SPRi "개인정보 비식별조치 가이드라인, 법·제도 개선 병행해야"

'개인정보 비식별조치 가이드라인' 법적 효력 없어
"개인정보 오남용 막으려면 비식별정보의 유통 관리체계 도입해야"

[아시아경제 한진주 기자] 개인정보 비식별화 가이드라인이 법적 효력을 갖추지 않아 관련 법 개정이 필요하다는 지적이 나왔다.

1일 소프트웨어정책연구소(SPRi)는 '개인정보 비식별화 기술의 쟁점 연구'에 보고서를 통해 개인정보 비식별조치 가이드라인과 별도로 개인정보 관리체계 재정비가 필요하다고 지적했다.

지난 6월30일 국무조정실 등이 공동 발간한 '개인정보 비식별조치 가이드라인'에서는 개인정보 비식별 조치 기준과 활용범위 등을 명시했다. 그러나 비식별화 기술만으로 빅데이터 활용 걸림돌이 완전히 제거됐다고 평가하기에는 이르다는 것이 SPRi의 설명이다.

비식별화 기술이란 수집, 사용, 저장, 공유되는 데이터로부터 개인을 식별하지 못하게 조치하는 방법을 말한다. 우리나라는 개인정보의 수집·활용·제3자 제공에 정보주체로부터 사전 동의를 받고, 목적 내에서만 이용하도록 하고 있다. 다만 통계와 학술연구 등을 위해 비식별화한 정보는 예외로 둬 개인정보 비식별화기술에 대한 관심이 높아지고 있다.

비식별화기술과 적정성 평가기준을 잘 활용할 경우, 개인의 프라이버시를 침해하지 않고 개인정보보호법의 제약을 피하면서 개인정보를 산업적으로 활용할 수 있다. 그러나 '개인정보 비식별화 가이드라인'이 어디까지나 법적 구속력이 없다는 점에서 좀더 근본적인 해결책이 필요하다는 주장이다.

SPRi는 "개인정보와 개인정보가 아닌 비식별정보를 좀 더 명확히 구분하려면 개인 정보의 정의와 범위를 명확히 해야한다"며 "국내에서는 ‘쉽게 결합하여 개인이 식별가능한 정보’의 범위에 대한 논란이 형사소송의 형태로 계속되고 있고 행자부, 미래부, 방통위 등의 가이드라인 형태의 유권해석은 사법적 판단의 참고자료라는 한계를 지니므로, 법개정을 통해 그 범위를 명확히 하는 것이 근본적인 해결책"이라고 설명했다.

이어 "가이드라인은 여전히 법적 효력이 없는 참고자료이기 때문에, 사법적 판단의 재량여부를 완전히 없앨 수는 없다"며 "예를 들어 개인정보를 알아볼 수 없게 암호화를 했지만, 개인정보를 불법유출했다며 현재 재판이 진행 중인 SK텔레콤의 전자처방전 사건이나 IMS헬스코리아사건이 다시 발생하더라도, 가이드라인이 해당 사건들의 개인정보보호법 위반 여부의 기준이 될 수는 없다"고 덧붙였다.

SPRi는 비식별화기술과 관련하여 개인정보의 보호와 활용을 조화시키는 방안으로 관련 법 개정과 정부의 관리체계 도입이 필요하다고 설명했다.

SPRi는 "개인정보의 정의에 관한 법개정을 적극 검토해야 하며 개인정보의 오남용을 막기 위한 비식별정보의 유통에 대한 당국의 관리체계가 필요하다"며 "법체계 정비와 함께 개인정보보호위원회를 개인정보의 컨트롤타워로 강화할 필요가 있다"고 주장했다.

한진주 기자 truepearl@asiae.co.kr