[컴퓨터월드] 유럽 개인정보보호법(GDPR)이 지난 5월 25일 본격 시행됐다. GDPR은 개인정보를 활용함에 있어 개인정보주체자의 권리 보장을 위한 내용으로 구성돼 있다. GDPR에서 주목해야 할 부분은 개인정보 활용하기 위해서는 가명화, 익명화 등 비식별화 조치가 수반돼야 한다는 점이다. 우리나라도 GDPR에 대응하기 위해 적정성 평가를 추진하고 있다. 하지만 국내에서는 GDPR이 정의하고 있는 가명 처리에 대한 법적 정의도 정립되지 않은 상태다.

비식별화 조치에 대한 국제 표준은 올해 마련될 것으로 전망된다. 이에 국내에서는 개인정보 처리에 있어 활용과 보호라는 두 가지 관점에서 정부와 학계, 산업계의 활발한 논의가 이뤄지고 있다. 데이터가 원유로 비유되는 4차 산업혁명시대에 개인정보를 활용하기 위한 비식별 조치 관련 현황을 살펴봤다.

이제 형성되기 시작한 개인정보 비식별화 시장

유럽연합(EU)의 개인정보보호법(GDPR)이 지난 5월 25일 본격 시행됐다. GDPR은 자연인에 관한 기본권과 자유, 특히 개인정보보호에 대한 권리를 보호하고, EU 역내에서 개인정보의 자유로운 이동을 보장하는 것을 목적으로 제정됐다. GDPR은 개인정보 삭제권, 처리 제한권, 개인정보 이동권, 반대권 등의 신규 권리 추가 및 기존 권리를 명확하게 해 95년 지침보다 정보주체의 권리를 확대·강화한 것이 특징이다. 이외에도 DPO 지정, 정보보호 체계 등의 내용을 포함해 기업의 책임성을 강화했다.

GDPR은 강력한 개인정보보호 규제이긴 하지만, 규정이 준수되는 범위 안에서 개인정보의 활용을 보장하는 법이기도 하다. 까다로운 절차를 준수했을 경우 개인정보 주체의 동의를 받은 범위 내에서 개인정보 활용이 가능한 것이다. 이에 규정을 준수하고 개인정보를 활용할 수 있는 방안이 활발하게 논의되고 있다.

GDPR은 개인정보 처리 수단의 결정 시점과 처리 당시 시점에서 개인정보보호의 원칙을 적용해야 한다고 규정하고 있다. 컨트롤러는 최신 기술, 실행 비용, 개인정보 처리의 성격과 범위, 상황, 목적, 개인정보 처리로 인해 개인의 권리와 자유에 대해 발생할 수 있는 변경 가능성, 중대성 및 위험성 등을 고려해 적절한 조치를 취해야 하는 것이다. 이런 조치는 개인정보 처리의 최소화, 정보주체의 권리 보장, 가명처리와 같은 개인정보 비식별화 등이 해당된다.

여기서 개인정보 활용 방법으로 논의가 활발한 분야가 비식별화다. 개인정보 비식별 처리에는 가명화와 익명화로 크게 구분할 수 있다. 다만 가명화의 경우 추가적 정보를 활용하면 개인을 식별할 수 있는 정보이기 때문에 식별 가능한 개인정보로 봐야 한다고 명시돼 있다. 가명처리된 정보는 GDPR 준수 의무에서 완전히 배제되지는 않지만, 가명처리 기술을 사용하는 경우 컨트롤러에 대한 요구사항이 완화되는 등의 인센티브가 있을 것으로 생각된다.

▲ 비식별 조치 및 사후 관리 절차(출처: 금융보안원)

GDPR은 개인정보 처리의 당초 목적과 양립 가능성 여부를 판단하는 보호조치 중 하나로 가명처리를 명시하고 있다. 특히 공익을 위한 기록 보존의 목적, 과학이나 역사적 연구 목적, 또는 통계 목적인 경우의 정보처리는 당초 목적과 양립 가능성이 있는 것으로 보고 가명처리를 통해 추가적인 개인정보 처리가 가능하다고 밝히고 있다. 다만 추가적 정보는 기술적, 관리적 조치 하에 별도 분리 보관해야 하며, 이 경우 재식별을 엄격하게 금지시키고 있다.

