데이터 익명화 (Data Anonymization)
쉽게 풀면
학교에서 시험 채점을 공정하게 하려고 답안지에 이름 대신 수험번호만 적게 하는 경우가 있습니다. 데이터 익명화도 비슷한 원리입니다. 설문이나 실험에서 모은 자료에서 이름, 생년월일, 연락처처럼 "이 사람이 누구인지" 바로 알 수 있게 하는 정보를 지우거나, 나이를 "20대"처럼 구간으로 뭉뚱그리는 식으로 변형해서 데이터만 봐서는 누구의 응답인지 알 수 없게 만드는 것입니다. 이렇게 처리하면 참여자의 사생활을 보호하면서도 데이터를 분석하고 공유할 수 있습니다.
왜 중요한가
데이터 익명화는 연구윤리 심의와 개인정보보호 법규를 충족시키는 필수 절차이기 때문에 사람을 대상으로 하는 거의 모든 연구 논문의 방법론에서 다뤄집니다. 특히 의료 데이터나 대규모 설문 자료를 공개 저장소에 공유해 재현성을 높이려는 오픈사이언스 흐름 속에서, 참여자를 보호하면서도 데이터를 유용하게 활용할 수 있는 균형점을 찾는 방법으로 중요하게 취급됩니다. 최근에는 인공지능 학습에 활용되는 대규모 데이터셋을 구축할 때도 익명화 수준을 어떻게 설계할지가 중요한 연구 주제로 다뤄집니다.
어떤 절차인가
- 직접 식별자 제거: 이름, 주민등록번호, 연락처 등을 삭제하거나 임의 번호로 바꿉니다.
- 준식별자 처리: 나이·성별·지역·진단명처럼 여러 개를 합치면 개인을 가릴 수 있는 항목을 구간화(예: 20대), 상위 단위로 일반화(예: 구 → 시), 희귀 조합 삭제로 바꿉니다.
- 재식별 위험 평가: 처리한 자료에서 같은 값의 조합을 가진 사람이 최소 몇 명인지 센 k-익명성 같은 지표를 씁니다. Sweeney(2002)는 공개 자료에서 각 사람의 정보가 적어도 k−1명의 다른 사람과 구별되지 않을 때 k-익명성이 있다고 정의했습니다.
우리나라 개인정보 보호법은 가명처리와 익명 처리를 구분합니다. 가명처리는 개인정보의 일부를 삭제하거나 대체해 “추가 정보 없이는” 특정 개인을 알아볼 수 없게 하는 것이고(제2조 제1호의2), 가명정보도 여전히 개인정보에 속합니다(제2조 제1호 다목). 반면 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 써도 더 이상 개인을 알아볼 수 없는 정보에는 이 법을 적용하지 않습니다(제58조의2).
언제 쓰고 무엇을 얻나
사회조사·의료·행정 자료를 연구자나 공개 저장소와 공유할 때 씁니다. 얻는 것은 연구 참여자의 사생활 보호와, 그러면서도 분석에 쓸 수 있는 자료의 공유입니다. 다만 안전성은 “이름을 지웠는가”가 아니라 “다른 자료와 결합해도 다시 알아볼 수 없는가”로 판단합니다.
Rocher 등(2019)은 이름 제거와 표본 추출로 익명화한 자료도 재식별 위험이 크다는 점을 보였습니다. 초록에 따르면 미국인의 99.98%가 15개의 인구통계 속성만으로 어떤 자료에서도 올바르게 재식별될 수 있다고 추정되었고, 이 결과를 근거로 “공개하고 잊는(release-and-forget)” 방식의 익명화가 기술적·법적으로 충분한지 의문을 제기합니다.
가상의 k-익명성 계산: 연령대·지역·진단(A~C) 6건의 자료에서 (연령대, 지역) 조합별 인원이 20대·서울 3명, 30대·부산 2명, 40대·부산 1명이므로 k = 1입니다. 40대를 “30~40대”로 합치면 (30~40대, 부산)이 3명이 되어 모든 조합이 3명 이상, 곧 k = 3이 됩니다. 대신 연령 정보는 거칠어집니다. 이 6건은 설명용으로 만든 자료입니다.
논문에는 이렇게 적는다
- 어떤 항목을 삭제·일반화·변환했는지 구체적으로 적습니다(“익명화하였다”만 쓰면 부족합니다).
