[아이티데일리] 최근 정부가 데이터 경제 활성화를 위해 가명정보 결합전문기관 확대 등의 정책을 추진하고 있다. 정부는 가명정보 활용도를 높이기 위해 ‘가명정보 처리 가이드라인’ 발표하고 가명정보결합전문기관 지정 등 제도를 마련해왔다. 이러한 정부의 정책에 힙입어 공공을 필두로 금융 유통분야등에서 실제 가명정보 결합 사례도 나오고 있으며 이들 사례는 활용도가 상당히 높은 것으로 평가받고 있다.

하지만 민간 가명정보 결합전문기관의 셀프결합을 허용여부에 대해서는 찬반의견이 팽팽히 맞서고 있다. 셀프결합을 허용하지 않을 경우 데이터 활용이 저조해 데이터 경제 활성화에 역효과를 줄 것이라는 의견이 있는가 하면, 셀프결합을 허용할 경우 개인정보 오·남용과 가명정보 재식별, 데이터 빈부격차 심화 등의 부작용이 우려된다는 목소리가 동시에 존재하고 있다.

17개 결합전문기관 통해 가명정보 결합

지난해 8월 데이터 3법(개인정보보호법, 신용정보법, 정보통신망법)이 개정되고, 관련 제도가 마련됨에 따라 가명정보 결합이 활성화되고 있다. 가명정보는 성명·전화번호 등 개인을 식별할 수 있는 정보를 삭제하거나 대체(가명처리)하는 등의 방법으로 식별 가능성을 낮춘 개인정보를 의미한다. 개인정보보호법 개정안에 ‘가명정보 처리에 관한 특례(개인정보보호법 제3장 3절)’가 신설됨에 따라, 개인정보처리자는 통계 작성, 과학적 연구, 공익적 기록보존 등을 위한 목적으로 개인정보를 가명처리해 활용할 수 있다.

가명처리는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것으로 정의된다.

정부는 가명정보 활용도를 높이기 위해 ‘가명정보 처리 가이드라인’ 발표, 가명정보결합전문기관 지정 등 제도를 마련해왔다. 이 중 지난해 9월 마련된 ‘가명정보 처리 가이드라인’은 가명정보를 처리하는 과정에서 발생할 수 있는 개인정보 오·남용을 방지하고 데이터 산업을 활성화하기 위해 마련됐다.

이 가이드라인에 따르면 가명정보 결합은 가명정보결합전문기관을 통해서만 가능하다. 가명정보를 결합하려는 이용자는 가명정보결합종합지원시스템을 통해 신청해야 한다. 가명정보 결합 절차는 <그림 1>을 통해 확인 가능하다.

가명정보결합전문기관은 서로 다른 기관이 보유하고 있는 가명화된 개인정보를 받아 결합과정을 거쳐 하나의 데이터로 생성한다. 주요 업무로는 ▲통계작성, 과학적 연구, 공익적 기록 보존을 위해 2개 이상의 가명정보 결합 ▲결합신청자가 결합된 정보를 가명ㆍ익명처리 할 수 있도록 기술적ㆍ관리적ㆍ물리적 조치된 공간과 기술 지원 ▲반출심사위원회 구성 및 결합된 정보 반출 승인 등을 꼽을 수 있다.

가명정보결합전문기관은 ▲3명의 전문가(법률 및 기술 전문가 각 1명 이상)를 상시 고용한 8명 이상의 담당조직 구성 ▲결합, 추가가명처리, 반출 등을 위한 공간 및 시설, 시스템 구축 ▲데이터 및 네트워크에 대한 보안조치 마련 ▲결합·반출 등 가명정보 결합에 관한 정책 및 절차 마련 ▲개인정보의 안전성 확보조치 기준에 따른 내부 관리 계획 수립 ▲자본금 50억 원 이상(공공기관 제외) ▲최근 3년 내 개인정보보호법 위반으로 개인정보보호법 제66조에 따라 공표된 적이 없을 것 등의 조건을 충족해야 한다. 결합전문기관으로 지정되면 매년 업무 수행능력 및 기술‧시설 유지 여부 감독 등에 관한 서류를 개인정보보호위원회 등에 제출해야 한다.

