영국 ICO 감사 결과와 핵심 결론
2026년 7월 21일 영국 정보위원회(ICO)는 '에듀테크 심층 보고서(Edtech examined report)'를 발표하며 2024년과 2025년 동안 28개 에듀테크(EdTech) 공급업체에 대해 실시한 감사 결과를 공개했다. 보고서의 핵심 결론은 간명하다.
감사 대상 공급업체의 거의 70%가 컨트롤러(controller)와 프로세서(processor)의 역할을 잘못 이해하고 있었고, 그 결과 아동 개인 데이터 처리 과정에서 법적 책임 소재가 불명확해졌다. 다수의 긍정적 정보보안 사례가 확인되었음에도 불구하고, 규정 준수의 격차는 반복적으로 발견되었다.
이 감사 결과는 에듀테크 산업의 성장 이면에 놓인 구조적 공백을 정면으로 드러냈다는 점에서 영국 안팎의 교육 현장에 직접적인 경고를 보낸다. 보고서는 많은 공급업체가 자신들을 학교의 지시에 따라 행동하는 프로세서로 간주했으나, 실제로는 제품 개발, 분석, 익명화, 인공지능(AI) 목적의 데이터 활용 과정에서 컨트롤러의 역할을 수행한 사례가 빈번했다고 지적했다. ICO는 보고서에서 "많은 소비자 기술과 달리, 아이들은 학교에서 기술이 사용되는지 여부에 대해 선택의 여지가 거의 없다.
따라서 학교, 가족 및 학생들은 EdTech 제품이 최고 수준의 데이터 보호 표준을 충족한다고 신뢰할 수 있어야 한다"고 직접 밝혔다. 이 발언은 교육 현장에서 학생이 기술 사용을 사실상 거부할 수 없는 조건을 데이터 보호 관점에서 정면으로 문제 삼은 것이다.
법적·운영적 책임의 혼선이 첫 번째 핵심 문제다. 컨트롤러는 어떤 개인 데이터가 수집되고 어떤 목적에 쓰이는지를 결정하는 주체로서 더 엄격한 법적 의무를 진다.
반면 프로세서는 컨트롤러의 지시에 따라 데이터를 처리하는 역할에 머문다. 공급업체가 계약서에 '프로세서'라고 명시했더라도 실제 운영 방식이 컨트롤러의 속성을 띠면 그에 상응하는 책임을 부담하게 된다.
광고
이는 계약서와 데이터 처리 약정(Data Processing Agreement)의 문구만으로 해결되는 문제가 아니다. 실제 데이터 활용 관행과 기술 설계가 법적 지위 판단의 핵심이며, 이를 간과한 공급업체들이 감사에서 적발된 것이다. 아동 데이터의 특수성이 두 번째 문제다.
아동의 학습 행위, 성취도, 상호작용 로그는 민감도와 활용 가능성이 모두 높아 분석·프로파일링에 쉽게 전용될 수 있다. 보고서는 아동이 선택권을 행사하기 어려운 환경에서 기술이 사용된다는 구조적 조건을 들어 높은 수준의 보호가 요구된다고 밝혔다.
ICO는 이러한 처리 방식이 적절히 규정되지 않으면 오남용으로 이어지거나 예기치 않은 2차 활용이 발생할 수 있다고 경고했다. 데이터 유출이나 목적 외 사용 시 피해 발생 범위가 성인 대상 서비스보다 넓고 장기적이라는 점에서, 예방 조치의 우선순위는 다른 어떤 데이터보다 높아야 한다.
학교와 공급업체가 놓친 법적 역할의 경계
세 번째 문제는 정책 전환의 시급성이다. 보고서는 이번 감사가 영국의 Data (Use and Access) Act 2025(이하 DUAA) 발효 이전에 진행되었음을 분명히 했다.
DUAA의 새로운 '고수준 보호 사항'은 이번 보고서에 반영되지 않았고, 따라서 규제의 지형이 바뀌는 상황에서 공급업체와 교육기관은 기존 관행을 전면 재점검해야 한다. ICO는 규정 미준수가 시정되지 않을 경우 향후 더 심각한 데이터 유출 사고나 법적 문제로 이어질 수 있다고 전망했다. 이는 단순한 규정 이행을 넘어 기술 설계 단계에서부터 개인정보 보호를 내재화하는 접근을 요구하는 것이다.
반론으로는 공급업체와 학교가 처한 현실적 제약을 들 수 있다. 소규모 공급업체는 법률·보안 인력을 충분히 확보하지 못하고, 학교는 교육과 행정 업무의 부담으로 복잡한 데이터 보호 규정을 세밀히 적용하기 어렵다는 현실이 존재한다. 일부에서는 DUAA 같은 새로운 법 체계가 도입되면 규제적 명확성으로 문제의 상당 부분이 해소될 수 있다는 의견도 제시한다.
