18.

[사례분석] 이루다 AI 1심 판결 해설: 개인정보·민감정보 무단 AI 학습 (서울동부지방법원 2021가합104007 판결)

• 새 탭 열기
• 작성 이력 보기

- 서울동부지방법원 2025. 6. 12. 선고 2021가합104007 판결 -

1. 대상판결의 요지

서울동부지방법원 2025. 6. 12. 선고 2021가합104007호 판결(이하 ‘대상판결’이라 한다)은 “① 피고가 이 사건 피해 원고들에게 개인정보 동의사항을 명확 하게 인지∙확인할 수 있게 고지하거나 이 사건 피해 원고들로부터 그에 대한 실질적인 동의를 받지 않았다, ② 피고가 ‘이루다’ 서비스와 관련하여 구 개인정보보호법 제 58조의2 또는 제28조의2에 따라 이 사건 피해 원고들의 동의 없이 그 개인정보를 처리할 수 있었다고 보기는 어렵다, ③ 피고는 피고가 주장하는 개인정보 파기의 예외사유에 해당하지 않음에도 탈퇴자, 장기간 미이용자의 개인정보, 처리목적이 달성된 개인정보 등을 파기하지 않았다, ④ 원고들이 피고에게 제공한 카카오톡 대화 문장 중에는 발화자의 사상․신념, 건강, 성생활에 관한 정보 등 구 개인정보 보호법 제23조 제1항이 정한 민감정보에 관한 내용이 포함되어 있었던 사실이 인정됨에도 불구하고, 피고는 위와 같은 민감정보의 처리에 관하여 위 원고들에게 구 개인정보 보호법 제15조 제2항, 제17조 제2항이 정한 사항을 알리거나 위 원고들로부터 동의를 받지 않았다”라고 판시함으로써, AI 플랫폼 운영사인 피고에게 개인정보 또는 민감정보 유출로 인한 손해배상책임을 인정하였다. 

대상판결은, 1) 개인정보 유출만 확인된 그룹, 2) 민감정보 유출만 확인된 그룹, 3) 둘 다 유출이 확인된 그룹으로 나누어 손해배상책임을 인정하였고, 위 1) 그룹에 대하여는 1인당 위자료 10만원을, 2) 그룹에 대하여는 1인당 위자료 30만원을, 위 3) 그룹에 대하여는 1인당 위자료 40만원을 각 인정하였다.

2. 사건의 경위

대상판결은 ‘앱 서비스 제공자가 자신의 앱 서비스들을 통해 수집한 개인정보들을 앱 서비스사가 운영할 AI 서비스의 학습에 사용하는 과정에서 개인정보 유출이 있었는지, 그러한 유출에 개인정보보호법 위반이 개입되어 있는지 여부에 관한 것’으로, 보다 자세한 사건의 경위는 다음과 같다.  

피고는 이용자들의 카카오톡 대화내역을 기반으로 상대방과의 연애관계발전가능성, 호감도, 연애애착도, 바람기 분석 결과와 함께 관계 테스트와 연애팁을 제공하는 ‘A앱’, ‘A앱’과 기본적으로 기능은 같으나 특히 연애관계를 앞둔 당사자들에게 특화된 ‘B앱’ 이라는 서비스를 운영하는 회사다. 피고는 이 앱 서비스들을 제공하기 위해 이용자로 하여금 대화 상대방과의 카카오톡 대화내역을 업로드하도록 하였고, 피고는 이 과정에서 ‘A앱’과 ‘B앱’을 통해 개인정보를 수집보관하였다. 그러던 중 피고는 2020. 12. 22.경 페이스북 기반의 AI챗봇 ‘C’(인공지능이 빅데이터 분석을 바탕으로 일상 언어로 사람과 대화하며 특정한 작업을 수행하도록 제작된 컴퓨터 프로그램)를 출시하였고 해당 서비스를 제공하면서 ‘A앱’과 ‘B앱’을 통해 수집했던 개인정보 중 일부를 수집하고 있었다.

