개인정보취급사업자의 익명가공정보 작성시 의무사항 개인정보취급사업자는 개인정보 데이터베이스를 영업에 이용하는 자를 의미한다(제2조 제5항). 개인정보취급사업자가 익명가공정보를 작성할 때 준수할 사항은 아래와 같다. 1) 복원불능의 작성의무 : 개인정보취급사업자가 익명가공정보(데이터베이스 구성에 한함, 이하 같음)를 작성할 때는 특정 개인을 식별하는 것 및 그 작성에 이용되는 개인정보를 복원할 수 없도록 가공해야 한다. 다만 복원할 수 없는 가공의 기준은 개인정보보호위원회가 규칙으로 정하며, 사업자는 이 규칙을 따라야 한다. (제36조 제1항) 2) 정보누설방지의무 : 개인정보취급사업자가 익명가공정보를 작성할 때는 정보의 누설을 방지하기 위하여 개인정보보호위원회가 정하는 규칙에 따라 정보의 안전관리를 위한 조치를 취하여야 한다. 누설될 수 있는 정보는 예컨대 익명가공정보 작성 과정에서 삭제된 기술(記述), 개인식별부호, 가공방법 등이 여기에 해당한다. (제36조 제2항) 3) 정보항목 공개의무 : 개인정보취급사업자가 익명가공정보를 작성할 때는 개인정보보호위원회 규칙으로 정하는 바에 따라 해당 익명가공정보에 포함된 개인에 관한 정보 항목을 공개해야 한다(제36조 제3항). 4) 제3자 제공시 공표 및 명시의무 : 개인정보취급사업자가 익명가공정보를 제3자에게 제공할 때는 정보주체의 동의를 받을 필요는 없지만, 개인정보보호위원회 규칙이 정하는 바에 따라 미리 제3자에게 제공되는 익명가공정보에 포함된 개인에 관한 정보 항목 및 그 제공방법에 대하여 공표하여야 하고, 동시에 해당 제3자에게 제공하는 정보가 익명가공정보라는 사실을 명시해야 한다(제36조 제4항). 5) 식별행위 금지의무 : 개인정보취급사업자가 익명가공정보를 작성하고 스스로 해당 익명가공정보를 취급하는 경우 해당 익명가공정보 작성에 사용된 개인정보에 관한 본인을 (재)식별하기 위하여 해당 익명가공정보를 다른 정보와 조합(照合, 대조)해서는 아니 된다. (제36조 제5항) 6) 안전관리조치의무 등 : 개인정보취급사업자가 익명가공정보를 작성할 때는 해당 익명가공정보의 안전한 관리에 필요하고 적절한 조치 및 해당 익명가공정보의 작성 기타 취급에 관한 불평의 처리 등 해당 익명가공정보를 적정히 취급하기 위하여 필요한 조치를 스스로 취하고 해당 조치를 공개하도록 노력하여야 한다. (제36조 제6항) 익명가공정보취급사업자의 의무 사항 ‘익명가공정보취급사업자’란 익명가공정보를 포함한 정보의 집합물이나 특정의 익명가공정보를 전자계산기를 이용하여 검색할 수 있도록 체계적으로 구성한 것, 그 외 특정 익명가공정보를 쉽게 검색할 수 있도록 체계적으로 구성한 것으로서 정령(政令, 시행령)으로 정하는 것을 사업에 이용하는 자를 말한다(제2조 제10항). 익명가공정보취급사업자가 준수해야 할 내용을 열거하면 아래와 같다. 1) 제3자 제공시 공표 및 명시의무 : 익명가공정보취급사업자는 익명가공정보(개인정보를 가공하여 작성한 것은 제외. 이하 동일)를 제3자에게 제공할 때는 개인정보보호위원회 규칙에서 정하는 바에 따라 미리 제3자에게 제공하는 익명가공정보에 포함된 개인에 관한 정보 항목 및 그 제공방법에 대하여 공표하는 동시에 해당 제3자에게 제공하는 정보가 익명가공정보라는 사실을 명시해야 한다. (제37조) 2) 식별행위 금지의무 : 익명가공정보취급사업자는 익명가공정보를 취급함에 있어 해당 익명가공정보의 작성에 이용된 개인정보에 관한 본인을 (재)식별하기 위하여 해당 개인정보에서 삭제된 기술(記述) 또는 개인식별부호, 가공방법에 관한 정보를 취득하거나 해당 익명가공정보를 다른 정보와 조합(照合)해서는 아니 된다. (제38조) 3) 안전관리조치의무 등 : 익명가공정보취급사업자는 익명가공정보의 안전한 관리에 필요하고 적절한 조치 및 해당 익명가공정보의 취급에 관한 불평의 처리 등 익명가공정보를 적정히 취급하기 위하여 필요한 조치를 스스로 취하고 해당 조치를 공개하도록 노력하여야 한다. (제39조) 적용범위 제36조의 규정은 국내에 있는 자에 대하여 물품 또는 역무의 제공과 관련하여 그 사람을 본인으로 하는 개인정보를 수집하는 개인정보취급사업자가 외국에서 해당 개인정보를 이용하고 작성한 익명 가공 정보를 취급하는 경우에 대해서도 적용한다. (제75조) 이를 역외적용이라 한다. 한편 개인정보보호법이 적용되지 않는 언론기관, 종교단체 등이라도 이들이 익명가공정보를 취급할 때는 안전한 관리에 필요하고 적절한 조치를 취하여야 한다. (제76조 제3항) 결어 일본은 빅데이터 산업과 데이터 활용을 위하여 ‘익명가공정보’라는 개념을 창설하여 법률의 일부 규제를 벗어나게 하였다. 즉 익명가공정보는 EU GDPR의 pseudonymous data(가명처리 정보)에 해당하지만 법적 규제는 미국법에 따라 개인정보가 아닌 것으로 보고 있다. 한편 익명가공정보는 작성과 취급으로 양분하여 규율하고 있으며, 사업자에게는 대표적으로 제3자 제공시 공표 및 명시의무, 식별행위금지의무, 안전관리조치의무 등을 부여하고 있다. ‘익명가공정보’는 개인정보보호법 등의 엄밀한 법리해석에 따라 나온 개념이 아니라 데이터 활용이라는 필요에 의하여 창설된 개념에 해당하며, 일본 개인정보 당국은 필요에 의하여 일단 익명가공정보를 인정하는 전제하에 기술적ㆍ관리적 조치를 통하여 프라이버시 보호에 미치는 영향을 최소화하려고 노력하였다. 한마디로 산업진흥 정책의 산출물이라 할 수 있다. 하지만 일본의 ‘익명가공정보’는 글로벌 표준, 특히 EU의 기준과 정합하지 않는다는 문제점을 내포하고 있다. 위와 같은 일본의 ‘익명가공정보’의 창설의 장단점은 일본과 유사한 개인정보 정의규정을 가지고 있는 우리나라에게도 시사하는 바가 매우 크다 할 수 있다. <끝> * 법무법인 민후 김경환 변호사 작성, 디지털데일리(2016. 3. 2.), 리걸인사이트(2016. 3. 9.) 기고.

2013년부터 시작된 일본의 개인정보보호법에 관한 입법 개선 작업이 2015년 9월 3일 완료되었고, 2017년 전면적인 시행을 앞두고 있다. 일본의 개인정보보호법은 2003년 5월 23일 국회에서 의결되어 5월 30일에 공포, 2005년 4월 1일부터 시행되고 있는데, 이번 개정 작업으로 또 한 번의 전면적인 변화를 받아들였다. 한편 우리나라 개인정보보호법과 달리 일본의 개인정보보호법은 민간 분야만을 규율하고 있고, 공공 분야에 대하여는 ‘행정기관이 보유하는 개인정보보호법’, ‘독립행정법인등이 보유하는 개인정보보호법’이 규율하고 있다. 이번 일본의 개정 개인정보보호법은 변화하는 IT 환경에 발맞추고 데이터의 활용을 촉진시키고자 규제를 완화하였고, 해외 여러 나라, 특히 EU와의 국제적 조화를 위하여 필요배려 개인정보(민감정보, 제2조 제3호)의 도입 등 보호수준을 올리는 규제강화 조치도 동시에 이루어졌다. 특히 규제완화 조치 중 빅데이터로 대표되는 데이터의 활용 방안을 촉진시키고자 ‘익명가공정보(제2조 제9호)’ 개념의 도입 등의 조치를 취하였는바, 여기서는 이 부분에 대하여 집중적으로 설명하고자 한다. 익명가공정보의 개념 익명가공정보(匿名加工情報, 익명정보가 아님에 유의)는 개정 일본 개인정보보호법 제2조 제9항에 규정되어 있는바, 그 내용은 아래와 같다. 익명가공정보에 대하여는 일정한 기술적 조치와 관리적 조치가 취해져야 하는데 위 제2조 제9항은 기술적 조치에 대하여 언급한 것이라 할 수 있다. 즉 익명가공정보로서 보존이 되려면 제2조 제9항에 해당하는 기술적 조치도 취하여야 하고, 원래 데이터와 조합하여 재식별하는 행위를 하지 않는 등의 관리적 조치도 취하여야 한다. 일본에서 익명가공정보가 나오게 된 원인은 일본의 개인정보 개념에서 유래한다. 일본의 개인정보 개념(제2조 제1항 제1호)은 ‘생존하는 개인에 관한 정보로서 당해 정보에 포함되어있는 성명, 생년월일 기타 기술 등에 의해 특정 개인을 식별할 수 있는 것(다른 정보와 쉽게 조합(照合, 대조, 조회ㆍ비교)할 수 있으며, 그로 인하여 특정 개인을 식별할 수 있는 것을 포함한다)’인바, 괄호 안의 용이조합성 때문에 익명화된 정보도 정보제공자 입장에서는 쉽게 재식별 될 수 있기에 비개인정보로 단정하기 어려운 점에 그 원인이 있다. 이에 일본은 용이조합성에 대한 논의를 제쳐두고, 쉽게 조합할 수 있다 하더라도 제공처가 사람을 식별하는 행위 금지, 제3자 제공 취지의 공표 등의 관리적 조치를 취하게 함으로써 정보주체의 프라이버시에 미치는 영향을 최소화한 것이다. 그와 동시에 데이터 활용성을 달성하였는바 즉 본인 동의 없이 제3자에게 제공할 수 있고 목적외 이용이 가능하게 한 것이다. 위 익명가공정보의 정의규정에서 제1항 제1호에 해당하는 개인정보는 ‘생존하는 개인에 관한 정보로서 당해 정보에 포함되어있는 성명, 생년월일 기타 기술 등에 의해 특정 개인을 식별할 수 있는 것(다른 정보와 쉽게 조합(照合)할 수 있으며, 그로 인하여 특정 개인을 식별할 수 있는 것을 포함한다)’로 정의되는 ‘일반개인정보’를 말한다. 여기서 조합(照合)이란 대조라는 의미이며, 組合이 아님에 유의해야 한다. 반면 제1항 제2호에 해당하는 개인정보는 ‘개인식별부호’를 의미하는데, ‘개인식별부호’는 바이오인식정보나 여권번호, 주민등록번호 등을 가리킨다. 제1항 제1호에 해당하는 일반개인정보에 대하여는 해당 개인정보에 포함된 기술(記述) 등의 일부를 삭제하는 처리를 하되, 해당 개인정보를 복원할 수 없도록 하여야 한다. 여기서 ‘기술(記述)’이란 개인의 신체, 재산, 직종, 직위 등 속성에 대해 사실, 판단, 평가를 나타내는 모든 정보를 가리키는바, ‘개인식별부호’에 대응되는 용어이다. 나아가 제1항 제2호에 해당하는 개인식별부호에 대하여는 해당 개인정보에 포함된 개인식별부호의 전부를 삭제하는 처리를 하고, 해당 개인정보를 복원할 수 없도록 하여야 한다. 제1항 제1호에 해당하는 개인정보와 제1항 제2호에 해당하는 개인정보 사이에 차이점이 있다면, 전자의 경우는 일부를 삭제하는 것으로 익명가공정보에 해당할 수 있지만, 후자의 경우는 전부를 삭제하여야만 익명가공정보에 해당한다. 정보의 삭제는 다른 기술(記述)로의 대체 방법으로 갈음할 수 있다. 익명가공정보의 법적 취급 익명가공정보는 EU GDPR의 pseudonymous data(가명처리 정보)에 해당된다(한편 익명정보는 anonymous data에 해당됨). 다만 EU GDPR의 pseudonymous data는 개인정보에 해당한다고 보나, 일본의 익명가공정보는 개인정보가 아니라고 보아 본인 동의 없이 재이용이 가능하다는 점에서 EU GDPR의 pseudonymous data와는 근본적인 차이가 있다. 오히려 익명가공정보는 미국소비자 프라이버시 권리장전법의 ‘비식별화 정보(De-identified data)’에 해당되며, 미국소비자 프라이버시 권리장전법의 ‘비식별화 정보(De-identified data)’는 일본의 익명가공정보와 동일하게 개인정보가 아닌 것으로 본다. 참고로 EU GDPR는 ‘pseudonymous data’에 대하여 아래 (1)과 같이 정의하고 있고, 미국소비자 프라이버시 권리장전법은 ‘비식별화 정보(De-identified data)’에 대하여 아래 (2)와 같이 정의하고 있다. <2편에 계속> * 법무법인 민후 김경환 변호사 작성, 디지털데일리(2016. 3. 2.), 리걸인사이트(2016. 3. 2.) 기고.

