[IT기업 발목 잡는 규제(하)] 과거 개인정보보호법에 가로막힌 클라우드 혁신

클라우드상에 축적된 데이터 활용 어려움 겪어

“기술중립적으로 규제 개정하거나 예외 둬야”

‘디지털 트랜스포메이션(DT·Digital Transformation)’ 대전환기를 맞아 IT업계에 혁신의 바람이 불어오고 있다. 인공지능(AI), 빅데이터, 클라우드, 사물인터넷(IoT) 등의 IT기술은 이제 IT기업뿐 아니라 공공·금융·헬스케어·제조 등 다양한 분야에 도입되고 있다.

그러나 시대에 맞지 않는 규제와 정책으로 글로벌 사업자들과의 경쟁에서 뒤처지고 있다는 지적이 이어진다. 국내 IT기업들은 글로벌 시장뿐만 아니라 국내 시장에서조차 고전을 면치 못하고 있다. DT의 대표 격인 클라우드 도입률도 경제협력개발기구(OECD) 최하위권인 27위에 머물고 있다. 본지는 3회에 걸쳐 이러한 문제점을 바탕으로 개선돼야 할 규제들을 살펴보고 해법을 진단해 본다.<편집자주>

ⓒ게티이미지뱅크

클라우드상에 축적된 데이터 활용 어려움 겪어
“기술중립적으로 규제 개정하거나 예외 둬야”

최근 디지털 전환에 따른 수요가 폭발적으로 증가하면서 국내 정보기술(IT)기업들이 클라우드 산업에 본격 뛰어들고 있지만 사물인터넷(IoT), 인공지능(AI), 빅데이터, 핀테크 등 4차 산업혁명의 핵심인 클라우드컴퓨팅 기술 고도화에 어려움을 겪는 모습이다.

클라우드 도입의 장점은 주요 데이터를 별도로 서버에 저장할 필요 없이 언제 어디서나 접속해 이용이 가능하다는 데 있다. 하지만 아직까지 클라우드컴퓨팅이 본격적으로 활용되기 이전 제정된 개인정보보호법으로 클라우드에 축적된 데이터 활용이 쉽지 않은 상황이다. 과거 규제를 현재 서비스에 그대로 적용하기에는 현실과 동떨어진 측면이 많아 시대 변화에 맞게 이를 손봐야 한다는 목소리가 커지고 있다.

◆제 역할 못하는 법…데이터 위·수탁 규정 모호

정보통신산업진흥원(NIPA)이 지난 2월 발간한 ‘클라우드컴퓨팅 산업진흥 법제도 연구’에 따르면 현재 국내 클라우드 사업자에게 적용되는 클라우드컴퓨팅법은 개인정보보호법 등 과거에 제정된 법적 제약으로 사실상 제구실을 하지 못한다는 비판을 받고 있다.

클라우드컴퓨팅에서 처리되는 개인정보 중 공공기관이나 비영리단체, 오프라인 영역에서 처리되는 개인정보보호에는 개인정보보호법이 적용된다. 반면 온라인영역에서 영리를 목적으로 처리되는 개인정보와 정보통신서비스제공자로부터 개인정보 처리업무를 위탁받은 수탁자, 방송사업자가 처리하는 개인정보에는 정보통신망법이 적용된다.

이처럼 클라우드컴퓨팅에서 처리되는 개인정보에 대해 처리되는 개인정보의 성격이나 처리 주체의 신분에 따라 각각의 개인정보보호 관련 법률이 적용돼야 하지만 클라우드에 저장되는 데이터 활용을 위한 데이터 위탁·수탁 규정이 모호해 기준 자체를 세우기 어렵다는 현실적인 난관이 존재한다는 설명이다.

◆법률 아닌 고시에 의한 제한으로 규제 효과 반감

NIPA는 클라우드컴퓨팅서비스 관련 개인정보보호 규제에 대해 “서비스의 출현을 예상하지 못한 상태에서 입법화된 것이므로 기술 중립적으로 개정하거나 예외 규정을 신설하는 것이 바람직하다”고 밝혔다.

법률이 아닌 고시 등에 의해 제한을 받고 있어 클라우드컴퓨팅법이 네거티브 규제로서의 기능을 제대로 수행하지 못한다는 지적도 나온다.

클라우드컴퓨팅법 제21조는 네거티브 규제 원칙에 따라 인가·허가·등록·지정 등의 요건으로 전산시설 등이 요구되는 경우 원칙적으로 클라우드컴퓨팅서비스에 의해 대체 가능하게 하려는 취지로 도입된 규정이다.

이에 따라 인허가 등의 신청자는 해당 전산시설 등을 구입해 설치하는 대신 클라우드컴퓨팅서비스 제공자와 이용계약을 체결하는 것으로 의무를 대체할 수 있으나, 현재 고시나 규정 수준에서도 이를 제한할 수 있도록 해 네거티브 규제원칙의 효력을 반감시킨다는 설명이다.

◆전문가 “개인정보보호 위원회 행정기구로 독립시켜야”

문용식 한국정보화진흥원 원장은 “현재 개인정보보호법은 개인정보 보호도 못하고 IT기업들이 이를 활용도 못하게 막고 있는, 한마디로 두 마리 토끼를 다 놓치게 한 상황”이라고 말했다. 정작 개인정보 유출 침해가 발생했다고 가정했을 때에도 이를 규제할 수단이 마땅찮다는 지적이다.

문 원장은 “개인정보보호 위원회를 행정기구로 독립시켜서 감독 권한을 더 주고, 법을 위배했을 때 처벌 수준을 높여 보호와 활용을 동시에 할 수 있는 방향으로 가야 한다”고 조언했다.

금융 분야에서는 올해부터 2금융 가이드라인이 개정되면서 금융사들이 고객의 개인신용정보나 주민등록번호, 운전면허번호, 여권번호와 같은 고유식별정보를 암호화된 상태에서 외부 클라우드에 저장하고 활용할 수 있게 되자 클라우드 전환이 급속도로 이뤄지고 있다.

IT업계 관계자는 “금융 사례를 보더라도 클라우드상의 개인정보보호와 규제 준수를 위해 엄격한 정책을 수립하되, 혁신 기술의 경쟁력이 데이터 확보와 활용에 있는 만큼 적절한 기준을 마련하는 쪽으로 바뀌어야 한다”고 말했다.