학생 데이터는 누가 지키나 ① — 동의서 한 장 뒤의 책임 사슬

기획시리즈 「학생 데이터는 누가 지키나」 · 글 뉴스룸 부엉이 · 2026년 11월 2일 · AI(GrokBot)가 작성한 기획 기사 · 편집자 검토 후 발행

아래 도입 장면은 이데일리 2026년 1월 30일 보도와 교육부 안내 자료를 바탕으로 재구성한 장면입니다. 특정 학교나 교사의 사례가 아닙니다.

3월 첫 주, 한 중학교 교무실입니다. 담임교사가 학급 단톡방에 앱 가입 동의서 링크를 올리려다 손을 멈춥니다. 이 앱은 아직 학교운영위원회(학운위) 심의를 마치지 못했습니다.

교사는 업체가 채운 개인정보 체크리스트를 다시 엽니다. 세 칸이 '업체 확인 중'으로 비어 있습니다.

학부모가 동의서에 서명하면 그 뒤의 책임은 어떻게 나뉠까요? 학교장과 업체와 교사는 각자 어디까지 맡을까요? 아홉 칸짜리 체크리스트를 따라가 보면 답이 생각보다 복잡합니다.

체크리스트 아홉 칸은 무엇을 묻나요?

2026년 3월부터 학생 개인정보를 처리하는 학습지원 소프트웨어는 개인정보 기준을 확인하고 학운위 심의를 거쳐야 수업에 쓸 수 있습니다.

기준은 교육부가 개인정보보호위원회(개인정보위)와 협의해 만들었습니다. 교육부 안내를 보면 필수기준은 다섯 영역으로 나뉩니다. 최소 처리, 안전조치, 열람·정정·삭제, 아동 보호, 보호책임자·제3자 제공·위탁입니다.

영역 아래 세부 항목은 아홉 개이고 증빙 서류는 모두 개인정보 처리방침입니다. 경남교육청 진로교육원이 공개한 공급자용 체크리스트 작성 사례에서 항목을 옮기면 아래와 같습니다.

| 항목 | 묻는 것(요약) | 질문 형식 | |---|---|---| | 1-1 | 개인정보를 최소한으로 수집하는가 | 실제 수집 범위 | | 1-2 | 수집·이용 목적이 기재되어 있는가 | 기재 여부 | | 1-3 | 수집 항목·보유 기간이 기재되어 있는가 | 기재 여부 | | 2-1 | 안전성 확보 조치가 기재되어 있는가 | 기재 여부 | | 3-1 | 열람·정정·삭제·처리정지 절차를 안내하는가 | 안내 여부 | | 4-1 | 만 14세 미만 법정대리인 동의 절차가 마련되어 있는가 | 절차 마련 | | 5-1 | 개인정보 보호책임자를 안내하는가 | 안내 여부 | | 5-2 | 제3자 제공 사항이 기재되어 있는가(필요시) | 기재 여부 | | 5-3 | 위·수탁 사항이 기재되어 있는가(필요시) | 기재 여부 |

표. 학습지원 소프트웨어 필수기준 세부 항목. 자료: 경남교육청 진로교육원 공급자용 체크리스트 작성 사례, '질문 형식'은 뉴스룸 분류

이 가운데 일곱 항목은 처리방침에 무엇이 '기재되어 있는가', 또는 '안내되어 있는가'를 묻습니다.

형식이 다른 항목은 최소 수집을 묻는 항목과 아동 동의 절차를 묻는 항목뿐입니다. 이 둘도 증빙은 처리방침입니다. 이 표로 보면 체크리스트는 문서에 적힌 내용을 확인하는 도구에 가깝습니다. 데이터가 실제로 어떻게 흐르는지는 표에 드러나지 않습니다.

학교가 이 표를 어떻게 읽을지도 정해져 있습니다. 교육부 에듀집 QnA 자료에 따르면 "학교는 소프트웨어의 보안성 등을 검증하는 것이 아니라, 에듀집에 게시된 기업이 검증한 체크리스트가 충족으로 표시되어 있는지를 보고 이를 심의에 활용"합니다. 같은 자료는 "충족, 해당없음 모두 충족으로 해석"한다고 적었습니다.