오바마 대통령이 2008년 빅데이터 분석을 통해 선거의 우위를 차지했다는 일화는 유명하다. 당시 오바마 대통령은 다양한 유형의 유권자 데이터를 확보한 후 인종, 종교, 나이, 소비수준 등과 같은 기본 인적사항으로 분류하고 나아가 유권자 성향을 분석해 낸 다음 이를 기초로 선거 전략을 세웠기 때문에 상대방보다 효과적인 선거를 치를 수 있었다. 이렇게 대량 데이터를 분석하여 부가가치 있는 데이터를 창출하는 산업이 빅데이터 산업인 바, 이러한 빅데이터 산업이 왜 우리나라에서는 활성화되지 않을까 하는 의문을 제기하는 사람들이 많다. 새로운 시대의 '유전'이라고 일컬어지는 빅데이터 산업은 무궁무진한데, 경쟁력은커녕 왜 우리나라는 기반이 성숙되지 않는지 걱정하는 사람들도 많다. 기술적인 장애나 난관도 있지만, 법적인 장애도 존재하고 있으며, 그 법적인 장애는 경직된 개인정보보호 법령에 있다. 그 구체적인 원인을 살펴본다. 빅데이터 산업은 2가지 데이터에 특히 관심이 많은데, 하나가 트위터 메시지, SNS 게시글 등 인터넷에 공개되어 있는 정보이고, 또 하나가 인터넷 사용자의 방문기록 등을 저장하고 있는 작은 기록 정보 파일인 쿠키정보이다. 우리나라 개인정보보호 법령에 의하면 인터넷에 공개되어 있는 정보를 수집하는 경우에도 원칙적으로 정보주체의 동의를 받아야 한다고 주장하는 사람들이 많으며, 정보통신망법은 쿠키정보에 대하여 옵트인 원칙으로 설정되어 있다. 인터넷에 공개된 정보나 쿠키정보의 원활한 수집이 전제되어야만 빅데이터 분석이 가능할 텐데, 그 수집 자체에 제약이 있기 때문에 원활한 빅데이터 분석이 쉽지 않은 것이 우리나라의 현실이다. 우리나라 개인정보보호 법령은 인터넷에 공개된 정보나 쿠키정보에 대하여 어떠한 태도를 취하여야 하는지에 대하여 기로에 서 있다. 지금처럼 가야 하는지, 어느 정도 유연성을 갖추어 조화점을 찾아야 하는지에 대하여 선택이 필요한 때이다. 생각건대 활용을 전제로 보호의 대안을 찾는 게 현명한 것이 아닐까. * 법무법인 민후 김경환 변호사 작성, 법률신문(2014. 9. 1.) 기고.

정부가 2014년을 ‘빅데이터 활용 원년’으로 선포한 가운데 ‘빅데이터 가이드라인’이 12월 18일 방송통신위원회ㆍ한국인터넷진흥원에 의해 발표되었다. 그간 익명화 처리나 오픈데이터 처리에 관하여 부분적으로 규율하려는 시도가 있었지만 이들을 통합하여 규정한 것은 아마 세계 최초의 시도가 아닌가 싶다. 정보통신망법이나 개인정보보호법과 같은 개인정보보호법령의 한계를 지키면서 개인정보 빅데이터의 활용을 극대화할 수 있는 가이드라인이 제정 목표였다. 빅데이터의 가이드라인은 공개된 개인정보, 이용내역 정보, 생성된 개인정보로 나누어 다루고 있다. 공개된 개인정보란 트위터 글과 같이 제한 없이 일반 공중에 공개된 개인정보를 말하고, 이용내역 정보란 자동으로 생성되는 접속정보파일, 쿠키파일, 거래기록 등을 의미하며, 생성된 개인정보란 공개된 개인정보 및 이용내역정보 등을 활용하여 얻은 새로운 개인정보를 의미한다. 이들 정보를 수집하는 과정에서 원칙적으로 정보주체의 동의를 얻지 않아도 되지만 수집사실 등에 대하여 정보주체에게 공개할 의무가 있으며, 이들 개인정보는 원칙적으로 비식별화 조치를 취한 후 조합, 분석 또는 처리하여야 한다. 그리고 비식별화 조치가 취해진 공개된 개인정보, 이용내역 정보, 생성된 개인정보를 저장ㆍ관리하는 경우 기본적인 관리적ㆍ기술적 보호조치를 취하여야 한다. 다만 민감정보 또는 전송중인 이메일ㆍ문자메시지 등의 통신 내용의 처리는 원칙적으로 금지되며, 이용내역정보의 위탁 처리는 허용되지만, 위탁시 정보의 장소 이전은 금지된다. 제3자 제공시 공개된 개인정보 외에는 정보주체의 동의를 얻어야 한다. 당장 이 가이드라인의 내용을 자신의 개인정보취급방침이나 약관에 반영하려는 기업들도 적지 않기에 그 반응은 뜨겁지만, 빅데이터 가이드라인에 대하여 개인정보보호법령 위반이나 프라이버시 침해 우려의 지적도 있다. 건전한 빅데이터 산업 발전을 위하여 법조계가 솔선하여 이러한 지적에 대해 꼼꼼하고 정성스럽게 따져보아야 할 것이다. * 법무법인 민후 김경환 변호사 작성, 법률신문(2014. 1. 6.), 블로그(2014. 1. 7.) 기고.

빅데이터의 처리와 분석 단계에서 빅데이터 사이언티스트가 관심을 가져야 하는 법적 이슈는 △개인정보의 비식별화 △마이닝 △개인정보의 통합 △개인정보의 국외 이전 △분석 결과 식별정보 생성시 법적 취급 △일시적 복제권 침해 등이 있다. ◇ 개인정보의 비식별화 개인정보의 비식별화는 빅데이터 처리와 분석에서 매우 중요한 지위를 차지하고 있다. 빅데이터의 결과가 식별정보(= 개인정보)를 목표로 하지 아니하는 한 비식별화 처리가 일반적이다. 이와 관련해 용어 정리를 할 필요가 있다. 개인정보는 식별정보와 같은 의미인 반면, 비식별정보는 그 정보만으로 식별할 수 없기 때문에 개인정보가 아니다. 한편 개인정보를 비식별화하면 비식별정보가 되지만 문제는 원래부터 비식별정보였던 정보와 달리 비식별화된 정보는 경우에 따라서는 다시 식별성을 가지게 되는 문제점, 즉 재식별화 위험이 있다. 따라서 비식별화된 정보는 원래부터 비식별정보였던 정보와 동일하게 취급해서는 안 된다. 개인정보의 비식별화 과정에서 항상 재식별화 위험이 있기 때문에 점검하고 모니터링해야 한다. 현재 개인정보보호 법령상 비식별화의 개념 정의나 재식별화 모니터링 의무, 비식별화된 정보의 관리 등은 규정되어 있지 않다. 따라서 실무상 비식별화된 정보를 원래부터 비식별정보였던 정보와 구분하지 않고 통틀어 비식별정보로 다루고 있는 실정이다. 하지만 이러한 태도는 바람직하지 않고, 오히려 빅데이터의 신뢰성을 떨어뜨리고 막연한 불신을 야기할 수 있다. 비식별화된 정보는 원래부터 비식별정보였던 정보와 동일하게 취급해서는 아니 되고 식별정보와 비식별정도의 중간 정도의 보호 수준은 유지해야 한다. 예컨대 비식별화된 정보에 관한 기술적·관리적 보호조치 의무나 재식별화 모니터링 의무 등에 대해 규정해 프라이버시를 보호하는 빅데이터가 되도록 유도하는 것이 바람직하다. 나아가 비식별화의 기준을 제시하는 것이 바람직하다. 참고로 영국의 경우, Motivated Intruder Test로 상대적으로 비전문가가 재식별에 성공할 수 있는지를 판별하여 식별 위험의 최소한의 기준을 정하고 있다. ◇ 마이닝 현재 빅데이터의 분석 기법으로는 통계분석, 데이터마이닝, 텍스트마이닝, 예측분석, 최적화, 평판분석(오피니언마이닝), 소셜네트워크분석, 군집분석 등이 사용되고 있다. 이 중에서 마이닝(mining)은 당연히 법적 이슈가 될 수밖에 없다. 마이닝의 유형으로는 데이터 마이닝(대용량의 데이터 등에서 감춰진 지식이나 기대하지 못했던 경향, 새로운 규칙 등의 유용한 정보를 발견하는 과정), 텍스트 마이닝(자연어로 구성된 비정형 텍스트 데이터에서 패턴 또는 관계를 추출하여 가치와 의미 있는 정보를 찾아가는 마이닝 기법), 웹 마이닝(인터넷상에서 수집된 정보를 데이터 마이닝 기법으로 분석·통합하는 기법), 소셜 마이닝(소셜 미디어의 글과 사용자를 분석하여 소비자의 흐름이나 패턴 등을 분석하는 기법), 현실 마이닝(사람들의 행동패턴을 이해하기 위해 사회적 행동과 관련된 정보를 모바일·GPS 등을 통해 얻고 분석하는 기법) 등이 있다(출처: 한국정보화진흥원). 마이닝이란 데이터 분석을 의미하지만, 법적으로는 마이닝이라는 용어보다는 프로파일링이란 용어를 많이 사용하고 있다. 그러나 양자는 동일한 개념은 아니다. 프로파일링(profiling)이란, 수집부터 시작해 마이닝을 포함해 결과를 내는 과정까지 포함하는 일체를 가리키기 때문에, 프로파일링은 마이닝을 포함하는 개념이다. 마이닝 과정에서 데이터 분석을 통하여 특정인의 취향이나 기호 등을 유출해내게 되는데, 이러한 마이닝을 금지하는 조문은 발견되지 않는다. 다만 우리 법은 민감정보 처리를 금지하고 있기 때문에 민감정보 생성을 목적으로 하는 마이닝이나 프로파일링은 금지된다. 여기서 민감정보란 ‘사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보’를 의미한다. 한편 EU의 개인정보보호 규정(GDPR 2012)은 개인적 특성의 평가, 개인에 관한 분석 또는 예측을 위한 기준의 적용을 받지 않을 권리 즉 프로파일링 거부권을 보장하고 있으며, 프로파일링이 예외적으로 허용되는 경우로는, 정보주체의 적법한 이익을 보호해주는 적합한 기준이 제공되거나 정보주체에 의한 계약 체결 또는 이행의 요청이 충족되는 경우에 계약 체결 또는 이행 과정에서 처리되는 경우, 정보주체의 합법적 이익을 보장하기에 적합한 기준을 규정한 EU 또는 회원국의 법률에 의하여 명시적으로 승인되어 처리되는 경우, 동의요건과 적합한 보호조치 하에서 정보주체의 동의하에 처리되는 경우를 규정하고 있다. 