‘데이터=석유’? 개인정보는 천연자원이 아니다!

경제신문들을 비롯한 언론들이 아우성이다. 네이버나 카카오가 의료기관과 손잡고 추진해온 의료 빅데이터 사업이 제자리걸음을 하고 있다고 목소리를 높인다. 금융데이터를 가공해 판매하는 사업을 준비중인 핀테크 사업도 마찬가지라고 내세운다. 대통령이 지난해 8월31일 “데이터는 미래의 석유”라며 “데이터를 가장 잘 다루는 나라”를 만들기 위해 “데이터의 적극적인 개방과 공유로 새로운 산업을 도약시켜야 한다”(http://www.economy21.co.kr/news/articleView.html?idxno=1005258)고 선언했음에도 바뀐 게 하나도 없다는 불평이 쏟아진다. 여당은 이번 임시국회에 데이터경제 활성화 3법(개인정보보호법, 정보통신망법, 신용정보보호법)을 통과시키겠다고 다짐하고 있다. 개인정보 관련 규제 컨트롤타워를 일원화하는 문제 역시 갈 길이 멀다. 현재 심의기능만 있는 개인정보보호위원회를 중앙정부 행정기관으로 격상시켜 과학기술정보통신부, 금융위원회, 행정안전부 등으로 흩어져있는 개인정보 관련 규제·감독 권한을 한 데 모으겠다는 제안도 나왔다.

‘데이터=석유’ 비유는 틀렸다!

왜 이렇게 진전이 없을까? 데이터경제 활성화, 그 근저에 있는 ‘빅데이터’ 분석의 활성화 자체를 반대하는 목소리가 없음에도 말이다. 어떤 근본이 결여돼 있어서 그렇다는 게 기자의 생각이다. ‘데이터는 미래의 석유’라는 낯익은 구호는 타당한 것인지에 대해 물음을 던지는 것에서부터 시작해보자. 이는 데이터를 일종의 천연자원으로 바라보는 시각이다. 온갖 개인정보들로부터 데이터를 추출해 가공 처리한다는 측면에서, 이렇게 가공 처리된 데이터가 기업들에 많은 수익을 보장한다면 측면에서 데이터를 천연자원으로 간주하는 것이다. 추출한 석유가 정제과정을 거쳐 가솔린으로 태어나면 원유보다 더 가치가 높아지는 것과 유사하다는 면에서 이런 비유는 적당한 것처럼 보인다.

하지만 석유는 말을 못한다. 대신에 석유가 매장된 곳이 자신의 영토에 속하는 정부가 말을 한다. 그래서 석유는 온 국민의 자산이 된다. 정부가 석유 추출기업들에게 로얄티(사용료)를 매기는 권한을 행사하는 것이 여기에 속한다. 반면 데이터경제에서 데이터는 말을 한다. 바로 데이터의 소유자인 개인이 그 주체(data subject)다. 데이터경제에서 개인의 소비행위는 더 이상 소비하는 상품으로부터 만족을 얻는 데 그치지 않는다. 그 자체가 데이터를 제공함과 동시에 가치창출에 기여하는 행위라는 적극적인 의미를 지닌다. 소비행위가 바로 노동력 지출의 성격을 갖는 셈이다. 이런 측면에서 데이터는 개인에 속하는 노동력의 일부를 이룬다. 학계 일각에서 나오는 ‘노동으로서의 데이터’라는 시각이다. 그러니 석유와 같은 모든 국민의 자산으로 절대 취급할 수 없다.

