개인정보보호 7 대 이슈 전망 Data Protection by Trust, Trust by Data Protection 서로신뢰하고함께보호하는개인정보

ㅊ Contents Ⅰ. 조사개요 Ⅱ. 2017 개인정보보호키워드 Ⅲ. 2018 개인정보보호 7대이슈전망 01 02 03 04 05 06 07 EU, 일반개인정보보호규정 (GDPR) 본격시행, 2018년 5월 25일! 데이터에미래가있다. 디지털경제시대의원유, Data! Privacy by Design! 개인정보활용은정보주체의안심이우선데이터무역활성화! 개인정보국외이전 / 데이터국지화제도정비시급개인정보안전한활용, 4차산업혁명선도의핵심사업장감시 vs 근로자프라이버시 바이오정보빅데이터시대, 커지는개인정보침해위협

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 03 조사개요 조사목적 조사방법 4차산업혁명시대에개인정보활용의증가로개 인정보보호의중요성도높아지고있으며, IT 환경 변화로인해새로운이슈급증 이에따라, 2018년도개인정보보호에있어중요 한이슈를선제적으로제시하여정책방향을수립 을위한기초자료확보추진 국내ㆍ외언론, 연구보고서, 논문 (4,064건) 등을 통해다루어진개인정보보호이슈중관련키워드 (41,711 개 ) 추출 개인정보보호이슈별유사성, 중복성검토및최 근동향, 세부자료분석등을통해중요키워드 (30 개 ) 도출 개인정보전문가 (50명) 대상설문및논의등거쳐 2018 최종개인정보보호 7 대이슈선정및전망 7 대이슈선정절차 1단계 2단계 3단계 4단계 5단계 국내외언론, 내외부검토를 전문가 (50 명 ) 7 대이슈 ( 안 ) 전문가최종 연구보고서등의 통한 30 대 설문을통한 최근동향, 검토및 키워드사전조사 키워드도출 7 대이슈도출 자료분석 이슈선정

04 2018 개인정보보호 7 대이슈전망 Korea Internet & Securtiy Agency 2017 개인정보보호키워드 번호 키워드 내용 01 02 03 04 05 06 데이터유출 / 정보유출 프라이버시쉴드 정보유출통지 e- 프라이버시규정 데이터전송 얼굴인식 개인정보등이신뢰할수없는환경에노출되는것으로, 의도적이거나의도하지않은것모두를포함미국과유럽연합 (EU) 간의정보전송협약으로써, 2016년 8월공식도입이후프라이버시쉴드준수를위한대응문제가 2017년상반기까지꾸준히이슈화됨데이터유출발생시개인및관계기관에통지할의무정보통신망, 정보통신서비스발달에적절히대응하기위한목적으로기존의전자통신프라이버시지침 (Directive 97/66/EC) 을대체하여제정된 EU의규범고객서비스등을위해데이터센터또는제3자에게고객의개인정보데이터를전송하는과정에서개인정보침해및동의요건구성등다양한이슈가발생대표적인바이오인식기술중하나이며분실이나복제의우려가낮다는점에서차세대신원확인시스템으로주목 07 EU 개인정보보호일반규정 (GDPR) 유럽시민들의개인정보보호를강화하기위해제정된통합규정. EU 회원국뿐아니라, 세 계각국의개인정보보호법제의구성과방향성을 현실적으로구속 한다는측면에서주목 08 09 10 11 12 13 14 개인정보영향평가 건강정보 개인정보적용설계 신원도용 인공지능 작업장프라이버시 동의 개인정보를처리하는서비스, 시스템등의출시, 개발, 변경등을준비할때사전에개인정보보호를위해필요한사항을검토하는활동전자의무기록 (EMR) 도입과헬스케어웨어러블기기등의확산으로개인의건강정보공유및전송이활발해지며프라이버시침해우려도가중제품과서비스, 시스템등의설계단계에서부터개인정보를보호하고, 이용자의개인정보자기결정권과투명성을확립할수있도록하는원칙타인으로가장하기위해신분증번호, 운전면허증번호, 신용카드번호등핵심개인정보를절취하는범죄머신러닝을위시한인공지능기술을통해대량의데이터를수집, 분석, 적용하는과정에서이용자의프라이버시를침해할가능성도전례없는수준으로고조되고있음직원의이메일계정감시부터업무현장의 CCTV 촬영에이르기까지작업장에서온라인-오프라인사생활침해발생개인정보수집, 처리, 이용, 공유등에대한사용자의동의요건은 opt-in, opt-out 등으로적용될수있으며, IoT 환경등에서는동의요건과방식이매우복잡해질수있음

