개인정보 비식별 조치와 재식별 위험 관리

데이터 활용 전에 정해야 할 비식별의 경계

개인정보 비식별 조치는 개인을 알아볼 수 있는 요소를 전부 또는 일부 삭제하거나 대체해 식별할 수 없게 만드는 작업이다. 빅데이터와 인공지능 활용이 커질수록 개인정보 보호와 데이터 활용 사이에서 이 경계를 설정할 필요도 커진다.

비식별 조치된 정보는 개인정보 보호법상 개인정보로 보지 않아 활용 가능성이 넓어진다. 국내 개인정보 보호법을 비롯해 EU GDPR, 미국 HIPAA 등도 비식별 조치를 데이터 활용의 중요한 기준으로 다룬다.

행정안전부, 방송통신위원회, 금융위원회 등은 범부처 합동으로 2016년 가이드라인을 처음 발표했고 이후 보완을 이어 왔다. 이 가이드라인은 비식별 조치 기준과 방법, 적정성 평가, 사후관리, 비식별 정보 활용, 재식별 발생 시 대응을 다룬다.

처리 목적과 보유 조건부터 다시 확인한다

비식별 처리는 데이터만 변환하는 절차가 아니다. 먼저 수집된 개인정보의 법적 근거, 수집 목적, 보유 기간을 다시 확인해야 한다. 이어서 비식별 처리의 목적과 활용 범위를 분명히 정하고, 필요하면 개인정보영향평가(PIA) 수행도 고려한다.

처리는 사전 검토, 비식별 조치, 적정성 평가, 사후관리, 활용으로 이어진다. 평가 결과가 미흡하면 비식별 조치 단계로 돌아가 다시 처리한다.

⤢✕

데이터 특성에 맞춰 비식별 기법을 조합한다

직접 식별자를 없애는 방식만으로는 충분하지 않을 수 있다. 데이터의 활용 목적과 재식별 위험을 함께 보면서 기법을 적용한다.

식별자 제거(Suppression)는 주민등록번호, 이름, 전화번호처럼 직접 개인을 가리키는 값을 완전히 삭제하는 방식이다. 예를 들어 홍길동을 삭제한다.

가명처리(Pseudonymization)는 식별 정보를 대체값으로 바꿔 직접 식별을 어렵게 한다. 홍길동을 '사용자_A'로 대체하는 경우가 여기에 해당한다.

일반화(Generalization)는 구체적인 값을 범주나 범위로 바꾼다. 나이 27세를 20대로 표현하거나, 상세 주소를 시/군/구 단위로 다루는 방식이다.

무작위화(Randomization)는 노이즈를 더하거나 데이터 순서를 바꿔 식별 가능성을 낮춘다. 실제 나이에 ±5 범위 내 랜덤값을 부여하는 예가 있다.

집계화(Aggregation)는 개인 데이터를 통계값으로 변환한다. 개인별 구매 기록을 지역별 평균 구매액으로 바꾸는 방식이다.

적정성 평가는 재식별 가능성을 따져 보는 단계다

평가는 기관 내부의 개인정보 보호 담당자 또는 관련 부서가 수행할 수 있고, 비식별 조치 적정성 평가 전문기관을 활용할 수도 있다. 법률·기술·산업 분야 전문가로 구성된 평가단이 평가위원회 역할을 맡는 방식도 가능하다.

검토 대상은 단일 항목에 그치지 않는다. 개인을 식별할 수 있는 요소가 충분히 제거됐는지, 다른 정보와 결합될 때 식별될 가능성이 있는지, 모집단에서 특정인을 구분할 수 있는지, 비식별 정보로 개인정보를 유추할 수 있는지를 함께 확인한다.

⤢✕

k-익명성 모델은 비식별 처리된 데이터에서 특정 개인을 식별할 확률이 1/k 이하가 되도록 처리하는 방식이다. k값이 높아질수록 프라이버시 보호 수준은 높아지지만 데이터 유용성은 감소한다. 일반적으로 k=5 이상을 권장하며, 상황에 따라 조정한다.

활용 이후에는 접근과 반출까지 통제한다

사후관리는 비식별 정보를 누가, 어떤 환경에서, 어떤 범위로 다루는지 관리하는 일이다. 활용 직원에게 보안 서약서를 받으며, 관리 책임자를 지정하고 접근 권한을 관리한다. 정기 교육과 관리 실태 점검, 재식별 모니터링 정책도 필요하다.

