"개인정보 비식별화, 입법 불가피"

/출처=국회입법조사처

개인정보를 활용하면서 빚어질 수 있는 오·남용을 방지하기 위한 '개인정보 비식별화' 조치에 대한 관심이 여전히 뜨거운 가운데 현행 가이드라인으로 마련된 개인정보 비식별화 조치를 입법화하는 것이 불가피하다는 분석이 나왔다.

25일 심우민 국회입법조사처 입법조사관은 '개인정보 비식별 조치에 관한 입법정책적 대응과제'를 주제로 한 현안 보고서를 통해 "개인정보 보호체계는 정보통신 기술과 데이터 분석, 활용 기술의 발전으로 변화의 필요성이 제기되고 있다"며 "개인정보 활용과 보호라는 두 가지 목적을 균형있게 추진해야 한다"고 밝혔다.


개인정보 비식별화는 개인 식별 가능성을 제약하거나 제거하는 조치를 말한다. 지금까지 익명성을 갖던 정보가 데이터 분석과 조합 과정을 거치면서 개인 식별 가능성을 갖는 정보로 전환될 가능성이 높아지게 되면서 전 세계적으로 이슈가 되고 있다. 개인식별 가능성과 익명성의 경계가 점점 모호해지고 있는 영향도 있다.

우리나라는 지난 2014년 12월 방송통신위원회가 빅데이터 환경에서 개인정보 보호규제가 산업진흥에 있어 부당한 장애요인으로 작용하고 있다는 점이 부각되면서 '빅데이터 개인정보보호 가이드라인'을 공표했다.

다만, 이 가이드라인의 적용범위가 사실상 방송통신위원회 소관에 한정돼 있고 규제대상 정보도 '공개된 개인정보', '이용내역 정보' 등 제한적이라는 점에서 범 부처 차원의 공통기준을 마련 필요성이 논의됐다. 이에 지난해 6월 정부부처 합동으로 '개인정보 비식별 조치 가이드라인'을 공표했다.


우리나라 뿐 아니라 EU(유럽연합), 미국, 일본 등도 빅데이터 산업이 발전하면서 개인정보 보호 법제 개선에 대한 논의가 진행 중이다. 대응방식은 크게 우리나라처럼 가이드라인을 통한 것과 법률에 못 박는 입법조치로 나뉜다.

영국은 우리나라처럼 가이드라인 정책을 펼치는 대표적 사례다. '익명화 실천규약'이라는 가이드라인을 제시해 개인정보 보호법제의 해석과 적용상의 방향성을 명확히 하고 있다. 반면, EU는 최근 '개인정보 보호규칙'을 제정했고 일본은 '개인정보 보호법'을 개정해 ‘익명가공정보’라는 새로운 개념을 도입했다.

심 조사관은 두 가지 대응 방식 모두 장단점이 있다고 강조했다. 가이드라인을 통한 대응방식은 빠르게 변화하는 기술 상황을 시의적절하게 반영해 나갈 수 있지만 근거법령 해석상의 한계를 극복하는데 어려움이 발생할 가능성이 높다.

반면, 입법조치를 통한 대응방식은 기준 설정을 통해 관련 사안에 있어 예측 가능성을 높여 주지만 빠른 기술 변화에 대응하는데 한계가 있을 수 있다는 설명이다.

그는 "제도적 차원의 대응방식은 각국의 상황에 따라 다른 판단을 할 수 있지만, 향후 어떤 방식으로든 개인정보 보호법제에 비식별화나 익명화에 관한 사항이 포함되는 방향으로 입법이 불가피할 것"이라고 주장했다.

개인정보의 개념적 범위 해당 여부 판단 문제는 데이터 분석 기술과 데이터 유통의 증가에 따라 더욱 첨예하게 대립할 가능성이 높고, 법적 판단의 예측 가능성을 높이기 위해서라도 관련 규정에 대한 개선이 필요하다는 것이다.

국회 차원의 법률안 발의도 활발하다. 제19대 국회에는 비식별 조치에 관해 규정하고 있는 5개의 법률안이 발의됐고 20대 국회에서는 비식별화와 관련한 5개 법률안이 발의된 상태다.