Privacy by design 의도입과그적용에관한소고 김나루 * 1) 목차 Ⅰ. 서론 Ⅱ. Privacy by design 의내용 1. 의의및연혁 2. Privacy by design 의 7가지원칙 3. 지능정보사회로의도입필요성 Ⅲ. Privacy by design 에관한외국의입법과정책 1. 유럽연합 2. 미국 3. 영국 4. 프랑스 5. 일본 6. 싱가포르 Ⅳ. Privacy by design 의적용 1. Privacy by design 의이행을위한실현전략 2. 빅데이터활용단계에따른 Privacy by design 의이행전략 3. Privacy by design 의적용례 4. 우리나라에의도입방향 Ⅴ. 결론 국문요약 우리나라는제4차산업혁명시대를맞이함에따라급격한정보통신기술의변화를겪고있다. 무엇보다인공지능기술과데이터활용기술이융합되어고차원적인정보처리를하는지능정보기술이핵심적인요소가되었으며, 지능정보기술의발전을위하여빅데이터가큰역할을하고있다. 빅데이터활용을위한대규모의방대한개인정보수집은모바일기기, 사물인터넷, 각종센서등을통한다양한방식의네트워크접속을통하여제한없이이루어지고, 강화된데이터분석기술을통한개인식별로인하여정보주체의개인정보에대한통제가더욱어려워짐에따라사생활침해문제가가속화되고있다. 이제는정보통신기술의급격한변화를고려하여, 지능정보사회에서가속화되는개인정보및사생활침해문제에대응할수있는새로운보호패러다임을논의해야할시점이다. Privacy by * 숙명여자대학교법학박사
2 第 29 卷第 4 號 (2017.12) design 은개인정보를처리하는정보기술및관련시스템의설계단계, 상품및서비스의기획단계에서부터프라이버시의보호및강화를위한조치를마련하는광범위한과정을의미하는것으로, 개인정보및사생활침해의위험을최소화하고개인정보의처리와관련하여소비자와신뢰를쌓을수있는필수적도구이다. 그러므로우리나라의 개인정보보호법 체계내에서 Privacy by design 의이행을의무화하여사전에개인정보및사생활침해를예방할수있도록노력해야한다. Ⅰ. 서론우리나라는제4차산업혁명시대를맞이함에따라급격한정보통신기술의변화를겪고있다. 무엇보다인공지능기술과데이터활용기술이융합되어고차원적인정보처리를하는지능정보기술이핵심적인요소가되었으며, 지능정보기술의발전에있어서빅데이터가큰역할을하고있다. 왜냐하면대규모데이터에대한자가학습을통해알고리즘의성능을강화하기때문이다. 이때모바일기기, 사물인터넷, 각종센서등을통한네트워크접속이다양한방식으로이루어짐으로써데이터수집에제한이없어지기때문에, 이에대한개인의통제가어려워지고있다. 또한더욱강력해진데이터분석기술은막대한양의데이터세트내에서개인을식별하여프라이버시를침해하는결과를낳았다. 이제는정보통신기술의급격한변화를고려하여, 지능정보사회에서가속화되는개인정보및사생활침해문제에대응할수있는새로운보호패러다임을논의해야할시점이다. 새로운대안으로등장하게된 Privacy by design 에대한의의및원칙, 도입의필요성등에대한일반적인내용을살펴보고, 이에관한외국의입법과정책, 실질적적용에대하여살펴보기로한다. Ⅱ. Privacy by design 의내용 1. 의의및연혁 Privacy by design 1) 은 1960 년대건축분야에서고안된개념이며, 프라이버
Privacy by design 의도입과그적용에관한소고 3 시는주거용건물을지을때가장중요한요소중의하나로간주되었다. 2) 정보분야에서있어서 Privacy by design 이라는용어는 Surveillance by design 3) 이라는개념의등장이후, 1990년대후반부터등장하기시작하였는데, 캐나다온타리오주의정보프라이버시위원회 (Information & Privacy Commissioner) 의 Ann Cavoukian 박사에의해소개되었다. Privacy by design 에관한공식적인첫번째언급은 2000년에열렸던캐나다컨퍼런스인 컴퓨터, 자유와프라이버시 2000(Computers, Freedom & Privacy 2000: Workshop on Freedom and Privacy by Design) 에서였다. 2010년에열렸던서른두번째의 정보보호와프라이버시위원회국제컨퍼런스 (International Conference of Data Protection and Privacy Commissioners) 에서 Ann Cavoukian 박사는 Privacy by design 의개념과이에관한 7가지원칙을제시하였고, 이컨퍼런스의참가자들은 Privacy by design 은기본적인프라이버시보호에있어서필수적인요소임을결의하였다. 4) 2014년에열렸던 정보보호와프라이버시위원회국제컨퍼런스 (International Conference of Data Protection and Privacy Commissioners) 에서는사물인터넷에관한선언과빅데이터에관한결의안이만장일치로채택된바있다. 사물인터넷에관한선언에서는 Privacy by design 은혁신기술의가장큰강조점이되어야한다고밝혔고, 빅데이터결의안에서는 Privacy by design 은필수적으로이행되어야한다고언급되었다. 5) Privacy by design 은정보기술및그시스템의설계에있어서프라이버시보호및강화기술 ( 조치 ) 을포함시켜야한다는개념이다. 법적문서에서는일반원칙과같은포괄적인개념으 1) Privacy by design 은프라이버시중심디자인, 설계프라이버시, 프라이버시보호디자인등으로해석되고있으나, 본논문에서는원문을그대로쓰기로한다. 2) A. Hedley, Privacy as a Factor in Residential Buildings and Site Development - An Annotated Bibliography, Bibliography Vol. 32, National Research Council of Canada, 1966, p. 13~21. 3) Surveillance by Design 의개념은 1994 년에통과된미국의감청통신지원법 (Communications Assistance for Law Enforcement Act, CALEA) 에관한논의에서만들어졌으며, 이것은법집행기관이합법적으로원하는모든데이터에접근할수있는방식으로시스템이설계되도록요구함으로써감시기능이통신설계에포함되는것을보장하는것을의미한다. 감청통신지원법의목적은법집행기관의통신에대한합법적인도청, 즉감청능력을강화하기위한것이다 (K.Chandramouli et al, Knowledge Modeling for Privacy-by-Design in Smart Surveillance Soulution, 2013 10th IEEE International Conference on Advanced Video and Signal Based Surveillance, IEEE, 2013, p. 172). 4) https://edps.europa.eu/sites/edp/files/publication/10-10-27_jerusalem_resolutionon_privacybydesign_e n.pdf ( 검색일 : 2017 년 10 월 05 일 ). 5) https://edps.europa.eu/sites/edp/files/publication/14-10-14_mauritius_declaration_en.pdf ( 검색일 : 2017 년 10 월 05 일 ).
4 第 29 卷第 4 號 (2017.12) 로기술되고있으며, 컴퓨터과학자및엔지니어는구체적인프라이버시강화기술의사용과동일한의미로보기도한다. 그러나 Privacy by design 은단순히일반원칙의집합도아니고, 프라이버시강화기술의이행으로축소될것도아니다. 실제로 Privacy by design 은다양한기술적, 구조적요소를포함한절차이다. 6) 결국 Privacy by design 은모든정보기술및그시스템의설계, 초기상품개발이나서비스기획단계에서부터프라이버시의보호및강화를위한조치를확립하는포괄적인절차를의미한다고볼수있다. 한편, 개인정보및사생활보호를위한익명화또는비식별화에관한이슈는전통적인제로섬패러다임을기반으로하고있다. 직접적인식별자 7) 또는준식별자 8) 가많이변환되거나제거될수록데이터의질은저하되나, 프라이버시가보호된다. 이와반대로정보에대한익명화또는비식별화의제한은데이터의질적향상을가져오지만, 개인의프라이버시는침해될수있다. 그러나적절한비식별화기술과재식별위험측정기술을통해필수적으로요구되는데이터의질적수 6) European Union Agency For Network And Information Security(ENISA), Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, 2015, p. 21. 7) 직접적인식별자들 (direct identifiers) 은정보주체와명확하게연결이되어바로특정개인을식별하는인자이다. 예를들면, 이름, 이메일주소, 집주소, 전화번호, 건강보험번호, 사회보장번호등이다 (Ann Cavoukian, Khaled El Emam, Dispelling the Myths surrounding De-identification: Anonymization Remains a Strong Tool for Protecting Privacy, Information & Privacy Commissioner of Ontario, 2011, p. 11). 8) 직접적인식별자를제거함으로써개인의프라이버시는보호될수있으나정보의완전한비식별화를보장하는데에불충분하다. 그렇기때문에준식별자 (quasi-identifiers) 의제거가포함되는데, 준식별자는개인을직접적으로식별하지는못하지만간접적인재식별을위해사용될수있다. 예를들면, 성별, 혼인여부, 우편번호또는위치정보, 중요한날짜 ( 출생, 사망, 입원, 파산, 부검, 표본수집, 방문 ), 병명, 직업, 인종, 수입등이다 (Ann Cavoukian, Khaled El Emam, Dispelling the Myths surrounding De-identification: Anonymization Remains a Strong Tool for Protecting Privacy, p. 11); 우리나라도 2014년 12월에행정자치부가발행한 개인정보비식별화에대한적정성자율평가안내서 에준식별자의개념에대하여정의한바있다. 준식별자는연령, 성별, 거주지역, 국적등과같이해당데이터만으로는직접적으로특정개인을식별할수는없지만다른정보와결합하여개인을식별할수있는데이터를의미한다. 개인특성 ( 성별, 생년월일, 연령, 국적, 고향및거주지, 우편번호, 결혼여부, 종교, 흡연및음주여부, 관심사항등 ), 신체특성 ( 혈액형, 신장몸무게, 혈압, 눈동자색깔, 신체검사결과, 장애유형, 장애등급, 병명, 상명코드, 투약코드, 진료내역등 ), 신용특성 ( 세금납부액, 신용등급, 기부금, 건강보험료납부액, 의료급여자등 ), 경력특성 ( 학교명, 학과명, 학년, 성적, 학력, 직업, 직종, ( 전 현 ) 직장명, 부서명, 직급, 자격증명, 경력등 ), 전자적특성 (PC사양, 비밀번호, 쿠키정보, 접속및방문일시, 서비스이용기록, 위치정보, 접속로그, IP 주소, MAC 주소, CPU ID, USB serial 번호, 단말기 ID, 네트워크국가코드등 ), 가족특성 ( 배우자, 자녀, 부모, 형제여부, 법정대리인정보등 ), 위치특성 (GPS 데이터, RFID 리더접속기록, 특정시점센싱기록, 인터넷접속, 핸드폰사용기록, 사진등 ) 으로구분하여기술하였다 ( 행정자치부 한국정보화진흥원, 개인정보비식별화에대한적정성자율평가안내서, 2014, 13 16면 ).
