검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인정보위'통합검색 결과 입니다. (182건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

해외사업자, 국내 개인정보보호 책임 강화된다

해외사업자의 개인정보 보호 책임이 강화될 전망이다. 해외사업자의 국내대리인 제도 개선을 내용으로 한 '개인정보 보호법' 개정안(강민국‧김태호 의원 대표발의)이 24일 국회 정무위원회(정무위)에서 의결됐다. 국내대리인은 해외사업자에 대한 우리 국민의 개인정보 보호 책임과 피해구제 등을 위해 도입한 제도다. 이번 개선안에 따르면, 그동안 법적 공백 등으로 일부 형식적으로 운영되던 국내대리인 제도를 실질화했다. 즉, 해외사업자가 국내에 법인을 둔 경우 해당 국내 법인을 국내대리인으로 지정하도록 하고, 해외 본사에서 국내대리인을 관리‧감독하도록 하며, 위반시 제재 규정을 신설했다. 이번 법 개정은 최근 글로벌화 확산으로 해외사업자에 의한 우리 국민의 개인정보 처리가 급증함에 따라 정무위 소속 강민국 의원 등 여‧야 의원 모두가 개정 필요성에 동의, 의결됐다. 강민국 의원은 “그동안 해외사업자의 국내대리인 지정 요건에 국내 소재 외 그 형태나 운영방식에 대한 별도 규정이 없어 형식적으로 국내대리인을 지정·운영하는 문제가 발생했다"며 개정안 제안 이유를 설명하며 "해외사업자도 우리 국민의 개인정보를 처리하려면 보호법에 따른 권리를 보장하고 적극적인 피해 구제를 해야 하는 것은 당연하다"고 밝혔다. 개인정보위는 "법 개정 취지에 적극 공감한다"면서 "법이 개정되면 후속 시행령 개정 및 정기적 실태점검 등을 통해 해외사업자의 국내대리인 제도가 실효적으로 정착되고 우리 국민의 개인정보 보호에 기여할 수 있도록 계속 노력하겠다"고 밝혔다.

2025.02.25 15:37방은주

[방은주의 보안산책] 국제무대서 위상 높아진 개인정보위

지난 12일 프랑스 파리에서 이틀 일정으로 열린 'AI 행동 정상회의'가 막을 내렸습니다. 영국 런던(2023년 11월)과 한국(2024년 5월)에 이어 세 번째 열린 세계 AI 정상회의였죠. 특히 이번 행사에서 '사람과 지구를 위한 지속 가능하고 포용적인 AI에 관한 선언문'이 발표됐습니다. 아쉽게 AI 최강국가 미국과 선도국 영국은 서명을 안했죠. 선언문은 AI 다양성과 포용성을 강조하며 AI 접근성 향상, 윤리적이고 안전한 국제 프레임워크 구축, 시장 독점 방지, 노동시장 발전 도모, 지속가능성 확보, 국제 협력 강화 등을 강조했습니다. AI 기술 투명성과 신뢰성 확보를 위해 공동으로 노력하기로 합의했죠. 우리나라를 비롯해 프랑스, 독일, 중국, 일본, 호주, 캐나다, 인도 등 58개국과 EU, 아프리카연합이 서명했습니다. 잘 안 알려진 사실이지만, 이번 행사는 개인정보 분야에서도 주목할 만한 국제협력이 있었습니다. 행사 부대행사로 열린 한국, 영국, 프랑스, 호주, 아일랜드 등 5개국 개인정보보호 감독 담당 고위관료급 회의도 열렸는데요, 이들 5개국 개인정보 감독기구 수장들은 AI 혁신 촉진과 개인정보 보호가 상생할 수 있다면서 데이터 거버넌스 구축에 대한 컨센서스와 함께 공동 선언문을 작성, 11일 서명했습니다. 우리나라에서는 고학수 개인정보보호위원회(PIPC, 개인정보위) 위원장이 참석해 서명했구요. 한국과 부대행사 공동 주최국인 프랑스는 마리-로르 드니 국가정보자유위원회(CNIL) 위원장이, 영국은 존 에드워즈 정보위원회(ICO) 위원장이, 호주는 칼라 카인드 정보위원회(OAIC) 위원이, 아일랜드는 데일 선더랜드 데이터보호위원회(DPC) 위원이 각각 사인했습니다. 선언문 이름이 좀 깁니다. '혁신적이고 개인정보를 보호하는 AI 개발 장려를 위한 신뢰할 수 있는 데이터 거버넌스 체계 구축에 관한 공동 선언문' 입니다(칼럼 하단에 전문 소개). 크게 9개 항목으로 구성됐는데요, 특히 두번째 항목에서 "개인정보 보호 중심설계(PbD) 원칙을 AI 시스템 초기 기획 단계부터 적용해야 한다"면서 "견고한 내부 데이터 거버넌스 체계를 구축하는 것이 포함된다. 이러한 체계에는 AI 시스템 생애주기에 걸쳐 효과적인 리스크 관리 및 완화를 위한 기술 및 절차적 보호장치가 포함돼야 한다"고 명기했습니다. 서명 5개국은 그동안 AI 프라이버시 영역에서 주도적 역할을 해온 나라들입니다. 특히 이들 5개국은 감독기구 역할을 'AI 혁신의 촉매제'로 규정해 시선을 모았습니다. 좋은 규제는 산업 활성화를 촉진, 경제 성장에 기여합니다. 반대로 나쁜 규제는 산업을 죽이죠. 치대국약팽소선(治大國若烹小鮮)이라는 말이 있습니다. 노자 도덕경에 나오죠. 큰 나라를 다스리는 것은 작은 생선을 굽듯 조심해야 한다는 말입니다. 조그만 생선을 구우면서 너무 뒤적거리면 살이 뭉개지고, 마냥 놔두면 타버려 쓸모가 없어집니다. 규제도 비슷합니다. 작은 생선을 굽듯 조심스럽게, 세밀히, 애정을 갖고 다뤄야 합니다. 그래야 혁신의 촉진제가 됩니다. 이번 공동선언문은 우리에게 또 다른 큰 의미가 있습니다. 공동선언문 작성을 우리나라가 주도했습니다. 고학수 개인정보위원회 위원장의 워딩(말)을 옮겨봅니다. "우리 위원회 입장에서 자랑스러운 것은 조인트 스테인먼트(공동선언문) 초안을 우리가 주도해 작성했다는 겁니다. 영국은 영어라는 언어를 만들어낸 나라고, 당연히 우리가 영어가 불편한 점이 있음에도 영어로 된 초안을 우리가 만들었고, 우리가 만든 초안에 대해 영국과 프랑스, 다른 나라들이 코멘트를 해 완성했습니다. 국제 무대에서 우리 목소리, 우리 경험을 중심으로 공동 선언문을 만들어낸 겁니다. 공동선언문에 담긴 핵심 키워드 하나를 꼽는다면 이노베이션(혁신)인데, AI와 개인정보보호라는 큰 흐름을 우리나라가 선도하고 있다는 걸 보여줬다는 점에서 내심 뿌듯했습니다." 고 위원장은 이 말을 지난 21일 서울 강남에서 개인정보위가 한국인터넷진흥원(KISA)과 같이 개최한 '제3기 개인정보 기술포럼'에서 축사 겸 했습니다. 현장에서 들은기자도 가슴이 뿌듯했습니다. 개인정보보호위원회는 개인정보보호법에 따라 2011년 9월 30일 출범했습니다. 개인정보 처리와 보호에 관한 사안을 독립적으로 수행하기 위해 만든 합의제 중앙행정기관이죠. 설립 9년만인 2020년 8월 행정안전부(공공/민간 총괄분야), 방송통신위원회(온라인분야), 금융위원회(상거래기업 개인신용정보 조사·처분)로 분산돼 있던 개인정보보호 감독기능을 통합, 현재의 중앙행정기관으로 재편됐습니다. 위원장은 장관급이구요. 하지만 아직 조직과 예산은 50개가 넘는 정부 중앙부처 중 '미니'입니다. 차관급인 부위원장과 실장급인 사무처장이 있고 사무처장 밑에 국장급 조직이 3개(기획조정관, 개인정보정책국, 조사조정국) 있구요. 별도조직으로 대변인과 범정부 마이데이터추진단도 있습니다. 조직 확대 필요성이 있어 보입니다. 세종시에는 경제 검찰이라 불리는 공정위(공정거래위원회)가 있는데요, 공정위처럼 개인정보위도 조사 업무를 하며 위원 9명이 주요한 결정을 하는 조직입니다. 9명 중 상임위원 2명(위원장과 부위원장)은 국무총리가 제청해 대통령이 정무직 공무원을 임명합니다. 그 외 위원 7명은 위원장 제청 2인, 정당 교섭단체 추천 5인(여2, 야3)으로 역시 위촉은 대통령이 합니다. 개인정보위는 개인정보법을 위반한 기업과 기관에 과징금을 부과할 수 있습니다. 또 1년에 한번 중앙부처와 지자체를 대상으로 개인정보보호 실태조사를 해 그 결과를 발표합니다. 개인정보위가 갖는 '힘'이죠. 앞에서 '팽소선(烹小鮮)'을 언급했는데요, 감독기관인 개인정보위가 늘 '화두'로 붙잡고 있어야 할 언어입니다. 1. 인공지능(AI)은 인류의 이익, 과학, 경제와 사회 전반의 혁신을 위한 막대한 기회를 제공한다. 또한 데이터와 개인정보 보호와 같은 기본권 보호에 상당한 위험을 제기하고, 부적절한 데이터 처리로 인해 종종 발생하는 차별과 허위 정보, 환각과 관련된 위험도 동반한다. 2. 우리는 공공의 신뢰를 충분히 쌓고, AI가 가져올 수 있는 혁신적 혜택을 활용해야 할 필요성을 인지한다. 우리는 AI가 데이터 보호 및 개인정보 보호 및 기타 규범에 따라 개발 및 배포되어야 함을 상기한다. 여기에는 개인정보 보호 중심설계(PbD) 원칙을 AI 시스템 초기 기획 단계부터 적용하고, 견고한 내부 데이터 거버넌스 체계를 구축하는 것이 포함된다. 이러한 체계에는 AI 시스템 생애주기에 걸쳐 효과적인 리스크 관리 및 완화를 위한 기술 및 절차적 보호장치가 포함되어야 한다. 3. 또한 현재 우리는 AI 개발 및 배포를 둘러싼 환경과 데이터 처리가 매우 복잡해졌다는 점을 인지한다. 구체적인 양상은 다음과 같다. -AI는 보건과 공공 서비스, 공공 안보, 인적 자원, 교육 등 다양한 분야에 걸쳐 개발 및 배포되고 있다. -AI 개발 및 배포는 전 세계의 수많은 이해관계자와 데이터셋 생성업체, AI 서비스 제공업체, 데이터셋과 모델 호스팅 플랫폼, 시스템 통합 전문업체, 어노테이터, 시스템 배포자 및 최종 사용자를 비롯한 복잡한 가치사슬을 포함한다. -AI 개발 및 배포는 방대한 양의 데이터를 핵심요소로 하며 광범위하게 이루어진다. -AI 개발 및 배포는 통제에 어려움을 초래하는 복잡한 데이터 처리를 내포하며 개인정보 보호 및 기타 기본권 보호 강화를 위한 투명성의 필요성을 증가시킨다. -AI 개발 및 배포는 매일 기록되는 주요 과학 및 기술의 혁신적 돌파구와 함께 매우 빠른 속도로 발전한다. 4. 따라서 신뢰할 수 있는 데이터 거버넌스 체계 내에서 AI 개발을 가능하게 하기 위해서는 시민과 기업이 요구하는 해결책과 법적 불확실성 관련 문제를 해결하는 것이 점점 더 시급해지고 있다. 이와 동시에 규범의 적용은 프라이버시 및 개인정보 보호와 일관성을 유지하며 다양한 혁신 노력이 가능하도록 충분한 정도의 유연성을 제공하여야 한다. 따라서 우리는 AI 생태계 내 여러 주체가 데이터 보호와 개인정보 보호 규칙을 준수하려는 노력을 지원하고 혁신과 개인의 권리 존중을 조화시키는 것을 돕는 것이 중요함을 인지한다. 우리는 AI로 인해 계속해서 진화하는 당면과제를 해결하기 위한 데이터 거버넌스를 만들어 나가는 데 있어 개인정보 감독기구의 주도적인 역할을 강조하며 다음 사항을 준수할 것을 약속한다. 5. AI 학습 맥락에서 데이터 처리의 합법적인 근거에 대한 공동의 이해를 증진한다. 동의, 계약상 필요, 정당한 이익 또는 기타 법적 근거에 기반하여 AI 학습 데이터가 처리될 수 있도록 표준과 요건을 명확히 만들어야 한다. 이 과정에서 AI 개발의 구체적인 목적, 필요한 데이터의 특성, 정보 주체의 합리적인 기대 및 이와 관련한 리스크 완화 전략을 포함한 다양한 관련 요소에 주의를 기울여야 한다. 6. 과학 및 증거 기반 평가와 다양한 사례에 적합한 비례적 안전 조치에 대한 정보를 교환하고 공동의 이해를 확립해야 한다. 이러한 안전 조치의 타당성은 계속 발전하는 AI 데이터 처리 기술 및 관행에 발맞추어 정기적으로 업데이트하여야 한다. 7. AI의 기술 및 사회적 영향을 지속적으로 모니터링하고 가능한 경우 개인정보 감독기구 및 비영리기구, 공공기관, 학계, 기업의 전문성과 경험을 AI 관련 정책에 최대한 활용한다. 8. AI 개발 및 배포에 데이터 처리가 필수적인 경우 법적 불확실성을 줄이고 혁신을 위한 공간을 확보한다. 이러한 노력에는 규제 샌드박스와 같은 제도적 조치 및 모범 사례 공유를 위한 도구가 포함될 수 있다. 이러한 조치와 도구는 공공의 신뢰에 기반하고, 개인정보 보호 원칙과 일관되어야 한다. 9. AI 시스템과 도구, 어플리케이션에 적용할 수 있는 규율 체계 사이의 일관성을 증진하고 시너지를 창출하기 위해 경쟁 및 소비자 보호, 지식재산권을 담당하는 관련 당국과의 상호 작용을 강화한다. AI 생태계 내 다양한 이해관계자 간 대화도 장려하여야 한다. 2025년 2월 11일

