가명·익명·결합·PET 기반 안전한 활용

이름을 지웠는데 이웃의 응답을 알 수 있다면

센터가 강좌 만족도 자료에서 이름을 지웠다. 그런데 ‘20대·동쪽 지역’에 해당하는 두 사람의 응답이 모두 불만이다. 그 집단에 속하는 이웃을 아는 사람은 정확히 어느 행이 이웃인지 몰라도 응답을 추론할 수 있다. 이름을 찾기 어렵다는 것과 개인의 속성을 알아내기 어렵다는 것은 다른 문제다.

이 절은 분석 목적과 처리 근거, 가명·익명 판단, 자료 결합, 프라이버시 강화기술의 역할을 연결한다. 아래 여덟 행과 운영 정책은 자체 교육 자료이며 실제 응답자·법정 익명성 판정·기술의 보안성 인증이 아니다.

목적과 암호의 경계를 다시 확인한다

개인정보 생명주기에서 새 분석도 목적·근거·사본과 종료를 관리했다. 암호 기본도구는 해시·암호화가 서로 다른 속성을 제공하고 키와 권한을 따로 관리해야 한다고 설명했다. 여기서는 식별 위험을 낮추는 처리와 계산 중 보호·결과 노출의 보호를 구별한다.

1. 가명과 익명은 같은 이름의 다른 단계가 아니다

가명정보는 직접 식별자를 다른 값으로 바꾸거나 분리하되 추가정보를 이용하면 개인과 다시 연결될 가능성이 남는 정보로 이해한다. 익명정보는 합리적으로 고려할 수 있는 수단으로 특정 개인을 알아볼 수 없는 상태를 목표로 하지만 구체적 법적 판단은 적용 규범을 확인해야 한다. 프라이버시 강화기술(Privacy-Enhancing Technologies, PET)은 분석가치를 유지하면서 식별·노출·추론 위험을 줄이는 여러 기술과 운용방식의 집합이다.

한국법 제2조의 가명정보는 추가정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 처리한 정보이며 개인정보 범주에 남는다. 이름을 번호로 바꿨더라도 다른 열만으로 특정 개인이 드러나면 그 요건을 충족했다고 단정할 수 없다. 제58조의2의 법 적용 제외는 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보인지 판단하는 문제다. 기법 이름이나 작은 시험 통과가 이 법적 판단을 자동으로 대신하지 않는다.[PV-C07]

연결 가능성이 남는 경우를 먼저 분리한다

앞의 가명·익명 구별에서는 추가정보와 현실적인 식별가능성을 확인했다. 이 구별을 유지한 채 목적에 맞는 보호기술과 결과 공개 범위를 선택한다.

2. 먼저 허용된 활용과 결합 경로를 정한다

법 제28조의2는 통계작성·과학적 연구·공익적 기록보존 등의 목적을 위한 가명정보 처리를 정한 조건에서 동의 없이 허용한다. 가명처리만 하면 독자 광고나 개인에 대한 판정을 자유롭게 할 수 있다는 규칙이 아니다. 추가정보의 분리·안전조치·처리 기록을 관리하고, 제3자에게 제공할 때 특정 개인을 알아보기 위한 추가정보를 함께 제공하지 않는다.[PV-C07]

서로 다른 개인정보처리자의 가명정보를 위 목적을 위해 결합하는 경우에는 법 제28조의3의 지정 전문기관 결합과 외부 반출 승인 등 요건을 확인한다. 두 기관이 같은 해시를 만들어 직접 맞췄다는 기술 설명만으로 해당 절차를 생략하지 않는다. 결합에 어떤 법적 경로가 적용되는지는 주체·정보·목적·환경의 사실을 먼저 확인한다.[PV-C07]

법 제28조의5는 특정 개인을 알아보기 위한 가명정보 처리를 금지하며, 처리 과정에서 개인을 알아볼 수 있는 정보가 생성되면 즉시 처리를 중지하고 지체 없이 회수·파기하도록 한다. 결합 이후의 식별 위험이 처음보다 커지면 기존 허용 판단을 그대로 유지하지 않는다.[PV-C07]

3. 직접 식별자가 아닌 열도 함께 보면 식별자가 된다

준식별자는 다른 정보와 연결하여 개인을 알아보는 데 사용될 수 있는 속성이다. k-익명성은 정한 준식별자 값의 각 조합에 적어도 k개의 레코드가 대응하도록 하는 자료의 조건이다. k는 각 집단에 필요한 최소 행 수를 나타내며 피해 확률이나 법적 안전등급이 아니다.[PV-C08]

