가명정보 결합전문기관, 심의 부담으로 2개월 업무 중단... 활성화 방안 시급

핵심 요약

- 결합전문기관이 지위 유지 심의를 받는 동안 약 2개월간 업무가 중단되는 문제 발생 - 제공기관의 가명처리 전문성 부족과 유인책 미비로 데이터 제공 소극적 - 복잡한 심의 절차와 과도한 서식 부담이 가명정보 활용 활성화의 주요 걸림돌로 지적

주요 내용

한국연구재단 차소영 실장은 2026년 10월 현재 결합전문기관이 지위 유지를 위한 정기 심의를 받는 과정에서 약 2개월간 실질적인 결합 업무가 중단되는 사태를 설명했다. 개인정보보호법 제28조의4에 따라 결합전문기관은 보호위원회의 지정을 받아야 하며, 지위 유지를 위한 정기 심의 기간 동안 신규 결합 신청을 받을 수 없어 데이터 활용 수요자들의 일정이 지연되는 구조적 문제가 드러났다.

이민정책연구원 유민이 실장은 데이터를 보유한 공공기관과 민간 제공기관의 가명처리 전문성 부족 문제를 제기했다. 개인정보보호법 제28조의2에서 규정한 가명처리는 고도의 기술적 판단이 필요하지만, 실제 데이터 보유 부처는 적절한 가명처리 역량을 갖추지 못한 경우가 많다. 또한 제공기관 입장에서는 복잡한 절차를 거쳐 데이터를 제공해도 실익이 없어 참여 동기가 낮은 상황이다.

전문가들은 가명정보 결합 신청 시 요구되는 서식과 심의 절차가 지나치게 복잡하다고 지적했다. 결합 신청서, 보안 계획서, 활용 계획서 등 다양한 문서를 준비해야 하며, 결합전문기관의 자체 심의와 보호위원회의 사후 점검이 중복적으로 이루어져 실무 부담이 크다. 이는 2020년 개인정보보호법 개정으로 가명정보 활용 근거가 마련됐음에도 실제 활용률이 기대에 미치지 못하는 주요 원인으로 분석된다.

가명정보 활성화를 위해서는 결합전문기관의 지위 유지 심의 방식 개선, 제공기관 인센티브 제도 마련, 표준화된 가명처리 가이드라인 보급, 그리고 불필요한 서식 간소화가 시급한 것으로 평가된다. 특히 공공데이터와 민간데이터의 결합을 통한 혁신적 연구개발을 촉진하려면 제도적 부담을 실질적으로 경감하는 방안이 필요하다.

전문가 시각

ISMS-P 인증심사 현장에서 가명정보 처리 실태를 점검하면 대부분의 기관이 법적 요건은 형식적으로 충족하지만, 실제 가명처리의 적정성 판단과 재식별 위험 평가는 미흡한 경우가 많다. 개인정보보호법 제28조의3에 따른 안전조치 의무를 이행하기 위해서는 단순히 식별자를 삭제하는 수준을 넘어, k-익명성, l-다양성 등 통계적 기법을 활용한 재식별 위험도 평가가 필수적이다. 그러나 현실적으로 이를 수행할 전문 인력이 부족하여 제공기관이 가명처리를 주저하는 것이 당연한 결과다.

결합전문기관의 심의 중단 문제는 개인정보 거버넌스 관점에서 심각한 공백을 초래한다. 기업 입장에서는 가명정보 결합 프로젝트를 계획할 때 결합전문기관의 심의 일정까지 사전에 파악해야 하는 불확실성이 존재한다. 실무적으로는 결합 신청 전 결합전문기관과 사전 협의를 통해 심의 시기를 확인하고, 가능하면 자체 가명처리 역량을 강화하여 제28조의2 단독 처리 방식을 병행하는 전략이 필요하다. 보호위원회는 결합전문기관 지정을 갱신제가 아닌 상시 모니터링 방식으로 전환하고, 표준 서식과 자동화된 위험 평가 도구를 제공하여 진입 장벽을 낮춰야 한다.

CPPG·ISMS-P 연계 포인트

가명정보와 익명정보의 구별 (개인정보보호법 제2조, 제28조의2)
가명정보는 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리한 정보로, 여전히 개인정보에 해당하여 법적 보호를 받는다. 반면 익명정보는 더 이상 개인을 식별할 수 없어 개인정보보호법 적용 대상이 아니다. 시험에서는 가명정보 처리 시 통계작성, 과학적 연구, 공익적 기록보존 목적으로 제한적 이용이 가능하며, 정보주체 동의 없이 처리 가능하나 재식별 금지 의무(제28조의4)가 있다는 점이 핵심이다.

결합전문기관의 역할과 결합 절차 (개인정보보호법 제28조의3~5)
결합전문기관은 보호위원회가 지정한 기관으로, 서로 다른 개인정보처리자가 보유한 가명정보를 안전하게 결합하는 역할을 수행한다. 결합 신청 시 결합전문기관은 결합 목적의 적법성, 안전성 확보 조치, 반출 데이터의 적정성을 심의하며, 결합 과정에서 연계키를 생성하고 결합 후 즉시 폐기해야 한다. ISMS-P 심사에서는 결합전문기관 이용 시 계약서, 반출 승인 기록, 결합 데이터 관리 대장 등이 점검 대상이 된다.