동의가 요건인 자리와 면제되는 자리 — 가명처리는 정지시킬 수 없다는 판시

조사 대상

NOTE-0020 은 대법원 85도2208 이 동의를 증거능력 요건 안에 박아 두었다는 것을 확인했다 — '검사에 동의한 피검사자의 생리적 반응을 정확히 측정할 수 있는 장치이어야'. 같은 법체계의 다른 쪽에서는 동의가 명문으로 면제된다. 「개인정보 보호법」 제28조의2 제1항은 통계작성·과학적 연구·공익적 기록보존 등을 위한 가명정보 처리를 정보주체의 동의 없이 할 수 있게 하고, 2025년 대법원 판결이 정보주체가 그 가명처리를 정지시킬 수 있는지에 답했다. ADR-0002 폐기 조건 2 는 'B2G 수탁 구조가 확정되어 데이터가 기관 내부에 머무르는 경우 — 본 ADR 의 개정이 아니라 신규 ADR 로 다룬다'를 열어 두었고, 그 자리에 1차 자료가 있는지 확인한 적이 없었다. 개인정보 보호법 제28조의2·제28조의7·제37조·제58조를 DRF 로 받아 대조하고 대법원 2024다210554 판결 원문을 확인했다.

요약

대법원 2025. 7. 18. 선고 2024다210554 판결은 '가명처리'가 「개인정보 보호법」 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 '처리'에 해당하지 않는다고 판단했다(소극, 원심 파기환송). 근거는 제2조가 '가명처리'를 제2조 제2호의 '처리'와 별도로 정의한 것, 제3조 제7항이 가명처리를 익명처리에 준하는 보호조치로 분류한 것, 그리고 가명정보 조항의 입법취지다. 그 입법취지 문언에 '인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서 데이터의 이용을 활성화하기 위한'이 들어 있다 — 법원이 AI 데이터 이용 활성화를 해석 논거로 삼아 정보주체의 처리정지권 범위를 좁혔다는 뜻이다. 이 경로가 우리에게 열리지는 않는다. 우리는 개인정보처리자가 아니고 데이터를 받지 않기로 했으므로(ADR-0008), 가명정보 경로를 쓰려면 그 결정을 먼저 뒤집어야 한다. ADR-0002·ADR-0017 의 결론은 유지되고 유지할 이유가 하나 늘어난다. 남는 것은 대조다. 같은 법체계가 동의를 증거능력 요건으로 두는 자리와 연구 목적에서 면제하는 자리를 함께 갖고 있고, 우리 로그는 둘 중 어느 쪽에도 서 있지 않으면서 ADR-0030 결과 3 에서 '물어보았다면 동의했을 것이라는 사정은 이 위험을 없애지 못한다'고 적어 두었다. 법이 허용하는 범위와 우리가 하지 않기로 한 범위의 간격이 여기서 문언으로 드러난다. 이 조사로 결정을 바꾸지는 않았다.

앞선 판단이 잘못 짚은 자리

• 이 조사는 처음에 'ADR-0017 의 데이터 범위 조사가 가명정보 경로를 빠뜨렸는가'라는 질문으로 시작했다. 확인 결과 그 질문이 부정확했다.
• ADR-0017 이 검토한 대안은 셋이다 — 하급심 판결문 추가(A, 기각), 범죄 통계 등 공개 통계 추가(B, 기각), 같은 종류의 대법원 형사 판례 추가 수집(C, 보류). 그 기록의 범위는 ADR-0002 폐기 조건 3 이 예고한 '판결문 외에 적법하게 확보 가능한 공개 데이터'다.
• 가명정보는 공개 데이터가 아니다. 개인정보처리자가 보유한 개인정보를 가명처리한 것이고, 우리에게 오려면 제3자 제공이나 처리위탁이 필요하다. 따라서 ADR-0017 의 범위 밖이며 누락이 아니다.
• 그 경로를 지키는 것은 ADR-0002 폐기 조건 2 다 — 'B2G 수탁 구조가 확정되어 데이터가 기관 내부에 머무르는 경우 — 본 ADR 의 개정이 아니라 신규 ADR 로 다룬다'. 이 노트는 그 자리에 놓이는 자료다.

