[보도자료] 인공지능 시대 개인정보 제도혁신 정책 제안서 제출

인공지능 시대 개인정보 제도혁신 정책 제안서 제출

– 제도혁신 전 짚고 넘어가야 할 기존 개인정보 보호체계의 고질적 문제 지적

– 인공지능 시대 정보주체의 권리 보호를 위해 구체적인 제도 마련해야

1. 개인정보보호위원회는 인공지능 환경 심화에 대응해 본격적인 개인정보 제도 혁신 절차에 착수할 것을 밝히며 현행 개인정보 제도의 한계와 개선 방향에 대한 국민 정책 제안 접수를 실시하였습니다.
2. 이에 디지털정의네트워크에서는 1. 형식적인 동의 관행의 문제, 2. 정보주체에 대한 고지 강화, 3. 알 권리가 취약한 노동자에 대한 개인정보 보호, 4. 연계정보(CI) 등에 대한 본인확인 체제 개선, 5. 타겟광고 목적의 행태정보 수집, 6. 개인정보 영향평가 활성화 등 현행 개인정보 제도 개선을 위한 정책을 제안하였습니다.
3. 국내 개인정보 보호체계의 고질적인 문제가 인공지능 등 기술 환경의 변화로 인해 심화되고 있습니다. 개인정보처리자의 책임성 강화와 개인정보 감독기구의 적극적 역할이 필요함과 동시에 정보주체와 인공지능 기술 환경에 영향받는 자의 참여를 보장하는 개인정보 보호 제도로 나아가야 할 것입니다.

 

▣ 붙임 : 정책제안서

현행 개인정보 제도의 한계와 개선 방향에 대한 정책 제안

디지털정의네트워크

1. 들어가며

빅데이터, AI 환경은 기존과 다른 방식으로 정보주체의 개인정보 자기결정권에 심각한 위협을 야기하고 있습니다. 정보주체가 인지하지 못하는 사이에 방대한 행태정보가 수집되고 프로파일링되어 상업적, 정치적 목적의 타게팅에 활용되고 있으며, 스마트 안경이나 드론과 같이 은밀하게 시민을 감시할 수 있는 기술이 발전하고 있습니다. 이러한 기술 환경의 변화는 개인정보의 실질적 보호를 위해 정보주체의 동의권을 보장하는 것만으로는 한계가 있으며, 개인정보처리자의 책임성 강화와 개인정보 감독기구의 적극적인 역할을 요구합니다.

더불어 한국의 독특한 관행과 미흡한 개인정보 보호체계가 정보주체의 권리 보호를 더욱 어렵게 만들고 있습니다. 한국에서는 주민등록번호에서 연계정보(CI)에 이르기까지 범용 개인식별자가 관행적으로 수집되어 왔지만, 정부 관료와 기업은 이것이 얼마나 프라이버시 침해적인지 인식하지 못하고 있습니다. 2020년에 개인정보 감독기구로서 개인정보보호위원회가 설립되었지만, 감독기구로서의 독립성과 자원이 여전히 부족합니다. 정보기관이나 수사기관에 대한 감독, 노동 분야 개인정보 보호, 개인정보 침해에 대한 신속한 구제 제도 등 보호가 미흡한 영역이 많습니다. 종종 산업계의 이해관계에 밀려 개인정보 보호원칙조차 형해화되고 있습니다. 이러한 상황을 방치하고 미래로 나아갈 수는 없습니다.

이러한 문제의식 하에 디지털정의네트워크는 다음과 같이 현행 개인정보 제도의 개선 과제를 제안합니다. 아래 과제는 어떤 측면에서는 국내 개인정보 보호체계의 고질적인 문제점이기도 하지만, 다른 한편에서는 AI 등 새로운 기술 환경의 변화와도 관련되어 있습니다.

2. 형식적인 동의 관행의 문제

본 의견 수렴을 위한 보도자료에서 귀 기관은 ‘반복되어 형식화되는 개인정보 동의’를 첫번째 사례로 들며, “국민은 긴 동의서를 충분히 이해하기보다 형식적으로 동의 버튼을 누르게 되면서, 오히려 동의 기반의 처리가 실질적인 보호 수준이나 통제권을 약화시킬 수도 있다는 지적이 제기되고 있다”고 하고 있습니다. 형식적인 동의 관행은 당연히 문제이지만, 그렇다고 왜 동의 기반의 처리가 실질적인 보호 수준이나 통제권을 약화시키는지는 의문입니다. 이는 동의 절차를 회피하기 위한 산업계의 오래된 레퍼토리일 뿐입니다.