가명정보결합전문기관으로 선정되는 과정을 살펴보면, 먼저 위의 결합전문기관 요건에 맡는 전문가들로 TF 조직을 구성하고 결합전문기관 지정요건들을 구현해야 한다. 상세하게는 결합전문기관 정책 및 절차 서식 작성, 보안 정책과 보안인증 입증자료 준비, 보안 시설을 갖춘 결합전문기관 전용 공간마련 및 시스템 구축 등의 과정을 거치게 된다.

한 예로 SK(주) C&C가 결합전문기관으로 선정된 과정을 살펴보면, SK(주) C&C는 결합전문기관 신청 후 지난해 10월부터 실사 준비를 진행했다. 안전한 데이터 결합에 초점을 맞춰 시스템 설계 및 구성 작업을 진행했다. 또한 결합전문기관의 지정 기준에 맞는 인력을 구성할 때부터 법무전문가, 보안전문가, 시스템전문가 등 각 분야의 전문가들로 구성했고, 회사 내부의 개인정보보호 전문가들도 주기적으로 참여해 결합에 활용될 가명정보를 처리하는데 있어서 보안적으로 문제가 될 부분은 없는지 등을 검토했다.

더불어 가명정보를 결합하는 과정에서 특이정보가 생성될 수가 있기 때문에 결합 이후에 결합된 가명정보를 결합전문기관 외부로 반출할 때 특이정보나 가명정보의 활용 목적 외로 오용되지 않도록 시스템으로 한번 처리를 진행하고 반출심사위원회의 전문가들이 심사를 할 수 있도록 반출 프로세스를 구성했다. 이렇게 지정 기준을 맞추고 난 후 서면심사 및 현장 실사를 거쳐 지난 1월에 결합전문기관으로 지정됐다.

현재 가명정보결합전문기관은 ▲통계청 ▲삼성SDS ▲케이씨에이 ▲한국지역정보개발원 ▲롯데정보통신 ▲국민건강보험 ▲건강보험심사평가원 ▲한국보건산업진흥원 ▲한국도로공사 ▲한국정보화진흥원 ▲SK(주) C&C ▲더존 ▲한국교육학술정보원 등 13곳이다. 이외에 신용정보법에 따라 지정된 데이터전문기관으로 국세청, 금융결제원, 금융보안원, 신용정보원 등이 있다.

결합사례 속속 등장

가명정보 결합전문기관이 지정되면서 가명정보 결합이 점차 활성화되고 있다. 공공 가명정보 결합 사례는 물론, 민간 가명정보결합전문기관을 통한 결합 사례도 나오고 있다. 먼저 정부는 가명정보 결합 활성화를 위해 5대 분야 7개 시범 과제를 추진했다. 5대 분야 7개 과제는 ①암 질병 치료효과 분석 ②암 환자의 합병증 및 만성질환 예측 연구 ③국가보훈대상자신용실태 연구 ④노후소득보장 종합연구 ⑤불법스팸 실태연구 ⑥지역별, 상권별, 상품별 소비패턴 분석 ⑦맞춤형 산림치유 프로그램 분석 등이다.

가명정보 활용 1주년을 맞아 정부에서 발표한 자료를 살펴보면, 지난 7월 기준 결합 신청 건수는 105건이다. 이 중 66건이 완료됐다. 초기에는 금융 분야 중심으로 결합이 진행됐으나, 최근에는 보건의료·행정 분야 등으로 확산되는 등 분야도 다변화되고 있다.

특히 금융 분야 데이터 결합 사례가 많이 나오고 있다. 지난 5월 기준 총 41건의 데이터 결합 사례가 완료됐다. 금융 31개사, 비금융 15개사가 데이터 결합에 참여해, 35개사가 결합된 데이터를 받았다. 결합 분야별로는 금융+금융간 결합(21건)이 가장 많았으며, 다음으로 금융+공공(7건), 금융+유통(6건) 순이었다.

국내에서 처음 발표된 가명정보 결합 사례는 국립암센터의 폐암치료 연구결과다. 이 사례는 가명정보 활용 5대 분야 7개 과제 중 하나로 추진됐다. 폐암 치료효과 분석 및 폐암 환자에서의 합병증‧만성질환 발생 및 사망 예측모델 개발을 목표로, 국립암센터 폐암 환자 임상정보(2만 명)와 국민건강보험공단 진료정보(2만 명), 통계청 사망정보(423만 명)를 가명처리해 결합했다.

