개인정보 보호 및 활용 방안으로서의 가명⋅비식별정보 개념의 연구 = A Study on Psuedonymized and De-identified Information for the Protection and Free Movement of Personal Information

다국어 초록 (Multilingual Abstract)

Korean government introduced and published the Guidelines on the De-identification of Personal Information in 2016. The goal of the Guidelines is to promote the free movement of personal information in Korea. According to the Guidelines, de-identified information is presumed to be non-personal, which allows the processor of personal information to use the information. This study, however, argues that de-identified information under the Guidelines is still personal information under the Korea’s Personal Information Protection Act.
This study conducts a comparative analysis of de-identification, pseudonymization, and annonymization used in Korea, UK, and the United States. Through the analysis, this study suggests that Korea’s personal information statutes regulate personal information proportional to the risk and its likely impact.

국문 초록 (Abstract)

한국의 개인정보 규범은 “알아볼 수 있는”이라는 용어로 개인정보를 정의하고 있다. 알아본다는 것이 ‘식별’이라고 한다면 비식별정보는 개인을 알아볼 수 없는 정보가 되어 개인정보 규범이 적용되지 않아야 한다. 그러나 정부가 발표한 가이드라인이상정하는 비식별 정보는 여전히 개인정보라 할 수 있으므로, 비식별정보를 개인정보가 아닌 것으로 추정하는 가이드라인은 법적으로 큰 제약을 안게 되고, 그 의도에도불구하고 정보의 활용을 제고하는 데에 근본적인 한계가 있는 것으로 보인다. 또한비식별화 조치는 적정성 평가 등 많은 거래비용을 소요할 수밖에 없다. 정보의 활용은 데이터 산업에만 관계되는 문제가 아니라 산업 전반을 활성화시킬 수 있는 중요한요소이다. 2018년 5월 발효가 예정되어 있는 유럽연합의 개인정보보호규정은 익명정보 및 가명정보의 개념을 도입하고, 익명정보는 개인정보가 아닌 것으로 하여 규범의적용에서 배제하는 대신 가명정보를 일정한 한도에서 활용토록 하는 접근방식을 취하고 있다. 또한 미국의 HIPAA는 비식별화의 개념에 의하여 의료보건분야의 정보를활용을 비교적 광범위하고 합리적으로 허용하고 있다.
이 글은 가이드라인과 여러 국가들이 사용하고 있는 비식별정보, 익명 및 가명정보 등을 비교법적으로 분석하여, 한국의 개인정보 규범이 정보를 활용할 수 있도록하기 위한 접근방법을 제시하고자 하였다.

참고문헌 (Reference)

• 1 Gabe Maldoff, "Top 10 operational impacts of the GDPR: Part 9 – Codes of conduct and certifications"
• 2 iapp, "Top 10 operational impacts of the GDPR: Part 8 – Pseudonymization"
• 3 Samson Yoseph Esaya, "The role of anonymisation and pseudonymisation under the EU data privacy rules: beyond the ‘all or nothing’ approach" 6 (6): 2015
• 4 UKAN, "The Anonymisation Decision-Making Framework" 2016
• 5 UKAN, "The Anonymisation Decision-Making Framework"
• 6 L. Sweeney, "Simple Demographics Often Identify People Uniquely" Carnegie Mellon University 2000
• 7 Ron A. Dolin, "Search Query Privacy: The Problem of Anonymization" 2 : 137-, 2010
• 8 FTC, "Protecting Consumer Privacy in an Era Rapid Change, Recommendations for Businesses and Policymakers"
• 9 Ann Cavoukian, "Privacy by Design, Strong Privacy Protection – Now, and Well into the Future" 2011
• 10 NIST, "De-Identification of Personal Information"
• 11 EDRi, "Comments and proposals on the Chapter II of the General Data Protection Regulation"
• 12 "Article 29 Working Party, Opinion 03/2013 on purpose limitation (00569/13/EN WP 203, Apr. 2, 2013)"
• 13 "Article 29 Data Protection Working Party, Opinion 05/2014 on Anonymisation Techniques, 0829/14/EN WP216(Apr. 10, 2014)"
• 14 ICO, "Anonymisation: managing data protection risk code of practice"
• 15 Rose Tinabo, "Anonymisation Vs. Pseudonymisation: Which one is most useful for both privacy protection and usefulness of e-healthcare data"