스윙 자세, 러닝 폼, 발음, 피부 상태를 분석하는 앱은 이용자가 직접 찍은 영상을 받아 결과를 돌려줍니다. 그 영상이 쌓이면 회사는 같은 영상으로 분석 모델을 더 학습시키고 싶어집니다. 약관에는 이용자가 올린 콘텐츠를 회사가 쓸 수 있다는 라이선스 조항이 있고, 처리방침에는 「서비스 개선」이 목적으로 적혀 있습니다. 이 두 줄로 되는지가 이 글의 질문입니다.

핵심 요약 얼굴이 찍힌 영상은 개인정보(제2조 제1호 가목)이지만, 특정 개인을 알아볼 목적으로 특징점을 뽑아 만든 정보가 아니면 생체인식정보(민감정보)는 아닙니다(시행령 제18조 제3호, 개인정보위 「생체정보 보호 안내서」 2024.12.). 그러나 「서비스 개선」이라는 목적 기재와 약관의 콘텐츠 라이선스 조항만으로 모델 학습에 쓰면 수집 목적 외 이용이 됩니다. 개인정보위는 2021년 4월 28일 이루다 사건에서 「신규 서비스 개발」 기재만으로는 이용자가 예상할 수 없다고 보아 제18조 제1항 위반으로 과징금과 시정명령을 부과했습니다. 삭제 요구를 받으면 학습용 저장소에서도 복구·재생이 불가능하게 지워야 하고(제36조 제3항), 그래서 서비스용과 학습용 저장소를 분리하고 학습 목적을 선택 동의로 따로 받는 설계가 필요합니다. AI 학습 특례(제28조의12)는 2027년 3월 9일 시행 전이라 아직 근거가 되지 않습니다.

얼굴이 나오는 영상은 생체정보라 별도 동의가 필요한가요?

시행령 제18조 제3호는 「개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보」를 민감정보로 정합니다. 개인정보위 「생체정보 보호 안내서」(2024. 12.)는 이를 둘로 나눕니다. 카메라로 들어온 얼굴 이미지 같은 원본정보와, 거기서 특징점을 추출해 만든 특징정보입니다. 민감정보는 특징정보이고, 그것도 특정 개인을 인증하거나 식별할 목적일 때입니다. 안내서는 연령·성별·감정을 추정하거나 얼굴 위치에 스티커를 얹는 처리를 「개인에 관한 특징을 알아보기 위한」 처리로 분류해 인증·식별과 구분합니다.

자세와 동작을 분석하는 영상은 이 구분에서 인증·식별 쪽이 아닙니다. 얼굴이 찍혀 있어도 그 사람이 누구인지 알아보려는 처리가 아니므로 일반 개인정보로 다루면 됩니다. 다만 안내서는 일반적인 얼굴 사진·동영상을 나중에 인증·식별 목적의 특징정보 생성에 쓰면 그때부터 생체인식정보가 되어 별도 동의와 보호 조치가 필요하다고 적습니다. 얼굴로 로그인하는 기능이나 여러 이용자 중 한 사람을 골라내는 기능을 붙이는 순간 판정이 바뀝니다.

「서비스 개선」 목적으로 모델 학습에 써도 되나요?

동의를 받은 개인정보는 제15조 제1항에 따라 수집 목적의 범위에서 이용할 수 있고, 그 범위를 넘으려면 제15조 제3항의 추가적 이용 요건을 갖춰야 합니다. 시행령 제14조의2는 당초 목적과의 관련성, 수집 정황에 비춘 예측 가능성, 이용자 이익의 부당한 침해 여부, 가명처리·암호화 같은 안전조치 네 가지를 고려하도록 합니다.

