[로이슈 전여송 기자] 미성년 수험생의 성적과 학교생활기록부, 진학 상담 내용이 변경하기 어려운 식별정보인 CI와 동일 계정 체계 안에서 함께 관리될 수 있다는 것이 앞선 ①편의 확인 내용이었다면, 이번에는 이용 과정에서 생성된 데이터를 회사가 어떤 범위까지 활용할 수 있도록 약관에 규정했는지의 문제다.

10일 본지 취재를 종합하면 메가스터디교육이 2026년 6월 15일부터 시행한 개정 이용약관은 회원이 올리거나 서비스 이용 과정에서 생성한 콘텐츠를 인공지능(AI) 기능 고도화와 신규 서비스 연구 등의 목적으로 이용할 수 있도록 규정했다. 회사와 자회사·위탁업체에는 해당 콘텐츠를 복제·수정·가공하고 2차적 저작물로 작성할 수 있는 ‘영구적·전세계적·취소불가능한 비독점적 이용허락’도 부여한다.

같은 약관은 회원이 회사의 데이터 이용·위탁에 대해 언제든지 철회를 요청할 수 있다고 규정한다. 그러나 철회 의사표시 이전에 이미 활용·가공돼 분리가 곤란한 AI 모델과 출판물 등은 예외로 둔다. 이용자는 철회를 요구할 수 있지만, 원본 데이터와 가공 데이터, AI 모델 및 결과물이 각각 어떻게 처리되는지는 약관만으로 명확히 알기 어렵다.

다만 저작권법상 콘텐츠 이용허락과 개인정보 보호법상 동의 철회·삭제·처리정지 요구권은 법적으로 동일한 개념은 아니다. 문제는 메가스터디 약관이 ‘회원 콘텐츠’에 학습이력을 비롯한 서비스 이용 과정에서 생성되는 데이터까지 폭넓게 포함하면서도, 저작권상 이용허락과 개인정보 관련 권리가 어떤 정보에 각각 적용되는지 구체적으로 구분하지 않고 있다는 점이다.

◆ 무엇이 바뀌었나…약관에 새로 등장한 ‘AI 이용’

개정 약관 제23조 제3항은 회사가 회원의 게시물을 서비스 운영과 품질 개선, 마케팅, 출판뿐 아니라 ‘인공지능(AI) 기반 답변 생성·검색 기능 고도화’와 ‘신규 서비스 개발 관련 연구’ 목적으로 이용하거나 수정할 수 있다고 규정한다. 종전 약관에 없던 AI 관련 활용 목적이 명시적으로 추가된 것이다.

약관이 정의한 ‘회원의 게시물’ 범위는 일반적인 게시글보다 넓다. 제2조는 회원의 게시물을 회원이 올린 글·이미지·파일·링크·댓글뿐 아니라 ‘질의응답 내역, 학습이력을 비롯한 회원의 서비스 이용 과정에서 생성되는 일체의 데이터’로 규정한다.

이에 따라 강의 수강과 질의응답, 검색·상담 등 서비스 이용 과정에서 생성된 학습 흔적도 약관상 이용 대상에 포함될 수 있다. 회원이 공개 게시판에 직접 작성한 글뿐 아니라, 학습 서비스를 이용하는 과정에서 누적된 데이터까지 ‘회원 콘텐츠’로 묶은 구조다.

앞선 ①편에서 확인한 메가스터디 개인정보처리방침에는 서비스에 따라 모의고사·수능·내신 성적, 목표 대학, 수시·정시 원서 접수 내역, 진학·학습 상담 내용 등이 수집 항목으로 기재돼 있다. 다만 이들 개인정보가 약관상 ‘회원 콘텐츠’에 모두 포함되는지, 제23·24조에 따라 AI 기능 고도화 등에 이용되는지는 약관과 개인정보처리방침만으로 확인되지 않는다.

◆ 학습이력까지 ‘회원 콘텐츠’…어디까지 포함되나

메가스터디 약관은 회원 콘텐츠를 특정 게시판이나 서비스에서 작성한 자료로 한정하지 않는다. ‘서비스 이용 과정에서 생성되는 일체의 데이터’라는 표현을 사용하면서 이용 대상의 외연을 폭넓게 열어두고 있다.