조문이 정한 것

• 「개인정보 보호법」 제28조의2(가명정보의 처리 등) 제1항 — '개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.' 제2항은 제3자 제공 시 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함하지 못하게 한다.
• 제28조의7(적용범위) — '제28조의2 또는 제28조의3 에 따라 처리된 가명정보는 제20조, 제20조의2, 제27조, 제34조제1항, 제35조, 제35조의2, 제36조 및 제37조를 적용하지 아니한다.' 처리정지권(제37조)이 이미 배제 목록에 들어 있다.
• 제58조(적용의 일부 제외) 제1항의 각 호는 2호(국가안전보장과 관련된 정보 분석을 목적으로 수집 또는 제공 요청되는 개인정보)와 4호(언론·종교단체·정당의 고유 목적)뿐이고 1호·3호는 삭제되었다. 형사절차에서 수집된 개인정보는 이 목록에 없다. 즉 수사·재판 자료에도 이 법이 적용된다.
• 인용한 조문은 모두 현행본(법령일련번호 270351, 시행 2025-10-02)이다.

판결이 답한 것 — 그리고 인용하지 않은 조항

• 대법원 2025. 7. 18. 선고 2024다210554 판결(처리정지). 판시사항은 '개인정보 보호법 제2조 제1호의2 에서 정한 "가명처리"가 같은 법 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 개인정보 "처리"에 해당하는지 여부(소극)'다. 원심을 파기환송했다.
• 사안은 이렇다. 이동통신 서비스 이용자들이 사업자에게 '향후 자신의 개인정보를 과학적 연구·통계·공익적 기록보존 목적으로 가명처리하는 것에 대한 처리정지를 요구'했고 거절당하자 소를 제기했다. 원심은 그 가명처리가 제37조 제1항의 처리정지 요구 대상에 포함된다고 보았고, 대법원이 뒤집었다.
• 판결의 근거는 셋이다. 제2조가 '가명처리'(제1호의2)를 제2조 제2호의 '처리'와 별도로 정의한 것, 제3조 제7항이 가명처리를 '익명처리에 준하는 개인정보 보호조치로 분류한 것으로 볼 수 있다'는 것, 그리고 가명정보 조항의 입법취지다.
• 확인해 둘 것이 하나 있다. 제28조의7 이 이미 '처리된 가명정보'에 제37조를 배제하고 있는데, 이 판결의 판결요지와 판례내용 어디에도 제28조의7 은 나오지 않는다. 법원이 그 조항을 논거로 쓰지 않았다는 사실만 적는다. 왜 쓰지 않았는지, 그 조항이 이 국면(가명정보가 되기 전의 가명처리 행위)을 덮지 못한다고 본 것인지는 판결문에서 확인되지 않으며 이 노트가 추측하지 않는다.

입법취지에 적힌 인공지능

• 판결요지 말미의 문언은 이렇다 — '이러한 사정에다가 데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서 데이터의 이용을 활성화하기 위한 가명정보조항의 입법취지를 고려하면, "가명처리"는 개인정보 보호법 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 개인정보 "처리"에 해당하지 않는다고 보아야 한다.'
• 법원이 AI 를 포함한 데이터 이용 활성화를 해석 논거의 하나로 들어 정보주체의 처리정지권 범위를 좁혔다. 이 로그가 AI 산출물에 관한 국내 판시를 기다려 온 것과는 다른 종류의 접점이다 — AI 가 판단 대상이 아니라 해석의 배경 사정으로 등장한다.
• 이 문언을 확대해 읽지 않는다. 이 판결이 AI 개발을 위한 데이터 이용을 일반적으로 승인한 것은 아니고, 판단 대상은 가명처리가 제37조의 '처리'인지 하나다.

우리에게 열리는 경로인가

• 아니다. 제28조의2 는 '개인정보처리자'가 가명정보를 처리할 수 있게 하는 조항이고, 우리는 그 지위에 있지 않다. ADR-0008 은 데이터를 받지 않고 엔진을 보내는 구조를 채택했고 결정 5 는 수탁자 지위를 요구받는 경우 「개인정보 보호법」 제26조 요건을 갖추기 전에는 공급하지 않는다고 정했다.
• 따라서 이 경로를 쓰려면 순서가 있다. 먼저 ADR-0008 의 공급 형태를 바꾸어 데이터를 받는 구성으로 가고, 그 다음에 ADR-0002 폐기 조건 2 가 예고한 신규 ADR 을 써야 한다. 판결 하나가 그 순서를 건너뛰게 하지 않는다.
• ADR-0002 와 ADR-0017 의 결론은 유지된다. 그리고 유지할 이유가 하나 늘어난다 — 가명정보 경로가 법적으로 안정되었다는 사정은 그 데이터를 보유하는 쪽의 사정이고, 우리는 보유하지 않기로 한 쪽이다.

