호주 정부 로고와 연결된 데이터를 상징하는 일련의 점들을 선으로 연결한 전국 장애 데이터 자산 (National Disability Data Asset) 로고.

2023 개인정보 보호 영향 평가(Privacy Impact Assessment) 요약

전국 장애 데이터 자산 (National Disability Data Asset) 및 호주 전국 정보 통합 인프라 (Australian National Data Integration Infrastructure)

사회 복지부는 호주 통계청 (Australian Bureau of Statistics: ABS) 및 호주 보건 복지 연구소 (Australian Institute of Health and Welfare: AIHW)와 협력하여 전국 장애 데이터 자산 (National Disability Data Asset)을 만들고 있습니다. 이 3개의 호주 정부 기관을 호주 연방정부 파트너(Commonwealth Partner)라고 부릅니다.

주와 테리토리 및 장애인 커뮤니티도 장애 데이터 자산 개발에 참여하고 있습니다. 전국 장애 데이터 자산 위원회(National Disability Data Asset Council) (이하 본 위원회)는 장애 데이터 자산의 사용을 감독합니다. 여기에는 정부와 장애인 커뮤니티 전반에 걸친 공유된 의사 결정이 포함됩니다. 장애 데이터 자산은 모든 호주인에 대한 여러 정부 기관의 비식별화된 정보를 통합하여 장애인의 성과를 더 잘 이해할 수 있도록 합니다.

장애 데이터 자산을 지원하는 기반 시스템은 호주 전국 정보 통합 인프라입니다. 이 시스템을 통해 장애 데이터 자산의 데이터를 연결하고 분석할 수 있습니다. 호주 전국 정보 통합 인프라 이사회 (이하 본 이사회)는 사람들이 이 시스템을 사용하는 방식을 감독합니다.

전국 장애 데이터 자산의 개인 정보 보호를 포함하여 자세한 내용은 전국 장애 데이터 자산 (National Disability Data Asset) 웹 사이트에서 확인할 수 있습니다.

개인정보 보호 영향 평가(Privacy Impact Assessment)란?

개인정보 보호 영향 평가(PIA)는 프로젝트에 대한 검토와 그 프로젝트가 개인정보 보호에 어떤 영향을 미칠 수 있는지 검토하는 것입니다. PIA는 개인정보 보호 위험과 영향을 관리, 감소 또는 제거하는 방법을 제안합니다. Maddocks의 개인정보 보호 전문가들은 장애 데이터 자산과 그 기반 시스템에 대한 PIA를 수행했습니다.

Maddocks는 자세한 PIA 보고서를 작성했습니다. 이 문서는 그 보고서의 요약입니다. 여기에는 관련 절차와 평가 결과 및 권고 사항의 요약이 포함되어 있습니다.

자세한 내용은 전국 장애 데이터 자산(National Disability Data Asset) 웹 사이트의 전국 장애 데이터 자산(National Disability Data Asset)의 개인 정보 보호에서 확인할 수 있습니다.

관련 호주 연방정부 파트너(Commonwealth Partner)들은 2025년에 PIA를 업데이트할 계획입니다.

평가 절차

2023 PIA(개인정보 보호 영향 평가)는:

호주 연방정부 파트너(Commonwealth Partner)들과 Maddocks는 2023년 3월부터 7월까지 PIA를 위한 이해관계자들과 협의했습니다. 150명이 넘는 사람들이 그 협의에 참석했습니다. Deafblind Australia는 장애인들과 함께 2번의 세션을 진행하는 데 도움을 주었습니다. Inclusion Australia는 Down Syndrome Australia의 도움을 받아 지적 장애인들을 위한 협의 세션을 진행했습니다.

Maddocks는 피드백에 대한 자세한 협의 보고서를 작성했습니다. 그 보고서의 요약은 전국 장애 정보 자산(National Disability Data Asset)을 위한 개인정보 보호 웹페이지에 있습니다.