2025.02.23 18:38방은주

제 3기 개인정보 기술포럼 출범···의장 정수환 숭실대 교수

개인정보보호위원회(위원장 고학수, 개인정보위)와 한국인터넷진흥원(원장 이상중)은 '제3기 개인정보 기술포럼(의장 정수환 숭실대 교수, 이하 '기술포럼')'을 구성하고 21일 총회를 개최했다. 이번 기술포럼은 데이터 경제 시대 개인정보 보호와 안전한 활용을 뒷받침할 인적‧기술적 기반을 마련하고, 개인정보 기술개발 활성화와 산업 생태계 발전을 위해 지난 2022년 9월 처음 발족했다. 그동안 기술포럼은 '개인정보 안전 활용과 한계성' '익명처리 기준' '개인정보 기술 국내외 표준화 활동 지침' '개인정보 기술백서' '국내외 개인정보 보호 강화 기술(PET) 동향' 등 다방면의 연구활동을 수행했다. PET(Privacy Enhancing Technology)는 가명·익명처리 기술, 합성데이터, 동형암호 등 다양한 개인정보 보호 기술을 통칭한다. 또 매년 상하반기 공개세미나를 개최해 초거대 인공지능(AI), 합성데이터 등 최신 개인정보 이슈에 관심 있는 사람은 누구든 참여할 수 있게 했다. 제3기 기술포럼은 개인정보 전문가 뿐 아니라 인공지능(AI), 보건의료, 통신 등 개인정보와 관련성이 높은 다방면의 산학연관 전문가 60명으로 구성했다. 의장은 숭실대학교 정수환 교수가 선임됐다. 김형종 서울여대 교수가 감사를 맡는다. 위원들은 분과별(정책·기술·표준화)로 다양한 정책논의를 이어갈 예정이다. 분과는 정책분과(19명), 기술분과(25명), 표준화분과(14명)로 이뤄졌다. 이번 총회 1부 위촉식에서 고학수 개인정보위 위원장은 환영사와 함께 포럼위원들에게 위촉장을 수여했고, 2부에서는 정수환 의장 개회사를 시작으로 분과장들의 각 분과 소개와 활동 방향 발표가 진행됐다. 정책분과는 신기술 개발과 보안위험 이슈에 대응하기 위한 새로운 개인정보 보호 체계로의 전환 관련 법제도를 연구할 예정이고 ▲기술분과는 인공지능(AI) 학습을 위한 데이터 안전 처리 기술 및 데이터 전송권 관련 개인정보 이슈와 기술적 대응방안을 연구하고 ▲표준화분과는 개인정보 기술 표준화 로드맵에 대한 제언과 자율주행차 등 선행 표준 분석을 바탕으로 한 중점표준 주제 도출을 연구한다. 고학수 위원장은 "최근 피지컬 인공지능(AI) 등 급변하는 새로운 인공지능(AI) 기술 변화에도 안전한 개인정보, 신뢰받는 인공지능 시대가 국민의 삶과 산업현장에서 체감되도록 범국가적 역량을 결집해야 한다"면서 "개인정보위는 개인정보 기술포럼과 함께 논의된 개인정보 기술을 통해 신뢰받는 데이터 활용 체계가 구축될 수 있도록 적극 노력하겠다"고 말했다.

2025.02.21 17:00방은주

개인정보보호 조례, 기초단체 68%가 아직 없어

빠르게 변화하는 디지털 신기술과 함께 신종 사이버 위협이 나날이 커지고 있는 가운데 지방자치단체(지자체) 243곳 중 개인정보보호 조례를 만든 곳은 89곳으로 36.6%에 그쳤다. 광역시도는 16곳(전체 17곳)이, 기초는 73곳(전체 226곳)이 조례를 만들었다. 18일 개인정보보호위원회(위원장 고학수, 개인정보위)와 전국 정보보호정책협의회(회장 김완집 서울시 정보보호 과장)는 18일 오후 2시 서울시청 서소문1청사 후생동 4층 강당에서 '제1회 개인정보 보호정책 세미나'를 합동으로 개최했다. 개 정보보호정책협의회는 중앙부처 및 유관기관에 개인정보 관련 의견 공유 및 정책 제안을 위해 만든 단체다. 전국 지자체(17개 광역시도, 226개 기초지자체) 및 공공기관으로 구성됐다. 작년 10월 만들어졌고 현재 회원사는 130곳이다. 이날 세미나에서 개인정보위는 ▲신산업 혁신지원, 개인정보 보호수준 평가제 등 2025년 개인정보 주요 정책방향 ▲공공기관 집중관리시스템 안전조치 강화 및 주요 처분 사례 ▲지자체·공공기관 업무 관련 주요 법령해석 사례를 발표했는데, 담당 과장들이 직접 소개했다. 김직동 개인정보보호정책과장(부이사관, 공학박사)는 올해 개인정보 주요 정책을 설명, 지방자치단체의 개인정보보호 조례 추진 배경과 현황도 밝혔다. 개인정보위는 공공기관 개인정보 유츨 방지대책을 2022년 7월 발표한데 이어 권역별 설명회 등을 거쳐 같은 해 10월 시군구 개인정보 보호 표준조례안을 마련, 배포한 바 있다. 이어 2023년 4월 집중관리시스템 1515개를 선정했고, 5개월 후인 9월에 안전조치기준 고시를 개정한데 이어 작년 9월 시행에 들어갔다. 김 과장은 "지자체 및 산하 공공기관이 개인정보 보호법령을 적극적, 체계적으로 준수할 수 있는 기반 조성을 위해 조례를 만들었다"면서 "전체 243개 지자체 중 89개만 개인정보보호 조례를 수립했다"고 말했다. 89곳 중 광역이 16곳, 기초가 73곳이다. 매년숫자가 조금씩 증가하는 추세다. 하지만 신기술 발전 속도와 간헐적으로 터지는 지자체의 개인정보 유출을 감안하면,보다 빠르게 이 숫자를 늘려야 한다는 지적이다. 개인정보위는 지자체의 개인정보 보호 조례 수립을 독려하기 위해 공공기관 개인정보 보호수준 평가시 조례 수립 지자체에 가점 1점을 주고 있다. 또 개인정보 보호 표준조례안 제공과 컨설팅도 지원한다. 이 표준 조례안은 현장 의견을 청취해 올해 중 개정할 예정인데, 내용을 보면 목적(1조), 적용대상(3조), 원칙(4조), 책무(5조) 등을 담고 있다. 4조 원칙은 9가지가 있는데 대표적인 것이 '처리'로 용도 외 활용을 금했다. 또 표준조례는 시도에 개인정보 보호책임자(CPO)를 두게 했고, CPO를 포함해 시민단체 추천과 데이터 전문가 등으로 구성한 협의회를 구성하게 했다. 3년마다 기본계획도 세워야 한다. 특히 일정 규모를 넘어선 정보 유출 등 사고가 나면 개인정보위나 한국인터넷진흥원(KISA)에 신고해야 하고, 개인정보 유출시 지체없이 정보 주체에 통보해야 한다. 김 과장은 개인정보위의 신산업 혁신 지원 체계도 설명했다. AI 등 신기술이 급속도로 발전하면서 기존 법제도와 간극이 발생, AI시대의 산업현장에서 불확실성을 해소, AI 편익은 극대화하고 리스크는 최소화하는 것이 필요하다는 것이다. 개인정보위는 규제샌드박스 제도를 통해 선허용, 후 제도개선도 추진중이다. 실제 작년 6월 개인정보위는 첨단바이오 분야 국제 공동연구에 필요한 가명데이터셋을 서울대병원이 환자 동의 없이 활용할 수 있게 허용한 바 있다. 법으로 작년에 도입된 공공기관 개인정보 보호수준 평가제도 소개했다. 평가 대상은 중앙행정기관과 소속기관, 산하기관, 지방자치단체와 지방공기업 등 1460여개 기관이다. 정량 지표 60점과 정성지표 40점인데 신기술 지표는 가점을, 유출시엔 감점을 받는다. 평가 점수는 5등급으로 구분해 준다. 2024년 평가 결과는 오는 5월 발표할 예정이다. 한편 이날 행사에서 축사를 한 강옥현 서울시 디지털도시국장은 사이버 보안 문제와 개인정보 보호는 동전의 양면이며 이슈가 더 커지고 있다면서 "오늘 이 자리에서 이에 대한 논의를 활발히 하고 또 각 기관이 협력 방안을 함께 모색하는 뜻깊은 시간이 될 거라 생각한다"고 말했다. 이어 정보보호정책협의회가 지자체 뿐 아니고 각 공공기관까지 함께하면서 회원 기관들 간 정보 공유는 물론이고 크고 작은 이슈를 함께 대응, 개인정보 보호 수준이 좀 더 나아지는 플랫폼으로 잘 자리매김할 수 있기를 기원한다면서 "서울시도 여러분들과 함께 세계 최고 수준의 정보 보호 체계를 구축하는 데 최선을 다하겠다"고 강조했다. 역시 축사를 한 양첨삼 개인정보위 개인정보정책국장은 생각한 것보다 굉장히 많은 분들이 참여했고, 굉장히 뜻깊은 자리라면서 "(법 제정 등) 여러 변화가 현장에 잘 착근하려면 지자체에서 개인정보 보호 업무를 담당하는 여러분들의 노력들이 굉장히 중요하다"고 밝혔다. 이어 개인정보보호는 국가적으로 꼭 필요한 일이라면서 "전국 단위의, 전 국민에 대한 데이터를 여러 분야에서 수집, 사실상 전 생애 주기에 걸친 데이터를 수집하고 있는데 이들 데이터를 잘 관리하고 수집 목적에 맞게 잘 활용하는 것이 우리의 큰 미션"이라고 짚었다. 김완집 전국 정보보호정책협의회장은 "현재 130개 기관이 참여하고 있는데 앞으로 계속 늘어날 것으로 생각한다"면서 "빠르게 변화하는 디지털 신기술과 함께 신종 사이버 위협도 나날이 커지고 있다. 이로 인해 우리가 운영하고 있는 정보보호 시스템, 저장 정보 시스템에 저장돼 있는 다양한 정보, 특히 개인 정보를 안전하게 보호하기 위한 노력이 무엇보다도 중요하다"고 말했다.

