한글과컴퓨터가 미국과 유럽을 겨냥한 투트랙 글로벌 진출에 나선다고 23일 밝혔다. 미국에서는 1인 창업가를, 유럽에서는 공공·금융 시장을 정조준한다. 미국 시장의 무기는 AI 워크포스 플랫폼 ‘노마디안(Nomadian)’이다. 오는 12월 베타 버전을 거쳐 2027년 정식 구독 서비스를 시작한다. 웹 기반 3D 가상 사무실에서 직무별 AI팀이 협업하듯 일하고, 최종 승인은 사람이 내려 안정성을 높였다. 직원 없는 미국 무고용 사업체 3040만곳을 파고든다는 전략이다. 유럽 시장은 기업 인프라에 직접 설치하는 ‘소버린 에이전틱 OS’로 공략한다. 유럽의 엄격한 인공지능법(AI Act)과 개인정보보호법(GDPR) 규제에 맞춰 데이터가 외부로 유출되지 않는 폐쇄망 환경을 구축했다. 폴란드 IT 기업들과 손잡고 현지 레퍼런스 확보에 돌입했다. 이 같은 해외 진출의 원동력은 탄탄한 국내 실적이다. 국내 공공·민간 고객 20만 곳이 문서 SW에서 AI 솔루션으로 전환하면서 올해 상반기 AI 매출만 약 135억원을 기록했다. 이는 지난해 연간 실적(약 89억원)의 1.5배에 달한다. 한컴은 올해 매출 2100억원, 영업이익 600억원으로 사상 최대 실적 경신을 노린다. 김연수 한컴 대표는 “미국에서는 누구나 AI 팀과 함께 창업하는 시대를 열고 유럽에서는 데이터 주권을 지키는 에이전틱 OS로 글로벌 표준을 세우겠다”고 포부를 밝혔다.

Base58Labs가 자체 알고리즘 시스템을 통해 발생한 리워드를 예치자와 공유하는 기관급 디지털 자산 플랫폼 ‘BASIS’를 공식 출시했다. 비공개 테스트를 성공적으로 마친 BASIS는 디지털 자산 시장 내 실행 계층 인프라 공급을 확대하고 토큰 발행 보상이 아닌 실질적인 시장 수익을 제공하는 ‘리얼 일드(Real Yield)’ 생태계 구축을 목적으로 한다. BASIS 플랫폼의 핵심 기술은 고빈도 실행 엔진 ‘Base58 하이퍼-레이턴시 엔진(BHLE)’이다. 해당 엔진은 전 세계 거래소 간의 가격 차이를 실시간으로 포착하여 시장 중립형(Market-neutral) 아비트라지를 실행하도록 설계됐다. 플랫폼 예치자들에게는 외부 토큰이 아닌, 이 과정에서 발생한 차익거래 순수익이 100% 보상으로 분배된다. 기관 참여자와 진행한 검증 테스트 결과, p99 기준 50마이크로초 미만의 실행 지연 시간과 초당 10만 건 이상의 처리량, 100% 가동 시간이 확인됐다. BHLE 엔진은 지연 시간 단축 외에도 시퀀싱 로직, 상태 보존, 할당 추적 기능을 탑재하여 수익 창출 효율을 관리한다. 리스크 관리를 위한 자본 보존 기제도 적용됐다. 검증 시나리오에는 거래소 지연 시간 급증, API 속도 제한, 유동성 파편화, 부분 체결 실패 등 시장 상황이 반영됐다. 특히 체결 오차 등 실행 매개변수가 사전 정의된 임계값을 초과할 경우 시스템이 실행을 중단하고 원상태로 복구하는 ‘롤백(Rollback)’ 절차를 수행한다. 또한 거래소 서버 불안정 시에도 내부 상태 무결성을 유지하는 라우팅 구조를 갖췄다. 헬게 슈타델만(Helge Stadelmann) CEO는 “진정한 실행 품질은 예측 불가능한 시장 조건 속에서 투자자의 자본에 대한 통제력을 얼마나 완벽하게 유지할 수 있는지에 의해 결정된다”며 인프라의 중요성을 강조했다. 보안 및 규정 준수를 위해 ISO/IEC 27001:2022, ISO/IEC 20000-1:2018, AICPA SOC, GDPR 프레임워크를 적용하고 있다. 현재 비트코인(BTC), 이더리움(ETH), 솔라나(SOL), PAXG 예치를 지원하며, 자산은 1:1 비율의 stToken으로 전환되어 운용된다. Base58Labs는 향후 실행 계층 인프라의 중요성이 지속적으로 확대될 것으로 보고 있으며, BASIS를 기관형 디지털 자산 수익 창출 플랫폼의 표준으로 정착시킨다는 방침이다.

보안 합성데이터 및 AI 프라이버시 전문 기업 큐빅(CUBIG)이 공공기관의 개인정보 영향평가 수행 안내서 개정(2025.10)과 개인정보 유출 사고 급증에 맞춰 공공ㆍ금융기관이 합성데이터를 활용해 영향평가와 AI 도입을 동시에 추진할 수 있는 인프라 솔루션 DTS(Data Transform System) 기반 대응 전략을 공개했다. 개인정보보호위원회에 따르면 2025년 1월부터 9월까지 접수된 개인정보 유출 신고 건수는 311건으로 이미 전년도 전체 건수를 넘어섰다. 통신사ㆍ카드사 등에서 수천만 건 규모의 대형 사고가 이어지며 정보주체의 불안이 커지고 있다. 이러한 상황에서 개인정보보호위원회와 한국인터넷진흥원은 공공기관의 개인정보 영향평가 수행 안내서(2025.10 개정)를 공개했다. 이번 개정의 핵심은 인공지능(AI) 평가 분야 및 항목 신설로, AI 시스템 학습ㆍ개발 단계와 운영ㆍ관리 단계에서 발생할 수 있는 개인정보 침해 요인을 분석하고 위험도를 산정하는 기준이 구체화됐다. 안내서는 대규모ㆍ민감 정보 처리 사업에서 사전에 영향평가를 실시하고, 기술적 보호 조치와 대체 수단을 마련할 것을 강조한다. 한편 개인정보보호위원회는 별도의 합성데이터 생성ㆍ활용 안내서를 통해 실제 데이터를 직접 사용하지 않고도 통계적 특성과 구조를 재현하는 합성데이터가 개인정보 유출 위험을 최소화하면서 데이터 분석ㆍ인공지능 학습ㆍ정책 연구를 가능하게 하는 수단임을 제시하고 있다. 큐빅의 DTS는 이러한 정책 흐름에 맞춰 설계됐다. DTS는 공공ㆍ금융기관이 영향평가 과정에서 식별된 고위험 처리 영역을 합성데이터로 대체해 위험도를 구조적으로 낮출 수 있도록 지원한다. 원본 데이터는 기관 내부망에 그대로 두고 통계적 패턴만 학습해 새로운 데이터를 생성하는 원본 비접근(Non-Access) 구조와 차등 정보보호(Differential Privacy) 기술을 결합해 데이터 3법ㆍ개인정보보호법ㆍGDPR 수준의 규제를 충족하면서도 분석ㆍAI 활용이 가능한 AI-Ready 데이터셋을 제공한다. DTS는 표, 텍스트, 이미지, 시계열 등 다양한 형식의 데이터를 합성하고, 합성 후에는 통계적 유사도ㆍ머신러닝 성능ㆍ재식별 위험도를 함께 측정하는 합성데이터 검증 리포트(SynData Report)를 자동으로 생성한다. 이를 통해 기관은 영향평가 보고서에서 요구하는 안전성 및 유용성 검증 근거를 수치와 지표로 제시할 수 있다. 배호 큐빅 대표는 “최근 대형 개인정보 유출 사고가 반복되면서 영향평가만으로는 위험을 서류상으로 관리하는 데 그친다는 우려가 커지고 있다”며 “DTS는 민감한 원본을 직접 쓰지 않고도 정책ㆍ연구ㆍAI 학습에 활용할 수 있는 AI-Ready 합성데이터를 만들고 검증 결과를 영향평가에 바로 첨부할 수 있게 해 공공기관이 규제 준수와 디지털 전환을 동시에 달성하도록 돕는 인프라”라고 밝혔다. 큐빅은 앞으로 공공기관의 개인정보 영향평가 컨설팅, 공공데이터포털 AI-Ready 데이터셋 구축, 부처ㆍ지자체 간 합성데이터 결합 분석 시범 사업 등을 확대해 영향평가 제도와 연계된 합성데이터 활용 모델을 단계적으로 선보일 계획이다.

