GDPR의 가이드라인
GDPR 의 해석과 적용에 관한 가이드라인을 발표하는 EDPB (European Data Protection Board) 에서 가이드라인이 나왔네요!
EDPB는 주로 가명처리 등 안전한 조치 및 활용을 위한 가이드라인 제정 및 권고와 유럽회원국 간 개인정보보호 문제로 인한 분쟁이 생기면 중재하고 감독기관간의 조율을 하는 기능을 합니다. 또한, 다국적 기업이 여러 EU국가에서 데이터를 처리할 경우, 발생하는 문제에 대하여 판단을 하는 기능을 수행하는 기구입니다. 가명처리나 비식별화, 쿠키 사용, 국제 데이터 이전등에 대해 실무지침서를 발행하여 각국 감독기관 및 기업의 데이터 보호 준수 기준을 마련하는 역할을 하고 있습니다.
가명처리라는 것은 개인정보 처리과정에서 직접 식별정보를 다른 정보로 대체하고, 추가정보를 사용하지 않고는 특정 개인을 식별할 수 없도록 처리하는 기술입니다.
|
‘Pseudonymisation’ means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person. |
공정성, 목적제한 원칙하에서의 추가 처리를 허용하고 있는데, 개인정보 리스크를 최소화하기 위한 목적으로 가명처리를 하고, 연구 통계 목적의 활용 가능성을 확보하려고 합니다.
이 가이드라인에서는 가명정보와 추가정보의 물리적 분리 및 접근제한의 보호조치가 필요하다고 명시하고 있으며, 접근 통제, 감사 로그, 암호화를 적용하는것 등 기술적 관리적 보호조치가 필요하다고 가이드합니다. 여러가지 가명정보 활용 사례를 제공하고 있는데 우리나라에서 진행하고 있는 가명결합 사례와 많이 유사한것 같습니다.
결론적으로 가명처리는 완전한 비식별조치와 다르게 개인정보의 성격을 유지하면서 기술적, 법률적 보호조치를 통해 연구목적으로 활용할 수 있습니다. 재식별 방지 및 법 제도적으로 관리적 보호조치를 마련한 상태에서 데이터를 처리할 수 있도록 구체적인 방향을 제시하고 있습니다.
이 글은 필자의 네이버 블로그에도 게시되었습니다.