가명정보 결합을 통한 재식별화를 막기 위한 규제방안(1)사전적 규제방안

1. 사전적 규제방안

 

개정 데이터 3법은 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 서로 다른 개인정보처리자 간의 가명정보의 결합이 가능하도록 하였다. 그러나 서로 다른 개인정보처리자들의 가명정보들을 결합하면, 그 결합을 통하여 다시 해당 개인이 누구인지 식별할 수 있는 ‘재식별화’의 문제가 생기게 된다. 앞서 ‘식별화’와 ‘개별화’를 설명하였는바, 비식별화 처리되어 개별화 되었다고 볼 수 있는 가명정보가 다른 가명정보와 연결되어 다시 ‘쉽게 결합’된다면 이 결합을 통하여 그 개인이 누구인지 알 수 있는 위험이 생기는 것이다.

 

실제로 2019년 6월 미국에서는 한 환자가 시카고 대학의 메디컬 센터와 구글(Google)에게 자신의 전자의료기록(EHR : Electronic Health Record, 이하 ‘EHR’)을 남용하여 사용하였다는 이유로 소송을 제기한 사례가 있다. 해당 환자의 주장은 자신은 병원이 자신의 동의 없이 제3자에게 상업적으로 자신의 데이터를 제공하지 않는다고 점에 대해 서명을 했음에도, 시카고 대학의 메디컬 센터가 자신의 의료데이터인 EHR과 다른 환자들의 EHR을 구글에 넘겼다는 것이고, 병원측은 구글에 제공한 해당 데이터를 비식별화 조치를 하였다고 주장하였는 바, 현재 이 소송은 진행 중이다. 병원은 비식별화 조치를 하였다고 하지만, 구글이 보유하고 있는 한 개인의 온갖 정보들과 결합하면 그 개인이 특정될 수 있는 위험은 늘 상존하는 것이며, 이를 원인으로 한 소송은 개정 데이터 3법 이후의 우리나라에서도 충분히 생길 수 있는 것이다.

 

이처럼 가명정보라 하더라도 가명정보들이 결합되어 다시 그 사람이 누구인지 알 수 있고 특정이 되어버리는 재식별화의 문제가 생길 수 있다. 특히 가명정보는 정보주체의 동의 없이 통계작성, 과학적 연구, 기록보존 등을 위하여 처리될 수 있기 때문에 국민의 개인정보유출을 개정 데이터 3법이 합법화시켰다는 비판이 계속 나오게 되는 것이다. 따라서 위와 같은 재식별화를 방지하기 위하여 개정 데이터 3법은 정보의 결합을 인정하면서도 이러한 결합을 전문기관이 할 수 있도록 규정하였다. 가명정보를 결합하고자 하는 개인정보처리자는 보호위원장 또는 관계 중앙행정기관의 장이 지정하는 전문기관에 결합신청서를 제출하고, 전문기관이 가명정보를 결합해주면 개인정보처리자는 전문기관 내에 마련된 안전한 분석 공간에서 결합된 정보를 분석할 수 있다. 그리고 AI 분석 등을 위한 데이터 반출의 필요성을 고려하여, 결합된 가명정보는 전문기관의 안전성 평가 및 승인을 거쳐서 전문기관 외부로 반출할 수 있다. 전문기관은 일정한 인력․조직, 시설․장비, 재정능력을 갖추어 지정될 수 있으며, 3년간 지정의 효력이 인정된다. (개인정보보호법 시행령 제29조의2, 제29조의3)

 

그리고 개인정보를 처리하는 개인정보처리자는 내부관리계획을 수립해야 하고, 개인을 알아볼 수 있는 추가 정보는 분리보관하며 접근 권한도 분리해야 하는 등의 물리적․기술적인 안전조치를 실시해야 한다. 또한 가명정보 처리 목적, 보유기간, 파기 등의 사항을 기록으로 작성하여 보관하게 함으로써 안전성을 확보할 수 있도록 하였다. (동법 시행령 제29조의5)

 

그럼에도 가명정보와 다른 정보의 결합을 통해 한 개인이 식별될 수 있는 가능성은 여전히 상존하므로 가명처리 및 정보집합물 결합 과정에 대하여 감독기구의 사후 감사 또는 모니터링을 강화할 필요가 있다. 또한 현행법은 공공기관에 대해서만 개인정보 영향평가를 의무화하고 있는데, 가명정보 또는 결합된 정보집합물을 처리하는 기관 및 기업에 대하여 영향평가를 의무화하는 방안도 검토해볼 수 있다. 뿐만 아니라 개인정보 영향평가가 요식행위에 그치지 않고 실질적인 관리․감독이 이루어질 수 있도록 절차를 개선하는 방안이 함께 검토되어야 할 것이다.