2025년은 한국 개인정보 보호가 완전한 실패를 기록한 해로 남을 것이다. 쿠팡에서 3370만명의 개인정보가 유출됐고, 업비트에서 445억원 규모 해킹 사고가 났다. SK텔레콤·KT·LG유플러스 등 통신3사에선 고객정보 유출 사고가 연쇄적으로 발생했다. 국민 대다수의 개인정보가 모조리 흔들렸다. 한때 세계가 부러워했던 ‘정보통신기술(ICT) 강국’이라는 위상은 허술한 정보보안 체계 앞에 무너졌다. 허술한 보안 체계는 잘못 꿴 첫 단추를 방치한 결과다. 한국은 개인정보를 ‘개인의 것’으로 본다. 따라서 개인이 사전동의 여부를 판단하고, 사고가 나면 피해자가 기업의 과실을 증명해야 한다. 2015년 징벌적 손해배상제도를 도입해 손해액의 최대 3배까지 배상하게 한 법적 근거는 있지만 ‘고의·중과실 없음을 증명하면 면책’이라는 조항 덕분에 단 한번도 적용되지 않았다. 반면 유럽의 일반정보보호규정(GDPR)은 개인정보를 기업이 관리하는 자산으로 보고, 유출 사고가 나면 기업이 제대로 관리했음을 증명해야 한다. 이 체계를 근본적으로 뜯어고칠 기회가 한국에 있었다. 액티브X와 공인인증서 논란 때다. 2010년 아이폰 등장 이후 인터넷익스플로러 브라우저에서만 작동하던 액티브X가 스마트폰에서 가동되지 않으며 일부 사이트의 스마트폰 접속에 문제가 생겼다. 2014년 액티브X에 막혀 해외 팬들이 국내 사이트에서 판매하는 ‘천송이 코트’를 직구하지 못하는 문제가 생겼다. 이에 박근혜·문재인 정부 모두 이를 없애야 할 대표적 규제로 삼았다. 그러나 실제 공인인증서가 배타적인 법적 지위를 잃은 건 2020년 12월. 도입되고 21년, 문제가 발견된 뒤 11년이 걸렸다. 게다가 인증서 종류만 늘었을 뿐 개인정보를 개인이 스스로 지켜야 할 것으로 보는 관점의 ICT 보안 체계는 유지됐고, 공인인증서 또한 ‘공동인증서’로 이름이 바뀐 채 여전히 쓰인다. ‘갈라파고스 제도’인 공인인증서 폐지가 지지부진했던 이유는 역설적으로 정답이 명확했기 때문이다. 글로벌 스탠더드에 맞춰 액티브X 없이 SSL/TLS만 쓰면 풀릴 문제였지만, 이렇게 전체 보안체계 틀을 바꾸면서 액티브X 생태계가 무너졌다. 공인인증서 발급 기관, 보안 솔루션 판매 기업, 금융사와 공공기관의 보안 부서, 학계 연구진 모두에게 구조적 문제 해결이란 곧 사업 기반의 붕괴를 의미했다. 구조적 문제를 풀어야 공익이 실현되지만, 그 문제를 방치해서 부작용이 생길 때마다 해결할 일거리를 만드는 게 수백, 수천명의 집단적 사익에 부합했다. 결과적으로 전 세계는 SSL/TLS 통신 암호화만으로 보안을 담보하고 사고 시 기업이 책임지는 체계를 택했으나, 한국은 SSL/TLS 위에 각종 보안 프로그램과 인증서를 겹겹이 씌우는 방식을 유지했다. 언뜻 이중보안처럼 보이지만 사이트마다 강제 설치되는 프로그램들이 서로 충돌해 컴퓨터 성능을 떨어뜨리고 오히려 해킹 경로가 되는 역설을 낳았다. 또한 개인에게 보안 책임을 떠넘기는 체계는 정작 기업의 보안 관리 책임을 느슨하게 만들었다. 정보보안 문제 이전에 이미 같은 방식의 정책 실기가 있었다. 산아제한 정책이다. 현재 인구 규모를 유지하는 합계출산율 2.1명을 1983년에 이미 달성했음에도 정부는 이를 일시적 현상으로 보고 조직과 예산을 유지했다. 1996년이 돼서야 산아제한에서 산아자율로 전환했고, 2003년에야 출산장려 정책으로 바뀌었다. 합계출산율 목표 달성 뒤 20년이 지나서야 정책을 전환한 결과 한국은 이제 돌이킬 수 없는 저출산 사회가 됐다. 개인정보 보호 체계도 같은 길을 걷고 있다. 쿠팡 사태라는 재앙의 이면에는 보안 컨설팅, 법률 자문, 정책 연구, 대책 TF의 일감 생태계가 작동한다. 보안 체계를 싹 고쳐 글로벌 스탠더드를 도입하면 문제는 해결되지만 조직과 예산은 소멸된다. 그러나 이번에 드러난 부작용만 관리한다면 신규 예산은 또 마련된다. 부작용이 부작용을 낳고 그 부작용을 막는 대책이 또 다른 부작용을 만드는 악순환. 산아제한이 목표 달성 후에도 20년간 지속됐듯 한국은 돌이킬 수 없는 개인정보 유출 사회로 향하고 있다. ‘마누라 빼고 다 바꾼다’던 저력은 어디로 갔을까. 홍희경 논설위원

20세기 후반의 세계경제 질서는 자유무역으로 대표될 수 있다. 자유무역의 흐름 속에서 인류는 역사적으로 유례를 찾기 어려운 수준의 경제적 번영을 누릴 수 있었고 특히 우리나라는 수출에 기반한 초고속 경제성장을 달성할 수 있었다. 21세기의 세계경제 질서는 어떻게 바라볼 수 있을까. 21세기에는 개인정보를 포함해 그 중요성이 계속해서 강조되고 있는 데이터 및 디지털 통상과 관련된 논의가 중요하다. 이 영역에서의 논의가 장차 어떻게 진행될지에 관해 예단하기는 어렵지만 현재의 상황을 간단히 요약한다면 커다란 과도기 내지 모색의 시기인 것으로 볼 수 있다. 개인정보와 관련해 종종 언급되는 해외의 주요 법제로 유럽연합(EU)의 일반개인정보보호법(GDPR)을 들 수 있는데 이 법을 통해 현재의 상황이 어떤지 상징적으로 파악하는 것이 가능하다. 이 법은 제1조 조항을 통해 개인정보 보호의 중요성 및 개인정보의 자유로운 흐름을 강조한다. 핵심 조항을 통해 개인정보 보호의 중요성을 천명하는 동시에 그에 못지않게 개인정보의 자유로운 흐름 또한 중요하다고 강조하는 것이다. 하지만 이와 같은 개인정보의 자유로운 흐름은 유럽연합 역내에 국한된다. 유럽연합 역외로 개인정보가 이전되는 데는 여러 가지의 제약이 있다. 다만 이런 제약에는 몇 가지 예외가 있다. 그중 하나는 유럽연합 이외의 개별 국가의 개인정보 보호 수준에 관해 평가해 적정한 수준의 보호가 제공되는 것으로 평가되는 국가에 대해서는 유럽연합 역내에서 개인정보가 이전되는 것과 마찬가지로 개인정보의 이전을 제한 없이 허용하는 것이다. 다행히 우리나라는 적정성 평가를 받아 유럽연합의 개인정보가 자유롭게 이전될 수 있는 나라에 해당한다. 이와 같은 유럽연합의 법제에 대해서는 다양한 평가들이 존재한다. 먼저 개인정보 보호가 중요해지는 시대의 흐름을 반영해 일정 수준 이상의 보호를 제공하는 나라들 사이에서는 자유롭게 개인정보가 이전될 수 있도록 하는 제도를 마련하는 것이 바람직하다고 보는 긍정적 평가가 있다. 그런 한편으로 유럽연합 법제의 관점에 비추어 볼 때 적정한 것으로 평가되는 나라들 사이에서만 개인정보의 자유로운 흐름을 허용하는 방식에 대한 비판적 시각도 있다. 개인정보의 흐름에 제한을 두는 가장 직접적인 방법은 ‘데이터 현지화’를 의무화하는 것이다. 데이터의 처리나 저장이 특정 국가의 경계 내에서 이루어지도록 강제하는 방식이 이에 해당한다. 폭넓게 개인정보 전반에 대해 현지화를 의무화하는 경우도 있고 일부 유형의 정보를 특정해 현지화를 요구하는 경우도 있다. 또한 묵시적 또는 간접적 방식으로 현지화를 요구하는 경우도 있다. 예를 들어 공공조달 계약에 있어 현지 데이터 보관시설을 필수적으로 요구하는 방식을 들 수 있다. 구체적인 방식이 어떠하건 데이터 현지화는 데이터의 자유로운 흐름에는 제약으로 작동한다. 현실은 어떤가. 명시적이고 직접적으로 데이터 현지화의 요건을 두는 것은 그리 흔치 않은 반면 많은 나라에서 다양한 형태로 개인정보의 국경 간 흐름에 일정한 제한을 두고 있는 것이 현실이다. 그리고 이에 대해 글로벌 규범이라고 할 만한 논의의 흐름은 아직까지 또렷하게 나타나고 있지 않은 상황이다. 최근 논의되는 디지털 통상조약에 데이터의 국경 간 흐름에 관해 규율하는 내용이 흔히 포함되긴 하지만 대체로 개략적인 원칙을 선언하는 수준에 머무르고 있다. 개별 기업을 평가해 국제 수준의 인증을 제공하는 방식도 논의되고는 있지만 아직 활발하게 적용되고 있지는 못하다. 그런 점에서 현재의 상황을 과도기 내지 모색의 시기라 볼 수 있다. 변화의 시기에 걸맞은 섬세하고도 민첩한 대응이 필요한 때다. 고학수 개인정보보호위원회 위원장

