비식별화, 주기적인 검토와 수정 필요한 일종의 프로세스

[보안뉴스= 김상천 법률사무소 연암 변호사] 얼마 전 만난 광고업계 사람으로부터 자기에게 인터넷 쇼핑몰의 수년간 로그 기록이 있는데, 이를 어떻게 사용해야 할지 고민이라는 말을 들었다.



수영복 구매에 관심 있는 사람들은 여름휴가와 관련된 물건이나 서비스를 구매할 확률이 높고, 이런 사람들에게 여름휴가와 관련된 광고를 하는 것은 매우 효과적일 것이다. 온라인 사용자들은 여행을 위해 호텔을 검색하다가 잠시 다른 일을 볼 때, 검색한 호텔 광고가 방문하는 웹사이트 곳곳에서 나타나는 경험을 한번씩 겪었을 것이다.

현재 광고시장은 TV, 신문 등 전통적인 오프라인 매체에서 PC, 그리고 다시 휴대전화, 태블릿 등 모바일 기기로 확대돼 가고 있다. 특히, 사용자의 행위를 분석해 관심사가 무엇인지 파악하고 이에 맞추어 광고를 제공하는 온라인 행동기반 맞춤형 광고로 진화함에 따라 구매행태를 예측해 사용자에게 정확하고 유효한 광고를 제공하는 기술이 중요해졌다. 따라서 광고(ad)와 기술(tech)의 합성어인 애드테크가 광고계의 화두로 등장하게 된 것이다.

하지만 광고업체들이 이러한 맞춤형 광고를 위해 사용자의 행위 정보를 수집 및 활용할 때는 필연적으로 개인정보 침해 가능성이 문제된다. 위에서 언급한 광고업계 종사자분도 로그 기록의 활용방안을 고려할 때 개인정보보호법이나 정보통신망법에서 요구하는 동의절차 등이 고민될 것이 분명하다.

그런데 이런 광고 분야뿐만 아니라 빅데이터나 IoT 관련된 논의가 있는 곳에 가 보면 결론이 상당히 비슷하다. 우리나라의 개인정보에 관한 규제가 너무 심해 사업을 못해 먹겠다는 것이다. 개인정보라는 개념의 범위도 너무 넓고, 불필요한 형사처벌 규정도 많으며, 행정기관의 규제도 불필요하게 강하다는 것이다. 이로 인해 글로벌 회사와의 경쟁에서 불리하고, 스타트업들이 사업을 시작하는 데 진입장벽이 되기도 한다는 것. 모두 어느 정도 근거도 있고 새겨들어볼 만한 의견들이다.

그러나 이런 일부 업계나 학계의 비판에도 불구하고, 개인정보 관련 규제는 좀처럼 풀어지지 않고 있다. 최근 개정돼 시행되는 개인정보보호법을 보면 제3자로부터 취득한 개인정보에 대해서 정보주체에게 그 출처를 고지하도록 하는 등 어느 면에서는 규제가 더 심해지는 양상을 보이기도 한다. 지금 산업계나 기술 발전 경향을 보면, 여기저기에서 쏟아지는 막대한 양의 정보를 처리하지 못하면 기업이 도태될 수밖에 없다. 규제는 강한데 대량의 정보를 다룰 필요성은 높아져 가고만 있는 것이다.

결국 빅데이터와 같은 정보를 활용하면서도 정보주체의 개인정보자기결정권과 같은 기본권을 침해하지 않는 방법이 필요하다. 그렇다면 앞으로 개인정보 관련 논의의 중심에는 비식별화나 익명화가 있을 수밖에 없다. 비식별화는 해당 정보만으로는 특정 개인을 식별할 수 없게 만드는 것을 의미한다. 만약 개인이 특정될 수 없다면 그러한 정보의 유통이나 처리를 규제할 필요성은 현저히 적어지게 될 것이다. 이런 비식별화 정보를 어떻게 규율하게 될지에 대해서는 현재 많은 논의가 진행되고 있고, 이와 관련해 빅데이터 처리에 관한 법률도 곧 제정될 것으로 보인다.

