개인정보 비식별 조치 가이드라인까지 마련했지만...기업들 제대로 활용 못해

[보안뉴스 성기노 객원기자] 최근 들어 비식별 정보라는 말이 자주 나온다. 이는 주민등록번호처럼 특정한 개인을 구분할 수 있는, 즉 식별 가능한 정보가 아닌 비식별 데이터를 뜻한다.

비식별 정보가 중요한 이유는 이것을 이용해 이익을 창출할 수도 있기 때문이다. 개인의 사전 동의 없이 기업이나 공공기관이 자유롭게 활용할 수 있으며 특히 빅데이터 산업, 핀테크 산업 등에서 큰 부가가치를 창출할 전망이다. 예를 들면 맞춤형 서비스, 온라인 광고, 컨설팅 등에 활용하여 수익을 낼 수 있고, 카드업체는 결제 정보를 통해 상권 분석 등이 가능하다. 이외에도 다양한 분야에서 활용도가 높기 때문에 21세기 지식기반 산업의 중요한 먹거리가 되고 있다.

특히, 최근 금융권에서는 개인정보를 비식별화해 빅데이터 분석에 활용하고자 하는 수요가 급증하고 있지만, 다양한 산업별로 개인정보보호 관련 법령 적용과 해석상의 일부 혼선으로 인해 기업들이 개인정보의 안전한 활용에 어려움을 겪고 있는 것으로 알려졌다. 이에 정부는 지난해 6월 현행 개인정보 보호 법령의 테두리 내에서 비식별 조치한 개인정보가 빅데이터 분석에 안전하게 활용될 수 있도록 ‘개인정보 비식별 조치 가이드라인’을 발표한 바 있다.

그 내용을 좀 더 자세히 보면 데이터에서 개인을 식별할 수 있는 요소(식별자 속성자)를 전부 또는 일부 삭제하거나 대체하는 등의 방법으로 개인을 알아볼 수 없도록 해야 하며 이때 사용하는 기법으로 ‘가명처리’ ‘총계처리’ ‘데이터 삭제’ ‘데이터 범주화’ ‘데이터 마스킹’ 등을 이용하도록 되어 있다. 이렇게 비식별화된 데이터에 대해 같은 기법을 활용하여 개인을 알아볼 수 없도록 조치하고 ‘K-익명성’ 모델 등을 활용하여 비식별 조치가 적정한지 여부에 대한 평가절차를 가져야 한다고 돼 있다.

이런 절차에 따라 비식별화 된 개인정보 데이터는 더 이상 개인정보가 아닌 것으로 추정함에 따라 기업 내부에서는 고객의 추가적인 동의 없이 시장조사, 신상품개발, 마케팅 전략 수립 등의 다양한 비즈니스 목적으로 이용할 수 있다. 그리고 비식별 조치된 데이터는 유상으로 제3자에게 제공이 가능하다. 이 경우에는 다른 정보와의 결합을 통한 재식별 가능성이 있으므로 재식별 위험관리 사항을 계약서에 반드시 포함시켜야 한다. 또한 서로 다른 사업자가 보유하고 있는 데이터의 결합이 전문기관(금융권 전문기관: 금융보안원, 신용정보원)을 통해서 가능하게 되었다.

하지만 이러한 비식별 조치를 통해 만들어진 데이터는 기존의 데이터에 비해 정보의 가치가 일정 부분 감소하게 되며 심한 경우 데이터의 활용성이 심각하게 떨어질 수 있다. 이런 이유 때문인지, 기업들의 비식별 정보 활용은 아직 낮은 수준이다. 정부는 사고 시 개인정보 노출 위험 등의 부담에도 불구하고 산업 활성화 차원에서 가이드라인까지 마련하고 비식별 정보 활용도를 높이려 하고 있지만 기업들은 활용이나 관리 리스크 등으로 제대로 활용을 못하고 있는 셈이다.

지난 2월까지 비식별 적정성 평가를 위한 전문가 추천 건수는 총 20건이 넘지 않는 것으로 집계됐다. 비식별 조치한 정보집합물 간 결합 건수 역시 8건에 그친 것으로 최근 조사됐다.

이처럼 활용도가 떨어지는 것은 무엇보다 비식별 정보 이용을 통한 수익창출 모델이 적기 때문이다. 기업이 투자를 하려면 적어도 최소한의 이익 창출 사례가 있어야 한다. 그래야 그것을 토대로 대강의 투자 대비 이익률을 산정할 수 있는데 아직까지 비식별 조치 데이터로 ‘대박’을 낸 기업이 전무하기 때문에 선뜻 투자를 하지 못하고 있는 것이다. 더구나 몇 번 개인정보 유출 사건이 터졌기 때문에 기업들이 ‘대범하게’ 비식별 정보 데이터를 활용하는 데 아무래도 거리낌이 있다고 한다.

비식별 정보 데이터 활용 산업도 보안에 대한 근본적인 인프라가 안전하게 확보되지 않고서는 쉽지 않을 전망이다. 정부의 적극적인 시장 활성화 방안도 아직 숙제로 남아 있다.
[성기노 객원기자(kino@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>