사후제재서 사전예방 중심으로
CEO·CPO 책임 강화
신고부터 손해배상까지 원스톱 구제
정부가 AI 시대에 맞춰 개인정보 규제 체계를 전면 손질한다. AI 학습에 불가피한 경우 안전조치를 전제로 개인정보 원본 활용을 허용하는 특례를 도입하고, 개인정보 유출 대응은 사후 제재 중심에서 사전 예방·회복력 지원 중심으로 바꾼다.
개인정보보호위원회 등 관계부처는 3일 이 같은 내용을 담은 '제3차 개인정보 보호 기본계획'을 발표한다. 이번 계획은 2027년부터 2029년까지 적용되는 중장기 개인정보 정책 방향이다. 비전은 "신뢰받는 개인정보 환경, 안심하고 누리는 AI 사회"로 정했다.
정부가 정책 전환에 나선 것은 AI 확산으로 데이터 활용 수요가 급증하는 동시에 개인정보 유출 사고도 늘고 있기 때문이다. 개인정보 유출 신고는 2020년 219건에서 2025년 447건으로 2배 증가했다. 유출 규모는 같은 기간 1200만3000건에서 1억354만6000건으로 8.6배 늘었다.
정부는 우선 과거 일률적 규제에서 벗어나 위험도에 비례한 유연한 규제체계로 전환한다. 원칙 중심 규제로 데이터 처리 유연성을 높이고, 안전한 데이터 활용을 지원한다는 방침이다. 특히 안전조치를 전제로 AI 학습에 불가피한 개인정보 원본 활용을 허용하는 특례 도입을 병행한다.
AI·데이터 활용 지원체계도 마련한다. 맞춤형 혁신지원 종합 창구인 가칭 'AX 안심지원센터'를 운영하고, 전국에서 가명·익명 데이터를 연계·활용할 수 있는 지역 거점별 허브를 구축한다. 개인이 자신의 정보 활용 여부를 스스로 결정하는 '온마이데이터 플랫폼'도 마련한다.
AI 리스크 대응도 강화한다. 에이전틱 AI의 의사결정 책임 구조를 검토하고, 피지컬 AI가 상시적으로 정보를 수집하는 환경에 맞춘 권리보장 체계를 마련한다. 딥페이크와 사칭 방지를 위한 AI 투명성 제도화도 추진한다.
개인정보 보호체계는 사전 예방 중심으로 바뀐다. 정부는 고위험군 집중점검, 부처 합동점검 등 상시 점검 체계를 구축하고, AI 기술을 접목한 인증·평가 제도를 도입한다. 공공분야는 추가 안전조치 기준을 강화하고 상시점검과 평가제도 실효성을 높인다.
기업의 선제적 보호투자도 유도한다. 유출을 막기 위해 미리 보안 투자를 한 기업에는 과징금을 감면하는 등 인센티브를 강화한다. 동시에 대표자와 개인정보보호책임자(CPO)의 법적 책임과 역할이 현장에 안착하도록 지원한다.
독자들의 PICK!
감독 기능은 강화된다. 정부는 포렌식 고도화와 기술분석 환경 구축으로 조사 역량을 높이고, 이행강제금 도입 등으로 조사 실효성을 높인다. 개인정보 불법유통 처벌 근거도 신설하고 탐지·삭제 체계도 고도화한다.
유출 사고 대응은 '회복력' 중심으로 전환한다. 중소기업에서 사고가 발생했을 때 조사와 제재에만 머물지 않고 복구·대응 기술지원을 강화한다. 사고 은폐를 줄이고 유사 사고 재발을 막기 위한 조치다.
범정부 개인정보 거버넌스도 정비한다. 개인정보위를 컨트롤타워로 삼아 통신, 교육, 고용 등 리스크가 높은 분야는 소관부처와 공동관리를 강화한다. 개인정보 위협 발생 시 조기경보체계도 구축한다.
국외이전 제도도 손본다. AI와 클라우드 활용 확산에 맞춰 동의 외 국외이전 수단인 표준계약조항(SCC)과 기업내부이전규정(BCR)을 신설한다. 영국, 미국, 일본 등과 데이터 상호 이전 네트워크도 확대한다. 다만 국외이전 현황조사와 영향평가를 병행해 관리체계도 마련한다.
국민 권리구제도 강화된다. 개인정보 유출이나 침해가 발생했을 때 신고부터 분쟁해결, 손해배상까지 한 번에 처리할 수 있는 원스톱 지원체계를 구축한다. AI 기반 권리행사 도구도 개발해 개인정보 처리 현황을 쉽게 파악하고 권리행사를 간편하게 할 수 있도록 한다.
정부는 이번 기본계획을 통해 개인정보 보호와 AI 혁신을 동시에 달성하겠다는 구상이다. 다만 AI 학습용 개인정보 원본 활용 특례의 적용 범위, 정보주체 동의와의 관계, 안전조치 기준 등은 향후 쟁점이 될 전망이다.