2025.02.18 22:43방은주

개인정보위, 개인정보 법규 위반 섹타나인에 과징금 14.7억

개인정보보호위원회(위원장 고학수) 2월 제3회 전체회의를 열고 개인정보 보호 법규를 위반한 섹타나인에 대해 14억 7700만 원의 과징금과 720만 원의 과태료를 부과했다고 13일 밝혔다. 섹타나인은 파리바게트, 베스킨라빈스 등 23개 브랜드 가맹점에서 이용 가능한 해피포인트 멤버십 서비스 등을 운영하고 있다. 개인정보위는 개인정보 유출 신고에 따라 조사를 실시했고, 섹타나인이 '개인정보 보호법'에 따른 안전조치 의무를 소홀히 하고 유출 통지 및 신고를 지연한 사실을 확인했다. 구체적인 위반 내용과 처분 결과는 다음과 같다. ■ 사실관계 및 위반 내용 신원 미상 해커는 2022년 10월 5일부터 11일까지 섹타나인이 운영중인 해피포인트 앱에 '크리덴셜 스터핑(Credential Stuffing, 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 접속(로그인)을 시도하는 공격 방식으로 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보임)' 공격을 시도, 로그인에 성공했다. 이후, 서버 로그인 성공 시 응답값을 이용자에게 회신하는 응용프로그램 인터페이스(API, application Programming Interface, 운용체계(OS)와 응용프로그램 사이의 통신에 사용하는 언어나 메시지 형식)를 통해 이름, 아이디, 성별, 생년, 해피포인트 카드번호 등 총 7585명의 개인정보를 탈취했고, 이중 일부 이용자의 해피포인트가 무단 사용되는 2차 피해가 발생했다. 이후 2023년 10월 30일부터 11월 3일까지 동일한 방식의 해킹 공격이 또다시 발생해 9762명의 개인정보가 추가로 유출됐다. 섹타나인은 고객정보 보호를 위한 충분한 조치를 하지 않았다. 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고, 응용프로그램 인터페이스(API) 응답값에 포함된 개인정보를 보호하기 위한 암호화 조치를 소홀히 했다. 또 최초 유출 사고(2022년 10월) 이후에도 재발방지 대책을 충분히 마련하지 않아 동일한 방식으로 유출 사고(2023년11월)가 또다시 발생했다. 2022년 10월 1차 때는 총 10만9183회 로그인 시도와 동일 IP에서 1분당 최대 5063회 시도가, 또 2023년 11월 시도 때는: 총 17만9310회 로그인 시도와 동일 IP에서 1분당 최대 1만1918회 시도가 있었다. 여기에 2022년 발생한 사고는 유출 통지·신고가 제때 이루어졌으나, 2023년 발생한 사고는 개인정보 유출 사실을 인지한 시점부터 정당한 사유 없이 72시간을 경과해 유출 통지·신고한 사실도 확인됐다. ■ 처분 결과 이에 개인정보위는 섹타나인에 과징금 14억 7700만 원과 과태료 720만 원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령했다. 개인정보위는 개인정보를 처리하는 사업자의 경우 운영중인 시스템에 대한 안전조치를 철저히 하고, 사고가 이미 발생한 경우에는 재발방지 대책을 면밀히 수립해 유출사고가 재발하지 않도록 각별한 노력을 기울일 것을 당부했다.

2025.02.13 14:37방은주

50만여 국내 사이트 활용 '소셜로그인' 개인정보 보호 강화한다

개인정보보호위원회(위원장 고학수)가 12일 전체회의를 열고 소셜로그인 서비스(네이버로그인, 카카오로그인, Sign In With Google, Facebook Login, Sign In With Apple)를 제공하는 5개 사업자인 네이버, 카카오, Google LLC(이하 '구글'), Meta Platforms, Inc.(이하 '메타'), Apple Distribution International Limited(이하 '애플')에 대한 사전 실태점검 결과를 발표했다. 점검 결과, 법 위반 사실은 없었고, 일부 운영 방안 개선은 필요한 것으로 나타났다. 소셜로그인은 포털·SNS 계정(이하 소셜계정)의 회원정보를 다른 웹사이트나 모바일앱(이하 이용사이트)에 연동해 이용자가 손쉽게 로그인하는 방식으로, 50만여 개 국내 사이트에서 활용 중인 서비스다. ■ 점검배경 개인정보위는 사용자가 직접 회원가입하는 방식인 기존의 웹사이트별 회원가입 절차가 대부분 소셜로그인 방식으로 대체됨에 따라 발생하는 보안 문제 및 개인정보 제공·파기 우려로 작년 4월부터 11월까지 사전 실태점검을 실시했고, 일부 개인정보 침해 우려 사항에 대해 개선권고를 의결했다. ■ 점검 결과 ①: 개인정보 제공 관련 법 위반 없음 먼저, 소셜로그인을 위해 소셜계정이 이용사이트에 이용자 개인정보를 제공하는 과정에서는 특별한 문제점이 발견되지 않았다. 점결 결과, ①이용사이트(모바일앱)가 소셜로그인 연동 개발을 하면서 이용자 개인정보를 기본항목·별도항목으로 구분해 제공을 요청하면 ②그 내용에 따라 소셜로그인 사업자가 이용사이트 서비스 성격에 비춰 해당 개인정보 제공이 필요한 것인지 적정성을 검수해 요청을 수락하는 절차를 운영하고 있었으며 ③이후 실제 이용자가 소셜로그인을 통해 이용사이트에 가입하는 시점에서 제3자 제공 동의를 받아 처리하고 있었다. ■ 점검 결과② :개인정보 파기 관련 개선 필요 반면, 소셜계정을 탈퇴한 이용자의 개인정보 파기는 적정하게 이뤄지지 않고 있는 것으로 나타났다. 이와 관련 개인정보위는 소셜로그인 사업자에 개선권고를 의결했다. 첫째, 모든 소셜로그인 사업자는 이용자가 소셜계정 설정화면에서 가입 중인 이용사이트 목록을 조회하고 탈퇴를 원하는 사이트에 대해 '연동해지'하는 기능을 제공하고 있다. 이용사이트는 이 연동해지 사실을 통보 받으려면 관련 기능을 구현한 웹페이지를 별도로 마련해 그 인터넷주소(이하 Callback URL)를 소셜로그인 연동 개발 시 등록해 둬야 한다. 점검 결과, 이 기능은 5개 소셜로그인 서비스에서 모두 제공되고 있었지만 카카오, 구글, 애플, 메타의 경우 실제 이용률이 낮게 나타나고 있어 이를 높일 대안을 강구하도록 조치했다. 둘째, 이용자가 소셜계정 자체를 탈퇴하는 경우 소셜로그인 사업자는 연동된 모든 이용사이트에 이 사실을 통보함로써 일괄 탈퇴처리가 이루어질 수 있도록 기반을 마련해두고 있었다. 다만, 메타의 경우 이러한 일괄통보 기능을 제공하지 않아 이를 갖추도록 했다. 셋째, 모든 소셜로그인 사업자는 이용자가 이용사이트에서 탈퇴하는 경우 이용자의 소셜로그인 접근 토큰을 삭제하도록 토큰폐기(Token Revocation) 기능을 제공하면서 개발자 문서 등을 통해 공개하고 있다. 하지만 개발자 문서에 포함된 정보가 방대하고 이 중 토큰폐기 기능에 대한 내용을 찾기 어려워 널리 활용되지 못하는 실정이다. 이에 개인정보위는 소셜로그인 사업자들에게 이용사이트 측이 토큰폐기 기능을 쉽게 확인할 수 있도록 안내 방안을 확충할 것을 권고했다. '토큰'은 소셜로그인 이용자 정보를 이용사이트로 제공하기 위한 일종의 인증정보로, 탈퇴자에 대한 토큰을 폐기하지 않으면 부정 이용 우려가 존재한다. 예컨대, 소셜로그인 사업자가 이용자의 해당 사이트 탈퇴 사실을 알 수 없어 탈퇴자의 정보 전송이 가능하다. ■ 향후계획 개인정보위는 소셜로그인 사업자들과 함께 개선권고 사항을 실효성 있게 이행할 방안을 협의할 계획이며, 이를 통해 이용자가 안심하고 소셜로그인 서비스를 이용할 수 있는 환경을 강화해 나갈 방침이다. 이와 함께 이용자는 소셜로그인 계정에 연동된 이용사이트 현황을 조회함으로써 가입된 사이트 목록을 확인할 수 있으며, 이용을 중지하고자 하는 사이트에 대해서는 소셜로그인 계정에서 사이트 연동해지를 설정하거나, 해당 이용사이트에 직접 방문해 탈퇴함으로써 개인정보 처리정지요구권을 행사할 수 있다고 개인정보위는 전했다.