‘B앱’과 ‘A앱’ 버전 1.0은 이용자가 ‘이용약관 및 개인정보처리방침에 동의합니다’라는 안내사항이 기재된 체크박스에 체크한 후 회원가입이 가능하도록 하고 있고, ‘A앱’ 버전 2.0은 이용자에게 회원가입 시 ’로그인함으로써 이용약관 및 개인정보처리방침에 동의합니다‘라고 안내하고 있다. 회원가입 시 안내사항으로 “개인정보처리방침”이라는 글자를 클릭하는 경우에는 팝업을 통해 그 전문을 볼 수 있으나, 이 밖에 개인정보 처리에 관한 동의절차나 다른 안내사항은 없었다.

한편 개인정보 취급 방침에는 아래와 같은 내용이 기재되어 있었다.

피고는 ‘A앱’과 ‘B앱’을 1년 이상 사용하지 않은 이용자들의 개인정보를 파기하거나 다른 이용자의 개인정보와 분리하는 등의 조치를 하지 않은 채 이를 보관하였다.

피고는 ‘A앱’과 ‘B앱’의 각 서비스 DB에 저장된 이용자들의 회원정보 일부와 카카오톡 대화문장들을 서비스 DB와 별도의 DB(이하 ‘학습 DB’라 한다)에 저장하였다. 피고는 2020. 2.부터 2020. 12.까지 학습 DB에 저장된 카카오톡 대화 문장들을 학습시켜 AI 챗봇 ‘C’를 개발하였다. 피고는 ‘C’를 개발하기 위한 알고리즘 학습 과정을 거치는 동시에 ‘C’가 특정한 응답후보군 문장 중에 가장 적절한 문장을 선택하여 발화할 수 있도록 ‘C’의 응답 DB를 학습 DB와는 별도로 구축하였다.

피고는 2020. 12. 22.경 ‘C’ 서비스를 제공하기 시작하였으나, 개인정보 취급, 처리가 부적절했다는 논란이 제기되자 2021. 1. 12.경 ‘C’ 서비스를 잠정 중단하기로 결정하였는데, 언론을 통해 이러한 사실이 알려진 계기로 개인정보보호위원회와 한국인터넷진흥원으로부터 개인정보 취급∙운영 실태 및 개인정보 보호 법규 위반 여부에 대한 조사를 받았고, 해당 조사 결과를 토대로 개인정보보호위원회로부터 시정조치와 함께 과징금과 과태료를 부과받았다.

개인정보를 유출 당한 이용자들이 피고의 개인정보보호법 위반 행위로 인하여 발생한 손해에 대해 배상받기 위해 소송을 제기하며 대상판결의 소송이 시작되었다.   

3. 개인정보를 수집∙이용하기 위해 필요한 절차

가. 개인정보 또는 민감정보 수집∙이용 동의

개인정보처리자가 개인정보, 민감정보의 처리에 대하여 정보주체의 동의를 받을 때에는 개인정보 수집․이용 동의, 제3자 제공 동의 등 각각의 동의사항을 구분한 뒤 정보주체에게 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다(개인정보 보호법 제22조, 제23조).

나. 정보주체의 동의 없이 개인정보를 이용할 수 있는 경우

1) 당초 수집 목적과 합리적으로 관련된 범위 내에서의 추가 이용

개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체의 불이익, 안전성 확보조치 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 추가적으로 이용할 수 있다(개인정보 보호법 제15조 제3항).

2) 과학적 연구를 위한 가명정보의 처리

가명정보란 ‘성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보’ 또는 ‘다른 정보와 쉽게 결합하여 알아볼 수 있는 정보’를 '가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용∙결합 없이는 특정 개인을 알아볼 수 없는 정보'를 의미하고, 여기서 가명처리란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다(개인정보 보호법 제2조 제1호, 제1의2호).

