사업자·공공기관의 개인정보처리 담당자 대상 실질적인 지원방안 설명

[보안뉴스 김태형] 한국인터넷진흥원(KISA, 원장 백기승)은 21일 서울 강남 한국과학기술회관 대회의실에서 전문기관들과 공동으로 ‘개인정보 비식별 조치 및 결합지원 서비스 설명회’를 개최했다.


▲ 21일 개최된 ‘개인정보 비식별 조치 및 결합지원 서비스 설명회’에서 KISA 김원 본부장이 비식별조치 가이드라인에 대해 설명하고 있다.

앞서 정부는 지난 6월 30일 관계부처 합동으로 ‘개인정보 비식별 조치 가이드라인’을 마련해 통신, 금융, 보건, 공공 등 관련 5개 부처가 분야별 ‘개인정보 비식별 조치 전문기관’을 지정하고, 개인정보보호 전담기관인 한국인터넷진흥원에 ‘개인정보 비식별 조치 지원센터’를 설치했다.

이날 설명회는 사업자, 공공기관의 개인정보 처리 담당자들을 대상으로 ‘개인정보 비식별 조치 가이드라인’에 따라 각 전문기관별로 △비식별 조치 및 적정성 평가 절차·방법 △정보집합물 결합지원 서비스 안내 및 신청방법 △비식별 조치 솔루션 등을 소개했다.

이날 KISA 개인정보보호본부 김 원 본부장은 “EU의 경우 익명화된 정보는 보호원칙이 적용되지 않음을 명시하고 있으며, 법적 구속력이 있는 EU GDPR에 가명정보 규정을 명기하고 있다. 가명정보를 동의 없이 처리할 수 있는 목적의 범위를 공익, 과학적 연구, 역사연구, 통계 목적으로 일부 변경했다”면서 “일본의 개인정보보호법에서는 비식별화된 데이터룰 ‘익명가공정보’로 정의하고 있으며, 복원 불가능을 전제로 하여 정보주체의 동의를 받을 필요가 없고 제3자 제공도 가능하도록 하고 있다. 다만 일정한 기술적 관리적 조치를 해야 한다”고 설명했다.

이어 그는 “미국은 의료·교육 등, 분야별로 개인정보보호에 관한 법령에서 비식별 조치 기준을 제시하고 있다. 의료정보의 경우 HIPAA 프라이버시 규칙에서 비식별조치 기준을 제시하고 있다. 우리나라의 경우 개인정보보호법 제18조(개인정보의 목적 외 이용·제공 제한)에서 개인정보를 목적 외의 용도로 이용하거나 제3자 제공을 제한하고 있다”면서 “하지만 개인정보 개념이 모호하고 비식별 조치 기준이 명확히 제시되지 않아 빅데이터 활용이 어렵다는 점과 이에 따른 적절한 데이터 이용을 위해 비식별 조치 가이드라인의 필요성이 제기됨에 따라 지난 6월 개인정보 비식별 조치 가이드라인을 마련했다”고 설명했다.

개인정보 비식별 조치 기준에 따르면, 빅데이터 분석 등을 위해 정보를 처리하는 사업자 등은 해당 정보가 개인정보인지 여부에 대해 가이드라인에 따라 판단해야 하며 개인정보에 해당하지 않는 것이 명백한 경우 별도 조치 없이 활용이 가능하다.

또한,정보집합물에 포함된 식별자는 원칙적으로 삭제 조치해야 하고 데이터 이용 목적상 반드시 필요한 식별자는 비식별 조치 후 활용해야 한다. 아울러 비식별 조치는 가명처리, 총계처리, 데이터삭제, 데이터 범주화, 데이터 마스킹 등 여러 가지 기법을 단독 또는 복합적으로 활용해야 한다. 그리고 k-익명성 모델을 활용한 적정성 평가 및 비식별 조치 적정성 평가단을 통해 엄격한 평가를 수행한다.