비식별화와 관련해 많은 기술적·법적 문제가 있지만, 그중에서 가장 문제가 되는 것은 아마도 재식별화 문제일 것이다. 어떤 사람인지 특정할 수 없는 정보도 그 양과 종류가 늘어나면 정보 주체가 식별되는 경우가 생기게 되기 때문이다. 비식별화가 어려운 것은 이렇게 재식별화 가능을 쉽게 배제할 수 없고, 재식별화돼 개인정보로 취급되면, 여러 법에 의해 규제의 대상이 되기 때문이다.

2010년 콜로라도 대학의 폴 옴 교수는 비식별화된 정보들이 어떻게 재식별화 될 수 있는지 사례를 들어 설명했다. 구체적으로 살펴보면, 매사추세츠주의 단체보험위원회가 공개한 ‘이름, 주소, 사회보장번호 등’을 제거한 주정부 소속 공무원의 무료 병원 출입기록 데이터와 ‘이름, 성별, 생년월일, 우편주소’가 포함된 판매용 투표명부를 결합해 메사추세츠 주시사인 ‘윌리엄 웰드(William Weld)’의 의료정보는 물론 거주지와 우편번호를 알아내는 식이다.

이런 사례를 보면 비식별화가 일회성 작업이 아닌 주기적인 검토와 수정이 필요한 일종의 프로세스로 이루어져야 한다는 결론에 이른다. 즉, 데이터의 양과 종류가 변화함에 따라 추가적인 비식별화 작업이 필요할 수 있다는 것이다. 그렇지 않으면 폴 옴 교수가 말하듯이 비식별화가 사람들로 하여금 개인정보가 보호되고 있다고 안심하게 하는 일종의 착시효과를 일의키는 도구(Theater)로 전락할 가능성이 크기 때문이다.

실제로 기업들이 개인정보를 비식별화했다고 하는 사례들을 보면, 매우 조악한 방법이 사용된 경우도 있고, 암호화 방법을 잘못 사용해 쉽게 재식별화되는 경우도 많다. 특히 2015년 개인정보범죄 정부합동수사단이 수사한 ‘다국적 의료정보 가공 업체가 국내 병원, 약국의 처방 정보를 수집, 처리한 사건’에서는 해당 정보가 비식별화돼 있었는지가 중요 쟁점이 됐고, 지금도 재판 과정에서 이에 대한 다툼이 진행 중이다.


그런데 이렇게 비식별화가 중요한 문제임에도 이와 관련한 여러 쟁점에 대해서는 아직 명확하게 정리되지 않은 것이 현실이다. 어느 정도 비식별화해야 하는지에 대한 기준도 정립돼 있지 않다. 2011년에 서울중앙지방법원에서 다른 회사가 관리하는 정보라도 제3자가 획득할 가능성이 있다면 이러한 정보까지 결합해 개인이 특정될 수 있다고 보아야 한다는 취지로 판시한 사례가 있다. 그러나 대법원의 판단은 받아보지 못했고, 법원이 개인정보의 개념을 너무 넓게 보고 있다는 비판적인 견해도 많다.

비단 비식별화 정도의 문제뿐만 아니라 개인정보를 비식별화 할 수 있는 사람은 누구이고, 그 방법은 어떠한지 등에 대해서도 아직 해결되지 못한 문제들이 산재해 있다. 앞서 말한 쇼핑몰의 로그 기록도 그 자체로 또는 다른 정보들과 결합하면 개인을 식별할 수 있을 가능성이 있고, 이를 사용하기 전에 비식별화, 재식별화 가능성에 대한 검토가 필요하다. 누가, 어떻게, 어느 정도로 이 로그 기록들을 비식별화해야 할까? 이제 개인정보 분야에 종사하는 사람들이 답을 주어야 할 때다.
[글_ 김상천 법률사무소 연암 변호사(technekim@gmail.com]

필자 소개_ 김상천 한국정보보호학회 이사는 과거 국가보안기술연구소 연구원, 제주지방검찰청 검사, 서울중앙지방검찰청 검사, 개인정보범죄 정부합동수사단 검사를 역임한 바 있다. 현재는 법률사무소 연암 소속 변호사/변리사로 방송통신위원회 법령 자문위원, 한국인터넷진흥원(KISA) 자문위원으로 활발한 활동을 이어가고 있다.

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>