공공장소에서 개인의 얼굴·동작 추적 인공지능, 중대한 인권 침해 사실에 변함 없어

헌법재판소는 2월 26일 법무부 출입국 AI 식별추적 시스템에 대하여 제기된 헌법소원을 각하하였다. 이 사건은 2019년부터 2021년까지 법무부와 인천출입국·외국인청장, 과학기술정보통신부가 ‘인공지능(AI) 식별추적 시스템 개발사업’을 추진하면서 내국인 5,760만 건 및 외국인 1억 2천만 건에 달하는 국적, 생년, 성별 등의 개인정보와 얼굴사진을 복수의 민간기업에 AI 알고리즘 학습데이터로 제공하였다는 사실이 언론보도 등을 통해 알려지면서 사회적으로 큰 파장이 일었던 사건이었다.

내국인과 외국인으로 구성된 헌법소원심판 청구인들은 출입국 심사 목적으로 수집·보관된 사진 등 개인정보를 학습데이터로 이전하여 민간기업들이 처리하도록 한 것이 개인정보자기결정권을 비롯한 청구인들의 기본권을 침해하였다고 보았다.

법무부를 비롯한 관련 당국은 이 시스템이 자신의 개인정보를 처리하였는지 확인해 달라는 청구인들의 열람 요구와 개인정보분쟁조정에도 제대로 응하지 않은 상황이었다. 대량의 데이터에서 청구인을 식별할 수 없다거나, 시스템과 데이터를 파기하였기 때문에 처리 사실을 확인해줄 수 없다는 이유였다. 국가가 출입국 심사 목적으로 수집·보관된 개인정보를 대량으로 민간기업 알고리즘 개발을 위해 목적 외로 활용하였으면서 그 피해사실조차 확인하기 어려운 현실에서 청구인들은 마지막으로 헌법재판소에 위헌여부를 확인해 달라고 호소하였다. 그러나 헌법재판소는 형식적 이유를 들어 우리나라에 출입국 경험이 있는 국민과 외국인 대다수에 해당할지도 모르는 대규모 인권 침해를 외면하였다.

헌법재판소는 시민사회의 문제제기로 안면데이터를 학습데이터로 활용하는 이 사건 사업은 종료되었고, 안면데이터도 파기되었기 때문에 권리보호이익이 없다고 보았다. 그러나 피청구인들이 사업이 종료되고 데이터가 파기되기까지 안면데이터를 활용한 것의 책임을 묻기 위해서는 그 위헌성이 확인될 필요가 있었기 때문에 권리보호이익이 소멸하였다고 보는 것은 타당하지 않다.
또한 헌법재판소는 권리보호이익의 소멸을 전제한 다음 반복의 위험성을 단정하기 어렵다며 심판의 이익도 없다고 보았다. 그러나 안면데이터가 활용될 수 있는 상황 그 자체가 개인정보자기결정권에 대한 위험이기 때문에 반복의 위험성은 존재하는 것이고, 따라서 심판의 이익이 없다는 헌법재판소의 결정은 납득하기 어렵다.

또한 헌법재판소는 안면데이터와 같은 개인정보를 이용하지 못하게 금지하는 규정을 제정할 작위의무가 헌법으로부터 도출되기 어렵다고 판단했다. 그러나 작위의무는 헌법의 명문규정, 관련 기본권 및 법령의 해석, 기본권 보호의무 등으로부터 도출되기 때문에, 헌법이 보장하는 개인정보자기결정권과 국제인권조약에 따른 국가의 법적의무로서 안면데이터 활용으로부터 시민의 개인정보자기결정권을 입법으로 보호할 의무는 도출된다고 보아야한다. 헌법재판소의 위와 같은 판단은, 인공지능 시대에 인권을 보호해야할 국가의 헌법성 책무를 협소하게 해석한 것으로서 부적절한 판단이라고 밖에 볼 수 없다.

헌법재판소의 이번 각하결정은 데이터기반기술인 AI의 학습데이터 처리가 유발할 수 있는 기본권 침해를 도외시한 무책임한 결정이다. 알고리즘만 남기고 데이터 및 그 처리 기록을 모두 파기해 버린 불투명하고 무책임한 국가의 행위가 헌법적인 판단조차 받지 못했기 때문이다. 국가가 내국인과 외국인의 방대한 데이터를 학습용으로 처리하였으면서 피해를 구제하기는 커녕 최소한의 사실 확인조차 회피한 것은 인공지능 시대 책무성과 투명성 원칙 면에서 매우 부적절한 선례로 남을 것이다.

헌법재판소의 실망스런 결정에도 불구하고 개인의 얼굴과 동작을 추적하는 AI 시스템은 중대한 인권 침해임에 분명하다. 특히 공항과 같은 공공장소에서 개인의 민감한 생체정보를 식별하여 실시간으로 추적하는 것은, 개인정보에 대한 자기결정권 등 많은 사람의 기본권에 대규모로 영향을 미치고, 지속적으로 감시받고 있다는 것 자체만으로도 일반적 행동자유권뿐 아니라 집회의 자유 등 기본권의 자유로운 행사를 제약할 수 있다.

오늘날 그 어느 때보다 AI가 빠른 속도로 일반 시민의 삶과 노동에 침투하고 있다. 그런 의미에서 헌법재판소가 AI의 인권 침해에 대한 기준을 마련할 수 있는 기회를 스스로 저버린 것은 매우 유감스럽다. 통제받지 않는 국가 권력으로부터 국민의 자유와 권리를 보호해야할 사명을 지고 있는 헌법재판소가 보다 적극적인 판단으로 AI 학습데이터의 인권 기준에 대한 실체적 판단에 이르렀어야 했다. 동일하거나 유사한 형태로 공공기관이 보유한 데이터를 활용하여 AI 고도화 사업이 추진될 가능성이 얼마든지 존재한다는 점에서 헌법적 해명의 필요성이 긴절하였으나, 헌법재판소는 고유의 사명을 저버렸다.

