안전장치 없는 빅데이터 활성화는 개인정보 ‘재앙’ 초래

‘재식별화’ 위험 현실화되면 프라이버시 설 자리 잃어

금융위원회가 6월 3일 ‘빅데이터 활성화’ 방안을 발표했다. 핀테크 산업을 육성하기 위한 핵심전략으로 다뤄왔던 빅데이터 활성화 방안을 구체화한 것이다. 구체적으로 신용정보법을 그대로 둔 채, 시행령을 개정해서 소위 ‘비식별’ 정보를 신용정보법에서 보호하는 신용정보의 범위에서 제외시키겠다는 것이다. 그러나 이런 방식으로 빅데이터 활용의 제약조건을 해소하겠다는 금융위 안이 시행될 경우 개인의 사생활 보호라는 헌법적 권리가 ‘재앙’ 수준의 침해를 받을 것이다. 비식별화된 빅데이터를 결합해서 개인을 재식별할 수 있는 기술의 발전이 이미 광범위하게 진행된 개인 및 신용정보의 불법 유통 현실과 결합할 경우, 귀중한 개인정보들이 기업의 이윤추구와 권력의 통제 목적에 무방비로 노출될 것이 자명하기 때문이다. 참여연대 경제금융센터(부소장 김성진 변호사)는 금융위의 이번 활성화 방안은 원점에서 전면 재검토되어야 한다는 것을 강조한다.  
  
금융위 안은 정보기술의 발전에 따라 개인정보 보호 규제를 새롭게 정비하려는 국내외의 규제 추세에 정면으로 반하는 것이다. 개인정보 보호와 관련한 새로운 규제 추세는 빅데이터 환경에서 소위 ‘재식별화’의 위험에 어떻게 대처하느냐를 쟁점으로 삼고 있다. 단지 개별적으로 비식별화된 신용정보의 활용이므로 문제가 없다는 접근은 빅데이터의 결합을 통해 내재한 개인 정보를 추출할 수 있는 현대 정보기술의 능력을 도외시하는 만용에 가깝다. 더구나 이미 ‘식별화된’ 방대한 개인정보가 불법으로 유통․보관되고 있는 우리 현실까지 감안하면 더욱 그렇다. 금융위 안은 또한 개인정보 보호와 관련한 현행 법체계와 규범을 무력화시킬 가능성이 크다. 

참여연대는 금융위가 어제 발표한 빅데이터 활성화 방안을 백지화 수준에서 재검토할 것을 강력히 촉구한다. 끝. 

▣ 별첨자료 
1. 금융위 ‘빅데이터 활성화 방안’의 문제점

금융위 ‘빅데이터 활성화 방안’의 문제점

 

1. 국내외 개인정보 활용 규제 추세에 정면 역행

 

1) 빅데이터 환경에서 해외의 개인정보 활용 규제 추세

• 빅데이터(Big Data)란 고도화된 정보통신기술과 인터넷기술의 발달로 개인정보를 디지털화하고, 다양한 스마트기기와의 융합을 통해 막대한 양의 개인정보가 생성될 수 있는 환경이 조성됨으로써 생겨난 새로운 정보 개념으로, 기존의 정보 분석도구 및 관리체계로 감당할 수 없을 정도의 엄청난 양의 개인정보가 생성되고 이러한 정보들로부터 새로운 가치를 추출하고 결과를 분석하는 기술을 일컬음.
• 금융위는 해외의 모든 업권에서 빅데이터가 다양하게 활용되고 있지만 우리나라는 규제와 지원 법령의 미비로 그렇지 못한 것으로 소개
• 금융위가 소개하는 개별 사례들의 진위는 확인하기 어려우나 금융위의 일방적 홍보와 달리 미국, EU 등 해외에서는 빅데이터 환경에서 개인정보 보호와 관련한 새로운 규제 움직임이 가시화
• 하버드대 스위니(Latanya Sweeney) 교수는 미국 의료산업에서 개인 데이터가 식별화 또는 비식별화된 상태에서 방대한 경로로 전파되고 있으며 이들 유통의 상당 부분이 규제되지 않고 있음을 지적 (<자료1> 참조)