이 기준이 실제로 어떻게 적용됐는지는 이루다 사건이 보여 줍니다. 개인정보위는 2021년 4월 28일 의결(제2021-007-072호)에서, 스캐터랩이 「텍스트앳」·「연애의 과학」 이용자 약 60만 명의 카카오톡 대화문장 약 94억 건을 별도의 학습 DB에 저장하고 2020년 2월부터 12월까지 챗봇 「이루다」 모델 학습에 쓴 행위를 수집 목적 외 이용(제18조 제1항)으로 판단했습니다. 처리방침에 「신규 서비스 개발」이 적혀 있었지만, 위원회는 이용자 의사와의 합치, 예상 가능성, 예측할 수 없는 손해의 우려를 기준으로 삼아 그 기재만으로는 이용자가 서비스 성격·기반 플랫폼·이용 대상이 본질적으로 다른 챗봇 개발에 자기 대화가 쓰일 것을 예상할 수 없다고 보았습니다. 로그인하면 처리방침에 동의한 것으로 간주하는 방식도 문제 삼았고, 제15조 제3항의 추가적 이용도 관련성과 예측 가능성이 낮다는 이유로 인정하지 않았습니다. 이루다 모델 학습 과정에서 이름과 숫자를 치환하지 않은 채 학습시킨 사실도 확인됐습니다. 위원회는 여덟 가지 위반에 대해 과징금 5,550만 원과 과태료 4,780만 원을 부과하고, 회원 탈퇴자의 대화 정보 파기 방안을 위원회와 협의해 이행하라는 시정명령을 붙였습니다. 인공지능 개발사에 대한 첫 제재였습니다.

같은 사안의 민사 판결도 있습니다. 서울동부지방법원은 2025년 6월 12일 이용자 246명이 낸 손해배상 소송(2021가합104007)에서, 이루다는 연애 분석 앱과 성격·기반 플랫폼·이용 대상이 본질적으로 다른 서비스여서 「신규 서비스 개발」 기재만으로는 이용자가 자기 대화가 그 개발에 쓰일 것을 합리적으로 예상할 수 없었다고 보아 제18조 제1항 위반을 인정했습니다. 제15조 제3항의 추가적 이용 주장도 관련성과 예측 가능성이 낮다는 이유로 받아들이지 않았습니다. 법원은 위반이 증명된 원고들에게 일반 개인정보만 담긴 경우 10만 원, 민감정보가 담긴 경우 30만 원, 둘 다인 경우 40만 원의 위자료를 인정했고, 자기 대화가 실제로 쓰였다는 점을 증명하지 못한 153명의 청구는 기각했습니다. 1심 판결이고, 서울고등법원 2025나208690호로 항소심이 진행 중입니다.

같은 서비스의 분석 모델을 그 이용자의 영상으로 개선하는 것과, 다른 서비스나 범용 모델을 만들거나 제3자에게 넘기는 것은 예측 가능성에서 갈립니다. 후자는 제18조 제1항의 목적 외 이용이고, 전자도 「서비스 개선」 한 단어로는 부족합니다. 학습에 쓰려면 동의 화면의 목적 항목에 「분석 모델 학습」을 따로 적고, 제22조 제1항에 따라 다른 동의 사항과 구분해 선택 동의로 받아야 합니다. 제22조 제5항에 따라 이 동의를 거부해도 서비스 이용은 막을 수 없습니다.

약관의 콘텐츠 라이선스로는 안 되나요?

약관의 라이선스 조항은 저작권 문제를 정리합니다. 이용자가 찍은 영상의 저작물 이용을 회사에 허락하는 것이고, 그 영상에 담긴 개인정보를 처리할 법적 근거는 되지 않습니다. 제15조 제2항은 동의를 받을 때 목적, 항목, 보유·이용 기간, 거부권을 알리도록 정하고, 제22조 제1항은 각 동의 사항을 구분해 이용자가 명확히 인지하도록 요구합니다. 약관 전체에 한 번 동의하는 방식은 이 요건을 충족하지 못합니다. 라이선스 조항은 그대로 두되, 개인정보 동의는 별도 화면에서 받는 것이 맞습니다.

삭제 요구를 받으면 학습셋에서도 지워야 하나요?

제36조 제2항은 삭제 요구를 받으면 지체 없이 조사해 필요한 조치를 하도록 하고, 제3항은 삭제할 때 복구 또는 재생되지 않도록 조치하라고 정합니다. 제21조는 목적을 달성한 개인정보를 지체 없이 파기하도록 합니다. 삭제 요구가 들어온 영상에 플래그만 세워 두고 학습용 저장소에 그대로 두는 관행은 이 조문을 이행한 것이 아닙니다.

