인공지능 개발 목적이면 개인정보보호 의무는 패스?
- 기술개발 및 성능개선 목적, 지나치게 포괄적· 추상적
- 정보주체의 권리나 피해구제 방법은 없어
1. 민주사회를 위한 변호사모임 디지털정보위원회 · 정보인권연구소 · 진보네트워크센터 · 참여연대는 오늘(4월 24일) 국회 정무위원회에 더불어민주당 민병덕 의원이 대표발의한「개인정보보호법 개정안(의안번호 2207858)」, 국민의힘 고동진 의원 대표발의 「개인정보보호법 개정안(의안번호 2208904)」에 대한 입법의견서(총 4 쪽)를 제출하였다. 이번 개정안들은 인공지능의 기술 개발, 성능 개선을 위해 원본 데이터를 학습데이터로 정보주체의 동의없이 활용할 수 있도록 하는 것이 골자다. 시민사회단체들은 이들 개정안들이 개인정보보호법의 기본 원칙을 무시하고 개인정보자기결정권이라는 헌법 상 기본권을 침해하는 위헌, 위법적인 법안이며 정보주체의 권리를 등한시하고 기업측의 이해만 반영한 법안으로 강력히 반대한다고 밝혔다.
2. 지난 1월 31일 더불어민주당 민병덕 의원, 3월 13일 국민의힘 고동진 의원은 인공지능(AI, 이하 “인공지능”이라고만 함) 기술개발 및 성능개선을 위하여 개인정보 원본 자체를 활용할 수 있게 하는 등의 개인정보보호법 개정안을 각각 발의하였다. 이들 두 개정법안의 요지는, 개인정보보호위원회의 관리·감독하에 기술적·관리적·물리적 조치를 한 경우 인공지능기술 개발을 위하여 원본 개인정보를 정보주체의 별도 동의를 받지 않은 채 목적 외로 활용할 수 있게 하는 것이다. 여기에 더해 국민의힘 고동진 의원안은 개인정보보호위원회의 권한을 축소하고 개인정보처리자의 의무를 경감하는 취지의 조항을 추가하였다.
3. 시민사회단체들은 이들 법안들이 ▷ ‘인공지능 기술개발’, ‘성능개선’이라는 목적은 너무 포괄적이고 사실상 거의 무제한 확대 해석 가능하여, 기술개발의 목적과 관계없는 개인정보를 처리할 수 있도록 입법화하는 것으로 개인정보보호법의 입법 목적과 상반될 뿐 아니라 헌법상 권리인 개인정보자기결정권의 본질적 내용을 침해 및 개인정보보호법의 취지를 형해화하고 있고, ▷ 정보주체의 권리보호 내지 침해 시 권리 구제 조치가 현저히 미비하며, ▷ ‘인공지능기술 혁신 촉진’이라는 산업적 목적을 위해서라면 가명처리와 같은 안전조치 없이도 원본데이터를 활용할 수 있도록 하여 정보주체의 동의권, 고지받을 권리 등을 심대히 침해하고 있고, ▷ 개인정보를 인공지능 학습데이터로 활용할지 여부를 정보주체의 동의없이 개인정보보호위원회가 판단하도록 하고 있어 반대한다고 밝혔다.
4. 특히 AI가 가명정보도 아닌 원본데이터를 학습하면서 특정개인에 대한 프로파일링의 가능성도 배제할 수 없다고 지적했다. 인공지능 챗봇 ‘이루다’가 제대로 익명화하지 않은 개인정보를 학습하여 실명, 계좌번호, 주소 등 내밀한 사생활 정보를 유출하고, 차별과 혐오 발언으로 문제가 되었던 사건을 예로 들면서, “개인정보의 안전한 처리를 위한 기술적·관리적·물리적 안전장치를 마련한 경우”를 보완적인 요건으로 하고 있지만 기술개발 과정에서 개인정보 침해의 가능성은 배제할 수 없다는 점을 개정안들이 간과하고 있다고 지적했다.
