이름을 지웠으니 익명이라고 믿었던 데이터로 주지사의 진료 기록을 찾아낸 사건이 있었습니다. 이 시험의 법제도 문항은 대부분 그 사건의 후속편입니다.
풀고 시작
문제 1. 개인정보를 추가 정보 없이는 특정 개인을 알아볼 수 없게 처리한 것으로, 통계작성이나 과학적 연구 목적이면 정보주체 동의 없이 쓸 수 있는 것은?
가명정보는 추가 정보를 따로 잠가 두면 개인을 알아볼 수 없지만, 그 추가 정보를 합치면 되살아나므로 여전히 개인정보의 일종입니다. 익명정보는 되살릴 수 없어 아예 개인정보가 아니고, 민감정보는 건강이나 사상처럼 더 엄격히 보호되는 항목입니다.
이름을 지워도 사람은 남습니다
1997년 매사추세츠주는 공무원 의료보험 데이터를 연구용으로 공개합니다. 이름과 주소는 당연히 지웠죠. 그때 대학원생이던 라타냐 스위니가 20달러를 내고 산 유권자 명부를 그 데이터에 겹칩니다. 두 자료에 공통으로 남아 있던 항목은 셋뿐이었습니다. 우편번호, 생년월일, 성별. 이 셋만으로 당시 주지사의 진료 기록이 특정됐습니다. 스위니는 뒤이어 미국인의 약 87퍼센트가 이 세 항목 조합으로 식별된다는 계산을 내놓습니다.
여기서 배울 것은 하나입니다. 식별자를 지웠다는 것과 식별되지 않는다는 것은 다른 말입니다. 다른 데이터와 붙는 순간 살아나는 정보가 있고, 그래서 "무엇을 지웠나"가 아니라 "붙였을 때 남는 것이 무엇인가"를 따져야 합니다. 오늘날의 비식별 조치와 프라이버시 보호 모델은 전부 이 질문의 답입니다.
개인정보, 가명정보, 익명정보
우리 법은 2020년 이른바 데이터 3법(개인정보 보호법, 정보통신망법, 신용정보법) 개정으로 이 셋을 갈라놓았습니다.
구분
뜻
활용
개인정보
살아 있는 개인을 알아볼 수 있는 정보
원칙적으로 동의 필요
가명정보
추가 정보 없이는 알아볼 수 없게 처리
통계작성, 과학적 연구, 공익적 기록보존 목적이면 동의 없이 가능
익명정보
시간과 비용을 들여도 되살릴 수 없음
개인정보가 아니므로 제한 없음
가운데 칸이 개정의 핵심입니다. 동의를 다 받고서야 분석하라는 요구는 현실에서 데이터 활용을 사실상 막았거든요. 대신 조건을 겁니다. 목적은 세 가지로 한정되고, 추가 정보는 따로 분리해 잠가야 하며, 다시 특정 개인을 알아보려는 시도 자체가 금지됩니다. 서로 다른 기관의 가명정보를 합치는 일은 아무나 못 하고 지정된 결합전문기관을 거쳐야 하죠.
비식별 조치의 다섯 갈래
시험이 가장 좋아하는 목록입니다. 이름만 보고 무엇을 하는지 떠올릴 수 있어야 합니다.
기법
하는 일
예
가명처리
식별자를 다른 값으로 바꾼다
홍길동, 35세 → 임꺽정, 30대
총계처리
개별 값을 합계나 평균으로 바꾼다
사원 5명의 급여를 평균 급여로
데이터 삭제
식별에 쓰일 값을 지운다
주민등록번호 뒷자리 삭제
데이터 범주화
값을 구간으로 뭉갠다
32세 → 30대, 서울시 강남구 → 서울시
데이터 마스킹
일부를 가리거나 잡음을 섞는다
홍길동 → 홍oo
헷갈리기 쉬운 짝이 범주화와 총계처리입니다. 범주화는 값 하나를 넓은 구간으로 바꾸는 것이고, 총계처리는 여러 값을 하나로 합치는 것입니다. 32세를 30대로 바꾸면 범주화, 다섯 명의 나이를 평균 나이 하나로 만들면 총계처리죠.