앞으로도 우리 시민사회는 AI의 인권침해 문제에 대한 경각심을 놓치 않을 것이다. 특히 경찰을 비롯한 법집행기관이 공공장소에서 시민의 얼굴이나 동작 등 생체인식을 통해 실시간으로 식별하고 추적하는 사건이 발생할 경우 헌법적 정당성을 계속해서 묻고 추궁할것이다. 시민의 인권을 위협하는 AI 시스템은 우리의 미래가 될 수 없기 때문이다. 끝.

2026년 3월 3일

디지털정의네트워크, 민주사회를위한변호사모임 디지털정보위원회, 정보인권연구소, 참여연대

– 가명처리가 개인정보 처리 아니라는 대법원 파기환송심 재판 시작에 앞서 기자회견 개최

– 위헌법률심판제청신청서도 제출

1. 지난 7월 18일 대법원 제1부(재판장 대법관 마용주, 주심 대법관 서경환, 대법관 노태악, 대법관 신숙희)는 SK텔레콤(이하 ‘SKT’) 가입자들이 통신사를 상대로 개인정보 가명처리 정지를 요구하며 제기한 소송을 파기환송하였습니다(대법원 2025. 7. 18. 선고 2024다210554 판결). 이는 2021년 SKT 가입자들이 SKT를 상대로 개인정보의 가명처리 정지를 청구한 것에 대해 1심, 2심 모두 원고 승소 취지로 판결한 것을 뒤집은 것입니다.
2. 대법원은 파기환송 이유로 △ 개인정보보호법 제2조에서 ‘가명처리’와 ‘처리’ 를 구분하여 별도로 규정하고 있고, △ “가명처리”의 개념은 개인정보에 대한 식별의 위험성을 낮추는 방법이므로, 정보주체에 대한 권리 또는 사생활 침해의 위험을 발생시킬 수 있는 개인정보 “처리”와는 구별된다는 점, △ 가명정보 관련 조항의 입법 취지가 데이터의 이용을 활성화하기 위한 것이고, 신기술을 활용한 데이터 이용이 필요한 상황이라는 점을 제시하였습니다.
3. 그러나 이 같은 대법원의 파기환송 이유들은 개인정보보호법 규정을 무시한 것입니다. 왜냐하면 ① 개인정보보호법 제2조에서 ‘가명처리’와 ‘처리’ 를 구분한 것은 ‘가명처리’의 의미를 명확히 하기 위한 것이지, 이를 별도로 규정한 것이 두 개념이 별개라고 볼 수 없으며, ② ‘개인정보를 가명처리 하는 행위’ 그 자체는 다른 외국의 입법례에서도 확인할 수 있듯이 개인정보보호법 제2조 ‘처리’에서 제시한 “수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위”라는 점이 너무도 자명합니다.
4. 열람권, 정정요구권, 삭제권을 비롯해 처리정지권은 가장 기본적인 정보주체의 권리입니다. 자신의 정보가 어떻게 처리되고 있는지 열람할 수 없고, 필요시 처리정지권을 요구할 수 없다면 개인정보처리자인 기업의 손에 일단 개인정보가 넘어간 이후에는 정보주체가 통제하거나 감시할 수 있는 수단이 전혀 없는 것이나 마찬가지입니다.  특히 이용자의 동의없이 영리적 목적으로 이용자의 개인정보를 가명처리하는 것도 이용자의 권리를 제한하는 것인데, 이를 원하지 않는 이용자의 처리정지권을 행사하는 것은 그야말로 가명정보에 대한 정보주체의 최소한의 통제장치입니다. 특히 가명정보 특례에 따라 내가 원치 않더라도 과학적 연구목적, 통계 등의 목적이라면 정보주체의 동의없이도 가명처리된 가명정보를 마음껏 사고 팔수 있습니다. 이에 이용자들이 처리정지를 요구할 수조차 없다면, 개인정보자기결정권은 공허하고 무의미한 권리에 불과하게 될 것입니다.
5. 이에 민변 디지털정보위, 디지털정의네트워크(구 진보넷), 참여연대, 정보인권연구소는 오늘(11/6) 판기환송심 재판부 앞에서 기본권의 최후의 보루인 대법원이 오히려 기본권을 무력화시킨 판결을 규탄하며 파기환송심에서 법률과 헌법에 충실한 판결을 할 것을 촉구하는 기자회견을 개최하였습니다. 아울러 서울고등법원 파기환송심 재판부(제60민사부)에 원고들이 처리정지를 구하는 대상이 가명처리를 위한 일련의 전체 과정 중 일부 단계(그림에서 3단계)로서의 ‘가명처리’(즉, 대법원이 처리정지권을 인정하지 않은 가명처리)에 한정되지 않는다는 점에 대한 준비서면을 제출하였습니다.
6. 또한, 개인정보보호법 제2조(정의) 제2호의 ‘처리’의 개념에 ‘가명처리’가 포함되지 않은 것과 동법 제37조 제1항의 ‘개인정보 처리’에 ‘개인정보 가명처리’를 병기하지 않은 것의 위헌 여부를 확인해 달라는 위헌법률심판제청신청도 하였습니다. 끝

디지털정의네트워크 · 민주사회를 위한 변호사모임 디지털정보위원회 · 정보인권연구소 · 참여연대

▣ 붙임1 : 기자회견문

▣ 붙임2 : 참석자 주요 발언

– 기업의 무차별적 가명정보 활용에 대한 정보주체의 거의 유일한 권리, 처리정지권 보장해야
– 일시 장소 : 2025. 11. 6. (목) 14:30, 서울중앙지법 동문 앞

1.취지와 목적

지난 7월 18일 대법원 제1부(재판장 대법관 마용주, 주심 대법관 서경환, 대법관 노태악, 대법관 신숙희)는 SK텔레콤(이하 ‘SKT’) 가입자들이 통신사를 상대로 개인정보 가명처리 정지를 요구하며 제기한 소송을 파기환송하였습니다(대법원 2025. 7. 18. 선고 2024다210554 판결). 이는 2021년 SKT 가입자들이 SKT를 상대로 개인정보의 가명처리 정지를 청구한 것에 대해 1심, 2심 모두 원고 승소 취지로 판결한 것을 뒤집은 것입니다.

