데이터 3법이 바꾼 개인정보 활용과 보호 체계

개인정보 활용의 경계를 다시 그린 법 개정

데이터 3법은 개인정보보호법, 정보통신망법, 신용정보법을 아우르는 명칭이다. 2020년 개정을 통해 데이터 경제 활성화와 개인정보 보호 강화라는 두 목표를 함께 다루도록 법체계를 조정했다.

개정의 배경에는 4차 산업혁명에 따른 데이터 활용 수요, 기존 법체계의 중복 규제와 법적 불확실성, 글로벌 디지털 경쟁, EU GDPR 등 국제 개인정보 보호 기준에 대한 대응 필요가 있었다.

개인정보보호법에서 달라진 정보의 구분과 거버넌스

개정법은 개인정보의 처리 상태를 구분하는 기준을 보다 분명히 했다. 가명정보는 추가정보 없이는 특정 개인을 알아볼 수 없도록 처리한 정보다. 익명정보는 더 이상 개인을 식별할 수 없게 처리된 정보로, 개인정보보호법 적용 대상에서 제외된다.

가명정보는 통계작성, 과학적 연구, 공익적 기록보존을 위한 목적이라면 정보주체 동의 없이 활용할 수 있다. 대신 결합 절차와 안전장치를 두고, 가명정보를 처리할 때 안전조치를 의무화했다.

개인정보 보호 업무의 중심도 개인정보보호위원회로 모였다. 개인정보보호위원회는 국무총리 소속 중앙행정기관으로 격상됐으며, 행정안전부와 방송통신위원회가 맡던 개인정보 보호 관련 기능이 이관됐다.

⤢✕

정보통신망법은 개인정보 규정을 분리했다

정보통신망법에 흩어져 있던 개인정보 보호 규정은 개인정보보호법으로 옮겨졌다. 이에 따라 온라인과 오프라인을 나누던 개인정보 보호 규제 체계가 하나로 정리됐다.

정보통신서비스 제공자에 관한 특례 규정도 신설돼 적용상 혼란을 줄이고 규제 효율성을 높이는 방향을 취했다. 다만 불법 스팸과 사이버 보안처럼 개인정보 보호와 직접 관련 없는 정보통신망 규정은 유지됐고, 해당 규정은 방송통신위원회 소관으로 남았다.

신용정보법이 연 금융 데이터 활용의 범위

신용정보법 개정은 금융 분야의 데이터 활용 기반을 넓혔다. 가명정보 개념과 활용 범위를 도입하고, 빅데이터 분석·활용의 법적 근거를 마련했다. 본인신용정보관리업인 MyData는 정보주체가 자신의 신용정보를 통합 조회하고 관리할 수 있는 서비스다.

정보주체 권리도 함께 강화됐다. 자동화된 개인정보 처리에 관해 설명을 요구할 수 있는 프로파일링 대응권이 도입됐고, 본인 정보를 다른 금융회사나 기관으로 보내도록 요구하는 개인정보 전송요구권, 즉 데이터 이동권도 마련됐다. 신용정보 활용 동의 방식은 동의 내용을 더 명확하고 단순하게 만드는 방향으로 바뀌었다.

신용정보업 규제 체계의 선진화, 금융 빅데이터 인프라 구축 지원, 개인정보 자기결정권 강화를 통한 금융소비자 보호 역시 개정의 범위에 포함된다.

⤢✕

의료·금융·공공 데이터 결합의 활용 모습

의료 영역에서는 서로 다른 병원의 환자 데이터를 가명처리해 결합하고 희귀질환 연구에 활용할 수 있다. 건강보험공단의 빅데이터와 제약회사의 임상데이터를 결합해 신약 개발 효율성을 높이거나, 의료기관의 진료기록을 가명처리해 의학 연구와 신약 개발에 쓰는 방식도 제시된다.

금융 분야에서는 MyData 기반의 개인 맞춤형 금융상품 추천, 여러 금융기관 신용정보 결합을 통한 신용평가 정확도 향상, 거래 패턴 분석을 활용한 금융사기 예방 시스템 개발이 가능하다.

공공 분야는 인구통계·교통·소비 데이터를 결합한 도시계획, 재난안전 데이터와 인구이동 데이터를 연계한 재난 대응 체계 개선, 공공데이터와 민간데이터를 결합한 사회문제 해결 연구에 활용할 수 있다.

제도 운영에서 남는 쟁점

가명처리 기술의 표준화와 고도화, 데이터 결합 과정의 보안, 재식별 방지를 위한 기술적 안전장치는 계속 보완해야 할 과제다.

법·제도 측면에서는 과학적 연구의 범위를 구체적으로 해석하고, 산업별 가이드라인을 개발·보급하며, 개인정보처리자의 책임성을 강화할 방안을 마련할 필요가 있다. 개인정보 활용에 대한 사회적 신뢰를 쌓고, 정보주체가 자신의 권리를 행사하는 방법을 교육·홍보하는 일도 제도 운영과 맞물린다.

해외 개인정보 보호 체계와의 차이

EU GDPR은 가명처리 개념을 포함하지만 한국의 데이터 3법보다 엄격한 동의 요건을 적용한다. GDPR의 목적 외 처리 허용 범위는 더 넓으며, 두 법제 모두 정보주체 권리 보장을 강조하지만 구체적 구현 방식에는 차이가 있다.

미국은 분야별 개인정보 보호법 체계를 유지한다. CCPA는 소비자 권리 강화 측면에서 데이터 3법과 유사점이 있고, 미국은 산업 자율규제 중심인 반면 한국은 법적 규제 중심이라는 차이가 있다.

일본은 2015년 익명가공정보 개념을 도입해 한국보다 앞서 유사한 체계를 구축했다. 일본의 개인정보보호위원회도 한국과 유사한 독립기구로 운영되며, 양국은 개인정보 활용과 보호의 균형을 추구한다.

활용과 권리 보호가 함께 작동하려면

데이터 3법은 가명정보 활용, 개인정보 보호 거버넌스 통합, 정보주체 권리 강화를 통해 데이터 활용의 법적 기반을 마련했다. 제도의 취지는 데이터 가치 활용과 개인정보 보호를 한쪽으로 기울이지 않는 데 있다.

그 균형은 가명처리의 안전성, 데이터 결합의 투명성, 정보주체의 권리 행사 지원이 실제 운영에서 뒷받침될 때 유지될 수 있다.