우리 법은 프로파일링의 한계를 설정하지 않고 있어 실무에서 혼선을 야기하고 있고 전문가들은 프로파일링을 악으로 취급하는 경향이 있다. 그러나 모든 프로파일링에 대해 부정적으로 생각하는 것은 프로파일링에 대한 이해가 부족해서 생긴 현상이다. 향후 빅데이터 산업을 위해 프로파일링에 관한 기준 설정이 필요하며, 특히 개인정보 자기결정권 침해가 없는 ‘착한’ 프로파일링을 예시하여 프로파일링을 양성화 또는 합법화하는 노력이 필요하다. ◇ 개인정보의 통합 빅데이터는 그 용어에서 알 수 있듯이 정보의 공유나 통합 등이 전제되는 경우가 많다. 원래부터 비식별정보였던 정보의 통합은 법적으로는 문제되지 않고, 비식별화된 정보의 통합 역시 현재는 문제되지 않는다. 그러나 개인정보의 무분별한 공유나 통합은 목적 범위 외의 이용·공유의 문제를 야기한다. 예컨대 A 개인정보를 마케팅 목적으로 수집하고 B 개인정보를 계약 이행 목적으로 수집했는데, 나중에 A 개인정보와 B 개인정보를 통합해 마케팅 목적으로 이용하는 것이 가능할 것인가? 만일 통합·분석이 목적 범위 내의 이용이라고 판명된다면 큰 문제는 없지만, 목적 범위 외의 이용에 해당한다면 통합 이전에 원칙적으로 정보주체의 동의를 다시 얻어야 한다. 이 문제는 통합되는 개인정보의 수집 목적의 ‘동질성’ 여부를 가지고 판단하는 수밖에 없어 보인다. 즉 통합되는 개인정보 수집목적이 동질이면 통합·분석은 적법하겠지만 그렇지 않으면 정보주체의 별도의 동의를 얻어야 할 것이다. 이러한 결론은 엄격한 목적제한성 때문에 비롯된 것이다. 빅데이터는 그 개념상 수집한 개인정보를 창의적으로 그리고 트렌디하게 분석 또는 이용하는 것이 전제되어 있기 때문에 개인정보에 대한 엄격한 목적 설정은 빅데이터의 장애가 될 수 있다. 하지만 빅데이터 때문에 목적제한성을 완화하자고 주장하는 사람은 극소수이다. 오히려 대부분의 전문가들은 빅데이터 시대에 목적제한성을 엄격하게 준수하자고 말하고 있다. 목적제한성의 엄격함을 극복하기 위해서는 수집 시 동의를 받을 때 수집목적 설정을 잘 하는 수밖에 없다. 빅데이터 운용에 있어 수집 단계부터 체계적이고 장기적인 관점으로 접근할 필요가 있고 수집 시 동의서나 개인정보처리방침을 작성할 때도 이런 점을 고려해서 작성해야 할 것이다. ◇ 개인정보의 국외 이전 빅데이터는 클라우드 등의 인프라를 이용하는 경우가 많으며, 글로벌 비즈니스를 하는 기업의 경우에는 개인정보가 국경을 통과해 수집·보관·분석되는 경우가 매우 많다. 이렇게 개인정보가 국경을 통과하는 것을 통틀어 개인정보의 국외 이전이라고 부른다. 개인정보 국외 이전은 국외 제공과 국외 위탁을 모두 포괄하는 개념이다. 국외 이전만큼 우리법이 경직되어 규정된 경우가 없을 정도로 매우 경직된 태도를 취하고 있다. 온라인 기업에 적용되는 정보통신망법의 경우 제공이건 위탁이건 상관없이 모두 정보주체의 동의를 얻어야만 한다. 사실상 국외 이전을 허용하지 않는 입법이라 할 수 있다. 개인정보 보호라는 것은 엄격한 규정에 의해 달성될 수 있지만, 경직된 규정은 오히려 현실적인 개인정보 보호를 방해한다. 엄격과 경직은 구별되는 개념인데, 예컨대 문을 하나만 만들어 놓고 그 문을 통과하기 어렵게 해두면 엄격·경직이지만, 문을 여러 개 만들어 놓고 각 문을 통과하기 어렵게 해두면 이것은 엄격·유연이라 할 수 있다. 우리 개인정보보호 법령은 기본적으로 엄격하고 경직되어 있다. 엄격한 개인정보보호는 미덕이지만 경직된 것은 미덕이 될 수 없다. 좀 더 유연하게 여러 개의 문을 만들어 줄 필요가 있다. 이와 관련해 엄격하다고 알려진 EU 개인정보보호 규정(GDPR 2012)은, 정보주체가 충분한 설명을 받고 동의를 한 경우뿐만 아니라 개인정보가 이전될 국가가 적절한 수준의 보호(Adequate level of protection)를 갖추고 있다고 EU 집행위원회가 판정을 하는 경우 BCRs(Binding Corporate Rules)·EU 집행위원회가 채택한 표준데이터보호조항·EU 집행위원회가 유효하다고 인정한다. 그리고 감독기관이 채택한 표준데이터 보호조항·감독기관이 승인한 표준계약조항에 부합하는 경우, 국외이전이 계약이행에 필요한 경우·정보주체의 이익을 위해 필요한 경우, 공익을 위해 필요한 경우, 법적 공방을 위해 필요한 경우, 정보주체의 동의를 얻지 못하는 상황에서 정보주체의 이익을 위해 필요한 경우, 세이프하버 약정이 체결되어 있고 그 기준을 준수한 경우, EU 의회에서 승인한 경우도 국외 이전을 할 수 있다. 우리도 이런 유연한 태도를 지향해야 할 것이다. ◇ 분석 결과 식별정보 생성 시 법적 취급 빅데이터 분석 결과 식별정보가 나왔을 때, 식별정보에 관한 정보주체는 개인정보 자기결정권을 행사해 정정·삭제 등을 요구할 수 있을까? 개인정보 자기결정권은 계약을 전제로 하여 발생하는 권리가 아니고 기본권이기 때문에 소스가 비식별정보이든지, 식별정보이든지 어느 경우라도 정보주체는 빅데이터 분석 결과 생성된 식별정보에 대해 개인정보 자기결정권을 행사할 수 있다고 해석된다. 이런 문제를 근본적으로 해결하는 방법으로는 사전에 분석 결과의 생성까지를 포함해서 동의를 얻는 방법이 있다. 나아가 비식별정보를 가지고 식별정보의 결과를 냈을 때, 이를 일종의 수집으로 보아 식별정보 정보주체의 동의를 얻어야 하는가? 이 문제는 빅데이터 분석 결과의 생성이 수집인지 아닌지에 따라 결정될 문제인데, 이를 수집으로 보기는 쉽지 않아 보인다. ◇ 일시적 복제권 침해 빅데이터 처리 및 분석은 저작권 이슈를 야기할 수 있다. 개인정보가 담긴 소스도 많지만, 어떤 경우에는 저작물로 인정되는 소스도 적지 않기 때문이다. 저작권은 저작물에 대해 인정되는 권리이며, 데이터베이스 역시 저작권법에 의한 보호를 받고 있다. 따라서 빅데이터 분석을 위한 타인의 저작물·데이터베이스 수집시 그 타인의 저작권 침해 문제가 발생한다. 예컨대 빅데이터 분석을 위해 수집한 저작물을 분석자의 하드디스크에 옮기는 경우 이는 영구적 복제권이나 전송권 침해가 될 수 있다. 그렇다면 하드디스크에 옮기지 않고 처리하는 경우는 이러한 문제가 발생하지 않는 것인가? 하드디스크에 옮기지 않더라도 램(RAM)에 올려 처리하는 경우에는 일시적 복제권 침해 문제가 발생할 수 있다. 다만 우리나라 저작권법은 ‘컴퓨터에서 저작물을 이용하는 경우에는 원활하고 효율적인 정보처리를 위하여 필요하다고 인정되는 범위 안에서 그 저작물을 그 컴퓨터에 일시적으로 복제할 수 있다’고 규정하여 일시적 복제에 있어 폭넓은 예외를 인정하고 있어 빅데이터 처리 과정에서의 일시적인 RAM 복제는 예외에 해당될 가능성도 없지 않다. 그러나 저작권법이 빅데이터까지 염두에 두고 위와 같은 예외 규정을 정한 것은 아니기 때문에 관련 논의가 더 필요한 상황이다. ◇ 결어 : 정보주체의 신뢰 앞으로 우리의 관점은 정보처리시스템의 서버와 클라이언트, 이를 구동시키는 소프트웨어만 바라보고 분석하는 관점이 아니라 그 안에서 유동적으로 흘러가는 ‘정보’를 주시해야 한다. 즉 정보 중심에서 소프트웨어와 하드웨어를 바라보고 정보 중심으로 정보처리시스템의 목적을 설정해야 한다. 이것이 빅데이터에 필요한 시각이다. 정보의 중심에서 시야를 펼치면서, 그 정보의 가치를 극대화시키는 것이 빅데이터라 할 수 있다. 특히 각종 정보 중에서 개인정보는 빅데이터의 본질적인 요소라 할 수 있다. 그러나 개인정보는 주인이 따로 있기 때문에 이들의 신뢰를 얻는 것이 중요하다. 즉 프라이버시 보호는 선택이 아니라 의무라 보아야 한다. 빅데이터 운용에 있어 프라이버시 보호를 비용으로 보지 말고, 정보주체의 신뢰를 얻는 경쟁력으로 이해해야 한다. 나아가 프라이버시는 산업으로도 이해해야 한다. ISO/IEC JTC1/SC27, ITU-T/SG17과 같은 국제 표준에서도 프라이버시에 대한 표준을 준비 중에 있다는 것만 보아도 프라이버시 보호는 빅데이터 산업에 있어 중요한 요소가 될 것으로 보인다. 참고로, 최근 독일 리히텐슈타인 지방자치단체는 빅데이터 가이드라인을 제정했는데, ‘Privacy by Design’과 개인정보영향평가(PIA)를 강조하고 있다. 빅데이터 설계 초기부터 프라이버시를 고려한 설계를 하여야 하고, 중요한 단계마다 프라이버시 침해가 없는지 영향평가를 통해 위험성을 제거해야 한다는 것이다. 향후 이 둘은 정보주체의 프라이버시 보호 및 정보주체의 신뢰와 관련하여 빅데이터가 고려해야 하는 중요한 요소가 될 것이라고 생각한다. * 법무법인 민후 김경환 변호사 작성, 블로그(2014. 12. 8.), 보안뉴스(2014. 11. 18.) 기고.

