빅데이터 시대의 안전핀, ‘개인정보보호 중심 설계’(PbD)

[애플경제 박문석 기자] 데이터 경제를 위해서도 개인정보보호는 가장 중요한 요소라고 할 수 있다. 특히 각종 제품이나 서비스 자체에 개인정보 보호 장치가 깃들어있도록 해야 한다는 소비자들의 요구도 커지고 있다. 그런 가운데 이미 EU 등에선 이런 개념의 ‘개인정보보호 중심 설계(Privacy by Design, PbD)’가 보편화되어 있다. 국내에서는 아직 산업 현장에 직접 적용되지는 않고 있어, 이를 체계적으로 도입해야 한다는게 전문가들의 의견이다.

최근엔 각종 연구기관이나 전문가 집단에서 이를 다시 주목하는 분위기다. 정보통신기획평가원의 최혜미 주임연구원은 “국내에서는 정보통신망에 연결되어 정보를 송ㆍ수신할 수 있는 IoT 기기에 대한 정보보호 인증이 시행되고 있으나, 개인정보보호 중심 설계 적용 여부에 대해선 평가하고 있지 않다”며 그 필요성을 주장하는 동향 보고서를 내놓아 관심을 끈다.

그에 따르면 PbD는 ‘프라이버시를 고려한 (제품, 서비스) 설계’의 개념이다. 즉, “프라이버시가 침해당한 후 대응하는 것이 아니라, 개인정보 침해 요인을 예측ㆍ예상하거나, 프라이버시 침해 가능성에 대비하여 제품이나 서비스의 기획ㆍ설계 단계에서부터 사전에 예방하는 개념”이란 얘기다.

특히 2010년 열렸던 ‘정보보호와 프라이버시위원회 국제 컨퍼런스’에선 이와 관련된 ‘Privacy by Design 7대 원칙’을 제시하기도 했다. 즉 개인정보보호 설계를 위해 기울여야 할 노력을 나열한 것이다. 개인정보보호위원회와 한국인터넷진흥원이 이를 요약, 소개한 바에 따르면 먼저 ▲사후조치가 아닌 사전예방이 중요하다. 개인 정보 침해 사고가 발생한 뒤 조치하는 것이 아니라 그런 상황을 예상하고 사전에 예방하는 것이다. 또 ▲초기 설정부터 개인정보 보호 조치를 해야 한다. 즉, IT시스템이나 사업 진행과정에서 개인정보가 보호될 수 있도록 자동으로 기본 설정하는 것이다.

다음으론 ▲프라이버시 보호를 내재한 설계를 해야 한다. 아예 프라이버시 보호를 제품이나 서비스 설계에 내재화함으로써 프라이버시를 IT시스템 또는 개인정보 처리와 통합·적용하도록 하는 것이다. ▲프라이버시 보호와 사업기능의 균형, 즉 어느 한쪽의 이해에 치우치지 않도록 하는 것이다. 즉, 제품이나 서비스의 기능성이나, 편리성 등을 살리되, 프라이버시도 동시에 보호하도록 하는 방식이다. 또한 ▲개인정보 라이프사이클 전체를 시종하며 보호해야 한다. 즉, 개인정보의 수집ㆍ이용ㆍ저장ㆍ제공ㆍ파기 등 전 단계에 걸쳐 보호될 수 있도록 안전조치를 적용하는 것이다.

또한 ▲개인정보 처리과정에 대한 가시성이나 투명성을 유지하는 것도 중요하다. 개인정보의 당사자가 ‘완전하고 명확하게’ 개인정보 처리과정을 이해하도록 함으로써 신뢰성을 높이는 것이다. 이와 함께 ▲제품이나 서비스의 이용자의 프라이버시도 존중해야 한다. 프로그램, 프로세스 등에서 명시적인 보호 체계가 없더라도 사용자의 프라이버시를 보장하기 위한 노력이 뒤따라야 한다는 것이다.

진작부터 PbD를 실용화해온 EU의 정보보호 전문기관인 ENISA는 PbD 개념을 제품, 서비스에 어떻게 적용할 것인지를 고민하는 사업자를 위해 그 방법론으로 ‘8가지 개인정보보호 설계 전략’을 제시하고 있다. 크게는 ‘데이터 지향 전략’과, ‘프로세스 중심 전략’ 등 2가지로 구분된다. 전자엔 ‘최소화 원칙’, ‘숨기기 원칙’, ‘분리 원칙’, ‘총계화 원칙’ 등 4가지 원칙이 있고, 후자엔 ‘정보제공 원칙’, ‘통제 원칙’, ‘집행 원칙’, ‘입증 원칙’ 등 4가지가 있다.

우선 ▲최소화 원칙은 개인정보 침해 가능성을 최소화하기 위해 개인정보의 명확한 활용 목적에 따라 수집, 처리되는 개인정보의 양을 최소화하는 것이다. 또 익명이나 가명을 원칙으로 한다. ▲숨기기 원칙은 개인정보가 처리되는 과정에서 평문 전송처럼 외부에서 그 내용을 볼 수 있게 해선 안되며, 이를 철저히 암호화해야 한다. ▲분리 원칙은 개인에 대한 다양한 정보들을 가능한 한 분리해서 저장함으로써 단일한 DB에서 한사람이 식별되지 못하도록 해야 하는 것이다. ▲총계화 원칙은 많은 양의 개인정보를 처리할 경우, 가능한 한 개인이 식별되지 않도록 식별자를 최소화하고, 처리 결과는 범주화 등을 통해 식별이 불가능하게 하는 것이다.

후자, 즉 ‘프로세스 중심 전략’에서 ▲정보제공 원칙은 어떤 정보가 어떤 목적으로 어떻게 사용되는지 등 개인정보 처리과정 전반에 대해 정보 주체가 투명하게 알 수 있도록 해야 하며, 데이터가 유출되었을 경우 즉각 이를 알려야 하는 것이다. ▲통제 원칙은 역시 개인정보 주체인 당사자가 개인정보 처리 과정 전반에 대해 명확하게 이해하고, 자신의 개인정보의 잘못된 활용이나 보안수준에 대해 권리를 행사할 수 있게 하는 것이다. 예를 들어 사용자 중심의 ID 관리나, 종단 간 암호화 지원 제어 등이 그런 경우다.

또한 ▲집행 원칙은 내부 개인정보보호 정책에 대한 것이다. 즉, 이는 법ㆍ제도 의무사항을 모두 반영해야 하며, 강제적으로 그런 정책이 시행되어야 한다. 개인정보에 대한 접근통제와 개인정보 보호권리를 관리하는 것 등이다. ▲입증 원칙은 컨트롤러, 개인정보 관리자의 의무에 관한 것이기도 하다. 관리자는 법적 의무사항을 준수하면서 개인정보보호 정책이 효과적으로 운영되고, 데이터 유출사고에 즉시 대응할 수 있다는 점을 입증할 수 있어야 하는 것이다. 개인정보 관리체계나 감사기록 등을 통해 입증할 수 있게 한다.