데이터 비식별화와 재식별 위험

핵심 요약

성명이나 카드번호를 삭제·대체해도 나이, 세부 지역, 날짜, 희귀한 행동처럼 다른 정보와 결합할 수 있는 속성이 남으면 개인을 다시 좁힐 수 있다. 따라서 위험은 데이터 값만이 아니라 공격자가 얻을 수 있는 보조 정보, 이용 환경, 접근 범위, 보유 기간과 기술 변화까지 포함해 판단한다.

가명처리는 개인정보 보호법상 정의와 의무가 있는 처리이고, 마스킹·해시·범주화·총계처리·잡음 추가 등은 위험을 낮추는 기술적 수단이다. 특정 기법을 적용했다는 사실만으로 결과를 가명정보나 익명정보라고 확정하지 않는다.

학습 목표

• 개인정보·가명정보·익명정보와 가명처리 기법을 구분한다.
• 직접 식별자·준식별자·민감한 속성·추가정보의 역할을 판정한다.
• k-익명성·l-다양성·t-근접성의 의미와 한계를 설명한다.
• 연결·추론·복원 등 재식별 공격 시나리오를 식별한다.
• 공식 가이드라인의 단계에 따라 위험과 유용성을 함께 평가한다.

1. 공식 근거와 기준일

법적 설명은 2026년 9월 1일 현재 시행 중인 자료를 기준으로 한다. 2026년 9월 11일 시행 예정 개정법은 기준일 현재의 근거와 분리한다.

이 단원은 시험 학습을 위한 일반 원칙을 설명한다. 실제 제공·결합의 적법성은 목적, 당사자 관계, 데이터 분야와 실행 시점의 법령·고시를 별도로 검토해야 한다.

2. 개인정보·가명정보·익명정보의 구분

가명정보는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 법이 정한 범위에서 동의 없이 처리할 수 있다. 제3자에게 제공할 때는 특정 개인을 알아보는 데 사용할 정보를 포함해서는 안 된다. 서로 다른 개인정보처리자 사이의 가명정보 결합은 지정된 전문기관을 통해 수행하며, 특정 개인을 알아보기 위한 처리는 금지된다.

시행령상 가명정보와 추가정보는 분리 보관하고 접근권한도 분리하는 것이 원칙이다. 처리 중 특정 개인을 알아볼 수 있는 정보가 생성되면 처리를 중지하고 법이 정한 조치를 따라야 한다. 기술적 가명처리만 하고 이러한 관리 조치를 생략하면 안전한 처리라고 볼 수 없다.

3. 식별 위험을 만드는 정보

같은 열도 환경에 따라 역할이 달라진다. ‘시·도’만 있는 지역 정보는 넓은 집단을 가리킬 수 있지만, 희귀질환·정확한 진료일·직업과 결합하면 개인을 좁히는 준식별자가 될 수 있다. 음성·영상·자유서술문에는 표의 열처럼 분리되지 않은 얼굴, 목소리, 문신, 고유 표현, 장소 단서가 함께 들어 있을 수 있다.

4. 처리 기법과 남는 위험

기법은 목적과 공격 시나리오에 맞춰 조합한다. 분석에 필요하지 않은 항목은 먼저 제거하고, 남겨야 하는 항목은 범주화·억제 등의 수준을 조정하며, 접근 통제와 반출 제한을 함께 적용한다.

5. 재식별 위험의 형태

재식별 위험은 ‘실제로 이름을 알아낸 경우’만 뜻하지 않는다. 한 사람을 다른 사람과 구별하거나, 민감한 속성을 높은 확률로 추론하거나, 원본에 가까운 정보를 복원하는 경우도 위험 평가에 포함한다.

6. k-익명성·l-다양성·t-근접성

6.1 k-익명성

준식별자 집합을 (Q), 같은 (Q) 값을 갖는 동질집합들의 모음을 (EC_Q(D))라고 하면 데이터 집합의 k 값은 다음처럼 표현할 수 있다.

[ k(D,Q)=\min_{g\in EC_Q(D)} |g| ]

• (D): 평가할 데이터 집합
• (Q): 공격자가 연결에 사용할 수 있다고 가정한 준식별자 조합
• (g): 동일한 준식별자 값을 갖는 동질집합
• (|g|): 동질집합의 레코드 수
• 적용 조건: 어떤 속성을 (Q)로 선택했는지와 공격자가 얻을 수 있는 외부 정보를 명시해야 한다.

k=2는 ‘어떤 개인도 정확히 1명으로 좁혀지지 않는다’는 제한된 의미다. 민감한 값이 같은지, 공격자가 추가 정보를 갖는지, 공개 환경이 안전한지는 별도로 평가해야 한다. 데이터가 비어 있거나 준식별자 정의가 없는 경우에는 k 값을 임의로 계산하지 않는다.

