가명처리하면 AI 학습에 써도 되나요?
본 글은 제도 이해를 돕기 위한 교육용 참고 자료이며, 법률 자문이 아닙니다. 본문의 법령은 최종 수정일 기준으로 요약 및 발췌되었으므로, 이후 개정되거나 해석이 달라질 수 있습니다. 실제 업무에 적용하기 전 반드시 현행 법령(국가법령정보센터)을 직접 확인하고 전문가(세무사·노무사 등)의 자문을 거치시기 바랍니다. 본 글의 정보를 활용해 발생한 어떠한 결과나 법적 문제에 대해서도 작성자는 책임지지 않습니다.
사내에 쌓인 데이터로 모델을 학습시키자는 얘기가 나오면 거의 항상 같은 문장이 따라옵니다. "가명처리해서 쓰면 됩니다."
그 한 문장이 두 가지를 동시에 주장합니다. 가명처리를 하면 동의가 필요 없어진다는 것과, 그렇게 만든 데이터는 원하는 목적에 쓸 수 있다는 것입니다. 법은 둘 중 하나만 인정합니다.
가명처리는 정확히 무엇을 면제해 주고, 그 대가로 무엇을 가져갈까요?
이 글은 이미 가진 개인정보를 원래 받은 목적 밖에서 쓰려 할 때 열리는 문을 다룹니다. 그 문의 이름이 가명정보 특례이고, 열쇠는 처리 기법이 아니라 목적입니다. 가명정보가 왜 여전히 개인정보인지는 이 값도 개인정보인가요?에서, 그 데이터를 외부 도구로 내보낼 때의 판단은 이 데이터는 위탁받은 건가요, 넘겨받은 건가요?에서 다뤘습니다.
가명처리: 개인정보에서 벗어나지 않는 이유
먼저 가명처리가 무엇인지 조문으로 확인해 두겠습니다.
개인정보 보호법 제2조(정의) 1의2. "가명처리"란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.
정의 안에 "추가 정보가 없이는"이라는 조건이 박혀 있습니다. 그 추가 정보가 세상 어딘가에 남아 있다는 전제이고, 그래서 가명처리의 결과물은 제2조 제1호 다목에 따라 개인정보의 한 종류로 분류됩니다. 개인정보를 다른 모양의 개인정보로 바꾼 것이지, 개인정보이기를 그만두게 만든 것이 아닙니다.
여기서 자주 어긋나는 지점이 있습니다. 가명처리 자체는 어떤 처리 근거도 만들어 내지 않습니다. "가명처리했습니다"는 "무슨 근거로 이 데이터를 씁니까"라는 질문에 대한 답이 되지 못합니다. 기법을 말했을 뿐 근거를 말하지 않았기 때문입니다. 법을 벗어나는 문은 따로 있고, 그건 다른 정보를 사용해도 더는 개인을 알아볼 수 없는 상태, 즉 익명정보입니다. 매핑을 지우지 않은 채로 그 문 앞에 설 수는 없습니다.
Recap
- 가명처리는 추가 정보가 남아 있음을 전제하므로 결과물은 여전히 개인정보입니다.
- 처리 기법을 바꾼 사실만으로는 처리 근거가 생기지 않습니다.
- 법의 적용을 벗어나는 상태는 익명정보뿐이고, 가명정보는 그 앞에서 멈춰 있습니다.
동의 없이 처리할 수 있는 세 가지 목적
그럼 가명정보로 만들었을 때 실제로 무엇이 달라지는지가 남습니다. 조문은 짧습니다.
개인정보 보호법 제28조의2(가명정보의 처리 등) ① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.
② 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다.
동의를 면제하는 조건이 처리 방식이 아니라 목적에 달려 있습니다. 통계작성, 과학적 연구, 공익적 기록보존. 이 셋 중 하나에 해당해야 문이 열립니다. 같은 데이터를 같은 방식으로 가명처리했더라도 목적이 여기 없으면 이 조항은 쓸 수 없고, 원래의 처리 근거를 다시 찾아야 합니다.
이 특례가 값진 이유는 목적 외 이용의 문턱을 넘겨주기 때문입니다. 회원 가입 때 받은 데이터는 서비스 제공이라는 목적에 묶여 있는데, 이 조항은 그 묶임을 풀고 다른 목적으로 쓰는 것을 허용합니다. 그래서 사내 분석과 모델 개발이 이 문을 두드리게 됩니다.