익명화는 개인정보에 익명 처리 기술을 통해 개인을 식별할 수 없는 정보로 처리하는 방식을 뜻한다. 익명화의 대표적인 기술 중 하나를 꼽으면 데이터 마스킹(Data Masking)을 들 수 있다. 데이터 마스킹은 데이터셋에서 특정정보를 없애는 방식이다. 예를 들어 서류에서 주민등록번호를 별표(*)로 표시하는 등 데이터를 가공하는 것이다.

유럽 GDPR에서는 익명화 기술 중 애드노이즈(Add Noise)와 딜리트(Delete) 기법을 강조하고 있다. 애드노이즈는 문자 등을 넣어 개인정보를 식별할 수 없게 만드는 기법이고, 딜리트는 개인정보를 삭제해 식별하지 못하도록 한다. 딜리트 기법의 대표적인 기술이 데이터 마스킹이다.

개인정보 비식별화 국제 표준, 올해 내 마련될 전망

개인정보 활용은 컴플라이언스와 밀접한 연관이 있다. 우리나라의 경우 개인정보보호법을 통해 개인정보보호와 활용을 법으로 규정하고 있다. 유럽의 GDPR도 비슷한 인식에서 제정된 규정이다. 미국의 표준기술연구소(NIST)에서도 개인정보 활용을 위한 표준을 마련해놓고 있다.

개인정보 비식별화에 대한 논의가 시작된 것은 2014년부터다. 국제표준화기구(ISO)와 국제 전기 표준 회의(IEC)는 개인정보 비식별 처리 기술 표준 ‘DIS 20889’를 개발하고 있다. 올해 ‘ISO/IEC 20889’ 표준으로 지정될 것으로 전망된다.

▲ 비식별 조치 가이드라인 비교 (출처: 금융보안원)

‘ISO/IEC 20889’는 ‘ISO/IEC 29100(Privacy Framework)’에서 제시하고 있는 프라이버시를 강화하기 위한 비식별 기술을 정의하고 있다. 이 표준에는 비식별 관련 용어의 정의, 비식별 기술에 대한 분류, 비식별 모델, 비식별 기술의 적용 원칙 등을 포함하고 있다.

‘ISO/IEC 20889’는 데이터 비식별 기술을 크게 8가지 범주로 나누고 있다. 세부적인 기술로 살펴보면 21가지로 나눌 수 있다. 표준에서는 마스킹, 가명화, k-익명성, l-다양성, t-유사성, 샘플링, 총계 등 다양한 방식의 비식별 기술을 제시하고 있다. 세부적으로 알려진 마스킹 등의 기법 외에도 데이터 해부화, 가상 데이터 생성, 복호화를 하지 않고도 연산을 가능토록 하는 동형 암호화 등의 기법이 추가됐다.

또한 개별화, 연결 가능성, 추론 가능성, 구별 불가능성 등 재식별 가능성을 판별하는 4가지 기준을 제시하고 있다. 다만 비식별 처리 절차와 비식별 처리된 데이터에 대한 재식별 위험 관리 방법에 대한 내용은 포함하지 않고 있다.

비식별화 시장이 가장 활성화된 국가는 미국

김기태 파수닷컴 컨설팅사업팀장은 미국의 비식별화 시장이 가장 활성화돼 있다고 설명했다. 미국은 상무부 산하 표준화 기구인 NIST에서 20여 년간의 비식별화에 대한 논의를 정리한 ‘개인 식별 정보의 비식별 처리 가이드’를 2015년 발간했으며, 이 보고서의 확장으로 ‘공공데이터에 대한 비식별 처리 가이드’를 2016년 말 추가로 발간했다.

미국의 ‘개인 식별 정보의 비식별 처리 가이드’는 모든 데이터 비식별화 기술에는 재식별 위험성이 존재한다는 것을 전제로 하고 있다. 특히 특정인과 정보 간 연결가능성 등 비식별화 데이터 유형에 따라 프라이버시 침해 위험성의 정도를 표현하는 개념을 제시했다. 즉, 데이터가 특정인과 연결됐는지, 특정인과 연결될 잠재적 가능성이 있는지, 특정인은 아니지만 어느 정도 사람들과 연결될 가능성이 있는지 등에 따라 해당 정보가 식별돼 프라이버시를 침해할 위험성이 달라지는 것을 표현해 놨다.

