AI시대에 걸맞는 개인정보 보호법

[고학수 법경제학자의 눈]
서울대 법학전문대학원 교수

우리나라 개인정보 보호법 체계에 따르면 세상의 모든 정보는 개인정보와 개인정보 아닌 정보

로 나뉜다.  2020년 ‘데이터경제 3법’이라는 이름으로 관련 법이 개정되면서 약간의 변화가 생겼다. 기존과 마찬가지로 세상의 정보를 둘로 나눌 수도 있고, 여기에 하나의 분류를 추가하여 셋으로 나눌 수도 있다. 셋으로 나누면, 개인정보·개인정보의 특수한 부분집합인 가명정보 그리고 익명정보로 구분된다.

하지만 실제로 데이터에 기초한 분석작업을 해보면 세상의 데이터는 개인정보인지 여부에 기초하여 두가지 또는 세가지로 명확하게 나뉘어지지 않는 것이 일반적이다. 여기서부터 곧바로 현장의 고민이 시작된다. 데이터베이스에 담긴 개인정보에 대해 식별가능성을 낮추기 위해 어떤 작업을 해야 가명정보 또는 익명정보가 되는지에 대해 법은 일반적인 원칙을 제공할 뿐이다. 하지만 현장 실무자의 시각에서는 그러한 원칙의 제시가 비현실적인 것으로 느껴질 수 있다. 데이터베이스 분석을 통한 개인정보의 식별가능성은 촘촘한 스펙트럼을 통해 그 정도나 수준을 파악할 수 있는 것이 보통인데, 법은 이로부터 일도양단의 흑백논리적인 결론을 낼 것을 요구하기 때문이다.

우리나라 법제도 하에서 주로 전제하고 있는 비식별 방식은, 데이터베이스에 담긴 개인정보에 대해 식별성을 낮추어 새로운 데이터베이스를 생성한 뒤 이를 활용하는 방식이다. 지난 몇 년 동안 그런 방향으로 많은 논의가 이루어졌고, ‘k-익명성’이라는 통계적 지표가 중요한 지표의 하나로 이용되었다. 이 지표가 만능인 것은 아니지만 정형화된 수치 데이터에 대해서는 어느 정도 유용하게 이용될 수 있다. 하지만 인공지능(AI) 기술의 발전과 함께, 비정형 데이터의 활용도가 갈수록 높아지고 데이터의 이용 환경 또한 지속적으로 변하고 있다. 그런 상황에서 기존의 개념들은 한계를 보이고 있다. 실제로, AI기술의 눈부신 발전과 함께, 프라이버시를 고려한 데이터 처리방법 또한 다양한 방식으로 변모하고 있다. 예를 들어, 원본 데이터베이스를 그대로 유지한 채, 질의 기반으로 응답을 제공하는 방식이 있다. ‘차분 프라이버시’가 대표적이다. 이런 방식 하에서는 질의에 대한 적절한 통제가 프라이버시를 유지하는 핵심 관건이 된다. ‘연합 학습’이라는 방식도 있다. 이는 여러 개의 단말기를 통해 AI학습을 하도록 하고 그 과정에서 축적된 데이터의 일부만 서버로 보내는 방식이다. 이 경우에는 단말기와 서버 사이에 오가는 데이터를 어떻게 규정하고 통제할 것인지가 중요한 관건이 된다.

최근에는 ‘재현 데이터’라는 방법론도 주목을 받고 있다. 이는 주어진 데이터의 통계적 특징에 대해 상세한 분석을 한 후, 파악된 특징에 기반하여 인위적으로 새로운 데이터를 만들어내는 방식이다. 인위적으로 만들어낸 데이터는 개념상 특정 개인에 귀속되는 것이 아니고 따라서 법적으로 개인정보가 아니라고 볼 수 있을 것이어서 이 방법론의 유용성이 주목을 받기도 한다. 하지만 이러한 유형의 데이터가 원본 데이터와 구분이 어려울 정도로 유사한 특징을 보인다면 이에 대해 개인정보가 아니라고 단정지을 수는 없는 아닌가 하는 의혹도 존재한다.

이처럼 프라이버시를 확보하는 동시에 데이터 분석이나 AI개발에 유용하게 활용될 수 있는 방법론의 개발은 지속적으로 이루어지고 있다. 문제는 이런 새로운 방법론이 우리나라 개인정보보호 법제도상 생경한 것이라는 점이다. 기술 발전과 별개로, 이러한 방법론을 우리나라 법제도에 비추어 어떻게 해석하고 수용할 것인지에 관한 논의가 매우 시급하다. 이러한 논의는 기술 전문가와 법률 전문가를 포함한 다양한 전문가들이 오랜 기간을 두고 함께 고민해야 하는 문제다. 정부의 선도적이고 장기적인 리더십 또한 필수적이다. 이는 우리나라가 AI시대를 앞서가기 위해서 반드시 정리해야 할 중요한 문제다.

▶ 경제지 네이버 구독 첫 400만, 한국경제 받아보세요
▶ 한국경제신문과 WSJ, 모바일한경으로 보세요