지능정보화 이용자행태 조사방법론 개발 및 실증

알고리즘 기술은 어느새 사용자들의 실생활 속에 깊숙이 파고들어 다양한 분야에서 활용되고 있다. 중국은 2015년에 ‘하늘 그물’이라 불리는 실시간 영상 감시 시스템인 ‘톈왕(天網)’을 구축하였다. 톈왕은 약 2000만 대의 감시카메라로 얼굴인식 시스템과 GPS 시스템을 이용하여 범죄자를 추적하는 시스템이다. 중국 언론은 톈왕이 높은 정확도를 보인다고 밝혔으며, 이를 이용하여 2년간 2천명 이상의 범죄자를 체포하였다고 하였다. 이 뿐 아니라 중국은 개개인의 행동양식을 평가하여 신용점수를 매기는 알고리즘 기반 ‘사회신용시스템’을 개발하고 있으며, 개인의 온 ․ 오프라인 정보를 수집하여 다양한 항목의 점수를 매겨 여행 등의 활동을 제한하고 있다. 이러한 알고리즘을 통한 시스템은 점차 그 규모를 확대하고 있으나, 일부 언론들은 이와 같은 시스템은 알고리즘을 이용하여 개인을 과도하게 감시하는 것이며 이로 인해 개인의 사생활이 침해될 수 있다고 우려를 표하였다. 이와 같이 알고리즘 기술은 편리성을 가져다 줄 수 있으나, 사생활 침해와 같은 문제를 야기할 수 있다. 국내뿐 아니라 전 세계적으로도 구글, 페이스북, 트위터 등 초국적 기업들이 알고리즘 기반 서비스를 제공하고 있는 가운데 개인 정보 보호 이슈가 대두되고 있다. 2013년 페이스북은 개인 정보 유출 파문에 휩싸였으며, 2012년 페이스북이 사용자들의 동의를 얻지 않은 채로 감정 전이 실험을 진행한 사건이나 2014년 페이스북의 협력사 캠브리지 애널리티카(Cambridge Analytica)가 페이스북 가입자의 개인 정보를 유출하여 논란이 된 사건들은 그 구체적인 사례라 할 수 있다. 이 외에도 2014년 구글이 구글 지도 서비스 ‘스트리트 뷰(Street View)’를 만들면서 개인 정보를 무단으로 수집한 사건이나 2017년 안드로이드 사용자들의 위치정보를 무단으로 수집한 사건 등 구글, 페이스북과 같은 거대 기업의 개인 정보 수집과 이용에 대한 지속적인 비판이 이루어졌다. 이와 같이 알고리즘에 의한 개인 정보 침해 사례가 지속적으로 발생하고 있는 바, 특히 인공지능 스피커(AI speaker) 사용의 확산에 따라 인공지능 기술에 대한 개인 정보 유출 및 보호와 관련한 이슈가 사회적으로 대두되었다. 이처럼 사용자들의 개인정보보호에 대한 염려가 높아지는 가운데 2018년 5월 발효된 GDPR은 유럽 연합(EU) 가입국 거주민의 개인 정보 주체 권리 강화와 정보 시장(data market)에서의 개인 정보의 자유롭고 원활한 이동에 관한 규칙으로서 만들어졌다(박아란 ․ 오세욱, 2017). EU에 속한 국가별 개인 정보 보호와 관련된 통일된 규제가 부재하며, 이에 따라 정보의 이동 및 활용에 제약이 있는 문제를 해결하고자 하였다. GDPR은 1인 정보의 처리와 관련하여 자연인(natural person)을 보호하며, 개인 정보의 이동과 관련한 규칙을 규정하고 유럽 연합 내에서 이동하는 개인 정보가 개인 정보 처리와 관련된 자연인 보호와 직결되는 특정한 사유에 의해서 차별받거나 제한되지 않는 데 목표를 두고 있다. GDPR은 기존 EU 지침에 비하여 개인 정보 주체의 권한이 더욱 강화되었고, 특정 개인에 대한 결정을 내릴 때 개인정보가 처리되는 경우에 발생하는 개인적 측면에 대한 영향 평가를 수행하는 등 개인 정보 처리자의 활동에 더 많은 규제를 부과하고 있다. 