5. 이번 인공지능 학습데이터 원본 활용 법안 중 특히 개인정보보호위의 권한을 축소하고 개인정보처리자의 의무를 경감하는 취지의 고동진의원 대표발의 개정안의 경우 개인정보보호위가 법안 작업에 관여했다고 알려져 있다. 개인정보보호위원회는 국민의 기본권으로서 개인정보를 보호하는 것이 위원회의 기본 임무다. 그러나 최근 개인정보호위원회는 개인정보의 정의를 좁게 해석하는 가이드라인을 발표하는가 하면, 이용자의 방대한 행태정보가 고지나 동의없이 무차별 수집되고 있는 현실을 방관하고 있으며, 법제 개선에 있어서도 개인정보 보호를 강화하는 방향보다는 오히려 개인정보의 동의없는 활용을 촉진하려는 등 산업촉진 부처에서나 할 법한 행보를 보여왔다. 여기에 더해 개인정보보호위원회가 앞장서서 인공지능 산업을 촉진한다는 명분으로 원본데이터를 사실상 무제한 학습데이터로 활용할 수 있는 법개정에 나서고 있는 것은 개인정보보호법의 입법취지를 형해화함은 물론이고 개인정보보호위의 존재이유마저 의심케 하는 일이 아닐 수 없다. 이에 단체들은 인공지능 산업 육성을 명분으로 정보주체의 권리 침해가 심대한 이번 민병덕 의원 개정안, 고동진 의원개정안에 반대하고 폐기할 것을 촉구하는 의견서를 국회 정무위원회에 제출했다. 끝.
▣ 붙임1 : 인공지능 기술개발 명목으로 원본데이터 활용 무한정 허용하는 개인정보 보호법개정안에 대한 의견서
입법 의견서
인공지능 기술개발 명목으로 원본데이터 활용 사실상 무한정 허용하는 개인정보 보호법개정안에 대한 의견서
- 가명처리조차 하지 않은 “원본 개인정보”를 “인공지능(AI) 학습데이터”로 허용하는 개인정보 보호법 개정안에 반대한다.
22대 국회 더불어민주당 민병덕의원 등 10인은 2025. 1. 31. 인공지능(AI, 이하 “인공지능”이라고만 함) 기술 개발 및 성능 개선을 위하여 개인정보 원본 자체를 활용할 수 있게 하는 개인정보 보호법 개정안을 발의하였다(이하 “민병덕 의원 발의안”이라 함). 국민의힘 고동진의원 등 10인 역시 2025. 3. 13. 인공지능 기술 개발 및 성능 개선을 위하여 개인정보를 활용할 수 있도록 개인정보 보호법 개정안을 발의하였다(이하 “고동진 의원 발의안”이라 함).
민병덕 의원 발의안의 요지는 개인정보보호위원회의 관리·감독하에 기술적·관리적·물리적 조치를 한 경우 인공지능기술 개발을 위하여 원본 개인정보를 정보주체의 별도 동의를 받지 않은 채 목적 외로 활용할 수 있게 하는 것이다. 고동진 의원 발의안도 민병덕 의원 발의안과 큰 틀에서 거의 동일한 내용이지만, 개인정보보호위원회의 권한을 축소하고 개인정보처리자의 의무를 경감하는 취지의 조항을 추가하였다. 기업측의 요구만을 반영하여 정보주체의 권리침해를 등한시한 내용이라 심히 우려스럽다.
아래에서 자세히 살펴보는 바와 같이, 위 발의안은 개인정보 보호법의 기본 원칙을 무시하고 인공지능 기술 개발 및 성능 개선을 위해서 개인정보자기결정권이라는 헌법 상 기본권을 침해하는 위헌, 위법적인 법안이다.
첫째, 위 발의안은 모두 인공지능 기술 개발 및 성능 개선을 위한다는 포괄적이고 무제한적 명목으로 개인정보자기결정권의 본질적인 내용을 침해하고 있다.