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 05 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 개인정보국외이전 / 데이터국지화 바이오데이터 차등프라이버시 위치데이터 데이터브로커 데이터이동성 데이터분석 스마트시티 감시 통신프라이버시 스마트기기 온라인트래커 데이터최소화 비식별화 / 익명화 자율주행자동차 데이터보호책임자 국가간의개인정보수집, 이전, 폐기등에따른프라이버시침해방지논의활성화. 한편, 기업이자료를수집한국가안에서만데이터를저장하고, 처리해야한다는데이터국지화원칙도부각지문, 홍채, 얼굴등의생체정보를활용해개인을인증하는추세가확산되고있으며, 정부차원에서국민들의바이오데이터 DB도검토중수집된데이터에서집단적행동패턴에관한유용한정보를추출하되, 데이터를분석하기전에임의로내용을추가하여개인정보노출을어렵게만드는비식별화기술모바일기기등을통해 IP 주소데이터를수집하여개인의위치나거주지역을파악할수있어이에대한프라이버시침해우려확대마케팅등의목적을위하여이름, 주소, 이메일, 특성, 환경, 생활행태등개인관련사항을판매하는사업자이용자의요청에따라특정기업에서다른기업으로자신의개인데이터를전송할수있도록보장하는권리방대한데이터를기반으로유용한정보를발견하고인사이트를도출하며의사결정을지원한다는목표로데이터를검사, 정리, 변형및모델링하는프로세스첨단정보통신기술 (ICT) 을이용해도시의주요공공기능을네트워크화하여데이터교환이활발하게이루어지는도시. 데이터기반의도시운용에따른프라이버시이슈발생사업장, 정부기관등에의한이메일감청과온라인감시, CCTV 등을통한근로자혹은시민들의행동과이동감시등이강화되어프라이버시를침해할우려고조범죄대응을위한수사기관의통신자료요청과통신및인터넷서비스가입자의프라이버시보호를위한데이터공개거부의지가대립하며프라이버시공방전개개인데이터가수집및저장되는스마트기기에바이오인증과음성인식등다양한기술들이결합되면서기기의분실, 해킹등에따른개인정보유출과침해우려심화사용자들의온라인행태및웹사이트방문기록등을수집하는도구들개인정보유출및해킹등에따른프라이버시침해리스크를줄이기위해개인데이터수집및보존을최소화할것을권장하는원칙빅데이터시대에개인정보보호를위해개인정보비식별화조치등이마련되었으나, 법적근거미비등에따른쟁점부각지능형교통시스템 (ITS) 와연결된자율주행차량은차량의위치정보를지속적으로시스템에보고함에따라사용자의프라이버시침해에대한우려도증대데이터보호조치와관련된컴플라이언스업무를담당하는직책. GDPR은반드시내부에 DPO를두지않고외부전문가도 DPO로지정할수있음. 업무의독립성보장

06 2018 개인정보보호 7 대이슈전망 Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈 번호 이슈 01 EU, 일반개인정보보호규정 (GDPR) 본격시행, 2018 년 5 월 25 일! 국내개인정보법ㆍ제도와의조율및기업등처리자의준비시급 02 데이터에미래가있다. 디지털경제시대의원유, Data! 디지털경제의우위선점을위해데이터내개인정보비식별이슈해소필요 03 Privacy by Design! 개인정보활용은정보주체의안심이우선 개인정보적용설계 (Privacy by Design) 선진사례발굴ㆍ보급을통한혁신유도 04 ` 데이터무역활성화! 개인정보국외이전 / 데이터국지화제도정비시급 개인정보국경간이동급증, 자국민개인정보및산업보호이슈심화 05 개인정보안전한활용, 4 차산업혁명선도의핵심 서비스별맞춤형개인정보활용가이드 (Code of Conduct) 활성화 06 사업장감시 vs. 근로자프라이버시 영상정보 (CCTV 등 ) 등을통한사업장감시, 민주적노사관계의걸림돌 07 바이오정보빅데이터시대, 커지는개인정보침해위협 바이오인증, 정밀의료등바이오정보이용활성화대비개인정보보호뒷전

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 07 2018 개인정보보호 7 대이슈 EU, 일반개인정보보호규정 ( GDPR) 본격시행, 2018 년 5 월 25 일! Privacy by Design! 개인정보활용은 정보주체의안심이우선 데이터에미래가있다. 디지털경제시대의원유, Data! 데이터무역활성화! 개인정보국외이전 / 데이터국지화제도정비시급 개인정보안전한활용, 4 차산업혁명선도의핵심 사업장감시 vs. 근로자프라이버시 바이오정보빅데이터시대, 커지는개인정보침해위협

