1. 일본의 익명가공정보
○ 일본의 경우 개인정보보호법을 개정하면서 빅데이터 활용 목적으로 ‘익명개인정보’이라는 개념을 만들어 냄
일본 개인정보보호법 제2조 제9항
이 법률에서 "익명 가공 정보"란 다음의 각호에 해당하는 개인정보 구분에 대응하고 해당 각호에 정하는 조치를 취하여 특정 개인을 식별할 수 없도록 개인정보를 가공하여 얻는 개인에 관한 정보로서, 해당 개인정보를 복원할 수 없도록 한 것을 말한다.
- 제1항 제1호에 해당하는 개인정보
해당 개인정보에 포함된 기술(記述) 등의 일부를 삭제하는 것(해당 일부 기술(記述) 등을 복원할 수 있는 규칙성을 가지지 않은 방법으로 다른 기술(記述) 등으로 대체하는 것을 포함)
- 제1항 제2호에 해당하는 개인정보
해당 개인정보에 포함되는 개인 식별 부호의 전부를 삭제하는 것(해당 개인 식별 부호를 복원할 수 있는 규칙성을 가지지 않은 방법으로 다른 기술(記述) 등으로 대체하는 것을 포함)
○ 익명가공정보의 법적취급 : 내용은 pseudonymous data로 보이지만, 복원불가능을 전제로 하여 비개인정보로 취급함. 비개인정보이기에 정보주체의 동의를 받을 필요가 없고 제3자 제공도 자유로우나, 다만 일정한 기술적ㆍ관리적 조치를 취할 의무가 있음
○ 개인정보취급사업자의 익명가공정보 작성시 의무사항
- 복원불능의 작성의무 : 개인정보취급사업자가 익명가공정보(데이터베이스 구성에 한함, 이하 같음)를 작성할 때는 특정 개인을 식별하는 것 및 그 작성에 이용되는 개인정보를 복원할 수 없도록 가공해야 한다. 다만 복원할 수 없는 가공의 기준은 개인정보보호위원회가 규칙으로 정하며, 사업자는 이 규칙을 따라야 한다. (제36조 제1항)
- 정보누설방지의무 : 개인정보취급사업자가 익명가공정보를 작성할 때는 정보의 누설을 방지하기 위하여 개인정보보호위원회가 정하는 규칙에 따라 정보의 안전관리를 위한 조치를 취하여야 한다. 누설될 수 있는 정보는 예컨대 익명가공정보 작성 과정에서 삭제된 기술(記述), 개인식별부호, 가공방법 등이 여기에 해당한다. (제36조 제2항)
- 정보항목 공개의무 : 개인정보취급사업자가 익명가공정보를 작성할 때는 개인정보보호위원회 규칙으로 정하는 바에 따라 해당 익명가공정보에 포함된 개인에 관한 정보 항목을 공개해야 한다(제36조 제3항).
- 제3자 제공시 공표 및 명시의무 : 개인정보취급사업자가 익명가공정보를 제3자에게 제공할 때는 정보주체의 동의를 받을 필요는 없지만, 개인정보보호위원회 규칙이 정하는 바에 따라 미리 제3자에게 제공되는 익명가공정보에 포함된 개인에 관한 정보 항목 및 그 제공방법에 대하여 공표하여야 하고, 동시에 해당 제3자에게 제공하는 정보가 익명가공정보라는 사실을 명시해야 한다(제36조 제4항).
