[가명/익명정보 활용 Best Practice] 2강 박경희 변호사 ‘데이터 3법 3시간 완성’ 온라인 세미나 개최 법무법인 디라이트는 10월 6일, 서울시 서초구 드림플러스에서 ‘데이터 3법 3시간 완성’ 온라인 세미나(웨비나)를 개최하였습니다. 저희 법인이 주최하고 한화 드림플러스가 후원하여 코로나 시대의 흐름에 맞춰 비대면 온라인 세미나인 웨비나(Webinar)로 진행되었으며, 데이터 3법 시행에 따른 동향과 변화, 발전 상황을 살펴보고, 비즈니스의 핵심으로 떠오른 데이터 활용과 그에 따른 개인 정보의 법적 이슈에 대해 중점적으로 논의하는 자리였습니다. 이번 세미나는 법무법인 디라이트의 황혜진 변호사가 ‘데이터 3법 시행령/가이드라인 해설’의 주제로 발표를 하고, 박경희 변호사가 ‘가명/익명정보 활용 Best Practice’의 주제 발표를, 김동환 변호사가 ‘마이 데이터 사업의 이슈 파헤치기’, 이시항 변호사가 ‘바이오 데이터 활용의 달인되기’, 안희철 변호사가 ‘개인정보 분쟁사례 완전 정복’의 주제로 발표를 하였습니다. 마지막으로, 조원희 변호사가 Q&A 세션을 통해 데이터 3법에 대한 전반적인 궁금증을 해결하는 시간을 마련하였습니다. [세미나 세션] 1강. 데이터 3법 시행령/가이드라인 해설 - 황혜진 변호사 2강. 가명/익명정보 활용 Best Practice - 박경희 변호사 3강. 마이 데이터 사업의 이슈 파헤치기 - 김동환 변호사 4강. 바이오 데이터 활용의 달인되기 - 이시항 변호사 5강. 개인정보 분쟁사례 완전 정복 - 안희철 변호사 법무법인 디라이트 : http://dlightlaw.com

1. 박경희 변호사
가명/익명정보 활용 Best Practice
현) 대한상사중재원 중재인
현) 대한변호사협회 IT · 블록체인특별위원회 위원
서울대학교 공법학과 졸업
서울대학교 법과대학원 석사과정(민법전공) 수료
30기 사법연수원 수료
미국 Georgetown University Law Center 졸업 (LL.M.)
법무법인(유한) 태평양 변호사
POSCO 사내변호사
GE Capital Korea 준법감시인 겸 사내변호사
아쎈다스 자산운용 준법감시인 겸 사내변호사
OCI 법무팀장
휴맥스 준법지원인 겸 법무팀장
주최
후원
법무법인 디라이트
드림플러스
Partner /
khp@dlightlaw.com
2강 일타강사

3. 가명/익명정보의 활용
Best Practice
변호사 박경희
법무법인 디라이트

4. I. 개인정보/가명정보/익명정보

5. 개념
개인정보
[가명정보]
익명정보
살아있는 개인에 관한 정보로서 성명, 주민등록번호 등을 통하여 개인을
알아볼 수 있는 정보, 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보(입
수가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술을 합리적으로
고려) 또는 가명정보
개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으
로 원래의 상태로 복원하기 위한 추가 정보의 사용, 결합없이는 특정 개
인을 알아볼 수 없는 정보
시간, 비용, 기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도
더 이상 개인을 알아볼 수 없는 정보

6. 개념 예시 – 원본 개인정보
성명 전화번호 성별 생년월일 보험가입건수
신사임당 010-1234-5678 여 1974.10.1. 3
권율 02-2345-6789 남 1990.3.26. 2
유관순 010-3456-4321 여 1969.5.28. 1
이순신 010-4567-9876 남 1993.11.3. 2
선덕여왕 010-5678-9012 여 1971.1.2. 3
안중근 010-6789-0123 남 1988.7.16. 3
류성룡 010-7890-1234 남 1994.2.3. 2
이황 010-8901-2345 남 1982.6.28. 5
이이 010-9012-3456 남 1985.8.5. 2
... ... ... ... ...