대법원은 파기환송 이유로 △ 개인정보보호법 제2조에서 ‘가명처리’와 ‘처리’ 를 구분하여 별도로 규정하고 있고, △ “가명처리”의 개념은 개인정보에 대한 식별의 위험성을 낮추는 방법이므로, 정보주체에 대한 권리 또는 사생활 침해의 위험을 발생시킬 수 있는 개인정보 “처리”와는 구별된다는 점, △ 가명정보 관련 조항의 입법 취지가 데이터의 이용을 활성화하기 위한 것이고, 신기술을 활용한 데이터 이용이 필요한 상황이라는 점을 제시하였습니다.

그러나 이 같은 대법원의 파기환송 이유들은 개인정보보호법 규정을 무시한 것입니다. 왜냐하면 ① 개인정보보호법 제2조에서 ‘가명처리’와 ‘처리’ 를 구분한 것은 ‘가명처리’의 의미를 명확히 하기 위한 것이지, 이를 별도로 규정한 것이 두 개념이 별개라고 볼 수 없으며, ② ‘개인정보를 가명처리 하는 행위’ 그 자체는 다른 외국의 입법례에서도 확인할 수 있듯이 개인정보보호법 제2조 ‘처리’에서 제시한 “수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위”라는 점이 너무도 자명합니다.

열람권, 정정요구권, 삭제권을 비롯해 처리정지권은 가장 기본적인 정보주체의 권리입니다. 자신의 정보가 어떻게 처리되고 있는지 열람할 수 없고, 필요시 처리정지권을 요구할 수 없다면 개인정보처리자인 기업의 손에 일단 개인정보가 넘어간 이후에는 정보주체가 통제하거나 감시할 수 있는 수단이 전혀 없는 것이나 마찬가지입니다.

특히 이용자의 동의없이 영리적 목적으로 이용자의 개인정보를 가명처리하는 것도 이용자의 권리를 제한하는 것인데, 이를 원하지 않는 이용자의 처리정지권을 행사하는 것은 그야말로 가명정보에 대한 정보주체의 최소한의 통제장치입니다. 특히 가명정보 특례에 따라 내가 원치 않더라도 과학적 연구목적, 통계 등의 목적이라면 정보주체의 동의없이도 가명처리된 가명정보를 마음껏 사고 팔수 있습니다. 이에 이용자들이 처리정지를 요구할 수조차 없다면, 개인정보자기결정권은 공허하고 무의미한 권리에 불과하게 될 것입니다.

이에 민변 디지털정보위, 디지털정의네트워크(구 진보넷), 참여연대, 정보인권연구소는 기본권의 최후의 보루인 대법원이 오히려 기본권을 무력화시킨 판결을 규탄하며 파기환송심에서 법률과 헌법에 충실한 판결을 할 것을 촉구하는 기자회견을 개최합니다.

2. 개요

○ 제목 : 가명처리가 개인정보 처리가 아니라는 대법원 파기환송 재판 시작에 앞선 기자회견 – 기업의 무차별적 가명정보 활용에 대한 최소한의 통제장치, 처리정지권 보장해야

○ 일시 및 장소 :  2025. 11. 6.(목) 오후 2시 30분(재판 15:25) / 서울중앙지법 동문 앞

○ 사회 : 이지은 참여연대 공익법센터 선임간사

○ 발언

□ 원고발언(소송 취지 및 경과) : 희우 (디지털정의네트워크)

□ 대법원 판결의 문제점 : 장선미 참여연대 공익법센터 운영위원(헌법학 박사)

□ 목적 외 이용 가능한 가명정보 시대에서 정보주체 권리인 처리정지권이 갖는 의미 : 정보인권연구소

○ 기자회견문 낭독

○ 장소 : 참여연대 2층 아름드리홀

□ 사회 : 이지은 (참여연대)

□ 발표 (각 5~10분)

3. 귀 언론사의 취재와 보도를 요청합니다. 끝.

11월 5일

디지털정의네트워크 · 민주사회를 위한 변호사모임 디지털정보위원회 · 정보인권연구소 · 참여연대

– By Maja Romano(APC)

We are pleased to share that the Association for Progressive Communications (APC), of which we are a member, has published an article highlighting our recent legal victory in advancing Big Tech transparency in South Korea. The case addressed the lack of transparency in the privacy policies of domestic and international Big Tech companies and their failure to respond responsibly to data subjects’ requests. This victory underscores the importance of our ongoing efforts to hold Big Tech accountable and to protect digital rights. You can read the full article on the APC website here.

On 24 July 2014, APC member Korean Progressive Network Jinbonet initiated a lawsuit against Google following revelations about mass surveillance by the United States National Security Agency (NSA) alongside partners from the Citizens’ Coalition for Economic Justice, Amnesty International Korea and the Citizens’ Action Network. The lawsuit called for transparency regarding the potential sharing of users’ personal data with intelligence agencies, with Jinbonet and partners demanding access to records that would confirm whether their data had been disclosed without consent.

Although the case was complicated by US confidentiality laws, which prevented full disclosure regarding possible intelligence agency access, the Supreme Court of Korea made a landmark ruling on 13 April 2023 that Google could not deny user access to third-party disclosure records purely on the basis of foreign confidentiality laws. As a result of the Supreme Court’s decision, the case was remanded to the High Court for further proceedings. While the remand trial was ongoing at the High Court, Jinbonet and Google reached a settlement to conclude the lawsuit.

Under the terms of the agreement, Google must now provide Korean users with greater transparency about the handling of their data, including individualised responses to requests regarding third-party data disclosures and the creation of clearer, Korean-language privacy tools. These changes will significantly enhance users’ ability to access, understand and challenge the ways their personal data is used or shared. According to Byoung-il Oh, president of Jinbonet:

Many companies, including Google, allow users to access certain categories of their personal information online. However, this does not extend to providing access to all personal information held by the company. In particular, service usage records are an example of personal information that is generally not fully accessible online. For this reason, even where companies provide some degree of online access to personal information, it remains essential that users retain the ability to request access to the personal information they specifically seek.

