"GDPR보다 더 센 규제…韓, 이용 가능 데이터 부족"

[아이뉴스24 김국배 기자] "국내 기업들은 현재 데이터가 부족한 환경에 놓여있습니다."

네이버 정보보호최고책임자(CISO)인 이진규 리더는 지난달 28일 경기 성남시 네이버 그린팩토리 사옥에서 기자와 만나 "데이터는 인공지능(AI)의 학습을 이끌어가는 요소로 중요한 의미를 갖는다"며 이같이 지적했다.

그는 데이터 경제의 시대가 왔지만 국내 기업은 AI 기술 발전에 활용할 수 있는 데이터가 충분치 않다는 점에 대해 우려를 표시했다.

예를 들어 네이버 클로바 등 음성 인식 비서 서비스 개발을 위해서는 다양한 음성 정보가 축적돼야 하는데 그렇지 못한 상황이라는 게 그의 말이다.

이 리더는 "PCM 포맷 등 압축되지 않은 음성 데이터가 존재해야 AI 학습 모델 변화가 있을 때마다 데이터를 재사용해 모델을 정교화할 수 있다"며 "그러나 실제 PCM 포맷의 음성 데이터를 AI 학습에 활용하기에는 데이터가 턱없이 부족하며, 공공 데이터로 확보하기도 매우 어렵다"고 토로했다.

또 "만약 확보한다고 하더라도 최초 수집한 목적과 달리 사용하는 것으로 인정되는 경우 활용이 불가능하다"고 덧붙였다.

그는 데이터 확보가 어려운 이유 중 하나로 규제를 가장 먼저 꼽았다. 개인정보를 적법하게 처리할 수 있는 근거 자체가 적은 데다 프라이버시에 대한 기대 수준도 높은 편이다. 그러다보니 공공·해외 데이터에 의지하는 처지다.

이 리더는 "유럽연합(EU)의 일반 개인정보보호법(GDPR)에서는 당사자 동의 외에도 개인정보 처리 근거를 다섯 가지 더 제시하고 있다"며 "또 미국은 페이스북에 공개적으로 쓴 글에서는 프라이버시를 기대하기 어려우며(제3자 원칙) 보편적으로 활용이 인정된다"고 말했다.

실제로 GDPR은 동의를 포함해 정당한 이익(legitimate interests), 계약 이행(performance of contract), 중대한 이익(vital interests), 공익을 위한 처리(public interests), 법률 의무 준수(compliance) 등 총 6개 개인정보 처리 근거를 제시한다.

그는 또한 "개인정보 처리 목적이 양립할 수 있는 경우 원래 수집한 목적 외 다른 목적으로도 추가 처리가 가능한 구조"라며 "이용자가 예측가능하고 합리적으로 수용할 수 있는 목적에서 추가 처리가 가능하다는 뜻"이라고 설명했다.

그러면서 "동의가 없더라도 다른 법률적 근거를 들어 충분히 수집할 수 있는 체계를 만들어 놓은 것"이라고 덧붙였다.

반면 우리나라 정보통신망법은 이용자 동의 없이는 개인정보를 처리할 수 없는 구조라는 게 그의 얘기다. 오히려 우리나라 개인정보보호 관련법이 GDPR에 비해 규제 수준이 훨씬 더 강하다는 의미다.

그는 "GDPR은 개인정보 처리에 있어 정보주체를 보호하는 동시에 개인정보의 (EU 내) 자유로운 흐름을 보장함으로써 개인정보 활용을 통한 디지털 단일 시장 활성화를 꾀한다"며 "반면 우리나라 개인정보보호법은 말그대로 '활용'은 담아내지 못하는 보호 일변도의 법"이라고 지적했다.

이 리더는 다양한 부문에 포진돼 있는 데이터 활용 제한 요소를 하나하나 풀어나가는 작업이 필요하다고 말했다.

그나마 최근 우리 정부도 데이터 경제 활성화에 나서며, 가명정보에 관한 법적근거를 마련하기로 하는 등 개인정보 규제를 완화하는 분위기지만 효과는 미지수다.

이 리더는 "제한적인 데이터 활용의 뒷면에는 제도와 문화 문제가 있다"며 "'변화 못따르는 규제는 반드시 혁파'한다는 자세로 대응해야 할 것"이라고 강조했다.