08 Korea Internet & Securtiy Agency 01 2018 년개인정보보호 7 대이슈 EU, 일반개인정보보호규정 (GDPR) 본격시행 유럽연합 (EU) 의일반개인정보보호규정 (GDPR), 2018 년 5 월 25 일본격시행 국내개인정보법ㆍ제도와조율및기업등처리자의준비시급 배경및현황 유럽연합 (EU) 의개인정보보호법인유럽일반개인정보보호규정 (GDPR-General Data Protection Regulation) 이 2018년 5월 25일본격시행 GDPR은유럽연합회원국간에개인정보의자유로운이동을보장하며동시에정보주체의개인정보보호권을강화한것이특징 유럽연합회원국은 GDPR 에부합하도록자국의개인정보보호법령체계를개편하거나, GDPR 실행하기위한사전작업진행중 GDPR 시행을앞두고, EU 집행위원회는전문그룹 (Article 29 Working Party 등 ) 을통해핵심이슈별로가이드라인등 (Opinion) 을마련하고있음 그러나, GDPR 의개별요구사항을준수하기위한준비과정에서제도의파편화가확인되고있으며, 유럽연합회원국간에도실제 GDPR 준비도에대한온도차가상당한것으로확인됨 이슈 GDPR 은 EU 소재기업은물론 EU 내에서사업을하는역외기업에도적용되며, 위반시해당기업의유럽시장내사업제재및 높은과징금적용으로우리기업의우려증가 신규로도입되는정보주체의개인정보보호권에대한대응방안이불확실하며, 특히감독기관의법집행수준에대한불확실성이 존재 개인정보국외이전과관련, 적정성평가 (Adequacy Decision) 등정부차원의정책적준비와더불어개인정보처리자및정보통 신서비스제공자의주의가필요함 GDPR 이요구하는개인정보보호책임자 (DPO) 를지정하거나, 국외에서유럽연합시민의개인정보를처리하는경우대리인 (representative) 을지정해야하는이슈발생

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 09 전망및대응방안 선임감독기관 (Lead Supervisory Authority) 을조기에확인, 개인정보처리와관련한불확실성해소필요 정보통신기업등이 GDPR 의준수를위해적용해야하는구체적서비스제공방식에대해기술된한국인터넷진흥원 GDPR 가이 드 (2017. 12.11 발간 ) 참고 DPO 의조기확보및정보주체권리보장방안마련이필요하며, 개인정보보호인증을조기에획득하거나행동강령을구체화할 수있는사업자단체의가입을고려해야함 유럽연합역외에서유럽연합시민의개인정보를처리하는경우, 대리인 (representative) 을지정하는한편, 위험관리에대한책 임을명확히해야함

10 Korea Internet & Securtiy Agency 02 2018 개인정보보호 7 대이슈 데이터에미래가있다. 디지털경제시대의원유 Data! 데이터가미래를결정하는데이터경제의시대도래 - 데이터경제의우위선점을위해데이터활용의걸림돌제거급선무 배경및현황 데이터 (data) 란사전적의미로는 정보 (information) 또는 사실 (facts), 특히컴퓨터에서저장하거나사용할수있도록한형태의정보혹은분석위해수집된통계자료등을의미 빅데이터 (Big data) 관련데이터의의미는기록되거나, 분석되거나재정리하는것을말함 4차산업혁명의가장두드려진특징은 데이터의활용 이라고할수있으며, 세계는지금데이터경제 (Data Economy) 시대로접어들고있음 데이터경제란, 데이터에접근하고활용할수있도록협업하는과정에서데이터생산, 인프라제공, 연구조사등서로다른역할 을담당하는구성원으로이루어진생태계를의미 특히, 인공지능소프트웨어나프로그램이하나의상품또는서비스로탄생하기위해서꾸준한학습필요 인공지능서비스의품질과성능을높이기위해서는보다많은양의데이터와다양한종류의정보가필요하게되며, 이러한학습 과정은서비스가개발된이후에도계속필요 구글의알파고 (AlphaGo), IBM의왓슨 (Watson for Oncology) 등과같은인공지능서비스는방대한양의데이터학습을통 해서탄생 인공지능 (AI) 바둑대결프로그램인알파고는세계최정상수준의프로기사들이둔바둑기보 16 만건에서추출된 3,000 만수 를학습한결과만들어짐 인공지능 (AI) 암진단솔루션인왓슨은 200 종이상의의학관련학술지 ( 저널 ), 교과서등을포함해 1,500 만페이지에달하는의 료정보를학습해서탄생 이슈 인공지능서비스를위해서는기존정보와자료를활용한학습과정이필요하므로, 학습용자료를수집 이용하는과정에서개인정 보, 저작권, 영업비밀등의침해이슈가발생 - 특히인공지능은다양한형태의정형또는비정형데이터를모두처리할수있어개인정보및사생활침해이슈와밀접

