개인정보 비식별화: 활용 가능성을 남기고 재식별 위험을 관리하는 법

비식별화는 데이터셋의 식별 가능성을 낮추는 작업이다

개인정보 비식별화(De-identification)는 데이터셋에서 개인을 알아볼 수 있는 요소를 제거하거나 다른 값으로 바꿔, 특정 개인을 식별하기 어렵게 만드는 기술적 조치다. 데이터 활용 요구가 커지는 동시에 개인정보보호법 등의 규제가 강화되는 환경에서, 프라이버시 보호와 분석 가치 사이를 연결하는 역할을 한다.

비식별화된 정보는 더 이상 개인정보로 간주되지 않아 개인정보보호법 적용에서 벗어날 수 있으며, 이는 데이터 활용의 법적 장벽을 낮추는 효과로 이어진다.

작업의 출발점은 데이터 안의 정보를 구분하는 일이다.

• 식별자(Identifier): 이름, 주민등록번호, 전화번호처럼 개인을 직접 식별할 수 있는 정보
• 준식별자(Quasi-identifier): 연령, 성별, 우편번호처럼 단독으로는 식별이 어렵지만 다른 정보와 결합하면 개인을 알아낼 수 있는 정보
• 민감정보(Sensitive Information): 건강정보, 금융정보, 정치적 견해 등 민감한 개인 특성에 관한 정보

데이터 목적에 맞춰 변환 방식을 고른다

식별 가능성을 낮추는 방식은 하나가 아니다. 데이터의 특성과 활용 목적에 따라 삭제(Suppression)로 식별자를 완전히 없앨 수 있고, 마스킹(Masking)으로 일부 값을 * 등으로 대체할 수도 있다. 가명처리(Pseudonymization)는 식별자를 가명으로 바꾸는 방식이다.

값 자체의 정밀도를 줄이는 방법도 있다. 범주화(Categorization)는 나이를 연령대로 바꾸듯 정확한 값을 범주로 표현한다. 총계처리(Aggregation)는 개인 데이터를 그룹으로 묶어 통계값으로 변환한다. 노이즈를 추가하거나 순서를 바꾸는 랜덤화(Randomization), 필요 이상의 상세 정보를 덜어내는 데이터 값 삭제(Data Reduction)도 선택지다.

적용 과정은 자동화 도구나 매뉴얼 프로세스로 수행할 수 있다. 다만 변환 결과를 곧바로 활용하기보다, 품질과 적정성을 다시 확인하는 흐름이 필요하다.

⤢✕

분석 가치와 재식별 가능성을 함께 평가한다

변환 후에는 데이터의 분석 가치가 심각하게 손상되지 않았는지 확인해야 한다. 평가 대상에는 데이터 완전성(Completeness), 정확성(Accuracy), 일관성(Consistency), 분석 적합성(Analytical Suitability)이 포함된다. 결과가 활용 목적에 맞지 않으면 적용한 비식별화 방법을 다시 조정한다.

이와 별도로 비식별 조치가 충분했는지, 즉 재식별 위험이 어느 정도인지를 평가한다. 외부 전문가를 포함한 평가단이 K-익명성, L-다양성, T-근접성(KLT 모델) 등의 기준을 활용할 수 있다.

• K-익명성(K-anonymity): 각 레코드가 최소 K개의 다른 레코드와 구별되지 않도록 한다.
• L-다양성(L-diversity): 각 동질 그룹에 민감한 속성이 최소 L개 이상 존재하도록 한다.
• T-근접성(T-closeness): 각 동질 그룹의 민감 속성 분포와 전체 데이터 분포의 차이가 T 이하가 되도록 한다.

적정성 평가를 통과한 데이터는 최종 형태로 변환해 배포한다. 이때 데이터 접근 권한, 사용 목적, 보안 조치에 관한 가이드라인도 함께 제공해야 한다. 배포로 끝나는 작업도 아니다. 정기적인 재식별 위험 평가, 외부 데이터 결합 가능성 점검, 새로운 재식별 기술 동향 파악, 필요 시 추가 비식별화 조치가 뒤따라야 한다.

의료와 위치정보에서 적용한 방식

서울대병원은 환자 진료 데이터를 연구 목적으로 활용하면서 환자 이름·주민등록번호·전화번호 등 직접 식별자를 삭제했다. 환자 ID는 가명으로 대체하고, 생년월일은 연령대로 변환했으며, 정확한 진단일은 분기별로 범주화했다. 희귀질환 정보에는 추가 보호 조치도 적용했다. 이 방식으로 개인 식별 위험을 최소화하면서 의학 연구에 필요한 데이터 가치를 유지할 수 있었다.

SK텔레콤은 고객 위치정보를 활용한 유동인구 분석 서비스에서 전화번호와 IMEI 등의 개인 식별자를 제거했다. 위치정보는 정확한 좌표 대신 500m×500m 셀 단위로 총계처리했고, 시간대별 집계 데이터만 사용했다. 10명 미만 데이터는 표시하지 않는 임계값도 적용했다. 이를 통해 개인정보보호법을 준수하면서 유동인구 데이터 서비스를 제공할 수 있었다.

비식별화 강도는 유용성과 충돌할 수 있다

완벽한 비식별화는 사실상 불가능하다. 기술이 발전하고 외부 데이터가 늘어날수록 재식별 위험도 계속 달라진다. 2006년 넷플릭스가 공개한 익명화된 영화 평점 데이터가 외부 데이터와 결합되어 개인이 재식별된 사례가 이를 보여준다.

비식별화 수준을 높일수록 개인정보 보호는 강화되지만 데이터 유용성은 감소한다. 반대로 수준을 낮추면 데이터 유용성은 증가하는 대신 개인정보 보호는 약화된다.

⤢✕

국가마다 비식별화의 법적 기준은 다르며, 국내 관련 법규와 가이드라인도 지속적으로 업데이트되고 있다. 데이터 활용의 투명성, 정보주체의 자기결정권 존중 같은 윤리적 문제도 함께 다뤄야 한다.

비식별화만으로 해결하기 어려운 영역

차등 프라이버시(Differential Privacy)는 데이터에 수학적으로 계산된 노이즈를 더해 개인정보를 보호하면서 통계 분석 결과의 정확성을 유지하는 기법이다. 애플, 구글 등 대형 기술기업들이 이미 도입해 활용하고 있다.

연합학습(Federated Learning)은 원본 데이터를 공유하지 않고 각 기관에서 학습된 모델만 공유한다. 따라서 데이터 자체를 비식별화해야 하는 필요성을 줄일 수 있다.

동형암호(Homomorphic Encryption)는 암호화된 상태에서 연산할 수 있는 기술이다. 데이터를 복호화하지 않고도 분석할 수 있어 비식별화의 대안으로 주목받고 있다.

개인정보 비식별화는 일회성 변환이 아니라 데이터의 활용 목적, 분석 품질, 재식별 위험, 법적·윤리적 요구를 함께 관리하는 방법론이다. 조직은 비식별화 절차와 사후 위험 관리를 통해 데이터 가치를 활용하면서 개인정보 보호 의무를 준수할 수 있다.