3장. 학생 데이터와 아동 보호

학습 목표

• 학생 글과 기록이 개인정보가 되는 조건을 "다른 정보와 쉽게 결합해 알아볼 수 있는지"로 판단한다.
• 만 14세 미만 아동의 개인정보 처리에서 법정대리인 동의, 동의 확인, 알기 쉬운 고지의 요건을 설명한다.
• 학생 기록을 수집 목적 밖에 쓰거나 외부에 제공할 때 필요한 근거와 학교생활기록의 별도 제한을 구분한다.
• 외부 AI 서비스의 학습 사용, 보관 기간, 위탁 관계, 국외 이전, 연령 기준을 각각 확인한다.
• 학생 정보를 넣지 않고 AI를 쓰는 방법 가운데 수업 목표와 상황에 맞는 것을 고른다.

들어가며

어느 담임교사가 학기말 상담 일지를 정리하다 지쳐, 개인 휴대전화의 무료 AI 앱에 상담 일지 몇 쪽을 붙여 넣고 "요약해 줘"라고 입력했습니다. 이름은 이니셜로 바꾸었으니 괜찮다고 생각했습니다. 그런데 요약에는 "부모의 실직으로 급식 지원을 받기 시작한 J", "작년에 전학 온 쌍둥이 중 동생" 같은 문장이 그대로 남아 있었습니다. 같은 반 학생이라면 누구인지 금방 알 수 있는 내용입니다. 그리고 그 내용은 이제 학교가 관리하지 않는 서비스의 서버에 있습니다.

학생 정보는 다른 개인정보보다 더 조심스럽게 다뤄야 합니다. 학생은 대부분 미성년자이고, 학교와 교사에게 정보를 줄지 말지 선택하기 어려운 위치에 있으며, 학교 기록은 오래 남아 진학과 진로에 쓰입니다. 그래서 개인정보 보호법은 아동을 위한 별도 조항을 두고, 초·중등교육법은 학교생활기록의 외부 제공을 따로 제한합니다.

이 장은 학생 정보가 개인정보가 되는 조건에서 시작해, 처리의 원칙과 근거, 만 14세 미만 아동의 동의, 목적 외 이용과 학교생활기록의 제공 제한을 차례로 봅니다. 이어서 외부 AI 서비스의 데이터 조건을 읽는 법, 서비스의 연령 기준과 보호자 안내, 그리고 학생 정보를 넣지 않고 AI를 쓰는 방법을 정리합니다.

핵심 개념

학생 글은 언제 개인정보인가

개인정보 보호법 제2조제1호는 개인정보를 살아 있는 개인에 관한 정보로서 다음 중 하나에 해당하는 것으로 정의합니다.

• 성명, 주민등록번호, 영상 등을 통해 개인을 알아볼 수 있는 정보(가목)
• 해당 정보만으로는 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보(나목). 쉽게 결합할 수 있는지는 다른 정보의 입수 가능성 등 개인을 알아보는 데 드는 시간, 비용, 기술을 합리적으로 고려해 판단합니다.
• 가명처리한 정보로서 추가 정보 없이는 알아볼 수 없는 정보, 곧 가명정보(다목)

학생 글에서 중요한 것은 나목입니다. 이름과 학번을 지워도 "○○동 세탁소를 하는 부모님", "작년에 전학 온 쌍둥이", "지난달 다리를 다쳐 깁스를 한 일"처럼 같은 반이나 같은 학년이라면 누구인지 알 수 있는 단서가 남아 있으면, 그 글은 여전히 개인정보일 수 있습니다. 학급은 작은 공동체라서 결합할 "다른 정보"가 아주 가까이에 있습니다.

처리 원칙

개인정보 보호법 제3조는 처리의 원칙을 정합니다. AI를 쓸 때 특히 자주 쓰이는 것은 다음과 같습니다.

"처리"의 범위도 넓습니다. 제2조제2호는 수집, 생성, 저장, 보유, 가공, 편집, 검색, 출력, 이용, 제공, 공개, 파기 등을 모두 처리로 봅니다. AI 서비스에 붙여 넣는 순간 그 정보는 이미 처리되고 있습니다.

