개인정보보호위원회(이하 "개인정보위") 조사를 받는 회사의 법무팀은 이름을 지운 자료나 회원번호만 남긴 데이터베이스(이하 "DB")를 놓고 식별할 수 없는 정보이므로 개인정보가 아니라고 다툴 수 있는지를 검토합니다.

핵심 요약 「피심인의 주장에 대한 검토」 절이 실린 개인정보위 결정문 72건(2026-11-02 수집분)에서 개인정보가 아니라는 주장은 판정된 6개 중 0개가 전부 또는 일부 받아들여졌습니다. 이 표본은 다툼이 있었던 사건으로 치우쳐 있어 수용률로 읽을 수 없고, 비식별 효과를 다툰 주장 외에 항목의 성격을 다툰 주장도 포함합니다. 따라서 이 주장을 검토하는 회사는 원본·키·결합 가능한 정보를 갖고 있거나 입수할 수 있는지부터 점검하는 것이 순서로 판단됩니다.

목차

개인정보가 아니라는 주장은 몇 개나 받아들여졌나요?

「피심인의 주장에 대한 검토」 절이 실린 개인정보위 결정문 72건(2026-11-02 수집분)에서 개인정보가 아니라는 주장은 판정된 6개 중 0개가 전부 또는 일부 받아들여졌습니다. 주장별 원문은 피심인 항변 표에 있습니다.

식별자를 지우거나 따로 두면 개인정보 해당 여부부터 다툴 수 있다는 믿음은 사실에 부합하나요?

비식별 처리나 암호화, 식별자 분리를 끝낸 회사는 개인정보 해당 여부부터 다툴 수 있다고 흔히 생각합니다. 그러나 위 집계에는 이 주장이 받아들여진 예가 없습니다. 회사는 자료 자체나 자료를 받는 사람을 기준으로 식별 가능성을 주장한 반면, 위원회는 자료를 처리하는 회사가 무엇을 갖고 있고 무엇과 결합할 수 있는지를 보았습니다. 이 분류에 든 결정의 쟁점별 판단은 아래와 같습니다.

  1. 비식별: 쿠팡풀필먼트서비스는 이름을 삭제한 근로자 체중 자료가 비식별 정보이고 자료를 받은 법원은 근로자를 알아볼 수 없다고 주장했습니다. 위원회는 처리하는 자를 기준으로 판단하여 원본 자료와 결합할 수 있다고 보았고, 표본이 80명이고 값이 소수점 단위이므로 받는 쪽에서도 값이 한 사람에게만 해당할 가능성이 있다고 보았습니다(제2026-011-077호, 2026년 6월 10일).
  2. 식별자 제거: 딥시크는 프롬프트 입력 정보에서 식별자와 개인정보를 제거한 뒤 쓰므로 개인정보 이용이 아니라고 주장했습니다. 위원회는 제거 후에도 보관 파일로 입력자를 알 수 있고, 학습 전에 사람이 검토하고 전처리하는 단계도 이용에 들어간다고 보았습니다(제2025-009-026호, 2025년 4월 23일).
  3. 구분 저장: 쿠팡은 회원번호와 기기식별자가 그 자체로 이용자를 식별하지 못하고 개인정보와 구분된 DB에 있다고 주장했습니다. 위원회는 쿠팡이 두 값을 직접 부여·관리하면서 결합해 저장한 DB의 정보를 식별 가능하다고 보았습니다. 쉽게 결합할 수 있는지는 처리하는 자의 다른 정보 입수 가능성과 결합 가능성으로 판단했습니다(제2026-011-076호, 2026년 6월 10일).
  4. 복원 불가: 한 피심인은 비식별 처리를 거친 익명정보이고 복원도 어렵다고 주장했습니다. 위원회는 생체인식정보의 경우 복원 여부 대신 개인의 유일성 표현과 인증·식별 목적을 기준으로 판단했습니다(제2024-016-234호, 2024년 9월 25일, 공개본 일부 가림).

한편 행정안전부 사건(제2026-010-066호, 2026년 5월 27일)은 같은 분류에 들어 있지만 성격이 다릅니다. 행정안전부는 주민등록증 발급 신청일자가 개인정보가 아니라는 점 등을 주장했고 위원회는 받아들이지 않았습니다. 이 주장은 항목 자체의 성격을 다툰 것으로, 비식별 처리의 효과를 다툰 사건과 구분됩니다.

그래서 무엇을 먼저 준비하나요?

