ISO/IEC 20889로 보는 개인정보 비식별화 기법과 평가

데이터 활용과 식별 위험 사이의 기준점

개인정보를 분석이나 서비스 개발에 활용하려면, 데이터의 가치를 보존하면서 개인을 알아볼 가능성은 낮춰야 한다. ISO/IEC 20889는 이 문제를 다루기 위해 개인정보 비식별화 관련 용어와 기법의 분류를 제시한 국제표준이다.

2018년에 제정된 이 표준의 정식 명칭은 “Privacy enhancing data de-identification terminology and classification of techniques”이다. 개인정보처리자, 데이터 분석가, 개인정보 보호 책임자 등이 비식별 처리 기법을 선택하고 평가할 때 공통 기준으로 활용할 수 있다.

비식별화는 개인정보 안의 식별 요소를 제거하거나 다른 값으로 바꿔 개인 식별 가능성을 낮추는 과정이다. 이를 통해 분석과 서비스 개발에 데이터를 활용할 여지를 넓히고, 데이터 주체의 프라이버시 침해 위험을 줄이며, GDPR 등 개인정보보호 법률 준수를 지원할 수 있다.

비식별화에 사용하는 처리 방식

ISO/IEC 20889는 비식별화 도구를 7가지 주요 카테고리로 구분한다. 각 방식은 데이터 유형과 활용 목적, 허용 가능한 유용성 저하 수준에 따라 다르게 선택된다.

통계적 특성을 남기는 통계도구

통계도구는 세부 값을 일반화하거나 집계해 개별 정보의 식별성을 낮춘다. 집계는 개별 데이터를 합산해 표현하고, 일반화는 구체적인 값을 범주로 바꾸며, 표본추출은 전체 중 일부만 선택해 활용한다.

의료 데이터에서는 정확한 나이를 연령대인 20대, 30대 등으로 바꾸거나, 상세 주소를 시/도 단위로 일반화하는 방식이 이에 해당한다.

⤢✕

원본 접근을 제한하는 암호화도구

암호화도구는 원본 데이터를 알아볼 수 없는 형태로 변환한다. 대칭키 암호화는 같은 키로 암호화와 복호화를 수행하며, 비대칭키 암호화는 공개키와 개인키를 사용한다. 해시함수는 원본 복원이 불가능한 일방향 변환에 사용된다.

금융 거래 데이터에서 계좌번호나 카드번호를 해시 함수로 처리하면 원본을 직접 드러내지 않으면서도 동일 계좌의 거래 패턴을 분석할 수 있다.

식별 정보를 없애는 삭제도구

삭제도구는 식별 가능한 정보를 제거하거나 일부 값을 마스킹한다. 특정 조건의 레코드를 통째로 지우는 레코드 삭제, 식별성이 높은 항목을 없애는 칼럼 삭제, 데이터 일부를 가리는 부분 삭제가 포함된다.

고객 데이터베이스에서 주민등록번호 칼럼을 제거하거나 전화번호 가운데 4자리를 *로 마스킹하는 방식이 예다.

연결 정보를 분리하는 가명화

가명화는 직접 식별자를 다른 값으로 대체해 원본과의 연결을 약화하는 방식이다. 식별자를 임의 값으로 바꾸는 무작위 대체, 원본 식별자와 대체 값의 연결 정보를 따로 관리하는 매핑 테이블, 민감 정보를 의미 없는 토큰으로 바꾸는 토큰화가 있다.

의료 연구에서는 환자 이름이나 ID를 임의 코드로 바꿔 연구자에게 임상 데이터만 제공하고, 실제 식별 정보는 별도로 관리할 수 있다.

⤢✕

민감 속성과 식별자를 나누는 해부화

해부화는 민감 정보와 식별 정보를 별도 테이블에 보관하는 기법이다. 이름·연락처 같은 기본정보와 건강상태·금융정보 같은 민감정보를 나누고, 두 테이블은 임의의 연결 ID로만 이어진다. 식별 가능 정보와 민감 정보의 직접적인 결합을 피하는 데 초점이 있다.

