(가칭)아동·청소년 개인정보 보호법은 어떻게 됐나 — 입법이 멈춘 자리에 사전 실태점검이 왔습니다

핵심 요약. 2022년 7월 11일 개인정보보호위원회·교육부·보건복지부·여성가족부 등이 합동으로 발표한 「아동·청소년 개인정보 보호 기본계획」은 「(가칭)아동·청소년 개인정보 보호법」을 2024년에 제정하겠다고 밝혔습니다. 보호 범위를 만 14세 미만에서 18세 미만으로 확대하고, 14세 이상 18세 미만은 본인이 권리를 행사하게 하며, 아동용 처리방침 공개·맞춤형 광고 제한·잊힐권리 명문화를 담는 내용이었습니다. 2026년 8월 현재 그 법은 제정되지 않았고, 기준선은 여전히 개인정보 보호법 제22조의2의 만 14세 미만입니다. 그 사이 이 법이 정책 문서에서 차지하는 자리는 계속 줄었습니다. 대신 아동 정보를 실제로 들여다보기 시작한 것은 입법이 아니라 법 제63조의2의 사전 실태점검입니다. 2026년 5월 개인정보위·교육부 합동 에듀테크 점검의 항목에 「아동정보 수집 절차」가 들어 있고, 에듀테크는 고위험군으로 분류됐습니다.

“아동 개인정보는 곧 법이 새로 생긴다던데, 그때 맞춰서 정비하면 되지 않나요.”

아동 이용자가 섞여 있는 서비스를 자문하다 보면 이 질문을 받습니다. 근거가 없는 얘기는 아닙니다. 실제로 정부가 그런 계획을 발표했고, 목표 시점까지 못박아 두었습니다.

그 시점이 2024년이었습니다.

2022년 계획은 무엇을 담고 있었나

「아동·청소년 개인정보 보호 기본계획」은 2022년 7월 11일 정부서울청사에서 관계부처 합동 브리핑으로 발표됐습니다. 개인정보위 단독이 아니라 교육부·보건복지부·여성가족부가 함께 참여한 계획입니다.

계획 본문 9쪽의 「아동·청소년 권리 실질화를 위한 법·제도 정비계획」에 「(가칭)아동·청소년 개인정보 보호법」 제정(‘24년)이 첫 항목으로 올라 있고, 현행과 개선안을 표로 대조해 두었습니다.

같은 문서 17쪽의 추진일정표를 보면 이 항목들이 어떻게 관리되고 있었는지가 더 분명합니다. 기본 원칙 정립, 보호 대상 확대와 연령 확인 의무, 법정대리인 동의제도 개선, 알림제도 확대와 아동용 처리방침 의무화, 맞춤형 광고 제한이 전부 ‘24년이고, 조치사항은 법률 제·개정으로 잡혀 있습니다.

여기서 하나만 다르게 적혀 있습니다. 「디지털 잊힐 권리 도입」은 ‘23년부터이고, 조치사항이 법률 제·개정이 아니라 “예산 확보 필요“입니다.

이 차이가 뒤에서 결과를 갈랐습니다.

그 법은 지금 어디에 있나

없습니다. 국가법령정보센터에서 검색되는 현행 법률에 「아동·청소년 개인정보 보호법」은 존재하지 않습니다. 아동 개인정보의 기준선은 여전히 개인정보 보호법 제22조의2이고, 그 조문의 기준은 만 14세 미만입니다.

더 눈여겨볼 것은 이 법이 정책 문서에서 차지해 온 자리입니다. 개인정보위가 공개한 1차 문서를 시간순으로 놓으면 이렇게 됩니다.

개인정보 보호법 제67조는 개인정보위가 연차보고서를 작성해 국회에 제출하도록 정합니다. 2023년과 2024년 실적을 담은 두 권의 연차보고서를 확인했는데, 「아동·청소년 개인정보 보호법」이라는 이름은 두 권 어디에도 나오지 않습니다.

계획이 폐기됐다는 뜻은 아닙니다. 2026년 업무 추진계획은 여전히 법정대리인 동의 현실화와 맞춤형 광고 제한을 “논의 구체화” 대상으로 적고 있습니다. 다만 2022년에 ‘24년 입법으로 못박혔던 것이 4년 뒤에도 논의 단계에 있다는 사실은 그대로입니다.

유일하게 굴러간 항목은 법률 사항이 아니었습니다

2022년 계획의 항목 중 실제로 작동한 것이 하나 있습니다. 지우개 서비스입니다.

정식 명칭은 아동·청소년 디지털 잊힐권리 지원사업이고, 어릴 때 온라인에 올린 게시물을 스스로 지울 수 없을 때 개인정보위가 게시판 운영자에게 대신 삭제 등을 요청해 주는 사업입니다. 2023년 4월 24일 시행됐습니다.

