개인정보보호위원회, ‘가명정보 처리 가이드라인(가명처리편)’ 공개
[보안뉴스 원병철 기자] 개인정보보호위원회(위원장 윤종인, 이하 보호위)는 개정된 ‘개인정보보호법’ 시행에 따른 후속조치로서 ‘가명정보 처리 가이드라인(가명처리편)’을 2일 공개했다. 앞으로 개인정보처리자는 가명정보가 실제 사용되는 환경을 고려해 적정한 수준으로 가명처리해 활용할 수 있게 된다.
가명정보란 ‘개인정보보호법’ 개정에 따라 새로 도입된 개념으로, 식별정보(성명, 전화번호, 건강보험번호, 자동차 등록번호 등)를 삭제하거나 대체하는 등의 방법으로 식별가능성을 낮춘 개인정보를 말한다.
이번 가이드라인은 가명정보의 안전한 활용여건을 마련하기 위하여 개인정보처리자가 참고할 수 있는 기준을 제시하기 위해 마련됐다. 그간 개인정보를 가명처리하는 방법과 절차 등에 대한 전문가, 관계기관 및 대국민 의견수렴(8.13~8.19)을 거쳐 이번에 공개한 것이다.
가이드라인에 따르면 개인정보처리자는 개인정보 처리의 기본원칙을 준수하는 범위 내에서 가명처리의 전 과정을 진행해야 한다. 개인정보처리자는 가명정보 처리 목적과 처리환경을 고려해 가명처리 방법을 자체적으로 판단할 수 있다. 개인을 식별할 가능성이 높은 정보는 삭제하거나 원래의 정보로 복원할 수 없도록 처리하고, 그 외의 정보는 가명정보 처리목적 달성을 위해 적절한 가명처리 방법(암호화, 총계처리, 라운딩, 일반화 등)을 선택하여 가명처리 할 수 있다. 특히, 보안수준이 낮은 환경에서는 개인정보 침해 우려가 높은 점을 감안하여 식별가능성을 낮추어 익명정보에 가깝게 처리하도록 했다.
또한, 가이드라인에서는 개인정보처리자가 가명정보 처리 목적에 필요한 최소한의 정보만을 처리하고, 가명처리 과정에서 재식별 가능성이 없는지를 확인하도록 했다.
이와 같은 사항을 반영하여 가명처리 절차를 총 4단계로 제시했다.
①사전준비 단계로 가명정보 활용 목적을 명확화·구체화하고, 필요한 서류를 작성한다. 이때 제3자 제공의 경우에는 계약체결 관련 서류를 마련할 수 있다.
②가명처리 단계로 처리 유형(내부 활용, 제3자 제공 등), 안전조치 수준 등 처리환경과 정보의 성격 등을 고려하여 가명처리해야 한다.
③적정성 검토 및 추가 가명처리 단계로 가명처리한 결과물을 이용해 목적을 달성할 수 있는지, 특정인을 식별할 수 있는 재식별 위험은 없는지를 점검하여야 한다. 검토 결과 필요하다고 판단한 경우 2단계부터 다시 진행할 수 있다.
④사후관리 단계로 적정성 검토 결과 적합하다고 판단한 경우 가명정보를 처리할 수 있으며, 처리과정에서 재식별 위험이 없는지를 지속적으로 확인해야 한다.
개인정보처리자는 가명정보처리시 ‘안전성 확보조치 기준(개인정보 보호위원회 고시)’을 준수해야 하고, 재식별을 방지하기 위한 추가 조치도 해야 한다. 예를 들면, 추가정보(가명정보를 원래의 상태로 복원하기 위한 정보)는 별도로 보관해야 한다.
안전성 확보조치 기준 고시 주요내용
①기술적 : 접근권한의 관리, 접근통제, 접속기록의 보관 및 점검, 악성프로그램 등 방지
②관리적 : 내부관리계획의 수립, 개인정보취급자 교육
③물리적 : 출입통제 장치 설치, 보조저장매체의 반출·입 통제 등
보호위는 이번에 마련된 가명처리편에 이어 ‘가명정보의 결합·반출편’도 마련할 계획이다. 가명처리편은 기업, 공공기관 등 개인정보처리자가 개인정보를 가명처리할 수 있는 방법과 절차에 대한 기준이고, 결합·반출편은 서로 다른 개인정보처리자간 가명정보를 결합할 수 있는 방법과 절차를 제시한 것이다.
보호위 박상희 사무처장은 “결합·반출편에 대한 대국민 의견수렴 및 검토·조정 작업을 거쳐 9월 중 통합된 ‘가명정보 처리 가이드라인’ 마련할 예정”이라며, “가이드라인 통합본이 완성되면 개정된 데이터3법 시행을 위한 법·제도적 기반이 완비되어 9월 중 지정 예정인 결합전문기관을 통한 가명정보 결합 등 안전한 데이터 활용이 본격적으로 추진될 것으로 기대된다”고 밝혔다.
