한국 개인정보 보호법의 목적을 다시 묻다: 가명정보에 대한 정보주체의 권리
제10회 아시아 개인정보보호 학자 네트워크(APSN) 기조연설
오픈넷 박경신 이사는 2026년 9월 25일 홍콩중문대학교에서 열린 제10회 아시아 개인정보보호 학자 네트워크(APSN)에서 다음과 같이 발표했다:
AI를 학습시키려면 이미 다른 목적으로 수집된 개인정보를 활용하거나 학습을 위해 새로운 개인정보를 수집해야 한다. 어느 쪽이든 방대한 양의 개인정보가 필요하다. AI 학습은 개인정보 처리에 해당하므로, 이를 정당화할 적법한 근거가 필요하다. 프랑스 정보자유국가위원회(CNIL) 등은 이러한 처리를 정당화할 수 있는 법적 근거를 제시해 왔다.
AI 학습은 데이터를 이용한 학습 과정이다. 개인정보처리자는 AI를 학습시키기 위해 1만 개의 데이터셋을 그대로 저장할 수도 있고, 이를 벡터 형태로 보유할 수도 있다. 적법한 근거에 따라 수집·이용한 데이터라면, AI를 활용하는지 여부와 관계없이 그 처리는 원칙적으로 당초 허용된 수집 목적의 합리적인 범위 안에 있어야 한다. 이 문제를 어떻게 다룰지는 개인정보 보호법의 목적을 사생활 보호로 볼 것인지, 정보 자기결정권의 보장으로 볼 것인지에 따라 달라질 수 있다.
한편 한국 개인정보 보호법은 개인정보 보호와 데이터 혁신 사이의 균형을 맞추기 위한 방안으로 가명정보 제도를 도입했다. 그러나 가명정보의 재식별 위험에 대한 우려가 커지자 입법자는 어떠한 경우에도 재식별을 허용하지 않는 절대적 금지 규정을 두었다. 그 결과 가명정보는 법적으로 익명정보와 사실상 구별하기 어려워졌다. 문제는 재식별 없이는 열람권·삭제권·정정권 등 정보주체의 권리를 보장하기 어렵다는 점이다. 재식별을 전면 금지하면서 가명정보에 대한 정보주체의 권리는 사실상 무력화됐다.
실제로 개인정보 보호 활동가들은 통신사들이 고객의 개인정보를 보험회사에 판매하는 것을 막으려 했지만, 법원에서 제동이 걸렸다. 통신사들이 재식별이 금지돼 있어 데이터베이스에서 활동가들의 개인정보를 찾아낼 수 없다고 주장했기 때문이다.
이에 활동가들은 대응 방식을 바꿔, 앞으로 이루어질 처리부터 중단해 달라고 요구했다. 아직 가명처리되지 않은 자신의 개인정보에 대한 처리를 중단해 달라는 것이었다. 처리정지권은 이미 가명처리된 정보를 재식별하지 않고도 행사할 수 있기 때문이다.
그러나 대법원은 가명처리는 개인정보 보호를 강화하는 조치이므로 처리정지권의 대상이 되는 개인정보 처리에 해당하지 않는다고 판단했다. 결국 활동가들은 자신의 개인정보가 가명처리되는 것을 막을 수도, 가명처리된 통신사 데이터가 이후 보험회사에 이용되는 것을 막을 수도 없었다. 개인정보가 일단 가명처리되면 ARS 목적으로 이용될 수 있고, 활동가들은 그 후속 처리에도 이의를 제기할 수 없게 된 것이다. 이 판결은 개인정보 보호 활동가들의 반발을 불러일으켰다.
모든 국가와 관할권에서 공통으로 제기할 수 있는 첫 번째 질문은 가명정보의 재식별을 금지해야 하는가이다. 가명처리는 보안 조치이므로 원칙적으로 당초 개인정보를 수집한 목적의 합리적인 범위에 포함된다고 보아야 한다. 그렇다면 가명처리를 되돌리는 것, 즉 재식별도 자유롭게 허용해야 할까? 아니면 한 번 가명처리한 정보는 되돌릴 수 없도록 엄격히 통제해야 할까? GDPR에서 말하는 ‘권한 없는 가명처리의 역전(unauthorized reversal of pseudonymization)’은 정확히 무엇을 뜻할까?
