들어가며: 가명정보, 한 번에 정리하기

가명정보는 '추가정보 없이는 특정 개인을 알아볼 수 없도록 처리한 개인정보'입니다. 여전히 개인정보이지만, 통계작성·과학적 연구·공익적 기록보존 목적이라면 정보주체 동의 없이 처리할 수 있다는 점이 핵심입니다(개인정보 보호법 제2조, 제28조의2).

개인정보·가명정보·익명정보는 아래처럼 구분됩니다.

구분	개인정보	가명정보	익명정보
의미	살아 있는 개인을 알아볼 수 있는 정보	추가정보 없이는 개인을 알아볼 수 없게 가명처리한 정보	다른 정보를 결합해도 더 이상 개인을 알아볼 수 없는 정보
예시	홍길동, 1985.3.2생, 010-1234-5678	일련번호 A0137, 1980년대생, 서울 거주	'서울 거주 40대 비율 23%' 같은 통계값
동의 없는 활용	원칙적으로 불가	통계·연구·공익적 기록보존 목적이면 가능	자유롭게 가능
보호법 적용	전면 적용	적용(안전조치·재식별 금지 등 특례)	적용 제외(제58조의2)

가명정보가 다시 주목받는 이유는 AI입니다. AI 학습과 연구에 쓸 대규모 데이터 수요가 커지면서, '개인정보를 안전하게 쓰는 통로'로서 가명정보 제도를 어떻게 넓히고 다듬을지가 국내외 공통 과제가 되었습니다.

 

국내 제도 변화 흐름: 2020년부터 지금까지

가명정보 제도는 2020년 도입 뒤 '규정 정비(2023) → 기준 구체화(2024) → 절차 혁신(2025~2026)' 순서로 바뀌어 왔습니다. 최근 1년 사이에만 굴직한 변화가 다섯 건 넘게 이어졌습니다.

시기	주요 변화	한 줄 요약
2020.8.5	데이터 3법 개정법 시행	가명정보 개념 도입, 동의 없는 통계·연구·공익적 기록보존 허용, 결합전문기관 제도 신설
2023.9.15	개인정보 보호법 2차 개정법 시행	가명정보 처리기간 설정·파기 의무 적용, 가명정보 과징금 특례를 일반 과징금(전체 매출액 3% 이하)으로 통합
2024.2.5	가명정보 처리 가이드라인 개정	이미지·영상·음성·텍스트 등 비정형데이터 가명처리 기준 신설
2025.9.24	가명정보 제도·운영 혁신방안 발표	데이터 제공 기간 평균 310일 → 2027년까지 100일 이내 목표
2025.11	비조치의견서(No Action Letter) 도입	법 적용이 불분명한 사안을 30일 이내에 미리 확인
2026.3.31	가명정보 처리 가이드라인 전면 개정	저·중·고 위험도 기반 절차 차등화, 서식 24종 → 10종
2026.4.1	가명정보 원스톱 지원센터 지정	공공기관 가명처리를 설계부터 사후관리까지 일괄 지원, 5월 가동
2026.8.20	AI 개발 개인정보 활용 특례 개정안 국회 통과	가명·익명정보로 어려울 때 원본 활용 길 마련, 공포 6개월 뒤 시행
2026.9	공공부문 가명정보 총리훈령 시행	가명정보책임관 지정 등 공공기관 내부 체계 정비

참고로 2026년 2월 12일 통과한 별도 개정안은 반복·중대 위반 시 과징금 상한을 전체 매출액의 10%로 올렸습니다. 가명정보 재식별 등 위반에 따르는 부담도 그만큼 커진 셈입니다.

 

2025~2026 국내 최신 동향 다섯 가지

요즘 정부 기조는 한마디로 '가명정보를 더 빨리, 더 쉽게 쓰게 하자'입니다. 2025년 9월 혁신방안으로 방향을 잡았고, 2026년에는 가이드라인·지원센터·법 개정으로 구체화되고 있습니다.