[원병철 기자(boanone@boannews.com)]
[보안뉴스 원병철 기자] 개인정보보호위원회(위원장 윤종인, 이하 보호위)는 개정된 ‘개인정보보호법’ 시행에 따른 후속조치로서 ‘가명정보 처리 가이드라인(가명처리편)’을 2일 공개했다. 앞으로 개인정보처리자는 가명정보가 실제 사용되는 환경을 고려해 적정한 수준으로 가명처리해 활용할 수 있게 된다.
▲가명처리 절차 예시[자료=개인정보보호위원회]
가명정보란 ‘개인정보보호법’ 개정에 따라 새로 도입된 개념으로, 식별정보(성명, 전화번호, 건강보험번호, 자동차 등록번호 등)를 삭제하거나 대체하는 등의 방법으로 식별가능성을 낮춘 개인정보를 말한다.
이번 가이드라인은 가명정보의 안전한 활용여건을 마련하기 위하여 개인정보처리자가 참고할 수 있는 기준을 제시하기 위해 마련됐다. 그간 개인정보를 가명처리하는 방법과 절차 등에 대한 전문가, 관계기관 및 대국민 의견수렴(8.13~8.19)을 거쳐 이번에 공개한 것이다.
가이드라인에 따르면 개인정보처리자는 개인정보 처리의 기본원칙을 준수하는 범위 내에서 가명처리의 전 과정을 진행해야 한다. 개인정보처리자는 가명정보 처리 목적과 처리환경을 고려해 가명처리 방법을 자체적으로 판단할 수 있다. 개인을 식별할 가능성이 높은 정보는 삭제하거나 원래의 정보로 복원할 수 없도록 처리하고, 그 외의 정보는 가명정보 처리목적 달성을 위해 적절한 가명처리 방법(암호화, 총계처리, 라운딩, 일반화 등)을 선택하여 가명처리 할 수 있다. 특히, 보안수준이 낮은 환경에서는 개인정보 침해 우려가 높은 점을 감안하여 식별가능성을 낮추어 익명정보에 가깝게 처리하도록 했다.
또한, 가이드라인에서는 개인정보처리자가 가명정보 처리 목적에 필요한 최소한의 정보만을 처리하고, 가명처리 과정에서 재식별 가능성이 없는지를 확인하도록 했다.
▲가명처리 절차 4단계[자료=개인정보보호위원회]
이와 같은 사항을 반영하여 가명처리 절차를 총 4단계로 제시했다.
①사전준비 단계로 가명정보 활용 목적을 명확화·구체화하고, 필요한 서류를 작성한다. 이때 제3자 제공의 경우에는 계약체결 관련 서류를 마련할 수 있다.
②가명처리 단계로 처리 유형(내부 활용, 제3자 제공 등), 안전조치 수준 등 처리환경과 정보의 성격 등을 고려하여 가명처리해야 한다.
③적정성 검토 및 추가 가명처리 단계로 가명처리한 결과물을 이용해 목적을 달성할 수 있는지, 특정인을 식별할 수 있는 재식별 위험은 없는지를 점검하여야 한다. 검토 결과 필요하다고 판단한 경우 2단계부터 다시 진행할 수 있다.
④사후관리 단계로 적정성 검토 결과 적합하다고 판단한 경우 가명정보를 처리할 수 있으며, 처리과정에서 재식별 위험이 없는지를 지속적으로 확인해야 한다.
개인정보처리자는 가명정보처리시 ‘안전성 확보조치 기준(개인정보 보호위원회 고시)’을 준수해야 하고, 재식별을 방지하기 위한 추가 조치도 해야 한다. 예를 들면, 추가정보(가명정보를 원래의 상태로 복원하기 위한 정보)는 별도로 보관해야 한다.
안전성 확보조치 기준 고시 주요내용
①기술적 : 접근권한의 관리, 접근통제, 접속기록의 보관 및 점검, 악성프로그램 등 방지
②관리적 : 내부관리계획의 수립, 개인정보취급자 교육
③물리적 : 출입통제 장치 설치, 보조저장매체의 반출·입 통제 등
보호위는 이번에 마련된 가명처리편에 이어 ‘가명정보의 결합·반출편’도 마련할 계획이다. 가명처리편은 기업, 공공기관 등 개인정보처리자가 개인정보를 가명처리할 수 있는 방법과 절차에 대한 기준이고, 결합·반출편은 서로 다른 개인정보처리자간 가명정보를 결합할 수 있는 방법과 절차를 제시한 것이다.
보호위 박상희 사무처장은 “결합·반출편에 대한 대국민 의견수렴 및 검토·조정 작업을 거쳐 9월 중 통합된 ‘가명정보 처리 가이드라인’ 마련할 예정”이라며, “가이드라인 통합본이 완성되면 개정된 데이터3법 시행을 위한 법·제도적 기반이 완비되어 9월 중 지정 예정인 결합전문기관을 통한 가명정보 결합 등 안전한 데이터 활용이 본격적으로 추진될 것으로 기대된다”고 밝혔다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