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 11 또한인공지능학습용데이터의생산자 ( 작성자 ) 와그학습용데이터를활용해서인공지능학습을수행하는자가다르다는것도 저작권문제를더욱복잡하게만들수있음 그러나, 우리나라는데이터의활용사례나경험이많지않아데이터의활용에대한인식이낮고법적근거도마련되어있지않음 오히려개인정보, 저작권등의이용과활용을엄격히제한하고있는보호주의적법제도로인해데이터의안전한활용조차도어 렵다는업계의견확산 과학연구, 통계작성, 시장조사, 신상품개발등목적의데이터활용까지제한하고있는관련법령개정으로데이터의안전하고생산적인활용을보장해야하다는사회적요구증대 우리나라가 4차산업혁명시대의낙오자로전락하지않기위해서는데이터의활용을범죄시하는환경개선과타국가대비데이 터활용을제한하는법제도전반에대한개정불가피 특히, 인공지능학습용데이터를포함하여 4차산업혁명의기반이자동시에견인차역할을해야할데이터활용에있어서는현재두가지방면에서크게이슈제기 가명 익명정보의활용과저작물의활용으로우리나라는개인정보활용에대해서는소극적입장을고수하고있어수년째관련 법개정에진전이이루어지지않고있음 전망및대응방안 데이터의활용이 4차산업혁명의성패를좌우하게될것으로예상되며, 특히 4차산업혁명시대의총아로촉망받고있는 AI, VR/ AR, IoT, 핀테크, O2O, 커넥티드카, 클라우드, 스마트시티등은데이터의활용없이는불가능 데이터의양과품질이곧서비스의품질을좌우 데이터활용성제고를위해서는가명 익명정보의활용을위한규제개선과저작물의과학 통계목적이용제한완화등의고려필요 현행법상비식별정보 ( 비개인정보 ) 의이용및제공을금지하는규정은없으나, 제한적으로만허용하고있어사실상의빅데이터 활용에어려움이발생할수있음 전세계적으로통용되고있는비식별조치모델들을참조하여, 개인정보비식별조치가이드라인 을도입하였으나, 명확한법적 근거의마련등추가이슈가있음 데이터경제시대에대비하여정보주체의권리가침해되지않도록보다안전한법 제도적장치를강구함과동시에개인정보의유용한활용을법적으로보장하는방안마련시급 인공지능 (AI) 의연구 개발을촉진하기위해서는최소한저작물을인공지능학습용데이터베이스의작성에활용할수있게하고 작성된데이터베이스를제한된범위내에서제공또는공유할수있도록하는방안등도가능

12 Korea Internet & Securtiy Agency 03 2018 개인정보보호 7 대이슈 Privacy by Design! 개인정보활용은정보주체의안심이우선 개인정보활용시정보주체들이안심할수있도록 Privacy by Design 적용 개인정보적용설계선진사례발굴ㆍ보급을통한혁신유도필요 배경및현황 Privacy by Design은 IT 시스템, 네트워크로연결된인프라, 그리고비즈니스행태의설계와운영에있어프라이버시보호를선제적으로내재화하는것에기초한프레임워크 1) 해당개념은캐나다온타리오정보보호위원회, 네덜란드개인정보보호위원회및네덜란드응용과학연구기관등이 1995년도에 발간한연구보고서 ( Privacy-enhancing technologies ) 에서최초사용 개인정보적용설계의 7 가지의기본원칙 1 2 3 4 5 6 7 Proactive not reactive preventative not remedial Lead with privacy as the default setting Embed privacy into design Retain full functionality (positive-sum, not zero-sum) Ensure end-to-end security Maintain visibility and transparency keep it open Respect user privacy keep it user centric 선제선제적-사후조치및보완이아닌사전예방프라이버시보호가가능하도록기본설정설계자체에프라이버시내재화충분한기능성유지종단간보안확보가시성과투명성유지이용자프라이버시존중 - 이용자중심 2018 년 5 월시행예정인 GDPR(General Data Protection Regulation) 은 Data protection by design and by default( 개인 정보보호적용설계및기본설정 ) 가개인정보처리자및수탁자의법률적의무임을명시 개인정보보호적용설계및기본설정 은개인정보최소화및가명화방식등기술적, 관리적으로적용가능한보호조치를관 련예시로언급 개인정보보호적용설계 의개념은개인정보보호전문가들사이에향후나아가야할방향이나철학으로이해되었으나, GDPR 이조문에명문화됨에따라구체적인적용방안논의본격화 1) Deloitte, Privacy by Design, Setting a new standard for privacy certification, Available at https://www2.deloitte.com/content/dam/deloitte/ca/documents/risk/ca-en-ers-privacy-by-design-brochure.pdf