문제는 학습이력이 단순한 저작물이나 일반 게시물과 같은 성격의 정보만은 아니라는 점이다. 학습이력에는 어떤 강의를 수강했는지, 어떤 질문과 상담을 남겼는지, 어떤 목표를 두고 서비스를 이용했는지 등 개인의 교육 과정과 관련된 정보가 포함될 수 있다.

회사는 제24조가 저작권법상 게시물 이용허락에 관한 조항이라는 입장이다. 그러나 학습이력을 비롯한 서비스 이용 데이터를 ‘회원 콘텐츠’에 포함한 이상, 저작권의 대상이 되는 게시물과 개인정보 성격의 이용 데이터가 실제 서비스 안에서 어떤 기준으로 구분되는지에 대한 설명이 필요하다.

특히 회원이 직접 작성한 글이나 이미지뿐 아니라 자동으로 생성·기록되는 학습이력까지 동일한 이용허락 조항이 적용되는지 여부는 일반 이용자가 약관 문언만 보고 판단하기 어렵다.

◆ ‘영구적·전세계적·취소불가능한’ 이용허락

가장 눈에 띄는 부분은 약관 제24조 제3항이다. 해당 조항은 회원이 회사와 그 자회사·위탁업체에 회원 콘텐츠를 복제·수정·가공·배포·전송하고 2차적 저작물을 작성할 수 있는 ‘영구적·전세계적·취소불가능한 비독점적 이용허락’을 부여한다고 규정한다.

이용 목적에는 서비스 운영과 품질 개선, 신규 서비스 개발, AI 기반 답변 생성·검색 기능 고도화, 마케팅, 출판, 연구 등이 열거돼 있다.

약관은 회원 콘텐츠의 저작권이 원칙적으로 회원 본인에게 귀속된다고 명시한다. 다만 회사와 자회사·위탁업체는 기간과 지역의 제한 없이 해당 콘텐츠를 복제·수정·가공하고 2차적 저작물을 작성할 수 있는 폭넓은 이용 권한을 갖게 된다.

‘영구적’이라는 표현은 이용허락 기간에 제한을 두지 않는다는 의미로 읽힌다. ‘전세계적’은 저작권상 이용허락의 지역적 범위를 제한하지 않는다는 뜻이며, ‘취소불가능’은 일단 부여된 이용허락을 회원이 철회하기 어렵다는 의미를 담고 있다.

다만 ‘전세계적’이라는 문구만으로 개인정보가 실제 국외로 이전되거나 해외 서버에서 저장·처리된다고 단정할 수는 없다. 저작권상 이용허락의 지역적 범위와 개인정보의 국외 이전은 별도의 문제다.

일반적인 서비스 이용 동의가 서비스 이용 기간이나 정해진 목적을 전제로 한다면, 해당 조항은 회원 콘텐츠에 대해 기간 제한이 없는 이용허락을 부여하는 구조로 읽힐 수 있다. 저작권은 회원에게 남지만, 회사 측이 AI 기능 고도화와 신규 서비스 연구 등에 콘텐츠를 계속 활용할 수 있도록 규정한 셈이다.

◆ ‘언제든 철회’와 ‘취소불가’…적용 범위는 불분명

같은 약관 안에는 서로 다른 방향으로 읽힐 수 있는 조항이 함께 존재한다.

제23조 제5항은 회원이 회사의 데이터 이용·위탁에 대해 ‘언제든지 웹사이트 등을 통하여 철회를 요청할 수 있다’고 규정한다. 그러나 곧바로 ‘철회 의사표시 이전에 이미 활용·가공되어 분리가 곤란한 결과물(AI 모델, 출판물 등)에 대하여는 그러하지 아니한다’는 단서를 둔다.

반면 제24조 제3항은 회원 콘텐츠에 대한 이용허락 자체를 ‘취소불가능’하다고 명시한다. 제23조는 데이터 이용·위탁에 대한 철회를, 제24조는 저작권상 이용허락을 각각 규정한 것이라는 해석이 가능하지만, 두 조항이 적용되는 데이터의 범위와 철회 이후 처리 방식은 약관 문언만으로 명확히 구분되지 않는다.