처리 근거와 학교

개인정보를 수집하고 이용하려면 근거가 필요합니다. 제15조제1항은 정보주체의 동의, 법률의 특별한 규정이나 법령상 의무, 공공기관의 소관 업무 수행, 계약의 체결·이행, 급박한 생명·신체·재산의 이익, 개인정보처리자의 정당한 이익, 공중위생 등 공공의 안전을 근거로 듭니다.

학교는 어떤 근거를 쓸까요? 개인정보 보호법 시행령 제2조는 「초·중등교육법」, 「고등교육법」 등에 따라 설치된 각급 학교를 공공기관의 범위에 넣습니다. 그래서 학교는 법령이 정한 소관 업무(교육, 학교생활기록 작성 등)를 위해 불가피한 범위에서 개인정보를 처리할 수 있습니다. 하지만 소관 업무 밖의 새로운 서비스, 예를 들어 학생이 직접 가입하는 외부 AI 학습 앱을 학교가 새로 도입하면서 학생 정보를 처리하게 한다면, 동의 같은 다른 근거가 필요할 수 있습니다.

동의를 받을 때는 제15조제2항에 따라 다음 네 가지를 알려야 합니다.

1. 개인정보의 수집·이용 목적
2. 수집하려는 개인정보의 항목
3. 개인정보의 보유 및 이용 기간
4. 동의를 거부할 권리가 있다는 사실과, 거부에 따른 불이익이 있다면 그 내용

동의서에 앱의 효과 자료나 AI 모델 이름을 아무리 자세히 적어도 이 네 가지가 빠지면 법이 요구한 고지가 아닙니다. 그리고 "동의하지 않으면 수행평가 점수를 줄 수 없다"처럼 불이익을 앞세우면 사실상 동의를 강요하게 됩니다. 동의하지 않는 학생을 위한 대체 활동을 마련하는 것이 맞습니다.

만 14세 미만 아동

제22조의2는 아동을 위한 세 가지 규칙을 둡니다.

1. 법정대리인 동의와 확인(제1항). 만 14세 미만 아동의 개인정보를 처리하기 위해 이 법에 따른 동의를 받아야 할 때는 법정대리인의 동의를 받아야 하며, 법정대리인이 동의했는지 확인해야 합니다.
2. 최소한의 직접 수집(제2항). 법정대리인의 동의를 받기 위해 필요한 최소한의 정보, 곧 법정대리인의 성명과 연락처는 법정대리인 동의 없이 아동에게서 직접 받을 수 있습니다(시행령 제17조의2제2항).
3. 알기 쉬운 고지(제3항). 만 14세 미만 아동에게 개인정보 처리에 관한 사항을 알릴 때는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 써야 합니다.

동의 확인 방법은 시행령 제17조의2제1항이 정합니다. 동의 표시를 확인했다고 법정대리인 휴대전화 문자로 알리는 방법, 법정대리인의 신용카드·직불카드 등의 카드정보를 제공받는 방법, 휴대전화 본인인증, 서면에 서명날인을 받는 방법, 전자우편으로 동의 의사를 받는 방법, 전화로 동의를 받는 방법, 그리고 이에 준하는 방법입니다.

두 가지를 혼동하지 마세요. 첫째, 제1항은 "동의가 필요할 때" 법정대리인의 동의를 받으라는 것이지, 만 14세 미만의 모든 정보 처리에 동의가 필요하다는 뜻이 아닙니다. 다른 근거로 처리하는 경우도 있습니다. 둘째, 법정대리인이 동의했다고 아동에게 알기 쉽게 알릴 의무가 없어지지는 않습니다. 성인용 개인정보 처리방침을 그대로 붙인 안내문은 제3항에 맞지 않습니다.

목적 외 이용과 제공

제18조제1항은 개인정보를 수집 근거의 범위를 넘어 이용하거나 제3자에게 제공하지 못하게 합니다. 제2항은 예외를 둡니다. 정보주체의 별도 동의, 다른 법률의 특별한 규정, 급박한 생명·신체·재산의 이익 등입니다. 일부 예외는 공공기관에만 적용되는데, 예를 들어 목적 외로 이용·제공하지 않으면 다른 법률이 정한 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우, 범죄 수사, 재판 업무 수행 등이 그렇습니다. 별도 동의를 받을 때는 제공받는 자, 이용 목적, 항목, 보유 기간, 거부할 권리와 불이익을 알려야 합니다(제3항).

