내 사생활, 가족은 몰라도 구글은 안다?..'데이터 주권' 논란

지난해 11월 구글이 안드로이드폰 사용자들의 위치정보(교신 기지국 정보)를 무단으로 수집해왔다는 사실이 밝혀져 충격을 안겼다. 스마트폰이 통화할 수 있는 상태를 유지하려면 가까운 이동통신사 기지국과 신호를 주고받는데, 이 과정에서 사용된 교신기지국 정보가 무려 11개월간 구글 서버로 실시간 전송됐던 것. 전세계 스마트폰 이용자의 80%가 안드로이폰 사용자다. 구글은 안드로이드폰 품질 개선 차원에서 수집했을 뿐 다른 용도로 활용한 적이 없다고 해명했지만, 곧이 들리진 않는다. 구글이 무단 수집했던 정보는 빅데이터화 했을 때 구글 광고나 상업용 서비스에 상당히 유용했을 데이터다. 개별 사용자들의 동선을 실시간 파악할 수 있기 때문.

이처럼 민감한 데이터를 이용자 동의없이 무단 수집해왔다는 건 단순한 이용자 개개인의 개인정보 침해 문제를 넘어선다. 이는 빅데이터 시대 특정 국가의 주권 침해 문제가 될 수 있다는 지적이다.


인터넷을 통해 정보 교류의 국경이 없어지고 물리적 한계를 넘어 플랫폼을 공유하는 사회로 접어들고 있지만 동시에 자국 정보보안과 개인정보 보호, 국가 안보 등을 이유로 데이터를 현지화하는 데이터 로컬라이제이션(data localization) 움직임이 동시에 활발해지고 있다.

/그래픽=김다나 디자이너

◇데이터 그물망 ‘촘촘’ 美·英, 데이터산업 관심갖는 日·中=미국, 영국, 일본, 중국 정부는 데이터를 미래 자본으로 인식하고 이를 공유하고 활용하기 위한 인프라 투자에 나서고 있다. 미국에선 공공분야 데이터를 시민들이 자유롭게 내려받고 편집할 수 있는 사이트가 운영된다. 여기엔 각 부처에서 취합된 38만9000건에 달하는 데이터셋이 올라와 있다. 넓은 땅만큼 방대한 데이터를 효과적으로 관리하기 위해 미국이 택한 것은 권역별 관리방식. 2012년 미국 정부의 ‘빅데이터 연구개발(R&D) 계획’ 후속조치로 구축된 ‘빅데이터 지역 혁신 허브’(Big Data Regional Innovation Hub)는 데이터 수집부터 활용을 권역별로 관리한다. 서부에 의료, 중부에 농업, 북동부에 에너지, 남부에 제조 등 4곳으로 나눴다. 미국 정부는 같은 해 민간 영역 빅데이터 산업 활성화를 위한 ‘빅데이터 이니셔티브(Big Data Research and Development Initiative)’를 발표하며 공공과 민간 두 영역의 데이터 관리를 함께 챙기고 있다.

영국 정부는 2014년부터 ‘오픈 데이터 전략’을 통해 정부 산하에 흩어진 데이터들의 효율적 활용 방안을 추진해왔다. 오픈 데이터 전략은 2000년 제정된 정보공개법(Freedom of Information Act)에 따라 추진된 것으로, 행정부 산하 다양한 데이터 활용 전략들을 통합한 것이다. 영국, 북아일랜드, 스코틀랜드, 웨일즈에 총 4개의 행정 데이터 연구센터를 설치하고 영국 통계청과 협력해 데이터를 제공, 관리한다. 학계, 산업계, 지방정부 등의 데이터 활용 요구를 반영한 ‘UK 빅데이터 네트워크’도 운영 중이다.


중국은 2016년 빅데이터 산업발전 계획을 통해 2020년까지 빅데이터 관련 제품 및 서비스업 매출을 1조 위안까지 확대하겠다는 목표를 제시했다. 빅데이터 응용 기술 표준 및 통계 표준 제정 작업도 벌이고 있다. 일본은 ‘ICT 활성화 전략’의 5대 중점 전략 사항으로 ‘데이터 활성화 전략(Active Data)’을 포함시키고 세부과제를 추진 중이다.

