쉬운 요약
- 디지털 환경에서 개인정보를 더 넓고 분명하게 보호하기 위한 법률 개정안이에요.
- 개인정보인지 판단할 때 기업이나 기관보다 정보주체의 관점을 더 중요하게 보도록 해요.
- 모바일 광고 식별자와 온라인 기기 식별자도 개인정보로 명확히 다루려 해요.
- 프로파일링을 개인정보 처리 방식으로 규정하고, 서비스의 기본 설정부터 개인정보를 보호하도록 해요.
- 지금은 공공기관 중심인 개인정보 영향평가를 민간기업까지 넓히려 해요.
주요 내용
- 개인정보 정의 기준 명확화: 개인정보인지 판단할 때 정보주체의 관점을 강화해요.
- 온라인 식별자 보호: 모바일 광고 식별자와 온라인 기기 식별자를 개인정보에 포함하려 해요.
- 프로파일링 규정 신설: 개인의 성향이나 행동 등을 자동으로 평가하는 처리를 법률에 명시해요.
- 설계 단계의 개인정보 보호: 서비스를 만들 때부터 개인정보 보호를 고려하도록 해요.
- 기본 설정에 의한 보호: 이용자가 별도로 조작하지 않아도 개인정보가 과도하게 공개되지 않도록 하려 해요.
- 민간 개인정보 영향평가 확대: 개인정보 침해 위험이 큰 민간 처리자도 영향평가를 하도록 유도하거나 의무화하는 방향을 제시해요.
왜 나왔나
인공지능과 빅데이터가 널리 쓰이면서 개인정보를 수집하고 활용하는 방식이 복잡해지고 있어요. 여러 처리자가 같은 정보를 나누어 다루는 경우, 각 처리자가 자기 관점에서만 개인정보 여부를 판단하면 정보주체의 권리가 충분히 보호되지 않을 수 있다는 문제의식이 제안 배경에 담겼어요. 모바일 광고 식별자나 온라인 행태정보처럼 개인을 직접 드러내지 않아도 특정 가능성이 있는 정보가 넓게 유통될 수 있다는 우려도 제기됐어요. 프로파일링과 플랫폼의 기본 설정이 개인에게 미치는 영향이 커진 만큼, 사후 대응보다 설계 단계에서부터 보호 장치를 마련하려는 취지예요.
무엇이 달라지나
1) 개인정보 판단 기준 강화
현재 시행 중인 개인정보 보호법 제2조는 살아 있는 개인에 관한 정보 가운데 성명이나 영상 등을 통해 개인을 알아볼 수 있는 정보, 또는 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는 정보를 개인정보로 규정하고 있어요. 제안안은 이 판단에서 정보주체의 관점을 더 분명하게 반영하도록 제2조의 기준을 손보려 해요.
- 같은 정보라도 처리자 입장만이 아니라 그 정보로 개인을 알아볼 가능성을 중심으로 판단하려는 취지예요.
- 여러 사업자나 기관이 정보를 나누어 처리하는 환경에서 개인정보 보호의 사각지대를 줄이려는 변화예요.
- 실제 적용에서는 ‘쉽게 결합할 수 있는지’와 개인을 알아보는 데 필요한 시간·비용·기술을 어떻게 볼지가 중요해져요.
2) 온라인 식별자 개인정보 명시
제안안은 행태정보를 수집하는 과정에서 이용자나 기기를 특정하기 위해 부여되는 모바일 광고 식별자 등 온라인 식별자와 온라인 기기 식별자를 개인정보에 해당하도록 명시하려 해요. 현재 시행 조문인 제2조에는 성명·주민등록번호·영상, 결합을 통해 개인을 알아볼 수 있는 정보 등이 규정돼 있지만, 제안안이 말하는 온라인 식별자를 별도 항목으로 명시한 내용은 확인되지 않아요.
- 이름을 직접 알 수 없어도 특정 이용자나 기기를 계속 구분할 수 있다면 보호 대상이 될 가능성이 커져요.
- 광고·추천·분석 서비스를 운영하는 기업은 식별자 수집과 이용의 근거, 고지 방식, 보관 기간을 다시 점검해야 할 수 있어요.
- 식별자가 단순한 기기 정보인지 특정 이용자와 연결된 정보인지에 따라 실제 적용 범위가 달라질 수 있어요.
3) 프로파일링 개념 신설
제안안은 프로파일링을 개인정보 처리 방식의 하나로 명시해 법률 해석을 분명하게 하려 해요. 개인의 성향·능력·행동을 평가하거나 예측하는 자동화된 처리가 다양한 영역에서 활용되고 있지만, 제안 이유에서는 이에 대한 명확한 규율이 부족하다고 설명하고 있어요.
