교육담당자가 이름·이메일·사번을 지운 LMS 자료를 외부 분석팀에 건넨다. 직무군, 조직, 입사연도, 과정, 재시험과 접속시간은 남았다. 야간조에서 특정 자격시험을 9월에 다시 본 입사 12년 차 직원은 한 명뿐이다. 배치표와 시험 일정을 아는 사람은 그 행의 주인을 짐작한다.
학습데이터 비식별화는 직접 식별자를 지우거나 바꾸고, 여러 속성의 조합·외부정보와의 연결·통계적 추론으로 개인을 다시 알아볼 위험을 목적과 이용환경에 맞게 낮추는 과정이다. 이름 열 삭제는 출발점일 뿐이다. 기록을 받을 사람이 무엇을 알고 있고, 다른 자료에 접근할 수 있는지, 원자료를 내려받는지 제한된 질의만 하는지까지 함께 봐야 한다.
기업교육의 결론은 분명하다. 사람을 가리키는 단서는 이름 칸이 아니라 데이터 전체와 이용환경에 퍼져 있다. 따라서 “식별자 삭제 완료”를 승인 기준으로 삼지 말고, 기록 고립·연결·추론의 세 경로를 시험한 뒤 공개 범위와 접근 방식을 결정해야 한다.
사번을 지운 뒤에도 한 사람의 행은 남아 있다
학습기록에는 직접 식별자와 준식별자가 함께 있다. 이름, 사번, 이메일이 직접 식별자라면 조직, 직무, 연차, 근무지, 과정, 점수와 접속시각은 조합될 때 한 사람을 좁히는 준식별자가 된다. 자유서술, 파일명, URL 경로와 세션 순서도 단서다.
법적 용어도 한 덩어리가 아니다. 한국의 가명정보와 EU의 가명처리 정보에는 재식별 위험이 남아 개인정보 범위에서 관리한다. 일본도 仮名加工情報와 匿名加工情報를 구분한다. 이 글의 ‘비식별화’는 위험 저감 작업을 가리키며, 가공한 파일이 법적 익명정보가 됐다는 선언이 아니다.
2026년 Scientific Data 사례는 KU Leuven 학사 1학년 필수과목 두 개의 세 학년치 클릭스트림, 성적 시도, 포럼, 콘텐츠와 타임스탬프를 공개용으로 가공했다. 학생 ID뿐 아니라 전공, 콘텐츠 경로와 시각 등 단서가 여러 테이블에 퍼져 있었다.
Scientific Data 2026 논문의 원문 3쪽. 붉은 표시는 공개 전 검토한 직접·준식별 단서를 보여 준다. 대학생 데이터의 구체 사례이며 기업 직원 데이터에 동일한 위험값이 적용된다는 뜻은 아니다.
연구진은 학생 ID를 과목·학년별 임의번호로 바꾸고 매핑을 폐기했다. 같은 가명을 다른 과목·학년에 재사용하지 않았다. 전공명은 없애고, 성적은 다섯 구간으로 묶고, 콘텐츠 제목과 경로는 일반화했다. 학생별 -5초에서 +5초 오프셋을 타임스탬프에 적용하고 세션·게시물·콘텐츠 ID도 바꿨다. 핵심은 여러 테이블과 속성에 다른 처리를 조합했다는 점이다.
첫 번째 경로: 희귀한 조합이 한 사람을 고립시킨다
첫 경로는 기록 고립이다. 직접 식별자가 없어도 속성 조합이 하나뿐이면 한 사람의 기록을 구분할 수 있다. “부산 물류센터, 야간조, 안전교육 재시험, 9월 18일 23시 접속”은 교차할 때 유일해진다. 고차원·고해상도 로그일수록 조합이 늘어난다.
k-익명성은 이 위험을 보는 한 방법이다. 같은 준식별자 조합을 가진 기록이 최소 k개라면 그 조합만으로 한 행을 k명보다 더 좁히기 어렵다. 그러나 k는 선택한 준식별자에 의존하며 외부정보, 그룹 안 민감값의 다양성과 여러 공개본의 누적 위험은 별도 문제다.