NIST SP 800-188은 같은 준식별자 조합을 가진 레코드 집단과 k-익명성, 반복 공개의 위험과 자료 유용성 검토를 구분한다. 어떤 열을 준식별자로 볼지 빠뜨리면 집단 수 계산이 맞아도 실제 식별 위험을 놓친다. 한 번의 공개에서 조건을 만족했다는 사실이 여러 자료를 함께 보았을 때의 보호를 보장하지 않는다.[PV-C08]

자체 자료 PV-U2: 집단 크기와 속성 추론

여덟 사람은 각각 한 번만 응답했고 준식별자는 연령대·지역으로 정했다고 가정한다. 행 기호는 해설용으로만 붙인 것이며 공개할 개인 식별자 열이 아니다. 만족·불만은 개인별로 공개하려는 정보가 아니라고 정한다.

연령대·지역으로 나눈 집단은 네 개이고 모두 두 행이므로 이 조합에 대한 최소 집단 크기는 2다. 그러나 어떤 사람이 20대·동 집단의 응답자임을 알면 어느 행인지 몰라도 불만 응답을 추론한다. 최소 집단 크기만으로 속성 노출을 막았다고 말할 수 없다.

지역을 분석용 자료에서 제거하면 20대·30대의 두 집단이 각각 4행이 되고 각 집단에는 만족 2·불만 2가 있다. 전체 만족 비율은 4/8=50%로 유지되고 연령대별 비율도 각각 2/4=50%다. 대신 지역별 차이는 이 결과에서 분석할 수 없다. 더 많은 배경정보나 다른 공개 자료와의 연결 위험은 여전히 별도이며, 이 변환을 한국법상 익명화 완료로 표시하지 않는다.

4. 계산 중 비밀과 결과에서의 추론을 구별한다

차등프라이버시(Differential Privacy, DP)는 한 사람의 데이터가 포함되는지에 따른 분석 출력의 확률분포 차이를 정한 한도 안으로 제한하는 수학적 보장이다. 단순히 임의의 잡음을 조금 넣었다는 사실이 아니라 보호할 인접 데이터의 관계, 알고리즘과 매개변수, 반복 공개 전체가 해당 보장을 충족해야 한다. 작은 집단의 정확한 값이나 반복 질의가 개인 정보를 드러내는 문제를 다룰 때 검토하며, 모든 사생활 피해를 없애거나 법적 익명성을 보장한다는 뜻은 아니다.[PV-C08]

이 사례에서 만족한 A3 한 사람의 행을 제외하면 만족 수는 4에서 3으로 바뀐다. 두 자료를 인접한 자료로 정하고 항상 정확한 4와 3을 각각 내보내면 그 차이로 A3의 응답을 추론할 수 있다. DP에서는 같은 자료에도 출력값이 달라질 수 있는 검토된 방식을 쓰되 두 자료의 출력 확률 관계가 정한 DP 보장을 충족하도록 한다. ‘확률분포’는 가능한 출력과 각 출력이 나올 확률을 모아 나타낸 규칙이며, 이 비교와 반복 공개 예산을 확인해야 한다. 여기서 임의의 잡음 규칙을 새로 만들어 DP라고 부르지 않는다.

안전한 다자간 계산(Multi-Party Computation, MPC)은 여러 참여자가 정한 보안 가정 아래 각자의 입력을 상대에게 직접 공개하지 않고 공동 계산을 수행하는 기술이다. 동형암호는 허용된 연산을 암호문에 수행하여 복호화 결과가 대응하는 평문 연산 결과와 연결되게 하는 암호기술이다. 허용 연산과 참여자 담합·키·구현의 가정이 다르므로 이름만으로 어떤 계산이든 안전하고 빠르게 된다고 주장하지 않는다.[PV-C09]

자체 작은 예로 기관 A의 값 40과 B의 값 60을 정한 MPC 방식으로 계산하여 허용된 합계 100만 반환한다고 하자. 계산 중 상대의 원 입력을 직접 보내지 않았어도 A는 자기 값 40과 결과 100에서 100−40=60을 알아낸다. 이 추론은 출력만으로 생긴다. 따라서 공동 계산의 보안 가정과 함께 누구에게 어떤 결과를 줄지 검토하고, 참여자들이 정보를 합치는 담합으로 남은 입력이 드러나는 경우도 평가한다.