- 적용한 수준이 가명처리인지 익명 처리인지를 구분해 밝힙니다. 재식별을 위한 연결표를 보관한다면 가명처리입니다.
- 재식별 위험을 어떤 지표(k 등)로, 어떤 가정 아래 평가했는지 적습니다.
- 자료 공유 방식(공개, 신청 후 제공, 안전 공간 이용)과 데이터공유 성명의 내용이 서로 맞는지 확인합니다.
논문에서는 이렇게 쓰입니다
실제 논문에서
이 용어를 직접 쓴 국내 논문 문장을 아직 수집하지 못했습니다. 수집되는 대로 출처와 함께 싣겠습니다.
예시 문장
아래는 용어의 쓰임을 보여 주려고 만든 예시로, 실제 논문에서 가져온 문장이 아닙니다.
이 문장은 원래 병원 시스템에 있던 환자 개인정보를 지우고, 진단명이나 검사 수치처럼 연구에 필요한 정보만 남긴 상태로 데이터를 넘겼다는 뜻입니다. 의료·설문 데이터를 다루는 논문에서 개인정보 보호 조치를 밝힐 때 흔히 등장합니다.
사회과학 설문 연구에서 데이터 공유 전 재식별 가능성을 줄이기 위한 구체적인 익명화 기법을 설명한 문장입니다.
인공지능·자연어처리 연구에서 학습 데이터의 개인정보를 자동으로 제거하는 과정을 설명한 문장입니다.
조금 더 깊게 보면
익명화는 정도에 따라 여러 단계로 나뉘는데, 식별자만 제거하고 필요시 원 데이터와 다시 연결할 수 있는 상태를 '가명화'라 부르고, 연결고리 자체를 완전히 없애 되돌릴 수 없게 만든 상태를 좁은 의미의 '익명화'라고 구분하기도 합니다. 실제로는 k-익명성, 차분 프라이버시 같은 통계적 기법을 이용해 특정 개인이 얼마나 쉽게 재식별될 수 있는지를 수치로 평가하기도 합니다. 논문에서는 어떤 정보를 어떤 방식으로 처리했는지, 그리고 가명화와 익명화 중 어느 수준을 적용했는지를 구체적으로 명시하는 것이 데이터 취급의 신뢰성을 보여주는 데 중요합니다.
주의할 점
익명화했다고 해서 "완전히 안전하다"고 단정할 수는 없습니다. 이름만 지워도 나이, 성별, 지역, 진단명 같은 몇 가지 정보를 조합하면 특정 개인이 다시 특정될 수 있는데, 이를 재식별 위험이라고 합니다. 따라서 익명화는 한 번의 처리로 끝나는 것이 아니라 어떤 정보가 조합되었을 때 위험한지까지 함께 검토해야 하는 지속적인 작업입니다.
헷갈리기 쉬운 용어
| 용어 | 한 줄 설명 |
|---|---|
| 비식별화 | 개인을 알아보기 어렵게 만드는 처리 전반을 가리키는 넓은 말 |
| 가명처리 | 추가 정보 없이는 알아볼 수 없게 하되 추가 정보로 복원할 수 있는 처리. 가명정보는 여전히 개인정보 |
| 데이터 익명화 | 다른 정보를 써도 더 이상 개인을 알아볼 수 없도록 한 상태를 목표로 하는 처리 |
| 재식별 위험 | 처리한 자료가 다른 정보와 결합해 다시 특정될 가능성 |
참고 문헌
- Sweeney, L. (2002). k-anonymity: a model for protecting privacy. International Journal of Uncertainty, Fuzziness and Knowledge-Based Systems, 10(5), 557–570.
- Rocher, L., Hendrickx, J. M., & de Montjoye, Y.-A. (2019). Estimating the success of re-identifications in incomplete datasets using generative models. Nature Communications, 10(1), 3069.
- Dwork, C., & Roth, A. (2013). The Algorithmic Foundations of Differential Privacy. now Publishers.
- 대한민국 (2023). 개인정보 보호법 제2조(법률 제19234호, 2023. 3. 14. 일부개정 기준) 및 제58조의2(2020. 2. 4. 신설). 국가법령정보.
표의 기준값은 위 문헌에 근거한 관례이며, 분야·학술지마다 다른 기준을 쓸 수 있습니다.