개인정보 마스킹 처리 기준이란 문서나 화면에 드러나는 개인정보의 일부 또는 전부를 가려서 알아볼 수 없게 만들 때 따르는 원칙과 범위를 뜻한다. 주민등록번호, 전화번호, 계좌번호처럼 특정인을 가리키는 값을 공유 전에 어떻게 가려야 하는지 묻는 실무 질문이 대부분이다. 이 기사는 무엇을 가려야 하는지, 왜 그렇게 하는지, 어디서 어긋나는지, 도구는 어떻게 고르는지를 차례로 답한다. 이 기사 하나로 기준의 구조를 잡을 수 있도록 여러 각도에서 정리한다.
무엇을 어디까지 가리는가
마스킹 대상은 이름, 주민등록번호, 전화번호, 이메일, 주소, 계좌번호, 카드번호처럼 개인을 식별하거나 다른 정보와 합쳐 식별할 수 있는 값이다. 가리는 방식은 일부만 남기는 부분 마스킹과 전부 지우는 전체 마스킹으로 나뉜다. 흔히 쓰는 관행은 주민등록번호 뒷자리, 전화번호 가운데 자리, 이름 가운데 글자, 상세 주소를 가리는 것이다. 다만 어디까지 남길지를 하나로 정한 만능 규칙은 없고 기관과 업무별 내부 지침이 서로 다르다. 따라서 전달하려는 목적에 필요하지 않은 정보는 남기지 않는 쪽으로 판단하는 것이 기본이다.
가리는 일의 근거는 개인정보 보호법이 개인정보처리자에게 지우는 안전조치 의무, 그리고 필요한 범위에서 최소한으로만 처리하라는 원칙에 있다. 특히 주민등록번호는 법령에 근거가 있을 때만 처리할 수 있도록 엄하게 다룬다. 개인정보보호위원회 등이 내놓은 안내서와 각 기관의 내부 관리계획이 구체적인 방식을 풀어 준다. 조문과 안내서의 내용은 개정될 수 있으므로 적용하기 전에 공식 원문을 확인해야 한다. 이 법은 우리나라 법이므로 해외 규정과 섞어 읽으면 안 된다.
가렸는데도 보이는 자리
가장 흔한 어긋남은 가린 것처럼 보이기만 하는 경우다. 이미지 위에 검은 상자를 얹었을 뿐 원본 글자가 아래 층에 남아 있으면, 상자를 치우거나 글자를 복사하는 것만으로 내용이 드러난다. PDF의 글자 층, 엑셀의 숨김 시트와 숨김 열과 메모, 문서 속성의 작성자 정보, 파일 이름도 같은 자리다. 화면 공유에서는 메신저 알림창, 브라우저 자동완성, 열려 있는 다른 탭이 의도치 않게 비친다. 이런 자리는 눈에 잘 보이지 않아 점검 목록에 넣지 않으면 놓치기 쉽다.
흔한 오해도 바로잡을 필요가 있다. 첫째, 마스킹을 했으니 더는 개인정보가 아니라는 생각이다. 이름만 가리고 소속, 직위, 날짜가 남아 있으면 그 조합으로 누구인지 알아볼 수 있다. 둘째, 가명처리와 익명처리를 같은 것으로 여기는 생각이다. 가명처리한 정보는 추가 정보와 결합하면 알아볼 수 있어 여전히 개인정보로 다뤄지고, 익명으로 인정받는 수준은 훨씬 엄격하다.
도구는 어떻게 고르나
마스킹 방법은 쓰는 도구에 따라 갈린다. 문서 작업에서는 편집기가 제공하는 영구 가림 기능을 쓰거나, 가린 결과를 글자가 없는 평면 이미지로 저장하는 방식을 쓴다. 데이터베이스에서는 저장된 값은 그대로 두고 조회 화면에서만 가리는 동적 방식과, 복사본의 값 자체를 바꾸는 정적 방식으로 나뉜다. 마스킹 솔루션은 이런 일을 정해 둔 규칙에 따라 대량으로 처리하는 제품군을, 마스킹 프로그램은 개별 파일을 다루는 작은 도구를 가리키는 말로 흔히 쓰인다. 어느 쪽이든 결과물을 열어 실제로 가려졌는지 확인하는 과정이 따로 필요하다.
인공지능을 이용한 마스킹은 문서에서 이름과 번호 같은 값을 자동으로 찾아 가려 준다. 사람이 일일이 찾는 시간을 줄여 주지만, 놓치는 경우와 엉뚱한 곳을 가리는 경우가 모두 생긴다. 그래서 자동 탐지 뒤에 사람이 훑어보는 단계를 두는 편이 안전하다. 또 가리기 전의 원본을 외부 서비스에 올리는 순간 그 자체가 개인정보의 제공이나 위탁에 해당할 수 있어, 서비스의 처리 방식과 보관 여부를 먼저 따져야 한다. 탐지하는 범위는 제품마다 달라 미리 시험해 보는 것이 좋다.
| 상황 | 가리는 방법 |
|---|---|
| 문서·PDF 공유 | 영구 가림 기능으로 처리한 뒤 새 파일로 저장하고 속성 정보까지 점검 |
| 화면 공유 | 공유 범위를 창 하나로 제한하고 알림을 끄고 열어 둔 탭을 정리 |
| 데이터 전달 | 목적에 필요한 항목만 남기고 나머지는 값 자체를 바꾸어 전달 |
정리하면 확인 순서는 이렇다. 먼저 상대에게 그 정보가 정말 필요한지 따진다. 다음으로 소속 기관의 내부 지침과 개인정보 보호법 관련 안내서에서 가릴 범위를 확인한다. 마지막으로 완성한 파일을 받는 사람의 입장에서 열어 보며 글자 복사, 숨김 요소, 속성 정보까지 살핀다. 기준이 애매하면 기관의 개인정보 담당 부서나 개인정보보호위원회의 공식 안내에서 확인하면 된다.
· · · · · · · · · ·
스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.