This case holds wide relevance for digital rights defenders and civil society groups globally as it highlights the power of sustained, collective legal action to challenge tech giants and enforce users’ rights under national legal frameworks. It also reveals the tensions between domestic privacy protections and international legal constraints, particularly those rooted in US law.

Jinbonet’s role was central in sustaining this long legal struggle and pushing for reforms that address the growing influence of big tech on privacy and data governance. To recognise over a decade of the pursuit of justice, we connected with Byoung-il Oh of Jinbonet to discuss the impact of this case and its relevance to digital rights defenders who may be facing similar legal challenges.

This interview has been edited for length and clarity.

Google has been asked to provide the plaintiffs with access to records indicating whether their personal data and service usage history were disclosed to third parties. What has it shared so far?

Google agreed, as part of the settlement, to provide the plaintiffs’ personal information and records of disclosure to third parties within a specified period, and has now fulfilled that undertaking. Most of the personal information was made accessible by directing the plaintiffs to Google’s Privacy Policy and to the relevant menus within their individual accounts, while certain categories of personal data were provided through downloadable links.

Furthermore, Google stated that it had not received any notice from US government authorities or other agencies indicating that the confidentiality obligations under US law concerning the plaintiffs’ personal information had been lifted. This means that, irrespective of whether the plaintiffs’ personal information was shared with US intelligence agencies, no notification of any release from confidentiality obligations had been received.

What would you highlight as major changes brought about by this recent agreement?

The Supreme Court rendered its decision in this case on 13 April 2023. Unlike the lower courts, the Supreme Court held that even if foreign laws impose a confidentiality obligation concerning the disclosure of personal information, such laws do not constitute an unconditional ground for refusing to comply with obligations under Korean law. Rather, the Court emphasised that it must be comprehensively considered whether the foreign law is compatible with the Constitution and statutes of the Republic of Korea, whether the need to respect such foreign law significantly outweighs the need to protect personal information, and whether the foreign law in fact imposes a substantive obligation of non-disclosure.

Furthermore, the Court made it clear that even where a confidentiality obligation under foreign law is recognised, a service provider must nonetheless notify the domestic user of the specific grounds for limitation or refusal by reference to the particular item requested. In addition, once the grounds for non-disclosure have ceased to exist, the provider must comply with the user’s request for disclosure of records concerning the provision of personal information. This holding carries significant meaning: whereas foreign enterprises had previously refused to comply with protective measures or users’ rights under Korean law by invoking foreign legislation, the Supreme Court clarified that Korean courts may substantively review obligations purportedly arising under foreign laws in order to safeguard the rights of users who receive services in Korea. The decision therefore represents an important precedent not only for the present case, but also for the broader protection of Korean users against transnational corporations.

Nevertheless, even after the Supreme Court’s judgement, Google continued to argue that, due to confidentiality obligations under US law, it could not confirm whether the plaintiffs’ personal information had been provided to US intelligence agencies. Under US law, if such a confidentiality obligation exists, even the fact of provision must remain undisclosed, making it difficult for Google to substantiate this point in Korean judicial proceedings. Moreover, where Google refrains from disclosing whether it is subject to such a confidentiality obligation, both the users (the plaintiffs) and the Korean courts face inherent limitations in uncovering the truth.

As a result, although it could not be confirmed whether the plaintiffs’ personal information had in fact been disclosed to US intelligence agencies (a negative aspect), the settlement with Google nevertheless served as a meaningful step toward enhancing the overall level of personal information protection for Korean users (a positive aspect).

Are there other concrete examples of the impacts of existing policy gaps regarding the obligations of big tech companies, and do you have plans to tackle these?

Beyond this litigation, we plan to continue addressing a wide range of issues caused by big tech companies. For example, earlier this year we filed a petition with the Personal Information Protection Commission against Meta and X for using users’ personal information for artificial intelligent (AI) training purposes without consent.

In addition, YouTube (operated by Google) blocked the channels of domestic civil society organisations and individuals without legitimate grounds. These channels included videos of citizens’ rallies protesting the imposition of martial law by a former president and calling for impeachment, raising suspicions that such videos formed the basis of the takedown. Even when appeals were filed, the channels were not restored.

Ultimately, it was only through indirect intervention via Google’s Global Human Rights Policy team that the channels were reinstated. We therefore intend to raise further concerns regarding YouTube’s unjustified restrictions on the rights of domestic users and the malfunctioning of its appeals process.

The spread of disinformation and hate speech through YouTube also constitutes a serious social problem. It was particularly shocking when the impeached former president was reported to have placed more trust in far-right YouTubers than in mainstream media. Yet the political establishment has sought to address this issue merely by strengthening criminal penalties for disinformation. Civil society organisations remain deeply concerned about the impact of big tech platforms such as YouTube on democracy, but think that harsher penalties for disinformation cannot serve as a true solution. On the contrary, there are serious concerns that such measures may be politically abused.

What in the Korean process can serve as inspiration for other countries or in the international debate on confidentiality and protection of users’ rights?

Particularly US-based big tech companies often invoke US law as a means of evading responsibility in other jurisdictions. However, when such companies conduct business in a given country, they are obliged to comply with that country’s laws and to respect the rights of its users accordingly.

That said, the case was not ultimately resolved through a final judgment on appeal but instead concluded by way of settlement. This reflected the continuing practical limitations in reaching and enforcing a definitive judicial determination, notwithstanding the Supreme Court’s decision. More broadly, significant challenges remain in ensuring that global big tech companies comply with national laws and protect users’ rights.

Nevertheless, this litigation demonstrates that progress can be achieved. Just as Google’s Korean Privacy Policy was improved in line with practices under the European Union General Data Protection Regulation (GDPR), it is necessary to continue efforts to make big tech’s business practices more transparent in each jurisdiction, and to expand practices most favourable to the protection of users’ rights.

Do you see these new policies having an impact beyond the court decision?