▲ NIST에서 정의한 비식별화 데이터 유형 (출처: 금융보안원)

또한 비식별화, 재식별화의 개념들을 개괄적으로 정의하고, 이미지나 유전자 정보와 같은 복잡한 정보의 비식별화에 대한 요구사항을 제시했다. 데이터 비식별화를 위한 방법으로 삭제, 마스킹 등 다양한 방법들을 설명했고, 비식별화는 단일한 기업만 존재하는 것이 아니라 개별적인 활용 목적이나 상황에 따라 다양한 비식별 처리 기법이 수행될 수 있다고 설명했다.

2016년 말 발간된 ‘공공데이터에 대한 비식별 처리 가이드’는 이전 ‘개인 식별 정보의 비식별 처리 가이드’에서 다루지 않은 빅데이터 처리과정에서의 데이터 생명주기 사례를 제시하고 생명주기 별 비식별 처리 고려사항을 제시했다. 또한 비식별 처리 결과를 평가하기 위해 전문가가 참여하는 위원회에 대한 필요성을 포함했고, 비식별 처리 방법에 대한 교육과 홍보·연구의 중요성을 언급했다.

미국에서는 개인정보 보호에 관한 일반법이 없다. 개별 법령에서 제한하지 않는 한 자유로운 데이터 이용이 보장되는 것이다. 미국에서는 분야별로 개인정보 보호에 관한 개별 법령이 운영되고 있는데, 의료와 교육 분야를 대표적으로 들 수 있다.

의료정보는 ‘건강보험 이전과 책임에 관한 법(HIPPA)’에 따른 ‘HIPPA 프라이버시 규칙’에서 비식별 조치의 기준이 제시되고 있다. 비식별 조치가 된 의료정보는 제한없이 이용이 가능하다. 교육정보와 관련해서는 ‘가족의 교육적 권리 및 프라이버시 법(FERPA)’가 있다. 이 법은 비식별 조치된 학생기록에 대해 별도의 동의 없이 배포가 가능하게 규정하고 있다. 비식별 조치는 특정인임을 추론할 수 있는지 여부를 검토해 일정 확률 수준 이상 비식별화가 되도록 하는 기법인 ‘k-익명성 모델’을 활용토록 명시하고 있다.

EU GDPR, 개인정보 가명화 강조

김기태 탈레스 e시큐리티 한국지사장은 GDPR에서 가장 강조되는 개념 중 하나가 ‘가명화(Pseudonymisation)’라고 설명했다. GDPR을 준수하기 위해서는 시스템에 개인정보가 저장될 때 해당 정보들이 가명화돼 저장돼야 한다는 것이다. 이런 측면에서 기존에 데이터 활용에 사용되던 데이터 마스킹 기술과 차이가 있다. 김기태 지사장의 설명에 따르면, 기존 데이터 마스킹과 같은 기술은 실제 서비스를 제공하는 시스템에서는 개인정보가 원래의 값을 유지하는 개념이지만, GDPR은 다르다.

데이터 마스킹과 같은 기술이 가명화 요건까지 충족하려면 ▲마스킹으로 변환되는 값이 유일할 것 ▲마스킹된 값으로부터 원본을 유츄할 수 없어야 할 것 ▲시스템상 원본이 존재하지 않기 때문에 서비스 고가용성을 갖출 것 ▲애플리케이션 내부에서도 복원되지 않는 동적 마스킹 기술이 적용될 것 등이 필요하다.

김기태 지사장은 “GDPR의 가명처리는 ‘추가적인 정보의 사용 없이는 더 이상 특정 개인정보주체에게 연계될 수 없는 방식’으로 개인정보를 처리하는 것”이라며, “다른 한편으로는 프라이버시 보호를 강화시키는 기술을 사용해 그 침해 위험이 감소된 정보는 자유롭게 활용할 수 있도록 하는 접근방식을 취하고 있다”고 말했다.