Privacy by design 의도입과그적용에관한소고 5 준을유지하는동시에높은수준의프라이버시보호를달성하는것이가능하다. 이는제로섬패러다임에서프라이버시보호와데이터질의최대화를이루는포지티브섬패러다임으로인식을전환하는것이다. 이를위한핵심원칙은 Privacy by design 이라고제안된바있다. 9) 즉개인의프라이버시보호를위해식별자를익명화또는비식별화하면데이터의이용가치는저하되고, 익명화또는비식별화를하지않음으로써데이터의이용가치가증대되는경우에는프라이버시가침해될수있다. 결국프라이버시와데이터이용가치는반비례관계에있다. 그런데이러한관계를형성하지않고, 프라이버시도보호하면서데이터의이용가치를유지하기위해서는서비스및관련시스템의설계에서부터개인의프라이버시보호에중점을두고그체계를확립하는 Privacy by design 을도입할필요가있다. 2. Privacy by design 의 7가지원칙 Ann Cavoukian 박사가제시한 Privacy by design 의 7가지원칙 10) 은다음과같다. 첫째, 사후대책을강구하는것이아니라사전을강구하는 (Proactive not Reactive) 제도이다. Privacy by design 은프라이버시침해의위험이구체화되기를기다리는것이아니라프라이버시를침해하는사건을예상하고미리예방하는것이다. 둘째, 초기 ( 기본 ) 설정프라이버시 (Privacy as the Default) 를추구한다. Privacy by design 은기반이되는 IT시스템또는사업관행내에서자동적으로개인정보가보호되도록함으로써프라이버시를최대한보장하는것이다. 개인이자신의프라이버시를보호하기위해어떤특정한행위를할것이요구되지않는다. 이는시스템상에서프라이버시보호가초기설정되어있는것을의미한다. 셋째, 설계에내재된프라이버시 (Privacy Embedded into Design) 를추구한다. Privacy by design 은 IT시스템및사업시행의계획과설계에프라이버시보호가이미전제되어있음을의미한다. 프라이버시보호는부수적인사항이아니라 IT시스템및사업시행에있어서필수적요소가되도록하는것이다. 넷째, 완전한기능보장 (Full Functionality) -제로섬이아닌포지티브섬 (Positive-Sum, not Zero-Sum) 을지향한다. Privacy by design 은한쪽이이득을보면, 다른 9) Ann Cavoukian, Khaled El Emam, Dispelling the Myths surrounding De-identification: Anonymization Remains a Strong Tool for Protecting Privacy, p. 12. 10) https://www.ipc.on.ca/images/resources/7foundationalprinciples.pdf ( 검색일 : 2017 년 10 월 05 일 ).
6 第 29 卷第 4 號 (2017.12) 한쪽이손해를보는접근방식 ( 제로섬 ) 이아니라관련된정당한이익과목적이모두윈윈하면서공존하도록하는것이다. Privacy by design 은프라이버시 vs. 안전및보안과같은잘못된이분법적인접근을피하고, 공존할수있음을보여준다. 다섯째, 엔드투엔드보안 (End-to-End Security) - 라이프사이클에따른보호 (Lifecycle Protection) 방식을지향한다. Privacy by design 은관련데이터전체의생애주기별관리를보장한다. 데이터가생성된때부터삭제될때까지프라이버시보호를위해강력한보안조치의이행은필수적이다. 이는모든데이터가안전하게보관되며적절한시기에안전하게삭제될것을보장하는것이다. 여섯째, 가시성 (Visibility) 및투명성 (Transparency) 을중요시한다. Privacy by design 은모든관련자에게이미명시한원칙과목적에따라사업시행또는기술적용이이루어진다는것을보장하며, 관련요소들을투명하게공개하는것을원칙으로한다. 일곱째, 사용자의프라이버시존중 (Respect for User Privacy) 을최우선으로한다. 무엇보다 Privacy by design 은설계자및운영자로하여금강력한프라이버시초기설정, 사용자에게관련내용의적절한통지, 사용자친화적인선택권부여와같은조치를제공함으로써개인의이익을가장우선적으로보호하도록요구하고있다. 이를통해지속적으로사용자중심의설계및운영이이루어지도록한다. 이러한 Privacy by design 의 7가지원칙은 Privacy by design 이추구하는바를구체적으로설명하는동시에이를실현하기위하여어떠한노력을기울여야하는지보여주고있다. 즉 Privacy by design 은프라이버시보호를내재하고있는기술과시스템, 상품등의개발을통하여프라이버시침해를예방하고최소화하는제도라고볼수있다. 3. 지능정보사회로의도입필요성오늘날우리나라를포함한전세계는제4차산업혁명시대를맞이하고있다. 제4차산업혁명으로의변화근원은인공지능기술과데이터활용기술을융합하여기계에인간의고차원적인정보처리능력을구현하는기술인지능정보기술이라고볼수있다. 11) 고차원적인정보처리를하는능력은무엇보다다양한정보자원으로부터방대한데이터를수집 전달 저장 분석하는과정을통하여가능하게된다. 즉빅데이터활용을통해서가능하게된다. 왜냐하면대규모데이터에대한자가 11) 관계부처합동, 제 4 차산업혁명에대응한 지능정보사회중장기종합대책 ( 안 ), 2016, p. 6.
