개인정보 보호법 개정안, 방향 불확실

1. 이슈 개요

본 개정안은 AI 기술 개발 및 성능 개선 목적의 개인정보 활용에 관한 법적 근거와 안전장치를 명확히 하기 위해 발의된 「개인정보 보호법」 일부개정법률안입니다. 현행법상 AI 학습 데이터로서의 개인정보 활용에 대한 명시적 규율이 미흡하다는 문제의식에서 출발하며, 정보주체의 권리 보호와 AI 산업 발전 간의 균형을 도모하는 것이 핵심 목적입니다.

현재 법안은 상임위 심의 과정에서 대안반영폐기 처리되었습니다. 즉, 원안의 내용이 다른 의안이나 수정안에 흡수·반영되어 원안 자체는 폐기된 상태입니다. 다만 연결된 대안 의안이 공식적으로 확인되지 않아, 해당 내용이 실제로 어떤 형태로 입법화되었는지는 현재 불확실한 상태입니다. 따라서 기업 및 기관 실무 담당자는 원안의 의무 사항을 잠재적 규제 방향으로 참고하되, 최종 확정된 법령 조문을 별도로 확인하는 절차가 반드시 필요합니다.

---

2. 실행 우선순위별 의무 사항 정리

🔴 즉시 대응 필요 (고위험·핵심 의무)

① 적법 수집 기반 확보 및 정보주체 권리 침해 방지
AI 기술 개발 목적으로 활용하는 개인정보는 반드시 적법하게 수집된 것이어야 합니다. 기존에 수집된 데이터를 AI 학습에 전용(轉用)하는 경우, 원래 수집 목적과의 합치 여부를 재검토해야 합니다. 목적 외 이용에 해당할 경우 별도의 동의 또는 법적 근거 확보가 선행되어야 합니다.

② 개인정보 보호위원회 심의·의결 절차 준수
AI 기술 개발 등을 위해 개인정보를 활용하고자 하는 경우, 개인정보 보호위원회의 심의·의결을 거쳐야 합니다. 이는 사전 승인 성격의 절차로, 관련 사업 계획 수립 시 충분한 시간적 여유를 두고 심의 신청 절차를 준비해야 합니다. 심의 없이 활용을 개시할 경우 법적 제재 위험이 발생할 수 있습니다.

---

🟡 단기 내 체계 구축 필요 (구조적 의무)

③ 강화된 안전조치 및 권리 보장 방안 마련
AI 개발 목적의 개인정보 활용 시, 일반적인 개인정보 처리 수준을 넘어서는 강화된 안전조치를 별도로 수립해야 합니다. 구체적으로는 데이터 접근 통제, 가명·익명처리 적용 여부 검토, 정보주체의 열람·삭제 요청 대응 체계 등을 포함한 내부 운영 방안을 문서화해야 합니다.

④ 사전 위험성 평가(영향평가) 실시
민감정보·고유식별정보 등이 일정 규모 이상 포함된 AI 학습 데이터를 처리하는 경우, 처리 전에 위험요인을 사전 평가해야 합니다. 현행 개인정보 영향평가 제도와의 연계 가능성을 검토하고, 평가 대상 해당 여부를 조기에 판단하여 프로젝트 일정에 반영해야 합니다.

---

🟢 지속적 관리 체계 구축 (운영·공시 의무)

⑤ 개인정보 처리방침을 통한 사전 투명 공개
AI 개발 목적의 개인정보 처리 현황을 개인정보 처리방침에 명시하여 사전에 공개해야 합니다. 처리 목적, 항목, 보유 기간, AI 활용 여부 등을 구체적으로 기재하는 방향으로 처리방침을 개정·보완해야 하며, 이를 정기적으로 갱신하는 내부 프로세스를 마련해야 합니다.

⑥ 개인정보 보호위원회의 주기적 이행 점검 대응
개인정보 보호위원회는 AI 관련 개인정보 처리에 대해 주기적으로 이행 점검 및 관리·감독을 실시할 수 있습니다. 이에 대비하여 내부 이행 기록을 체계적으로 보관하고, 점검 요청 시 신속하게 자료를 제출할 수 있는 담당 부서 및 절차를 사전에 지정해야 합니다.

---

3. 불확실성 및 주의사항

① 대안 의안 미확인에 따른 법적 효력 불확실
본 개정안은 대안반영폐기 처리되었으나, 내용이 반영된 것으로 추정되는 연결 의안이 현재 공식적으로 확인되지 않습니다. 따라서 위에 정리된 의무 사항들이 현행법으로서 법적 구속력을 갖는지 여부는 반드시 국회 의안정보시스템 및 개인정보 보호위원회 공식 자료를 통해 별도 확인이 필요합니다. 확인 전까지는 확정된 의무로 간주하지 않도록 주의해야 합니다.

② 심의·의결 절차의 구체적 기준 미정
개인정보 보호위원회의 심의·의결을 요하는 AI 활용의 구체적 범위, 기준, 절차 등 세부 사항은 현재 명확히 규정되어 있지 않습니다. 하위 법령(시행령·고시 등)이 제정되기 전까지는 실무 적용에 상당한 해석 여지가 존재합니다.

③ '일정 규모 이상'의 기준 불명확
사전 위험성 평가 의무가 발생하는 민감정보·고유식별정보의 '일정 규모' 기준이 법안 내에서 구체적으로 제시되지 않았습니다. 향후 시행령 또는 위원회 고시를 통해 기준이 확정될 것으로 예상되므로, 관련 입법 동향을 지속적으로 모니터링해야 합니다.

④ 기존 개인정보 보호법과의 중복·충돌 가능성
본 개정안의 내용 중 일부는 현행 「개인정보 보호법」의 가명정보 처리 특례, 개인정보 영향평가 제도 등과 중복될 수 있습니다. 실무 적용 시 기존 규정과의 관계를 법률 전문가와 함께 검토하는 것을 권고합니다.

※ 주의: 본 분석은 공개된 법안 정보를 기반으로 작성되었으며, 법적 자문을 대체하지 않습니다. 최종 입법 내용은 국회 의안정보시스템(likms.assembly.go.kr) 및 개인정보 보호위원회 공식 채널을 통해 확인하시기 바랍니다.