4차산업, 데이터경제, 빅데이터, 인공지능(AI), 데이터거래 등 데이터에 기반해 우리 경제의 동력을 다시 찾아보려는 노력이 다양한 측면에서 진행 중이다. 이른바 정보집합물(데이터셋ㆍdataset)의 결합은 새로운 서비스와 상품의 창출 및 서비스 품질 개선의 주된 수단이면서도 프라이버시 침해의 위험을 가중시킨다는 점에서 데이터3법 개정 과정에서 많은 논란을 야기했다.

데이터셋의 결합은 서로 다른 개인정보처리자에 의해서 각각 관리되고 있는 데이터를 추가정보 없이는 개인을 알아볼 수 없도록 가명처리 후, 가명 상태에서 데이터를 결합해 새로운 데이터셋을 생성하는 것이다. 물론 재식별을 방지하기 위한 일정한 안전장치를 강구해야 한다.

프라이버시 보호를 중요시하는 입장에서는 데이터 분석 직원이 독자적으로 가진 배경지식 또는 다른 공개된 정보를 조사해서 뜻하지 않게 해당 데이터의 정보 주체가 누구인지 알아본다는 재식별 시나리오를 이야기 한다. 실제 연구논문에서 그러한 재식별이 가능하다는 사례가 언급되는 만큼 프라이버시의 침해 위험이 크게 증대될 수 있다는 우려다. 반면 AI를 통한 대규모 데이터분석, 수천만의 데이터셋 간의 결합을 통해 새로운 서비스 개발을 고민하고 있는 사업자 측에서는 이러한 아날로그적 재식별 가능 시나리오가 현실성이 떨어질 뿐만 아니라 그로 인해 데이터 산업이 위축되지 않을까 걱정하고 있는 것으로 보인다. 프라이버시 보호론자나 데이터 활용론자 사이의 끝나지 않는 논쟁은 이처럼 서로 다른 시나리오를 상정함에 따라 시작되는 것 같다.

그 타협점으로 나온 개정 개인정보보호법, 신용정보법의 데이터 결합제도는 오랜 시간 다양한 이익집단과 전문가들이 어려운 논의와 타협 끝에 가명처리를 통한 결합으로 방향을 잡고 현재의 모습으로 진행되어 왔다. 하지만 전 세계에 유례가 없는 독특한 결합체계를 선택함에 따라 많은 불확실성을 떠안은 채 그 시행을 앞두고 있다.

가명처리와 관련해 가장 많이 참고하는 외국의 법제는 유럽연합(EU)의 개인정보보호규정(GDPR)인 점을 부인할 수 없다. 다만 GDPR의 경우 기본적으로 위험기반 접근법(risk-based approach)을 취하고 있는 반면, 우리의 법제는 규정기반 접근법(rule-based approach)을 취하고 있다. 즉 어느 개인정보처리 행위가 프라이버시에 실질적으로 어떠한 위험을 주는 지를 고려해 위험의 정도에 따라 그에 상응한 적절한 규율과 보완책을 마련하도록 요구하는 접근법과 실질적 위험성 여부나 정도보다는 법에 명확히 규정된 사항의 준수 여부를 중시하는 접근법의 차이인 것이다.

나아가 개정법은 GDPR처럼 가명처리(pseudomynisation)를 암호화와 함께 개인정보처리에 있어 고려될 수 있는 안전성 확보 조치의 한 유형으로 보지 않고, 정보주체로부터의 동의획득 의무를 면제받기 위한 요건으로 접근했다. 때문에 GDPR에서는 가명처리 자체의 완결성 여부보다는 다른 안전성 확보 조치와 전체적으로 고려해 적절한 안전조치가 취해졌는지를 판단한다. 반면 우리 법제는 동의 면제의 전제요건으로서의 가명처리를 바라보기 때문에, 가명처리의 적정성 여부는 동의 없는 가명정보의 이용ㆍ제공의 허용 여부의 문제로 그 본질이 달라진다. 부적절한 가명처리의 결과는 형사책임까지 초래할 수 있기 때문에 그 적정성 여부판단에 따른 보완적 안전조치나 실질적 위험 여부, 기타 제반 요소를 고려하기 어려운 구조가 된 것이다.

수많은 개인정보처리 유형 중 유독 데이터셋의 결합에 한해 정부에서 지정한 전문기관에서만 할 수 있다는 독특한 규율체계를 선택함에 따라 형식과 요건, 절차에만 얽매이게 되는 융통성 없는 실무가 형성되지 않을까 하는 걱정도 앞선다. 기왕에 어렵게 도입된 데이터 결합제도인 만큼 최소한 실무에서만이라도 더욱 융통성 있는 접근법이 허용되었으면 하는 바람이다.

박광배 법무법인 광장 변호사