이런 시각에서 볼 때 경제협력개발기구(OECD)가 석유나 석탄과 같은 '집단적인 국민자산’으로 데이터를 바라보는 태도는 올바르지 않다. 이 기구는 지난 3월 2020년 회원국들에 내놓을 예정인 준비작업 성격의 보고서 ‘글로벌 경제에서의 법인 과세’에서 이렇게 분석했다. 그럼에도 소비행위 자체가 데이터를 생성하고 가치 창출에 직접 기여할 수 있음을 전면 부정하진 못했다. 물론 데이터와 석유는 공통점이 없는 건 아니다. 노동으로서 데이터는 석유와 마찬가지로 ‘배제성'(exclusiveness)과 ‘경쟁성’(rivalry)을 지닌다. 임금을 지급하지 않는 사람은 개인의 노동력을 사용할 수 없고, 개인의 노동력은 동시에 두 곳에서 사용될 수 없는 것처럼 말이다. 석유와 마찬가지로 공공재가 아니라는 얘기다.

'천연자원으로서 데이터', '석유로서의 데이터’ 시각과 비유는 국내에서는 네이버나 카카오, 해외에서는 구글이나 페이스북과 같은 정보통신 플랫폼 기업들이 부추겨온 ‘공짜 서비스, 공짜 데이터’라는 프레임과 깊숙이 맞물려 있다. 이들 기업의 사업모델은 검색이나 이메일 등의 서비스를 무료로 제공하고 많은 가입자(또는 가입자의 정보)를 확보한 뒤 역으로 이들을 상대로 광고 등을 노출시켜 수익을 확보하는 것을 기본으로 한다. 이 모델에서 플랫폼 기업들이 확보하는 이용자들의 데이터는 무료로 서비스를 제공하는 대가의 성격을 지니며, 가치 창출에서 석유와 같은 기능을 한다.

많은 문제제기에도 이런 사업모델은 뿌리를 내렸다. 하지만 ‘석유로서의 데이터’라는 유비(analogy)는 역으로 부메랑으로 돌아오기 시작했다. '데이터가 석유처럼 그렇게 중요하다고 하는데 도대체 우리는 무슨 대가를 받고 있는가’라는 의문이 이용자들 사이에서 고개를 들기 시작한 것이다. 이용자 참여에 대해 직접 보상하는 블록체인 기반의 일부 사업모델은 이런 이용자의 의문을 한층 강화시켰다. 여기에 더해 숱하게 일어났던 개인정보 유출 사건, 규제당국의 솜방망이 처벌이 있었다. 개인정보보호법은 그나마 잘 돼 있다는데, 개인정보를 이용하는 플랫폼 기업들이나, 악용과 남용 사례에 대해 추상같은 처발과 규제에 나서야 할 정부가 모두 ‘개판’이었던 셈이다. 이런 상황에서 한층 더 강한 개인정보보호 요구가 나오는 건 자연스럽기까지 하다. 데이터경제 활성화 명분에는 동의해도 개인정보보호는 훨씬 더 강화시키라는 요구가 동시에 나오는 건 필연이라는 얘기다.

마이데이터 산업이라고 뭐가 다를까?

‘공짜 데이터, 공짜 서비스’라는 프레임은 이른바 ‘마이데이터’ 사업이라고 해서 크게 다르지 않다. 데이터경제 활성화의 일환으로 금융위원회는 지난해 8월부터 핀테크 업계와 손잡고 이 사업을 추진하고 있다. '개인이 각종 기관과 기업 등에 분산돼 있는 자신의 정보를 적극적으로 관리·통제하고 이러한 정보를 업체에 제공해 맞춤 상품이나 서비스를 추천받거나 신용이나 자산관리 등에 활용’하자는 목적을 갖고 있다. 기존 플랫폼 사업자들과 다른 점이라면 여기서는 가명정보가 아니라 실명정보가 다뤄진다는 점이다. 가명정보는 추가정보(이를테면 해독키)가 없으면 특정 개인과 결부시킬 수 없도록 개인정보를 가공 처리한 정보를 말한다.

