제2025-011-028호

안건번호 : 제2025-011-028호
안건명 : AI 디지털교과서 사전실태점검 결과에 관한 건
신청인 : 한국교육학술정보원 (사업자등록번호 : )대구광역시 동구 동내로 64, 1층(동내동)대표자
의결연월일 : 2025. 5. 14.

1. 피심인에 대하여 다음과 같이 시정을 권고한다.
가. AI 디지털 교과서 통합포털의 개인정보 수집ㆍ이용ㆍ제공 시 처리되는 개인정보 항목, 목적, 보유기간 등을 동의서 또는 개인정보처리방침 등에 명확히 고지할 것
나. 국가수준학습데이터셋 76종 개인정보의 항목별 처리 목적을 명확하게 정립하고, 처리하기로 결정한 개인정보에 대해서는 개인정보보호법에 따라 정확성ㆍ완전성ㆍ최신성을 보장할 것
다. 피심인은 시정권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회 이행 결과 및 계획을 제출할 것
2. 피심인에 대하여 다음과 같이 개인정보 처리실태의 개선을 권고한다.
가. AI 디지털교과서 통합포털 시스템에 대해 ISMS-P 인증을 취득하여 개인정보의 안전성 확보조치 수준을 제고하되, 과목별 웹사이트가 연동되어 있는 점을 고려하여 개발사와 공동으로 신청ㆍ취득ㆍ유지 할 수 있는 방안을 마련할 것
나. AI 디지털교과서 통합포털 시스템 대상 개인정보영향평가를 재 실시 하고 개인정보보호법상 공공시스템(집중관리시스템)에 준하는 안전성 확보조치 의무를 준수할 것
다. 정보주체 권리행사(민원요청 등) 시 대응 체계(예: 통합CS)를 정비하고, 학습 이력 기록정보의 정확성ㆍ완전성ㆍ최신성 확보 방안을 개발사와 공동으로 마련할 것
라. 피심인은 '가’부터 '다’.까지의 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅰ. 기초 사실

한국교육학술정보원(이하 '피심인’)은 교육부가 지난 ’25.3월부터 도입ㆍ운영하고 있는 AI 디지털교과서(이하 'AIDT’)에서 관련 통합포털(이하 'AIDT 통합포털’) 서비스를 이용자(학생ㆍ교사)에게 제공하면서 개인정보를 처리하는 「개인정보 보호법(이하 '보호법’)에 따른 '개인정보처리자’로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=160623923" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과

1. 점검 개요

개인정보보호위원회(이하 '위원회’)는 피심인이 운영하고 있는 AIDT 통합포털 서비스에서 방대한 양의 학생 학습데이터가 처리되는 등 서비스 운영과정에서 발생할 수 있는 개인정보 오ㆍ남용 등 개인정보 침해 우려가 있어 피심인에 대한 사전 실태점검에 착수하였다.

위원회는 피심인의 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사(’25. 2. 27. ～ '25. 4. 16.)하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 수집 현황

피심인은 AIDT 통합포털을 운영하면서 정보주체 동의 등을 통해 포털 이용자(학생ㆍ교사)의 인적정보(성명, 학교, 반, 번호 등)를 수집하고 통합포털과 연계된 개발사들로부터 학생들이 학습한 학습데이터 이력 등을 제공받아 학습데이터 저장소에 저장하고 있다.이용자(학생, 교사 등)가 AIDT 통합포털에 ①교육디지털원패스로 로그인(접속)하여 ②교과를 선택하면 해당 교과서 개발사 영역(웹사이트)으로 이동되어 학습 컨텐츠를 이용하고 ③그 결과(학습 이력 데이터)는 피심인(KERIS)의 '학습데이터 저장소(HUB)’에 저장되는 구조나. 점검 결과

1) 개인정보 수집ㆍ이용ㆍ제공 관련

피심인은 AIDT 관련 명확한 개인정보 처리 근거 법령이 없어, 대부분의 개인정보 처리를 정보주체 동의(14세 미만 학생 법정대리인 동의 포함) 근거로 AIDT 통합처리 중이며, 정보주체 동의 외로 처리되는 개인정보 항목(민원처리 목적으로 처리되는 연락처, 상담내용 등)의 경우 계약이행(보호법§15①4) 또는 추가제공(보호법§17④) 근거로 처리하고 있으나, 그 항목ㆍ목적ㆍ보유기간 등의 고지(개인정보처리방침)를 누락한 사실이 있다

아울러, 학생이 AIDT 서비스에 대해 동의하지 아니 할 경우 종이책으로만 수업을 받아야 하는 등 현실적으로 동의를 거부하기도 어려운 상황이다.

