빅데이터 환경에서 개인정보의 익명화 또는 비식별화에 관한 비교법적 연구 = A Comparative Study on the Legislation about Anonymization or De-identification for Personal Information in Big Data Environment

다국어 초록 (Multilingual Abstract)

In the era of the fourth industrial revolution, the use of big data is essential for fostering new technologies and new industries, while the protection of personal information is an important task that must be achieved together. Anonymization or de-identification measures provide a basis for the free use of big data, while at the same time enhancing the protection of personal information. This is closely related to the establishment of the conceptual framework of personal information, and it is an important discussion that determines the start of the era of the Fourth Industrial Revolution. Anonymized information or de-identified information can be identified through the combination with different kinds of information in big data environment. So, there is a chance that they might infringe people’s personal information and privacy. We need to judge the danger of re-identification with specific standards. As the danger of re-identification tends to increase due to the long retention period for personal information, we need to stipulate the retention period in Personal Information Protection Act according to the types of personal information. In addition, de-identification measures should be legally binding by stipulating general provisions about de-identification.

국문 초록 (Abstract)

제4차 산업혁명 시대에 신기술 및 신산업 육성을 위해서는 빅데이터 활용이 필수적인 동시에 개인정보의 보호는 함께 달성해야 하는 중요한 과제이다. 익명화 또는 비식별화 조치는 빅데이터의 자유로운 활용을 위한 기반을 제공하는 동시에 개인정보 보호를 강화하는 도구가 될 수 있다. 이는 개인정보의 개념 체계의 정립과 밀접한 관련성이 있는 것으로서, 제4차 산업혁명 시대의 출발을 좌우하는 중요한 논의 사항이다. 빅데이터는 수집 당시에 해당 정보가 개인을 식별할 수 없는 정보이거나 이미 익명화 또는 비식별화된 정보일지라도 다양한 정보와의 결합을 통해 그 상관관계를 밝히고 추론함으로써 개인정보를 생성할 가능성이 매우 높다. 따라서 아무리 뛰어난 익명화 또는 비식별화 기술을 가지고 있어도 특정 개인을 재식별하여 그 정보를 이용함으로써 정보주체의 개인정보 및 사생활을 침해할 위험성이 있다. 이러한 재식별 위험을 감소시키기 위해서는 구체적 기준을 정하여 재식별 위험성 판단을 해야 한다. 또한 정보보유 기간이 장기화될수록 개인 식별위험성이 증대되기 때문에 개인정보보호법상 개인정보의 종류에 따라 보유기간을 명시하는 것이 필요하다. 그리고 가이드라인상에 머물러 있던 비식별 조치와 관련한 일반적 내용을 법률에 규정함으로써 법적 근거를 마련하고 비식별 조치의 법적 구속력을 확보해야 한다.

참고문헌 (Reference)

1 한은영, "일본 개인정보보호법의 개정 내용 및 평가" 정보통신정책연구원 27 (27): 2015

2 미래창조과학부, "빅데이터 활용을 위한 개인정보 비식별화 기술 활용 안내서"

3 경실련소비자정의센터, "빅데이터 활용과 다가올 위험-개인정보 비식별화 문제를 중심으로" 2015

4 김나루, "빅데이터 활용과 개인정보보호체계의 재구축을 위한 헌법적 고찰" 숙명여자대학교 대학원 2017

5 고학수, "빅데이터 산업 활성화를 위한 법적 과제 : 비식별화를 중심으로" 2015

6 오길영, "데이터 상업화 과정으로서의 개인정보 비식별화" 민주주의법학연구회 (58) : 179-207, 2015

7 안전행정부, "공공정보 개방･공유에 따른 개인정보 보호지침"

8 경실련소비자정의센터, "경실련과 진보넷, 빅데이터 및 비식별화 관련 법안 반대의견 발표"

9 임규철, "개인정보의 보호범위" 한독법학회 (17) : 2012

10 행정자치부, "개인정보 비식별화에 대한 적정성 자율평가 안내서"

11 전승재, "개인정보 비식별 조치 가이드라인의 법률적 의미와 쟁점" 한국정보법학회 20 (20): 259-290, 2016

12 관계부처 합동, "개인정보 비식별 조치 가이드라인-비식별 조치 기준 및 지원･관리체계안내-"

13 관계부처 합동, "『정부3.0』 추진 기본 계획" 2013

14 Yoo J, "Risks to Patient Privacy: a re-identification of patients in Maine and Vermont statewide hospital data" 2018

15 Solon Barocas, "Privacy, Big Data, and the Public Good" CAMBRIDGE UNIVERSITY PRESS 2014

16 Latanya Sweeney, "Identifying Participants in the Personal Genome Project by Name" Harvard University Data Privacy Lab 2013

17 The Office for Civil Rights of the United States Department of Health and Human Services, "Guidance Regarding Methods for De-identification of Protected Health Information in Accordance with the Health Insurance Portability and Accountability Act(HIPPA) Privacy Rule"

18 "European Union Agency For Network And Information Security(ENISA), Privacy by design in big data-An overview of privacy enhancing technologies in the era of big data analytics"

19 "European Data Protection Supervisor, Opinion 7/2015 Meeting the Challenges of big data"

20 Ann Cavoukian, "Dispelling the Myths surrounding De-identification: Anonymization Remains a Strong Tool for Protecting Privacy" Information & Privacy Commissioner of Ontario 2011

21 Simson L. Garfinkel, "De-identification of Personal Information" National Institute of Standards and Technology, U.S. Department of Commerce 2015

22 Information Commissioner’s Office, "Big data and data protection"

23 Paul Ohm, "BROKEN PROMISES OF PRIVACY : RESPONDING TO THE SURPRISING FAILURE OF ANONYMIZATION" 57 : 2010

24 Gregory E. Simon, "Assessing and Minimizing Re-identification Risk in Research Data Derived from Health Care Records" Ubiquity Press, Ltd. 7 (7): 1-9, 2019

25 Information Commissioner’s Office, "Anonymisation: managing data protection risk code of practice"

26 "ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 05/2014 on Anonymisation Techniques"

27 Personal Data Protection Commission, "ADVISORY GUIDELINES ON THE PERSONAL DATA PROTECTION ACT FOR SELECTED TOPICS"

28 경실련시민권익센터, "<긴급성명> 행자부｢개인정보 비식별조치 가이드라인｣반대한다"