- 식별행위 금지의무 : 개인정보취급사업자가 익명가공정보를 작성하고 스스로 해당 익명가공정보를 취급하는 경우 해당 익명가공정보 작성에 사용된 개인정보에 관한 본인을 (재)식별하기 위하여 해당 익명가공정보를 다른 정보와 조합(照合)해서는 아닌 된다. (제36조 제5항)
- 안전관리조치의무 등 : 개인정보취급사업자가 익명가공정보를 작성할 때는 해당 익명가공정보의 안전한 관리에 필요하고 적절한 조치 및 해당 익명가공정보의 작성 기타 취급에 관한 불평의 처리 등 해당 익명가공정보를 적정히 취급하기 위하여 필요한 조치를 스스로 취하고 해당 조치를 공개하도록 노력하여야 한다. (제36조 제6항)
○ 익명가공정보취급사업자의 의무 사항
- 제3자 제공시 공표 및 명시의무 : 익명가공정보취급사업자는 익명가공정보(개인정보를 가공하여 작성한 것은 제외. 이하 동일)를 제3자에게 제공할 때는 개인정보보호위원회 규칙에서 정하는 바에 따라 미리 제3자에게 제공하는 익명가공정보에 포함된 개인에 관한 정보 항목 및 그 제공방법에 대하여 공표하는 동시에 해당 제3자에게 제공하는 정보가 익명가공정보라는 사실을 명시해야 한다. (제37조)
- 식별행위 금지의무 : 익명가공정보취급사업자는 익명가공정보를 취급함에 있어 해당 익명가공정보의 작성에 이용된 개인정보에 관한 본인을 (재)식별하기 위하여 해당 개인정보에서 삭제된 기술(記述) 또는 개인식별부호, 가공방법에 관한 정보를 취득하거나 해당 익명가공정보를 다른 정보와 조합(照合)해서는 아니 된다. (제38조)
- 안전관리조치의무 등 : 익명가공정보취급사업자는 익명가공정보의 안전한 관리에 필요하고 적절한 조치 및 해당 익명가공정보의 취급에 관한 불평의 처리 등 익명가공정보를 적정히 취급하기 위하여 필요한 조치를 스스로 취하고 해당 조치를 공개하도록 노력하여야 한다. (제39조)
2. EU의 psuedonymous data
○ EU의 경우 GDPR에 빅데이터 활용 목적으로 ‘pseudonymous data’이라는 개념을 법문으로 만들어 냄. 아래 조문에서 추가정보는 key 값 등을 의미함
EU GDPR Article4 (3b)
'pseudonymisation' means the processing of personal data in such a way that the data can no longer be attributed to a specific data subject without the use of additional information, as long as such additional information is kept separately and subject to technical and organisational measures to ensure non-attribution to an identified or identifiable person;
(pseudonymisation란 추가정보의 이용 없이는 정보가 특정 개인에게 더 이상 연결되지 아니하도록 개인정보를 처리하는 것을 의미한다. 해당 추가정보를 식별된 또는 식별 가능한 사람에 연결되지 않는 것을 보장하기 위하여 해당 추가정보는 분리되어야 하고 기술적ㆍ관리적 조치가 취해져야 한다.)
○ EU의 psuedonymous data는 특정 개인에게 link할 수 없는 데이터를 의미함
○ EU의 psuedonymous data는 일본과 달리 개인정보로 취급함. 다만 기술적 조치 하에 공익ㆍ통계ㆍ역사적 목적으로 활용할 수 있음
3. 미국의 De-identified data
○ 미국의 경우 미국소비자프라이버시권리장전법에 ‘De-identified data’를 정의하고 있음
미국소비자 프라이버시 권리장전법 Sec4. (2)
De-identified data.
The term “personal data” shall not include data otherwise described by paragraph (1) that a covered entity (either directly or through an agent)—
(i) alters such that there is a reasonable basis for expecting that the data could not be linked as a practical matter to a specific individual or device;
(ii) publicly commits to refrain from attempting to identify with an individual or device and adopts relevant controls to prevent such identification;
(iii) causes to be covered by a contractual or other legally enforceable prohibition on each entity to which the covered entity discloses the data from attempting to link the data to a specific individual or device, and requires the same of all onward disclosures; and
(iv) requires each entity to which the covered entity discloses the data to publicly commit to refrain from attempting to link to a specific individual or device.
○ 미국의 De-identified data : 비개인정보로 취급함.
* 법무법인 민후 김경환 변호사 작성, 블로그(2016. 3. 8.) 기고.