개인정보 보호법은 “개인의 정보 보호”를 기본 원칙으로 하여, 개인정보 처리자에게 개인정보 처리목적을 명확하게 하고, 개인 정보는 그 목적의 필요 최소한 범위에서 적법하고 정당하게 수집하고 적합하게 처리하도록 하고 있다. 특히 개인정보 보호법은 개인정보를 그 목적 외 용도로 활용하여서는 아니된다고 명시적으로 금지하고 있다(개인정보 보호법 제3조 제1항 내지 제2항).
그러나 위 발의안은 마치 인공지능 기술 개발 및 성능 개선을 위해서라는 포괄적이고 광범위한 목적이라면 살아 있는 정보주체의 개인정보를 학습데이터로 활용하는 것은 마땅히 감수하여야 하는 것처럼 전제하고 있다. 개인정보는 단순한 “정보” 이상의 의미를 가진, 한 개인(정보주체)의 삶과 사생활 그 자체에 대한 정보라는 것을 잊어서는 아니된다. 우리 헌법은 국민의 기본권으로서 “개인정보자기결정권”을 인정하고 있으며, 이는 특정 개인이 행복하고 안전한 삶을 살아가는데 필수 불가결한 권리이다. 공공복리에 필요한 경우에도 위 기본권의 본질적인 내용을 침해할 수는 없다.
그럼에도 위 발의안은 국민의 기본권을 보호하기보다, 인공지능 기술 개발 및 성능 개선을 위하여 적극적으로 개인정보자기결정권의 본질적인 내용을 침해하고 국가의 기본권 보호 의무를 내버리고 있다. 이는 “국가는 개인이 가지는 불가침의 기본적 인권을 확인하고 이를 보장할 의무를 진다”는 헌법 제10조 후문, 헌법 제37조 제1항 및 헌법 전문의 정신에도 어긋나는 법안이다.
둘째, 위 발의안은 정보주체의 동의 없이 개인정보를 학습데이터로 사용할 수 있게 하는 중대한 예외를 규정하면서도, 정보주체의 권리를 지킬 수 있는 조치에 대해서는 추상적인 설명에 그치고 있다는 점에서도 문제가 있다.
위 발의안은 모두 개인정보를 인공지능 학습데이터로 사용하기 위하여 △안전조치 및 정보주체의 권리 보장 방안을 마련하고 △개인정보 보호위원회의 심의의결을 거치게 하며 △사전적으로 개인정보처리방침을 통해 처리 현황을 투명하게 공개하고 △일정규모 이상의 민감정보ㆍ고유식별정보 등이 포함된 경우에는 위험요인 등을 평가하도록 하며, △사후적으로는 개인정보 보호위원회가 주기적으로 이행 점검 등 엄격한 관리ㆍ감독하도록 하겠다고 정하고 있다. 그러나 이는 그 자체로 추상적인 설명에 불과하고, 이러한 조치들은 원본 개인정보를 그대로 사용하면서도 특별히 강화된 조치라기보다는 개인정보 처리자가 준수해야 하는 기본적인 안전조치에 불과하다.
이러한 조치들을 개인정보 보호원칙의 예외를 인정할 수 있을 만큼, 원본 개인정보를 처리를 정당화할 수 있는 안전조치로 보기에는 무리가 있다. 위 발의안은 개인정보를 학습데이터로 사용하기 위하여 개인정보 보호위원회의 심의 의결을 거치도록 하고 있으나, 현재 개인정보 보호위원회의 행태를 볼 때 개인정보 보호위원회가 이를 엄격하게 심사할 것인지 신뢰하기 어렵다. 개인정보 보호위원회는 최근 개인정보의 정의를 좁게 해석하는가 하면, 이용자의 방대한 행태정보가 고지나 동의없이 무차별 수집되고 있는 현실을 방관하고 있으며, 법제 개선에 있어서도 개인정보 보호를 강화하는 방향보다는 오히려 개인정보의 동의없는 활용을 촉진하려 하는 등 산업계의 이익 옹호에 치중하고 있기 때문이다.