Privacy by design 의도입과그적용에관한소고 7 학습을통해알고리즘의성능을강화하기때문이다. 이때각종모바일기기, 사물인터넷, 각종센서등을통한네트워크접속이다양한방식으로이루어짐으로써데이터수집에제한이없어지기때문에이에대한통제가어려운것이현실이다. 또한급격한기술의변화를통해더욱강력해진데이터분석기술은데이터세트내에서개인을식별하여프라이버시를침해하게되었다. 이에대한대응을위하여정보기술및관련시스템의설계와계획에있어서프라이버시의보호가치가포함될것이요구되었는데, 이것이 Privacy by Design 이등장하게된주요한원인이었다. Privacy by Design 은결과에중심을둔체계가아니라절차에초점을맞춘체계라고볼수있다. Privacy by Design 은프라이버시보호가정보기술및그시스템설계의토대가되어야하는동시에실질적인운영에있어서도내재되어야함을의미한다. 이에따라빅데이터기술자들에게 Privacy by Design 을기초로한기술을개발하고이행할것이요구되고있다. 12) 구체적으로사물인터넷의경우, 개인의라이프스타일에관한세부내용, 습관, 활동등을완전히감시하고그데이터를저장하며, 이를통해개인의미래행동을예측하기도한다. 이와같은개인과사물의연결성은개인의삶을상상할수없는방식으로감시함으로써개인의프라이버시가존재하지않는세상을생성하고있다. 만일상호연결된기기및프로그램설계에프라이버시를내재시킨다면개인의프라이버시도보호하고이와동시에사물인터넷의유용성을동시에누릴수있다. 13) 또한클라우드컴퓨팅 14) 은정보처리및저장, 다른정보자원과의커뮤니케이션 12) Ann Cavoukian, Jeff Jonas, Privacy by Design in the Age of Big Data, Information and Privacy Commissioner, 2012, p. 7~9. 13) Ann Cavoukian, Claudiu Popa, Embedding Privacy Into What s Next: Privacy by Design for the Internet of Things, Privacy & Big Data Institute, 2016, p. 3~4. 14) 클라우드컴퓨팅은최소한의관리노력또는서비스제공자와의상호작용으로빠르게공급될수있는공유컴퓨팅자원 ( 예. 네트워크, 서버, 스토리지 (storage), 앱, 서비스등 ) 에실시간으로, 편리한방식의, 온디맨드 (on-demand, 사용자의요구가있으면즉시정보또는서비스제공 ) 네트워크접근을위한모델이다. 클라우드모델은 5 가지핵심적특징을가지고있다. 이를구체적으로살펴보면, 첫째, 각각의서비스제공자와상호작용요청없이필요한경우자동적으로소비자가일방적으로컴퓨팅능력을공급할수있는 온디맨드셀프서비스 (On-demand self-service), 다양한클라이언트플랫폼 ( 예. 휴대폰, 테블릿, 노트북, 단말기 (workstations)) 으로사용을증진시키는네트워크및표준메커니즘에접근하여이용하게되는 광범위한네트워크접근 (Broad network access), 소비자의요청에따라 ( 재 ) 공급되는다양한물리적 가상적자원들을다수의소비자에게제공하기위해서비스제공자의컴퓨팅자원이통합되어있는 자원통합 (Resource pooling), 소비자의요청에상응하여실시간으로대응하는 강한탄력성 (Rapid elasticity), 서비스유형 ( 예. 저장, 처리등 ) 에상응하여적절한정도로자동적으로자원이용을통제하고, 극대화하는 조정된서비스 (Measured service) 등을특징으로하고있다 (Peter Mell, Timothy Grance, The NIST Definition of Colud Computing, Special Publication 800-145, National
8 第 29 卷第 4 號 (2017.12) 을위한새로운전달모델로서, 미래의정보통신기술의적용에있어핵심이다. 그리고클라우드컴퓨팅과빅데이터및사물인터넷과의융합은다양한분야의새로운스마트어플리케이션의개발을촉진시킬것이다. 그러나이러한클라우드컴퓨팅의이익과함께정보보안과프라이버시침해문제가등장하였으며, 이는해결되어야할중요한사안이다. 이를해결하기위한대안으로 Privacy by design 이논의되고있다. 15) Privacy by design 은빅데이터, 사물인터넷, 인공지능, 클라우드컴퓨팅등이주요요소가된지능정보사회에서개인정보및프라이버시보호를위한사전적인대응책으로서, 정보기술및관련시스템의계획과설계, 그운영방식등에프라이버시보호조치를포함시켜프라이버시침해를최소화하려는새로운개념이다. 빅데이터활용과개인정보보호간의갈등을어떻게해결할것인가라는문제에직면하고있는우리나라에 Privacy by design 은하나의대안이될수있으므로도입의필요성이인정된다. Ⅲ. Privacy by design 에관한외국의입법및정책 1. 유럽연합 2018년에시행되는유럽연합의새로운개인정보보호에관한법인 일반정보보호규칙 16) 은개인정보의처리와관련하여상품개발의초기나서비스기획단계부터프라이버시보호를강화하는조치를이행하도록새로운의무를부과하고있다 (Privacy by design). 또한개인정보및프라이버시보호를위한가장강력한기술을초기설정으로선택할의무도포함하고있다 (Privacy by default). 이것은기업이새로운상품과서비스를기획및개발을할때, 준수해야할중요한원칙이다. 17) 일반정보보호규칙 이전의유럽연합의개인정보보호법이라고할수있는 정보보호지침 (Data Protection Directive 95/46/EC) 에서는전문 46에 Institute of Standards and Technology, 2011, p. 2). 15) Thomas Lorünser et al, Cloud Security and Privacy by Design, Conference paper(6th International Conference on E-Democracy), 2015, p. 1. 16) REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC 이다. 이를줄여서 General Data Protection Regulation 또는 GDPR 이라고한다. 17) C. Burton et al, The Final European Union General Data Protection Regulation, BNA Privacy & Security Law Report, Bloomberg BNA(The Bureau of National Affairs), 2016, p. 7 8.
Privacy by design 의도입과그적용에관한소고 9 개인정보처리와관련하여정보주체의권리와자유의보호를위하여는개인정보처리시스템의설계시점과개인정보를처리하는시점에모두적절한기술적 조직적조치가취해져야한다. 18) 고함으로써 Privacy by design 에대하여간접적으로언급한바있다. 유럽연합의 일반정보보호규칙 에따르면, 기술수준, 이행비용, 정보처리의특성, 범위, 상황, 목적, 정보처리로인한자연인의권리와자유에미치는다양한위험가능성을고려하여, 정보관리자 19) 는정보처리를위한수단을결정할때와정보처리를할때가명화와같은적절한기술적 체계적조치를이행해야한다. 이는정보주체의권리를보호하고정보수집최소화와같은정보보호원칙이효과적인방식으로이행되며정보처리과정에필수적인안전조치가포함될수있도록설계되어야한다. 20) 고규정하고있다. 또한 정보관리자는구체적인처리목적에필요한개인정보만처리되도록초기설정을보장하는적절한기술적 체계적조치를이행해야한다. 이러한의무는수집된개인정보의양, 그정보의처리규모, 정보의보관및접근가능기간에상응하여적용된다. 특히정보주체의개입없이는개인정보에불특정다수의자연인이접근할수없도록초기설정하여개인정보를보장하여야한다. 21) 고규정하고있다. 그리고 정보보호인증메커니즘은제1항과제2항의요구사항을이행하고있음을증명하는요소로사용될수있다. 22) 고규정하고있다. 한편, 유럽연합은 PRISMACLOUD(PRIvacy & Security MAintaining Services in the CLOUD) 프로젝트를진행하고있다. 이프로젝트의최종목표는보안과프라이버시보호가내재된안전한클라우드서비스를개발하는것이다. 무엇보다 18) Data Protection Directive 95/46/EC Recital (46) Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing. 19) 우리나라개인정보보호법제 2 조제 5 호에따르면, 업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는공공기관, 법인, 단체및개인등을 개인정보처리자 (personal information controller) 라고함으로써컨트롤러와프로세서를구별하지않는다. 그러나유럽연합의일반정보보호규칙은 controller 와 processor 를구별하여정의하고있다. 실제로 processor 는 controller 를대신하여개인정보를처리하는자로규정하고있기때문에의미상에큰차이가있다고보지않는다. 유럽연합의일반정보보호규칙상의정보관리자와정보처리자는우리나라에서통상사용하는개인정보처리자라고이해하면될것이다. 20) General Data Protection Regulation Article 25(Data protection by design and by default) 1. 21) 동법 Article 25(Data protection by design and by default) 2. 22) 동법 Article 25(Data protection by design and by default) 3.
10 第 29 卷第 4 號 (2017.12) 클라우드에있는데이터는강력한암호화를통하여생애주기내내보호되어야하고, 사용자는자신의데이터에대한완전한통제를할수있어야한다. 이와동시에프라이버시강화기술은사용자가클라우드서비스를이용하면서비자발적으로공개하는정보를최소화하도록적용되어야한다. PRISMACLOUD의주요한구체적인목적은클라우드에있는데이터의생애주기동안데이터의안전을위한암호도구의개발, 사용자의프라이버시보호를위한암호도구및방법의개발, 클라우드기반시설및체계구축을위한활성화기술의마련, 안전한서비스구성을위한방법론개발, 프로젝트결과의실험적평가및확인에있다. 23) 이와같이유럽연합은 Privacy by design 원칙을클라우드컴퓨팅에적용하여사용자의개인정보및프라이버시보호하는클라우드기반체계를확립하려고노력하고있다. 2. 미국 2012년 3월에미국의연방거래위원회 (Federal Trade Commission, FTC) 는 급변하는시대의소비자프라이버시보호 (Protecting Consumer Privacy in an Era of Rapid Change) 라는보고서를발표하였다. 여기에서 Privacy by design 을언급하고있는데, Privacy by design 은기업이상품및서비스개발단계에서부터소비자프라이버시의개선을위해노력해야한다는것이다. 이를위하여기업은소비자정보에대하여적절한안전조치를취해야한다는 정보보안, 기업은정보의수집을제한해야한다는 합리적인수집제한, 기업은합리적인정보보유및폐기정책을이행해야한다는 안전한정보보유, 기업은소비자정보의정확성을적절히유지해야한다는 정확성 등과같은프라이버시보호원칙을기업의관행에도입해야한다. 그리고이러한원칙의이행을위하여기업은상품및서비스의생애주기내내종합적인정보관리를해야한다. 이와관련하여기업은프라이버시영향평가를규칙적으로해야하며, 상품과서비스의디자인및개발단계부터체계적으로프라이버시이슈를고려하여관련조치를취해야한다. 그리고연방거래위원회는기업으로하여금상품및서비스의개발 관리와연관된프라이버시침해문제의해결을위하여종합적인프라이버시프로 23) Thomas Lorünser et al, Cloud Security and Privacy by Design, Conference paper(6th International Conference on E-Democracy), 2015, p. 2.
