가명처리와 재식별 위험

이름을 지운 표를 다시 봅니다

이름과 전화번호를 삭제한 데이터라도 희귀한 직무, 특정 날짜, 지역 정보가 함께 있으면 한 사람을 짐작할 수 있습니다. 저는 직접 식별자만 제거했다고 해서 가명처리가 끝났다고 보지 않습니다. 조직이 보유한 다른 자료와 외부에서 쉽게 구할 수 있는 정보를 함께 고려합니다.

식별 가능성은 데이터 자체만의 속성이 아닙니다. 누가 어떤 환경에서 어떤 보조정보를 가지고 접근하는지에 따라 달라집니다. 같은 데이터도 통제된 분석실에서 제한된 인원만 다루는 경우와 여러 기관에 파일로 배포하는 경우의 위험이 다릅니다.

쓸모와 위험을 함께 조정합니다

모든 값을 강하게 변형하면 재식별 위험은 낮아질 수 있지만 분석에 필요한 의미도 사라집니다. 반대로 원형을 많이 남기면 활용도는 높아져도 식별 가능성이 커집니다. 저는 연구나 분석 목적에 꼭 필요한 변수부터 정하고, 필요하지 않은 세부값을 줄입니다.

구간화, 범주화, 일부 삭제, 대체값 부여 같은 기법은 목적과 데이터 특성에 맞춰 조합합니다. 비정형 문서나 대화에는 본문 속 이름, 주소, 관계 정보가 흩어져 있어 정형 데이터와 다른 검토가 필요합니다.

분리 보관과 접근 통제가 처리의 일부입니다

가명정보와 추가정보를 분리하고 접근권한을 다르게 두어야 합니다. 재식별 시도를 금지하는 규정만 두는 것으로는 부족합니다. 다운로드 제한, 반출 승인, 접속 기록, 결합 후 파기 같은 운영 통제가 함께 있어야 합니다.

처리 과정과 위험 판단 근거도 기록합니다. 어떤 목적에서 어떤 항목을 어떻게 바꾸었고, 어떤 보조정보를 가정했는지 남겨야 이후 환경이 바뀌었을 때 다시 평가할 수 있습니다.

실무에서 확인할 항목

• 직접 식별자 외의 준식별자 조합
• 처리 목적에 필요한 최소 변수
• 이용자, 제공 방식과 보조정보 환경
• 추가정보 분리, 접근 기록과 재평가 절차