Scientific Data 사례에서는 대부분의 하위집합에서 가공 뒤 k가 커졌다. 최종 성적 기준으로 2018–2019 Accountancy는 2에서 90, Global Economics는 6에서 60으로 개선됐다. 2020–2021 최종 성적은 각각 1에서 74, 6에서 49가 됐다. 반면 학생 수가 적은 재시험 집합에는 예외가 남았다. 2018–2019 Global Economics 9월 재시험은 1에서 1, 2020–2021 Accountancy 9월은 1에서 1, 같은 해 Global Economics 9월은 2에서 2였다.
Scientific Data 2026 논문의 원문 5쪽. Table 2는 가공 뒤 대부분의 k가 커졌지만 희소한 9월 재시험 집합 세 곳은 개선되지 않았음을 보여 준다. k가 낮다는 사실만으로 곧바로 실명이 확인됐다는 뜻은 아니다.
논문은 해당 기록을 실제 사람과 연결하려면 재시험 기억 같은 사전지식이 필요하다고 설명한다. 일부 학생은 자기 기록을 알아볼 수 있지만, 불특정 공격자가 모든 학생을 식별했다는 결과는 아니다. “유일한 행”과 “실제 신원 확인”을 구분하되 유일성은 다음 연결 공격의 경고로 취급한다.
희소집단을 무조건 삭제하면 교대근무자나 소수 직무처럼 지원이 필요한 경험도 사라진다. 범주·시간 정밀도를 낮추거나 보호된 공간에서만 분석하고, 최소 인원 미만 출력을 억제해 효용과 프라이버시를 함께 검토한다.
두 번째 경로: 다른 시스템의 단서가 기록을 이어 붙인다
두 번째 경로는 연결이다. 흔한 기록도 HRIS, 근무표, 자격명단, 일정과 맞물리면 개인에게 이어진다. LMS의 ‘서울·리더·입사 2018년·과정 A·화요일 06:42 접속’은 교대조를 아는 팀장에게 후보 한 명을 남길 수 있다. 실제 수신자가 보유하거나 쉽게 접근하는 정보부터 목록화한다.
열 이름이 달라도 화상회의 시각, 파일 수정시각, 장비 로그와 자격 취득일 같은 시간 패턴이 기록을 잇는다. 자유서술의 프로젝트명도 강한 단서다. 가명 ID를 바꿔도 행동 리듬과 사건 순서가 남으면 같은 사람의 기록을 묶을 수 있다.
Scientific Data 연구진이 과목과 학년 사이에 같은 가명을 재사용하지 않고 매핑을 폐기한 이유도 장기 연결을 줄이기 위해서다. 타임스탬프를 학생별로 조정한 것은 사건 순서를 보존하면서 정확한 시각 일치를 어렵게 하려는 선택이었다. 그러나 ±5초는 보편적 안전값이 아니다. 그 논문의 데이터 구조와 특성공학 목적에서 효용 저하가 나타나지 않았다는 결과일 뿐, 분 단위 회의·교대 기록과 결합되는 회사 데이터에서 같은 설정이 안전하다는 증거가 아니다.
연결 위험은 ‘우리 파일에 이름이 있는가’ 대신 다음으로 평가한다.
- 수신자는 같은 기간의 조직도, 근무표, 자격·출결 자료를 보유하는가.
- 직무, 지역, 연차와 시각 몇 개를 맞추면 후보가 한 명이 되는가.
- 여러 반출본을 잇는 안정된 식별자·패턴이 남는가.
- 자유서술, 첨부파일과 메타데이터도 점검했는가.
- 사내 공지나 공개정보로 추가 단서를 얻을 수 있는가.
관련 주체는 현업 관리자, 공급자 지원인력, 연구자처럼 맥락을 이미 아는 사람이다. 공개 웹과 승인된 내부 연구자에게 제한 제공할 때의 위험이 달라지는 이유다.
세 번째 경로: 집계값도 개인에 관한 결론을 남긴다
세 번째 경로는 추론이다. 원시 행이 없어도 집계표, 반복 필터와 이전·이후 보고서의 차이로 개인에 관한 결론을 얻는다.
EDPB의 2026년 익명화 지침 공개협의안은 팀 설문 예시를 든다. 관리자가 개인 응답을 받지 않고 답변별 인원만 보더라도, 팀원 전원이 같은 비판적 선택을 했다는 집계가 나오면 각 구성원의 의견을 추론할 수 있다. 또 엔지니어 6명의 급여 합계가 55만이고 제품팀 5명의 합계가 48만이면, 남은 한 명의 급여가 7만임을 뺄셈으로 알아낼 수 있다. 이 숫자는 지침의 설명용 예시이지 실제 기업의 위험 확률이 아니다.