제2항도 짚어 둘 필요가 있습니다. 가명정보를 밖으로 내보낼 때 재식별에 쓰일 수 있는 정보를 함께 보내면 안 된다는 조항인데, 실무에서는 조인 키가 여기 걸립니다. 데이터를 가명처리해 놓고 매핑 파일을 같은 압축 파일에 넣어 보내면 조문이 금지한 상태 그대로입니다.
Recap
- 동의 면제의 조건은 가명처리 여부가 아니라 통계작성·과학적 연구·공익적 기록보존이라는 목적입니다.
- 이 특례의 실질은 원래 목적에 묶여 있던 데이터를 다른 목적으로 쓰게 해 주는 것입니다.
- 제3자에게 보낼 때 재식별에 쓰일 정보를 함께 보내면 조문 위반이며, 조인 키가 대표적입니다.
법이 말하는 "과학적 연구"의 폭
세 목적 중 실무가 기대는 곳은 대개 과학적 연구입니다. 이 말이 대학과 논문의 영역으로 들리지만 법의 정의는 그보다 넓습니다.
개인정보 보호법 제2조(정의) 8. "과학적 연구"란 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말한다.
"기술의 개발과 실증"과 "민간 투자 연구"가 명시적으로 들어가 있습니다. 기업이 상업적 목적으로 수행하는 연구개발도 이 정의 안에 자리가 있다는 뜻이고, 2020년 개정 때 이 문장이 들어간 배경도 그것입니다.
다만 정의의 끝은 "과학적 방법을 적용하는 연구"입니다. 이 한정이 실무의 선을 긋습니다. 데이터를 대상으로 가설을 세우고 검증하는 과정이 있어야 하고, 목적이 개별 정보주체를 향해 있으면 연구라 부르기 어려워집니다.
| 하려는 일 | 과학적 연구로 볼 여지 |
|---|---|
| 이탈 예측 모델의 성능을 높이기 위한 알고리즘 실험 | 있음 |
| 서비스 사용 패턴의 통계적 특성 분석 | 있음(통계작성에도 걸칩니다) |
| 특정 이용자에게 보낼 추천 문구를 개인화 | 없음 |
| 개별 고객의 신용도를 판단해 서비스 조건을 결정 | 없음 |
아래 두 줄이 밖으로 나가는 이유는 데이터를 쓰는 방식 때문이 아니라 결과가 향하는 곳 때문입니다. 결과가 특정 개인에게 적용되는 순간 그건 연구가 아니라 그 사람에 대한 처리입니다. 가명정보로 그 일을 하려면 개인을 다시 알아봐야 하는데, 그건 뒤에서 볼 금지 조항에 정면으로 걸립니다.
Recap
- 법이 말하는 과학적 연구에는 기술 개발과 실증, 민간 투자 연구가 포함됩니다.
- 한정 조건은 과학적 방법의 적용이며, 목적이 개별 정보주체를 향하면 벗어납니다.
- 결과가 특정 개인에게 적용되는 처리는 재식별을 요구하므로 이 특례로 정당화되지 않습니다.
특례가 가져가는 것: 정보주체의 권리
여기까지만 보면 가명정보는 규제가 느슨해지는 통로처럼 읽힙니다. 실제로 느슨해지는 쪽은 처리자의 의무가 아니라 정보주체의 권리입니다.
개인정보 보호법 제28조의7(적용범위) 제28조의2 또는 제28조의3에 따라 처리된 가명정보는 제20조, 제20조의2, 제27조, 제34조제1항, 제35조, 제35조의2, 제36조 및 제37조를 적용하지 아니한다.