다른 적법 요건을 충족할 수 없다면 당연히 정보주체의 동의를 받아야 합니다. 형식적인 동의 관행의 문제를 해결하기 위해서는 동의를 실질화시켜야 합니다. 정보주체에게 중요한 내용에 대해 이해할 수 있도록 하고, 실질적인 동의를 받았는지는 처리자가 입증하도록 해야 합니다. 더불어 처리자의 개인정보 정책이 개인정보 보호원칙을 준수하고 있는지, 이용자를 기만하고 있지 않은지 등에 대해 감독기구의 점검을 통해 이용자가 중요 사항을 인지하고 안심하고 동의할 수 있도록 지원해야 합니다.

또한, 동의를 받았다고 그 이후의 모든 책임이 정보주체에게 지워지는 것은 아니며, 개인정보처리자의 관리 책임이 면제되는 것도 아닙니다. 동의와 무관하게 개인정보처리자의 책임성을 강화할 필요가 있습니다.

3. 정보주체에 대한 고지 강화

개인정보가 어떠한 적법 근거에 의해 처리되든, 정보주체는 자신의 개인정보가 어떻게 처리되는지에 대해 알 권리가 있습니다. 그러나 현행 개인정보보호법은 동의를 받을 때에만 제한적으로 개인정보 처리에 대한 정보를 제공하도록 하고 있을 뿐, 다른 적법 근거에 의해 수집될 때에는 개인정보 처리에 대한 정보 제공 의무를 부과하고 있지 않습니다. 이 역시 반복적으로 제기된 사항인데, 왜 개인정보위가 산업계 이익을 위한 AI 특례 처리에는 발벗고 나서면서 정보주체의 기본적 권리를 보호하기 위한 개정은 주저하고 있는지 이해할 수 없습니다.

새로운 기술 환경 속에서 개인정보 처리의 투명성은 약화되고 있습니다. 가령 AI 에이전트 환경이 발전하여 AI 에이전트가 개인정보 공유와 처리가 증가하게 될 때, 적절한 투명성이 보장되지 않으면 정보주체가 자신의 개인정보가 어떻게 처리되는지 인지하기 힘들어질 수 있습니다. 따라서 법적으로 정보주체가 자신의 개인정보 처리에 대해 알 권리를 보장하고, 이를 실효적으로 보장할 수 있는 기술적 방안에 대해 개인정보위가 가이드를 제시해야 합니다.

4. 노동자 개인정보 보호

정보주체의 알 권리가 특히 취약한 분야가 바로 노동분야입니다. 설문조사를 해보면, 직장 내에서 개인정보 처리방침이 없거나 있어도 본 적이 없다는 응답이 50%가 넘습니다. 통상적으로 직장 내에서 기본적인 개인정보만을 수집하지 않으며, 생체정보인식기, 지능형 CCTV, PDA, 컴퓨터나 스마트폰 모니터링 도구 등 다양한 방식으로 노동자 개인정보를 수집합니다. 그럼에도 불구하고, 노동자들은 어떠한 개인정보가 수집되는지 제대로 인지하지 못하고 있으며, 심지어 그것이 개인정보인지에 대한 인식도 부족합니다.

이는 비단 전통적인 문제가 아니라, 새로운 AI 환경에서 그 위험성이 더욱 심각해지는 문제입니다. 기존의 전산 시스템이 고도화되거나 알고리즘을 통해 프로파일링이 이루어져도, 노동자들은 그 존재조차 알 수 없습니다. 특히 배달 플랫폼을 비롯하여 플랫폼 환경에서 알고리즘은 노동자의 개인정보(운송수단, 위치, 배달이력 등)를 프로파일링하여 업무를 배정하고 수수료를 지급합니다. 그러나 라이더를 비롯한 플랫폼 노동자들은 자신에게 주어지는 업무나 수수료가 어떻게 도출되는 것인지, 자신의 어떠한 개인정보를 프로파일링한 것인지 전혀 고지받지 못하고 있습니다.