2025.02.13 12:00방은주

개인정보위, 자동 로그인 보안 강화 조치

개인정보보호위원회(위원장 고학수)는 보다 안전한 인터넷 이용을 위해 구글(Chrome), 마이크로소프트(Edge), 모질라(Firefox) 등 주요 인터넷 브라우저 제공사업자와 함께 자동 로그인 서비스를 개선하기로 했다고 13일 밝혔다. '자동 로그인' 서비스는 웹사이트에 한 번 로그인하면, 이후에는 자동으로 아이디와 비밀번호가 입력되어 별도 로그인 없이 웹사이트 이용할 수 있도록 지원하는 서비스를 말한다. 이렇듯 편리한 기능이지만 이용자 개인정보 탈취 우려도 있다는 지적에 따라, 개인정보위는 지난해 5월부터 한국인터넷진흥원(원장 이상중)과 함께 주요 인터넷 브라우저의 안전조치 현황을 점검했다. 그 결과, 모든 브라우저가 PC 등에 계정정보를 암호화해 저장하지만, 암호화 조치가 해제될 문제점이 있는 것으로 밝혀졌다. 이 경우 악성코드 등으로 PC가 해킹되면 저장된 계정정보 탈취로 이어질 수 있다. 또 해당 브라우저에서는 서버에 계정정보를 저장하고, 이용자가 PC, 스마트폰 등 여러 기기에서 '자동 로그인' 기능을 사용할 수 있도록 지원하고 있는데, 이때 다수의 이용자가 일회용 비밀번호(OTP) 등 추가 인증수단을 설정하지 않고 아이디와 비밀번호만으로 브라우저에 로그인한다는 사실도 확인하였다. 전체 이용자 중 추가 인증수단을 설정한 이용자는 10% 미만으로 추정됐다. 이에 따라, 개인정보위는 인터넷 브라우저 제공 사업자와 함께 자동로그인 기능을 개선하기로 하였다. 먼저 운영체제(OS)에서 제공하는 기존 계정정보 암호화 방식에 추가정보를 연결해서 강화된 암호방식을 적용하고, 암호화된 계정정보와 암호화 키는 분리해 저장하도록 했다. 아울러 개인정보위는 개인정보 유출로 인한 피해 예방을 위해서는 이용자도 계정 보안기능을 적극 활용할 필요가 있다고 강조했다. 이를 위해 로그인 시 OTP 등 추가인증 수단을 적극 활용해달라고 당부하면서, 브라우저 제공 사업자들과 함께 이러한 내용을 적극적으로 안내해 나갈 방침이라고 밝혔다. 개인정보위는 "이번 조치로 국내 이용자 뿐 아니라 전세계 주요 브라우저 이용자들이 보다 안전하게 자동 로그인 기능을 이용하는 계기가 될 것으로 기대한다"고 밝혔다. .

2025.02.13 12:00방은주

한·영·프 등 5개국 "AI혁신 걸림돌은 규제 아닌 불확실성"

개인정보보호위원회(PIPC, 위원장 고학수, 개인정보위)는 11일 오전(파리 현지시각) 프랑스 인공지능(AI) 행동 정상회의 일환으로 경제협력개발기구(OECD), 프랑스 개인정보 감독기구(CNIL)와 함께 'AI 시대의 국제 데이터 거버넌스와 개인정보 보호'를 주제로 고위급 원탁회의를 개최했다고 밝혔다. 이번 행사에서는 AI 프라이버시 영역에서 주도적 역할을 해온 5개국 개인정보 감독기구(한국 PIPC, 프랑스 CNIL, 영국 ICO, 아일랜드 DPC, 호주 OAIC) 가 함께 AI 기술 진보와 확산이 프라이버시 영역에 미치는 영향과 함의, AI 혁신 촉매제로서의 개인정보 감독기구 역할 정립, AI 환경에서의 국제사회와 협력 및 공조 중요성 등을 논의했다. 5개국 개인정보 감독기구는 이번 논의에서 급속히 발전하는 AI 환경에서 AI 혁신 걸림돌은 '규제'가 아닌 '불확실성'이라는 점에 공감대를 모았고, 이러한 규제 불확실성을 줄이기 위해 원칙 기반 접근의 필요성과 정책 지침 등 실천적 이행방안을 논의했다. 특히, 원칙 기반 규율이 구체적인 AI 혁신 사례 창출로 이어질 수 있는 규제샌드박스 등 다양한 혁신지원 메커니즘을 강조했다. 고학수 위원장은 “AI 에이전트, 온디바이스 기반 서비스 등 새로운 기술의 지속적 등장으로 규제 불확실성이 전세계적으로 증폭되고 있다”며 “혁신적인 AI 기술의 안정적 발전과 효율적 규제 집행을 위해 관할권별로 상이한 개인정보 보호 규범 간 상호운용성 확보가 그 어느 때보다 시급해졌다”고 언급했다. 이번 행사에 참석한 다른 개인정보 감독기구 기관장들 또한 AI 개인정보 영역에서의 국제협력 및 공조 필요성에 뜻을 모았다. 이런 논의를 바탕으로 5개 개인정보 감독기구는 AI 혁신 촉진과 개인정보 보호가 상생할 수 있는 데이터 거버넌스 구축에 대한 컨센서스를 확인하고 공동 선언문에 서명하였다. 이번 공동 선언문은 개인정보위 주도로 초안을 마련하고 수차례 회람을 거쳐 작성됐고, 그간 개인정보위가 추진해 온 원칙 기반 규율 및 리스크 기반 접근의 정책 기조를 반영해 마련했다는 점에서 큰 의미가 있다고 개인정보위는 밝혔다. 이를 통해 국내 AI 개인정보 정책이 국제적으로 확산되고, 글로벌 AI 데이터 규범의 상호 운용성을 높이는 계기가 될 전망이다고 덧붙였다. 이번 선언문은 혁신 지향적(pro-innovation) 기조 아래 신뢰할 수 있는 AI 데이터 거버넌스 구축을 위한 개인정보 감독기구의 주도적인 역할을 아래 5가지로 강조했다.. ▲ AI 데이터 처리의 적법근거(정당한 이익, 계약상 필요 등)에 대한 다양한 적용 가능성 모색 및 공동 이해 증진 ▲ 과학 및 증거에 기반한 AI 프라이버시 리스크 평가와 그에 비례한 안전조치 이행 ▲ AI의 기술적․사회적 함의에 대한 면밀한 모니터링 및 적절한 집행 ▲ 불확실성 해소 및 혁신지원을 위한 규제샌드박스 등 제도적 장치 마련 ▲ 경쟁 및 소비자 보호, 지적재산권 등 관련 당국 및 다중이해관계자와의 협력 강화 개인정보위는 이번 프랑스 인공지능(AI) 행동 정상회의 성과와 경험을 바탕으로 오는 9월에는 서울에서 열릴 글로벌 프라이버시 총회(GPA)를 통해 AI 개인정보 국제규범 선도 노력을 이어갈 예정이다.

2025.02.12 23:17방은주

개인정보위 "딥시크 조사 한달 이상 걸릴 듯···기술 조사 등 실시중"

