“교육 데이터 장벽 허문다”... 개인정보위, KERIS ‘이노베이션 존’ 본격 가동

핵심 요약

개인정보보호위원회와 한국교육학술정보원(KERIS)이 '개인정보 이노베이션 존'을 가동하여 교육 데이터를 활용한다. 이 존은 가명정보의 장기 보관, 제3자 재사용, 이종 분야 데이터 결합 분석을 허용하여 에듀테크 및 AI 산업 혁신을 지원하는 것을 목표로 한다. 데이터 활용을 통한 산업 활성화라는 긍정적 목표를 가지고 있으나, 가명정보의 재식별 위험, 제3자 제공 및 장기 보관에 따른 데이터 보안 및 개인정보보호 리스크가 내재되어 있다. IT 감사인은 가명정보 처리 시스템의 안전성 확보 조치, 재식별 방지 기술 적용 여부, 제3자 제공 및 보관 정책의 적정성을 중점적으로 점검하여 잠재적 컴플라이언스 위반 리스크를 식별해야 한다.

💡 개선 권고안

• ✔기술적 조치가명정보 처리 시스템에 대해 주기적인 재식별 위험 분석 및 평가를 수행하고, 그 결과에 따라 최신 재식별 방지 기술(예: k-익명성, l-다양성, t-근접성 등)을 적용하여 데이터의 안전성을 지속적으로 확보해야 함을 권고함.
• ✔기술적 조치가명정보의 장기 보관을 위한 저장소에 대해 강력한 접근 통제, 암호화(저장 데이터 및 전송 데이터), 무결성 검증 메커니즘을 적용하고, 모든 데이터 접근 및 처리 활동에 대한 상세한 감사 기록(Audit Log)을 유지 및 모니터링할 것을 권고함.
• ✔관리적 조치가명정보의 장기 보관 및 제3자 재사용에 대한 명확한 내부 정책 및 절차를 수립하고, 데이터 라이프사이클 전반에 걸친 보안 및 개인정보보호 거버넌스를 강화할 것을 권고함.
• ✔관리적 조치가명정보 처리 및 활용에 참여하는 모든 임직원을 대상으로 개인정보 보호법 및 관련 가이드라인에 대한 정기적인 교육을 시행하여 재식별 위험 및 안전성 확보 조치에 대한 인식을 제고할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문