The settlement agreement not only requires Google to respond to the plaintiffs’ access requests (to the extent such responses are not precluded by confidentiality obligations under US law), but also obligates Google to implement changes to its privacy policies in order to enhance the overall level of personal information protection for Korean users.

1. Korean-language access request webform: Google shall provide a webform in Korean through which Korean users may submit personal information access requests. While such webforms were already available in Europe, Korean users had previously been required to submit such requests by email.

2. Explicit notice of US confidentiality limitations: Google shall expressly inform Korean users, through its Privacy Help Center page, that access to records of third-party disclosures of personal information may be restricted where US law imposes confidentiality obligations.

3. Individualised responses to disclosure requests: Where Korean users submit access requests concerning the provision of their personal information to government agencies, Google shall provide individualised responses regarding whether such disclosures occurred and whether the user was notified. In addition, where Korean users request confirmation of any release from confidentiality obligations under US law, Google shall provide individualized responses to such requests.

4. Enhanced supplementary information page: Google shall expand the supplementary information page for Korean users within its Privacy Policy to include more detailed explanations regarding the purposes of data processing and the categories of data processed for each purpose. While such a supplementary page previously existed, under the settlement Google has committed to provide substantially more detailed disclosures about its processing of personal information.

We have confirmed that Google has complied with these settlement obligations.

SKT가입자가 SKT를 상대로 개인정보 가명처리의 정지를 요구하였고, 사실심 법원은 모두 원고 승소 취지의 판결을 하였으나, 원고 패소 취지로 원심판결을 파기
“가명처리는 개인정보의 처리가 아니라는 판단”은 세계적으로 웃음거리가 될 것

1. 오늘(18일) 대법원 제1부(재판장 대법관 마용주, 주심 대법관 서경환, 대법관 노태악, 대법관 신숙희)는 SK텔레콤(이하 ‘SKT’) 가입자들이 통신사를 상대로 개인정보 가명처리 정지를 요구하며 제기한 소송을 파기환송하였다(대법원 2025. 7. 18. 선고 2024다210554 판결). 해당 판결의 제1심과 항소심은 모두 SKT 가입자들이 SKT를 상대로 개인정보의 가명처리 정지를 구할 수 있다는 원고 승소 취지의 판결을 하였다. 그런데 대법원은 납득할 수 없는 논거로 원심 법원의 판결을 정면으로 뒤집으며 파기환송 하였다. 우리 단체들은 개인정보 주체의 권리를 심각하게 박탈한 이번 대법원 판결을 강력히 규탄한다.

2. 지난 2021년 2월 원고들은 SKT를 상대로 개인정보를 가명처리하여 활용하는 행위를 정지하라는 내용의 제1심 소송을 제기하였다. 현행 「개인정보보호법」은 정보주체가 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자에게 요구할 수 있다(제35조제1항)는 점과 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구할 수 있음(제37조제1항)을 명시하고 있다. 이에 정보주체들은 개인정보처리자인 SKT가 가입자의 열람청구와 처리정지 요구를 받아들일 의무가 있다고 주장한 것이고, 사실심 법원은 모두 이러한 정보주체의 요구가 정당하다고 판단하였다. 그런데 대법원은 2025. 7. 18. ｢개인정보 보호법｣ 제37조 제1항 제1문의 처리정지 요구의 대상에 ‘개인정보의 가명처리’가 포함되지 않는다고 해석하며 원심을 파기환송한 것이다.

3. 대법원은 ① 개인정보보호법 제2조에서 ‘가명처리’와 ‘처리’ 를 구분하여 별도로 규정하고 있는 점, ② “가명처리”의 개념은 개인정보에 대한 식별의 위험성을 낮추는 방법이므로, 정보주체에 대한 권리 또는 사생활 침해의 위험을 발생시킬 수 있는 개인정보 “처리”와는 구별된다는 점, ③ 가명정보 관련 조항의 입법 취지가 데이터의 이용을 활성화하기 위한 것이고, 데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황이라는 점을 논거로 제시하였다.

4. 그러나 이 같은 대법원의 판단은 오히려 입법취지를 왜곡하고 있을 뿐 아니라 개인정보보호의 원칙에도 정면으로 위배된다. 첫째, 개인정보보호법 제2조에서 ‘가명처리’와 ‘처리’ 를 구분한 것은 ‘가명처리’의 의미를 명확히 하기 위한 것으로 이를 별도로 규정하고 있다하여 개념적인 외연의 구별을 의미한다고 볼 수 없다. 둘째, ‘개인정보를 가명처리 하는 행위’ 그 자체는 개인정보보호법 제2조 ‘처리’의 “수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위”라는 점이 자명하고 달리 해석할 여지가 없다. 특히, “가명정보”는 가명처리함으로써 원래의 상태로 복원하기 위하여 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보이지만, 동시에 추가 정보의 결합을 통하여 언제든지 특정 개인을 식별할 수 있다. 이에 개인정보보호법은 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보인 ‘익명정보’와 ‘가명정보’를 구분하고 있으며, 여전히 ‘가명정보’를 ‘개인정보’로 포섭하고 있다. 그럼에도 대법원은 식별 위험성이 낮아졌다는 사정만으로 ‘가명정보’를 마치 익명정보인 것처럼 창의적인 논리를 구성하고 있는 바, 이는 ‘개인정보’와 ‘처리’의 개념조차 이해하지 못한 판결이다. 셋째, 가명정보 관련 조항의 입법 취지가 데이터의 이용을 활성화한 것이고, 데이터 이용이 필요한 상황을 고려하더라도 그러한 취지와 필요만으로 명백한 개념 규정을 오독하는 것은 논리 조작이다. 한편, 같은 관점에서 개인정보보호위원회는 입법 취지를 고려하더라도 개인정보에 대한 가명처리를 ‘개인정보의 처리’로 보아 처리정지권이 인정된다고 해석하고 있는데, 최종적 해석은 법원에 있다고 하더라도 대법원은 전문성을 가진 행정기관의 해석에 대한 최소한의 이해도 없이 무리한 해석을 한 것이다.