규모가 작지 않습니다. 2025년 개인정보 보호 연차보고서에 따르면 2023년 11,487건을 신청받아 10,813건을 처리했고, 2024년에는 이월분을 포함해 15,975건을 처리했습니다. 2년간 신청 27,152건 중 26,788건 처리로 처리율은 98.7%입니다. 2024년에는 신청 연령을 25세 미만에서 30세 미만으로, 대상 게시물의 작성 시기를 18세 미만에서 19세 미만으로 넓혔습니다. 신청자는 고등학생이 41%, 중학생이 34%였습니다.

여기서 앞의 이야기와 연결됩니다. 2022년 계획에서 이 항목만 「법률제·개정」이 아니라 「예산 확보 필요」로 적혀 있었습니다. 법률 사항으로 분류된 항목은 전부 멈췄고, 예산 사업으로 분류된 항목만 굴러갔습니다.

그 결과 지금의 상태는 이렇습니다. 잊힐 권리를 명문화하겠다던 계획은 명문화 없이 사업으로만 운영되고 있고, 그런데도 2년에 2만 7천 건이 신청됐습니다. 수요는 실재하는데 근거 법률이 없습니다.

그러면 지금 무엇을 대비해야 하나

입법을 기다리는 대신 봐야 할 조문은 법 제63조의2입니다. 사전 실태점검입니다.

이 조문은 제63조 제1항 각 호에 해당하지 않는 경우, 즉 위반 혐의가 없는 경우에도 개인정보 침해사고 발생의 위험성이 높고 취약점을 사전에 점검할 필요성이 인정되는 개인정보처리자에 대해 보호실태를 점검할 수 있게 합니다.

점검 뒤의 절차가 실무에서 중요합니다.

위원회가 점검에서 위반을 발견하면 시정방안을 정해 권고하고, 권고를 받은 회사는 통보받은 날부터 10일 이내에 수락 여부를 위원회에 통지해야 합니다(제63조의2 제3항). 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 봅니다(제4항). 수락하지 않거나 이행하지 않으면 제63조 제2항의 검사로 넘어갑니다(제5항).

즉 사전 실태점검은 “권고니까 부담이 없다"가 아니라, 수락하는 순간 명령과 같은 효력이 생기고 거절하면 조사로 이어지는 구조입니다. 10일이라는 기한 안에 그 판단을 해야 합니다.

같은 제63조라도 제1항의 조사와는 출발점이 다릅니다. 조사는 위반 사항을 발견했거나 혐의를 알게 된 경우, 신고나 민원이 접수된 경우에 시작됩니다. 실제로 식음료 10개사 실태조사에서 아동 조문으로 9억 2,400만 원의 과징금이 나온 건이 그 경로였습니다.

에듀테크라면 이미 대상입니다

사전 실태점검이 아동 정보를 향하고 있다는 것은 추측이 아니라 공개된 사실입니다.

개인정보위와 교육부는 2026년 5월 18일 에듀테크 분야 합동 사전 실태점검을 예고했습니다. 대상은 에듀집(edzip.kr)에 등록된 서비스, 시도교육청 선정 디지털 도구, 학사관리 서비스 중 이용률이 높은 7개 에듀테크 서비스이고, 5월 말부터 실시한다고 밝혔습니다.

점검 항목이 공개돼 있습니다. 개인정보 수집·이용 시 동의, 목적 달성 후 파기, 아동정보 수집 절차, 그리고 안전조치 의무 준수(취약점 점검, 접근권한 관리, 관리자 계정 관리, 접근통제, 접속기록 보관·관리)입니다.

사흘 뒤인 5월 21일 발표된 「예방 중심 개인정보 관리체계 전환계획」은 이 방향을 제도로 못박았습니다. 개인정보 처리 규모·민감도·산업별 특성으로 고·중·저 위험군을 나누고, 고위험군은 점검 분야를 사전에 공개한 뒤 정기·수시 점검을 한다는 내용입니다. 2026년 고위험군에 플랫폼, 금융기관, 공공기관, 에듀테크, 요양병원이 들어갔습니다.

이 글을 쓰는 2026년 8월 1일 기준으로 에듀테크 점검 결과는 아직 발표되지 않았습니다.

지금 확인할 것

입법을 기준으로 일정을 잡지 않습니다. 18세 미만 확대와 맞춤형 광고 제한은 아직 의무가 아니고, 언제 의무가 될지도 정해지지 않았습니다. 반대로 사전 실태점검은 이미 돌아가고 있습니다. 설계 기준은 현행 제22조의2로 잡고, 일정 압박은 점검 쪽에서 온다고 보는 편이 실제에 가깝습니다. 현행 기준에서 무엇을 갖춰야 하는지는 연령 확인과 법정대리인 동의 설계에 정리했습니다.

고위험군에 속하는지 먼저 봅니다. 2026년 지정된 다섯 분야에 해당하면 점검 분야가 사전에 공개된 뒤 정기·수시로 점검받게 됩니다. 에듀테크는 이미 착수됐습니다.

시정권고를 받았을 때의 10일을 미리 정해 둡니다. 수락하면 시정조치 명령과 같아지고, 거절하면 검사로 이어집니다. 누가 판단하고 누가 통지할지를 사고가 아니라 점검 상황에 맞춰 정해 둔 회사는 많지 않습니다.

