CCTV 발상은 조지 오웰의 ‘텔레스크린’

조지 오웰의 소설 <1984년>에 나오는 나라 ‘오세아니아’는 빅 브라더가 모든 국민을 통치하며 생각까지 지배하는 독재국가다. 권력은 국민의 개인생활을 감시하는 데서 나온다. 실제로 존재하는지 여부도 알 수 없는 빅 브라더(big brother)는 텔레스크린(telescreen)이라는 장비를 이용해 사람들 일상생활을 철저히 감시한다. 텔레스크린은 현대 사회의 CCTV를 연상시킨다. 중국에서는 CCTV의 안면 인식 기술이 크게 발달했다고 하니, 앞으로는 CCTV가 텔레스크린보다 훨씬 더 강력한 감시장치가 될 수도 있을 것 같다.

올더스 헉슬리의 소설 <멋진 신세계>는 문명이 최고도로 발달한 미래세계를 그리고 있다. 여기에 나오는 미래세계는 제목과 달리 그리 멋진 사회가 아니다. 과학이 사회의 모든 부문을 관리하고, 관리의 기반은 개인을 감시함으로써 구축된다. 아놀드 슈왈제네거가 주인공 역을 맡은 <토털 리콜>(Total Recall)이나 <이레이저>(Eraser), 톰 크루즈가 주연한 <마이너리티 리포트>(Minority Report) 같은 미래세계를 소재로 한 영화들은 한결같이 과학문명이 발달함에 따라 국가권력에 의해 개인이 철저히 통제되는 암울한 세계를 그리고 있다. 그런 통치체제는 개인에 관한 감시와 정보통제 위에서 가능해진다는 공통점이 있다.

미제사건도 척척 해결하는 고도감시사회

미래세계를 그린 소설의 선구로는 토머스 모어의 <유토피아>(Utopia)를 들 수 있다. 유토피아는 존재하지 않는 이상세계(理想世界)를 그렸으니 엄밀한 의미에서는 미래세계를 그린 것이라 할 수 없다. 그러나 현실에서 찾을 수 없는 이상향을 묘사하였다는 점에서 미래세계를 그린 것이라 할 수 있다. 토머스 모어는 이상향으로 유토피아를 상상했지만, 그것은 16세기의 인식이었다. 지금 우리 눈에는 국가에 의해 국민생활이 통제되고 엄격한 윤리가 강요되는 도덕주의적 전체주의 국가로 비친다. 국가에 의한 국민 감시가 명시적으로 드러나진 않지만, 유토피아라는 전체주의적 세계를 유지하려면 국민 감시와 정보통제가 필요했을 터이다. 

정보통신기술 발달로 국가가 마음만 먹으면 국민의 일거수일투족을 모두 감시할 수 있는 세상이 됐다. 몇 십년 전만 하더라도 많은 범죄 사건이 범인을 잡지 못하는 미제(未濟) 사건으로 처리됐다. 그런데 지금은 수사당국의 의지가 있으면 해결하지 못하는 범죄가 별로 없다. CCTV를 통해 거의 모든 사람의 행적을 추적할 수 있고, 신용카드와 교통카드 등의 이용실적을 통해 사람들의 행적을 샅샅이 파악할 수 있는 세상이 됐다. 유전자(DNA) 검사를 통해 과거의 미제 사건까지 많이 해결했다.   

개인에 관한 정보는 국가만 갖고 있는 게 아니다. 현금사용이 줄어든 지금, 신용카드사는 마음만 먹으면 개개인의 소비생활 실태를 상세히 파악할 수 있다. 통신사는 핸드폰을 통해 우리의 시간별 행적을 소상히 파악할 수 있다. 페이스북이나 트위터 같은 SNS를 통해서는 개인의 정치적 성향까지 파악할 수 있다.

