본문 내용 바로가기 대메뉴 바로가기

FAQ

주요개념 및 적용범위
주요개념 및 적용범위 내용을 전달하기 위해 번호, 제목으로 구성된 표입니다.
번호 제목
6개인정보 보호법과 정보통신망법, 신용정보법 등에서 규정하는 개인정보의 개념에 차이는 없는지?
개인정보 보호법 제2조제1호의 개인정보 개념과 정보통신망법 제2조제1항제6호의 개인정보 개념은 일부 예시와 관련하여 차이가 있을 뿐 사실상 동일한 개념임
또한, 신용정보법 상의 개인신용정보와 개인식별정보는 금융거래 등에 사용되는 개인정보의 특수한 형태로 이는 개인정보 보호법 상의 개인정보에 해당함
5어떤 정보가 개인정보에 해당하는 지를 판단할 때 해당 정보를 처리하는 자의 관점에서 보아야 한다고 했는데, 이의 의미는?
개인정보 보호법 상 개인정보란 그 자체의 정보로 또는 다른 정보와 쉽게 결합하여 개인을 알아볼 수 있는 정보를 의미하는 바, 여기서 ‘알아볼 수 있는’의 주체는 개인정보를 처리하는 자로 한정하여야 함
이는 만약 ‘알아볼 수 있는’의 주체를 불특정 제3자로 확대 해석하게 되면, 모든 정보가 다른 정보와 결합하여 개인정보가 될 수 있는 불합리한 결과가 초래되기 때문임
다만, ‘해당 정보를 처리하는 자’는 정보를 제공하는 관계에서는 해당 정보를 제공받은 자를 포함하는 개념임
4개인정보를 비식별 조치하는 경우 개인정보가 아닌 것으로 추정한다는데 이것의 법적 의미는?
본 가이드라인에 따라 특정 개인을 알아볼 수 없도록 비식별 조치가 적정하게 된 경우에는 개인정보에 해당한다는 반증이 없는 한 개인정보가 아닌 것으로 보되, 개인정보라는 반증이 나오는 경우 개인정보로 본다는 뜻임
3본 가이드라인이 통신사업자나 금융기관 등에도 적용되는지?
본 가이드라인은 비식별 조치 기준과 지원·관리체계 등 비식별 정보를 안전하게 활용하기 위한 목적으로 행정자치부(개인정보 보호법), 방송통신위원회(정보통신망법), 금융위원회(신용정보법), 보건복지부(의료법) 등 관계부처와 공동으로 마련한 것으로 본 가이드라인은 통신사업자나 금융기관 등 모든 사업자에 적용됨
2통계청 등 관련 법령에 따라 데이터를 수집, 연계·활용하는 기관들에 대해 본 가이드라인의 적용 여부는?
통계법 등 관련 개별 법령에서 정한 바에 따라 데이터를 수집, 연계·활용하는 기관들의 경우에는 본 가이드라인의 내용보다 관련 법령의 규정이 우선 적용되어야 함
따라서, 통계청 등이 관계 법령에 따라 통계작성 등 고유의 공공목적을 위해 데이터를 수집, 연계·활용하는 경우는 해당 법령에 근거한 비식별 조치 방식을 적용해야 함
1개인정보 보호법 제18조제2항제4호에 따른 정보와 「개인정보 비식별 조치 가이드라인」에 따라 비식별 조치한 정보와의 차이는?
개인정보 보호법 제18조제2항제4호에 따른 정보는 개인정보가 아닌 것으로 추정한다는 점에서는 비식별 정보와 동일하지만, 법에서 허용된 통계작성 및 학술연구 등을 위한 국한된 목적으로만 제공할 수 있다는 점에서 차이가 있어서 「개인정보 비식별 조치 가이드라인」에 따른 비식별 조치 중 적정성 평가는 제외할 수 있음
비식별 조치
비식별 조치 내용을 전달하기 위해 번호, 제목으로 구성된 표입니다.
번호 제목
8본 가이드라인에서 말하는 비식별 조치는 무엇인가?
“비식별 조치”란 정보집합물(데이터 셋)에서 개인을 식별할 수 있는 요소(식별자, 속성자)를 전부 또는 일부 삭제하거나 대체하는 등의 방법으로 개인을 알아볼 수 없도록 하는 조치를 말함
비식별 조치는 우선 ‘가명처리’, ‘총계처리’, ‘데이터 삭제’, ‘데이터 범주화’, ‘데이터 마스킹’과 같은 기법 등을 활용하여 개인을 알아볼 수 없도록 조치하고, 또 ‘k-익명성’ 모델 등을 활용하여 비식별 조치가 적정한지 여부에 대한 평가절차를 거쳐야 함
7고객정보를 제공받는 기관이 비식별 조치를 한다면, 제공하는 기관은 비식별 조치를 하지 않을 수 있는지?
