AI 개발 위해 '원본 개인정보' 빗장 푼다…보안투자 기업 과징금 40% 감경

AI 개발에 실제 개인정보를 그대로 활용할 수 있는 별도 통로가 열린다. 그동안 AI 학습에 개인정보를 쓰려면 정보주체의 동의를 받는 등 적법한 근거를 확보하거나 가명처리를 거쳐야 했지만, 앞으로 공익 목적의 AI 개발에는 맞춤형 안전조치를 전제로 원본 개인정보 활용이 허용된다.

개인정보보호위원회는 16일 청와대 영빈관에서 이 같은 내용을 담은 '2026년 하반기 업무계획'을 보고했다. 사회 전반이 AI로 전환(AX)되며 데이터 수요는 급증하는데 AI를 악용한 해킹 위협도 커지자, 활용은 열되 보호는 조이는 방향을 택했다.

'AI 원본활용 특례'로 공익·사회적 목적의 AI 개발에 한해 맞춤형 안전조치를 전제로 가명처리를 거치지 않은 원본 개인정보를 쓸 수 있게 된다. 관련 개인정보 보호법 개정안은 지난 5월 국회 정무위원회를 통과했다. 사전적정성 검토와 규제 샌드박스 등 흩어진 지원 제도를 묶은 'AX 안심 지원체계'도 만든다. 다만 원본 개인정보는 유출되면 피해가 큰 만큼, 안전조치를 얼마나 촘촘하게 설계하느냐가 관건이다.

오는 9월부터 중대하거나 반복적인 법 위반에는 매출액의 최대 10%까지 과징금(현행 최대 3%)이 부과된다.대신 보안 시스템을 갖추고 전문 개인정보보호책임자(CPO)를 두는 등 법정 의무 이상으로 투자한 기업은 과징금을 최대 40%까지 감경한다. 유출을 의도적으로 방치하거나 관련 증거를 은닉·폐기하면 제재를 가중한다.

공공기관 관리도 강화한다. 대규모·민감정보를 다루는 주요 공공 시스템 387개를 집중관리 대상으로 삼고, 자체 점검이 미흡하거나 주민등록번호 5000만건 이상을 보유한 대민 시스템을 우선 관리한다. 9월부터 전문 CPO 지정·신고가 의무화되고, 내년 1월부터 취약점 점검과 모의해킹을 연 1회 이상 실시해야 한다. 정부24와 국민신문고 등 주요 시스템 81개에는 내년 7월부터 개인정보 보호 관리체계 인증(ISMS-P)이 단계적으로 의무화된다.

'정직한 기업이 손해 보던' 구조도 손본다. 현재는 유출 사실을 신고하지 않거나 늦게 신고하면 최대 3000만원의 과태료를 물지만, 성실하게 신고한 뒤 법 위반이 확인되면 매출액의 최대 3%를 과징금으로 낼 수 있다. 신고할수록 불리한 셈이다. 개인정보위는 성실 신고와 조기 대응에는 인센티브를 부여하고, 의도적으로 사고를 방치하면 과징금을 가중하기로 했다.

피해자 구제도 강화한다. 개인정보 유출 시 기업이 유출 책임과 관련한 전반적인 입증을 맡도록 법정손해배상 제도를 손질하고, 걷은 과징금 수입 등을 피해 회복과 권리구제에 쓰는 통합기금을 추진한다. 마이데이터와 연계해 기업이 개인정보 활용으로 얻은 수익 일부를 정보주체인 국민에게 돌려주는 '이익공유' 방안도 구상한다.

유출 신고는 2024년 307건에서 지난해 447건으로 증가했다. 올해는 상반기에만 432건이 접수돼 이미 지난해 연간 수준에 근접했다. 개인정보위는 100만건 이상 대규모 유출 사건에는 전담 조사단을 꾸리고 소규모 사건에는 신속 처리 절차를 도입할 계획이다.

유출된 개인정보라는 사실을 알면서도 다크웹 등에 유통하는 행위도 금지한다. 이를 위반하면 5년 이하 징역이나 5000만원 이하 벌금에 처할 수 있도록 형벌 규정을 신설하고, 개인정보위가 불법 유통 정보를 직접 탐지·삭제·차단할 수 있는 근거도 마련한다.

송경희 개인정보보호위원장은 "지난해 대규모 유출 사고를 계기로 제재의 실효성을 높이는 한편 예방 중심으로 개인정보 보호체계를 전환하고 있다"며 "안전한 데이터 활용 혁신도 속도감 있게 추진해 국민이 체감할 수 있는 변화와 성과를 만들겠다"고 말했다.