동의 중심 체계, 충분한가
AI 시대 개인정보 활용을 두고 자주 나오는 통념은 간단하다. 동의를 받으면 처리할 수 있고, 동의하지 않으면 멈추면 된다는 것이다. 그러나 동의 내용을 읽고 결정한다는 응답은 51%, 형식적으로 동의한 적이 있다는 응답은 88%라는 토론회 사전 설문 결과는 이 방식의 한계를 드러낸다. 동의 버튼이 있다는 사실만으로 정보주체가 내용을 이해하고 선택했다고 보기 어려울 수 있다.
행정안전부와 개인정보보호위원회가 2026년 11월 1일 연 토론회에서는 수집과 제공을 따로 규율하는 체계를 ‘처리’라는 틀로 묶자는 제안이 나왔다. 정당한 이익은 동의 없이 개인정보를 처리할 수 있는 법적 근거다. 처리에 필요하고, 정보주체의 권리보다 명백히 우선하며, 합리적 범위를 넘지 않아야 한다.
‘처리’로 묶으면 책임도 선명해질까
수집과 제공을 통합하면 데이터가 기업 사이를 이동할 때마다 법적 근거를 따로 따지는 복잡함은 줄어들 가능성이 있다. 하지만 규율이 간결해지는 것과 책임이 분명해지는 것은 별개다. 공동 처리 개념을 도입하자는 제안이 실현되더라도, 여러 주체 중 누가 판단하고 누가 피해를 바로잡는지 기준이 흐리면 책임 공백이 생길 수 있다.
정당한 이익을 넓히자는 주장에도 조건이 따른다. 김경하 제이엔시큐리티 대표는 국내 법이 이를 엄격하게 보는 만큼 제3자의 이익까지 인정하기 쉽지 않다고 지적했다. 이용자의 거부권과 삭제 요구를 분명히 보장하자는 의견도 나왔지만, 동의 없이 처리가 시작된 뒤 거부권이 실제로 작동하는 시점과 범위는 핵심 쟁점으로 남는다.
데이터에서 지워도 모델에 남는 함정
개인정보를 데이터베이스에서 삭제하는 것만으로 AI 모델에 반영된 정보까지 제거할 수 있는지도 의심해야 한다. 김도승 전북대 교수는 학습된 개인정보가 데이터베이스에서 지워져도 모델에 남을 수 있다고 지적했다. 이 가능성이 있다면 ‘삭제 요구권’을 보장하는 문구와 실제 복구·삭제 절차 사이에 간극이 생길 수 있다.
최악의 경우 정보주체는 자신이 원치 않는 처리의 범위나 책임자를 확인하기 어렵고, 삭제를 요구해도 모델에 남은 정보의 영향을 끝내지 못할 수 있다. 뉴스는 이 문제를 다룰 제도가 아직 충분히 검증되지 않았다고 전한다. 특정한 해결책이 이미 마련된 것처럼 단정하기는 어렵다.
결론
‘처리’로 규율을 묶는 제안은 동의의 형식화를 줄일 가능성이 있지만, 그것만으로 개인정보 보호가 강화되지는 않는다. 실무자는 제도 논의에서 다음을 확인할 필요가 있다.
- 공동 처리에서 판단·통지·피해 회복 책임을 누가 지는가
- 정당한 이익의 필요성·권리 비교·합리적 범위를 어떻게 입증하는가
- 거부와 삭제 요구가 학습된 모델에 어떤 절차로 반영되는가
- #개인정보보호법
- #개인정보처리
- #정당한이익
- #AI개인정보
- #정보주체권리