세계를 강타한 중국 인공지능(AI) 스타트업 딥시크(Deepseek)의 AI모델이 보안 문제로 논란이 되고 있는 가운데 7일 개인정보보호위원회(개인정보위, 위원장 고학수)는 "해당 서비스와 관련한 주요 공식 문서인 개인정보 처리 방침, 이용 약관 등에 대해 타 AI 서비스와 면밀한 비교 분석을 실시 중"이라면서 "서비스 사용 시 구체적으로 전송되는 데이터나 트래픽 등에 대한 기술 분석을 전문 기관들과 함께 진행 중에 있다"고 밝혔다. 중국에는 딥시크 같은 AI기업이 약 4000개 정도 되는 것으로 알려져있다. 이번 사태가 빈번히 일어날 수 있는데, 그때마다 조사 서한을 보내는 건 무리다. 이에 대해 개인정보위는 "그동안 개인정보위는 사전 실태점검, 사전 적정성 검토, 가이드라인 마련 등을 통해 AI 관련 전문지식과 경험을 축적해왔다"면서 "챗GPT 등 생성형AI의 업무 활용 수요가 늘어날 것으로 전망되는 상황에서 일정 규모 이상의 공공·민간 조직이 개인정보 관점에서 주의해야 할 사항을 안내하는 정책자료를 만들어 1분기 중 배포할 예정"이라고 말했다. 이날 개인정보위는 남석 조사조정국장이 정부서울청사에서 기자들을 대상으로 딥시크 관련 개인정보위가 어떻게 대응하고 있는 지를 설명했다. 앞서 개인정보위는 지난 1월 31일 딥시크 본사에 개인정보 침해 관련 질의서를 송부한 바 있다. 남 국장은 "딥시크 서비스 개발 및 제공과정에서 데이터(개인정보 포함) 수집 및 처리와 관련한 핵심적 사항을 온오프라인 포함해 다수(항조우와 베이징 딥시크 회사 등) 채널을 통해 공식 질의했다"면서 "딥시크 서비스 이용과정에서 보안 우려가 지속 제기되니 신중한 이용을 당부드린다"고 말했다. 개인정보위가 딥시크에 문의 한 내용은 ▲개인정보 처리 주체 ▲수집 항목 ▲수집 목적 ▲수집‧이용 및 저장 방식 ▲공유 여부 등이다. 딥시크 답변이 언제 올 것이냐는 기자들 질문에 남 국장은 "통상적으로 (이런 사안엔) 최대 2주가 걸린다"며 "(한번에 끝나는 게 아니라) 보통 수차례 질의응답 과정이 반복적으로 이뤄진다"고 답했다. 남 국장 답변에 따르면, 오는 14일까지 딥시크가 답변을 보내오고, 우리 측이 이 답변에 대한 기술 검토 등을 거쳐 추가 질문을 담은 서한을 다시 딥시크에 보내고 답을 받는 과정이 몇 차례 진행한다면, 딥시크의 개인정보 처리에 대한 최종 결론이 앞으로 최소 한달을 넘길 전망이다. 중국 데이터보안법은 모든 개인과 조직이 국가 정보기관에 협력해야 한다는 의무를 명시하고 있어 국내 사용자의 개인정보 보호 여부가 도마에 오른 상태다. 앞서 지난 2023년 7월 개인정보위가 한국인 이용자 687명에 대한 정보 유출 미신고를 이유로 챗GTP를 만든 오픈AI에 내린 과태료 사건의 경우 조사 기간이 약 3달 정도 걸렸다. 이에 대해 김해숙 개인정보위 조사1 과장은 "챗GTP 사건 등으로 경험을 쌓았기 때문에 (딥시크의 침해 여부를 판단하는데) 그 정도 시간이 안 걸릴 것"이라고 내다봤다. 또 남 국장은 "안전성이나 위험성이 구체적으로 확인된 것은 아니다"며 "저희가 공식적인 조사 단계는 아니다"고 덧붙였다. 딥시크에 즉각 서한을 보낸 개인정보위는 자체 기술분석도 진행중이다. 남 국장은 "서비스 관련 주요 문서(개인정보 처리방침, 이용약관 등)에 대한 면밀한 비교 분석을 실시 중이며, 실제 이용환경을 구성해 서비스 사용 시 구체적으로 전송되는 데이터 및 트래픽 등에 대한 기술 분석을 전문기관 등과 함께 진행 중(유관 부처‧기관과 공유‧협력)"이라고 전했다. 남국장은 기술 분석이 언제 끝날 것 같냐"는 질문에 "언제까지 마무리하겠다, 이렇게 딱 잘라서 말씀드리기 곤란한 측면이 있다"면서 "우리 쪽을 지원해 주는 전문 기관, 그리고 외부 전문가들과 같이 검토하고 있다. 우리 외에 다른 보안 관련 부처나 기관들에서도 분석을 진행 중인 걸로 알고 있어 그런 그 부처나 기관들까지 협조해 최대한 신속히 진행할 계획"이라고 말했다. 관심있게 들여다 보는 부분에 대해서는 "개인 정보 과다 수집 소지이라든지, 또 정보 주체의 권리 관련 등을 종합적으로 보고 있다. 언론에 나온 내용들 중심으로 보고 있고 기타 추가적으로 분석하면서 해외와도 협력하고 있다"고 덧붙였다. 영국 등 해외 주요국 개인정보 규제 및 감독기구와 협조체제도 운영하고 있다면서 "그동안 협력채널을 구축해 온 해외 주요국 개인정보 규제‧감독기구인 영국 ICO(Information Commissioner's Office), 프랑스 CNIL(Commission Nationale de l'Informatique et des Libertés), 아일랜드 DPC(Data Protection Commission) 등 과도 협의를 시작했다"면서 "현재 관련 상황을 공유 중으로 향후 공동 대응 방안도 논의 중"이라고 말했다. 이외에도 개인정보위는 프랑스에서 오는 10~11일 열리는 'AI Action Summit'에서 CNIL 및 아일랜드 DPC와 관련 내용 공유를 추진하고 있고, 북경 소재 한-중 개인정보 보호 협력센터(KISA 북경 대표처)를 통해 중국 현지에서도 소통을 시도 중이며, 우리나라의 중국 공식 외교 채널을 통한 원활한 협조도 당부할 예정이다. 남 국장은 "개인정보위는 이상의 다양한 노력 등을 통해 해당 서비스에 대한 조속한 검토를 거쳐 필요시 개인정보를 걱정 없이 안전하게 활용할 수 있는 방안을 제시할 예정"이라면서 "결과 발표 전까지는 서비스 이용 과정에서 보안상 우려가 지속 제기되고 있는 상황을 고려해 신중한 이용을 당부 드린다"고 말했다. 개인정보위는 신중한 이용의 예로 ▲기관·기업의 생성형AI 이용 목적과 구축 유형 및 운영 환경(예: 자체구축 및 상용서비스 활용, 온프레미스와 클라우드 등)과 처리하는 업무 데이터 특성 등을 종합적으로 고려 ▲ AI 구축·운영을 위한 추가학습, 검색증강(RAG), 입력 프롬프팅 등 단계별 특성 감안 ▲개인정보취급자의 컴퓨팅 여건을 고려한 지침 마련을 예로 들었다. 개인정보위 내부에서 딥시크 사용을 금지했냐는 질문에는 "따로 그런 조치를 하지 않았다"고 답변했다. 또 부처간 협력이 잘 이뤄지고 있다면서 개인정보위가 다른 부처에 딥시크 사용 금지 조치를 취하라고 할 위치는 아니라고 덧붙였다. 개인정보위는 '안전한 개인정보를 위한 생성형 AI 사용법'이라는 카드뉴스도 제작해 배포했다. 한편 딥시크는 논란 이후 첫 공식 입장을 6일 내놨다. 이날 저녁 위챗 계정에 "딥시크와 관련한 일부 위조 계정과 거짓 정보가 대중을 오도하는 사례를 발견했다"면서 "딥시크 공식 계정은 위챗, 샤오홍수, X 등 3개 플랫폼에만 있다"고 설명했다. 하지만 해외 곳곳에서 제기한 개인정보 유출 우려나 보안 안정성에 대한 입장은 내놓지 않았다. 미국은 의회가 나서 딥시크 차단을 추진하고 있고 우리 국회도 이런 움직임을 보이고 있다.

2025.02.07 20:45방은주

[기고] 원본 데이터 AI 활용 특례, 신기술 혁신 속도와 수요 반영해야

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주] 개인정보보호위원회와 과학기술정보통신부는 지난해 4개 사업자들을 대상으로 자율주행 인공지능(AI) 시스템 고도화를 위한 영상정보 원본을 활용하는 실증특례를 지정했다. 조금 풀어서 설명하자면 자율주행 AI 학습에는 보행자의 얼굴, 위치, 차량번호 또는 개인정보가 포함된 주행영상 등 영상정보가 필요하다. 현행 개인정보 보호법상 AI 학습에 주행영상 등 영상정보를 활용하려면 정보주체의 동의를 받거나 해당 정보를 가명처리해야 한다. 당연히도 전자는 불가능하고 후자의 경우 보행자 인식률이 저하되는 등 정보의 가치가 떨어지게 된다. 이러한 상황을 타개할 수 있는 것이 규제샌드박스 실증특례 제도다. 이 제도는 사업자가 신기술을 활용한 새로운 서비스를 일정 조건 하에 시장에 우선 출시해서 시험, 검증하게끔 현행 규제 일부를 적용하지 않도록 허용해 준다. 사업자들은 이 실증특례 지정을 신청해서 허용받음으로써 강화된 안전조치 기준을 마련하고 개인정보보호위원회의 주기적 점검을 받도록 하는 등을 조건으로 가명처리하지 않은 영상데이터의 원본을 AI 학습에 활용할 수 있게 됐다. 매우 의미 있는 제도임에도 사업자들이 실증특례 제도를 적극적으로 이용하지 못하는 결정적인 이유가 있다. 규제에서 자유로워지는 것이 아니라 최대 4년의 기간 동안만 규제 적용을 유예 받을 뿐이기 때문이다. 유예 기간 내에 법령이 정비돼 관련 규제가 개선되지 않으면 해당 서비스는 다시 '임시허가'를 통해 시장에 출시해야 한다. 심지어는 유예 기간 중 처리해 왔던 방식에 따라 데이터를 처리하는 경우 법 위반으로 출시를 못하게 될 수도 있다. 개인정보보호위원회는 새해 주요 업무 추진계획 6대 핵심 추진과제 중 하나로 AI 시대에 부합하는 개인정보 법제를 정비하겠다고 공표한 바 있다. 그러면서 자율주행 AI 개발 등 가명처리만으로 연구 목적 달성이 곤란한 경우 원본 데이터 활용을 개인정보 심의, 의결 하에 허용하는 특례를 마련하겠다고 발표했다. 이는 현행 규제샌드박스 실증특례는 최대 4년 동안만 규제 적용을 유예해 준다는 한계를 극복하기 위한 조치로, 개인정보 보호법에 특례 규정을 신설해 AI 개발을 위한 원본 데이터 활용을 허용할 방침이다. 더불어 개인정보보호위원회의 심의·의결과 사후 점검 등의 조건을 둬 개인정보 보호도 함께 도모할 계획이다. AI 기반 기술과 시스템이 더욱 빠른 속도로 고도화돼 가고 있는 현 상황에서 AI 학습 목적의 원본 데이터 활용을 금지할 수 없다는 위원회의 결단으로 풀이돼 공감이 간다. 다만 추진계획에 따르면 이러한 내용이 담길 개인정보 보호법 개정안은 AI 개발 사업자의 '정당한 이익'이나 '공익' 등을 고려하도록 하고 있어 오히려 원본 데이터 활용이 예상외로 제약될 가능성이 있어 보인다. 추후 구체적인 개정안을 구체적으로 살펴봐야 하겠으나 신기술의 개발이 아닌 사회적 편익이나 공익을 고려해 특례를 허용할 경우 제도의 취지에도 불구하고 상당수의 AI 개발 사업은 이 특례 제도를 활용하기 어려워질 것이다. 위원회가 심결이나 사후 현장점검 등을 어떻게 운영할지도 특례 제도 활용에 있어서 매우 중요한 요소가 될 것으로 보인다. 우선 위원회가 업무 추진계획에서 밝힌 바와 같이 합리적이고 유연한 법 해석을 통해 신기술 변화와 현행 법 체계 간 간극을 완화하기 위해서는 위원회의 심결이 신속하게 이루어져야 할 것이다. 기존 규제샌드박스 실증특례는 유사 사례가 있는 경우 패스트트랙 제도를 통해 승인 기간을 평균 4~5개월에서 2개월로 단축해 운영하고 있는 상황이다. 심결 이후에도 위원회의 관리, 감독을 통해서도 사후 통제가 가능한 점을 감안할 때 심결은 가급적 간이하고 신속하게 이뤄질 필요가 있다. 위원회의 사후 관리, 감독도 지나치게 포괄적인 범위의 점검이나 자료제출 요구 등이 이뤄지지 않는지 검토가 필요하다. 심결이 간이하게 이뤄진다면 사후통제 기능이 어느 정도 작동해야 하겠으나 AI 개발 사업자 입장에서 사업 운영에 지장이 갈 정도로 관리, 감독 등이 이뤄진다면 사업자로서는 특례 제도를 고려할 실익이 없게 된다. 이 부분은 AI기본법의 제정 과정에서도 유사한 논란이 제기된 바 있다. 원본 데이터를 가명처리 없이 쓰도록 허용해 주는 특례 제도를 도입하더라도 어느 정도의 제한이 부여되어야 한다는 점은 충분히 공감한다. 다만 신기술 및 신산업 혁신 촉진을 도모하기 위해 도입되는 제도인 만큼 AI 개발 사업자들이 특례 제도를 활용할 '엄두'는 낼 수 있어야 한다. 사업자들의 애로와 현실을 충분히 반영한 합리적이고 유연한 법제도의 도입을 기대해 본다.

