정부가 인공지능(AI) 대전환 시대에 발맞춰 개인정보 보호 체계를 대폭 혁신한다. 위험에 비례해 규제를 달리 적용하고, 사고 발생 후 대응보다는 사전에 예방하는 데 정책 무게를 두기로 했다. 국민이 개인정보 유출 피해를 입었을 때 신고부터 손해배상까지 한 번에 해결할 수 있는 원스톱 지원 체계도 마련된다.
개인정보보호위원회는 7월 3일 경제관계장관회의에서 관계부처 합동으로 '신뢰 기반의 인공지능 혁신을 촉진하는 제3차 개인정보 보호 기본계획(2027-2029)'을 발표했다. 이 계획은 3년마다 수립되는 법정 계획으로, 이번에는 AI 기술 확산에 따른 데이터 활용 수요 증가와 대규모 개인정보 유출 사고 반복이라는 현실을 반영했다.
기본계획의 비전은 '신뢰받는 개인정보 환경, 안심하고 누리는 AI 사회'다. 이를 실현하기 위해 4대 전략과 12대 추진 과제를 제시했다. 4대 전략은 ▲AI 대전환 시대 개인정보 보호 체계 혁신 ▲사전 예방 중심 보호 체계 확립 ▲전략적 개인정보 정책 고도화 ▲국민 권익 증진 및 신뢰 문화 정착이다.
첫 번째 전략은 AI 환경에 맞는 유연한 규율 체계로 전환하는 것이다. 기존의 일률적인 규제는 AI 기술 발전 속도를 따라잡지 못해 현장에서 법령 준수가 어렵고 데이터 활용에도 제약이 있다는 지적이 많았다. 이에 따라 위험도가 높은 정보는 엄격히 보호하되, 위험이 낮은 분야는 자유롭게 활용할 수 있도록 '위험 비례 규율 체계'로 바꾼다.
또한 AI 기술을 도입하는 기업이 겪는 개인정보 처리의 불확실성을 해소하기 위해 'AI 전환(AX) 안심지원센터'를 운영한다. 이 센터는 맞춤형 혁신 지원을 제공하는 종합 창구 역할을 하게 된다. 아울러 전국 어디서나 데이터를 연계하고 활용할 수 있도록 지역 거점별로 데이터(가명·익명) 허브를 구축·확대한다.
국민이 자신의 정보에 대한 결정권을 더욱 강화할 수 있도록 '마이데이터' 플랫폼도 고도화한다. 1단계를 완수한 마이데이터는 2단계로 진화해 복지, 돌봄, 의료 등 사회적 난제를 해결하는 데 데이터를 활용할 계획이다. 또 데이터로부터 창출된 가치를 정보 주체인 국민에게 돌려주는 '가치 환원 체계'도 수립해 확산시킬 방침이다.
AI 기술의 고도화에 따른 새로운 프라이버시 리스크에도 선제적으로 대응한다. 스스로 판단하고 행동하는 '에이전틱 AI'가 개인정보를 처리할 때 책임 구조를 명확히 하고, 로봇이나 자율주행차 등 현실 세계와 상호작용하는 '피지컬 AI'가 상시적으로 정보를 수집하는 환경에 맞는 권리 보장 방안을 마련한다. 딥페이크 등 데이터 변조를 막기 위한 방안과 AI 시스템의 투명성을 확보하는 제도화도 추진한다.
두 번째 전략은 개인정보 보호 체계를 사전 예방 중심으로 전환하는 것이다. 유출 사고가 발생한 후에는 피해 회복이 어렵다는 점을 고려해, 사고가 나기 전에 취약점을 미리 점검하고 개선하는 데 집중한다. 고위험군을 대상으로 한 집중 점검과 부처 합동 점검을 상시적으로 실시하고, AI 기술을 접목한 인증·평가 체계를 도입해 실효성을 높인다.
특히 공공 분야는 국민의 개인정보를 대량으로 보유·처리하는 만큼 보호 수준을 획기적으로 개선한다. 안전조치 기준을 강화하고 상시 점검 체계를 확대하며 평가 제도의 실효성을 높이는 작업을 우선 추진한다. 기업에는 선제적인 보호 투자에 대해 유출 과징금을 감면해 주는 등 인센티브를 제공해 자발적인 보호 조치를 유도할 계획이다.
