가명정보 활용을 위한 법적 필수 요건

개인정보

일반적으로 개인정보처리자(개인정보를 수집하고 활용하는 모든 기관 및 기업)가 개인정보를 활용하기 위해서는 개인정보를 보호하기 위한 체계를 갖춰야 한다.

 

그러기 위해 가장 먼저 하는 것이 "개인정보 내부관리계획"을 수립하고 "조직을 구성"하고 "책임자"를 지정하는 것으로 시작한다.

그런 후 개인정보가 수집 목적에 따라 활용되게 되면 정보 주체에게 그 사실을 알리기 위해 "개인정보처리방침"이라는 것을 통해 공개하게 된다. 

 

이런 기본 체계 아래서 다양한 개인정보 보호 활동들을 하게 된다.

 

가명정보

그럼 가명정보는 어떨까?

 

가명정보도 엄연히 개인정보다.

 

당장 개인을 식별할 수 있는 정보는 제거 됐지만, 추가정보나 다른정보와 결합해 언제든지 다시 개인을 식별할 수 있는 상태가 될 수 있기 때문에 개인정보와 동등한 또는 그 이상의 보호 활동을 해야만 한다.

[참고]
가명정보를 재식별하는 행위는
「개인정보 보호법」에 따라  5년 이하의 징역 또는 5천만원 이하의 벌금으로 처벌 받게 된다.

 

따라서 가명정보도 가명정보에 대한 "내부관리계획"을 수립하고 "조직을 구성"하고 "책임자"를 지정해야 한다.

또한 가명정보를 활용하게 되면 "개인정보처리방침"을 통해 가명정보를 활용하고 있음을 정보 주체들에게 알려야 한다.

 

내부관리계획에 포함되어야 할 11가지 필수사항

1. 가명정보 및 추가정보 관리책임자의 지정
2. 가명정보 및 추가정보의 분리보관
3. 가명정보 및 추가정보에 대한 접근권한 분리
4. 가명저보 및 추가정보의 안전성 확보조치
5. 가명정보 및 추가정보의 파기
6. 가명정보의 처리 기록 작성과 보관
7. 가명정보를 처리하는 자의 교육
8. 개인정보 처리방침 공개
9. 가명정보의 처리 위탁
10. 가명정보의 재식별 금지
11. 가명정보의 오남용에 대한 제재

※ 관련 근거 : 「개인정보 보호법」 제28조의4, 같은 법 시행령 제29조의5, 제30조

 

위 필수사항은 개인정보 내부관리계획에 별도 "장" 또는 "절"로 분리해 개정하거나 별도 가명정보 내부관리계획으로 제정해 수립해도 무방하다.

 

개인정보처리방침에 포함되어야 할 6가지 필수사항

1. 가명정보의 처리 목적
2. 가명정보 처리 및 보유기간
3. 가명정보의 제3자 제공에 관한 사항(해당되는 경우에만 작성)
4. 가명정보 처리의 위탁에 관한 사항(해당되는 경우에만 작성)
5. 가명처리하는 개인정보의 항목
6. 가명정보의 안전성 확보조치에 관한 사항

※ 관련 근거 : 「개인정보 보호법」 제22조제3항, 제30조제2항, 같은법 시행령 제31조

 

2024년 부터 개인정보보호위원회가 평가 및 개선을 권고할 수 있게 됐다.

  - 「개인정보 보호법」제30조의2, 같은법 시행령 제31조의2,

  - 「개인정보 처리방침 평가에 관한 고시」

 

---

가명정보 관련 용어 및 참고자료