□ (제3장) 절대적이고 확실하게 재식별 위험을 평가하는 것은 불가능하며, 개별 사안의 상황에 따라 주의 깊게 판단해야 하는 경계선상 사례들이 다수 존재하는데, 만일 어떤 주체가 재식별 절차를 통해 개인정보를 생성하게 된다면 그 주체는 정보관리자(data controller)로서의 책임을 지게 됨
○ 이 장은 특정 개인에게 손해, 고통 또는 금전적 피해 등에 이르게 하는 경우와 같이 재식별 결과의 위험성이 중요한 의미를 가질 수 있는 경계선상 사례에 있어, 익명화를 통해 관련 정보를 활용하고자 하는 기관은 정보 공개로 인해 발생할 수 있는 결과를 설명하고 정보주체의 동의를 구해야 하며, 위험분석 및 익명화에 관해 보다 엄격한 형식을 채택해야 취해야 한다고 설명하고 있음
○ 또한 이 규약은 재식별 위험성 판단 기준으로 ‘의도된 공격자(motivated intruder)’ 기준을 도입하고 있는데, 이는 재식별의 위험성과 관련된 현실적인 메커니즘을 고려하여 ‘정보유형에 따른 정보공개의 결과물’과 연계된 잠재적인 공격자의 의도를 고려한 관리적 측면을 강조한 것으로, 재식별 가능성 기준이 무한대로 확장되는 것을 방지해 주는 역할을 한다고 평가받고 있음