학습 대시보드도 같다. “팀 전체 8명 중 필수교육 미수료 1명”을 보여 준 뒤 직무 필터를 걸어 “현장직 7명은 모두 수료”라고 표시하면 남은 사무직 1명의 상태가 드러난다. 지난주 보고서와 이번 주 보고서에서 수료자 수가 한 명 늘었고 교육 참여 공지가 공개돼 있으면 누가 재수강했는지 추정할 수 있다. 성적을 다섯 구간으로 묶었더라도 작은 팀에서 한 사람만 ‘Fail’이면 낙인 위험은 남는다.
추론은 실명을 알아내는 경우만이 아니다. 어떤 행이 한 사람과 연결되고 다르게 대우할 만큼 정확한 결론을 얻었다면 권리와 이익에 영향을 준다. 반대로 인구 전체의 경향을 새 지원자에게 적용했다는 이유만으로 원 데이터가 자동으로 개인정보가 되는 것은 아니다. 결론이 원자료의 특정 개인과 실제로 연결되고 구체적·의미 있는지가 기준이다.
‘집계만 제공’할 때도 최소 셀, 상·하위 억제, 반올림, 반복 질의 제한과 이전 출력의 차분 점검이 필요하다. 같은 원자료에서 나온 대시보드와 월별 파일을 함께 시험하고, 최소 인원은 변수 민감도·집단 규모·이용자 지식과 결정 영향에 맞춘다.
k가 커져도 안전 판정은 끝나지 않는다
EDPB 공개협의안은 익명성을 세 기준으로 나눠 본다. 한 개인의 고유한 속성 조합이 없는지 보는 No Record Isolation, 같은 사람의 다른 정보와 이어지지 않는지 보는 No Linkage, 개인에 관한 구체적이고 의미 있는 결론을 끌어낼 수 없는지 보는 No Inference다. 세 기준을 모두 통과하면 익명으로 볼 수 있지만, 하나를 어겼다고 즉시 개인정보라고 결론내리기보다 그 위반이 실제 식별 가능성으로 이어지는지 추가 분석한다.
EDPB Guidelines 02/2026 공개협의안의 원문 33쪽 흐름도. 2026년 7월 7일 채택된 Version 1.0이며 공개협의는 2026년 10월 30일까지다. 최종 지침이나 한국 법률로 인용하지 않는다.
k는 기록 고립을 볼 뿐 외부 연결과 집계 추론을 막지 않는다. 같은 k라도 공개 웹과 보호 분석공간의 위험은 다르며, 여러 공개본의 교집합은 후보를 다시 좁힌다.
가공 뒤 효용도 검증한다. Scientific Data 사례에서는 주요 특성 분포가 대체로 유지됐고 예상한 타임스탬프 효용 손실도 해당 특성공학 작업에서 나타나지 않았다. 2020–2021년의 통계적 차이는 콘텐츠 범주 재정리와 데이터 품질 개선의 결과였다. 다른 과제에도 같은 변환을 복사하라는 뜻은 아니다.
검증표에는 적어도 네 칸이 필요하다.
| 위험 경로 | 학습데이터 예시 | 확인할 시험 | 가능한 통제 |
|---|---|---|---|
| 기록 고립 | 희소 직무·재시험·시각 조합이 한 행만 남김 | 준식별자 조합별 유일성·k 분포 | 범주 일반화, 날짜 정밀도 축소, 희소 셀 억제 |
| 연결 | LMS 로그가 조직도·근무표·자격명단과 맞물림 | 수신자별 보조정보와 허용된 연결 시뮬레이션 | 가명 분리, 속성 축소, 접근자·목적 제한 |
| 추론 | 팀 집계·반복 필터로 개인 결과를 계산 | 차분·반복 질의·최소 셀 공격 점검 | 출력 심사, 질의 예산, 반올림·억제 |
| 누적 공개 | 월별 파일·여러 공급본의 교집합이 작아짐 | 버전 간 교차 분석과 공개 이력 검토 | 공개 장부, 버전 통합 심사, 접근 모델 변경 |
한 칸을 통과했다고 나머지 칸을 생략하지 않는다. “이름 없음”, “k=10”, “계약 체결”, “집계만 제공” 같은 단일 배지는 안전 판정이 아니다.