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 13 전망및대응방안 개인정보보호적용설계 는 GDPR 을비롯, 국내 개인정보보호법 등에도그기본정신이반영되어있으며, 해당개념도입으로 개인정보처리자의법률준수의무를신설하지는않음 개인정보보호적용설계 는그정보시스템에의해영향받는다양한이용자, 특히보호가필요한대상의보호를강화하는측면이있음 개인정보보호적용설계 는그자체가목적이아니라, 프라이버시보호조치의적용에그치지않고실질적인 결과 에초점을맞추 어정보주체의개인정보및사생활을보호하는것을중시함 개인정보보호적용설계 을이행함에있어기술적, 관리적보호조치적용비용이발생할수있으나, 정보주체의프라이버시를보 호함으로써얻는이익과신뢰가더크다고볼수있음 개인정보보호적용설계 는개인정보보호를위한기술 (PETs) 의적용뿐만아니라, 개인정보를보호하기위한다양한조직적, 관리 적조치가적절히조화되어야구현이가능함 구체적인적용방안 개인정보영향평가 (PIA, Privacy Impact Assessment) 수행 - 개인정보를활용하는새로운정보시스템의도입및기존정보시스템의중요한변경시, 시스템의구축과운영이기 업의고객등정보주체에게미칠영향에대해미리조사, 분석, 평가하는체계적절차 프라이버시중심의기본설정제공 - 정보주체 ( 이용자 ) 에게제공되는서비스의기본설정 (default settings) 이프라이버시가충분히고려된방식인지를 검토함 프라이버시보호기술의적용 - 프라이버시보호기술 (PETs, Privacy-Enhancing Technologies) 은정보통신시스템의기능을저하시키지않 고, 개인정보를제거혹은최소화함으로써불필요하거나원치않는개인정보의처리를예방하여정보프라이버시 를보호하는방식 적절한수준의 기술적, 관리적조치의적용 - GDPR 은적절한기술적, 관리적 ( 조직적 ) 조치를적용함에있어다음과같은사항을고려하도록안내함 (Article 25(2)) 적절한수준의기술적, 관리적조치적용시고려사항 1 수집한개인정보의양 (amount) 2 개인정보처리의범위 (extent) 3 저장기간 (period) 4 접근가능성 (accessibility)

14 Korea Internet & Securtiy Agency 04 2018 개인정보보호 7 대이슈 데이터무역활성화! 개인정보국외이전 / 데이터국지화제도정비시급 데이터무역활성화로개인정보국외이전및데이터국지화논의활발 개인정보국경간이동급증, 자국민개인정보및산업보호이슈심화 배경및현황 개인정보 / 프라이버시의보호와활용의균형점이상이하여국가별로관련규제상이 개인정보의자유로운이전을통한상품과서비스거래의활성화를추구하려는측면과개인정보의국외이전으로개인정보에대한 통제권이저하되거나유출, 오남용되는등의위험으로부터보호를강화하려는입장이양립하여국가별로법규제상이 자국민의개인정보를보호하고외국사업자의개인정보처리에대하여집행력을확보하기위하여, 주요국은대체로개인정보국외이전에대한규제를강화하는추세 동시에국가간개인정보 / 프라이버시규제내용과강도의불일치를극복하여전자상거래등서비스의상호운용성 (interoperability) 을강화하기위한노력을기울여왔음 한편, 국외이전과는무관하게자국내지자국내특정지역의규정을강화하고해당국에진출한기업들에대한정보보호및개인정 보보호활동을강화하고있음 따라서, 해당국가로부터개인정보를이전받고자하는기업의준수부담과함께간접적으로개인정보 / 정보보호법제도에영향 력을미치게됨 대표적인예로 2018년 5월시행될 EU의일반개인정보보호규정 (GDPR) 과같이포괄적이면서도강력한개인정보역외규정을 두는경우도있음 또한, APEC의 CBPR처럼회원국간의개인정보의이동을보다원활히하면서적절한수준의개인정보보호가이루어질수있는공통된기준을정립하려는노력이있음 2017년 8월시행된미국뉴욕주의 NYCRR500( 금융기관에대한정보보호규정 ) 처럼세계금융의중심지인뉴욕에진출한상 당수의금융기관들에대한법적용이강제됨으로써관련법제도가사실상수출이되는경우도있음 한편, 최근들어서는개인정보에대한국외이전, 역외적용분야에서법규정을신설하거나관심을보이는국가들이점차많아지고있는것으로보임 중국의네트워크안전법, 러시아의연방법 No.242-FZ와같은소위데이터국지화 (data localization) 이슈가부각되고있음 그러나, 데이터국지화의실질적인이유가정보주체의이익을보호보다는국가의개인정보통제권을확보하려는실리가더크게 부각되었기때문에, 기존의개인정보관련법규에대한접근법 ( 보호 vs. 활용 ) 과다른접근이필요해보임

