"고객 데이터 결합 확산 더뎌…이익 불확실 탓"

미국 비식별전문가 칼레드 엘 이맘 "감독기관 금지 때문은 아니다"

"통신이나 금융 서비스 사업자 사이에서 고객 데이터 결합에 관심이 많고 실제 결합도 시도되고 있다. 구체적인 사례가 공개된 건 아니다. 아직 보편화되지 않았다. 확산이 늦는 이유는 감독기관이 (데이터 결합을) 금지해서가 아니라, 상업적 이익이 검증되지 않아서다."

미국 비식별전문가인 칼레드 엘 이맘(Khaled El Emam) 프라이버시애널리틱스 최고경영자(CEO)가 6일 오후 서울에서 열린 '한·미·일 비식별전문가 토크콘서트'에서 해외 기업과 공공 부문의 개인정보 비식별화를 통한 데이터결합 이용 현황을 이같이 설명했다.

이날 토크콘서트는 초청된 미국, 일본의 비식별전문가들이 각국 개인정보보호 제도와 대응현황을 소개하고, 이들과 한국 비식별전문가가 함께 자유토론 및 참석자들과의 질의응답을 하는 방식으로 진행됐다.

엘 이맘 CEO는 미국 의료데이터 비식별조치 전문업체인 프라이버시애널리틱스 설립자 겸 대표이자, 미국 의료정보보호법(HIPAA)의 '프라이버시규칙'에 따라 '보호되는건강정보(PHI)' 익명화 분야 인증을 취득한 소수 전문가 중 한 사람이다.

히타치컨설팅 공공컨설팅본부의 미마 타다시(美馬 正司) 이사가 일본 전문가로 참석했다. 미마 이사는 빅데이터, 의료정보, 개인정보 컨설팅 업무를 맡고 있고 일본의 비식별콘테스트 'PWS CUP' 기획위원을 맡은 인물이다.

서울대학교 법학전문대학원 고학수 교수가 한국 전문가로 참석했다. 그는 보건복지부 의료정보정책 자문위원, 방송통신위원회 법령해석위원, 비식별조치 전문위원 등을 맡았고 올해 상반기 4차산업혁명위원회 규제·제도 혁신 해커톤의 개인정보보호 의제 토론에도 참여했다.

6일 KISA 한미일 비식별전문가 토크콘서츠에 참석한 전문가 3인. (왼쪽부터) 서울대 고학수 교수, 프라이버시애널리틱스 칼레드 엘 이맘 CEO, 히타치컨설팅 미마 타다시 이사.

■ "의료보건 데이터 결합 증가세…기업 이익 미검증돼 보편화 아직"

해외 개인정보 데이터결합 현황 관련 발언은 토론 후 이어진 참석자들과의 질의응답 도중 나왔다. 자신이 변호사라고 밝힌 한 질문자가 "다른 두 조직에서 나온 데이터셋을 결합하는 관행이 해외서는 어떻게 이뤄지고 있느냐"고 물었다.

이에 엘 이맘 CEO는 "의료보건분야 데이터 결합은 연구 목적과 상업적 맥락에서 수년간 이뤄졌고, 전자의료정보가 보편화하면서 점차 많아지고 있다"며 "시간이 지나면서 환자의 추이를 더 잘 관리, 추적할 수 있어 의료데이터 결합 사례가 증가하고 있다"고 답했다.

이어 "이런 이유에서 데이터 결합이 꽤 활용돼왔고 이런 경향은 유럽에서도 속도는 느리지만 마찬가지"라며 "현재 GDPR과 맞물려 어떤 함의가 있을지 해석하는 단계인데, 감독 당국이 결합을 지원하고 그런 기술을 허용하는 법제는 마련돼 있다"고 설명했다.

그는 "이건 보건분야에 한정해 말한 거고, 다른 분야 중 정부 영역에선 서로 다른 부처간 데이터셋의 결합을 원한다"며 "예를 들어 교육부는 보유 정보와 보건자료를, 범죄자 기록을 연결하고 싶어하는데 그럼으로써 대민 서비스를 개선할 수 있기 때문"이라고 덧붙였다.