원자료 공개 대신 접근 모델을 먼저 고른다
비식별 파일을 만들고 나서 배포 대상을 정하면 선택지가 줄어든다. 먼저 누가 어떤 질문에 답해야 하는지 정하고 그 목적에 맞는 접근 모델을 고른다. NIST SP 800-188은 공개 비식별 데이터, 합성데이터, 질의 인터페이스, 비공개 보호 분석공간을 서로 다른 공유 방식으로 본다. 데이터 자체뿐 아니라 safe projects, people, data, settings, outputs의 ‘Five Safes’를 함께 평가하라고 권한다.
기업교육에서는 접근을 다음처럼 단계화한다.
| 접근 모델 | 적합한 목적 | 남는 위험 | 운영 기준 |
|---|---|---|---|
| 개인 식별 내부 원본 | 상담, 정정, 법정 수료관리 | 과도한 조회·목적 전환 | 최소권한, 열람로그, 짧은 보존, 본인 설명 |
| 제한된 가명 자료 | 승인된 효과분석·품질개선 | 보조정보 연결, 매핑 유출 | 분석자·목적 승인, 추가정보 분리, 반출 심사 |
| 보호 분석공간·질의 | 고위험 세부자료의 연구 | 반복 질의와 출력 누출 | 원자료 다운로드 금지, 질의·출력 기록과 검토 |
| 목적별 집계·합성자료 | 외부 협업, 개발, 예비분석 | 희소 셀 추론, 합성모델 누출·왜곡 | 최소 셀, 누적 출력 점검, 효용·프라이버시 검증 |
| 공개 자료 | 재현 가능한 공익 연구 | 모든 보조정보와 미래 기술에 노출 | 가장 강한 시험, 공개 이력, 지속 모니터링·중단 계획 |
합성데이터도 희귀한 조합을 모사하거나 필요한 상관관계를 왜곡할 수 있다. 질의 인터페이스는 질문마다 정보가 누적되고, 보호 분석공간도 부적절한 결합과 출력이 일어나면 실패한다. 기술명보다 목적, 사람, 환경과 출력을 함께 본다.
공급자 검증에 전체 이벤트 로그가 필요한지도 묻는다. 스키마와 합성 표본으로 개발한 뒤 승인된 질의만 원자료에 실행하거나, 보호 공간에서 계산한 결과만 심사해 반출할 수 있다. 다운로드 가능한 CSV는 위험이 가장 넓게 퍼지는 선택이다.
반출 전에는 실제 공격이 아니라 허용된 위험 시험을 한다
비식별화는 파일을 만든 팀만 검토하지 않는다. HRD, 분석가, 개인정보·정보보안·노무 담당자와 현업 책임자가 나눠 본다. NIST의 Disclosure Review Board처럼 공개와 반출을 반복 심사하는 협의체를 두고 법률 적합성, 교육적 필요, 효용과 식별 위험을 별도 판단으로 남긴다.
개인정보보호위원회의 2026년 3월 가이드는 사전준비, 위험도 검토, 가명처리, 적정성 검토, 안전한 관리의 다섯 단계를 둔다. 제3자 제공 때 수신자의 처리환경과 보조정보를 보고, 가명정보·추가정보와 권한을 분리하며 재사용·재제공 때 재평가한다. 위험을 합리적 수준으로 낮추는 절차이지 0으로 선언하는 절차가 아니다.
여기서 ‘공격자 관점’은 실제 직원을 일부러 찾아내라는 뜻이 아니다. 한국 가이드가 의도적 재식별 시도를 금지한다는 경계를 지켜야 한다. 조직의 법무·개인정보 책임자가 허용한 범위에서 다음과 같이 시험한다.
- 합성 또는 별도 시험자료로 희귀 조합, 반복 필터, 차분 공격이 작동하는지 확인한다.
- 실제 수신자 유형별로 보유·접근 가능한 보조정보 목록을 만들고 연결 가능성을 통계적으로 평가한다.
- 실데이터가 필요하면 권한을 가진 독립 전문가가 통제된 환경에서 식별 성공률이 아니라 유일성, 후보집합 크기와 출력 위험을 검토한다.
- 테스트 과정에서 우연히 개인을 알아보게 되면 즉시 중단하고 결과를 확산하지 않으며 회수·파기·보호조치를 따른다.
