학습 데이터도 개인정보다 — 이러닝 플랫폼의 개인정보보호법 준수 실무

🔍 교과서를 만들던 교사 957명의 전화번호가 새어나갔다

2024년 12월, 교육부 산하 한국교육학술정보원(KERIS)에서 AI 디지털교과서 수업설계안 개발에 참여하던 교사 957명의 휴대전화 번호와 이메일 주소가 유출되는 사고가 발생했다. 그리고 다섯 달 뒤인 이듬해 봄, 이번에는 AI 디지털교과서 적용을 위한 교사 연수를 준비하는 과정에서 약 1만 명에 달하는 교사의 성명·소속 학교·휴대폰 번호가 또다시 유출됐다. 같은 기관에서 반년 사이 두 차례 반복된 이 사고는 교육 데이터를 다루는 시스템이 얼마나 쉽게, 그리고 반복적으로 개인정보를 흘릴 수 있는지를 보여주는 사례로 남았다.

이 사고들이 유출한 것은 이름과 연락처였지만, 이러닝 플랫폼이 실제로 쌓아가는 데이터는 이보다 훨씬 세밀하다. 학습시간, 성취수준, 진도율, 접속시간, 커뮤니티 참여도까지 — 이 모든 것이 학습자 개인의 일상 행동을 추론할 수 있는 데이터다. 이러닝 플랫폼을 만들거나 도입하는 입장에서 “학습 이력쯤이야”라고 가볍게 여기기 쉽지만, 개인정보보호법과 GDPR 모두 이 데이터를 명백한 개인정보로 취급한다. 이 글은 이러닝 플랫폼이 실제로 지켜야 할 개인정보보호 실무를 국내외 규제와 실제 사고·제재 사례를 통해 짚는다.

🕰️ 왜 지금 이 문제가 커졌나 — 이러닝 성장과 규제 강화의 동시 진행

이러닝 시장이 폭발적으로 성장한 지난 몇 년 사이, 개인정보 규제 역시 병행해서 강화됐다. 유럽에서는 GDPR이 이미 시행 중이고, 미국은 아동 대상 서비스에 적용되는 COPPA(아동 온라인 개인정보보호법) 규칙을 2025년 개정했으며, 한국은 개인정보보호법 개정을 통해 위탁·국외이전·가명처리에 관한 규정을 지속적으로 세분화해왔다. 동시에 교육 데이터를 노린 사이버 공격도 함께 늘었다. 2025년 한 해 동안 교육기관 대상 사이버 공격은 31% 급증했고, 미국 교육 부문의 평균 데이터 유출 비용은 사상 최고치인 1,022만 달러(약 140억 원)를 기록했다. 교육기관은 주당 평균 2,507건의 사이버 공격 시도에 노출돼 있으며, 2020년 이후 미국에서만 180만 명 이상의 학생이 유출 피해를 입었다.

이런 배경에서 미국에서는 FERPA(가족 교육권 및 프라이버시법)만으로는 부족하다는 지적이 이어지며 130개 이상의 주(州) 학생 데이터 보호법이 별도로 생겨났다. 여러 주에 걸쳐 서비스하는 벤더는 결국 가장 엄격한 기준에 맞춰 시스템을 설계해야 하는 상황이 됐다. FERPA 자체는 위반 시 직접적인 벌금을 부과하지 않지만, 위반이 확인된 교육기관은 연방 지원금이 끊길 수 있다는 점에서 재정적 타격이 작지 않다. 여기에 주(州)별 개별법까지 겹치면서, 미국 시장을 겨냥한 이러닝 벤더는 사실상 연방법 하나가 아니라 100개가 넘는 법을 동시에 고려해야 하는 부담을 안게 됐다. 규제가 하나로 통일되지 않고 여러 층위로 쌓이는 이 흐름 자체가, 이러닝 플랫폼 운영사가 개인정보보호를 나중에 덧붙이는 기능이 아니라 처음부터 설계에 반영해야 하는 이유다.