특히, 유럽 연합 내에 설립된 기업뿐만 아니라 EU 내 설립되지는 않았으나 개인 정보 처리자 또는 수탁 처리자가 유럽 연합 내에 거주하는 개인 정보 주체의 개인 정보를 처리하는 경우에도 적용함으로써 영토적 범위를 넓게 적용하였다(GDPR 제3조 영토의 범위). 이는 EU 국가와 비즈니스를 하는 기업뿐만 아니라 EU 국민의 개인 정보를 처리하는 모든 기업까지 효력의 범위를 넓힘으로써 전 세계적으로 EU 회원국의 데이터를 보호하고자 한 것이다(최보미 ․ 채상미 ․ 김민균 ․ 강연정, 2018), 또한, GDPR은 국내의 개인 정보보다 넓은 범위의 정보를 개인 정보 보호 대상으로 규정하였다. 국내의 개인 정보가 ‘살아 있는 개인에 관한 정보로서, 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)’를 의미하는 반면(개인정보보호법 제2조 1항), GDPR에서의 개인 정보는 식별가능한 정보뿐 아니라 업무 성과, 경제적 상황, 건강, 개인적 선호 등 자연인에 관련한 개인적인 특정 측면을 평가하기 위해 개인정보를 사용하여 이루어지는 모든 형태의 자동화된 개인 정보를 포함한다. 즉, 개인 정보의 범위가 문자를 넘어서 숫자, 그림 등으로 확대된 것이다(GDPR 제4조 4항). 이외에도 개인 정보 처리자가 개인 정보 주체에게 개인 정보의 사용 목적 등에 대한 문서화 의무 등을 명확히 규정하였으며, 데이터 보호 지침에 비하여 처벌을 더 강화하여 개인 정보 보호의 실효성을 폭넓게 확보하였다(조수영, 2018). 개인정보 보호와 관련하여 국내의 경우 개인정보보호법에 따라 개인 정보 영향 평가(PIA)를 수행하고 있으나, 조수영(2018)은 개인 정보 보호와 관련된 정책 보완이 필요하고 지적하였다. GDPR의 경우 PIA 보고서를 공개하도록 명시하고 있으나 우리나라는 의무 사항은 아니며, GDPR의 대상이 공공기관과 민간 등을 포함하고 있으나 국내의 경우 민간 개인정보처리자는 권고 대상이라는 점에 근거하고 있다. 영향 평가 대상의 확대, PIA 보고서의 의무화 및 공개, 국제 표준에 맞는 우리나라의 영향 평가 표준 제작 등의 방안을 통하여 개인정보보호에 대한 권리 보장을 확대시킬 필요가 있다고 지적하였다. 그럼에도 불구하고 오태현 ․ 강민지(2018)는 EU의 데이터 시장 가치가 꾸준히 증가하고 있는 상황에서 유럽의 GDPR은 전세계적으로 큰 영향을 미칠 것으로 예측하였다. 단기적으로는 새로운 인프라 구축 및 조직 개편, 혁신적인 중소벤처 스타트업 출범의 어려움 등의 비용을 유발할 수 있으나, 중장기적으로 개인정보보호 강화에 따른 소비자 신뢰가 증가하고 국경 간 개인 정보의 이동이 자유로워 질 것이라는 측면에서 편익이 더 크다고 판단하였다. 2018년 5월 발효된 유럽 연합(EU)의 일반개인정보보호규정(GDPR) 개정안에는 ‘설명을 요구할 권리(Right to explanation)’ 개념을 포괄함으로서 알고리즘 투명성 측면에 강조점을 두고 있다(오세욱, 2016). 비록 ‘설명을 요구할 권리’는 GDPR에 명시적인 문구로 구체화되지는 않았지만, 굿맨과 플랙스먼(2016)은 GDPR의 13~15조를 해석하면서(Goodman & Flaxman, 2016), 데이터 주체가 프로파일링을 포함해 자동화된 처리에만 의존한 의사결정에 종속되지 않을 권리가 있다고 강조한 규정으로서 사실상 알고리즘의 설명책무성을 명문화한 규정이라고 해석한다. 즉, 알고리즘 서비스 회사가 알고리즘에 따라 개인 정보를 이용하여 자동화된 결정을 내린 경우 사용자는 회사에게 어떻게 정보를 수집했으며 어떤 과정을 통해 의사결정을 내린 것인지에 대해 설명을 요구할 수 있음을 규정한다.