I. 「가명정보 처리 가이드라인 개정 주요내용(안)」의 공개 배경
가명정보 제도는 개인정보 보호와 데이터 활용 간의 균형을 도모하기 위해 도입되었으나, 실무 현장에서는 가명처리 및 검토 절차의 번거로움, 방대한 서류 작성 부담, 획일적이고 보수적인 처리 관행 등으로 인해 가명정보 제공과 활용이 활성화되지 못하고 있다는 지적이 지속적으로 제기되어 왔습니다. 아울러 최근 AI 연구·개발 분야에서도 가명정보 제도 활용에 대한 수요가 빠르게 증가하고 있으나, AI 기술의 특성(범용성, 지속적 학습, 대규모 비정형데이터 처리 등)과 현행 가명정보 제도 간의 간극으로 인해 실무상 혼선과 제약이 적지 않다는 문제가 제기되었습니다.
이에 현장의 실무 부담은 완화하되 개인정보 보호의 실질적 수준은 유지할 수 있도록, 개인정보 보호위원회는 2025년 9월 24일 관계부처 합동으로 발표한 "가명정보 제도 운영·혁신방안" 과제의 일환으로 「가명정보 처리 가이드라인 개정 주요내용(안)」을 공개하고, 2025년 12월 26일까지 이해관계자 의견을 수렴할 예정입니다. 아래에서는 「가명정보 처리 가이드라인 개정 주요내용(안)」의 핵심내용과 시사점에 대해 살펴보겠습니다.
II. 주요내용
「가명정보 처리 가이드라인 개정 주요내용(안)」은 (i) 가명처리 관련 서류를 통폐합·간소화, (ii) 표준화된 위험도 판단기준 마련, (iii) 위험도 기반 가명처리 절차·서류 차등화, (iv) AI 기술특성과 조화를 위한 운영지침 개선과 관련된 내용을 담았습니다.
1. 가명처리 관련 서류 통폐합·간소화
1) 별도 작성이 불필요하거나 대체 가능한 서류양식 폐지 (24종->10종)
(1) 유지: 가명정보 이용·제공 신청서, 비정형데이터 추가검수 결과서, 안전조치 이행확약서
(2) 통합: 가명정보 활용 계획서, 위험성 검토서, 가명처리 계획서, 가명처리 결과서, 적정성 검토 결과서, 적정성 평가위원 서약서, 가명(추가)정보 관리대장
(3) 폐지: 내부관리계획, 데이터 제공 계약서
위 (3)의 내부관리계획은 기존에 개인정보 보호법 제29조에 따라 수립되어 있으므로 별도 작성 없이 가명정보 관련 사항만 일부 추가하여 시행 가능
2) 서류 간 중복되는 항목을 통합 정비하고 작성 내용을 쉽고 간결하게 간소화
저위험, 중위험, 고위험으로 위험도를 분류하여 작성 서류의 범위를 단계적으로 차등 적용하였고, 가명처리 위험도가 낮은 경우 작성서류는 필요 최소한으로 생략 가능하도록 하였습니다.
3) 각 서류 양식별로 작성주체(제공기관, 이용자, 검토자)를 명확히 안내
각 서류 양식별로 누가 작성해야 하는 것인지 혼란이 없도록 하기 위하여 아래와 같이 작성 주체를 명확히 하였습니다.
(1) 제공기관: 위험성 검토서, 가명처리 계획서(이용자와 상호 협의), 가명처리 결과서, 비정형데이터 추가검수 결과서, 가명(추가)정보 관리대장(제공 관련 사항)
(2) 이용자: 가명정보 이용·제공 신청서, 가명정보 활용 계획서, 안전조치 이행확약서(제공기관의 요청에 따라 이용자가 작성), 가명(추가)정보 관리대장(활용·파기 관련 사항)
(3) 검토자: 적정성 검토 결과서, 적정성 평가위원 서약서
2. 표준화된 위험도 판단기준 마련
‘기본 위험도 판단’(1단계), ‘최종 위험도 조정’(2단계) 단계로 구성하여 명확하고 표준화된 위험도 기준을 정립함으로써 판단의 일관성·객관성을 강화하고, 실제 위험에 맞는 합리적 판단 기준을 마련하였습니다.
