나. 비식별 조치: ‘가명처리’의 명확한 규정
◼ 비식별 조치(de-identification)란 정보주체와 개인정보 간 연결성을 제거하는 과정으로, 개인정보의 식별성을 낮추거나 없애는 것을 의미함
⚬ 비식별 조치를 위하여 총계처리, 데이터 삭제, 데이터 범주화, 데이터 마스킹 등 여러 가지 방법이 사용되고, 가명처리도 비식별 조치의 하나임
◼ GDPR 제4조제5호에서는 개인정보에 대한 비식별 조치의 방법으로 가명처리(pseudonymisation)를 정하고 있음
⚬ 특히 가명처리된 정보는 다른 정보와 결합하거나 기술적 조치를 취함으로써 정보주체를 재식별하는 것이 가능한 만큼 GDPR의 적용 대상에 포함됨을 명시함
◼ 가명처리된 개인정보는 추가적인 정보를 통하여 정보주체를 특정할 수 있는 재식별이 가능한 반면, 익명처리(anonymisation)란 정보주체를 더 이상 식별할 수 없도록 하는 비가역적(irreversible)인 조치를 의미함
⚬ 재식별의 가능성이 있는 가명처리 된 개인정보는 GDPR의 적용 대상이지만, 비가역적인 익명처리를 통하여 재식별 가능성이 사라진 정보는 GDPR의 적용 대상이 아님
⚬ 아직 우리나라에서는 가명처리와 익명처리의 두 개념이 명확하게 구분되고 있지 않다는 지적이 제기되고 있음