가명처리를 되돌리는 것이 원천적으로 불가능한 일이라면 한국의 제도에도 별다른 문제가 없을 것이다. 그러나 개인정보 보호법의 목적이 사생활 보호가 아니라 정보 자기결정권의 보장에 있다면, 정보주체의 권리를 이처럼 쉽게 희생시키는 것은 납득하기 어렵다.
정보 자기결정권의 관점에서 다시 정리한 두 번째 질문은 다음과 같다. 정보주체가 열람권이나 처리정지권 등 자신의 권리를 행사할 수 있도록, 적어도 그러한 권리 행사를 위한 목적이라면 가명정보의 재식별을 허용해야 하지 않을까?
GDPR 제11조
1. 개인정보처리자가 개인정보를 처리하는 목적상 정보주체를 식별할 필요가 없거나 더 이상 식별할 필요가 없는 경우, 개인정보처리자는 이 규정을 준수하기 위한 유일한 목적으로 정보주체를 식별하는 데 필요한 추가 정보를 보유하거나 취득하거나 처리할 의무가 없다.
2. 제1항에 해당하는 경우, 개인정보처리자가 정보주체를 식별할 수 없다는 사실을 입증할 수 있다면 가능한 한 정보주체에게 그 사실을 알려야 한다. 이 경우 정보주체가 해당 조항에 따른 권리를 행사하기 위해 자신을 식별할 수 있는 추가 정보를 제공하는 때를 제외하고는 제15조부터 제20조까지의 규정이 적용되지 않는다.
이 조항에 따르면 개인정보처리자가 정보주체를 식별할 수 없는 경우에는 정보주체의 권리 행사가 제한된다. 그러나 가명정보는 다르다. 정보주체가 자신을 식별할 수 있는 추가 정보를 제공하면 해당 권리를 다시 행사할 수 있다.
GDPR과 비교하면 한국 법은 정보주체가 자신의 신원을 확인할 수 있는 자료를 제출하더라도 재식별을 금지함으로써 정보주체의 권리를 지나치게 제한한다. 이는 정보 자기결정권보다 사생활 보호에 과도하게 무게를 둔 결과다. 실제로 한국 개인정보 보호법 제28조의7은 제28조의5의 재식별 금지 규정에 더해 가명정보에 대한 정보주체의 권리까지 법적으로 배제하고 있다.
그 결과 한국에서는 가명처리가 정보주체의 권리를 없애는 위험한 절차가 됐다. 정보주체로서는 자신의 권리를 지키기 위해 가명처리 자체를 중단시켜야 할 이유가 생긴다.
현재 시민사회는 정보주체의 권리를 배제하는 제28조의7이 제28조의5의 재식별 금지와 함께 공익을 위한 기록보존·과학적 또는 역사적 연구·통계 목적(ARS)의 가명처리에만 적용돼야 한다고 요구하고 있다. 정보주체의 권리를 전면적으로 제한하는 조치는 공익적 성격을 지닌 ARS 처리를 허용하는 대가로서만 정당화될 수 있다는 주장이다.
하지만 이렇게 적용 범위를 제한하면 또 다른 문제가 생긴다. 가명처리는 ARS 목적뿐 아니라 안전과 보안 등 다른 목적으로도 이루어질 수 있다. ARS 목적이 아닌 가명처리의 경우 개인정보처리자는 정보주체의 모든 권리를 보장해야 한다. 결국 사회적으로 유익한 ARS 처리에서는 사생활 보호에 더 큰 비중을 두는 대신 정보주체가 자신의 정보에 대한 통제권을 포기해야 하는 상황이 생긴다.
가명처리가 정보주체에게 오히려 불리하게 작용할 수 있다는 점은 세 번째 질문으로 이어진다. 가명처리가 사생활 보호를 강화하는 조치라 하더라도 정보주체에게 그 처리를 중단시킬 권리를 인정해야 할까?