1) 기본 위험도 판단: 활용 주체(내부 활용/제3자 제공)와 처리 환경(통제 가능 여부)을 기준으로 판단
(1) 저위험: 동일 개인정보처리자의 직접 활용
(2) 중위험: 제3자 제공 + 제공 기관이 통제 가능한 환경
(3) 고위험: 제3자 제공 + 제공 기관이 통제 불가능한 환경
2) 최종 위험도 조정: 민감성이 높은 정보인지 여부 등 데이터 특성과 안전한 기관에서 처리되는지 여부 등 처리 맥락을 반영하여 필요에 따라 위험도를 상향·하향 조정
3. 위험도 기반 가명처리 절차·서류 차등화
위험도와 무관한 획일적·보수적 적정성 검토로 인한 비효율성을 개선하기 위해, 위험도에 따라 (i) 가명처리 적정성 검토 방법과 (ii) 작성 서류의 범위를 단계적으로 차등 적용하여 가명정보 활용 효율성을 제고하였습니다.
1) 저위험: 담당자 검토 + 가명정보 활용 계획서, 위험성 검토서, 가명(추가)정보 관리대장 등 필요 최소한의 서류만 작성 가능
2) 중위험: 내부 심의 + 적정성 평가위원 서약서, 안전조치 이행확약서, (비정형데이터 미포함시) 비정형데이터 추가검수 결과서 등 일부 서류 생략 가능
3) 고위험: 데이터 심의위원회 개최 + 모든 서류 작성·보관
4. AI 기술특성과 조화를 위한 운영지침 개선
1) 가명정보 처리 사전목적 설정기준 정비
가명정보 처리의 최초 목적 설정 시, 비슷한 특성을 공유하는 ‘확장 가능한 목적의 범위’를 사전에 설정할 수 있도록 하였습니다. 단, 이는 (i) 최초 목적과 직접적으로 연관된 추가 분석 목적 또는 (ii) 동일연구 과정에서 파생되는 유사 목적의 응용연구로 한정되고, 확장 목적은 최초 목적과 동일한 데이터셋을 활용하여야 합니다.
2) 가명정보 처리기간 설정기준 보완
(1) 처리기간 설정
AI 모델 개발·고도화 목적의 경우, 가명정보 처리 기간을 ‘AI 서비스 개발·운영 종료 시’까지 폭넓게 인정하였습니다.
(2) 기간 연장 절차
처리기간 연장은 일반적으로 “저위험”군으로 분류될 수 있으므로, 최초 설정 기간이 도래하더라도 별도 서류 작성 없이 담당자가 연장 사유와 변경 요소만 확인하는 방식으로 처리·보관 기간을 간단히 갱신·연장할 수 있는 절차를 마련하였습니다.
3) AI 학습시 특이정보 활용 가능성 제고
희귀병명, 교통사고 상황 등 데이터의 일반적인 패턴을 벗어난 값이나 예외적인 데이터에 해당하는 특이정보라 하더라도 목적상 필요한 경우 반드시 삭제해야 하는 항목은 아님을 명확히 하는 한편, 특이정보의 안전한 활용조건으로서 (i) 다른 식별 가능 항목의 가명처리 수준을 강화하는 등의 데이터 안전조치와 (ii) 개인정보 이노베이션존에서의 활용 등 환경적 안전조치를 제시하였습니다.
4) 비정형데이터 표본검수 방안 마련
어느 경우에나 비정형데이터에 대한 전수 검사(full review)를 수행하여야 하는 것은 아님을 전제로, 위험도를 기반으로 한 표본 검수 등 다양한 검수방식을 제시하였습니다.
III. 시사점
최근 가명정보 제도의 운영상 경직성을 완화하고, 현장에서 제기되어 온 법적 불확실성을 해소하기 위한 제도 개선이 단계적으로 추진되고 있습니다. 특히 2025년 11월부터 개인정보 보호위원회가 가명정보 처리 행위를 검토하여 위법성이 없다고 판단될 경우 행정조치 대상이 아님을 통지하는 ‘비조치의견서’ 제도가 시범 운영 중이고, 시범 운영 결과를 토대로 개선사항을 반영하여 향후 법령상 근거를 마련하는 방향으로 추진될 예정입니다.
아울러 「가명정보 처리 가이드라인 개정 주요내용(안)」에 따라 가명처리 가이드라인상의 절차가 합리적으로 간소화됨에 따라, 그간 가명정보 활용을 위축시켜 온 과도한 행정 부담과 책임 우려가 상당 부분 해소될 것으로 예상됩니다. 이에 따라 가명정보 제도가 본래의 도입 취지에 맞게 연구·개발 및 데이터 활용 전반에서 보다 적극적으로 활용될 수 있는 환경이 조성될 것으로 기대됩니다.
[영문 더보기]
저자: 강태욱 변호사, 이준호 변호사
