개인정보보호위원회는 영상, 음성 등 비정형데이터 관련 가명처리 기준을 골자로 하는 ‘가명정보 처리 가이드라인’을 개정했다고 4일 밝혔다.
기존 가명정보 처리 가이드라인은 정형데이터 처리 기준 내용만 담고 있다. 하지만 최근 인공지능(AI) 기술 확산으로 비정형데이터에 대한 활용 수요가 증가하면서, 관련 처리 가이드라인을 마련해 달라는 현장의 목소리가 커졌다.
이에 개인정보위는 테스크포스(TF)를 구성해 약 1년 간 각 분야 전문가들과 논의해 가이드라인을 개정했다.
개정된 가이드라인에는 비정형데이터를 가명처리하고 활용하는 과정에서 나타날 수 있는 개인정보 노출 위험을 사전에 확인해야 한다고 강조했다. 비정형데이터가 자주 활용되는 분야인 의료, 교통 등 사례와 데이터 처리 시나리오를 제공해 현장 이해도를 높인게 특징이다.
개인정보위는 “MRI 등 의료 데이터와 CCTV 영상, 음성 대화‧상담 정보를 활용하는 바이오‧헬스, 인공지능, 데이터 솔루션 개발 등 여러 분야에서 안전하게 가명처리를 하는 데 도움이 될 것"이라고 말했다.
가이드라인에 따르면 비정형데이터 처리 시 ‘개인식별 위험성 검토 체크리스트’를 활용해 식별 위험을 사전에 진단하고, 정보 노출 위험을 낮추는 방안을 마련해야 한다.
연구를 위해 필수적인 정보 항목을 남기는 경우 그 외 정보에 대한 가명처리 수준을 높이거나 접근권한 통제, 식별에 악용될 수 있는 소프트웨어(SW) 반입제한, 보안서약서 징구 등 조치를 시행해야 한다.
가령 대학병원이 보유한 유방암 환자 CT사진과 병리기록지를 가명처리해 유방암 및 골밀도 감소 여부를 진단하는 AI를 개발할 경우, 이미지에 기재된 환자번호 등 환자관련정보를 ‘블랙마스킹’ 기법을 통해 삭제해 개인식별 위험성을 낮추도록 가이드라인은 권고한다.
아울러 개인정보위는 비정형데이터에 내재된 개인식별 위험 요인을 완벽하게 탐지해 처리할 수 있는 기술이 없다면서, 기술적 한계 등을 보완하기 위한 조치를 이행해 달라고 당부했다.
가명처리 기술의 적절성·신뢰성을 확인할 수 있는 근거를 작성·보관하고, 가명처리 결과에 대해 자체적인 추가 검수 해달라고 개인정보위는 당부했다. 추가검수 등의 경우 외부전문가가 참여한 위원회의 적정성 검토를 받도록 했다. 가명정보 활용 기관의 내부통제를 강화하고, 처리 목적이 달성된 가명정보는 신속히 파기하도록 권고했다.
최근 AI나 데이터 복원 기술로 별다른 정보를 결합하지 않아도 비정형데이터만으로 개인을 식별해낼 수 있기 때문에, 관련 데이터 활용 시 소프트웨어 사용 제한 등 통제방안을 마련하도록 했다.
개인정보위는 “기업이나 연구기관은 새로운 서비스를 개발할 때 개인정보 보호법을 준수해야 하는 지에 대해 사전적정성 검토를 신청할 수 있다”면서 “개인정보위는 신청받은 사례를 전문가들과 함께 신속히 검토해 답변하고, 관련 사례를 가이드라인에 추가해 모범 사례를 확산시킬 것”이라고 했다.
