법이 말하는 개인정보

1. 법이 말하는 개인정보

1.1 생각보다 넓은 정의

개인정보보호법이 말하는 개인정보는 "살아 있는 개인에 관한 정보로서, 그 정보만으로 또는 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 정보"입니다. 여기서 실무자가 놓치기 쉬운 부분이 두 군데 있습니다.

첫째, 그 정보만으로 식별되지 않아도 개인정보일 수 있습니다. "다른 정보와 쉽게 결합하여" 알아볼 수 있으면 개인정보입니다. 예를 들어 "영업2팀의 2019년 입사자"라는 표현은 이름이 없지만, 사내 조직도와 결합하면 특정인이 바로 드러납니다. 이런 정보도 개인정보로 취급해야 합니다.

둘째, 고객만이 아니라 직원, 지원자, 협력사 담당자의 정보도 모두 개인정보입니다. 인사팀이 평가 자료를 AI에 넣어 요약하거나, 채용 담당자가 지원자의 이력서를 붙여넣는 것도 고객 정보 입력과 똑같은 문제입니다.

일상 업무에서 마주치는 개인정보의 예를 들어 보면 다음과 같습니다.

• 이름, 전화번호, 이메일, 주소, 생년월일
• 사번, 직원 평가 내용, 급여 정보
• 고객 ID와 구매 이력의 조합
• 상담 녹취록, CS 문의 메일 원문
• 얼굴이 나온 사진, 회의 참석자가 드러나는 회의록

1.2 개인정보, 가명정보, 익명정보

법은 식별 가능성의 정도에 따라 정보를 세 층으로 나눕니다. 이 구분이 중요한 이유는, AI에 입력해도 되는지에 대한 답이 층마다 다르기 때문입니다.

실무에서 가장 흔한 착각은 이름만 지우면 익명이라고 생각하는 것입니다. 이름을 "고객A"로 바꿔도 나머지 내용(주문번호, 날짜, 구체적 사연)으로 다시 알아볼 수 있다면 가명정보이지 익명정보가 아닙니다. 안전하게 쓸 수 있는 것은 개인 단위의 기록이 아니라 집계된 통계, 혹은 구조만 남긴 서식입니다. 구체적인 가공 방법은 다음 절에서 실습합니다.

1.3 더 무겁게 다뤄지는 정보

법은 일반 개인정보보다 한 단계 엄격하게 보호하는 정보를 따로 정하고 있습니다. 이 정보들은 유출 시 신고 요건도 다르기 때문에(4부에서 다룹니다) 별도로 기억해야 합니다.

민감정보: 사상·신념, 노동조합·정당 가입과 탈퇴, 정치적 견해, 건강, 성생활에 관한 정보, 그리고 유전정보, 범죄경력, 생체인식정보, 인종·민족에 관한 정보입니다. 병원·보험·헬스케어 업종이 아니어도 마주칩니다. 직원의 병가 사유, 산업재해 기록, 상담 중 고객이 언급한 질병 이야기가 모두 민감정보입니다.

고유식별정보: 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호입니다. 특히 주민등록번호는 법이 원칙적으로 처리 자체를 금지하는 정보입니다. 어떤 이유로든 AI 대화창에 주민등록번호가 들어가는 상황은 만들지 말아야 합니다.

민감정보나 고유식별정보가 섞인 문서는 단 한 사람 분량이라도 유출 시 신고 대상이 됩니다. "한 명쯤이야"가 통하지 않는 영역입니다.

1.4 개인정보가 아니어도 위험한 것

이 강의의 주제는 개인정보지만, AI 입력 사고의 상당수는 개인정보가 아닌 정보에서 터집니다. 판단 습관을 만들 때 함께 묶어서 기억하는 것이 좋습니다.

• 영업비밀·내부 전략: 미공개 실적, 신제품 계획, 가격 정책, M&A 검토 자료
• 소스코드·시스템 정보: 내부 시스템 구조, 서버 주소, 설정 파일. 삼성전자 사례가 바로 이 유형이었습니다
• 인증 정보: API 키, 비밀번호, 접속 토큰. 코드나 로그를 붙여넣을 때 딸려 들어가는 경우가 많습니다
• 계약서·법무 문서: 상대방과 비밀유지약정이 걸려 있는 경우, 입력 자체가 계약 위반이 될 수 있습니다

개인정보는 법이 지키라고 하는 정보이고, 영업비밀은 회사가 지켜야 사는 정보입니다. AI 입력 전 판단 기준을 세울 때는 둘을 한 바구니에 담아 "회사 밖으로 나가면 안 되는 정보"로 묶는 것이 실용적입니다.

1.5 회사가 서 있는 법적 위치

2부를 마치기 전에, 1부에서 언급한 회사의 법적 지위를 조금 더 정리해 두겠습니다. 유출 사고 대응(4부)을 이해하는 데 필요한 최소한의 골격입니다.

• 회사는 개인정보처리자로서 수집 목적 범위 안에서만 개인정보를 이용할 수 있고, 안전하게 관리할 의무(안전조치 의무)를 집니다.
• 개인정보 처리를 외부에 맡기는 것은 위탁, 해외로 보내는 것은 국외 이전으로, 각각 법이 정한 요건과 절차가 있습니다. 회사가 검토와 계약 없이 개별 직원의 판단으로 개인정보를 외부 AI 서비스에 흘려보내는 것은 이 절차를 모두 건너뛴 상태입니다.
• 개인정보보호위원회는 생성형 AI 환경에서의 개인정보 처리에 관한 안내서를 내놓으며 기준을 계속 구체화하고 있습니다. "아직 정해진 게 없어서 괜찮다"는 시기는 이미 지났습니다.

법 조문을 외울 필요는 없습니다. 기억할 것은 하나입니다. 개인정보를 AI에 입력하는 행위는 법의 눈으로 보면 개인의 편의가 아니라 회사의 개인정보 처리이고, 처리에는 근거와 절차가 필요합니다. 근거와 절차를 갖추는 일은 회사(3부)가 하고, 입력 전 판단(다음 절)은 여러분이 합니다.