AI 시대 개인정보 처리방침 개편…"쉽게 쓰고, 더 투명하게"

개인정보보호위원회가 생성형 AI와 온디바이스 기술 확산에 맞춰 개인정보 처리방침 작성 기준을 손봤다. 기업의 작성 부담은 줄이되 이용자가 자신의 개인정보 처리 과정을 더 쉽게 확인할 수 있도록 하는 데 초점을 맞췄다.

개인정보위는 생성형 AI 서비스 확산과 신기술 등장에 따른 데이터 처리 환경 변화에 대응해 '개인정보 처리방침 작성지침'을 개정·공개했다고 24일 밝혔다. 개인정보 처리방침은 개인정보처리자가 어떤 개인정보를 어떤 목적으로 어떻게 처리하는지 공개하는 문서다. 개인정보 처리의 투명성을 확보하고 정보주체 권리를 보장하는 기본 수단이다.

이번 개정에 따라 개인정보를 제공받는 자나 수탁자가 많거나 자주 바뀌는 경우에는 '택시기사', '배달원'처럼 유형으로 묶어 기재할 수 있다. 다만 이용자가 실제 개인정보 제공 대상자나 수탁자를 확인할 수 있는 경로를 함께 안내해야 한다.

처리방침 변경사항 안내 방식도 정비됐다. 정보주체 권리에 중대한 영향을 미치는 사항은 개정 전이나 개정 즉시 공지해야 한다. 반면 동일한 위탁업무를 수행하는 수탁자 또는 재수탁자 목록처럼 권리 침해 가능성이 낮은 사항은 일정 기간의 변경 내용을 모아서 안내할 수 있다.

온디바이스 처리 기준도 명확해졌다. 서버에 저장되는 개인정보가 있으면 온디바이스 기능이 일부 포함돼 있더라도 처리방침을 작성해야 한다. 개인정보가 외부 서버로 전송되지 않고 단말기 내부에서만 처리되는 경우에는 그 사실과 삭제 기준을 이용자에게 안내하도록 권장했다.

수탁자 처리방침에는 개인정보 보호책임자, 재수탁자 관련 사항 등 정보주체 권리 보장과 직접 관련된 내용을 중심으로 담도록 했다. 행태정보와 간이형 처리방침 작성 기준도 정비했다. 간이형 처리방침에는 처리 항목, 처리 목적, 보유·이용기간, 제3자 제공 및 위탁 현황, 권리행사 방법 등 필수 항목을 명확히 제시하도록 했다.

생성형 AI 서비스를 위한 별도 부록도 마련됐다. 부록에는 AI가 어떤 맥락에서 누구를 대상으로 사용되는지 등 의도된 용례를 명확히 기재하도록 권장하는 내용이 담겼다. 이용자가 직접 입력한 텍스트, 음성, 첨부파일과 서비스 이용 과정에서 생성된 결과물이 수집·저장되는 경우 이를 처리 항목으로 기재하도록 했다.

이용자 입력 정보가 AI 모델 학습에 활용되는지 여부도 처리방침에 담도록 했다. 학습 활용 거부 절차와 부적절한 답변에 대한 신고·이의 제기 방법도 포함하도록 해 정보주체 권리 보장 기준을 강화했다.

개인정보위는 오는 28일 서울 강남구 한국과학기술회관에서 개정 내용 설명회를 연다. 작성지침 개정본은 개인정보위 누리집과 개인정보 포털에서 확인할 수 있다.

양청삼 개인정보위 사무처장은 "생성형 AI와 온디바이스 등 새로운 기술 환경에서는 개인정보가 어떤 목적으로, 어떤 방식으로 처리되는지를 국민이 쉽게 이해할 수 있도록 투명하게 알리는 것이 무엇보다 중요하다"며 "이번 작성지침 개정이 현장에는 보다 명확한 기준을 제공하고, 국민에게는 자신의 개인정보가 처리되는 과정을 더 쉽게 확인할 수 있게 되기를 기대한다"고 말했다.