이미 학습이 끝난 모델의 가중치에서 특정 영상의 기여분을 걷어낼 수는 없습니다. 그래서 학습 단계에서 두 가지를 해 두어야 합니다. 첫째, 학습용 저장소를 서비스용과 분리하고 동의한 이용자의 영상만 옮깁니다. 둘째, 옮기기 전에 얼굴 흐림 처리와 메타데이터 제거로 비식별화합니다. 가명처리한 영상은 제28조의2에 따라 통계작성·과학적 연구 목적이면 동의 없이 처리할 수 있고, 제2조 제8호는 기술 개발과 실증을 과학적 연구에 포함하지만, 가명처리된 영상으로 목표 성능이 나오는지는 기술 판단이 먼저입니다. 이루다 결정문은 두 가지를 갈랐습니다. 회원번호만 일방향 암호화하고 대화문장은 손대지 않은 학습 DB는 가명처리 자체가 없어 가명정보가 아니고, 이름·주소·숫자를 걷어낸 응답 DB는 가명처리로 볼 여지가 있어도 그 문장을 이용자에게 그대로 발화하는 서비스 운영은 「연구」가 아니어서 제28조의2를 적용할 수 없다는 것입니다. 민사 판결도 같은 결론이었습니다. 2026년 9월 8일 공포된 AI 학습 특례(제28조의12부터 제28조의15까지)는 2027년 3월 9일 시행이라 지금은 근거가 되지 않으며, 시행 후에도 보호위원회 심의·의결이 필요합니다. 특례의 요건과 한계는 본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다에 정리해 두었습니다.

조사에서는 무엇을 보나요?

이루다 사건에서 위원회가 본 것은 동의 화면의 목적 기재와 동의 방식, 학습 데이터에 이름·연락처가 치환되지 않은 채 남아 있었는지, 탈퇴자 정보의 파기 이행이었습니다. 같은 질문이 영상 서비스에도 그대로 옵니다. 동의 화면에 「분석 모델 학습」 항목이 있었는지, 학습용 저장소에 동의하지 않은 이용자의 영상이 섞여 있는지, 삭제 요구 뒤 두 저장소에서 모두 지운 기록이 있는지입니다. 생성형 AI 서비스의 처리방침에 무엇을 적어야 하는지는 프롬프트 입력값은 어디까지 적나에, 투자·인수 실사에서 학습 데이터의 적법성을 묻는 순서는 대상회사의 데이터 자산, 실사에서 순서대로 묻는 세 질문에 있습니다.

자주 묻는 질문

Q. 얼굴이 찍힌 운동 영상은 민감정보라 별도 동의를 받아야 하나요?

자세·동작 분석에만 쓰는 영상은 일반 개인정보입니다. 시행령 제18조 제3호의 민감정보는 특정 개인을 알아볼 목적으로 기술적 수단을 통해 생성한 정보이고, 개인정보위 생체정보 보호 안내서(2024.12.)는 인증·식별 목적으로 특징점을 추출한 특징정보만 여기에 해당한다고 봅니다. 다만 같은 영상을 나중에 얼굴 인증·식별용 특징정보 생성에 쓰면 그때부터 생체인식정보가 되어 제23조의 별도 동의가 필요합니다.

Q. 처리방침에 「서비스 개선」이 있고 약관에 콘텐츠 라이선스 조항이 있으면 모델 학습에 써도 되나요?

안 됩니다. 저작권 이용허락은 개인정보 처리의 법적 근거가 아니고, 「서비스 개선」은 이용자가 자기 영상이 모델 학습에 쓰인다고 예상할 수 있는 기재가 아닙니다. 개인정보위는 이루다 사건에서 「신규 서비스 개발」 기재만으로는 예측이 어렵다며 수집 목적 외 이용(제18조 제1항)으로 판단했습니다. 학습 목적을 동의 항목으로 따로 두고 선택 동의를 받는 것이 안전한 설계입니다.

참고 자료