이번 결합을 통해 5년 이상 생존한 폐암 환자 중 심뇌혈관질환에 의한 사망이 암으로 인한 사망 다음으로 높다는 결과를 도출했다. 국립암센터는 이 결과를 바탕으로 향후 폐암 환자의 단기·중기·장기 사망원인 및 연도별 사망동향을 파악하고, 심층분석을 통해 폐암 환자에서의 심뇌혈관질환 등 만성질환 발생 및 사망과의 인과관계를 확인한다는 계획을 세웠다.

국립암센터는 이번 시범사례가 활용가치가 높은 병원의 임상정보와 다수의 공공기관 데이터간 결합이 가능하다는 것을 보여준 사례로 평가하고, 데이터3법 개정에 따른 가명정보 결합은 잠재된 보건의료 데이터의 활용가치를 제고함으로써 향후 헬스케어 인공지능 등 다양한 연구에 큰 성과를 낼 것으로 기대했다.

민간 분야 가명정보 결합 첫 성과는 KT의 통신빅데이터와 롯데멤버스의 유통소비정보를 결합해 소비행태를 분석한 사례다. KT 이동통신 이용자 가명정보와 롯데멤버스(대표 전형식) 유통소비 가명정보를 결합전문기관인 한국지능정보사회진흥원에서 결합했다. 이 결과, 세대구성에 따라 자녀가 있는 가구는 식품을 주로 구매하고, 1인 가구는 의류‧패션잡화, 가전‧다지털기기의 구매 비중이 높은 것으로 분석됐다. 더불어 KT에서 추정한 관심사 정보와 구매내역간 연계분석을 진행한 결과, ‘디지털‧가전’에 관심있는 이용자들의 디지털 가전 구매비중은 일반 이용자 대비 2배 이상 높은 것으로 나타났다.

KT는 가명정보 결합을 통해 다양한 분야에서 고객 특성을 분석해 신규상품 개발 및 맞춤형 서비스 제공하는 등 새로운 활용가치를 창출할 수 있도록 노력하겠다는 입장을 보였다.

한국인터넷진흥원과 SK텔레콤이 정보를 결합해 불법스팸 실태연구에 활용한 사례도 있다. 이 사례는 KISA 스팸신고 정보와 SK텔레콤의 고객정보를 결합했으며, 통신분야 최초 결합사례로 꼽힌다. 이 연구는 성별, 연령대별 스팸신고 현황과 수신유형, 주요 스팸유형 등 특성 도출에 중점을 뒀으며, 방송통신위원회와 KISA는 분석결과를 바탕으로 연령대별 맞춤형 스팸예방 교육과 인식제고 사업을 추진하고, 가명정보 결합 확대 등의 계획을 발표했다.

이외에도 민간 가명정보결합전문기관이 지정됨에 따라, 이를 통한 가명정보 결합사례도 나타나고 있다. 민간 1호 가명정보결합전문기관으로 지정된 삼성SDS는 총 3건의 결합을 진행했는데 총 7개 기업 및 기관이 참여했다. 삼성SDS는 해당 사례를 기반으로 가명정보 결합 설명회를 진행하고 있으며, 고객분석을 심화하고자 하는 기업들 대상으로 기업간 데이터 결합을 통한 인사이트 창출방안을 제언하고 있다. 더불어 안전한 가명정보 처리를 위해 최신 보안기술 접목(블록체인, 동형암호화 등)을 시도하고 있다는 설명이다.

SK(주) C&C는 유통, 교통, 의료 등 특정 산업 도메인에 특화해 공공 데이터와 민간 데이터를 결합하는 데 집중한다는 방침이다.

정부, 가명정보 확산 방안 발표

정부는 지난달 가명정보 제도 도입 1주년을 맞아, 그 동안의 성과를 바탕으로 ‘현장의견을 반영한 규제혁신’과 ‘어디서나 활용 가능한 맞춤형 지원’을 통해 ‘안전하고 편리한 가명정보 제도 확산’을 추진한다고 발표했다. 여기에는 ▲전문기관 역할 강화 및 지정 확대 ▲효율적이고 안전한 결합절차 마련 ▲가명정보 안전성 강화 ▲가명정보 활용 온오프통합지원체계 정립 ▲가명정보 활용 전문역량 강화 ▲가명정보 활성화 인센티브 확대 등이 포함됐다.

