가명정보 · 비식별 조치
Pseudonymization & De-identification
가명정보란?
- 직접 식별자를 제거하되 복원 가능한 상태
- 법정 목적 범위에서 동의 없이 활용 가능
- 이름만 지우는 것은 가명처리가 아니다
가명처리를 도입하면 '이 데이터를 써도 되나'라는 질문이 '어떤 목적으로, 누구 책임으로, 어떤 절차를 거쳐 쓰나'로 바뀝니다. 동의를 다시 받으러 돌아다니는 대신 목적의 적법성과 처리 기록으로 정당성을 증명하는 구조여서, 입증의 무게가 정보주체 동의에서 처리자의 절차 문서로 옮겨집니다. 실무 체감은 분명합니다. 예전에는 현업이 데이터를 요청하면 인사·보안이 거절하는 것으로 끝났지만, 이제는 거절 대신 조건을 붙이는 협의가 가능해지고, 데이터를 뽑기 전에 가명처리 목적과 대상 항목을 문서로 확정하는 일이 분석 설계의 첫 단계로 들어옵니다.
익명정보는 복원이 불가능해 개인정보에서 빠지지만 분석 해상도도 함께 사라지고, 가명정보는 해상도를 지키는 대신 안전조치 의무가 그대로 남습니다. 허용 목적은 통계작성·과학적 연구·공익적 기록보존으로 한정되며, 통계에는 상업적 목적도 포함되지만 특정 개인을 골라 광고나 개별 처우로 연결하는 순간 범위를 벗어납니다. 서로 다른 회사의 가명정보를 합칠 때는 담당자끼리 키를 맞추는 방식이 아니라 개인정보보호위원회가 지정한 결합전문기관을 거쳐야 하고, 처리 기법도 삭제·범주화·총계처리·마스킹을 섞어 소수 집단이 남지 않도록 설계합니다.
가장 흔한 오해는 '이름과 연락처만 지우면 가명정보'라는 생각입니다. 사번에 고정된 규칙으로 해시만 걸어 두거나 원본 엑셀이 담당자 PC에 그대로 남아 있으면 추가 정보 분리 보관 요건을 못 채운 것이라 처리 자체가 위법으로 판단될 수 있습니다. 재식별을 시도하면 목적 외 이용과 별개로 형사처벌과 과징금 대상이 되고, 사고가 한 번 나면 진행 중이던 분석 과제 전체가 멈춥니다. 목적을 달성한 가명정보와 추가 정보는 파기해야 하므로 보존 기간과 파기 책임자를 처음부터 정해 두지 않으면 몇 년 뒤 감사에서 관리 부실로 잡힙니다. 세부 기준은 고시와 가이드라인 개정에 따라 달라지니 처리 전 최신 안내를 확인하시기 바랍니다.
유럽 GDPR이 가명처리(pseudonymisation)를 정의하며 개인정보 보호와 활용의 절충 장치로 제도화했고, 국내에서는 2020년 개인정보보호법·정보통신망법·신용정보법 개정(데이터 3법)으로 가명정보 처리 근거가 도입됐습니다.
임직원 2,400명, 연매출 8,000억 원대인 제조 A사의 인재개발팀이 최근 3년치 교육 이수 데이터와 인사평가 데이터를 붙여 '어떤 과정이 실제 성과와 연결되는지' 분석하려 했습니다. 그런데 데이터 요청서가 법무팀에서 두 달째 멈춰 있었습니다. (가상 예시)
- 인재개발팀 김 차장이 요청서를 들고 가자 개인정보보호 담당자가 "성과 통계까지는 가능한데, 결과로 개별 면담 대상을 뽑겠다고 쓰시면 그건 안 됩니다"라며 목적 문구부터 고쳐 쓰게 했습니다.
- 두 팀이 모여 47개 컬럼을 훑었고 이름·사번·사내메일 등 직접 식별자 6개, 생년월일·부서·입사연도처럼 붙이면 사람이 드러나는 준식별자 11개를 갈라냈습니다.
- 생년월일은 5세 단위 연령대로, 127개 부서는 9개 본부로 묶고, 인원이 5명 미만으로 남는 조합 3건은 직급 구간까지 합쳐 특정이 불가능하도록 다시 처리했습니다.
- 사번을 바꿀 때 쓴 매핑표는 분석계에서 떼어 보안팀 서버에 두고 접근 권한을 정보보호 담당자와 팀장 2명으로 제한했으며, 조회 이력은 자동으로 로그에 남도록 걸어 뒀습니다.
- 결과적으로 두 달 넘게 막혀 있던 검토가 3주 만에 끝났고, 이후 마케팅·안전교육 등 4개 분석 과제는 같은 절차를 그대로 태워 평균 9일 만에 데이터를 받게 됐습니다.