개인정보보호위원회의 가명정보 처리 가이드라인 개정


법무법인 대륙아주 김정은 변호사¹
법무법인 대륙아주 나희수 변호사



1. 들어가며

개인정보보호위원회는 급변하는 데이터 활용 환경 속에서 기업들이 가명정보를 보다 효과적으로 활용할 수 있도록 제도 및 운영지침을 정비할 필요성을 인식하고, 2025. 12. 「가명정보 처리 가이드라인」 개정 주요내용(안)을 발표하여 의견을 수렴한 바 있습니다. 이후 수렴된 의견을 반영하여 2026. 3. 31. 개정 「가명정보 처리 가이드라인」을 최종 발표하였습니다.

이하에서는 개정 가이드라인의 주요 특징을 설명드리겠습니다.



2. 개정 가이드라인의 주요 특징

가. 본권·별권 분리를 통한 독자 맞춤형 체계 구성

이번 개정에서 가장 눈에 띄는 변화 중 하나는 기존에는 단일한 문서였던 가이드라인을 대상 독자에 따라 본권(제도 안내편)과 별권(처리 실무편)으로 분리한 것입니다.

본권은 가명정보 개념과 법적 근거, 가명처리 절차의 개요, 비정형데이터 처리 기준, 자주 묻는 질문(FAQ) 등을 담아 일반 국민, 입문자 등을 주요 독자로 삼고 있습니다. 반면 별권은 결합 절차, 안전성 확보조치 이행 가이드, 가명처리 기술 및 기법, 표준 서식 10종, 운영문서 작성 가이드, 위험도 판단 예시, 가명정보 활용 참고 시나리오 등 실무 처리에 필요한 세부 사항을 모두 담아 실무자와 기관 담당자를 위한 실질적인 안내서로 기능할 수 있도록 구성하였습니다.

이러한 구성을 통해, 가명정보 처리에 관한 이해가 필요한 일반 국민과 실제 가명정보 처리 업무를 담당하는 실무자가 각자에게 필요한 정보를 보다 효율적으로 찾아볼 수 있게 될 것으로 기대됩니다.


나. 표준화된 위험도 판단기준 마련

이번 개정 가이드라인의 핵심은 가명정보 처리의 위험도를 저위험·중위험·고위험 3단계로 표준화한 것입니다. 즉, ‘누가 활용하는지’와 ‘어떤 환경에서 처리되는지’라는 두 가지 기준을 중심으로 다음과 같이 위험도를 판별하도록 하였습니다.

• 저위험: 동일한 개인정보처리자가 내부적으로 직접 활용하는 경우
• 중위험: 제3자에게 가명정보를 제공하되, 제공기관이 해당 제3자를 통제할 수 있는 경우
• 고위험: 제3자에게 가명정보를 제공하고, 제공기관이 해당 제3자를 통제하기 어려운 경우

한편, 개인정보처리자는 기본 위험도 판단 이후에도 데이터 자체의 민감도, 처리 목적과 맥락, 기관 내부 지침 등 개별 사례의 특수성을 감안하여 위험도를 상향 또는 하향 조정할 수 있습니다.

별권 제7장에는 저위험·중위험·고위험 사례별 판단 기준과 그 예시가 수록되어 있습니다. 가이드라인은 반복 제공, 유사 제공(연구자 추가·변경), 내부 부서 간 가명정보 제공·활용, 결합을 위한 결합전문기관 제공, ‘개인정보 이노베이션 존’² 제공은 저위험 사례로, 기관 내부 분석공간 제공은 중위험 사례로, 비정형데이터 처리로 인해 위험도를 상향 조정한 경우는 고위험 사례로 각각 제시하고 있습니다. 이로써 실무 담당자들이 구체적인 기준과 예시를 토대로 일관성 있게 위험도 분류를 하는 것이 가능해질 것으로 보입니다.


다. 서식 대폭 간소화 및 위험도 기반 절차 차등화

기존 24종에 달하던 서식이 이번 개정을 통해 10종[가명정보 이용·제공 신청서, 활용 계획서, 위험성 검토서, 가명처리 계획서, 가명처리 결과서, 비정형데이터 추가검수 결과서, 적정성 검토 결과서, 적정성 평가위원 서약서, 안전조치 이행 확약서, 가명(추가)정보 관리대장 등, 별권 제5장 수록]으로 대폭 축소되었습니다.

가명정보 처리 위험도에 따라서 차등화된 적정성 검토방식이 적용되고, 작성이 필요한 서류의 종류도 달라집니다.