 

 <자료1> 하버드대학교의 스위니 교수가 제시한 빅데이터 유통의 예시

   출처: http://www.thedatamap.org/

 

• 이 연구자료는 현대 사회에서 빅데이터가 개인정보 보호와 관련한 새로운 도전을 제기하는 점을 잘 보고 있음. 즉 △정보주체의 동의 없이 너무 많은 개인정보가 수집될 수 있으며(ex, CCTV, 교통카드 등), △정보제공 동의 이후 그 이용에 직접 동의하지 않은 수많은 개인정보가 파생적으로 수집되는 문제를 보여줌.
• 미국의 경우 2014.5. 오마바 대통령에 제출한 두 개의 보고서(『빅데이터: 기회의 활용과 가치의 보존(Big Data: Seizing Opportunities and Preserving Values)』, 『빅데이터와 사생활보호: 기술적 관점(Big Data and Privacy: A Technological Perspective)』를 통해 △정보의 수집과정을 규제하는 데서 정보의 활용 그 자체를 규제하는 것으로 규제 체계를 전환하고 △‘특정한 기술의 활용’ 을 장려하는 대신 빅데이터 정보를 활용하는 회사들이 규제자가 ’의도하는 결과(intended outcome)’를 달성할 것을 요구해야 하며 △사생활 보호 관련 기술의 개발에 대한 투자를 대폭 확대하고 △정보주체에 대한 통지와 동의(notice and consent) 에 의존하는 기존의 규제 체계 대신, 정보가 사용되는 맥락(context)에 대한 유지 책임을 빅데이터 활용자에게 부과하는 내용의 개인정보 보호 기본방향을 제안하고 있음

2) 방송통신위원회의 ‘빅데이터 개인정보보호 가이드라인’

• 2014.12.23. 방송통신위원회 발표 ‘빅데이터 개인정보보호 가이드라인’은 바로 이러한 세계적 추세를 반영한 결과
• 방통위는 빅데이터 처리와 관련 현행 개인정보보호 관련 법령 적용 방안에 대해 구체적으로 설명하는 지침서를 마련하기 위해 총 4차례의 공개 토론회를 바탕으로 의견을 수렴
• 가이드라인의 핵심은 빅데이터 처리 과정에서 ‘재식별화(re-identification)’ 위험을 제거한 전제조건 하에서 빅데이터 활용을 명시한 것임
• 주요 내용은 △정보 수집 단계에서부터 비식별화 조치 △개인정보 재식별시 즉시 파기 및 비식별화 조치 △민감정보 등의 수집․이용․저장․조합․분석 등의 처리 금지 △수집 정보의 저장․관리시 ‘기술적․관리적 보호조치’ 시행 등임

 

   <자료2> 방통위 개인정보보호 가이드라인. 2014.12.23

2. ‘재식별화’ 위험

 

• 재식별화(re-identification)란 비식별화(de-identification)된 정보가 분석과 조합을 통해 식별화되는 과정 및 그 정보를 일컬음
• <자료1>에서 보는 바와 같이 개인정보가 개인의 동의 없이 광범위한 경로를 통해 유통되고, 일부 식별화된 정보가 비식별 정보와 융합될 경우 비식별된 정보를 식별화할 수 있는 기술 수단과 방법이 첨단화된 상황에서 단순히 비식별화만으로는 프라이버시 보호가 불가능한 상황
• 재식별화 위험을 연구한 대표적 연구 사례로는 인간의 유전자 염기서열에 관한 연구결과가 미국 선거관리위원회의 유권자 정보와 결합될 경우 관련 실험 대상자의 신원이 정확하게 드러남을 보여준 미국 하버드 대학의 스위니 교수 연구팀의 연구결과를 들 수 있음(Sweeney, et al., “Identifying Participants in the Personal Genome Project by Name,” Harvard University Data Privacy Lab. White Paper 1021‐1, April 24, 2013. http://dataprivacylab.org/projects/pgp/)