즉, 가명정보라고 보기 위해서는, 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 하는 조치가 취해져야 한다.

이러한 가명정보의 경우 과학적 연구 목적의 범위 내에서는 정보주체로부터 별도 동의를 얻지 않고 처리가 가능하다(개인정보 보호법 제28조의 2).

3) 익명정보의 처리

시간∙비용∙기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보는 개인정보보호법의 적용을 받지 않으므로, 개인정보가 익명정보가 된 경우 정보주체의 동의 없이 처리할 수 있다(개인정보 보호법 제58조의2).

다. 개인정보의 파기

개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다(개인정보 보호법 제21조).

4. 대상판결의 요지

가. 개인정보 수집∙이용 동의의 성격 및 해당 사건에서 수집∙이용 동의가 존재한다고 볼 수 있는지 여부에 대하여 판결함

대상판결은 “구 개인정보 보호법 제22조는 개인정보처리 자가 개인정보 처리에 대하여 정보주체의 동의를 받을 때에는 개인정보 수집·이용 동의, 제3자 제공 동의 등 각각의 동의사항을 구분하여 정보주체에게 이를 명확하게 인 지할 수 있도록 알리고 각각 동의를 받도록 하고 있는바, 이는 정보주체의 개인정보자 기결정권 행사를 보장하기 위한 규정이라 할 것이므로, 구 개인정보 보호법 제22조에 따라 요구되는 정보주체의 동의는 실질적인 것이어야 한다.”고 판시하면서, 실질적인 동의란 “이용자의 동의가 형식적이지 않고 실질적인 것이었다고 보려면 미리 법정 고지사항에 관하여 일반적으로 예상되는 방법을 사용하여 이해하기 쉽고 명확하게 표시하여 이를 이용자에게 알린 상태에서 동의를 받은 것이라고 평가할 수 있어야 할 것”이라고 판시하였다.

대상판결의 사안에서는, 피고가 “이용약관과 개인정보 처리 방침에 동의한다”거나 “로그인함으로써 약관이나 개인정보처리방침에 동의한 것으로 본다”는 안내를 하고 체크박스를 두는 한편 개인정보 처리 방침은 클릭하여 팝업창을 통하여 해당 내용을 확인할 수 있도록 해두었는데, 대상판결은 개인정보 처리 방침을 클릭하면 팝업창을 통하여 해당 내용을 확인할 수 있도록 하였다거나 “피해자들이 로그인함으로써 약관이나 개인정보처리방침에 동의한 것으로 본다”는 안내를 한 것만으로는 실질적 동의가 있었다고 볼 수 없다고 판시하였다.

나. 익명정보 및 과학적 연구를 위한 가명정보로서 정보주체 동의 없이 처리가 가능한 경우인지 여부에 대하여 판결함

대상판결은 “피고가 ‘C’ 개발을 위해 구축한 ‘학습 DB’에는 회원정보 일부와 카카오톡 대화 문장이 저장되어 있었고, 저장된 카카오톡 대화 문장 중에는 이 사건 피해 원고들의 이름, 휴대전화 번호, 집 주소, 현관 비밀번호, 계좌번호 등의 개인정보가 포함된 부분도 있으며, 그 외에도 이 사건 피해 원고들의 직업이나 인간관계 등을 추정할 수 있는 발화가 다수 확인된다. 이 점에서 ‘학습 DB’에 저장된 정보는 적절한 시간, 비용, 기술 등을 들여 다른 추가적인 정보와의 결합 등을 통해 특정 개인의 동일성을 식별하는 데 충분히 사용할 수 있다고 보이는 바, 구 개인정보 보호법 제58조의2에 따라 시간∙비용∙기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보” 즉, ‘익명정보’에 해당하지 않는다고 판단하였다.

