분야별 7종 시나리오로 가명정보 활용 전 과정 상세 안내
기술 적절성 근거 작성·처리 결과 자체 검수·위원회 구성도
AI(인공지능) 개발의 핵심인 비정형데이터의 가명처리 기준이 도입됐다. 지금까지 가명정보 처리 가이드라인은 정형데이터에 대한 기준만 담고 있었다. 하지만 최근 AI 기술 확산으로 영상, 음성 등 비정형데이터 활용 수요가 급증하면서 관련 가이드라인의 필요성이 제기돼 왔다.
개인정보보호위원회는 정책 연구용역, 각 분야 전문가로 구성된 TF(태스크포스) 운영, 산업계·학계·법조계·시민사회 및 관계부처 의견수렴 등 1년 동안 준비 작업을 거쳐 '가명정보 처리 가이드라인'을 개정했다고 4일 밝혔다. 의료데이터, CCTV 영상, 바이오헬스, AI, 데이터 솔루션 개발 등 7종 시나리오를 80장 분량으로 상세하게 안내해 안전한 가명처리에 기준으로 삼을 수 있다.
비정형데이터 가명처리 시에는 데이터 처리목적과 환경, 민감도 등을 종합적으로 고려해 개인식별 위험을 판단하고 합리적인 처리방법과 수준을 정하도록 했다. 가이드라인에 포함된 '개인식별 위험성 검토 체크리스트'를 통해 식별 위험을 사전에 차단, 관리적·환경적 통제방안을 마련하도록 했다. 주민번호, 전화번호, 주소 등 정형 데이터는 개인식별 위험 정보가 비교적 명확히 구분되는 만큼 이를 식별할 수 없도록 마스킹을 하면 되지만, 비정형데이터는 CCTV에 나온 머리 스타일, 흉터, 문신 등으로도 식별할 위험이 있기 때문이다.
아울러 개인정보위는 개인식별 위험 요인을 기술적으로 완벽하게 탐지해 처리하는 기술이 없는 만큼 기술적 한계 등을 보완하기 위한 조치를 이행하도록 권고했다. 기술 적절성 근거를 작성·보관하고 가명처리 결과를 자체적으로 검수하도록 했다. 외부전문가가 참여한 위원회가 근거와 추가검수 등의 적정성을 검토하도록 했다. 내부통제를 강화하고, 처리 목적이 달성된 가명정보를 신속히 파기하도록 권고했다.
가명처리된 비정형데이터를 활용하는 경우 관련 시스템·소프트웨어(SW)의 접근·사용 제한 등 통제방안을 마련해야 한다. 다만 다양한 위험을 사전에 완벽하게 제거하는 것은 불가능한 만큼 AI 서비스 과정에서도 개인식별 위험 등 정보주체 권익 침해 가능성을 지속 모니터링하도록 했다.
개인정보위는 "기업이나 연구기관은 새로운 서비스를 개발할 때 개인정보 보호법을 준수해야 하는 지에 대해 사전적정성 검토를 신청할 수 있다"면서 "개인정보위는 신청받은 사례를 전문가들과 함께 신속히 검토해 답변하고, 관련 사례를 가이드라인에 추가해 모범 사례를 확산시킬 것"이라고 했다.
고학수 개인정보위 위원장은 "AI 등 신기술 영역은 현장의 불확실성을 해소할 수 있는 세밀한 데이터 처리정책이 중요하다"며 "금번 가이드라인을 시작으로 대규모 언어모형 등 생성형 AI와 관련해 현장의 어려움을 해소할 수 있는 기준을 올해 중 순차적으로 발표하겠다"고 밝혔다.
