가명정보는 누구인지 바로 알 수 없게 처리한 개인정보이며, 연구에 쓸 수 있지만 여전히 보호 대상입니다
개인정보 보호법 제2조는 가명정보를 개인정보를 가명처리해 원래 상태로 되돌리는 추가 정보를 쓰거나 결합하지 않으면 특정 개인을 알아볼 수 없게 한 정보로 정의합니다. 제28조의2에 따라 통계작성, 과학적 연구, 공익적 기록보존 등에는 정보주체의 동의 없이 가명정보를 처리할 수 있습니다. 그래도 가명정보는 개인정보의 범주에 들어 법의 보호를 받으며, 특정 개인을 알아보려는 목적으로 처리하면 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해집니다. 법의 적용을 받지 않는 것은 다른 정보를 써도 더 이상 개인을 알아볼 수 없는 익명정보입니다.
가명정보는 개인정보·익명정보와 무엇이 다른가요?
세 정보는 사람을 알아볼 수 있는 정도와 법의 적용 범위가 다릅니다. 익명정보라는 말은 법 조문이 아니라 개인정보보호위원회 가이드라인이 제58조의2의 정보를 부르는 이름입니다.
개인정보·가명정보·익명정보 비교
| 구분 | 개인정보 | 가명정보 | 익명정보 |
|---|---|---|---|
| 뜻 | 직접 또는 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는 정보 | 추가 정보 없이는 특정 개인을 알아볼 수 없게 가명처리한 정보 | 다른 정보를 써도 더 이상 개인을 알아볼 수 없는 정보 |
| 법 적용 | 적용 | 적용(일부 조항 제외) | 적용하지 않음(제58조의2) |
| 동의 없이 쓸 수 있는 범위 | 법이 정한 근거 안에서 | 통계작성, 과학적 연구, 공익적 기록보존 등 | 제한 없음 |
| 불특정 다수에 공개 | 해당 없음 | 사실상 제한, 익명정보로 처리가 원칙 | 가능 |
가명처리는 어떻게 하나요?
가명처리는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체해 추가 정보 없이는 특정 개인을 알아볼 수 없게 하는 것입니다(제2조 제1호의2). 가이드라인은 성을 뺀 이름을 지우고, 상세 주소를 시·군 단위로 줄이고, 나이를 '30대 초반'처럼 범주로 묶는 예를 듭니다. 그러나 무엇을 지울지는 맥락에 달려 있습니다. 가이드라인의 예에서 이름과 생년월일을 지우고 주소를 시·구 단위로 줄여도 직업 칸에 국회의원이 남아 있으면, 그 시·구에 국회의원은 한 명뿐이라 누구인지 알 수 있습니다. 가이드라인은 가명처리의 목표가 재식별 위험을 0으로 만드는 것이 아니라 통제할 수 있는 수준으로 낮추는 것이라고 설명합니다.
가명정보는 어떤 목적에 쓸 수 있나요?
법은 과학적 연구를 기술의 개발과 실증, 기초연구, 응용연구, 민간 투자 연구 등 과학적 방법을 적용하는 연구로 정의합니다(제2조 제8호). 가이드라인은 감염병 확산 요인을 찾으려는 생활 패턴 연구, 관광 정책을 위한 상권·유동인구 연구, 물류 정책 진단을 위한 운행 실태 연구 등을 예로 듭니다. 다만 가명정보 특례는 개인정보를 새로 모으는 근거가 아니라 이미 적법하게 가진 정보를 다른 목적에 쓰게 하는 제도입니다. 목적을 구체적으로 정하지 않고 일단 가명처리해 쌓아 두는 것은 특례에 따른 처리로 보지 않습니다.
가명처리는 어떤 단계로 진행하나요?
2026년 3월 개정된 개인정보보호위원회 가이드라인은 다섯 단계를 제시합니다.
가명처리 5단계(가명정보 처리 가이드라인, 2026년 3월)
| 단계 | 하는 일 |
|---|---|
| 사전준비 | 왜 가명정보를 쓰려는지 목적을 정하고 필요한 항목만 고름 |
| 위험성 검토 | 누가 어떤 환경에서 쓰는지에 따라 저·중·고 위험도를 판단 |
| 가명처리 | 삭제, 대체, 범주화, 상하단 코딩, 라운딩 등으로 처리 |
| 적정성 검토 | 저위험은 담당자, 중위험은 2인 이상 내부 심의, 고위험은 3인 이상 검토위원회가 검토 |
| 안전한 관리 | 추가 정보를 따로 보관하고 재식별 가능성을 살피며, 목적을 이루면 파기 |
법 제28조의4는 추가 정보를 별도로 분리해 보관하는 등 안전조치를 하고, 처리 목적과 기간 등의 기록을 남기도록 정합니다. 가명정보를 파기해도 기록은 3년 이상 보관해야 합니다.