 

1. 가명정보 처리 가이드라인 전면 개정 (2026.3.31)

가장 큰 변화는 '위험도 기반' 체계입니다. 누가 쓰는지, 어떤 환경에서 처리하는지에 따라 위험도를 세 단계로 나누고, 검토 절차와 제출 서류를 차등화했습니다.

위험도	판단 기준
저위험	같은 기관 내부에서 활용(예: 서비스 이용 통계는 별도 심의위원회 없이 담당자 검토로 승인 가능)
중위험	제3자에게 제공하지만, 받는 쪽 처리환경을 통제할 수 있는 경우
고위험	제3자에게 제공하고, 받는 쪽 처리환경을 통제하기 어려운 경우

• 서식이 24종에서 10종으로 줄었고, 입문자용 [본권]과 실무자용 [별권]으로 나뉘었습니다.

• AI 개발을 위해 '확장 가능한 목적'을 미리 정해 비슷한 목적에 같은 가명정보를 재사용할 수 있게 했습니다.

• 처리기간도 AI 개발에 필요한 만큼 유연하게 정할 수 있습니다.

• 영상·이미지·텍스트 같은 대용량 비정형데이터는 전수 검사 대신 '표본 검수'가 허용됩니다.

 

2. 공공데이터 제공 기간, 310일에서 100일로

정부는 가명정보 제공에 평균 310일 걸리던 기간을 2027년까지 100일 이내로 줄이겠다고 밝혔습니다. 이를 위한 장치는 다음과 같습니다.

• 가명정보 원스톱 지원센터: 2026년 4월 코스콤이 운영기관으로 지정되었습니다. 공공기관의 가명처리 설계·위험성 검토부터 적정성 평가, 반출, 사후관리까지 대신하거나 돕습니다.

• 비조치의견서: 법 적용이 불분명한 사안을 30일 이내에 확인받을 수 있고, 문제없다고 회신받으면 사후 제재 부담이 줄어듭니다.

• 인센티브: 행정안전부 기관 평가(685개 기관)에 가명정보 제공 실적 가점이 반영되고, 기업 ESG 평가 지표에 가명정보 활용 실적을 반영하는 방안도 추진됩니다.

• 담당자 부담 완화: 고의·중과실이 없으면 가명정보 제공 업무로 공무원을 문책하지 않도록 면책 기준을 구체화하는 작업이 혁신방안에 포함됐습니다.

• 공공부문 총리훈령: 가명정보책임관 지정 등 기관 내부 체계를 정하는 훈령이 2026년 9월 시행되었습니다. 연구자는 총괄 부서 한 곳에만 신청하면 됩니다.

 

3. AI 개발 '원본 데이터 특례' 국회 통과 (2026.8.20)

가명·익명정보만으로는 AI 개발이 어려운 경우, 원본 개인정보를 동의 없이 쓸 수 있는 법적 근거가 생겼습니다. 그동안은 규제샌드박스(기본 2년, 최대 4년)로만 예외가 허용됐습니다.

• 요건: 가명·익명처리로는 개발이 곤란할 것, 공익적·사회적 필요성이 있을 것, 강화된 안전조치와 개인정보위 심의·의결을 거칠 것.

• 안전장치: 민감정보·고유식별정보처럼 위험이 큰 경우 사전 위험평가, 특례 이용 사실의 개인정보 처리방침 공개.

• 시행: 공포 후 6개월이 지나면 시행되며, 그사이 하위법령과 운영방안이 나옵니다.

여기서 눈여겨볼 점은 '가명·익명처리로는 곤란할 것'이라는 요건입니다. 가명정보가 여전히 기본 경로이고, 원본 활용은 그 다음에 검토하는 예외 경로라는 뜻입니다.

 

4. 보건의료 분야: 심의 절차 간소화

2025년 12월 말 시행된 '보건의료데이터 활용 가이드라인' 개정으로 공용 데이터심의위원회(DRB)가 도입되었습니다. 다기관 연구나 자체 위원회가 없는 중소기관도 심의를 받을 수 있게 됐습니다.