빅데이터의 개념 정의는 사람마다 다를 수 있지만, 빅데이터는 공통적으로 ‘데이터 수집 → 데이터 보관 및 관리 → 데이터 처리 → 데이터 분석 → 시각화 순서’로 진행되고 있다. 한편, 각 단계에서 빅데이터 사이언티스트는 법적으로 고려해야 할 것들이 몇 가지 존재하는데, 수집단계가 법적으로는 가장 고비이고 이슈가 많다. 빅데이터의 소스로는 △로그기로 수집한 로그기록·쿠키정보 등 △SNS, 웹페이지 등에서 크롤링 방법으로 수집한 일반적으로 공개된 정보 △센싱한 개인정보가 있고, 이 외에 △공공데이터 △RSS, Open API 등이 포함되어 있다. 이러한 수집대상에 개인정보가 포함되어 있다면, 현행 개인정보보호 법령상으로는 수집 자체가 가능한지부터 고민을 해야 한다. 경우를 나누어 구체적으로 살펴본다. ◇ 로그기록·쿠키정보 등 우리나라 법제에서 로그기록이나 쿠키정보는 기본적으로 개인정보로 취급되고 있다. 때문에 그 수집 시 법적으로는 사전에 동의를 얻고 수집해야 한다. 하지만 입법례에 따라서는 이를 완화하는 경우도 있다. 쿠키정보를, 통신과정에서 또는 이용자가 요구한 정보를 제공하기 위하여 필요한 쿠키인 ‘기술적 쿠키(technical cookie)’와 이용자의 행태를 분석하고 맞춤형 광고를 보내기 위해 사용되는 쿠키인 ‘프로파일링 쿠키(profiling cookie)’로 나누고 전자에 대해서는 후자와 달리 동의 없이 수집할 수 있도록 하는 이탈리아의 예가 그러하다. ◇ 일반적으로 공개된 개인정보 일반적으로 공개된 개인정보의 경우, 우리나라 법령 해석상 정보주체의 동의를 얻어야 한다고 보는 견해가 많다. 일반적으로 공개된 개인정보란, 공개된 등기·등록부의 개인정보도 포함하지만, 빅데이터에서는 SNS, 트위터, 웹페이지 등의 개인정보가 중요한 비중을 차지하고 있다. 일반적으로 공개된 개인정보에 대하여 그 수집 시 정보주체의 동의를 얻어야 한다고 보는 견해가 다수이기 때문에 이 견해에 따른다면 수집시 동의 문제 때문에 빅데이터 사이언티스트 입장에서는 큰 소스를 포기하는 문제가 발생할 수 있다. 이와 관련해 방송통신위원회는 2013년 12월에 ‘빅데이터 개인정보보호 가이드라인’을 제정하면서, 기술적 쿠키와 일반적으로 공개된 개인정보의 동의 없는 수집을 추진했으나, 개인정보보호에 관한 상위 법령에 위반된다는 이유로 현재 가이드라인 통과가 보류 중이다. ‘기술적 쿠키’와 ‘일반적으로 공개된 개인정보’에 관한 법조문은 흔히 빅데이터 조문이라고 불린다. 그만큼 빅데이터 기업 입장에서는 중요한 조문이라는 의미이기도 하지만, 통과에 대한 반대가 심한 조항이기도 하다. 그러나 빅데이터는 우리에게 무한한 가능성을 가져다 줄 것으로 예상되며, 개인정보보호는 개인정보 활용이라는 전제 하에서 인정되는 것이 보호의 본질적 의미에도 부합하는 것이 아닐까 생각한다. 바람직하게는 길을 아예 막아놓기 보다는, 빅데이터 조문들을 법률적으로 도입하되 그 과정에서 정보주체의 의사가 충분히 반영되고 개인정보 보호 취지가 몰각되지 않도록 실질적이고 충분한 보호장치를 설정해야 한다. 이를 통해 오히려 지금까지의 형식적 보호보다 더 충실한 보호와 안전한 활용이 병행되는 길을 열어 지금까지의 논란이 종식됐으면 하는 바람이다. 마치 튼튼한 가드레일과 안전장치로 둘러싸인 고속도로를 뚫는 것과 마찬가지로 말이다. ◇ 센싱한 개인정보 상당히 많은 개인정보가 센싱 방법에 의하여 수집된다. 앞으로는 웨어러블 기기 및 IoT의 발전과 더불어 이런 형태의 개인정보 수집이 급격하게 증가할 것으로 판단된다. 이 과정에서 웨어러블 기기가 착용자의 개인정보를 수집하는 것이나 IoT 센서가 그 설치자나 관리자의 개인정보를 수집하는 것은 법적으로 큰 문제는 없어 보이나, 제3자의 개인정보를 무단으로 수집하는 웨어러블 기기 또는 IoT 기기는 법적 문제를 일으킬 것으로 보인다. 특히 바이오인식정보를 무단으로 수집하는 경우에는 더 큰 문제가 된다. 이 부분에 관해서는 개인정보보호도 되지 않고 개인정보 활용도 보장해 주지 못하는 것이 현재의 개인정보보호 법령 상황이다. 한 마디로 법령이 이 부분에 관해서는 침묵하고 있다. 웨어러블 기기, IoT 기기, 개인영상정보, 바이오인식정보 등과 관련해서는 어떻게 관리하고 처리해야 하는지에 대해 그 기준이 정립되어 있지도 않고 법령도 미비된 상태이므로, 그 보완과 기준 정립이 시급하다고 할 것이다. ◇ 공공데이터 공공데이터의 경우 ‘공공데이터의 제공 및 이용 활성화에 관한 법률’에서 규율하고 있고 이 법률에 따르면 공개가 원칙이다. 다만 ‘공공기관의 정보공개에 관한 법률’ 제9조에 따른 비공개대상정보 또는 ‘저작권법’ 및 그 밖의 다른 법령에서 보호하고 있는 제3자의 권리가 포함된 것으로 해당 법령에 따른 정당한 이용허락을 받지 아니한 정보가 포함된 경우에는 공개하지 않을 수 있다. 공공데이터는 통상 전국가적으로 수집되어 정리되는 데이터이기 때문에 그 활용가치가 크고, 단순히 경제적 의미를 넘어 시민사회의 성숙에도 긍정적 영향을 줄 수 있는 등 그 실질적 가치는 무궁무진하다. 그런 의미에서 공개되는 공공데이터의 퀄리티와 정보산업과의 연계 가능성에 대해 좀 더 신경을 써야 할 것으로 본다. * 법무법인 민후 김경환 변호사 작성, 블로그(2014. 12. 8.), 보안뉴스(2014. 11. 12.) 기고.

필자의 이번 글은 서울대 한국행정연구소가 주최한 ‘창조경제를 위한 스마트 거버넌스 포럼’에서 발표된 것으로서, 빅데이터 산업 발전을 위한 법제도적·정책적 제언이라 할 수 있다. 개인정보의 보호 범위 개선 정보는 어떻게 생산되는가? 정보는 당연히 물건과 사람이 생산하고 있다. 철학적인 관점에서는 사람의 인식만이 정보를 생산할 수 있다고 보는 것이 더 자연스러울 수 있겠으나, 이러한 원리적 측면과 별개로 법학적·법률적으로는, 정보는 물건과 사람의 존재, 그 상태의 변경 등이 있을 때에 지속적으로 생산된다고 보는 것이 법체계에 부합한다. 예컨대 사람은 태어나서 죽을 때까지 끊임없이 정보를 생산하고 있다. 엄밀하게 이야기하면 죽어서 물건에 준하는 상태가 된 다음에도 정보를 생산하고 있다. 어제는 누굴 만났고, 오늘은 어떤 음식을 먹었다는 등 사람의 움직임 전부가 정보가 되는 것이고, 생전에 어떤 사람이었다는 평가도 정보로서 계속 생산되는 것이다. 그런데 사람이 만들어내는 정보는 그 사람의 인격과 밀접한 관련이 있다. 어제 누굴 만났고, 예전에 어떤 경험을 했고, 누구를 좋아하고 누구를 싫어하며, 어떤 아픔이 있었는지 등의 정보는 그 사람의 정체성과 관련이 있다. 나아가 사람은 사회적 관계 속에서 자신의 정체성을 찾아가는 존재이기 때문에 본능적으로 자신의 정보에 대하여 스스로 통제하려고 하고 있다. 즉 사람은 자신에 관한 정보를 노출할 것인지, 노출하면 어느 정도 노출할 것인지, 일단 노출했더라도 다시 수거를 할 수 있는지 등에 대하여 스스로 결정권을 가지기를 원하고 있다. 이런 인간의 본능적 특성은 자신의 정체성과 인격과 밀접한 관련이 있으므로 법적으로 보호되고 있다. 이를 개인정보 자기결정권 또는 개인정보 자기통제권이라고 한다. 경우에 따라서는 프라이버시라고도 표현할 수 있다. 여기서 개인정보에 대해 개념정리를 하고자 한다. 자동차가 빨간색이라는 것은 물건의 정보이지만, 어떤 사람의 이름이 ‘김철수’라는 것은 사람의 정보이다. 개인정보는 사람의 정보에서 출발하는데, 사람의 정보 중에서 그 정보로써 그 사람인지를 식별할 수 있는 정보를 특히 개인정보라 한다. 예컨대 ‘김철수’라고 하면 분명 사람의 정보이지만 특정인을 식별할 수 없기에 개인정보가 아니지만, ‘서울 서초구 서초대로 200에 사는 김철수’라고 하면 누구인지 식별할 수 있기 때문에 개인정보가 되는 것이다. 이러한 개인정보는 그 사람의 인격권과 밀접한 관련이 있으므로, 타인이 그 정보를 보유하고 있더라도 본래의 개인을 정보주체로 인정하고 그 정보주체가 스스로 통제할 수 있는 권리를 보장해 주고 있다. 특히 처리자가 개인정보를 수집하는 경우 원칙적으로 정보주체의 동의를 얻도록 하고 있다. 이것이 <물건의 정보·개인정보가 아닌 사람의 정보>와 <개인정보인 사람의 정보> 사이에 존재하는 가장 큰 차이이다. 후자인 개인정보는 법적으로 보호되고 수집부터 파기까지 법적인 규율을 받는 반면, 물건에 관한 정보·개인정보가 아닌 사람의 정보는 그러한 규율을 받지 않고 있다. 빅데이터 관점에서 보면, 물건에 관한 정보·개인정보가 아닌 사람의 정보는 원칙적으로 수집과 분석에 제약이 없지만, 개인정보는 수집부터 제약이 따르게 된다. 그런데 법적으로 보호받는 개인정보의 범위가 절대적으로 정해져 있는 것은 아니고 각 나라마다 다르다. 빅데이터 사이언티스트 입장에서는 개인정보의 범위가 넓을수록 사실상 수집상의 제약이 커지게 된다. 빅데이터 사이언티스트 입장에게는 다소 부정적인 이야기겠지만, 우리나라의 개인정보 범위는 다른 나라보다 넓게 해석될 여지가 있다. 이처럼 세상에는 개인정보·물건에 관한 정보·개인정보가 아닌 사람에 관한 정보가 존재하고 개인정보 외에는 원칙적으로 법적 규율을 받지 않아 빅데이터 사이언티스트 입장에서는 수집부터 처리까지 자유롭다고 할 수 있지만, 여기에도 또 예외가 있다. 물건에 관한 정보 중에서도 물건의 위치정보는 법적으로 보호를 받고 있기 때문이다. 이렇게 넓은 법적 보호 범위는 빅데이터 사이언티스트에게는 피로감의 원인이 될 수 있다. 개인의 인격과 밀접한 관련이 있는 개인정보는 보호받아야 마땅하지만 그 범위를 지나치게 넓게 설정하는 것은 바람직하지 않다. 특히 우리나라의 경우 법조문 형식에서부터 개인정보의 범위가 과도하게 넓게 해석될 여지가 있기에 이를 개선할 필요가 있다. 예컨대 우리나라 개인정보보호법은 개인정보의 개념을 ‘살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)’라고 정의하고 있는데, 개인정보의 개념 = 보호범위라는 구도로 되어 있다. 하지만 이러한 구도는 일부 선진국의 입법례에 부합하지 않고, 과도한 개인정보 범위 설정으로 오히려 이미 모든 사람에게 공개되어 있는 법인등기부상의 개인정보, 모든 사람에게 공개되어야 하는 공무원의 직무상 개인정보 등까지 보호되는 문제가 있다. 특히 ‘다른 정보와 쉽게 결합하여 알아볼 수 있는 것(결합용이성)’에 관해 현실적인 결합용이성에서 벗어나 잠재적인 결합용이성까지를 포함하게 되면 개인정보 범위는 더 넓게 설정될 수밖에 없다. 이러한 개인정보의 개념은 2단계로 수정할 필요가 있다. 1단계로 폭넓게 개인정보의 개념을 정하여 각종 개인정보에 포섭하되 모호한 결합용이성이라는 요건을 제거하고, 2단계로 보호의 필요성이 없는 개인정보(예컨대 공무원의 직무상 개인정보 등)를 제거해 가는 방식으로 개선해 간다면, 적절한 보호범위 설정의 가능성이 열리게 될 것이며 과잉보호로 인한 여러 가지 부작용도 해결할 수 있을 것이다. ‘개인정보의 개념 = 보호범위’라는 기존 틀을 깨고, ‘개인정보의 개념 > 보호범위’의 틀로 개선하는 것이 필요하다. * 법무법인 민후 김경환 변호사 작성, 블로그(2014. 12. 8.), 보안뉴스(2014. 11. 10.) 기고.

