의무를 넣어 법에서 요구하는 보호조치 이상의 것을 준수하도록 하고 있다”며 “재식별 때 법적 제재는 두려운 부분이며, 사업자가 이 가이드라인을 믿고 활용할 수 있는 신뢰를 얻기 어렵다”고 말을 보탰다.

이날 이 이사는 유럽연합(EU)의 새로운 개인정보보호법인 일반정보보호규정(GDPR)과 비교하며, 개인정보 가명화에 무게를 뒀다. GDPR에서는 적절한 안전조치를 위해 개인정보 가명화를 요구하고 있는데, 이 경우 이용 목적 범위를 확대할 수 있다는 것이다.

이 이사는 “비식별조치 가이드라인이 불분명한 점이 많아 이도저도 못하는 상황”이라며 “빅데이터를 마음껏 사용할 수 있는 환경을 마련했으면 한다”고 말을 보탰다.

<최민지 기자>cmj@ddaily.co.kr