평가 결과 요약

협의 세션에서 사람들은 장애 데이터 자산 개발을 강력히 지지한다고 말했습니다. 어떤 사람들은 자신의 건강이나 장애에 대한 정보가 권한 없이 공유될 경우 사람들에게 심각한 문제를 초래한다고 지적했습니다.

호주 커뮤니티는 민감한 정보가 다른 개인 정보보다 훨씬 더 많이 보호되어야 한다고 생각합니다. 민감한 정보에는 자신의 건강, 인종 또는 민족 및 종교적 신념에 대한 정보가 포함될 수도 있습니다. 자세한 정보와 예시는 개인정보 보호법 6조 및 호주 정보청(Office of the Australian Information Commissioner) 웹사이트에서 확인할 수 있습니다.

Maddocks는 호주 연방정부 파트너(Commonwealth Partner)들이 장애 데이터 자산 설계에서 개인 정보 보호에 중점을 두고 있다고 언급했습니다. 특히, 거버넌스 체계는 강력하고 세부적으로 마련될 것입니다. 다음은 본 프로젝트에 대한 결정을 누가 어떻게 내리는지에 대한 규칙입니다. 해당 규칙과 절차는 본 프로젝트의 데이터 및 개인 정보 보호 위험을 관리하도록 잘 설계되었습니다. 여기에는 미래의 위험 요소를 발견하는 것이 포함됩니다.

호주 연방 정부 파트너들은 사람들의 개인 정보를 보호하기 위한 절차를 마련할 것입니다. 서로 다른 데이터를 함께 연결할 때, 여기에는 다음이 포함됩니다.

장애 데이터 자산의 모든 데이터를 비식별화하여 누구도 신원을 알아낼 수 없도록 할 것입니다. 그러나 이해 관계자들은 데이터를 연결할 때 재식별 위험이 있을 수 있다고 협의 세션에서 지적했습니다. 이러한 재식별 위험은 장애 데이터 자산에 더 많은 데이터가 추가됨에 따라 증가할 수도 있습니다.

Maddocks는 이러한 위험을 해결하고 사람들의 개인 정보 보호 개선을 위한 방법을 권고합니다.

권고 사항

PIA 권고 사항은 다음 주제에 관한 것입니다.

  1. 향후 장애 데이터 자산에 데이터 세트를 추가하기 위한 원칙
  2. 데이터 제공자에 대한 수집 통지
  3. 데이터 재식별 위험 관리 – 절차 검토
  4. 데이터 재식별 위험 관리 – 공유 대상에 대한 규칙
  5. 데이터 침해 관리
  6. 규정 준수 체계 개발

더 자세한 내용은 '부록 – 세부 권고 사항'에 있습니다.

부록(Appendix) – 세부 권고 사항

호주에는 13개의 개인 정보 보호 원칙(APP)이 있습니다. 이 원칙들은 개인정보 보호법(Privacy Act) 하의 개인정보 관리에 관한 규정들입니다. 각 권고 사항 뒤에는 해당 사항과 관련된 APP 목록이 있습니다. APP에 대한 더 자세한 내용은 호주 정보청(Office of the Australian Information Commissioner) 호주 개인 정보 보호 원칙 웹페이지에서 확인할 수 있습니다.

권고 사항 1: 향후 장애 데이터 자산에 데이터 세트를 추가하기 위한 원칙

배경

전국 장애 데이터 자산 헌장(이하 본 헌장)에는 장애 데이터 자산의 사용 방법에 대한 엄격한 원칙과 규칙이 있습니다. 장애인 커뮤니티가 본 헌장을 작성했습니다. 본 위원회와 장애부 장관들이 본 헌장을 승인할 것입니다.

장애 데이터 자산에 데이터 세트를 추가하는 시점에 대한 명확한 규칙을 정하는 것도 중요합니다. 데이터 세트는 정보, 기록 및 사실의 모음입니다.