회원이 개인정보 이용 철회나 삭제를 요청할 경우 원본 데이터는 삭제되는지, 가공·분석된 데이터는 어떻게 처리되는지, 이미 AI 기능이나 연구 결과에 반영된 정보는 어디까지 남는지에 대한 기준도 구체적으로 제시돼 있지 않다.

대부분 이용자는 회원 탈퇴나 삭제 요청을 하면 자신의 정보가 해당 서비스에서 사라진다고 생각할 수 있다. 그러나 약관은 이미 활용·가공돼 분리가 곤란한 AI 모델과 출판물 등을 철회 예외로 두고 있어, 계정 탈퇴와 데이터의 완전한 제거가 반드시 동일한 의미는 아닐 수 있다.

◆ 학생은 탈퇴해도…학습 데이터가 반영된 결과물은 남나

교육 데이터는 일반적인 게시글과 성격이 다르다. 학습이력과 성적, 학교생활기록부는 특정 시점의 생각이나 의견을 넘어 학생의 교육 과정과 진학 준비 과정을 담은 기록이다.

약관상 이미 활용·가공돼 분리가 곤란한 AI 모델과 출판물 등은 철회 대상에서 제외될 수 있다. 다만 이용자가 삭제나 철회를 요구했을 때 원본 데이터와 가공 데이터, AI 모델 및 분석 결과가 각각 어떻게 처리되는지는 구체적으로 명시돼 있지 않다.

학생에게는 지나간 입시의 기록이지만, 기업에는 서비스 고도화와 신규 서비스 개발에 활용할 수 있는 데이터가 될 수 있다. 이용자가 서비스를 탈퇴하는 것과 해당 이용자의 데이터가 모든 분석 결과나 서비스에서 완전히 제거되는 것이 반드시 같은 의미인지는 추가 설명이 필요한 대목이다.

약관 문언만 놓고 보면 이용자는 철회를 요청할 수 있지만, 이미 활용된 결과물까지 완전히 되돌릴 수 있다고 단정하기는 어렵다. 어떤 데이터가 결과물에서 분리하기 곤란한 상태에 해당하는지, 회사가 이를 어떤 기준으로 판단하는지도 공개돼 있지 않다.

◆ 성적·생기부도 이용허락 대상?…법 시행 앞두고 서비스 종료

핵심 쟁점은 앞선 ①편에서 확인된 성적과 학교생활기록부 등 교육 정보가 이번 약관의 이용허락 대상에 포함되는지 여부다.

메가스터디는 별도의 ‘AI 생기부 분석 리포트’ 서비스를 통해 학교생활기록부에 포함된 창의적 체험활동상황, 세부능력 및 특기사항, 행동특성 및 종합의견 등을 수집해왔다. ‘AI 통합 검색’ 서비스에서는 이용자의 검색기록과 성적, 목표 대학 등을 수집 항목으로 안내했다.

본지는 이렇게 수집된 학교생활기록부와 성적이 제24조 제3항의 ‘회원 콘텐츠’에 포함돼 영구적·취소불가능한 이용허락 대상이 되는지, AI 기반 답변 생성·검색 기능 고도화나 신규 서비스 연구에 실제 활용되는지를 회사에 질의했다.

회사는 학교생활기록부와 성적이 해당 이용허락 범위에 포함되는지에 대해서는 직접 답하지 않았다. 다만 취재 과정에서 ‘AI 생기부 분석 서비스’를 종료했으며, 그 배경으로 오는 7월 29일 시행 예정인 초·중등교육법 개정을 들었다.

오는 7월 29일 시행되는 초·중등교육법 제25조의2는 학교생활기록을 취득해 영업 목적으로 거래하거나 이용하는 행위를 금지한다. 위반 시 5년 이하의 징역 또는 5천만원 이하의 벌금에 처하도록 규정한다.

교육부가 제시한 위반 사례에는 대입 상담을 위해 학생부를 AI 학습 데이터로 활용하는 영업 행위와, 입시 업체가 법 시행 전 수집·보유한 학생부 데이터를 이용해 분석 서비스를 운영하는 경우 등이 포함됐다.

