비정형데이터 가명처리 기준 나왔다…“개인식별 위험에 따라 처리”

개인정보보호위원회. [전자신문DB]

인공지능(AI) 시대 기술개발 핵심 재료로 통하는 비정형데이터에 대한 가명처리 기준이 나왔다. 비정형데이터가 개인식별 가능성에 따라 달라지는 특성을 고려해, 데이터 처리목적·환경, 민감도 등을 종합적으로 고려해 개인식별 위험을 판단하고 합리적 처리방법과 수준을 정하도록 했다.

개인정보보호위원회는 '가명정보 처리 가이드라인'을 대폭 개정하고 이미지·영상·음성·텍스트 등 비정형데이터에 대한 가명처리 기준을 새롭게 마련했다.

비정형데이터는 정형데이터와 달리 개인식별 위험성을 명확히 구분하기 어렵다. 예를 들어, 눈·코·입을 알아볼 수 없는 거리·각도에서 찍힌 폐쇄회로텔레비전(CCTV) 영상·사진도 머리스타일, 흉터, 문신 등 특이한 신체적 특징 때문에 식별 위험이 있을 수 있다.

이에 가이드라인은 개인식별 위험성 검토 체크리스트를 통해 식별위험을 사전에 진단하고, 위험을 낮추기 위한 관리적·환경적 통제방안을 마련해 활용하도록 했다. 또 연구목적 달성에 필수적 정보항목을 남기는 경우엔 그 외 정보에 대한 가명처리 수준을 높이거나 접근권한 통제, 식별에 악용될 수 있는 소프트웨어(SW) 반입제한, 보안서약서 징구 등 조치를 시행하도록 했다.

기술적 한계 등을 보완하는 조치도 권고했다. 비정형데이터에 내재된 개인식별 위험요인을 완벽하게 탐지해 처리하는 기술이 아직 없어서다.

가명처리 기술 적절성·신뢰성을 확인할 수 있는 근거를 작성·보관하고, 가명처리 결과에 대해 자체 추가검수를 수행하도록 했다. 또 처리기술의 적절성·신뢰성을 확인할 수 있는 근거와 추가검수 등에 대해 외부전문가가 참여한 위원회의 적정성 검토를 받도록 했다. 개인정보 침해 방지를 위해 가명정보 활용 기관의 내부통제를 강화하고, 처리 목적이 달성된 가명정보는 신속히 파기하도록 했다.

아울러 가명처리된 비정형데이터 활용 시 관련 시스템·SW의 접근·사용 제한 등 통제방안을 마련해야 한다. 비정형데이터는 다른 정보와 연계·결합 없이도 개인을 재식별해낼 수 있는 위험성이 있기 때문이다.

개인정보위는 의료·교통·챗봇 등 분야별 7종 시나리오를 통해 가명정보 활용 전 과정을 상세하게 안내했다. 의료데이터, CCTV 영상, 음성 대화·상담 정보를 활용하는 바이오·헬스, AI, 데이터 솔루션 개발 등 여러 분야에서 안전한 가명처리에 참고하면 된다.

고학수 개인정보위 위원장은 “AI 등 많은 신기술 영역은 현장의 불확실성을 해소할 수 있는 세밀한 데이터 처리정책이 중요하다”며 “생성형 AI와 관련한 '공개된 개인정보 처리 가이드라인' 등 현장의 어려움을 해소할 수 있는 기준을 올해 중에 순차적으로 발표하겠다”고 밝혔다.

조재학 기자 2jh@etnews.com