정보 보호와 개인정보 보호. 데이터와 관련해 종종 함께 언급되는 개념인데 구체적으로 생각해 보기 시작하면 두 개념 사이의 관계가 좀 애매하다. 두 개념이 서로 다른 것인지 생각해 보자. 이는 ‘개인정보 보호는 실무적으로 정보 보호에 포섭되는 개념 아닌가. 따라서 정보 보호를 잘하면 개인정보 보호는 당연히 잘 되는 것 아닌가’하는 질문과도 깊이 연관된 것이다. 결론부터 말하면 이 두 개념은 관련성은 있지만 서로 상당히 다른 것이다.
정보 보호부터 생각해 보자. 정보 보호는 정보 보안과 혼용돼 언급되기도 하는데, 데이터에 대해 정당한 권한이 없는 자가 데이터에 접근하는 것을 차단하는 것을 주로 의미한다. 간단히 말해 조직 내·외부의 침입자로부터 데이터를 안전하게 지키는 것을 말한다. 조직 외부라면 대표적으로 해킹을 통한 침입으로부터의 방어를 생각할 수 있고, 조직 내부라면 해당 데이터에 대한 담당자가 아닌 직원이 데이터에 함부로 접근하지 못하도록 하는 것이 핵심이다.
데이터가 외부에 유출되지 않도록 하는 것에 더해 무단 열람이나 변경이 이뤄지지 않도록 하는 것도 정보 보호에 포함된다. 이와 더불어 데이터의 정확성을 유지하는 것, 그리고 필요한 때에는 지체 없이 데이터의 추출과 이용이 가능한 상태를 유지하는 것도 포함된다. 정보 주체 당사자가 원할 때 원활하게 데이터를 제공하고 서비스 장애가 발생하지 않도록 하는 것 또한 포함해서 생각할 수 있다.
한편 개인정보 보호는 정보 주체의 의사를 반영해 데이터를 통제하고 관리하는 것이 기본이다. 헌법적으로는 정보 주체의 개인정보 자기결정권이 충실하게 구현되도록 하는 것을 의미한다. 이를 위해서는 정보 주체의 의사를 정확히 파악하는 것이 우선돼야 한다. 흔히 개인정보를 수집하고 이용하기에 앞서 이를 수집·이용하려는 목적, 수집하는 개별 항목, 보유 기간 등의 여러 사항에 대해 당사자에게 알리고 동의를 구하는 과정을 거치게 된다. 이런 과정을 통해 당사자의 의사를 확인하고 그러한 의사에 부합하도록 데이터를 처리하는 것이다.
개인정보 보호는 정보 보호에 비해 좀 더 복잡한 과정을 수반할 수 있다. 예를 들어 당사자의 의사를 정확하게 파악했는지 여부나 이와 관련된 소통이 어떻게 이뤄졌는지가 문제될 수 있고, 당사자의 의사가 시간이 지나면서 변할 경우에 이를 어떻게 반영할 것인지가 문제될 수도 있다. 그 이외에도 개인정보 영역에 대한 사회적 규범의 변화 가능성을 포함한 다양한 요소들에 대한 고려가 필요할 수 있다.
개인정보 보호에 대한 고려가 복잡해질 수 있는 가장 큰 이유는 기술적 요소에 대한 고려가 필요한 것은 물론이고 법과 제도에 대한 고려, 그리고 데이터를 이용하는 비즈니스적 목적에 대한 고려가 함께 필요한 경우가 많기 때문이다. 개인정보를 어떤 목적으로 이용할 것인지를 구체화하고 이를 구현하는 과정은 실제로는 매우 다면적인 분석과 판단을 필요로 하는 것이 보통이다. 대규모 데이터를 다루는 기업이라면 개인정보 보호와 관련된 판단이 기업의 중장기 전략과 직접적으로 맞닿은 것이 될 수도 있다. 개인정보 보호를 위해서는 다양한 이슈들에 대한 입체적 고려를 할 수 있는 융합적 판단 역량을 갖추는 것이 경쟁력의 원천이기도 하다.
< 저작권자 ⓒ 서울경제, 무단 전재 및 재배포 금지 >