이 이중 압박 — 규제는 늘어나고 공격은 거세지는 상황 — 은 국내 이러닝 사업자에게도 예외가 아니다. 한국에서는 개인정보보호위원회가 2025년 생성형 AI 개발·활용을 위한 개인정보 처리 안내서를 발표해 AI 학습에 개인정보를 활용할 때의 원칙을 구체화했다. 이러닝 플랫폼이 학습 이력 데이터를 AI 추천·적응형 학습 기능에 활용하려 한다면, 이 안내서가 요구하는 최소한의 원칙 — 목적 명확화, 최소 수집, 안전조치 — 을 먼저 충족해야 한다.

💻 학습 데이터는 왜 생각보다 민감한가

진도율 하나가 아니라, 행동 패턴 전체가 쌓인다

이러닝 플랫폼이 수집하는 데이터를 나열하면 언뜻 무해해 보인다. 로그인 시간, 강의 시청 완료율, 퀴즈 점수, 게시판 글쓰기 빈도 정도다. 그러나 이 항목들이 통합 DB에 장기간 누적되면 이야기가 달라진다. 한 개인정보 관련 분석은 이런 학습 정보가 통합 DB에 누적될 경우 학생의 일상 행동 감시로 이어질 수 있는 오남용 우려가 있다고 지적한다. 언제 접속해 얼마나 오래 머물렀는지, 어떤 콘텐츠에서 자주 이탈했는지를 장기간 추적하면 개인의 생활 패턴, 집중력, 심지어 정서 상태까지 추론할 수 있는 프로필이 만들어질 수 있다.

이것이 바로 개인정보보호법이 이런 데이터를 “민감하지 않은 부가 정보”가 아니라 “그 자체로 보호해야 할 개인정보”로 다루는 이유다. 항목 하나하나는 단순해 보여도, 결합되고 누적되는 순간 개인을 촘촘하게 재구성할 수 있는 데이터가 된다는 점을 설계 단계에서부터 전제해야 한다.

연구윤리 심사망을 빠져나가는 사각지대

더 구조적인 문제도 있다. 학습분석(Learning Analytics) 연구에 대한 윤리 검토는 종종 허점을 남긴다. 많은 기관에서 연구윤리심의위원회(IRB)가 학습분석 프로젝트를 “평가” 또는 “프로그램 검토”로 분류해 별도의 심사나 사전 동의 절차 없이 진행하도록 허용하는 경우가 많다는 것이다. 즉 같은 데이터를 다루더라도 “연구”라는 이름표가 붙지 않으면 동의 절차 자체가 생략될 수 있는 제도적 사각지대가 존재한다. 예측 분석 도구가 “위험군 학생”을 식별하는 데 쓰일 경우, 이 결과가 입학 심사나 이후 기회 제한에 악용될 수 있다는 우려도 함께 제기된다.

이 사각지대가 특히 문제인 이유는, 이러닝 플랫폼을 운영하는 실무자 입장에서는 “서비스 품질 개선을 위한 정상적인 로그 분석”이라고만 여기기 쉽기 때문이다. 하지만 그 로그가 개인을 특정할 수 있는 형태로 장기간 보관되고, 그 결과가 승진·평가·입학 같은 실질적 의사결정에 연결되는 순간부터는 단순한 서비스 로그가 아니라 개인의 권리·의무에 영향을 미치는 프로파일링으로 성격이 바뀐다. 이 경계를 스스로 판단하기 어렵다면, 개인정보보호책임자(CPO)나 법무 담당자와 함께 데이터 활용 범위를 사전에 검토하는 절차를 두는 것이 안전하다.

📊 숫자로 보는 교육 데이터 유출의 규모

교육 부문 데이터 유출은 더 이상 예외적 사건이 아니라 통계로 확인되는 만성적 리스크다. 아래 수치는 국내외 조사에서 공통으로 확인되는 규모를 보여준다.