동의의 두 자리

• NOTE-0020 이 확인한 것과 나란히 놓으면 구조가 보인다. 대법원 85도2208 은 기계 판정의 증거능력 요건 안에 동의를 박아 두었다 — '거짓말 탐지기가 검사에 동의한 피검사자의 생리적 반응을 정확히 측정할 수 있는 장치이어야 하고'. 여기서 동의는 그 결과를 증거로 쓸 수 있게 하는 조건이다.
• 「개인정보 보호법」 제28조의2 제1항은 반대 방향이다. 통계작성·과학적 연구·공익적 기록보존이라는 목적이 붙으면 동의가 면제된다. 그리고 2024다210554 가 그 면제를 사전에 다툴 길을 닫았다 — 정보주체는 자기 정보가 그 목적으로 가명처리되는 것을 정지시킬 수 없다.
• 같은 법체계가 동의를 요건으로 두는 자리와 면제하는 자리를 함께 갖고 있고, 무엇이 갈랐는지는 목적이다. 사람에 대한 검사 결과를 증거로 쓰는 국면에서는 동의가 요건이 되고, 연구·통계 목적으로 식별 위험을 낮춘 형태로 데이터를 쓰는 국면에서는 면제된다.
• 우리 로그는 둘 중 어느 자리에도 서 있지 않다. 사람을 검사하지 않으므로 동의의 상대방이 성립하지 않고(ADR-0020 결정 2 의 사건 단위), 데이터를 보유하지 않으므로 면제가 필요하지 않다(ADR-0008).

우리 결정과 대조하면

• ADR-0030 결과 3 은 이렇게 적었다 — '분석 대상이 된 사람이 그 사실을 알지 못하는 상태를 별도의 위험으로 표시한다. 물어보았다면 동의했을 것이라는 사정은 이 위험을 없애지 못한다.'
• 이 판결은 그 반대편에 있다. 정보주체가 알든 모르든, 물어보지 않아도 되고, 물어보지 말라고 요구할 수도 없다는 것이 연구 목적 가명처리의 현재 상태다. 법이 허용하는 범위와 우리가 하지 않기로 한 범위 사이에 간격이 있고, 이 판결이 그 간격을 문언으로 드러낸다.
• 그 간격 자체는 문제가 아니다. 이 로그는 처음부터 법이 금지하지 않는 것 여럿을 하지 않기로 해 왔다(ADR-0001 비목표, ADR-0017, ADR-0020 결정 6). 다만 그 간격이 어디에 있는지 적어 두는 편이, 나중에 '법적으로 문제없다'는 이유로 선이 밀릴 때 무엇이 밀린 것인지 알 수 있게 한다.
• ADR-0005 와도 닿는다. 그 기록은 감정 자료의 보존을 다루면서 「개인정보 보호법」 제23조 제1항의 민감정보 처리 제한을 근거로 보존 문턱이 높다고 적었다. 가명처리는 그 문턱을 낮추는 방향의 장치이고, 우리가 그것을 쓰지 않는 이유는 문턱이 낮아지지 않아서가 아니라 데이터를 받지 않기 때문이다.

