02_빅데이터 기술 및 제도(13) - 개인정보 비식별화

06_개인정보 비식별화

 

1) 개인정보 비식별화의 기요

① 비식별 정보

● 정보의 집합물에 대해 「개인정보 비식별 조치 가이드라인」에 따라 적정하게 '비식별 조치'된 정보를 말한다.

 

② 비식별 조치

● 정보의 집합물에서 개인을 식별할 수 있는 요소를 전부 또는 일부 삭제하거나 대체 등의 방법을 통해 개인을 알아볼 수 없도록 하는 조치를 말한다.

 

③ 비식별 정보의 활용

● 비식별 정보는 개인정보가 아닌 정보로 추정되므로 정보주체로부터의 별도 동의없이 해당 정보를 이용하거나 제3자에게 제공할 수 있다.

ー 다만, 불특정 다수에게 공개되는 경우에는 다른 정보를 보유하고 있는 누군가에 의해 해당 정보 주체가 식별될 가능성이 있으므로 비식별 정보의 공개는 원칙적으로 금지된다.

 

④ 비식별 정보의 보호

● 비식별 정보는 개인정보가 아닌 것으로 추정되지만, 새로운 결합 기술이 나타나거나 결합 가능한 정보가 증가하는 경우 정보주체가 '재식별'될 가능성이 있다.

 

● 비식별 정보를 처리하는 자(비식별 정보를 제공받은 자 포함)가 해당 정보를 이용하는 과정에서 재식별하게 된 경우에는 해당 정보를 즉시 처리중지하고 파기하여야 한다.

 

● 비식별 정보라고 하더라도 필수적인 관리적・기술적 보호조치는 이행해야 한다.

 

2) 개인정보 비식별화 조치 가이드라인

데이터 이용 과정에서 개인정보 침해・방지를 위해 개인정보를 비식별 조치하는 절차 및 방법에 대한 가이드라인으로, 개인정보를 비식별 조치하여 이용 또는 제공하려는 사업자 등이 준수하여야 할 기준을 제시한다.

 

① 개인정보 비식별화 조치 가이드라인의 추진배경

● 정부 3.0 및 빅데이터 활용 확산에 따른 데이터 활용가치가 증대되고 있다.

● 개인정보 보호 강화에 대한 사회적 요구가 지속되고 있다.

 

② 개인정보 비식별화 조치 가이드라인의 단계별 조치사항

단계	조치사항	데이터
사전 검토	개인정보에 해당하는지 여부를 검토한 후, 개인정보가 아닌 것이 명백한 경우 법적 규제 없이 자유롭게 활용	개인정보, 식별정보
비식별 조치	정보 집합물(데이터 셋)에서 개인을 식별할 수 있는 요소를 전부 또는 일부 삭제하거나 대체하는 등의 방법을 활용, 개인을 알아볼 수 없도록 하는 조치	가명, 총계, 삭제, 범주화, 마스킹
적정성 평가	다른 정보와 쉽게 결합하여 개인을 식별할 수 있는지를 「비식별 조치 적정성 평가단」을 통해 평가	kー익명성, lー다양성, tー근접성
사후 관리	비식별 정보 안전조치, 재식별 가능성 모니터링 등 비식별 정보 활용 과정에서 재식별 방지를 위해 필요한 조치 수행	관리적/기술적 보호조치

 

---

kー익명성

동일한 값을 가진 레코드를 k개 이상으로 하여 특정 개인을 식별할 확률을 1/k로 함

 

ｌー다양성

각 레코드는 최소 1개 이상의 다양성을 가지도록 하여 동질성 또는 배경지식 등에 의한 추론을 방지

 

