개인정보보호 ‘k-익명성’과 빅데이터

프린트

오피니언 ㅣ 키워드이슈 개인정보보호 ‘k-익명성’과 빅데이터 개인정보 비식별 조치…사전검토→비식별조치→적정성평가→사후관리

기사입력2016-07-04 19:21

채민선 기자 (iscra79@junggi.co.kr) ㅣ다른기사보기

빅데이터 관련 시장규모 및 전망

<자료=행정자치부>

4차산업의 키워드 빅데이터 시장규모는 지난해 기준 2623억원으로 전년대비 30.3% 증가했다. IOT·클라우드와 빅데이터간 연계가 이뤄지는 2018년부터는 빅데이터 활용 증가세가 더 커질 전망이다. 이에따라 개인정보 침해에 대한 우려의 목소리가 높다. 업계에서는 개인정보 개념이 모호하고 비식별조치 기준이 명확하지 않아 빅데이터 활용에 어려움이 많다고 호소한다.

행정자치부가 최근 국민의 개인정보를 보호하고 안전한 빅데이터 활용문화를 정착시키기 위해 ‘개인정보 비식별 조치 가이드라인’을 마련했다. 개인정보 비식별 조치 기법은 해외주요국에서도 사용되는 기법이다. 개인을 알아볼 수 없도록 조치된 정보를 ‘비식별정보(미국)’, ‘익명정보(영국)’ 등으로 정의하고 자유롭게 활용할 수 있도록 보장하고 있는 것이다.

행자부의 가이드라인은 특히 적정성 평가시 k-익명성을 반드시 활용하도록 하는 등 평가절차에 대해 EU보다 엄격한 수준을 설정했다. k-익명성은 동일한 값을 가진 레코드를 k개 이상으로 해 특정 개인을 추론하기 어렵도록 하는 것이다. 또 익명화된 정보의 공개를 허용하는 EU와 달리 비식별정보 공개를 금지해 재식별 위험성을 낮췄다.

개인정보 비식별 조치 및 사후관리 절차

<자료=행정자치부>

‘개인정보 비식별 조치 가이드라인’은 개인정보를 적정하게 비식별 조치해 이용·제공하려는 사업자가 반드시 준수해야 할 기준이다. 비식별 조치단계는 ▲사전검토 ▲비식별조치 ▲적정성평가 ▲사후관리 등 4단계로 나뉜다.

◇사전검토=빅데이터를 활용하려는 자는 해당 빅데이터의 개인정보 해당여부를 사전에 검토하고, 개인정보가 아닌 경우 별도조치 없이 활용할 수 있다.

◇비식별조치=사전검토 과정에서 빅데이터가 개인정보로 확인된 경우에는 가명처리, 총계처리, 데이터삭제, 범주화, 데이터 마스킹 등 다양한 비식별 기술을 단독 또는 복합적으로 활용해 개인 식별요소를 제거해야 한다.

◇적정성평가=비식별조치 이후에는 해당 조치가 적정하게 이뤄졌는지 외부평가단을 통해 평가해야 한다. 이 과정에서 객관적이고 계량적인 평가수단인 ‘k-익명성’을 활용해야 한다.

◇사후관리=비식별정보의 안전한 활용과 오남용 예방을 위해 ▲이용목적 달성시 파기 ▲접근권한 관리 및 접근통제 ▲재식별 시 처리중단 및 파기 등 필수조치를 실행해야 한다.

아울러 행자부가 가이드라인과 함께 발간한 ‘개인정보 보호 법령 통합해설서’에 따르면, 비식별정보는 개인정보가 아닌 것으로 추정하고 추가 동의없이 활용이 가능하다. 이때 비식별 정보는 재식별되지 않도록 반드시 보호조치해야 한다. 재식별이란 비식별정보가 새로운 분석기술을 적용하거나 추가 정보와 결합해 다시 특정 개인을 알아볼 수 있는 정보가 되는 것을 말한다.

비식별정보를 고의로 재식별해 이용·제공하는 자는 5년 이하 징역 또는 5000만원 이하의 벌금을 부과한다. 또 재식별된 정보를 즉시 파기하지 않고 보관하는 경우 5000만원 이하의 과태료를 부과한다. 정보통신망법 적용 사업자가 위반행위를 하면 관련 매출액의 3% 이내 과징금을 부과받을 수 있다.