< 인터뷰> “토큰화 기술 사용해 가명 처리 기법 구현” 김기태 탈레스 이시큐리티 한국지사장 탈레스는 EU GDPR에 어떻게 대응하고 있나. 탈레스 이시큐리티는 토큰화 기술을 사용해 가명처리 기법을 구현했다. 탈레스 이시큐리티의 ‘보메트릭 토큰화’는 형태 보존 토큰화 기술을 사용해 데이터베이스 내의 민감한 필드를 형태 변경 없이 보호할 수 있게 지원한다. ‘보메트릭 토큰화’를 사용하면 운영계 시스템 내 개인정보를 비롯한 모든 민감한 정보를 가명화함으로써 GDPR뿐만 아니라 HIPPA, PCI-DSS 등 가명화를 요구하는 전세계 모든 규제를 준수할 수 있다. 또한, ‘보메트릭 토큰화’는 애플리케이션에 정책 기반의 동적 데이터 마스킹을 빠르고 쉽게 추가할 수 있도록 만들어 주며, 동적 데이터 마스킹은 역할과 템플릿 기반으로 구현되므로 다양한 마스킹 요구 사항을 쉽게 반영할 수 있다. 결과적으로, 비용과 복잡성을 감소시키고 성능을 향상시킬 수 있으며, 글로벌 규모와 고가용성을 보다 쉽게 확보할 수 있다. GDPR에서 요구하는 가명 처리는 소스 데이터의 포맷을 유지하며 데이터를 인식이 불가능한 형태로 만드는 것이다. 그러나 저장하고자 하는 데이터 유형이 텍스트 파일, PDF, MP3 등의 형식인 비정형 데이터의 경우, 가명화는 개인정보보호를 위한 적절한 솔루션이 되지 못한다. 이 경우에는 파일 시스템 레벨의 암호화가 더 적절할 것으로 생각된다. ‘보메트릭 토큰화’의 특장점은. ‘보메트릭 토큰화’는 운영 시스템의 변경을 최소화 하고 성능을 보장하기 위해 다음과 같은 사항에 중점을 두고 개발했다. 먼저 무결성 및 보안성은 탈레스가 HSM 및 암호화 관련 사업에 전념해온 노하우를 적용해 HSM 기술을 바탕으로 안전한 키 관리 플랫폼을 제공한다. 또한 서비스 가용성을 보장하기 위해 클러스터 구조를 지원하며 최대 48노드를 지원한다. 또한 설치 후 증가하는 성능 수요를 지원할 수 있도록 동적인 노드 추가 및 삭제를 지원하고 있다. 더불어 시스템 관리자와 데이터 소유자간 강력한 권한 분리를 통해 개인정보의 내부 유출을 차단하고, 동적 데이터 마스킹에 역할 기반 권한 관리를 도입해 원본 개인정보를 안전하게 관리한다. 이외에도 개발 및 테스트 환경 지원, 배치 데이터 변환 도구 제공 등이 특징이다.

국내 산·학·연 및 정부 주도 논의 활발

국내에서도 개인정보 활용을 위해 비식별화 논의가 한창이다. 국내 비식별화 논의의 핵심 이슈는 크게 두 가지로 볼 수 있다.

첫째는 개인정보를 암호화해 비식별 조치를 한 가명 정보를 산업적 연구에 허용하느냐의 문제다. 현재 개인정보보호법에서는 비식별화된 가명 정보에 대해 학술적 연구만 허용하고 있다. 하지만 가명 정보는 개인이 특정되지 않는 만큼 산업적 연구에 활용할 수 있게 해달라는 것이 산업계의 요청이다. 예를 들어 고객 개인정보를 암호화해 이를 기반으로 소비자 트렌드 분석을 하고자 하는 기업들이 있다.

▲ 비식별 조치 방법 예시 (출처: 금융보안원)

두 번째는 데이터 결합 허용이다. 서로 다른 두 기업이 고객의 개인정보를 비식별화한 후 서로의 데이터를 결합하면 특정 연령대, 직업군에 대한 정보를 분석할 수 있다. 이를 통해 해당 기업은 특정 집단군을 대상으로 새로운 상품과 서비스를 선보일 수 있고, 기업의 데이터를 연결해주는 과정에서 ‘데이터 유통 시장’도 생길 수 있다. 산업계는 빅데이터 산업을 육성하기 위해서는 데이터 재결합이 반드시 필요하다고 주장하고 있다.

