AI 시대 개인정보 미래는?…"수집·제공 체계 '처리'로 묶자"

"정당한 이익 폭넓게 인정하면서 '삭제 요구' 이용자 거부권 보장해야"

인공지능(AI) 시대에 개인정보 활용 동의 중심 체계라는 한계를 극복하기 위해서는 법적 근거와 보호조치를 손질해야 한다는 의견이 쏟아졌다. 

수집, 제공을 따로 규율하는 체계를 하나로 통합하고, 이용자의 거부권을 바탕으로 '정당한 이익'을 폭넓게 인정하자는 이야기다. 정당한 이익이란 개인정보처리자가 동의 없이 개인정보를 처리할 수 있는 법적 근거다. 처리자의 이익 달성에 필요하고 정보주체의 권리보다 명백히 우선하며 합리적 범위를 넘지 않을 때 인정된다.

1일 '제3회 모두의 토론회'에서 패널 및 플로어 토론이 진행되고 있다. (사진=지디넷코리아)

행정안전부와 개인정보보호위원회가 1일 서울 서대문구 연세대 백양누리에서 개최한 '제3회 모두의 토론회'의 패널 및 플로어 토론에서 이 같은 의견들이 제시됐다.

좌장을 맡은 김진환 웨일앤썬 대표변호사는 정당한 이익을 근거로 동의 없이 처리하는 방식을 다른 회사의 이익을 위해서도 허용할 수 있는지 의견을 구했다. 김경하 제이엔시큐리티 대표는 "국내 법이 정당한 이익을 엄격하게 보는 만큼 제3자의 이익까지 인정하기는 쉽지 않다"고 답했다. 그러면서 법 개정 방향으로 "수집과 제공을 따로 규율하는 체계를 '처리'라는 하나의 틀로 묶고 공동 처리 개념을 도입하자"고 제안했다.

황다연 소비자와 함께 공동대표는 '동의의 형식화'를 문제로 꼽았다. 사전 설문에서 동의 내용을 다 읽고 결정한다는 응답은 51%에 그쳤고 형식적으로 동의한 적이 있다는 응답은 88%였다는 것이다. 황 대표는 "읽지 않고 뭐가 써 있는지 모르고 동의를 눌렀는데 그걸 가지고 적법한 처리 근거를 쓸 수 있을까"라고 의문을 표했다. 이어 "정당한 이익을 폭넓게 인정하되 이용자가 언제든 멈추고 삭제를 요구할 거부권을 명확히 보장해야 한다"고 강조했다.

윤수영 개인정보보호책임자협의회 사무총장은 "통제권과 편의를 함께 원하는 '프라이버시 패러독스'는 일반적 현상"이라고 설명하면서 "식별성과 이용 맥락이 다른 만큼 규율을 차등화해야 한다"고 주장했다. 보이스피싱에 쓰일 수 있는 휴대전화 번호와 이용 기록 같은 행태정보를 같은 강도로 다룰 수는 없다는 지적이다.

김도승 전북대 법학전문대학원 교수는 한국 제도가 글로벌 기준에서 높은 수준이라고 평가했다. 유럽연합(EU)이 2021년 12월 한국에 적정성 결정을 내려 양측의 데이터 이전을 안정적으로 보장하고 있다는 점을 근거로 들었다. 그러면서 "학습된 개인정보는 데이터베이스에서 지워도 모델에 남을 수 있는데, 이건 EU도 겪어 보지 못한 문제"라고 했다. 그는 "만병통치약인 제도는 아직 없다"며 정부가 세심한 기준과 신속한 피해 회복 장치를 마련하는지 지켜봐 달라고 당부했다.

김병필 KAIST 기술경영학부 교수는 "AI에 대한 현재의 신뢰와 미래에 거는 기대 사이에 간극이 있다"면서 "'알아서 잘 딱 깔끔하고 센스 있게' 일하는 AI를 바라지만 지금 단계에서는 사람이 통제해야 한다"고 주장했다.

1일 '제3회 모두의 토론회'에서 한 참석자가 패널들에게 질의를 하고 있다. (사진=지디넷코리아)

한 참석자는 AI 시대 전후로 기업의 고객 데이터 규제가 달라졌는지 물었다. 김도승 교수는 "과거에는 보안팀이 침해만 막으면 됐지만 지금은 영업 단위에서 개인정보를 가져와 판단하는 과정에서 취약점이 커진다"고 답했다.

다른 질문자는 국가가 제공하는 표준 개인정보 동의서가 있는지, 기업이 임의로 정할 수 있는지 물었다. 윤 사무총장은 "수집 항목, 목적, 보유 및 이용 기간, 거부 시 불이익을 고지하도록 법이 정하고 있다"면서 "중요한 사항은 글자 크기를 9포인트 이상으로 하고 색깔과 굵기까지 달리하도록 규정돼 있다"고 설명했다. 이어 "업종마다 목적이 달라 표준화하기는 어려워 업종별 자율규제 단체가 표준 동의서를 마련하고 있다"고 말했다.