🔍 사례 하나 — 반년 새 두 번, 같은 기관에서 반복된 교사 정보 유출

앞서 도입부에서 언급한 KERIS 사고는 국내 교육 데이터 유출의 대표 사례다. 2024년 12월 AI 디지털교과서 수업설계안 개발에 참여한 교사 957명의 휴대전화 번호·이메일이 유출된 데 이어, 2025년 봄 교사 연수 준비 과정에서 약 1만 명의 교사 성명·소속 학교·휴대폰 번호가 다시 유출됐다. 시민단체 오픈넷은 개인정보보호 대책이 마련되지 않으면 AI 디지털교과서 개발 자체를 유예해야 한다고 요구했다. 같은 기관에서 반년 새 반복된 유출이라는 점은, 한 번의 사고 대응만으로는 구조적 문제가 해결되지 않는다는 것을 보여준다.

주목할 점은 두 사고 모두 학습자(학생)가 아니라 교사의 개인정보가 유출됐다는 것이다. 이는 개인정보보호를 “학생 보호”라는 좁은 틀로만 바라보면 놓치게 되는 지점을 보여준다. 이러닝 플랫폼은 학습자뿐 아니라 강사·운영진·행정 담당자 등 시스템에 접근하는 모든 이해관계자의 개인정보를 함께 다루며, 이들에 대한 보호 수준이 낮으면 전체 시스템의 신뢰도가 함께 흔들린다.

🔍 사례 둘 — 아동 데이터, 벌금 규모가 다르다

미국에서는 아동 대상 서비스의 개인정보 위반에 특히 무거운 제재가 내려진다. 2025년 12월, 디즈니는 아동 대상 유튜브 영상에서 보호자 동의 없이 아동 데이터를 수집했다는 연방거래위원회(FTC)의 혐의를 해소하기 위해 1,000만 달러의 벌금을 부과받는 데 연방법원의 승인을 받았다. 같은 해 코그노스피어(Cognosphere)는 보호자 동의 없이 아동의 개인정보를 수집한 혐의로 2,000만 달러의 합의금을 지불했다. FTC는 2025년 COPPA 규칙을 개정해 생체 식별 정보를 개인정보 범주에 새로 포함시켰고, 광고주에게 아동 데이터를 제공하려면 별도의 동의를 받도록 강화했다. 위반 시 건당 최대 5만 3,088달러의 민사 제재금이 부과될 수 있으며, FTC는 아동 프라이버시를 2026년 최우선 집행 과제로 꼽고 있다.

두 사례가 이러닝 사업자에게 주는 시사점은 벌금 액수 자체보다 위반 구조에 있다. 디즈니 사례는 아동 대상 콘텐츠라는 사실을 인지하고도 보호자 동의 절차를 생략한 경우였고, 코그노스피어 사례 역시 아동임을 알 수 있는 서비스에서 사전 동의를 건너뛴 경우였다. 즉 기술적 결함이 아니라 절차의 부재가 거액의 제재로 이어졌다는 공통점이 있다. 이는 아무리 정교한 암호화나 접근제어를 갖췄더라도, 애초에 동의를 받아야 할 시점에 그 절차 자체를 건너뛰면 기술적 보안 수준과 무관하게 법 위반이 성립한다는 뜻이기도 하다. 아동·청소년 대상 이러닝 서비스를 운영한다면, 연령 확인과 보호자 동의 절차를 기술적으로 우회할 수 없게 만드는 것이 벌금을 피하는 가장 확실한 방법이다.