여러 기관의 정보를 합칠 때는 어떻게 하나요?
서로 다른 기관이 가진 가명정보를 결합하는 일은 개인정보보호위원회나 관계 중앙행정기관이 지정한 전문기관만 할 수 있습니다(제28조의3). 결합된 정보를 전문기관 밖으로 가져가려면 다시 가명정보나 익명정보로 처리한 뒤 전문기관의 승인을 받아야 합니다. 시행령은 반출을 승인할 때 결합 목적과 반출 정보가 관련이 있는지, 특정 개인을 알아볼 가능성이 없는지, 안전조치 계획이 있는지를 보도록 정합니다.
가명정보로 누구인지 알아내려 하면 어떻게 되나요?
제28조의5는 특정 개인을 알아보기 위한 목적으로 가명정보를 처리하는 것을 금지하고, 이를 어기면 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처합니다(제71조). 과징금도 전체 매출액의 3% 이하에서 부과될 수 있습니다. 가이드라인은 처리 과정에서 의도치 않게 누군가가 식별된 사실만으로 처벌하지는 않는다고 설명하지만, 그런 정보가 생기면 즉시 처리를 멈추고 회수·파기해야 하며 그러지 않으면 3천만 원 이하의 과태료 대상입니다.
한국인류사회연구원은 연구 자료를 어떻게 보호하나요?
한국인류사회연구원은 참여자의 권리 보호를 운영 원칙으로 두고, 2023년 12월 동의 범위와 개인정보 보호를 고려한 자료 관리체계를 갖춘 연구자료 아카이브를 구축했습니다. 인터뷰와 구술은 한 사람의 삶이 가까이 담기는 기록이라, 쓰임에 맞춰 필요한 정보만 남기고 알아볼 수 있는 단서를 줄이는 일이 연구의 일부입니다. 현장 노트에서 이름을 지우고 가명을 쓰는 인류학의 윤리는 민족지(에스노그래피)란 무엇이고, 어떻게 연구할까요?에서, 자료를 정직하게 다루는 연구 윤리는 연구부정행위란 무엇이고, 표절은 어떻게 판단할까요?에서 이어 읽어 보세요. 연구원의 원칙은 한국인류사회연구원 소개에서, 참여자가 알아 둘 권리는 연구 참여자 권리에서 확인해 보세요.
가명정보 자주 묻는 질문
가명정보도 개인정보인가요?
그렇습니다. 가명정보는 개인정보 보호법 제2조 제1호 다목에 들어 있는 개인정보이고 법의 적용을 받습니다. 법이 적용되지 않는 것은 더 이상 개인을 알아볼 수 없는 익명정보입니다.
기업이 하는 연구에도 가명정보를 쓸 수 있나요?
쓸 수 있습니다. 법은 과학적 연구에 민간 투자 연구를 포함하고, 가이드라인은 과학적 연구가 공적 자금으로 하는 연구에 한정되지 않는다고 설명합니다. 다만 가명정보로 한 사람 한 사람을 겨냥한 맞춤형 마케팅은 할 수 없습니다.
가명정보를 인터넷에 공개해도 되나요?
가이드라인은 가명정보를 불특정 다수에게 제공하거나 공개하는 것은 사실상 제한되며, 이런 경우 익명정보로 처리하는 것을 원칙으로 한다고 설명합니다.
이미 가명처리된 내 정보의 처리정지를 요구할 수 있나요?
법 제28조의7은 가명정보에 열람, 정정·삭제, 처리정지 등에 관한 조항을 적용하지 않도록 정합니다. 가명정보로 특정 개인을 다시 알아보는 일을 금지하고 있기 때문입니다.
주민등록번호도 가명처리해서 쓸 수 있나요?
가이드라인은 주민등록번호의 경우 별도의 법령상 근거가 없으면 가명정보 특례에 따른 가명처리와 활용이 허용되지 않는다고 설명합니다.
출처
- 국가법령정보센터, 「개인정보 보호법」. https://www.law.go.kr/법령/개인정보보호법
- 국가법령정보센터, 「개인정보 보호법 시행령」. https://www.law.go.kr/법령/개인정보보호법시행령
- 개인정보보호위원회, 「가명정보 처리 가이드라인」, 2026. 3. https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=G010030000&nttId=11931