2025.02.03 10:17법무법인 태평양 상지영

새 학기 맞은 학교, 개인정보 유출 주의보…정부, 5대 지침 발표

새 학기를 맞아 학교 홈페이지 등에서 개인정보 유출 사고가 빈번히 발생한 가운데 정부가 교육기관에 개인정보 보호를 당부했다. 개인정보보호위원회는 신입생·졸업생의 개인정보 관리, 단체 채팅방 자료 점검 등 구체적인 주의 사항을 다섯 가지를 교육기관계 안내했다고 24일 밝혔다. 최근 학급 편성 결과 게시 등에서 불필요한 개인정보가 유출되는 사례가 자주 발생해 이에 대한 대응이 필요하다는 목소리에 대한 조치다. 개인정보위는 신입생 개인정보를 최소한으로 수집하고, 졸업생 개인정보를 즉시 파기하도록 교육기관에 권장했다. 필요 이 정보를 수집하지 않는 것이 개인정보 보호의 출발점이라고 설명했다. 또 학교 홈페이지에 학급 편성 결과를 게시할 때 엑셀 파일의 숨겨진 시트나 열·행에 포함된 불필요한 개인정보를 철저히 점검해야 한다고 강조했다. 엑셀 파일 관리 부주의로 인해 민감한 정보가 유출되는 사고를 방지하기 위함이다. 개인정보위는 학급 단체 채팅방에 개인정보가 포함된 자료를 공유하지 않도록 주의해야 한다는 점도 당부했다. 자료를 전송하기 전 개인정보 포함 여부를 확인하고, 필요 시 자료를 수정하거나 삭제해야 한다고 권장했다. 개인정보가 포함된 서류를 이면지로 사용하지 말고, 불필요한 경우 즉시 파기하라는 당부도 나왔다. 서류 관리 부주의는 개인정보 유출의 주요 원인 중 하나로 꼽히기 때문이다. 개인정보위는 교육기관의 개인정보 담당자 대상 교육도 강화할 계획이다. 실수로 인한 법규 위반 사례를 줄이기 위해 개인정보 취급자의 전문성을 높이는 것이 필요하다는 이유에서다. 개인정보위 강대현 조사총괄과장은 "새 학기를 맞아 교육기관에서 개인정보 유출 사고가 발생하지 않도록 각별한 주의가 필요하다"며 "교육기관과의 협력을 통해 개인정보 보호 체계를 더욱 강화하겠다"고 밝혔다.

2025.01.24 15:56김미정

SK스토아·동행복권, 개인정보 유출로 과징금 19억원

정부가 SK스토아와 동행복권서 발생한 대규모 개인정보 유출 사고와 관련해 총 19억4천280만원 과징금과 과태료를 부과하고 해당 사실을 공표하기로 의결했다. 개인정보보호위원회는 지난 22일 서울정부청사에서 제2회 전체회의를 열고 SK스토아와 동행복권에 대한 처벌 조치를 이같이 결정했다고 24일 밝혔다. SK스토아는 크리덴셜 스터핑 공격을 받아 약 12만5천명 개인정보를 유출한 것으로 밝혀졌다. 동행복권의 경우 비밀번호 변경 기능의 보안 취약점이 악용돼 약 75만명 개인정보가 빠져나갔다. SK스토아의 경우 신원 미상 해커가 지난해 11월 14일부터 21일까지 국내외 14개 아이피를 통해 총 4천400만건 넘는 로그인을 시도한 끝에 12만5천개 계정에 접근한 것으로 드러났다. 이 과정에서 비밀번호가 암호화되지 않은 상태로 전송된 사실도 추가로 확인됐다. 동행복권에서는 지난해 11월 4~5일까지 해커가 사전에 확보한 회원 아이디를 활용해 비밀번호 변경 기능의 보안 취약점을 악용했다. 인증되지 않은 아이디로 비밀번호를 임의로 변경한 뒤 계정에 접근해 약 75만명의 개인정보를 유출한 것으로 밝혀졌다. 개인정보위는 SK스토아에 과징금 14억3천200만원과 과태료 300만원을, 동행복권에 과징금 5억300만원과 과태료 480만원을 부과했다. 두 회사 모두 홈페이지에 이 사실을 공표하도록 명령받았다. SK스토아는 사고 이후 보안 정책을 강화하고 유출된 계정 초기화와 로그인 방식 변경을 실시했다. 동행복권도 누리집을 임시 폐쇄한 후 비밀번호 초기화와 취약점 개선을 진행하며 추가적인 보안 대책을 마련했다. 고학수 개인정보위 위원장은 "최근 크리덴셜 스터핑 등 해킹 공격이 빈번해지는 만큼 이상행위 탐지, 차단 조치 등 보안 대책을 강화해야 한다"며 "이용자 인증 관련 취약점 점검에도 각별히 주의할 필요가 있다"고 강조했다.

2025.01.24 08:18김미정

"예산 4억으로 이겼다"…개인정보위, 구글·메타와 붙은 1400억 싸움 승소

구글과 메타가 개인정보보호위원회 상대로 제기한 시정명령·1천억원대 과징금 취소 소송에 대해 서울행정법원이 전부 기각했다. 개인정보보호위원회는 구글·메타의 사용자 행태정보 수집·이용 관련 행정소송에서 승소했다고 23일 밝혔다. 개인정보위는 2021년 2월부터 구글과 메타의 맞춤형 광고 관련 개인정보 처리 실태를 조사해 왔다. 2022년 9월에 구글과 메타가 이용자 동의 없이 다양한 온라인 활동 기록을 수집해 맞춤형 광고에 활용한 사실에 대한 시정명령과 함께 구글에 692억원, 메타에 308억원을 각각 부과했다. 당시 조사 결과 구글은 개인정보 수집 동의 과정을 '옵션 더보기'에 숨겼으며 동의를 기본값으로 설정해 진행한 것으로 밝혀졌다. 메타는 694줄에 달하는 관련 내용을 한 화면에 5줄만 보이도록 구성해 이용자 동의를 받은 사실이 드러났다. 구글과 메타는 "개인정보 수집 주체는 웹사이트나 앱 운영 사업자"라며 "개인정보 처리방침 등을 통해 적법하게 동의를 받았다"고 주장했다. 이후 2023년 2월 서울행정법원에 소송을 제기했다. 반면 개인정보위는 "구글과 메타가 제공하는 서비스에 가입한 이용자의 웹사이트 방문 정보와 앱 사용 정보를 추적‧수집해 맞춤형 광고에 활용했다"며 "해당 기업들은 이용자 동의를 받아야 한다"고 주장했다. 또 유럽연합(EU)과 미국 등 다른 국가에서도 유사한 제재를 받은 사례를 근거로 설명했다. 이에 서울행정법원은 구글과 메타 청구를 전부 기각했다. 법무부는 "이번 판결은 다국적 기업으로부터 국민의 권리를 지켜낸 기념비적 사례"라며 "앞으로도 국제소송에서 국민과 국익을 수호하기 위해 다각적인 법률 지원을 지속하겠다"고 밝혔다. 최근 늘어난 개인정보 관련 소송이 증가하면서 글로벌 기업은 국내 대형 법무법인을 소송대리인으로 선임해 소송에 대비해 왔다. 반면 개인정보위는 지난해 소송수행 예산이 4억원에 그친 것으로 전해졌다. 올해 소송 예산도 4억원으로 동결됐다. 이에 업계에선 이번 1심 승소가 소송 예산 4억원으로 이룬 것을 긍정적으로 평가하고 있다. 개인정보위 이정렬 사무처장은 지난해 브리핑에서 "늘어난 소송에 대비하기 위해 올 3월 단기적으로 송무팀을 꾸리고 장기적으로는 빅테크 전담 변호사와 회계사를 구축할 것"이라며 "현재 공무원 4급에 해당하는 전문가를 팀장으로 영입한 상태"라고 밝힌 바 있다. 개인정보위는 "이번 판결이 구글과 메타의 맞춤형 광고 관련 동의 의무 위반 처분이 정당했음을 입증했다"며 "대규모 플랫폼 사업자의 개인정보 보호 책임을 명확히 한 중요한 사례"라고 평가했다. 이어 "인공지능(AI) 데이터 사회가 확산되는 가운데 국민의 개인정보 자기결정권을 충실히 보장하기 위해 더욱 노력할 계획"이라고 덧붙였다.

2025.01.23 15:21김미정

카카오페이·애플, 동의 없이 4천만명 개인정보 해외로…과징금 '84억' 철퇴

정부가 카카오페이와 애플의 국외 이전 규정 위반 건에 과징금을 부과했다. 카카오페이는 전체 이용자 약 4천만 명의 개인정보를 이용자 동의 없이 애플에 제공했고, 애플 역시 알리페이를 통해 해당 정보를 처리하면서 이용자들에게 이를 알리지 않은 사실이 드러났기 때문이다. 개인정보보호위원회는 지난 22일 서울정부청사에서 제2회 전체회의를 열고 개인정보보호법상 국외 이전 규정을 위반한 카카오페이에 과징금 59억6천800만원, 애플에 과징금 24억500만원과 과태료 220만원을 부과하기로 결정했다고 23일 밝혔다. 개인정보위는 카카오페이가 전체 이용자 약 4천만 명의 개인정보를 이용자 본인 동의 없이 애플의 서비스 이용자 평가 목적으로 제공했다고 발표했다. 애플은 제3국 수탁자인 알리페이를 통해 개인정보를 국외로 이전·처리한 사실을 이용자에게 알리지 않은 것으로 드러났다. 그동안 카카오페이는 사용자가 애플에서 서비스를 구입할 때 결제 데이터를 알리페이에 전송했다. 애플은 알리페이가 받은 정보를 가지고 이용자의 NSF 점수(Non Sufficient Funds Score)를 산출하거나 결제를 진행했다. 이에 결제 정보는 카카오페이, 알리페이, 애플 순으로 전달된 것이다. 이 과정에서 이용자 동의 없이 개인정보가 국외 이전됐으며 이를 이용자가 인지하지 못한 사실이 밝혀졌다. NSF 점수는 애플 서비스 내 여러 소액결제를 한 건으로 묶어 일괄 청구할 때 자금부족 가능성을 판단하기 위한 고객별 점수다. 쉽게 말해 결제 금액이 부족할 가능성이 얼마나 높은지 알려주는 점수다. 애플은 이 정보로 사용자가 결제를 못 할 가능성이 있다고 판단되면 결제를 막거나 다른 조처를 취했다. 카카오페이, 4천만 명 개인정보 동의없이 국외 이전 카카오페이는 애플 내 결제시스템 통합 서비스를 제공하는 알리페이 중계를 통해 결제정보를 애플에 전송해 왔다. 애플은 NSF 점수 산출을 포함한 결제 처리에 있는 개인정보 처리 업무를 알리페이에 위탁했다. 카카오페이는 애플 수탁사인 알리페이가 NSF 점수 산출 모델 구축을 할 수 있도록 전체 카카오페이 이용자 개인정보를 2018년 4~7월간 총 3회에 걸쳐 동의 없이 알리페이에 전송한 것으로 드러났다. 구체적으로 2019년 6월 27일부터 20924년 5월 21일까지 매일 알리페이가 이용자별 NSF 점수를 산출할 수 있도록 카카오페이 전체 이용자 4천만 명 개인정보를 동의 없이 알리페이에 보냈다. 카카오페이는 애플 이용자뿐 아니라 애플 미이용자까지 포함한 전체 이용자 정보를 알리페이에게 전송했다. 카카오페이 전체 이용자 중 애플이 카카오페이를 결제 수단으로 등록한 이용자는 20% 미만에 불과하다. 개인정보위 전승재 조사3팀장은 이날 브리핑에서 "카카오페이가 애플의 NSF 모델 구축과 점수 산출을 위해 전체 이용자의 개인정보를 동의 없이 애플에 제공했다"며 "개인정보위는 해당 행위를 적법 처리 근거 없는 국외 이전으로 판단했다"고 설명했다. 이에 개인정보위는 카카오페이에 과징금 59억6천800만원을 부과하고 국외 이전 적법 요건을 갖추도록 시정명령했다. 또 홈페이지에 관련 사실 공표도 명령했다. 애플, 개인정보 국외 이전 사실 미공표 애플은 알리페이를 통해 NSF 점수를 계산하고 있다는 사실을 이용자들에게 알리지 않은 것으로 밝혀졌다. 이 과정에서 개인정보가 국외로 이전되고 있다는 사실도 공표하지 않았다. 알리페이는 매일 카카오페이로부터 전체 이용자 정보를 자동 전송받아 이용자별 NSF 점수를 산출했다. 이를 통해 이용자의 NSF 점수를 애플에 전송했다. 애플은 이 과정에서 개인정보를 국외로 처리·위탁하면서 국외 수탁자 등을 개인정보처리방침 등을 통해 정보 주체에게 공개하거나 고지 않은 것으로 밝혀졌다. 이에 개인정보위는 애플에게 과징금 24억500만원을, 위탁 사실을 밝히지 않은 행위에 대해 과태료 220만원을 부과했다. 개인정보 처리 수탁자 알리페이에 대한 국외 이전 사실을 개인정보처리방침 등에 공개하도록 시정명령했다. 또 애플 홈페이지에 관련 사실을 공표하도록 명령했다. 개인정보위는 알리페이에 NSF 점수 산출 모델을 파기하도록 시정명령했다. 전승재 팀장은 "알리페이가 구축한 카카오페이 이용자의 NSF 점수 산출 모델은 위법하게 제공·국외 이전된 개인정보를 활용해 구축된 것"이라며 "개인정보 침해 상태를 근본적으로 해소하기 위함"이라고 설명했다. 전 팀장은 "최근 글로벌 플랫폼 서비스 확대로 개인정보 국외 이전이 늘어난 상황에서 개인정보 국외 이전 범위를 명확히 하고 사업자가 국외 이전 적법 요건을 반드시 준수해야 함을 재확인한 점에서 의의가 있는 조치"라고 말했다. 이어 "사업자는 개인정보 국외 이전에 수반되는 서비스 제공 시 정보 주체의 동의를 별도로 받거나 국외 수탁자에게 개인정보 처리를 위탁할 경우 개인정보처리방침 등을 통해 개인정보가 국경을 넘어 이전되는 사실을 알려야 한다"고 강조했다. 또 그는 "개인정보 처리를 위부에 위탁할 경우 위탁자가 정보 주체에 대한 책임을 부과해야 한다"며 "위탁자 책임 영역을 떠나 제3자 책임 영역으로 개인정보를 이전하는 것은 제3자 제공에 해당하므로 정보 주체 동의 등 적법 근거를 구비해야 한다"고 덧붙였다.