• IRB와 DRB 통합심의가 가능하고, DRB 승인 과제는 7일 이내에 IRB 심의면제 확인서를 받을 수 있습니다.

• 사망자 의료데이터의 가명처리 기준과 데이터 관리 비용 산정 기준도 새로 담겼습니다.

 

5. 여전한 숙제: 2026 국정감사의 지적

제도는 빠르게 바뀌었지만 현장 활용은 아직 더딘 편입니다. 2026년 10월 13일 국정감사에서 나온 지적을 보면 알 수 있습니다.

• 공공기관 1,441곳 중 가명정보를 처리해 본 곳은 111곳(7.7%)에 그쳤습니다.

• 자율주행 영상을 비식별 처리하면 인식 성공률이 97.5%에서 50% 수준으로 떨어진다는 지적도 나왔습니다.

• 개인정보보호위원회 명칭에서 '보호'를 빼자는 제안에, 위원장은 "조금 더 신중하게 검토하겠다"고 답했습니다.

 

해외 동향: '누구 기준으로 식별 가능한가'가 쟁점

해외에서는 가명처리한 데이터를 '누구에게나 개인정보'로 볼지, '재식별 수단을 가진 쪽에게만 개인정보'로 볼지가 최대 쟁점입니다. 뒤쪽을 상대적 접근이라고 부릅니다.

구분	시점	핵심 내용	현재 상태
EU 사법재판소 EDPS v SRB 판결(C-413/23 P)	2025.9.4	가명처리 데이터는 모든 처리자에게 자동으로 개인정보인 것은 아니다. 재식별 수단이 없는 수령자에게는 개인정보가 아닐 수 있다	판결 선고(일반법원 환송)
EDPB 가명처리 가이드라인 01/2025	2025.1.16 채택	가명처리 데이터는 여전히 개인정보이며, 가명처리는 위험을 줄이는 수단이다	의견수렴판(v1.0)만 공개된 것으로 알려짐
EU 디지털 옴니버스(GDPR 개정안)	2025.11.19 제안	개인정보 정의를 '각 주체가 가진 식별 수단' 기준으로 바꾸는 안	의회 수정안 1,750건 이상, 이사회 협상 입장 미확정(2026.9 기준)
일본 개인정보보호법 개정	2026.7.10 성립	통계작성·AI 개발 목적이고 개인을 식별할 수 없는 형태로 쓰면 본인 동의 없이 이용 가능, 과징금 제도 신설	2026.7.17 공포, 2년 안에 단계 시행

SRB 판결이 중요한 이유. EU 기관(SRB)이 의견서를 가명처리해 회계법인에 넘긴 사건입니다. 법원은 식별 가능성을 '합리적으로 사용될 가능성이 있는 수단'으로 수령자마다 따로 판단해야 한다고 봤습니다. 다만 제공하는 쪽(SRB)에게는 여전히 개인정보이므로, 수집 단계의 고지 의무는 그대로입니다.

디지털 옴니버스는 여전히 논쟁 중입니다. EDPB와 EDPS는 2026년 2월 공동의견에서 정의 변경에 반대했습니다. 이사회 협상 입장을 정하는 표결도 여러 차례 미뤄졌습니다. 즉 현재는 기존 GDPR이 그대로 적용됩니다.

우리나라에 주는 시사점도 분명합니다. EU·일본·한국 모두 'AI·통계 목적 활용은 넓히되, 재식별 위험은 더 엄격히 관리'하는 방향으로 움직이고 있습니다. 우리 법은 가명정보를 개인정보로 보는 구조를 유지하면서, 위험도 기반 절차와 원본 특례로 유연성을 더하는 길을 택했습니다.

 

실무자가 챙겨야 할 체크포인트

절차는 가벼워졌지만 가명정보의 기본 의무는 그대로입니다. 가명정보를 처리하거나 제공할 계획이라면 아래 항목부터 확인해 보세요.