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 15 이슈 우리나라는 개인정보보호법, 정보통신망법을통해개인정보국외전송의기준을제시하고있으나, 관련실질적집행수단의부 재및법적제재규정은미비 국내금융회사의경우고유식별정보나금융거래정보, 전자의무기록에대해국외이전을사실상금지함으로써일정부분데이터국지화정책을시행하고있다고볼수있음 따라서우리국민의개인정보보호및집행가능성제고를위한전략수립및대응방안마련시급 전망및대응방안 국가별로다양한형태로있는국외전송을제한하고있으며, 해당국가가우리나라에대하여취하고있는정책의의미와그에대한대응책을유형화하여국가별로대응방안을강구할필요가있음 한국은개인정보국외이전과관련하여 개인정보보호법 과정보통신망법에서개인정보를국외로이전하기위해서는정보주 체의사전동의를얻어야한다고규정하며, 이를대체할수있는방법에대한규정은없음 EU, 일본등과같이사전동의이외에적정성평가 ( 자국과동일한보호수순인지결정 ), 국외이전표준계약, 구속력있는기업규칙제도도입등대안마련필요 우리나라는현재 EU 의개인정보보호적정성평가 (adequacy decision) 를추진중에있음

16 Korea Internet & Securtiy Agency 05 2018 개인정보보호 7 대이슈 개인정보안전한활용, 4 차산업혁명선도의핵심 4 차산업혁명시대를선도하기위해개인정보의안전한활용중요성부각 서비스별맞춤형개인정보활용가이드 (Code of Conduct) 활성화필요 배경및현황 사물인터넷보급확대로인한데이터의폭발적증가와이러한데이터를분석하여활용할수있는인공지능등기술발전으로데이 터를통해사회전분야에서다양한가치가창출됨 대표적인사물인터넷구성기기예시 스마트가전제품 스마트헬스케어 스마트카 스마트제어 스마트TV, 스마트냉장고, 스마트체중계등백색가전심장박동모니터링기기, 보행량측정및운동보조기기, 제세동기등삽입형의료기기인포테인먼트서비스를제공하는커넥티드카 (Connected Car), 자율주행차등지능형자동차온도조절, 전기절감, 화재탐지와같은방재기능을포함한자동화된센서 사물인터넷기기간연결증가로데이터생성폭증할것으로예상되는가운데, IoT 기기의보안상취약점을노린해커의개인정보유출행위도증가우려 17년도 84억개에서 18년도 112억개, 20년까지 204억개의기기연결예측 사물인터넷연결기기현황 ( 출처 : Gartner, Statista 2018) 25 Installed base in billions 20 15 10 5 0.9 0.63 2.28 1.07 0.82 3.02 1.32 1.1 3.96 1.64 1.5 5.24 2.03 2.13 7.04 3.17 4.38 12.86 Consumer Business : Cross-Industry Business : Vertical-Specific 2014 2015 2016 2017** 2018** 2020**

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 17 2025 년전세계인공지능산업의연매출규모는 368 억달러로예측 (Tractica) 되는등인공지능의활용보편화추세뚜렷 인공지능은주식트레이딩, 개인정보통신망법평가등금융분야, 맞춤형치료 진단등의료분야, 가정의인공지능스피커, 홈비 서등스마트홈서비스보급확대예상 국내는평창올림픽을계기로 3 단계수준의자율주행시스템기술이시연될예정이며, 미국의테슬라와 GM 은 3 단계수준의자율 주행차양산화예정 이슈 알고리즘의복잡성, 방대한데이터의처리심화로정보주체는자신의개인정보를언제, 어떻게수집하고, 생성하는지등의처리과정파악이어려워짐인공지능, 사물인터넷서비스를위해서는취미, 혈액형, 주소등정적정보와구매패턴, 서비스이용현황등동적인개인정보가수집 활용됨에따라개인정보유출위협도증가 특히, 예측할수없는경로로개인정보가유출될가능성이높아주의필요 자율주행차는운행과탑승자의편의를위해실제방대한양의정보를실시간으로수집하여처리하는거대한네트워크기기임 이러한특성으로인해상시외부와연결되어있어해킹과같은악의적인침해가이루어질경우경제적손실뿐만아닌인명피 해도수반 이와같은신기술은실시간으로정보주체와제3자의개인정보처리가필요하나, 현행법률은정보주체의동의등엄격한처리요건등이걸림돌이될수있음 법과기술현실간괴리해소를위한개인정보보호관련법정비의요구가지속될것으로예상 전망및대응방안 주요국가들은이러한데이터기반디지털경제에서주도권을확보하는한편개인정보보호를위해개인정보보호관련법 제도를 정비하고있음 법과기술간의간격을해소하기위해정보처리의투명성강화와더불어위험기반접근의법제개선, 정보처리자의책임성강화, 개인정보활용의유연화필요 인공지능의복잡 다양한개인정보처리환경에서개인정보가어떻게수집 이용 제공등처리되는지를알고통제할수있도록고 지제의실효성확보등투명성강화가필요 개인정보보호규제는개인정보의성격, 위험도등을고려한위험기반의접근이필요하며개인정보처리자의책임성을강화할필 요 (PbD, 개인정보보호영향평가제도확대등 ) 개인정보의수집 이용요건에대한해석기준마련하여개인정보처리자가개인정보처리의유연성확보및형식적동의관행타 파로정보주체의실질적권리를보장할필요가있음

