개인정보 보호법 개정안, 심의 진행 중

1. 이슈 개요

본 개정안은 AI 기술 개발 및 성능 개선 목적의 개인정보 활용에 관한 명시적 규율 체계를 개인정보 보호법에 도입하려는 시도입니다. 원안은 상임위 심의 과정에서 대안에 반영되어 폐기된 상태이나, 해당 대안 의안이 구체적으로 확인되지 않아 현재 법적 효력 여부는 불확실합니다. 다만 2025년 4월 1일 기준 현행 개인정보 보호법이 적용되고 있으며, 본 개정안의 핵심 내용—AI 목적 개인정보 처리에 대한 사전 심의, 위험 평가, 투명성 공개 의무—은 향후 입법 방향을 예고하는 신호로 해석할 수 있습니다. AI 서비스를 개발·운영하는 기업 및 기관은 현행법 준수와 함께 본 개정안의 의무 사항을 선제적으로 내재화할 필요가 있습니다.

---

2. 실행 우선순위별 의무 사항 정리

[즉시 검토] 적법 수집 여부 확인 — AI 학습 데이터 전수 점검

AI 기술 개발 및 성능 개선에 활용 중인 개인정보가 적법한 절차(동의, 계약 이행, 정당한 이익 등)에 따라 수집되었는지 즉시 점검해야 합니다. 적법하게 수집되지 않은 개인정보를 AI 목적으로 활용하는 행위는 명시적으로 금지되며, 이는 현행 개인정보 보호법 원칙과도 직결됩니다. 기존 학습 데이터셋, 외부 구매 데이터, 크롤링 데이터 등의 수집 경위를 문서화하고 법적 근거를 확보하는 것이 최우선 과제입니다.

[단기 조치] 개인정보 처리방침 내 AI 활용 현황 투명 공개

AI 기술 개발 목적의 개인정보 처리 현황을 개인정보 처리방침에 사전 공개해야 합니다. 현재 처리방침에 AI 학습 목적 항목이 누락되어 있다면 즉시 보완이 필요합니다. 처리 목적, 항목, 보유 기간, 제3자 제공 여부 등을 구체적으로 기재하고, 정보주체가 이를 명확히 인지할 수 있도록 가독성 있는 형태로 공개해야 합니다.

[중기 준비] 강화된 안전조치 및 정보주체 권리 보장 체계 구축

AI 개인정보 활용 시 일반적인 안전조치 수준을 넘어 강화된 기술적·관리적 보호 조치를 마련해야 합니다. 여기에는 가명처리·익명화 적용 여부 검토, 접근 권한 최소화, 모델 학습 후 원본 데이터 삭제 정책 수립 등이 포함됩니다. 아울러 정보주체의 열람·정정·삭제·처리 정지 요구에 대응할 수 있는 실질적 절차를 AI 파이프라인 내에 내재화해야 합니다.

[중기 준비] 민감정보·고유식별정보 포함 시 사전 위험 평가 체계 마련

일정 규모 이상의 민감정보(건강, 생체, 신념 등) 또는 고유식별정보(주민등록번호 등)가 AI 학습에 포함되는 경우, 처리 전 위험요인을 사전 평가하는 절차를 수립해야 합니다. 현재 개인정보 영향평가(PIA) 제도와의 연계를 검토하고, AI 특화 위험 평가 항목(모델 편향, 재식별 가능성, 출력 데이터의 개인정보 포함 여부 등)을 추가하는 방향으로 내부 프로세스를 설계해야 합니다.

[제도 대응] 개인정보 보호위원회 심의·의결 절차 대비

AI 기술 개발 목적의 개인정보 처리에 대해 개인정보 보호위원회의 사전 심의·의결을 거쳐야 하는 요건이 도입될 경우를 대비하여, 심의 신청에 필요한 문서화 체계(처리 목적, 데이터 범위, 안전조치 계획, 정보주체 권리 보장 방안 등)를 미리 준비해야 합니다. 위원회의 주기적 이행 점검에 대응할 수 있도록 내부 감사 및 기록 관리 체계도 함께 정비해야 합니다.

---

3. 불확실성 및 주의사항

법적 효력 불확실: 본 개정안은 대안에 반영되어 원안이 폐기된 상태이나, 해당 대안 의안의 내용 및 통과 여부가 확인되지 않습니다. 따라서 본 개정안의 의무 사항이 현행법으로 확정되었는지 여부는 현재 시점에서 단정할 수 없습니다. 개인정보 보호위원회 공식 고시 및 법령 개정 현황을 지속적으로 모니터링해야 합니다.

'일정 규모 이상' 기준 미확정: 민감정보·고유식별정보 포함 시 사전 위험 평가 의무가 발생하는 '일정 규모'의 구체적 기준이 개정안 내에 명시되지 않았습니다. 시행령 또는 고시를 통해 확정될 가능성이 높으므로, 하위 법령 동향을 별도로 추적해야 합니다.

심의·의결 대상 범위 불명확: 개인정보 보호위원회 심의·의결이 요구되는 AI 개인정보 처리의 구체적 범위(규모, 유형, 위험도 기준 등)가 현 단계에서 명확하지 않습니다. 과도하게 넓게 해석하면 불필요한 행정 부담이 발생할 수 있으므로, 향후 가이드라인 발표 시 즉시 반영해야 합니다.

현행법과의 중복 적용 가능성: 일부 의무 사항(처리방침 공개, 안전조치, 정보주체 권리 보장 등)은 현행 개인정보 보호법에서도 이미 요구되는 사항입니다. 개정안이 현행 의무를 강화하는 것인지, 새로운 요건을 추가하는 것인지에 대한 해석이 필요하며, 법률 전문가 검토를 병행할 것을 권고합니다.

참고: 본 분석은 공개된 개정안 내용 및 2025년 4월 1일 기준 현행 개인정보 보호법을 토대로 작성되었습니다. 대안 의안의 최종 내용 및 법적 효력에 대해서는 개인정보 보호위원회 공식 자료 및 국회 의안정보시스템을 통한 직접 확인이 필요합니다.