꽉 막힌 法.. "국내 금융사, 외부 개인정보 활용 全無"

[세계는 빅데이터 전쟁 중] [下] 경쟁 가로막는 법률
- 앞서가는 미국· EU·일본
보호해야 할 정보, 법 규정 명확.. 활용은 자유롭게, 유출 땐 엄벌
일부 정보는 사후 동의도 허용
- 한국, 사전동의 없으면 불법
세계 최고 수준 빅데이터 쌓여도 강력한 보호 규정에 활용도 꼴찌
유출 때 명확한 배상 규정도 없어 소비자만 피해 보는 일 반복

미국 투자회사 모건스탠리는 '클라우드라(cloudera)' '요들리(yodlee)' '클리크(qlik)' 등 빅데이터 분석업체들과 최근 잇따라 제휴했다. 모건스탠리의 파트너십 체결 기업의 절반 이상이 데이터 분석업체란 게 회사 측 설명이다. 스페인 BBVA은행은 2015년 빅데이터 분석 업체 마디바(Madiva)를 인수해 내부 고객에 대한 데이터 분석을 전담시키고 있다.

전 세계가 빅데이터 전쟁 중이다. 미국에선 작년 벤처캐피털 투자액의 11.3%인 66억4000만달러가 빅데이터 관련 스타트업에 투자됐다.

한국은 세계에서 가장 많은 빅데이터가 만들어지는 나라 중 하나다. IT 강국이면서, 신용카드 사용액 비중 세계 1위(50.6%)로 매일 수많은 결제 데이터까지 쌓이고 있다. 그런데 활용도는 꼴찌다. 미국, 일본, EU, 한국의 개인신용정보보호법을 비교한 결과 우리나라 법이 개인 정보 보호에 가장 강력해 빅데이터 활용이 떨어지는 것으로 나타났다.

◇기업에 자율성 열어주는 미국·일본·EU

빅데이터 활용을 위해선 2가지 선결 조건이 필요하다. 첫째로 보호해야 할 개인 정보에 대한 정의가 확실해야 한다. 이를 뺀 나머지는 자유롭게 활용하면 되기 때문이다. 미국, 일본, EU는 나름 명확하게 정의를 내려주고 있다.〈표 참조〉 특히 미국은 산업 분야별로 각 관련법이 개인 정보에 대한 정의를 별도로 내리고 있다. 공공, 통신, 금융 등 분야별로 해당 법령에 따라 각 기업이 어떤 정보를 어디까지 보호해야 하는지 확실히 알 수 있다.

둘째로 개인 정보를 활용할 때 동의를 받는 방식이다. 미국, EU, 일본은 정보의 종류에 따라 사전 동의 외에 사후 동의도 허용하고 있다. 기업이 일단 개인정보를 활용한 후에 '원하지 않으면 활용을 중단하겠다'고 통지하면, 소비자가 이의를 제기하는 경우에만 활용을 중단하는 방식이다. 이에 따라 해당국 기업들은 개인 정보를 다양하게 활용할 수 있다.

◇사실상 활용하지 말라는 한국

우리나라는 2가지 선결 조건 모두 지나치게 불편하다. 우선 법에서 정의되는 개인 정보의 범위가 지나치게 포괄적이다. 해석에 따라서는 인터넷에 담긴 모든 자취를 개인 정보로 볼 수 있다. 그리고 그 정보들은 가치에 관계없이 일률적으로 보호된다. 주민등록번호 같은 치명적인 정보나 중요도가 떨어지는 정보(특정 사이트에서 구입한 물품 등)가 같은 수준으로 보호받는 것이다.

또 이런 정보를 활용하려면 무조건 '사전 동의'를 받아야 한다. 동의받지 않고 사용하면 불법이다. 나성호 하나금융경영연구소 연구위원은 "서로 다른 분야 기업들이 각자 가진 데이터를 교환해 다룰 수 있어야 하는데, 현행 법령은 고객의 동의를 받지 않은 데이터를 주고받을 수 없도록 해 제약이 많다"고 지적했다.

이에 따라 우리나라는 빅데이터 활용도가 극히 떨어진다. 이충근 KB금융연구소 연구위원은 "금융회사가 외부에서 취득한 정보를 활용하는 사례는 현재로선 전무(全無)한 형편"이라며 "개인 정보 보호와 소비자 편익 증진의 균형을 맞출 수 있는 대안이 시급하다"고 했다. 박재석 정보통신정책연구원 부연구위원은 "가장 많은 데이터를 보유한 금융업조차 개인 정보 보호법과 금융 당국의 감독 강화로 인해 고객 정보를 제대로 활용하지 못하고 있다"고 말했다.

◇개인 정보 유출 책임은 확실하게

외국은 멀찌감치 앞서 가고 있다. 중국 알리바바는 2015년 'IT 시대에서 DT(데이터 테크놀로지)시대로의 전환'을 선언하고 각종 빅데이터 분석 작업을 하고 있고, 글로벌 은행들은 예외 없이 빅데이터 분석 자회사를 두고 있다. 국가 차원에서 보면 영국은 공공 데이터뿐 아니라 기업이 보유한 소비자 정보까지 소비자에게 다시 제공하는 시스템을 만들고 있고, 미국은 대통령 직속 과학기술정책국(OSTP)을 통해 빅데이터 연구개발 계획을 총괄하고 있다.

개인 정보 보호는 유출 책임을 해당 기업에 완전하게 지우는 방식으로 대응하고 있다. 미국의 경우 데이터 남용법(National Data Breach Legislation), 전자커뮤니케이션프라이버시법(ECPA, electronic communications privacy act) 등을 통해 '개인정보 활용은 자유롭게 하되, 유출 책임은 배상 등을 통해 확실히 진다'는 원칙을 세우고 있다.

반면 한국은 강력한 보호 규정에 갇혀 기업들이 개인 정보를 거의 활용하지 못하면서, 정보 유출에 대한 명확한 배상 규정은 없어서 정보 유출 사태가 터질 때마다 소비자만 피해 보는 일이 반복되고 있다. 관련 규정문제로 기업들이 개인 정보를 제대로 활용하지도, 제대로 책임지지도 않는 것이다. 조성은 정보통신정책연구원 연구위원은 "글로벌 동향은 '기업 책임하에서 정보의 자유로운 흐름을 보장하는 것'인데 우리 법은 조류에서 한참 벗어나 있다"며 "적극적인 정보 활용을 보장할 수 있는 사회적 합의가 필요하다"고 조언했다.

- Copyrights ⓒ 조선비즈 & ChosunBiz.com, 무단 전재 및 재배포 금지 -