Offcanvas

CSO / 보안 / 비즈니스|경제 / 소프트스킬 / 인문학|교양

최형광 칼럼 | 레몬시장과 마이데이터

2021.12.20 최형광  |  CIO KR
코로나를 극복하는 방법에는 사회적 격리인 거리두기와 백신 접종 정보의 공개가 있다. 사회적 고립은 정보기술의 소셜미디어와 줌(Zoom)과 같은 화상 솔루션으로 대처하고 있다. 백신 접종 정보의 공개는 개인의 동선의 정보를 포함한다. 초유의 펜데믹 상황에서 우리는 격리와 개인 정보의 공개를 선택하고 있다.

개인의 데이터를 어디까지 또는 언제까지 공개해야 할까? 한국 IMS는 2011년부터 2014년까지 우리나라 국민의 4,399만명(88%)의 의료정보 47억 건을 약 20억 원에 사들여 미국 본사 ‘IMS헬스’에 보냈고, 이를 재가공해 국내 제약회사에 약 100억에 판매한 바 있다. 해당 개인정보는 환자 이름, 주민등록번호, 의사 면허번호, 조제 내역 등 민감한 정보를 포함하고 있었으며, 데이터는 암호화되어 있었지만 쉽게 복호화 되어 파악이 가능했다. 한국 IMS에 의료정보를 판매한 곳은 건강보험 심사청구를 운영하던 국내 회사였다. 안타깝게도 이 사건은 고의성이 없었다는 이유로 무죄로 판결됐다.

레몬시장, 정보의 비대칭
코로나 발발 이후 개인의 동선 및 인간관계 정보와 재난지원금을 사용한 고객 금융정보가 쌓이고 있다. 1, 2차 백신접종과 부스터 샷 그리고 백신의 후유증 또는 감염자의 회복 이력 등의 새로운 빅데이터가 나오고 있다. 개인의 특화된 정보를 파악하고 있는 조직은 새로운 레몬시장을 만들 수 있다.

레몬시장은 조지 예거로프가 ‘품질의 불확실성과 시장 메커니즘’에서 언급한 내용이다. 판매자는 거래하는 재화의 품질을 잘 알고 있지만 구매자는 그렇지 못한 ‘정보의 비대칭성’이 출현하며 이는 바람직하지 못한 ‘역선택’ 거래로 이어지는 현상을 의미한다.

민감한 의료정보와 금융정보를 확보한 조직은 ‘정보의 비대칭성’을 유발하기 쉽다. 개인은 보험 가입 또는 취업, 신용서비스 등에서 차별적 대우를 받을 수 있거나 보이스피싱 또는 의료범죄와 같은 타겟이 될 수 있다. 그러나 코로나와 같은 감염병 극복을 위한 개인정보 공개 또는 공공의 이익을 위한 개인정보 공개가 요구되는 것도 사실이다. 이에 개인정보의 보장, 정보주체 중심의 안전한 개인데이터 활용 체계 확립이 요구되며, 그 결과 마이데이터법이 제정되어 활용되고 있다.


[그림1] 가명정보 데이터 결합절차 및 반출 절차. | 출처 : ‘개인정보 비식별 조치 가이드라인’에서 정립된 비식별 조치 및 사후관리 절차, 행정안전부

마이데이터 기반의 데이터 3법으로 ‘개인이 만든 데이터의 주권을 주장’할 수 있다. 개인은 ‘개인신용정보 전송요구권’에 의해 ‘내 데이터를 내가 지정하는 제3자에게 보내도록’ 요청할 수 있다. 즉, 금융회사, 공공기관이 보유한 금융거래정보, 국세와 지방세 관련정보, 보험료 납부정보, 전자상거래 기업정보, 기타 주요 거래내역 정보는 정보주체 본인, 금융회사, 개인신용평가회사 및 마이데이터 사업자에게 전달될 수 있다. 이를 통해 개인은 자신이 사용하는 플랫폼에서 본인의 모든 서비스를 관리할 수 있고 여러 상품에 대한 추천을 받을 수 있게 된다.

다른 한편으로 개인은 자신의 데이터에 대한 열람, 제공 범위, 접근 승인 등을 직접 결정할 수 있다. 이를 통해 개인의 정보 활용 권한을 보장하는 한편, 개인 데이터 제공 확대, 서비스 다양화, 인식 제고 등을 체계화할 수 있을 것으로 기대된다. 아울러 개인정보를 개인정보, 가명정보, 익명정보로 구분해서 서로 다른 기업들이 보유한 정보에 대해서도 승인 후 반출과 결합을 허용함으로써 데이터 활성화를 높일 수 있게 하고 있다.

마이데이터 사업에 따라 향후 스크래핑 시스템으로 데이터를 수집하지 않고 오픈API 방식으로 데이터를 공유하고 수집하게 된다. 한국 IMS의 사례에서와 달리 개인정보 활용을 위한 비식별화 기준이 강화됐고 여러 비식별 방법이 적용된다. 비식별화란 정보 집합물(환자기록, 병력기록, 처방 등)에서 식별정보를 제거하여 개인정보를 특정인물과 연결할 수 없도록 가명화, 익명화하는 방법과 조치를 말한다. [그림1]는 개인정보의 비식별 조치와 사후관리의 절차적 예시를 보여주고 있다.


[그림2] 개인정보의 가명정보화, 익명정보화 예시

비식별조치의 방법으로는 가명화(Pseudonymization), 총계(Aggreation), 데이터 삭제(Data Reduction). 데이터 범주화(Data Suppression), 데이터 마스킹(Data Masking) 등이 사용되며 프라이버시 보호에는 K-익명성, L-다양성, T-접근성 등의 방법을 사용한다. [그림2]는 비식별화를 만드는 가명정보의 데이터 결합절차를 보여주고 있다. 

디지털 연금술과 새로운 규범
가트너는 2022년 전략기술에서 개인으로부터 나오는 데이터의 활용과 보호를 위해서 소프트웨어와 하드웨어 기반에서 개인정보를 손상시키지 않으며, 민감한 데이터를 암호화하고 공유 및 활용할 수 있는 개인정보강화 컴퓨팅 PEC(Privacy-enhancing Computation)을 추천했다. 또 기존의 기업 독립관점 보안경계를 넘어 클라우드와 비클라우드 센터의 위치에 관계없이, 사무실과 재택근무자 등 전체적인 보호 방안을 구현하는 사이버보안 메시 아키텍처(CSMA, Cyber Security Mesh Architecture)를 제시하고 있다.

데이터는 디지털 시대의 자원이며 활용은 새로운 경쟁력이다. 개인은 데이터를 창출하는 핵심 원천이며 사회의 구성원이다. 펜데믹 극복을 위한 개인 데이터 공개는 지속될 수 없다. 2022년 마이데이터를 이용한 다양한 서비스가 준비되고 있다. 지금 우리에게 필요한 건 개인의 정보를 보호하고 데이터 활용을 극대화하는 디지털 연금술과 새로운 질서다.

* 최형광 교수(hk.choi@ssu.ac.kr)는 숭실대학교 일반대학원 AI·SW융합학과에서 학생들을 지도하고 있다. ciokr@idg.co.kr
추천 테크라이브러리

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.