비식별 조치되지 않은 개인정보 제공은 개인정보 제3자 제공에 해당하므로 정보주체의 별도 동의가 없었다면 현행법 위반임
따라서, 정보주체로부터 제3자 제공에 대한 별도동의를 받지 않았다면 제공하는 기관이 비식별 조치를 한 후 제공하여야 함
6비식별 대상인 개인 식별정보의 구체적인 항목은 어떻게 되는지?
본 가이드라인에 따른 비식별 조치 대상은 정보집합물(데이터 셋)에 포함되어 있는 개인 식별요소(식별자 및 속성자)이며, 각 식별요소에 대한 비식별 조치 여부와 방법은 데이터 이용 목적 등을 고려하여 결정되어야 할 것임
식별자는 원칙적으로 삭제하여야 하고, 데이터 이용 목적상 반드시 필요한 식별자는 비식별 조치 후 활용하여야 함
속성자는 데이터 이용 목적과 관련이 없는 경우 삭제하고, 이용 목적과 관련이 있는 속성자 중 식별요소가 있는 경우에는 가명처리, 총계처리 등의 조치 기법을 활용하여 비식별 조치하여야 함
5비식별 조치가 적정한지 어떻게 알 수 있나?
비식별 조치가 적정한지에 대한 여부는 프라이버시 보호 모델인 ‘k-익명성’ 등을 활용한 평가를 거쳐 결정됨
예를 들어, k값을 5로 정하여 비식별 조치하였다면 정보집합물 내에는 특정인을 식별할 수 있는 요소가 없음은 물론이고, 최소 5개 이상의 동일한 레코드(row, 列)가 존재하여 특정 개인을 식별하기 어려우므로 비식별 조치가 적정한 것으로 봄
4평가단 구성 시 ‘데이터 이용목적과 직접적인 이해관계가 없는 자’로 위원을 구성토록 하고 있음. 이 때, 평가단에 참여하는 내부전문가의 경우에는 이해관계자에 포섭될 수 있는데, 평가단 구성에 대한 구체적 기준은 무엇인지?
평가단 구성에 내부 전문가를 참여시키고자 하는 경우에는 해당 데이터 이용 목적과 직접적인 이해관계가 없는 내부 전문가를 지정하여 평가 결과의 공정성과 신뢰성을 보장하여야 할 것이며, 이 경우 간접적인 이해관계자까지 모두 배재해야 할 필요는 없음
3평가단이 단순히 k-익명성 값만을 가지고 판단할 가능성이 있는데?
‘비식별 적정성 평가단’이 단순히 k-익명성 값을 만족하는지 여부만을 평가하는 것이 아니라 평가대상 데이터의 특성, 재식별 시도 가능성 등을 고려하여 현재의 비식별 조치 수준이 적정한지, 재식별 위험이 없는지 여부 등을 종합적으로 평가하는 것임
2적정성 평가 시 k-익명성을 기본으로 활용하되, 필요시 추가적인 평가모델(l-다양성, t-근접성)을 활용하도록 하고 있는데, ‘필요시’에 대한 객관적인 기준은 무엇인지?
본 가이드라인에 제시된 k-익명성을 활용한 평가는 최소한의 평가 수단이며, 평가 대상 데이터의 특성, 재식별 시도 가능성 등을 평가단에서 종합적으로 판단하여 추가적인 평가모델(l-다양성, t-근접성)을 결정해야 함
예를 들어, k-익명성에 의해 범주화 되었더라도 각 레코드들이 충분한 다양성을 가지지 못하거나, 특정한 값에 쏠려 있다고 판단되는 경우에는 l-다양성 또는 t-근접성을 추가적으로 적용해야 함
1평가단이 ‘적정’으로 판단한 비식별 정보가 추후에 재식별된 경우 그 책임소재는?
재식별에 대한 책임 소재는 당초 평가단의 평가 내용과 재식별된 경위 등을 종합적으로 고려하여 판단해야 할 사항임
당초 평가단 평가시 ‘적정’으로 판단할 만한 상당한 근거가 있었다면, 추후에 재식별되었다는 이유만으로 책임을 부과하는 것은 곤란함
비식별 정보 활용
비식별 정보 내용을 전달하기 위해 번호, 제목으로 구성된 표입니다.
번호 제목
8비식별 조치된 고객정보를 시장조사, 신상품개발, 마케팅 전략수립 등에 활용하거나 제휴회사에 제공하고자 하는 경우, 해당 고객의 동의가 필요한가?
