4단계 걸쳐 개인정보 유출차단… 이용목적 달성땐 기한내 파기

개인정보 '비식별조치' 가이드라인

[디지털타임스 강은성기자]

누구의 개인정보인지를 알아보지 못하도록 하는 '비식별조치'에 대한 기준선이 나왔다.

행정자치부와 미래창조과학부, 금융위원회 등 관계부처는 지난달 30일 합동으로 개인정보 비식별조치 가이드라인을 마련해 공표했다.

가이드라인은 개인정보를 이용하거나 제공하려는 사업자가 준수해야 할 조치 기준이다. 정부는 이를 통해 비식별 조치단계를 4단계로 나누어 단계별 조치사항과 유의사항을 담았다.

먼저 사전검토 단계에서는 개인정보 해당 여부를 검토한 후 개인정보가 아닌 경우에는 별도 조치를 하지 않아도 해당 정보를 활용할 수 있다. 비식별 조치단계로 접어들면 가명처리, 총계처리, 데이터 삭제, 범주화, 데이터 마스킹 등 다양한 비식별 기술을 단독 또는 복합적으로 활용해 개인 식별요소를 제거해야 한다.

적정성 평가단계에서는 비식별 조치가 적정하게 이뤄졌는지를 외부 평가단을 통해 객관적으로 평가해야 하며, 평가과정에서 객관적이고 계량적인 평가 수단인 'k-익명성'을 활용하도록 규정했다. k-익명성이란 동일한 값을 가진 레코드를 k개 이상으로 해 특정 개인을 추론하기 어렵도록 하는 비식별조치의 한 기법이다. 예를 들어 k값을 5로 정해 비식별 조치했다면 최소 5개 이상의 레코드가 동일해 개인식별이 어려워지는 원리다.

마지막 사후관리 단계에서는 비식별 정보의 안전한 활용과 오남용 예방을 위한 필수적인 보호조치 사항을 명시했다.

정보를 활용했다 하더라도 이용 목적을 달성하면 반드시 정해진 기한 내에 지체없이 파기해야 하며 정보에 대한 접근권한 관리 및 접근통제 체계를 마련해야 한다는 점, 아울러 비식별화 한 정보가 재식별돼 해당 데이터가 특정 개인이라는 점이 드러나면 활용을 즉각 중단하고 파기해야 한다는 원칙 등을 담았다.

장한 행자부 개인정보보호과장은 "가이드라인에 따른 비식별조치는 유럽연합(EU)의 최신 익명화 기술과 평가방법을 참조해 마련한 것이며 EU의 익명화 수준과 비교할 때 전반적으로 비슷한 수준"이라고 설명했다. 이어 "특히 적정성 평가 시 k-익명성을 반드시 활용하도록 하는 등 평가절차에 대한 부분은 EU보다 엄격한 수준으로, 우리나라는 익명화된 정보의 공개를 허용하는 EU와는 달리 비식별 정보 공개를 금지해 재식별 위험성을 한층 더 낮추고 있다"고 강조했다.

정부는 부처별로 전문기관(공공기관)을 지정해 중소기업과 스타트업을 지원토록 하는 등 이번 가이드라인의 지원체계도 마련했다. 행정자치부와 방송통신위원회는 해당 업무를 한국인터넷진흥원이 전담하고, 금융위원회는 한국신용정보원을 통해 관련 업무를 처리할 계획이다. 미래창조과학부는 한국정보화진흥원, 보건복지부는 사회보장정보원이 각각 업무를 맡는다.

홍윤식 행자부 장관은 "그간 업계에서는 개인정보 개념이 모호하고, 또 비식별 조치 기준이 명확히 제시되지 않아 빅데이터 활용에 어려움이 많다고 호소해 왔다"면서 "이번 가이드라인 마련을 통해 관련 업계가 빅데이터 산업을 보다 적극적으로 확대시키고 일자리 창출과 서비스 질 향상, 업무 혁신 등 다양한 분야에 빅데이터를 접목할 수 있게 될 것"이라고 말했다.

강은성기자 esther@dt.co.kr