금융분야 가명•익명정보 개념
금융분야에서의 가명 및 익명처리는 개인정보 보호와 데이터 활용 간의 균형을 맞추기 위한 중요한 방법
□ 가명 • 익명정보 정의
1. 가명정보 (Pseudonymous Data) : 개인을 식별할 수 있는 정보를 대체하여, 직접적으로는 개인을 식별할 수 없지만 추가적인 정보를 사용하면 재식별할 수 있는 정보
2. 익명정보 (Anonymous Data) : 개인을 식별할 수 있는 모든 정보가 제거되거나 변경되어, 어떤 방식으로도 개인을 식별할 수 없는 정보
□ 추진배경
1. `20.08.05일 데이터 3법* 시행에 따라 가명정보, 익명정보를 법에 근거하여 활용할 수 있는 길이 열렸다. 이로 인해 은행·카드·보험·금융투자 등 금융업권 별로 체계적으로 관리되는 정형데이터와 통신정보·위치정보·보건의료정보 등 다른 산업분야에서 관리되고 있는 다양한 형태의 데이터를 서로 융합하여 금융분야의 혁신성장을 이끌 수 있게 되었다.
※ 「개인정보 보호법」, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 「정보통신망법」), 「신용정보의 이용 및 보호에 관한 법률」(이하 「신용정보법」)
2. 개정된 「신용정보법」은 금융분야에서 기존 『개인정보 비식별 조치 가이드라인』(2016.7.1.시행)의 법적 한계를 극복하고 가명·익명처리한 정보를 안전하게 활용할 수 있는 제도적 기반을 마련하였다.
3. 개정법에서는 통계작성(시장조사 등 상업적 목적의 통계작성 포함), 연구(산업적 연구 포함), 공익적 기록보존 등을 위하여 개인인 신용정보주체의 동의 없이 개인신용정보를 가명처리 하여 사용할 수 있을(「신용정보법」 제32조의2제6항 제9의2호)뿐만 아니라, 누구인지 알아 볼 수 없도록 익명처리한 경우에는 목적 제한 없이 자유로운 활용도 가능하게 되었다(「신용정보법」 제40조의2제4항)
□ 개인정보, 가명정보, 익명정보
「신용정보법」은 가명처리와 익명처리 개념을 도입하였다. 개인정보에서 가명정보, 익명정보로 갈수록 식별가능성이 낮아지게 된다. 개인정보, 가명정보 및 익명정보를 개념 및 활용 가능한 범위를 기준으로 구분하면 다음과 같다
□ 가명정보와 익명정보 예시
1. 원본 개인정보(정보 집합물)
2. 가명정보
- 개인을 식별할 수 있는 정보를 대체하여, 직접적으로는 개인을 식별할 수 없지만 추가정보를 사용하면 재식별할 수 있는 정보
※ 가명처리 작업내역
1) 성명, 전화번호, 성별, 생년월일을 조합하여 가명처리 기법 중 하나인 해시함수(SHA-256, 솔트값)를 적용
2) 식별자(성명, 전화번호)는 삭제하고 개인식별가능정보(성별, 생년월일, 보험 가입건수)는 활용하되 개인 식별 가능성이 높은 성별, 생년월일 등은 일반화 처리* 가능
* 가명정보 이용자의 개인정보 보호수준과 가명정보의 재식별 가능성 등에 따라 가명처리 수준은 달라질 수 있음 (위험도가 높을수록 가명처리 수준도 높아짐)
※ (예시) 원본정보(1974.9.23.) → 출생년도만 남김(1974년) → 연령대로 범주화(40대)
3. 익명정보
- 개인을 식별할 수 있는 모든 정보가 제거되거나 변경되어, 어떤 방식으로도 개인을 식별할 수 없는 정보
※ 익명처리 작업내역
1) 식별자(성명, 전화번호)는 삭제
2) 개인식별가능정보 중 다른 속성과 결합할 때 개인 식별 가능성이 높은 ‘성별’은 직접 알아볼 수 없도록 코드 형태로 변환 (여성→C/남성→D)
3) 개인식별가능정보 중 다른 속성과 결합할 때 개인 식별 가능성이 높은 ‘생년월일’은 K-익명성*을 충족하기 위해 삭제하고, 연령대로 범주화
* K 값은 익명정보 이용 목적, 환경 등에 따라 상이
4) ‘보험 가입 건수’는 분석 대상이 되는 속성이고 다른 속성과 결합할 때 개인 식별 가능성이 낮다고 판단되어 변환하지 않음
□ 가명정보와 익명정보 활용범위
1. 가명정보 활용범위
- 가명정보는 통계작성(상업적 목적을 포함), 연구(산업적 연구를 포함), 공익적 기록보존 등을 위하여 가명정보를 제공하는 경우에는 개인인 신용정보주체의 동의 없이 가명정보를 활용할 수 있다(「신용정보법」 제32조제6항제9호의2)
- 이 경우 통계작성에는 시장조사 등 상업적 목적으로 수행하는 통계작성을 포함하며, 연구에는 대학, 연구소 등 연구기관 뿐 아니라 기업 등이 수행하는 산업적 연구를 포함한다. 다만, 특정 개인을 식별할 수 있는 형태의 통계작성, 연구, 공익적 기록 보존 등의 행위는 모두 허용되지 않는다.