개인 식별요소 삭제 등 충분한 비식별 조치가 이루어졌다면 고객의 추가 동의 없이 시장조사, 신상품 개발, 마케팅전략 수립 등의 용도로 이용할 수 있음
다만, 제휴회사에 제공하는 경우에는 다른 정보와의 결합을 통한 재식별 가능성이 있으므로 재식별 위험관리 사항을 계약서에 반영하는 등 본 가이드라인에 따른 사항을 준수해야 할 것임
7‘적절한 수준으로 비식별 조치’된 데이터에 대해서는 제3자 제공 동의를 받지 않더라도 다양한 비즈니스 목적으로 제3자에게 유상/무상으로 제공이 가능한지?
본 가이드라인에 따라 적정한 비식별 조치가 이루어졌다면 고객의 동의를 받지 않더라도 다양한 비즈니스 용도에 활용될 수 있도록 제3자에게 제공이 가능함. 이 경우 실비 수준의 수수료를 받고 비식별 정보를 제공할 수 있음
또한, 재식별 금지 및 재제공 제한, 재식별 위험시 통지 등의 내용을 해당 비식별 정보 제공과 관련한 계약서에 반드시 포함하여야 함
61대1 마케팅 등 맞춤형 서비스 목적으로 이용 가능한지?
비식별 조치된 정보는 특정 개인을 알아볼 수 없으므로 1대1 마케팅 등 맞춤형 서비스 목적으로 활용하는 것이 현실적으로 불가능함
※ 개인 식별이 가능한 정보를 이용해 상품 판매 또는 홍보 등 1대1 마케팅을 하려면 현행 법령에 따라 정보주체의 사전 동의 필요
5‘적절한 수준으로 비식별 조치’된 데이터에 대해서는 정보활용에 대한 동의를 받지 않았더라도 다양한 고객 분석, 신상품 기획, 세그먼트 마케팅 등의 목적에 활용할 수 있는가?
비식별 정보는 개인정보가 아닌 것으로 추정되는 바, 고객 분석, 신상품 기획, 세그먼트 마케팅 등의 목적으로 활용이 가능
다만, 세그먼트 마케팅을 위한 비식별 조치의 경우 특정 개인을 알아볼 수 없도록 세그먼트를 충분한 규모로 산정해야 함
4법령상 ‘민감정보’에 해당하는 건강정보 및 유전정보의 경우에도 비식별 조치를 한다면 개인의 동의없이 활용 가능한지?
개인정보 보호법상 민감정보에 해당하더라도 가이드라인에 따라 특정개인을 알아볼 수 없도록 비식별 조치한 경우 개인의 사전동의 없이 빅데이터 분석 등에 활용이 가능함
다만, 「생명윤리 및 안전에 관한 법률」에 근거한 인간 대상의 연구 목적으로 수집된 개인정보는 동 법 제18조에 의거 별도의 제공절차에 따라야 함
3유전정보도 다른 건강정보와 동일하게 취급해야 하는지 아니면 별도의 강화된 조치가 필요한지?
‘유전정보’는 「디엔에이신원확인 정보의 이용 및 보호에 관한 법률」, 「생명윤리 및 안전에 관한 법률」에 따라 엄격히 보호되고 있는 정보이므로 해당 법률에서 정하는 별도의 강화된 조치가 필요함
2고객 행태 분석을 위해 서비스 이용 기록*이나 SNS 등에 공개된 정보를 수집하여 비식별 조치 후 이용하는 것이 가능한가?* 인터넷 접속정보, 웹사이트 방문정보, 사용하는 단말기 정보 등
합법적으로 수집한 정보라면 비식별 조치 후 이용하는 것은 가능하며, 이 경우 정보주체의 동의를 받지 않아도 됨
1해당 데이터를 가이드라인에 따라 적정성 평가를 받고 활용하다 새로운 분석을 위해 비식별 조치 방법을 변경하고자 할 때 이 경우 별도의 적정성 평가를 진행해야 하는지?
본 가이드라인에 따른 적정성 평가는 데이터 마스킹, 총계처리 등 비식별 기법이 적용된 정보를 대상으로 하여 비식별 조치가 적정하게 이루어졌는지 여부를 평가하는 것임
따라서, 당초 적용된 비식별 기법을 변경하여 다른 기법을 적용하는 경우에는 기존 평가 대상의 변경이 수반되므로 추가적인 적정성 평가가 진행되어야 함
사후관리
사후관리 목록 내용을 전달하기 위해 번호, 제목으로 구성된 표입니다.