美 틱톡 퇴출에… 中, 와츠앱 삭제 EU, 개인 데이터 보호 규칙 시행日, 네이버에 라인 지분 매각 압박“韓, 데이터 협정 체결 등 日과 협상을” 성공적인 한일 간 합작 사례로 꼽혀 온 라인야후가 출범 3년 만에 파트너십 해체 수순을 밟게 된 배경에는 데이터 주권을 강화하는 전 세계적인 흐름과도 관련이 있다. 지난해 라인야후에서 개인정보 유출 사건이 발생하자 일본도 데이터 주권을 빌미 삼아 라인야후의 일본기업화에 나선 것으로 보인다. 한일 양국이 힘을 합쳐도 글로벌 플랫폼 하나 만드는 게 어려운 현실에서 라인의 잠재력마저 데이터 주권에 치이는 형국이다. 13일 정보기술(IT) 업계에 따르면 라인야후는 네이버의 기술, 소프트뱅크의 자본이 결합한 한일 협력 모델로 글로벌 플랫폼으로 발전할 수 있는 가능성을 보여 줬지만 민감한 개인정보 처리 문제에 발목이 잡혔다. 일본 내 라인 이용자 9700만명을 기반으로 결제, 금융 플랫폼으로 확장하면서 라인야후 생태계가 만들어지고 있었지만 자국의 데이터를 보호해야 하는 일본 정부는 한일 합작 형태의 라인야후가 지속가능하지 않다고 판단한 것으로 풀이된다. 한일 양국이 협력을 통해 만들어 내는 시너지보다 데이터 주권이 더 중요하다고 보고 ‘행정지도’라는 형식을 빌려 무리수를 둔 것이다.각국이 치열한 경쟁을 벌이고 있는 인공지능(AI) 기술을 발전시키려면 방대한 데이터를 수집해야 한다. 데이터 주권은 이 과정에서의 통제권을 자국 정부와 기업이 가져야 한다는 자국 데이터 보호주의를 촉발했다. 외국 기업이 자국 데이터를 소유하게 된다면 경제적 관점에서뿐만 아니라 국가 안보 차원에서도 위협이 될 수 있다는 우려에서다. 실제 미국, 중국, 유럽연합(EU)을 비롯한 전 세계에서는 자국 데이터 보호주의가 확산되는 추세다. 조 바이든 미국 대통령은 지난달 이른바 ‘틱톡금지법’이라 불리는 중국 플랫폼 틱톡의 미국 내 사업권 매각을 강제하는 법안에 공식 서명했다. 이에 따라 틱톡은 1년 내 미국 기업에 운영권을 매각해야만 미국에서 서비스할 수 있게 됐다. 틱톡의 모회사인 바이트댄스는 지난 7일 미 워싱턴DC 법원에 소송을 제기하며 반발했다. 반면 중국도 국가 안보를 내세우면서 미국 기업인 애플을 향해 미 소셜미디어(SNS) 앱인 와츠앱과 스레드 앱을 중국 내 앱스토어에서 삭제하라고 요구했다. 중국은 2017년부터 시행한 네트워크 안전법을 통해 주요 데이터의 국외 반출을 금지해 왔다. 2021년 9월에는 기존 법에서 다루지 않았던 데이터를 대상으로 한 포괄적인 규제를 시작했다. 자국민의 개인정보를 다루는 기업은 중국 내에 데이터 서버를 두게 했다. EU는 미국 플랫폼인 아마존, 메타, 애플 등 빅테크 기업의 반경쟁 행위를 규제하는 디지털 시장법을 제정하는 한편 2018년부터 EU 각 회원국에서 시행된 개인정보보호법(GDPR)을 통해 EU 시민의 데이터를 활용하는 경우 지켜야 할 각종 규제를 시행하고 있는 상태다. 신민수 한양대 경영학과 교수는 “이 사안은 디지털 국경 통제로 볼 수 있다”면서 “이번 기회에 유럽 GDPR과 유사한 동아시아판 데이터 보호에 관한 협정을 만들어 그 국가들 사이에선 데이터가 국경을 넘는 걸 허락해 주는 식으로 접근하는 것도 방법”이라고 말했다. 이어 “미래 AI 시대에 대비하려면 데이터가 많이 필요하고, (AI 개발이) 대륙 간 경쟁 구도로 가고 있기 때문에 일본에 이런 큰 그림을 제시해 명분을 주면 협의에 응할 수 있을 것”이라고 제언했다.

유전체 분석업체인 테라젠바이오에 따르면 중국의 유전체 스타트업 관계자들이 2017년까지만 하더라도 서울로 찾아와 분석기법을 배우려고 했다. 그런데 요즘은 분석법을 개발했는지 이런 모습은 사라졌다고 한다. 오히려 한국인을 상대로 무료 마케팅을 펴다 정부로부터 시정 요구를 받을 정도로 시장공략에 적극적이다. 데이터가 많을수록 건강 및 의료 사업 확장에 도움이 된다고 본 것이다. 데이터를 둘러싼 글로벌 전쟁이 한창이다. 지난 4월 미 상원은 중국의 바이트댄스가 만든 동영상 플랫폼 ‘틱톡’ 매각을 골자로 한 이른바 ‘틱톡 금지법’을 통과시켰다. 중국 정부가 1억 7000만명에 달하는 미국 틱톡 이용자들의 개인정보에 접근해 선거, 전쟁 등 미국의 안보를 위협할 여론조작을 할 수 있다는 우려 때문이다. 조 바이든 대통령이 이 법안에 서명한 만큼 바이트댄스는 틱톡을 9개월 내로 팔아야 한다. 틱톡은 강제 매각이나 이용 금지는 표현의 자유를 침해하는 위헌이라며 소송으로 맞서 결과가 주목되고 있다. 지난해 5월에는 아일랜드가 페이스북 모기업인 메타에서 자국민들의 데이터를 미국으로 전송해 개인정보 보호법을 위반했다며 12억 유로(약 1조 7000억원)의 벌금을 부과했다. 이는 유럽연합에서 개인정보 보호규정(GDPR) 위반을 이유로 부과된 벌금 중 최대 액수다. 최근 일본 정부는 라인의 51만건의 개인정보 유출을 이유로 라인야후의 네이버 지분 정리를 압박 중이다. 라인야후는 일본인 9600만명이 이용하는 메신저인 라인의 운영사다. 네이버는 라인야후의 지주회사 지분을 소프트뱅크와 함께 보유 중인데 소트프뱅크가 총무청의 행정지도에 따라 네이버에 지주사의 주식 매각을 요청했다는 것이다. 라인 경영권이 소프트뱅크로 넘어가면 네이버는 일본뿐 아니라 태국, 인도네시아 등 이용자 2억명의 아시아 시장을 잃게 된다. 이런 일들은 모두 빅테크 플랫폼 기업들이 국경을 넘나들며 데이터를 수집하면서 생긴 일이다. 세계화 시대 국경이라는 물리적 공간을 토대로 한 인적, 물적 교류에 대한 규제 철폐 기류가 디지털 정보화 시대에서는 인터넷 공간에서도 장벽을 세우는 탈세계화 흐름으로 바뀌고 있는 셈이다. 미국이 틱톡 강제 매각을 밀어붙이는 것이나 일본의 네이버 지분 정리 압박은 그 동기는 다르나 자국 보호주의에서 비롯된 일이라는 점에서 본질은 같다. 우리는 어떤가. 개인정보 보호나 플랫폼 지원에 대한 고민은 부족해 보인다. 알리, 테무, 쉬인 등 중국의 저가 이커머스 플랫폼의 국내 회원이 무려 1400만명이나 된다. 내 정보를 중국 정부가 볼 수 있다는 걸 안다면 이렇게 많은 이용자들이 나왔을까 하는 의문이 든다. 중국의 국가정보법 7조는 중국의 모든 조직과 공민은 중국의 정보활동을 지지, 협조, 호응해야 한다고 돼 있다. 해외 플랫폼 이용 시 개인정보 유출 우려에 대한 정부의 안내 부족이 아쉽다. 개인정보보호위원회에서 개인정보 유출 차단을 강화할 방안을 내기 바란다. 네이버 같은 국내 플랫폼의 해외 활동에 대한 외국 정부의 간섭에 대해서도 적극적인 지원이 필요하다. 디지털 헬스케어 산업이든 이커머스 산업이든 플랫폼 산업은 데이터 확보가 기본이다. 많은 데이터를 확보할수록 규모의 경제와 네트워크 효과를 누릴 수 있다. 구글이나 페이스북이 한국 정부로부터 1000억원대 과징금을 물고서도 사업을 계속 하는 건 그 이상의 경제적 효과가 있기 때문이다. 데이터가 개인과 기업은 물론 국가 안보의 핵심 자원인 시대다. 국내외 플랫폼 간 데이터 전쟁은 앞으로 더 거세질 것이다. 과학기술정보통신부, 개보위 등 관련 부처는 개인정보 보호와 데이터 경쟁에 나선 국내 기업의 데이터 활용 간 균형점을 찾기 바란다. 박현갑 논설위원

인공지능(AI)의 성장 속도가 놀라울 정도다. 생성형 AI인 챗GPT가 등장한 후 경쟁 업체들은 유사한 서비스를 서둘러 출시했다. 불과 1년여 만에 AI 서비스는 업무, 교육 등에서 널리 활용된다. 기업들은 AI 관련 연구에 몰두하고 있고, 국가들은 연구개발(R&D) 예산을 활용해 다양한 지원 정책을 시행하고 있다. 반면 AI의 급속한 발달에 우려도 크다. 기술 진보 속도가 너무 빠르고, 기업 간 경쟁이 격화되면서 자칫 통제할 수 없는 수준으로 발전할 수 있다는 것이다. 의도적으로 AI 분야의 발전 속도를 늦춰야 한다는 지적까지 나왔다. 저명한 과학자들조차 AI 기술의 너무 빠른 발전에 놀라 6개월 정도 기술 발전 노력을 정지할 것을 제안했다. 작년 말 주요 7개국(G7)은 AI 개발 관련 국제 지침과 행동 규범에 합의했다. 이달 초 유엔총회는 AI의 안전한 사용을 위해 국제적 합의를 시급히 마련해야 한다는 결의안을 채택했다. 유럽연합(EU)은 구속력을 갖춘 AI법을 가장 먼저 발표했다. 지난달 13일 유럽의회는 AI법 최종안을 가결했다. AI 활용 분야를 네 단계 위험 등급으로 구분해 차등 규제하는 방식이다. 가장 고위험 분야로 의료, 교육, 공공서비스, 선거, 핵심 인프라, 자율주행 등이 선정됐다. 이 분야에서는 반드시 사람이 AI를 감독하고 위험관리 시스템을 구축해야 한다. 위반 시에는 강력한 과징금이 부과된다. EU의 AI법에 맞춰 많은 국가들이 유사한 규제를 마련 중이다. 적절한 시점에 맞춰 규제가 나왔다는 평가도 있지만 반발도 있다. 과도한 규제이며 관료주의적 접근 방식이라는 것이다. 비판은 주로 관련 기술을 개발하는 산업계에서 나온다. 이 법이 혁신보다는 안전을 중시하는 유럽의 성향에서 비롯됐다는 지적도 있다. 미국에 비해 유럽은 예방 원칙에 근거해 위험을 회피하는 모습을 보인다. AI법을 서둘러 발표한 것은 ‘디지털 주권’을 확보하려는 노력의 일환이다. 유럽의 정보통신 산업이 미국과 아시아에 비해 뒤처지고 있다는 것은 잘 알려진 사실이다. 그래서 강력한 규제를 제안하고, 이를 선점함으로써 디지털 분야에서 자율적 역량을 확보하려는 것이다. EU는 유럽을 넘어 전 세계로 자신의 규제를 확산시킬 수 있는 영향력을 갖고 있다. EU의 규제가 27개 회원국은 물론 주변 국가에도 적용되는 경우가 많아서다. 이를 ‘브뤼셀 효과’라고 부른다. EU의 모든 규제가 행정기관이 위치한 벨기에 브뤼셀에서 만들어지기 때문이다. 일단 유럽을 대상으로 영업활동을 하는 경우에는 EU 규제를 따를 수밖에 없다. 2018년 발효된 EU의 개인정보보호법(GDPR)이 대표적인 사례로 한국의 개인정보보호법도 유럽의 법을 참조해 만들어졌다. EU의 AI 규제는 전 세계에 영향을 미칠 것이다. 곧 등장할 다른 국가의 규제에도 적잖은 영향을 끼칠 것으로 보인다. 기술혁신을 규제가 따라잡지 못한다면 오남용의 부작용이 자명하다. 반면에 규제가 혁신을 가로막는 상황도 발생할 수 있다. ‘규제’와 ‘기술혁신’이라는 두 가지 목표를 어떻게 달성할 수 있을지 유럽을 주목해 볼 일이다. 강유덕 한국외대 LT학부 교수

