민간기업도 가명정보 결합기관으로 지정…'셀프결합'은 안돼

권수현기자

(서울=연합뉴스) 권수현 기자 = 공공기관뿐만 아니라 기업 등 민간기관도 일정 요건을 갖추면 가명정보의 결합을 담당하는 결합전문기관이 될 수 있다. 다만 해당 기관이 보유한 정보를 스스로 결합하는 이른바 '셀프결합'은 원칙적으로 허용하지 않는다.

개인정보보호위원회(이하 개보위)는 26일 2020년 제2차 전체회의를 열어 이러한 내용을 포함한 '가명정보의 결합 및 반출 등에 관한 고시' 등을 심의·의결했다고 밝혔다. 이달 5일 출범한 개보위가 내부 운영규칙이 아닌 정책 사안과 관련해 심의·의결한 첫 사례다.

가명정보란 개인정보 일부를 삭제하거나 대체해 추가정보 없이는 개인을 알아볼 수 없도록 가명처리한 정보를 뜻한다. 개인 식별이 가능한 '개인정보'와 식별이 불가능한 '익명정보'의 중간단계에 해당하며, 다수의 가명정보가 결합할수록 개인을 다시 특정할 수 있는 가능성이 커진다.

당초 개인정보보호법과 시행령 논의 단계에서는 가명정보 결합을 담당하는 '결합전문기관'으로 공공기관을 우선 지정하고 점차 민간기관으로 범위를 넓혀나갈 방침이었으나 세부 논의를 거치면서 기업 등 민간기관도 결합전문기관에 포함하기로 했다.

개보위는 가명정보 결합에 참여하고자 하는 민간기업의 수요를 고려해 신뢰할만한 제3자로 판단된다면 공공·민간기관 구별 없이 결합전문기관을 지정하도록 했다고 설명했다.

다만 결합전문기관에서 보유한 정보를 해당 기관이 결합하는 이른바 '셀프결합'은 원칙적으로 허용하지 않기로 했다.

최영진 개보위 부위원장은 이날 오후 온라인 브리핑에서 "오늘 전체회의에서 셀프결합을 심도 있게 논의했는데 (개인정보보호법) 입법 취지와 조문 해석상 허용하지 않아야 한다는 게 대다수 의견이었다"고 말했다.

최 부위원장은 "다만 대량의 데이터를 보유한 공공기관이나 특수한 데이터를 가진 기업, 데이터 특성상 다른 기관으로 이동이 불가능한 경우 등 예외적인 상황은 따로 고려해야 할 것"이라고 덧붙였다.

이날 개보위가 의결한 고시는 결합전문기관이 갖춰야 할 인력, 시설·장비, 재정 등의 요건을 규정했다.

인력 요건은 8인 이상의 담당조직을 운영하고 이 가운데 3명은 법률·기술 등 관련 분야 전문가로 상시 고용해야 한다.

시설·시스템 측면에서는 결합, 추가가명처리, 반출 등을 위한 공간과 시설·시스템을 구축하고 데이터 및 네트워크 보안조치도 마련해야 한다.

또한 안정적 운영을 위해 자본금 50억원 이상을 충족해야 하며, 최근 3년 안에 개인정보보호법을 위반한 일이 없어야 한다.

결합전문기관 지정·취소 권한은 분야별 데이터의 특수성을 고려해 개보위뿐만 아니라 각 중앙행정기관에서 가진다. 다만 각 부처에서 전문가들로 '지정심사위원회'를 구성해 심사를 담당하도록 했다.

이번 고시에는 가명정보 결합과 결합정보의 외부 반출 절차도 규정돼 있다.

데이터 결합 시 정보 매칭에 필요한 '결합키'는 가명정보 결합의 안전성을 확보하기 위해 결합키관리기관인 한국인터넷진흥원만 접근할 수 있도록 했다.

또 결합된 정보를 정해진 분석공간 밖으로 반출하려는 경우 '반출심사위원회'에서 승인을 받도록 규정했다. 반출심사위원회는 결합신청자와 이해관계가 없는 3명 이상 7명 이하의 전문가로 구성해야 한다.

이 고시는 내달 1일 관보 게재 즉시 시행된다. 개인정보보호위원회는 시행일부터 결합전문기관 지정신청 접수를 위한 공고를 내고 내달 중 선정을 마무리할 계획이다.

윤종인 개보위원장은 "이번 고시로 데이터 생태계 조성의 핵심 역할을 수행할 가명정보 결합의 제도적 기반이 마련됐다"며 "가명정보 결합 제도가 신속히 정착되도록 내달 초 가이드라인을 발간하고 중앙행정기관 협의체를 구성하는 등 후속작업을 차질없이 진행하겠다"고 말했다.

inishmore@yna.co.kr

제보는 카카오톡 okjebo <저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지> 2020/08/26 15:37 송고