전환 추적 환자 이메일 해시, 광고 플랫폼 전송과 익명화의 구분

맞추기 위한 해시와 알아볼 수 없게 하는 익명화

구글 도움말은 향상된 전환이 이메일 주소, 이름, 집 주소, 전화번호 같은 퍼스트 파티 고객 데이터를 에스에이치에이 이백오십육이라는 단방향 해싱으로 처리해 보내고, 해시한 정보를 광고와 상호작용할 때 로그인해 있던 구글 계정과 맞추는 데 쓴다고 설명합니다. 맞춘다는 것은 받은 쪽이 그 해시를 특정한 사람의 계정과 잇는다는 뜻이어서, 해시한 값이 사람을 가리키는 힘은 그대로 남습니다.

해시가 익명화처럼 들리는 까닭은 사람이 해시 값을 보고 원래 이메일을 읽을 수 없기 때문입니다. 그러나 익명화는 사람이 읽을 수 있는지가 아니라, 받은 쪽이 가진 다른 정보와 맞춰 누구인지 이을 수 있는지로 가립니다. 이메일로 가입한 사용자를 많이 가진 플랫폼일수록 같은 해시를 만들어 맞출 수 있는 사람이 많습니다.

그래서 이런 제안에는 세 물음을 따로 묻습니다. 보내는 값이 어떤 모양인지, 받은 쪽이 그 사람을 알아볼 수 있는지, 정책과 법령에서 그 목적으로 써도 되는지입니다. 첫째 물음은 기술의 문제이고, 둘째와 셋째는 병원의 개인정보 판단이어서 답하는 사람이 다릅니다.

개념 구분 표의 세 물음

제안을 받으면 아래 개념 구분 표의 세 줄을 따로 묻습니다.

개념 구분 표의 둘째 줄에서 해시가 답이 되지 않는 까닭은 해시가 늘 같은 값을 내기 때문입니다. 받은 쪽이 자기 사용자의 이메일로 같은 방식의 해시를 만들어 두면, 병원이 보낸 해시와 맞춰 누구인지 이을 수 있습니다. 광고 플랫폼의 향상된 전환은 이 맞춤이 목적인 기능입니다.

개념 구분 표의 셋째 줄은 병원이 가장 무겁게 따질 줄입니다. 광고 플랫폼의 정책이 그 기능에서 무엇을 막는지와, 국내 개인정보 법령에서 해시한 값이 어떻게 다뤄지고 어떤 근거가 있어야 보낼 수 있는지를 함께 따집니다. 구글의 고객 데이터 정책이 건강이나 의료 정보를 민감한 카테고리로 두는 점은 이 줄에서 확인할 문서의 하나이고, 법령의 판단은 병원의 개인정보 보호책임자와 법률 자문을 거칩니다.

해시 전송 제안을 판단하는 다섯 단계

1. 광고 담당이 제안의 내용, 곧 어느 전환에서 어떤 값을 어느 기능으로 보내자는지를 한 장에 옮깁니다.
2. 홈페이지 담당이 개념 구분 표의 첫째 줄에 답하고, 해시를 병원 사이트에서 하는지 바깥 업체나 플랫폼 쪽에서 하는지를 함께 남깁니다.
3. 개인정보 보호책임자가 개념 구분 표의 둘째 줄에 답하면서, 해시한 값도 사람을 가리키는 정보로 다룰지를 정합니다.
4. 원장과 개인정보 보호책임자가 개념 구분 표의 셋째 줄에 답하되, 플랫폼의 정책 문서와 병원의 처리방침, 필요하면 법률 자문의 의견을 근거로 남깁니다.
5. 광고 담당이 세 줄의 답을 해시 전송 판단 기록표에 모으고, 개념 구분 표 셋째 줄의 답이 그렇다가 아니면 보내지 않습니다.

둘째 단계에서 해시를 어디서 하는지 남기는 까닭은 해시하기 전의 원본 이메일이 누구의 시스템을 거치는지가 달라지기 때문입니다. 병원 사이트에서 해시해 보낸다면 원본은 병원 밖으로 나가지 않지만, 바깥 업체의 도구가 원본을 받아 해시한다면 원본이 그 업체를 거칩니다.