맞춤형 광고는 입법 전에도 판단이 필요합니다. 현행 가이드라인이 만 14세 미만임을 알고 있는 아동에게 맞춤형 광고를 제공하지 않도록 권장하고 있고, 2026년 업무 추진계획도 제한을 논의 대상으로 적었습니다. 광고·분석 SDK가 수집하는 행태정보는 이용자가 아동인지 가리지 않습니다.

지우개 서비스가 들어올 통로를 확인합니다. 근거 법률은 없지만 위원회가 게시판 운영자에게 삭제를 요청하는 구조이고, 2년에 2만 7천 건이 처리됐습니다. 이용자 게시물을 다루는 서비스라면 이 요청을 받는 창구와 처리 절차가 있어야 합니다.

자주 묻는 질문

Q. (가칭)아동·청소년 개인정보 보호법은 지금 시행되고 있나요?

제정되지 않았습니다. 국가법령정보센터에서 검색되는 현행 법률에 해당 법은 없고, 아동 개인정보의 기준선은 여전히 개인정보 보호법 제22조의2입니다. 즉 만 14세 미만이 기준이고 법정대리인의 동의를 받아 동의 여부를 확인하는 구조 그대로입니다. 2022년 7월 11일 관계부처 합동으로 발표된 「아동·청소년 개인정보 보호 기본계획」이 이 법의 제정 시점을 2024년으로 잡았으나 그 시점은 지났습니다.

Q. 보호 연령이 18세 미만으로 넓어진다고 들었는데 대비해야 하나요?

그 내용은 2022년 계획에 담긴 개선안입니다. 현행법에는 아직 반영되지 않았습니다. 계획은 보호 범위를 14세 미만에서 18세 미만으로 확대하고, 14세 이상 18세 미만은 본인이 권리를 행사하도록 하며, 아동용 처리방침 공개와 맞춤형 광고 제한, 잊힐권리 명문화를 담고 있었습니다. 다만 이 항목들은 모두 조치사항이 ‘법률 제·개정’으로 잡혀 있었고 아직 입법되지 않았으므로, 지금 시점의 의무는 아닙니다. 현재 확정된 기준으로 설계하되 이 방향은 알고 있는 편이 낫습니다.

Q. 그러면 아동 개인정보 쪽에서 지금 실제로 대비할 것은 무엇인가요?

사전 실태점검입니다. 개인정보 보호법 제63조의2는 위반 혐의가 없더라도 침해사고 발생 위험성이 높고 취약점을 미리 점검할 필요가 인정되는 개인정보처리자를 점검할 수 있게 합니다. 개인정보위와 교육부는 2026년 5월 18일 에듀테크 7개 서비스에 대한 합동 사전 실태점검을 예고하면서 점검 항목에 「아동정보 수집 절차」를 명시했고, 사흘 뒤 발표된 「예방 중심 개인정보 관리체계 전환계획」은 에듀테크를 고위험군으로 분류했습니다. 점검 결과 시정권고를 받으면 10일 이내에 수락 여부를 통지해야 하고, 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 봅니다(제63조의2 제3항·제4항).

마무리

새 법을 기다리며 정비를 미루는 판단이 흔합니다. 이 영역에서는 그 판단의 근거가 4년째 같은 자리에 있습니다.

그동안 규제는 계속 왔습니다. 형태가 달랐을 뿐입니다. 입법으로 올 것이라 예상한 자리에 점검이 왔고, 점검은 새 의무를 만들지 않고 이미 있는 제22조의2를 가지고 들어옵니다. 대비의 기준선이 미래가 아니라 현행법이어야 하는 이유가 여기 있습니다.

이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.

참고 자료

• 관계부처 합동 「아동·청소년 개인정보 보호 기본계획」(2022. 7. 11. 발표). 개인정보위 보도자료 첨부 원문 기준
• 「개인정보 보호 기본계획(2024~2026)」(2023. 6. 발표) 및 2024·2025 「개인정보 보호 연차보고서」(개인정보 보호법 제67조에 따른 국회 제출 문서)
• 개인정보보호위원회 보도자료 「개인정보위·교육부, 합동으로 에듀테크 개인정보 보호 실태점검」(2026. 5. 18.)
• 개인정보보호위원회 보도자료 「개인정보위, 올해 6월부터 위험 기반 실태점검 본격 실시」(2026. 5. 21.) 및 붙임 「예방 중심 개인정보 관리체계 전환계획」
• 개인정보 보호법 제22조의2, 제63조, 제63조의2, 제64조, 제67조 — 국가법령정보센터
• ⚠️ 법안이 국회에 발의된 이력이 있는지는 확인하지 못했습니다. 이 글이 확인한 것은 현행 법률로 제정되지 않았다는 사실과 정책 문서에서의 서술 변화까지입니다. 제정이 지연된 이유는 공개 문서로 확인되지 않아 다루지 않았습니다