⚠️ 사례 셋 — 학습 데이터와 감시의 경계가 흐려지는 순간

이 문제는 학생만의 문제가 아니다. 2026년 5월, 메타(Meta)가 AI 모델 학습을 위해 직원의 컴퓨터 활동을 추적하는 도구를 운영해온 것이 알려지며 EU에서 개인정보 규정 위반 논란이 확산됐다. 결국 메타는 해당 추적을 중단했다. 이 사례가 이러닝과 직접 연결되는 지점은 이렇다 — 기업교육(이러닝) 데이터 역시 “임직원의 역량을 파악하기 위한 학습 데이터”라는 이름으로 수집되지만, 그 데이터가 근태·성과 감시로 전용될 위험은 항상 존재한다. 노동 데이터 활용을 다루는 국내 논의에서도, 고용계약서에 명시되지 않은 형태로 노동자의 데이터를 포획하는 것을 기업들은 당연시하지만 노동자는 그에 대한 보상도, 거부할 권리도 갖지 못하는 경우가 많다는 지적이 나온다. 기업교육용 학습관리시스템을 도입할 때도 이 데이터가 순수한 교육 목적을 벗어나 인사 평가나 감시 도구로 전용되지 않도록 하는 내부 통제가 필요한 이유다.

이 경계가 흐려지는 것을 막으려면 기술적 조치만으로는 부족하다. 학습 데이터의 수집 목적과 접근 권한을 인사팀·교육팀이 각각 분리해서 관리하고, 학습 이력이 인사 평가 시스템으로 자동 전달되지 않도록 시스템 설계 단계에서부터 경계를 명확히 그어야 한다. 임직원에게도 이 경계가 어디까지인지 사전에 투명하게 공지해, “내가 교육을 듣는 모습이 그대로 평가에 반영될 수 있다”는 불안감 자체가 학습 참여를 위축시키지 않도록 하는 것이 중요하다.

🎁 규제 비교 — GDPR·한국 개인정보보호법·미국 FERPA·COPPA

이러닝 플랫폼이 마주하는 규제는 서비스 대상 지역에 따라 달라지며, 여러 규제가 동시에 적용되는 경우도 흔하다.

🧭 전문가 시각 — 동의만으로는 부족하다

정보윤리 연구자 — “접근 가능성과 침해성은 다른 문제다”

학습분석의 정보윤리를 다루는 연구자들은 학생 프라이버시 문제를 정보 접근성, 정보 수집 방식의 침해성, 이익과 위험의 분배가 정당한지, 학생의 자율성이라는 네 갈래로 구분해 분석한다. 데이터에 접근할 수 있다는 것과, 그 접근이 윤리적으로 정당하다는 것은 전혀 다른 문제라는 지적이다.

고등교육 연구자 — “명시적 동의 메커니즘이 필요하다”

고등교육 학습분석의 동의 절차를 연구한 논문은 현재 대다수 기관이 학생의 자율성과 프라이버시를 보호할 명시적 동의 메커니즘을 갖추지 못했다고 지적하며, 이를 보완할 정보 제공 기반 동의(informed consent) 모델을 제안한다. 즉 학습분석을 “서비스 이용약관에 묻어가는 포괄 동의”가 아니라 별도로 설명하고 동의를 구해야 할 영역으로 다뤄야 한다는 것이다.

학생 당사자 — “핏빗을 차고 있는 기분”

학습분석에 대한 학생들의 태도를 조사한 연구에서는 한 학생이 자신의 학습 데이터가 추적되는 경험을 “학습판 핏빗(Fitbit)을 차고 있는 것 같다”고 표현한 사례가 소개된다. 이 비유는 데이터 수집이 유용할 수 있다는 점은 인정하면서도, 지속적으로 관찰당하고 있다는 감각 자체가 학습 경험에 영향을 준다는 것을 보여준다.

세 전문가 시각을 종합하면 결론은 하나로 모인다 — 데이터를 모을 수 있다는 기술적 가능성과, 그것을 모아도 된다는 윤리적·법적 정당성은 서로 다른 질문이라는 것이다. 이러닝 플랫폼을 설계하는 입장에서는 이 두 질문을 각각 별도로 점검하는 습관이 필요하다.