Privacy by design 의도입과그적용에관한소고 11 그램을시행하도록요구한다. 이와관련하여기업은프라이버시프로그램을운영할담당자지정, 직원트레이닝및관리와상품의디자인및개발에있어서의위험평가, 확인된위험을해결하기위한통제및조치의시행, 서비스제공자의적절한관리 감독, 규칙적인테스트와모니터링을통한프라이버시프로그램의평가및보완을해야한다. 24) 최근에캘리포니아주는사물인터넷기기의제조업자로하여금소비자의개인정보의보호를위해그기기에합리적인안전및보안조치가포함된기기를개발하도록요구하는내용을담은법안 (California Senate Bill No.327) 을통과시킨바있다. 이는 Title 1.81.26 SECURITY OF CONNECTED DEVICES 부분으로서, 정보프라이버시와관련하여민법제3장 4부에추가되는내용이다. 이는사물인터넷기기제조업자에게기기개발및생산의초기단계에사전예방적으로안전및보안조치를설계하여이행하도록함으로서 Privacy by design 의실행을의무화하고있다. 25) 구체적으로살펴보면, 연결기기 26) 를판매하거나판매를제안하는제조업자는소비자의정보에대한불법적인접근, 파기, 이용, 수정, 공개로부터정보를보호하기위하여기기의특성과기기가수집 보관 전달하는정보에적합한합리적인보안기능을기기에갖춰야한다. 27) 소비자에게판매또는제공되는연결기기는기기의포장, 제품의겉면, 제조업자의인터넷웹사이트를통하여다음에대한통지를제공해야한다. 기기가수집하는다양한개인정보의종류, 기기의개인정보수집절차및수집빈도, 기기와상호작용하는다른기기의종류, 연결기기에대한보안패치와기능업데이트방법등에대한모든정보를제공해야한다. 28) 또한이들은정보의수집또는전달을하기이전에소비자의동의를받아야한다. 29) 24) FEDERAL TRADE COMMISSION, Protecting Consumer Privacy in ad Era of Rapid Change, FTC REPORT, 2012, p. 22 32. 25) https://www.natlawreview.com/article/california-bill-mandates-privacy-design-iot-devices ( 검색일 : 2017 년 10 월 10 일 ). 26) Section 1798.91.04 연결기기 는직 간접적으로인터넷에연결할수있거나다른연결기기에연결할수있는모든기기, 센서또는다른물리적사물을의미한다. 27) Section 1798.91.01. 28) Section 1798.91.02. 29) Section 1798.91.03.
12 第 29 卷第 4 號 (2017.12) 3. 영국영국의 정보보호법 에는 Privacy by design 을직접적으로언급하고있지않지만, 정보보호감독국 (Information Commissioner s Office) 30) 은 Privacy by design 은수범자인관련기관이정보보호법상의의무를준수하도록할것이라고보고있다. 또한정보보호감독국은관련기관들에게개인정보및프라이버시보호가어떤프로젝트의초기단계, 더나아가프로젝트내내핵심적인고려사항임을강조하고있으며, 이를보장하도록권고하고있다. 예를들어, 개인정보보관또는처리에있어서새로운 IT 시스템을확립할때, 프라이버시와관련한법률 정책 전략을마련할때, 데이터공유이니셔티브를추진할때, 새로운목적을위하여데이터를사용할때등의경우, 개인정보및프라이버시보호를고려하는것은중요하다. 그과정에서 Privacy by design 은프라이버시침해위험을최소화하고신뢰를쌓을수있는필수적도구이다. 프라이버시를고려하여프로젝트 절차 상품 시스템등을설계하면기관은초기에문제점을발견할수있고, 프라이버시와정보보호에대한인식을고취시킬수있다. 그리고기관은법적의무를더잘이행하고정보보호법의위반가능성을낮출수있으며정보주체에게부정적인영향을미치는행위를할가능성도낮출수있다. 31) 4. 프랑스프랑스는 2010년 5월 25일의디지털잊힐권리 (Droit à l oublie numérique) 에관한보고서에서 Privacy by design 원칙의이행을권고하였고, 32) 2011년에발간된디지털혁명에서의개인의권리에관한국회의보고서는 Privacy by design 을유럽을위한중요한자산으로보았다. 33) 또한프랑스정보보호당국인 CNIL(Commission nationale de I informatique et des libertés) 은 2015넌 7월에개인정보관리자로하여금 Privacy by design 원칙을채택하도록하는개인 30) Information Commissioner s Office 는영국내에서정보보호에관한권리를보장하기위해설립된독립적인기관이다. 정보 ( 데이터 ) 보호위원국, 정보 ( 데이터 ) 보호감독국, 정보 ( 데이터 ) 보호국, 정보 ( 데이터 ) 보호청, 정보보호위원회등으로번역하고있다. 본논문에서는 정보보호감독국 으로번역하여사용하기로한다. 31) https://ico.org.uk/for-organisations/guide-to-data-protection/privacy-by-design/ ( 검색일 : 2017 년 10 월 12 일 ). 32) http://www.cyberlex.org/page-accueil/cyberlex-remet-son-rapport-droit-a-loubli.html. ( 검색일 : 2017 년 10 월 12 일 ). 33) http://www.assemblee-nationale.fr/13/rap-info/i3560.asp.( 검색일 : 2017 년 10 월 12 일 ).
Privacy by design 의도입과그적용에관한소고 13 정보보호에관한가이드라인의수정본을발간하였다. 이와관련하여 2016년에프랑스당국은직장에서의생체인식정보접근의통제에관한 2가지결정을공표하였다. 여기에서 Privacy by design 과 Privacy by default 의원칙의준수는정보주체의보호를위해필수적임을언급하였다. 34) 5. 일본 일본총무성은 2012년 8월에 스마트폰개인정보보호이니셔티브 ( スマートフォンプライバシーイニシアティブ ) 라는보고서를발표하였고, 여기에는스마트폰이용자의정보취급지침을제시하고있다. 이러한지침은스마트폰이제공하는편리한서비스를이용자가안전하게이용할수있는환경을정비하기위한것으로관련사업자가이행해야할기본원칙 35) 을세우고있다. 기본원칙의하나로 Privacy by design 을채택하였는데, 이는관련사업자가새로운앱및서비스, 소프트웨어및단말기를개발할때이용자의개인정보와프라이버시가보호될수있도록설계해야함을의미한다. 즉이용자의개인정보보호필요성및권리를명확히인식하고, 이용자의관점에서그들이이해할수있는응용프로그램또는서비스등의설계및개발을실시해야함을뜻한다. 36)37) 34) Anna Romanou, The necessity of the implementation of Privacy by Design in sectors where data protection concerns arise, Computer Law & Security Review, doi: 10.1016/j.cslr.2017.05.021, ELSEVIER, 2017, p. 3. 35) 기본원칙으로투명성보장, 이용자참여기회보장, 적절한수단에의한정보취득, 적절한안전관리, 불만및상담에대한대응체계확보, 프라이버시바이디자인을언급하고있다. 투명성보장 은관계사업자등이해당정보의취득 보관 활용및이용자참여방법에대한자세한내용을이용자에게통지하거나쉽게알수있도록해야함을의미한다. 또한이용자에게통지 ( 공표 ) 또는이용자의동의를얻는경우, 그방법은이용자가쉽게이해할수있는방식이어야한다. 이용자참여기회보장 은관계사업자등이자신의사업의특성에따라취득하는정보및그이용목적, 제 3 자제공의범위등필요한사항을이용자에게통지 ( 공표 ) 하거나동의를취득해야하며, 해당정보취득정지및이용정지등과같은이용자참여의수단을제공해야함을의미한다. 적절한수단에의한정보취득 은관계사업자등은해당정보를적절한수단을통해취득해야함을의미한다. 적절한안전관리 는관계사업자등이해당정보의누설, 멸실또는훼손을방지하고정보의안전한관리를위해적절한조치를취해야함을의미한다. 불만및상담에대한대응체계확보 는관계사업자등이해당정보의취급에관한불만및상담에대해적절하고신속하게대응해야함을의미한다 ( 利用者視点を踏まえた ICT サービスに係る諸問題に関する研究会, スマートフォンプライバシーイニシアティブ概要 - 利用者情報の適正な取扱いとリテラシー向上による新時代イノベーション -, 2012, p. 9). 36) 利用者視点を踏まえた ICT サービスに係る諸問題に関する研究会, スマートフォンプライバシーイニシアティブ概要 - 利用者情報の適正な取扱いとリテラシー向上による新時代イノベーション -, 9. 37) 스마트폰프라이버시이니셔티브 에프라이버시중심디자인이도입된것은해외의법제도나프라이버시보호의프레임워크를검토한결과이다. 예를들면, 세계의통신사업자가가입하는
14 第 29 卷第 4 號 (2017.12) 6. 싱가포르싱가포르의 개인정보보호법 에 Privacy by design 은직접적으로언급되지않고, 개인정보보호관련가이드라인에도이에대한내용이존재하지않는다. 그러나싱가포르정보통신부장관은 안전한스마트국가확립 을주제로한 2015년의 GovernmentWare 컨퍼런스에서국가는 Security by design 의사고방식을가져야함을강조한바있고, Security by design 은싱가포르의사이버안보능력을증대시키는필수적인요소라고하였다. 이는처음부터보안을염두하여시스템을확립하고, 시스템이행후외부의공격에대한점검, 수명이다한자산에대한안전한폐기, 온라인사용자에대한사이버교육등에관한것이라고언급하였다. 그리고정부는새로운시스템을시행하거나기존의시스템을재구성할때, 필수적으로이원칙을채택해야함을덧붙였다. 38) 이와같이 Security by design 은궁극적으로는 Privacy by design 과유사한개인정보및프라이버시의보호를위한개념이라고볼수있다. Ⅳ. Privacy by design 의적용 1. Privacy by design 의이행을위한실현전략 Privacy by design 은개인정보의보호를위한수단으로그치는것이아니라처리되는개인정보의양을최소화하도록관련시스템을설계해야한다는개념이포함되어있다. 개인정보최소화의핵심적인요소는가능한한빠른시간내에데이터로부터개인식별자분리, 가명화및익명화기술의사용또는개인정보의삭제등이다. 39) 앞서언급한 Privacy by design 의원칙을이행하기위해 사업자단체인세계이동통신사업자협회 (GSMA) 가 2011 년 1 월에발표한 모바일프라이버시원칙 에서는이협회에가입하는통신사업자가프라이버시에관한정책이나대응책을검토할때기본이되는지침을정하고있다. 이원칙의기본구조가프라이버시중심디자인 (privacy by design) 에근거하고있으며, 이근거의배경은 2010 년 12 월에발표된 FTC 보고서 (FTC Staff Issues Privacy Report) 이다 ( 최혜선, 개인정보보호의신경향 - 프라이버시중심디자인 (Privacy by Design) 을중심으로 -, 일감법학 제 24 권, 건국대학교법학연구소, 2013, 328~329 면 ). 38)http://www.zdnet.com/article/singapore-urges-nation-to-adopt-security-by-design-mindset/ ( 검색일 : 2017 년 10 월 10 일 ). 39) Peter Schaar, Privacy by Design, Identity in the Information Society Vol.3 Issue 2, Springer, 2010, p. 267 268.