이어서 한국인터넷진흥원 개인정보비식별조치지원센터 김호성 센터장은 “지난 9월 1일 개인정보 전담기관인 KISA에 개인정보비식별조치지원센터를 설치해 운영하고 있다. 센터는 분야별 전문기관 운영 가이드라인을 마련하고 실태 점검, 실무협의회 운영, 분야별 평가단 풀 관리 및 교육, 관련 정책·기술 동향 조사 및 연구 등을 진행한다”면서 “9월말부터 기업은 비식별 조치 지원 및 정보집합물 결합지원 서비스 이용이 가능하며 본격적인 비식별조치 활성화를 기대하고 있다”고 설명했다.

지원센터는 개인정보보호 종합포털(www.privacy.go.kr) 내 ‘개인정보 비식별 조치 지원센터’ 페이지를 개설해 분야별 전문기관 안내, 비식별 적정성 평가 전문가 지원신청 등을 제공하고 비식별 조치 관련 컨설팅·교육을 희망하는 소상공인, 스타트업, 중소사업자를 지원하고 있다. 서울, 광주 등 전국 지역 사업자, 공공기관을 대상으로 ‘비식별 조치 가이드라인 교육’도 연말까지 실시할 예정이다.

이어서 한국정보화진흥원(NIA) K-ICT빅데이터센터 김배현 수석연구원은 “한국정보화진흥원은 미래부 소관 산업계를 위한 개인정보 비식별조치 지원 전문기관으로, 비식별 조치 적정성 평가단 풀 구성 및 운영, 산업별 비식별 조치 수준 이행 권고, 적정성 실태 점검, 교육 및 컨설팅, 정보집합물 결합 지원 등의 업무를 담당하고 있다”고 설명했다.

특히,NIA는 정보집합물 결합 지원을 위해 데이터 분석을 통한 신규 비즈니스 및 서비스 개발을 위한 기업간 데이터 결합을 지원한다. 서로 다른 기업의 데이터 결합 지원을 위해서는 임시 대체키를 활용해 비식별 데이터 간 결합을 수행 후 제공하며, 비식별 데이터 및 결합 데이터의 안전한 처리와 관리를 위해 외장 저장매체를 이용한 직접 전달 및 분리망에 결합지원 서버 구성 등의 조치를 할 예정이다.

금융보안원 융합정보팀 오중효 팀장은 “금융분야 전문기관인 금융보안원은 다른 전문기관과 마찬가지로 동종 이종산업간 정보집합물 결합을 지원하고 평가단 46명 풀 구성, 비식별 조치 컨설팅과 교육, 기술 지원 등을 수행한다”고 설명했다. 이어 한국신용정보원 정보보호팀 김현진 팀장은 “금융회사 대부분이 개인정보를 수집하고 있고 이를 통해 여러 분야에 활용하고 있어 신용정보의 안전환 관리와 효과적인 활용을 위해 개인정보 비식별 조치에 따른 지원 준비가 완료되어 있다”고 강조했다.

또한, 사회보장정보원 김주형 과장은 “보건복지분야 전문기관으로서 평가위원을 구성하고 정보집합물 결합을 지원 체계를 마련해 보건복지 분야 개인정보 비식별 조치를 지원할 계획”이라고 말했다.

한편, 이날 개인정보 비식별 조치와 관련한 전문 솔루션도 소개됐다. 이지서티의 ┖ID SHIELD┖는 빅데이터 활용에 필요한 개인정보 비식별 조치에 필요한 기능을 제공하고 있으며 이를 통해 수집된 개인신용정보 로그를 활용한 오·남용 모니터링이 기능하다. 또한, 파수닷컴은 비식별 조치와 관려한 컨설팅 서비스와 전용 솔루션 ‘Analytic DID’가 있다. 전문 컨설팅과 제공되는 ‘Analytic DID’는 빅데이터에 포함된 개인정보 유출 걱정 없이 활용도 높은 분석결과를 얻을 수 있다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>