한계

• 이 조사의 출발 질문이 틀렸다. 'ADR-0017 이 가명정보 경로를 빠뜨렸는가'로 시작했으나, 그 기록의 범위는 '공개 데이터'였고 가명정보는 공개 데이터가 아니다. 누락이 아니라 범위 밖이며, 이 정정을 첫 절에 남겼다.
• 제28조의7 과 이 판결의 관계는 확인되지 않았다. 그 조항이 '처리된 가명정보'에 제37조를 배제하는데도 판결요지·판례내용 어디에도 나오지 않는다는 사실만 확인했다. 그 조항이 가명처리 행위 자체를 덮지 못한다는 해석은 이 노트가 하지 않으며, 법원이 그 조항을 어떻게 보았는지는 알 수 없다.
• 사안에 적용된 법은 구법이다. 판결이 인용한 것은 2020. 2. 4. 법률 제16930호로 개정되기 전의 구법과 2023. 3. 14. 법률 제19234호로 개정되기 전의 구법이고, 이 노트가 조문으로 인용한 것은 현행본(시행 2025-10-02)이다. 두 판본의 문언이 이 쟁점에서 같은지 조문 단위로 대조하지 않았다.
• 파기환송 판결이다. 환송 후 절차의 결론을 추적하지 않았고, 이 노트가 인용하는 것은 대법원이 제시한 법리에 한한다.
• 민사 사건이다. 이동통신 서비스 이용계약에서 수집된 개인정보가 대상이며, 형사절차에서 수집된 자료에 같은 법리가 그대로 적용되는지는 이 판결이 답하지 않는다. 제58조 제1항의 적용제외 목록에 형사절차가 없다는 것은 조문으로 확인했으나, 그 사실이 이 판결의 사정거리를 정하지는 않는다.
• '우리는 개인정보처리자가 아니다'는 현재 공급 구조를 전제한 서술이다. ADR-0008 의 온프레미스 기본형이 바뀌면 이 전제도 바뀐다.
• 동의의 두 자리를 대조한 것은 우리 읽기다. 형사증거법의 동의와 개인정보 법제의 동의는 제도 목적과 법적 성질이 다르고, 두 문서가 같은 축 위에 있다는 판단은 이 노트가 내린 것이다.
• 입법취지 문언에 '인공지능'이 들어 있다는 사실을 적었으나, 이 판결이 AI 개발용 데이터 이용을 일반적으로 승인한 것은 아니다. 판단 대상은 가명처리가 제37조의 '처리'인지 하나다.

출처와 검증 등급

• 대법원 2025. 7. 18. 선고 2024다210554 판결 (처리정지)원문대조대법원 — 국가법령정보센터 판례 원문(판례일련번호 607791) — 2026-08-16 DRF lawService(target=prec, ID 607791)로 판시사항·판결요지·참조조문·판례내용을 직접 받아 대조했다. 인용 범위는 판시사항 전문, 판결요지 전문, 그리고 판례내용 중 사안의 개요다. 제28조의7 이 판결요지·판례내용에 등장하지 않는다는 것은 그 전문에 대한 문자열 확인 결과다.
• 「개인정보 보호법」 제28조의2, 제28조의7, 제37조, 제58조원문대조법제처 국가법령정보센터 — DRF lawService(target=law, 법령일련번호 270351, 시행 2025-10-02) — 2026-08-16 DRF 로 본문을 직접 받아 조문 단위로 대조했다. 조회 시 조문가지번호가 빈 것과 조문내용이 '제N조'로 시작하는 것만 본조로 걸러 장·절 헤더와 가지조문의 혼입을 배제했다. 인용 범위는 제28조의2 제1항·제2항, 제28조의7 전문, 제37조 제1항, 제58조 제1항 각 호다.

이어진 설계 결정

ADR-0002 · ADR-0017 · ADR-0008 · ADR-0030 · ADR-0005 · ADR-0001 · ADR-0020 · ADR-0016 · NOTE-0020

작성 주체

이 노트는 사람이 지시하고 LLM(Claude)이 작성한 조사 요약이다. 설계 결정이 아니며 설계로그의 authoring_rule 이 적용되는 문서가 아니다. 인용한 판결과 조문은 2026-08-16 에 DRF 로 본문을 직접 받아 대조했고, 제28조의7 의 부존재는 판결 전문에 대한 문자열 확인으로 판정했다. 출발 질문('ADR-0017 이 한 축을 빠뜨렸는가')이 틀렸다는 것을 조사 중에 확인해 첫 절에 정정으로 남겼다. 동의의 두 자리 대조와 ADR-0030 결과 3 과의 대비는 우리 읽기이므로 구분해 적었다. 이 노트는 어떤 결정도 바꾸지 않으며, ADR-0002 폐기 조건 2 가 예고한 신규 ADR 을 쓸지는 사람이 판단한다.