필자의 이번 글은 서울대 한국행정연구소가 주최한 ‘창조경제를 위한 스마트 거버넌스 포럼’에서 발표한 내용을 정리한 것으로, 빅데이터 산업 발전을 위한 법제도적·정책적 제언이라 할 수 있다. 정보기본법의 제정 세상은 복잡다기하고 수많은 것을 담고 있지만 극히 단순화시키면 그 구성요소는 사람과 물건으로 이루어졌다. 아파트 안에서 TV를 보는 사람, 회사 건물에서 컴퓨터를 보며 업무를 보는 사람, 자녀들과 함께 놀이기구를 타는 사람 등 다양한 모습의 일상생활이 존재하지만, 결국 분석해 나누다 보면, 그 존재 형태는 물건과 사람으로 구분 지을 수 있다. 법도 이러한 기반 위에서 세워졌다. 고전적인 법은 모든 존재를 사람과 물건으로 단순화시켜서 그 사이의 법률관계를 규정하고 있다. 예컨대 민법을 보면, 물권법과 채권법으로 크게 나눌 수 있는데 물권법은 사람의 물건에 대한 법률관계를 규율하는 법이고, 채권법은 사람의 사람에 대한 법률관계를 규율하는 법이다. 이런 관점이 수천년을 이어온 법의 이론적 기초이자 철학적 배경이었다. 하지만 언제부터인가 이렇게 세상이 사람과 물건으로만 구성되어 있다고 보는 관점의 부자연스러움이 드러나기 시작했다. 물건과 사람 그리고 사람과 사람 사이를 연결하는 중요한 그 무엇이 분명히 존재하는데 그것을 간과했기 때문이었다. 정확하게는 많은 법학자들이 그 무엇의 존재를 인식은 했지만 그 중요성을 고려하지 않았다고 볼 수 있다. 법학자들 입장에서는 일상생활에서 그 무엇은 사람과 물건보다 중요도나 재산적 가치가 크지 않아서 무시할 만했기 때문이다. 법은 통상 사회적 합의이니까 결국 그 무엇에 대한 독립적인 중요성이나 재산적 가치를 인정하지 말자는 사회적 합의가 있었다고도 할 수 있고, 적어도 그 무엇에 대한 독립적인 중요성이나 재산적 가치를 인정하는 사회적 합의를 할 필요성을 느끼지 못했다고도 볼 수 있다. 그렇다면 이 세상에 사람과 물건 외에 무엇이 있는 것일까? 그것은 바로 정보(Data)이다. 참고로 이 글에서는 ‘정보’와 ‘Data’라는 단어를 단순한 인식내용 내지 파편에서부터 고도로 가공된 인식내용까지를 모두 포괄하는 의미로 사용할 것이다. 그것이 빅데이터 시대의 빅데이터 개념에 가장 잘 맞다고 생각하기 때문이다. 정보를 이러한 의미로 본다면, 철학적으로는 관념(Idea)이라고 표현되고 논의되어 온 것이 바로 이 정보의 고전적인 이름일 것이다. 우리가 물건을 자세히 관찰하고 물건에 대하여 깊이 고민해 보면, 단지 물건 그 자체만 존재하는 것이 아니라 결국 물건과 그 물건에 대한 각종 정보가 결합되어 나에게 있어서 그 물건이 존재한다는 것을 알 수 있고, 사람 역시 사람 그 자체만 존재하는 것이 아니라 사람과 그 사람에 대한 각종 정보가 결합되어 나에게 있어서 그 사람이 존재한다는 것을 알 수 있다. 예컨대, 내 눈앞에 자동차가 놓여 있을 때, 그것이 자전거가 아니라 자동차라는 것도 정보이고, 빨강이라는 이름의 색깔 페인트로 도포되어있는 자동차라는 것도 정보이며, 시속 200km/h를 달릴 수 있는 능력을 가지고 있다는 것도 정보이다. 이러한 정보들은 그 물건 자체가 고유하게 함유하고 있는 것이 결코 아니다. 물건과 그 물건에 대한 정보는 분명히 별개의 것이고, 이렇게 자동차는 그 자동차에 결합된 정보와 함께 존재하고 있는 것이다. 사람도 마찬가지이다. 어떤 사람이 존재한다면, 그 사람이 남자라는 성별로 구분될 수 있다는 것도 정보이며, 그 사람의 이름이 ‘김철수’라는 것도 정보이고, 그 사람의 취미가 영화감상이라는 것도 정보이며, 그 사람이 어제 ‘이영희’를 만났다는 것도 정보이다. 이렇듯 사람도 단지 생명력을 가진 유체물로만 존재하는 것은 아니고 그 사람과 결합된 각종 정보와 함께 존재하고 있다. 대부분의 정보는 사람이나 물건과 결합된 것으로서, 위와 같이 우리는 사람과 물건을 인식할 때 실질적으로는 정보를 통해 인식하고 있고 인식능력을 가지고 있는 모든 생명체는 그렇게 해 왔다. 특히 인류는 그 정보를 사람이나 물건에서 떼어 내어 독립시키고 그렇게 독립된 정보를 서로 다른 시간에 놓인 여러 사람이 공유하는 능력이 있었다. 대표적인 것이 바로 글자와 글자를 이용한 기록이다. 이 글자와 기록을 통해 인류는 인식능력을 집단적 능력으로 고도화시킬 수 있었고, 이것이 인류의 발전과 번영 때로는 파괴를 반복적으로 이루었다. 하지만 글자와 기록은 항상 눈에 가시적으로 보이는 물체, 예컨대 석판이나 종이, 책 등과 결합되어 있었기 때문에 법적으로는 글자를 이용한 기록 또한 하나의 기록‘물’로만 취급되어 왔다. 그런데 불과 몇십년 전, 혁명이 일어났다. 이 기록이 즉 정보가 물체로부터 완전히는 아니지만 거의 완전히 독립해 버린 것이다. 컴퓨터의 발명에 이은 인터넷의 발명이 바로 그 혁명을 이끌었고, 이때부터 정보는 고대의 이름인 관념(idea)보다 현대에 더 어울리는 이름인 정보(data)라는 이름이 더 익숙하게 되었다. 그리고 정보는 유체물에 담겨 있는 것이 아니라 유체물들 사이를 흘러다니는 하나의 흐름으로서 존재할 수 있게 되었다. 단지 유체물 안에 들어있는 내용으로서 단지 부수적인 지위에 머물러 있던 것에서 벗어나, 정보가 유체물로부터 반(半) 독립한 흐름으로서 존재할 수 있게 되자 인류의 생활은 획기적으로 변화됐다. 공간과 시간의 제약, 유체물의 제약 없이 실시간으로 원하는 때에 정보를 불러들이고 인식할 수 있게 된 것이다. 정보를 불러들이고 인식하는 경로에 완전히 새로운 것이 추가되고 그 새로운 경로가 각종 제약을 제거하니, 정보를 인식하고 분석하는 양도 예전과 비교할 수 없을 만큼 늘어났다. 예컨대 미팅을 앞둔 사람은 페이스북 등의 SNS를 통해 미팅할 사람을 검색하는 등 정보를 수집해 분석하고 이를 통해 자기에게 어울리는지 여부를 판단한다. 자가용을 구매하려는 사람은 인터넷을 통해 만난 사람들 내지 그 사람들이 올려놓은 글이나 사진으로부터 여러 자동차에 대한 정보를 수집한 다음 분석하고 이를 통해 최선의 선택을 하게 된다. 나아가 우리는 오바마 대통령에 관한 ‘정보’를 취합해 분석하면서 실제 만나지도 못한 오바마 대통령을 평가하고 있다. 정보는 이렇듯 경험하지 않은 오바마 대통령을 인식하게 하고 평가하게 하는 소스가 되는 것이다. 시간과 공간을 뛰어 넘어 사람과 물건을 인식하고 평가하게 해 주는 것이 바로 흐름으로서 존재하는 현대의 정보이다. 그런데 법은 처음 만들어질 때에는 정보를 염두에 두지 않았고 이런 전통이 그때부터 지금까지도 내려오고 있다. 하지만 정보의 존재양상과 그 기능, 영향력이 현저히 달라진 지금 이 시대에 이러한 법의 관점이 타당한가? 일상생활에서의 정보의 중요성이나 재산적 가치를 가벼이 여기는 사회적 합의가 이 시대에 적절한 것인가? 흔히들 지금을 정보화 시대라고 한다. 정보화 시대란 정보로도 부를 창출할 수 있는 시대를 의미한다. 특히 대량의 다양하고 빠른 정보가 모인 빅데이터가 우리의 새로운 원유가 될 것이라고 예측하고 있다. 많은 사람들이 당연스럽게 앞으로 정보의 가치는 기하급수적으로 늘어날 것으로 예상하고 있다. 이 시대에 있어 정보가 그 가치를 인정받은 것은 정보의 쓸모가 예전보다 더 있어서 그런 것은 아니다. 예전에는 적은 정보였음에도 그 쓸모가 컸을 수 있지만, 지금은 정보의 홍수 속에서 살고 있지만 단위 정보의 가치는 예전보다 못하다고도 볼 수 있다. 일상생활에서의 정보의 영향력은 위와 같이 정보의 형태가 디지털화되어 기계화된 정보 처리가 가능해지면서 비로소 극대화된 것이다. 디지털 정보에 대한 고속의 자동화된 정보 처리가 가능해지면서 현재의 사람과 물건에 대한 정보뿐만 아니라 앞으로의 예측도 가능하게 되면서 정보를 통한 가치 창출이 용이하게 되었다. 특히 컴퓨터 기술의 대중화로 누구든지 이러한 접근과 결과 창출이 용이해지면서 정보의 가치가 대중화된 것도 큰 몫을 하고 있다. 어쨌든 빅데이터 시대에 살면서 정보가 일상생활에서 중요하지 않고 독립적인 재산적 가치도 없다는 옛 시각을 그대로 유지하는 것은 아무런 도움이 되지 않는다. 현실적으로는 정보를 주고받으면서 엄청난 대가를 치루면서도 정보의 재산적 가치를 법적으로 인정받지 못하는 것은 모순이라 할 수 있다. 정보의 재산적 가치를 인정하는 것이 바람직하다. 특히 궁극적으로 빅데이터로 인하여 양산되는 정보는 장래 예측의 정보인 바, 이 정보로 인하여 사람의 생명을 구할 수 있고, 범죄와 사고를 방지할 수 있으며, 국가의 위기를 미연에 막을 수도 있게 된다. 즉 앞으로는 빅데이터로 인하여 수천명의 생명을 구할 수 있는 정보도 손쉽게 창출해 낼 수 있게 된다. 따라서 정보의 가치를 법적으로 보호하고 나아가 정보의 유통성을 보장하면서 정보의 생산에서부터 양도, 상속, 처분, 사용수익 등에 대해서도 물건과 같이 별도로 규율할 필요가 있다. 정보의 속성을 파악하면서 정보에 대하여 동산과 같은 지위를 인정해 간다면, 빅데이터 산업의 성장에 큰 도움을 줄 것으로 보인다. 특히 아직까지 정보에 대한 기본법이 없는 바, 정보의 일반법이라 할 수 있는 ‘정보기본법’을 제정하여 정보에 대한 법적 보호를 본격적으로 그리고 폭넓게 발동시킬 필요가 있다. * 법무법인 민후 김경환 변호사 작성, 보안뉴스(2014. 10. 30.) 기고.