5. 대법원 파기환송 취지에 따르면, 일단 통신사는 수집한 가입자 개인정보를 가명처리만 하면 가입자의 명확한 반대의사에도 불구하고 통신사가 자유롭게 가명정보를 활용할 수 있게 된다. 최근 SKT의 유심정보가 대량 유출되어 전 국민의 공분을 샀다. 이미 몇 년 전부터 SKT의 서버에 악성코드가 심어져 있었음에도 불구하고 SKT는 이를 전혀 인지하지 못했다. 과학적 연구를 명분으로 이용자 가명정보를 목적 외로 활용하고 제3자에게 제공하게 되면, 이용자의 개인정보는 더욱 위험에 처할 수밖에 없다. 그럼에도 불구하고, 대법원의 논리대로라면 이용자는 자기 개인정보에 대한 처리정지권리를 행사할 수 없게 된다. 개인정보를 가명처리하는 것이 개인정보 처리가 아니라는 취지의 이번 판결은 정보주체의 개인정보자기결정권을 심각하게 훼손하는 것이며, 가명처리는 안전조치의 하나로 당연히 개인정보 처리로 포섭하고 있는 다른 나라의 사례에 비추어 보아서도 전세계의 웃음거리가 될만한 판결이다.

6. 시민사회는 인권의 최후의 보루라고 불리는 대법원이 사실상 시민들의 개인정보 처리에 관한 권리를 박탈하였다는 사실을 믿기 어렵다. 정보주체의 가명처리에 대한 처리정지 요구는 정보주체가 가명정보에 대하여 행사할 수 있는 거의 유일한 권리이다. 다수의 하급심 판결은 오히려 정보주체의 권리를 보장하는 판결을 하였음에도 대법원이 뻔뻔하게도 법기술과 자본의 논리를 악용하여 마땅한 권리를 침해하였고, 법률의 명백한 규정에도 불구하고 산업발전을 위해 정보주체의 권리를 제한하는 내용으로 규정을 해석하였다. 최고 법원으로서의 권위를 유지할 수 없는 이 같은 논리모순적이고 자의적 법리해석이야말로 헌법재판소의 최종적인 판단이 필요하다는 점을 실감하게 한다. 개인정보 보호를 위해 활동해 온 우리 시민사회단체는 개인정보보호법 개정을 통해 정보주체의 처리정지 요구권이 실질적으로 보장될 수 있도록 총력을 기울일 것이다. 끝.

2025년 7월 18일

민주사회를 위한 변호사 모임 디지털정보위원회 ·정보인권연구소·진보네트워크센터·참여연대

– Lawsuit Against Google Concluded Through Settlement

A lawsuit filed by Korean human rights activists against Google LLC, seeking access to records of their personal data being disclosed to third parties such as intelligence agencies, has come to a close. The case began on July 24, 2014, in the wake of the U.S. National Security Agency (NSA)’s mass internet surveillance revelations. Six human rights activists affiliated with the Citizens’ Coalition for Economic Justice, Amnesty International Korea, Korean Progressive Network ‘Jinbonet’, and the Citizens’ Action Network filed a lawsuit against Google, demanding disclosure and access to records of whether their personal data had been shared with the NSA or other third parties. On June 2, 2025, the plaintiffs and Google reached an agreement through consultations on ways to improve the protection of Korean users’ personal data. Based on this agreement, both parties consented to a voluntary mediation at the Seoul High Court, thereby concluding the lawsuit.

Due to confidentiality obligations under U.S. law, it was not possible to confirm whether the plaintiffs’ personal data had been provided to U.S. intelligence agencies. However, the plaintiffs did receive personal data that was not subject to such confidentiality restrictions. Moreover, it is a meaningful outcome that Google agreed to improve its policies to better ensure Korean users’ right of access to their personal information. For more details, please refer to the press release below.

The impact of algorithms built by Big Tech companies using personal data is growing ever more significant—not only on democracy and human rights, but also on the economic order. In South Korea, concerns about the influence of YouTube’s personalized recommendation algorithms on democracy intensified during the recent period of martial law and presidential impeachment.

We urge the newly inaugurated government to pay close attention to the privacy policies of both domestic and global Big Tech companies and to take appropriate measures. We will continue our efforts to defend and promote digital rights.

[Press Release]
We Welcome the Agreement to Improve Privacy Policy and Ensure Users’ Right of Access
– Lawsuit Against Google Concluded Through Settlement –

1. A lawsuit filed by Korean human rights activists against Google LLC, seeking access to records of their personal data being disclosed to third parties such as intelligence agencies, has been concluded through a settlement. On June 2, 2025, following the case’s remand from the Supreme Court, the plaintiffs and Google reached an agreement after discussions on a constructive resolution. Under the terms of the settlement, Google agreed to inform the plaintiffs of any disclosures of their personal data to third parties as required by the Supreme Court ruling. Furthermore, Google committed to taking additional steps to improve its privacy policy for Korean users.
   
2. In June 2013, following Edward Snowden’s revelations of mass internet surveillance by the U.S. National Security Agency (NSA), six human rights activists affiliated with the Citizens’ Coalition for Economic Justice, Amnesty International Korea, Korean Progressive Network ‘Jinbonet’, and the Citizens’ Action Network filed a lawsuit against Google. They demanded access to and disclosure of any records indicating whether their personal data had been shared with the NSA or other third parties.
   
   Ultimately, on April 13, 2023, the Supreme Court of Korea partially overturned the lower court’s ruling and remanded the case to the Seoul High Court (Supreme Court Decision 2017Da219232, April 13, 2023). The Court held that Google could not refuse users’ requests to access records of third-party disclosures of their personal data solely on the grounds that certain U.S. laws impose confidentiality obligations. It also determined that further deliberation was needed to clarify the scope in which such requests could be lawfully denied.

3. Following the remand, the plaintiffs and Google reached the following agreement with a view to proactively improving the substantive level of personal data protection for Korean users, taking into comprehensive consideration the scope of Google’s services and the differences between domestic and international personal data protection laws.