얼마나 안전한지 재는 자
조치를 했다고 끝이 아니라 그 결과가 안전한지를 재야 합니다. 프라이버시 보호 모델이 그 잣대입니다.
k-익명성은 같은 속성 조합을 가진 사람이 최소 k명은 있어야 한다는 요구입니다. 나와 똑같아 보이는 사람이 최소 k명이면 나를 콕 집을 수 없죠. 그런데 그 k명의 병명이 전부 같다면 어떨까요. 굳이 누구인지 몰라도 병은 알아냅니다. 그래서 l-다양성이 민감한 속성의 값이 최소 l가지는 되어야 한다고 요구합니다. 여기서 한 걸음 더 나가면 t-근접성입니다. 값이 여러 가지이긴 한데 전체 분포와 너무 다르면 여전히 추론이 가능하니, 그 차이를 t 이하로 묶으라는 것이죠. m-유일성은 특정 속성이 최소 m번은 나타나야 한다고 봅니다.
k, l, t의 순서만 잡아 두시면 됩니다. 몇 명이 겹치는가(k), 그 안에 값이 몇 가지인가(l), 그 분포가 전체와 얼마나 닮았는가(t). 뒤로 갈수록 조건이 까다로워집니다.
유럽의 GDPR도 종종 나옵니다. 잊힐 권리, 개인정보 이동권, 프로파일링 거부권을 두고 있고, 위반 시 과징금이 전 세계 매출액의 4퍼센트 또는 2천만 유로 중 큰 금액까지 갑니다. 우리 법의 감독기구는 개인정보보호위원회입니다.
인출 문제
문제 1. 가명정보를 정보주체 동의 없이 활용할 수 있는 목적이 아닌 것은?
법이 허용한 목적은 통계작성, 과학적 연구, 공익적 기록보존 셋입니다. 특정 개인을 겨냥한 마케팅은 여기에 들어가지 않으며, 오히려 개인을 다시 알아보려는 시도에 가까워 금지되는 쪽에 걸립니다.
문제 2. 사원 다섯 명의 개별 연봉을 지우고 평균 연봉 하나만 남겼습니다. 어떤 비식별 조치인가요?
여러 값을 합계나 평균 같은 하나의 값으로 대체하는 것이 총계처리입니다. 범주화는 값 하나를 30대처럼 넓은 구간으로 바꾸는 것이고, 마스킹은 일부를 가리는 것이라 여러 건을 합치지는 않습니다.
문제 3. k-익명성을 만족하는 데이터인데도 특정인의 질병이 노출됐습니다. 이를 막기 위한 모델은?
같은 속성 조합을 가진 k명이 모두 같은 질병이면 개인을 특정하지 못해도 질병은 드러납니다. 민감 속성의 값이 최소 l가지가 되도록 요구하는 l-다양성이 이 구멍을 막습니다. t-근접성은 그다음 단계로, 값의 분포가 전체와 크게 다르지 않도록 요구합니다.
문제 4. 데이터를 다른 자료와 결합했을 때 재식별될 수 있다는 문제를 보여 준 대표 사례의 교훈으로 가장 적절한 것은?
이름을 지운 의료 데이터가 공개된 유권자 명부와 결합되면서 개인이 특정됐고, 여기 쓰인 것은 특별한 기술이 아니라 흔한 속성 세 개의 조합이었습니다. 그래서 무엇을 지웠는지가 아니라 남은 값들이 결합됐을 때 무엇이 되는지를 봐야 합니다.
더 풀기
출제기준의 세세항목을 따라 이 강의 범위에서 새로 낸 문제입니다. 모의고사도 여기에서 뽑습니다.
묶음 1
문제 1. 개인정보보호법에서 말하는 개인정보의 요건으로 옳은 것은?
살아 있는 개인, 그리고 식별 가능성이 핵심 요건입니다. 사망자나 법인의 정보는 원칙적으로 개인정보가 아니며, 이름이 있어도 특정 개인을 알아볼 수 없으면 해당하지 않을 수 있습니다.
문제 2. 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는 경우에 대한 법의 태도로 옳은 것은?
그 자체로는 식별되지 않아도 쉽게 결합해 알아볼 수 있으면 개인정보입니다. 다만 결합에 드는 시간과 비용, 기술을 합리적으로 고려합니다.
문제 3. 가명정보에 대한 설명으로 옳은 것은?
추가 정보를 따로 분리 보관하면 복원 가능성이 남아 있는 상태가 가명정보입니다. 통계작성과 과학적 연구, 공익적 기록보존 목적이면 동의 없이 처리할 수 있지만 목적이 제한됩니다.