AI 환경에서 노동자들이 더 고도화된 감시, 또는 알고리즘 관리에 노출될 위험이 있습니다. 이에 대해 개인정보위 뿐만 아니라 고용노동부 역시 감독을 해야하지만, 오히려 서로 책임을 미루고 있는 형국입니다. 개인정보위는 고용노동부와 협력하여 AI 시대 노동자 개인정보 보호를 위한 정책을 마련하고 감독을 강화해야 합니다.

5. 연계정보(CI) 등 본인확인 체제 개선

본인확인 체제는 한 사회의 개인정보 처리 인프라에 해당한다고 볼 수 있습니다. 한국에서는 인터넷 초창기부터 본인확인 관행이 활성화되었고, 인터넷 실명제로 제도화되었다가 위헌 결정으로 폐지된 후에도, 본인확인 관행이 여전히 남아 있습니다. 그러나 대부분의 서비스 제공에 있어서 이러한 본인확인 관행은 ‘최소수집의 원칙’에 어긋납니다. 굳이 서비스 제공에 필수적이지 않음에도 불구하고, 과도한 개인정보를 수집하게 되기 때문입니다. 이는 해외의 주요 서비스에 본인확인을 하지 않고도 가입할 수 있는 것으로 쉽게 확인할 수 있습니다.

 

더 큰 문제는 인터넷 서비스 사업자들이 본인확인에 그치는 것이 아니라, 주민등록번호 및 연계정보(CI)와 같은 범용 개인식별자를 수집하고 있다는 것입니다. 주민등록번호 유출이 사회적 문제가 되어 수집이 제한되자 이제는 주민등록번호를 암호화 한 연계정보를 수집하고 있습니다. 그러나 연계정보 역시 범용 식별자이기 때문에 주민등록번호와 똑같은 문제를 야기할 수밖에 없습니다. 즉, 범용 식별자는 서로 다른 개인정보 데이터베이스를 연결하는 열쇠로서 개인정보의 통합을 가능하게 합니다. 서로 다른 사업자로부터 유출된 개인정보가 통합되어 피싱 등에 악용되기 쉬울 뿐만 아니라, 개인정보처리자가 서로 다른 개인정보를 통합하기 위해 남용할 수도 있습니다.

서로 다른 사업자간 이용자 연계를 위한 식별번호로서 연계정보 제도를 정부가 제공한다는 것도 문제지만, 심지어 다른 사업자와의 연계를 하지 않아서 굳이 연계정보가 필요없는 경우에도, 사업자들은 관행적으로 연계정보를 필수정보로 수집하고 있습니다. 티빙, BGF 네트웍스, 우리은행, 롯데카드 등 최근 몇 년 사이에 연계정보 유출이 증가하고 있습니다. 그러나 연계정보 주무부처인 방송미디어통신위원회를 비롯하여, 개인정보위 역시 이에 대한 감독을 소홀히해 왔습니다.

최근에는 온라인에서 아동 보호의 필요성도 높아지고 있습니다. 사업자들에게 아동에 특화한 별도의 정책을 의무화하기 위해서는 연령을 확인할 필요가 있습니다. 결국 모든 이용자에 대한 본인확인을 할 수밖에 없는데, 연령확인을 의무화하면서 현재의 본인확인 시스템을 활용할 경우 과거 위헌결정을 받았던 인터넷 실명제를 되풀이할 수밖에 없습니다. 연령확인을 한다면서 성인여부에 대한 정보만을 수집하는 것이 아니라 연계정보와 같은 개인식별자를 수집한다면, 이는 개인정보 보호원칙 위반이자 이용자의 개인정보 자기결정권을 제한하는 것입니다. 유럽의 전자지급 시스템과 같이 연령확인이 필요하다면 성인여부를 확인하여 YES/NO 값만 전달하는 방식이 최소수집의 원칙에 부합할 것입니다.

연계정보 제도 개선은 방송미디어통신위원회의 과제이지만, 개인정보위 역시 개인정보 보호원칙에 맞게 국내 본인확인 관행이 개선되도록 계도할 책임이 존재합니다.