구체적으로 살펴보면, 먼저 결합·반출에 한정됐던 전문기관의 기능을 사전 가명처리, 컨설팅, 분석 등 결합의 전단계로 확대하고, 인력·재정요건 완화와 사전컨설팅 확대, 결합전문기관-데이터전문기관 간 지정절차 간소화 등으로 전문기관을 양적·질적으로 강화한다. 연말까지 전문기관(가명정보 결합전문기관+데이터전문기관)을 27개까지 확대할 계획이다.

또한 가명처리·결합 주요 단계별로 상세 체크리스트를 개발·보급하고, 제3자 제공시 개인정보 보호수준에 대한 확인절차를 구체화함으로써 안전하고 효율적인 결합이 가능하도록 개선할 방침이다. 결합률 사전확인, 추출결합·모의결합 등 탄력적인 결합절차를 통해 효율성·안전성 제고와 비용 경감을 도모하며, 반복적·주기적 결합은 반출심사위를 면제하는 등 절차를 간소화한다.

또한 가명정보 활용 안전성을 강화하기 위해 가명정보 파기 및 가명처리 관련 기록보관 의무 등을 도입한다. 가명정보 국외이전은 개인정보와 동일규정을 적용해 국외 이전으로 인한 정보주체 권리침해를 예방하고, 해석상 혼란이 있었던 가명정보 특례 적용범위도 명확하게 정비할 예정이다.

정부는 가명정보 온·오프 통합지원체계를 통해 이용자를 어디서나 원스톱으로 지원할 수 있는 시스템도 갖출 계획이다. 지역 중소기업·기관 등에 가명정보 활용을 일괄지원하는 가명정보 활용지원센터를 강원도 원주에 구축했으며, 이를 타 지역으로도 확대할 계획이다. 더불어 오는 11월까지 수요기관-보유기관-결합전문기관 연계를 지원하는 매칭 지원시스템을 개발하고, 내년에는 참가기관의 소통·협업이 가능한 온라인 시스템을 구축할 방침이다.

가명정보 전문인재 양서엥도 나선다. 가명처리 및 적정성 검토, 반출심사 등을 수행할 수 있는 전문인재를 연 600명씩 양성하고, 가명‧익명처리 경험‧실무지식 등을 밀착 지원하는 맞춤형 컨설팅을 제공할 예정이다. 또한 가명·익명정보 처리 관련 기술적 어려움을 해소할 수 있도록 대용량 정형데이터, 비정형데이터 등 분야별 데이터처리 기술개발도 추진한다.

이외에도 소규모 스타트업의 데이터 활용격차 완화 및 가명정보 결합·활용 활성화를 위해 데이터 결합 및 구매 비용(바우처) 지원을 확대하고 가명처리, 결합 우수사례를 발굴해 대국민 인식‧활용도 제고 및 저변확대를 지원한다는 전략이다.

가명정보 셀프결합, 우려의 목소리 높아

업계 일각에서는 가명정보 활용 활성화를 위해 전문기관 확대 등 가명정보 확산 전략과 함께 ‘가명정보 셀프결합(자가결합)’을 허용해야 한다고 주장하고 있다. 가명정보 셀프결합은 결합전문기관이 보유한 데이터와 제3자의 데이터를 결합하는 것을 의미한다.

지난해 12월 시행된 ‘공공기관의 가명정보 결합 및 반출 등에 관한 고시’에 따라, 현재 결합전문기관으로 지정된 공공기관은 보유한 공공데이터를 직접 결합해 제3자에게 제공할 수 있다. 이전까지는 결합전문기관도 보유한 데이터를 결합할 때는 다른 결합전문기관을 통해야만 했다. 정부는 ‘공공기관의 가명정보 결합 및 반출 등에 관한 고시’를 통해 공공결합전문기관만 예외적으로 직접 결합을 허용했다.

이는 공공기관이 보유한 데이터에 국민의 민감한 정보가 포함돼 있다 보니 정보제공에 다소 소극적인 경우가 있어 공공데이터 개방 활성화를 위해 정책적 지원이 필요하다는 의견을 반영한 것이다.