제안된 접근법

Maddocks는 정부가 장애 데이터 자산에 새로운 데이터를 추가하는 방법을 안내하는 일련의 원칙을 개발할 것을 권고합니다. 이러한 원칙들을 추가되는 데이터에 대한 설명과 함께 전국 장애 데이터 자산(National Disability Data Asset) 웹사이트에 게시해야 합니다.

Maddocks는 그 원칙들이 최소한 다음을 고려해야 한다고 제안합니다.

관련 APP(호주 개인정보 보호 원칙)

권고 사항 2: 데이터 제공자에 대한 수집 통지

배경

다양한 법적 방법을 통해 장애 데이터 자산에 데이터를 추가할 것입니다. 이는 데이터 제공자가 데이터를 수집한 방식에 따라 달라집니다. 데이터 제공자는 장애 데이터 자산에 포함할 데이터를 제공하는 정부 기관입니다. 일부 데이터는 개인의 동의 없이 장애 데이터 자산에 합법적으로 공유될 수 있습니다.

중요한 개인 정보 보호 원칙 한 가지는 사람들이 자신의 개인 정보가 어떻게 사용되고 공유되는지 알 수 있도록 하는 것입니다.

제안된 접근법

수집 통지는 기관에서 개인 정보를 요청할 때 사람들에게 제공하는 문서입니다. 이 문서에는 해당 정보가 필요한 이유와 그 사용 방법이 설명되어 있습니다. Maddocks는 데이터 제공자가 데이터 수집 통지에 표준 단어를 사용할 것을 권장합니다. 예: 양식 및 웹 사이트에서.

본 위원회는 이러한 표준 단어들을 지지해야 합니다. 본 이사회는 이러한 표준 단어들을 승인해야 합니다.

시간이 지남에 따라 데이터 제공자는 수집 통지를 신규 표준 단어들로 업데이트해야 합니다. 예를 들어, 이는 데이터 공유 합의서에 포함될 수도 있습니다. 또는 데이터 제공자가 그렇게 하도록 권장해야 합니다. 이는 사람들에게 자신들의 정보가 어떻게 사용되는지 알려주는 모범 사례가 될 것입니다.

관련 APP(호주 개인정보 보호 원칙)

권고 사항 3: 데이터 재식별 위험 관리 – 절차 검토

배경

본 헌장 초안의 원칙 중 하나는 데이터를 비공개로 안전하게 유지하는 것입니다. 장애 데이터 자산에는 비식별화된 정보만 포함됩니다. 그러나 일부 사람들은 데이터가 재식별될 위험이 있음을 지적합니다. 그리고 시간이 지남에 따라 그 위험이 증가할 것입니다.

제안된 접근법

Maddocks는 본 위원회가 데이터 재식별 위험이 어떻게 관리되고 있는지 검토하기 위해 정기적인 프로세스를 마련할 것을 권고합니다. 예를 들어, 매년 검토를 실시할 수 있습니다.

본 위원회는 또한 검토가 필요하다고 판단되는 상황을 결정할 수 있습니다. 예를 들어, 데이터 침해가 있거나 사이버 보안 위협에 대한 정부 조언이 있는 경우입니다. 이는 데이터를 비식별화하고 재식별 위험을 관리할 때 모범 사례를 계속 사용할 수 있도록 하기 위한 것입니다. 이는 향후 변화하는 기술과 위험을 고려할 것입니다.

관련 APP(호주 개인정보 보호 원칙)

권고 사항 4: 데이터 재식별 위험 관리 – 공유 대상에 대한 규칙

배경

장애 데이터 자산의 정보가 재식별되면, 영향을 받는 사람들에게 더 큰 피해를 줄 가능성이 있습니다. 이는 장애 데이터 자산을 구성하는 정보 유형 때문입니다. 그리고 장애 데이터 자산에는 취약한 사람들에 대한 정보가 포함되어 있습니다.

