2026년 11월 2일 업데이트: 출처가 뒷받침하는 분량으로 줄이고 KVKK 게시물을 직접 연결했습니다. KVKK는 이런 앱이 생체정보 처리를 일으킬 '수 있다'고 했을 뿐 특정 앱을 판단하지 않았습니다. 해외 앱에 사진을 올리면 대개 국외이전이라는 이전 서술은 바로잡았습니다. KVKK 이전 가이드는 본인이 직접 제공하는 경우를 달리 봅니다. 앱의 작동 방식에 관한 미확인 서술과 해외 사례 목록은 삭제했습니다.

정정 (2026년 10월 19일): 이전 버전은 KVKK가 이용자들이 데이터 이용 목적을 안내받지 못한다고 지적했다고 잘못 기술했으나 실제 KVKK 게시물은 앱의 데이터 접근 범위와 이용 목적을 확인하라고 당부한 것이었으므로 이를 바로잡았고, 페이스북 BIPA 합의 연도를 정정했으며, 게재가 철회된 두 기사로 연결되는 링크를 삭제했습니다.

튀르키예 개인정보보호청(KVKK)은 2026년 9월 10일 X 계정에서, 사진을 1980년대 스타일 이미지로 바꾸는 '#80lerchallenge' 유행에 쓰이는 AI 앱에 관해 이용자들에게 주의를 당부했습니다. 이런 앱이 생체정보 처리를 일으킬 수 있다는 내용입니다. 이는 짧은 소셜미디어 게시물이며 결정이 아니고, 특정 앱을 거론하지도 않습니다.

KVKK는 80년대 챌린지에 대해 뭐라고 했습니까?

KVKK 게시물은 AI 앱으로 사진을 복고풍 이미지로 바꾸기 전에 디지털 프라이버시도 생각해 보라고 권합니다. #80lerchallenge 같은 유행에 쓰이는 앱은 사진을 통해 생체정보가 처리되게 할 수 있다고 합니다. 이어 앱이 어떤 데이터에 접근하는지 확인하고, 데이터가 어떤 목적으로 쓰일 수 있는지 알아보라고 권합니다. 끝맺음은 '추억은 남기고, 당신의 것은 당신에게 남겨 두세요'입니다.

당국이 말한 것은 여기까지입니다. 앱을 금지하지도, 위반을 인정하지도, 특정 앱의 작동 방식을 설명하지도 않았습니다.

모든 셀카가 생체정보입니까?

아닙니다. 얼굴이 찍혔다는 이유만으로 사진이 생체정보가 되지는 않습니다. 제6698호 법률 제6조는 생체정보를 민감정보로 열거하지만 그 조항에서 정의하지는 않습니다. KVKK의 생체정보 가이드(2025년 3월)는 EU의 정의를 참고합니다. 처리를 통해 고유한 특징을 추출해야 하고, 그 특징이 본인을 식별하거나 신원을 확인하는 데 쓰여야 합니다. GDPR도 사진에 관해 같은 취지입니다. 전문 제51항은 사진이 개인을 고유하게 식별하거나 인증하는 특정 기술적 수단으로 처리될 때만 이에 해당한다고 설명합니다.

결국 앱이 이미지를 어떻게 처리하느냐에 달려 있고, KVKK가 '할 수 있다'고 표현한 이유도 여기에 있습니다. KVKK는 생체정보 근태 관리와 은행 모바일 앱 등 다른 영역에서 얼굴 정보를 다룬 적이 있습니다. 이는 필터 앱이 아니었으며, 필터 앱에 관한 KVKK 결정은 저희가 아는 한 없습니다.

어떤 KVKK 규정이 적용됩니까?

앱이 실제로 생체정보를 처리한다면 민감정보에 관한 더 엄격한 규정이 적용됩니다.

  • 법적 근거. 제7499호 법률로 개정되어 2024년 6월 1일부터 적용되는 제6조 제3항은 명시적 동의 등 열거된 요건이 없으면 처리를 금지합니다. 오락용 앱이라면 저희가 보기에 현실적인 요건은 명시적 동의입니다.
  • 동의의 수준. 제3조는 명시적 동의를 특정 사안에 관해 정보를 받고 자유로운 의사로 표시한 동의로 정의합니다. 저희가 보기에 '앱을 쓰면 약관에 동의한 것'이라는 일반 조항은 이와 맞추기 어렵습니다.
  • 고지. 제10조는 처리자의 신원, 목적, 수령인, 수집 방법과 법적 근거를 알리도록 합니다. KVKK의 두 번째 권고도 이용자를 같은 정보로 이끕니다.
  • 보안. 제12조는 적절한 기술적·관리적 조치를 요구합니다.

해외 앱에 사진을 올리면 국외이전입니까?