- 추천 시스템, 광고 분류, 자동 평가처럼 개인에 대한 판단에 영향을 주는 처리가 법률상 논의 대상이 될 수 있어요.
- 기업과 기관은 어떤 데이터를 이용해 어떤 평가나 예측을 하는지, 그 결과가 정보주체에게 어떤 영향을 주는지 확인할 필요가 커져요.
- 프로파일링을 법에 명시한다고 해서 모든 자동화 처리가 곧바로 금지되는 것은 아니며, 구체적인 권리와 제한 범위는 조문 내용과 후속 기준을 함께 봐야 해요.
4) 설계·기본 설정 단계의 보호
제안안은 제29조의2를 신설해 설계 및 기본설정에 의한 개인정보 보호 원칙을 도입하려 해요. 현재 시행 조문 조회에서는 제29조의2 조문이 확인되지 않아, 이 원칙은 현행 제도가 아니라 이번 법안이 새로 제안하는 변화로 봐야 해요.
- 서비스를 출시한 뒤 문제가 생기면 고치는 방식에서 벗어나, 기획·개발 단계부터 개인정보 보호를 고려하도록 하려는 방향이에요.
- 이용자가 별도 설정을 하지 않았을 때에도 개인정보 공개나 수집이 가장 넓은 상태로 작동하지 않도록 기본값을 설계할 수 있어요.
- 어떤 설정을 기본값으로 허용할지, 이용자에게 선택권과 변경 방법을 어떻게 제공할지가 실제 집행의 핵심 쟁점이 될 수 있어요.
5) 민간 개인정보 영향평가 확대
현재 시행 중인 제33조는 개인정보 침해가 우려되는 일정한 개인정보파일을 운영하는 공공기관의 장에게 영향평가를 하도록 하고, 평가 결과를 보호위원회에 제출하도록 정하고 있어요. 제안안은 공공기관에 중심을 둔 영향평가 의무를 민간부문으로 확대해 정보주체의 권리를 보호하려 해요.
- 대규모 개인정보를 다루거나 침해 위험이 큰 민간기업도 서비스와 처리 방식의 위험을 사전에 점검하게 될 수 있어요.
- 영향평가에서는 처리하는 개인정보의 수, 제3자 제공 여부, 정보주체의 권리를 해칠 가능성과 위험 정도 등을 살피게 돼요.
- 현행 제33조에도 공공기관 외 개인정보처리자가 영향평가를 하도록 적극 노력해야 한다는 내용이 있어, 제안안은 이 민간부문 역할을 더 강한 의무로 넓히려는 것으로 이해할 수 있어요.
이 법안이 통과되더라도 온라인 식별자와 프로파일링의 구체적인 범위, 민간 영향평가 대상과 절차는 하위 기준에서 실제 부담과 보호 수준이 달라질 수 있어요.
누구에게 영향이 있나
- 일반 이용자: 광고 식별자와 온라인 기기 정보가 개인정보로 다뤄지면 수집·이용에 관한 안내와 통제 기회가 늘어날 수 있어요.
- SNS·플랫폼 이용자: 기본 설정 때문에 개인정보가 과도하게 공개되는 상황을 줄이는 방향의 변화가 예상돼요.
- 광고·분석 사업자: 모바일 광고 식별자와 행태정보의 수집, 결합, 이용 근거를 재검토해야 할 수 있어요.
- 인공지능·추천 서비스 운영자: 프로파일링에 해당하는 처리와 그 결과가 개인에게 미치는 영향을 관리해야 할 가능성이 커져요.
- 민간 개인정보처리자: 영향평가 대상이 확대되면 위험 분석, 개선 조치, 기록과 관리에 필요한 비용과 인력이 늘어날 수 있어요.
- 공공기관과 개인정보 감독기관: 민간 영향평가의 기준과 절차가 확대될 경우 평가기관 관리와 감독 체계에도 조정이 필요할 수 있어요.
봐야 할 점
- 정보주체의 관점을 강화한다는 원칙이 실제 개인정보 판단에서 어떤 기준과 사례로 적용될지 확인해야 해요.
- 모바일 광고 식별자와 온라인 기기 식별자의 범위가 어디까지인지, 익명 정보나 단순 기기 정보와 어떻게 구분할지 살펴봐야 해요.
- 프로파일링의 정의와 함께 설명 요구, 이의 제기, 사람에 의한 재검토 같은 정보주체 권리가 어디까지 연결되는지 확인할 필요가 있어요.
- 기본 설정에 의한 보호가 구체적으로 어떤 설계 의무와 금지 기준으로 시행될지 봐야 해요.
- 민간 영향평가의 대상 규모, 평가 주체, 제출·공개 방식과 비용 부담이 기업 규모에 따라 적절하게 설계되는지 지켜볼 필요가 있어요.