번호 제목
6비식별 정보가 재식별되면 어떻게 해야 하나?
사업자 등은 비식별 정보를 활용하는 과정에서 정기적인 모니터링과 필수적인 안전조치 등을 통해 재식별 위험을 최소화해야 함
다만, 비식별 정보의 처리 과정에서 비의도적으로 특정 개인을 재식별하게 된 경우에는 즉시 그 정보의 처리를 중단하고 파기조치를 하여야 함
5비식별 정보도 재식별 가능성이 있다고 하는데 비식별 조치가 제대로 안된 것이 아닌지?
재식별 가능성이 현저하다면 이는 비식별 조치가 제대로 이루어지지 않은 것임
※ 비식별 조치가 충분히 이루어졌다면 그 시점에서 재식별은 불가능
다만, 비식별 조치가 적정하게 된 경우에도 새로운 결합기술이 출현하고 입수가능한 정보가 증가하는 경우에는 사후에 재식별이 될 수 있음
따라서, 비식별 조치가 적정하게 된 경우에도 재식별 방지를 위해 필수적인 안전조치는 이행하여야 함
4제공한 비식별 정보의 모니터링 책임이 제공자에게 있는 것인지?
비식별 정보를 이용하거나 제3자에게 제공하려는 사업자 등은 해당 정보의 재식별 가능성을 정기적으로 모니터링 해야 함
이미 제공된 비식별 정보의 모니터링 책임은 과거에 그 정보를 제공한 자가 아니라 현재 그 정보를 이용하는 사업자 등에게 있음
3‘적절한 수준으로 비식별 조치’된 정보는 개인정보 보관기한 등과 무관하게 저장하여 활용할 수 있는지?
비식별 정보는 개인정보가 아닌 것으로 추정되므로 보관 및 이용 목적·기간을 뚜렷하게 한 후 해당 목적 및 기간종료 시까지 저장하여 활용할 수 있음
다만, 비록 비식별 정보가 특정 개인을 알아볼 수는 없더라도, 재식별 의도가 있는 제3자가 부정한 목적으로 활용하지 않도록 필수적인 안전조치는 이행하여야 함
2 비식별 조치를 한 정보에 대한 열람, 정정·삭제 및 처리정지 등의 요구에 어떻게 대응해야 하는지?
비식별 조치된 정보는 요구자에 대한 정보를 확인할 수 없으므로 개인정보 열람, 정정·삭제 및 처리정지 등이 현실적으로 불가능
1개인이 재식별 된 경우, 개인정보 보호법 제34조의 ‘유출’로 보아 해당 정보주체에 대한 유출통지를 해야 하는지?
‘개인정보 유출’은 ‘법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보처리자가 통제를 상실하거나 또는 권한 없는 자의 접근을 허용한 경우’를 의미하며, 정보처리 과정에서 우연히 개인이 재식별 되었다는 사실만으로는 개인정보 유출로 볼 수 없으므로 유출통지 대상이 아님
※ ‘개인정보처리자의 통제 상실’ 및 ‘제3자의 접근 허용’에 해당하지 않음
다만, 재식별된 정보를 파기하지 않고 보관하다가 해커 등 권한 없는 제3자에게 그 정보가 노출되었다면 ‘개인정보 유출’에 해당하므로 지체없이(5일 이내, 정보통신망법 적용 사업자는 24시간 이내) 유출통지를 해야 할 것임
지원 및 관리체계
지원 및 관리체계 내용을 전달하기 위해 번호, 제목으로 구성된 표입니다.
번호 제목
7다른 사업자가 보유한 DB를 결합하여 빅데이터 분석 등에 활용할 수 있는가?
정보주체의 동의없이 당사자간 개인정보를 직접 주고받는 것은 현행법 상 허용되지 않음
다만, DB 결합 과정에서만 임시로 매칭키 역할을 하는 ‘임시 대체키’를 부여하고 비식별 조치한 후 신뢰할 수 있는 전문기관이 결합하는 것은 가능
6DB 결합을 위해 분야별 전문기관에 데이터를 제공하는 경우 식별자만을 제거하고 제3의 기관에서 제공한 알고리즘으로 임시대체키를 생성하여 붙인 뒤 다른 비식별 조치를 하지 않을 수 있는지?
직접적인 식별자만 제거하고 속성자에 대한 비식별 조치 없이 분야별 전문기관에 데이터를 제공하는 행위는 본 가이드라인에 따른 충분한 비식별 조치가 아님
분야별 전문기관에 데이터 결합을 위해 제공하는 정보는 본 가이드라인에서 정하는 비식별 조치 및 ‘비식별 조치 적정성 평가단’의 평가를 거쳐 비식별 조치를 적정하게 한 후에 제공해야 함
5업종별의 경우 전문기관이 서로 다른데 이업종의 DB결합시 각자 자신이 속한 업종의 전문기관의 지원을 받으면 되는 것인지?