Privacy by design 의도입과그적용에관한소고 15 서는이러한내용이기본이되며, 구체적인내용은이행하는주체에따라조금씩달라질수있다. 유럽연합네트워크및정보안전기관 (European Union Agency For Network And Information Security) 40) 은 Privacy by design 의실현을통하여정보주체의프라이버시침해를최소화하고, 그들의개인정보를보호하기위하여 8가지전략을세운바있다. 첫째, 개인정보의양은가능한한최소한의양으로제한되어야한다는 MINIMIZE 전략, 이는개인정보의처리는처리목적에대응하여비례적이어야한다는것이다. 둘째, 개인정보및그상관관계는숨겨져야한다는 HIDE 전략, 이전략은불연계성달성을목표로함으로써개인정보의남용을막는다. 셋째, 개인정보는가능한한분산된방식으로분리된형태로처리되어야한다는 SEPARATE 전략, 이는다양한자원으로부터비롯된개인정보의보관또는처리를분리함으로써특정개인의완전한프로파일을만들지못하게하는것이다. 넷째, 개인정보는가장높은수준의총계처리방식으로처리되어야한다는 AGGREGATE 전략, 이는개인정보의구체적인내용이드러나지않도록함으로써개인의식별을어렵게하며민감도를낮추게된다. 다섯째, 정보주체는정보가처리될때마다적절히통지를받아야한다는 INFORM 전략, 이는정보주체가관련시스템을사용할때마다자신의개인정보중어떠한정보가어떠한목적으로처리되는지, 정보접근권및이에대한행사방법을알수있도록해야하는것이다. 여섯째, 정보주체는그들의개인정보처리에대한도구및수단을제공받아야한다는 CONTROL 전략, 이는 INFORM 전략과대응관계에있는전략으로서, 개인정보의사용을통제하는수단이없이는정보주체에게그들의개인정보가수집된다는사실에대한통지는의미가없고, 이와반대로적절한정보의제공과통지없이는정보주체로부터동의를받는것은의미가없다. 그러므로정보주체에게개인정보보호와관련한권리의행사를위한수단을제공하는것이필요하다. 일곱째, 관련법률에상응하는프라이버시정책이확립되고시행되어야한다는 ENFORCE 전략, 여덟째, 정보처리자는현재시행되고있는관련법률 40) 유럽연합네트워크및정보안전기관 (European Union Agency For Network And Information Security) 은유럽연합, 그회원국, 유럽의시민들을위한네트워크및정보안전기술분야의핵심기관으로서, 2004 년에설립된이후에유렵연합내의높은수준의네트워크및정보안전유지, 이에관한건전한문화정착및인식개선을위해크게기여하고있다. 이기관은회원국및관계기관과긴밀히협력하고있으며, 네트워크및정보안전과관련한유럽연합의법률과정책의개발과이행을지원하는기능을하고있다. https://www.enisa.europa.eu/about-enisa( 검색일 : 2017 년 10 월 15 일 ).
16 第 29 卷第 4 號 (2017.12) 및프라이버시정책에대한준수를입증할수있어야한다는 DEMONSTRATE 전략이다. 41) 이러한전략은 Privacy by design 을구체화하여실질적인적용을위한것이다. 상품및서비스, 정보기술및관련시스템의계획과설계의단계에서부터이러한전략을적용하여정보주체의개인정보및프라이버시를보호함으로써이에대한침해를예방할수있다. 2. 빅데이터활용단계에따른 Privacy by design 의이행전략 유럽연합네트워크및정보안전기관 은앞서언급한 Privacy by design 전략을빅데이터분석의가치체인 (value chain) 에적용하였다. 즉빅데이터활용및처리단계에따라이를적용한것이다. 빅데이터분석의가치체인은정보수집및취득, 정보분석및큐레이션 42), 정보보관, 정보사용의 4단계로구분된다. 정보수집및취득단계에는 MINIMIZE, AGGREGATE, HIDE, INFORM, CONTROL 전략 43), 정보분석및큐레이션단계에서는 AGGREGATE, HIDE 전 41) European Union Agency For Network And Information Security(ENISA), Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, 22; European Union Agency For Network And Information Security(ENISA), Privacy and Data Protection by Design-from policy to engineering, 2014, p. 18~22. 42) 큐레이션 (curation) 은추천이라는뜻으로빅데이터분석을통해개인맞춤정보를제공하는행위를말한다. 다른사람이만들어놓은콘텐츠를개별목적에따라분류하고배포하는것을말한다. 콘텐츠가많아질수록선별된양질의정보에대한수요가증가하고있는데, 큐레이션은이런수요를충족시키기위한것으로신규비즈니스로급부상하고있다. 다양하고많은정보를자기만의스타일로조합해내는파워블로거, 각계각층의사람들이거대한집단지성을형성한위키피디아, 스마트폰을통해주제에따라유용한정보를모아제공하는애플리케이션등이큐레이션의한형태라고볼수있다. http://terms.naver.com/entry.nhn?docid=3586052&cid=59277&categoryid=59282( 검색일 : 10 월 10 일 ) 43) MINIMIZE 전략 - 빅데이터수집단계와관련하여직접적으로중요한프라이버시원칙은정보수집최소화 (data minimization) 라고할수있다. 정보를수집하는정보관리자는처리목적에비추어어떤정보가실제로필요한지 ( 필요하지않는지 ), 관련정보의보유기간을정하는것이필요하다. 또한수집단계에서불필요한개인정보제외, 수집정보분야의축소, 자동화된삭제메커니즘을제공하는등의구체적인절차가마련되어야한다. 그리고특정목적에절대적으로필요한정보를제한하고정확한정보처리의필요성을정하는데에있어서프라이버시영향평가 (Privacy Impact Assessment) 는정보관리자에게유용한도구가될수있다. AGGREGATE 전략 - 총계처리된정보는개인정보대신에사용된다. 분산된자원으로부터의통계분석과같은특정한케이스에서개인정보는수집될필요가없고, 익명화된정보의수집으로충분하다. ( 부분 ) 익명화는가장중요한해결책이며이는정보관리자로하여금분석을위해정보를공개하기이전에모든개인정보를삭제하도록만들수있다. HIDE 전략 - 많은경우개인에대한정보는정보주체의인지없이수집된다 ( 예. 개인의웹서치및온라인상행동등 ). 현재인터넷과모바일사용자의프라이버시보호하는프라이버시강화기술 ( 예. 추적금지 (anti-tracking), 암호화 (encryption), 신원가장 (identity masking) 등 ) 은이용가능하다. INFORM 전략 - 개개인은빅데이터분석을위한개인정보의수집에대해적절히통지받을필요가있다. 이를위하여적절한통지및다른투명성메커니즘이마련되어야하는데, 그러한도구는정보수집뿐만아니라빅데이터
Privacy by design 의도입과그적용에관한소고 17 략 44), 정보보관단계에서는 HIDE, SEPARATE 전략 45), 정보사용단계에서는 AGGREGATE 전략 46), 모든단계에서공통적으로 ENFORCE, DEMONSTRATE 전략이적용된다. 47) 그러나빅데이터분석가치체인에 Privacy by design 의전략을적용할때에갈등이발생할수있다. 데이터수집최소화와정보보유의제한은 Privacy by design 접근의필수적인부분이라고할수있는데, 빅데이터로부터트렌드및패턴파악, 가치있는사항을발견하기위해서는가능한한이용가능한데이터세트는풍부해야한다 (MINIMIZE 전략에반함 ). 그래서데이터수집최소화는막대한양의데이터를수집및보관을하는빅데이터와대응하지않는다는논쟁이있을수있다. 또한다양한정보자원으로부터취득한정보간의결합은빅데이터분석에있어서필수적인부분이나, 이는개인정보의분산처리에반할수있다 (SEPARATE 전략에반함 ). 상관관계에있는데이터세트를통해개인정보를 처리내내개인이이용가능한상태가되어야한다. 특히정보의수집시점은자신에관한정보의사용에대해이해하고결정을내리기위하여개인에게가장중요한시점이다. CONTROL 전략 - 정보수집단계는사용자의동의를얻을필요가있는단계이며, 옵트인 (opt in) 메커니즘의실질적인이행은이와관련하여중요하다. 또한옵트아웃 (opt out) 도구는정보처리의어떤시점이든개인에게제공되어야한다. 정보보호를위한확실한정책및개인정보저장소와같은사용자통제수단을제공하는다른메커니즘은중요한조치라고볼수있다 (European Union Agency For Network And Information Security, Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, p. 23~24). 44) AGGREGATE 전략 - 빅데이터분석에서가장중요한기술중의하나는익명화 (anonymization) 이다. 다양한프라이버시모델과익명화방법이마련되어야한다. K- 익명화 (K-anonymity) 및차별프라이버시 (differential privacy) 는주요한프라이버시모델이다. HIDE 전략 - 프라이버시보존형분석 (privacy preserving analytics) 에있어서중요한기술은암호화 (encryption) 이다. 검색가능한암호화 (searchable encyption), 동형암호화 (homomorphic encryption), 안전한다자계산 (secure multiparty computation) 등이이분야의유망한기술이라할수있다 (European Union Agency For Network And Information Security, Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, p. 24). 45) HIDE 전략 - 데이터베이스상의개인정보를보호하기위한세분화된접근통제 (granular access control) 및인증 (authentication) 과같은안전조치는필수적이며, 암호화 (encryption) 도정보보호를위한필수적인수단이다. SEPARATE 전략 - 분산된시스템상에서의프라이버시보존형분석 (privacy preserving analytics) 은다양한데이터베이스상에서의연산 (computation) 을제공하는것과같이개인정보의보호에중요하다 (European Union Agency For Network And Information Security, Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, p. 24). 46) AGGREGATE 전략 - 프라이버시보존형정보공개및검색 (privacy preserving data publishing and retrieval) 은개인정보의추론을예방하기위하여익명화 (anonymization) 를기반으로한다 (European Union Agency For Network And Information Security, Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, p. 25). 47) European Union Agency For Network And Information Security, Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, p. 23~26.
