개인정보보호, 소프트웨어 정책
서론
오늘날 빅데이터 등 개인정보가 비식별 처리되어 활용되는 사례가 증가하고 있다. 개인정보 처리에는 각종 제약이 붙어 처리가 어려운 반면 비식별 된 개인정보는 제약이 적어 처리가 용이하기 때문이다. 이에 대처하기 위하여 각종 가이드라인이 등장하였고 개인정보를 비식별 하는 방안을 제시하고 있다. 하지만 이러한 가이드라인의 실효성에 대한 연구가 부족하다. 설령 가이드라인을 준수하더라도 개인정보보호 관련법령에 부합하게 되는 것인지 확신을 주지 못하고 있다.
그 결과 실제 공공·민간 영역에서는 가이드라인을 준수하여 개인정보를 비식별처리하고 이를 이용하려는 노력에 소극적인 모습을 보이게 되었다. 그러므로 비식별화가 개인정보 보호에 어떠한 기여를 하는지에 대한 연구가 필요하다. 비식별화 처리가 각종 가이드라인에 따라 잘 이루어지고 있다고 하더라도 이것이 개인정보 보호에 어떠한 영향을 미치는지를 잘 알 수 없는 상황이기 때문이다. 이러한 실효성을 국내외 법·제도 및 사례조사를 통해 분석해볼 필요가 있다.
우선 개인정보 비식별화 처리가 개인정보 보호에 미치는 영향에 관해 연구한다. 국내외 법·제도, 적용사례 등을 통해 조사·분석한다. 다음으로 국외 법·제도, 적용사례를 면밀히 검토하여 개인정보 비식별화 및 이와 관련된 개인정보 보호 제도를 정리하고, 해외 사례를 유형화 한다. 마지막으로 해외 사례의 유형화를 통해 국내에 적용할 수 있는 방안을 모색한다. 이 때 주민등록번호라는 단일 식별자가 있는 등 외국과는 상이한 국내환경을 감안하여, 실효성이 있는 방안을 모색한다.
본 연구는 크게 ① 개념정의 ② 현황조사 및 분석 ③ 개선방안 제시로 구성된다. 우선 개념정의 부분에서는 개인정보(personal information)가 무엇인지, 그리고 비식별화(de-identification)와 익명화(anonymization)가 구별되는 개념인지 등에 관하여 살핀다. 이를 바탕으로 비식별화 처리의 현황을 조사하고 분석한다. 국내외 공통된 기술적인 논의를 우선 한데모아 정리한 후, 주요 국가별 논의현황을 각각 조사하여 살펴본다.
개선방안을 제시하는 부분에서는 합리적인 비식별화 규제 체제를 모색한다. 앞서 조사한 비식별화의 현황(기술적인 방법론과 국가별 대응방안)에 비추어볼 때 국내 규제체제의 문제점은 무엇이며 외국 규제체제들의 특징이 각각 무엇인지 비교하여 분석한다. 이를 토대로 외국 규제체제가 국내에 바로 적용될 수 있는지 그 가능성을 검토한 후, 국내 상황에 적합한 비식별화 규제가 어떤 것일지 모색한다. 국내 상황에 부합되는 합리적인 비식별화 규제 체제를 살필 때에는 기존 연구결과를 바탕으로 기본적인 접근법을 정리한 후 절차적 접근법의 고려사항을 감안하여 국내 상황에 적용하는 절차를 따른다.
개인정보
개인정보란 개인에 관한 정보로서, 개인을 식별할 수 있는 정보를 의미한다. 개인정보가 어느 범위까지 인정되는지에 대해서는 국가별로 약간의 차이를 보이고 있다. 더욱이 오늘날 급변하는 대내외적인 환경으로 인하여 개인정보의 정의방식과 인정범위는 조금씩 변화하고 있다. 일단 현행 국내법상 개인정보의 정의와 인정범위를 살펴본다. 이후 각 국가별로 어떠한 차이를 보이는지에 대하여 법규정을 중심으로 검토한다.
개인정보란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다. (개인정보 보호법 제2조 제1호) 이를 분설하면, ① 살아 있는 개인에 관한 정보로서 ② 특정 개인과 관련이 있는 정보이며 ③ 식별 정보이거나 식별가능정보인 경우를 의미한다.