다만 서비스 종료 이전에 수집된 학교생활기록부 원본이 삭제됐는지, 분석 과정에서 생성된 데이터가 남아 있는지, 해당 정보가 AI 모델이나 다른 결과물에 반영됐는지는 확인되지 않았다.

약관 제23조 제5항이 ‘이미 활용·가공돼 분리가 곤란한 결과물’을 철회 대상에서 제외하고 있지만, 이 예외가 AI 생기부 분석 서비스를 통해 생성된 어떤 데이터에 적용되는지도 회사는 설명하지 않았다.

서비스 종료와 기존에 수집·가공된 데이터의 삭제는 별개의 문제다. 회사는 서비스를 종료한 사실은 밝혔지만, 종료 이전 데이터의 구체적인 처리·파기 기준에 대해서는 답하지 않았다.

◆ 자회사·위탁업체도 이용 가능…구체적인 데이터 범위는 불명확

약관 제23조 제4항은 회사가 목적 달성을 위해 자회사 또는 제3자에게 데이터를 제공하거나 업무를 위탁할 수 있도록 하고, 관련 내용을 개인정보처리방침을 통해 공개한다고 규정한다.

제24조 제3항의 이용허락 대상에도 회사뿐 아니라 자회사와 위탁업체가 포함된다. 이에 따라 약관상 회원 콘텐츠는 회사 내부뿐 아니라 서비스를 운영하거나 AI·검색 기능 등을 지원하는 업체에서도 이용될 수 있는 구조다.

메가스터디 개인정보처리방침의 위탁 현황에는 Google LLC가 인프라 운영과 데이터 분석을, ㈜트리플오스가 ‘AllthatAI’ 서비스 운영 관리를, ㈜마이스가 검색 질의 분석과 서비스 고도화를 담당하는 것으로 기재돼 있다.

다만 각 업체에 전달되는 정보의 구체적인 범위와 회원 성적·학습이력 등 교육 관련 정보가 포함되는지 여부는 약관과 위탁 현황만으로 확인하기 어렵다. 해당 데이터가 실제로 국외에서 저장·처리되는지도 구체적으로 적혀 있지 않다.

저작권상 ‘전세계적 이용허락’과 개인정보의 국외 이전은 서로 다른 문제다. 약관의 ‘전세계적’이라는 표현만으로 국외 이전이 이뤄진다고 볼 수는 없으며, 실제 데이터의 이전·저장 위치와 처리 방식은 별도의 확인이 필요하다.

◆ 미성년 수험생은 약관의 의미를 이해했나

메가스터디 이용자 상당수가 미성년 수험생이라는 점에서, 학생과 법정대리인이 약관에 동의하는 과정에서 ‘영구적·전세계적·취소불가능한 이용허락’의 의미와 적용 범위를 실제로 이해했는지도 따져볼 대목이다.

해당 표현은 법률 용어에 가까워 일반 이용자가 직관적으로 이해하기 쉽지 않다. 특히 약관상 회원 콘텐츠에 학습이력을 비롯한 서비스 이용 데이터까지 포함된 상황에서, 학생이나 법정대리인이 자신의 학습 과정에서 생성된 정보가 AI 기능 고도화나 신규 서비스 연구 등에 이용될 가능성까지 충분히 예상했다고 단정하기는 어렵다.

제23조 제5항에 규정된 철회 예외도 마찬가지다. 이용자가 자신의 데이터 이용을 철회할 수 있다는 설명과 이미 가공된 AI 모델이나 출판물은 예외가 될 수 있다는 설명이 함께 제시되지만, 구체적으로 어떤 데이터가 삭제되고 무엇이 남는지는 일반 이용자가 약관만으로 판단하기 어렵다.

◆ 메가스터디 “저작권상 이용허락”…학습이력·개인정보 구분에는 답 없어

본지는 메가스터디교육 측에 ▲제23·24조상 AI 이용 대상에 학생 성적·학교생활기록부가 포함되는지 ▲AI 학습·고도화에 데이터가 실제 활용되는지 ▲‘취소불가능한 이용허락’과 ‘철회권’이 각각 어떤 정보에 적용되는지 ▲회원 탈퇴 후 남는 데이터의 범위 ▲국외 이전 여부 등을 질의했다.

