[열린마당] 개인정보보호 기틀 위 실천·혁신 더해야

이재명정부 출범 이후 개인정보를 둘러싼 환경은 계속 급변하고 있다. 인공지능(AI)의 발전에 따라 해킹 등 공격은 갈수록 고도화되고, 데이터 가치가 커질수록 개인정보를 불법적으로 취득하거나 오남용하려는 유인도 함께 커지고 있다. 실제로 지난 1년여간 플랫폼·유통 기업부터 공공기관까지 해킹과 개인정보 유출 사고가 잇따랐다. 기업·기관의 유출 신고는 2025년 447건이었는데 올해는 상반기에만 432건에 이르렀다. 유출된 개인정보는 2024년 1377만건에서 2025년 1억건을 넘어섰다.

이에 정부는 강력한 대응에 나섰다. 중대·반복 위반에 대해 매출액의 최대 10%까지 과징금을 부과할 수 있도록 강화했으며, 전문 CPO(개인정보 보호 책임자) 신고제를 도입하는 등 개인정보 처리자의 책임성을 한층 높였다. 동시에 선제적 보호 투자에 대해서는 과징금을 최고 40%까지 감경하는 등 예방 투자와 신속한 회복 노력을 과징금 산정에 반영해 보호에 투자할 유인을 마련했다. 유출 가능성 통지제를 새로 도입했고, 과징금 수입을 활용한 피해 구제 기금 신설을 추진하는 등 정보 주체 구제 강화로의 제도 변화도 이어지고 있다.

최경진 가천대 교수 (한국정보법학회장)

눈여겨볼 대목은 이러한 노력이 제도 설계에 머물지 않았다는 것이다. 국정감사에서 반복적으로 지적돼 온 공공부문 개인정보 보호 전담 인력 부족에 대해 실태조사를 거쳐 전담 인력을 대폭 확충하고 예산 확대까지 이끌어낸 것은 정책 실행의 관점에서 의미 있는 실천적 진전이다. 아울러 익명·가명 처리만으로는 개발이 어려운 공익적 AI에 한해 엄격한 안전조치를 전제로 개인정보 활용을 허용하는 특례를 개인정보보호법 개정으로 도입해 내년 초 시행을 앞두고 있고, 가명 처리기간을 126일에서 30일 이내로 단축한 것도 주목할 만하다. 이러한 개인정보보호위원회의 지난 1년여의 기조와 대응은 급변하는 환경에 대응하기 위한 노력으로서 충분히 평가받을 만하다.

그러나 더 중요한 것은 앞으로의 과제다. 보호를 위한 강화된 기틀은 마련됐지만, 그 기틀이 현장에서 실제로 작동해 개인정보 보호가 ‘기본값’이 되도록 실천 환경을 만드는 일이 남아 있다. 제재는 사고 이후에 작동하지만 보호는 사고 이전의 노력과 투자에서 나온다. 실제 불법행위자인 해커로부터 개인정보를 지키고 안전한 활용체계를 구축하는 사업자에게는 제재나 규제만큼이나 강력하고 실효성 있는 인센티브를 확실하게 제공해야 한다. 또한 앞으로의 개인정보 보호는 개인정보 처리자만의 과제가 아니다. 사업자는 보호를 경영의 기본으로 삼고, 정보 주체는 자신의 개인정보를 보호하기 위한 역량 강화와 함께 권리를 적극 행사하며, 정부는 이를 제도와 지원으로 뒷받침하는, 개인정보 처리자·정보 주체·정부가 함께 손잡고 협력하는 구조로 나아가야 한다.

AI와의 관계도 마찬가지다. 개인정보보호법이 AI 발전의 병목이 돼서는 안 된다. AI 특례를 합리적이고 적극적으로 운용하되, 그 과정에서 확인되는 개인정보 활용 수요를 토대로 특례를 통해 검증된 안전한 활용방안은 일반 제도로 정착시키고, 필요하다면 기존 해석론도 수정해야 한다. 특례가 예외적 통로에 그치지 않고 제도 전환의 실험장이 되어야 하는 이유다. 나아가 AI 시대에 맞는 ‘개인정보보호법 2.0’의 시대로 나아갈 기반을 지금부터 마련해야 한다. 보호의 기틀 위에 협력과 혁신을 더할 때 신뢰와 성장은 비로소 함께 갈 수 있다.

최경진 가천대 교수 (한국정보법학회장)