데이터 안전한 활용을 위해 '개인정보 비식별화 조치'가 중요하다. 우리나라도 '개인정보 비식별 조치 가이드라인'을 마련해 시행 중이다. 개인정보를 비식별 조치해 이용 또는 제공하려는 사업자 등이 준수해야 하는 조치 기준을 △사전 검토 △비식별 조치 △적정성 평가 △사후 관리 등으로 단계별 제시한다. 이에 따라 '적정하게 비식별화 된 정보'는 특정 개인을 알아볼 수 없기 때문에 개인정보가 아닌 것으로 추정한다.
2016년부터 비식별 조치 가이드라인이 보급됐지만 이 역시 활용은 더디다. 한국데이터산업협회와 설문 결과 '개인정보에 비식별화 조치 가이드라인을 적용해본 경험이 있다'는 응답 비율은 39% 정도였다.
이미 해외는 가명, 익명 등 정보별로 다양한 비식별화 조치를 시행 중이다.
일본은 2015년 개정한 개인정보보호법에 '익명가공정보' 개념을 도입했다. 익명가공정보는 개인정보에서 개인 식별성을 비가역적으로 제거한 정보라고 정의했지만 일본은 여전히 익명정보에서 개인이 재식별 될 가능성을 배제하지 못했다. 익명가공정보를 재식별하는 행위를 금지하고 익명가공정보 취급 사업자는 재식별화를 막기 위한 일정한 안전관리조치를 취하도록 했다.
익명가공정보에는 식별자 비가역적 삭제·대체가 요구된다. 익명가공정보를 제공받는 제3자 입장에서 복원할 수 없도록 규칙성·가역성을 갖지 않아야 한다. 익명가공정보는 익명화된 정보보다는 가명화된 정보에 가깝다고 볼 수 있다.
유럽연합(EU) 개인정보보호법제(GDPR)에서는 가명화와 익명화 개념을 제시한다. 가명화란 추가 정보를 이용하지 않고 더이상 특정 정보주체를 식별할 수 없는 방식으로 개인정보를 처리하는 것이다. 추가 정보는 개인 식별에 이용될 수 없도록 분리 보관한다. 가명화된 정보는 개인정보로 취급되지만 공익을 위한 기록보존, 과학적·역사적 연구(사인의 영리목적 연구 포함) 또는 통계 목적 정보로 활용이 가능하다.
익명화는 현행 기술 개인 식별 수단으로 원래 개인정보를 알아 볼 수 없는 상태로 만드는 것을 의미한다. 익명화된 정보는 특정 개인과 연관 지을 수 없거나 개인 식별 가능성이 완전히 제거된 정보로 GDPR 규제 대상이 아니다.
미국은 의료정보보호법(HIPPA)에서 '비식별화 된 의료정보'를 규정한다. 여기에 해당하는 의료 정보는 환자 동의 없이 자유롭게 활용 가능하다. 연방거래위원회(FTC)는 세 가지 경우에 한해 '합리적 연결 가능성'이 제거돼 개인정보 사용 기업이 면책된다고 규정했다. △데이터가 '식별성이 없도록'하는 조치 △비식별화된 데이터에 재시별을 시도하지 않을 것을 공개적으로 약속 △기업으로부터 비식별화된 데이터를 제공받는 제3자도 재식별을 하지 못하도록 조치 후 제3자 재식별화 여부 모니터링 등을 지켜야 한다.
김지선기자 river@etnews.com
