오픈넷, 기업책임지수 국제 프로젝트 참여해 한국 ICT 기업 평가

이용자 표현의 자유와 프라이버시 보호 정책 검증… 카카오 5위, 삼성 9위 차지

세계적인 정보통신기술(ICT) 기업들의 이용자 보호 정책을 평가하여 순위를 매긴 ‘2017 기업책임지수(Corporate Accountability Index)‘가 공개되었다. ICT 기업을 평가하는 국제 프로젝트인 RDR(Raning Digital Rights)은 전세계 22개 기업을 대상으로 하여, 이들이 이용자의 표현의 자유와 프라이버시를 얼마나 잘 보호하는지 집중 평가한 결과를 최근 발표했다.

올해의 평가 대상 기업은 ‘인터넷 및 모바일 부문’ 12개 기업과 ‘이동통신 부문’ 10개 기업이다. 구글, 페이스북, 트위터, 얀덱스, 바이두 같은 인터넷 기업들, AT&T, 텔레포니카 같은 이동통신 기업들이 포함됐다. 삼성과 애플 등 모바일 기업은 올해 처음으로 이 평가에 포함되었다.

평가 결과, 인터넷 및 모바일 부문에서는 구글, 마이크로소프트, 야후가 1~3위를 차지했고 이동통신 부문에서는 AT&T, 보다폰(영국), 텔레포니카(스페인)가 1~3위에 올랐다. 한국 기업으로는 카카오와 삼성이 인터넷 및 모바일 부문에 포함되어 평가를 받았다. 해당 부문 12개 기업 중에 카카오는 5위로 페이스북보다는 못하지만 트위터보다는 나은 점수를 받았다. 삼성은 9위를 차지함으로써, 같은 분야 기업인 애플(7위)보다 두 계단 처졌다.

RDR이 각 기업을 평가한 주요 가치는 표현의 자유와 프라이버시다. 기업들이 이용자의 표현의 자유와 프라이버시를 보장하기 위해 얼마나 노력하고 있는지, 이러한 노력이 기업 정책으로 구체화되어 있는지, 또 그러한 정책이 각종 문서나 약관을 통해 명백하게 밝혀져 있는지 등이 평가 요소였다. 이를 측정하기 위해 35개 지표, 183개의 측정 기준이 적용되었다.

RDR은 세계 ICT 기업들이 이용자에게 제공하는 보호정책 정보가 전체적으로 미흡하며, 특히 스마트폰을 만들어 모바일 생태계를 조성하는 기업들에서 투명성이 떨어졌다고 평가했다. 또 표현의 자유를 지키려는 노력이 프라이버시 보호보다 더 부족한 것으로 나타났으며, 이용자 정보가 어떻게 수집되고 사용되는지를 충분히 고지하지 않는 것도 문제라고 비판했다.

한국 기업에 대해서는, 카카오는 이용자의 표현의 자유와 관련한 정책을 잘 명시하고 있고 개인정보 사용 내용도 비교적 잘 고지하고 있다고 평가했다. 삼성은 인권 일반에 대한 강한 보호 방침에도 불구하고 표현의 자유 및 프라이버시 영역에서는 구체적인 조항을 갖고 있지 않으며, 특히 정부나 사기업이 이용자의 개인정보를 요구할 때 이를 어떻게 처리하는지에 대해 명확히 밝히지 않는다고 지적했다.

2015년에 이어 올해 두 번째인 RDR의 기업 평가 프로젝트는 미국의 명망 있는 싱크탱크인 뉴아메리카 재단에서 주관하고 세계 유수의 전문가 단체가 참여하는 방식으로 진행됐다. 평가팀은 2016년 9월부터 6개월에 걸쳐 복잡한 다단계 검증 과정을 거치며 작업을 수행했다. 사단법인 오픈넷은 이번 평가에서 한국 기업인 카카오와 삼성에 대한 기초 평가를 담당했다.

문의: 오픈넷 사무국 02-581-1643, [email protected]

[관련 글]

• 카카오가 페이스북보다 잘한 한 가지(2015 기업책임지수) (씨넷코리아 2015.11.25.)

정보를 통한 해방 혹은 속박

글 | 박경신 (오픈넷 이사, 고려대 법학전문대학원 교수)

최근 과학기술정보통신부가 ‘인공지능 R&D 챌린지’를 열었다. 뉴스 데이터 6000개 중에서 ‘가짜 뉴스’를 찾는 기술력을 평가해 우수 연구팀 3개 팀을 뽑아 연구비 15억원을 지원했다. 2위를 차지한 아이와즈팀 강장묵 교수(남서울대)는 “1년 동안 신문 기사 130만 건을 기계 학습하며 이룬 규칙 기반의 뉴스 기사 분석”을 성공 비결로 밝혔다.

