유럽연합(EU)의 일반 개인정보 보호법(GDPR) 2

유럽연합의 GDPR

 

유럽연합(EU)의 GDPR에 따르면 기업은 개인정보 보호와 관련한 책임을 이행해야 한다. GDPR은 개인정보에 대한 비식별화를 하도록 요구하고 있는데 이와 관련한 다양한 기법들이 있다.

 

3. 개인정보 보호를 위한 기업의 책임

정보 주체는 다음 8가지 권리를 가지며 컨트롤러는 관련 서비스를 무료로 제공해야 한다.

개인정보 처리 활동의 기록
• 종업원 수가 250명 이상인 기업의 컨트롤러와 프로세서는 개인정보 처리 활동을 기록하고 보유해야 한다.
☞ 단, 정보 주체의 권익에 위험을 초래하거나 개인정보 처리가 간헐적이지 않거나 민감 정보 또는 범죄 관련 정보를 저리하는 경우는 종업원 수가 250명 미만이라도 본 의무가 적용된다.
• 예) 개인정보 보호 책임자, 컨트롤러, 프로세서, 대리인의 이름과 연락처, 처리 목적과 범주, 보유 위치 및 기간, 보호 조치 등

설계 및 기본 설정에 의한 정보 보호
• 기업은 개인정보 처리 방법을 결정하고 실제로 적용할 때 개인정보 보호를 고려해야 한다(Data protection by design and by default).
• 설계(Design)에 의한 정보 보호: 컨트롤러는 개인정보 처리 방법을 설계할 때부터 타당성 있는 보호 조치 및 의무 이행 방안을 고려해야 한다.
• 기본 설정(Default)에 의한 정보 보호: 컨트롤러는 개인정보를 보호하고 관련 의무를 이행할 수 있는 방식으로 개인정보를 처리해야 한다.

개인정보 영향 평가
• 기업은 개인정보 처리 과정을 분석하여 리스크를 평가하고 대응 방안을 수립해야 한다(Data Protection Impact Assessment, DPIA).
• DPIA는 개인 정보 처리 전, 기획 단계에서 가장 먼저 수행해야 한다.
☞ Data protection by design and by default 의무와도 일치한다.

정보 보호 담당관(DPO: Data Protection Officer) 지정
• 다음에 해당하는 컨트롤러나 프로세서는 DPO를 지정해야 한다.
☞ 정부 및 관련 기관(단, 법원은 예외)
☞ 핵심 활동이 ‘정보주체에 대한 대규모의 정기적이고 체계적인 모니터링(예: 병원)’ 또는 ‘민감정보나 범죄정보에 대한 대규모 처리’
• DPO은 관련 법률, IT, 보안, 소속 조직 등에 대한 충분한 지식과 개인 정보 보안 문화를 선도할 수 있는 능력을 갖춰야 한다.

행동 강령 및 인증 제도
• 개인정보 보호를 촉진하는 행동 강령을 수립하고 인증 규격을 적용한다(Approved codes of conduct and certification mechanisms).
• 의무는 아니며 권장 사항이다.

4. 개인정보 비식별화 기법

비식별화(De-identification, 익명화)는 개인정보의 일부 또는 전체를 삭제 또는 변환하여 정보 주체와 식별 속성 집합 간 연계를 제거하는 일련의 과정 또는 방법이다.

데이터 삭제(Data Reduction)
• 식별자 중 일부 또는 전체를 삭제하여 비식별화된 데이터를 만든다.
• 가장 간단한 방법으로서 널리 활용되고 있다.
☞ 다른 데이터와 결합하여 재식별화할 가능성이 여전히 있다.

총계 처리(Aggregation)
• 개인정보 증 일부 또는 전체를 합계나 평균 등으로 처리하여 공개한다.
• 통계적 분석은 가능하지만 개인별 맞춤화된 서비스와 수준 높은 분석은 지원하지 못한다.

가명화(Pseudonymization)
• 암호화나 해시 처리 등을 통해 정보 주체를 식별할 수 없게 만든다.
• 재식별을 가능하게 할 수 있는 추가 정보는 분리하여 보관한다.
• ‘설계 및 기본 설정에 의한 정보 보호’ 의무를 이행하는 데 도움을 준다.
☞ 가명화를 하더라도 추가 정보를 사용하면 개인 식별이 가능할 수 있기 때문에 GDPR은 가명화된 정보도 개인 정보로 간주된다.

범주화(Supression)
• 해당 그룹의 대푯값(범주화) 또는 구간값(범위화)으로 변환한다.
• 범주화하더라도 통계 분석이 가능하다는 장점이 있다.

마스킹(Masking)
• 개인 식별 정보의 일부나 전체를 공백, ‘*’, 노이즈 등으로 대체한다.
• 마스킹 수준이 과도하면 정보 활용도가 제한될 수 있다.

토큰화(Tokenization)
• 민감한 데이터를 민감하지 않은 데이터(즉 token)로 치환한다.
• 필요 시 1:1 매핑 관계에 따라 원본 데이터로 환원한다.
☞ 단, 해당 매핑 관계를 유추하는 것은 매우 어려워야 한다.

차분 프라이버시(Differential Privacy)
• 확률적 변형을 통해 노이즈를 추가하여 식별 가능성을 제한한다.
• 개인정보 파일이 프라이버시 위협에 노출된 정도를 수치화하는 데 사용되기도 한다. (ISO 20889는 프라이버시 수준 측정 모델로 분류함)

K-익명화(K-anonymity)
• 비식별화된 정보에서 특정 속성에 해당하는 개인이 K명 이하가 되도록 만든다. (ISO 20889는 프라이버시 수준 측정 모델로 분류함)
• 개인정보 보호에 유용하지만 K가 3이상이면 사실상 개인별 맞춤화된 서비스를 제공하는 데 필요한 정확한 분석이 어려워진다.