2025.01.23 12:00김미정

"개인정보보호법 알린다"…정부, 전문강사 100명 위촉

개인정보 보호 중요성이 증가함에 따라 정부가 개인정보보호 교육 전문강사를 100명을 새로 배출했다. 개인정보보호위원회는 21일 정부서울청사 19층 대회의실에서 제3기 개인정보보호 교육 전문강사 위촉식을 개최했다. 인공지능(AI)‧자율주행차 등 첨단 신기술 기반 서비스가 출시되고 마이데이터 도입 등 개인정보의 산업적 활용이 급격히 증가하면서 현장에서는 개인정보 교육에 대한 수요가 늘어나고 있다. 이에 개인정보위는 개인정보 관련 맞춤형 현장교육을 지원하기 위해 2020년부터 개인정보보호 교육 전문 강사 풀을 구성했다. 개인정보보호 교육 전문강사 제도는 개인정보배움터에 전문강사 풀의 활동지역, 경력, 자격, 전문분야 등을 공개한다. 이에 교육이 필요한 곳에서 누구나 활용 가능하게 매칭을 지원하는 제도다. 제3기 전문강사는 기존 제2기 강사 160명 중 강의 실적이 우수해 연임 결정된 강사 25명과, 추가적으로 전문성, 추진력, 역량‧경험 등을 고려해 신규 선발된 75명 등 총 100명으로 구성됐다. 위촉기간은 이달 1월 1일부터 내년 12월 31일까지 2년이다. 지난해 기준 전문강사가 수행한 개인정보보호 교육은 1천216건이다. 전문강사는 권역별 교육 수요에 대응하기 위해 지역마다 강사를 선발해 교육 접근성을 제고하고 있다. 이번에 선발된 전문강사 100명 중 수도권‧강원권은 50명(50%), 충청권 15명(15%), 호남‧제주권 15명(15%), 영남권 20명(20%)이다. 이날 행사에서는 위촉식과 함께 최근 발간한 개인정보보호 안내서 주요내용도 소개했다. 특히 산업현장의 수요가 높아 지난해 10월 신설된 교육 과정인 인사‧노무 분야 개인정보보호에 대한 안내를 통해 최신 개인정보 관련 동향을 공유하고 전문강사의 역량을 강화하는 시간을 가졌다. 앞서 개인정보위는 개인정보 교육이 '개인정보보호법'에 따른 법정의무 교육으로 규정됨에 따라 개인정보처리자가 참고할 수 있도록 '개인정보보호 교육 업무 안내서'를 지난해 12월 발간했다. 안내서는 개인정보위 홈페이지와 개인정보포털, 개인정보배움터 등에서 확인할 수 있다. 개인정보위 이정렬 사무처장은 "개인정보 보호 중요성이 증가함에 따라 현장교육 수요에 대응하는 전문강사의 역할도 중요해지고 있다"라면 "공공기관뿐 아니라 기업 등 개인정보 교육이 필요한 기관에서 전문강사를 잘 활용해 개인정보 보호 중요성에 대한 인식이 강화되길 기대한다"고 말했다.

2025.01.21 12:00김미정

"AI 환경서 개인정보 보호 사회적 신뢰 확보 선행돼야"

정부가 개인정보 관련 핵심 이슈를 논의하는 영상 콘텐츠를 선보였다. 고학수 개인정보보호위원회 위원장은 개인정보위TV가 운영하는 '학수고대' 프로그램에 과학 커뮤니케이터 '궤도'를 초청, '인공지능(AI) 시대와 개인정보'를 주제로 다뤘다고 19일 밝혔다. 학수고대는 주요 개인정보 이슈를 주제로 고학수 위원장이 직접 진행하는 예능 토크쇼 형태의 유튜브 콘텐츠다. 2024년에는 개인정보 트렌드,자율주행 기술과 개인정보 연관성 등에 쟁점을 다뤘다. 개인정보위는 2025년 첫 번째 손님인 궤도를 시작으로, 개인정보 정책분야의 핵심 이슈를 국민 눈높이에 맞춰 전달할 수 있는 다양한 콘텐츠를 연중 선보일 방침이다. 고 위원장은 "대량의 데이터가 복잡한 방식으로 처리되는 AI 환경에서는 무엇보다 개인정보 보호에 대한 사회적 신뢰 확보가 선행돼야 한다"며 "국민·기업과의 활발한 소통을 펼치겠다"고 말했다.

2025.01.19 12:00김미정

고학수 위원장 "올해 개보위 핵심은 AI…안전연구소 협력 의지"

개인정보보호위원회가 올해 안전한 인공지능(AI) 생태계 조성을 위해 AI안전연구소와 협력할 의지를 내비쳤다. 고학수 개인정보위 위원장은 16일 서울 정부청사에서 열린 정례 브리핑에서 이같은 업무 계획을 밝혔다. 고학수 위원장은 "올해 개인정보위 키워드는 AI"라며 "지난 2년 동안 AI 영역을 자세히 들여다봤다면 올해부터 현장에서 프라이버시, 데이터 생태계 등 실질적인 AI 안전에 집중할 것"이라고 설명했다. 고 위원장은 최근 AI로 인해 발생한 딥페이크와 가짜뉴스, 환각현상 등 부작용이 발생했다고 지적했다. 이에 개인정보위가 늘 강조하는 개인의 자유와 존엄성이 훼손됐다는 설명이다. 그는 "특히 딥페이크는 개인의 존엄성을 전면 침해하고 있다"며 "이를 정부가 근본적으로 어떻게 해결할 것인가 고민해야 할 시점"이라고 말했다. 고 위원장은 AI 부작용 해결과 국민 자유·존엄성 보호를 위해 AI안전연구소와 협력할 것이라고 말했다. 구체적으로는 AI 서비스에 적용되는 데이터 프라이버시 관련 영역에서 가이드라인·관리 모형 등에 협력할 계획이다. 그는"최근 AI안전연구소를 산하로 둔 한국전자통신연구원(ETRI)과 한국정보통신기술협회(TTA)가 지난해 12월 발표한 개인정보위의 AI 리스크 관리 모형에 큰 관심을 보였다"며 "이는 AI안전연구소 입장에서도 당연히 들여다볼 법한 영역이기 때문"이라고 강조했다. "공공영역 처벌법 고려해야"…구글·메타 소송 결과 '낙관' 고학수 위원장은 공공영역 과징금 규모와 처벌 수위를 고려해야 한다고 주장했다. 이는 공공영역 과징금 규모가 민간기업에 비해 낮다는 평가에 대한 반응이다. 개정법 전 공공기관 과징금 상한선은 5억원이었지만 지난해 이를 20억원으로 상향조정됐다. 그러나 여전히 민간기업에 비해 낮은 수준이라는 지적이 이어지고 있다. 이에 고 위원장은 "공공영역은 국민 세금으로 운영되는 곳"이라며 "과징금을 높게 부과하는 것이 세금 낭비로 이어질 수 있다"고 설명했다. 그러면서 "과징금이 아닌 다른 방향으로 처벌을 진행하는 방향으로 바꿀 필요가 있다"고 강조했다. 실제 개인정보위는 공공기관 처벌 사실을 공표하는 것을 선택에서 의무로 전환한 바 있다. 한 번 초사 처분 된 기관은 3년 동안 반복적으로 점검할 수 있는 시스템도 구축된 상태다. 조직 내부에서 문제가 발견될 때 조직적 문제와 개인적 문제를 구분해 징계하는 방식도 추진 중이다. 고학수 위원장은 오는 23일 판결 예정인 구글·메타 소송을 낙관적으로 기대한다고 말했다. 그는 "조만간 결정이 이뤄질 사안"이라며 "낙관적으로 생각하지만 100% 장담할 수는 없는 상황"이라고 덧붙였다.