교육 현장의 예를 들면 이렇습니다. 반 배정을 위해 받은 레벨 테스트 결과로 AI 진로 추천을 만들어 개인별로 알림을 보내는 일, "학습 질문 응답"에 쓴다고 알린 대화 로그로 중도 포기 위험을 예측하는 일은 수집 목적 밖의 이용입니다. 좋은 목적이라도 근거를 마련해야 합니다. "이미 적법하게 가지고 있는 정보"라는 사실은 새 목적의 근거가 되지 못합니다.

학교생활기록과 제3자 제공

학교생활기록은 개인정보 보호법 외에 초·중등교육법이 따로 다룹니다. 제25조는 학교의 장이 인적사항, 학적사항, 출결상황, 자격증 및 인증 취득상황, 교과학습 발달상황, 행동특성 및 종합의견 등을 교육부령 기준에 따라 작성·관리하게 하고, 이를 교육정보시스템으로 작성·관리하게 합니다.

제30조의6제1항은 학교의 장이 학교생활기록과 학교보건법에 따른 건강검사기록을 해당 학생(미성년자면 학생과 보호자)의 동의 없이 제3자에게 제공하지 못하게 합니다. 예외는 감독·감사 권한이 있는 행정기관의 업무, 상급학교 학생 선발, 통계작성과 학술연구 목적으로 당사자를 알아볼 수 없는 형태로 제공하는 경우, 수사, 재판, 그 밖에 관계 법률에 따른 경우입니다. 자료를 받은 자는 본래 목적 외에 쓸 수 없습니다(제3항).

그래서 외부 연구소나 에듀테크 기업이 "AI 모델 연구"를 이유로 학생부 자료를 요청하면, 학생·보호자 동의를 받거나 당사자를 알아볼 수 없는 형태로만 제공할 수 있습니다. 비밀유지 계약을 맺고 열람자를 줄이는 것은 좋은 보호 조치이지만 법이 정한 요건을 대신하지 못합니다.

민감정보

제23조는 사상·신념, 노동조합·정당 가입, 정치적 견해, 건강, 성생활 등에 관한 정보와, 그 밖에 사생활을 현저히 침해할 우려가 있는 정보로서 대통령령으로 정하는 정보(시행령 제18조: 유전정보, 범죄경력자료, 특정 개인을 알아볼 목적으로 만든 생체인식정보, 인종이나 민족에 관한 정보)를 민감정보로 보고, 별도 동의나 법령의 근거가 없으면 처리하지 못하게 합니다. 처리할 때는 안전성 확보 조치를 해야 합니다(제2항).

상담 기록과 학생의 자기 이야기 글에는 건강이나 신념 같은 법정 민감정보와, 가족 상황이나 정서 상태 같은 민감한 사생활 정보가 함께 들어 있는 경우가 많습니다. 후자는 법정 민감정보가 아니어도 노출되면 피해가 크므로 같은 수준으로 조심합니다. AI로 요약이나 분석을 하고 싶다면 먼저 "이 목적에 민감한 내용이 꼭 필요한가"를 묻고, 필요하지 않다면 넣지 않습니다. 중도 포기 예측처럼 민감한 정보가 들어갈 위험이 큰 분석은 건강 관련 내용을 빼고, 결과를 불이익이 아닌 지원에만 쓰도록 설계합니다.

외부 AI 서비스와 위탁

학교가 외부 AI 서비스에 학생 글을 보내 분석이나 피드백을 받을 때, 업체가 학교의 업무를 학교의 관리·감독 아래 대신 처리한다면 업체는 수탁자가 됩니다. 반대로 업체가 받은 학생 정보를 자체 모델 학습처럼 자기 목적으로도 쓴다면, 위탁이 아니라 제3자 제공에 해당하는지와 그에 맞는 별도 근거를 검토해야 합니다. 학습 미사용 조건을 확인하는 이유가 여기에도 있습니다. 제26조는 위탁에 다음을 요구합니다.

데이터 조건(학습 사용, 보관 기간)을 확인했다고 끝이 아닙니다. 그 조건을 위탁 문서에 담고, 위탁 사실을 공개하고, 지키는지 점검해야 합니다. 그리고 사고가 나면 위탁자인 학교가 대응의 주체입니다.