빅데이터의 개념 빅데이터란 기존의 데이터베이스나 아키텍처가 저장, 관리, 분석할 수 있는 범위를 초과하는 거대한 규모의 데이터 집합 또는 이를 분석하는 기법을 의미하는데, 이러한 빅데이터를 바라보는 관점은 매우 다양하지만, 빅데이터의 일반적인 개념 요소는 정보의 집적, 정보의 결합, 정보의 분석이라 정의할 수 있다. 빅데이터의 일반적인 개념 요소 중 정보의 집적이란 데이터의 양을 고도화한다는 의미이고, 정보의 결합이란 다양한 목적 또는 형태의 데이터를 연결시키는 것을 의미하며, 정보의 분석이란 거대ㆍ다양한 데이터를 연결하여 원래 데이터 이상의 효용이나 가치를 창출해 내는 것을 의미한다. 한편 위에서 열거한 빅데이터 개념을 전제로 우리나라 개인정보보호법 제2조 제1항, 제3조 및 제4조를 바라보면, 개념적으로 부조화스러운 요소가 있어 보인다. 여기서는 시간 관계상 부조화의 문제점만 제시하기로 하다. 개인정보보호법 제2조 제1호, 제3조 및 제4조 개인정보보호법 제2조 제1호는 개인정보의 개념에 대하여 설명하고 있다. 즉 개인정보에 대하여 개인정보보호법은 “살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.”라고 규정하고 있다. 개인정보보호법 제2조 제1호는 개인정보의 개념을 제시하고 있는 것 같지만, 실제로는 개인정보보호법의 적용범위를 제시하고 있다. 즉 식별성 있는 개인의 정보라면 개인정보보호법이 적용되지만, 식별성이 없거나 사물의 정보라면 개인정보보호법의 적용이 없는 것이다. 개인정보보호법 제3조는 8개의 개인정보보호의 원칙을 제시하고 있는바, 종래 OECD(Organization for Economic Cooperation and Development)가 발표한 프라이버시 가이드라인(Privacy Guideline)에 포함되어 있는 8가지 원칙과 유사하다. OECD의 8원칙으로는 수집제한의 원칙, 내용정확의 원칙, 목적명확의 원칙, 이용제한의 원칙, 안정성확보의 원칙, 개인정보정책 등의 공개원칙, 정보주체의 참여 원칙, 수집기관 책임의 원칙이 있다. 이러한 개인정보의 수집과 통제 등 개인정보 프라이버시 권리에 대한 기본정책방향 또는 원칙을 FIPPs(Fair Information Practice Priciples)이라고 하는데, 결국 개인정보보호법 제3조는 우리나라 개인정보보호에 관한 FIPPs를 제시하고 있는 것이다. 반면 개인정보보호법 제4조는 정보주체의 권리를 제시하고 있다. 정보주체의 권리로는 정보를 제공받을 권리, 동의여부ㆍ범위 등을 선택하고 결정할 권리, 개인정보처리를 확인하고 열람할 수 있는 권리, 개인정보의 처리 정지, 정정·삭제 및 파기를 요구할 권리, 개인정보의 처리로 인하여 발생한 피해를 구제받을 권리이다. 개인정보보호법 제2조 제1호, 제3조 및 제4조는 개인정보보호법 전조문의 기초적 역할을 하는 것으로서, 이 기초가 바뀌면 당연히 나머지 조문의 내용도 바뀌어야 하는 것이다. 따라서 그 중요성이 매우 크다고 하겠다. 그런데 문제는 개인정보보호법 제2조 제1호, 제3조 및 제4조의 내용 중 일부가 빅데이터의 개념ㆍ특성과 부조화한다는 것이다. 이를 열거해 보기로 한다. 빅데이터의 식별화와 개인정보보호법 제2조 제1호 빅데이터가 식별정보의 집적이나 결합으로 이루어지거나, 식별정보와 비식별정보의 집적이나 결합으로 이루어졌다면 개인정보보호법이 적용된다고 보아야 한다. 때문에 많은 규제와 통제를 받아야 한다. 반면 비식별정보의 집적이나 결합으로 빅데이터가 구성된 경우, 일단은 개인정보보호법의 적용에서 벗어날 수 있어 보인다. 기업들은 엄격한 개인정보보호법의 적용을 피하고 여러 가지 규제 요소를 제거하여 자유로운 정보활용을 달성하고자, 되도록 데이터의 비식별성이나 익명성을 유지하려고 하였기에, 빅데이터는 비식별정보의 집적과 결합으로 이루어진 경우가 많다. 하지만, 비식별정보가 다수 쌓이고 결합된다면 그 원래의 비식별성이나 익명성이 유지되지 않는다는 것이 문제이다. 이러한 현상을 많은 학자들이 지적하였고 현실적으로도 이러한 현상은 다수 발생하고 있다. 이러한 상황에서 개인정보호보법의 적용범위를 기존과 같이 식별정보로 한정하는 것이 타당한가의 검토가 필요하다고 본다. 정보의 집적과 개인정보보보법 제3조 제1항(수집제한의 원칙) 개인정보보호법 제3조 제1항은 “개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 최소수집의 원칙을 규정하고 있다. 과도하고 필요 이상의 개인정보의 수집이 원칙적으로 금지된다는 의미이다. 한편 빅데이터의 개념 안에는 정보수집의 극대화를 통한 최대한의 정보집적 및 관리를 내포하고 있다. 이러한 현상이 옳은지 아니면 더 큰 문제를 야기할 수 있는지에 대하여 정보보안의 측면에서 많은 논의가 있기는 하지만, 정보집적의 현상은 지속적으로 발생하고 있는 것은 사실이고, 앞으로도 이러한 현상은 유지될 것으로 보인다. 빅데이터의 현상을 긍정적으로 인정하고, 또 정보의 대용량화를 통한 빅데이터가 미래의 금광이 될 것이라는 예찬론자의 지지를 받아들인다면, 데이터의 극대화를 미덕으로 하는 빅데이터가 과연 어떻게 수집데이터의 최소화를 미덕으로 하는 개인정보보호법 제3조 제1항의 최소수집의 원칙과 조화로울 수 있는지 의문이 생길수 밖에 없다. 빅데이터의 발전을 위하여 수집제한의 원칙이나 최소수집의 원칙은 어느 정도 후퇴가 불가피한지도 고민해 보아야 할 것이다. 정보의 결합과 개인정보보호법 제4조 제2호(개인정보주체의 동의권) 개인정보보호법 제4조 제2호는 개인정보주체에 대하여 ‘개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리’를 인정하고 있다. 즉 기업의 개인정보 처리범위를 결정하고 선택할 수 있다는 것이다. 이른바 옵트인 제도를 전제로 한다는 것이다. 반면 빅데이터라는 다른 영역에서 발생한 데이터의 결합, 다른 루트에서 수집된 데이터의 자유로운 조합을 전제로 하고 있다. 결합과정에 대한 규제가 최소화되어야, 자유로운 대용량 데이터의 결합이 어느 정도 인정되어야 분석을 통한 가치달성이 극대화되기 때문이다. 하지만 개인정보주체가 결합의 여부나 결합의 범위를 결정하여 선택하고, 그 결과 개인정보주체마다 결합정도를 따로 따로 정해야 한다면, 결합 비용이나 유지 비용 때문에 빅데이터의 실현은 거의 불가능할 수 있다. 오히려 옵트아웃 제도가 더 빅데이터 개념과 어울려 보인다. 법제의 옵트인과 현실의 옵트아웃을 어떻게 조화할 수 있는지가 큰 과제로 보인다. 정보의 분석과 개인정보보호법 제3조 제2항(이용제한의 원칙) 개인정보보호법 제3조 제2항은 “개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다.”라고 이용제한의 원칙을 규정하고 있다. 수집 목적 외에 개인정보를 활용하는 것은 원칙적으로 허용되지 않는바, 별도의 동의 절차를 거쳐야 한다는 것이다. 한편 빅데이터의 정보분석의 목적은 비정형적인 데이터 분석을 통하여 원래 데이터 이상의 가치와 효용을 창출하는 것이다. 수집 당시의 목적과 분석 이후의 데이터 이용 목적이 달라질 수 있다는 것이고, 이용 목적이 유연하고 전환적일 수 있다는 것이다. 그러나 이러한 빅데이터의 정보 분석으로 인한 새로운 효용가치 창출의 개념, 이용 목적의 유연성은 개인정보보호법 제3조 제2항의 이용제한의 원칙과 충돌하는 듯 보인다. 이를 어떻게 풀어가야 하는지에 대하여 고민해 보아야 할 것이다. 더불어 데이터 이용 목적이 확대되고 전환될 때에 개인정보 주체에게 별도의 동의를 얻어야 하는지에 대한 절차적인 측면도 같이 고민해 보아야 할 것이다. 새로운 프레임워크의 필요 빅데이터는 단순한 정보의 집적이나 결합을 의미하지는 않는다. 정보의 분석이나 새로운 효용가치의 창출이 중요한 목적인 것이다. 때문에 데이터사이언스나 소셜분석, 데이터마이닝 등의 용어나 관련 종사자가 점점 힘을 얻어가는 것이다. 이러한 빅데이터의 장점을 극대화하면서도 동시에 반드시 프라이버시 보호라는 측면도 소홀히 하지 않아야 함은 당연하다. 왜냐하면 정보를 수집하고 이용하는 기업에 의하여 프라이버시가 보장되지 않는다면, 온라인 소비자는 기업에 대하여 불신을 갖게 되고, 그 결과 고부가가치 있는 빅데이터의 실현이 어려워질수 있기 때문이다. 하지만 더욱더 중요한 것은 부적절한 프라이버시 규제가 빅데이터의 성립과 발전에 장애 요소가 될 수 있다는 점이다. 새로운 현상에 맞지 않는 규제는 오히려 IT 산업 발전이나 국가 발전에 큰 장애 요소가 될 수 있다. 새로운 술은 새로운 부대에 담는다는 말처럼 빅데이터의 시대에 걸맞은 새로운 개인정보보호의 프레임워크가 필요하다고 본다. * 법무법인 민후 김경환 변호사 작성, 보안뉴스(2012. 10. 30.), 로앤비(2012. 11. 26.) 기고.

