개인정보보호위 고학수 위원장

새 개보법 9월 시행… 내 정보 이용 어떻게

데이터 전쟁 시대다. 기술 발달로 데이터가 국가나 기업의 새로운 성장동력으로 부상하면서 데이터 수집과 활용을 둘러싼 국내외 정부 간, 기업 간 경쟁이 치열하다. 개인정보 불법 수집 논란이 있는 중국산 동영상 공유앱 ‘틱톡’ 규제를 둘러싼 미국과 중국 간 신경전, 이용자의 행태정보 무단 수집을 둘러싼 구글·메타와 개인정보보호위원회 간 소송전, 최근 급부상한 챗GPT 같은 생성형 AI시장 주도권 다툼과 개인정보 침해 및 유출 논란 등 데이터를 둘러싼 경쟁이 뜨겁다. 정부와 국회가 개인정보보호법(개보법) 개정에 폭발적인 관심을 보인 것도 이 때문이다. 2011년 개보법 제정 이후 2년여의 논의 끝에 정부안을 중심으로 20개의 의원안을 통합해 만든 개정 개보법이 지난 14일 공포돼 오는 9월 15일부터 시행된다. 개인정보의 보호와 활용 정책을 총괄하는 개인정보보호위원회의 고학수(56) 위원장을 만나 12년 만에 전면 개정한 개보법의 의미와 향후 정책 방향을 들어 봤다. 인터뷰는 지난 9일 정부서울청사 개보위 위원장실에서 했다.



●개보법 12년 만에 전면 개정 큰 관심

-개보법 개정 의미는.

“국민의 개인정보 보호를 실질적으로 보장하는 한편 기존 규제를 합리적으로 정비해 데이터 시대에 기업과 산업이 성장할 수 있는 토대를 마련했다는 데 의의가 있다.”

-개인정보 수집 필수 동의가 사라지면 개인정보보호법에 위배되지 않나.

“현재 온라인 서비스를 이용하려면 자신의 개인정보를 온라인 사업자가 이용하고 수집하는 데 무조건 동의해야 한다. 이름, 주소, 생년월일 등 기본 정보는 가입할 때 다 제공하는데도 그렇다. 만약 동의하지 않으면 서비스 이용이 안 된다. 이러다 보니 온라인 사업자가 본질적인 서비스 제공에 필요하지 않은 개인정보까지 제멋대로 수집하는 부작용이 생겼다. 이에 개보법을 고쳐 필수 동의 조건을 없앴다. 온라인 사업자가 마케팅 목적 등 서비스와 관련 없는 정보를 수집·이용하려면 별도 동의를 받도록 했다.”

-개인정보 보호 위반에 대한 처벌을 형벌에서 경제벌로 바꾼다는데 기업 봐주기가 아닌가.

“아니다. 오히려 처벌이 강화된 것이다. 개인정보 담당자들은 열심히 일했는데 어느 순간 전과자가 되더라는 불만이 있더라. 경미한 위반 사항까지도 형벌로 처벌하면서 담당자에게 과중한 부담과 업무 회피를 초래하는 ‘폭탄돌리기’ 현상이 있다. 위반행위 관련 매출액의 3%로 정한 현행 과징금 부과 수준으로는 기업의 책임 준수를 담보하기도 어렵다. 그래서 담당자 개인에 대한 형벌 중심의 제재를 기업에 대한 경제벌로 바꾸고, 과징금 부과 기준도 전체 매출액의 3% 이하로 하되 위반행위와 관련 없는 매출액을 제외해 위반행위에 대한 실효성 있는 억지력을 확보하고자 했다. 지난해 구글과 메타에 1000억원을 부과했는데, 이번에 바뀐 과징금 부과 기준에 따르면 이보다 훨씬 더 커질 것이다.”

-‘자동화된 결정’에 대한 거부권이나 설명요구권 등 정보주체의 권리를 마련했다는 건 무슨 뜻인가.

“현재 금융권에서 차주별 신용평가를 거쳐 대출 등에 제한을 두는 자동화된 결정을 한다. 소비자는 이 결정에 이의를 제기해 설명을 들을 수 있다. 신용정보보호법에 따른 것이다. 그런데 채용 단계에서 인공지능을 활용하는 기업들이 적지 않다. 배달의민족, 쿠팡이츠 등 국내 배달앱도 인공지능 배차 시스템을 활용해 배차 제한 등을 하면서 라이더와 갈등이 있다. 이처럼 인공지능 기술을 적용한 시스템을 포함한 자동화된 시스템으로 개인정보를 처리해 이뤄지는 결정이 국민 권리나 의무에 중대한 영향을 미치는 경우 국민이 이에 대한 설명 요구는 물론 거부할 권리까지 부여했다.”



-거부하면 이런 결정을 한 곳에서는 어떻게 해야 하나.

“정당한 사유가 없는 한 자동화된 결정을 적용하지 않거나 인적 개입에 의한 재처리나 설명 등 필요한 조치를 해야 한다.”

-이 조항은 언제부터 시행되나.