데이터 거버넌스 체계 하에서, 데이터 비식별화에 대한 정책을 개발할 것입니다. 이 체계는 사람들이 데이터를 안전하고 윤리적이며 합법적인 방식으로 공유, 관리 및 사용할 수 있도록 하는 일련의 규칙입니다.

제안된 접근법

Maddocks는 모든 비식별화 정책이 다음에 대해 명확해야 한다고 권고합니다.

본 정책에는 데이터를 사용하는 프로젝트에 적용되는 규칙도 포함되어야 합니다. 다른 데이터 자산에 사용되는 절차와 같은 추가 절차가 필요한지 여부를 고려해야 합니다. 예를 들어, 데이터 분석 결과가 기반 시스템을 떠나기 전에 올바르게 비식별화되었는지 확인하는 절차입니다.

관련 APP(호주 개인정보 보호 원칙)

권고 사항 5: 데이터 침해 관리

배경

정부 기관은 장애 데이터 자산과 그 기반 시스템을 관리하기 위해 협력합니다. 이는 데이터 침해 위험이 증가할 수도 있음을 의미합니다. 또한 이러한 침해를 신속하게 처리하지 못할 위험이 증가할 수도 있습니다.

데이터 거버넌스 체계(Data Governance Framework)에 따라, 데이터 침해 대응 계획(Data Breach Response Plan)을 수립할 것입니다. 여기에는 데이터 및 개인 정보 침해 및 사고에 대한 기록이 포함될 것입니다. 이 계획에는 매년 검토가 포함될 것입니다.

제안된 접근법

Maddocks는 데이터 침해 대응 계획이 장애 정보 자산을 다루는 정부 기관 전반에서 데이터 침해를 처리하기 위한 한 가지 접근 방식을 가질 것을 권고합니다. 이 대응 계획은 각 관련 거버넌스 그룹 및 기관이 해야 할 일을 명확하게 설명해야 합니다. 여기에는 ABS(Australian Bureau of Statistics: 호주 통계청)가 데이터를 저장하는 경우가 포함됩니다.

또한 대응 계획에는 다음 대상에게 침해에 대한 통지서를 작성할 책임자가 명시되어 있어야 합니다.

관련 APP(호주 개인정보 보호 원칙)

권고 사항 6: 규정 준수 체계 개발

배경

장애 정보 자산을 관리하기 위한 다양한 규칙과 절차가 마련될 것입니다. 여기에는 데이터 공유 합의가 포함됩니다. 데이터 거버넌스 체계에 따라, 기반 시스템에 대한 감사 및 검토를 실시할 계획이 있습니다.

제안된 접근법

Maddocks는 모든 사람이 데이터 공유 합의 내용을 준수하고 있는지 확인하도록 본 이사회가 규정 준수 체계를 개발할 것을 권고합니다. 이 체계는 장애 데이터 자산과 기반 시스템을 포괄해야 합니다. 예를 들어, 장애 데이터 자산과 승인된 시스템을 사용하는 사람들은 매년 다음 담당관들에게 보고할 수 있습니다.

이들 2명의 담당관들은 ABS(호주 통계청) 공무원들입니다. 이들은 장애 데이터 자산과 그 기반 시스템을 안전하고 합법적이며 윤리적인 방식으로 관리할 책임이 있습니다. 또한 이들은 누가 해당 시스템에 접근하고 사용할 수 있는지를 승인할 것입니다.

보고서에는 다음에 대한 점검이 포함될 수 있습니다.

관련 APP(호주 개인정보 보호 원칙)

더 자세한 정보

호주 연방 정부 파트너(Commonwealth Partner)들은 2023 개인정보 보호 영향 평가(PIA)의 6가지 권고 사항에 각각 응답했습니다. 2023 PIA에 대한 응답은 전국 장애 데이터 자산(National Disability Data Asset) 웹사이트의 전국 장애 데이터 자산에 대한 개인정보 보호에서 확인할 수 있습니다.