조번호만 늘어놓아서 무해해 보이는데, 내용을 펼치면 이렇습니다.
| 조문 | 적용되지 않는 권리 |
|---|---|
| 제20조 | 수집 출처를 알려 달라고 요구할 권리 |
| 제20조의2 | 이용·제공 내역을 통지받을 권리 |
| 제27조 | 영업양도로 데이터가 넘어갈 때 통지받을 권리 |
| 제34조제1항 | 유출됐을 때 통지받을 권리 |
| 제35조, 제35조의2 | 열람과 전송을 요구할 권리 |
| 제36조 | 정정과 삭제를 요구할 권리 |
| 제37조 | 처리를 멈추라고 요구할 권리 |
가명정보가 된 순간 정보주체는 자기 데이터가 어디에 쓰이는지 물어볼 수 없고, 빼 달라고 요구할 수도 없습니다. 유출되어도 자기에게 통지가 오지 않습니다. 유출 사실을 보호위원회에 신고하는 의무는 제34조 제1항 밖에 있어 그대로 남지만, 당사자에게 알리는 통로는 닫힙니다.
권리가 이렇게 멈춰 있으니 그 공백을 처리자 쪽에서 메우라는 것이 이어지는 조항들입니다.
개인정보 보호법 제28조의4(가명정보에 대한 안전조치의무 등) ① 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우에는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관·관리하는 등 해당 정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다.
"별도로 분리하여 보관·관리"는 개발자가 구현으로 답해야 하는 문장입니다. 같은 데이터베이스의 다른 테이블에 두고 같은 계정으로 둘 다 읽을 수 있다면 분리가 아닙니다. 접근 권한이 갈려 있어야 하고, 두 쪽을 동시에 볼 수 있는 사람이 최소여야 분리라 부를 수 있습니다.
Recap
- 제28조의7은 열람·정정·삭제·처리정지·유출 통지를 포함한 정보주체의 권리를 통째로 배제합니다.
- 유출 시 보호위원회 신고 의무는 제34조 제1항 밖이라 그대로 남습니다.
- 그 공백을 메우는 것이 추가 정보의 분리 보관이며, 같은 권한으로 둘 다 읽히면 분리가 아닙니다.
재식별 금지와 결합 제한
가명정보 제도의 가장 단단한 울타리는 재식별 금지입니다.
개인정보 보호법 제28조의5(가명정보 처리 시 금지의무 등) ① 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 자는 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 아니 된다.
② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수·파기하여야 한다.
제2항이 특히 실무적입니다. 의도하지 않았는데 개인이 드러난 경우까지 다룹니다. 가명처리된 여러 속성을 조합했더니 조건에 맞는 사람이 한 명뿐이더라는 상황은 분석 과정에서 자연스럽게 발생하고, 그때 요구되는 행동은 기록해 두는 것이 아니라 중지와 파기입니다. 분석 파이프라인에 그런 결과를 감지하고 멈추는 지점이 있어야 지킬 수 있는 조항입니다.
서로 다른 회사의 가명정보를 합치는 일은 아예 밖으로 나가 있습니다.
개인정보 보호법 제28조의3(가명정보의 결합 제한) ① 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행한다.
우리 데이터와 제휴사 데이터를 합쳐 보자는 기획은 두 회사가 각자 가명처리를 잘 하는 문제로 풀리지 않습니다. 결합 자체를 지정된 전문기관이 수행해야 하고, 결합 결과를 기관 밖으로 가져오려면 전문기관장의 승인을 받아야 합니다. 사내에서 두 테이블을 조인하는 감각으로 접근할 수 없는 절차입니다.
Recap
- 재식별을 시도하는 처리는 금지되고, 우연히 개인이 드러난 경우에도 중지와 파기가 요구됩니다.
- 그래서 재식별 감지와 중단 지점이 분석 파이프라인 안에 있어야 합니다.
- 회사 간 가명정보 결합은 지정 전문기관이 수행하며, 반출에는 별도 승인이 필요합니다.
AI 학습은 어느 근거 위에 서는가
이제 처음의 질문으로 돌아갑니다. 학습 데이터가 어디서 왔느냐에 따라 서는 자리가 다릅니다.
우리 서비스가 이용자에게서 받은 데이터라면 지금까지 본 가명정보 특례가 후보입니다. 조건은 목적이 세 갈래 안에 들어오는 것이고, 모델 성능을 높이기 위한 개발과 실증은 과학적 연구의 정의에 자리가 있습니다. 대신 그 데이터로 만든 결과가 특정 이용자를 향해 적용되는 순간 특례 바깥으로 나갑니다.
웹에서 수집한 공개된 데이터라면 다른 근거가 필요합니다. 개인정보보호위원회는 2024년 7월 「인공지능 개발·서비스를 위한 공개된 개인정보 처리 안내서」를 통해 이 경우의 근거로 정당한 이익 조항을 제시했습니다.
