"가명정보니까 괜찮다"는 이루다 개발사…네이버는 달랐다

네이버 CPO "가명정보도 보호해야"…현행법보다 꼼꼼한 절차 수립
"AI 성능 뛰어나도 이용자가 불안하면 좋은 서비스 아냐"

인공지능(AI) 챗봇 '이루다' 개발사 스캐터랩이 '연애의 과학' 등 다른 앱으로 카카오톡 대화를 수집하는 과정에서 개인정보보호법을 어긴 의혹이 있어 정부 조사를 받고 있다.

조사 결과에 IT업계 전반의 시선이 쏠린 상황에서 업계 일각에서는 네이버처럼 개인정보 보호 정책을 자율적으로 강화해야 한다는 목소리도 나온다.

21일 IT업계에 따르면, 네이버는 국내 가장 엄격한 수준의 개인정보 보호 절차를 마련하고 주기적으로 손질하고 있다.

최근 발간된 '2020 네이버 개인정보 보호 리포트'를 보면, 이진규 네이버 개인정보보호책임자(CPO·DPO)는 지난해 8월 네이버 임직원에게 데이터3법 주요 개정 내용을 사내 교육했다.

이 CPO는 이 자리에서 "개정 개인정보보호법에는 데이터의 안전한 활용을 위해 '가명 처리'와 '가명정보'의 개념이 도입됐다"며 "데이터의 활용도 중요하지만, 가명정보도 개인정보로서 안전한 보호가 필요하다"고 말했다.

그의 말처럼 개인정보보호법 개정 이후 네이버는 가명정보 처리 및 활용에 관해 국내 가장 엄격한 수준의 절차를 마련했다.

네이버는 각 부문의 개인정보 보호 담당자가 개인정보 영향평가를 받은 다음에 가명 처리를 할 수 있도록 했다.

현행법은 기업에는 개인정보 영향평가를 강제하지 않고 있는데, 자율적으로 더 강화한 절차를 만든 것이다.

또 네이버는 가명정보도 적정성 검토를 거친 다음에 활용하도록 내부 절차를 수립했다.

개인정보 가명 처리 및 가명정보 활용 절차는 스캐터랩이 정부 조사를 받는 핵심 이유다.

스캐터랩은 '연애의 과학'·'텍스트앳' 등 연애 분석 앱으로 수집한 카톡 대화를 가명 처리해 이루다 개발에 썼는데, 가명 처리가 부실했고 가명정보를 활용하는 과정에서 이용자들 동의를 제대로 받지 않았다는 의혹을 받고 있다.

스캐터랩은 가명 처리가 부실했다는 지적은 일부 인정했지만, 이루다 데이터베이스의 정보를 조합해 한 개인을 특정하는 것은 불가능하다는 입장이다.

즉 유출된 정보가 있어도 '개인정보'가 아니라 '가명정보'이므로 위법은 아니라는 주장이다.

한 개인정보 전문가는 "가명정보도 개인정보이므로 보호해야 한다는 네이버 CPO의 말과 비교하면 적나라하게 드러나듯, 스캐터랩은 최신 개인정보 동향과 동떨어진 해명을 하고 있다"고 지적했다.

네이버가 최근 국내 기업 최초로 공개한 'AI 스피커 프라이버시 정책'도 스캐터랩 사건과 비교했을 때 의미심장하다.

네이버는 최근 "이용자 입장에서 AI 스피커로 전송된 음성이 어떤 과정을 거치는지 몰라 불안할 수 있을 것"이라며 '클로바' 등 네이버 AI 스피커가 음성 정보를 어떻게 보호하는지 공개했다.

네이버 AI 스피커는 전송된 음성 정보와 계정 정보의 연결을 일주일 이내에 끊어서 해당 음성이 누구 음성인지 알 수 없도록 조처하고, 음성 정보는 2년 동안만 보관한다고 한다.

지난해 9월에는 음성 정보 수집 여부를 이용자가 직접 결정할 수 있는 기능도 추가됐다.

국내에서 처음 도입되는 기능이다.

네이버 측은 이런 정책을 알리는 리포트에서 "AI 스피커는 더 많은 데이터를 학습할수록 이용자의 명령을 더 잘 알아들을 수 있지만, 아무리 성능이 뛰어나도 이용자를 불안하게 만드는 서비스는 좋은 서비스라고 보기 어려울 것"이라고 꼬집었다.

네이버는 지난해 7월에는 이용자가 개인정보 수집 및 제3자 제공 동의를 언제든지 쉽게 철회할 수 있는 기능을 추가하기도 했다.

네이버 이용자는 자신이 개인정보 제공에 언제 동의했는지, 자기 개인정보가 어디에 쓰였는지 등을 모두 확인할 수 있다.

IT업계에서는 '개인정보 자기 통제권'을 우수하게 보장하는 국내 모범 사례라고 말한다.

반면 스캐터랩은 이용자들이 가입할 때 개인정보 수집·이용에 포괄적으로 한 차례 동의했으므로 자사 서비스에 문제가 없다는 입장이다.

한 AI 스타트업 관계자는 "스타트업과 네이버를 같은 선상에 놓고 비교하긴 어렵겠지만, 스캐터랩도 이용자가 200만명이 넘고 수집한 데이터양도 100억건에 달하지 않았느냐"며 "개인정보를 다루는 기업은 규모와 관계없이 최신 동향에 민감해야 한다"고 말했다.

/연합뉴스