7. ID 성명 전화번호 성별 출생년도 보험가입건수
9A00F1155584BA5DDFFC4B6DDD… 신사임당 010-1234-5678 여 1974 3
C2E6376B9035D7067C8B68F25FA… 권율 02-2345-6789 남 1990 2
DACE2CCC9F459387EAE890D853… 유관순 010-3456-4321 여 1969 1
27B339D75FF1DCED2C29A866BA… 이순신 010-4567-9876 남 1993 2
6CE926B166980F9C5F05F0B19A44… 선덕여왕 010-5678-9012 여 1971 3
05CF80408DCC19A18228A365BD… 안중근 010-6789-0123 남 1988 3
11834268AF3110DB64360198755… 류성룡 010-7890-1234 남 1994 2
725F8676075F7C0C5E6655EE84FF… 이황 010-8901-2345 남 1982 5
380A314D13F03BB6DBBAA0EAC7… 이이 010-9012-3456 남 1985 2
... ... ... ... ... ...
일방향 암호화(해시함수) 일반화
1:1
대응관계
유지
식별자 삭제
개념 예시 – 가명처리

8. 개념 예시 – 원본 개인정보
성명 전화번호 성별 생년월일 보험가입건수
신사임당 010-1234-5678 여 1974.10.1. 3
권율 02-2345-6789 남 1990.3.26. 2
유관순 010-3456-4321 여 1969.5.28. 1
이순신 010-4567-9876 남 1993.11.3. 2
선덕여왕 010-5678-9012 여 1971.1.2. 3
안중근 010-6789-0123 남 1988.7.16. 3
류성룡 010-7890-1234 남 1994.2.3. 2
이황 010-8901-2345 남 1982.6.28. 5
이이 010-9012-3456 남 1985.8.5. 2
... ... ... ... ...

9. 개념 예시 – 익명처리
성명 전화번호 성별 나이 보험가입건수
권율 02-2345-6789 D 20대 2
} 동질집합
(k=3)
이순신 010-4567-9876 D 20대 2
류성룡 010-7890-1234 D 20대 2
안중근 010-6789-0123 D 30대 3
}
동질집합
(k=3)
이황 010-8901-2345 D 30대 5
이이 010-9012-3456 D 30대 2
신사임당 010-1234-5678 C 40대 3
}
동질집합
(k=3)
유관순 010-3456-4321 C 40대 1
선덕여왕 010-5678-9012 C 40대 3
... ... ...
식별가능정보 코드화/범주화
식별자 삭제

10. II. 데이터활용의 기회와 위험

11. [기회] 데이터 활용성 강화 – es. 가명정보 처리 특례
• 추가처리의 허용: 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이
발생하는지 여부, 추가 이용에 대한 예측가능성이 있는지, 암호화 등 안전성 확보에 필요
한 조치를 하였는지 여부 등을 고려하여 정보주체의 동의 없이 개인정보 이용 가능
• 가명정보 처리 허용: 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의
동의 없이 가명정보 처리 가능.
• 가명정보에 대하여 파기 의무, 정보주체 이외 수집시 출처 고지의무, 개인정보 유출
통지의무, 영업양도 등의 경우 통지의무, 정보주체의 열람, 정정, 삭제, 처리정지 요구
권 등 적용 제외

12. [위험] 개인정보 처리자 책임 강화 - 벌칙
위반사항 벌칙
가명정보 처리목적위반, 추가정보 제공 금지 위반 5년 이하의 징역 또는 5천만원 이하의 벌금
** 직전 3개 사업연도 연평균 매출액의 3/100
이하 과징금
가명정보 결합제한 위반
특정 개인을 알아보기 위한 목적의 가명정보 처리**
가명정보에 대한 안전조치의무 위반하여 개인정보
를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손
2년 이하의 징역 또는 2천만원 이하의 벌금
가명정보에 대한 안전조치의무 위반
3천만원 이하의 과태료
개인을 알아볼 수 있는 정보가 생성되었음에도 가
명정보 이용 중지 또는 회수ㆍ파기의무 위반
가명정보 처리 관련 기록 보관의무 위반 1천만원 이하의 과태료

13. III. 데이터활용시 고려사항

14. 데이터 활용하기 위해 고려할 사항들
• 활용이 필요한 정보의 종류는? 개인정보, 가명정보, 익명정보?
• 활용우선순위: 익명정보  가명정보  개인정보 (개인정보보호법 제3조 제7항)
• 개인정보 활용이 필요하다면 추가처리 가능한 경우인지 확인 필요
• 추가처리 가능여부는 개별적인 이익형량에 따라 판단
• 자사 마케팅 용도로 사용하는 경우는?  정보통신망법상 스팸규제 고려 필요
• 활용하는 목적은? 통계작성, 과학적 연구, 공익적 기록목적에 포함?
• 통계작성, 과학적 연구, 공익적 기록목적에 포함되지 않는다면 익명정보화 바람직

