가명처리 없는 개인정보 원본활용 특례, 헌법상 기본권 침해 논란 | 개인정보보호법 개정 분석

핵심 요약

- 2026년 개인정보보호법 개정안이 국회를 통과하며 개인정보 원본활용 특례 조항 신설 - 얼굴, 음성, 부호 등 생체정보를 가명처리 없이 정보주체 동의 없이 활용 가능한 법적 근거 마련 - 참여연대는 헌법상 기본권을 침해하는 중대한 개인정보보호 후퇴라며 강력 규탄

주요 내용

2026년 8월 현재, 개인정보보호법 개정안이 국회를 통과하면서 개인정보 처리에 있어 중대한 변화가 발생했다. 참여연대는 "헌법상 기본권 침해하는 개인정보 원본활용 개인정보보호법 국회 통과 규탄한다"는 성명을 통해, 개정안이 얼굴, 음성, 부호 등을 가명처리조차 하지 않고 정보주체의 동의 없이 활용할 수 있는 특례를 신설했다고 지적했다.

이번 개정안의 핵심 쟁점은 '개인정보 원본활용 특례' 조항이다. 기존 개인정보보호법은 개인정보를 활용할 때 정보주체의 동의를 원칙으로 하거나, 가명처리를 통해 식별 가능성을 낮춘 후 통계작성, 과학적 연구 등 특정 목적으로만 활용을 허용해왔다. 그러나 개정안은 특정 산업 분야에서 원본 형태의 개인정보를 가명처리 없이 활용할 수 있는 예외를 인정한 것으로 보인다.

특히 얼굴, 음성과 같은 생체정보는 개인의 고유한 신체적 특징으로, 한 번 유출되면 변경이 불가능하고 평생 개인을 식별할 수 있는 민감한 정보다. 또한 '부호' 형태의 개인정보는 주민등록번호, 여권번호 등 법정 식별자를 포함할 수 있어, 이러한 정보의 원본활용은 개인정보 침해 위험을 극대화한다.

참여연대를 비롯한 시민사회단체들은 이번 개정이 헌법 제10조(인간의 존엄과 가치, 행복추구권)와 제17조(사생활의 비밀과 자유)에서 도출되는 개인정보자기결정권을 정면으로 침해한다고 주장하고 있다. 정보주체의 동의 없이, 그리고 최소한의 안전장치인 가명처리조차 없이 개인정보를 활용하는 것은 OECD 개인정보보호 8원칙 중 '목적명확화의 원칙', '이용제한의 원칙'에도 배치된다는 지적이다.

전문가 시각

ISMS-P 심사 현장에서 가장 빈번하게 지적되는 사항 중 하나가 바로 개인정보 처리 단계별 안전조치의 미흡함이다. 특히 가명정보 처리 시 추가 정보의 분리 보관, 접근 통제, 재식별 금지 등의 기술적·관리적 조치가 제대로 이행되지 않는 경우가 많다. 그런데 이번 개정안처럼 가명처리조차 생략한 채 원본정보를 활용한다면, 기업은 훨씬 더 강력한 안전조치 체계를 구축해야 하며, 자칫 대규모 개인정보 유출사고로 이어질 위험이 크다.

실무 관점에서 기업들은 이번 법 개정에 따라 내부 개인정보 처리방침, 위험도 분석 체계, 접근권한 관리, 암호화 정책 등을 전면 재검토해야 한다. 특히 생체정보나 고유식별정보를 원본 형태로 처리하는 경우 개인정보 영향평가(PIA) 대상이 될 가능성이 높으며, 정보주체 권리보장 절차(열람, 정정·삭제, 처리정지 요구 등)를 더욱 명확히 수립해야 한다. 법적 근거가 있다 하더라도 정보주체의 신뢰를 잃으면 기업 평판 손실과 집단소송 위험에 직면할 수 있음을 명심해야 한다.

ISMS-P 심사원 체크포인트

1. 2.2.2 개인정보 수집·이용·제공 관리
정보주체의 동의 없이 개인정보를 처리하는 경우, 법령상 근거(개인정보보호법 제15조 제1항 각 호)를 명확히 문서화하고 있는지 확인한다. 원본활용 특례 적용 시에도 처리 목적, 처리 항목, 보유 기간을 구체적으로 명시해야 하며, 목적 외 이용·제공이 발생하지 않도록 내부 통제체계를 수립했는지 점검한다. 개인정보 처리방침에 해당 내용이 투명하게 공개되어 있는지도 중요한 심사 항목이다.

2. 2.8.1 개인정보 암호화
생체정보, 고유식별정보 등 민감한 개인정보를 원본 형태로 보관·전송하는 경우, 개인정보보호법 시행령 제30조(개인정보의 안전성 확보조치 기준)에 따라 안전한 암호알고리즘으로 암호화되어 있는지 확인한다. 특히 가명처리를 하지 않는 경우 암호화는 필수적 안전조치이며, 키 관리 체계, 암호화 적용 범위(저장·전송), 암호화 강도 등이 적절한지 심사한다. ARIA, AES-256 등 안전한 알고리즘 사용 여부와 TLS 1.2 이상 전송 암호화 적용도 점검 대상이다.

3. 2.10.1 개인정보 영향평가
개인정보보호법 제33조 및 시행령 제35조에 따라, 고유식별정보나 민감정보를 100만 명 이상 처리하거나 원본 형태로 대규모 처리하는 시스템 구축·운영 시 개인정보 영향평가(PIA) 수행 의무가 있는지 판단한다. 원본활용 특례가 적용되더라도 영향평가 대상 여부는 별도로 검토되어야 하며, 평가 결과에 따른 위험 완화 조치가 실제로 이행되고 있는지 사후 점검한다.

CPPG·ISMS-P 연계 포인트

가명정보와 익명정보의 구분
가명정보는 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리된 정보로, 개인정보에 해당하며 통계작성, 연구 등 제한된 목적으로만 활용 가능하다(개인정보보호법 제2조 제1호의2). 반면 익명정보는 더 이상 개인을 식별할 수 없어 개인정보보호법 적용 대상이 아니다. 이번 원본활용 특례는 가명·익명 처리 없이 식별 가능한 상태 그대로 활용하는 것으로, 개인정보자기결정권 침해 논란의 핵심이다.

개인정보자기결정권과 법률유보원칙
헌법재판소는 개인정보자기결정권을 헌법 제10조와 제17조에 근거한 기본권으로 인정하고 있으며, 이를 제한하려면 법률유보원칙(헌법 제37조 제2항)에 따라 법률에 명확한 근거가 있어야 한다. 개인정보보호법 제15조는 동의 없는 개인정보 처리의 예외 사유를 열거하고 있으나, 이번처럼 원본활용을 허용하는 특례는 과잉금지원칙(목적의 정당성, 방법의 적정성, 피해의 최소성, 법익의 균형성) 충족 여부가 핵심 쟁점이 된다.