이름을 자리표시자로 바꾸는 것은 좋은 첫 단계입니다. 하지만 GDPR에 따라 그것만으로 데이터가 익명화되는 것은 아닙니다. 이 글에서는 규정의 내용, 2025년 9월 유럽연합 사법재판소의 판결, 그리고 그에 따라 해야 할 일을 설명합니다.
간단히 답하면
일반적으로는 그렇습니다. GDPR에 따르면 가명처리된 개인정보가 추가 정보를 사용해 특정 개인에게 연결될 수 있다면, 이는 식별 가능한 개인에 관한 정보입니다. "Person_1"를 실제 이름에 연결하는 키를 보유하고 있다면, 바꿔 놓은 텍스트도 보유자의 입장에서는 여전히 개인정보이며 이를 처리하는 행위에는 GDPR이 적용됩니다.
더 정확한 답은 누가 데이터를 보유하고 있고 그 사람이 개인을 식별하기 위해 합리적으로 사용할 수 있는 수단이 무엇인지에 따라 달라진다는 것입니다. 2025년 법원 판결이 중요한 이유가 여기에 있습니다.
GDPR의 내용
제4조 제5항은 가명처리를 다음과 같이 정의합니다.
"개인정보가 추가 정보를 사용하지 않고는 더 이상 특정 정보주체에게 귀속될 수 없는 방식으로 처리되는 것. 단, 그러한 추가 정보는 별도로 보관되고 기술적·관리적 조치의 적용을 받아, 개인정보가 식별되었거나 식별 가능한 자연인에게 귀속되지 않도록 해야 한다."
Recital 26은 추가 정보를 사용해 자연인에게 연결될 수 있는 가명처리된 개인정보는 식별 가능한 자연인에 관한 정보로 보아야 한다고 규정합니다. 개인의 식별 가능성을 판단할 때는 관리자 또는 다른 사람이 합리적으로 사용할 가능성이 있는 모든 수단을 고려해야 합니다. 여기에는 필요한 비용과 시간, 사용 가능한 기술도 포함됩니다.
이 문구에서 실무적으로 두 가지 점을 알 수 있습니다. 키는 기술적·관리적 조치를 적용해 별도로 보관해야 합니다. 또한 "식별 가능" 여부는 이론적으로 식별할 수 있는지가 아니라 현실적으로 사용할 수 있는 수단을 기준으로 판단합니다.
2025년에 사법재판소가 덧붙인 내용
2025년 9월 4일, 유럽연합 사법재판소는 다음 사건을 판결했습니다. EDPS v SRB (사건번호 C-413/23 P). 은행 감독 기관이 작성자의 신원을 코드로 대체한 뒤 자문회사에 전달한 의견이 관련된 사건입니다. 이 사건에는 EU 기관에 적용되는 규정 2018/1725가 적용되었지만, 그 규정의 개인정보 및 가명처리 정의는 GDPR의 정의와 같습니다.
법원은 가명처리된 데이터를 "모든 경우에, 모든 사람에게" 개인정보로 간주해야 하는 것은 아니라고 판결했습니다. 특정 수신자에게 데이터가 개인정보인지 여부는 해당 수신자가 관련된 사람들을 재식별하기 위해 합리적으로 사용할 가능성이 있는 수단을 보유했는지 등 상황에 따라 달라집니다. 가명처리를 하고 추가 정보를 보유한 당사자는 코드를 누구와도 연결할 방법이 없는 수신자와는 다른 위치에 있습니다.
전문가들이 아직 해석을 검토하고 있는 법적 변화입니다. 이를 가명처리된 고객 데이터를 아무 데나 보내도 된다는 허가로 받아들이지 마세요. 이 판결은 수신자 입장에서 판단한다는 것이지, 판단 자체가 불필요해진다는 뜻이 아닙니다.
AI 챗봇에 적용하면 어떤 의미인가요?
- 귀하는 여전히 관리자입니다. 원본 데이터와 키의 관리자입니다. 문서 처리와 자리표시자 대체를 포함해 귀하가 문서를 다루는 방식에는 귀하 자신의 GDPR 의무가 적용됩니다.