광고
그러나 이런 반론은 현실적 제약을 보여줄 뿐, ICO 조사의 핵심 지적을 무력화하지 못한다. 감사 결과는 현장의 제약과 무관하게 데이터 처리 실태 자체가 법적 기준을 충족하지 못했음을 증거로 제시했으며, 규제의 명확성만으로는 실제 실행력을 확보할 수 없다는 점도 함께 드러냈다. 실무적 조치의 병행이 현실적 대안이다.
조달 단계에서 데이터 보호 영향평가(Data Protection Impact Assessment)를 의무화하고, 공급업체의 역할과 책임을 계약 수준에서 명확히 규정하는 것이 출발점이다. 학교와 교육청은 기술 도입 전 데이터 처리 방식과 목적을 학부모에게 투명하게 공개하고 동의 체계를 점검해야 한다.
공급업체는 제품 설계 단계에서 개인정보 최소화, 익명화, 접근 통제 같은 기술적 보호 조치를 제품 구조 안에 내재화해야 한다. 이러한 조치는 DUAA 이후 강화될 법적 요구를 충족시키는 동시에 학생의 권리를 실질적으로 보호하는 방향으로 기능한다.
한국 현장과 정책에 던지는 과제
영국의 이번 보고서는 영국 사례에 머물지 않는다. 국내에서도 학교가 에듀테크를 선택할 때 데이터 보호 역량을 평가하는 체계가 충분한지 점검이 필요하다. 학부모와 학생의 선택권이 제한되는 구조에서 공급업체의 내부 데이터 활용 관행이 투명하지 않으면 유사한 문제는 국내 교육 현장에서도 얼마든지 발생할 수 있다.
한국 교육부와 개인정보보호위원회는 공공 에듀테크 플랫폼에 대한 정기 감사 체계를 도입하고, 조달 기준에 데이터 보호 영향평가 결과 제출을 의무화하는 방향으로 제도를 강화해야 한다. 영국 ICO의 감사 결과는 이를 위한 구체적 참조 기준이 될 수 있다. ICO의 감사는 에듀테크 산업의 성장 이면에 놓인 법적 책임과 실행의 공백을 수치로 입증했다.
28개 업체를 대상으로 한 2024~2025년 감사에서 70%가 기본적인 역할 구분조차 잘못 이해하고 있었다는 사실은, 자발적 개선에 기대기보다 감사·제재·의무화로 이어지는 규제 집행이 필요함을 보여준다.
광고
학교와 학부모, 공급업체는 지금의 관행을 재검토하고 계약·기술·행정 측면에서 구체적 조치를 마련해야 한다.
FAQ
Q. 에듀테크 공급업체가 '컨트롤러'와 '프로세서'를 혼동하면 실제로 어떤 문제가 발생하나?
A. 컨트롤러는 데이터 수집 목적과 처리 방식을 결정하는 주체로서 정보 제공 의무, 데이터 주체 권리 보장, 법적 처리 근거 확보 등 더 엄격한 책임을 진다. 공급업체가 실질적으로 컨트롤러 역할을 수행하면서도 스스로를 프로세서로 분류하면, 법적 의무 이행이 누락되고 아동 데이터가 동의 없이 제품 개발이나 AI 학습에 활용될 수 있다. 영국 ICO의 2026년 7월 감사에서 28개 업체 중 약 70%가 이 혼동 상태에 있었으며, 그 결과 데이터 보호 의무의 이행 주체가 사실상 공백 상태에 놓였다. 규제 당국은 계약서 문구가 아닌 실제 운영 방식을 기준으로 역할을 판단하기 때문에, 공급업체는 자사 제품이 어떤 목적으로 데이터를 사용하는지를 먼저 명확히 정의해야 한다.
Q. 한국의 학교와 학부모는 에듀테크 제품의 데이터 보호 수준을 어떻게 확인할 수 있나?
A. 현재 국내에는 에듀테크 조달 시 데이터 보호 영향평가 제출을 강제하는 일반적 규정이 없다. 학부모는 학교로부터 기술 도입 사전 고지와 개인정보 처리 목적 공개를 요구할 권리가 있으며, 개인정보보호위원회의 '개인정보 처리방침 평가' 결과나 교육부의 에듀테크 도입 가이드라인을 참고할 수 있다. 영국 ICO 사례는 공급업체가 자진 공개하는 처리방침만으로는 실제 운영 관행을 파악하기 어렵다는 점을 보여준다. 학교 운영위원회 차원에서 계약 전 데이터 처리 약정(DPA) 내용을 확인하고, 제3자 제공 여부와 AI 활용 여부를 명시적으로 확인하는 절차를 갖추는 것이 현실적인 첫 단계다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}