개인이 자기정보를 통제한다고 하니 그럴싸하게 들린다. 하지만 초기 플랫폼 사업자들의 ‘공짜 서비스, 공짜 데이터’ 프레임처럼 마이데이터 사업의 수익모델에는 의문부호가 찍힌다. 잠시만 생각해 보자. 마이데이터 사업자는 개인이 자기정보를 한데 모아 제공하면 이를 분석해 상담 서비스를 제공한다. 이때 자신의 정보를 한데 모아 제공한 개인에게 서비스 제공의 대가를 받을 것인가? 그럴 수도 있다. 하지만 초기 플랫폼 사업자들이 검색이나 이메일 서비스를 공짜로 제공했던 것처럼 대가를 받지 않을 가능성이 매우 높다.

마이데이터 사업이 법률상담서비스에 대한 대가를 변호사들이 받는 것과 다를 게 뭐냐고 반문이 있을 수 있다. 하지만 다르다. 현실적 또는 잠재적 원고나 피고인 개인은 자신의 정보를 제공하고 법률서비스를 받으면서 상담료를 변호사에 내는 것은, 소송의 결과에 따라 본인에 돌아올 수 있는 이익이나 손해를 늘리거나 줄이고자 하는 목적이 있어서다. 반면 마이데이터 산업에서 이런 측면이 현저히 약하다. 마이데이터 사업의 명분으로 “청년․주부 등 소외계층의 금융접근성을 높일 수 있다”(최종구 금융위원장)는 점을 들고 나오기도 한다. 금융 소외계층의 호응이 있을 법하다. 하지만 이런 명분이 설득력이 있으려면 그동안 무수히 많았던 소액신용(마이크로크레딧) 사업이 뜻한 바 목적을 이루지 못한 것인지, 그랬다면 그 이유가 무엇인지부터 밝히는 게 순서다. 그렇게 밝힌다고 해도 금융 소외계층을 비롯한 개인이 이 사업에 얼마나 호응할지 잘 모르겠다.

단언하건대, 마이데이터 사업의 수익모델은 '빅데이터' 분석, '빅데이터' 판매다. 확보한 개인정보를 가공 처리한 가명정보를 분석해 확보한 빅데이터를 거래하는 데서 수익이 나온다고 보는 게 정확하다. 마이데이터 사업에서도 '공짜 데이터, 공짜 서비스'라는 프레임은 기본으로 깔려 있다. 기자에게 마이데이터 사업이 '석유로서의 데이터', '천연자원으로서의 데이터' 시각을 한층 강화해 퍼뜨리기 위한 '바람잡이'로 비치는 이유다.

‘노동으로서의 데이터’, 데이터 제공한 개인이 수익권 공유해야

데이터경제 활성화를 위해서는 ‘석유로서의 데이터’라는 기존의 프레임을 바꿔주는 게 필요하다. ‘노동(노동력 지출)으로서의 데이터’ 프레임을 교차시키는 것을 통해서다. 그러려면 두 가지가 필요하다. 첫째, ‘데이터는 공짜’라는 플랫폼 사업자의 인식을 바꿔줘야 한다. 노동법과 노동경제학의 상식은 노동력은 개인으로부터 분리할 수 없다는 거다. 그렇기에 노동력의 소유권을 사용자에게 넘길 수는 없다. 사용자는 노동력 이용권만을 갖는다. 마찬가지로 데이터의 법적 소유권은 개인에 있다. 물론 플랫폼 사업자는 가공 처리 등을 통해 데이터의 이용권, 이용권을 부여받은 데이터에 대한 조직 내․외부로부터의 통제권, 데이터로부터 나오는 수익권을 가질 수 있다. ‘노동으로서의 데이터’는 개인이 통제권은 물론 수익권의 일부까지 공유해야 한다는 문제의식이다.