접히는 스마트폰을 부러워하는 사람이 등장하는 광고를 본 적 있는가? 해당 광고에서 부러워하는 사람은 접히는 스마트폰과 경쟁상품을 보유하고 있는 것처럼 암시되어있다. 위 광고는 직접 상품명이 드러나는 비교광고는 아니지만, 첨단 기술이 집약된 스마트폰 상품도 경쟁사업자의 상품을 의식하는 광고를 한다는 점에서 비교광고의 효과가 적지 않다는 점을 짐작할 수 있다. 비교광고는 동일한 제품군이나 서비스군에 속한, 둘 또는 그 이상의 특정한 브랜드명을 자사의 광고 내에 등장시켜서 비교는 광고를 말하는데, 신규 브랜드가 자신의 상품을 기존 브랜드보다 우월하거나 유사하다는 인식을 심게 하려는 목적에서 많이 사용되기도 한다. 그러나 비교광고의 효과가 큰 만큼 아무런 제한 없이 비교광고를 할 수 있는 것은 아니다. 어떤 비교광고는 법에서 금지하고 있고, 금지하는 비교광고를 하여 이로 인해 경쟁사업자에게 손해를 끼친 경우에는 경쟁사업자에 대한 손해배상책임이 생길 수도 있다. 따라서 비교광고를 하기 전 법령에서 금지하는 비교광고의 범위에 대해 알아두는 것이 필요하다. 법에서 금지하는 ‘부당하게 비교광고하는 표시·광고’ 표시·광고의 공정화에 관한 법률(“표시광고법”) 제3조 제1항에서 「사업자등은 소비자를 속이거나 소비자로 하여금 잘못 알게할 우려가 있는 표시·광고 행위로서 공정한 거래질서를 해칠 우려가 있는 부당하게 비교하는 표시·광고를 하거나 다른 사업자 등으로 하여금 하게 하여서는 아니된다.」라고 규정하고 있고, 같은 항 제3호에서 「부당하게 비교하는 표시·광고」를 규정하고 있다. 그리고 표시광고법 시행령 제3조 제3항에서 부당하게 비교하는 표시·광고에 대해서 「비교 대상 및 기준을 분명하게 밝히지 아니하거나 객관적인 근거 없이 자기 또는 자기의 상품이나 용역(이하 “상품등”이라 한다)을 다른 사업자 또는 사업자단체(이하 “사업자등”이라 한다)나 다른 사업자등의 상품등과 비교하여 우량 또는 유리하다고 표시·광고하는 것으로 한다.」라고 규정하고 있다. 더 구체적으로 부당하게 비교하는 표시·광고가 무엇인지는 공정거래위원회에서 정한 표시·광고행위의 유형 및 기준 지정고시를 통해 알 수 있다. 지정고시에 기재된 경쟁사업자의 것과 비교 표시·광고 중 부당한 표시·광고에 해당하는 예시는 △ TV의 가격을 비교·광고함에 있어서 A사의 것은 14인치의 가격을 B사의 것은 20인치의 가격을 비교하여 자사의 제품가격이 저렴하다고 하면서 용량을 명시하지 아니하거나 소비자가 알아보기 어려운 방법으로 표현하는 경우, △ 음료수에 대한 판매량을 비교하면서 자사의 제품이 많이 판매되어 인기가 있는 제품이라고 광고하면서 자사의 것은 성수기(2/4분기)가 포함된 기간을 기준으로 하고 경쟁사의 것은 비수기(4/4분기)가 포함된 기간을 기준으로 하는 경우, △ 서울～부산 간의 항공요금만을 비교하면서 마치 국내 전노선에 대한 요금비교인 것처럼 광고하는 경우, △ 자동차의 안전도를 비교하는 광고에 있어서 특정속도의 정면충돌 시험결과만으로 자기가 제조·판매하는 차가 경쟁사업자의 제조·판매하는 차보다 모든 면에서 안전도가 뛰어나다고 광고하는 경우, △ 세탁소 드라이클리닝 용제는 유해물질이 들어 있는 것이 사실이나 휘발성이 강해 세탁물에는 유해물질이 잔류하지 않음에도 불구하고 세탁소 드라이클리닝 세탁을 하게 되면 질병이 발생하는 것처럼 세탁소 드라이클리닝 용제에는 발암물질 등 유해물질이 들어있고 자기가 개발한 세탁용제에는 유해물질이 없다고 광고하는 경우 등이다. ‘업계 1위’ 표현도 부당하게 비교하는 광고일까? 표시광고법과 그 시행령 그리고 표시·광고 행위의 유형 및 기준 지정고시 이외에도 비교광고를 금지하거나 부당한 비교광고 행위로 인한 손해배상을 구하는 사건의 판결문을 통하여서도 부당하게 비교하는 표시·광고의 범위를 파악할 수 있다. 상조회사가 ‘대한민국 1위 상조’, ‘No. 1’, ‘업계 1위’의 표현을 사용하여 광고한 것에 대해 비교 대상 및 기준을 명시하지 않았고, 실적을 기준으로 하더라도 실제로 광고를 한 상조회사가 국내 1위에 해당하지 않은 점 등을 고려하여 광고한 상조회사가 경쟁사업자에 대하여 부당한 비교광고로 인한 손해배상책임이 있다고 인정한 사례가 있다(서울남부지방법원 2016. 7. 14.자 2015가합101901 판결). 학원을 운영하는 A사가 “아시다시피, B사 강사진은 대부분 노량진에서 강의를, A사 1타 강사진은 대치동에서 강의합니다.” “아시다시피, B사 강사진은 대부분 노량진에서 강의를, A사 1타 강사진은 대치동에서 강의합니다.”와 같은 표현이 포함된 광고를 한 것에 대해서 법원은 B사 소속 강사들의 출강지역과 A사 소속 강사들의 출강지역이 차이가 난다는 점이 객관적으로 증명되지 않았고, 출강지역에 따라 강의의 질이 차이가 난다는 인식이 합리적이고 객관적인 근거라고 보기 어렵다는 점에서도 위 광고는 부당하게 비교하는 광고로 보았다(서울중앙지방법원 2016. 7. 15. 선고 2015가단5175997 판결). 반면 부당하게 비교하는 광고에 해당하지 않는다고 본 사례로는 모자이크 처리 제품 노출을 통해 ○○ 에센스의 비교대상이 경쟁자가 판매하는 △△△△ 에센스 제품임을 인지할 수 있도록 하면서 '이제 더 이상 값비싼 수입화장품에 의존하지 않아도 된다.'라는 내용의 광고이다. 위 광고에 대해 법원은 사업자가 자신의 제품과 경쟁사업자의 제품을 비교하여 광고하는 행위는 소비자들로 하여금 각 제품에 대한 비교자료를 손쉽게 얻도록 함으로써 합리적인 소비생활을 할 수 있도록 하고, 사업자들로서는 경쟁사업자의 제품에 비하여 자신의 제품이 우수하다는 점을 손쉽게 소비자들에게 전달할 수 있는 광고 방법으로 일반적으로 허용되는 범위로 보아 부당한 비교광고에 해당하지 않는다고 보았다(서울남부지방법원 2013. 8. 29. 선고 2012나51498 판결). 부당한 비교광고라는 점은 누가 입증하여야 하나? 그렇다면 위 내용을 고려하여 경쟁사업자의 상품과 비교광고를 하였는데, 경쟁사업자가 나에게 내가 만든 비교광고가 부당한 비교광고라고 주장하며 손해배상을 구할 경우, 그 광고가 부당하지 않다는 점에 대해서는 누가 입증하여야 할까? 법원은 이에 대해 “표시광고법 제5조 제1항은 '사업자 등은 자기가 행한 표시·광고 중 사실과 관련한 사항에 대하여는 이를 실증할 수 있어야 한다.'라고 규정하고 있으므로, 표시·광고행위에 있어서 표시·광고행위를 한 사업자 등에게 표시·광고에서 주장하는 내용 중 사실과 관련한 사항이 진실임을 합리적·객관적 근거에 의하여 입증할 책임이 있다(대법원 2003. 3. 31.자 2002마4109 결정 등 참조)”고 판단하였다. 즉, 광고를 한 자가 비교광고의 대상 및 기준과 비교결과의 객관적인 근거를 입증하여야 한다. 따라서 경쟁사업자의 상품과 비교광고를 한 이상 광고의 내용이 진실하고 객관적인 근거에 의해 비교되었다는 점은 광고로 인하여 피해를 입은 경쟁사업자가 아닌 광고자가 입증하여야 하므로 비교광고를 하기 전 관련 법령과 유사 사례를 살펴보고 법률 전문가의 조력을 받아 보는 것이 필요하다. * 법무법인 민후 조윤 변호사 작성, 디지털데일리(2023. 6. 8.) 기고.

지난 2020년 배우 주진모를 비롯한 유명 연예인들을 대상으로 한 스마트폰 해킹 사건은 크리덴셜스터핑(Credential Stuffing) 공격에 의해 발생한 사건이다. 성명불상의 해커가 불법으로 유명 연예인들의 개인정보를 입수해서 그들의 클라우드 계정에 접근해 개인정보를 유출한 사안이다. 아카마이 보고서에 따르면 2020년 한 해 동안 전 세계 금융업계를 대상으로 총 41억건의 보안 공격이 발생했으며, 그 가운데 83%인 34억건이 크리덴셜스터핑 공격이었다. 2022년 성명불상의 해커는 미국 자동차 대기업 GM의 구매자 개인정보를 불법으로 입수한 다음 이들 개인정보를 이용해 GM 웹사이트에 로그인해서 고객들이 쌓아 둔 혜택 포인트 일부를 탈취한 적도 있다. 그 외 유명 커피 프랜차이즈의 충전금이 탈취된 사건, 유명 대형마트의 회원 계정에 로그인해서 신용카드 혜택을 적립하고 이를 사용한 사건, 모바일 결제 서비스에서 이용자 몰래 결제가 일어난 사건, 국내 전자책 구독 플랫폼에서 발생한 개인정보 유출 사건 등 크리덴셜스터핑 공격에 의한 피해 사례는 쉽게 찾을 수 있다. 크리덴셜스터핑 공격은 최근 해커의 공격 방법 가운데 주를 이루고 있다. 이렇게 악명 높은 크리덴셜스터핑 공격이란 해커가 이용자의 실제 개인정보를 다크웹 등에서 획득하여 특정 사이트에 방문한 다음 그 개인정보를 이용해서 무작위로 대입해 가며 로그인 시도를 하는 공격이다. 과거 해커들이 무작위로 정보를 대입해 가면서 공격했다면 이제는 실제 개인정보를 획득해서 대입하는 공격 형태로 트렌드가 바뀐 것이다. 크리덴셜스터핑 공격은 성공 확률이 0.1~0.2%로 다른 해킹 공격에 비해 높다. 당연히 짧은 시간 안에 폭발적인 로그인 시도가 있고, 트래픽도 한순간에 급증하는 징후가 발견된다. 크리덴셜스터핑 공격이 증대하고 있는 원인은 그동안 유출된 개인정보가 누적돼 있기 때문이다. 예컨대 2019년 S2W랩 조사에 의하면 다크웹 4000만 페이지를 분석한 결과 국내 개인정보는 300만건 이상이 발견됐다고 한다. 한국인터넷진흥원에 따르면 2021년 다크웹 사이트에 1개월 동안 올라온 국내 개인정보는 1600여만건에 이르며, 정부기관의 조사 자료에 의하면 해외 웹사이트에서 유통되는 국내 개인정보의 개수는 2346만건이다. 이렇게 유출된 개인정보는 다크웹에서 불법적으로 유통되는데 해커는 이를 쉽게 획득해서 크리덴셜스터핑 공격 수단으로 활용하는 것이다. 대다수 이용자는 기억상의 피로감을 해소하기 위해 여러 사이트를 동일한 ID와 비밀번호로 설정해 두는 경향이 있는데 이러한 경향은 크리덴셜스터핑 공격을 조장한다. 하나의 사이트에서 획득한 ID와 비밀번호로 크리덴셜스터핑 공격을 하게 되면 다른 사이트에서도 잘 적용되는 경우가 많기 때문이다. 이 문제를 해결하기 위해 최근 개인정보보호위원회는 '털린 내 정보 찾기 서비스'를 시작했다. 이 서비스는 이용자가 평소 온리인 상에서 사용하는 계정정보를 입력하면 유출된 이력을 알려주는 서비스이다. 자신의 개인정보가 다크웹 등에서 불법 유통되는지를 간접적으로 확인할 수 있고, 2차 피해 방지 조치를 할 수 있다. 이와 함께 주기적인 비밀번호 변경과 2단계 인증 로그인 등을 실시하는 방법으로 크리덴셜스터핑 공격에서 비교적 자유로울 수 있을 것이다. 크리덴셜스터핑 공격은 추가적인 개인정보 유출로 이어질 수 있기 때문에 기업 입장에서는 그에 걸맞은 대비 방법을 강구해야 한다. 예컨대 로그인 시 발생하는 이상징후에 대한 정책 설정, 이상징후 발견을 위한 분석조치 등이 필요하다. 한편 크리덴셜스터핑 공격에 대비해 만들어진 조항이 아니지만 법령적으로 크리덴셜스터핑 공격에 대비한 조항으로는 개인정보의 기술적·관리적 보호조치 기준 제4조 제5항이 있다. 이에 따르면 개인정보를 처리하는 기업은 비인가 접근 탐지를 위한 IP주소 분석 의무 등을 준수해야 한다. 그러나 이러한 의무만으로 크리덴셜스터핑 공격에 대비한 개인정보보호 법체계가 갖추어졌다고는 보지 않는다. 개인적으로는 제4조 제5항의 내용을 크리덴셜스터핑 공격의 내용을 좀 더 반영해서 조문을 정비할 필요도 있고, 고시 해설서 등에서 크리덴셜스터핑 공격에 대비하는 기업의 조치 등에 대한 설명을 포함시킬 필요가 있다고 본다. 고시나 해설서는 과거 행위를 규제하는 도구이기도 하지만 장차 발생할 우려가 있는 위험에 대비하는 예고나 예방 역할도 하고 있기 때문에 개인정보 보호 차원에서 크리덴셜스터핑 공격에 대비한 고시나 해설서 등의 법체계 정비를 통해 크리덴셜스터핑 공격에 의한 개인정보 유출 피해를 줄여 나가는 노력이 필요하다. * 법무법인 민후 김경환 변호사 작성, 전자신문(2022. 7. 5.) 기고.