작년 7월 미국 뉴스 사이트인 더 필라는 한 가톨릭 사제가 게이 데이트앱을 사용하고 있다고 보도했고, 사제는 직책에서 사임했다. 가톨릭 사제의 성적 지향이 드러난 것은 추적광고 시스템에서 유출된 개인정보 파편들 때문이었다. 게이 데이트앱은 보유하고 있던 이용자의 ‘익명화된’ 위치 데이터, 모바일 광고 아이디를 광고 네트워크를 통해 판매했다. 가톨릭 신부에 대한 데이터가 모바일 광고 아이디를 통해 축적됐고, 식별 가능한 정보가 돼 뉴스 사이트로 흘러 들어간 것이다. 이 과정에서 문제된 것은 실시간 경매 시스템(Open RTB)이었다. 이용자는 추적광고 시스템 가운데 하나로 알려진 이 시스템을 전혀 알지 못할 뿐만 아니라 자신의 동의 없이 개인정보 파편들이 외부로 유출되지 않는다고 착각하기 쉽다. 그러나 사업자들이 보유하고 있던 개인정보의 파편들은 실시간 경매 시스템에서 쉽게 외부로 유출되고, 광고 아이디를 통해 축적될 수 있었다. 민감한 정보까지 말이다. 대니얼 시트론 교수는 ‘프라이버시를 위한 투쟁’(The Fight for Privacy)에서 현행 시스템을 통해 앞서 본 민감한 성적 지향 이외에 “성적 트라우마, 중독, 흡연 습관, 정신적 문제, 섭식장애, 유전질환, 의학적 질병, 성병, 섹스토이 사용 여부, 성적 취향, 결혼, 이혼, 임신 및 식습관까지도 이용자가 만나 본 적도, 사용해 본 적도 없는 제3자가 수집하거나 보유하고 있다”고 지적한 바 있다. 아일랜드 시민자유위원회는 이러한 실시간 경매 시스템에서 유출된 개인정보들이 쌓여 에이즈 등의 병력과 관련된 아일랜드인 1300명을 추적할 수 있고, ‘흑인의 생명도 소중하다’(Black Lives Matters) 시위에서 영장 없는 휴대폰 추적도 가능했다고 밝혔다. 벨기에 개인정보보호위원회는 유럽연합 회원국 27개 개인정보 감독기구와의 협의를 거쳐 수년간의 검토 끝에 실시간 경매 시스템의 유럽연합 일반개인정보보호법(GDPR) 위반을 올 2월 22일 확인했다. 즉 ①이용자 동의가 없었고 ②이용자가 처리되는 개인정보 범위와 그 내용에 대해 잘 이해할 수 없었으며 ③개인정보 보호 중심 설계 원칙을 위반하고 ④개인정보 보호 영향평가도 이행하지 않았다는 것이다. 우리나라의 경우 개인정보보호위원회가 올해 구글과 메타에 추적광고와 관련해 총 1000억원에 이르는 과징금을 부과한 적이 있지만 여전히 중요한 법적 쟁점에 대해서는 명쾌하지 않다. 민감정보 추론에 대한 금지 여부, 쿠키·광고 식별자의 개인정보성 여부 등은 물론 행태정보 수집의 적법 근거가 무엇인지에 대해서도 분명한 답을 내놓지 못한다. 대부분의 이용자들에게 추적광고의 위험성 자체가 충분히 알려지지도 않았다. 선택권, 사후거부권이 보장되는지도 불명확하다. 이용자에게 실시간 경매 시스템 아래서 어떤 일이 일어나는지 알려 주어야 하는 것은 시급한 일이다. 그리고 이 시스템에 대해 사전에 선택하고, 또 언제든지 거부할 수 있는 권한도 쉽게 보장돼야 한다.

유엔총회는 1990년 개인정보 처리자로부터의 공정성과 독립성을 보장받아야 하는 개인정보 감독기구의 원칙을 정했다. 유럽연합 역시 1995년 ‘개인정보보호지침’에서 완전히 독립적인 개인정보 보호 감독기구를 설치하도록 의무화했다. 개인정보 보호 감독기구의 ‘완전한 독립성’(with complete independence)의 의미는 이후 유럽연합 일반개인정보보호법(GDPR)에서 발전돼 규정됐다. 유럽사법재판소는 “독립적인 개인정보 보호 감독기관의 설치가 개인정보 처리와 관련해 개인 보호의 필수 요소”라고 전제한 뒤 ‘완전한 독립성’의 의미를 구체화한 바 있다. 재판소는 일관되게 개인정보 보호 감독기관들이 외부 영향에서 자유롭게 임무를 수행할 수 있는 독립성을 향유해야 하고, 직접적이든 간접적이든 결정에 영향을 미칠 수 있는 외부로부터 자유로워야 한다고 강조했다. 이때 독립성의 보장은 개인정보 감독기관 자체와 그 직원들에게 특별한 지위를 보장해 주기 위한 것이 아니라 그 결정에 의해 영향을 받는 개인과 기관의 보호를 강화하기 위해 규정된 것이라고 판단해 왔다. 2012년 오스트리아 정보보호위원회에 대한 판단에서는 “보호위원회의 임원이 정부 감독에 복종해야 하는 공무원이라는 점”, 또는 “연방 총리가 보호위원회의 모든 직무에 대해 무조건적인 정보권을 가진다는 점” 때문에 독립적이지 않다고 판단했다. 2020년에도 독일 개인정보 보호 감독기관이 “국가 감시에 복종하도록 규정한 점”을 문제삼았다. 우리나라는 2020년 1월 9일 개정된 ‘개인정보보호법’에서 과거보다 독립적인 개인정보 보호 감독기구, 즉 현재의 개인정보보호위원회의 설치를 정했다. 이에 따라 개인정보보호법에서는 과거보다 한 걸음 나아가 개인정보보호위원회를 중앙행정기관으로 규정하면서도 국무총리의 행정감독권 대상이 되지 않도록 독립적인 기능성을 입법화했다. 하지만 과거 여러 독립적인 위원회들이 막 입법화됐던 예에서 보듯이 신생 위원회의 독립성은 입법만으로는 실현이 쉽지 않다. 이를 위해서는 초대 위원장과 초대 위원들의 리더십과 의지, 그리고 의미 있는 역할들이 뒷받침돼야 한다. 윤종인 초대 위원장의 개인정보보호위원회는 오랜 세월 숙원 사업이었던 유럽연합과의 적정성 결정 채택을 비롯해 구글·페이스북 등 글로벌 사업자에 대해 엄중하면서도 굵직한 정책적 판단을 했다. 시민의 권리와 인권보장에 대해서도 분쟁 절차 활성화 등을 통해 거침없는 리더십을 발휘해 왔다. 편견 없이 서로 다른 의견을 가진 사회 이해관계자 간 의견과 생각을 섞으며 대화를 증진하려는 노력을 하고 소통을 해 온 점도 놀라웠다. 신생 위원회의 위상을 충실하게 일궈 놓은 점은 초대 위원회의 전문성과 이를 실현하려는 리더십이 큰 역할을 했다. 최근 윤 위원장이 아직 임기가 남아 있음에도 사임 의사를 밝혔다고 해 아쉬운 마음이 크다. 지금까지 닦아 온 방향과 역할들이 더 발전하길 희망해 본다.