◇‘데이터=국가주권’…로컬라이제이션 가속화=최근에는 자국민들의 데이터가 해외로 빠져나가는 것을 막는 이른바 ‘데이터 주권주의’ 움직임도 활발하다. 4차 산업혁명 시대에 빅데이터는 국가 경쟁력을 가르는 핵심 자원으로 꼽힌다. 빅데이터를 이루는 핵심 요소는 방대하게 수집되는 개인정보들이다. 사용자 위치, 동선정보, 도로, 기반시설 정보 등이 많을수록, 정교할수록 서비스에 유리하다. 반대로 이들 정보는 자칫 오용될 경우 특정 개인이나 국가에 치명적인 정보가 될 수 있다. 한순간 산업 주도권도 잃을 수 있다. EU(유럽연합), 중국 등지를 중심으로 데이터 주권주의가 확산되고 있는 이유다.

중국은 2016년 전국인민대표대회에서 채택된 네트워크안전법(中國網絡安全法)에 따라 인터넷 사업자가 중국에서 사업을 하면서 수집·창출된 중국 국민의 개인정보와 중요 데이터를 중국 현지에 있는 서버에 저장할 것을 규정에 의무화했다. 사업상 이유로 데이터를 해외로 옮겨야 할 경우 사이버보안관리 당국 및 중국 국무원이 마련한 보안평가를 거쳐야 한다.

유럽연합(EU)은 올해 5월부터 일반개인정보보호법(GDPR; General Data Protection Regulation)을 시행한다. GDPR 규정 위반 시 최대 2000만 유로(한화 약 268억원) 규모의 과징금이 부과되는데, EU 회원국은 물론 EU에 역내 사업장을 두거나 온라인 서비스로 재화나 서비스를 제공하는 모든 글로벌 기업들에 해당한다. 아울러 해외 서버로 건너간 자신의 정보가 침해될 경우 언제든 소송을 제기할 수 있다. 구글, 페이스북, 애플 등 미국 정보기술(IT)기업들에 의한 데이터 편중현상과 국가적 프라이버시 침해를 막기 위한 방책으로 검토되기 시작한 법률이다.

이외 러시아, 베트남, 인도네시아, 인도도 데이터 현지화 정책을 펴는 대표적 나라로 꼽힌다. 특히 러시아는 연방산업기술·수출관리국(FSTEC)에서 실질적인 정보 시스템 처리 업무를 관장하고 강력한 데이터 보호 정책을 편다. 개인정보를 러시아 외 나라에 보관하는 것 자체를 법으로 막고 있지 않지만, 러시아 국민의 개인정보는 현지에 설치된 데이터베이스(DB)로 관리되고 데이터센터의 소재도 당국에 신고해야 한다.

전세계에 걸쳐 데이터 가치 극대화를 위한 공유 주의와 자국민 개인정보 보호 강화 및 데이터 주권 주의가 정면 충돌하면서 공존하는 양상이다.

우리나라의 상황은 어떨까. ‘정부 3.0’ 정책을 필두로 데이터 공유 정책과 개인정보보호법, 정보통신망법 등에 따른 개인정보 보호 규정은 상당히 높은 수준인 것으로 평가받고 있다. 반면 데이터의 국외 이전 문제에 대해서는 명확한 규정이 없다. 형식적 동의를 받는데 그치거나 해외 서버의 개인정보 침해사고 발생 시 뚜렷한 구제수단도 없다. 자국민 데이터에 대한 통제권이 없다는 건 주권을 스스로 포기하는 것과 다를 바 없는 만큼, 이에 대한 사회적 논의와 법제화가 필요하다는 것이 전문가들의 지적이다.

박훤일 경희대학교 법학전문대학원 교수는 네이버에서 발간한 프라이버시 백서를 통해 “데이터 현지화는 원활한 정보의 국제유통을 저해하기 때문에 바람직하지 않다는 주장은 피상적으로 들릴 수 있다”며 “시대적 조류에 맞게 국내 IT산업을 보호하고 경제적 실리를 취하는 자세가 필요하다”고 말했다.