데이터 조건을 읽는 다섯 질문

AI 서비스의 약관과 데이터 처리 조건을 읽을 때는 다섯 질문을 따로따로 확인합니다.

1. 학습 사용: 입력한 내용이 모델 학습이나 개선에 쓰이는가? 기본값은 무엇이고 끌 수 있는가?
2. 보관 기간: 입력과 대화 기록은 얼마나 보관되고 언제 삭제되는가? 학습에 쓰지 않아도 보관은 할 수 있습니다.
3. 계정 유형: 개인 계정과 기관 계약 계정의 조건이 같은가? 같은 회사의 같은 모델이라도 계약에 따라 조건이 다를 수 있습니다.
4. 처리 관계와 위치: 업체가 학교를 대신해 처리하는가(위탁)? 데이터가 국외에서 처리·보관되는가?
5. 연령 기준: 서비스가 이용을 허용하는 최소 연령과 보호자 허락 요건은 무엇인가?

국외 이전은 금지가 아니라 요건의 문제입니다. 제28조의8제1항은 개인정보의 국외 제공·처리위탁·보관을 원칙적으로 금지하면서 예외를 둡니다. 정보주체의 별도 동의, 법률·조약의 특별한 규정, 정보주체와의 계약의 체결·이행에 필요한 처리위탁·보관으로서 이전 사항을 처리방침에 공개하거나 알린 경우, 이전받는 자가 보호위원회가 고시한 인증을 받고 안전조치·권리보장 조치와 이전 국가에서 인증 사항을 이행할 조치를 모두 한 경우, 보호 수준이 실질적으로 동등하다고 인정된 국가로 이전하는 경우입니다. 학교와 업체 사이의 계약만으로 셋째 예외가 충족되는 것은 아닙니다. "서버가 국외에 있으면 무조건 안 된다"도, "국외여도 아무 문제 없다"도 틀립니다.

홍보 문구와 인증 마크는 이 다섯 질문의 답이 아닙니다. 답은 계약서, 데이터 처리 부속서, 개인정보 처리방침 같은 문서에 있습니다.

연령 기준과 보호자 안내

서비스 약관의 연령 기준은 법령과 별개로 학교가 지켜야 할 이용 조건입니다. 예를 들어 OpenAI의 교육자 안내 도움말은 이용자가 만 13세 이상이어야 하고 13세부터 18세 사이 이용자는 부모나 보호자의 허락이 있어야 한다고 설명합니다. UNESCO는 2023년 생성형 AI 교육·연구 지침을 발표하며 교실에서 AI 도구를 쓰는 연령 기준을 13세로 제시하고, 데이터 프라이버시 보호와 연령에 맞는 접근을 강조했습니다.

이를 바탕으로 학생 활동을 설계하면 다음과 같습니다.

학급 공용 계정 하나로 돌려 쓰게 하는 방법은 연령 기준과 보호자 허락 요건을 우회할 뿐 아니라, 누가 무엇을 입력했는지 관리할 수도 없게 만듭니다. 만 14세 이상이면 개인정보 처리에 스스로 동의할 수 있다는 사실도 약관의 보호자 허락 요건을 없애지 못합니다.

학생 정보를 빼고 AI를 쓰는 방법

많은 경우 학생 정보를 아예 넣지 않고도 AI의 도움을 받을 수 있습니다.

학교가 승인한 도구에 원하는 기능이 없다고 개인 계정의 무료 AI로 옮기는 것은 답이 아닙니다. 이니셜로 바꾸거나 학습 설정을 꺼도, 내용으로 학생을 알아볼 위험과 학교가 관리하지 않는 곳에 보관되는 위험이 남습니다.

처리의 끝: 파기와 사고 대응

보유기간이 지나거나 목적을 이뤄 불필요해진 정보는 지체 없이 파기해야 합니다(제21조제1항). 다만 다른 법령에 따라 보존해야 하는 정보는 예외이며, 이때는 다른 개인정보와 분리해 보관합니다(제3항). 학교생활기록처럼 법령이 보존을 정한 기록을 목적 달성만으로 지우면 안 됩니다. AI 도구를 쓸 때는 업로드한 파일, 도구 안의 대화 기록, 내려받은 결과물까지 파기 대상에 포함하세요. 처리하는 동안에는 제29조에 따라 내부 관리계획, 접속기록 보관 같은 안전성 확보 조치를 합니다.

