[데이터경제에 길을 묻다] "IT강국에서 AI강국 도약의 첫발"(인터뷰)

이성엽 한국데이터법정책학회장 "데이터3법 정착이 데이터 강국 판가름"

[아시아경제 김흥순 기자] "우리나라가 1990년대 정보화와 IT 강국을 추구하면서 IT 인프라와 게임, 대중문화 등 콘텐츠 비즈니스, 포털 산업이 비약적으로 발전했다. 이제는 인공지능(AI)과 데이터가 핵심이다. 과연 AI와 데이터 강국으로도 다시 도약할 수 있을까. 이를 판가름할 첫발을 내딛는 순간이다."

이성엽 고려대 기술경영전문대학원 교수(사진)는 최근 아시아경제와의 인터뷰에서 오는 8월5일 시행을 앞둔 데이터3법(개인정보보호법·정보통신망법·신용정보법)에 대해 이렇게 의미를 부여했다. 데이터가 생산과 마케팅 자원으로서 중요한 가치를 지니는 '데이터 경제' 시대가 도래하면서 우리나라도 사생활 침해에 대한 우려나 보안에만 무게를 뒀던 기존 관점에서 벗어나 데이터 자산을 적극 활용해야 한다는 취지다. 그는 정보보호를 앞세운 규제에 갇혀 우리가 경쟁국인 일본보다도 데이터 활용에 뒤처진 점을 안타까워했다. 그러면서 "사고 위험을 우려해 자동차 이용의 효용성까지 막아서는 안 된다"고 비유하며 "데이터의 안전한 '활용'을 목표로 삼아야 한다"고 강조했다.

이 교수는 데이터의 활용과 보호를 위한 법, 경제, 경영 이론을 연구하고 올바른 데이터 생태계 조성에 일조한다는 목표로 올해 1월 창립한 한국데이터법정책학회 회장을 맡았다. 법조인, 경제, 경영, 미디어, 공학 관련 전문가 등 100여명이 활동하고 있다. 그가 전망하는 데이터 경제 시대의 모습과 개정안 시행을 앞두고 보완해야 할 내용을 짚어봤다.

"사고 우려해 자동차 이용 막아선 안되는 것처럼 데이터도 안전한 '활용' 목표해야"
"프라이버시 침해는 강력한 규제로 대처"

-데이터3법 시행이 불러올 변화는 무엇인가.

▲우선 개인 식별 정보를 가명처리하면 동의 없이도 쓸 수 있는 것이 가장 큰 변화다. 둘째는 원래 수집 목적과 다르면 동의를 받아야 했는데 합리적 관련이 있는 범위 내에서는 동의 없이 개인정보를 사용할 수 있다. 서로 다른 기관이 보유한 데이터의 결합도 가능해졌다. 각 기업들이 가진 빅데이터를 분석해서 고객에게 맞춤형 서비스를 할 수 있다는 점에서 큰 진전이다.

기업 입장에서는 타깃형 마케팅이 가능하다. 모든 비즈니스는 구매를 유도하는 것인데 특정인의 관심사를 파악해 적합한 서비스를 제공한다면 효과가 클 것이다. 가령 어떤 회사가 웨어러블 기기를 통해 개인의 맥박이나 운동량, 수면시간 등을 수집한 뒤 성별, 연령, 체중 등 정보를 가명처리해서 적절한 운동 프로그램을 제안하는 게 가능하다. 가명처리를 전제로 건강검진 기록, 유전자 정보를 취합해 어떤 질병에 취약한지 분석하고 예방을 위한 안내도 할 수 있다.

-우리나라의 데이터 활용이 미국, 유럽, 일본 등 해외 주요국에 비해 더딘 이유는.

▲미국은 별도의 법적 제한 없이 개인정보를 활용하는 비즈니스를 발전시키면서 동의가 필요한 경우 포괄동의, 사후동의 등을 탄력적으로 운용한다. 추후 소비자 피해가 발생하면 손해배상을 청구하거나 고의적으로 반사회적 행위를 하면 형사 처벌하는 식으로 대처한다. 유럽연합(EU)은 2018년 5월부터 공공과 민간, 온라인과 오프라인을 통합하는 개인정보보호규정(GDPR)을 시행하고 있다. 유럽 전체를 단일 시장으로 묶어서 데이터 이동을 자유롭게 하겠다는 목표로 개인정보의 보호와 활용을 꾀하고 있다.