메가스터디교육 측은 “당사 이용약관 및 개인정보처리방침은 개인정보 보호법 등 관련 법령에 따라 법률 검토를 거쳐 마련됐다”며 “이용약관 제24조의 게시물 이용허락 조항은 저작권법상 이용허락에 관한 것으로, 일반적인 회원 서비스 운영 목적의 규정”이라고 밝혔다.

이어 “개인정보 보호법에 따른 이용의 동의·철회·삭제 요구권 등 법정 권리는 위 조항과 무관하게 전면 보장된다”고 답했다.

회사 설명처럼 제24조가 저작권법상 이용허락에 관한 조항이라면, 약관상 ‘회원 콘텐츠’에 학습이력을 비롯한 서비스 이용 과정에서 생성되는 일체의 데이터까지 포함한 이유와 이 가운데 개인정보가 어떤 기준으로 구분되는지에 대한 추가 설명이 필요하다.

또 개인정보보호법상 철회·삭제 요구권이 전면 보장된다면, 이용자가 해당 권리를 행사했을 때 원본 데이터와 가공 데이터 가운데 무엇이 삭제되고, 어떤 AI 모델이나 출판물이 ‘이미 활용·가공돼 분리가 곤란한 결과물’로 남는지도 구체적으로 밝혀져야 한다.

그러나 메가스터디교육은 학생 성적과 학교생활기록부가 이용허락 대상에 포함되는지, 해당 데이터가 실제 AI 학습·고도화에 활용됐는지에 대해서는 개별적으로 답하지 않았다.

메가스터디교육 측은 이와 함께 “7월 29일 시행 예정인 초·중등교육법 일부개정법률안과 관련해 AI 생기부 분석 서비스를 종료했으며 관련 서비스도 종료할 예정”이라고 밝혔다.

회사는 “지난주 AI 생기부 분석 서비스가 종료됐고, 이에 따른 약관 및 개인정보처리방침 등의 전면적인 수정이 불가피한 상황”이라고도 설명했다. 다만 이는 서비스 종료에 따른 문서 정비 필요성을 밝힌 것으로, 회사가 기존 약관의 법적 문제를 인정했다는 의미는 아니다.

이어 “이후 서비스에 대해서도 개정된 초·중등교육법 등 관련 법령을 준수하고, 데이터 활용 범위에 대한 고지를 지속적으로 명확히 안내해 나가겠다”고 밝혔다.

다만 종료 이전에 수집된 학교생활기록부 데이터의 삭제 여부와 해당 정보가 AI 학습·고도화 등에 활용됐는지, 이미 생성된 분석 결과와 가공 데이터가 남아 있는지에 대해서는 답변하지 않았다. ①편 출고 이후에도 이와 관련한 회사의 추가 입장 표명은 없었다.

메가스터디 측은 제24조가 개인정보 이용 동의가 아닌 저작권상 이용허락이며, 개인정보보호법상 권리는 별도로 전면 보장된다는 입장이다. 그러나 약관은 저작물 성격의 게시글뿐 아니라 학습이력과 서비스 이용 과정에서 생성되는 일체의 데이터까지 ‘회원 콘텐츠’로 규정하고 있다.

따라서 회원이 삭제나 철회를 요구했을 때 어떤 정보가 개인정보로서 삭제되고, 어떤 콘텐츠가 저작권상 이용허락에 따라 계속 활용되는지, 이미 가공된 AI 모델이나 결과물은 어떤 기준으로 예외가 되는지에 대한 의문은 회사 답변만으로 해소되지 않는다.

학생은 서비스를 떠날 수 있다. 하지만 학생이 서비스를 이용하며 남긴 학습이력과 교육 데이터가 어디까지 지워지고, 무엇이 회사의 AI 기능과 신규 서비스 안에 남는지는 여전히 분명하지 않다. ‘언제든 철회할 수 있다’는 권리가 실제로 어떤 데이터에, 어디까지 작동하는지를 이용자가 알 수 있도록 설명하는 것은 이제 회사의 몫으로 남았다.

전여송 로이슈(lawissue) 기자 arrive71@lawissue.co.kr