데이터 3법과 데이터 주권의 문제(손화철)

손화철(한동대 글로벌리더십학부 교수, 기술철학)

2020년 3월 20대 국회의 마지막 회의에서 가까스로 통과된 소위 데이터 3법 개정안이 시행령 개정 등을 거쳐 오는 8월 4일에 발효된다. 법 통과 당시 여러 언론과 전문가들은 이 법을 마련하는 것이 4차 산업혁명을 제대로 준비하는 중요한 단계인데도 국회가 빨리 처리하지 못하는 직무유기를 비난했다. 그러나 한편으로는 발효 시점이 된 지금까지도 이 법을 둘러싸고 여러 가지 논란이 이어지고 있다. 도대체 데이터 3법은 무엇이고 어떤 중요성을 가지는가?

데이터 3법은 이미 존재하는 개인정보보호법, 정보통신망법, 신용정보법을 가리킨다. 이들을 굳이 한 이름으로 묶어서 부르는 이유는, 이들이 모두 각종 데이터의 보안과 활용에 대한 규정을 포함하고 있어 이번에 함께 개정하게 되었기 때문이다. 이번 법 개정은 중복이나 혼선을 피하고 데이터 사용의 범위와 관리 주체를 명확하게 하는 것이 목표였다.

이번 데이터 3법 개정의 핵심 내용은 이른바 ‘가명 정보’의 활용이다. 가명정보란 추가적인 정보를 더하지 않고서는 개인을 특정할 수 없도록 처리한 정보를 말한다. 이름과 생년월일 같은 정보를 삭제하고 해당인을 가명이나 번호로 표시하면(비식별화 조치) 가명 정보가 된다. 추가적인 정보가 더해져도 개인을 식별할 수 없는 ‘익명 정보’도 정의되었는데, 이는 “포항에 사는 월 소득 200만 원 이상의 40대 남성”처럼 처리된 정보로 더 이상 개인정보법의 제약을 받지 않고 사용 가능하다.

ⓒpxhere.

지금까지 우리나라의 개인정보보호법은 매우 엄격한 편에 속해서, 사람들의 온라인 활동 과정에서 생기는 다양한 정보들을 정보 주체의 동의가 없이 서로 결합하거나 빅데이터 분석에 사용하는 것이 쉽지 않았다. 이번 개정법은 ‘개인 정보’를 좀 더 상세하게 구분하여 비식별화를 거친 개인 정보는 자유롭게 쓸 수 있게 하려는 것이다. 이렇게 되면 금융을 비롯한 여러 사업 분야에서 사용자의 특성에 따라 맞춤형 서비스와 광고를 제공할 수 있게 된다. 또 통신 업체처럼 다양한 데이터를 보유한 회사들은 자신들이 가진 데이터를 가공하여 다른 기관에 제공하고 수익을 창출할 수 있다.

문제는 서로 다른 종류의 가명 정보들을 결합하면 사실상 개인을 특정하게 되어 개인 정보 유출이나 마찬가지의 상황이 될 수 있다는 점이다. 금융기관과 병원, 기업이 각각 보유하고 있는 가명 정보를 결합하면 한 개인을 특정할 수 있게 되고, 그렇지 않았다면 아무도 몰랐을 과거의 병력 때문에 인사상 불이익을 받게 될 수도 있다. 나아가 국가 기관이 보유하는 각종 데이터를 비식별화하더라도 그 데이터들을 결합해서 특정인에 대해 알려져서는 안 되는 정보가 유출될 수 있다. 이런 이유로 데이터 3법의 개정을 ‘개인정보유출법’이라 비판한 시민단체도 있다.

개인정보보호법이 너무 엄격해서 산업 발전을 저해한다고 목소리를 높였던 기업들은, 법 개정안이 통과된 이후에는 그에 따라 변경된 시행령이 엄격하고 모호하다면서 다시 불만을 제기하였다. 데이터의 결합 분석 권한을 기업이 아닌 제3의 전문 기관에 맡기는 것이 불합리하고, 데이터를 결합하는 목적을 명시한 부분이 너무 엄격하다는 것이다. 한 마디로 말해서 일단 비식별화 조치를 취하고 나면 기업이 가명 정보를 가지고 마음껏 활용할 수 있게 하라는 요구였다. 결국 법 개정 후에 제출된 시행령도 다시 일부 개정되어 공시되었다.

이 모든 논란의 이면에는 수익이 되면 무엇이든 하겠다는 기업들의 공격적인 태도와, 기업들이 개인 정보 보호에 관심이 없다고 생각하는 시민들의 불신이 깔려 있다. 이는 특히 우리나라에서 더 심하다. 기술 발전이 단기간에 이루어진 데다 ‘우리’를 중시하는 문화, 급격한 경제 개발로 인해 생긴 배금주의 등이 그 원인이다. 그러나 최첨단 기술을 제대로 사용하고 모두에게 유익이 되기 위해서는 최소한의 사회적 신뢰와 양심이 필요하다는 점을 기억해야 한다. 그런 바탕이 없으면 최첨단 기술이 초래할 해악이 유익보다 더 커진다.

또 하나 지적해야 할 것은 비식별화 조치를 한다고 해도 개인 정보는 개인의 소유라는 점이다. 개인 정보를 “개인에 대한 정보/데이터”이기도 하지만 “개인의 정보/데이터”이기도 하다. 그런데 현재 데이터 3법과 관련된 논의에서는 데이터의 주인에 대한 고려는 없고, 개인에 대한 데이터를 보호해야 할 정부의 의무와 그 데이터를 사용해서 얻을 기업의 이익만 논의되고 있다. 그러나 데이터의 소유권을 강조하면 다른 측면이 부각된다. 정부가 빅데이터 분석을 하는 경우, 그것이 혹시라도 시민의 자유를 억압하는 방향으로 가지 않도록 정부를 견제하는 장치가 필요하다. 기업의 경우에는 그 데이터를 모으고 가공해서 생기는 수익을 데이터의 주인과 분배할 방안을 찾아야 한다.

빅데이터를 이용한 사업의 영역이 무궁무진하고 공익적으로도 사용이 가능한 만큼, 개인 정보를 가장 엄격하게 보호해야 한다는 논리에만 집착할 수는 없다. 그러나 동시에, 개인의 내밀한 정보가 공익을 핑계로, 혹은 기업의 수익 창출을 위해 무분별하게 사용되는 것을 방치할 수도 없는 노릇이다. 지속적으로 법과 시행령을 보완해서 가장 좋은 균형을 찾아가는 노력을 해야 한다.