2025.01.16 17:01김미정

정부, 국민 개인정보 결정권 강화…IP 카메라 설계 문턱 높여

정부가 개인정보 결정권을 강화하는 등 국민이 체감할 수 있는 정보보호 확산을 본격화한다. 개인정보보호위원회는 '안전한 개인정보, 신뢰받는 인공지능(AI) 시대'를 주제로 한 2025년 주요업무 추진계획을 통해 이같이 15일 발표했다. 개인정보위는 올 3월부터 마이데이터 선도서비스 5종을 단계적으로 출시한다. 마이데이터 시행으로 국민이 자신의 정보를 주체적으로 활용해 원하는 서비스에 활용하도록 지원할 방침이다. 이에 해당하는 서비스 분야는 크게 의료, 통신, 자율 분야다. 의료는 ▲맞춤형 만성질환 예방관리 ▲해외 체류 국민 국내 의료 기록 연동 ▲복약 관리·약물 처방 지원이다. 통신에는 최적 통신요금 추천 서비스가 출시된다. 자율 분야는 여행지·여행경비 최적 설계 제안 서비스다. 정부는 공공·금융 등 선행부문과 의료·통신 등 신규부문 간 데이터 융합 지원을 통한 시너지 창출 등 마이데이터 서비스 창출 여건도 조성한다. 개인정보위는 데이터 전송요구 이력 조회, 전송 철회 등 국민 개인정보 전송요구권 행사를 지원하는 '마이데이터 지원 플랫폼'도 오픈할 예정이다. 이를 통해 일반 사용자가 여러 부문에 흩어진 본인 정보를 확인하고 저장, 활용할 수 있는 본인 다운로드 기반을 마련한다. 정부는 안전한 데이터 활용을 위한 개인정보관리 전문기관 안내서도 발간할 예정이다. 다크패턴 등 부당한 전송 유도와 유인방지 가이드라인도 제시할 방침이다. 개인정보보호 컨트롤타워 역할 강화...정보 안전망 촘촘히 개인정보위는 개인정보보호 컨트롤타워 역할을 늘린다고 강조했다. 우선 개인정보 보호 취약 3대 부문인 ▲국민 생활 밀접 분야 ▲신기술·신산업 분야 ▲대규모 개인정보를 처리하는 공공 분야 등을 선제적으로 집중 점검할 방침이다. 정부는 올해 3월 디지털 증거 수집·분석을 통해 유출 원인 등을 파악하는 포렌식랩도 구축한다. 이달부터 조사 전 과정을 체계적으로 관리하는 조사정보시스템을 운영할 예정이다. 이를 통해 투명하고 신속한 사건 처리 등 조사 품질을 높일 방침이다. 개인정보위는 IP 카메라 등 일상에서 활용되는 IT 기기 대상으로 개인정보보호 중심 설계 시범인증 확대, 법정 인증화도 추진한다. 다중이용시설에 설치하는 IP카메라에 보안인증제품 사용을 의무화한다. 또 온라인 맞춤형 광고 제공 목적의 행태정보 안전관리 체계를 강화하고 AI와 홈 사물인터넷(IoT), 에듀테크, 방송, 통신 등 50여 개사 대상으로 개인정보 처리방침 심층 평가를 실시할 예정이다. 고학수 개인정보위 위원장은 "AI 환경 변화에 발맞춰 원칙 기반 개인정보 규율체계 완성도를 높여 나갈 것"이라며 "국민 불안을 해소하고 국내 AI 생태계 발전을 적극 지원하겠다"고 밝혔다.

2025.01.15 16:43김미정

"빅테크 소송만 20건"…개인정보위, 3월 전담팀 출범

개인정보보호위원회가 약 20여 건에 달하는 개인정보 관련 빅테크 소송을 전담할 송무팀을 3월 출범한다. 개인정보위 이정렬 사무처장은 '안전한 개인정보, 신뢰받는 인공지능(AI) 시대'를 비전으로 한 신년 주요 정책 추진 계획 발표에서 이같이 13일 밝혔다. 현재 개인정보위는 구글과 메타, 카카오 등 약 20여 건의 빅테크 관련 소송을 맡고 있다. 모두 개인정보보호법 위반이나 개인정보 유출 사례와 관련한 소송 건이다. 일각에선 개인정보위가 이같은 소송에 대응하기 위한 인력 부족이 심각하다는 지적을 받았다. 다수 직원이 일반 사무일뿐 아니라 소송 업무까지 도맡아야 한다는 이유에서다. 개인정보위는 올해 빅테크 소송을 전담할 송무팀을 발표할 예정이다. 빠르면 올해 3월 팀을 출범할 예정이다. 이정렬 사무처장은 "현재 공무원 4급에 해당하는 인력을 팀장급으로 확보한 상태"라며 "외부 변호사를 추가 영입해 팀을 완성할 계획"이라고 말했다. 해당 송무팀에는 회계 인력도 포함된다. 보통 빅테크에 과징금을 부과하려면 정확한 매출액 산정이 필수다. 기업 재무제표를 통해 매출을 파악해야 하는데, 이를 전문적으로 처리하는 회계사는 핵심 인력이다. 이 사무처장은 해외사업자가 매출액 자료 제출에 비협조적일 경우 강제력을 행사할 방안도 마련한다고 설명했다. 특히 국내 사용자 개인정보가 심각하게 침해당할 우려가 있을 시 데이터 국외이전 중단을 명령하는 등 구체적 사례를 마련할 방침이다. 그는 이 외에도 해외사업자가 국내 법인을 국내 대리인으로 우선 지정하도록 의무화해 이용자 권리를 보장할 계획이다. 경미한 사건이나 중·소상공인의 위반 등에 대한 조사·처분 면제 기준도 마련한다. "안전한 개인정보, 신뢰받는 AI 시대 구축 목표" 이날 개인정보위원회는 AI 시대에 부응하는 개인정보 법제 정비 등 한층 더 강화된 AI·데이터 정책을 추진한다고 발표했다. 이에 따른 프라이버시 침해 위협에 선제 대응해 개인정보 처리에 대한 사회적 신뢰를 확보한다고 강조했다. 이 사무처장은 개인정보 규율체계를 대대적으로 손질한다고 밝혔다. 기존 가명처리만으로는 연구 목적 달성이 어려운 경우, 안전조치와 개인정보위 심의·의결을 거쳐 원본 데이터 활용을 허용하는 법적 특례가 신설될 예정이다. 이에 자율주행 등 신기술 연구에 필요한 데이터 접근이 가능해질 전망이다. 또 딥페이크로 악용된 합성 콘텐츠에 대해 정보주체의 삭제 요구권을 도입하고, 인격적 가치를 훼손하는 부정합성 행위를 금지·처벌하는 방안도 추진한다. 이 사무처장은 디지털 시대 프라이버시 침해에 대응하기 위해 IP 카메라 등 일상 IT 기기에 대한 '개인정보보호 중심 설계' 시범인증을 확대하고 인증받은 기기를 다중이용시설에서 의무적으로 사용하도록 할 계획도 알렸다. 공공기관이 개인정보 보호법을 위반하면 전면 공표제를 시행하고, 대규모 유출사고가 발생한 기관은 3년 이내 재점검을 받도록 의무화한다. 또 개인영상정보 보호 수준을 높이기 위해 영상정보관리사 국가공인 민간자격시험을 실시하고, 공인중개사·여행업·노인복지 등 개인정보 취급이 많은 분야를 대상으로 맞춤형 보호 체계를 지원한다. 개인정보위는 영상정보처리기기의 설치·운영 등에 관한 법률 제정도 본격화된다. 불특정 다수가 촬영되는 상황에서 사전 동의가 어려운 개인영상정보 특수성을 감안해 생체인식정보 처리 원칙과 정보주체 권리 보장 등을 구체화할 방침이다. 동시에 가명처리 적정성을 심의하는 위원회를 법제화하고, 가명 정보 지원 플랫폼에 비정형 데이터 처리 기능을 추가해 가명정보 활용을 촉진한다. 개인정보보호 강화기술(PET) 연구·개발도 본격 지원하며, 이를 중소·영세기업에 이전해 상용화한다는 계획이다. 마이데이터 제도는 의료·통신·에너지 등 국민 일상과 밀접한 분야에서 본격 시행될 방침이다. 정부는 이를 통해 국민이 체감할 수 있는 서비스를 선보이고자 선도서비스 5종을 순차적으로 출시할 예정이다. 정보 전송자와 항목도 점차 확대해 교육·고용·여가 분야 등으로 영역을 넓힌다는 구상이다. '마이데이터 지원 플랫폼'을 통해 개인정보관리 전문기관을 지정·관리하고, 부당한 전송 유도·유인을 방지하는 가이드라인도 마련해 건전한 데이터 활용 문화를 정착시키겠다는 방침이다. 정부는 글로벌 개인정보 논의에서도 국내 주도권 확보에 나선다. 오는 9월 서울에서 열리는 글로벌 프라이버시 총회를 계기로 유럽·미국 중심이던 개인정보 규범 논의에 아시아 등 다양한 지역의 시각을 반영해 새로운 규범 형성을 이끌 전망이다. 한국과 유럽 간 상호 데이터 이전 협력을 강화하고, 미국·영국·일본 등으로 동등성 인정 대상을 확대하는 방안도 검토 중이다. 표준계약조항(SCC) 등 안전한 개인정보 국외이전 수단을 확대하고, 국외이전 중지명령 세부 기준을 마련하는 등 보호체계를 한층 강화한다. 고학수 개인정보위 위원장은 "AI 환경 변화에 발맞춰 원칙 기반 개인정보 규율체계 완성도를 높여 나갈 것"이라며 "국민 불안을 해소하고 국내 AI 생태계 발전을 적극 지원하겠다"고 밝혔다.

2025.01.13 16:00김미정

韓·美, 개인정보 보호 협력…업무·정보 공유 목적

정부가 미국 캘리포니아 개인정보보호청과 손잡고 개인정보 분야 국제 협력 범위를 확대한다. 개인정보보호위원회는 지난 10일 캘리포니아 보호청과 양 기관 간 개인정보 분야 협력 강화를 내용으로 하는 업무협약을 체결했다고 12일 밝혔다. 캘리포니아는 미국에서 처음 민간 분야 개인정보보호 일반법이 제정된 주다. 보호청은 캘리포니아 소비자 개인정보보호법에 근거해 지난 2020년 설립됐다. 양측이 체결한 업무협약에는 개인정보 유출 사고 조사 등과 관련한 각종 정보 공유, 연간 업무 계획 공유, 실무 업무협의회 개최, 상호 협력을 위한 적절한 수단 개발 등 다양한 형태 협력이 포함됐다. 이번 업무협약을 유럽연합(EU) 적정성 평가, 업무협약 체결, 정책협의체 운영 등 유럽 위주로 해왔던 협력을 미주 대륙으로 확대하기 위한 첫걸음이다. 캘리포니아에는 인공지능(AI) 등 신기술 분야를 선도하는 다수 빅테크가 위치한 만큼 양측 간 협력이 가져올 긍정적인 효과에 대해 많은 관심과 기대가 모아질 것으로 보인다. 고학수 개인정보위 위원장은 "캘리포니아 보호청과의 협약은 기존 유럽권 국가 위주 업무 협력에서 나아가 협력 대상을 다양하게 확대하고자 하는 정부 노력의 연장선상"이라며 이번 협약을 계기로 한 향후 캘리포니아와의 협력에 대한 기대감을 내비쳤다.

2025.01.12 12:15김미정

Prev 1 2 3 4 5 6 7 8 9 10 Next