지난달 21일 미국 연방거래위원회(FTC)는 초거대 전자상거래 기업인 아마존이 수백만명 소비자를 속여 아마존프라임 서비스에 반복 가입하도록 기망하고 복잡한 절차를 통해 구독 해지 노력을 방해했다며, 이른바 다크패턴을 이유로 시애틀 법원에 아마존을 고발했다. 한편, FTC는 다이렉트 마케팅 회사인 클리어링 하우스가 경품 행사 과정에서 숨겨진 수수료를 청구하고 데이터를 포기하는 방식으로 오도하였다는 이유로 고발했었고, 지난달 1850만 달러(약 240억원)를 지불하기로 합의했다. 수백만명의 유저를 기망하여 의도하지 않은 게임 내 구매를 유도하였다는 이유로 고발된 게임회사인 에픽은 2022년 12월 5억 2000만 달러(약 6700억원)를 지불하기로 FTC와 합의한 적도 있다. 우리나라에서도 유사한 소송이 있었는데, 이벤트 화면에서 개인정보 제공에 관한 법정 고지사항을 화면의 제일 하단에 배치함으로써 명확하게 인지·확인할 수 없게 했던 사업자에 대하여 방송통신위원회가 과징금을 부과했던 대법원 2016년 6월 28일 선고 2014두2638 판결 사안을 들 수 있다. 공정위는 2019년 8월 디지털음원 서비스 사업자들이 가입과 해지 과정에서 소비자를 기만한 행위에 대하여 전자상거래법 위반으로 과징금을 부과한 적도 있다. 다크패턴은 눈속임 설계라고 하는데, 일종의 사용자인터페이스(UI) 사기로, 공정거래위원회는 '사업자의 이익을 위해 소비자의 착각, 실수, 비합리적인 지출 등을 유도하는 상술(商術)'이라고 정의하고 있다. 위 사례에서 보듯이 다크패턴은 이미 오래전부터 있었던 현상이다. 따라서 기존의 전자상거래법, 개인정보보호법, 표시광고법, 전기통신사업법 등에서, 비록 다크패턴이라는 용어를 쓰지는 않고 있지만, 일정한 규제가 이루어지고 있었다. 그러나 최근 디지털 비대면 거래가 확산됨에 따라서, 다크패턴으로 인한 피해 사례가 급증하고 있어, 세계 각국의 정부당국은 다크패턴에 대한 규제와 제재를 강화하고 있다. EU의 디지털서비스법(2022. 7.), 미국의 다크패턴금지법안(2021. 12.) 등을 비롯해서, 우리나라에서도 공정거래위원회(2023. 4. 21. 다크패턴 정책방향), 방송통신위원회(2023. 2. 3. 2023년도 업무계획), 개인정보보호위원회(2023. 6. 28. 기본계획) 등에서 다크패턴에 대한 정책과 규제 방향을 제시하고 있다. 다크패턴 규제의 원리는 간단한 바, 결국 사업자가 소비자로부터 금전과 개인정보를 취함에 있어 소비자의 선택권이나 정보주체의 자기결정권이 실질적으로 보장되어야 한다는 것이다. 참고로 공정위는 다크패턴에 대하여 편취형, 오도형, 방해형, 압박형으로 행위 태양을 구분하고 있다. 다만 사업자는 마케팅 기술을 활용하여 소비자의 지불의사를 유도하고 판매를 촉진하는 관행이 있는바, 정당한 마케팅 기술과 부당한 다크패턴의 경계를 획정하는 것은 쉽지 않다. 예를 들어서 첫 화면에 팔고자 하는 상품 중 최저가격 상품을 광고하여 소비자를 유인하는 행위 등을 들 수 있는 데, 이런 행위까지 다크패턴으로 보는 것에 대해서는 이견이 있을 수 있다. 한국소비자원 2021년 조사에 따르면 약 97%의 모바일 앱에서 다크패턴이 발견된다고 하는데, 해지 페이지를 찾지 못해 해지를 내일로 미루는 소비자가 발생하지 않도록 다크패턴에 대한 법적 규제와 제재는 필요하되, 적정한 선을 획정하는 게 중요할 것으로 보인다. * 법무법인 민후 김경환 변호사 작성, 전자신문(2023. 7. 4.) 기고.

중고거래는 그 어느 때보다 활발하게 시장을 넓혀가고 있다. 중고거래만을 위한 대형 플랫폼도 여럿 생겨났으며, 기존 커뮤니티가 게시판을 설정해 중고거래가 이루어지는 경우도 빈번하다. 중고게시판 운영자의 지위 어떻게 봐야하나 엄밀하게 말하면 온라인을 통한 판매는 통신판매이며 이를 중개하는 자는 통신판매중개자가 된다. 통신판매업자와 통신판매중개자는 전자상거래법이 정하는 바에 따라 소비자에 정보를 제공하는 등의 책임을 져야 한다. 그렇다면 중고거래 게시판의 운영자는 어느 집단에 해당하는지가 문제가 된다. 우선 통신판매를 직접 행하는 사업자는 아니므로 통신판매업자가 아님은 명백하다. 전자상거래법 상 통신판매중개업자를 살펴볼 필요가 있는데, 통신판매중개업자란 사이버몰의 이용을 허락하거나 그 밖의 방법으로 거래 당사자 간의 통신판매를 알선하는 행위를 업으로 하는 자를 말한다. 중고거래 게시판 운영자는 문헌상으로 보면 통신판매중개업자에 부합되는 것으로 해석된다. 그러나 전자상거래법은 통신판매중개업자와 별개로, ‘전자게시판서비스 제공자’라는 서비스 제공자를 별도로 규정하고 있다. 중고거래 게시판 운영자는 전자게시판서비스 제공자에도 해당될 가능성이 있는데, 문제는 중고거래가 이루어질 때 위 통신판매중개업자와 전자게시판서비스 제공자의 책임이 다르다는 것이다. 특히 전자게시판서비스 제공자의 정의가 매우 넓은 편이어서 게시판 운영자의 책임 소재를 명확하게 알기 어렵다는 문제가 있다. 게시판 운영자는 전자게시판서비스 제공자의 의무만 다하면 되는 것인지, 통신판매중개업자의 의무도 수행해야 하는 것인지 혼란에 빠질 수 있다. 중고거래 게시판 운영자, 어떤 의무 이행해야 하나 통신판매중개업자는 판매하는 자의 주소, 번호 등의 정보를 ‘구매자에게’ 고지하거나 구매자가 열람할 수 있도록 해야 할 의무가 있다. 이러한 고지의무를 게을리해 구매자가 피해를 입는 경우 판매자와 연대해 그 손해를 배상할 책임도 있다. 반면 전자게시판서비스 제공자는 해당 게시판을 이용하여 통신판매 또는 통신판매중개가 이루어지는 경우 이로 인한 소비자피해가 발생하지 아니하도록 법 준수사항을 ‘사업자에게’ 고지할 의무가 있고, 분쟁해결에 대한 조정기구를 운영해야 한다. 유의할 점은 전자게시판서비스 제공자의 의무를 규정한 취지다. 전자게시판서비스 제공자에는 판매와 구매를 하지 않는 포털 사이트, 메신저 사이트 등이 해당되는데, 목적으로 하지 않았음에도 자율적으로 통신판매가 일어나는 경우 그러한 게시판 서비스 운영자에게도 특별한 고지의무를 부과하고자 하는 조항인 것이다. 실질적으로 통신판매중개업자에게 보다 강화된 고지의무 등이 예정되는 것이며, 연대책임 등 보다 강력한 의무가 부과된 것이다. 만약 게시판 운영자가 ‘중고거래 게시판’이라는 게시판을 운영하며 중고거래 중개를 업으로 한다면, 소비자 보호를 위해 더 강력한 의무를 부과하는 통신판매중개업자로서의 고지의무 등을 충실하게 수행하는 것에 초점을 맞춰야 할 것이다. 다만, 의무를 다하는 영역의 범위는 사업자의 규제에 관한 것이므로 구체적이고 명확해야함에도 불구하고, 앞서 살펴본 바와 같이 여전히 법률해석의 문제로 남아 있기에 유관부서에서 사업자의 범위에 대한 가이드라인 등 명확한 지침을 구성할 필요가 있다. * 법무법인 민후 임한결 변호사 작성, 이데일리(2021. 1. 24.) 기고.

관련조문을 정리하면 아래와 같다. 1. “개인정보”란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다. 가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다. 다. 가목 또는 나목을 제1호의2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 “가명정보”라 한다) 1의2. “가명처리”란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다. o 가명정보의 정의 ​ 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보​ o 가명처리의 정의 ​ 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것​ <가명처리되었는지 확인하는 방법> 1. 1단계​ 처리 전의 정보가 개인정보인지 판단하여야 한다. 개인정보의 범위는 아래와 같다. 1. “개인정보”란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다. 가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다. 2. 2단계​ 일정한 처리로 인하여 처리된 정보가 특정되어 비교할 수 있어야 한다. 처리의 방법은 삭제 또는 대체 등의 방법이다. 삭제란 식별자 등을 없애는 것을 의미하고, 대체란 식별자 등을 다른 값으로 대체하는 것을 의미한다. ​ 3. 3단계 추가정보는 원래의 상태의 복원하기 위한 정보이다. 원래의 상태로 복원하기 위한 정보이면 그 형태를 가리지 않는다. 추가정보가 무엇인지 판단해야 한다. 추가정보는 키값, 알고리즘, 매핑테이블, 원본정보 등일 수 있다. ​ 4. 4단계 ​ 처리된 정보를 보면서, 추가정보의 사용 또는 결합 없이 특정 개인을 알아볼 수 있는지 여부를 판단해야 한다. 만일 추가정보 없이도 특정 개인을 알아볼 수 있으면 가명정보가 아닌 것이고, 반대로 추가정보 없이도 특정 개인을 알아볼 수 있다면 가명정보에 해당한다. 예컨대 처리된 정보를 보건대 식별정보가 포함되어 있다면 추가정보 없이도 특정 개인을 식별할 수 있으므로 가명정보가 아닌 것이다. * 법무법인 민후 김경환 변호사 작성, 블로그(2021. 2. 19.) 기고.

최근 개인정보보호위원회는 가명정보 처리 가이드라인을 발표하였는바, 그 대강의 내용을 정리하였다.​ 1. 통계작성 목적 : 시장조사와 같은 상업적 목적의 통계처리도 포함함 2. 과학적 연구 목적 : 산업적 목적을 위한 과학적 연구도 포함함 3. 공익적 기록 보존 목적 : 민간기업에서 일반적인 공익을 위하여 기록을 보존하는 경우도 포함됨 4. 가명정보의 결합 ; 전문기관을 통해서만 결합이 가능하나, 기관 내부의 가명정보의 결합은 그렇지 않아도 됨 5. 추가정보 : 개인정보의 전부 또는 일부를 대체하는 데 이용된 수단이나 방식(알고리즘 등), 가명정보와의 비교ㆍ대조 등을 통해 삭제 또는 대체된 개인정보를 복원할 수 있는 정보(매핑 테이블 정보, 가명처리에 사용된 개인정보 등) 등 ==> 정리하면 알고리즘 또는 복원할 수 있는 정보 6. 결합키 : 결합 대상 가명정보의 일부로서 해당 정보만으로는 특정 개인을 알아볼 수 없으나 다른 정보주체와 구별할 수 있도록 조치한 정보 7. 결합키연계정보 : 동일 정보주체에 대해 가명정보를 결합할 수 있도록 서로 다른 결합신청자간의 결합키를 연계한 정보 8. 가명정보 처리에 관한 내부관리계획 수립이 필요함. 가명정보 처리 업무를 외부에 위탁하는 경우, 문서가 필요함 9. 가명처리 목적은 구체적이고 명확해야 함 (예 : 신제품 개발을 위한 과학적 연구 수행 (X)) 10. 가명처리 이전에 위험도를 측정해서 위험도 평가 결과를 도출해야 함 11. 가명처리 수준 정의표 작성 12. 특이정보 : 관측된 데이터의 범위에서 많이 벗어난 아주 작은 값이나 아주 큰 값을 의미함. 개인정보를 가명처리를 통해 특정 개인을 알아볼 수 없게 처리했더라도 ‘특이정보’를 통해 다른 정보와 쉽게 결합하여 개인을 알아 볼 수 있음. 예컨대 특정 기관의 급여가 2천만원에서 6천만원까지 고루 분포되어 있는데, 일부 고액 급여 수령자가 발생하는 경우 --> 추가적인 가명처리 필요함 13. 가명정보의 결합 * 법무법인 민후 김경환 변호사 작성, 블로그(2020. 10. 8.) 기고.