4월 28일 개정 ‘가명정보 처리 가이드라인’ 관련 자주 묻는 질문(FAQ)
KISA 박윤식 팀장, 가이드라인 발표에 있어 기업에서 참고할 점과 주의사항 등 소개

[보안뉴스 기획취재팀] 지난 4월 28일 ‘가명정보 처리 가이드라인’ 개정안이 발표된 가운데, 가명정보 개념, 가명정보의 결합과 개인정보 가명처리 등과 관련해서 헷갈리는 경우가 적지 않다. 이에 <보안뉴스>는 ‘가명정보 처리 가이드라인’과 관련해 한국인터넷진흥원(KISA) 박윤식 팀장과의 인터뷰를 통해 주요한 궁금증을 중심으로 기업이 가이드라인에서 꼭 참고해야 점과 가명정보 처리시 주의사항, 안전한 개인정보 활용을 위해 정부와 기관에서 노력해야 할 점에 대해 들어봤다.


[이미지=utoimage]

[‘가명정보 처리 가이드라인’ 관련 주요 질의응답]
1. 개념에 관한 질문
Q. 가명정보는 개인정보인가요?
가명정보는 성명, 연락처 등 식별정보를 삭제하거나 대체하는 등의 방법으로 식별 가능성을 낮춘 개인정보다. 이에 가명정보도 다른 개인정보에 준하는 안전조치를 해야 한다.

Q. 가명정보 자체결합(셀프결합) 개념이 무엇인가요?
가명정보의 자체결합(셀프결합)이란 결합전문기관이 자신이 보유한 가명정보와 다른 개인정보처리자가 보유한 가명정보를 스스로 결합해 활용까지 수행하고자 하는 결합 형태를 의미한다. ‘공공기관의 가명정보 결합 및 반출 등에 관한 고시’에 따라 결합전문기관으로 지정된 공공기관은 보유한 공공데이터를 다른 개인정보처리자가 보유한 가명정보와 스스로 결합해 제3자에게 제공할 수 있도록 규정하고 있으며, 이외 민간 결합전문기관은 해당사항이 없다.

Q. ‘과학적 연구’가 순수 ‘과학(Science)’의 개념인가요. 아니면 ‘사회과학(Socia Science)’ 등 광의의 개념인가요?
개인정보보호법 제2조 제8호에서 규정한 ‘과학적 연구’는 순수과학 뿐만 아니라 사회과학 등도 포함하는 광의의 개념이다. ‘직장 내 성희롱, 괴롭힘’ 등과 같은 사회의 여러 현상, 사례를 체계적으로 분석해 어떠한 결과를 도출하는 연구를 ‘사회과학’에 관한 연구로 본다면 과학적 연구로 볼 수 있다. 과학적 방법을 적용하는 연구와 관련해 사례분석, 설문조사 등을 통해 어떤 결과를 도출하는 것도 ‘과학적 방법’에 해당한다. 사회과학은 사회의 여러 현상, 사례를 체계적으로 분석해 결과를 도출하는 연구를 말하며 ‘작장 내 성희롱, 괴롭힘’이라는 사례를 분석, 연구하고자 하는 경우도 사회과학으로 해석될 수 있다.

2. 가명정보 처리에 관한 질문
Q. 개인정보 가명처리 및 분석 지원의 범위(ex. 모의결합 등)는 어떻게 되나요?
결합전문기관의 업무 지원사항에서의 가명처리 지원은 결합 전 결합대상정보의 가명처리를 지원하는 것을 의미한다. 특히, 모의결합이란 결합신청자가 결합에 따른 효용성 및 유용성을 본 결합 전 사전에 판단할 수 있도록 일부 데이터를 미리 결합, 분석할 수 있는 절차로 결합전문기관의 업무 지원사항이다. 결합전문기관의 업무 지원사항에서의 분석지원은 반출 전 결합정보의 분석과 반출 후 반출정보의 분석이 모두 가능하다.

Q. A부서에서 수집한 개인정보를 B부서에서 익명처리해 수집 목적 외로 처리할 수 있나요?
B부서가 A부서에서 수집한 개인정보에 대한 접근 권한이 있으며, 처리한 정보가 익명정보에 해당한다면 개인정보보호법 제58조의2에 따라 개인정보보호법의 적용을 받지 않는다. 개인정보보호법 적용이 제외되는 범위는 제58조의2에 따른 정보를 처리하는 경우뿐만 아니라, 개인정보를 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없도록 처리하는 경우까지 포함된다.

