암호화한다.
② A와 B는 동형암호 처리된 정보를 C에 제공 및 결합 요청한다.
③ C는 임시 대체키에 맞추어 결합을 수행한다. 결합 후에는 임시 대체 키를 삭제한다.
④ 결합 DB를 필요한 A와 B에게 제공한다. 이때 결합된 데이터에는 연 산에 필요한 정보만 동형암호문으로 남고, 식별자는 삭제되어 있으므 로, 데이터는 안전하게 처리될 수 있다.
(4) 데이터 분석, 모델 복호화 단계
A, B는 C으로부터 받은 결합 정보를 이용하여 직접 분석을 하거나 분 석서비스 회사(클라우드 분석서비스 제공자)에게 분석을 의뢰한다. C가 동 형암호 비밀키를 보유하거나 A와 B가 비밀키를 분산하여 관리하기 때문 에, 동형 기계학습 과정에서 데이터를 복호화할 수 없으므로 기밀성이 유 지된다.
C가 관리하던 비밀키로 분석모델을 복호화 하거나, A와 B가 분산하여 관리하던 비밀키 조각을 합쳐서 합쳐서 분석결과를 복호화한다.
경우에는 보호조치 소홀로 인한 개인정보 유출의 위험만 막으면 된다. 동 형암호화에 사용된 기술의 안전성, 비식별처리 전과정에서 데이터와 키의 유출을 방지하기 위한 기술적·관리적 조치가 핵심이 될 것으로 보인다.
동형암호처리 또는 동형암호처리 전 비식별처리할 데이터의 범위와 관 련하여, 그 데이터가 직접식별자인지, 준식별자인지, 식별과 무관한 변수 인지 분류하여, 직접식별자는 비식별처리를 한 후 동형암호처리를 하고, 준식별자는 동형암호처리를 하고, 식별과 무관한 변수는 평문으로 놓아두 는 등 다양한 비식별조치를 병행해 활용하는 것도 중요하다.
또한 데이터 공유 형태, 공유 체계, 재식별 공격의 유형의 결합의 유형 에 따라 재식별의 위험성이 달라지므로 데이터가 어떠한 환경에서 활용되 고 공유되는지를 세부적으로 분석하여 어느 범위의 데이터를 동형암호로 처리할지, 어떠한 방식으로 재식별가능성에 대해 모니터링을 할지 세부적 인 검토가 필요하다.
마지막으로 기존의 비식별조치에 대한 세부적인 법적 규율은 k-익명성 으로 대표되는 전통적인 비식별처리를 중심으로 설계되었다. 동형암호 등 새로운 기술은 기존의 비식별처리로 규율하는 것이 안 맞을 수 있다. 잘 어울리는 새로운 표준, 지침, 또는 가이드라인을 만드는 것 필요해 보인다.
GDPR에서는, 개인정보 처리와 관련된 위험요소의 식별과 그 위험요소 의 출처, 성격, 가능성, 심각성에 대한 평가, 그 위험요소의 완화를 위한 최선책 마련, 이러한 위험요소를 해결하기 위해 충분한 조치가 무엇인지 를 추천할 수 있는 지침 등 마련을 권고한다. 그리고 민감정보, 대규모로 처리하는 정보, 연계되거나 결합된 일단의 정보, 취약한 주체에 관한 정 보, 신기술의 사용 또는 적용 등 개인정보의 처리가 높은 위험을 초래할 가능성이 있을 경우, 영향평가를 받아 예측되는 위험을 최소화 하도록 권 장하고 있다. 충분하게 검증되지 아니한 최신기술을 이용하거나, 대량의 이종정보 결합하여 비식별처리하여 빅데이터 분석에 활용하는 경우에는 사전 개인정보 영향평가를 받도록 하는 것도 검토해 볼 만하다.
제5장 맺음말
데이터를 삭제, 대체하여 데이터 비식별의 위험성을 낮추는 방식으로 는 개인정보 재식별의 위험의 최소화와 데이터 활용을 통한 사회 전체적 인 이익의 극대화라는 다소 상반된 목표를 달성하는데 한계에 도달한 것
같다. SNS 등을 통해 대량으로 노출되는 개인정보의 양과 사회변화의 속
도를 고려한다면 대량의 정보를 신속히 분석하면서 정보유출도 막을 수 있는 새로운 기술을 개발하고 활용해야 하는 전환점에 이른 것 같다.
비식별처리를 통한 데이터의 활용 관련 법제도는 기존의 비식별화 방 식 규율에 맞추어져 있다. 동형암호기술 등 새로운 프라이버시 보호 빅데 이터 분석 기술이 안전하게 활용될 수 있도록 뒷받침할 수 있는 새로운 법제도적 장치 마련이 필요해 보인다.