15. 데이터 활용하기 위해 고려할 사항들
• 수집한/ 제3자 제공받은/ 처리 위탁받은 정보?
• 처리 위탁받은 개인정보를 수탁업체가 가명/익명처리 후 활용할 수 있는가?
Ex. 임직원 기념일 선물배송업체가 선물배송내역을 가명처리한 후 연령, 성별, 지역,
계절별 선호하는 선물 종류 분석
• 위수탁계약 만료 후에도 가명처리한 정보를 활용할 수 있는가?
 개인정보처리 위수탁계약 위반 여부?

16. 데이터 활용하기 위해 고려할 사항들
• 내부정보로 충분? 아니면 외부 정보와 결합 필요?
• 외부정보와 결합시 결합전문기관을 통한 결합 및 반출에 필요한 기간 고려
[금융위 보도자료
2020. 8. 7.]

17. IV. 가명처리 절차

18. 가명처리 단계별 세부 절차도
[가명정보 처리 가이드라인 p.11]

19. 1단계: 사전준비
• 법령상 규정에 적합한지 확인처리목적
• 가명정보 관련/추가정보 보관장소 확보내부관리계획
• 가명 ”처리”vs ”활용“ 부서∙담당자 구분조직/권한분리
• 가명정보 활용 내용 포함 및 공개개인정보처리방침
• 제3자 제공/처리 위탁 관련계약 체결관련 계약

20. 2단계: 가명처리
항목추출 위험측정 수준정의 가명처리
개인정보파일에
서 가명처리에
필요한 최소한의
항목 추출
보호수준, 다른
정보 보유, 내부/
외부 활용 고려
위험도 평가
결과보고서
위험도에 따른
가명처리 수준
정의
 가명처리 수
준 정의표
가명처리 수준
정의표에 따라
가명처리

21. 3단계: 적정성 검토 및 추가 가명처리
 가명처리의 적정성 검토 – 미처리 부분 등 확인
 목적달성 가능성 검토
 특이 정보 처리
※ 외부전문가로 구성된 적정성 평가단 구성하여 검토 가능

22. 4단계: 활용 및 사후관리
 가명처리과정에서 개인식별 가능성이 증가하는지 모니터링
 추가정보 분리 보관하고 접근 권한 최소화
 가명정보 기록 작성 및 보관
- 가명정보 처리목적, 가명처리한 개인정보 항목, 가명정보 이용내역, 제공받은 제3자등

23. V. 가명정보 결합

24. 가명정보 결합ᆞ반출
• 가명정보의 결합, 반출은 결합전문기관을 통해서 수행
• 금융위: 데이터 전문기관으로 금융보안원, 신용정보원 지정(2020. 8. 6.)
• 개인정보보호위원회 결합전문기관 지정 중
• 과기정통부 결합전문기관 지정 추진
• 결합키 관리기관: 인터넷진흥원 (신용정보법상 결합에는 해당사항 없음)
※ 결합비용/기간/사례? 비금융기관은?

25. 가명정보 결합ᆞ반출 절차
결합신청자 결합전문기관 결합키관리기관
사전준비
및 신청
1)결합신청자간 사전협의
2)가명처리
3)결합신청
4)결합신청서 검토 및 접수
결합정보
송수신
5) 일정, 절차, 결합키 생성방법 등 사전 협의
6)결합키생성
7)각각 정보 송신
8) 일련번호/결합대상정보 수신 8) 일련번호/결합키 수신
9) 결합키 연계정보 생성
결합 및
반출심사
요청
12) 가명정보 결합
10) 결합키 연계정보 전달
11) 관련정보 파기
13) 추가 가명ᆞ익명처리(결합전문기관 내에서)
14)반출요청
반출 및
사후관리 17) 반출
15) 반출심사위원회의 반출심사
16) 반출승인
19) 사후관리 18) 관련정보 파기

26. VI. 맺음말

27. 맺음말
• 데이터 수집/활용 설계 단계에서 충분한 고민이 필요
• 개정법 시행 초기이므로 주무부처의 유권해석, 선례에 대한 지속적인 관심 필요
• 가명처리 특례 위반에 대한 형사벌 주의
• 내부관리계획, 개인정보처리방침 개정 등 사전준비로 가명정보 활용 지연 방지