첫째 단계에서 제안의 내용을 한 장에 옮기는 까닭은 같은 기능이라도 어느 전환에서 어떤 값을 보내는지에 따라 셋째 물음의 답이 달라지기 때문입니다. 채용 지원 양식의 이메일과 진료 상담 양식의 이메일은 같은 이메일 칸이어도 담긴 뜻이 달라, 전환마다 한 줄씩 나눠 옮깁니다.

셋째 단계에서 해시한 값을 사람을 가리키는 정보로 다룰지 먼저 정하는 까닭은 그 답에 따라 보관과 전송의 기록을 원본처럼 관리할지가 정해지기 때문입니다. 받은 쪽이 맞출 수 있는 값이라면 원본 이메일과 같은 무게로 다루는 편이 안전합니다.

다섯째 단계에서 개념 구분 표 셋째 줄의 답이 그렇다가 아니면 보내지 않는 까닭은 첫째와 둘째 줄의 답이 아무리 좋아도 쓸 자격이 없다면 보낼 수 없기 때문입니다. 같은 줄의 답이 서지 않은 경우도 그렇다가 아닌 것으로 다룹니다.

해시 전송 판단 기록표의 네 칸

다섯 단계의 결과는 제안마다 아래 해시 전송 판단 기록표의 네 칸에 남깁니다.

해시 전송 판단 기록표의 넷째 칸에는 읽은 정책 문서의 이름과 읽은 날을 함께 남깁니다. 플랫폼의 정책은 바뀔 수 있어, 바뀐 뒤에 같은 제안을 다시 받으면 해시 전송 판단 기록표의 넷째 칸부터 다시 읽습니다.

해시 전송 판단에서 담당마다 맡는 물음

광고 담당은 제안을 옮겨 쓰는 사람이 아니라 제안을 세 물음으로 나누는 사람입니다. 대행사나 도구 업체가 해시하니 안전하다고 말하면, 그 말이 개념 구분 표의 첫째 줄에만 답한다는 것을 기록표에 밝히고 나머지 두 줄을 맡을 사람에게 넘깁니다.

홈페이지 담당은 기술의 사실을 맡습니다. 해시가 어디서 어떤 방식으로 이뤄지는지, 원본이 병원 사이트 밖으로 나가는지를 확인합니다. 이 사실은 둘째와 셋째 물음의 바탕이 되므로, 추측으로 채우지 않고 실제 설정과 업체의 문서로 채우며 문서를 받은 날도 함께 남깁니다.

개인정보 보호책임자는 해시한 값을 어떤 정보로 다룰지와, 병원의 처리방침과 동의 절차가 그 전송을 담고 있는지를 맡습니다. 판단이 서지 않는 부분은 법률 자문으로 넘기고, 넘긴 날과 받은 답을 기록표에 남깁니다. 자문의 답이 오기 전까지는 보내지 않는 쪽이 원칙이며, 그 사이의 결정도 기록합니다.

원장은 셋째 물음의 결론을 냅니다. 광고 측정이 조금 나아지는 것과 환자의 정보를 밖으로 보내는 무게를 함께 놓고, 쓸 자격이 분명할 때에만 보내기로 정합니다. 보내지 않기로 했다면 광고 측정을 무엇으로 보완할지를 광고 담당과 함께 정해, 판단이 측정 공백으로만 남지 않게 합니다.

해시 전송 판단 기록표의 인계

담당이 바뀔 때는 해시 전송 판단 기록표와 읽은 정책 문서의 목록, 법률 자문의 답을 한 묶음으로 넘깁니다. 새 담당은 비슷한 제안을 받으면 기록표에서 같은 전환과 같은 기능의 판단부터 찾고, 그 뒤 정책 문서가 바뀌었는지를 확인합니다.

블로그 쪽에서도 방문자의 연락처를 광고 도구와 잇자는 제안이 올 수 있는데, 같은 세 물음으로 가립니다. 블로그 글의 성과를 연락처 없이 무엇으로 셀지는 병원 블로그 성과에서 다룹니다.

세 물음을 그대로 쓰기 어려운 경우