- AI 제공업체가 개인정보를 받는지 여부 는 구체적인 사실에 따라 판단해야 합니다. 이름이 없어도 맥락을 통해 개인을 식별할 수 있습니다. 드문 직업, 작은 마을, 특이한 사건 등이 그 예입니다. 누군가가 현실적으로 텍스트가 누구에 관한 것인지 알아낼 수 있다면 개인정보로 취급하세요.
- 자리표시자를 사용하면 텍스트가 익명화된다는 생각을 근거로 규정 준수 방침을 세우지 마세요. 여전히 개인정보일 수 있다고 보고 계획을 세우고, 자리표시자는 여러 보호 조치 중 하나로 취급하세요.
가명처리는 여전히 할 가치가 있으며, GDPR도 이를 인정합니다. 제32조 제1항 (a)는 관리자가 사용할 수 있는 보안 조치 중 하나로 가명처리를 명시합니다. Recital 28과 78은 가명처리가 정보주체에 대한 위험을 줄이고 설계 및 기본 설정에 의한 데이터 보호를 뒷받침한다고 설명합니다. 규정은 가명처리를 규정의 적용을 벗어나는 방법이 아니라 보호 조치로 다룹니다.
실제로 해야 할 일
- 먼저 최소화하세요. 작업에 필요한 부분만 보내세요. 다음을 참고하세요. 의뢰인 문서에 AI 도구를 사용하는 방법.
- 모든 식별 정보를 대체하세요. 이름만 대체해서는 안 됩니다. 계좌번호, ID 번호, 생년월일도 식별 정보입니다. 다음 체크리스트 에 해당 항목이 나와 있습니다.
- 키는 본인 쪽에 보관하세요. 보내는 텍스트와 분리해 보관하고, 사안이 끝나면 삭제하세요.
- 제공업체의 약관과 사용 중인 요금제를 확인하세요. 데이터 처리 계약이 포함된 비즈니스 요금제를 사용하는 경우와 무료 개인 계정을 사용하는 경우는 상황이 다릅니다. 다음을 참고하세요. 데이터 설정에 관한 설명.
- 위험도가 높은 사례에는 전문가의 조언을 받으세요. 건강 정보, 아동 데이터, 특별 범주의 개인정보 또는 침해가 심각한 결과를 초래할 수 있는 모든 정보가 이에 해당합니다.
일상적인 대화에서는 용어를 느슨하게 사용하는 경우가 많습니다. 익명화, 가명처리, 마스킹 의 차이를 비교합니다.
자주 묻는 질문
가명처리된 데이터는 익명 데이터와 같은가요?
아니요. Recital 26에 따르면 데이터 보호 원칙은 식별 가능한 개인과 관련이 없는 정보, 또는 개인을 더 이상 식별할 수 없도록 익명화한 데이터에는 적용되지 않습니다. 다시 연결할 수 있는 가명처리 데이터는 별개의 범주입니다.
GDPR은 개인정보를 AI 도구에 사용하는 것을 금지하나요?
아니요. GDPR은 적법한 처리 근거, 최소화, 보안, 그리고 제공업체를 이용하는 경우 적절한 계약을 요구합니다. 자리표시자를 사용하면 최소화에 도움이 됩니다.
EU 밖에서도 적용되나요?
영국에는 자체 법률이 있으며, 많은 국가에도 유사한 규칙이 있습니다. EU 밖에서 사업을 하는 기업에도 EU에 거주하는 사람들에게 서비스를 제공한다면 GDPR이 적용될 수 있습니다.
ClientSafe 자리표시자와 실제 이름을 연결하는 표는 PC에 보관합니다. AI 도구에 복사하는 텍스트에는 자리표시자만 들어갑니다. 어떤 도구도 모든 정보를 찾아내지는 못하므로, 먼저 탐지 결과를 검토하세요.
일반 정보이며 법률 자문이 아닙니다. 본인 상황에 대해서는 자격을 갖춘 데이터 보호 전문가에게 문의하세요.