이에 입각한다면, 상업적인 목적으로 플랫폼 기능은 물론 인공지능을 이용해 데이터를 분석하는 모든 기업들에 대해 데이터 제공을 보상할 의무를 반드시 둘 필요가 있다. 데이터는 이들 기업의 생산에 직접 기여하는 노동의 성격을 지니기 때문이다. 물론 이익이 남지 않을 경우는 어쩔 수 없지만 말이다. 생각해볼 수 있는 방법은 여러 가지가 있다. 가장 이상적인 것은 플랫폼 기업이 가공 처리한 데이터의 소유자들에게 직접 보상하는 것이다. 하지만 이는 플랫폼 기업이 데이터를 통해 특정 개인을 파악한다는 뜻이다. 사생활 보호 위반이라는 역설을 빚어지는 것이다. 그렇기에 현실적인 해법은 국가가 기존 법인세 이외에 새로운 범주의 조세를 도입하는 것이다. 특히 데이터 분석은 공공데이터와 연계를 통해 이뤄지는 경우가 대부분인 상황에서 새로운 조세 도입은 충분히 가능하다.

이미 있기도 하다. 구글이나 페이스북 등과 글로벌 기업과 역차별 방지를 위해, 고정사업장이 없어도 매출이 있는 곳에 과세한다는 새로운 흐름에 따라 유럽연합 일부 국가에 도입했거나 도입 검토 중인 ‘디지털 서비스세’가 그것이다. 고정사업장이 있든 없든 국내에서 발생한 모든 플랫폼 기업의 매출에 대해 일정 세율을 부과할 수 있을 것이다. 아니면 글로벌 기업에 대해서는 ‘디지털 서비스세’를 도입하고, 국내 플랫폼 기업에 대해서는 부가가치세율을 올리는 방안도 생각해볼 수 있다. 매출에 부과하는 이런 디지털 서비스세가 이중과세방지에 어긋난다는 지적이 있기는 하다. 하지만 이런 식으로 따지면 원천징수하는 부가가치세와 법인세도 대부분의 법인들에게는 이중과세에 해당한다는 주장으로 이어진다. 법인세를 올리면서 부가가치세를 페지하든지, 그 역을 시행하든지 하라는 요구로 이어지지 말라는 법도 없다. 이런 논리에서 재산세와 소득세도 결국 이중과세 아니냐는 얘기가 나오는 것도 시간문제다.

둘째, ‘노동으로서의 데이터’는 개인정보 보호와 남용 금지를 원칙으로 확립할 것을 주문한다. 개인과 분리할 수 없는 노동력은 강력한 사후규제를 포함해 개인정보보호 원칙을 명실상부하게 확립하는 것이다. 국내 개인정보보호법은 빅데이터 분석 활성화를 위해 일정한 개정이 필요하다. 유럽연합에서 2015년 5월25일 발효한 일반개인정보보호법(GDPR)은 시사하는 바가 매우 크다.

이 법은 개인정보의 법적 소유권이 데이터 주체인 개인에 있음도 분명히 하고 있다. 이것이 갖는 함의는 이용자의 행위가 데이터화를 거쳐 사용자의 가치 창출에 직접적인 기여를 하는 데이터경제의 현실과 맞물려 적잖은 함의를 갖는다. 또한 개인정보 보호가 기업의 사업과정에 녹아들도록 설계돼야 하고, 기본설정으로 상위 수준에 있도록 의무화시키고 있다. 개인정보 가공처리 전 과정에서 개인정보 보호를 준수해야 한다고 규정한다.

빅데이터 활성화를 위해 개인정보의 익명화(anonymization)와 가명화(pseudonymization)도 인정했다. 하지만 가명정보와 추가정보를 따로 분리해 보관하도록 의무화시켰다. 특정 개인과 연결하는 게 불가능한 익명정보는 비(非)개인정보의 성격을 지니며, 가명정보는 추가정보(이를테면 해독키)가 없으면 특정 개인과 결부시킬 수 없도록 가공 처리된 정보다. 이용자에게 ‘알고리즘 기반으로 이뤄진 자동화한 의사결정에 대해 이의를 제기할 수 있는 권리’(he right to contest any automated decision-making that was made on a solely algorithmic basis)를 주고 있는 점도 주목된다.