지난 2016년 6월 국내에서 정부 주도로 ‘개인정보 비식별 조치 가이드라인’이 발표됐다. 2016년 가이드라인은 당시 ▲정부 3.0 및 빅데이터 활용 확산에 따른 데이터 활용가치 증대 ▲개인정보 보호 강화에 대한 사회적 요구 지속 ▲보호와 활용을 동시에 모색하는 세계적 정책 변화에 적극 대응 등을 위해 추진됐다.

이 가이드라인은 비식별 조치 기준을 4단계로 제시했다. 먼저 ‘사전 검토’ 단계는 데이터가 개인정보에 해당하는지 여부를 검토 후, 개인정보가 아닌 것이 명백한 경우 법적 규제 없이 자유롭게 활용하도록 명시하고 있다. 여기서 개인정보로 판단된다면 2단계인 ‘비식별 조치’로 이행하면 된다. 데이터 셋에서 개인을 식별할 수 있는 요소를 전부 또는 일부 삭제하거나 대체하는 등의 방법을 활용 개인을 알아볼 수 없도록 조치를 취해야 한다.

2단계를 진행했다면, 다른 정보와 쉽게 결합해 개인을 식별할 수 있는지를 판단하는 ‘비식별 조치 적정성 평가’를 진행해야 한다. 가이드라인은 이 적정성 평가를 ‘비식별 조치 적정성 평가단’을 통해 평가받아야 한다고 명시하고 있다. 마지막으로 비식별 정보 안전조치, 재식별 가능성 모니터링 등 비식별 정보 활용 과정에서 재식별 방지를 위해 필요한 조치를 수행해야 하는 ‘사후관리’가 필요하다.

▲ 재식별 판별을 위한 4가지 기준 (출처: 금융보안원)

‘개인정보 비식별 조치 가이드라인’은 비식별 조치 방법에 대해 ▲가명처리 ▲총계처리 ▲데이터 삭제 ▲데이터 범주화 ▲데이터 마스킹 등 여러 가지 기법을 단독 또는 복합적으로 활용하라고 명시했다. 다만 가명처리 기법만 단독으로 활용할 경우는 충분한 비식별 조치로 보기 어렵다고 강조했다. 또한 각각 기법에는 이를 구현할 수 있는 다양한 세부기술이 있으며, 데이터 이용목적과 기법별 장단점을 고려해 적정한 기법을 선택, 활용해야 한다고 제시했다.

이 가이드라인은 가명 정보의 산업적 연구허용과 데이터 결합 허용의 내용을 포함하고 있다. 일정 조건하에서의 허용이긴 하지만, 국내에서는 이 가이드라인을 기반으로 개인정보를 활용하려는 움직임이 있었다. 실제로 2017년 수십 건의 데이터 결합이 이종 기업 간 발생하는 성과도 있었다.

하지만 참여연대를 비롯한 시민단체 12곳이 ‘개인정보 비식별 조치 가이드라인’에 따라 데이터 사업을 시작한 한국인터넷진흥원(KISA) 등 4개 기관과 현대자동차, SK텔레콤, 삼성생명 등 기업 20곳을 개인정보보호법 위한 혐의로 검찰에 고발하는 일이 있고나서, 이를 활용하려는 기업들의 움직임이 소극적으로 변했다. 업계 관계자들은 한 목소리로 “현행 개인정보보호법을 개정하지 않는 한 개인정보 활용은 어렵다”고 말했다.

이후 올해 들어 다시 논의가 활발해지고 있다. 지난 4월 대통령직속 4차산업혁명위원회가 ‘규제·제도혁신 해커톤’을 개최, 개인정보의 보호와 안전한 활용에 대한 균형을 논의하는 자리를 마련했다. 산업계와 시민단체, 정부 측 인사들이 앞의 두 가지 이슈에 대해 총론에서는 허용하는 것으로 가닥을 잡았지만, 기술적 문제, 사후 처리 방식 등과 관련된 각론에서는 의견차를 좁히지 못했다.