1. 목적 확인: 통계작성·과학적 연구·공익적 기록보존 중 어디에 해당하는지 먼저 정리합니다. AI 학습이라면 '확장 가능한 목적'을 미리 설정해 두면 재사용이 쉬워집니다.

2. 위험도 분류: 내부 활용(저위험)인지, 제3자 제공(중·고위험)인지에 따라 검토 절차와 서류가 달라집니다.

3. 추가정보 분리 보관: 매핑테이블 같은 추가정보는 가명정보와 분리해 보관하고, 접근 권한도 따로 둡니다.

4. 처리기간·파기: 2023년 개정 이후 가명정보도 처리기간을 정하고, 기간이 끝나면 파기해야 합니다.

5. 재식별 금지: 처리 중 특정 개인을 알아볼 수 있는 정보가 생기면 즉시 처리를 멈추고 회수·파기합니다. 위반 시 형사처벌과 과징금 대상입니다.

6. 기록 작성·보관: 가명처리의 목적, 항목, 이용내역, 제3자 제공 내역 등을 기록해 둡니다.

7. 비정형데이터 검수: 영상·이미지는 표본 검수가 허용됐지만, 얼굴·차량번호판처럼 식별 요소가 남지 않았는지 확인 기준을 문서로 남겨야 합니다.

8. 도움 받기: 법 해석이 애매하면 비조치의견서를, 공공기관이라면 가명정보 원스톱 지원센터를 활용할 수 있습니다.

 

마치며

2026년 가명정보 동향은 '절차는 가볍게, 활용은 넓게, 재식별 책임은 무겁게'로 요약됩니다. 위험도 기반 가이드라인과 원스톱 지원센터로 문턱은 낮아졌고, AI 원본 데이터 특례로 가명정보 다음 단계의 길도 열렸습니다.

앞으로 지켜볼 일은 세 가지입니다. AI 특례의 하위법령이 어떻게 나오는지, 공공기관 활용률 7.7%가 실제로 오르는지, EU 디지털 옴니버스가 가명정보 정의를 바꾸는지입니다.

이 글은 2026년 10월 19일까지 공개된 자료를 바탕으로 했습니다. 실제 업무에 적용할 때는 법령 원문과 개인정보보호위원회 공식 자료를 꼭 확인하세요.

 

참고자료

국내

• 개인정보 보호법 (국가법령정보센터)

• 비정형데이터 가명처리 기준 나왔다 — 전자신문, 2024.2

• 가명정보 활용도 높인다…법적 부담 줄이고 절차는 단축 — 정책브리핑, 2025.9

• 개인정보보호위원회, '가명정보 제도·운영 혁신방안' 발표 — 김·장 법률사무소, 2025.10

• 보건의료데이터 활용 가이드라인 개정 — 메디컬월드뉴스, 2026.1

• '개인정보 보호법' 개정안 국회 본회의 통과 — 김·장 법률사무소, 2026.2

• 개인정보위, 가명정보 처리 가이드라인 전면 개정 — 뉴스핌, 2026.3

• 개인정보위, 가명정보 지원센터 코스콤 지정 — 뉴스핌, 2026.4

• AI 개발에 개인정보 활용 길 열렸다…개보법 개정안 국회 통과 — 뉴스핌, 2026.8

• 개보위 명칭 변경 제안 [2026 국감] — 디지털데일리, 2026.10

해외

• CJEU clarifies scope of personal data in EDPS v SRB — Jones Day, 2025.9

• EDPB advises on pseudonymisation for GDPR compliance — Hunton

• The Digital Omnibus Regulation Proposal — European Parliament Legislative Train

• Digital Omnibus and the GDPR — Praxikon

• EU braces for data rules battle with 1,840 amendments — EU Perspectives, 2026.8

• 2026년 일본 개인정보보호법 개정 — 아베 국제법률사무소