준식별자(Quasi-PII)란
GDPR 제4조는 인물을 식별할 수 있는 모든 데이터를 포함합니다. 직접적으로 누군가의 이름을 지정할 필요가 없습니다. 추가 단계를 통해 식별이 가능하면 충분합니다.
내부 직원 ID가 대표적인 예입니다. "EMP-EU-123456"이라는 값을 생각해보십시오. 이 문자열만으로는 누구인지 알 수 없습니다. 그러나 HR 시스템에는 간단한 조회 테이블이 있습니다. EMP-EU-123456은 뮌헨에 근무하는 시니어 엔지니어 Maria Schmidt에 매핑됩니다. 그 테이블에 접근할 수 있는 사람은 누구나 그녀를 찾을 수 있습니다. GDPR에 따르면 이 ID는 개인 데이터입니다.
같은 규칙이 다른 내부 코드에도 적용됩니다:
- CRM 기록에 연결되는 고객 계정 번호
- 계약 시스템에서 고객 이름에 연결되는 프로젝트 코드
- 법률 파일의 사건 참조 번호
- 환자 기록에 연결되는 의료 기록 번호
이름과 이메일을 제거하는 것만으로는 충분하지 않습니다. 파일에 내부 ID가 남아있다면, 재식별까지는 두 단계면 충분합니다.
이 격차가 제재로 이어지는 이유
GDPR 제재의 34%는 제32조에 따른 불충분한 기술적 조치와 관련됩니다. 이 수치는 DLA Piper 2025 GDPR 연간 보고서에서 인용한 것입니다. 준식별 내부 식별자를 탐지하지 못하는 것이 이 범주에 해당합니다.
EDPB는 2024년에 900건 이상의 일관성 메커니즘 사례를 처리했습니다. 국경 간 집행은 공유 데이터셋의 하나의 격차가 여러 EU 회원국에서 조율된 조치로 이어질 수 있음을 의미합니다.
표준 PII 도구는 보편적 패턴을 찾습니다: 이름, 이메일, 전화번호, 국가 ID. 내부 ID 형식은 알지 못합니다. 어떤 도구도 알려주기 전까지는 모릅니다. 이것이 격차입니다.
코드 없는 패턴 빌더 작동 방식
글로벌 물류 회사가 외부 감사를 위해 직원 기록을 익명화해야 합니다. 직원 ID는 EMP-[지역]-[6자리] 형식을 사용합니다. 예시 세 가지: EMP-EU-123456, EMP-APAC-789012, EMP-AMER-345678.
컴플라이언스 팀이 AI 패턴 도우미에 세 가지 예시를 입력합니다. AI가 다음을 반환합니다:
- 패턴:
EMP-[A-Z]{2,4}-\d{6} - 세 가지 예시 모두 일치
- 제안 엔터티 이름: EMPLOYEE-ID
- 권장 다음 단계: 더 많은 지역 코드로 테스트
팀이 10개의 샘플을 추가로 테스트합니다. 패턴이 모두 일치합니다.
커스텀 엔터티를 팀의 공유 GDPR 프리셋에 저장합니다. 감사 패키지의 47개 문서 전체가 한 번의 배치로 처리됩니다. 모든 직원 ID는 역할 기반 레이블로 대체됩니다. 감사 법인은 개인과 연결되지 않는 파일을 받습니다.
엔지니어링 지원이 필요 없습니다. 전체 설정은 한 시간도 걸리지 않습니다.
이후 과정
커스텀 엔터티가 공유 프리셋에 저장되면 모든 팀원이 동일한 설정을 사용합니다. 새로운 직원도 첫날부터 동일한 설정을 받습니다. 배치 작업, API 호출, 수동 업로드 모두 같은 패턴을 적용합니다.
감사 추적은 각 파일에 어떤 프리셋이 사용됐는지 보여줍니다. 데이터 보호 당국이 익명화 프로세스의 증거를 요청하면 제시할 수 있습니다.
커스텀 엔터티 설정 전체 워크플로는 조직 익명화를 위한 커스텀 PII 식별자를 참조하십시오. 팀 전반에 걸쳐 일관성을 유지하는 방법은 GDPR 감사를 위한 익명화 일관성 프리셋을 참조하십시오.