따라서 개인정보처리자가 이러한 정보 생성을 위해 개인정보를 처리하는 경우에는 정보주체의 동의를 받을 필요가 없다. 다만 해당 정보가 시간, 비용, 기술 등을 합리적으로 고려할 때 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보에 해당하는지는 제공받는 자의 처리목적, 이용 또는 제공환경, 정보의 특성 등을 종합적으로 고려해 판단해야 한다.

Q. 개인정보 중 민감정보나 고유식별번호도 가명처리해 활용할 수 있나요?
주민등록번호를 제외한 다른 고유식별번호와 민감정보는 가명처리해 활용할 수 있으며, 주민등록번호는 법률, 대통령령 등의 구체적 근거가 있는 경우에 한해 활용 가능하다(법률 등에 활용에 대한 명확한 근거가 있는 경우).

Q. 통계법에 따라 수집된 개인정보에 가명정보 특례 규정을 적용해 가명처리와 결합 등이 가능하나요?
공공기관이 처리하는 개인정보 중 ‘통계법’에 따라 수집되는 개인정보는 ‘개인정보보호법’의 제3장부터 제7장까지 적용하지 않으나(‘개인정보보호법’ 제58조 제1항 제1호), 개인정보위 결정례에 따라 개인정보보호법 제58조 제1항 제1호는 ‘통계법에 따른 승인통계, 지정통계 작성을 위해 수집되는 개인정보에 한하므로 승인통계 및 지정통계 작성 외 기타 정책 활용 목적 등의 통계 작성은 보호법 제3장부터 제7장까지가 적용되어 가명정보 특례 규정에 따라 가명처리 및 결합할 수 있다. 참고로 개인정보보호법은 일반법으로 제6조에 의거, 다른 법률에 개인정보보호에 관한 특별한 규정이 있는 경우 해당 규정이 우선 적용된다.

3. 결합에 관한 질문
Q. 가명정보 결합 신청 중 신청 내용의 변경이 없는 기관의 데이터를 파기하지 않고 변경된 데이터와의 결합에 다시 활용 가능한가요?
이미 접수된 결합신청과 동일한 건이므로 다른 결합신청자가 제출한 자료를 활용해 결합을 수행하는 것이 가능하다.

Q. 결합 신청 시 결합전문기관 선택의 기준이 있나요?
결합전문기관의 선택에 별도로 제한은 없으나 분야별 가이드라인을 참고해 선택할 수 있다. 분야별 가이드라인은 보건의료 데이터 활용 가이드라인, 교육분야 가명, 익명정보 처리 가이드라인, 공공분야 가명정보 제공 실무안내서 등이 있다.

4. 관리에 관한 질문
Q. 내부 관리계획 수립 관련 통합 혹은 별개로 마련할 수 있나요?
개인정보보호법은 개인정보처리자가 내부 관리계획 등을 작성할 때 가명정보에 관한 사항을 기존 개인정보에 관한 내용과 묶어서 작성할지 별개로 조항을 추가해 작성할지에 대해서는 별도로 규정하고 있지 않다.

가이드라인 발표에 있어 꼭 참고해야 할 부분에 대해 박윤식 팀장은 “가명정보는 법률에서 정한 목적(통계 작성, 과학적 연구, 공익적 기록보존 등) 내에서 정보주체의 동의 없이 이용할 수 있도록 한 정보인 만큼 안전한 가명처리 및 관리가 중요하다”며 “4월에 발표한 ‘가명정보 처리 가이드라인’은 가명정보를 안전하게 처리하고 활용할 수 있도록 지원하는 기본서에 해당한다. 기본서를 많이 참고하고, 궁금한 사항은 언제든지 국번없이 118(한국인터넷진흥원 상담센터) 또는 녹색창에 ‘가명정보 활용 지원센터’를 검색해 문의할 것”을 안내했다.

Q. 개인정보 가명처리 과정에서 일시적으로 가명정보와 추가정보가 같은 서버에 존재하게 되는 것이 보호법 제28조의4제1항 및 동 법 시행령 제29조의5 제1항 제2호, 제3호가 정하는 안전조치의무 위반인지 여부인지 궁금합니다
가명정보와 추가정보를 분리, 보관하고 각 접근권한을 분리하도록 한 것은 가명처리 이후 재식별을 방지하기 위한 것으로, 가명처리 과정에서 가명정보와 추가정보가 일시적으로 동일서버에 존재하는 것은 보호법 제28조의4 및 동법 시행령 제29조의5의 위반에 해당하지 않는다.

