[뉴스레터_지식재산권_제18호_정부 가이드라인 소개]

관계부처 합동 “개인정보 비식별 조치 가이드라인”

이지선 변호사

국무조정실, 행정자치부, 방송통신위원회, 금융위원회, 미래창조과학부, 보건복지부 등 관계부처가 합동으로 작성한 “개인정보 비식별 조치 가이드라인 - 비식별 조치 기준 및 지원∙관리체계 안내”가 발표되었다. 이하에서는 “비식별 조치 가이드라인”이라고만 한다.

각 부처가 개인정보 비식별 조치와 관련하여 기존에 발간한 지침, 안내서, 가이드라인 등은 2016. 6. 30.부터 일괄 폐지되고 2016. 7. 1.부터는 “비식별 조치 가이드라인”이 적용된다. 관계부처 통합의 “비식별 조치 가이드라인”까지 제정하게 된 주요 목적과 배경은 현행 법제하에서 데이터 산업 활성화를 위한 것이다.

“비식별 조치 가이드라인”은 개인정보를 비식별화하여 이를 이용하거나 제3자에게 제공하려고 할 때 지켜야 할 가이드라인으로 아래와 같은 내용이다.

우선 비식별 조치를 표와 같은 4가지 단계로 나눈다.

1단계는 개인정보에 해당하는지 여부를 판단하는 단계이다. 만약 개인정보가 아니라면 별도의 비식별 조치 없이 빅데이터 분석에 활용할 수 있다. 개인정보란 관련 법률에서 규정한다. 예를 들어 집단의 통계값 등은 개인정보가 아니다.

2단계는 비식별 조치 기법을 적용하는 단계이다. 원칙적으로 개인이나 개인과 관련되어 고유하게 부여된 값이나 이름(식별자)은 원칙적으로 삭제조치를 하여야 한다. 식별자란 주민등록번호, 이름, 아이디, 사진, 이메일 주소와 같은 것이다. 개인과 관련된 정보로 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있게 하는 정보(속성자)도 원칙적으로 삭제를 하여야 하고, 데이터 이용 목적과 관련이 있는 경우 비식별 조치를 하여야 한다. 속성자란 고향, 성별, 몸무게, 학교명 등이다. 비식별 조치의 방법은 가명처리, 총계처리, 데이터삭제, 데이터범주화 등의 기법이 있으며 여러 가지 기법을 단독으로 또는 복합적으로 사용할 수 있다.

3단계 적정성 평가는 「비식별 조치 적정성 평가단」을 구성하여 k-익명성 모델을 활용하여 평가하는 단계로서, 필요할 경우 추가적 모델을 활용한다. 평가결과가 ‘부적정’ 판단인 경우 평가단 의견을 반영하여 추가적인 비식별 조치를 수행해야 한다. ‘적정’ 평가를 받은 경우 빅데이터 분석 등에 데이터를 사용하거나 제공하는 것이 허용된다.

4단계는 비식별 조치된 정보라고 할지라도 다른 정보와 결합하여 식별될 우려가 있으므로 필수적인 보호조치를 이행하고자 하는 것이다. 보호조치는 비식별 정보파일 정보공유 금지 등 ‘관리적 보호조치’와 접근통제 및 접속기록관리, 보안프로그램 운영 등의 ‘기술적 보호조치’가 있으며 이는 모두 이행되어야 한다. 또한 비식별 정보를 이용하거나 제3자에게 제공하려는 사업자는 재식별 가능성을 정기적으로 모니터링해야 하는데, 내외부 요인의 변화로 재식별 가능성이 생겼다면 추가적인 비식별 조치를 강구해야 한다. 기타 위탁계약시 준수사항, 재식별 시 즉시 필요한 조치를 하여야 하는 의무 등이 있다.

(글쓴이는 다른 정보와 결합하여 식별되는 정보라면 이는 이미 다른 정보와 쉽게 결합하여 개인을 알아볼 수 있는 정보로서 ‘개인정보’이거나 3단계에서 ‘부적정’ 판단을 받았어야 하는 것이 아닌가 하는 의구심이 있다. 비식별 조치의 3단계는 엄격하게 운영할 필요가 있다고 본다.)