내가 대리운전을 부르지 않는 이유

필자는 이전에 대리운전을 자주 이용했지만 지금은 거의 이용하지 않는다. 이유 중 하나는 대리운전을 한번 이용하고 나면, 내 전화번호는 마치 공공재로 취급되는 양 거의 한두 달 동안은 대리운전 광고 문자폭탄을 맞기 때문이다. 내 개인정보가 인터넷으로 어디에 어떻게 떠돌아다니는지 알 수가 없다. 언론보도를 보면 몇 십만원에서 몇 백만원 정도 돈을 내면 몇 백만, 몇 천만 국민의 개인정보를 불법으로 살 수 있다고 한다. 요즘은 인터넷이 우리 생활 깊숙이 들어와 있다. 인터넷 전자상거래 사이트에서 물건을 사고, 뉴스도 인터넷으로 보며, 금융거래도 인터넷으로 하고, 사용하고 있는 가재도구나 전자제품이 탈났을 때도 인터넷으로 서비스를 요청한다. 인터넷을 이용하다보면 많은 사이트에서 개인정보를 요구한다. 이들 정보가 어떻게 잘 보호되고 있는지, 또 어떻게 활용 또는 악용되는지 알 길이 없다.

정보화 사회에서는 우리 개인 생활의 거의 모든 정보가 정부든 민간기업이든 누군가의 손에 넘어가 있다. 그나마 다행인 것은 개인정보 보호를 위한 여러 안전장치를 통해 개인정보의 파악과 이용이 아주 제한되고 있고, 특히 복수의 정보를 연결·융합한 새로운 정보의 창출에 관해서는 법률이 엄격한 규제를 하고 있다.

데이터 3법 개정의 명암

지난 연말 사람들이 우스갯소리로 <개망신법>이라고 말하는 데이터 3법 개정안이 국회를 통과했다. 데이터 3법이란 ① 개인정보 보호법, ② 정보통신망법(정보통신망 이용촉진 및 정보보호 등에 관한 법률), ③ 신용정보법(신용정보의 이용 및 보호에 관한 법률)을 말한다. 개정안의 주 내용은 ㉮ 개인정보 관련 개념을 개인정보, 가명정보, 익명정보로 구분한 후 가명정보를 통계 작성 연구, 공익적 기록보존 목적으로 처리할 수 있도록 허용하며, ㉯ 가명정보 이용시 안전장치 및 통제 수단을 마련하며, ㉰ 현재 각 기관에 분산되어 있는 개인정보보호 감독기능을 개인정보보호위원회로 일원화한다는 것이다.

데이터 3법의 개정에 관한 평가는 극명하게 갈린다. 개정을 찬성하는 쪽에서는 이번 개정으로 국가의 미래 성장동력을 얻었다고 평가한다. 4차산업혁명은 데이터 혁명이라 할 수 있는데, 그동안 IT업계를 비롯한 다양한 분야가 데이터 관련법의 규제에 가로막혀 데이터 활용이 크게 제한될 수밖에 없었다. 우리나라가 세계적인 산업경쟁력을 갖추고 미래 성장동력을 발굴하기 위해서는 데이터의 활용 폭을 크게 넓혀야 하는데, 데이터 3법의 개정을 통해 이것이 비로소 가능해졌다고 평가한다. 

반대하는 쪽에서는 개인정보유출 및 인권침해를 우려한다. 가명 처리된 개인정보를 본인 동의 없이 기업이 이윤추구 목적으로 공유하거나 유출한다고 해도 개인이 이를 알 수 없어 개인정보 유출에 관한 제어장치가 사라지게 된다. 가명 처리된 정보여도 이를 결합하면 실명정보로 전환할 수 있으며, 이에 따라 개인정보가 노출돼 개인의 인권이 침해되거나 경제적·사회적 불이익을 초래할 수 있다는 것이다. 

익명정보 대 가명정보, 무엇이 더 위험한가

이런 찬반 의견의 적절성을 검토하기 전에 데이터 3법 개정 내용이 무엇을 의미하는지 더 구체적으로 살펴보자. 앞에서 데이터 3법의 개정 내용을 간략히 소개했지만, 개정의 핵심은 ㉮ 가명정보의 공익적 활용과, ㉯ 안전장치 및 통제수단 마련에 있으며, ㉰ 개인정보보호 감독기능의 일원화는 ㉮ 가명정보 활용에 따라 발생할 수 있는 부작용을 방지하기 위한 보완장치의 성격을 갖는다.