현행 법령을 기초로 개인정보의 범위를 밝힌 대표적인 판례로서 ‘휴대전화번호 사건’과 ‘IMEI 사건’이 있다. 휴대전화번호 사건은 휴대전화번호 뒷자리 4자리만으로도 그 사용자가 누구인지를 식별할 수 있는 경우가 있고, 특히 그 전화번호 사용자와 일정한 인적 관계를 맺어온 사람이라면 더욱 그러할 가능성이 높다는 취지의 판시를 하였다. IMEI 사건은 IMEI나 USIM 일련번호는 휴대폰 가입신청서 등 가입자정보에 나타난 다른 정보와 어려움 없이 쉽게 결합됨으로서 개인을 특정할 수 있게 되는 이상 이들을 개인정보라 봄이 상당하다는 판시를 하였다. 이 두 판례는 하급심 판례라는 한계를 가지고 있고, 이에 관한 비판적 시각 또한 존재한다. 이 두 판례는 현행법상 개인정보 보호법의 적용대상인 개인정보의 범위가 매우 넓게 해석될 수도 있다는 취지로 흔히 인용된다.
국내법상의 개인정보 정의는 다른 나라의 개인정보 정의규정과 비교할 때 근본적인 차이가 있지는 않다. 독일 연방개인정보보호법상 개인정보 정의규정이나 호주 연방프라이버시법상 개인정보 정의규정, 캐나다의 프라이버시 법상의 규정 등은 국내법상의 규정과 대체로 유사하며, 그 해석에 있어서도 개인과 관련된 정보를 광범위하게 개인정보로 포섭하고 있는 태도를 보인다. 이는 1980년 정립된 OECD 8원칙에 기초하여 1995년 등장한 EU Directive의 개인정보 정의규정(개인정보란 식별되거나 식별가능한 자연인(정보주체)과 관련된 모든 정보)이 전 세계 개인정보 보호법제에 널리 수용되어 왔기 때문인 것으로 분석된다.
그런데 ICT환경이 변화함에 따라 정보처리기술이 급격하게 발전하면서 개인정보로 인정되는 범위를 좁히거나 세분화하여 규제강도를 달리하려는 움직임이 나타나고 있다. 영국은 개인정보 보호법상 정의규정을 ICO (Information Commissioner’s Office) 지침(2012.12.12)을 통하여 세분화하였다. 일본은 개인정보 보호법을 전면개정(2015.9.3.)하여 기존 개인정보 보호법(2003)상 모호하고 단일했던 정보유형을 명확히 규정 했으며 세분화하며 규제강도를 달리하였다. 이러한 경향은 소위 빅데이터 시대에 개인정보 보호와 이용의 균형점을 찾으려는 시도와 함께 점차 활발해지고 있다.
비식별화(de-identification)와 익명화(anonymization)
비식별화(de-identification)와 익명화(anonymization)의 개념 구분을 둘러싸고 논란이 발생하기도 한다. 비식별화와 익명화의 개념을 명확히 구별할 수 있다는 입장에서는 ① 비식별화라는 용어사용이 현재 개인정보의 회색지대를 부정하는 개념으로 사용되고 있어 잘못된 개념이며 ② 미국의 몇몇 특정 법률에 국한되어 사용되는 용어인 비식별화를 법제가 다른 우리나라에서 사용하는 것은 부적절하고 ③ 가이드라인에 비식별화라는 용어를 이용하는 현황이 용어사용을 통해 법령상의 정의를 수정하려 하는 것이어서 부당하다고 한다. 그러므로 비식별화와 익명화가 혼용되어 쓰이고 있지만 정확히 말하면 양자는 다른 개념이므로 구분하여 사용해야 할 것이라고 한다. 이러한 시각은, 익명화된 정보는 일반적으로 개인정보가 아닌 것으로 평가되는 반면, 비식별화된 정보는 상황에 따라 그 평가가 달라질 수 있다고 구분하여 보는 입장을 흔히 반영한다. 이하 비식별화와 익명화의 개념구분과 관련된 각종 논의를 소개한다. 뒤에서 다시 언급하겠지만, 이러한 방식의 개념구분은 명확하지 않고, 개념구분에 대한 국내외에서의 일반적인 관례가 형성된 것은 아니다.
국내 동향
국내에서는 한동안 비식별화와 익명화를 명확하게 구별하지 않고 혼용하였다. 대표적으로 ‘정부 3.0 추진 기본계획’(2013.6.19)은 비식별화와 익명화를 병기하여 사용하였다.(ex 개인정보의 익명화/비식별화 방법(예시) : 데이터 마스킹, 가명처리 등) 이러한 경향은 행정안전부의 ‘공공정보 공유·개방에 따른 개인정보 보호지침’(2013.8.30)이 등장하면서부터 달라지기 시작하였다. 동 지침은 용어의 정의 중 비식별화만 소개하였으며, 익명화라는 용어를 별도로 사용하지 않았다. 그 후로‘방송통신위원회 가이드라인’(2014.12.23) 등 대부분의 정부 자료에서는 주로 ‘비식별화’라는 용어를 사용하고 있으며, 비식별화된 경우 이를 개인정보가 아니라는 입장을 보인다. 2015년 이후 발의된 법안들에도 모두 ‘비식별화’라는 용어가 사용되고 있다. 그러므로 오늘날 국내의 정부 자료에서는 주로 ‘비식별화’라는 용어가 사용된다고 볼 수 있다.
