IT 회사가 회원정보를 가명처리하면 통계 작성에 동의 없이 써도 되나요?

Q

IT 회사에서 회원 서비스를 운영하고 있습니다. 회원 연령대별·지역별 이용 현황 통계를 작성하려고 이름과 연락처를 지우고 회원번호를 임의의 값으로 바꿔, 따로 보관하는 추가 정보 없이는 누구인지 알 수 없게 처리하려 합니다. 이렇게 가명처리하면 회원 동의 없이 통계 작성에 써도 되는지, 협력 회사가 가진 가명정보와 합쳐서 분석하려면 어떻게 해야 하는지 궁금합니다.

A
Expert Profile
로시컴 법률정보 LAWSEE.COM
가명처리한 정보는 통계작성 등의 목적이라면 정보주체의 동의 없이 처리할 수 있습니다. 다만 다른 회사가 가진 가명정보와 합치는 결합은 회사끼리 직접 할 수 없고, 지정된 전문기관이 수행해야 합니다. 개인정보 보호법 제2조 제1호의2는 가명처리를 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것이라고 정합니다. 같은 조 제1호 가목은 성명 등을 통하여 개인을 알아볼 수 있는 정보를 개인정보로 정하고, 같은 호 다목은 이렇게 가명처리하여 원래 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보를 가명정보라고 정합니다. 가명정보도 개인정보의 한 종류로 정의되어 있습니다. 같은 조 제2호는 개인정보의 수집, 생성, 가공, 이용 등을 처리라고 정하므로, 가명정보를 만들어 통계를 작성하는 일도 개인정보의 처리입니다. 개인정보 보호법 제28조의2 제1항은 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다고 정합니다. 같은 조 제2항은 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안 된다고 정합니다. 개인정보 보호법 제28조의3 제1항은 통계작성 등을 위한 서로 다른 개인정보처리자 간의 가명정보 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행한다고 정합니다. 같은 조 제2항은 결합을 수행한 기관 외부로 결합된 정보를 반출하려는 개인정보처리자는 가명정보 등으로 처리한 뒤 전문기관의 장의 승인을 받아야 한다고 정하고, 같은 조 제3항은 결합 절차와 방법 등을 대통령령에 맡깁니다. 질문하신 처리는 이름과 연락처를 지우고 회원번호를 대체해 추가 정보 없이는 누구인지 알 수 없게 하는 것이므로 가명처리이고, 그 결과물은 가명정보입니다. 목적이 회원 이용 현황 통계 작성이므로 제28조의2 제1항에 따라 회원 동의 없이 처리할 수 있습니다. 이 조항이 동의 없는 처리를 허용하는 대상은 가명정보이므로, 이름과 연락처가 남아 있는 원래의 개인정보를 그대로 쓰는 경우에는 이 조항이 근거가 되지 않습니다. 협력 회사의 가명정보와 합치는 것은 서로 다른 개인정보처리자 간 결합이므로 두 회사가 직접 합칠 수 없고 지정 전문기관에 결합을 맡겨야 하며, 결합된 정보를 밖으로 가져오려면 전문기관의 장의 승인을 받아야 합니다. 작성한 통계나 가명정보를 협력 회사 등 제3자에게 제공하는 경우에는 제28조의2 제2항에 따라 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안 됩니다. 구체적인 사안은 변호사와 상담하시기 바랍니다. ※ 2026년 10월 현행 법령을 기준으로 정리한 일반 정보입니다. 개별 사안은 전문가와 상담하세요.
이 사례로 변호사에게 상담하기
온라인 상담하기
상담사례 더 보기 →