“이 조항은 내년 3월 15일부터 시행된다. 자동화된 결정의 거부, 설명 등을 요구하는 절차나 방법, 자동화된 결정의 기준, 절차 및 개인정보를 처리하는 공개 방식 등을 시행령에 담는 데 시간이 필요하다.”

-국민이 능동적으로 개인정보를 관리·통제한다는 개인정보 전송 요구권은 어떻게 활용하나.

“데이터 활용을 기관 중심에서 정보주체 중심으로 전환한 마이데이터 시대가 지난해부터 시작됐다. 개인정보 전송 요구권은 마이데이터를 국민이 다방면에서 활용하도록 하려는 것으로 자기 정보를 본인 또는 자신이 지정하는 제3자에게 전송해 줄 것을 개인정보 보유 기관에 요구하는 권리다. 현재 토스 같은 금융 분야나 소상공인 자금 신청 서비스 같은 공공 분야에서 이뤄지는 개인정보 이동은 신용정보법이나 전자정부법에 근거한 것이다. 이번에 일반법적 근거를 마련함으로써 교육 등 모든 분야에서 본인이 원하는 곳으로 자신의 데이터를 보내 다양한 서비스를 이용할 수 있게 한다. 예를 들어 의료 분야라면 자신의 병원 방문기록 정보를 토대로 어느 시기에 예방접종을 받는 게 좋은지 정보를 제공받는 식이다. 학생은 학습정보나 진학정보 등을 통해 학습코칭 서비스를 제공받고, 성인은 경력정보나 자격정보 등을 활용해 일자리 추천 서비스도 받을 수 있을 것이다. 앞으로 이런 서비스를 제공하는 스타트업이 생길 것을 기대한다.”

-신규 사업 영역이 생긴다는 것인가.

“그렇다. 다양한 데이터 융합으로 민간에서 혁신적 비즈니스를 창출할 수 있을 것이다. 공공 영역에서도 데이터를 활용한 행정으로 독거노인 위기 대처나 고령화 등 국가적 난제를 해결하는 등 우리나라가 데이터 강국으로 우뚝 서는 계기가 될 것이다.”

-개인정보 전송 요구권은 언제부터 사용할 수 있나.

“내년 3월 중순쯤부터다. 정보 제공자나 수신자 선정, 전송 대상 정보나 전송방법 결정 등 인프라 구축에 시간이 걸린다.”

-챗GPT가 나오면서 인공지능에 대한 관심이 폭발적이다.

“개보위에서는 모형 개발과 실제로 이용하는 단계로 나눠 정책 방향을 가다듬고 있다. 모형 개발 단계에서는 학습 데이터를 구축하는 과정에서 개인정보가 마구 섞여 들어가서는 곤란하다. 무작정 데이터를 긁어모아서 되는 게 아니고 정리할 필요가 있다. 이용 단계에서는 부작용 통제 방안을 고민 중이다. 특정 연예인 정보를 알려 달라고 했는데, 해당 연예인의 거주지 주소까지 나온다면 사생활 침해가 될 수 있다. 챗GPT와 같은 생성형 인공지능 모델이 개인정보를 제대로 보호해 국민이 믿고 이용하는 환경을 마련하도록 하겠다.”

●공공부문도 고령화 등 난제 해결 계기

-신문에 나온 정보 등 누가 봐도 공개된 정보라고 볼 만한 개인정보도 보호 대상인가.

“그게 고민 중 하나다. 일반적으로 공개된 데이터를 인공지능 학습용으로 제한 없이 써도 되는지, 제한을 둔다면 어떤 식으로 제한할지 고민 중이다. 기본적으로 굴뚝산업 시대는 규칙과 규정 중심의 사회였다. 나사 규격을 정해 조금이라도 틀리면 사용하지 못하게 하는 식이다. 반면 하루가 다르게 변하는 디지털 경제시대에는 큰 원칙을 제시한 뒤 개별 사항별로 규율을 적용하는 방식이 될 것이다.”

-이동형 영상정보 처리 기기에 대해서도 촬영 사실 표시 등 운영 기준을 마련했다고 들었다.

“맞다. 교통단속 CCTV 등 고정형 영상정보 처리기에 대한 개인정보 보호 규정이 있다. 제멋대로 설치하거나 촬영할 수 없다. 그런데 자율주행차나 배달로봇 등에 달린 이동형 카메라에 대해선 규율이 없어 이번에 마련했다. 자율주행 로봇에 달린 카메라가 다닐 때 사람을 피해 가도록 하는 알고리즘인데 피했다면 여기에 담긴 영상은 없애는 게 맞다. 이를 저장했다가 다른 용도로 쓴다면 개인정보보호법 위반으로 봐야 한다. 현재 규제샌드박스를 통해 자율주행 로봇을 시범운영 중이나 오는 9월 15일부터는 이런 특례 없이도 사용할 수 있게 된다.”

■고학수 위원장은

개인정보 보호와 데이터 경제, 인공지능 분야 전문가다. 서울대 경제학과를 나와 서울대 법학전문대학원 교수를 지냈으며 한국인공지능법학회 회장을 역임했다. 지난해 10월부터 개보위를 이끌고 있다.