- 승인한 가공 규칙, 도구 버전, 시험자료, 잔여 위험, 허용 이용자와 다음 재평가일을 기록한다.
도구 처리 로그도 충분하지 않다. NIST는 단순 마스킹 도구가 준식별자를 위험정책에 맞게 바꾸지 못할 수 있다고 경고한다. 마스킹을 유일한 기밀성 수단으로 쓰지 말고 결과를 별도 검증하며 원자료와 가공본의 계보를 남긴다.
사고·새 결합·기술 변화가 생기면 익명성도 다시 판정한다
비식별화는 발행일에 고정되지 않는다. 조직도가 새로 공개되고 월별 파일이 추가되거나 분석 기술이 발전하면 식별 가능성이 바뀐다. EDPB 공개협의안도 관련 주체의 능력과 보조정보 변화를 고려한 안전여유와 정기 재평가를 권한다. 접근 제한만으로 익명성이 생기지는 않는다.
재평가를 달력에만 묶지 말고 사건에 연결한다.
- 새로운 월·분기 데이터나 다른 변수 집합을 추가 공개할 때.
- 수신자, 하도급자, 분석 목적, 보존기간과 접근환경이 바뀔 때.
- HRIS, 근무표, 협업도구, 외부 공개자료와 새 연동을 만들 때.
- 생성형 AI, 에이전트 분석, 새로운 연결·추론 도구를 도입할 때.
- 희소집단, 재시험, 이의제기와 사고에서 재식별 징후가 발견될 때.
- 계약 종료, 연구 종료, 공개 철회나 데이터 삭제를 결정할 때.
여러 공개본도 함께 본다. 월 단위 접속일 파일과 과정별 통과구간 파일이 각각 안전해 보여도 교집합은 한 사람을 남길 수 있다. NIST는 k-익명성이 누적 손실을 정량화하지 못한다고 지적한다. 조직은 변수를 포함한 공개·반출 장부를 유지한다.
실제로 개인을 알아보게 된 사고가 나면 ‘가명이라 문제없다’고 넘기지 않는다. 처리를 중지하고 공유본을 회수하며 접근을 차단하고, 어떤 보조정보와 조합에서 식별됐는지 보존한다. 영향받은 분석·보고·추천을 찾아 복구하고 추가 가공이나 접근 모델 변경을 결정한다. 법적 통지와 조치는 관할 전문가가 판단하되, HRD는 학습기회·평가·신뢰에 생긴 영향까지 복구해야 한다.
이름 삭제율 대신 여덟 개의 운영 신호를 본다
성과지표를 ‘식별자 100% 삭제’로 두면 가장 쉬운 열만 관리하게 된다. 학습데이터 비식별화는 위험, 효용, 접근과 복구를 나눠 측정해야 한다.
- 고유 조합 비율: 승인한 준식별자 집합마다 한 사람만 남는 기록이 얼마나 되는가.
- 최소 후보집합과 분포: 평균 k가 아니라 가장 작은 집합, 희소집단과 하위 구간이 어떻게 분포하는가.
- 보조정보 목록 완성도: 수신자별로 보유·접근 가능한 조직도, 근무표, 자격명단과 공개정보를 언제 갱신했는가.
- 허용 시험의 연결 위험: 통제된 평가에서 후보가 얼마나 줄고 어떤 속성이 연결을 지배하는가.
- 억제·거절된 출력: 최소 셀, 반복 질의, 차분 위험 때문에 막은 표와 질의가 무엇인가.
- 누적 공개 노출: 같은 원자료에서 나온 파일·대시보드·모델·보고서의 조합을 몇 개 검토했는가.
- 분석 효용 손실: 가공 전후 결론, 오차, 집단 대표성과 의사결정 가능성이 얼마나 달라졌는가.
- 재평가와 복구 시간: 변경·사고를 발견한 뒤 접근 중단, 회수, 재검토와 영향 결과 정정까지 얼마나 걸렸는가.
이를 한 점수로 합치지 않는다. k가 커져도 연결 위험이 높고, 프라이버시가 좋아져도 소수 직무의 문제가 사라질 수 있다. 효용이 높아도 인사결정에 쓰이면 더 좁은 접근이 필요하다. 충돌을 심의자료에 그대로 남긴다.
