동의하면 안전하다는 통념
개인정보를 처리하는 서비스에서 동의 버튼을 누르면 보호 절차가 끝난다고 생각하기 쉽다. 하지만 김도승 전북대 법학전문대학원 교수는 2026년 11월 1일 ‘제3회 모두의 토론회’에서 AI 시대 개인정보 보호를 정보주체 동의에만 맡겨서는 안 된다고 말했다.
개인정보 보호법은 동의 외에도 법률의 특별한 규정, 공공기관의 업무 수행, 계약 체결, 급박한 생명·신체 위험, 처리자의 정당한 이익, 공중위생 등 처리 근거를 둔다. 김 교수는 하나의 서비스에도 여러 근거가 필요할 수 있어 “동의만으로 서비스가 온전히 적법해지는 것은 아니다”라고 짚었다.
AI 시대에 커지는 동의의 함정
동의는 정보를 이해하고 선택할 수 있다는 전제를 깐다. 그러나 뉴스에 따르면 사전 설문에서 동의 내용을 다 읽고 결정한다는 응답은 51% 수준이다. 김 교수도 내용을 거의 읽어본 적이 없다고 말했다. 동의 절차가 있어도 실질적인 선택이 보장되는지는 별도로 의심해야 한다.
AI 학습에서는 개인정보의 쓰임새를 미리 정하기 어렵고, 기존 데이터베이스 정보를 처리하는 데 그치지 않고 개인정보를 추론하거나 새로 만들어낼 수도 있다. 따라서 동의를 받았다는 사실만으로 이후 활용 범위와 정보주체의 이익까지 보호된다고 단정하기 어렵다.
반대편에는 규제를 높이면 기업의 글로벌 경쟁력이 떨어질 수 있다는 업계 주장이 있다. 김 교수는 안전하게 처리하는 역량이 곧 경쟁력이라고 반박했다. 다만 이 주장의 타당성을 따질 때도, 보호 책임을 기업과 국가가 실제로 어떻게 나누고 이행하는지 확인해야 한다.
최악의 리스크는 신뢰의 상실
유출 사고가 이어지는 상황에서 보관과 처리의 안전성이 확보되지 않으면 국민 신뢰가 개인정보 활용의 기반부터 흔들릴 가능성이 있다. 동의 여부만 확인하고 안전조치와 동의 외 처리 근거를 느슨하게 적용하면, 정보주체에게 판단 부담을 넘기는 함정이 될 수 있다. 최악의 경우 잃는 것은 한 번의 동의 선택이 아니라 개인정보 활용 전반에 대한 신뢰다.
결론
김도승 교수의 발언은 동의를 없애자는 뜻이라기보다, 동의만으로 국가와 기업의 책임을 대신할 수 없다는 문제 제기로 읽을 수 있다. 실무자는 다음을 확인할 필요가 있다.
- 개인정보 수집·이용마다 적용하는 처리 근거가 무엇인지 구분한다.
- 동의 외 근거를 적용할 때 정보주체의 이익을 어떻게 고려하는지 살핀다.
- AI 학습과 추론을 포함해 안전한 보관·처리 책임이 실제 절차에 반영돼 있는지 점검한다.
- #김도승
- #개인정보보호
- #정보주체동의
- #개인정보보호법
- #인공지능