해외 동향
미국은 HIPAA 등 주요한 입법을 통해 ‘비식별화’(de-identification)라는 용어를 주로 사용해 왔다. 대표적으로 미국의 표준화 담당기관인 NIST(National Institute of Standards and Technology) 자료는 ‘비식별화’ 개념을 사용하고 있으며, 이를 ‘데이터 관리인이 데이터세트의 식별정보를 제거하거나 대체하여 데이터 이용자가 정보주체의 식별을 하기 어렵도록 만드는 처리과정’이라고 정의하고 있다. 미국의 정부자료나 공공기관 자료에 비식별화 용어와 익명화 용어가 모두 등장하는 경우는 흔치 않다. 미국이 익명화가 아닌 비식별화를 용어로 선택한 데에 별도의 이유가 있는 것인지는 명확하지 않다. 용어에 대해 소개한 미국 교육부(Department of Education) 자료를 보면 비식별화와 익명화 용어가 모두 나타나는데, 비식별화(De-identification)는 식별성을 제거하는 절차(the process of removing or obscuring any personally identifiable information)로, 익명화(Anonymization)는 비식별을 하는 절차(the process of data de-identification which produces de-identified data)로 구별하고 있어, 구체적으로 어떤 실무적 차이가 있는 것인지 불명확하다.
영국은 ICO의 익명화 규약(Anonymisation : managing data protection risk code of practice(2012))을 발표하며 ‘익명화’(anonymization)라는 용어를 본격적으로 사용하기 시작하였다. 동 규약 본문에 언급된 용어는 아니지만 익명화 기법의 예시를 하고 있는 Annex 3은 ‘비식별화’(de-identification) 과정에서 정보주체의 익명성 보호와 데이터의 유용성 유지 간 상충관계(the trade-off between preserving data utility and preserving anonymity)가 발생한다는 점을 언급하고 있다. 결국 영국에서는 주로 익명화(anonymization)라는 용어를 사용하고 있지만 비식별화(de-identification)라는 용어가 사용되기도 하는 것으로 보인다. 다만, 유럽연합(EU) 차원에서는 익명화라는 용어가 주로 사용된다. 하지만, 익명화라는 용어의 사용에 있어 비식별화와 명확한 개념 구분이 전제되는 것인지는 불분명하다.
일본은 2015년 9월 개인정보 보호법을 개정하면서 익명가공정보(匿名加工情報)라는 개념을 새로 도입하였다. 2년여 기간 동안 법률 개정안을 논의하는 과정에서 발표되어 온 회의 자료를 보면 이는 개인 특정성 감소 데이터(個人特定性低減データ)에 해당하는 정보를 의미하는 것임을 알 수 있다. 이는 개정법 요강을 보면 ‘특정 개인을 식별할 수 없도록 개인정보를 가공하여 얻는 개인에 관한 정보이며, 해당 개인정보를 복원할 수 없도록 한 것’으로 정의된다. 이는 비식별화 내지 익명화된 개인정보를 익명가공(anonymization)정보라고 정의한 것으로 볼 수 있다. 결국 일본에서는 주로 익명화(anonymization)라는 용어가 사용되고 있지만, 비식별화(de-identification)와 명확한 개념 구분을 하여 이용되는 것으로 보이지는 않는다.
소결
이상의 논의에 비추어볼 때 비식별화와 익명화는 명확하게 구별될 수 있는 용어나 개념이라 하기는 어려운 것으로 보인다. 즉, 비식별화와 익명화의 개념을 구분하는 학술적 논의가 별도로 있었던 것도 아니고 일반적인 관례가 형성된 것도 아니다. ‘비식별화’라는 용어를 주로 사용하는 미국에서도 ‘익명화’라는 용어가 이용되기도 하며, ‘익명화’라는 용어를 주로 사용하는 영국과 일본에서도 개념상 이를 ‘비식별화’와 명확하게 구별하고 있지는 않고 있는 것으로 보인다. 여기에 비추어 한국의 현실을 살펴보면, ‘비식별화’라는 용어를 주로 사용해온 관행에 문제가 있는 것으로 보기는 어렵다. 지금까지 살펴보았듯, 적어도 아직까지는 비식별화와 익명화는 엄격하게 구별되는 개념이라 보기는 어렵기 때문이다. 개념 구분의 실익이 있을지에 관해서는 향후에 더 많은 연구와 논의가 필요할 것이다.
붙임자료
개인정보의 비식별화 처리가 개인정보 보호에 미치는 영향에 관한 연구 (2015. 12. 10) 개인정보보호위원회