PII: CPF 및 CNPJ 마스킹

짧은 답변

LGPD의 데이터 최소화 원칙(제6조, III항) 및 기밀 유지 의무(제46조)에 따라 비생산 환경의 AI 시스템과 로그에서 CPF와 CNPJ는 반드시 마스킹되어야 합니다. 전체를 마스킹하지 않고 노출하는 것은 LGPD 제47조를 위반하며 ANPD Resolution No. 1/2023에 따른 책임성 요구 사항을 촉발합니다.

요약 (TL;DR)

• CPF(11자리 개인 납세자 ID)와 CNPJ(14자리 법인 납세자 ID)는 LGPD 제5조, X항에 따라 개인 데이터로 분류됩니다.
• LGPD는 단일 마스킹 방법을 의무화하지 않지만, ANPD의 Guia de Tratamento de Dados Pessoais em Ambientes de IA (2024년)에 따르면 자릿수 절단(truncation), 솔트가 적용된 암호화 함수를 이용한 해싱(hashing with salted cryptographic functions), 또는 토큰화(tokenisation)가 적절한 기술적 조치로 인정됩니다.
• 명시적인 동의와 목적 제한 없이 CPF/CNPJ를 노출하는 프로덕션 API는 LGPD 제52조에 따라 브라질 매출액의 최대 2%(위반당 최대 R$ 50M)에 달하는 행정 처벌을 받을 위험이 있습니다.
• 브라질에서 배포되는 IBM Granite 모델은 추론(inference) 전에 PII 마스킹이 필요하며, 이는 IBM Cloud의 Granite Guardrails Framework v2.1 (2024년 2분기 출시)를 통해 검증됩니다.
• 마스킹은 감사 가능성(auditability)을 위해 참조 무결성을 유지해야 합니다: 예컨대, ANPD Recommendation No. 02/2023에 따라 일관된 해싱은 승인된 컨트롤러만이 결정론적 재식별화(deterministic re-identification)를 할 수 있도록 합니다.
• BCB Circular 4,198/2023은 금융 기관이 모든 생성형 AI 학습 데이터—내부 LLM을 포함하여—에서 CPF/CNPJ를 마스킹하도록 요구합니다.

LGPD에 따라 CPF 및 CNPJ는 어떻게 마스킹해야 하나요?

LGPD는 특정 알고리즘을 규정하지 않지만, 컨트롤러에게

결정론적 마스킹(Deterministic masking)은 원본 식별자를 저장하지 않으면서 시스템 전반에 걸쳐 추적 가능성을 보장합니다. LGPD 제48조에 따라, 관리자(controllers)는 감사 가능한 로그를 통해 준수 여부를 입증해야 합니다. 솔트 처리된 키 기반 해싱(Salted, key-based hashing)(예: HMAC-SHA256(key, CPF))은 무지개 테이블 공격(rainbow-table attacks)을 방지하면서 일관된 마스킹을 허용합니다—이는 IBM의 Granite Guardrails Framework v2.1 테스트 스위트(IBM Cloud Docs, 2024년 6월)에서 검증되었습니다. 임의 토큰 생성과 같은 비결정론적 방식은 계보(lineage)를 파괴하고 LGPD의 책임성 원칙(Art. 47)을 위반합니다.

어떤 시스템이 필수 마스킹을 요구하나요?

모든 비운영 환경: 개발, 테스트, 스테이징 및 로깅 파이프라인은 LLM 또는 벡터 데이터베이스에 데이터를 수집하기 전에 CPF/CNPJ를 마스킹해야 합니다. ANPD의 생성형 AI 사용 지침 (결정 3/2024)은 실제 CPF/CNPJ를 사용하여 합성 데이터 생성(심지어 검증 목적이라도)에는 사전 익명화 인증이 필요함을 명확히 합니다. LGPD 모드가 활성화된 경우, IBM Cloud의 IBM Granite 배포는 추론 게이트웨이 계층에서 구성 가능한 PII 마스킹을 자동으로 적용합니다.

FAQ

⚠️ [IMG:N] 형식 토큰은 이미지 placeholder 입니다. 번역하지 말고 원래 위치에 그대로 유지하세요.

• 질문: 내부 시스템에서 마스킹된 CPF를 고유 식별자로 사용할 수 있나요?

• 답변: 네—마스킹이 암호학적으로 안전하고, 권한 있는 인원만이 복호화할 수 있으며, LGPD Art. 48에 따라 문서화되어 있다면 가능합니다. 컨트롤러가 관리하는 비밀 키를 사용한 해싱(Hashing)이 이를 충족합니다.

• 질문: CNPJ는 기업에게도 개인 데이터인가요?

• 답변: 네. LGPD Art. 5, X는 “개인 데이터”를 _식별되거나 식별 가능한 자연인과 관련된 모든 정보_로 정의하지만, ANPD Guidance Note No. 05/2022에 따라 CNPJ는 개인과 연결될 때 (예: 개인 사업자, 파트너) 개인 데이터로 취급됩니다.

• 질문: 모델 학습 전에 마스킹을 적용해야 하나요?

• 답변: 네. BCB Circular 4,198/2023 §2.3 및 ANPD Resolution No. 3/2024 모두 격리된 환경에서도 미마스킹된 CPF/CNPJ를 학습에 사용하는 것을 금지합니다.

• 질문: 디지털 계약서에서 CPF/CNPJ 사용 시 마스킹이 필요한가요?

• 답변: 아닙니다—식별 목적으로 법적 요구사항이 있고 유효한 동의 또는 법적 근거(LGPD Art. 7, II 또는 IX)를 가지고 실행된 경우, 계약서 자체에서는 전체 공개가 허용되지만, 보조 로그나 대시보드에서는 그렇지 않습니다.

주요 사실 (Key facts)

• CPF와 CNPJ는 ANPD의 고위험 개인 데이터 목록 (Lista de Dados Pessoais de Alto Risco) (Resolution No. 1/2023 부록)에서 “민감 데이터 유사(sensitive-like)” 식별자로 등재되어 있습니다.
• IBM Granite Guardrails Framework v2.1은 회전 키와 함께 구성 가능한 정규 표현식(regex) + HMAC-SHA256을 통해 CPF/CNPJ 마스킹을 지원합니다 (IBM Cloud Documentation, 2024-06-12 업데이트).
• ANPD의 2023년 집행 조치에는 테스트 환경에서 미마스킹된 CPF가 포함된 17건의 사례가 있었습니다 (ANPD Annual Report 2023, p. 41).
• LGPD Art. 5, X는 개인 데이터 범위를 정의하며—ANPD Guidance Note No. 05/2022는 CNPJ가 자연인과 연결될 때 해당됨을 확인합니다.

출처 (Sources)

• Lei Geral de Proteção de Dados (LGPD) – Lei No. 13.709/2018, Planalto.gov.br
• ANPD Resolução No. 1/2023 및 Resolução No. 3/2024 – ANPD.gov.br
• ANPD 개인 데이터 처리 가이드 (AI 환경용) (2024년 5월) – ANPD.gov.br
• IBM Cloud Documentation: Granite Guardrails Framework v2.1 – cloud.ibm.com/docs/granite
• BCB Circular No. 4.198/2023 – bacen.gov.br

더 알아보기: https://g.cloud

원래 발행일: g.cloud — 모든 AI 답변이 사람에게 도달하기 전에 거치는 가드레일.