기술적으로는 접근통제, 접속기록 관리, 암호화 같은 안전조치를 적용한다. 비식별 데이터 처리 환경을 일반 업무환경과 분리하고, 데이터 출력·저장도 통제하며 모니터링한다. 물리적 접근과 반출·입을 통제하고 저장매체를 안전하게 관리하는 조치도 포함된다.

위탁 또는 제3자 제공이 발생하면 계약서에 재식별 금지와 기술적·관리적 보호조치 의무를 명시해야 한다. 목적 달성 뒤 파기 의무와 제3자의 재제공 금지 조항도 포함한다.

비식별 정보가 쓰이는 방식

의료·헬스케어 분야에서는 A대학병원이 환자 진료기록을 비식별 처리해 만성질환 연구에 활용하는 사례가 있다. 환자명과 주민번호는 가명 처리하고, 정확한 생년월일은 연령대로 일반화하며, 상세 주소는 시/군/구 단위로 바꾼다. 희귀질환 정보는 질환군으로 범주화해 개인정보 노출 없이 질병 패턴을 연구한다.

금융 분야에서는 B은행이 대출 심사 알고리즘을 개발하는 사례를 들 수 있다. 고객명과 계좌번호는 삭제하고, 주소는 우편번호 앞 3자리만 활용한다. 소득정보는 500만원 단위로 구간화하며, 신용점수는 5단계로 등급화해 개인 식별 없이 신용평가 모델을 고도화한다.

유통·마케팅 분야의 C유통사 고객 구매패턴 분석에서는 회원정보를 가명화하고 구매내역을 집계데이터로 변환한다. 시간정보도 시간대별로 범주화해 타겟 마케팅 효율성과 개인정보 보호를 함께 추구한다.

재식별은 결합과 추론에서 시작될 수 있다

여러 데이터셋을 결합해 개인을 다시 알아내는 모자이크 효과(Mosaic Effect)는 대표적인 위험이다. 생년월일, 성별, 우편번호처럼 준식별자(Quasi-identifiers)가 결합되는 경우도 있다. 공개된 정보와 배경지식을 결합한 추론, 특이한 사용 패턴을 이용한 개인 추적 역시 재식별 위험 요소다.

재식별 징후가 발견되면 즉시 이용 또는 처리를 중단하고 원인을 분석한다. 이후 영향과 피해 규모를 파악해 관련 기관에 신고하고, 추가 비식별 조치를 수행한 뒤 재발방지 대책을 마련한다.

⤢✕

위험을 낮추려면 데이터 공유의 목적과 이용 범위를 명확히 제한해야 한다. 차등 프라이버시(Differential Privacy) 기법 적용, 주기적인 재식별 위험 평가, 목적별 최소 필요 데이터 제공도 함께 검토할 수 있다.

법제는 가명정보와 익명정보를 다르게 다룬다

한국은 개인정보 보호법, 정보통신망법, 신용정보법 등에서 비식별 조치를 규정한다. 2020년 개인정보 보호법 개정으로 가명정보 개념이 도입됐고, 과학적 연구·통계작성·공익적 기록보존 목적의 가명정보 활용이 허용됐다.

EU GDPR은 가명처리(Pseudonymization)와 익명처리(Anonymization)를 구분한다. 가명정보는 여전히 개인정보로 취급하지만 목적 외 활용 요건은 완화하며, 익명정보는 GDPR 적용 대상에서 제외한다.

미국은 HIPAA, GLBA, FCRA 등 분야별 법률로 규제한다. HIPAA는 18개 식별자를 제거하면 비식별 정보로 간주하는 Safe Harbor 방식을 채택한다. FTC는 합리적인 비식별 조치와 재식별 방지 노력을 요구한다.

유용성을 남기면서 위험을 낮추는 과제

비식별 수준을 높이면 데이터 유용성이 줄어들 수 있어 균형점을 정하기 어렵다. 기술 발전은 재식별 위험을 높이고, 분야별 특성을 반영한 세부 가이드라인 부족과 객관적 평가 기준의 모호성도 남아 있다.

가이드라인은 기술 발전에 맞춰 계속 업데이트돼야 하며, 산업별 비식별 조치 표준과 평가 방법론도 고도화할 필요가 있다. 국제 표준과의 정합성을 확보하고 실무자의 교육과 인식을 높이는 일도 함께 진행돼야 한다. 비식별 조치는 기술적 조치에 국한되지 않으며 관리적·물리적 보호조치와 지속적인 모니터링을 포함하는 책임 있는 데이터 활용의 과정이다.