2) 학습데이터 HUB(국가수준학습데이터셋 76종) 관리 관련

피심인은 각 개발사로 하여금 학생별 학습컨텐츠 이용내역 데이터(이용자별 식별자로 UUID 부착) 76종학습 시간, 평가ㆍ과제이력, 성취수준, 영상재생ㆍ멈춤ㆍ음소거 횟수, AI 튜터 질문 횟수 등를 피심인의 AIDT 통합포털로 전송받아 '학습데이터 저장소(HUB)’ 내에 취합하여 AI 기반 교사ㆍ학생별 맞춤형 학습제공 용도로 분석ㆍ활용할 계획이다.AIDT 통합포털 개인정보처리방침 및 피심인이 제출한 AIDT 학습데이터 76종 활용방안 기준통상 행정기관(공교육 제공주체)이 별도의 법령 근거 없이 전국 단위 학생의 방대한 개인정보를 통합 DB 형태로 수집ㆍ집적하는 행위는 개인정보자기결정권을 침해할 우려가 있음에도 불구하고, 현재('25년 상반기 기준) 76종의 수집 항목 중 일부 테이터만이 AIDT 통합포털 대시보드 등에서 간단한 통계분석 용도로 활용되고 있는 수준에 그치고 있으며, 향후 활용계획('25년 하반기 예정)에서도 76종 중 50종은 ’필수 전송' 항목으로 지정되어 있으나, 나머지 26종 데이터의 경우 ’선택 전송' 항목으로 분류되어 있어 실제 개발사가 해당 데이터를 임의로 미전송하더라도 이를 제어하거나 정합성을 확보할 수 있는 체계가 마련되어 있지 않는 등 데이터 처리 목적 및 활용 여부가 전반적으로 불명확하게 운영되고 있는 사실이 확인되었다.










3) 안전조치 의무 관련

피심인은 AIDT 통합포털 시스템을 운영하면서 보호법상개인정보의 안전성확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22., 일부개정)준수해야 할 내부관리계획 수립ㆍ시행(§4), 불필요한 접근계정(테스트 계정) 말소(§5②), 접속기록 위변조 방지(§8③) 등 안전조치 의무사항을 미흡하게 관리한 사실이 있으나, 현장점검(3.19~4.16) 과정에서 관련 시정을 완료한 것으로 확인하였다.

아울러, 각 시스템별 자체 보안 수준은 일정 부분 검증된 반면, AIDT 통합포털과 개발사 간 연결 지점의 보안ㆍ안전성 검증파라미터 변조 공격(API 및 URL 호출 파리미터 변조로써 타인정보 무단접근) 등에 대한 취약점 상시 점검 필요
에 대한 지속적 관리가 필요할 것으로 보인다.
4) 개발사와 관련된 사항(지원 필요 사항)

AI 교과서 개발사의 경우 UUID(그 자체로는 개인식별 불가한 정보)를 기반으로 데이터를 피심인(AIDT 통합포털)과 주고받고 있는데, 개발사는 평소 개인식별을 하지 않으나 민원처리를 위해 해당 UUID의 인적사항(이름, 연락처 등) 조회가 필요하는 등 피심인(AIDT 통합포털) 없이는 독자적으로 정보주체 권리행사(민원처리 등) 요청 시 對정보주체 책임을 이행하기 어려운 구조이다.

또한, 학생이 전출입 발생 시 새로운 UUID가 재생성 되어 기존 과목별 학습이력 데이터가 초기화되는 문제전입 하는 학교에서 같은 개발사의 교과서를 사용하더라도 학습이력이 초기화 되는 문제 발생, 일부 개발사의 경우 필기한 내용이 저장되지 않아 학습을 종료(로그아웃) 하는 경우 필기 내용 등을 다시 확인할 수 없는 문제 등이 확인되어 위와 같은 AIDT 통합포털과 개발사의 관계 등을 고려할 때 해당 사항을 피심인이 개발사와 공동으로 개선해야 할 필요성이 있다.