⚖️ 반론과 한계 — 개인정보보호와 학습 효과 사이의 긴장

여기까지의 논의가 자칫 “학습 데이터를 최대한 적게 모으는 것이 정답”이라는 인상을 줄 수 있지만, 실제로는 그렇게 단순하지 않다. 적응형 학습, 학습 부진 조기 발견, 개인 맞춤 피드백처럼 이러닝의 핵심 가치로 꼽히는 기능 다수가 결국 이 학습 데이터를 필요로 한다. 데이터를 지나치게 제한하면 이런 기능 자체가 불가능해진다. 그래서 실무에서 흔히 택하는 절충안이 가명처리다. 개인정보보호법상 가명처리는 추가 정보 없이는 특정 개인을 알아볼 수 없도록 일부를 삭제하거나 대체하는 방식으로, 통계 작성이나 학습 효과 분석 같은 목적에는 원본 개인정보 없이도 가명처리된 데이터로 상당 부분 대응할 수 있다. 다만 가명처리가 만능은 아니다 — 여러 데이터를 조합하면 재식별이 가능한 경우도 있어, 가명처리 수준과 재식별 위험을 주기적으로 재평가해야 한다는 것이 실무자들의 공통된 조언이다.

결국 개인정보보호와 학습 효과라는 두 목표는 대립 관계가 아니라, 어떤 데이터를 얼마나 오래·어떤 형태로 보관할지를 설계하는 문제로 치환할 수 있다. 원본 개인정보가 필요한 순간(예: 개별 학습자에게 직접 피드백을 전달하는 시점)과, 원본이 필요 없는 순간(예: 전체 학습자의 평균 진도율 추이를 분석하는 시점)을 구분해 설계하면, 데이터 활용성과 개인정보보호 수준을 동시에 확보하는 것이 가능하다.

💼 실전 가이드 — 이러닝 플랫폼이 갖춰야 할 개인정보보호 체크리스트

• 수집 항목과 목적을 처리방침에 빠짐없이 명시: 진도율·평가 점수·접속 로그처럼 통합 DB로 관리되는 항목일수록 목적을 구체적으로 밝힌다.
• 위탁·국외이전 계약 점검: 클라우드 호스팅, 분석 도구 등 제3자에게 데이터 처리를 맡길 경우 개인정보보호법 제26조(위탁)·제28조의8(국외이전) 요건에 맞는 계약 조항을 갖춘다.
• 아동 대상 서비스는 보호자 동의 절차를 별도 설계: COPPA 2025 개정 기준으로 생체정보까지 포함해 보호자의 명시적 동의 없이는 수집하지 않는다.
• 가명처리·재식별 위험을 주기적으로 재평가: 학습 분석·통계 목적에는 가명처리 데이터를 우선 활용하고, 조합 시 재식별 가능성을 정기적으로 점검한다.
• 학습 데이터가 인사·감시 목적으로 전용되지 않도록 내부 통제: 기업교육 이러닝의 경우 학습 데이터와 근태·성과 평가 데이터를 명확히 분리하고, 그 경계를 임직원에게 투명하게 공지한다.
• 보유기간을 설정하고 파기 절차를 자동화: 목적 달성 후에도 무기한 보관되는 학습 로그가 없도록 보유기간을 명시하고 자동 파기 프로세스를 마련한다.
• 연구·통계 목적은 원본이 아닌 가명처리 데이터로 우선 대응: 개별 피드백처럼 원본이 꼭 필요한 경우를 제외하면, 집계·분석 목적에는 가명처리 데이터를 기본값으로 삼는다.

❓ 자주 묻는 질문

학습 진도율이나 퀴즈 점수도 개인정보에 해당하나요?

그렇다. 특정 개인을 식별할 수 있는 정보와 결합되면 진도율·점수·접속 로그 모두 개인정보보호법상 개인정보에 해당한다. 통합 DB로 누적될 경우 오남용 우려가 더 커진다는 지적도 있다.

가명처리를 하면 개인정보보호 의무에서 완전히 자유로워지나요?