동형암호의 덧셈 읽기 예에서는 같은 검토된 방식과 키 체계로 값 2와 3을 암호화한다. Enc(2)는 2의 암호문, ⊕는 그 방식이 지원하는 암호문 덧셈, Dec는 권한 있는 주체의 복호화를 뜻한다. Enc(2) ⊕ Enc(3) → 결과 암호문 → Dec(결과)=5로 읽으면, 계산 수행자는 평문 2·3이나 복호화키 없이 지원 연산을 수행하고 키를 가진 주체가 결과 5를 얻는다. 암호문을 일반 숫자처럼 더하라는 뜻이 아니며 실제 알고리즘·키·안전성 증명을 대신하는 예도 아니다. 최종 5의 공개 범위는 여전히 별도다.

암호기반 계산은 계산 중 원자료 노출을 줄이고 DP는 공개된 결과를 통해 추가로 알게 되는 정보를 제한하는 데 초점을 둔다. 그래서 두 기술은 보완적으로 사용할 수 있다. 암호문으로 계산해도 최종 출력이 개인별 정확한 응답 목록이면 그 출력의 노출은 남는다. 반대로 DP 결과를 제공해도 원자료 저장소의 접근통제와 처리 근거를 생략할 수 없다.[PV-C09]

도구보다 요구·출력·비용을 먼저 선택한다

원자료를 중앙에 모으지 않는 구조도 그 자체로 모든 프라이버시를 보장하지 않는다. 주고받는 중간값과 최종 결과가 무엇을 드러내는지 확인해야 한다. 새로운 암호 알고리즘을 만들기보다 검토된 구현과 실제 지원 연산·보안 가정을 사용한다. 목적이 단순한 강좌별 집계라면 비싼 암호 계산을 이유 없이 도입하지 않는다.

안전한 활용안 PV-U1의 세 경계

화살표는 자체 운영안이며 법정 전문기관 결합이 필요한 상황에서는 그 경로를 별도로 포함한다. 분석환경을 만들었다는 이유로 법적 결합 절차를 기술적으로 대체하지 않는다.

5. 실제 활용안과 중단 기준

PV-U1의 목적은 두 연령대의 강좌 만족 비율 비교다. 자료와 권한을 확인한 보관자가 이름·연락처를 분석환경에 제공하지 않고 추가정보의 조회 권한을 분리한다. 분석 담당자는 지역을 제외한 최소 자료로 계산하고, 해설용 행 기호와 개인별 응답을 외부에 공개하지 않는다. 이 설계에서는 승인된 센터 분석 담당자에게만 20대 4명·만족 50%, 30대 4명·만족 50%라는 요약을 전달한다.

이 가상 운영 정책은 최소 4명 집단, 개인별 응답 열 금지, 지역 세분화 금지, 겹치는 하위집단의 추가 질의 금지를 정한다. 네 명이라는 값은 교육용 선택이지 법정 익명성 기준이 아니다. 출력 담당자는 실제 요약이 그 조건과 승인 목적을 지키는지 확인하고 승인된 수신자·버전·질의 이력을 기록한다. 대외 공개는 별도의 위험·권리 검토 없이 허용하지 않는다.

대안으로 원 행을 모두 공개하는 방식은 목적에 불필요하고 속성 추론 위험이 있어 기각한다. 원자료를 암호화해 전부 보내고 수신자에게 복호화키도 주는 방식도 불필요한 정보 제공을 줄이지 못해 선택하지 않는다. 여러 기관 결합이나 반복 공개가 새 요구가 되면 전문기관 요건·MPC·DP 등의 필요성과 실제 비용을 다시 평가한다.

변경된 준식별자, 추가정보 접근, 작은 집단, 같은 집단의 반복·차분 질의, 개인별 응답 출력과 목적 종료 뒤 잔존 자료를 시험한다. 사람을 알아보는 정보가 생성되는 경우에는 적용되는 법정 중지·회수·파기 조치를 수행한다. 자체 출력 조건 불일치에서는 반출을 중단해 수정하고, 분석가치가 사라졌으면 안전하다는 이유만으로 과제 성공을 선언하지 않는다.