   First, Google will fulfill its obligation, as confirmed by the Supreme Court ruling, to provide the plaintiffs with access to records indicating whether their personal data and service usage history were disclosed to third parties.

   Second, Google will verify whether it has received any notification from U.S. government agencies or other relevant bodies indicating that confidentiality obligations under U.S. law have been lifted with respect to the plaintiffs, and will provide the plaintiffs with a written statement accordingly.

   Third, within the limits of confidentiality obligations imposed by U.S. laws, Google has agreed to provide the following services for Korean users:

• Google will provide a personal data access web form page in Korean for users in Korea.

• Google will clearly inform Korean users on its Privacy Help Center page that access to records of third-party disclosures may be limited in cases where U.S. laws impose confidentiality obligations.

• When Korean users request access to records regarding the disclosure of their personal data to government agencies, Google will provide individualized responses regarding whether such disclosures occurred and whether the user was notified. Additionally, if users request confirmation of whether U.S. confidentiality obligations have been lifted, Google will provide individualized responses.

• Google will add detailed information on the purposes of data processing and the categories of data processed for each purpose in an additional privacy information page specifically for Korean users.

4. Although certain aspects could not be confirmed due to confidentiality obligations under U.S. law—such as whether the plaintiffs’ personal data had been disclosed to U.S. intelligence agencies—it is a positive outcome that users will now have broader and more convenient access to records of third-party disclosures of their personal data in other cases. Furthermore, we expect that Google’s policy improvements will lead to stronger protection of Korean users’ rights. 

June 2, 2025

Citizens’ Coalition for Economic Justice

Amnesty International Korea

Korean Progressive Network ‘Jinbonet’

Citizens’ Action Network

한국 인권활동가 구글 열람소송 11년만에 종결
“한국 이용자에 개인정보 열람메뉴 한국어 제공 합의”

– 새 정부에서 국내외 빅테크의 개인정보 정책에 각별한 관심과 대책 필요
※ 기자간담회: 2025년 6월 10일(화) 오전 10시30분, 경실련 강당 (서울 혜화역 인근)

1. 한국의 인권활동가들이 구글(Google LLC)에 자신의 개인정보를 정보기관 등 제3자에 제공한 내역의 열람을 요청한 소송이 마무리되었습니다(서울고등법원 2023나2015293). 원고들과 구글은 한국 이용자에 개인정보 열람메뉴를 한국어로 제공하기로 합의하였습니다. 원고들과 그 소속단체인 경제정의실천시민연합(경실련), 국제앰네스티 한국지부, 진보네트워크센터, 함께하는시민행동은 2025년 6월 10일 (화) 오전 10시30분 경실련 강당에서 기자간담회를 갖습니다.

2. 이 사건은 미 국가안전보장국(NSA)의 인터넷 대량감시 사건 이후, 2014년 7월 24일 경실련, 국제앰네스티 한국지부, 진보네트워크센터, 함께하는시민행동 소속 인권활동가 6명이 구글에 자신들의 개인정보를 NSA 등 제3자에게 제공한 내역을 열람, 제공할 것을 요구하는 소송을 제기하면서 시작되었습니다.

2023년 4월 13일, 대법원은 구글이 미국법상 비공개의무가 있다고 해서 개인정보 제3자 제공내역 등에 대한 이용자의 열람 요구를 거부할 수 없다며 원고들의 상고를 일부 인용하였고 이 사건을 파기환송했습니다(대법원 2023. 4. 13. 선고 2017다219232 판결).

2025년 6월 2일, 원고들과 구글은 그동안 한국 이용자의 개인정보보호 수준을 개선할 수 있는 사항에 관하여 협의하였고 이 협의에 따라 서울고등법원에서 임의조정에 쌍방 동의하면서 소송을 종결하였습니다(첨부 보도자료 참조). 구글은 미국 법령 상 비공개되는 부분을 제외하고 원고들의 개인정보 및 서비스이용내역을 제3자에게 제공한 내역에 대하여 열람 의무를 이행하기로 하였습니다. 특히 구글은 미국 법령 상 비공개의무를 위반하지 않는 범위에서 개인정보 열람 웹폼 페이지를 한국어로 제공하는 등 한국 이용자들을 위한 서비스를 제공하는 것으로 정책을 개선하였습니다.

미국 법령 상의 비공개의무 때문에 원고들의 개인정보가 미국의 정보기관에 제공되었는지 여부를 제한적으로 확인할 수 밖에 없었지만, 원고들은 약 11년 만에 이루어진 이번 합의로 한국 이용자의 개인정보 제3자 제공내역에 관해 열람권 보장이 강화되는 정책 개선이 이루어져 다행이라고 밝힙니다.

3. 최근 상당수 시민이 가입해 있는 통신사 SKT에서 대규모의 개인정보가 유출되면서 시민들의 걱정과 혼란이 계속되어 왔습니다. 빅테크 기업은 막대한 시민 개인정보를 보유하였다는 점에서 회사의 개인정보 정책이 시민의 정보인권에 중대한 영향을 미칩니다. 특히 빅테크 기업의 개인정보 정책이 잘못 운영될 경우 대규모 유출이나 제공으로 이어져 시민들이 막대한 피해를 감수할 수 밖에 없습니다. 그러나 국내외 빅테크 기업의 개인정보 정책은 그 정보주체인 시민들에게 충분히 투명하지 않고 정보주체 요청에 대해 책무성 있게 응답하지 않습니다.

더불어 빅테크 기업이 개인정보를 이용하여 구축한 알고리즘이 민주주의, 인권은 물론 경제질서에 미치는 영향도 갈수록 막대해지고 있습니다. 한국 사회도 계엄과 탄핵 국면에서 유튜브가 개인에게 맞춤으로 추천하는 알고리즘의 편향성이 민주주의에 미치는 영향에 대한 우려가 컸습니다.

원고 단체들은 새로 출범하는 정부가 국내외 빅테크 기업의 개인정보 정책에 각별한 관심을 두고 대책을 마련해야 한다고 요구합니다.