6. 타겟 광고 목적의 행태정보 수집

플랫폼과 광고업체는 플랫폼 내외부에서 방대한 이용자 행태정보를 수집하고 있고, 상업적, 정치적 목적의 타게팅 광고를 내보냅니다. 자신의 방대한 행태정보가 수집되고, 경제적 선택과 정치적 인식에 영향을 줄 수 있는 메시지를 받고 있음에도 정보주체는 이에 대한 선택권을 행사할 수 없을 뿐만 아니라, 한국에서는 제대로 된 정보조차 고지받지 못하고 있습니다.

자신의 행태정보에 따라 서로 다른 광고를 보게 되는데, 타겟 광고를 위한 개인정보 프로파일링을 개인정보 처리가 아니라고 하는 것은 어불성설입니다. 이것이 개인정보 처리가 아니라면, 아동 개인정보 프로파일링이나 민감정보 프로파일링에 기반한 타겟 광고도 규제할 근거가 없어질 것입니다. 개인정보위는 메타나 구글과 같은 플랫폼이 수집한 행태정보는 개인정보로 인정했으면서도, 제3자 웹사이트나 앱에서 이러한 행태정보가 수집되는 과정에서 동의가 제대로 이루어지고 있지 않은 것에 대해 아무런 조치도 취하지 않고 있습니다. 제3자 웹사이트나 앱 역시 개인정보처리자로서 행태정보 수집에 대해 동의를 받아야 합니다. 개인정보위는 지금 제3자 웹사이트나 앱에서 이용자들이 자신의 행태정보가 수집되고 있다는 사실에 대해 제대로 인지하고 있다고 생각하는지요. 이용자들이 제대로 인지하지 못한 상황에서 방대한 행태정보가 수집되고, 실시간 경매 메커니즘을 통해 제3자 광고제공업체에 공유되는 것이 개인정보 보호원칙에 맞다고 생각하시는지요.

지난 몇 년동안 개인정보위는 맞춤형 광고 가이드라인 수립을 위한 작업을 해왔지만, 아무런 성과없이 해당 사업을 중단하였습니다. 이는 플랫폼을 비롯한 광고업체의 이익을 위해 이용자의 기본권 침해를 방치한 무책임한 결정입니다.

7. 개인정보 영향평가 활성화

AI 기술은 학습 과정에서 민감하고 방대한 개인정보를 처리하게 되며, 운용 과정에서도 개인정보 프로파일링에 기반하여 개인의 권리와 안전에 영향을 미치는 결정을 할 수 있지만, 블랙박스와 같은 속성 때문에 결정의 근거를 파악하기 힘든 경우도 있습니다. AI 시스템이 영향받는 사람들에게 미치는 부정적 영향을 식별하고 완화하기 위해 인권영향평가가 제안되고 있으며, EU AI Act나 한국 AI 기본법에서도 고위험 AI에 대한 인권영향평가를 시행하도록 하고 있습니다. 인권영향평가는 개인정보 영향평가를 그 일부로 포함할 수 있습니다.

그런데 개인정보보호법에서도 ‘개인정보 영향평가’ 제도를 두고 있으나, 공공기관에게만 의무화를 하고 있고, 영향평가를 시행해야 할 기준도 형식적인 기준에 그치고 있습니다. 고위험 AI 제품이나 서비스가 민간에서 개발되고 있음을 고려할 때, 개인정보 영향평가의 실효성이 거의 없다고 볼 수 있습니다. 이에 개인정보 영향평가를 민간 분야의 고위험 개인정보 처리로 확대하고, 영향평가를 시행해야 하는 기준도 신기술 환경에 맞춰 고도화할 필요가 있습니다.

AI 인권영향평가도 그렇지만, 개인정보 영향평가도 단순한 체크리스트가 되어서는 안됩니다. 영향평가 과정은 AI 시스템의 영향을 받는 자를 포함하여 다양한 이해관계자가 위험 식별과 완화를 위해 대화를 하고 소통을 하는 과정이어야 합니다. 따라서 개인정보 영향평가를 제도화하는 과정에서 정보주체와 영향받는 자가 참여할 수 있도록 보장해야 합니다.