가명정보 데이터를 사고 파는 행위 자체가 무조건 금지는 아닙니다.

그렇다고, 일반 상품처럼 자유롭게 판매·구매할 수 있는 데이터도 아닙니다.

 

가명정보는 여전히 개인정보의 한 종류입니다.

이름, 생년월일, 전화번호 등을 지웠더라도 추가정보를 결합하면 다시 개인을 알아볼 가능성이 있기 때문에 법적으로 조심해서 다뤄야 합니다.

개인정보보호법상 가명정보는 통계작성, 과학적 연구, 공익적 기록보존 등의 목적을 위해 정보주체 동의 없이 처리할 수 있고, 제3자에게 제공할 수도 있습니다. 다만 제3자 제공 시에는 특정 개인을 알아보기 위해 사용될 수 있는 정보를 포함하면 안 됩니다.

 

그래서 판매나 구매가 가능한가?

① 가능할 수 있는 경우

예를 들어 A기관이 보유한 고객 데이터를 가명처리한 뒤, B기관이 연구·통계·서비스 개선 목적으로 활용하려는 경우에는 계약을 통해 제공받을 수 있습니다.

이때 돈을 받고 제공한다면 실무적으로는 “판매”처럼 보일 수 있습니다.

하지만 법적으로 중요한 포인트는 돈을 받았는지보다, 제공 목적과 안전조치가 적법한지입니다.

즉,

“가명정보를 대가를 받고 제공했다” = 무조건 불법 은 아닙니다.

하지만,

“가명정보니까 아무 목적이나 사고팔아도 된다” = 틀림 입니다.

 

② 판매가 불가능한 경우

다음과 같은 경우는 거래가 불가능합니다.

마케팅 영업 목적으로 가명정보 구매

개인을 다시 알아내기 위한 목적

추가정보까지 함께 제공

제공받은 가명정보를 원래 목적과 다르게 사용

가명정보를 여러 데이터와 결합해 개인 식별 가능성이 커지는 경우

불특정 다수에게 데이터셋처럼 판매

 

특히 가명정보를 처리하는 자는 특정 개인을 알아보기 위한 목적으로 가명정보를 처리하면 안 되고, 처리 중 특정 개인을 알아볼 수 있는 정보가 만들어지면 처리를 중지하고 회수·파기해야 합니다.

 

가명정보는 “팔 수 있는가? , 없는가?”의 문제가 아니라 어떤 목적으로, 누구에게, 어떤 안전조치를 갖추고 제공하느냐가 핵심입니다. 가명정보는 개인정보를 안전하게 활용하기 위한 제도이지, 개인정보를 자유롭게 거래할 수 있게 만든 제도는 아닙니다.

 

실무적으로 필요한 것

가명정보를 제공하거나 구매하려면 보통 아래 사항을 확인해야 합니다.

제공 목적이 통계작성, 과학적 연구, 공익적 기록보존 등에 해당하는지

가명처리 수준이 충분한지

추가정보가 함께 제공되지 않는지

재식별 금지 조항이 계약서에 들어가는지

이용 목적, 보유 기간, 파기 방법이 정해져 있는지

제3자 재제공 금지 또는 제한이 있는지

안전성 확보조치와 접근권한 관리가 가능한지

공공기관 실무에서도 가명정보를 제3자에게 제공하는 경우에는 필요한 최소한의 가명정보를 제공하고, 재식별 금지·분리보관·임직원 교육 등 준수사항을 계약서에 반영하는 방식이 사용됩니다.

 

 

한 줄 결론

가명정보 데이터의 판매·구매는 가능할 수 있지만, 일반 데이터처럼 자유롭게 거래할 수는 없습니다.

목적 제한, 재식별 금지, 추가정보 제공 금지, 계약상 안전조치가 반드시 필요합니다.