개인정보 보호법은 분실·도난·유출·위조·변조·훼손을 묶어 "유출등"이라고 부릅니다(제23조제2항). 유출등을 알게 되면 제34조에 따라 지체 없이 정보주체에게 유출등이 된 항목, 시점과 경위, 피해를 줄이기 위한 방법, 대응 조치와 피해 구제 절차, 신고를 받을 담당 부서, 손해배상·분쟁조정 같은 법적 권리와 행사 방법 등을 알려야 합니다. 대통령령이 정한 유출등의 가능성을 알게 된 경우에도 해당 정보주체에게 피해를 줄이기 위한 정보 등을 알려야 하고(제2항), 회수·삭제 같은 피해 확산 방지 조치를 해야 하며(제3항), 시행령이 정한 요건에 해당하면 보호위원회나 전문기관에 신고해야 합니다(제4항). 학교에서는 개인정보 보호책임자에게 바로 보고하는 것이 첫걸음입니다(5장).

깊이 읽기

이름을 지운 글은 익명인가

개인정보 보호법 제58조의2는 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보에는 이 법을 적용하지 않는다고 정합니다. 흔히 익명정보라고 부르는 정보입니다. 학생 글에서 이 기준을 맞추기는 생각보다 어렵습니다. 학급과 학년이라는 작은 집단에서는 글의 주제, 가족 이야기, 특별한 경험, 심지어 문체까지 단서가 됩니다.

그래서 실무에서는 "익명"이라고 단정하기보다 "학생을 알아볼 수 있는 단서를 최대한 지운 글을 학교가 승인하고 관리하는 도구에서만 처리한다"는 두 겹의 보호를 씁니다. 첫 겹(단서 삭제)이 완벽하지 않을 수 있으니 두 번째 겹(승인된 도구, 위탁 계약, 보관 기간)을 둡니다. 반대로 승인된 도구라고 해서 첫 겹을 생략할 이유도 없습니다. 최소 처리는 도구와 관계없는 원칙입니다.

약관 연령과 법정 연령이 다를 때

개인정보 보호법의 기준 연령은 만 14세이고, 많은 AI 서비스의 약관은 13세와 18세를 기준으로 씁니다. 두 기준은 서로 다른 질문에 답합니다. 법은 "누구의 동의가 유효한가"를 정하고, 약관은 "누가 이 서비스를 쓸 수 있고 어떤 조건이 필요한가"를 정합니다.

그래서 두 기준을 모두 만족해야 합니다. 만 15세 학생은 개인정보 보호법상 개인정보 처리에는 스스로 동의할 수 있지만, 약관이 18세 미만에게 보호자 허락을 요구하면 보호자 허락이 필요합니다. 만 12세 학생은 보호자가 동의하더라도 약관이 13세 미만의 이용을 막으면 이용할 수 없습니다. 시험 문제에서 학생의 나이와 약관 조건이 함께 나오면, 두 기준을 따로 대입해 보세요.

학생 계정을 열 것인가, 교사가 시연할 것인가

학생이 직접 AI를 써 보는 경험은 AI 리터러시 교육에 큰 가치가 있습니다. 질문을 바꿔 가며 결과가 어떻게 달라지는지, AI가 언제 틀리는지 손으로 확인할 수 있기 때문입니다. 하지만 학생 계정은 연령 기준, 보호자 허락, 데이터 조건, 계정 관리라는 비용을 함께 가져옵니다.

교사 시연은 이 비용 없이 상당 부분의 학습 목표를 이룹니다. 학생이 질문을 설계하고, 교사가 대신 입력하고, 결과를 함께 비판하는 방식이면 질문 설계와 결과 검증이라는 핵심 역량을 기를 수 있습니다. 반면 학생 각자가 화면에서 직접 시행착오를 겪어야 하는 실습(예를 들어 프로그래밍 오류 해석)이라면 시연으로는 부족합니다. 선택은 "학생이 이 활동에서 무엇을 배워야 하는가"와 "학생 계정을 열 조건이 갖춰졌는가"를 함께 보고 해야 합니다.