6.2 l-다양성과 t-근접성

l-다양성은 각 동질집합 안에 충분히 다양한 민감값이 있는지를 본다. 그러나 서로 다른 진단명이 모두 같은 계열 질환처럼 의미상 비슷하거나 전체 분포가 매우 치우치면 값의 개수만으로 추론 위험을 설명하기 어렵다.

t-근접성은 동질집합의 민감값 분포와 전체 분포 사이의 거리를 제한한다. 거리 측정 방법과 허용 임곗값에 따라 판정이 달라지므로 ‘t 값이 작다’는 문장만으로 충분하지 않다.

세 지표는 법적 익명성을 증명하는 인증서가 아니다. 공격자 지식, 연결 가능한 외부 자료, 처리 환경과 관리 조치를 함께 평가해야 한다.

7. 위험과 유용성 평가 절차

평가는 한 번으로 끝나지 않는다. 공개 범위가 넓어지거나 새로운 외부 데이터와 복원 기술이 등장하고, 분석 목적이나 이용자가 바뀌면 같은 데이터의 위험도 달라질 수 있다.

8. 안전조치와 대응

기술적 처리와 관리적·물리적 통제를 분리해 생각하지 않는다. 위험이 높은 속성을 그대로 둔 채 계약만 추가하거나, 강한 범주화를 했다는 이유로 무제한 공개하는 방식은 모두 부적절하다.

9. 사례 적용

9.1 이동 이력

상황: 지방자치단체가 교통 연구를 위해 승하차 이력을 제공한다. 카드번호는 임의 코드로 바꿨지만 정확한 시각·정류장과 장기간 이동 궤적이 남아 있다.

판단 과정:

1. 출퇴근 궤적과 공개 일정이 연결될 수 있는 공격 시나리오를 정한다.
2. 연구에 필요한 시간·공간 정밀도를 확인한다.
3. 시간 간격 확대, 위치 범주화, 기간 제한, 희귀 궤적 억제를 적용한다.
4. 집단 크기와 반복 궤적의 단일화 가능성을 검토한다.
5. 승인된 연구환경에서만 사용하게 하고 결과 반출을 점검한다.

결론: 카드번호 대체만으로 익명정보가 되지 않는다. 재식별 위험과 이동 분석 유용성을 함께 검증하고 제공 환경을 제한해야 한다.

9.2 음성 상담 데이터

상황: 상담 녹취에서 이름을 음소거하고 텍스트의 전화번호를 삭제했다.

판단: 목소리 자체, 사투리, 직장·지역·사건 설명이 식별 단서가 될 수 있고 복원 기술의 성능도 변한다. 음성 변조의 적절성과 누락률을 검수하고, 원음 접근·복원 도구·외부 연결을 통제하며 서비스 단계에서도 식별 위험을 모니터링한다.

직접식별자를 제거해도 지역·연령·희귀질환·시간·위치 같은 준식별자의 조합이 외부정보와 결합되면 후보가 좁혀질 수 있다. 위험 평가는 데이터 자체뿐 아니라 공격자가 합리적으로 이용할 수 있는 보조정보·접근환경·계약·기술 통제를 함께 본다.

준식별자 조합이 같은 동질집합을 $E_1,\ldots,E_m$이라 하면 k는 가장 작은 집합의 크기다.

k가 커져도 모든 재식별 위험이 사라지는 것은 아니다. 일반화·억제를 강하게 할수록 위험은 낮아질 수 있지만 정보 유용성도 감소하므로 목적에 맞는 균형과 추가 안전조치가 필요하다.

시험 판단 포인트

• 가명정보는 익명정보와 달리 개인정보 보호법의 보호 대상이다.
• 마스킹·해시·범주화는 처리 기법이고 법적 상태를 자동 결정하지 않는다.
• 직접 식별자를 제거해도 준식별자 연결, 속성 추론, 복원 위험이 남을 수 있다.
• k-익명성은 가장 작은 동질집합의 크기를 보지만 민감속성 추론을 모두 막지 못한다.
• 가명정보와 추가정보는 분리 보관하고 접근권한도 분리하는 것이 원칙이다.
• 위험 평가는 목적, 데이터, 외부 정보, 이용자, 환경, 기간과 기술 변화를 함께 본다.

자주 틀리는 부분

• 해시값이나 무작위 코드로 바꾸면 무조건 익명정보라고 판단하지 않는다.
• 가명정보는 개인정보가 아니므로 자유롭게 결합·공개할 수 있다고 보지 않는다.
• k 값이 크면 속성 추론과 모든 연결 공격까지 해결된다고 보지 않는다.
• l-다양성은 서로 다른 값의 의미와 전체 분포까지 자동으로 보장한다고 보지 않는다.
• 집계값이면 소규모 셀·차분 공격·극단값 노출이 없다고 단정하지 않는다.
• 과거 위험 평가가 이용 환경과 기술이 바뀐 뒤에도 영구히 유효하다고 판단하지 않는다.