2015년 검찰 수사 결과 4400만명분의 의료정보가 환자 동의 없이 외국 통계회사의 돈벌이 수단이 됐다. 전국 7500여개 병원에서 건강보험심사평가원에 제출할 진료 내용을 기록하는 프로그램 공급업체 ‘지누스’와 전국 1만여개 약국의 처방전 정보를 입력하는 프로그램을 제공한 재단법인 ‘약학정보원’이 미국계 통계회사 ‘IMS헬스’ 한국법인에 환자 정보를 팔았다. 국내 제약업체들은 마케팅용으로 이 정보를 70억원에 다시 샀다. 지난해 서울중앙지법은 이를 개인정보보호법 위반이라고 판결했다. 이는 개인정보가 감시의 눈을 피해 악용될 위험을 보여준다.

문재인 대통령은 31일 ‘데이터 경제 활성화’를 위해 개인정보에 대한 규제를 풀겠다고 밝혔다. 문 대통령은 이날 판교 스타트업캠퍼스에서 열린 ‘데이터 경제 활성화 규제혁신’ 현장방문에서 “혁신성장의 미래가 데이터에 있다”며 “산업화 시대의 경부고속도로처럼 데이터 경제시대를 맞아 데이터고속도로를 구축하겠다”고 말했다. 의료기기, 은산분리 규제완화 현장 방문에 이어 규제완화 세 번째 행보다. 정부는 내년 빅데이터와 인공지능(AI) 등에 1조원을 투자하기로 했다.

문 대통령은 비판여론을 의식한 듯, 안전장치를 최대한 마련하겠다는 점을 강조했다. 개인정보를 익명정보, 가명정보로 구분해 ‘개인정보 보호와 활용’을 동시에 도모하겠다는 것이다. 개인정보는 이름·주민등록번호 등 누구인지 바로 알 수 있는 정보이고, 익명정보는 아예 누구인지 알 수 없도록 처리한 정보다. ‘가명정보’는 일부의 개인정보만 생략한 정보다.

계획대로 개인정보보호법이 개정되면 IMS헬스 같은 사례는 합법적이 될 수도 있다. 추가정보 결합이 안되면 누구인지 알 수 없는 ‘가명정보’에 해당해 개인 동의 없어도 활용할 수 있게 된다.

그러나 희귀병을 가진 ㄱ씨가 다른 기업의 가명정보와 결합해 특정되거나, 평소에 일하는 데는 전혀 문제없는 질병인데도 신분이 드러나 취업, 보험 가입 자체가 어려워질 가능성도 있다. ‘빅데이터 사회’가 우려되는 것은 사생활이 함부로 공개되지 않을 권리, 자신의 정보를 통제할 권리를 침해당할 수 있기 때문이다.

정부는 가명정보를 엄격한 보안시설을 갖춘 기관에서 관리하고 기업이 가명정보를 재식별했을 경우 처벌을 강화하겠다고 밝혔다. 하지만 정부가 완벽히 관리할 수 있을지, 기업의 ‘재식별’ 욕망을 통제할 수 있을지 우려가 많다.

무엇보다 엄격한 관리 계획도 못 내놓은 상황에서 가명정보를 활용할 수 있도록 하는 데 걱정이 앞선다. 오병일 진보네트워크센터 활동가는 “어떤 기관에서 어떤 식으로 관리할지 밝히지도 않고 데이터를 늘려 산업을 활성화해야 하니 기업에 우선 열어주자는 것은 순서가 바뀐 것”이라고 말했다.

문제는 여전히 침해되는 ‘정보 주체의 권리’다. IMS헬스는 주민번호를 암호화하고 이름을 가린 정보를 사갔다. 이제 개인 동의 없이 해외로 팔린 ‘가려진 정보’가 다시 국내로 들어와 마케팅 정보로 활용돼도 정작 정보 주체는 권리를 행사할 수 없게 된다. 더 근본 문제는 가명정보가 결합에 의해 식별될 위험성이다. 기업이 가명정보를 고객 정보와 맞춰본다면 ‘A는 37세 홍길동씨, B는 40세 임꺽정씨’처럼 알아낼 수도 있다. 정부는 이런 경우는 ‘개인정보’로 간주해 이용을 막겠다고 밝혔다. 그러나 기업이 자사 데이터를 이용해 고객을 특정하는 것까지 다 막아낼지 회의적 시각이 많다. 또 현재는 재식별이 불가능해도 기술이 발전하면 쉬워질 수도 있다. 하버드 연구팀은 2015년 한국인 사망자 2만3163명의 처방전 데이터의 암호화된 주민등록번호를 전부 해제하는 데 성공했다.

정부는 기업이 고의로 재식별할 경우 형사처분, 과징금 부과 등을 하기로 했지만 사후적 조치가 된다. 정보인권연구소 이은우 변호사는 “현재 금융위원회(신용정보법), 방송통신위원회(정보통신망법) 등에 흩어진 법제와 조직을 통합하는 것이 먼저”라며 “보호를 주무로 하는 독립기구도 없이 개인정보 활용 범위를 넓히는 것은 너무 성급하다”고 말했다.