[인터뷰] 김도승 개인정보보호법학회 회장 "개인정보 유출, 제재 강도만큼 상시 관리체계 중요"

[프라임경제] 최근 개인정보 유출 사고가 반복되는 가운데 생성형 인공지능(AI) 확산까지 맞물리면서 개인정보 보호 체계의 근본적인 변화가 요구되고 있다. 단순히 사고 발생 후 과징금을 부과하는 사후 제재만으로는 복잡해지는 개인정보 침해 위험에 대응하기 어렵다는 지적이 나온다. 

김도승 개인정보보호법학회 회장은 "개인정보 유출 사고는 제재의 강도만큼이나 사고가 발생하지 않도록 만드는 상시적 관리체계가 중요하다"고 강조했다. 

한국은 이미 상당히 강한 제재 수단을 두고 있어 국내 기업들의 개인정보 유출 사고가 반복되는 원인을 단순히 법이 약해서라고 보기 어렵다는 설명이다.

김 회장은 "최근 금융권과 통신·플랫폼 업계의 유출 논란은 외부 공격의 고도화뿐 아니라 데이터 흐름을 정확히 파악하고 내부통제를 유지하는 일이 얼마나 중요한지 보여준다"고 말했다.

그러면서 "최고경영자와 개인정보 보호책임자의 역할이 강화된 만큼 이를 서류상의 조직개편으로 끝내서는 안 된다"며 "결국 보호 수준을 바꾸는 것은 경영진의 평시 의사결정"이라고 덧붙였다.

기업의 자각을 이끌어 내는데 일정한 효과가 있다는 건 인정해야 한다. 다만 과징금 강화는 필요하지만 그것만으로 보안 수준이 획기적으로 높아지지는 않다. 지난 9월부터 반복적이거나 중대한 위반에 대해 일정한 요건 아래 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 됐다. 

고의·중과실이나 반복 위반에 강하게 대응하는 것은 정당하다. 그러나 기업이 사고가 나면 얼마를 내는가만 계산하도록 해서는 안 된다. 사고 전에 얼마나 투자했는지, 사고 뒤 피해 확산을 얼마나 막고 피해를 구제했는지가 경영 판단을 바꾸는 제도적 유인이 돼야 한다.

유출 사실을 늦게 알리거나 축소·은폐하는 행위는 최초 유출사고와 구분해 엄정하게 평가해야 한다. 추가 확인됐다는 사실만으로 은폐를 단정해서는 안 된다. 최초 조사 범위와 방법이 적절했는지, 당시 위험 신호를 외면했는지, 언제 추가 사실을 인지했고 어떻게 통지했는지를 따져봐야 한다. 

개정 개인정보보호법 제34조 제2항은 불법 접근으로 유출이 의심되지만 대상을 특정하기 어렵거나, 제3자의 불법 거래 등 일부 유출이 확인돼 다른 사람의 유출도 의심되는 경우에는 확정 전이라도 통지를 요구한다. 이미 유출이 확인된 사람에게는 확인된 내용부터 통지하고 추가 사실은 즉시 알려야 한다. 핵심은 위험에 노출됐을 수 있는 사람에게 적시에 대비할 기회를 주는 것이다.

가장 시급한 과제는 개인정보 보호법의 중심축을 '동의를 받았는가'에서 '누가 어떤 위험을 책임지고 통제하는가'로 옮기는 일이다. AI는 방대한 데이터를 결합·학습해 당초 예상하지 못한 정보까지 추론한다. 이용자가 긴 동의서 하나를 읽고 그 위험을 판단하도록 하는 방식에는 한계가 있다. 

그렇다고 동의를 가볍게 보자는 뜻은 아니다. 개인이 실질적으로 선택할 수 있는 영역에서는 자기결정권을 더 충실하게 보장해야 한다. 반면 개인이 예견하거나 통제하기 어려운 위험은 기업의 예방의무와 국가의 감독책임으로 다뤄야 한다. 개인정보 보호의 책임까지 개인에게 떠넘겨서는 안 된다.

적법하게 수집한 개인정보를 당초 목적 밖의 AI 개발에 활용할 필요가 있을 때 그 허용 여부를 기업의 자의적 판단이나 형식적 동의에만 맡기지 않고 개인정보보호위원회가 위험을 평가해 허용하도록 했다는 점이 중요하다. 

위원회는 단순한 규제기관이 아니라 기술 혁신의 방향을 사회적 가치와 조화시키는 '조정자'의 역할을 수행해야 한다. 이를 위해 심의 절차의 투명성을 강화하고 승인 사례와 기준을 공개해야 한다. 정보주체가 AI 학습에 자신의 정보가 활용됐는지를 사후적으로 알 수 있는 절차를 강화하는 것이 중요하다. 시행에 앞서 구체적 심사기준과 △처리기한 △위험요인평가 △사후감독 운영방식을 명확히 해야 한다. 

우리 개인정보 보호법과 정책은 그동안 개인정보처리자의 의무와 위반에 따른 제재에 무게를 뒀다. 그러나 정작 정보주체가 자신의 개인정보에 관해 무엇을 요구할 수 있고, 권리를 침해당했을 때 어떻게 구제받을 수 있는지는 명확하게 드러나지 않았다.

기업에 막대한 과징금을 부과하면서 그 돈은 국고에 귀속되고, 정작 피해자는 제대로 된 구제를 받지 못한다면 그 제재의 정당성은 취약할 수밖에 없다. 과징금의 예방과 억지 기능도 중요하지만, 피해자의 권리회복에 기여하지 못하는 제재만으로 개인정보 보호 정책의 성공을 말하기는 어렵다.

학회는 특정 규제의 강화나 완화를 대변하기보다 실제 현장에서 작동하는 법과 제도를 만드는 공론장이 돼야 한다. 앞으로도 학회는 정보주체의 권리가 법률에 선언된 권리에 머무르지 않고 현실에서 실질적으로 보장되는 방향으로 법제와 정책을 개선하는 데 기여하겠다.