본인이 직접 올리는 경우 대체로 아닙니다. KVKK의 국외이전 가이드가 온라인 쇼핑 사례로 설명한 바에 따르면 튀르키예에 있는 사람이 튀르키예 시장을 겨냥한 외국 회사에 직접 데이터를 제공하면, 데이터를 내보내는 처리자가 없으므로 이전에 해당하지 않습니다. 다만 그 회사의 처리에는 법이 그대로 적용됩니다. 그 회사가 데이터를 해외의 수탁자에게 넘기면 그 단계는 이전 규정의 적용을 받습니다.

튀르키예의 브랜드는 사정이 다릅니다. 캠페인을 하면서 고객 사진을 해외 사업자에게 보낸다면 제9조가 문제 됩니다. 각 당사자의 역할, 보관 기간, 모델 학습 이용 여부를 계약으로 정해야 합니다. 이전 경로는 KVKK 국외이전 가이드에서 설명합니다.

이용자는 무엇을 할 수 있습니까?

우선 KVKK의 두 가지 확인 사항부터 시작할 수 있습니다. 그 밖에 갤러리 전체가 아니라 고른 사진 한 장만 접근을 허용하고, 이미지 보관 기간과 학습 이용 여부를 읽어 보고, 아이나 다른 사람의 사진을 올리기 전에 한 번 더 생각하는 것이 합리적입니다.

제11조는 처리 여부와 이유, 수령인을 알고 삭제를 요구할 권리를 줍니다. 제13조에 따라 처리자는 30일 내에 답해야 합니다. 제14조에 따라 답변을 안 날부터 30일 내, 늦어도 신청일부터 60일 내에 위원회에 진정할 수 있습니다.

EU AI 법은 이에 대해 무엇을 말합니까?

일부만 다룹니다. EU AI법은 얼굴 인식 데이터베이스를 만들기 위한 얼굴 이미지의 무차별 수집(제5조 제1항 (e)호)과 일정한 생체 분류(제5조 제1항 (g)호)를 금지합니다. 제50조 제4항은 딥페이크 공개를 요구합니다. AI 생성 콘텐츠 표시 해설을 참고할 수 있습니다. 이 규정들이 필터 앱 자체를 금지하지는 않습니다. 튀르키예에는 시행 중인 AI 법률이 없습니다.

자주 묻는 질문

KVKK가 80년대 챌린지 앱을 금지했습니까?

아닙니다. KVKK의 2026년 9월 10일 게시물은 인식 제고 메시지입니다. 앱의 데이터 접근 범위와 이용 목적을 확인하라고 권할 뿐 특정 앱을 거론하거나 위반을 인정하지 않습니다.

KVKK는 제 사진이 생체정보라고 말합니까?

그렇게 말하지는 않습니다. KVKK는 이런 앱이 사진을 통해 생체정보 처리를 일으킬 수 있다고 합니다. 특정 앱이 그러한지는 이미지 처리 방식에 달려 있습니다. GDPR 전문 제51항에 따르면 사진은 특정 기술적 수단으로 처리될 때만 해당합니다.

튀르키예 개인정보보호법은 해외 앱에도 적용됩니까?

적용될 수 있습니다. KVKK 이전 가이드에 따르면 튀르키예 시장을 겨냥해 현지 이용자에게서 직접 데이터를 수집하는 외국 회사에는 제6698호 법률이 적용되며, 이 직접 수집은 국외이전이 아닙니다. 외국 회사를 상대로 권리를 행사하기는 실제로 더 어려울 수 있습니다.

부르한 도우쉬 아이파를라르의 견해

이 섹션은 본 사이트의 설립자인 튀르키예 변호사 부르한 도우쉬 아이파를라르의 개인적인 견해를 담고 있습니다.

제 견해로는 KVKK의 게시물이 실제 문제를 건드립니다. 가장 큰 위험은 가장 순진해 보이는 행동 속에 있을 수 있습니다. 읽지 않고 서비스에 묶인 승인이 제3조가 정한 명시적 동의의 기준을 충족한다고 보기도 어렵습니다.

이번 경고는 환영하지만 인식 제고만으로는 부족합니다. 개발자와 이런 필터를 쓰는 브랜드를 위한 지침, 필요한 경우의 결정이 더 효과적입니다. 이용자에게는 간단한 비유가 도움이 됩니다. 비밀번호는 바꿀 수 있어도 얼굴은 바꿀 수 없습니다.

출처: KVKK의 X 게시물(2026년 9월 10일, 직접 확인), mevzuat.gov.tr의 제6698호 법률, KVKK 국외이전 가이드(2025년 1월)와 생체정보 가이드(간행물 제55호, 2025년 3월), GDPR 전문 제51항, 규칙 (EU) 2024/1689(2026년 11월 1일 확인). 특정 앱을 조사하지는 않았습니다. 일반 정보이며 법률 자문이 아닙니다.