"형식적 동의 위주 개인정보보호 실효성 떨어져...AI 시대, 새 접근 필요"

[황치규 기자]

송경희 개인정보보호위원회 위원장.

[디지털투데이 황치규 기자]"개인정보를 가둬 두는게 만능은 아니다. 개인이 동의하지 않으면 쓰지 못하도록 돼 있는데, 이로 인해 형식적인 동의 절차가 확산되고 있다. 그러다 보니 동의가 갖는 실효성이 떨어진다. 일일이 동의를 하는 것보다는 포괄적인 동의를 가는 것도 있을 수 있다."

송경희 개인정보보호위원장이 21일 취임 후 첫 기자 간담회를 갖고 AI 시대 개인정보보호 방식에도 변화가 필요하다는 점을 강조했다.

개인정보위는 AX 시대를 맞아 개인정보 안전한 활용이 현실화될 수 있도록 AI 특례 제도도 도입한다. AI 특례는 AI 모델 성능 개선을 위해 고품질 개인정보 원본을 AI 학습 데이터로 활용할 수 있도록 허용하는 것이 골자. 자율주행 성능개선, 보이스피싱 예방 AI 등 공익·사회적 이익에 부합하고 익명·가명처리로는 목적 달성이 곤란한 경우, 강화된 안전장치 확보를 전제로 심의·의결 거쳐 허용된다.

송 위원장은 "AI 에이전트 시대, 막기만 할 수는 없다. 막는 것을 넘어 안전하게 쓰이도록 하는 것이 중요하다. 개인정보 수집, 저장, 이용을 넘어 회색 지대가 커질 수 있는데, 이를 고려한 설계를 해야 한다"고 말했다.

개인정보위는 AI 융합사회를 촉진하기 위한 공공, 민간 AI 전환(AX) 지원을 올해 주요 과제로 삼았다. 송 위원장은 "공공기관에 축적된 고품질 데이터가 안전하게 가명처리되어 활용되도록 밀착 지원하는 가명정보 원스톱 지원, 비조치의견서 시범운영, 개인정보 이노베이션 존 등 사업도 적극 추진하겠다"면서 "AI 사업 추진시 개인정보 침해 위협이 우려되거나 불확실한 경우, 공공 AX혁신지원 헬프데스크를 통해 사전 컨설팅을 받을 수 있도록 지원하는 방안도 추진한다"고 말했다.

취임 당시부터 강조해온 사후 대응에서 사전 예방 중심으로의 개인 정보 체계도 거듭 강조했다. 그는 통신사, 유통 플랫폼 등에서 발생한 대규모 개인정보 유출 사고와 관련해 "이들 기업은 대규모로 개인정보를 보유하고 있는 만큼, 그에 상응하는 높은 보호조치가 요구되는데,기본적인 관리·점검·통제 부재에서 사고가 비롯된 경우가 적지 않았았다"면서 "이는 개별 기업 문제뿐만 아니라, 사후 대응에 치중해 온 기존 보호 체계 구조적 한계를 보여주는 측면이 있다"고 지적했다.

이어 "AI와 자동화 기술이 확산된 환경에서는, 개인정보 침해가 발생한 이후 조사하고 처벌하는 방식만으로는 국민을 실질적으로 보호하기 어렵다. 사고가 발생하지 않도록 설계 단계부터 위험을 관리하는 것으로 이동할 수밖에 없다"고 목소리를 높였다.

사전 예방 중심 체계로 전환이 제재를 약화시키는게 아니라는 점도 분명히 했다.

개인정보위는 중대·반복 위반에 대해서는 징벌적 과징금 특례 도입(전체 매출 10%까지 부과 가능)을 추진 중이다. 이와 관련 송 위원장은 "처벌을 강화하기 위한 목적이 아니라, 개인정보 보호를 기업 선택이 아닌 경영 전제 조건으로 인식하도록 하는 구조적 장치"라고 말했다. 또 "기업이 선제적으로 개인정보 보호에 투자하고 예방 조치를 충실히 이행한 경우에는 과징금 감경 등 인센티브제도 법적 근거를 확보해 예방 중심 관리가 합리적인 선택이 되도록 정책적 유인을 강화하겠다"고 덧붙였다.

개인정보위는 개인정보 보호 책임 구조 자체를 바꾸는 데도 속도를 낸다. 전사적 개인정보 관리체계가 작동할 수 있도록 CEO 개인정보 보호에 대한 최종 책임을 명확히 하고, CPO 권한 강화와 CPO 지정 신고제 도입 등을 포함한 법 개정도 추진 중이다.

송 위원장은 "유출 사고 발생 시 정보주체가 실질적인 보호와 구제를 받을 수 있도록 피해구제 제도 전반에 대한 개선 방안도 함께 마련하고 있다. 법령 개정이 필요한 사항은 입법 절차를 신속히 추진해 사전 예방 중심 보호 체계가 현장에서 안정적으로 정착될 수 있도록 하겠다"고 말했다.

송 위원장은 최근 개인정보 유출 사고 관련해 개인정보위 조사를 받고 있거나 처분을 받은 회사들에 대한 의견도 공유했다.

쿠팡 개인 정보 유출 사고와 관련해선 "조사는 상당 부분 진행됐다. 3000만명 이상 개인정보가 유출돼 법 위반 요소들이 있고 비회원 정보도 있어 피해는 더 늘어날 수도 있다. 이 부분도 확인하고 있다"면서도 조사 결과 발표 시점에 대해서는 구체적인 언급을 하지 않았다.

쿠팡이 본사를 미국에 둔 사업자여서 통상 이슈가 될 수 있다는 일부 관측에 대해서도 "국내, 해외 사업자 상관 없이 개인정보보호법 위반 여부가 중요하다. 법에 의거해 엄격하게 살펴보고 처분을 내릴 것이다. 통신 관련 변수는 고려치 않고 있다"고 말했다.

앞서 SK텔레콤은 유심 해킹 사고 관련해 개인정보보호위원회가 결정한 1348억원 과징금 처분에 불복, 행정 소송을 제기했다. 송 위원장은 "일각에서 나오는 부당 이득이 없었기 때문에 과징금이 과도하다는 시각은 받아들이기 어렵다. 정보 주체에 대해 피해를 준 것에 책임을 묻는 것이 핵심"이라고 말했다.

<저작권자 Copyright ⓒ 디지털투데이 (DigitalToday) 무단전재 및 재배포 금지>