“수십년간 기술 발전을 봐 온 결과 기술은 ‘양날의 검’이라는 생각이 더 분명해졌습니다. 급변하는 기술 지형 속에서 더이상의 분명한 정답은 없습니다. 사람들이 기술을 최대한 더 나은 쪽으로 이용할 수 있도록 기술을 이해하고 현명한 쓰임새를 고민하며 중심을 잡아 나가는 게 절실한 시점입니다.” 세계적으로 유명한 컴퓨터 과학자 브라이언 커니핸(80) 미국 프린스턴대학교 교수는 지난 5일 서울신문과의 단독 화상 인터뷰에서 이렇게 강조했다. 그는 “우리는 수많은 소셜네트워크서비스(SNS), 인터넷 플랫폼 등 IT 세상에 둘러싸여 살고 있지만 기술이 어떻게 작동하는지, 사생활 침해 등 일상 속에서 생겨나는 문제들에 대해 어떻게 대처해야 하는지 모르고 있다”며 이같이 말했다. 디지털 문해력은 디지털 플랫폼의 다양한 미디어를 접하면서 명확한 정보를 찾고, 평가하고, 조합하는 개인의 능력을 뜻한다. 스위스 국제경영개발대학원(IMD)의 ‘2021년 세계 디지털 경쟁력 순위’ 보고서에 따르면 한국은 전 세계 64개국 가운데 12위를 기록했다. 미국(1위), 홍콩(2위), 스웨덴(3위)이 상위권을 차지했다. 반면 경제협력개발기구(OECD)가 지난해 5월 발표한 ‘국제학업성취도평가(PISA) 21세기 독자: 디지털 세상에서의 문해력 개발’ 보고서에서 각 회원국의 만 15세(중3·고1) 학생의 문해력을 따져본 결과 우리나라는 멕시코·브라질 등과 함께 최하위 집단으로 분류됐다. 한 예로 디지털 정보 파악 능력 가운데 ‘사실과 의견을 식별할 줄 아는 능력’은 주요국 평균 식별률이 47%였으나 우리나라 학생들은 식별률이 25.6%로 꼴찌를 기록했다. 한국인의 디지털에 대한 이해와 디지털 정보를 다루는 역량이 디지털 발달 속도를 따라가지 못하는 셈이다. 인터넷·플랫폼 등을 통해 국민을 감시하는 정부와 국민 데이터를 활용해 이윤을 추구하는 기업 사이에서 이용자들은 어떻게 ‘디지털 문해력’을 키우고 스스로를 지켜야 할까. 커니핸 교수에게 물었다. -디지털 문해력은 왜 필요한가. “컴퓨터가 어떻게 작동하는지 이해하고 (기술이) 할 수 있는 것과 없는 것이 무엇인지 파악해 효과적으로 이용할 방법을 배워야 한다. 이를 토대로 과도하게 요구되는 개인 정보를 지키고 사생활 침해 등의 문제에서 스스로를 방어할 수 있다. 과학 기술의 시대에 사는 사람이라면 누구나 걱정해야 하는 문제와 쟁점을 파악하기 위해서도 필요하다. 우리가 언제나 가지고 다니는 휴대폰 내 다양한 애플리케이션(앱)으로 우리가 어디를 가는지 파악해 해당 데이터를 얻은 기업은 상업적 용도로 재사용·판매한다. 정부도 국민들의 디지털 활동을 다 들여다보고 있다. 최근 미국에서는 낙태권에 대한 공방이 치열하게 이뤄지고 있는데, 낙태법이 시행 중인 일부 지역의 법 집행기관에서는 젊은 여성들의 휴대폰 위치를 추적해 그들이 낙태 클리닉이나 낙태를 위한 약을 구매할 수 있는 장소들을 방문했는지, 더이상 임신 상태가 아닌지까지도 확인하고 있다. 이는 미국에서 현재 표면화되고 있는 정부의 사생활 침해 문제다.” -정부의 감시와 기업의 개인 정보 장악률이 높아지고 있다고 지적하지만 웹이나 모바일 없이 일상은 돌아가지 않는다. “가장 중요한 것은 항상 신중함을 유지하고 의심을 해 보는 것이다. 또 추적할 수 있는 모든 메커니즘을 최대한 제거해야 한다. 물론 웹브라우저를 이용하다 보면 완전히 끌 수 없거나 사용할 수 없는 것들이 있다. 정기적으로 쿠키(방문 웹사이트 주소 메모장)를 끄는 것이 좋다. 필요하지 않은 앱의 사용 권한을 끄고 사용하지 않는 앱을 제거하는것도 방법이다. 특히 젊은 10대 친구들한테는 쉽지 않겠지만 소셜미디어에 너무 많은 게시글을 올리지 않는 것을 권장한다. 인스타그램과 틱톡 등 모든 앱은 나를 추적하고 있다는 사실을 인지해야 한다.” -기존 애플리케이션을 쓰려면 원하지 않더라도 업데이트 과정에서 개인정보 수집에 동의하고 카메라·파일 접근 등을 허용해야만 한다. “맞다. 개인정보 제공에 동의하지 않으면 무료 서비스를 사용할 수 없다. 수많은 기술의 변화 속에서 사람들은 어느 것을 얻으면 반드시 다른 것을 희생하게 되는 경제 관계인 ‘트레이드 오프’를 경험하게 된다. 편리함을 위해 앱을 이용할 때 개인정보 공유를 승인하는 것도 하나의 예다. 그만큼 나의 정보를 내줄 정도로 의미가 있는 활동인지를 항상 생각해야 한다. 가령, 나는 검색을 할 때는 대부분 파이어폭스 운영체제(OS)를 사용한다. 어떠한 정보도 요구하지 않기 때문이다. 물론 크롬 OS 없이 사용할 수 없는 사이트의 경우엔 크롬을 사용한다. 완벽하지 않지만 나를 구글에 100% 드러내기보다 10%만 드러내는 방식으로 나를 방어할 수 있다.” -구글, 애플, MS, 아마존 등 빅테크 기업들의 사생활 침해와 감시, 보안 문제를 해결할 수 있는 방법은. “수집될 수 있는 소비자에 대한 정보의 양과 사용법을 제한하는 규정이 있어야 한다. 가령 유럽연합(EU)에 있는 일반 데이터 보호 규정(GDPR)은 좋은 사례다. 이 규정은 EU 거주자가 자신의 개인정보 수집과 사용을 제어할 수 있게 하고, 기업에서 그런 정보를 EU 외부에 전송하거나 저장하는 것을 막아 준다. 이 법은 2018년부터 적용됐다. 이 규정은 EU에만 적용되고 사생활 침해를 개선하는 데 얼마나 효과적인지는 지금까지 확실히 증명되지 않았다는 점은 아쉽다.” 커니핸 교수는 C언어를 만든 데니스 리치와 함께 최초의 C언어 해설서인 ‘C언어 프로그래밍’을 쓰면서 ‘코딩계의 아버지’라고도 불린다. 그런 그에게 “모두가 코딩을 배워야 할까”라고 묻자 “결론부터 말하자면 아니다”라는 대답이 돌아왔다. “코딩 기술은 모두에게 필요한 자질은 아니기 때문에 강요돼선 안 된다. 하지만 이미 설치된 앱을 사용하는 것보다 그 이상의 무언가를 만들어 볼 수 있다는 점을 흥미롭게 생각하는 사람이라면 도전해 볼 만하다.” -개발자 대우가 좋아지면서 한국에서는 최근 초등학생 코딩 교육이 과열되고 있다. “우리 대부분이 글을 쓰고 읽는 것처럼 기본적인 수준의 코딩을 알아두는 것은 문제가 없다. 프로그래밍은 일련의 과정에서 논리적으로 사고할 수 있도록 훈련받는 경험이 될 수 있어 다른 일을 할 때도 유익하다. 물론 코딩을 (상당 수준으로) 배워 향후 직업으로 삼는다면 다른 직업보다 더 나은 급여를 받을 수도 있지만, 아이가 좋아하지 않는다면 그 시간에 아이가 더 잘할 수 있는 길로 인도하는 게 바람직하다고 본다. 코딩은 (과정이 복잡한 만큼) 본인이 즐겨서 하지 않으면 잘 해내기 어렵다.” ● 브라이언 커니핸은 누구 C언어 해설서 만든 ‘코딩계의 아버지’ 미국 프린스턴대학교 컴퓨터과학과 교수로 20여년간 비전공자 대상 교양과목인 ‘우리 세상의 컴퓨터들’(Computers in Our World)을 가르치고 있다. 컴퓨팅 기술이 현대사회의 모든 영역에서 활용되는 가운데 컴퓨터가 어떻게 기능하는지, 이로 인해 발생하는 문제에는 어떻게 대처해야 하는지 지혜를 나눈다. 교수로 활동하기 전에는 현대 과학 기술의 산실인 미국 벨연구소의 컴퓨팅 과학 연구센터에서 30년간 일했다. 스크립트 언어인 AWK와 모델링 언어인 AMPL을 공동 개발했고 문서 조판용 도구를 포함해 다양한 유닉스 프로그램을 만들었다. 모든 프로그래머들이 코딩을 처음 배울 때 가장 먼저 입력해 얻는 첫 출력문 ‘헬로, 월드’(Hello, World)도 만들었다. C언어를 만든 데니스 리치와 함께 최초의 C언어 해설서인 ‘C언어 프로그래밍’을 쓰는 등 10여 권의 IT 서적을 공동 집필했다. 최근에는 ‘1일 1로그 100일 완성 IT 지식’, ‘숫자가 만만해지는 책’ 등을 독자들에게 소개했다.

디지털 대전환 시대를 맞아 세계 각국은 데이터와 인공지능(AI) 기술패권을 차지하기 위해 치열하게 경쟁하고 있다. 그 중심에는 주요 2개국(G2)인 미국과 중국의 디지털 패권 전쟁이 있다. 미중은 자국에 유리한 데이터 규범 정립, AI 기술과 산업 육성에 열을 올리고 있다. 미국은 데이터에 대한 자유로운 국경 간 이동을 주장하면서 미국·멕시코·캐나다 무역협정, 미국·일본 디지털무역협정을 맺었으며 최근 탈퇴했던 포괄적·점진적환태평양경제동반자협정 재가입도 추진하고 있다. 이에 반해 중국은 빠른 속도로 자국 데이터 보호를 위한 법규를 제정하고 있다. 2017년 6월 1일 발효된 네트워크안전법에 이어 지난해 9월 데이터보안법, 11월 개인정보보호법을 제정, 시행했다. 유럽연합(EU)은 G2를 견제하기 위해 일반개인정보보호법(GDPR)에 이어 또다시 AI 규제 입법안을 제안하고 있다. 이런 데이터·AI 정책이나 규제를 담당하는 부서는 나라별로 상당한 차이가 있다. 데이터 규제 관련해서는 미국이 경쟁 당국인 연방거래위원회가 담당하고 있는 데 반해 EU 등은 독립적인 규제기관을 두고 있다. 영국의 정보보호청, 독일의 연방정보보호청, 일본의 개인정보보호위원회가 그 사례이다. 데이터 정책에 관해서는 미국은 대통령실 소속의 관리예산처가 연방데이터정책위원회를 설립해 연방 데이터 정책을 조정하고 있으며, 영국은 디지털·문화·미디어·스포츠부가 주무부서이다.AI 정책의 경우 미국은 국가인공지능전략법에 따라 백악관 과학기술정책실 내 국가인공지능주도전략실이 설치돼 있다. EU의 경우에는 집행위원회가 2018년 인공지능 윤리 대응을 위한 ‘인공지능 고위 전문가 그룹’을 출범시켰다. 한국의 데이터 정책은 공공데이터는 행정안전부, 민간데이터는 과학기술정보통신부로 분리돼 있고, 데이터 규제와 관련해 독립규제기관으로 개인정보보호위원회가 있다. AI 정책과 규제는 과학기술정보통신부가 대표부처 역할을 하고 있지만 방송통신위원회, 개인정보보호위원회, 금융위원회가 별도의 규제 가이드를 발표하는 등 여러 부처가 관여하고 있다. 한편 데이터 관련 정책 조정을 위해 4차산업혁명위원회 데이터특위가 운영되고 있다. 오는 4월 시행되는 데이터기본법에 따라 설치되는 총리 소속 국가데이터정책위원회가 데이터 정책에 관한 컨트롤타워 역할을 할 것으로 기대된다. AI 정책의 경우에는 지능정보화기본법에 따르면 과기정통부가 종합계획을 수립하도록 돼 있는데, 이 계획은 총리 소속 정보통신전략위원회의 심의를 받도록 돼 있다. 결론적으로 데이터 정책은 국가데이터정책위원회, AI 정책은 정보통신전략위원회가 컨트롤타워 역할을 하게 된다. 다만 이런 자문 성격의 위원회가 실질적인 역할을 할 수 있을 것인지, 통합조정력이 부재한 상황에서 여러 부처가 하는 것이 타당한지 의문이다. 차기 정부에서는 대통령실에 디지털정책수석과 대통령을 의장으로 하는 ‘디지털대전환추진위원회’를 신설해 데이터, AI 정책을 포함한 디지털 정책 전반의 조정력과 실행력을 높이는 방안을 검토할 필요가 있다.