18 Korea Internet & Securtiy Agency 06 2018 개인정보보호 7 대이슈 사업장감시 vs. 근로자프라이버시 사업장감시와근로자의프라이버시침해문제상충으로관련민원급증 영상정보 (CCTV 등 ) 등을통한사업장전자감시, 민주적노사관계의걸림돌 배경및현황 근로자들사이에개인정보권에대한인식이확산되면서사업장전자감시전자감시와관련한민원급증 국가인권위원회에접수된사업장전자감시관련진정과민원은 2011년 33건에서 2012년 73건으로급증한뒤매년 70건가량을유지하다가 2015년 101건으로증가 노사관계의특성상근로자들이전자감시에의한피해에대해서공식적으로문제를제기하기는현실적으로어려움 2013년인권위 정보통신기기에의한노동인권침해실태조사 결과, 사업장전자감시로개인정보를침해당한경우공식적으로문제제기했다는응답자는 28.4% 에불과 국가인권위원회는기업들이폐쇄회로 (CCTV) 와위치확인시스템 (GPS) 등을이용해사업장에서직원들의행동을무분별하게감시하는관행을엄격하게규제할것을촉구 또한, 고용노동부의인사 노무분야 개인정보보호가이드라인 에사업장전자감시의주요유형별개인정보처리요건및절차, 근로자권리보호등사항을구체적으로명시하도록권고 이슈 첨단감시장비의대중화로인한사용자들의전자감시는더욱확대될것으로예상되며, 이에대한근로자들의불만과불편도점차 증가할것으로예상됨 대다수사용자 ( 고용주 ) 들이전자감시를범죄나법위반으로보고있지않으나, 현행법상사업장내전자감시는명백히범죄행위에해당사업자가전자감시활동에대해서문제의식을가지고있는경우에도범죄예방, 시설보호, 화재예방, 사이버보안등으로용도를위장하는경우가있음 사업장내 CCTV 설치ㆍ운영시원칙적으로정보주체 ( 근로자등 ) 의동의를받아야하나, 노사관계라는특수한성격때문에근로자 의고용주동의요구거부는사실상불가능

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 19 또한, 사업장전자감시유형에따라적용받는법이다양하여근로자는물론사업자들도현황을파악하고, 적절한대응을하는데있 어어려움발생 사업장전자감시의유형및관련법 전자감시유형 관련법및조항 CCTV 등영상정보처리기기에의한감시이메일, 전화도청등에의한감시컴퓨터감시 GPS 등에의한감시지문ㆍ홍채ㆍ정맥등출입통제시스템에의한감시 개인정보보호법 통신비밀보호법정보통신망법, 형법위치정보법위치정보법 전망및대응방안 사업장내전자감시남용에따른노사분쟁을줄이기위해서는사업장내전자감시장비도입의목적, 절차및방법에있어서투명 성보장필요 우리나라도 근로자참여및협력증진에관한법률 에서 사업장내근로자감시설비의설치 를노사협의회의협의대상으로열거 ( 제20조제1항제14호 ) 하는등관련내용을규정하고있지만사실상역할을하고있지못해대응방안마련필요 또한근로자감시설비의설치에대해노사협의회협의를거치지않더라도이를강제하거나처벌할수있는규정이없고, 협의 회논의결과에대한구속력도규정되지않음 따라서, 우리나라도사업장감시목적으로이용될수있는장비나설비를도입할때에는그용도에관계없이근로자대표기관에사 전에충분한자료를제공하여설명하고설치의시기, 방법, 장소, 범위, 용도등에대해서도협의의무적용필요 사용자가이와같은절차를거치지않거나, 회피하거나, 불성실하게대응한경우에는이를강제할수있는절차를도입하고, 최종 적으로근로자들의단체법적동의를받게하거나최소한노사협의회의의결을거치도록하는방안검토

