정부가 지난 8월 5일 시행된 개정 개인정보보호법에 따라 기업 등 서로 다른 개인정보처리자 간 가명정보 결합을 수행할 결합 전문기관 모집에 나섰다.

그러나 개인정보보호를 전담하는 중앙행정기관으로 새롭게 출범한 개인정보보호위원회(이하 보호위원회)와 과학기술정보통신부가 각각 결합 전문기관을 모집하고 해당 기관을 선정할 심사위원은 물론 심사도 별개로 진행돼 혼선이 우려된다. 또 결합 전문기관을 관리 감독할 의무도 보호위원회와 과기정통부가 각각 지정한 기관을 책임지게 돼 이원화되고, 다른 부처들까지 참여할 경우, 결합 전문기관이 난립될 수도 있다.

과학기술정보통신부는 가명정보 결합을 수행할 결합 전문기관을 지정하기 위해 28일부터 10월 14일까지 신청접수를 받는다고 밝혔다. 또 11월부터 수요 기관 대상 사전 컨설팅도 진행할 계획이다.

기존에 개인정보보호법 규제로 AI의 원유 역할을 하는 데이터를 활용하는 데 제약이 컸는데, 개정 개인정보보호법에서는 개인정보 일부를 삭제나 대체해 추가정보 없이 특정 개인을 알아볼 수 없는 정보인 '가명정보'를 통계작성, 과학적 연구, 공익적 기록보존 등 목적으로 정보주체 동의 없이 활용하도록 했다.

◆가명정보 결합기관, 3명 전문가 고용, 자본금 50억원 이상 기업·단체·기관 가능

과기정통부는 가명정보 결합 전문기관 지정 분야를 과학기술과 정보통신(ICT) 분야 전반으로 공고했으며, 공공 및 민간의 법인, 단체나 기관을 대상으로 했다.

신청기관은 서면·현장 심사와 가명정보 및 결합키 연계정보 수신, 가명정보 결합, 결과 반출 등 절차가 정상적으로 이루어지는지 확인하는 결합테스트를 거쳐 결합 전문기관으로 지정될 예정이다.

'가명정보의 결합 및 반출 등에 관한 고시'에 따르면 전문기관은 법률, 기술 전문가 1인 이상 등 3명의 전문가를 상시 고용한 8인 이상의 담당조직이 있어야 하며 자본금 50억원 이상이나 비영리 법인의 경우, 기본 재산 또는 자본 총계가 50억원 이상이어야 한다.

또 결합, 추가 가명처리, 반출 등을 위한 공간 및 시설, 시스템이 구축돼야 하고, 데이터 및 네트워크에 대한 보안조치가 마련돼 있어야 한다. 결합, 반출 등 가명정보 결합에 관한 정책 및 절차가 마련되고, 개인정보 안전성 확보 조치 기준에 따라 내부 관리계획이 수립돼 있어야 한다. 최근 3년 내 해당 기관이 개선권고, 시정명령, 고발이나 징계 권고, 과태료 부과 등을 받은 적이 없어야 한다.

과기정통부 관계자는 "결합 전문기관은 몇 개로 숫자를 한정하지 않고 요건을 충족시키면 심사를 통해 지정할 계획"이라며 "개인정보 보호, 데이터 활용 분야에서 학계, 기업 등 지정심사위원 5인을 구성해 심사를 진행할 계획"이라고 밝혔다.

◆ 결합 전문기관 지정 이원화 혼선, 관련 행정부처 지정 가능해 전문기관 난립 우려도

개정 개인정보보호법에 따르면 결합 전문기관 지정은 보호위원회뿐 아니라 관계 중앙행정기관 장도 할 수 있도록 했다. 과기정통부 이외에 중소기업벤처부 등 다른 부처도 AI 및 데이터 사업을 활발히 진행하고 있는데, 관련 있는 행정기관이라면 결합 전문기관 지정이 가능해 많은 전문기관들이 난립할 우려도 있다.

특히, 보호위원회와 과기정통부가 별개로 결합 전문기관 지정을 진행하면서 참가를 원하는 기업, 기관 관계자들이 혼선을 빚을 수 있고, 결합 전문기관 수에 제한을 두지 않은 만큼 가명정보 결합이 본격화되면서 많은 기업·단체가 참여할 수 있다.

보호위원회는 과기정통부보다 더 빠르게 지난 1일 결합 전문기관 지정을 공고했으며, 최근 기간을 연장해 25일까지 선제적으로 지정 기관 선정에 대한 접수를 받았다.

또 데이터 유출의 우려 등으로 결합 전문기관의 관리 감독이 중요한 데, 이 또한 보호위원회와 과기정통부 등 관련 행정기관으로 나뉘어 각기 다른 기준으로 진행되는 문제가 생긴다. 관계 부처는 매년 결합 전문기관을 관리감독을 하는 의무가 있으며, 데이터가 유출되는 등 사고 발생시 전문기관 지정을 취소해야 한다.