개인정보 비식별화하면 괜찮다? 교차하면 다 나온다

개인정보 비식별화하면 괜찮다? 교차하면 다 나온다

행자부 개인정보 비식별조치 가이드라인… 이용자 동의 없이 수정, 애매한 규정에 재식별화 우려도

행정자치부 등 정부부처들이 빅데이터 산업 활성화를 이유로 개인정보 관련 가이드라인을 발표했다. 하지만 개인정보가 아닌 것으로 ‘추정되는‘ 정보를 제3자가 동의 없이 활용할 수 있게 하는 등 개인정보보호권을 침해할 수 있다는 우려가 나온다.

행정자치부는 30일 관계부처(방송통신위원회, 금융위원회, 미래창조과학부, 보건복지부, 국무조정실) 합동으로 ‘개인정보 비식별 조치 가이드라인’을 발간했다고 밝혔다.

가 이드라인의 핵심은 ‘비식별화’된 개인정보는 개인동의 없이도 정보수집 및 제3자 제공이 가능하게 만드는 것이다. 비식별화란 데이터 값 삭제, 총계처리, 범주화, 데이터 마스킹을 통하여 개인정보의 일부 또는 전부를 삭제하거나 대체함으로써 특정 개인을 식별할 수 없도록 하는 조치다. 이런 데이터의 변조를 통해 개인이 식별되지 않으면 개인정보 수집 및 이용에 문제가 없다는 것이다.

▲ 비식별화의 사례. 미래창조과학부, 한국정보화진흥원이 발간한 ‘빅데이터 활용을 위한 개인정보 비식별화 사례집’ 중 발췌.

이 유는 산업 활성화다. 가이드라인에 따르면 기업이 업무처리 과정에서 수집한 고객 정보, 거래내역, 민원처리 내역 등 개인정보가 포함된 각종 자료를 비식별 조치 한 후 시장조사, 상품개발 및 마케팅전략 수립 등의 용도로 활용할 수 있다. 나아가 이 정보를 제3자에게 제공할 수 있으며 정보를 제공받은 기업은 시장조사, 신상품 개발, 마케팅전략수립 등에 활용할 수 있다. 한 마디로 금융기관, 보험사, 통신사, 의료기관 등이 개인정보를 비식별화한 뒤 다른 기업에 판매할 수 있다는 뜻이다.

하지만 비식별화가 안전한지에 대해서는 논란이 많다. 이미 대규모 유출이 이루어진 개인정보를 비식별화된 데이터와 결합하면 해당 정보의 주인을 알아낼 수 있다는 것.

행 자부 가이드라인은 비식별 조치가 적절하게 이루어졌는지 외부평가단을 통해 평가하고, 평가과정에서 ‘객관적이고 계량적인 평가수단’인 k-익명성을 활용했다고 설명한다. 예컨대 아래 <표1>이 공개된 의료데이터이고, <표3>은 k-익명성 모델에 의해 비식별된 의료데이터다. <표3>을 보면 지역코드, 연령, 성별 등의 정보가 익명화되어 있다.

문 제는 비식별화된 데이터가 다른 데이터와 결합됐을 때다. 예컨대 누군가 선거인명부에 해당하는 <표2>와 비식별화된 <표3>의 정보를 갖고 있고 이를 통해 <표2>의 3번 여성 ‘이지민’의 질병을 알아내고 싶다고 가정해보자.

<표2>와 <표3>의 지역코드, 그리고 연령정보를 결합하면 이지민은 <표3>의 1~4번 중 한 명임을 알 수 있다. 나아가 여성은 전립성염에 걸리지 않는다는 배경지식을 활용하면, 이지민은 <표3>의 3번 혹은 4번이다. 3번 혹은 4번 모두 고혈압이다. 즉 두 가지 데이터를 결합하면 이지민은 고혈압이라는 점을 알 수 있다.

이런 식으로 수많은 정보가 결합되면 비식별화된 개인정보를 보고도 개인을 특정할 수 있다. 예컨대 보험회사가 의료회사로부터 비식별화 데이터를 구매하면 자신의 고객정보와 결합해 고객들이 지닌 질병을 알아낼 수 있다. 이를 ‘재식별화’라 한다.

시민단체 등이 이번 가이드라인에 대해 우려하는 이유다. 지난 2011년 홈플러스가 2400만 건에 달하는 개인정보를 소비자 동의없이 건당 1980원~ 2800원을 받고 보험사에 판매해 231억 원을 벌어들인 사건이 있었다. 해당 사건은 소송 중이다. 다국적 빅데이터기업 IMS헬스가 병원, 약국 등지에서 개인정보 4400만 건을 사들여 빅데이터 처리 한 후 제약회사에 판매해 70억 원의 이득을 얻은 사건도 있었다.

진보네트워크, 경실련, 참여연대 등 시민단체는 30일 성명을 통해 “소비자의 권리는 모든 분야에서 중요하고 빅데이터 시대에도 개인정보에 대한 소비자의 권리는 반드시 보장되어야 함을 정부는 명심해야 할 것”이라고 밝혔다.