업체가 올린 체크리스트와 증빙이 맞는지는 "국가차원에서 전수 확인"할 예정이라는 것이 이 자료의 설명입니다. 누가 언제 어떤 방식으로 확인하는지는 이 기사가 살펴본 공개 자료에 나와 있지 않습니다.

현장의 부담을 짐작하게 하는 발언도 나왔습니다. 한 관계자는 이데일리에 체크리스트 관련 문의가 "사흘 만에 2000개 넘게" 들어왔다고 말했습니다.

법은 누구에게 책임을 지웠나요?

출발점은 법 개정입니다. 국회가 2025년 8월 4일 본회의에서 초·중등교육법 개정안을 통과시키면서 AI 디지털교과서의 법적 지위는 교과서에서 교육자료로 바뀌었습니다.

개정법은 학습지원 소프트웨어를 고르는 책임을 학교장에게 두었습니다. 교육부의 기준 안내에 따르면 학교장은 교육부 장관이 개인정보위와 협의해 정한 기준을 따르고 학운위 심의를 거쳐야 합니다. 절차는 의견 수렴, 기준 충족 확인, 학운위 심의, 학교장 선정 순서로 이어집니다.

업체가 맡은 일은 에듀집에 자기 제품의 필수기준 체크리스트를 올리는 것입니다. 교육부는 이를 위한 업체 게시판을 2026년 1월 말 열겠다고 안내했습니다.

보호자도 이 사슬에 들어 있습니다. 개인정보 보호법의 아동 조항은 만 14세 미만 아동의 개인정보를 처리하려고 동의를 받을 때 법정대리인의 동의를 받도록 합니다. 도입 장면의 동의서 링크가 학부모에게 가는 이유입니다.

기준은 교육부와 개인정보위가 만들고 칸은 업체가 채웁니다. 심의는 학운위가 하고 선정 책임은 학교장이 지며 서명은 보호자가 합니다. 데이터는 업체 서버에 쌓입니다. 이 기사가 살펴본 공개 자료에서는 그 처리 방식을 직접 들여다보는 단계를 학교 단위 절차에서 찾지 못했습니다.

AI 교과서 점검에서는 무엇이 드러났나요?

처리방침의 글이 실제 처리를 얼마나 설명하는지 보여 주는 공식 기록이 하나 있습니다. 개인정보위가 2025년 5월 14일 전체회의에서 의결한 AI 디지털교과서 사전 실태점검 결과입니다.

점검 대상은 교육부, 한국교육학술정보원(KERIS), 그리고 개발사였습니다. 개발사 가운데서는 3곳을 대표로 골라 살펴봤습니다.

AI 교과서가 모은 학습데이터에는 학습시간, 성취수준, 진도율, 접속시간, 커뮤니티 참여도가 있었습니다.

개인정보위가 미흡하다고 본 곳은 이 데이터를 앞으로 어디에 쓰느냐였습니다. 국가수준학습데이터셋의 향후 활용에 대해 "처리되는 항목 및 구체적 처리 목적을 불분명하게 제시"했다는 지적입니다. 개인정보위는 KERIS에 처리방침과 동의서를 구체화하라는 시정권고를, 교육부에 개선권고를 냈습니다.

이 지적은 체크리스트 구조와 맞닿아 있습니다. 처리방침에 목적이 '기재되어 있는가'만 물으면 목적이 흐릿하게 적혀 있어도 칸은 충족으로 채워질 수 있습니다. KERIS가 시정권고를 받은 대목도 여기였습니다. 충족으로 표시된 칸만으로 그 차이를 가려내기는 어려워 보입니다.

해외는 학교와 업체의 역할을 어떻게 나누나요?

미국과 영국의 안내 자료는 데이터를 누가 통제하는지를 먼저 다룹니다.