문제 4. 익명정보의 특징으로 가장 알맞은 것은?
되살릴 수 없으므로 개인정보가 아니고, 그래서 활용 제한도 원칙적으로 없습니다. 가명정보보다 오히려 쓰임이 넓습니다.
문제 5. 비식별 조치 기법 가운데 데이터의 값을 구간이나 범위로 바꾸는 것은?
35세를 30대로 바꾸는 것이 범주화입니다. 가명처리는 다른 값으로 대체, 총계처리는 합계나 평균으로 대체, 마스킹은 일부를 가리는 것입니다.
문제 6. 여러 사람의 값을 합계나 평균으로 바꾸어 개인을 드러내지 않게 하는 기법은?
개별 값 대신 집단의 요약값을 쓰는 것이 총계처리입니다. 다만 집단 크기가 작으면 여전히 개인이 드러날 수 있습니다.
문제 7. 주민등록번호 뒷자리를 별표로 가리는 조치에 해당하는 기법은?
값의 일부를 가려 식별력을 낮추는 것이 마스킹입니다. 값을 다른 값으로 통째로 바꾸면 가명처리가 됩니다.
문제 8. k-익명성이 보장하는 바로 가장 알맞은 것은?
나를 특정하려 해도 같은 조합의 사람이 k명이라 지목되지 않게 하는 것이 k-익명성입니다. 두 번째는 l-다양성, 세 번째는 t-근접성의 설명입니다.
문제 9. k-익명성만으로 막지 못하는 공격을 보완하기 위해 민감정보가 최소 몇 가지 이상 존재하도록 요구하는 모델은?
동질성 공격을 막기 위해 같은 동질 집합 안의 민감정보가 최소 l가지 이상이어야 한다는 것이 l-다양성입니다.
문제 10. t-근접성이 다루는 문제로 가장 알맞은 것은?
값이 여러 가지여도 특정 값에 쏠려 있으면 여전히 추론이 가능합니다. 분포 차이를 일정 수준 이하로 묶는 것이 t-근접성입니다.
문제 11. 데이터 3법에 해당하지 않는 법은?
데이터 3법은 개인정보 보호법, 정보통신망법, 신용정보법을 가리킵니다. 전자상거래법은 별개입니다.
문제 12. 개인정보 처리 원칙으로 보기 어려운 것은?
보유 기간이 끝나면 지체 없이 파기하는 것이 원칙입니다. 나머지 셋은 최소 수집, 목적 제한, 정확성 원칙입니다.
묶음 2
문제 1. 정보주체의 동의 없이도 개인정보를 수집하고 이용할 수 있는 경우로 보기 어려운 것은?
단순한 영업상 필요는 근거가 되지 않습니다. 나머지는 법이 정한 동의 예외 사유에 해당합니다.
문제 2. 개인정보를 제3자에게 제공할 때 정보주체에게 알려야 할 사항으로 보기 어려운 것은?
매출액은 고지 사항이 아닙니다. 제공받는 자, 목적, 항목, 보유 기간, 동의 거부권과 불이익이 고지 대상입니다.
문제 3. 개인정보 처리방침에 반드시 담아야 할 내용으로 보기 어려운 것은?
급여 체계는 개인정보 처리와 무관합니다. 나머지는 처리방침의 필수 기재 사항입니다.
문제 4. 개인정보 영향평가에 대한 설명으로 옳은 것은?
사전에 위험을 진단하고 대책을 세우는 것이 영향평가입니다. 일정 규모 이상의 공공기관 개인정보 파일은 의무 대상입니다.
문제 5. 정보주체의 권리로 보기 어려운 것은?
권리는 자신의 정보에 대해서만 행사할 수 있습니다. 나머지 셋은 법에 명시된 정보주체의 권리입니다.
문제 6. 잊힐 권리에 가장 가까운 개념은?
더는 필요하지 않은 자신의 정보를 지우도록 요구하는 권리가 삭제권이고, 이를 일상어로 부른 것이 잊힐 권리입니다.
문제 7. 유럽 일반개인정보보호규정에서 자동화된 의사결정에 대해 정보주체가 가지는 권리로 옳은 것은?
프로파일링을 포함한 자동화 결정에 대해 사람의 개입과 설명을 요구할 수 있게 한 것이 핵심입니다. 소스코드 소유권과는 다릅니다.