다만 결합된 가명정보는 공공데이터 개방 활성화를 위한 것임을 감안해 결합을 수행한 공공결합전문기관이 직접 활용할 수는 없고, 결합을 신청한 제3자에게 제공하는 목적으로만 결합할 수 있다. 더불어 공공결합전문기관은 결합을 수행하기 전 결합신청서와 가명처리 수준에 대해 외부전문가의 평가를 받아야 한다. 이를 위해 개인정보보호위원회는 결합 과정 전반에 대한 관리 감독을 강화했다.

금융분야에서도 셀프결합 허용을 추진하고 있다. 금융위원회는 지난 5월 데이터 자가결합 허용요건을 확대하겠다고 발표했다. 금융분야 데이터 자가결합은 데이터를 이용할 기관이 결합 데이터의 가명처리 적정성을 자체적으로 평가하는 등 이해상충이 발생할 우려가 있기 때문에, 이해상충 가능성이 없는 경우에만 허용되고 있다.

하지만 데이터전문기관의 안전하고 효율적인 데이터 결합‧활용에 과도한 제약이 있다는 의견이 제기됐고, 자가결합시 데이터 외부반출에 따른 보안우려가 완화되며 데이터에 대한 이해도가 높은 데이터 보유기관이 결합함에 따라 신속한 결합‧활용이 가능하다는 장점이 있어 허용 요건 확대를 추진한다는 것이었다.

업계 일각의 주장은 공공분야뿐만 아니라 민간 결합전문기관에게도 셀프결합을 허용해야 한다는 것이다. 기업들이 결합전문기관으로 지정되더라도 보유한 데이터를 활용하지는 못하기 때문에 제약이 있다는 설명이다. 특히 정부가 결합전문기관 확대를 추진하고 있는데, 기업들의 참여를 독려하기 위해 다양한 결합사례 발굴 및 데이터 활용도를 높여야 하며, 이를 위해서는 셀프결합을 허용해야 한다고 말한다.

셀프결합을 허용하면 개인정보를 보유한 결합전문기관은 자유로운 데이터 결합으로 데이터 활용률을 극대화할 수 있다. 또한 이를 통한 인사이트 발견도 많아질 것으로 예상된다.

하지만 가명정보 셀프결합 허용 시 발생할 수 있는 부작용에 대한 우려도 높은 상황이다. 먼저 셀프결합에 대한 보호조치가 마련되더라도 데이터 활용 과정에서 개인정보 재식별 가능성이 높아질 수 있다는 점이 지적되고 있다. 또한 과도한 셀프결합이 진행될 수 있으며, 데이터 빈부격차가 심화될 수 있다는 우려도 나오고 있다.

가명정보 셀프결합의 부작용에 대해 한 업계 관계자는 “결합전문기관이 자신이 보유하고 있는 고객정보를 타 기업의 데이터와 결합하게 되는 경우, 결합전문기관으로서의 중립성 및 안전성 책임의 의무와 결합신청자로서의 이해관계가 충돌할 수 있다. 또한 결합의 부담감이 적어 다수의 결합이 발생되며, 반출 후 데이터 축적도 가능해져 데이터의 부익부 빈익빈이 가속화 될 것”이라고 지적했다.

또한 “공공기관의 경우 보유데이터가 공공기관 소유라기보다는 공공데이터로 인식이 되며, 대부분 외부 기관의 요청으로 셀프결합을 해서 외부 기관에 주는 형태인지라 공익적 성격이 강하고 이해관계 충돌 가능성이 낮다고 판단되나, 민간기관의 경우는 이해관계가 충돌될 가능성이 매우 높을 것으로 예상된다. 마지막으로 현재 결합 데이터에 대한 유통 및 사용 이력을 관리할 수 있는 인프라가 취약한 상태라 셀프결합을 통한 가명정보 재식별 및 다른 목적으로 악용될 가능성이 존재한다”면서, “결합기관은 데이터의 공급자와 수요자의 사이에서 균형 있고 공정한 거래가 이루어질 수 있는 매개체의 역할을 해야 한다고 생각한다”고 강조했다.