데이터경제 활성화 필요충분조건=개인정보 보호와 ‘노동으로서 데이터’

지난해 8월 대통령의 말에도 ‘데이터경제 활성화’에 아무런 진전도 없는 것은 단지 야당의 발목잡기에 원인이 있지 않다. 정부와 여당의 데이터경제에 대한 철학 부재, 그리고 사업자에 대한 이용자의 불신이 근저에 깔려 있다고 볼 필요가 있다. 그러니 정치인들이 선도적으로 또는 함부로 움직일 수 없는 것이다. 대통령 뒷받침하겠다고 나서는 여당의 정치인 빼고서 말이다. 이게 해소되지 않는 한 시간은 속절없이 흘러가게 될 것이다.

개인정보․데이터 보호를 기본설정으로 깔고 ‘노동으로서 데이터’라는 시각으로 데이터경제를 바라볼 필요가 있다. 정부와 핀테크 업계가 마이데이터 산업을 추진하며 내세우는 ‘개인의 정보통제권’ 구호는 데이터경제 전반에 적용되는 개인정보호 보호라는 상위 가치로 격상돼야 한다. 개인정보보호법은 적어도 유럽연합 GDPR 수준으로 개정돼야 하고, 업계 역시 여기에 눈높이를 맞춰야 한다. 처벌 규정은 강력해야 한다. 유럽연합 역내 주민들의 개인정보를 역외로 가져가면 2천만유로(약 260억원)이나 해당 기업 매출의 4%에 해당하는 과징금을 물게 돼 있다. 솜방망이 사후규제가 아니라 이렇게 ‘어기면 사실상 망한다’는 강력한 원칙을 확립하지 않으려면 국내 개인정보보호법은 개정하지 않는 게 맞다.

또한 개인정보와 데이터는 일종의 천연자원, 어떻게든 이용자의 동의를 얻어 확보한 ‘자본’으로 간주돼온 그동안의 인식과 관행을 바꿀 필요가 있다. ‘노동으로서의 데이터’ 시각에서 개인정보를 제공하는 개인들과 수익권을 공유하는 방안이 도입될 필요가 있다. 원시데이터의 소유권이 있다면 그걸 이용해 만들어지는 빅데이터에서 나오는 수익권은 개인과도 나눠 가질 필요가 있다. 빅데이터를 만들어가는 과정에 대한 개인의 통제권이 한층 강화해야 함은 물론이다. 상업적인 목적으로 개인의 가명정보와 공공데이터를 결합해 빅데이터를 분석하는 모든 기업이 그렇게 해야 한다. 개인과 직접적으로 수익을 공유하는 것이 가능하지 않다면, 국가가 과세를 통해 대리 수확하는 게 맞다. 그렇게 확보한 수익을 국가가 온 국민에게 14번째 달의 봉급으로 지급한다면, 이 또한 상당한 의의가 있을 것이다.

이런 비전 속에서도 해결되지 않는 깊숙한 난제가 있다. 국세청의 공공데이터, 건강보험공단의 공공데이터는 악용 위험성에 노출되는 것 자체를 차단해야 하지 않느냐 하는 문제의식이다. 국세청의 공공데이터가 금융권의 사적 데이터와 교차되면서 문턱이 높아지는 개인들이 나타나고, 건강보험공단의 공공데이터가 보험업계의 사적 데이터와 교차하면서 가입이 배제되거나 보험료가 높아지는 일이 벌어질 위험성이 상존한다는 점이다. 특히 이 부분에서 마이데이터 사업은 상황을 악화시키기 매우 쉽다. 방법은 둘 중 하나다. 하나는 앞서 언급한 것처럼 가명정보의 재식별화를 통해 이런 일이 발생할 경우, 해당 사업자에 망할 정도의 강력한 사후규제가 적용됨을 보장하는 것이다. 다른 하나는 해당 공공데이터는 개방의 대상에서 제외해 위험성 노출 자체를 차단하는 것이다. 추정하건대 전자보다는 후자의 손을 드는 이들이 많지 않을까 싶다. 이것이 데이터산업 활성화를 외치는 정부와 여당이 직시해야 할 한국사회의 현실이지 않을까 싶다. 외면하지 말아야 할 출발선으로서.