가명처리는 원칙적으로 당초 수집 목적의 합리적인 범위에 포함되므로 최초의 처리 자체는 적법하다. 하지만 처리정지권은 최초의 처리가 동의 없이 적법하게 이루어졌더라도 정보주체가 그 처리를 중단시킬 수 있도록 하는 권리일 수 있다. 그렇다면 사생활 보호를 강화하는 처리를 하려는 경우에도 정보주체가 이를 중단시킬 수 있어야 할까? 처리정지권은 본질적으로 어떤 권리인가?
이 질문 역시 개인정보 보호법이 무엇을 목적으로 하는지에 관한 근본적인 문제를 제기한다. 개인정보 보호법의 궁극적인 목적이 사생활 보호라면, 사생활 보호에 도움이 되는 적법한 처리는 계속 허용하는 것이 타당할 수 있다. 반면 개인정보 보호법이 정보 자기결정권이라는 독자적인 목적을 추구한다면, 최초에 적법하게 이루어진 처리라 하더라도 사생활 보호를 강화하는 처리까지 중단시킬 수 있어야 한다.
이 문제를 더 살펴보려면 처리정지권의 적용 범위가 국가마다 다르다는 점에도 주목해야 한다. GDPR은 개인정보가 다음 세 가지 목적 가운데 하나로 처음 처리되는 경우에 처리정지권을 인정한다. (1) 공익을 위한 업무 수행, (2) 개인정보처리자의 정당한 이익, (3) 공익을 위한 기록보존·과학적 또는 역사적 연구·통계 목적(ARS)이다.
반면 한국 법은 다음 세 가지 경우에 처리정지권을 인정한다. (1) 개인정보처리자의 정당한 이익, (2) ARS 목적, (3) 정보주체의 동의에 따른 처리다.
GDPR에서는 정보주체의 동의에 따라 이루어진 처리에 대해 삭제권을 행사함으로써 처리정지와 같은 효과를 얻을 수 있다. 한국 법에서는 다른 법령에 따라 의무적으로 이루어지는 처리를 제외한 모든 처리에 대해 삭제권을 행사할 수 있다. 반면 GDPR은 더 이상 처리할 필요가 없어진 경우, 동의에 따른 처리 등 일정한 경우에 한해 삭제권을 인정한다.
이처럼 처리정지권의 적용 범위는 국가마다 다르다. 따라서 처리정지권이 정보주체에게 개인정보 처리 전반을 절대적으로 통제할 권리, 즉 정보 자기결정권을 보장한다고 보기는 어렵다.
네 번째 질문은 모든 국가와 관할권에서 공통으로 제기할 수 있는 ARS 처리의 성격에 관한 것이다. GDPR은 ARS 목적의 처리를 위해 가명처리를 반드시 거쳐야 한다고 규정하지 않는다. 반면 한국 법은 ARS 목적으로 이용되는 정보주체의 사생활을 보호한다는 취지에서 가명처리를 의무화했다.
그러나 장기간에 걸쳐 같은 대상을 추적하는 종단 연구처럼, 가명처리 때문에 ARS 처리, 특히 과학적 연구가 어려워지는 경우도 있다. 재식별을 절대적으로 금지하는 한국에서는 이 문제가 더욱 심각하다.
정부가 이 문제를 인식하고 법 개정에 착수한 것은 2026년에 이르러서다. 하지만 시민사회는 이미 비동의 ARS 처리의 전제조건으로 가명처리를 요구하는 입장을 굳힌 상태여서 이러한 법 개정에 반대하고 있다.
EU에서는 CNIL을 비롯한 개인정보 보호 감독기관들이 개인정보처리자의 정당한 이익을 적법한 처리 근거로 인정해, ARS 목적이 아닌 경우에도 가명처리하지 않은 데이터를 AI 학습에 이용할 수 있도록 허용해 왔다. 이 때문에 현재 시민사회의 입장은 역설적인 결과를 낳는다. ARS 처리는 반드시 가명처리를 거쳐야 하므로 오히려 더 어려워지는 반면, ARS 목적이 아닌 처리는 CNIL이 인정한 ‘정당한 이익’을 근거로 이론상 가명처리 없이도 이루어질 수 있기 때문이다.