2020년 1월 9일 ‘데이터 3법’이 통과된 이후 의료데이터의 활용은 중요한 이슈였다. 수익성이 높은 서비스에서 활용되기 쉬운 데이터였기 때문이다. 금융위원회(금융위)는 이 과정에서 이미 개인의료정보까지도 개인의 신용을 판단할 때 필요한 정보라며 자신의 ‘신용정보법’의 관할하에서 논의해 왔고, 적극적으로 그 범위를 넓혀 왔다. 　금융위는 그간 민간보험사들의 이익과 편의를 위해 건강보험심사평가원(심평원), 국민건강보험공단에서 보유하고 있는 개인의료정보들을 ‘공공데이터’라는 이름으로 활용하는 방법을 폭넓게 검토해 왔다. 그러나 일반적인 데이터도 아닌 민감한 개인의료정보를 ‘공공데이터’로 접근해 누구나 쉽게 이용할 수 있도록 허용하는 것은 옳지 않다. ‘공공데이터법’에서는 “누구든지 공공데이터를 편리하게 이용할 수 있도록 노력하여야 하며 이용권의 보편적 확대를 위하여 필요한 조치를 취하여야 한다”고 하거나 “공공데이터에 관한 국민의 접근과 이용에 있어서 평등의 원칙을 보장하여야 한다”고 그 원칙을 정하고 있다. 공공데이터법의 취지가 누구든지 쉽게 공공데이터에 접근할 수 있도록 함에 있음을 고려할 때, 개인의 의료정보는 공공데이터법상의 적용 대상으로 해석하기 어렵다. 무리한 해석이다. 가명처리된 개인정보 역시 개인정보의 일종이므로, 공공데이터로 접근해서는 안 된다. 　금융위는 7월 14일 “보험업권의 건강·생활 플랫폼 구축을 통해 디지털 헬스케어 서비스를 활성화하겠다”며 보험사들이 개인의료정보를 개인의 동의 없이 활용해 보험상품으로 개발하는 것을 공공데이터 정책이라고 발표했다. 금융위는 보험업권 공공데이터 활용 추진 계획으로 ‘가명처리’한 개인의료정보를 활용해 민간보험상품을 개발하겠다는 계획임을 분명히 했다. 　또한 금융위는 민간 의료보험 상품 개발을 과학적 연구목적이라며 가명처리 시 활용 가능한 정보라고 설명한다. 그러나 민간의료보험사들의 실손보험 문제는 어제오늘의 일이 아니라는 점에서 이를 널리 허용해야만 했는지 의문이 들 수밖에 없다. 실손보험 가입자 유치 과정에서 무분별한 광고경쟁, 끼워팔기, 과다수당 등의 판매방식은 소비자 기만적이었다. 이 과정에서 보험가입자가 형사입건되는 어처구니없는 일들이 종종 벌어지는 중에, 공공의료보험의 보장성 확대로 민간보험사가 반사이익을 누리는 현상도 증대했다. 민간보험사들은 이에 대해서 투명성과 객관성을 담보하지 않고 있다. 게다가 공공의료보험에 미치는 부정적인 영향들까지 고려할 때, 이러한 민간 의료보험 상품개발이 국민에게 어떤 이익이 돌아갈지도 불분명하다. 그러니 민간실손보험 설계의 투명성 보장과 보건의료정책과의 관계 설정이 선행돼야 할 일이다. 개인의료정보를 공공데이터라는 이름으로 보험사에 제공하는 정책은 공공의료정책의 측면에서도 시급하지 않으며 오히려 독이 될 수 있다. 　유럽개인정보보호법(GDPR)이나 한국의 개인정보보호법에서 개인들의 동의 없이도 가명처리해 개인정보를 과학적 연구에 허용한 것은, 과학적 연구라는 공공 가치를 고려한 것이다. 그럼에도 불구하고 금융위가 보험가입자들과의 관계에서 투명성과 신뢰성조차도 해결되지 않은 민간보험사의 상품개발을 독려하기 위해 개인의료정보를 넘기는 것은 얼마나 공공적 가치가 있는 것인가. 문재인 케어와의 관계에서 실손보험의 확대와 불투명성은 지금까지도 계속적으로 사회적 논란을 불러일으켜 왔지 않은가. 　지금이라도 금융위는 보험회사의 소비자 적대적 행위를 규제하고, 투명성과 신뢰성을 위한 업무에 매진해야 한다. 이 외에 개인의료정보 활용에 대한 윤리적 검토와 거버넌스를 보건복지부와 개인정보보호위원회로 넘겨야 한다.

아마존이 유럽연합(EU)에서 7억 4600만 유로(약 1조 200억원)의 과징금을 부과받았다. 일반개인정보보호법(GDPR) 위반 혐의로 아마존 유럽 본사가 있는 룩셈부르크의 정보보호국가위원회(CNPD)가 부과한 것인데, GDPR 위반 과징금 중 최대 규모라고 블룸버그가 지난달 31일(현지시간) 전했다. GDPR은 위반 기업에 전 세계 매출액의 4%를 과징금으로 부과할 수 있게 한 강한 규제로, 아마존 이전까지 프랑스 규제 당국이 구글에 부과한 5000만 유로(약 684억원)가 GDPR 관련 최대 과징금이다. 룩셈부르크 CNPD는 아마존이 개인정보 처리와 관련해 EU가 2018년 5월부터 적용하고 있는 GDPR을 준수하지 못했다고 밝혔다. 구체적으로 온라인 사용 패턴에 따라 광고를 추천하는 아마존의 타깃 광고 서비스가 사용자의 충분한 동의 절차 없이 운영되고 있다고 했다. 2018년 이 문제를 최초로 지적, 아마존을 고발했던 프랑스의 프라이버시권 보호 시민단체인 라캬드라튀르뒤넷은 이번 결정에 대해 “빅테크 기업의 약탈적 시스템 심장부에 타격을 가한 역사적 벌금”이라고 논평했다. 아마존은 강하게 반발했다. 아마존 대변인은 GDPR 규정을 위반하지 않았다고 주장하며 “우리 고객 정보의 보안과 신뢰를 유지하는 것을 최우선 사항으로 삼았으며, 고객 정보의 제3자 노출도 없었다”고 했다. 이어 “우리가 고객에게 관련 광고를 보여 주는 것을 GDPR 위반으로 본 이번 결정은 유럽 프라이버시 법에 대한 주관적이고 검증되지 않은 해석에 따른 것”이라면서 “설령 그러한 해석에 따르더라도 제안된 과징금은 너무 과도하다”고 덧붙였다.

유럽에서 사업을 하는 우리나라 기업들은 개인정보 보호를 제대로 한다는 것을 유럽 당국에 입증하기 위해 법률 검토와 현지 실사, 기타 행정절차까지 개별 기업 차원에서 해야 한다. 기간도 길면 1년이 걸리고 비용도 1억∼2억원이 들어가기 때문에 규모가 작은 중소기업은 아예 유럽 진출을 포기하는 사례도 있었다. 하지만 앞으로는 별도 절차 없이 유럽 시민들의 카드 결제 정보나 배송을 위한 주소 정보 등 다양한 개인정보를 사용하는 것이 가능해진다. 우리나라 개인정보 법체계가 유럽연합(EU)과 동등한 수준으로 인정받았기 때문이다. 윤종인 개인정보보호위원장은 30일 디디에 렝데르 EU 법무담당 집행위원과 공동으로 우리나라가 EU 일반개인정보보호법(GDPR) 적정성 평가에서 초기결정 단계를 통과했다고 발표했다. 양측이 2017년 논의를 시작한 지 4년여 만이다. 적정성 평가는 EU가 GDPR을 기준으로 역외 국가의 개인정보보호 수준을 평가하는 제도다. 특정 국가의 개인정보보호 조치가 EU와 동등한 수준임을 인정하는 적정성 결정을 내리면 해당국 기업은 EU 회원국처럼 자유롭게 EU 시민의 개인정보를 자국으로 이전해 처리하는 것이 가능해진다. 반면 적정성 결정을 받지 못하면 개별 기업마다 EU가 요구하는 개인정보보호 조치를 하겠다는 표준계약을 각각 체결해야 한다. 양측은 이날 공동발표문을 통해 “개인정보보호 분야에서 한국과 EU 사이에 높은 수준의 동등성, 특히 최근 시행된 한국의 개정 개인정보보호법에 따라 개인정보위의 권한이 강화돼 그러한 동등성이 한층 더 향상됐음을 확인했다”고 밝혔다. 발표문은 이어 “개인정보 교류상의 보호를 보장하는 동등성을 구축함으로써 적정성 확인은 EU로부터 한국으로의 자유롭고 안전한 정보의 흐름을 가능하게 할 것”이라며 “또한 한·EU 자유무역협정(FTA)을 보완해 EU와 한국 간 협력을 강화할 것”이라고 덧붙였다. EU 집행위원회가 적정성을 확인하고 초기결정을 채택하면서 이제 남은 절차는 EU 정보보호이사회 의견 수렴과 EU 집행위원회 최종 의결만 남겨 놓게 됐다. 개인정보위는 적정성 결정 단계의 80∼90% 비중을 차지하는 초기결정이 마무리된 만큼 이르면 상반기, 늦어도 하반기 중에는 적정성 최종결정이 이뤄질 것으로 내다봤다. 윤 위원장은 브리핑에서 “이번 적정성 초기결정으로 한국의 위상이 높아지고 이를 기반으로 한국 기업들이 데이터 경제 시대의 주역으로 성장할 수 있는 기반을 마련했다”고 말했다. 강국진 기자 betulo@seoul.co.kr