저위험의 경우 담당자가 최소한의 서류만으로 처리할 수 있으며, 중위험은 2인 이상의 내부 심의를 통한 적정성 검토가 필요하되 일부 서식(평가위원 서약서, 안전조치 이행확약서)은 생략이 가능합니다. 고위험은 외부 전문가를 포함할 것이 권고되는 데이터 심의위원회를 통해 적정성 검토를 진행하여야 하며, 모든 서식을 원칙적으로 작성·보관하여야 합니다(다만 비정형데이터가 포함되지 않는 경우 비정형데이터 추가검수 결과서는 생략할 수 있습니다).


라. AI 개발 현장 반영

처리기간 유연화: 기존 개인정보 처리 기간과는 별개로, 가명정보를 활용하는 목적에 맞춰 별도의 처리 기간을 설정하는 것이 가능합니다.

활용 참고 시나리오 수록: 별권 제8장에는 실제 AI 개발 환경을 반영한 구체적인 활용 참고 시나리오가 포함되었습니다. 구체적으로, 유방암·구강질환·안면골 골절 진단 AI 개발, 자율주행 비정상 상황 인지 AI 개발, 고속도로 다인승전용차로 단속 AI 개발, 한국어 대화형 AI 챗봇 개발, 콜센터 실습용 가상 상담 시나리오 생성 AI 개발 등 다양한 활용 시나리오가 수록되어 있으므로, 개정 가이드라인은 현장에서 실무자들이 참고할 수 있는 운영 지침으로서의 기능을 할 수 있을 것으로 보입니다.

비정형데이터 처리 기준 정비: 본권 제3장에 비정형데이터 가명처리 기준이 마련되었고, 별권 제4장에는 정형·비정형데이터 가명처리 기술 및 기법 예시가 수록되었습니다. 개정 가이드라인은 전수 검수 방식에만 의존하던 기존 관행에서 벗어나, 비정형데이터 검수에 관하여는 표본 검수 방식도 가능하다고 안내하고 있습니다.



3. 시사점

가명정보 처리 관련 서식을 기존 서식(24종) 체계로 운영 중인 기업은 이번 개정 가이드라인에 맞추어 10종 표준 서식으로 재정비할 필요가 있습니다. 한편, 위험도별로 필수 서식과 생략 가능 서식을 사전에 정리하고, 이를 내부 절차로 문서화해 두는 것이 바람직합니다.

또한, AI 서비스 개발을 추진 중인 기업이라면 별권의 참고 시나리오를 포함하여 가이드라인이 제시하는 실무 예시를 기준점으로 삼아 자사 프로젝트의 가명정보 처리 계획이 가이드라인의 허용 범위 내에 있는지를 점검할 수 있을 것으로 보입니다.

관련 기업이 무엇보다 유의하여야 할 것은, 개정 가이드라인이 절차와 서식의 간소화를 통해 가명정보 처리의 진입 문턱을 낮춘 것은 분명하지만, 이것이 곧 가명정보 처리에 수반되는 법적 의무와 책임이 경감되었음을 의미하지는 않는다는 점입니다. 가명정보 처리 절차나 서식은 일부 간소화되었으나, 기업들은 여전히 가명정보 처리를 위하여 개별 가명정보 처리 사례에 대한 정확한 위험도 판단, 위험도 등급에 상응하는 적정성 검토 절차의 이행, 데이터 검수 방식 선택 시 그 사유와 잔존 위험 저감 조치, 가명정보 처리에 관한 기록 관리 등 조치를 철저히 이행하여야 합니다. 따라서 기업들은 간소화된 프로세스 안에서도 가명정보 처리 체계를 더욱 견고하게 갖추는 방향으로 대응하는 것이 바람직합니다.

 

1. 현재 법무법인(유한) 대륙아주의 파트너변호사로서, 주요 업무분야는 지적재산, 정보보안, TMT (Technology, Media & Telecom), 엔터테인먼트, 바이오/헬스케어 등입니다. 지적재산권, 영업비밀, 부정경쟁행위, 개인정보보호 관련 민·형사 소송 및 자문 등의 업무를 주로 담당하고 있으며, 개인정보보호위원회 개인정보보호 기본계획(2024-2026) 수립 연구반으로 활동하였습니다.
2. ‘개인정보 이노베이션 존’이란, 개인정보보호위원회가 직접 개인정보 처리에 대한 안전성을 검증하여 지정하고, 이용 신청 시 개인정보보호위원회가 구성한 ‘전문심의위원회’가 가명처리, 가명정보 이용적정성 등에 대한 심의를 실시하는 제도를 말합니다.