[법률 프리즘]빅데이터 시대, 개인정보보호 어디까지

개인을 알아볼 수 없도록 비식별 조치를 한 정보는 개인정보가 아닌 것으로 추정된다. 따라서 비식별 조치 정보의 경우 별도의 동의를 받지 않더라도 빅데이터 분석에 활용할 수 있다고 허용했다.

행복을 찾기 위해, 나 자신이 누구인지 진정으로 알기 위해 외부의 시선에서 벗어나 조용히 자신의 내면에 귀를 기울이라는 충고에 많은 사람이 공감한다. 실제로 많은 이들이 명상이나 혼자만의 시간을 통해 자신을 찾기 위한 노력을 하고, 이러한 시간을 통해 재충전하여 활기차게 일상을 살아간다.

유발 하라리는 최근 큰 인기를 끈 신작 <호모 데우스>에서 “앞으로는 자신을 알기 위해 내면을 들여다보려고 명상하는 것이 불필요할 수도 있다”는 진단을 내놓았다. 유발 하라리는 “구글과 페이스북의 알고리즘들은 당신이 어떤 감정을 느끼는지 정확히 알 뿐 아니라 당신 스스로가 짐작도 하지 못하는 당신의 여러 가지에 대하여 알고 있다”며 “진정한 나를 찾으려면 이제 자신의 감정에 귀 기울일 것이 아니라 외부 알고리즘에 귀를 기울여야 할지도 모른다”고 주장했다.

과거와는 차원이 다른 방대한 양의 데이터 분석이 가능해지면서 나온 주장이다. 우리는 이러한 데이터를 흔히 ‘빅데이터’라고 말한다. 석탄과 석유가 있었기에 기계 산업혁명이 가능했다면 4차 산업혁명은 빅데이터가 그 역할을 할 것이라고도 한다. 인공지능 기술의 발전 역시 빅데이터를 처리할 수 있는 기술의 힘에 많은 신세를 졌다.

빅데이터 분석 관련 일러스트레이션 이미지 / 픽사베이 제공

현실에 적용 어려운 ‘통지 및 동의 원칙’

이렇게 막강한 힘을 가진 빅데이터가 이끄는 사회는 어떤 모습일까. 특정한 질병의 유행 가능성을 먼저 알아차리는 것은 보건당국이 아니라 인터넷 기업이 될 수도 있다. 독감 등의 증상에 대한 단어의 검색 빈도가 평상시와 다르게 높다면 이는 곧 많은 사람들이 독감에 대해 궁금해 한다는 것이므로, 독감이 유행하고 있을 가능성이 높다고 추론할 수 있는 것이다.

이러한 빅데이터의 활용은 필연적으로 개인정보 보호와 상충될 수 있다. 빅데이터를 통한 맞춤형 서비스는 해당 정보를 제공한 사람이 누구인지, 그 사람이 어떠한 데이터를 생성하고 있는지를 수집해 분석할 때 이루어질 수 있기 때문이다.

우리 법은 개인정보를 ‘살아있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보이며, 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보’라고 정의한다. 대한민국은 개인정보를 다룰 때 사전 동의 방식을 채택하고 있다. 개인정보를 수집, 이용, 제3자에게 제공할 때에는 반드시 사전에 정보주체가 명확하게 인지할 수 있도록 알리고 동의를 받도록 한 것이다. 특히 건강정보, 노동조합이나 정당의 가입·탈퇴 정보, 정치적 견해 등에 관한 정보는 정보주체가 제공할지 여부에 대하여 좀 더 신중한 의사결정을 해야 할 필요가 있는 것으로 보고 별도의 동의를 받도록 규정하고 있다. 인터넷 서비스 등을 새로 이용할 때마다 여러 사항에 대해 ‘동의한다’는 체크를 해야 하는 이유다.