20 Korea Internet & Securtiy Agency 07 2018 개인정보보호 7 대이슈 바이오정보빅데이터시대커지는개인정보침해위협 바이오정보빅데이터시대가도래하면서개인정보침해위협이커지고있음 바이오인증, 정밀의료등바이오정보이용활성화대비개인정보보호뒷전 배경및현황 과거에는바이오정보가병원이나수사기관에서만제한적으로사용되어왔으나최근 IT기술과결합하면서바이오정보의용도가다양해지고사용빈도도폭발적으로증가 금융회사와휴대전화, 출입통제시스템등을생산하는 IT회사등으로까지활용이확대되었으며, 웨어러블단말기제조사, 스포 츠업계, 대학, 연구기관등에서도바이오정보관심증대 바이오정보의범위도과거에는지문, 사진, 디엔에이 (DNA) 정도였으나오늘날에는사람의거의모든생물학적 신체적특징과행동적특징까지도개념에포함시키는경우가있음 예컨대지문외에홍채, 혈관형태, 얼굴형상, 음성, 망막, 손모양, 손가락모양, 열상, 성문, 유전자등외에개인의걸음걸이, 필적, 키보드타이핑, 입술움직임등 금융결제원이추진하는금융권공동생체 ( 바이오 ) 인증 FIDO(Fast Identity Online) 시스템이본격가동되면서바이오정보유출이우려되는상황 바이오정보보호를위해바이오정보를분할하여일부는금융사서버나이용자개인단말기 ( 매체 ) 에, 일부는제3의기관인금융 결제원분산관리센터에각각보관하는분산관리추진중 한편, 정부는 국가전략프로젝트 가운데하나로정밀의료를인공지능등과함께선정하고집중적으로육성하겠다고밝힘 (2016 년 8월대통령주재과학기술전략회의 ) 정밀의료를위해서유전자와환경이특정질병과어떤연관성을보이는지에대한선행연구용으로충분한참여자들의각종자 료를모은데이터베이스구축예정 이슈 바이오정보는정보주체또는이용자가굳이머릿속에이를기억하지않아도되고별도로기록해둘필요가없다는점에서기억및휴대의편의성때문에그수요와이용이급증 그러나, 바이오정보만이가지고있는유일성과고유성때문에한번의유출시정보주체에게영원히회복할수없는피해를낳게 되며, 해당바이오정보는더이상활용불가

Korea Internet & Securtiy Agency 2018 개인정보보호 7 대이슈전망 21 또한바이오정보에는그사람의건강상태나유전적내력까지알수있는다양한정보가들어있어매우민감하고, 오남용시사 회적차별이발생할수있음 또한, 바이오정보의독점도개인정보를이용한차별을야기할수있어심각한경제 사회적문제를가져올수있음 예컨대, 보험회사가바이오정보를수집하여무절제하게보험요율등의산정에활용한다면사회적저항에직면할수도있음 그럼에도불구하고바이오정보의수집 이용및제공에대해서는현재개인정보보호관련법령에만의존하고있고, 다른별도의보 호장치는마련되어있지않음 단, 바이오정보중바이오인식정보와관련하여서는 바이오정보보호가이드라인 ( 방송통신위원회 / 한국인터넷진흥원, 2017년 12 월발간 ) 을통해규범적ㆍ기술적보호조치가제시되어있음 개인정보보호관련법에서는바이오정보도다른개인정보와같이취급하고있고, 고유식별정보수준에서특별히더보호하거나 더강화된처리원칙을적용하고있지도않음 전망및대응방안 사물인터넷 (IoT), 인공지능 (AI) 등 IT 기술의증가와핀테크, 전자금융등의이용확대로바이오정보의수요는폭발적으로증가할 것으로보임 바이오정보의위험성과민감성에비추어바이오정보의활용에대한명확한근거필요 현재바이오정보는개인정보의일부로써 개인정보보호법, 정보통신망법, 신용정보법 등개인정보관련법령에의해서보 호를받고있고, 유전정보는민감정보로보호받고있음 그러나, 유전자정보수집. 이용시정보주체의별도동의조항및바이오정보수집 전송시암호화의무정도의일반적규정만존재 바이오정보에대해서는법률에서정의부터명확히규정하여일반개인정보보다더강화해서보호해야할대상과범위가무엇인지 부터명확히해야함 이를위해서는우리나라에서구분해서사용하고있지않은바이오정보와바이오인식정보의차이부터명확히제시하여야함 지문, 얼굴사진, 홍채, CCTV 등을통해서촬영된개인영상정보, 콜센터녹음된목소리그자체와그로부터추출된바이오인식 정보를모두바이오정보로규정할지여부논란 IoT 단말기를통해서수집된혈압, 심박수, 당뇨수치, 수면상태등을바이오정보의개념에포함할지, 의료정보로별도의법률또 는규정등으로구분해서보호할것인지도논의필요

본보고서내용에대해무단전재를금하며, 가공ㆍ인용할때는반드시출처 한국인터넷진흥원 을밝혀주시기바랍니다. 본보고서의내용은행정안전부ㆍ한국인터넷진흥원공식견해와다를수있습니다.

개인정보보호 7 대 이슈 전망