데이터 3법 개정이 바꾼 것 — 가명정보, 결합전문기관, 마이데이터

가명처리만 하면 동의 없이도 통계·연구 목적으로 데이터를 쓸 수 있게 됐다. 2020년 2월 공포된 '데이터 3법'은 개인정보보호 체계의 일원화와 데이터 활용 촉진을 동시에 달성하려는 한국의 핵심 제도 개편이다. 개인정보보호법(PIPA), 신용정보법, 정보통신망법의 개정을 묶어 지칭하며, 가명정보의 합법적 활용, 결합전문기관 제도, 금융분야 데이터 이동권과 마이데이터(MyData) 제도의 기반 확립이 골자다. 통과 이후 주요 조항은 2020년 8월부터 적용되고 마이데이터는 2021~2022년 본격화되는 등 단계적으로 시행되며 산업과 공공 전반의 데이터 활용 패러다임 전환을 촉발했다(최신 정보 확인 필요).

무엇을 바꾼 개정인가

데이터 3법은 2020년 개정된 개인정보보호법, 신용정보의 이용 및 보호에 관한 법률, 정보통신망 이용촉진 및 정보보호 등에 관한 법률의 통칭이다. 개인정보보호의 합리화와 데이터 기반 혁신 촉진의 균형을 목표로 한다.

핵심 변화는 다섯 가지로 요약된다. 개인정보보호위원회(PIPC)가 중앙 감독기구로 격상되고 권한이 일원화됐다. 가명정보가 법제화되어 통계·연구·공익 목적 활용이 허용됐다. 결합전문기관을 통한 안전한 데이터 결합 메커니즘이 도입됐다. 신용정보법을 통해 데이터 이동권과 마이데이터 제도의 근거가 마련됐다. 정보통신망법의 개인정보보호 규정은 PIPA로 이관되며 중복 규제가 정비됐다.

감독체계 일원화

개인정보보호위원회가 중앙 전담기구로 격상되면서 정책·집행·조사를 단일 기관에서 통합 수행하게 됐다. 중복 규제가 해소되고 가이드라인 일관성이 높아졌으며, 기업 입장에서는 준법 설계가 단순해졌다.

가명정보와 안전한 데이터 결합

가명처리된 정보는 통계작성, 과학적 연구, 공익적 기록 보존 목적으로 활용할 수 있게 됐다. 다만 정보주체 재식별 금지 원칙과 안전조치 의무가 함께 적용된다. 데이터 결합은 결합전문기관을 통한 절차로 제도화됐고, 사전 위험평가와 사후 모니터링 체계가 의무화됐다.

데이터 이동권과 마이데이터

신용정보법에 근거해 본인신용정보관리업(마이데이터) 허가제가 도입됐다. 정보주체가 자신의 신용정보를 전송·통합·활용할 수 있는 데이터 포터빌리티가 구현된 것이다. 표준 API, 인증, 위탁관리 요건이 규정되어 있으며 금융권을 시작으로 단계적으로 확장되고 있다(최신 정보 확인 필요).

동의의 합리화와 목적 외 이용 통제

과도한 동의 요구를 완화하는 대신 고지·투명성을 강화했다. 가명정보를 특정 목적으로 활용할 때는 예외를 인정해 합리적인 처리 근거를 확보했다. 목적 외 이용·제공에는 내부 통제와 기록·감사 의무가 강화됐고, 접근권·삭제·정지권 등 정보주체 권리 보장 체계가 명확해졌다.

안전성 확보조치와 기록관리

가명처리 기준, 재식별 위험평가, 기술·관리적 보호조치의 요구수준이 제시됐다. 로그, 처리기록, 접근통제, 암호화 적용 의무가 강화됐다. 침해사고 대응 및 통지 절차가 구체화되면서 사고 대응 시간 단축과 영향 최소화가 기대된다.

도입·운영 절차

단계적 구축은 데이터 맵핑 및 법적 근거 식별에서 시작한다. 개인정보·가명정보·익명정보를 분류하고 처리 목적·보관기간·전송 주체를 정의해야 한다. 다음은 가명처리·결합 설계 단계로, 표준화된 가명처리 규칙과 재식별 위험평가, 결합전문기관 연계 프로세스를 수립한다. 마지막으로 권리행사·통제 운영 단계에서는 전송요구·동의철회·열람·삭제 요청 처리 SLA와 위반 탐지·차단·감사 로깅을 설계한다.

에러·리스크 처리는 동의 부재·철회, 본인확인 실패, 목적 외 이용 시 자동 차단과 통지 메커니즘을 가동하는 방식이다. 재식별 위험이 상향되면 즉시 재가명처리 및 사용중단, DPIA(영향평가) 재수행으로 이어진다.

⤢✕

산업별 활용

금융에서는 마이데이터를 기반으로 다중 금융기관 보유 데이터를 통합한 대시보드·지출 분석·상담 자동화를 구현한다. 표준 API·동의 관리·대리인 위탁 체계로 안전한 전송과 정합성을 확보한다.

보건의료·제약에서는 병원·공공데이터를 결합해 임상연구와 신약후보 탐색에 활용한다. 결합전문기관을 경유한 분석과 재식별 위험평가로 윤리·법적 리스크를 완화한다.

유통·제조에서는 고객 행동·설비 센서 데이터를 가명 결합해 수요예측·불량탐지 모델을 고도화한다. 데이터 공급망 계약과 보안조치 표준화로 파트너링을 가속한다.

공공 부문에서는 부처 간 가명 결합으로 사회지표를 정밀 측정하고 정책 효과성을 평가한다. 공익 목적 활용 예외 규정을 활용해 신속한 분석과 결과 공개가 가능해졌다.

법별 핵심 개정 비교

법률	핵심 개정	산업 영향	운영 포인트
개인정보보호법(PIPA)	개인정보보호위원회 중앙화, 가명정보 법제화, 결합전문기관 제도	데이터 활용 합법성 명확화, 규제 일관성 제고	가명처리 표준 수립, 재식별 위험평가, 기록·감사 강화
신용정보법	데이터 이동권, 본인신용정보관리업(마이데이터) 허가제, 표준 API	개인화 금융·신용혁신 서비스 확산	동의·전송 이력관리, 인증·접근통제, 위탁관리 체계
정보통신망법	개인정보 조항의 PIPA 이관, 중복 규정 정비	규제 중복 해소, 준법비용 절감	내부 규정·지침의 PIPA 기준 단일화

개정이 만든 변화의 크기

결합전문기관 표준 절차를 도입하면 데이터 준비·결합 리드타임, 즉 TTD(Time-To-Data)를 20~40% 단축할 수 있다(조직 성숙도에 따라 편차 존재). API 기반 전송으로 동의·전송을 자동화하면 수기 대응 비용을 30% 내외 절감할 수 있다(프로세스 자동화 수준에 의존). 가명처리·최소화 설계를 갖추면 침해사고가 발생해도 피해 범주를 1단계 낮출 수 있다는 기대도 있다(재식별 가능성 관리가 전제).

정성적으로는 합법적 데이터 활용 공간이 넓어지고 혁신이 촉진된다. 정보주체의 신뢰가 높아지고 서비스 수용성이 올라간다. 규제기관과의 소통 창구가 단일화되면서 예측가능성도 커진다. 가명정보·결합전문기관·데이터 이동권을 축으로 한 이 전환은 조직에 데이터 맵핑→가명처리·결합 설계→권리행사·감사 운영이라는 절차 정립과 자동화 투자를 요구한다. 후속 개정과 세부 가이드라인이 바뀔 수 있으므로 최신 정보를 계속 확인해야 한다.