온디바이스 AI로 가명결합 없이 개인정보 활용 가능...퍼스널에이아이 사례 분석

핵심 요약

- 온디바이스 AI 기술로 가명처리 없이 개인 단위 데이터 결합 분석 가능 - 개인정보보호법 제28조의2~7 가명정보 결합 절차 및 결합전문기관 요건 우회 - 2023년 기준 퍼스널에이아이 사례로 금융·의료 이력 통합 분석 실증

주요 내용

개인정보보호법 제28조의2부터 제28조의7까지는 가명정보의 처리와 결합에 관한 상세 규정을 담고 있다. 특히 제28조의3은 서로 다른 기관이 보유한 가명정보를 결합할 때 반드시 결합전문기관을 경유하도록 하고 있으며, 제28조의4는 한국신용정보원 등 법정 결합전문기관을 지정하고 있다. 이러한 규제는 데이터 활용의 안전성을 높이지만, 동시에 시간과 비용 부담을 가중시키는 요인으로 작용해왔다.

2023년 서울AI허브에서 공개된 퍼스널에이아이의 접근법은 이러한 규제 구조에 새로운 시사점을 제공한다. 온디바이스(On-Device) AI 기술을 활용하면 개인의 스마트폰이나 PC 내부에서 데이터 처리가 완결되므로, 외부로 개인정보가 전송되지 않는다. 이는 개인정보보호법상 '수집'에 해당하지 않을 가능성이 있으며, 따라서 가명처리 의무나 결합전문기관 경유 요건이 적용되지 않을 수 있다는 해석이 가능하다.

실제 사례에서 금융 이력과 의료 이력을 한 사람을 기준으로 연계 분석하는 것은 전통적으로 제28조의3에 따른 결합 절차를 거쳐야 했다. 그러나 온디바이스 환경에서는 사용자의 기기 내에서 직접 처리되므로, 법적으로 '결합'이 아닌 '개인의 자기정보 활용'으로 분류될 여지가 있다. 이는 2026년 현재까지도 법적 해석이 진행 중인 그레이존 영역이다.

다만 개인정보보호위원회는 2024년 유권해석에서 온디바이스 처리라도 초기 데이터 수집 단계에서는 여전히 동의 등 적법 근거가 필요하다는 입장을 밝힌 바 있다. 따라서 온디바이스 AI가 가명정보 결합 규제를 완전히 우회하는 것은 아니며, 초기 수집 단계의 법적 근거 확보가 선행되어야 한다는 점을 유념해야 한다.

전문가 시각

ISMS-P 인증심사 관점에서 온디바이스 AI 활용 기업은 2.3.3(개인정보 수집 시 동의사항) 및 2.4.1(개인정보 처리 현황 파악) 통제항목에 특히 주의해야 한다. 비록 기기 내부에서 처리되더라도 최초 데이터 수집 시 목적 명시와 동의 획득은 필수이며, 처리 현황을 정확히 문서화하지 않으면 인증심사에서 부적합 판정을 받을 수 있다. 특히 금융·의료 등 민감정보가 포함된 경우 2.5.4(민감정보 및 고유식별정보 보호) 항목의 강화된 안전조치가 요구된다.

향후 기업들은 온디바이스 AI를 활용한 개인정보 처리 시 ①초기 수집 단계의 명확한 법적 근거 확보 ②처리 프로세스의 투명한 공개 ③기술적 안전조치(암호화, 접근통제 등) 강화 ③개인정보 처리방침에 온디바이스 처리 방식 명시 등 4가지 핵심 요건을 충족해야 한다. 단순히 기술적 우회가 아닌, 법적 안정성을 갖춘 개인정보 거버넌스 체계 구축이 필요한 시점이다.

CPPG·ISMS-P 연계 포인트

가명정보 결합 절차 (개인정보보호법 제28조의3)
서로 다른 기관이 보유한 가명정보를 결합할 때는 결합전문기관을 경유해야 하며, 결합 키 관리와 반출 심사 절차를 거쳐야 한다. CPPG 시험에서는 결합전문기관의 역할과 결합 절차 3단계(의뢰→결합→반출심사)가 자주 출제된다.

ISMS-P 2.3.3 개인정보 수집 시 동의 획득
온디바이스 처리 방식이라도 최초 개인정보 수집 시에는 목적, 항목, 보유기간 등을 명시하고 적법한 동의를 받아야 한다. 심사 시 동의서 양식과 실제 수집 현황의 일치 여부가 중점 검토된다.