이러한 모순은 사회적으로 바람직한 경우가 많은 ARS 처리를 가명처리와 연계한 데서 비롯됐을 수 있다. ARS 처리가 집단적 정보 자기결정권의 실현을 위한 것이라고 본다면, 우리는 사생활 보호를 우선시하는 과정에서 오히려 정보 자기결정권을 더 많이 포기하고 있는 셈이다.
가명정보의 재식별을 전면 금지한 것과 ARS 처리에 가명처리를 필수 조건으로 둔 것, 이 두 가지 조치는 모두 사생활 보호를 강화하는 방향으로 판단해 법적 확실성을 확보하려는 정책적 선택이었다. 그러나 이처럼 작은 제도적 조정은 다음과 같은 연쇄적인 부작용을 낳았다.
- 가명처리가 정보주체의 권리를 위협하는 절차가 됐다.
- 개인정보처리자는 ARS 목적이 아닌 가명처리의 경우에는 자유롭게 재식별할 수 있게 됐다.
- 모든 AI 학습에 가명처리된 데이터를 사용해야 하므로 ARS 처리가 오히려 더 어려워졌다.
개인정보 보호법은 인간의 자율성을 확대하기 위한 다른 법률이나 구제수단과 달리, 정의를 실현하는 데 필요한 개인정보의 수집과 생성을 제한한다는 점에서 독특하다. 예를 들어 인종차별 소송에서는 원고와 비슷한 처지에 있는 사람들에 대한 인종별 정보가 핵심적인 증거가 될 수 있다. 그런데 개인정보 보호법은 정의를 실현하는 데 필요한 바로 그 정보의 수집과 생성을 제한한다.
한국의 가명정보 제도를 둘러싼 혼란은 권리 구제와 사생활 보호가 충돌하는 특수한 사례다. 그리고 이는 개인정보 보호법의 목적이 무엇인지라는 근본적인 논쟁으로 다시 돌아가게 한다. 개인정보 보호법은 사생활을 보호하기 위한 법인가, 아니면 정보 자기결정권을 보장하기 위한 법인가?
AI 시대에 이 논쟁은 더욱 중요해진다. AI의 영향력이 막대해지는 가운데, AI가 사람들에게 공정하게 분배되도록 하는 것이 문명의 파괴라는 실존적 위협에 대응할 몇 안 되는 안전장치 중 하나로 여겨지고 있다. 이는 저커버그가 2026년 발표한 선언에서 제기한 우려와도 맞닿아 있다.
데이터 이동권은 정보주체의 정보 자기결정권을 강화해 데이터 과점 기업을 지탱하는 네트워크 효과를 줄이기 위해 도입됐다. 그러나 한편으로는 경제적·사회적 힘이 약한 사람들이 자신의 데이터를 헐값에 대기업에 넘기도록 부추겨, 결국 사생활이 심각하게 침해되는 상황에 놓이게 할 수 있다는 비판도 받는다.
완전한 오픈소스 AI 운동도 논의되고 있다. 하지만 이것이 또 다른 재앙의 문을 여는 것은 아닐까? 핵무기 기술을 공개한다고 해서 핵무기 확산을 막을 수 있었던 것은 아니다. 반면 핵무기를 보유한 여러 국가가 서로를 견제하고 균형을 이루면서 핵무기가 거의 사용되지 않도록 하는 데는 성공했다.
핵무기만큼이나 위험한 것으로 평가받는 AI는 어떨까? 상호 견제와 균형을 통해 AI의 파괴적인 사용을 막으려 한다면, 오픈소스 공개는 어느 수준까지 허용해야 할까? 이 과정에서 개인정보 보호법은 어떤 역할을 해야 할까?
0 Comments