실무 장면

들꽃초등학교: AI 독서 앱과 동의서

들꽃초등학교는 4학년 학생 96명(만 9~10세)에게 AI 독서 앱을 도입하려 했습니다. 앱은 학생이 쓴 감상문을 읽고 질문을 던지며, 독서 기록을 저장합니다. 업체는 "교육용으로 안전하게 설계된 앱"이라는 홍보 자료와 함께, 독서량이 늘었다는 다른 학교 사례를 보내왔습니다.

담당 교사가 처음 만든 동의서 초안에는 앱의 효과 자료, AI 모델 이름, 그리고 "동의하지 않으면 독서 수행평가에 참여할 수 없습니다"라는 문장이 들어 있었습니다. 정보부장은 이 초안에서 세 가지를 고쳤습니다. 첫째, 제15조제2항이 요구하는 네 가지(목적, 항목, 보유 기간, 거부권과 불이익)를 표로 정리했습니다. 둘째, 거부 시 불이익 문장을 지우고 "동의하지 않으면 종이 독서 기록장으로 같은 활동을 합니다"라는 대체 활동 안내로 바꾸었습니다. 셋째, 효과 자료와 모델 이름은 참고 자료로 따로 뺐습니다.

학생들이 모두 만 14세 미만이므로 동의는 법정대리인에게 받고, 시행령 제17조의2의 방법 가운데 학교 가정통신 시스템의 본인인증 방식으로 확인하기로 했습니다. 학생에게는 별도로 그림이 들어간 한 쪽짜리 안내문을 만들어, "앱이 내 감상문을 어디에, 얼마 동안 보관하는지"를 쉬운 말로 설명했습니다.

계약 과정에서 업체가 학생 감상문을 학교를 대신해 저장·분석한다는 점이 확인되어, 학교는 위탁 문서에 목적 외 처리 금지와 보관 기간(학년 말 삭제)을 적고, 학교 누리집의 개인정보 처리방침에 수탁자를 공개했습니다. 버린 선택지는 "업체 홍보 자료를 믿고 바로 도입한다"와 "동의 대신 학교장 명의의 일괄 안내로 대신한다"였습니다.

산마루고등학교: 개인 계정 사고 뒤의 재정비

산마루고등학교의 한 교사가 진로 상담 기록 20여 건을 개인 계정 AI에 넣어 요약했다는 사실이 동료의 문제 제기로 알려졌습니다. 교사는 "이름은 지웠다"고 했지만, 기록에는 학생의 건강 문제와 가족 사정이 담겨 있었습니다.

학교의 개인정보 보호책임자는 먼저 사실관계를 확인했습니다. 어떤 기록이, 어느 서비스에, 언제 입력되었는지, 그 서비스의 보관 조건이 무엇인지, 대화 기록을 삭제할 수 있는지를 정리하고, 가능한 범위에서 대화 기록을 삭제하게 했습니다. 그리고 이 사안이 유출등에 해당하는지, 정보주체 통지와 신고가 필요한지를 법에 따라 판단하는 절차를 밟았습니다.

재발 방지를 위해 학교는 두 가지를 바꾸었습니다. 하나는 교사용 AI 사용 안내서에 학생 정보의 종류별 처리 방법을 표로 넣은 것입니다. 상담 기록과 건강 정보는 AI에 넣지 않고, 학생 글은 단서를 지운 뒤 승인된 도구에서만, 문항 통계처럼 개인을 알아볼 수 없는 자료는 자유롭게 분석할 수 있게 했습니다. 다른 하나는 승인된 도구에 요약 기능이 없다는 현장의 불만을 받아들여, 교사가 일반화한 주제 목록만 넣어 정리하는 방법을 연수에서 시연한 것입니다. 학교가 버린 선택지는 "AI 사용을 전면 금지한다"였습니다. 금지만으로는 교사들이 더 보이지 않는 곳에서 쓰게 될 위험이 있다고 판단했기 때문입니다.