개인정보 보호법 제15조(개인정보의 수집·이용) ① 6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.
이 조항은 세 가지를 한꺼번에 요구합니다. 정당한 이익이 실제로 존재할 것, 그 이익을 달성하는 데 이 처리가 필요할 것, 그리고 정보주체의 권리보다 명백하게 우선할 것입니다. 마지막 요건은 저울질이라 미리 정해진 답이 없고, 그래서 안내서는 어떤 안전조치를 얼마나 했느냐를 저울의 한쪽에 올려 두는 구조를 취합니다. 위원회는 2025년 8월 생성형 AI를 대상으로 한 안내서를 따로 냈습니다.
생성형 모델에는 앞선 논의가 그대로 적용되지 않는 대목이 하나 있습니다. 가명정보의 안전성은 보통 저장된 데이터를 기준으로 판단하는데, 학습된 모델은 학습 데이터의 일부를 출력으로 되뱉을 수 있습니다. 입력 단계에서 가명처리를 마쳤다는 사실이 출력 단계의 재식별 위험까지 덮어 주지는 않습니다. 제28조의5 제2항이 요구하는 감지와 중지의 대상이 데이터베이스가 아니라 모델의 출력이 되는 상황이고, 이 부분은 제도와 기술이 아직 나란히 정리되지 않은 영역입니다.
Recap
- 자사 이용자 데이터로 학습한다면 가명정보 특례가, 공개된 데이터를 수집한다면 정당한 이익이 후보 근거입니다.
- 정당한 이익은 이익의 존재·필요성·우월성 세 요건을 모두 요구하며, 마지막은 안전조치 수준에 따라 저울이 기웁니다.
- 학습 데이터가 출력으로 새어 나올 수 있어, 입력 단계의 가명처리만으로 재식별 위험이 닫히지 않습니다.
문서에 적을 수 있어야 하는 세 문장
이 도메인에서 판단이 흐려질 때는 대개 기법을 근거로 착각했을 때입니다. 아래 세 문장을 문서에 적을 수 있는지 확인하면 지금 어디에 서 있는지가 드러납니다.
- 이 처리의 목적은 통계작성·과학적 연구·공익적 기록보존 중 무엇인가.
- 원래 상태로 복원할 추가 정보는 어디에, 누구의 권한 아래 분리해 두었는가.
- 이 가명정보의 처리 기간은 언제까지인가(제28조의4 제2항이 별도로 정할 수 있게 열어 둔 항목입니다).
세 문장 중 하나라도 비어 있으면 아직 가명정보 특례 위에 올라선 것이 아니라 그 근처에 서 있는 상태입니다. 그리고 세 문장을 다 적었더라도 잊지 말아야 할 것은 그 대가입니다. 이 데이터의 주인들은 이제 자기 데이터가 어디에 쓰이는지 물을 수 없고, 빼 달라고 할 수도 없습니다. 그 권리가 멈춘 채로 쓰는 데이터라는 사실이 처리자 쪽 의무의 무게를 정합니다.
"가명처리하면 되지 않나요"라는 질문에 짧게 답한다면, 가명처리는 답이 아니라 질문의 시작입니다. 목적을 먼저 정하고, 그 목적이 세 갈래 안에 들어올 때 비로소 가명처리가 의미를 갖습니다.
Recap
- 목적, 추가 정보의 분리 위치, 처리 기간 세 문장을 적을 수 있어야 특례 위에 서 있는 것입니다.
- 세 문장을 채웠더라도 정보주체의 권리가 멈춰 있다는 사실이 의무의 무게를 정합니다.
- 가명처리는 처리 근거가 아니라 목적이 정해진 뒤에 의미를 갖는 수단입니다.
References
- 개인정보 보호법: 제2조(정의)·제15조(개인정보의 수집·이용)·제28조의2부터 제28조의7까지. 국가법령정보센터
- 개인정보 보호법 제28조의2: 조문 전문. CaseNote
- 개인정보 보호법 제28조의7: 조문 전문. CaseNote
- 인공지능(AI) 개발·서비스를 위한 공개된 개인정보 처리 안내서: 2024년 7월. 개인정보보호위원회