※ 활용사례(예)
1) 통계작성 : 집단적 현상이나 수집된 자료의 내용에 관한 수량적인 정보를 작성하는 행위
- 금융기관 소액대출 심사의 신용 보조지표로 활용하기 위하여 고객·지역별 신용카드 결제 데이터, 아파트 관리비, 부동산 시세 등에 대한 통계를 작성하는 경우
- 지자체 쓰레기 수거량을 예측하기 위하여 신용카드 결제건수·이용금액, 가맹점 업종·지역, 고객 거주·직장 지역, 거주 지역별 온·오프라인 구매물품, 배달음식 매출액·건수 등에 관한 통계를 작성하는 경우
2) 연구 : 기술 개발, 실증, 기초연구, 응용연구, 민간투자연구 등 과학적 방법을 적용하는 연구를 의미
- 보험사기 자동 탐지시스템 개발을 위하여 과거 10년간의 보험사기 사례에 대한 보험금 청구금액, 청구시점과 방법, 유사청구 반복 여부 등을 분석하여 보험사기의 징후를 발견하기 위한 연구를 하는 경우
※ 자연과학적 연구뿐만 아니라 과학적 방법을 적용하는 역사적 연구, 공중보건 분야에서 공익을 위해 시행되는 연구 등 은 물론, 새로운 기술·제품·서비스의 개발, 시장조사 등 산업적 목적의 연구도 포함
3) 공익적 기록보존 : 공공의 이익을 위하여 지속적으로 열람할 가치가 있는 기록정보를 보존하는 것을 의미
- 연구소가 현대사 연구 과정에서 수집한 개인정보 중에서 사료가치가 있는 인물정보를 기록하여 보관하는 경우
※ 공공기관이 처리하는 경우에만 공익적 목적이 인정되는 것은 아니며, 민간기업, 단체 등이 일반적인 공익을 위하여 기록을 보존하는 경우도 공익적 기록 보존 목적이 인정됨
2. 익명정보 활용범위
- 익명정보는 특정 개인인 신용정보주체를 알아볼 수 없도록 개인신용정보를 처리한 것으로, 개인을 알아볼 수 없는 정보임을 전제(「신용정보법」제2조제17호)로, 별도의 제한 없이 사용할 수 있다.
□ 가명처리 관련 의무 및 처벌 규정
1. 신용정보회사등은 가명처리에 사용한 추가정보를 기술적ㆍ관리적ㆍ물리적 보호조치를 통해 추가 정보에 대한 접근을 통제하는 방법으로 분리하여 보관하거나 삭제하여야 하며(「신용정보법」 제40조의2 제1항), 가명처리한 개인신용정보에 대하여 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험으로부터 가명정보를 보호하기 위하여 내부관리 계획을 수립하고 접속기록을 보관하는 등 기술적·관리적·물리적 보안대책을 수립·시행하여야 한다.(신용정보법」 제40조의2제2항)
2. 또한 신용정보회사등은 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리 하여서는 아니 되며(「신용정보법」제42조의2제6항), 신용정보회사등이 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리한 경우, 금융위원회는 관련 매출액이 아닌 ‘전체 매출액’의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다.(신용정보법」제42조의2제1항 제1호의4)
3. 그리고 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리한 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해질 수 있다(「신용정보법」제50조제2항 제7호의2)
※ 「신용정보법」 제40조의2 제1항 내지 제2항의 사항은 신용정보법 시행령 제34조의5제1항 내지 제3항에 정하고 있으며,「신용정보업 감독규정」 제43조의7 및 [별표 8]에 금융위원회는 그 세부사항을 규정(금융분야 가명익명처리 안내서 ‘Ⅱ. 5. 가명정보 및 추가정보에 관한 보호조치 기준’ 참고)
4. 한편, 가명처리에 사용한 추가정보를 분리하여 보관하거나 삭제하지 아니한 자, 가명처리한 개인신용 정보에 대하여 기술적·관리적·물리적 보안대책을 수립·시행하지 아니한 자, 가명정보를 이용하는 과정에서 특정 개인을 알아볼 수 있게 된 경우 즉시 그 가명정보를 회수하여 처리를 중지하거나 즉시 삭제하지 아니하는 자는 3천만원 이하의 과태료에 처해질 수 있다.(신용정보법」제52조제3항 제16호 내지 제18호)
※ 출처 : 금융분야 가명ㆍ익명처리 안내서_202201(발행처 : 금융위원회, 금융감독원)
이상. 끝