IT분야에서 우리보다 한참 떨어진다고 평가받던 일본도 '잃어버린 20년'을 만회하고 데이터 활용을 강화하기 위해 관련 규제를 많이 풀었다. 2016년 1월 개인정보보호위원회를 만들고 익명가공정보를 발빠르게 도입했다. 우리는 IT산업에서 일본에 앞섰지만 데이터 활용 비즈니스는 프라이버시를 강조하는 규제 문제 때문에 한 발도 못 나갔다. 그래서 빅데이터 분석도 안 되고, AI도 안 되는 것이다.

-관련업계와 학계 등은 여전히 데이터 경제가 기대만큼 활성화되기 어렵다고 지적하는데.

▲데이터3법의 취지가 시행령을 통해 제대로 구현되지 않아서다. 개인정보보호법의 경우 개정안은 데이터 활용에 무게를 두고 있지만 하위 법령에서는 '보호'를 강조하는 시민단체 의견을 반영하는 등 상충되는 내용이 담겨 있다. 데이터의 활용범위, 이용방식, 제약사항 등을 담은 가이드라인이 나오겠지만 과거에도 가이드라인을 준수하다가 시민단체 고발에 직면한 일부 기업의 사례가 있었다. 정부 가이드라인은 법적으로 면책 사유가 아니라 기업 입장에서는 분쟁을 우려해 위축될 수밖에 없다.

-대안을 제시한다면.

▲기업이 필요로하는 만큼 가이드라인을 명확하게 만들고 이를 준수할 경우 법적 위험이 없다는 점을 각인시켜야 한다. 시행 이후 6개월에서 1년간은 관련법 집행을 보류하는 '유예기간(grace period)'을 설정했으면 한다. 법과 시행령, 가이드라인으로도 판단이 애매한 사안이 발생할 경우에 대비해 정부가 유권해석 기능을 보유하는 방법도 고려해볼 수 있겠다.

-가명정보를 활용하거나 처리·결합하는 과정에서 개인정보 유출에 대한 우려도 상존하는데.

▲개인정보보호법 개정안에 따르면 특정 개인을 알아내기 위한 목적으로 정보를 처리할 경우 기업 전체 매출액의 3%를 과징금으로 부과할 수 있다. 가명정보를 처리하면서 분실·유출 등을 방지하기 위한 안전 조치를 확보하지 않거나 기록·보관 의무를 소홀히 할 경우 형사처벌도 가능하다. 이는 다른 나라와 비교했을 때 강력한 규제다. 프라이버시 침해 위험은 이를 통해 대처하면 된다. 사고 위험이 있다고 효용성까지 막아서는 안 된다.

-정치권에서는 최근 '데이터청' 설립을 주장하고 있는데.

▲이미 금융데이터(금융위원회), 보건·의료데이터(보건복지부) 교통·물류데이터(국토교통부) 등 여러 부처에서 소관 분야의 데이터 활용 업무를 수행하고 있다. 이를 특정 부처 소속의 청으로 두는 것은 비효율적이다. 소관 분야 데이터와 분리된 금융정책, 보건·의료정책, 교통정책의 수행은 불가능하기 때문이다.

다만 민간·공공을 포함한 부처 공통의 데이터 활용 기반 조성을 위해 과학기술정보통신부 산하에 데이터청을 두는 방안은 있다. 일단 8월 정부부처로 승격될 개인정보보호위원회에서 데이터 보호와 활용에 관한 종합적 정책업무를 수행할 예정이다. 기존 과기정통부의 데이터 활용 기반 조성, 행안부의 공공데이터 활용 업무와 위원회의 협력 성과를 지켜본 뒤 데이터청 등 거버넌스 논의는 시간을 두고 고민할 필요가 있다.