아니다. 가명처리는 재식별 위험을 낮추는 조치일 뿐 완전한 익명화와는 다르다. 여러 데이터를 조합하면 재식별이 가능한 경우가 있어 지속적인 재평가가 필요하다.

해외 클라우드 서버에 학습 데이터를 저장해도 되나요?

개인정보보호법상 국외이전은 원칙적으로 제한되며, 정보주체 동의 등 법이 정한 예외 요건을 충족해야 한다. 국외이전 여부와 조건을 사전에 명확히 검토해야 한다.

기업교육(사내 이러닝) 데이터도 이 규제를 적용받나요?

그렇다. 임직원의 학습 데이터 역시 개인정보이며, 특히 이 데이터가 인사 평가나 감시 목적으로 전용될 경우 노동법적 쟁점까지 함께 발생할 수 있다.

아동 대상 이러닝 서비스는 무엇을 가장 먼저 갖춰야 하나요?

보호자의 검증 가능한 사전 동의 절차다. 2025년 개정된 COPPA 기준으로는 생체 식별 정보까지 포함해 동의 없이 수집해서는 안 되며, 광고 목적 제공에는 별도 동의가 필요하다.

개인정보 유출 사고가 나면 어떤 조치가 우선인가요?

사고 인지 즉시 유출 범위를 파악해 정보주체에게 통지하고 관계기관에 신고하는 것이 원칙이다. 국내 KERIS 사례처럼 반복 사고를 막으려면 사고 대응 이후 구조적 재발 방지 대책까지 마련해야 한다.

💡 결론 — 개인정보보호는 기능이 아니라 설계 원칙이다

학습 데이터를 다루는 이러닝 플랫폼에게 개인정보보호는 나중에 추가하는 보안 기능이 아니라, 처음부터 데이터 흐름 설계에 반영해야 하는 원칙이다. 반년 새 두 번 반복된 국내 교사 정보 유출, 아동 데이터로 수천만 달러 벌금을 문 해외 기업들의 사례는 모두 “나중에 고치면 된다”는 태도가 얼마나 위험한지를 보여준다. 동시에 개인정보보호가 곧 데이터 활용의 포기를 뜻하지도 않는다. 가명처리와 명확한 동의 절차, 목적 제한을 갖추면 적응형 학습 같은 데이터 기반 기능과 개인정보보호는 양립할 수 있다. 결국 신뢰할 수 있는 이러닝 플랫폼이란 기능이 화려한 플랫폼이 아니라, 어떤 데이터를 왜 모으고 언제 지우는지를 이용자에게 명확히 설명할 수 있는 플랫폼이다. 자사 서비스의 개인정보 처리 방침과 이용약관이 실제로 이 기준을 충족하는지 궁금하다면 개인정보처리방침 페이지를 참고하고, 구체적인 도입 검토는 문의를 통해 상담해보길 권한다.

📎 출처

• 경향신문, 한국교육학술정보원 교사 개인정보 유출 보도(2024년 12월)
• Open Net, AI 디지털교과서 개인정보보호 대책 마련 촉구 자료
• 개인정보보호위원회, 생성형 AI 개발·활용을 위한 개인정보 처리 안내서(2025)
• 국가법령정보센터, 개인정보 보호법 제26조(위탁)·제28조의8(국외이전)
• FTC, COPPA 2025 개정 규칙 및 디즈니·코그노스피어 합의금 발표 자료
• Secure Privacy·UpGuard, FERPA·GDPR 학생 데이터 보호 가이드(2026)
• 교육 부문 데이터 유출 통계 종합 자료(2025년 사이버공격 증가율·평균 유출 비용)
• 학습분석 정보윤리 및 학생 프라이버시 연구(The Information Society 외 학술 논문)
• 고등교육 학습분석 정보 제공 동의 모델 연구(International Journal of Educational Technology in Higher Education)
• 미주 한국일보·AI벤처타임스, 메타 직원 AI 학습용 추적 논란 보도(2026)