공익법센터 인공지능(AI) 프라이버시/정보인권 2026-08-27 1163

[2026 정기국회 입법·정책과제] AI 전환기 정보주체 권리 보장 위한 「개인정보 보호법」 개정

1. 현황과 문제점

8월 20일 본회의를 통과한 개인정보보호법은 인공지능 기술개발, 성능향상을 위해 식별가능한 개인정보 원본을 동의없이, 목적 외로 이용하도록 하는 위헌적 법률임. 이제 AI기업들은 인공지능기술개발이라는 명분으로 개인의 모든 정보를 데이터화해 인공지능 개발에 이용할 수 있게 됨. 실시간으로 개인의 일상, 위치, 행동 패턴뿐 아니라 건강상태 등 민감정보까지 수집되고 디지털화됨으로써 프라이버시 침해는 물론이고 나에 관한 정보를 언제, 누구에게, 얼마나 공개하고 이용하게 할지 스스로 결정하는 개인정보자기결정권을 심각하게 침해하는 것임. 또한 국제적으로 확립된 목적 외 이용금지, 최소 수집 원칙 등 개인정보보호의 기본원칙에 반하는 것임.

맞춤광고는 이용자의 웹사이트나 앱 방문, 검색, 구매 이력 등 온라인 활동에 대한 거의 모든 정보인 행태정보를 활용한 것임. 특정 개인과 연결성이 강한 모바일식별번호, IP주소 등은 그 자체는 기기식별번호이지만 언제든지 다른 정보와 쉽게 결합하여 개인 식별이 가능함. 행태정보는 정보주체의 동의, 열람, 처리정지 등 권리가 보장되어야 함.

AI는 대량의 데이터를 실시간으로 수집하고 처리할 수 있고, 개인의 위치, 취향, 행동 패턴 등을 분석하여 프로파일링 할 수 있어 프라이버시 침해, 감시 및 구조적 차별 위험이 높음. 그러나 현행 개인정보보호법은 빅데이터·AI 시대에 이와 같은 프라이버시 침해, 감시, 차별 등의 위험이 높은 프로파일링에 대해 명확하게 정의하지 않아 개인정보보호법의 규율 대상인지 불분명함.

현행 개인정보보호법은 사전·사후 개인정보의 침해 위험이나 부작용을 예방하기 위해 실시하는 개인정보 영향평가를 공공기관 대상으로 한정하고 있음. 빅데이터 기업 등은 대규모의 개인정보를 신기술을 이용하여 실시간으로 처리하는 등 개인정보 침해 위험성이 공공기관보다 더 크다고 할 수 있음. 그럼에도, 구글, 메타, 네이버, 카카오 등 대규모 개인정보 처리 민간기업의 개인정보침해 위험, 부작용 예방 위한 사전·사후 평가 의무는 미비함.

고지받을 의무 또한 매우 제한적임. 수집, 이용, 제3자 제공 및 목적 외 이용의 경우 정보주체에게 고지할 의무가 정보주체로부터 ‘동의’를 받아 수집, 이용하는 경우로 한정되어 있어, 법률이나 정당한 이익 등 동의 외의 근거에 따라 처리할 경우 정보주체의 알권리가 충분히 보장되지 못함. 정보주체 이외로부터 개인정보를 수집할 경우도 ‘정보주체의 요구가 있는 경우에만’ 수집 출처, 처리목적 등을 통지하도록 함으로써 수많은 스팸 문자와 메일들을 받아도 내정보가 어떤 경로로 누구에게 수집되고 처리되는지 알 수가 없기 때문에 ‘고지를 요구하는 것’ 자체가 성립할 수 없음.

2. 세부 과제

1) 프로파일링, 기기식별자 통한 행태 정보 수집 규율 (제2조 개정)

광범위하고 실시간으로 가능한 프로파일링으로 인한 개인정보 침해를 규율하기 위해 프로파일링 정의 조항을 신설함.
특정 개인과 연결성이 강한 모바일식별번호, IP 주소 등 기기식별자는 언제든지 다른 정보와 쉽게 결합하여 개인 식별이 가능하기 때문에, 모바일식별번호, IP 주소, 광고식별자 등 온라인 기기식별자를 개인정보로 정의에 신설함.

2) 사전·사후 영향평가 민간기업으로 확대 (제33조 개정)