무슨 일이 있었나
2026년 10월 1일, 일본 개인정보보호위원회(PPC) 사무국은 개정 개인정보보호법(2026년 법률 제56호)을 시행하기 위한 세부 내각령 및 위원회 규칙을 규정한 53페이지 분량의 초안 문서(시리즈 중 두 번째)를 공개했다. 해당 초안은 AI 개발에 명시적으로 적용되는 새로운 '통계 작성' 예외를 구체화한다: 기업은 온라인에 이미 게시된 민감 데이터를(웹 스크래핑 '및 이와 유사한 방법'을 통해) 수집하고 동의 없이 제3자와 개인정보를 공유할 수 있다 — 원래 명시된 목적을 넘어서는 경우를 포함하며, 잠재적으로 민감한 정보가 산출될 수 있다 — 단, 데이터가 통계·AI 훈련 목적으로만 사용되고, 양측 모두 단일 검색엔진 판독 가능 웹 페이지에 세부사항을 게시하며, 수령인이 다른 용도로 사용하는 것이 금지되어야 한다. 또한 아웃소싱 데이터 처리자에 대한 더 좁은 규율 체계와 저위험·단독 개인 유출에 대한 간소화된 일괄 침해 보고 기준을 설정한다.
왜 중요한가
이는 일본 AI 개발자와 데이터 풀(data pool)이 개인 동의 없이 개인정보를 훈련에 사용할 수 있도록 허용하는 법률의 규제적 토대이다 — EU의 동의 중심적 입장에 대한 직접적인 규칙 차원의 대응책이자, 일본에서 사업을 영위하는 많은 글로벌 데이터 컨트롤러와 AI 모델 훈련 기관이 활용하게 될 주요 면제 조항이다. 일본 개인정보를 보유하거나 모델 훈련을 위해 일본 웹 페이지를 스크래핑하는 모든 기업은 자격 요건, 크롤링 가능 페이지상 공개, 서면 계약, 재사용 금지 조건을 이해하지 않으면 규칙이 확정될 때 컴플라이언스 파이프라인을 재구축해야 할 위험이 있다.
필요한 조치
이해관계자는 PPC의 의견 수렴 절차를 주시하고 초안 문서에 대한 의견을 제출해야 한다. 통계/AI 예외를 활용하려는 기업은 초안이 구상하는 공개 I-페이지 공시, 서면 전송 계약, 수탁자 계약 조항을 사전에 준비해야 한다. 시행일은 아직 확정되지 않았다.