한 기법을 면책표처럼 쓰지 않는다

전화번호처럼 후보 범위를 만들 수 있는 값은 키 없는 해시를 적용해도 후보를 다시 계산하여 맞추려는 공격을 받을 수 있다. 해시와 암호화를 익명화의 증명으로 사용하지 않는다. 가명키를 원자료와 같은 계정이 자유롭게 조회하거나 결과의 작은 집단을 그대로 공개하면 변환 앞뒤의 경계가 무너진다.

통계의 정확도만 높이고 노출을 평가하지 않거나, 모든 차이를 제거하여 필요한 분석까지 불가능하게 만드는 것은 각각 다른 실패다. 적용한 모델·준식별자·자료 범위·보안 가정·반복 공개와 남은 위험을 함께 기록한다. 확인하지 않은 기술적 보장을 ‘재식별 불가능’으로 요약하지 않는다.

담당 범위

이 절은 개인정보 활용의 가명·익명·결합·PET 선택을 주로 다루고, 추가정보·출력·종료 통제로 개인정보보호를 보조한다. 대상은 목적에 필요한 입력과 결합·계산·공개 결과다. 기법과 법적 지위, 집단 크기와 속성 노출, 계산 중 보호와 출력 보호를 구별한다. 재식별·작은 집단·추가 질의·목적 외 사용에서 중단·재평가한다. 모든 암호기술 구현·공개자료 익명성 인증·기관별 법적 승인은 제외한다.

6. 자체 10점 문제

PV-U2의 준식별자 집단 크기와 지역 제거 후 만족 비율을 계산하고, 그 결과를 익명성이나 모든 속성 보호의 증명으로 볼 수 없는 이유를 설명하라.

무엇을 준식별자로 정했는지 먼저 적고 분석가치와 남는 위험을 함께 읽는다. 아래 답안은 자체 교육용이다.

준식별자를 먼저 정하고 네 집단의 크기와 응답 분포를 계산한다. 지역 제거 후 남는 연령대 비교와 잃는 지역 비교를 구별하고 50%라는 결과를 익명성 증명으로 확장하지 않는다.

연령대×지역: 4집단×2행 → 최소 2, 같은 응답의 집단 존재
지역 제거: 2집단×4행 → 각 만족 2/4, 전체 4/8=50%
수치 조건 통과 ≠ 속성·반복 공개·법적 익명성의 보장

7. 자체 25점 문제

강좌 만족도 분석에 PV-U1을 설계하라. 목적·법적 경로·최소 입력, 가명정보와 추가정보, 출력 정책, PET의 선택·기각 이유, 담당·시험·중단 기준을 제시하라.

기술 이름을 많이 적기보다 입력·계산·출력의 어느 위험에 필요한지 설명한다.

입력·계산·출력의 세 경계를 먼저 써 본다. 현 요구인 두 연령대의 요약에 불필요한 원 행·연락처·복호화키 제공을 왜 기각하는지 목적과 결과 노출로 설명한다.

8. 자기교정

조건 변경

A2의 응답이 만족으로 바뀌면? 전체 만족은 5/8=62.5%, 20대는 3/4=75%, 30대는 2/4=50%다. 집단 크기는 그대로지만 속성 분포는 달라진다. 사례의 서로 다른 수치를 구별한다.

연령대도 제거하면? 하나의 8행 집단에서 전체 50%는 계산하지만 연령대 비교 목적은 달성하지 못한다. 유용성을 함께 평가한다.

출력 뒤 동쪽 지역만 추가로 물으면? PV-U1의 지역 세분화·겹치는 집단 추가 질의 금지에 따라 거부하고 새 요구로 재평가한다. 앞의 한 번의 통과로 자동으로 허용하지 않는다. 출력 정책을 적용한다.

답안을 닫고 공개 순서를 바꾸어 보기

센터가 전체 만족 수 4를 이미 제공한 뒤 A3을 제외한 만족 수 3도 정확히 제공했다고 가정한다. 두 결과의 차이 1은 A3의 기여가 만족이었다는 정보를 드러낸다. 각 출력만 따로 심사해 최소 집단 조건을 만족했다는 말로 두 출력을 함께 얻는 관찰자의 추론을 지우지 않는다. 이 자체 운영안에서는 겹치는 하위집단의 추가 질의를 거부하고 새 요구로 평가한다. 임의의 잡음을 더하는 처방만으로 DP라는 보장을 선언하지 않는다.