• 스위니 교수 연구팀은 미국 인간 유전자 정보 웹페이지에서 내려 받은 579개의 비식별화된 개인 자료속에 포함된 우편번호, 생년월일, 성별 등 3개 정보를 미국 선관위의 유권자 정보와 대조하여 이중 130개의 개인 자료에 대해 신원을 확인하는 데 성공. 이를 원본 정보와 대조한 결과 이중 121개의 자료가 정확한 신원인 것으로 확인되어 93%의 적중률로 복원 (<자료3> 참조)

   

 <자료3> 우편번호, 생년월일, 성별 자료를 이용한 개인정보 복원 사례

  출처: 스위니(2013) p.3 <그림 1>

       • 이번 금융위 발표는 이러한 재식별화 위험성에 대한 아무런 대책을 담고 있지 않음.

3. 개인정보 불법유통의 현실  
 
• 우리나라의 경우 빅데이터가 설사 비식별화된 상태라 할지라도 광범위하게 유통될 경우 이러한 재식별화의 위험이 월등히 높은 상황
• 2013년 말에 발생한 ‘카드3사’의 대량 개인신용정보 누출사건은 성명, 주민번호, 자택주소, 휴대전화번호 등 최대 19개 항목의 개인정보가 유출, 유통된 사건이어서 이미 ‘식별화된’ 개인신용정보가 광범위에게 불법 유통되고 보관되고 있는 현실을 보여줌. 
• 방대한 분량의 한국인의 개인신용정보가 금융사기 목적으로 중국에서 헐값으로 유통되고 있음
• 또한 금융위는 개인질병정보를 신용정보로 해석하여 개인정보보호법 상 수집이 금지된 민감정보를 생명보험협회가 수집․관리할 수 있도록 승인할 정도로 금융감독당국의 개인정보 보호 의지가 일천한 상황
• 이미 ‘식별화된’ 광범위한 개인정보가 불법 유통․보관되고 있는 현실에서 비식별화된 정보라고 엄격한 규제 없이 활용을 허용할 경우 재식별화 위험이 극대화

4. 개인정보 보호체계 무력화

 

• 금융위의 이번 발표는 개인의 신용정보를 재식별화 위험에 무방비로 노출시키는 문제 이외에 우리나라의 개인정보 보호 관련 법령 체계를 무력화시키는 문제도 안고 있음
• 개인정보 보호 법령은 최상위 법령으로 사생활 보호와 정보주체의 개인정보 자기결정권을 담고 있는 헌법, 법률 수준에서 기본법으로서 안전행정부가 관할하는 개인정보보호법, 개인정보보호법에 대한 특별법으로서 금융위가 관할하는 신용정보법, 방송통신위가 관할하는 정보통신망법 등이 있음
• 금융위 안은 신용정보법이 신용정보의 구체적 범위를 시행령에서 정하도록 하고 있기 때문에 시행령 개정을 통해 비식별 정보를 개인신용정보에서 제외시킴으로써 현행 신용정보보호법이 정보주체의 동의 없는 신용정보의 이용을 금지하고 있는 제약요건을 해소하겠다는 것
• 이 방식은 모법(신용정보법)의 위임 범위를 벗어난 시행령 개정 시도로 국회의 법률 제․개정권에 대한 도전이며, 최근 행정부에 의한 입법권의 훼손을 막으려는 국회법 개정안의 취지에도 정면 역행
• 또한 방송통신위원회가 개인정보보호와 관련한 국제적 추세에 맞춰 이해관계자들과 전문가집단의 오랜 논의를 거쳐 마련한 ‘빅데이터 개인정보 가이드라인’을 무력화시킬 가능성
• 결과적으로 금융위 안이 관철될 경우 핀테크산업 육성이라는 단 하나의 정책 목표를 위해 프라이버시 보호라는 헌법적 가치를 훼손하는 것은 물론 개인정보 보호와 관련한 법령 체계를 무력화하는 것임