또 "많은 나라가 부처간 데이터 공유를 제한하는데, 아무도 정부 데이터가 포괄적인 하나로 존재하길 원치 않아서"라며 "앞으로 여러 부처가 더 나은 서비스를 위해 결합을 허용할지, 한계를 어떻게 둘지, 균형점이 논의될 거고 캐나다에서 이런 이슈에 집중하고 있다"고 말했다.

엘 이맘 CEO는 "통신이나 금융 서비스같은 다른 민간 업계서도 고객관계관리(CRM)같은 시스템의 데이터를 포함한 정보집합물을 결합하는 데 관심이 많다"며 "실제 결합도 이뤄지고 있지만 아직 구체적인 사례는 없다"고 언급했다.

이어 "이처럼 빨리 확장되지 않는 이유는 감독기관이 그걸 허용하지 않아서가 아니라 (데이터결합을 통해 기업이 각자 취할 수 있는) 상업적인 이익이 있을지 검증이 안 돼서"라며 "편익이 검증되면 본격적으로 데이터결합을 추구하겠지만, 아직 보편화하지 않았다"고 첨언했다.

■ "안전한 데이터결합, TTP 활용하거나 보안성을 강화하거나"

답변에 이어 데이터 결합을 안전하게 할 방법과 체계, 제도적으로 갖춰야 할 요건을 묻는 후속 질문이 나왔다. 먼저 고학수 교수가 "데이터결합을 하려면 '신뢰할만한 제3의 기관(TTP)'이 있어야 하지 않은지, 그들에게 어떤 법적 책임이 있을지"를 물었다.

엘 이맘 CEO는 "TTP는 가능한 한 가지 방법이고, 충분히 보안성을 갖춘 방법이면 TTP가 반드시 필요하진 않을 것"이라며 "데이터를 충분히 암호화하고 키를 절대 외부에 두거나 데이터가 복호화되지 않게 해서 다른 조직이 그걸 들여다보지 못하게 할 수 있다"고 답했다.

그는 이어 "보안성을 더해 주는 소프트웨어 툴을 갖고 있고, 그걸로 조직이 정보를 전달하거나 처리하게 하는 회사들이 몇 곳 있는데, 그런 곳에는 TTP가 꼭 필요치 않을 거다"라며 "보안 기법을 통해 신뢰할 수 없는 조직의 개입을 막고 보호 수준을 높일 수 있다"고 말했다.

다른 질문자는 "데이터 결합을 수행하는 기관과 그 기술, 규약이 마련돼 있다고 언급했는데, 어떤 기술이 있는지, 재식별과 같은 결합 이후의 문제 발생시 책임은 누가 지는지 알고 싶다"고 물었다.

엘 이맘 CEO는 "결합을 수행하는 곳은 저(프라이버시애널리틱스)와 제 경쟁사들이고, 몇몇 기업이 제 제품을 기반으로 제공하는 데이터결합 솔루션이 있다"며 "데이터 결합하는 곳이 개인정보자체에 접근하거나 그걸 공유해선 안 되게끔 프로토콜이 사용돼야 한다"고 답했다.

이어 "잘못한 게 있다면 관계 당사자들 모두 책임을 져야하기에 소송을 당하거나 법적 문제에 휘말릴 수 있다"며 "재식별 위험이 현실화했을 때 당사자가 보호받을 수 있게 대책을 세워야 하고, 그걸 위해 책임을 어떻게 분산할 것인지는 계약에 따라 다를 것"이라고 말했다.

또다른 질문자는 미국에서 개인정보 비식별화를 통한 데이터 결합의 현황을 질문했다. 질문자는 "의료분야 외에 개인의 동의 없이 (비식별화해) 정보주체의 동의 없이 개인정보를 결합해 활용하는 민간 부문 사례를 찾기 어려운데, 아는 사례가 있는지 알고 싶다"고 물었다.

