통신3사, AI 특례 적용 위한 가명정보 사전협의 체계 마련 건의

핵심 요약

- 통신3사, 2027년 3월 시행 예정 개인정보보호법 AI 특례 적용 대비 사전 협의 체계 마련 건의 - 가명정보·공개정보·정당한 이익 등 AI 개발 시 적법 처리 근거 명확화 필요성 제기 - 개정법 제28조의2~7의 가명정보 활용 및 결합 규정이 AI 기술 개발의 핵심 법적 근거로 부상

주요 내용

2026년 10월 현재, 국내 주요 통신사업자들이 2027년 3월 시행을 앞둔 개인정보보호법 AI 특례 조항 적용을 위한 사전 협의 체계 마련을 정부에 건의하고 나섰다. 이는 AI 기술 개발 과정에서 개인정보 활용의 법적 불확실성을 해소하고, 실무적 가이드라인을 확보하기 위한 선제적 조치로 평가된다.

통신3사가 특히 주목하는 부분은 개인정보보호법 제28조의2부터 제28조의7까지 규정된 가명정보 처리 및 결합 관련 조항이다. AI 학습 데이터 구축 과정에서 가명처리된 정보의 활용 범위, 결합 전문기관을 통한 데이터 결합 절차, 그리고 특정 개인 식별 가능성 판단 기준 등이 실무상 핵심 쟁점으로 떠오르고 있다.

특히 '정당한 이익' 처리 근거(제15조제3항)와 가명정보 활용의 교차점에서 해석상 논란이 예상된다. 통신사들은 대규모 AI 모델 학습을 위해 통신 이용 패턴, 네트워크 품질 데이터 등을 가명처리하여 활용할 계획이나, 정보주체의 권리와 기업의 정당한 이익 간 균형점을 어떻게 설정할지가 관건이다.

공개정보의 활용 범위도 중요한 논의 대상이다. 인터넷상 공개된 정보를 AI 학습에 활용할 경우, 개인정보 수집 동의 없이 처리 가능한 범위와 가명처리 필요성 여부에 대한 명확한 기준이 요구되고 있다. 통신3사는 이러한 쟁점들에 대해 시행 전 충분한 협의를 통해 예측 가능한 규제 환경을 조성해 줄 것을 요청하고 있다.

전문가 시각

ISMS-P 인증심사 현장에서 가명정보 처리 체계는 가장 집중적으로 점검되는 영역 중 하나다. 특히 2027년 AI 특례 시행 이후에는 '가명처리 적정성 검토 절차', '재식별 가능성 평가 체계', '결합 시 안전성 확보조치'가 핵심 심사항목으로 강화될 것으로 예상된다. 기업들은 단순히 법적 요건 충족을 넘어, 가명정보 생명주기 전반에 걸친 관리 체계를 문서화하고 실제 운영 증적을 확보해야 한다.

통신3사의 건의는 실무적으로 매우 시의적절하다. AI 개발 프로젝트는 통상 6개월 이상 소요되므로, 2027년 3월 시행 3개월 전인 현 시점에서 법 해석 기준을 명확히 하지 않으면 사업 추진에 차질이 불가피하다. 특히 '정당한 이익' 처리 근거는 GDPR의 Legitimate Interest와 유사하나 국내 적용 사례가 부족해, 보호위원회의 구체적 판단 기준 제시가 절실하다. 기업들은 데이터 보호 영향평가(DPIA)를 통해 정보주체 권리 침해 최소화 방안을 사전 수립하는 것이 바람직하다.

CPPG·ISMS-P 연계 포인트

가명정보 결합 절차 (제28조의3~4): 서로 다른 개인정보처리자 간 가명정보 결합 시 결합 전문기관을 통해야 하며, 결합 전문기관은 결합 완료 후 즉시 결합 과정에서 생성·활용된 정보를 삭제해야 한다. 시험에서는 결합 신청→전문기관 반입→결합·적정성 평가→반출 승인의 4단계 절차와 각 단계별 안전조치 요구사항이 출제된다.

가명정보 안전조치 의무 (제28조의4): 가명정보를 처리하는 경우에도 원칙적으로 개인정보 안전조치 기준이 적용되나, 추가 정보의 분리 보관, 접근권한 분리, 재식별 시도 금지 등 특화된 안전조치가 요구된다. ISMS-P 심사에서는 가명처리 알고리즘의 적정성, 추가정보 접근통제 로그, 재식별 위험평가 기록이 필수 점검항목으로 확인된다.