그간 ICT기술의 발전으로 수많은 기업과 공공기관들은 대량의 데이터를 축적하여 왔는데, 이러한 빅데이터는 최근 ‘21세기의 원유’라고 불릴 정도로 경제적·사회적 가치를 인정받게 되었다. 빅데이터 중에서도 개인에 관한 일반적인 정보, 의료정보, 위치정보, 신용정보 등은 개인정보로 통칭되며, 빅데이터의 수집·분석과 관련된 빅데이터산업은 급속히 성장하고 있으며, 개인정보의 수집과 판매에 집중하는 데이터 브로커들도 미국을 비롯해 전세계적으로 활동하고 있다.
국가권력으로부터의 자유를 의미하던 전통적인 프라이버시권은 이러한 상황에 발맞추어 개인정보 자기결정권이라는 개념으로 진화하였고, 세계 각국은 개인정보 자기결정권을 보호하는 한편, 집적된 개인정보를 활용하여 각종 산업을 육성하고 사회적 편익을 증대시키고자 노력하고 있다. 잇따른 대규모 개인정보 유출사고를 겪은 우리나라는 개인정보 보호체계를 강화해 왔으나, 최근에는 개인정보의 활용을 증대시키고자 하는 움직임이 경제 관련 부처들로부터 시작되고 있다. 가까운 일본의 경우에는 개인정보 활용을 촉진하기 위해 개인정보보호법을 대폭 개정해 2017년 전면 시행예정이며, 인권을 중시하는 EU는 개인정보 관련 권리를 구체화하고 개인정보 관리감독을 강화하기 위해 GDPR을 제정, 2018. 5. 25.부터 EU회원국들과 EU 내에서 활동하는 사업자들에게 시행할 예정이다.
우리나라에서는 이미 수집된 개인정보를 제3자에게 제공할 때 정보 주체의 사전동의가 필요하지만 비식별화하여 개인을 알아볼 수 없을 때는 예외이기 때문에 개인정보의 비식별화 기술에 대한 관심이 높아져 가고 있다. 하지만 다른 정보와 결합하여 개인이 식별될 경우에는 법적 규제와 처벌의 대상이 될 수도 있고, 실제로 SK텔레콤의 전자처방전 사업과 약학정보원의 처방정보 유출사건에서 비식별화 및 개인정보 유출 여부가 쟁점으로 떠오른 바 있어, 산업계에서는 보다 명확한 기준을 요구해 왔다.
이에 정부에서 2014년에 발표한 ‘개인정보 비식별화 기술 활용 안내서’에서는 무작위화 방법과 일반화 방법으로 대표되는 비식별화기술 18종과 함께 비식별 적정성 평가기준으로 k-익명성(k-anonymity), l-다양성(l-diversity), t-근접성(t-closeness)을 제시하였다. 그러나 기술안내서에서는 개인정보의 정의와 범위에, 적정성 평가의 제도운용에 관한 가이드라인이 존재하지 않았다.
본 보고서에서는 지난 6월 30일 발표된 ‘개인정보 비식별조치 가이드라인’에 언급된 17종의 비식별화기술과 3종의 비식별 적정성 평가기준을 자세히 소개하였다. 특히 외국에서 비식별 데이터가 공개된 정보와 결합하여 재식별된 사례들을 통해 비식별화기술의 한계와 적정성 평가기준의 필요성을 보다 쉽게 이해할 수 있도록 하였다. 아울러 현재 사용할 수 있는 비식별화 소프트웨어 현황도 오픈소스 소프트웨어 위주로 자세히 정리하였다.
또한 새 가이드라인에서는 지금까지 개인정보의 범위를 매우 확장했다는 비판을 받던 “다른 정보와 쉽게 결합하여 개인을 식별할 수 있는 정보”(‘결합용이성’)의 요건으로 ① 입수가능성과 ② 재식별의 합리적 가능성을 제시해 개인정보의 범위가 보다 분명해졌지만, 여전히 개인정보 해당 여부에 관한 사법적 판단의 참고자료라는 한계를 가지고 있음을 지적하였다.
그러므로 실제로 비식별화기술과 관련하여 개인정보의 보호와 산업적 활용을 조화시키는 방안으로서, ① 개인정보의 정의에 관한 법개정을 적극 검토해야 하며, ② 비식별정보의 유통에 대한 당국의 관리체계가 필요하고, ③ 법체계 정비와 함께 개인정보보호위원회를 개인정보의 컨트롤타워로 강화할 필요가 있음을 제시하였다.
