지난 2018년 11월 여당 주도로 발의됐지만 1년 2개월 넘게 표류하던 '데이터 3법'이 지난 9일 국회 본회의를 통과했다.

▲ (사진) 9일 오후 서울 여의도 국회 본회의장에서 열린 제374회 국회(임시회) 제2차 본회의

'데이터 3법'은 개인정보 보호법·정보통신망법·신용정보법 개정안을 일컫는 말로, 이 3법 개정안은 개인정보보호에 관한 법이 소관 부처별로 나뉘어 있어 발생하는 중복 규제를 없애 4차 산업혁명 도래에 맞춰 개인과 기업이 정보를 활용할 수 있는 폭을 넓히기 위해 마련됐다.

빅데이터 3법은 추가 정보의 결합 없이는 개인을 식별할 수 없도록 안전하게 처리된 가명정보의 개념을 도입하는 것이 핵심이다. 가명정보를 이용하면 개인정보를 활용해 새로운 서비스나 기술, 제품 등을 개발할 수 있어 기업들이 신사업을 전개할 수 있다. 또한 개인정보의 암호화나 가명 처리 등의 안전 조치 마련, 독립적인 감독 기구 운영 등을 요구하는 유럽연합(EU)의 일반개인정보보호법(GDPR)에 대응하기 위해서는 법 개정을 통해 개인정보 관련 법 체계의 통합이 요구됐다.

가명 처리된 개인정보를 연구 목적으로 활용할 수 있게 한 데이터 3법은 재계가 빅데이터 산업 활성화를 이유로 입법을 요구했던 법이다.

현행법은 기업·기관이 수집한 데이터를 활용하기 앞서 정보 주체의 동의를 받도록 의무화해왔다. 이는 개인 사생활 침해를 방지하기 위해 만들어진 조항이지만, 산업계는 데이터 경제 시대에 뒤떨어진 법제라는 지적을 제기해왔다. 미국, 중국 등 해외 정부가 기업의 데이터 수집·활용을 적극 지원해 인공지능(AI), 클라우드 등 미래 기술 경쟁력 확보에 노력을 기울이고 있는 반면, 한국은 과도한 개인정보 규제가 국내 기업의 경쟁력을 깎아먹고 있다는 것이다.

데이터 3법 통과에 따라 가명정보가 법적 개념으로 포함되면서 산업계는 비식별 데이터 결합과 활용이 활성화될 것으로 전망하고 있다. △수집할 수 있는 데이터의 양과 질 확대 △일반 개인정보보호법(GDPR) 준수에 따른 데이터 확보·활용 가능성 증가 △개인정보 불법 활용 논란으로부터의 탈피 등이 주요한 이유다.

이에 따른 개인 정보가 주체 동의없이 상업 목적으로 쓸 수 있다는 우려도 제기되고 있다.

데이터 3법에서는 기업이 필요한 빅데이터를 확보하기 위해서는 전문기관을 통한 가명처리 및 정보 반출을 법제화하고, 이를 위반 시 형사처벌 또는 과징금 등을 부과하는 등 가명정보의 처리 및 활용 절차를 구체화했다.

한국데이터산업진흥원 관계자는 “데이터 수요 기업들은 비즈니스 차원에서 다양한 상품을 이용하고 싶어한다 ”며 “데이터 3법이 도입되면 데이터 공급 기업이 제공 가능한 정보의 범주가 늘어나는 만큼 상품을 더 많이 내놓을 것이고, 이에 따라 기업의 수요도 늘어나는 결과가 나타나게 될 것 ”으로 전망했으며, 개인을 대상으로 금융·통신·에너지·유통·의료 5개 분야에서 데이터 활용 서비스를 제공하는 마이데이터 사업에 대해서도 긍정적 영향을 끼칠 것으로 예상하고 있다.

데이터 3법이 도입되면 가명 처리된 원본 데이터를 받아볼 수 있어 기업들은 데이터를 다양하게 활용할 수 있게 된다.

예를 들어 익명 처리된 정보 주체를 중심으로 국세청에서 수집된 세금 신고 데이터, 민간 기관에서 수집된 부동산 관련 데이터를 연결하는 것도 가능해진다. 총합이나 평균을 제공하는 데 그치던 통계 데이터 대비 데이터 활용 가능성이 극대화되는 것이다.

정보의 민감성 때문에 자체 수집한 데이터만 활용하는 데 그쳤던 의료 등의 분야에서도 각 기관 빅데이터센터 간 데이터 연계가 나타날 것으로 기대된다. 

아울러 가명정보에 대한 불법 논란이 해소됨에 따라 비식별화 솔루션 시장도 활성화될 것으로 전망된다.

한편, 유럽연합의 경우는 2018년 1월 은행권의 데이터를 개방하는 PSD2(개정지급결제산업지침)를 마련했으며, 같은 해 5월 개인정보를 어떻게 다룰지 규정한 GDPR을 전면 시행했다. GDPR에서는 식별정보의 경우 사전동의를, 비식별정보의 경우 사후동의를 받도록 되어 있고 상업적 목적 등의 모든 연구에서 가명정보를 활용할 수 있도록 했다.

미국은 개인정보를 연방법에서 따로 규제하지 않으며 식별정보의 경우 민감정보일 때 사전동의를 구하고 비식별정보일 때는 사후동의를 받는다.  일본의 경우 개인정보보호법을 2015년 개정해 익명가공정보 개념을 도입했다. 2018년 7월에는 GDPR의 적정성 평가를 통과해 일본 기업들은 유럽에서 개별적으로 심사를 받을 필요가 없게 됐다.