또한, 대상판결은 “개인정보처리자가 과학적 연구 등을 목적으로 정보주체의 동의 없이 처리할 수 있는 가명정보라고 보기 위해서는, 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 하는 조치가 취해져야 한다. 그런데 피고는 ‘C’ 개발에 학습 DB에 저장된 정보를 이용하면서 그 중 회원번호는 일방향 암호화하였으나, 카카오톡 대화 문장에 대해서는 다수의 개인정보가 포함되어 있었음에도 그 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 조치를 취함으로써 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 하는 가명처리를 하지 않은 것으로 보인다”고 하여, ‘가명정보’에도 해당하지 않는다고 판단하였다.

뿐만 아니라, 대상판결은 “가명정보 중 정보주체의 동의 없이 처리가 가능한 ‘과학적 연구’란 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 의미하는데, ‘C’ 서비스의 내용은 응답 DB에 포함된 문장 중 이용자의 질문에 대한 대답으로 가장 적절한 것을 골라 발화되도록 하는 것으로서 이를 구축하는 데 개인정보를 이용한 것이 과학적 연구를 위한 것이라고 보기 어렵다”는 점을 들어 ‘C’ 서비스 즉, AI 챗봇 딥러닝을 위한 개인정보 이용이 정보주체의 동의 없이 처리할 수 있는 ‘과학적 연구’에도 해당한다고 보기 어렵다고 판단하였다.

다. 개인정보의 수집∙이용 목적 범위를 초과하였는지 및 수집∙이용 목적 외 이용, 제공이 가능한 경우였는지 여부

대상판결은 “’A앱’과 ‘B앱’ 모두 연인 또는 연애관계를 앞둔 당사자들을 위한 앱 서비스인 반면 ‘C’ 서비스는 페이스북 기반의 AI 챗봇으로서 일상적인 대화를 나눌 수 있는 대화형 AI인바, 양 서비스가 유사하다거나 ‘C’가 ‘A앱’과 ‘B앱’ 서비스를 제공하기 위하여 수반되는 신규 서비스라고 보기는 어렵다.”, “피해자들이 '신규 서비스 개발' 목적의 처리에 동의한다는 사실을 명확히 인지할 수도 없었을 것으로 보일 뿐만 아니라, 개인정보 처리 방침의 '신규 서비스 개발'이라는 기재만으로 ‘B앱’이나 ‘A앱’에서 수집된 카카오톡 대화가 성격 ·기반 플랫폼·이용 대상 등이 본질적으로 다른, AI 챗봇인 ‘C’의 개발·운영에 이용될 것이라는 점을 합리적으로 예상할 수 있었다고 보기도 어렵다”, “피고는 개인정보처리방침에 '신규 서비스 개발‘ 목적을 명시한 것 외에 카카오톡 대화문장을 ’C‘ 학습과 운영을 위하여 이용하는 것에 대하여 피해자들로부터 별도의 동의를 받은 사실이 없다”고 판시하였다. 피고가 ‘A앱’과 ‘B앱’ 서비스를 통해 수집한 개인정보들을 그 수집∙이용 목적 범위를 넘어 이용한 것이라고 판단하였다.

또한 대상판결은 “구 개인정보 보호법 제15조 제3항에 따라 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체의 불이익, 안전성 확보조치 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보의 추가적인 이용이 허용되기는 하나, ’C‘는 ’B앱‘이나 ’A앱‘과는 본질적으로 다른 성격의 서비스로서 그 개발 및 운영이 당초의 개인정보 수집 목적과 관련성이 있다고 인정하기 어렵고, ’C‘ 개발과 운영에 개인정보를 추가적으로 이용하는 것에 대한 이용자의 예측 가능성이 낮다는 점에서 정보주체에게 불이익이 발생할 우려도 크므로, 합리적으로 관련된 범위에서 추가적인 이용이 허용되는 경우라고 보기도 어렵다.”고 판시하여, 수집∙이용 목적 외의 이용이 가능한 경우도 아니라고 보았다.