기업간 경쟁보다 시장 활성화가 우선

2016년 ‘개인정보 비식별 조치 가이드라인’을 통해 개인정보 비식별화 시장을 형성하려는 움직임이 있었다. 하지만 2017년 11월 시민단체의 고발로 인해 기업과 기관들이 소극적으로 변했고, 이에 우리나라의 비식별화 시장은 위축돼 있는 상황이다.

보안 업계 관계자들은 한 목소리로 “비식별화는 컴플라이언스와 밀접한 연관이 있는 분야”라며, “컴플라이언스가 마련돼야 시장이 형성될 수 있다”고 말했다. 김기태 파수닷컴 팀장은 “비식별화는 컴플라이언스에 맞춰갈 수밖에 없는데, 현재로선 정부도 오락가락하는 상황”이라며, “시민단체가 주장하는 보호의 관점과 산업계가 요구하는 활용의 관점이 다르며, 이는 결국 제도를 만드는 정부가 방점을 어디에 찍느냐에 달렸다”고 강조했다. 이어 김 팀장은 “정부에서 제도를 만들어야 시장이 커지고 기업 간 경쟁이 유발된다”며, “지금으로선 기업간의 경쟁보다 시장을 형성하는 게 먼저”라고 덧붙였다.

박천오 피앤피시큐어 대표는 “비식별화 조치는 학문적, 법적 개념정립이 필요하다”며, “기술적인 측면에서 파일 비식별화와 DB 비식별화 두 가지 부류로 나눌 수 있을 것으로 보이며, 이에 따라 시장이 형성될 것”이라고 말했다. 박 대표는 이어 “비식별화와 관련해 보안 기업들은 준비가 되어 있으며 컴플라이언스가 마련되는 대로 시장이 형성될 것으로 보인다”며, “기준점이 될 컴플라이언스 마련이 시급하다”고 덧붙였다.

지난 6월 14일 진행됐던 개인정보보호법학회 학술 세미나에서 지성우 성균관대학교 교수는 ‘가명/익명정보의 합리적 보호와 활용방안’을 주제로 발표하면서, ▲정보통신기술 발전현황에 적합한 수준으로 입법돼야 할 것 ▲개인정보보호 관련 입법은 국제적 수준에 적합해야 할 것 ▲개인정보보호에 관한 법제를 전반적, 종합적. 체계적으로 해석하고 관리할 수 있는 행정기관을 창설해 컨트롤타워를 명확히 할 것 등의 방안을 제시했다.

지성우 교수는 세미나 발표를 통해 “빅데이터 시대에는 먼저 비식별화가 개인정보보호에 어떤 기여를 하는지에 대한 연구가 선행돼야 한다”며, “또한 방송통신위원회가 발표한 ‘빅데이터 개인정보보호 가이드라인’보다 실효성 있는 법제화가 필요하다”고 강조했다. 이어 “국내 개인정보보호법은 가명 처리에 대해 애매한 부분이 있다”며, “법·제도 정비 이전에 개념 정립이 우선시돼야 한다”고 지적했다.