위험 진단표가 다시 소수자를 가리키지 않도록 세부 결과는 제한된 심의자에게만 제공한다.
한국 기업은 가명정보와 익명정보의 선을 운영표에 적는다
한국 기업의 전사 LMS는 HRIS, 직무체계, 출결과 자격에 쉽게 연결된다. 공급자가 같은 조직의 인재분석도 맡으면 보조정보 범위가 달라진다. 계열사 플랫폼과 국외 분석팀도 별도 수신자 관점으로 본다.
운영표에는 최소한 다음 상태를 구분한다.
- 식별 가능한 원자료: 상담·정정·법정 수료 같은 승인 목적에만 최소권한으로 사용한다.
- 가명정보: 추가정보 분리, 접근 통제와 목적 제한 아래 승인된 통계·연구·보존 목적을 검토한다. 여전히 개인정보라는 전제에서 관리한다.
- 익명으로 판단한 정보: 기록 고립·연결·추론과 이용자 관점을 문서화하고, 판단 근거·적용범위·다음 재평가일을 남긴다.
- 개인과 대응관계를 없앤 통계: 원자료와 반복 출력의 차이로 개인을 추론할 수 없는지 별도로 검토한다.
라벨은 처리 상태를 따라야 한다. 재식별 가능한 파일을 anonymous_final.csv라 부르면 허용되지 않은 재사용을 부른다. 가명정보도 목적과 법적 근거를 확인하고 제한 환경에서 필요한 분석을 할 수 있다.
승인서에는 ‘연구 목적’ 대신 교육 질문, 변수, 분석자, 공간, 출력과 기한을 적는다. 계약에는 원자료 다운로드, 다른 고객 데이터와의 결합, 모델 학습, 하도급, 재제공, 사고 통지, 반환·삭제와 감사권을 넣는다. 계약은 익명성을 만들지 않지만 접근자가 취할 수 있는 수단을 제한한다.
일본 법인과 공동 운영할 때 한국의 가명정보를 일본의 仮名加工情報와 자동으로 같은 상태라 번역하지 않는다. 일본 지침은 仮名加工情報와 匿名加工情報를 구분한다. 처리 목적, 제공 관계, 국외 이전과 근로관계는 현지 전문가가 확인하고 공통 최소선 위에 각국 절차를 더한다.
좋은 비식별화는 삭제 기법이 아니라 계속 갱신되는 통제다
이름과 사번 삭제는 필요하지만 충분하지 않다. 희귀한 조합은 한 행을 고립시키고, 시간·직무·사건은 다른 시스템과 잇고, 집계값의 차이는 개인 결론을 남긴다. k-익명성은 연결, 추론과 누적 공개를 대신하지 않는다.
먼저 교육 목적과 수신자별 보조정보를 정리하고 기록 고립·연결·추론을 따로 시험한다. 그 결과에 맞춰 가명자료, 보호 분석공간, 질의, 집계·합성자료 중 가장 좁은 접근을 고른다. 가공 규칙, 효용, 잔여 위험, 출력과 재평가 조건을 기록하고 변화가 생기면 다시 판단한다.
성공은 “누구인지 모르게 만들었다”는 선언이 아니다. 필요한 학습 질문에는 답하면서, 알아볼 필요가 없는 사람에게는 알아볼 수단과 기회를 주지 않는 상태를 유지하는 것이다. 깨졌을 때 멈추고 복구할 수 있어야 한다.
함께 읽을 글
출처
- Tiukhova, E., Van Landuyt, D., Baesens, B., & Snoeck, M., Open data, private learners: a de-identified student activity and performance dataset for learning analytics, Scientific Data 13, 548 (2026): https://www.nature.com/articles/s41597-026-06821-3
- European Data Protection Board, Guidelines 02/2026 on Anonymisation, Version 1.0 (public consultation version): https://www.edpb.europa.eu/news/news/2026/edpb-adopts-guidelines-anonymisation_en
- 개인정보보호위원회, 가명정보 처리 가이드라인 — [본권] 가명정보 제도 안내편 (2026.3): https://m.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=11931
- National Institute of Standards and Technology, De-Identifying Government Datasets: Techniques and Governance, NIST SP 800-188: https://csrc.nist.gov/pubs/sp/800/188/final
- 個人情報保護委員会, 個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）: https://www.ppc.go.jp/personalinfo/legal/guidelines_anonymous/