18 第 29 卷第 4 號 (2017.12) 추론할가능성은이를숨기고자하는전략에반할수있다 (HIDE 전략에반함 ). 그리고빅데이터상의개인정보를사용할때적절한수준의총계처리가항상이루어지는것은아니다 (AGGREGATE 전략에반함 ). 또한이미처리된정보를사용또는다른목적으로수정하여사용하는것은통지와동의에영향을줄수있다. 왜냐하면이러한연속적인정보처리는정보주체에게불투명하게나타나기때문이다 (INFORM & CONTROL 전략에반함 ). 또한다양한주체에의한정보처리및정보공급의연속으로인하여정보관리자자신도기존의데이터세트가형성되었던조건에대해확실하게인지하고있기어려울수있다 (ENFORCE & DEMONSTRATE 전략에반함 ). 빅데이터처리에있어서 Privacy by design 의실현전략을이행하여그로부터이익을얻을수있는지에대한논의가있을수있으나, 프라이버시가빅데이터의핵심가치라고본다면 Privacy by design 은강력한도구가될수있다. MINIMIZE 전략은더유용한정보를수집할수있도록하며, HIDE, AGGREGATE, SEPARATE 전략은개인의사적인영역에영향을주지않고, 개인정보를사용할수있도록한다. INFORM 전략은사용자의정보및투명성을위한더나은메커니즘을제공하며, CONTROL 전략은동의및프라이버시선호도를표시하는새로운방식을제공할것이다. ENFORCE와 DEMONSTRATE 전략은정보관리자가책임있게프라이버시정책을적용및이행하도록할것이다. 48) 이와같이빅데이터활용과 Privacy by design 의이행전략간에는충돌되는부분이있지만, 궁극적으로빅데이터의효율적인이용과개인정보및사생활보호에도움이된다고볼수있다. 3. Privacy by design 의적용례공적및사적영역에서사용이증가하는개인인증방식은생체정보인증방식이다. 이는생리적또는행동적특성을바탕으로자동적인개인인식기술이다. 생체인식은전자여권, 직장출입, 운전면허증, 자동현금인출, 데이터베이스내의얼굴영상인식, 제한된공간으로의접근등에사용된다. 그러나이와관련하여생체정보의도용, 다른목적으로의사용등프라이버시침해문제가제기되고있다. 이에대한해결책으로 Privacy by design 의적용이요구되는데, 이는생 48) European Union Agency For Network And Information Security, Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, p. 22~23.
Privacy by design 의도입과그적용에관한소고 19 체정보의처리시에암호화기술을사용하는것이다. 생체인식의암호화는생체정보샘플과패스워드 ( 디지털키 ) 를결합한알고리즘을사용하는복잡한과정이다. 패스워드는생체정보와연결되어있기때문에시스템은강력한인증보안을제공한다. 결과적으로제3자 ( 악의적인사용자또는공격자 ) 는생체인식샘플을기반으로자신들만의견본을만들어낼수없게된다. 49) 또한의료분야의기술발전으로인터넷을통한원격의료및건강관리서비스제공, 실시간의료 건강정보교환, 건강정보의디지털화등의 e-health 시스템 50) 은환자의삶의질을향상시키고, 의사의업무를간소화시키고있다. 그러나마찬가지로개인정보및프라이버시침해문제를야기할수있으며, 건강정보의불법적인접근및공개는정보주체에게심각한경제적 심리적 사회적피해를끼친다. 예를들어, 정보주체는보험회사가취득한정보에의하여부당한조치를받을수있고, 취업상의불이익, 사회적차별등의어려움을겪기도한다. 이때 Privacy by design 은 e-health 시스템과관련하여야기되는프라이버시침해문제의대안이될수있다. Privacy by design 의원칙이원격의료기술의개발에어떻게적용되었는지를보여줄수 2가지예시가있는데, General Electric(GE) 사의 QuietCare 시스템과 Intel사의 Health Guide이다. QuietCare 시스템은원격진료서비스를제공하고있는데, 개인의일상생활프로필을형성하는일련의동작탐지기및센서들로구성되어있다. 이들이수집한데이터는중앙서버로전송되며, 중앙서버에서개인의일반적인패턴이구조화된다. 이렇게형 49) Anna Romanou, The necessity of the implementation of Privacy by Design in sectors where data protection concerns arise, p. 6~7. 50) e-health 시스템은 5 가지의기본적기능을가지고있다. 개인정보의저장및처리, 다른제 3 의시스템과의개인정보교환, 맞춤형공공데이터의통합, 공적인사용을위한개인정보의전송, 사적인데이터메시지의교환이다. 개인정보의저장및처리에서는암호화기술을사용해야하며, 제 3 자의시스템과의개인정보교환에있어서는모든시스템에서대리인역할을하는사용자쪽의미들웨어가마련되어야한다. 또한맞춤형공공데이터의통합에있어서는공공데이터에대한초기의요청을변환함으로써사용자의요건을숨기는기술을사용하고, 다른요청을숨기기위하여시스템내의사용자그룹과협력을하고, 익명화네트워크기술을사용해야한다. 익명화네트워크기술사용의대표적인예는 TOR( 분산형네트워크기반의익명인터넷통신시스템 ) 서비스로서이는인터넷상에프록시네트워크를형성하고프록시서버를따라암호화메시지를반복하여보낸다. 공적인사용을위한개인정보의전송에있어서는의료기록의경우, 식별요소를최소화하고삭제하고, 통계데이터의경우, 프라이버시를보호하는암호화기술, 통계처리의형태와저장에적합한기술을사용해야한다. 사적인개인정보메시지의교환에있어서는익명화및암호화기술을사용해야한다 (George Drosatos et al, Towards Privacy by Design in Personal e-health Systems, Proceedings of the 9th International Joint Conference on Biomedical Engineering Systems and Technologies(BIOSTEC 2016), Volume 5: HEALTHINF, SCITEPRESS, 2016, p. 474~476).