이는 이른바 ‘통지 및 동의 원칙’에 따른 것이다. 개인정보를 이용하는 사업자는 정보주체에게 자신이 어떠한 개인정보를 수집하며 이를 어떤 목적에 이용하고 필요할 경우 누구에게 제공하는지를 밝히고, 정보주체는 이를 보고 그 이용에 동의하며 그 이용에 따른 편리함을 선택하되 자신의 개인정보에 대한 처리를 맡기는 대신 그 위험을 자신이 부담한다는 것이다.

비식별 조치의 ‘충분함’에 대한 논란

그러나 빅데이터 시대를 맞아 이러한 법규가 현실적으로 적용 가능한 것인지, 원취지인 개인정보 자기결정권의 차원에서 실효성이 있는 것인지에 대해 회의적인 시각이 있다. 결국 이용자의 입장에서는 정보주체로서 자신의 개인정보를 어떻게 이용하겠다는 것인지를 이해하고 그에 대해 동의하겠다는 의사를 밝히기보다는 해당 서비스를 이용할 것인지 혹은 포기할 것인지의 선택에 그치게 된다는 것이다. 빅데이터는 검색 빈도를 통해 유행하는 질병을 알아내는 것처럼 방대한 데이터의 조합을 통하여 당초 수집했을 때는 생각하지 못했던 새로운 가치를 창출해낼 때 유용성이 있는데, 수집할 때 동의받은 목적 내 활용을 제한한다면 그 유용성 자체가 크게 제한된다는 지적도 있다.

이러한 고민 끝에 정부는 빅데이터를 활용하고자 하는 기업의 불확실성을 제거하고 각 개인의 개인정보 인권 보호에도 소홀함이 없도록 하겠다며 관계부처 합동으로 가이드라인을 내놓았다. 개인정보는 ‘개인을 알아볼 수 있는 정보’이므로, 개인을 알아볼 수 없도록 비식별 조치를 한 정보는 개인정보가 아닌 것으로 추정된다는 것이다. 따라서 비식별 조치 정보의 경우 별도의 동의를 받지 않더라도 빅데이터 분석에 활용할 수 있다고 허용했다. 비식별 조치 방법은 구체적으로 제시했다. 예를 들면 이름을 가명으로 바꾼다거나, 특정 데이터를 삭제해 정보주체가 누구인지 확인할 수 없도록 익명화하는 것이다.

그런데 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보라면 반드시 정보주체의 동의를 얻어야 하는 개인정보에 해당한다. 따라서 비식별화 조치를 거쳤다 하더라도 과연 이를 정보주체의 동의를 필요로 하지 않는 개인정보로 볼 수 있을 것인지에 대한 논란이 생길 수 있다. 과연 어느 정도가 ‘충분한’ 비식별 조치인지에 대한 논란도 있다.

가이드라인에서도 비식별 조치가 충분하지 않은 경우 공개정보 등 다른 정보와의 결합을 통해 개인이 식별될 우려가 있음을 밝히고 있다. 이에 가이드라인은 비식별 조치가 적정한지를 놓고 평가단의 평가를 받도록 하고 있다. 정기적인 동향 파악을 통해 비식별 조치를 무력화할 수 있는 새로운 기술 등이 등장할 경우 추가 조치를 해야 하는 것이다.

법률 프리즘

빅데이터는 매우 편리한 도구가 될 수 있다. 창작이란 완전히 없는 것에서 새로운 것을 만들어내는 것이기도 하지만, 서로 관련성이 없어 보이는 요소들 사이의 관계를 새롭게 정립하는 것이기도 하다. 빅데이터는 이러한 연결을 가능하게 만들 수 있는 훌륭한 매개가 될 수 있다. 다른 한편으론 무한대로 정보가 복제돼 순식간에 개인정보가 불특정 다수에게 전송될 수 있는 위험성도 다분하다. 개인의 자기정보결정권도, 빅데이터를 이용한 편리한 삶도 어느 한쪽을 희생하기는 어려운 가치다.

<유재규 법무법인(유한) 태평양 변호사>