ｔー 근접성

전체 데이터 집합의 정보 분포와 특정 정보의 분포 차이를 t이하로 하여 추론 방지

---

③ 개인정보 비식별화 조치 가이드라인의 단계별 조치 기준

사전 검토	<개인정보 해당 여부 검토> ● 빅데이터 분석 등을 위해 정보를 처리하려는 사업자 등은 해당 정보가 개인정보인지 여부에 대해 개인정보 해당 여부 판단 기준을 참조하여 판단 ● 해당 정보가 개인정보에 해당하지 않는 것이 명백한 경우에는 별도 조치 없이 빅데이터 분석 등에 활용 가능하고, 해당한다고 판단되는 경우 다음 단계의 조치 필요
비식별 조치	<비식별 조치기법 적용> ● 식별자(identifier) 조치 기준 ー 정보 집합물에 포함된 식별자는 원칙적으로 삭제 조치 ー 데이터 이용 목적상 반드시 필요한 식별자는 비식별 조치 후 활용 ● 속성자(Attribute value) 조치 기준 ー 정보 집합물에 포함된 속성자도 데이터 이용 목적과 관련이 없는 경우에는 원칙적으로 삭제 ー 데이터 이용 목적과 관련이 있는 속성자중 식별요소가 있는 경우에는 가명처리, 총계처리 등의 기법을 활용하여 비식별 조치 필요 ー 희귀병명, 희귀경력 등의 속성자는 구체적인 상황에 따라 개인 식별 가능성이 매우 높으므로 엄격한 비식별 조치 필요
적정성 평가	<kー익명성 모델 활용> ● 적정성 평가 필요성 ー 비식별 조치가 충분하지 않은 경우 공개 정보 등 다른 정보와의 결합, 다양한 추론 기법 등을 통해 개인이 식별될 우려 ー 개인정보 보호책임자 책임 하에 외부전문가가 참여하는 「비식별 조치 적정성 평가단」을 구성, 개인식별 가능성에 대한 엄격한 평가 필요 ー 적정성 평가 시 프라이버시 보호 모델 중 k-익명성을 활용 ー k-익명성은 최소한의 평가수단이며, 필요시 추가적인 평가보델(lー다양성, tー근접성) 활용 ● 적정성 평가 절차 ー 기초자료 작성: 개인정보처리자는 적정성 평가에 필요한 데이터 명세, 비식별 조치현황, 이용 기관의 관리 수준 등 기초자료 작성 ー 평가단 구성: 개인정보 보호책임자가 3명 이상으로 평가단을 구성(외부전문가는 과반수 이상) ー 평가 수행: 평가단은 개인정보처리자가 작성한 기초자료와 kー익명성 모델을 활용하여 비식별 조치 수준의 적정성을 평가 ー 추가 비식별 조치: 개인정보처리자는 평가결과가 '부정적'인 경우 평가단의 의견을 반영하여 추가적인 비식별 조치 수행 ー데이터 활용: 비식별 조치가 적정하다고 평가 받은 경우에는 빅데이터 분석 등에 이용 또는 제공이 허용
사후 관리	<비식별 정보 안전 조치> ● 비식별 조치된 정보가 유출되는 경우 다른 정보와 결합하여 식별될 우려가 있으므로 필수적인 보호조치 이행 ー 관리적 보호조치: 비식별 정보파일에 대한 관리 담당자 지정, 비식별 조치 관련 정보공유 금지, 이용 목적 달성시 파기 등의 조치 필요 ー 기술적 보호조치: 비식별 정보파일에 대한 접근 통제, 접속기록 관리, 보안 프로그램 설치・운영 등의 조치 필요 ● 비식별 정보 유출시 보호조치 ー 유출 원인 분석 빛 추가 유출 방지를 위한 관리적・기술적 보호조치 ー 유출된 비식별 정보의 회수・파기 <재식별 가능성 모니터링> ● 비식별 정보를 이용하거나 제3자에게 제공하려는 사업자 등은 해당 정보의 재식별 가능성을 정기적으로 모니터링 필요 ● 모니터링 결과, 다음의 점검 항목 중 어느 하나에 해당되는 경우에는 추가적인 비식별 조치 강구 ● 비식별 정보를 제공・위탁한 자가 재식별 가능성을 발견한 경우에는 이를 즉시 그 정보를 처리하고 있는 자에게 통지하고 처리 중단 요구 및 해당 정보를 회수・파기하는 등 조치 필요 <비식별 정보 제공 및 위탁계약 시 준수사항> ● 비식별된 정보를 제3의 기관에 제공하거나, 처리 위탁하는 경우 재식별 위험관리에 관한 내용을 계약서에 포함 ー 재식별 금지: 비식별 정보를 제공받거나 처리를 위탁 받은 사업자 등은 다른 정보와 결합을 통해 재식별 시도가 금지됨을 명시 ー 재제공 또는 재위탁 제한: 비식별 정보를 제공하거나 처리를 위탁하는 자는 재제공 또는 재위탁 가능 범위를 정하여 계약서에 명시 ー 재식별 위험 시 통지: 재식별이 되거나 그 가능성이 높아지는 상황이 발생한 경우에는 데이터 처리 중지 및 비식별 정보 제공자 또는 위탁자에게 통지 의무등 명시 <재식별 시 조치요령> ● 비식별 정보가 재식별된 경우에는 신속하게 그 정보의 처리를 중단하고 해당 개인정보가 유출되지 않도록 조치 필요 ● 재식별된 정보는 즉시 파기 조치하되, 해당 정보를 다시 활용하려면 비식별 조치 절차 다시 수행

 

④ 개인정보 비식별화 조치 가이드라인의 조치방법

가명처리	● 개인정보 중 주요 식별 요소를 다른 값으로 대체하는 방법이다. ● 값을 대체 시 규칙이 노출되어 역으로 쉽게 식별할 수 없도록 주의해야 한다. 예) 홍길동, 35세, 서울 거주, 한국대 재학 👉임꺽정, 30대, 서울 거주, 국제대 재학
총계처리	● 데이터의 총합 값을 보여 주고 개별 값을 보여 주지 않는 방법이다. ● 특정 속성을 지닌 개인으로 구성된 단체의 속성 정보를 공개하는 것은 그 집단에 속한 개인의 정보를 공개하는 것과 마찬가지이므로 주의해야 한다. 예) 임꺽정 180cm, 홍길동 170cm, 이콩쥐 160cm, 김팥쥐 150cm 👉물리학과 학생 키 합: 660cm, 평균 키 165cm 예) 에이즈 환자 집단임을 공개하면서 특정인이 그 집단에 속함을 알 수 있도록 표시하는 행위 금지
데이터 삭제	● 데이터 공유나 개방 목적에 따라 데이터셋에 구성된 값 중 필요 없는 값 또는 개인식별에 중요한 값을 삭제하는 방법이다. 예) 주민등록번호 901206-1234567 👉90년대생, 남자 예) 개인과 관련된 날짜정보(합격일 등)는 연단위로 처리
데이터 범주화	・데이터의 값을 범주의 값으로 변환하여 값을 숨기는 방법이다. 예) 홍길동, 35세 👉홍씨, 30~40세
데이터 마스킹	● 개인을 식별하는 데 기여할 확률이 높은 주요 식별자를 보이지 않도록 처리하는 방법이다. ● 남아 있는 정보만으로 개인을 식별할 수 없어야 하며, 공개된 다른 정보와 결합하더라도 특정 개인을 식별할 수 없어야 한다. 예) 홍길동, 35세, 서울 거주, 한국대학교 재학 👉 홍〇〇, 35세, 서울 거주, 〇〇대 재학