개인정보보호위원회의 개인정보 처리방침 작성지침 개정


법무법인 대륙아주 김정은 변호사¹
법무법인 대륙아주 나희수 변호사



1. 들어가며

개인정보보호위원회는 2026. 4. 24. 개정 개인정보 처리방침 작성지침을 발표하였습니다. 이번 작성지침에서의 주요 개정 내용은 ① 생성형 AI 서비스에 관한 별도 부록 신설, ② 개인정보 처리업무 수탁자∙개인정보를 제공받는 자 기재 시 조건부 유형화 허용, ③ 온디바이스(On-device) 처리에 관한 기준 명확화, ④ 개인정보 처리방침의 변경사항 안내 방식 이원화에 관한 사항으로 요약할 수 있습니다.

이하에서 개인정보 처리방침 작성지침의 주요 개정 내용을 살펴보겠습니다.



2. 주요 개정 내용

가. 생성형 AI 서비스에 관한 부록 신설

이번 개정을 통해 생성형 AI 서비스의 개인정보 처리방침에 관한 부록이 신설되었습니다. 부록은 생성형 AI 서비스의 특성을 고려하여 추가로 기재하여야 하거나, 기재를 권장하는 사항을 중심으로 실무적인 작성방법을 안내하고 있습니다.

부록에 따르면, 다음 사항을 고려하여 개인정보 처리방침에 개인정보의 처리 목적, 처리하는 개인정보 항목, 처리·보유 기간, 학습 활용에 관한 사항(학습 활용 사실이나 그 범위), 학습 활용 거부 절차에 관한 사항 등을 기재하는 것이 바람직합니다.

- 해당 AI 서비스의 의도된 용례(intended use)
- 정보주체가 입력한 정보(프롬프트) 및 생성된 결과물의 수집 여부
- 수집된 데이터의 해당 AI 모델·시스템 고도화 학습 활용 여부
- 정보주체가 입력한 정보(프롬프트) 및 생성된 결과물의 보유·이용기간
- 정보주체의 학습 거부권(Opt-out) 행사 방법 및 절차

부록은 생성형 AI 서비스 개인정보 처리방침의 구체적인 작성 예시를 안내하고 있으며, 각 항목별 기재사항은 다음과 같습니다.



한편, 개인정보처리자가 운영하는 서비스의 특성, 실제 처리 현황 등에 따라 작성 내용이 다를 수 있으므로, 각자의 상황에 맞게 개인정보 처리방침을 수립하여야 할 것입니다.


나. 개인정보 처리업무 수탁자∙개인정보를 제공받는 자 기재 시 조건부 유형화 허용

개정 개인정보 처리방침 작성지침은 대규모 플랫폼에서 개인정보 처리업무 수탁자 또는 개인정보를 제공받는 자의 명단이 빈번하게 변경되는 현실을 고려하여, 이들의 구체적인 명칭을 모두 나열하는 대신 유형화하여 기재하는 것(‘배차 기사’, ‘내가 가입한 휴대폰 판매점/대리점’ 등)도 허용하고 있습니다.

다만, 웹페이지 또는 모바일 앱의 서비스 메뉴, 마이페이지(주문내역, 예약내역 등) 등을 통해 정보주체가 수탁자 또는 개인정보를 제공받는 제3자를 확인할 수 있어야 하고, 해당 확인 경로를 함께 기재하여야 합니다.


다. 온디바이스(On-device) 처리 기준의 명확화

개정 개인정보 처리방침 작성지침은 온디바이스 처리를 두 가지 유형으로 구분합니다.

먼저, 온디바이스 처리 방식이라 하더라도 회원가입 등으로 개인정보가 서버에 수집·저장되는 경우에는 개인정보의 처리 목적, 수집 항목, 보유·이용기간, 법적 근거 등을 함께 기재하여야 합니다.

