‘악마는 디테일에 있다’ 데이터3법 통과 이후 논의점은..

빅데이터를 활용하는 스타트업의 숙원인 데이터 3법이 올해 1월 국회 본회의 문턱을 넘었다. 개인정보보호법, 신용정보법, 정보통신망법 개정안을 통칭하는 데이터3법은 2월 4일 공포 후 6개월 후인 8월 5일 본격 시행된다. 4차산업의 ‘원유’ 데이터를 활용할 수 있는 길이 열리면서 데이터 산업 발전에 대한 기대가 높지만 우려의 목소리도 있다. 새로 규정된 ‘가명정보’ 처리 방안과 이를 실제 산업에 적용하기 위한 기준이 마련되지 않은 까닭이다.

개인정보보호법학회, 스타트업 얼라이언스, 체감규제포럼이 주최한 ‘데이터 3법의 개정과 향후 입법과제 모색’ 세미나가 18일 프레스센터에서 열렸다. 김민호 성균관대 법학전문대학원 교수는 “데이터 3법은 마련됐지만 아직 법 적용과 해석 사례가 만들어지지 않은 상태에서 실제 현장을 비롯해 스타트업이 당장 무엇을 어떻게 해야할 지 큰 의문을 갖고 있을 것”이라며 데이터 3법에 대한 논의를 시작했다.

데이터 3법과 관련, 관심이 모아진 건 가명정보 처리 기준과 활용 범위다. 새로 마련된 개인정보법 개정안은 ‘가명정보’에 대해 가명처리를 통해 원래의 상태로 복원하기 위한 추가 정보 사용, 결합 없이 특정 개인을 알아볼 수 없는 정보로 규정하고 있다. 여기서 말하는 가명처리는 개인정보 일부를 삭제하거나 일부 또는 대체 하는 등의 방법으로 추가 정보 없이 특정 개인을 알아 볼 수 없도록 처리하는 것을 뜻한다.

구태언 테크엔로 변호사는 “가명정보는 추가정보 없이는 특정 개인을 알아볼 수 없는 정보”라며 “가명처리에 있어서 추가정보란 특정 개인을 식별할 수 있는 정보로 식별자, 속성자 모두 될 수 있고 그 정보를 분리하면 나머지 정보가 의미하는 사람 횟수가 1이 되는 것”이라고 설명했다. 예를 들어 ‘대한민국 19대 대통령’이라고 하면 1명이나 속성자인 ‘19대’를 빼면 전/현직 대통령으로 12명이 되므로, ‘식별자’의 유무에 따라 가명정보인지를 판단할 것이 아니라 맥락에 따라 판단해야 한다고 주장했다.

구 변호사는 “산업별 가이드라인을 만들어서 경우의 수 2이상이 되는 예시를 만들어 놓으면 국민들이 이를 이용하고 가명처리를 판단할 수 있을 것”이라며 “모호한 경우 빠른 유권해석을 통해 가명처리 실제 예를 만들어나가는 것이 중요하다”고 덧붙였다. 고환경 법무법인 광장 변호사는 “가명처리의 방법과 수준은 자칫 가명처리에 대한 규제로 작용할 수 있으므로 하위법령 마련에 있어서 각 분야 전문가들로부터의 광범위한 의견수렴을 거치는 것이 필요하다”고 의견을 냈다.

가명정보에 대해서는 사용 목적을 좁게 제한할 필요가 없다는 데 의견이 모아졌다. 개인정보처리자가 특히 정보 주체 동의 없이 ‘통계작성, 과학적 연구, 공익적 기록 보존 등을 위해 가명정보를 처리할 수 있다’는 조항(28조의2)에 대해서는 참석자 대부분이 상업적, 산업적 목적으로 사용하는 것도 가능하다고 봤다.

이인호 중앙대 법학전문대학원 교수는 “정부 또한 ‘통계작성’에는 시장조사 등 상업적 목적의 통계작성을 포함하고 ‘과학적 연구’에는 기업의 기술 제품 서비스의 개발 등 산업적 목적의 연구가 포함되는 것으로 보고 있다”며 “입법 취지 자체가 가명정보를 산업적, 상업적 목적으로 활용할 수 있도록 허용한 것”이라고 설명했다. 이 교수는 또 “유럽 GDPR과 일본 개인정보법의 경우 가명정보 활용 목적을 제한하지 않고 정보 결합에 대해 제한하고 있다”며 가명정보 활용 목적과 범위를 제한하는 건 오히려 정보 활용을 좁히는 결과를 낳을 수 있다“고 덧붙였다.

구태언 테크엔로 변호사는 “의료정보를 상업적 목적으로 판매해 임상에 적용하기 어려운 것으로 해석한다면 ‘온실 속의 과학’ ‘인류 삶의 발전에 기여할 수 없는 식물과학’을 위해서만 가명정보가 활용될 것”이라며 “과학적 연구를 좁게 해석하면 안된다”고 밝혔다. 황창근 홍익대 법학과 교수 또한 “개정법이 규정한 과학적 연구의 정의와 가명정보 개념을 신설한 개정법의 입법 취지를 종합하면 산업적 활용을 위한 산업적 연구 및 상업적 통계 작성이 포함되는 것으로 보는 것이 타당하다”고 의견을 보탰다.

최장혁 행정안전부 전자정부국장은”우여곡절 끝에 개인정보법 개정안이 통과됐지만 보호와 활용 양 극단의 가치를 조화하려다보니 해석의 여지를 남기기 위해 입법이 추상적으로 규정돼 있다”며 “시행령 준비과정에서 다양한 전문가, 산업계, 시민단체 의견을 최대한 수렴해서 입법과정에서 아쉬웠던 부분을 고시 해설서 등으로 보완해나갈 것”이라고 전했다.

이기대 스타트업얼라이언스 이사는 “데이터 3법 통과는 스타트업에 좋은 기회가 될 것”이라며 “마이데이터를 통해 건강정보와 금융 정보를 결합한 맞춤형 보험 서비스는 물론 의료 등 다양한 서비스가 더 나올 것”이라고 봤다. 하지만 문제는 ‘불확실성’이다. 스타트업은 사업 아이디어화부터 서비스 구현, 투자 유치까지 모든 것이 불확실한 상황에 놓여있다.

이 이사는 “창업자를 가장 힘들게 하는 불확실성을 해소한다는 점에서 데이터3법 해석 범위를 명확히 하는 건 의미가 있다”며 “악마는 디테일에 있다’는 말처럼 모법이 통과됐다고 해도 하위 규정과 실제 운영 뜻이 변질되지 않도록 다 같이 노력해야 한다”고 당부했다.