라. 개인정보의 파기 조치가 필요했는지 여부

대상판결은 “ ‘C’ 학습 DB 및 응답 DB의 구축 및 운영이 신규 서비스의 개발로서 기존의 개인정보 수집∙이용 동의 범위에 포함된다고 볼 수 없는 것으로 보아 피고가 ‘B앱’과 ‘A앱’에서 탈퇴한 사람이나 1년 이상 그 서비스를 이용하지 않은 사람의 개인정보를 파기하거나 분리 저장하는 등의 조치를 취하지 않은 채 이를 계속 사용한 것은 개인정보의 수집∙이용 목적이 달성되면 지체 없이 파기하도록 규정한 구 개인정보 보호법 제21조 제1항, 제39조의6 제1항을 위반한 것”이라고 판단하였다.

마. 민감정보에 대한 별도 동의 여부 및 민감정보 유출 시 손해배상액

대상판결은 원고들이 피고에게 제공한 카카오톡 대화 문장 중에는 발화자의 사상․신념, 건강, 성생활에 관한 정보 등 구 개인정보 보호법 제23조 제1항이 정한 민감정보에 관한 내용이 포함되어 있었던 사실이 인정된다. 그럼에도 불구하고 피고는 위와 같은 민감정보의 처리에 관하여 위 원고들에게 구 개인정보 보호법 제15조 제2항, 제17조 제2항이 정한 사항을 알리거나 위 원고들로부터 동의를 받지 않았다.”고 보아, 피고가 민감정보 수집 시 별도 동의를 구하도록 규정하고 있는 구 개인정보 보호법 제23조 제1항 역시 위반하였다고 판시하였다.

그리고 민감정보를 유출당한 피고들에게는 민감정보가 아닌 개인정보를 유출당한 피해자들의 3배에 달하는 위자료를 인정하였다.

5. 대상판결의 의의

다른 서비스를 통해 기 수집한 개인정보를 AI 프로그램 학습을 위해 이용하는 경우, 개인정보의 수집∙이용 동의 등 개인정보보호법이 정한 개인정보 수집∙이용 절차를 어떻게 준수하여야 하는지에 대한 가이드라인을 확인할 수 있는 최초 판례이자, 민감정보 유출에 대한 손해배상책임을 인정한 판례이다.

대상판결은 향후 AI 서비스를 제공하는 IT 업체들이 기 수집한 개인정보들을 AI 프로그램 학습용으로 사용할 경우, 추상적, 포괄적으로 ‘신규 서비스’를 위해 사용된다고 기재하여 동의받을 것이 아니라 ‘AI 프로그램 학습용’으로 사용된다는 점을 명확히 하여 동의 받을 필요가 있다는 점을 확인하였다는 데에 의의가 있다.

또한, 대상판결은 상대방이 현대 기술의 한계로 인한 가명처리의 한계를 주장하였음에도불구하고 인정하지 않았는데, AI 프로그램의 학습에 사용되는 데이터를 가명처리에 있어서 식별가능한 부분이 없도록 세심하게 가명처리 할 필요가 있다.

뿐만 아니라, 대상판결은 AI 프로그램의 학습에 이용하는 것이 정보주체 동의 없이 가명정보를 처리할 수 있는 과학적 연구에 해당하지 않는다고 보았기 때문에 가명처리가 잘 되었다고 하더라도 정보주체 동의 없이 AI 프로그램의 학습에 이용하기는 어렵다는 점이 확인해주었다는 점에서도 의의가 있다. 기업들이 영리목적으로 데이터를 이용하는 경우, ‘과학적 연구’라는 명목으로 개인정보 보호법의 예외조항을 남용하는 일이 없도록 하기 위한 해석으로 보이며, 가명처리하였다고 하더라도 AI 프로그램 학습에 이용하기 위해서는 별도로 정보주체의 동의를 받아야 할 것이다.