여기서 말하는 가명정보가 무엇인가? 일반적으로 개인정보는 실명정보와 익명정보, 그리고 가명정보로 구분될 수 있다. 여기서 실명정보란 ‘홍길동이라는 나이 35세에 서울에 거주하는 사람이 2020년 4월 1일 부산 해운대에 있는 편의점에서 물건을 1만원어치 샀다’는 것처럼 개인을 특정할 수 있는 신상정보가 드러나는 데이터를 말한다. 익명정보는 개인정보는 알려주되, 그 개인의 특정화가 불가능한 정보를 말한다. 앞 경우를 예로 들면 ‘나이 35세인 서울에 거주하는 어떤 사람이 2020년 4월 1일 부산 해운대에 있는 편의점에서 물건을 1만원어치 샀다’고 하면 이것은 익명정보다. 이에 견주어 가명정보는 이름은 붙이되 그것이 누구인지 특정할 수 없는 정보를 말한다. ‘A라는 나이 35세에 서울에 거주하는 사람이 2020년 4월 1일 부산 해운대에 있는 편의점에서 물건을 1만원어치 샀다’고 한다면 이것은 가명정보다.

가명정보는 결합하면 새 정보 얻을 수 있어 

익명정보나 가명정보는 그것이 누구에 관한 개인정보인지 알 수 없다. 둘 다 실명정보를 알 수 없기는 마찬가지인데 왜 사람들은 익명정보 사용에는 크게 개의치 않으면서 가명정보 이용에는 그렇게 민감한가? 실제로 앞 예에서는 가명을 붙이더라도 그것이 누구인지 전혀 알 수 없으므로 익명정보나 가명정보 간에 아무런 차이가 없다. 그런데 익명정보와 가명정보의 결정적 차이는 서로 다른 정보를 결합할 수 있는지 여부이다. 가명정보는 여러 개 정보를 결합할 수 있는 반면, 익명정보는 그게 불가능하다.

다시 위 예로 돌아가 보자. ‘홍길동이라는 나이 35세에 서울에 거주하는 사람이 ① 2020년 4월 1일 부산 해운대에 있는 편의점에서 물건을 1만원어치 산 뒤, ② 그날 저녁 동대구역에서 서울에 있는 직장에 전화를 하였다’고 치자. ①에 관한 정보는 신용카드사가, ②에 관한 정보는 통신회사가 가지고 있다. 이 경우 익명정보로는 어떤 사람이 2020년 4월 1일 부산 해운대에서 물건을 산 뒤 대구로 이동했다는 사실을 알 수가 없다. 익명정보로 알 수 있는 것은 ① 어떤 사람이 4월 1일 부산에 있었고, ② 또 누구인지는 모르는 어떤 사람이 4월 1일 저녁 대구에 있었다는 사실 뿐이다. 즉, 신용카드사가 가진 정보와 통신사가 가진 정보를 연결할 수 없다는 것이다.

그런데 가명정보라면 신용카드 회사와 통신회사의 정보를 결합해 누구인지는 모르지만 어떤 사람이 2020년 4월 1일 무엇을 했는지 알 수 있게 된다. 신용카드 회사는 ‘A가 해운대 편의점에서 물건을 1만원어치 샀다’는 정보를, 통신회사는 ‘A가 동대구역에서 서울에 있는 직정에 전화를 했다’는 정보를 제공해줄 수 있다. 그러면 이 두 정보를 이용해 우리는 ‘A라는 35세의 서울에 거주하는 사람이 2020년 4월 1일 부산 해운대에서 대구 동대구역으로 이동했다’는 사실을 알 수 있게 된다. 가명정보로 우리는 이 사실을 알더라도 A가 홍길동인지는 누군지는 여전히 알 수 없다.