DB 결합을 지원할 전문기관을 선택하고자 하는 경우 ① 산업내 기업간 결합은 해당 분야 전문기관에서 결합을 지원하고, ② 이종산업간 결합은 대량의 정보집합물을 결합하고자 하는 기업이 속해 있는 분야별 전문기관에서 수행
※ 분야별 전문기관은 한국인터넷진흥원, 한국신용정보원, 금융보안원, 사회보장정보원, 한국정보화진흥원 중에서 소관부처가 공문으로 지정.공표하여 운영하고 필요시 추가 지정 가능
당해 산업을 지원해 주는 전문기관이 없는 경우에는 한국인터넷진흥원 또는 한국정보화진흥원에서 지원을 받으면 됨
4이종 DB결합시 주민등록번호를 사용하여 임시 대체키를 만드는 것이 현행법 위반인지?
개인정보 보호법 제24조의2에 따라 주민등록번호는 법령에서 구체적으로 요구하거나 허용하는 경우 등을 제외하고는 처리가 엄격히 제한됨
따라서, 임시 대체키 생성 시 주민등록번호를 사용하는 것은 현행 법령에서 구체적으로 요구하거나 허용하는 경우 등으로 볼 수 없으므로 현행법 위반의 소지가 있음
3기업 내에서 서로 다른 부서간의 DB를 결합하여 이용하고자 하는 경우에도 반드시 외부의 전문기관을 통해야 하는지?
기업 내에서 서로 다른 부서간 DB를 결합하여 이용하고자 하는 경우에는 반드시 외부의 전문기관을 통할 필요는 없음
다만, 기업내 DB결합 시에도 결합 전·후 본 가이드라인에 따른 비식별 조치 및 적정성 평가를 수행하여야 하며, 결합과정에서 임시 대체키를 활용할 경우에는 결합대상 정보를 관리하지 않는 제3의 부서가 임시 대체키를 안전하게 생성·관리하고 재식별 시도 금지 및 재식별시 즉시 파기 등 필수 보호조치를 엄격히 해야 함
이 경우 평가단은 동일한 평가단에서 평가를 수행할 수 있음
2개인정보를 비식별 조치하여 활용할 경우 법적인 책임은 없는지?
본 가이드라인에 따라 특정 개인을 알아볼 수 없도록 비식별 조치하여 활용하는 경우에는 개인정보 보호법 상 목적 외 이용·제공 등에 관련한 책임은 없음. 다만, 적정한 비식별 조치 없이 활용하는 경우에는 책임이 있음
또한, 다른 정보와 결합하여 재식별 되지 않도록 필수적인 관리조치는 이행해야함. 즉, 비식별 정보에 대한 관리적·기술적 보호조치*와 재식별이 되는 경우 정보 처리를 즉시 중단하고 파기 조치를 하는 등 가이드라인에서 정한 조치사항을 이행하지 않아 비식별 정보가 재식별이 되면 그에 따른 법적인 책임이 있음
* 비식별 정보파일에 대한 접근권한 관리 및 접근 통제, 비식별 정보파일 유출 시 대응계획 수립 등
1가이드라인에서 정하는 대로 비식별 조치*를 실시하였다고 가정할 때 의도하지 않은 재식별 발생 시 면책이 가능한지?* 비식별 기법 적용 후 전문가 평가결과(k-익명성 등) ‘적정’인 경우
본 가이드라인에 따라 특정 개인을 알아볼 수 없도록 충분한 비식별 조치를 실시하였다면 고의성 없는 재식별 사실만으로 책임을 부과할 수는 없음
다만, 의도적으로 비식별 정보가 쉽게 재식별 될 수 있도록 이용·제공하거나, 재식별 정보를 보호조치 없이 보관·이용·제공한 경우에는 관련 법령에 따른 벌칙*이나 과태료**가 부과될 수 있음
* 재식별 정보 이용·제공시 : 5년이하 징역 또는 5천만원 이하 벌금(정보통신망법 적용 사업자는 위반행위 관련 매출액의 3% 이하 과징금이 추가 부과될 수 있음)
** 파기 조치 없이 보관 : 5천만원 이하 과태료(정보통신망법 적용 사업자는 5년 이하 징역 또는 5천만원 이하 벌금형 및 위반행위 관련 매출액의 3% 이하 과징금이 추가 부과될 수 있음)