4. 이 사건이 우리 사회 개인정보 보호 현실에 던지는 의미를 고려하여 귀 언론사가 적극적으로 취재 및 보도하여 주실 것을 요청합니다. 끝.

기자간담회 개요

• 제목 : 한국 이용자 구글 열람권 소송 종결 기자간담회
• 일시 및 장소 : 일시장소: 2025년 6월 10일(화) 오전 10시 30분, 경실련 강당(서울 종로구 동숭3길 26-9)
• 공동주최 : 경실련, 앰네스티인터내셔널 한국지부, 진보네트워크센터, 함께하는시민행동
• 참석자
  사회 : 정남진(함께하는시민행동 사무처장)
  발언 :
  -소송의 취지와 경과: 오병일 (진보네트워크센터 대표)
  -소송의 결과와 의의: 양홍석 (법무법인이공 변호사)
  -빅테크 개인정보정책의 개선촉구: 윤철한 (경실련 기획연대팀 팀장)
• 문의 : 경실련 윤철한 기획연대팀 팀장 02-766-5626
  앰네스티인터내셔널 한국지부 장박가람 캠페인본부장 010-4694-7757
  진보네트워크센터 오병일 대표 02-774-4551
  함께하는시민행동 정남진 사무처장 02-921-4709
  법률대리인 법무법인이공 양홍석 변호사 02-2038-3620
• [첨부] 1. 원고들의 입장 보도자료
  2. 기자간담회 참석자 발표내용
  3. 판결문: 제1심(2015년, 2014가합38116), 제2심(2017년, 2015나2065729), 제3심(2023년, 2017다219232)

– 새 정부에서 국내외 빅테크의 개인정보 정책에 각별한 관심과 대책 필요
※ 기자간담회: 2025년 6월 10일(화) 오전 10시30분, 경실련 강당 (서울 혜화역 인근)

1. 한국의 인권활동가들이 구글(Google LLC)에 자신의 개인정보를 정보기관 등 제3자에 제공한 내역의 열람을 요청한 소송이 마무리되었습니다(서울고등법원 2023나2015293). 원고들과 구글은 한국 이용자에 개인정보 열람메뉴를 한국어로 제공하기로 합의하였습니다. 원고들과 그 소속단체인 경제정의실천시민연합(경실련), 국제앰네스티 한국지부, 진보네트워크센터, 함께하는시민행동은 2025년 6월 10일 (화) 오전 10시30분 경실련 강당에서 기자간담회를 갖습니다.

2. 이 사건은 미 국가안전보장국(NSA)의 인터넷 대량감시 사건 이후, 2014년 7월 24일 경실련, 국제앰네스티 한국지부, 진보네트워크센터, 함께하는시민행동 소속 인권활동가 6명이 구글에 자신들의 개인정보를 NSA 등 제3자에게 제공한 내역을 열람, 제공할 것을 요구하는 소송을 제기하면서 시작되었습니다.

2023년 4월 13일, 대법원은 구글이 미국법상 비공개의무가 있다고 해서 개인정보 제3자 제공내역 등에 대한 이용자의 열람 요구를 거부할 수 없다며 원고들의 상고를 일부 인용하였고 이 사건을 파기환송했습니다(대법원 2023. 4. 13. 선고 2017다219232 판결).

2025년 6월 2일, 원고들과 구글은 그동안 한국 이용자의 개인정보보호 수준을 개선할 수 있는 사항에 관하여 협의하였고 이 협의에 따라 서울고등법원에서 임의조정에 쌍방 동의하면서 소송을 종결하였습니다(첨부 보도자료 참조). 구글은 미국 법령 상 비공개되는 부분을 제외하고 원고들의 개인정보 및 서비스이용내역을 제3자에게 제공한 내역에 대하여 열람 의무를 이행하기로 하였습니다. 특히 구글은 미국 법령 상 비공개의무를 위반하지 않는 범위에서 개인정보 열람 웹폼 페이지를 한국어로 제공하는 등 한국 이용자들을 위한 서비스를 제공하는 것으로 정책을 개선하였습니다.

미국 법령 상의 비공개의무 때문에 원고들의 개인정보가 미국의 정보기관에 제공되었는지 여부를 제한적으로 확인할 수 밖에 없었지만, 원고들은 약 11년 만에 이루어진 이번 합의로 한국 이용자의 개인정보 제3자 제공내역에 관해 열람권 보장이 강화되는 정책 개선이 이루어져 다행이라고 밝힙니다.

3. 최근 상당수 시민이 가입해 있는 통신사 SKT에서 대규모의 개인정보가 유출되면서 시민들의 걱정과 혼란이 계속되어 왔습니다. 빅테크 기업은 막대한 시민 개인정보를 보유하였다는 점에서 회사의 개인정보 정책이 시민의 정보인권에 중대한 영향을 미칩니다. 특히 빅테크 기업의 개인정보 정책이 잘못 운영될 경우 대규모 유출이나 제공으로 이어져 시민들이 막대한 피해를 감수할 수 밖에 없습니다. 그러나 국내외 빅테크 기업의 개인정보 정책은 그 정보주체인 시민들에게 충분히 투명하지 않고 정보주체 요청에 대해 책무성 있게 응답하지 않습니다.

더불어 빅테크 기업이 개인정보를 이용하여 구축한 알고리즘이 민주주의, 인권은 물론 경제질서에 미치는 영향도 갈수록 막대해지고 있습니다. 한국 사회도 계엄과 탄핵 국면에서 유튜브가 개인에게 맞춤으로 추천하는 알고리즘의 편향성이 민주주의에 미치는 영향에 대한 우려가 컸습니다.

원고 단체들은 새로 출범하는 정부가 국내외 빅테크 기업의 개인정보 정책에 각별한 관심을 두고 대책을 마련해야 한다고 요구합니다.

4. 이 사건이 우리 사회 개인정보 보호 현실에 던지는 의미를 고려하여 귀 언론사가 적극적으로 취재 및 보도하여 주실 것을 요청합니다. 끝.

기자간담회 개요