반면 법을 위반한 경우에는 엄정하게 조사하고 제재해 억지력을 대폭 강화한다. 조사 실효성을 높이기 위해 이행강제금을 도입하고, 과학적 조사를 위한 기술 분석 환경도 구축·확대한다. 개인정보 불법 유통에 대해서는 형사처벌 근거를 새로 마련하고, 탐지·삭제 및 정보 수집·분석 등 정부의 역할을 강화한다.
사고 대응 방식도 바꾼다. 기존에는 사고 발생 후 조사와 제재에 중점을 뒀지만, 앞으로는 '회복력(resilience) 지원' 중심으로 전환한다. 중소기업이 유출 사고를 당했을 때 복구 기술을 집중 지원하고, 사고 이전에도 중소·영세 기업에 맞춤형 컨설팅과 보호·보안 지원 사업을 제공한다. 개인정보 보호에 특화된 전문 인력을 양성하고, AI 보안 인력 관리 플랫폼을 구축해 인력 풀을 효과적으로 운영할 방침이다.
세 번째 전략은 범정부 차원의 협력 체계를 강화하고 국경 간 데이터 이전을 안전하게 만드는 것이다. 통신, 교육, 고용 등 상대적으로 위험이 높은 분야는 개인정보위와 소관 부처가 공동으로 점검·관리한다. 개인정보 위협 요소에 대한 조기 경보 체계를 구축해 위기 대응 능력을 높이고, 금융·공정거래 등 관련 규제 기관 간 협력도 강화한다.
국외 데이터 이전 네트워크도 확대한다. 이미 수립된 한-EU 상호 동등성 인정 체계에 이어 영국, 일본, 미국 등 교역 규모와 법 체계 유사성을 고려한 맞춤형 대응으로 데이터 상호 이전 네트워크를 넓힌다. 보호 수준이 상대적으로 낮은 국가로 데이터가 이전될 때는 안보 위협을 최소화할 수 있도록 관리 대응력을 키운다. 표준계약조항(SCC)과 구속력 있는 기업규칙(BCR) 같은 안전한 국외 이전 수단을 확대해 글로벌 공동 연구 등 국경 간 데이터 이전의 유연성을 확보하고, 국외 이전 현황 조사와 영향 평가를 신설해 리스크 관리 체계도 병행한다.
네 번째 전략은 국민이 피부로 느끼는 권리 보호를 강화하는 것이다. 최근 개인정보 유출 피해를 경험한 국민이 늘어나면서 간편한 권리 구제 방안에 대한 요구가 커졌다. 이에 따라 유출·침해 발생 시 신고부터 조사, 분쟁 조정, 손해배상까지 모든 절차를 연계한 원스톱 권리 구제 체계를 마련한다. AI 기반의 개인정보 관리 플랫폼을 구축해 국민이 쉽게 자신의 정보 처리 현황을 확인하고 권리를 행사할 수 있도록 지원한다.
정보 주체의 권익 증진을 위한 전문 기관을 설립하고, 피해 회복을 위한 동의 의결제 도입도 추진한다. 적극적인 분쟁 조정을 통해 신속한 피해 보상과 분쟁 해결이 이뤄지도록 제도를 실질화한다. 디지털 환경에서 영상·생체 정보 등 민감도가 높은 정보의 수집·이용이 보편화됨에 따라 이에 특화된 보호 규율 체계를 마련하고, 아동·청소년 등 권리 행사가 취약한 계층에 대한 보호도 강화한다.
송경희 개인정보보호위원장은 "이번 3개년 기본계획은 개인정보 규율 체계를 AI 환경에 맞게 재설계하고 사전 예방 중심의 보호 체계를 확립함으로써, 국민은 안심하고 AI의 편익을 누리고 기업은 신뢰를 바탕으로 혁신하는 환경을 만들어 나가는 데 정책 역량을 집중하겠다"고 밝혔다.
정부는 이번 기본계획을 바탕으로 부처별 시행계획을 수립하고 이행해 나갈 예정이다. 이를 통해 국민이 안심하고 향유할 수 있는 AI 사회 도래를 지원한다는 방침이다.