< 인터뷰> “국내 비식별화 시장 형성이 먼저” 김기태 파수닷컴 컨설팅사업팀장 국내 비식별화 시장 상황은. 국내 비식별화 시장은 컴플라이언스도 마련되지 않은 초기 시장이다. 2016년 ‘개인정보 비식별 조치 가이드라인’이 만들어질 때 이지서티, 펜타시큐리티, 파수닷컴 등 4개 업체가 솔루션을 출시했다. 다만 파수닷컴의 ‘애널리틱(Analytic) DID’를 제외한 제품들은 활용보다는 보호에 초점을 맞추고 있다. 이마저도 지난해 시민단체의 고발 이후 개인정보 활용이 더욱 소극적으로 움츠려들었다. 비식별화 기술과 관련 표준은 국제적으로 ISO/IEC 20889가 마련되고 있다. 이후 국내에서도 컴플라이언스가 마련되면 시장이 확대될 것으로 전망된다. 다만, 아직 국제 표준 및 국내 컴플라이언스도 마련되지 않은 상황에서 정확한 예측은 불가능하다. ‘애널리틱 DID’의 특장점은. 파수닷컴은 ‘애널리틱 DID’를 개발할 때 데이터의 활용에 초점을 맞췄다. 타사 제품에 비해 사용하기 불편할 수도 있지만, 그만큼 데이터 활용도가 높다고 생각한다. 또 타사 제품들은 KLT(k-익명성, l-다양성, t-유사성) 기반으로 개발된 것에 비해, ‘애널리틱 DID’는 분석을 위한 DP(Differential Privacy)를 기반으로 개발됐다. KLT는 활용성은 적지만 제약성이 크다는 단점이 있다. 우리나라 컴플라이언스는 제약적인 환경조건까지 포함하고 있기 때문에 KLT 기반의 솔루션이 많이 개발됐다. ‘애널리틱 DID’는 의사 결정에 도움을 줄 수 있도록 빅데이터 분석의 효용성과 위험에 대한 다양한 지표를 가시화해 제공해 준다. 권한 및 정책에 따른 사용 관리 및 익명화 위임 등을 통해 효율적인 업무 프로세스도 지원하며, 개인정보보호법, 빅데이터 진흥법, HIPPA 등 빅데이터 활성화 관련 국내/외 컴플라이언스를 완벽하게 지원해 안전하고 신뢰할 수 있는 빅데이터 사용 환경을 구축할 수 있다. 더불어 파수닷컴은 ISO/IEC 20889에 적합한 솔루션을 개발하고 있다. 아직 국제 표준으로 지정되지 않았지만, 국제 규격안의 약호인 DIS인 단계인 만큼, 올해 안에 지정될 것으로 보인다. 최근 DIS 20889에 맞춰 동형 암호화 기술을 포함시키고 있으며, 올해 말까지 국제 표준에 적합한 솔루션을 만드는 게 목표다. 또 이렇게 국제 표준에 적합한 솔루션으로 만든다면 글로벌 시장에서도 경쟁력이 있을 것으로 기대하고 있다.

개인정보 활용과 보호, 두 마리 토끼 모두 잡아야

개인정보 비식별화는 국제적으로 뜨거운 이슈다. 데이터 활용 측면에서 시장을 선도하기 위한 경쟁이 치열하기 때문이다. 현재로선 미국과 유럽이 주도하고 있는 상황이다. 유럽은 GDPR을 시행함으로써 EU 내에서 개인정보를 보호하면서도 활용할 수 있는 방안을 마련했다. 더불어 역외이전에 관한 규정을 마련함으로써 EU 지역 외에서 EU 국민의 정보를 활용하는 것에 제약을 뒀다. 미국도 개별법을 통해 개인정보를 포함한 데이터를 활용할 수 있는 방안을 마련해뒀다. 비식별화 조치만 이뤄진다면 의료정보도 활용할 수 있다.

우리나라의 경우 개인정보보호법을 통해 개인정보보호에 대한 기준을 강력하게 규정하고 있다. 보호 측면에서는 높이 평가할 수 있지만, 데이터와 관련된 산업 발전에 있어서는 걸림돌이 되는 상황이다. 국내에서도 데이터 관련 산업을 육성해야 한다는 목소리가 커지고 있다. 미래 먹거리로 기대되는 빅데이터 산업에 뒤쳐져서는 안 된다는 것이다. 이에 정부를 비롯한 산업계, 학계가 함께 활발히 논의하고 있다.

하지만 시민단체와 산업계 간에 의견차는 아직 존재하고 있는 것으로 보인다. 큰 틀에서 활용이라는 방향은 잡았지만, 세부적인 내용에서 의견차를 좁히지 못하고 있다는 것이다. 활용과 보호는 둘 다 포기하지 못하는 사항이다. 활용을 포기하면 빅데이터 산업에서 뒤처질 수밖에 없으며, 보호를 포기하면 개인의 인권 문제가 생길 수 있다. 두 가지를 모두 만족할 수 있는 합리적인 방안으로 컴플라이언스가 마련돼야 하는 이유다.