계산 중 원자료를 직접 보내지 않는 것, 결과가 추론을 제한하는 것, 분석 목적을 달성하는 것은 세 질문이다. 자기 값과 결과를 아는 경우의 역산을 말한 다음, 지역을 제거하면 보존되는 50%와 사라지는 지역별 질문을 구별하여 복습한다. NIST SP 800-188 공식 발행 페이지에서는 2026-10-05에 해당 자료가 2023년 9월의 비식별 처리·거버넌스 문서임을 확인했다. 이 확인을 현재 구현의 DP 증명이나 국내 법적 익명성 승인으로 쓰지 않는다.

근거와 한계

PV-C07은 LAW-KR-PIPA-CURRENT의 제2조·제28조의2~제28조의5·제58조의2를 사용한다. 2026-09-11 시행 범위를 대조하며 미래 시행 특례를 이미 사용할 수 있는 근거로 제시하지 않는다. 이 절에서 설명한 가명·익명·PET의 기술적 경계를 실제 처리 목적·근거의 판단과 함께 사용한다.

PV-C08은 NIST SP 800-188(2023-09) 인쇄 15~17쪽의 공개 위험·DP·k-익명성·준식별자와 유용성 설명이다. 인쇄 15·17쪽을 직접 대조했다. PV-C09는 NIST의 Privacy-Enhancing Cryptography to Complement Differential Privacy(2021-11-03)의 SMPC·FHE 및 결론을 사용한다. 기술 원리의 범위이며 최신 제품 성능·한국 법적 승인으로 일반화하지 않는다. 신규 확인일은 2026-09-19이고 원문 그림은 복제하지 않았다.

PV-U1·PV-U2, 여덟 행·출력 조건·도식·답안은 자체 작성이다. 실제 암호 실행·DP 보장 증명·법정 익명성·사람에 의한 독립 기술·권리 검수를 수행한 것은 아니다.

회독의 핵심

가명·익명은 실제 식별가능성과 적용 규범으로 나눈다. 목적·결합 경로·추가정보와 출력 통제를 먼저 정하고 필요한 PET를 선택한다. 집단 크기·속성 추론·반복 공개·유용성은 다른 질문이며 계산을 숨긴 것만으로 결과의 노출까지 해결되지 않는다.

조건을 바꾸어 연습하기: 열·관찰자·반복 출력의 범위를 바꾼다.

자료는 PV-U2의 자체 여덟 행이며 실제 응답자 정보가 아니다. 집단 크기를 계산할 때는 정한 준식별자의 모든 조합을 사용한다. 계산 조건을 만족하는 것, PV-U1의 출력 정책을 지키는 것, 실제 법적 처리 근거와 식별 위험을 판단하는 것은 각각 확인한다.

1. PV-G. 지역을 제거한 자료에 ‘강좌 회차’를 추가해 공개하려고 한다. A1·A2·A3와 A5·A6·A7은 오전, A4·A8은 오후라고 가정한다. 준식별자를 연령대·회차로 바꾸면 각 집단 크기와 최소 크기는 얼마인가? 전체 만족 비율이 여전히 50%라면 최소 4명 집단 조건도 유지되었다고 할 수 있는가? 연령대별 요약만 주던 기존 출력 승인을 이 세분화에 그대로 적용해도 되는가?
2. PV-O. 세 기관의 입력 A=40, B=35, C=25를 정한 공동 계산으로 합 100만 반환한다고 가정한다. A가 자기 값과 합만 알 때 B와 C 각각을 유일하게 구할 수 있는가? B=30, C=30이라는 다른 조합도 같은 관측에 맞는지 확인하라. A와 B가 자기 값을 서로 공유하면 C에 대해 무엇을 알게 되는가? 이 차이는 계산 중 입력이 직접 전달되지 않았다는 가정과 모순인가?
3. PV-D. 같은 개인 단위와 인접 자료 정의에 대해 순수 ε-DP 보장이 검토된 세 번의 새로운 출력을 제공하려 한다. ε(엡실론)는 출력 확률분포 변화의 한도를 나타내는 매개변수이며 피해 확률이 아니다. 이 연습의 운영 정책은 기본 합성으로 각 ε를 더한 상한이 0.5 이하여야 한다고 정한다. 세 출력의 ε는 각각 0.2이다. 첫 두 출력 뒤 사용한 상한과 남은 예산, 세 번째까지의 상한을 계산하라. 세 번째를 그대로 허용해도 되는가? 날짜가 바뀌거나 결과에 임의 잡음을 더했다는 사실만으로 앞의 출력 기록을 제외할 수 있는가?