최근 국가인권위원회가 금융위원회에 대해 ‘주문내역 정보’를 마이데이터(MyData) 사업자들의 수집·제공 범위에서 빼도록 권고하기로 했다는 보도를 접했다. 마이데이터는 본인신용정보관리업을 말하는데 올 초 신용정보법이 개정되면서 도입됐고 시행을 눈앞에 두고 있다. 마이데이터 사업자들은 개인의 동의를 받아 수집한 정보를 바탕으로 개인의 정보관리를 돕는 한편 금융상품 추천이나 자문을 한다. 사실 인권위의 방침이 나오기 훨씬 전부터 ‘주문내역 정보’를 두고 사생활 침해 문제가 논란이 된 바 있다. 마이데이터 산업에는 주로 금융회사나 전자상거래 업체들이 진출할 것으로 예상되는데 전자상거래 주문 내역이 공유되는 경우 개인의 일거수일투족이 노출된다는 우려가 제기됐다. 요즘에는 단순한 물품 구매뿐 아니라 콘텐츠, 여행, 숙박, 선물 등 온갖 것들이 전자상거래의 대상이다. 어떤 책을 읽고, 어느 곳을 여행하고, 옷 사이즈는 얼마인지 등이 모이면 사생활이 그대로 노출될 수 있다. 이러한 논란이 지속되자 금융위원회는 관련 업계 등과의 논의를 거쳐 주문내역 정보를 범주화한 형태로 공유하는 방안을 제시했다. ‘270㎝ 사이즈의 A브랜드 운동화’ 같은 구체적인 정보 대신 ‘신발’로 범주화해 제공하는 것이다. 그런데 이렇게 범주화한 정보도 여전히 사생활 노출 우려가 있으니 아예 통째로 삭제하라는 게 인권위 의견이라고 한다. 반면 금융위는 이 권고를 수용하지 않을 것으로 보인다. 개인데이터 이동권이라는 권리가 더 크게 보장된다는 점을 자세히 설명한다는 방침이라는 언론 보도가 있다. 이러한 국가기관 간의 첨예한 의견 대립을 해소하기 위해서는 개인정보의 ‘주인’인 소비자 의견을 중심에 두고 판단해야 한다. 사실 그동안 어떤 정보를 어떤 방식으로 공유할지 논의하는 과정에서 소비자 의견이 충분히 반영됐는지 의문이다. 주문내역 정보를 제공하느냐 마느냐 여부나, 어느 수준으로 범주화하느냐에 대해서도 각 개인이 결정하도록 맡기는 게 옳다고 본다. 이제라도 개인정보의 ‘주인’인 소비자 개인을 중심으로 생각할 필요가 있다. 원래 마이데이터는 자신의 정보를 기꺼이 제공할 의사가 있는 개인들을 대상으로 하는 사업이다. 혹시 사생활이 노출될 우려가 있지만 정보 제공에 대해 지불되는 금전적 또는 비금전적 대가를 더 원하는 사람도 많을 것이다. 한 개인에 대한 정보는 전자상거래 업체나 금융회사, 공공기관 등 온갖 곳에 저장돼 있는데 이들을 통합 관리해 주는 것이 마이데이터 사업이다. 여러 정보를 결합하면 가치가 커지는 것이 상식이다. 여러 사람의 통합된 데이터를 모아 산업적으로 활용하면 부가가치는 훨씬 더 커지게 된다. 그 일부를 정보 주체에게 제공하는 한편 데이터 관련 산업도 활성화하는 것이 마이데이터업 도입의 취지다. 물론 정보를 수집할 때 동의를 받는다고 만능 해결책은 아니다. 요즘 정보 제공 동의를 해 달라는 곳이 너무 많아 제대로 읽지도 않고 동의해 주는 일이 흔하지 않은가. 그렇다면 인권위에서 동의제도를 보다 실질적으로 만드는 방향으로 권고하는 게 맞다. 특정 정보를 마이데이터 수집범위에서 빼는 것은 정답이 아니다. 더욱이 유럽 등 마이데이터 산업이 먼저 도입된 해외 사례를 보면 정보 수집·제공 범위가 매우 넓다. 유럽연합(EU)의 GDPR(General Data Protection Regulationㆍ개인정보보호규정)에서는 개인정보 전반에 걸쳐 데이터 이동권을 부여하고 있다. 인권위의 판단대로라면 GDPR의 데이터 이동권 가운데 일부는 옳고 일부는 틀리다는 것이다. 한국은 개인정보보호법에서 정보이동권이나 마이데이터 제도를 도입하지 않고 신용정보법에서 먼저 도입했다. 그 바람에 신용정보냐, 아니냐 여부가 논란이 되기도 했지만 개인정보 전반에 걸쳐 마이데이터업이 도입되면 이 문제는 바로 해소될 수 있다. 마침 개인정보보호위원회는 개인정보보호법을 다시 개정해 개인정보이동권을 신설하고 금융부문을 넘어 전 산업 분야로 마이데이터업을 확산시키는 방안을 검토하고 있다. 이러한 방향의 개정은 개인의 정보 통제권을 더욱 강화할 것이라는 것이 개인정보보호위원회 보도자료에 나와 있는 결론이다.

1945년 12월 18일. 불과 4개월여 뒤 세상을 떠났던 존 메이너드 케인스는 영국 상원에서 마지막 공식 연설을 했다. 그는 당시 미국 주도로 형성되고 있던 다자주의 체계가 적대적 대립을 완화하고 상호 이익과 존중을 가져온다는 장점을 열거하면서 의회가 이런 움직임에 적극 동참해 줄 것을 간곡히 호소했다. 75년이 지난 지금, 우리는 그동안 다자주의 경제체제가 어떻게 발전해 왔고, 위기를 겪고 형해화돼 왔는지를 목격해 왔다. 1970년대부터 흔들리기 시작한 서구 중심의 다자경제체제는 1980년대 미국과 영국을 중심으로 시작된 세계화의 바람을 타고 우루과이라운드 타결을 도출했다. 1990년대 들어와서는 공산권의 몰락 이후 구 공산권 국가들을 대거 편입시켜 1995년 세계무역기구(WTO)가 출범하게 되는데, 이것으로 명실상부한 다자경제체제가 마침내 완성됐다. 그러나 우리가 흔히 간과하는 사실이 있다. 다자주의가 잘 작동해 왔다고 생각하는 전후 40여년이 사실은 다수의 공산권 국가들이 참여하지 않은 반쪽짜리 복수국 간 협정에 불과했으며, 다자경제체제 아래에서 진행된 여러 차례의 무역자유화 협상은 관세장벽의 철폐라는 큰 성과를 냈음에도 불구하고 비관세장벽에 관해서는 좀처럼 성과를 내지 못했다. 역설적이게도 명실공히 거의 모든 국가들이 참여하는 다자주의가 확립된 1990년대 중반 이후 WTO 중심의 다자체제는 부분적 성과에도 불과하고 가장 핵심적인 ‘도하 어젠다’를 합의하지 못하고 표류해 왔다. 게다가 우리는 지금 보호무역주의의 도래, 미국과 중국 간 거친 경쟁을 목도하고 있으며 앞으로도 이러한 추세는 계속 강화될 것이라는 우울한 전망을 받아 들고 있다. 이제 조 바이든 미국 행정부가 동맹을 중심으로 다자체제를 복원한다는데, 우리는 어떻게 대응해야 할까. 미국이 트럼프 시대와는 달리 WTO를 통해 산업보조금, 국영기업, 지식재산권 및 노동과 환경 이슈를 풀어 나가겠다는 것은 반가운 일이지만, 이는 시간이 많이 걸리고 인내를 요하는 지난한 경로이다. 미국이 인내심과 관심을 잃지 않기를 바란다. 우리는 한편으로는 이러한 WTO의 개혁이 우리의 통상정책 방향과 큰 차원에서 일치한다는 것을 깊이 인식하고 다른 한편으로는 우리 내부적으로 WTO 개혁방향에서 걸림돌이 되는 국내 규제가 어떤 것이 있는지 살펴보고 필요하다면 전향적인 개정을 고려해 볼 일이다. 디지털 무역과 관련해서는 양자, 다자, 복수국 간 협정을 모두 동원해 디지털 무역규범을 확립하는 데 적극 참여해야 한다. 특히 디지털 무역규범이 다자차원에서 확립되는 데 힘을 쏟아 규범 제정에 영향을 미치고 규제 조화를 위한 노력을 기울여야 한다. 한미 자유무역협정(FTA) 등 우리나라의 FTA에서 디지털 분야에 관한 규정은 ‘미일 디지털동반자협정’은 말할 것도 없고 ‘미국·멕시코·캐나다무역협정’(USMCA)이나 ‘포괄적 점진적 환태평양동반자협정’(CPTPP)에 비해 훨씬 낙후돼 있다. 특히 데이터 지역화에 관한 입장, 개인정보의 보호와 활용 간에 적절한 균형을 찾는 문제는 우리가 머지않아 결정을 해야 하는 문제로 떠오르고 있다. 이와 관련해 유럽연합(EU)이 확정한 개인정보보호규정(GDPR)을 하나의 모범 사례로 적극 검토해야 한다. 환경 관련 이슈는 파리협정과 더불어 우리가 참여하지 않은 다수의 양자 및 지역 FTA에서 이미 합의된 규정들이 있다. 이를 고려해야 하며 기존에 합의된 규범이 우리의 환경정책과 얼마나 부합하고 있는지 검토해야 한다. 친환경 상품에 대한 전면 무관세는 과거 정보통신기술(ICT) 상품에 대한 무관세와 같은 획기적인 국제적 합의의 대상이라고 할 것이다. 기후변화 및 환경과 관련해서는 한중일 협력이 특히 중요하다. 공기오염의 국제 간 이동뿐 아니라 폐플라스틱 처리, 해상 및 육상 운송의 친환경화, 동북아 소재 원전 영향 공동평가, 탄소 배출 억제와 관련되는 천연가스 활용 협력, 신재생에너지의 국제 간 이동 등 지리적으로 인접 국가라서 더욱 중요해지는 친환경 협력의 의제는 너무나도 많이 있다. 다시 케인스로 돌아가 보자. 그는 상원에서의 마지막 연설에서 초강대국 미국이 현대사에서 처음으로 관세를 낮추는 방향으로 가고 있기 때문에 이 기회를 잘 활용해야 한다고 덧붙였다. 디지털·환경 분야는 미국과 중국 모두 관심을 갖고 추구하고 있는 분야이다. 이 기회를 잘 활용해야 한다.