미국의 학생 기록 보호법인 가족교육권리·사생활보호법(FERPA)에는 학교가 업체를 '학교 공무원'으로 보고 학생 기록을 맡길 수 있는 예외가 있습니다. 미국 교육부의 업체용 안내 자료는 이 예외로 정보를 받은 업체가 학생 개인식별정보를 쓰고 관리할 때 학교나 학군의 직접 통제(direct control) 아래 있어야 한다고 설명합니다.

영국 개인정보 감독기구인 정보위원회(ICO)는 업체의 역할에 이름을 붙입니다. ICO의 에듀테크 지침에 따르면 업체가 학교 지시를 넘어 제품 개발 같은 자체 목적으로 학생 정보를 처리하면 컨트롤러(controller), 곧 처리 목적을 스스로 정하는 쪽이 됩니다. 이때 업체는 아동 대상 온라인 서비스 규범인 아동 코드(Children's code)의 적용을 받을 수 있습니다.

역할을 가르는 일은 업체에게도 쉽지 않았습니다. ICO가 에듀테크 28개사를 감사한 결과 보고서는 업체들이 자기 역할을 "늘 제대로 판단하지는 못했다(hadn't always correctly determined)"고 밝혔습니다. 아동 정보를 자체 목적으로 다시 쓰려면 그것이 적법한지 따져 봐야 한다는 점도 짚었습니다.

두 자료는 업체가 누구의 통제 아래 어떤 목적으로 데이터를 쓰는지를 따집니다. 한국 필수기준 아홉 항목에는 업체가 학생 데이터를 자기 목적으로 쓰는지 묻는 칸이 따로 없습니다. 위탁과 제3자 제공을 처리방침에 기재했는지 묻는 칸이 가장 가깝습니다.

이 증거의 한계

이 기사는 제도의 설계를 읽었을 뿐 운영 결과를 재지는 못했습니다. 학운위 심의가 처음 시행된 올해 1학기의 심의 건수나 부결 비율 같은 통계는 공개된 것을 찾지 못했습니다. 학교의 역할을 설명한 에듀집 QnA는 원문에서 인용 문구를 확인했지만 발행 날짜는 확인하지 못했습니다. 체크리스트 표는 교육부 원본 서식이 아니라 한 교육청이 공개한 공급자용 작성 사례에서 옮겼고 '기재 여부를 묻는 항목'이라는 분류는 뉴스룸이 항목 문구를 읽고 직접 나눈 것입니다. 개인정보위 점검은 AI 교과서와 개발사 일부만 살펴본 것이어서 지금의 학습지원 소프트웨어 전반에 그대로 옮길 수 없습니다. 미국과 영국은 법 체계가 달라 한국 제도와 일대일로 견주기 어렵습니다.

그래서 동의서 뒤의 책임은 누구에게 있나요?

법은 선정 책임을 학교장에게 두었습니다. 그런데 학교장이 심의에서 기댈 수 있는 근거는 업체가 스스로 표시한 체크리스트이고 그 칸 대부분은 처리방침에 무엇이 적혀 있는지를 묻습니다. 미국과 영국의 자료는 업체가 데이터를 실제로 어떻게 쓰는지를 따집니다. 공개 자료로 확인되는 한국의 학교 단위 절차는 문서 확인까지입니다. 재구성 장면 속 교사가 빈칸이 채워지기를 기다려도 칸이 채워진 뒤 데이터가 어디로 가는지는 여전히 화면 밖에 있습니다.

바로 해 볼 것

• 교사: 체크리스트에서 '해당 없음'으로 표시된 칸부터 확인합니다. '해당 없음'도 충족으로 계산되므로, 그 항목이 정말 없는지 업체 처리방침 원문에서 찾아봅니다.
• 학교·교육청: 학운위 심의 자료에 체크리스트와 함께 업체 개인정보 처리방침 원문 링크를 첨부해 위원들이 수집 항목과 목적을 직접 읽게 합니다.
• 에듀테크 기업: 수집 항목과 이용 목적을 처리방침 문서 안에만 두지 말고 교사와 보호자가 보는 앱 화면에서 바로 확인할 수 있게 공개합니다.