엘 이맘 CEO는 "디지털 광고 업계가 항상 (데이터) 결합에 관심이 많은데, 광고에서 노출도나 조회수 데이터가 중요하기 때문"이라며 "비 의료 부문에서 브로커링과 소프트웨어 솔루션을 제공해 그걸 지원하는 기업이 있지만 구체적인 이름을 말하긴 어렵다"고 언급했다.

고 교수는 "미국에서는 한 조직 안에서의 비식별처리를 하는 경우를 훨씬 많이 경험한 것 같고, 조직이나 기업간 사례로는 '크로스디바이스트래킹'이라는, 다수 기기의 추적으로 개별 이용자 정보를 수집하는 시장이 광고 분야에 크게 형성돼 있는 것 같다"고 지적했다.

■ "특화규제 없는 금융 비식별화, 보건의료 사례 적극 참조"

한국인터넷진흥원(KISA) 소속 질문자가 일본의 개인정보보호법 제도상 데이터결합 활용이 가능한지를 물었다. 그는 "별개 기업인 A사와 B사가 합의해서 가명화한 정보를 C사에 보내 결합하는 것이 합법적이냐"고 질문했다. 유럽 GDPR과 유사한지를 알고자한 의도로 보인다.

일본 히타치컨설팅의 미마 이사는 "비식별 데이터를 원래 데이터와 연계시키는 것은 법으로 금지돼 있다"며 "가명정보를 연계는 여러 사례가 있는데 웹서비스에서 '수퍼쿠키'라는 걸로 개인 이용자가 누군지 식별하고 광고에 이용하고 전송하는 방식도 그 하나"라고 답했다.

엘 이맘 CEO는 "A사, B사가 가명화한 정보를 C사에 제공했고 C사가 결합한 결과물을 각사에 되돌려 줬다면, 일반적인 답은 '법적으로 허용되지 않는다'고, 다만 결합 데이터를 식별할 수 없고 여러 층위로 적절히 통제된 형태임을 증명할 수 있다면 허용될 수 있다"고 말했다.

미마 이사는 "가명정보 관련 부분에 부연하자면, 원본 데이터를 가명정보로 바꿨을 때 일본은 (유럽 GDPR과) 차이점이 좀 있는 것 같다"며 "가명정보를 연계하는 데 쿠키를 이용할 수 있다고 생각하지만, 일본에서도 연계하기가 어렵다고 답하는 게 맞을 것 같다"고 첨언했다.

마지막 질문자는 금융분야 비식별조치 활용 또는 연구 사례가 있는지를 알고자 했다. 그는 토론 참석자들에게 "보건의료분야 중심의 비식별조치 연구나 사례는 많다고 알고 있는데, 금융분야사례는 찾기 어렵다"며 "미국, 캐나다, 일본, 유럽의 아는 사례를 알려 달라"고 했다.

엘 이맘 CEO는 "금융부문에서는 구체적인 비식별화 기준이나 표준을 제시하지 않고 있지만, 사례는 있다"며 "많은 금융사가 빅데이터 활용 목표를 두고 내부에서 분석을 수행하는데, 그와 협력사의 데이터를 (함께) 취급한다"고 말했다.

그는 "금융부문 고유의 특수규정을 따로 두고 있지 않아서, 가능한 한 보건의료분야의 사례와 관행을 그대로 모방하고 있다"며 "안전하고 위법 가능성이 적은 보건 분야의 특정 가이드라인, 표준, 규정을 다른 분야에서 받아들이고 있고 금융도 마찬가지"라고 설명했다.

미마 이사는 "일본에도 금융분야에서 비식별조치 활용 사례가 존재하지만 굉장히 드물고, 세부 정보를 드리기는 어렵다"며 "금융정보를 보안에 민감한 데이터로 취급하고 있고, 금융 분야 비식별사례 데이터 관련 2차 이용 분석도 어려운 상황이라, 사례가 흔하지 않다"고 말했다.