노이즈와 순서 변경을 사용하는 무작위화

무작위화는 데이터에 임의의 오차를 더하거나 레코드 순서를 바꿔 식별성을 줄인다. 노이즈 추가, 레코드 순서 변경, 통계 질의 결과에 계산된 노이즈를 더하는 차분 프라이버시가 여기에 속한다.

인구통계 데이터에 랜덤 오차를 추가하면 개인 식별 가능성을 낮추면서 전체 통계의 유의성을 유지할 수 있다. 구글, 애플 등 대형 기술 기업들은 차분 프라이버시 기법을 활용해 사용자 데이터를 보호하면서 분석 서비스를 제공한다.

통계적 특성을 본뜬 합성데이터

합성데이터는 실제 데이터의 통계적 특성을 유지하도록 인공적으로 만든 데이터다. 원본의 분포와 관계를 학습한 모델로 새 데이터를 만드는 모델 기반 생성, 일부 민감 속성만 바꾸는 부분 합성, 데이터셋 전체를 대체하는 완전 합성이 있다.

금융기관은 신용평가 모델을 개발할 때 실제 고객 데이터 대신 통계적 특성이 유사한 합성 데이터를 만들어 활용함으로써 개인정보 유출 위험 없이 모델 개발을 진행할 수 있다.

⤢✕

선택 기준은 위험과 유용성을 함께 본다

어떤 기법이 적합한지는 데이터 형식만으로 정할 수 없다. 구조화·비구조화, 정형·비정형 같은 데이터 특성뿐 아니라 분석·공유·공개 중 어떤 목적인지, 외부 데이터와 결합될 가능성과 데이터 희소성은 어떤지 검토해야 한다.

비식별화 이후에도 분석 가치가 유지되는지, 구현 복잡성·비용·성능을 감당할 수 있는지도 선택의 기준이 된다. 식별 위험을 강하게 낮추는 처리일수록 데이터 유용성이 떨어질 수 있기 때문이다.

처리 수준은 k-익명성, l-다양성, t-근접성으로 평가할 수 있다. k-익명성은 같은 속성 조합을 가진 레코드가 최소 k개 존재하는지를 본다. l-다양성은 같은 식별자 그룹 안에 민감 속성이 최소 l개 존재하는지 평가한다. t-근접성은 각 그룹의 민감 속성 분포와 전체 분포의 차이가 t 이하인지 확인한다.

제도와 데이터 활용 현장에서의 적용

미국 HIPAA는 의료정보 비식별화에 세이프하버 방식과 전문가 판단 방식을 적용한다. EU GDPR은 가명처리를 개인정보 보호 강화 방안으로 인정하고 가명정보에 대한 규제 완화를 다룬다.

국내에서는 신용정보법에 따른 가명정보 결합과 활용 과정에서 ISO/IEC 20889 기반 비식별 처리가 사용된다. 보건의료 데이터 활용 플랫폼에서는 환자 정보에 가명화와 통계도구를 적용하며, 공공데이터 개방 시에도 비식별 조치 가이드라인에 ISO/IEC 20889가 적용된다.

처리 이후에도 남는 재식별 위험

비식별화만으로 완전한 익명성을 보장할 수는 없다. 외부 데이터와 결합되면 다시 식별될 위험이 남고, AI 기술의 발전은 이 위험을 바꿀 수 있다. 반대로 비식별 처리를 강화하면 데이터의 분석 가치가 낮아질 수 있다.

따라서 데이터 특성과 활용 목적에 맞춰 기법을 고르고, 처리 이후에도 재식별 위험을 주기적으로 평가해야 한다. 차분 프라이버시와 연합학습 같은 프라이버시 보존 기술이 발전하면서 ISO/IEC 20889 역시 진화할 것으로 예상된다.