참고문헌
1. 논문, 저술
- 김은수, “비식별화 방식을 적용한 개인정보보호에 대한 연구 –보건의료 정보를 중심으로-”, 서울대학교 법학전문대학원 박사학위 논문 (2018. 2.) - 김재한, “의료데이터 활용을 위한 개인정보 비식별화 기술 및 프로그램
동향”, 한국보건산업진흥원, 보건 산업브리프, Vol.268(2018. 8. 13.) - 김현일, 박철희, 홍도원, 최대선, “금융 데이터 상에서의 차분 프라이버
시 모델 정립 연구”, 정보보호학회논문지 27(6), (2017.12)
- 박노형, 정명현, “빅데이터 분석기술 활성화를 위한 개인정보보호법의 개선 방안 - EU GDPR과의 비교 분석을 중심으로-”, 고려학교 법학연 구원 고려법학 제85호(2017. 6.)
- 박민영, 최민경, “의료정보의 관리와 비식별화에 관한 법적 과제”, 유럽 헌법연구 21 (2016)
- 양기진, “개인정보의 범위에 관한 연구 - GDPR의 비식별조치와 약학정 보원 사건의 검토-”, 선진상사법률연구 통권 제84호 (2018.10.)
- 이대희, “개인정보 보호 및 활용 방안으로서의 가명⋅비식별정보 개념 의 연구”, 정보법학 제21권 제3호 (2017. 12.)
- 이광근, “컴퓨터과학이 여는 세계”, 인사이트 (2018. 2.)
- 이준복, “GDPR시대에서 일본 개인정보보호 법제의 시사점과 한국 법제 의 개선방안에 관한 연구”, 강원법학 제55권 (2018. 10.)
- 정강수, 박석, “차분 프라이버시 기반 비식별화 기술에 대한 연구”, 정 보보호학회지 제28권 제2호, (2018. 4.)
- 전주형, 김중헌, “연합학습 기술동향”, OSIA Standards & Technology Review 제32권 제2호, (2019. 6.)
- 정갑균, “양자키분배 프로토콜을 이용한 원거리 동형암호체계”, New Physics: Sae Mulli, Vol. 69, No. 2.(2019. 2)
- 차연철, “데이터 경제와 개인정보 비식별 기술 동향”(주간기술동향 2019. 7. 10.)
- 천정희, 어윤희, 김재윤 “개인정보가 보호되는 동형암호기반 금융데이 터분석”, 금융정보연구, 제7권 제1호 (2018. 2.)
- DataGuidance, “Comparing privacy laws: GDPR v. CCPA” (2018. 11.) 2. 정부 간행물, 법령
- 관계부처 합동, “개인정보 비식별조치 가이드라인” (2016. 6.)
- 행정자치부, 한국인터넷진흥원 발간, “우리 기업을 위한「유럽 일반 개 인정보 보호법」안내서” (2017. 4.)
- 한국인터넷진흥원 발간, “우리기업을 위한 EU 일반개인정보보호법 가 이드북” (2018. 5.)
- “GDPR 번역본”, 개인정보보호위원회 (2017)
- 개인정보보호 동향 보고서 “미국 캘리포니아주 소비자프라이버시법 주 요내용 분석” (2018. 6.)
- 개인정보보호위원회(연구기관 : 경성대학교 산학협력단), “일본의 개인 정보보호 법제·정책 분석에 관한 연구” (2017. 12.)
- 한국인터넷 진흥원, “2017년 해외 개인정보보호 동향 분석” 중 “일본 개인정보보호위원회의 익명가공정보 활용 관련 보고서 분석” (2017. 2.) - “Guidance on De-identification of Protected Health Information”, U.S.
Department of Health & Human Services, Office for Civil Rights(OCR), (2012. 11. 26)
- AB-375, Chau. Privacy: personal information: businesses
3. 강의 교재, 발표자료 - 김명환, “암호학” 강의교재 - 천정희, “핀테크” 강의록
- 천정희, “프라이버시 보존 데이터분석 기술 최신동향” 발표자료 4. 인터넷 블로그, 기사
- 이상우, “인공지능은 당신이 잠든 시간에 진화한다”, IT동아 (2019. 8.) - “안전한 데이터 활용을 위한 동형암호 기술 실증 - 과기정통부, 개인식
별 방지 기술 세미나 개최”, 보도자료 (2018. 11. 20.)
- “4세대 암호, 완전동형암호란?”, LG CNS Creative&Smart 블로그 (2019.
7. 16.)
-“OPE(Order Preserving Encryption)는 안전한 암호화인가”, PENTA SECURITY 보안칼럼 (2014. 1. 14.)
- “Helping organizations do more without collecting more data” June 19, 2019, Posted by Amanda Walker, Engineering Director; Sarvar Patel, Software Engineer; and Moti Yung, Research Scientist, Private Computing