가명정보 처리 체계와 데이터 결합 시 재식별 위험 관리

가명정보는 처리 이후의 관리까지 포함한다

2022년 4월 가명정보처리 체계는 기존 4단계에서 5단계로 바뀌었다. 데이터의 활용 가능성을 넓히면서 개인정보 보호를 강화하려는 변화다.

가명정보는 개인정보의 식별 요소 일부를 제거하거나 다른 값으로 바꿔 원래 상태로 복원하기 어렵게 처리한 정보다. 다만 식별자를 대체했다고 해서 위험이 사라지는 것은 아니다. 처리 목적, 데이터의 특성, 분석 환경, 결합 가능성을 함께 검토해야 한다.

목적과 준비 범위부터 정한다

가명정보는 개인정보보호법에 따라 통계작성, 과학적 연구, 공익적 기록보존을 위해 활용할 수 있다. 처리에 앞서 어느 목적에 해당하는지 명확히 하고, 필요한 데이터 범위와 처리 계획을 정해야 한다.

목적이 불명확하면 이후 가명처리 수준이나 반출 적정성을 판단할 기준도 흔들린다. 필요한 정보만 대상으로 삼는 준비 단계가 전체 처리의 출발점이 된다.

위험은 데이터와 처리환경에서 함께 발생한다

위험성 검토는 데이터 자체의 식별 가능성과, 해당 데이터를 다루는 환경의 위험을 함께 보는 단계다.

데이터 자체에서는 이름이나 주민등록번호 같은 식별정보, 간접적으로 개인을 알아낼 수 있는 식별가능정보, 희소성 때문에 특정 개인을 유추하게 하는 특이정보를 확인한다. 재식별이 일어났을 때 개인에게 미칠 영향도 검토 대상이다.

처리환경에서는 데이터의 활용형태, 처리장소, 처리방법을 살핀다. 내부 분석용인지 외부 공개용인지, 폐쇄망인지 클라우드 환경인지, 접근 권한과 암호화 방식이 어떻게 구성되는지가 위험도에 영향을 준다.

의료 데이터를 질병 연구에 쓰는 경우 진단명과 처방 내역은 특이정보가 될 수 있다. 이 정보가 재식별되면 개인의 프라이버시 침해가 커질 수 있으므로, 데이터 항목만이 아니라 이를 다루는 환경까지 검토해야 한다.

처리 방식은 데이터의 활용 목적에 맞춰 고른다

가명처리는 개인 식별 요소를 제거하거나 대체하는 기술적 작업이다. 데이터와 활용 목적에 따라 삭제, 일반화, 마스킹, 가명화, 집계화를 적용할 수 있다.

• 삭제는 식별자를 완전히 제거하는 방식이다.
• 일반화는 정확한 생년월일을 연령대로 바꾸는 것처럼 상세값을 넓은 범주로 바꾼다.
• 마스킹은 일부 값을 * 등으로 대체한다.
• 가명화는 식별자를 임의의 값으로 치환한다.
• 집계화는 개별 데이터를 통계값으로 변환한다.

⤢✕

유용성과 재식별 위험 사이를 다시 확인한다

처리 완료 후에는 가명화 수준이 처리 목적에 맞는지, 재식별 위험이 충분히 낮은지, 데이터의 유용성이 유지되는지를 검토한다.

검토 결과에 따라 추가 가명처리를 적용하거나 기존 처리 방법을 조정할 수 있다. 이 단계는 단순히 식별 요소가 사라졌는지 확인하는 절차가 아니라, 분석에 필요한 데이터 가치와 보호 수준이 함께 충족되는지 확인하는 과정이다.

안전한 관리는 재식별 가능성을 계속 다룬다

가명정보는 가공 이후에도 보호 조치가 필요하다. 물리적으로는 접근통제와 반출입 관리를 적용하고, 기술적으로는 암호화, 접근권한 관리, 로그 기록을 수행한다. 교육, 정책 수립, 감사 같은 관리적 조치도 포함된다.

재식별은 금지되며, 정기적인 위험 평가와 외부 데이터 결합 가능성 검토가 필요하다. 기술 발전에 따라 재식별 위험이 달라질 수 있다는 점도 지속적으로 평가해야 한다.

처리 목적, 방법, 일시, 담당자 정보, 안전조치 내역, 제3자 제공 내역은 기록하고 보관한다. 이 기록은 처리 과정과 관리 책임을 확인하는 근거가 된다.

데이터셋을 결합할 때 선택하는 방식

가명정보 결합은 서로 다른 데이터셋을 연결해 분석 가치를 높이는 작업이다. 공통 식별자를 기준으로 결합할 수 있으며, 하나의 식별자를 쓰는 단일 공통결합, 여러 식별자를 쓰는 다중 공통결합, 모든 레코드가 매칭되는 완전 공통결합이 있다.

확대결합(Outer Join)은 한쪽 데이터셋의 모든 레코드를 포함하면서 매칭되는 다른 데이터셋의 레코드를 붙인다. 매칭되지 않은 레코드는 NULL 값으로 처리된다. 전여결합(Inner Join)은 두 데이터셋에서 공통으로 매칭되는 레코드만 남긴다.

⤢✕

결합부터 반출까지 이어지는 통제

가명정보의 결합과 반출은 4단계로 진행된다. 먼저 결합 목적과 필요성을 밝히고, 결합 대상 데이터셋과 결합키 정보를 제공해 결합을 신청한다.

이후 결합전문기관이 결합을 수행하며, 필요하면 추가 가명처리를 적용하고 결합 데이터의 위험성을 검토한다. 활용자는 결합 데이터의 반출을 요청하고, 반출 적정성 심사를 거쳐 승인된 데이터를 받는다.

반출 뒤에도 안전조치는 유지된다. 목적 외 활용을 금지하고, 보관기간을 준수한 뒤 파기해야 한다.

⤢✕

의료 연구와 마케팅 분석에 적용하는 방식

의료기관 A와 보험회사 B가 환자 데이터를 결합해 특정 질병의 위험 요인을 연구하는 경우, 목적은 심혈관 질환 위험 요인 분석을 위한 과학적 연구가 된다. 진단명과 처방내역 같은 특이정보를 식별하고, 환자 ID 암호화, 생년월일의 연령대 변환, 우편번호 일부 마스킹을 적용한다. 이어 재식별 가능성을 평가하고, 접근통제 시스템과 암호화 저장으로 데이터를 관리한다.

온라인 쇼핑몰과 오프라인 매장의 구매 데이터를 결합해 소비자 행동 패턴을 분석할 수도 있다. 이 경우 채널별 소비자 행동 패턴 분석이라는 통계작성 목적을 설정하고, 구매이력과 결제정보의 식별가능정보 여부를 확인한다. 회원번호 가명화, 구매금액 범주화, 구매시간 일반화 뒤에는 특이구매패턴을 가진 고객의 재식별 가능성을 검토한다. 분석용 샌드박스 환경에서 활용한 후에는 데이터를 파기한다.

가명정보의 가치는 처리 기법 하나에만 있지 않다. 목적을 제한하고, 위험을 평가하며, 결합과 반출 이후까지 안전조치를 이어갈 때 데이터 활용과 개인정보 보호의 균형을 유지할 수 있다.