문제 8. 개인정보 국외 이전에 대한 설명으로 옳은 것은?
동의나 계약 이행 등 근거가 필요하고, 이전받는 국가의 보호 수준을 확인하는 절차가 붙습니다.
문제 9. 가명정보를 처리할 때 지켜야 할 의무로 보기 어려운 것은?
가명정보라도 목적이 제한되고 안전조치 의무가 따릅니다. 무제한 판매는 허용되지 않습니다.
문제 10. 서로 다른 기관의 가명정보를 결합하려 할 때 원칙으로 옳은 것은?
재식별 위험을 통제하기 위해 지정된 결합전문기관을 거치도록 하고 있습니다.
문제 11. 민감정보에 해당하지 않는 것은?
직장 주소는 일반 개인정보입니다. 건강, 사상과 신념, 노동조합 가입, 정치적 견해, 유전정보 등이 민감정보로 별도 보호를 받습니다.
문제 12. 고유식별정보에 해당하는 것은?
주민등록번호, 여권번호, 운전면허번호, 외국인등록번호가 고유식별정보입니다. 나머지는 일반 개인정보로 다룹니다.
묶음 3
문제 1. 비식별 조치 후 적정성 평가를 수행하는 목적으로 가장 알맞은 것은?
조치를 했다고 위험이 사라지지 않으므로 프라이버시 보호 모델로 남은 위험을 점검합니다.
문제 2. 비식별 조치의 강도를 높일수록 일반적으로 나타나는 결과는?
보호와 활용은 맞바꿈 관계입니다. 그래서 목적에 필요한 최소한의 정보만 남기며 균형을 잡습니다.
문제 3. 개인정보 처리자가 안전성 확보를 위해 취해야 할 기술적 조치로 보기 어려운 것은?
성과 분석은 사업 활동이지 안전조치가 아닙니다. 나머지는 안전성 확보 조치의 대표 항목입니다.
문제 4. 개인정보 유출 사고가 발생했을 때 처리자의 조치로 옳은 것은?
유출 사실을 알게 되면 지체 없이 통지하고 일정 규모 이상이면 신고해야 합니다. 지연 통지는 그 자체로 위반이 됩니다.
문제 5. 프라이버시 바이 디자인의 취지로 가장 알맞은 것은?
사후 대응이 아니라 설계 단계에서 기본값으로 보호를 넣자는 원칙입니다.
문제 6. 차등 프라이버시의 기본 아이디어로 가장 알맞은 것은?
한 사람이 데이터에 있든 없든 결과가 거의 달라지지 않게 잡음을 넣는 것이 차등 프라이버시입니다. 암호화나 분산 저장과는 다른 접근입니다.
문제 7. 공공데이터 개방에서 개인정보가 포함된 자료를 다룰 때 우선하는 원칙으로 옳은 것은?
활용과 보호를 함께 달성하기 위해 비식별 처리를 거쳐 공개합니다. 무조건 비공개나 원본 공개는 모두 균형을 잃은 답입니다.
문제 8. 개인정보 수집 시 최소 수집 원칙을 위반한 사례로 가장 알맞은 것은?
목적에 필요하지 않은 고유식별정보까지 받는 것이 대표적 위반입니다. 나머지는 목적과 항목이 대응합니다.
문제 9. 정보주체의 동의를 받을 때 지켜야 할 방식으로 옳은 것은?
항목별로 구분해 알리고 선택 동의를 거부해도 기본 서비스는 제공해야 합니다.
문제 10. 개인정보 보유 기간이 지난 뒤의 조치로 옳은 것은?
목적 달성이나 기간 만료 시 지체 없이 파기하는 것이 원칙이며, 복구 불가능한 방법을 써야 합니다.
문제 11. 마이데이터 서비스에서 정보주체가 행사하는 권리로 가장 알맞은 것은?
전송요구권이 마이데이터의 뿌리입니다. 흩어진 자기 정보를 한곳으로 모아 활용할 수 있게 합니다.
문제 12. 개인정보 처리 위탁과 제3자 제공의 차이로 옳은 것은?
누구의 목적을 위해 처리하느냐가 갈림길입니다. 위탁은 처리방침 공개로 갈음할 수 있는 반면 제3자 제공은 원칙적으로 별도 동의가 필요합니다.