5) 기타 확인된 사항

피심인이 운영하는 AIDT 통합포털의 경우 동 기관에서 운영하고 있는 교육행정정보시스템(NEIS)과 같이 보호법상 공공시스템(집중관리시스템) 요건개인정보의 안전성 확보조치 기준 제14조에 따른 공공시스템에 해당 될 수 있으며, ’25년 하반기에 개인정보보호위원회에서 분야별(교육분야 포함)신규 시스템 등에 대해 점검 후 신규 지정 여부 결정 예정에 해당될 수 있다

또한, 피심인은 AIDT 통합포털 시스템에 대하여 개인정보 영향평가를 실시(’24.8~25.1, 결과: 미흡사항 없음)하였으나, 해당 평가 시점이 시스템 구축ㆍ개발 단계에서 수행된 관계로, 개발사 간 연계 및 전송 정보 관련 사항과 뒤늦게 구축된 민원처리 시스템 등에 대한 구체적 분석 및 평가가 미흡하게 수행된 사실이 있다.

3. 처분의 사전통지 및 의견 수렴

위원회는 2025년 4월 22일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 시정권고 사항에 대하여 향후 시행 예정이며, 기타 안전조치 의무 사항에 대해서도 지속적으로 관리ㆍ점검할 예정이라는 의견을 2025년 5월 8일 제출하였다.
Ⅲ. 위법성 판단

1. 관련법 규정

가. 보호법 제3조 제1항은 “개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.” 라고 규정하고 있고,

제3조 제2항은 “개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다.” 라고 규정하고 있으며,
제3조 제3항은 “개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다.” 라고 규정하고 있다.

나. 보호법 제15조 제1항은 “개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다”고 하면서 “정보주체의 동의를 받은 경우(제1호)와 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우(제2호), 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우(제4호)” 등을 규정하고 있다.

보호법 제15조 제3항은 “개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.”라고 규정하고 있다.

다. 보호법 제17조 제4항은 “개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 제공할 수 있다” 라고 규정하고 있다.
라. 보호법 제22조 제3항은 “개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 하고, 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.”라고 규정하고 있다.

마. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

바. 보호법 제30조 제1항은 “개인정보처리자는 개인정보의 처리방침을 정해야 하며, 개인정보의 처리목적(제1호), 개인정보의 처리 및 보유기간(제2호), 개인정보의 제3자 제공에 관한 사항(제3호) 등을 포함해야 한다” 라고 규정하고 있다.

보호법 제30조 제2항은 “개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.”라고 규정하고 있다.

2. 위법성 판단

가. 개인정보 항목 고지가 누락 된 행위
{보호법 제22조(동의를 받는 방법)}

피심인은 민원처리를 위해 수집ㆍ이용 또는 개발사에 추가 제공하는 개인정보의 경우 해당 개인정보의 수집 항목, 처리목적, 처리 및 보유기간 등을 동의를 받아 처리하는 개인정보와 구분하여 개인정보처리방침 등을 통해 공개하거나 고지해야 하나, 이를 행하지 않은 행위는 보호법 제22조 제3항 위반에 해당한다.

나. 국가학습데이터셋 76종 데이터 처리 시 개인정보 보호 원칙 위반
{보호법 제3조(개인정보보호원칙)}

피심인은 이용자(학생 등)의 학습이력 데이터 분석ㆍ활용을 위해 개발사로부터 전송받아 학습데이터 저장소(HUB) 內에 취합하는 데이터 76종과 관련 해당 데이터(개인정보)의 구체적 처리항목, 처리목적 및 활용방안을 명확하게 제시하지 못하고 있을 뿐만아니라 해당 데이터 76종 중 26종의 데이터는 '필수 전송항목’이 아닌 '선택 전송항목’으로 분류되어 개발사가 임의로 전송하지 않더라도 이를 제어하거나 데이터 정합성을 확보할 수 있는 체계가 마련되어 있지 않는 등 데이터 처리 목적 및 활용 여부 등을 전반적으로 불명확하게 운영 하고 있는 행위는 보호법 제3조의 개인정보 보호 원칙 위반에 해당한다.

다. 기타 개인정보 처리 실태의 개선이 필요한 사항

1) 피심인은 AIDT 통합 포털을 운영하면서 보호법상 준수해야 할 안전조치 의무를 일부 미흡하게 관리내부관리계획 수립ㆍ시행, 불필요한 접근계정 말소, 접속기록 위변조 방지조치를 미흡하게 관리하였으나 현장점검 과정에서 시정완료 조치함하여 현장점검 시 시정을 완료한 사실이 있으나, 피심인이 운영하는 AIDT 포털 시스템은 많은 학생들의 학습데이터가 전송 및 저장된다는 점에서 개발사 간 연결 지점의 보안ㆍ안전성 검증 등을 포함한 개인정보의 안전성 확보조치에 대한 정기적이고 지속적 관리가 요구된다.