이 관계자는 “가명정보는 개인정보며, 법에 따라 재식별이 불가능한 상태에서 통계작성, 과학적 연구 등의 목적으로만 사용돼야 한다. 셀프결합을 허용할 경우 의도치 않는다 해도 재식별의 위험이 상대적으로 높아질 수밖에 없다. 가명데이터의 안전한 활용을 위해서는 셀프결합을 제한해야 하며, 데이터 활용에 결합이 반드시 필요하다면 마이데이터 사업자 역할을 가져가는 것이 맞다고 생각한다. 결합사업자와 마이데이터 사업자의 역할을 명확하게 해야 공정성과 안전성에 기반해 시장이 더욱 활성화될 것으로 생각된다”고 덧붙였다.

또 다른 관계자 역시 재식별 가능성을 우려했다. 그는 “셀프결합은 결합전문기관이 가진 정보를 스스로 결합하는 것이다. 이러한 셀프결합은 가명처리 적정성 검토의 객관성과 개인을 재식별할 우려가 높다고 생각한다. 또한 셀프결합이 허용되면 데이터를 보유하지 않거나 데이터를 적게 보유한 기관에서 셀프결합을 많이 진행할 것이며, 이로 인해 정보의 비대칭 현상이 높아질 것으로 예상된다”고 지적했다.

가명정보 결합 활성화를 위해서 셀프결합 허용보다는 결합전문기관의 분야를 특정하지 말아야 한다는 의견도 나온다. 한 관계자는 “현재 가명정보 결합은 금융분야와 보건의료분야 중심으로 진행되고 있으나, 민간기업 결합전문기관에게도 분야에 상관없이 개방이 될 것으로 기대하고 있다. 가명정보 결합을 통해 데이터 유통 산업이 활성화 될 것이고, 데이터 유통 산업은 기업간 데이터의 불균형을 해소할 것으로 기대하고 있다”면서 “분야별로 결합전문기관을 특정하지 않고, 합리적인 기준에 따라 분야와 무관하게 결합전문기관이 결합 업무를 수행될 수 있도록 제도가 마련돼야 한다”고 말했다.

다양한 가명정보 결합사례로 시장 활성화 전망

가명정보 결합 및 활용에 대한 전망은 밝다. 데이터 3법 시행 직후에는 제도적인 기반이 충분하지 않아 결합에 소극적인 부분이 있었다. 하지만 최근에는 제도적인 기반도 마련되고 있고, 시범사례도 속속 등장함에 따라 가명정보 결합이 활성화되고 있다. 더불어 정부도 가명정보 결합을 활성화하기 위해 제도 개선 및 확산 방안을 추진하고 있다.

결합전문기관들은 가명정보 결합이 데이터 활용의 트렌드로 자리잡을 것으로 전망한다. 업계 관계자는 “가명정보 결합이 시행초기 다소 생소한 개념이지만 결합을 활용한 사례가 증가하며, 데이터 활용의 트랜드로 자리잡을 수 있을 것이라 생각된다. 또한 데이터 산업의 확대로 다양한 형태의 데이터 비즈니스가 발굴되는 과정에서 가명정보 데이터 결합은 기존의 데이터 활용 모델의 전환점이 될 수 있을 것으로 보인다. 향후 데이터 결합은 선택이 아니라 필수로, 기업의 전략 방향설정에 있어 중요한 과정으로 활용될 것이다”라고 말했다.

또 다른 관계자는 “가명정보 결합은 유의미한 인사이트 도출에 효과적인 방법이다. 가명정보도 개인정보이다 보니 아직은 활용을 부담스러워하고 또 케이스 연구가 미흡한 상태이긴 하지만, 지속적으로 좋은 사례가 나올 것으로 기대한다”면서 “가명정보 결합을 더욱 활성화하기 위해 각 기관의 메타데이터를 쉽게 확인하고, 안전하게 거래하고, 결합 및 분석해 볼 수 있는 마켓플레이스가 다양하게 나타날 것”이라고 설명했다. 이어 “또한 효과 높은 사례들은 상품으로도 만들어져 여러 고객에게 판매되고, 다양한 테크기업의 축적된 데이터와 결합돼 더욱 진보할 것이라 예상된다. 가명정보 결합은 마이데이터 사업, 익명데이터 거래시장과 함께 데이터 활성화의 주요 트렌드로 자리잡게 될 것”이라고 전망했다.