자주 틀리는 지점

1. "이름과 학번을 지웠으니 개인정보가 아니다." 지우기 쉬운 것을 지웠으니 안심되지만, 내용 속 단서로 같은 반 학생은 누구인지 알 수 있습니다. 다른 정보와 쉽게 결합해 알아볼 수 있으면 개인정보입니다.
2. "학습 설정을 끄면 개인 계정에 넣어도 된다." 학습에 쓰이지 않는 것과 보관되지 않는 것은 다르고, 학교가 관리하지 않는 곳으로 옮기는 문제도 남습니다.
3. "보호자가 동의했으니 아이에게 따로 알릴 필요는 없다." 법정대리인 동의와 아동에게 알기 쉽게 알릴 의무는 별개입니다.
4. "만 14세 이상이면 약관과 관계없이 본인 동의로 충분하다." 법정 동의 연령과 서비스 약관의 보호자 허락 요건은 다른 질문에 답합니다. 둘 다 지켜야 합니다.
5. "이미 가진 정보이니 좋은 목적이면 써도 된다." 수집 목적 밖의 이용에는 별도 동의 같은 근거가 필요합니다.
6. "비밀유지 계약을 맺으면 학생부를 넘겨도 된다." 학교생활기록의 제3자 제공은 학생·보호자 동의나 법이 정한 예외(학술연구라면 알아볼 수 없는 형태)가 있어야 합니다.
7. "서버가 국외면 절대 안 된다." 국외 이전은 요건을 갖추면 가능한 처리입니다. 무조건 배제도, 무조건 허용도 틀립니다.
8. "공용 계정으로 돌려 쓰면 연령 문제를 피할 수 있다." 연령 기준과 보호자 허락 요건을 우회하는 것이고, 입력 관리도 불가능해집니다.

한눈에 정리

공식 문서로 확인하기

• 국가법령정보센터 — 개인정보 보호법 제2조 — 개인정보, 가명정보, 처리의 정의를 원문으로 확인하세요.
• 국가법령정보센터 — 개인정보 보호법 제3조 — 처리 원칙 여덟 항을 읽으세요.
• 국가법령정보센터 — 개인정보 보호법 제22조의2 — 아동의 개인정보 보호 네 항입니다.
• 국가법령정보센터 — 개인정보 보호법 시행령 제17조의2 — 법정대리인 동의 확인 방법을 확인하세요.
• 국가법령정보센터 — 개인정보 보호법 제26조 — 위탁 문서, 공개, 감독 의무를 확인하세요.
• 국가법령정보센터 — 초·중등교육법 제30조의6 — 학교생활기록 제3자 제공 제한과 예외를 읽으세요.
• OpenAI Help — How can educators respond to students presenting AI-generated content as their own? — 이용 연령과 보호자 허락 요건이 적힌 교육자 안내입니다.
• UNESCO — Governments must quickly regulate Generative AI in schools — 교실 AI 도구의 연령 기준(13세)과 교사 연수 촉구를 확인하세요.

셀프 체크

3-1. 개인정보 보호법이 "다른 정보와 쉽게 결합하여 알아볼 수 있는 정보"를 판단할 때 고려하라고 한 요소를 쓰고, 학급이라는 환경이 이 판단을 왜 더 엄격하게 만드는지 설명하라.

3-2. 개인정보 보호법 제3조의 원칙 가운데 AI에 무엇을 넣을지 정할 때 직접 쓰이는 세 가지를 고르고 한 줄씩 풀어 쓰라.

3-3. 만 14세 미만 아동에 관한 제22조의2의 세 가지 규칙을 쓰고, 법정대리인에게서 동의 여부를 확인하는 방법을 시행령에서 두 가지 들라.

3-4. 동의서에 반드시 알려야 하는 네 가지를 쓰고, 동의하지 않는 학생에게 불이익을 주는 대신 무엇을 준비해야 하는지 말하라.

3-5. 학교생활기록을 외부에 제공할 수 있는 예외 가운데 연구와 관련된 것을 정확히 쓰고, 비밀유지 계약이 이를 대신하지 못하는 이유를 설명하라.

3-6. AI 서비스의 데이터 조건을 읽을 때 확인할 다섯 질문을 쓰고, "학습에 쓰지 않는다"는 문구만으로 답할 수 없는 질문을 하나 고르라.

3-7. 법정 동의 연령(만 14세)과 서비스 약관의 연령 기준이 서로 다른 질문에 답한다는 말의 뜻을 예를 들어 설명하라.

3-8. (설계 과제) 여러분 학교에서 학생 정보가 들어갈 수 있는 AI 활용 장면 세 가지를 골라, 각각 "학생 정보를 빼고 AI를 쓰는 방법" 표의 어느 방법을 쓸지와 그 이유를 쓰라.

실습 과제