국방부가 주한미군 감축을 시사한 미국의 ‘전략적 유연성’에 대해 처음으로 공식적인 평가를 내놓으면서 실제 실현 가능성에 관심이 쏠리고 있다. 군 당국은 주한미군 감축 가능성에 대해 선을 긋고 있지만, 일각에서는 도널드 트럼프 행정부의 기조와 최근 해외 주둔 미군 사례로 미뤄 충분한 가능성이 있다는 분석도 나온다. 국방부는 지난 15일 한미안보협의회의(SCM) 공동성명에서 ‘주한미군 현 수준 유지’라는 문구가 삭제된 것이 주한미군 감축을 의미하는 것은 아니라는 입장이다. 문홍식 국방부 부대변인은 27일 “현재 주한미군 감축과 관련해서 한미 군 당국 간에 어떠한 논의도 없었음을 다시 한번 말씀드린다”며 “당시 SCM 회담에서 참석했던 미측 고위 당국자도 해당 문구가 포함되지 않는 것이 주한미군 감축을 의미하는 것이 아님을 분명하게 확인했다”고 밝혔다. 국방부는 이번 SCM에서 해당 문구가 빠진 것은 미측의 전략적 유연성 방침이 적용된 것이라고 설명했다. 전략적 유연성은 조지 W 부시 행정부가 2004년 내놓은 ‘지구적 군사태세변혁’(GDPR)의 개념을 발전시킨 도널드 트럼프 행정부의 ‘역동적인 전력전개’(DFE) 개념에 기반한다. 주둔군을 고정적으로 배치하는 것이 아닌 유사시 전력을 기동 투입하는 개념이다. 미측은 2000년대 초반부터 한국 정부에 주한미군의 전략적 유연성을 지속적으로 요구해오고 있지만, 그동안의 안보상황과 한국의 난색으로 실현되지는 않았다. 하지만 최근 들어 미측의 전략적 유연성은 활발해지고 있다는 분석이다. 트럼프 행정부는 최근 독일 주둔 미군 가운데 5600명을 유럽 다른 곳에 재배치하고 6400명을 미국으로 복귀시키는 등의 감축 방안을 내놨다. 또 미 공군은 최근 괌에 배치된 전략폭격기를 미 본토로 철수시킨 바 있다. 이는 미 공군의 ‘역동적 전력 전개’ 개념으로, 일정한 곳에 전략무기를 고정 배치하는 것보다 임무에 따라 필요할 때 미 본토에서 전력을 전개하는 전략으로 변경한 것이다. 더불어 미측은 최근 주한미군을 활용해 아시아태평양 지역 훈련에 참가시키는 등 전략적 유연성을 보다 확대하고 있다. 이 같은 미측의 움직임으로 미뤄 주한미군의 재배치도 가까워지고 있다는 분석이다. 만약 트럼프 대통령이 다음달 재선에 당선된다면 현재 지지부진한 방위비분담금 협상(SMA)과 엮어 본격적으로 주한미군을 건드릴 수 있다는 주장도 나온다. 다만 해외 주둔 미군과 주한미군의 지정학적 환경과 역할에 차이가 있다는 점에서 연결시키는 것은 무리라는 평가도 있다. 문 부대변인은 “(해외) 주둔 미군과 우리 주한미군은 여러 가지 면에서 크게 관련성이 없고 여러 면에서 차이가 있기 때문에 주둔 미군 철수 발표를 했다고 그래서 그걸 곧바로 주한미군으로 연결시키는 것은 적절하지 않은 것 같다”고 말했다. 북한의 현존하는 군사력도 주한미군의 지상군을 조정하기는 시기상조란 목소리도 있다. 신종우 한국국방안보포럼 사무국장은 “북한의 지상군 전력은 여실히 남아다는 점에서 갑작스러운 전략적 유연성으로의 변화는 두고 봐야 한다”고 전망했다. 이주원 기자 starjuwon@seoul.co.kr

우리 정부가 추진 중인 유럽연합(EU) 개인정보보호법(GDPR) 적정성 결정 승인이 올해 안에 마무리될 것으로 보인다. 김일재 개인정보보호위원회(개보위) 위원장 직무대행은 20일 서울신문과의 인터뷰에서 EU GDPR 적정성 결정 협상 과정을 소개하면서 “큰 쟁점은 마무리했고 실무적인 부분을 협의하는 단계”라면서 이같이 말했다. 그는 “드론(무인기)이나 자율주행차 등 기술 변화에 따라 개인정보를 둘러싼 현안은 폭발적으로 증가하게 될 것이고 정부 역할도 그만큼 중요해질 수밖에 없다”고 강조했다. 다음은 일문일답. -개보위 재출범이 한 달도 남지 않았다. “데이터3법 시행에 발맞춰 대통령 소속 위원회에서 8월 5일부터 국무총리 소속 장관급 중앙행정기관으로 새출발한다. 개인정보보호법령 해석과 평가, 법령·제도 개선 권고에서 정책 수립과 집행, 조사·처분 등 개인정보 보호업무를 총괄하는 것으로 확대된다. 시행령과 지침, 고시 등 후속 법령 정비작업이 한창이다. 정원 확대 문제를 관계부처와 협의 중이다. 공모를 통해 다른 부처 자원도 받고 있다. 면접을 진행 중인데 사무관 경쟁률이 20대1이다. 개인정보는 갈수록 중요성이 높은 분야라 우수한 인재들이 관심을 많이 보이는 것 같다.” -개보위 규모는 어느 정도로 예상하나. “현재로서는 ‘1처 4국 14과’ 내외가 될 것 같다. 150~160명 정도인데 장관급 중앙행정기관 중 가장 작은 규모라고 할 수 있다. 신기술과 관련한 개인정보 보호를 담당하는 부서가 새로 생긴다. 가령 드론이나 자율주행자동차 운행 과정에서 촬영한 영상을 둘러싼 개인정보 침해 문제가 발생할 수 있는데 현재까지 명쾌한 법규정을 갖추지 못한 실정이다. 드론은 국토교통부, 의료데이터는 보건복지부 등 관계부처 협의를 거쳐 하나씩 추가 법제화를 해야 한다. 그러자면 해외 사례 연구를 위한 부서도 강화해야 한다.” -EU 개인정보보호법 적정성 결정 문제로 개보위 출범을 환영하는 국내 기업이 적지 않다. “EU가 제정한 GDPR은 유럽 시민의 개인정보가 유럽 밖으로 이전되는 것을 원칙적으로 금지하되, 적정성 인증을 받은 국가에 대해서는 역외이전을 허용하도록 규정했다. 적정성 결정이 이뤄지면 개별 기업 차원의 별도 역외이전 절차가 없어져 기업들로서는 엄청난 비용 절감 효과를 거둘 수 있다. 개보위가 출범하면 EU에서 중시하는 개인정보보호기관의 독립성 문제가 해결되니 협상 속도가 붙을 수 있다. 현재 상호 간 큰 쟁점은 정리가 됐고 실무 부분을 협의하는 단계다. 올해 안에 EU 측 승인을 받기를 기대한다.” -개인정보는 여전히 보호와 활용 사이에서 논쟁이 진행 중이다. “개인정보의 보호와 활용은 별개가 아니다. 개인정보 활용기술뿐 아니라 보호기술도 무궁무진한 가능성을 갖고 있다. 코로나19 사례에서 보듯 일정 기간이 지난 확진환자 개인정보를 삭제하는 ‘보호’가 뒷받침돼야 투명한 개인정보 공개를 ‘활용’한 방역도 가능해진다. 현재 위원회가 6개 분과 60명 규모로 운영 중인 ‘개인정보보호 제도혁신자문단’을 100여명 규모의 ‘개인정보보호 제도혁신자문위원회’로 확대하려 한다. 이와 함께 개인정보 보호기술 개발과 전문인력 양성을 위한 산·학·연·관 협의회도 구성하려 한다.” 강국진 기자 betulo@seoul.co.kr

네덜란드의 한 할머니가 딸네 부부의 허락을 받지 않고 페이스북과 핀터레스트에 올린 손주들 사진들을 삭제하라는 법원 판결을 받았다고 영국 BBC가 21일(현지시간) 전했다. 할머니는 귀여운 손주 사진들을 올리는 일을 좋아했지만 딸 생각은 달랐다. 몇 번이고 올리지 말라고 당부하고 호소했는데 소용이 없었다. 해서 모녀 사이도 틀어졌고 결국 유럽연합(EU)의 종합정보보호규제(GDPR) 법을 준용한 법원 판결로 막을 내렸다. 원래 GDPR 법은 “지극히 개인적”이거나 “가족적인” 정보 처리는 문제 삼지 않도록 했는데 재판부는 소셜미디어에 사진을 올리는 행위는 더 많은 이용자들이 이용할 수 있게 한다는 점에서 예외가 인정될 수 없다고 판결했다. 재판부는 판결문을 통해 “페이스북에 올린 사진들은 배포될 수 있으며 결국 제3자의 손에 들어갈 수도 있다”고 판시했다. 이에 따라 할머니는 모든 사진들을 삭제해야 하며 이를 따르지 않으면 매일 50유로(약 6만 7600원)의 벌금을 1000유로까지 내게 됐다. 앞으로 손주들 사진을 더 올리면 매일 50유로씩 벌금을 내야 한다. ‘디코디드 리걸(Decoded Legal)’이란 회사의 기술 전문 변호사 닐 브라운은 “이번 판결은 사진을 트윗하거나 게재하기 전에 많은 생각을 하지 않는 사람들을 많이 놀라게 할 것 같다”면서 “법정에 갔느냐에 관계 없이 사진을 게재하는 사람들이 ‘좋아, 그나 그녀가 사진이 여기 계속 있는 것을 원치 않을 수도 있지’라고 생각하게 하는 건 이치에 맞는 일이다. 실제로 이치에 맞는 일은, 인간적인 일이기도 한데, 게시물을 내리는 것”이라고 말했다. 임병선 기자 bsnim@seoul.co.kr