20 第 29 卷第 4 號 (2017.12) 성된프로필은새롭게수신된개인의데이터와비교되며, 잠재적인의료응급상황, 일상의중요한변화등을탐지한다. 중요한경고메시지는미리지정된개인, 즉본인, 본인의가족, 간병인, 응급의료진에게전달된다. 이시스템은기술의설계단계에서부터프라이버시보호가내재되어있다. 즉환자의일상프로필을형성하기위해최소한의정보만이수집되며, 저장된민감한정보는무선이아닌유선으로, 정해진수신인에게전송된다. 이시스템의가장가치있는기능은중요한사건에대한실시간탐지와의료진의정보이용이다. 이시스템은환자의프라이버시를보호하면서기능의최대화가동시에이루어질수있도록되어있다. 이시스템이생성한보고서에의접근은사용자 ( 본인 ) 친화적으로암호화된온라인인터페이스를통하여가능하며, 본인및관련된의료진만패스워드입력후에접근이가능하도록되어있다. 개인의프로필에대한모든접근및수정은기록되며모니터된다. 이시스템의기록보관데이터베이스와인터페이스는안전한데이터센터내의중앙서버에서관리되고, 현재의기술을기반으로정기적으로업데이트되며, 유지및보수는전문가에의해신속하게이루어진다. 51) Health Guide는의료인이원격으로의학적견해를제공할수있도록하는시스템이다. 이시스템은홈디바이스와인터페이스가혼합된것으로환자와의사간의상호비디오세션을가능하게한다. 이시스템의설계에환자의의료및건강정보를보호하기위하여프라이버시보호와보안이내재되어있다. 환자는스스로기기를구매할수없지만, 의사의조언과의사와의관계를바탕으로기기의사용에대한명확한동의를함으로써설치할수있게된다. 기기의사용을위하여의사와환자는 4개의숫자로된개인식별번호를입력해야한다. 기기의사용이멈추었을때, 다시사용을위하여다시개인식별번호를입력해야한다. 기기의하드드라이버와저장된데이터는암호화되며, 모든기술적배치는전문기술자에의해운용된다. 만일환자가더이상기기의사용을원하지않으면처리되었던모든데이터는복구할수없는방식으로완전히삭제된다. 52) 이와같이제품의설계에서부터 Privacy by design 의원칙을적용함으로써, 개인정보의생성부터소멸까지이를보호하여사전에개인정보및사생활침해의문제를예방할 51) Ann Cavoukian et al, Remote home health care technologies: how to ensure privacy? Build it in: Privacy by Design, Identity in the Information Society Vol.3 Issue 2, Springer, 2010, p. 373~375. 52) Ann Cavoukian, Angus Fisher, Scott Killen, David A. Hoffman, Remote home health care technologies: how to ensure privacy? Build it in: Privacy by Design, p. 375~377.
Privacy by design 의도입과그적용에관한소고 21 수있도록하고있다. 이와동시에개인정보를이용하여개인에게필요한맞춤형정보를제공하고, 관련분야의연구에활용하고있다. 한편, 사람들의모든일상적인활동은많은감시카메라에의해촬영된다. 길거리, 전철역, 공항, 쇼핑몰, 엘리베이터, 학교등공적 사적영역에서카메라는사람들의모든이동과움직임을추적한다. 이러한 CCTV 카메라는범죄를탐지하고예방하며, 필요한경우위치를확인함으로써국민의안전을보장한다. 그러나 CCTV 카메라와관련하여수집한데이터의오남용으로인한프라이버시침해가능성이문제될수있다. 등록된데이터를이용한개인의사회적활동에대한국가의통제와압력, 차별, 감시등이다. 이에대한해결방안의하나는 Privacy by design 의원칙을적용하는것으로서, 감시카메라시스템에프라이버시보호조치를내재시키는것이다. 그예의하나로서, 스마트카메라는특수한기술을사용함으로써카메라에의해촬영된개인의신분을숨기거나부분적으로보여줄수있다. 이러한카메라의설계는자동적으로행동데이터 ( 걷는것, 자동차이동등 ) 와신원데이터 ( 사람의얼굴, 자동차번호판등 ) 를분리할수있다. 그러므로개인의신원에관한어떠한정보도포함하지않은행동데이터는프라이버시를침해하지않게되며, 행동데이터는시스템을운영하는자에게직접적으로전송된다. 신원데이터는보안또는범죄억지를위한이유로법시행기관에전송된다. 또한스마트카메라의데이터는관련법률에따라특정기간동안만보관하도록프로그램화된다. 그리고 Privacy by design 의원칙적용의또다른예는이미지암호화인데, 이는 CCTV 카메라의프라이버시침해에대한대응책이라고본다. 이기술을사용함으로써특정데이터는미리신원이확인된특정인에게만보여질수있게된다. 특정인은암호키를보유하고있는자로서그데이터에대한접근여부를제어할수있다. 누군가 CCTV 카메라의테이프를가져간경우에도, 그데이터는암호화되어있기때문에안전한상태로남아있게된다. 53) 스마트그리드 (Smart grid) 는쌍방향정보교환을통한전력망의현대화를의미한다. 이는소비자에게언제, 어떤방식으로, 어느정도의비용으로전기를사용할것인가에대한더많은선택권부여, 전기공급장애, 물리적 사이버공격, 자연재해의경우자가치유, 광범위한에너지자원과의연결, 더나은고품질전기의제공및전기효율의극대화를달성하기위한것이다. 그러나스마트그 53) Anna Romanou, The necessity of the implementation of Privacy by Design in sectors where data protection concerns arise, p. 9~10.
22 第 29 卷第 4 號 (2017.12) 리드는전기서비스의제공및이에대한가격통지, 원격으로이루어지는전기의공급과단절, 기기의도난탐지, 에너지효율분석및모니터등을위하여매우세밀한개인정보를수집하고이용하기때문에프라이버시침해문제가우려된다. 예를들면, 거주자가전자레인지로조리하는식사를하는경향이강한지, 아침을먹는지여부, 거주자가집에있는시간과외출하는시간, 집에알람시스템이있는지여부와그것이있다면얼마나자주작동이되는지, 언제 TV 또는컴퓨터가이용되는지, 집에식기세척기또는드라이어가있는지여부와얼마나자주사용되는지, 런닝머신과같은운동기기가얼마나자주사용되는지, 집에있는기기의숫자와종류, 거주자가언제잠을자고일어나는지등매우자세한개인의행동정보를수집한다. 54) 스마트그리드와관련한개인정보및프라이버시침해문제의우려를완화하는동시에스마트그리드의기능활성화를위하여이시스템에 Privacy by design 을적용한 스마트프라이버시 (SmartPrivacy) 모델 이제안된바있다. 이모델에따르면, 제공되는서비스의질과양은유지하되, 소비자로부터수집하는개인정보의양을줄이며, 소비자의개인정보수집 이용 공개와관련하여소비자와투명하게소통을해야한다. 또한소비자의프라이버시보호방법을미리계획하고, 개인정보의사용이전에시스템에프라이버시보호조치를확립해야한다. 기존에수집하였던목적을위해개인정보가더이상필요하지않을때는안전하게파기해야한다. 개인정보의이용, 보관, 공개와관련하여다양한소비자성향을반영하고, 이를기반으로소비자가개인정보보호옵션을선택할수있도록해야한다. 또한프라이버시강화기술을활용하는능력으로새로운기회와시장을창출해야한다. 소비자에게정확한정보를제공하며개인정보에대한접근을허용하며, 잘못된정보를수정하도록해야한다. Privacy by default 와개인정보침해통지와같은프라이버시와보안프로토콜강화하여개인정보오남용에대한저항력을강화해야한다. 또한환경개선을위한개인의참여를독려하여스마트그리드와관련기술내에서소비자의신뢰를보장한다. 55) 이처럼다양한분야의정보기술및시스템마련에있어서 Privacy by design 의원칙을적용한예를살펴보았다. 이는정보기술및시스템의설계 54) Ann Cavoukian, Jules Polonetsky, SmartPrivacy for the Smart Grid: embedding privacy into the design of electricity conservation, Identity in the Information Society Vol.3 Issue 2, Springer, 2010, p. 278~284. 55) Ann Cavoukian, Jules Polonetsky, SmartPrivacy for the Smart Grid: embedding privacy into the design of electricity conservation, p. 285~287.