반면, 개인정보를 서버로 전송하지 않고 이용자의 단말기(스마트폰, PC, 차량, IoT 기기 등) 내부에서 직접 처리하는 경우에는 해당 개인정보가 외부 서버로 전송되지 않고 단말기 내에서 처리된다는 사실을 공개하는 것이 권장됩니다.


라. 개인정보 처리방침의 변경사항 안내 방식의 이원화

변경사항의 안내 방식도 정보주체의 권리에 미치는 영향의 경중에 따라 이원화되었습니다.

처리 항목, 처리 목적 변경 등 정보주체의 권리에 중대한 영향이 있는 사항은 개정 전 또는 즉시, 이전 내용과 변경 내용을 비교할 수 있는 대조표 등의 방식으로 별도 안내하여야 합니다.

반면, 수시로 변경되는 사항 중 정보주체의 권리에 미치는 영향이 경미한 항목(동일한 위탁업무를 수행하는 수탁자 또는 재수탁자 목록 등)에 대해서는 변경 주기 및 상황 등을 고려하여 합리적인 기간(예: 4주) 단위로 모아 안내할 수 있습니다.



3. 시사점

이번 개정 개인정보 처리방침 작성지침은 ‘정보주체의 권리 강화’와 ‘처리자의 작성 부담 경감’이라는 두 방향이 함께 반영된 것으로 판단됩니다.

먼저, 생성형 AI 서비스에 관한 부록을 통하여 이용자 입력 정보와 생성 결과물의 수집·저장 사실, AI 학습 활용 여부와 그 범위, 학습 거부(Opt-out) 절차, 이미 학습된 데이터에 대한 통제권 행사의 한계 등이 처리방침에 명시되도록 한 점, 변경사항 중 정보주체의 권리에 중대한 영향을 미치는 사항을 개정 전 또는 즉시 대조표 방식으로 안내하도록 한 점은 정보주체의 권리를 한층 강화한 것으로 볼 수 있습니다.

반면, 대규모 플랫폼 등에서 수탁자나 제공받는 자를 유형화하여 기재할 수 있도록 허용한 점, 동일 위탁업무를 수행하는 수탁자 변경 등 경미한 사항에 대해서는 합리적 기간 단위로 모아 안내할 수 있도록 한 점, 온디바이스 처리에 관한 작성기준을 명확히 정리한 점은 개인정보처리자의 개인정보 처리방침 작성에 관한 부담을 보다 경감한 것으로 평가됩니다.

다만, 개인정보처리자의 개인정보 처리방침 작성에 관한 부담을 완화한 부분에 있어서도 정보주체의 권리보장이 함께 이루어져야 한다는 점을 유의할 필요가 있습니다. 개인정보처리자는 수탁자를 유형화하여 기재하는 경우 정보주체가 앱의 마이페이지 화면 등을 통해 실제 수탁자를 알기 쉽게 확인할 수 있도록 하고 그 경로를 안내하여야 합니다. 또한, 개인정보처리자는 온디바이스 처리의 경우에도 개인정보가 서버로 전송되는지 여부를 살피고, 그러한 사실이 있다면 그에 관한 사항을 처리방침에 반드시 기재하여야 합니다.

따라서 개인정보처리자로서는 이번 개인정보 처리방침 작성지침의 개정에 따라 개인정보 처리방침을 재정비하면서, 서비스 UI 등 실제 운영 환경이 처리방침과 정합성을 갖추는지를 함께 점검할 필요가 있습니다.



 

1. 현재 법무법인(유한) 대륙아주의 파트너변호사로서, 주요 업무분야는 지적재산, 정보보안, TMT (Technology, Media & Telecom), 엔터테인먼트, 바이오/헬스케어 등입니다. 지적재산권, 영업비밀, 부정경쟁행위, 개인정보보호 관련 민·형사 소송 및 자문 등의 업무를 주로 담당하고 있으며, 개인정보보호위원회 개인정보보호 기본계획(2024-2026) 수립 연구반으로 활동하였습니다.