위 발의안은 “인공지능 기술 개발(성능 개선을 포함한다)을 위하여 당초 수집한 목적 외로 처리할 수 있다”라는 한 문장으로, 정보주체의 고지받을 권리, 동의할 권리를 통째로 배제하고 있다. 심지어 고동진 의원 발의안은 △개인정보 보호위원회의 유사·동일한 심의·의결이 있었던 경우에는 심의·의결 절차를 간소화할 수 있도록 하면서, 주요 내용을 인터넷 홈페이지에 공개하는 것으로 갈음할 수 있도록 하여 보다 쉽게 개인정보를 학습데이터로 활용할 수 있게 하였다. 이는 개인정보 수집·처리에 관한 기본원칙을 위반하는 것일 뿐 아니라 정보주체의 권리를 심각하게 침해하게 한다는 점에서 문제가 크다.
셋째, 위 발의안은 “인공지능 기술 혁신 촉진”이라는 목적을 위해, 개인정보를 가명처리 함으로써 특정 개인을 알아볼 수 없도록 하는 조치를 하지 않고 개인정보를 학습데이터로 사용하게 하고 있다는 점에 문제가 있다.
즉, 인공지능 개발이라는 산업적 목적하에 개인정보가 마치 공유재인 것처럼 인식하면서 이에 대한 활용을 용인하고 있는 것이다. 이처럼 산업 발전을 위해 개인정보의 목적 외 활용을 허용한다면, 향후에 등장할 새로운 기술 개발을 위해서도 개인정보의 목적 외 활용이 허용되지 말라는 법이 없다.
이는 앞서 언급한 문제점에 더하여 특정 개인정보를 수집하여 프로파일링 할 수 있다는 점에서 그 위험성이 더욱 높다. 가명처리 하지 않고 특정 개인에 대한 데이터를 수집하여 인공지능 학습데이터로 사용하게 되면, 개인의 내밀한 정보 또는 비밀정보가 공개되거나 유출될 위험이 더 커지게 될 것이다 우리는 이미 2020년 12월 제대로 익명화하지 않은 개인정보를 학습한 인공지능 챗봇 이루다가 실명, 계좌번호, 주소 등 개인의 내밀한 사생활을 유출하고, 차별·혐오 발언을 일삼았던 “이루다 사건”을 경험한 바 있다. 물론 위 발의안에서는 △개인정보의 안전한 처리를 위한 기술적·관리적·물리적 안전장치를 마련한 경우를 보완적인 요건으로 하고 있으나 기술 개발 과정에서 나타나는 안전성 확보의 한계 지점 내지 개인정보 침해의 중대 가능성은 여전히 존재한다는 점을 간과하여서는 아니된다.
넷째, 위 발의안은 정보주체의 권리를 전혀 보장하지 않고, 개인정보를 인공지능 학습데이터로 활용할지 여부를 개인정보보호위원회가 판단하도록 하고 있다.
개인정보 자기결정권은 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리, 즉 정보주체가 개인정보의 공개와 이용에 관하여 스스로 결정할 권리이다(헌재 2005. 5. 26. 선고 99헌마513).
발의안은 개인정보를 ‘원본’ 그대로 ‘목적 외’로 활용할 수 있도록 하면서 그 판단주체를 ‘개인정보 보호위원회’로 상정하고 있고, 가장 기본적인 정정·삭제요구권, 처리정지권을 행사할 기회를 제공하기는커녕 통지의무조차 부여하고 있지 않는 것이다. 현재의 산업 편향적인 개인정보 보호위원회라면 정보주체를 대신하여 판단할 자격조차 없다.
이상에서 살펴본 바와 같이, 위 발의안은 개인정보 보호의 기본 원칙을 망각하고, 인공지능기술 활용이라는 포괄적이고도 추상적인 목적을 위하여 정보주체의 권리를 제한하는 것은 주객이 전도된 입법시도이다. 인공지능 기술 개발이라는 미명으로 살아 있는 개인의 고유하고 특유한 정보의 가치를 저버리는 입법을 규탄한다. 22대 국회는 현재 발의된 개인정보 보호법 개정안을 즉시 폐기하라.
2025. 4. 23.
민주사회를 위한 변호사모임 디지털정보위원회, 정보인권연구소, 진보네트워크센터, 참여연대