가스안전공사 경남본부, QR코드 기반 AI 건강관리 시스템 개인정보보호 설계 주목

핵심 요약

- 한국가스안전공사 경남본부, 2026년 여름 폭염 대응 위해 자체 온프레미스 AI 기반 혈압모니터링 시스템 운영 - QR코드 기반 개인별 건강정보 관리 방식 적용으로 개인식별정보 최소화 및 프라이버시 보호 실현 - 클라우드 외부 전송 없는 온프레미스 구조로 민감정보 유출 위험 원천 차단

주요 내용

한국가스안전공사 경남본부는 2026년 8월 폭염이 지속되는 가운데 직원 건강관리를 위해 자체 개발한 온프레미스 AI 기술 기반 혈압모니터링 시스템을 운영 중이다. 이 시스템은 외부 클라우드 서비스를 이용하지 않고 내부 서버에서 AI 분석을 수행하는 온프레미스(On-Premise) 방식을 채택해, 건강정보라는 민감정보가 외부로 전송되는 위험을 원천적으로 차단했다.

특히 주목할 점은 QR코드 기반 인증 방식의 도입이다. 전통적인 건강관리 시스템이 이름, 사번 등 직접적인 개인식별정보를 수집하는 것과 달리, 이 시스템은 QR코드를 통해 개인을 식별함으로써 개인정보 수집을 최소화했다. 각 직원에게 고유 QR코드가 부여되고, 혈압 측정 시 이를 스캔하면 개인별 건강 데이터가 축적되지만, 시스템 관리 단계에서는 익명화된 형태로 통계 분석이 이루어진다.

이러한 설계는 '프라이버시 바이 디자인(Privacy by Design)' 원칙을 충실히 구현한 사례로 평가된다. 건강관리라는 서비스 목적을 달성하면서도, 개인의 의료정보 프라이버시를 최대한 보호하는 기술적·관리적 조치를 시스템 설계 단계부터 반영한 것이다. 전체 조직의 건강 트렌드 파악과 고위험군 식별은 가능하지만, 특정 개인의 상세 건강정보 노출은 최소화하는 균형잡힌 접근이다.

가스안전공사의 이번 사례는 공공기관이 AI 기술을 도입할 때 개인정보보호를 어떻게 설계해야 하는지에 대한 모범 사례를 제시한다. 최근 많은 조직들이 생성형 AI와 클라우드 기반 솔루션을 경쟁적으로 도입하면서 개인정보 유출 우려가 커지고 있는 상황에서, 온프레미스 방식과 익명화 기술의 결합은 실무적으로 유용한 대안이 될 수 있다.

전문가 시각

ISMS-P 심사 현장에서 건강정보를 다루는 시스템을 평가할 때 가장 중요하게 보는 것이 '민감정보의 처리 근거와 보호조치의 적정성'이다. 가스안전공사 경남본부 사례는 개인정보보호법 제23조(민감정보 처리 제한)와 제24조의2(가명정보 처리 특례)의 취지를 기술적으로 구현한 모범 사례다. QR코드 기반 식별체계는 직접적인 개인식별정보 수집을 회피하면서도 개인별 맞춤 서비스를 제공할 수 있는 구조로, '필요 최소한의 개인정보 수집' 원칙을 충실히 따르고 있다.

다만 실무 적용 시 유의할 점도 있다. QR코드 자체가 개인을 식별할 수 있다면 이는 여전히 개인정보에 해당하므로, QR코드의 생성·관리·폐기 전 과정에 대한 보안대책이 필요하다. 특히 QR코드와 실제 개인을 매칭하는 '맵핑 테이블'의 접근통제, 암호화, 로그 관리가 핵심이다. 또한 온프레미스 AI 시스템이라도 학습 데이터에 개인 건강정보가 포함된다면 AI 모델 자체에서 정보가 유출될 수 있는 '모델 인버전 공격(Model Inversion Attack)' 위험을 고려해야 한다. 건강정보를 다루는 공공·민간 조직은 이번 사례를 참고해 클라우드 의존도를 낮추고, 익명화·가명화 기술을 적극 활용하는 방향으로 AI 시스템 설계를 재검토할 필요가 있다.

CPPG·ISMS-P 연계 포인트

Privacy by Design (설계 단계부터의 개인정보보호)
시스템 기획·설계 단계부터 개인정보보호를 기본값으로 내장하는 원칙. 가스안전공사 사례처럼 QR코드 기반 익명화 설계를 초기부터 반영하면 사후 보완보다 효과적이고 비용 효율적인 보호가 가능하다. ISMS-P 인증심사 시 '2.4.1 개인정보 수집 시 필요 최소한 원칙 준수' 항목에서 핵심 평가요소다.

온프레미스(On-Premise) vs 클라우드 보안
민감정보 처리 시스템은 온프레미스 구축으로 외부 전송 위험을 원천 차단할 수 있다. 다만 자체 인프라 보안 역량(물리보안, 접근통제, 취약점 관리 등)이 전제되어야 하며, ISMS-P '2.8 정보시스템 도입 및 개발 보안' 영역에서 클라우드 이용 시 제3자 제공 동의, 위탁관리 등 추가 요구사항을 충족해야 하는 부담을 줄일 수 있다.