2) 피심인이 운영하는 AIDT 통합포털의 경우 동 기관에서 운영하고 있는 교육행정정보시스템(NEIS)과 같이 보호법상 공공시스템(집중관리시스템) 요건에 해당 될 수 있으므로 이에 준하는 안전조치 의무 등을 준수할 필요가 있다.

3) 또한, 피심인이 운영하는 AIDT 통합포털에 대해 '개인정보 영향평가’를 실시 한 바 있으나, 시스템 개발 및 구축 단계에서 해당 평가가 수행된 관계로 개발사 간 연계 및 전송 정보 관련 사항과 뒤늦게 구축된 민원처리 시스템 등에 대한 구체적 분석 및 평가가 미흡하게 이루어져 시스템 전반에 대한 개인정보 영향평가가 다시 이뤄져야 할 필요가 있다.
4) 아울러, AIDT 개발사의 경우 독자적으로 정보주체 권리행사(민원처리 등) 요청 시 對정보주체 책임을 이행하기 어려운 구조이므로 피심인과 공동으로 정보주체 권리행사에 대한 대응을 해야할 필요가 있다.

또한, 각 개발사 웹사이트에서 학습 시 학습이력이 초기화 되는 문제전학시 각 과목별 학습이력 데이터가 초기화 되는 문제, 학생이 필기한 내용이 학습 종료(로그아웃) 시 초기화 되는 문제 등등에 대해 개발사와 공동으로 개인정보의 정확성ㆍ완전성ㆍ최신성을 확보방안을 마련할 필요가 있다.

Ⅳ. 처분 및 결정

1. 시정권고

보호법 제63조의2 제1항에 따른 사전 실태점검을 통해 발견한 피심인의 보호법 제22조 제3항 및 제3조 위반행위에 대해, 같은 법 제63조의2 제2항에 따라 다음과 같이 시정 방안을 정하여 이에 따를 것을 권고한다.

가. AIDT 통합포털의 개인정보 수집ㆍ이용ㆍ제공 시 처리되는 개인정보 항목, 목적, 보유기간 등을 동의서 또는 개인정보처리방침 등에 명확히 고지할 것

나. 국가수준학습데이터셋 76종 개인정보의 항목별 처리 목적을 명확하게 정립하고, 처리하기로 결정한 개인정보에 대해서는 보호법에 따라 정확성ㆍ완전성ㆍ최신성을 보장할 것

다. 피심인은 시정권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회 이행 결과 및 계획을 제출할 것
2. 개선권고

피심인에 대해 같은 법 제61조 제2항에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.

가. AIDT 통합포털 시스템에 대해 ISMS-P 인증을 취득하여 개인정보의 안전성 확보조치 수준을 제고하되, 과목별 웹사이트가 연동되어 있는 점을 고려하여 개발사와 공동으로 신청ㆍ취득ㆍ유지 할 수 있는 방안을 마련할 것

나. AIDT 통합포털 시스템 대상 개인정보영향평가를 재 실시 하고 보호법상 공공시스템(집중관리시스템)에 준하는 안전성 확보조치 의무를 준수할 것

다. 정보주체 권리행사(민원요청 등) 시 대응 체계(예: 통합CS)를 정비하고, 학습 이력 기록정보의 정확성ㆍ완전성ㆍ최신성 확보 방안을 개발사와 공동으로 마련할 것

라. 피심인은 '가’부터 '다’.까지의 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅴ. 결론

피심인에 대하여 보호법 제63조의2 제2항 및 같은 법 제61조 제2항에 따라 시정권고, 개선권고를 주문과 같이 의결한다.

시정권고를 받은 피심인은 보호법 제63조의2 제3항에 따라 이를 통보받은 날부터 10일 이내에 해당 권고를 수락하는지 여부에 관하여 보호위원회에 통지하여야 한다.
피심인이 해당 권고를 수락한 때에는 보호법 제64조 제3항에 따른 시정조치 권고를 받은 것으로 보며, 그 이행결과를 보호위원회가 정한 기간 내에 보호 위원회에 알려야 한다.
시정권고를 통보받은 날부터 10일 이내에 피심인의 수락 여부 통지가 없는 경우에는 해당 권고를 수락하지 않은 것으로 본다.
피심인이 해당 시정권고를 수락하지 아니하거나 이행하지 아니한 경우 보호법 제63조 제2항에 따른 검사를 할 수 있다.