Privacy by design 의도입과그적용에관한소고 23 단계부터개인정보및사생활의보호조치를이행하도록하는동시에개인정보를유용하게사용함으로써정보기술및시스템의기능강화달성을가능하게한다. 이를통해개인정보및사생활침해를미리예방하고, 개인정보의이용에대한신뢰를확보할수있을것이다. 결국 Privacy by design 이지향하고있는개인정보의이용과보호의균형을달성할수있게된다. 4. 우리나라에의도입방향 Privacy by design 은개인정보및사생활침해가심각해지고있는지능정보사회에서그대안이될수있는것으로정보기술및관련시스템의계획단계, 상품개발이나서비스기획단계에서부터프라이버시의보호및강화를위한조치와기술을확립하는포괄적인절차를의미한다. Privacy by design 의개념자체는다소추상적일수있으나, 7가지기본원칙을바탕으로이를실행하기위한이행조치가마련되어야한다. 특히지능정보사회에서핵심적인요소라고할수있는빅데이터활용과관련하여이를뒷받침하고있는모바일기기, 사물인터넷, 인공지능시스템의체계확립에있어서 Privacy by design 실현전략을이용하여구체적인조치를이행하고관련기술을발전시켜야한다. 물론우리나라도개인정보및사생활침해에다양한기술개발에힘쓰고있으나, 개인정보및사생활침해를사전에예방할수있는체계의마련에관한논의가더욱강화될필요가있다. 이러한측면에서 Privacy by design 은정보기술및관련시스템, 상품및서비스의개발단계에서부터프라이버시보호를대전제로하여관련조치를취하고, 이를기반으로개인정보의활용을통하여소비자에게이익을제공하기때문에개인정보의보호와활용의균형을위한대안이될수있다. 앞서 Privacy by design 에관한외국의입법과정책에서살펴본바와같이, 내년에시행되는유럽연합의 일반정보보호규칙 은 Privacy by design 에관한내용을규정하고있으며, 이에대한이행을의무화하고있다. 또한다른국가에서는 Privacy by design 은정보주체의개인정보및사생활보호를위하여필수적인것이며, 확립될필요가있는제도임을인식하고있다. 그리고앞서언급하지않았지만, 2010년에독일에서개최되었던 연방정보보호위원회컨퍼런스 (Conference of the Data Protection Commissioners of the Federation and the Länder) 에서독일의 연방정보보호법 (Federal Data Protection Act) 은앞
24 第 29 卷第 4 號 (2017.12) 으로 Privacy by design 에관한조항을규정해야한다고제안된바있으며, 여기에는정보처리자뿐만아니라상품의제조자및설계자도법적으로개인정보처리에대해책임을지도록해야한다는내용을포함하고있다. 56) 내년의시행을앞두고있는유럽연합의새로운개인정보보호법에대응하여개정된독일의새로운 연방정보보호법 은 Privacy by design 에관한규정 57) 을두고있다. 영국의정보보호감독국은 Privacy by design 이 정보자유법 (Freedom of Information 2000) 상의하나의원칙으로서포함되어야한다고강조한바있다. 그러나이와관련하여특정조항, 정보보호당국의권한또는개인의권리에관하여구체화되지는않았다. 58) Privacy by design 은정보주체의개인정보및사생활의보호수준을향상시킬수있는수단으로인정되고있으며, 법적체계로의편입필요성이높아지고있다고볼수있다. 더욱이빅데이터활용으로심각해지는개인정보및사생활의침해에대응하기위하여 Privacy by design 을우리나라의 개인정보보호법 상준수되어야할기본원칙또는절차로규정하여다양한분야의개인정보처리에있어서기본전제가되도록해야한다. 그리고정보기술및그시스템, 상품및서비스등의개발자또는설계자에게도정보주체의개인정보및사생활보호를위한책임자로서관련의무를이행하도록해야할필요가있다. Ⅴ. 결론지능정보사회에서더욱심각해지고있는개인정보및사생활침해에대하여대응하는새로운보호체계가필요하다. Privacy by design 은개인정보를처리하는정보기술및관련시스템의설계단계, 상품및서비스의기획단계에서부터프라이버시의보호및강화를위한조치를마련하는광범위한과정을의미하는것으로, 개인정보및사생활침해의위험을최소화하고개인정보의처리와관련하여소비자와신뢰를쌓을수있는필수적도구이다. 그러므로우리나라의 56) David Krebs, Privacy by Design: Nice-to-have or a Necessary Principle of Data Protection Law?, Journal of Intellectual Property, Information Technology and E-Commerce Law(JIPITEC) Vol.4, Deutsche Gesellschaft für Recht und Informatik e.v.(dgri), 2013, p. 12. 57) Federal Data Protection Act( Bundesdatenschutzgesetz ) Section 71(Data protection by design and by default). 58) David Krebs, Privacy by Design: Nice-to-have or a Necessary Principle of Data Protection Law?, p. 12.
Privacy by design 의도입과그적용에관한소고 25 개인정보보호법 체계내에서 Privacy by design 의이행을의무화하여사전에개인정보및사생활침해를예방할수있도록노력해야한다. ( 논문투고일 : 2017.11.11., 심사개시일 : 2017.11.14., 게재확정일 : 2017.12.18.) 김나루프라이버시바이디자인, 빅데이터, 일반정보보호규칙, 제4차산업혁명, 지능정보사회
26 第 29 卷第 4 號 (2017.12) 참고문헌 관계부처합동, 제4차산업혁명에대응한 지능정보사회중장기중합대책 ( 안 ), 2016 김나루, 빅데이터활용과개인정보보호체계의재구축을위한헌법적고찰, 숙명여자대학교대학원박사학위논문, 2017 최혜선, 개인정보보호의신경향-프라이버시중심디자인 (Privacy by Design) 을중심으로-, 일감법학 제24권, 건국대학교법학연구소, 2013 행정자치부 한국정보화진흥원, 개인정보비식별화에대한적정성자율평가안내서, 2014 Alan Hedley, Privacy as a Factor in Residential Buildings and Site Development - An Annotated Bibliography, Bibliography Vol. 32, National Research Council of Canada, 1966 Ann Cavoukian, Operationalizing Privacy by Design: A Guide to Implementing Strong Privacy Practices, Information and Privacy Commissioner, 2012 Ann Cavoukian et al, Remote home health care technologies: how to ensure privacy? Build it in: Privacy by Design, Identity in the Information Society Vol.3 Issue 2, Springer, 2010 Ann Cavoukian, Claudiu Popa, Embedding Privacy Into What s Next: Privacy by Design for the Internet of Things, Privacy & Big Data Institute, 2016 Ann Cavoukian, Jeff Jonas, Privacy by Design in the Age of Big Data, Information and Privacy Commissioner, 2012 Ann Cavoukian, Khaled El Emam, Dispelling the Myths surrounding De-identification: Anonymization Remains a Strong Tool for Protecting Privacy, Information & Privacy Commissioner of Ontario, 2011 Ann Cavoukian, Jules Polonetsky, SmartPrivacy for the Smart Grid: embedding privacy into the design of electricity conservation, Identity in the Information Society Vol.3 Issue 2, Springer, 2010
Privacy by design 의도입과그적용에관한소고 27 Anna Romanou, The necessity of the implementation of Privacy by Design in sectors where data protection concerns arise, Computer Law & Security Review, doi: 10.1016/j.cslr.2017.05.021, ELSEVIER, 2017 C. Burton et al, The Final European Union General Data Protection Regulation, BNA Privacy & Security Law Report, Bloomberg BNA(The Bureau of National Affairs), 2016 David Krebs, Privacy by Design: Nice-to-have or a Necessary Principle of Data Protection Law?, Journal of Intellectual Property, Information Technology and E-Commerce Law(JIPITEC) Vol.4, Deutsche Gesellschaft für Recht und Informatik e.v.(dgri), 2013 European Union Agency For Network And Information Security(ENISA), Privacy by design in big data-an overview of privacy enhancing technologies in the era of big data analytics, 2015 European Union Agency For Network And Information Security(ENISA), Privacy and Data Protection by Design-from policy to engineering, 2014 FEDERAL TRADE COMMISSION, Protecting Consumer Privacy in ad Era of Rapid Change, FTC REPORT, 2012 George Drosatos et al, Towards Privacy by Design in Personal e-health Systems, Proceedings of the 9th International Joint Conference on Biomedical Engineering Systems and Technologies(BIOSTEC 2016), Volume 5: HEALTHINF, SCITEPRESS, 2016 K. Chandramouli et al, Knowledge Modeling for Privacy-by-Design in Smart Surveillance Solution, 2013 10th IEEE International Conference on Advanced Video and Signal Based Surveillance, IEEE, 2013 Martin Degeling et al, Privacy by Socio-Technical Design: A Collaborative Approach for Privacy Friendly System Design, 2016 IEEE 2nd International Conference on Collaboration and Internet Computing (CIC), IEEE, 2016 Michelle Chibba Ann Cavoukian, Privacy, consumer trust and big data:
28 第 29 卷第 4 號 (2017.12) Privacy by design and the 3 C'S, 2015 ITU Kaleidoscope Academic Conference: Trust in the Information Society (K-2015), IEEE, 2015 Michael H. Davis et al, A Cybermodel for Privacy by Design: Building privacy protection into consumer electronics, IEEE Consumer Electronics Magazine Vol. 4 Issue 1, IEEE, 2015 Noria Foukia et al, PISCES: A framework for privacy by design in IoT, 2016 14th Annual Conference on Privacy, Security and Trust (PST), IEEE, 2016 Peter Mell, Timothy Grance, The NIST Definition of Colud Computing, Special Publication 800-145, National Institute of Standards and Technology, 2011 Peter Schaar, Privacy by Design, Identity in the Information Society Vol.3 Issue 2, Springer, 2010 Thomas Lorünser et al, Cloud Security and Privacy by Design, Conference paper(6th International Conference on E-Democracy), 2015 利用者視点を踏まえたICTサービスに係る諸問題に関する研究会, スマートフォンプライバシーイニシアティブ概要 - 利用者情報の適正な取扱いとリテラシー向上による新時代イノベーション-, 2012
A Study on the Introduction and Application of Privacy by design 29 Abstract A Study on the Introduction and Application of Privacy by design Kim, Na Roo We have been experiencing the rapid change of Information and Communication Technology while facing the Fourth Industrial Revolution. Intelligence Information Technology, which processes data at high level by combining artificial intelligence technique with the use of data, is a critical element in the Fourth Industrial Revolution. Big data plays an important role for the development of Intelligence Information Technology. A variety of personal information for the use of big data are collected through various mobile devices, Internet of Things and different sensors and data analytics technologies identify individuals in large datasets. Because of that, it becomes more difficult for the owner of personal information to control their personal information and the infringement of privacy happens more than ever before. It s time to discuss a new paradigm to be able to deal with that. Privacy by design is a wide process of establishment of privacy measures from design for products, services, information technologies and systems involved. It is an important tool which can minimize the dangers for the infringement of personal information and privacy and build trust and credibility with customers. Therefore, we should make an effort to prevent the infringement of personal information and privacy by necessarily implementing the principles of Privacy by design.
30 SungKyunKwan Law Review Vol.29 No.4 (Dec. 2017) Kim, Na Roo Privacy by design, Big data, General Data Protection Regulation, the Fourth Industrial Revolution, Intelligence Information Society