5. 익명정보 여부 및 그 밖의 질문
Q. 가명정보에서 추가정보를 삭제할 경우 익명정보로 볼 수 있나요?
추가정보가 삭제된 가명정보가 그 자체만으로 개인을 알아볼 수 없는 정보라고 하더라도 익명정보인지 여부는 시간, 비용, 기술 등을 합리적으로 고려해 별도로 판단해야 한다.

Q. 영상 수집 목적 외 영상정보를 이용하고자 하는 경우 영상정보를 마스킹 했을 때 가명정보 및 익명정보로 볼 수 있나요?
사람이나 자동차 영상 등 개인을 식별할 수 있는 사진에서 그 일부 또는 전체를 마스킹 했어도 주변 상황 및 환경 등으로 개인을 식별할 수 있으므로 그 정보가 가명정보인지 익명정보인지 일률적으로 판단하기 어렵다. 가명정보인지 또는 익명정보인지 여부는 시간, 비용, 기술 등을 합리적으로 고려해 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보인지 검토해 판단할 필요가 있다.

Q. A사에서 다수의 데이터분석회사에 동일한 가명정보를 전송해 이를 분석한 결과 값을 회신 받을 수 있나요?
A사가 다수의 데이터분석회사에 가명정보 처리를 위탁하는 경우라면, 개인정보의 업무위탁에 대해 규정한 개인정보보호법 제26조에 따른 의무사항을 준수해야 한다.

Q. 가명정보의 유상 판매가 허용되나요?
가명정보를 과학적 연구 등 법에서 허용하는 목적 범위로 제공하면서 대가를 받는 것은 가능하나, 법에서 정한 목적 범위를 벗어나 판매할 목적으로 가명처리하는 것은 허용되지 않는다.

가명정보 처리에 있어 기업에게 당부하고 싶은 점(기업이 노력해야할 점)에 대해 박윤식 팀장은 “가명정보는 그동안 수집 목적 외에 이용이 불가능했던 개인정보를 법률에서 정한 목적(통계 작성, 과학적 연구, 공익적 기록보존 등) 내에서 정보주체의 동의 없이 이용할 수 있도록 한 정보”라며 “만약 개인정보의 이용 제약으로 인해 통계 또는 연구 등 목적으로 활용하지 못한 사례가 있다면, 개인정보보호위원회가 발간한 ‘가명정보 활용 우수사례집’을 통해 유사 활용사례를 찾아보시거나, 한국인터넷진흥원이 제공하는 다양한 서비스(전문컨설팅, 가명정보 활용 지원센터 등)를 이용해 활용할 것”을 제안했다.

이어 안전한 개인정보 활용을 위해 정부와 기관에서 노력해야 할 점에 대해 박윤식 팀장은 “개인정보보호위원회와 한국인터넷진흥원은 안전한 개인정보 활용을 위한 다양한 방안을 검토하고 시행해오고 있다. 예를 들면 지역 거점에 ‘지역 가명정보 활용 지원센터(서울 송파, 강원 원주, 부산 센텀 등 3개 센터)’를 구축‧운영하거나, 가명처리에 도움이 필요한 스타트업 및 중소기업에 전문 컨설팅 서비스를 제공하는 등 다양한 방면에서 지원을 시행하고 있다. 만약 도움이 필요하다면 개인정보보호위원회(데이터안전정책과) 또는 한국인터넷진흥원(데이터활용지원팀)에 문의할 것”을 당부했다.

이처럼 궁금한 사항들이 많은 가운데, 많은 기업들이 아직 가명·익명정보 처리를 제대로 못하고 있는 경우가 많다. 이러한 이유에 대해 한국인터넷진흥원 박윤식 팀장은 “가명처리 또는 익명처리를 위해서는 전문적인 기술을 보유한 인력이 필요하다”며 “아직은 전문인력이 많지 않지만, 많은 교육기관에서 데이터 분석 관련 학과를 만들고 전문인력들을 배출하고 있으므로 점점 환경이 좋아질 것”으로 기대했다.

또한, 전문인력이 부족한 상황에서 전문 솔루션을 활용하는 방안에 대해 한국인터넷진흥원이 운영하는 ‘가명정보 활용 지원센터(서울 송파구 가락동 소재)’를 소개하며, 다양한 솔루션 경험과 기술지원도 하고 있다. 또한, 필요 시 기업이 보유한 개인정보를 안전하게 가져오면 지원센터에서 가명처리 또는 익명처리해 반출할 수 있다고 안내했다.
[기획취재팀(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>