미국 트럼프 대통령 당선과 함께 가짜 뉴스는 인터넷 및 정보기술이 우리 삶을 파괴하는 방식 중 하나로 지적되었는데, 그 가짜 뉴스의 질곡을 바로 인터넷과 정보기술이 해소할 수 있는 가능성을 보여준다. 이 미담의 핵심에는 신문 기사 130만 건, 즉 빅데이터가 있다. 인공지능이 최근 발전하는 것은 인공지능을 훈련시키는 재료가 되는 빅데이터의 출현에 힘입은 바 크다.

전혀 상관없어 보이던 데이터베이스(DB)들을 합쳐, 전에는 몰랐던 통찰을 유추해낼 때 빅데이터는 사회적으로 더욱 유용하다. 예를 들어 건강 정보와 휴대전화 사용 기록을 연결하면 휴대전화에서 나오는 전자파와 암 발병 간의 관계를 밝혀낼 수도 있다. 하지만 이 시나리오에서 우리가 유의할 점이 있다. 건강 정보 DB는 긴요한 의료 서비스를 받기 위해 치료 목적으로 병원에 제공한 정보를 축적해 만들어진다. 그런데 휴대전화 제조사가 안전한 휴대전화 개발에 필요하다며 이를 이용한다면 환자의 사생활 비밀 침해라고 볼 수 있다. 자발적으로 정부기관이나 회사에 제공한 것이라도 정보 제공의 조건과 목적에 반하게 이용되면 정보 유출, 즉 ‘감시’와 다를 바 없다. 이를 막기 위해 자신의 정보를 타인에게 제공할 때 그것이 어떤 목적으로 누구에게 이용되고 공유되는지 통제할 수 있어야 한다(‘개인정보 자기결정권’). 물론 그 정보가 누구에 대한 것인지 알 수 없게 된 상태, 즉 ‘익명화’되어 유출된다면 사생활 비밀 침해는 없을 것이고 개인정보보호법 위반 논란도 사라진다.

서로 다른 목적으로 축적되어 있는 DB들의 상호 결합을 위해서는 적어도 각 DB의 엔트리(명단) 중에서 동일인의 데이터들을 연결시키는 작업이 필요하다. 예를 들어 A의 휴대전화 사용 기록과 B의 암 발병 여부를 연결해놓은 데이터는 ‘밀려 쓴 답안지’처럼 쓸모없어진다. 그렇다고 실명 정보를 외부에 제공하면 개인정보보호법 위반이다. 이런 이유로 DB 결합은 먼저 각 DB에서 이름과 주민등록번호 등 이른바 ‘개인식별 정보’를 가명으로 전환한다(보통은 일방향 해시함수). 그다음 동일한 가명을 가진 DB 엔트리들을 결합한 후 가명을 떼어낸다. 원본 데이터를 가진 사람은 데이터를 비교해 정보 주체를 찾아낼 수 있으므로 결합된 DB를 익명화하는 기술을 쓴다.

‘빅데이터 개인정보 비식별화 공론화위원회’ 필요

여기에 대해 두 가지 견해가 대치한다. 한쪽에서는 가명 생성 공식을 아는 사람이 존재하는 한 ‘가명화’된 정보는 항상 재식별화될 수 있으므로 익명화가 아니라고 본다. 이는 유럽의 개인정보보호법이 취하는 태도와 비슷한데, 정보 주체들의 동의 없이 새로운 목적으로 그들에 대한 다른 정보와 결합하는 순간 이미 불법적인 ‘목적 외 이용’에 해당되어 불가하다는 것이다. 다른 쪽에서는 신뢰받는 제3자가 가명 생성 방식의 비밀을 유지하면서 DB 결합 서비스를 대신하고, 이후 최대한 익명화 작업을 한다면 어느 누구도 혼자서는 결합 DB를 용이하게 재식별화할 방법이 없으므로 개인정보보호법 위반이 아니라고 주장한다.

우리는 여기서 중요한 가치판단을 해야 한다. 빅데이터는 본질적으로 개인정보보호법을 위반할 소지가 있다. 개인정보 보호는 개인식별 정보를 보관한 자들이 법과 계약을 지킬 것이라는 약속에 어느 정도 기댈 수밖에 없다. 이 약속이 무의미하다면 익명화는 논리적으로 불가능하다(기술적 불가능성 문제는 이 논란에 대해 중립적이다). 빅데이터를 통한 지식 추구라는 장점과 여기서 발생하는 사생활 침해 위험 사이에서 적정한 선을 긋는 공론화위원회와 같은 솔직한 대화가 필요하다. 정보를 통한 해방과 정보를 통한 속박. 두 가지를 모두 잡는 방법을 찾아야 한다.

* 위 글은 시사IN에 기고한 글입니다. (2017.12.29.)