차량의 도로 이동 정보가 담긴 데이터 파일이 당신 손에 있다고 치자. 이 파일에는 차량번호와 이동에 든 시간, 시점과 종점에 관한 내용이 담겨 있다. 이 정보로 당신은 시간대별, 지역별 차량 이동 내용을 분석해 교통량을 분석하고 병목현상이 생기는 지역과 시간대를 파악해 도로건설 예산낭비를 줄이고 과잉 공급을 줄여 국가 재무 건전성 개선을 꾀할 수 있다. 이 분석으로 국민이 얻을 이익은 매우 클 것이라는 것은 자명하다.

마찬가지로 민간 영역에서도 다양한 데이터를 분석해 공익에 기여하고 산업을 발전시켜 소비자의 후생을 늘릴 수 있을 텐데, 누군지도 모를 데이터의 주인에게 동의를 받으라고 하니 아무것도 할 수가 없다.

현행법상 개인정보는 개인 관련 정보 중 그 자체로 특정 개인을 식별할 수 있는 ‘식별 개인정보’와 그 자체로는 특정 개인을 식별할 수 없으나 다른 정보와 쉽게 결합해 특정 개인을 식별할 수 있는 ‘비식별 개인정보’로 이뤄져 있다. 이런 ‘식별 개인정보’와 ‘비식별 개인정보’를 제외한 정보를 ‘비식별 비개인정보’라고 할 수 있다. 안전한 활용을 위해서는 ‘비식별 비개인정보’와 ‘비식별 개인정보’를 잘 구별하는 것이 핵심이다. 그 자체로 식별되지 않는 정보이지만 다른 정보와 쉽게 결합해 특정 개인을 다시 식별할 가능성이 매우 높은 정보와 그렇지 않은 정보는 개인정보 오남용의 위험 면에서 큰 차이가 있기 때문이다.

여기서 “쉽게 결합할 수 있다”는 뜻은 재식별을 위한 다른 정보의 ‘입수의 용이성’과 ‘결합의 용이성’이다. 특정 개인을 식별할 수 있는 다른 정보를 쉽게 입수할 수 없다면 그 정보는 ‘비식별 비개인정보’로 보아야 한다는 뜻이다.

결국 그 자체로 특정 개인을 식별할 수 없는 개인 관련 정보는 다른 정보의 입수 가능성에 따라 법률상 개인정보냐 아니냐가 결정된다. 비식별 정보의 개인정보성은 이처럼 해당 정보가 놓인 환경에 따라 달라진다고 법은 이미 정의하고 있다.

그렇다면 주무 관청인 방송통신위원회와 행정안전부는 어떤 경우에 비식별 정보가 ‘비식별 개인정보’가 되는지 구별할 수 있는 기준을 제시해왔어야 한다. 예를 들어 차량번호는 전체 차량 등록대수 중 절반가량이 법인 소유임을 고려해 그 자체로는 비식별 정보이므로 어떤 경우에 ‘비식별 개인정보’가 되는지 해석 지침을 마련하고 개선해왔다면, 차량 정보를 활용한 산업이 발전할 수 있었다.

비식별 정보 중 ‘쉬운 결합성’을 갖고 있는 정보만 개인정보로 정의하는 개인정보보호법의 입장은 개인 관련 정보의 보호와 활용을 조화롭게 하기 때문에 적절한 것이다. 현행법으로도 개인정보의 안전한 활용은 가능했던 것이다.

현재 국회에서 논의 중인 개인정보보호법 개정안은 동의 없는 재식별 목적의 가명정보 처리를 처벌하고 있으므로 그 보완 장치도 마련돼 있다. 가명정보 상태를 유지한다면, 그 처리가 어떤 개인의 권리를 침해하겠는가? 데이터3법 개정안이 통과되지 않더라도 현행법하에서 주무관청이 할 일을 하기 바란다.

/구태언 대한변협 특허변호사회 회장

서울회·법무법인 린