개 인정보보호법은 개인정보를 “살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보”라고 규정하며 “해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다”고 규정하고 있다. 이런 논리라면 비식별화를 거친 개인정보도 개인정보로 볼 수 있다.

나아가 가이드라인은 비식별화된 정보를 “개인정보가 아닌 것으로 추정된다”고 규정하고 있다. 가이드라인은 “적절하게 비식별 조치가 된 정보는 더 이상 특정 개인을 알아볼 수 없으므로 개인정보가 아닌 것으로 추정된다”면서도 “개인정보라는 반증이 나오는 경우는 개인정보로 본다”고 설명했다. 정부 스스로 비식별화된 정보가 언제든지 개인정보가 될 수 있다는 점을 알고 있다는 해석이 가능하다.

그럼에 도 이런 애매한 규정을 만든 것을 두고는 개인정보보호법을 피해나가기 위한 우회로라는 지적이 나온다. 현 개인정보보호법은 개인정보에 대한 정의를 내리고 있지만 개인정보가 아닌 것에 대한 정의는 밝히지 않고 있다. 게다가 비식별화된 정보는 언제든 ‘다른 정보와 결합해 개인을 특정할 수 있다는’ 점에서 경우에 따라 개인정보라는 해석도 가능하다. 즉 비식별화된 정보를 개인정보가 아니라고 인정받으려면 개인정보보호법 개정이 필요하다. 하지만 당장 법 개정이 어려운 상황이기에 ‘추정된다’는 애매한 규정을 만들었다는 것이다.

행자부 개인정보보호정책과 관계자는 “위험성을 100% 배제할 수 없다고 봤기에 잘 관리하고 보안조치를 취하라는 의미에서 ‘추정된다’고 표현한 것”이라며 “아무리 완벽하게 비식별화조치를 한다 해도 다른 정보와 결합하면 재식별화 가능성이 전혀 없다고 할 수 없다”고 말했다.

이 관계자는 또한 “비식별화된 정보를 일반에 공개하면 알아보는 사람이 있을 수 있어 공개를 원칙적으로 금지했다. 재식별화가 될 경우 즉시 폐기하도록 하는 등 안전장치를 많이 도입했다”고 설명했다.

박 근혜 정부는 ‘창조경제’ 기조 하에 빅데이터 산업 활성화를 이유로 비식별화 된 개인정보의 동의 없는 수집 및 이용을 허용하려는 움직임을 보였다. 2014년 12월 방송통신위원회는 행정규칙에 해당하는 ‘빅데이터 개인정보보호 가이드라인’을 발표했다. 이 가이드라인 4조는 “정보를 비식별화 조치한 경우 이용자의 동의 없이 수집‧이용할 수 있다”고 규정한다.

2015년 6월 3일 금융위원회는 신용정보법 시행령을 개정하겠다고 밝혔는데, 비식별정보를 개인신용정보에서 제외하는 것이 골자다. 비식별화된 개인신용정보를 금융회사 등이 새로운 상품개발 등에 활용할 수 있도록 한다는 이유였다.

19 대 국회에 발의된 ‘규제프리존 특별법’에도 규제프리존으로 지정된 지역에 한해서 ‘비식별화된’ 개인정보 수집 및 이용을 제한적으로(특정 지역에 한해) 허용하겠다는 내용이 있다. 해당 법안은 19대 국회가 종료되면서 폐기됐지만 20대 국회가 개원하자마자 배덕광 새누리당 의원 등이 비슷한 내용의 빅데이터 관련 법안을 제출했다.

관련 기사 : 비식별화하고 개인정보 무제한 퍼가세요?

30 일 발표된 행자부 가이드라인은 이런 과정을 거쳐 탄생했다. 정부는 행정규칙, 시행령을 통한 비식별 정보의 활용이 여의치 않게 되자 개인정보보호법의 상위법인 특별법을 만들어 개인정보보호법을 뛰어넘으려 했다. 하지만 특별법마저 폐기되자 비식별 정보를 ‘개인정보로 추정되는 정보’로 규정해 개인정보보호법을 우회하려 했다는 해석이 가능하다. 행자부 관계자는 ‘개인정보보호법 개정사안 아닌가’라는 질문에는 “현행법 틀 내에서 유권해석했다고 보면 된다”고 답했다.

행자부 가이드라인이 개인정보보호 체계를 무력화시킨다는 비판이 나오는 이유다. 장여경 진보네트워크는 활동가는 “‘추정된다’는 말은 일단 개인정보가 아니라고 추정하고, 처리하라(판매하라)는 뜻과 같다. 재식별화되면 폐기하라는 뜻도 일단은 쓰라는 말 아닌가”라며 “과거 정부는 통신사가 고객 동의 없이 스팸 문자를 보낼 수 있게 했다가 민원이 빗발치자 정책을 바꾼 경험이 있다. 고객 동의 없는 개인정보 활용이 얼마나 산업을 활성화 시킬 지 모르겠다”고 지적했다.