원문·참고 자료

1. 교육부 (2025. 12. 29). 학교의 안전하고 효과적인 학습지원 소프트웨어 선정을 위한 기준 안내(보도자료). https://www.moe.go.kr/boardCnts/viewRenew.do?boardID=294&boardSeq=105007&lev=0&m=020402
2. 경상남도교육청 진로교육원 (2026. 3. 4). 학습지원 소프트웨어 필수기준 체크리스트(공급자용) — 작성 사례. https://gncep.gne.go.kr/reserve/pdf/checklist.pdf
3. 에듀집(교육부) (발행일 미상). 학습지원 소프트웨어 교육자료 추가 사항(QnA 4차). https://edzip.kr/document/%5B%EB%B6%99%EC%9E%841%5D%20%ED%95%99%EC%8A%B5%EC%A7%80%EC%9B%90%20%EC%86%8C%ED%94%84%ED%8A%B8%EC%9B%A8%EC%96%B4%20%EA%B5%90%EC%9C%A1%EC%9E%90%EB%A3%8C%20%EC%B6%94%EA%B0%80%20%EC%82%AC%ED%95%AD%28QnA%204%EC%B0%A8%29.pdf
4. 이데일리 (2026. 1. 30). "에듀테크 심의하다 수업 멈출 판"…교사들 '과부하' 호소. https://www.edaily.co.kr/News/Read?mediaCodeNo=257&newsId=04083606645322968
5. KBS 뉴스 (2025. 8. 4). AI 교과서→교육자료 변경 초·중등교육법 개정안 국회 본회의 통과. https://news.kbs.co.kr/news/view.do?ncd=8321075
6. 교육부 (2025. 8. 4). 「초중등교육법」 등 교육부 소관 2개 법안, 국회 본회의 통과(보도자료, KDI 경제정보센터 사본). https://eiec.kdi.re.kr/policy/callDownload.do?dtime=20250805203857&filenum=1&num=269504
7. 국가법령정보센터. 개인정보 보호법 제22조의2(아동의 개인정보 보호), 2025. 10. 2. 시행본. https://www.law.go.kr/lsInfoR.do?chrClsCd=010202&efYd=20251002&lsiSeq=270351&urlMode=lsInfoP
8. 개인정보보호위원회 (2025. 5. 15). 개인정보위, AI 디지털교과서 사전 실태점검 결과 발표. 정책브리핑. https://m.korea.kr/briefing/pressReleaseView.do?newsId=156689157
9. U.S. Department of Education, Privacy Technical Assistance Center (발행일 미상). Responsibilities of Third-Party Service Providers under FERPA. https://studentprivacy.ed.gov/sites/default/files/resource_document/file/Vendor%20FAQ.pdf
10. Information Commissioner's Office (발행일 미상). The Children's code and education technologies (edtech). https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/childrens-information/childrens-code-guidance-and-resources/the-children-s-code-and-education-technologies-EdTech/
11. Information Commissioner's Office (2026. 6). Edtech examined: key findings from our audits. https://ico.org.uk/action-weve-taken/audits-and-overview-reports/2026/06/edtech/
12. 이코노믹리뷰 (2026. 2. 5). "2월이 사라졌다" 학교 현장 '학운위 심의' 비상. https://www.econovill.com/news/articleView.html?idxno=728207
13. 전자신문 에듀플러스 (2026. 1. 7). 3월 개학 앞두고 '에듀테크 대혼란'…학운위·개인정보 기준에 현장 술렁. https://www.etnews.com/20260107000174

이 기사는 AI(GrokBot)가 각 항목에 링크한 공개 원문 자료를 바탕으로 작성했으며, 자동 점검(원문 링크·날짜·표기 검사, 원문 대조)과 편집자 검토를 거쳐 발행합니다. 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI 기본법)에 따라 AI 생성물임을 알립니다. 사실관계는 각 원문을 기준으로 하며, 원문의 내용과 다른 부분이 있으면 원문이 우선합니다.