이 주장을 검토하는 회사가 먼저 할 일은 문제된 자료의 원본, 식별자를 되돌릴 키, 결합할 수 있는 다른 정보를 회사가 갖고 있거나 입수할 수 있는지 점검하는 것으로 판단됩니다. 쿠팡풀필먼트서비스와 쿠팡 사건에서 위원회가 자료를 처리하는 회사의 보유 정보와 결합 가능성을 보았기 때문입니다. 다만 이 기준을 모든 사안의 일반 원칙으로 단정하기는 어렵고, 생체인식정보와 항목 성격을 다툰 사건에서는 다른 요소가 쟁점이었습니다. 나아가 회사는 표본이 작거나 값이 정밀해 받는 쪽에서도 한 사람으로 좁혀지는지를 확인할 필요가 있습니다.

이 주장을 쓰려는 회사는 보유 정보로 특정 개인을 알아보기 어렵고 다른 정보와 쉽게 결합하기도 어렵다는 점을 설명할 자료를 준비할 필요가 있어 보입니다. 그런 자료로는 원본과 키의 삭제·분리 기록, DB 구성, 접근 권한 자료가 있습니다. 이 목록은 위 결정들의 판단 기준에서 이 글이 추린 것입니다. 점검 결과 원본과 키가 없고 결합 경로도 없다면 위 결정들과 사실관계가 다를 수 있어 이 주장을 검토할 여지가 있습니다. 반대로 결합이 가능하다면 개인정보에 해당함을 전제로 나머지 쟁점을 준비하는 것이 순서로 보입니다. 다만 생체인식정보를 처리하는 회사는 복원의 어려움보다 유일성 표현과 인증·식별 목적을 먼저 따져야 합니다. 자료를 갖추었다고 특정 결론이 보장되는 것은 아니며, 사안에 따라 결론이 달라질 수 있습니다.

이 집계가 말하지 않는 것

집계 표본은 항변 절이 있는 결정문뿐이고 다툼이 있었던 사건으로 치우쳐 있으므로, 이 숫자를 수용률로 읽을 수는 없습니다. 주장 종류의 분류는 이현섭 변호사(법무법인 세움)가 나눈 것이고 결정문이 쓴 용어와 구분됩니다. 또한 이 글은 원본과 키가 없다는 사정이 어떻게 평가되는지를 일반화하지 않습니다. 위 판단은 개인정보위의 판단이고, 쿠팡은 과징금 취소소송과 집행정지를 신청한 것으로 보도됐습니다(한국경제, 2026년 10월 13일). 쿠팡 사건의 법원 판단은 2026년 11월 2일 기준으로 확인하지 못했습니다. 내부 식별번호라 개인정보가 아니라는 항변을 법원이 배척한 내용은 개인정보위 처분 불복 소송 표에 정리해 두었습니다.

자주 묻는 질문

Q. 「개인정보가 아니다」라는 주장은 개인정보위에서 받아들여졌나요?

「피심인의 주장에 대한 검토」 절이 실린 결정문 72건(2026-11-02 수집분)에서 개인정보가 아니라는 주장은 판정된 6개 중 0개가 전부 또는 일부 받아들여졌습니다. 이 표본은 다툼이 있었던 사건으로 치우쳐 있어 수용률로 읽을 수 없고, 비식별 효과를 다툰 주장 외에 항목의 성격을 다툰 주장도 포함합니다. 따라서 이 주장을 검토하는 회사는 원본·키·결합 가능한 정보를 갖고 있거나 입수할 수 있는지부터 점검하는 것이 순서로 판단됩니다.

Q. 회원번호를 개인정보와 다른 DB에 두면 개인정보가 아닌가요?

쿠팡 사건(제2026-011-076호)에서 개인정보위는 그렇게 보지 않았습니다. 회사가 회원번호와 기기식별자를 부여·관리하고 이를 결합해 저장한 DB의 정보는 식별 가능하다고 판단했습니다.

Q. 받아들여진 예가 없다면 이 주장은 꺼내지 않는 것이 좋은가요?

이 집계만으로 그렇게 판단할 수는 없습니다. 표본은 다툼이 있었던 사건으로 치우쳐 있어 수용률로 읽을 수 없습니다. 원본과 키가 실제로 없고 결합 경로도 없는 사안은 표본의 결정들과 사실관계가 다를 수 있어 검토할 여지가 있습니다.

이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.

참고 자료

  • 개인정보보호위원회 의결 제2026-011-077호(2026. 6. 10., 쿠팡풀필먼트서비스)
  • 개인정보보호위원회 의결 제2026-011-076호(2026. 6. 10., 쿠팡)
  • 개인정보보호위원회 의결 제2026-010-066호(2026. 5. 27., 행정안전부)
  • 개인정보보호위원회 의결 제2025-009-026호(2025. 4. 23., 딥시크)
  • 개인정보보호위원회 의결 제2024-016-234호(2024. 9. 25., 공개본 일부 가림)
  • 피심인 항변 표(2026-11-02 수집분)
  • 개인정보위 처분 불복 소송 표
  • 쿠팡 과징금 분납·취소소송 보도, 한국경제, 2026. 10. 13.