가명정보 사용 못하면 확진자 추적도 못해 

그러면 가명정보는 어떻게 활용될 수 있는가? 좋은 예가 최근 코로나19 사태에서 확진자 동선 추적이다. 코로나19 확진자의 동선 추적을 위해 신용카드사의 카드사용 내역과 통신사가 보유한 위치정보 등 여러 정보를 활용하는 것으로 알고 있다. 우리는 물건을 사거나 버스, 지하철, 택시 등을 이용할 때 크레딧 카드를 많이 사용한다. 그리고 국민 대부분은 스마트폰을 보유하고 있으므로 통신회사는 이들의 위치정보를 파악하고 있다. 그러면 검역당국은 이들 정보를 활용해 확진자 A가 언제 어디서 무엇을 타고 어디로 이동했는지 정확히 파악할 수 있다. 검역당국은 이렇게 하여 확인된 정보를 가명자료로 국민들에게 제공한다. 예를 들면 확진자 31번의 동선, 확진자 105번의 동선 등이 바로 가명정보이다. 우리는 확진자 31번이 누구인지는 모르지만 어디서 어떻게 이동했는지는 알 수 있으며, 그에 따라 우리가 확진자의 행동반경에 노출됐는지 여부를 스스로 판단할 수 있다. 만약 가명정보의 사용이 불가능했다면 코로나19 확진자 동선 파악은 불가능했을 것이다. 

가명정보는 우리가 지금까지 익명정보로는 알 수 없었던 새로운 정보를 창출해 우리에게 제공한다. 가명정보는 이렇게 기존 정보의 활용 폭을 대폭 확대할 수 있으므로, 많은 효용을 가져오지만, 여러 정보를 연결함으로써 그만큼 실명정보를 캐낼 수 있는 위험이 커지는 것도 사실이다. 데이터 3법 개정에 반대하는 사람들의 논리도 대부분 이런 위험성에 근거한다. 

데이터 3법은 개별정보 유출 방어망

그러나 필자는 이러한 염려는 기우(杞憂)라 생각한다. 개정된 데이터 3법에 의해서도 지금 코로나19 확진자의 동선 첵크와 같은 개별정보의 제공은 대부분 금지되고 있다. 다시 말하면 가명 데이터를 이용해 여러 데이터를 결합하면 나오는 결과를 매크로 데이터 형태로 가져가는 것은 허용되지만, 개별 가명 데이터를 마이크로 데이터 형태로 가져가는 것은 여전히 엄격한 통제 아래 놓이게 된다. 다시 앞 예를 들자면 ‘2020년 4월 1일 부산에서 물건을 사고 대구로 이동한 사람이 몇 명이냐’는 자료는 제공되지만, ‘A라는 특정인이 4월 1일 부산에서 물건을 산 뒤 대구로 이동했다’는 정보는 그 제공에 엄격한 통제를 받는다는 것이다.

지금까지 우리나라에서는 개인정보 유출에 따른 문제가 여러 번 발생했다. 데이터 3법의 개정을 반대한 사람들도 대부분 이런 경험을 통해 개인정보 유출을 우려하고 있다. 그런데 지금까지 일어난 개인정보 유출은 대개 데이터 활용의 부작용으로 발생한 것이 아니다. 거의가 현행법상 불법으로 되어 있는데도 정보관리자의 실수나 태만으로 법집행이 불충분하거나 현실적인 법집행 범위 밖에서 불법으로 이루어진 것이다.

이번 코로나19 사태에서 보듯이 가명정보와 빅데이터의 활용을 확대하면 많은 사회적 편익을 가져올 수 있다. 이러한 점에서 빅데이터를 비롯해 우리 사회 여러 부문에서 보유하고 있는 데이터의 활용을 더욱 활용할 수 있도록 제도를 개선해 나갈 필요가 있다. 이와 병행해 개인정보 보호를 위한 제도가 사회 전반에 걸쳐 실질적으로 작동할 수 있도록 제도를 보완하고 집행력을 강화해야 한다.

편집 : 오동욱 PD