딥페이크 악용 콘텐츠에 대해 당사자가 삭제를 요구할 수 있게 된다. 사회적으로 필요한 인공지능(AI) 개발에는 개인정보 원본데이터를 보다 폭넓게 활용할 수 있도록 하는 특례도 마련된다.
개인정보보호위원회는 '안전한 개인정보, 신뢰받는 AI 시대'를 비전으로 2025년 주요 정책 추진계획을 13일 발표했다.
그간 개인정보위는 신산업 발전을 지원하고자 원칙 기반 개인정보 규율체계 기틀을 마련했고, 자동화된 결정에 대한 정보주체 대응권과 개인정보 전송요구권을 신설하는 등 국민의 개인정보 자기결정권을 강화했다.
올해에는 △데이터와 신뢰 기반의 AI 성장 여건 조성 △데이터 프라이버시 글로벌 리더십 강화 △디지털 대전환 가속화에 대응한 개인정보보호 체계 재정비 등 3대 전략 하에 6대 핵심 과제를 추진, 한층 강화된 AI·데이터 정책과 프라이버시 침해 위협 선제 대응을 목표로 삼았다.
먼저, 'AI 시대 개인정보 규율체계 혁신'에 나선다. 자율주행 AI 개발 등 가명처리만으로 연구 목적 달성이 어려운 경우 적정 안전조치 전제로 개인정보위 심의·의결 하에 원본데이터 활용을 허용하는 개인정보보호법상 특례규정을 마련하고, AI 개발 사업자 등의 정당한 이익이나 공익 등을 고려해 개인정보를 적법하게 처리할 수 있는 근거의 확대를 추진한다.
딥페이크를 악용한 합성 콘텐츠 등에 대해서는 정보주체가 삭제를 요구할 수 있는 법적 권리의 도입을 추진하고, 인격적 가치를 훼손하는 개인정보 합성 행위 등을 금지·처벌하는 방안을 마련한다. 지난해 민·관 협력을 통해 정립한 원칙 기반 개인정보 규율체계가 현장에서 뿌리내릴 수 있도록 이를 보다 구체화한 주요 분야별 AI·데이터 처리 기준도 마련할 계획이다.
'지속가능한 신산업 혁신 기반 마련'을 도모한다. 개인영상정보의 특수성을 고려해 '영상정보처리기기 설치·운영 등에 관한 법률'(가칭) 제정을 추진하고, 생체인식정보 처리 원칙과 정보주체 권리 보장 방안 등을 구체화한다.
가명처리의 적정성을 판단하는 심의위원회를 법제화하고, '가명정보 지원 플랫폼'에 비정형 데이터의 가명처리 기능을 추가한다. AI 등 신산업 분야 개인정보보호 강화기술(PET) 개발을 중점적으로 지원할 계획이다.
'글로벌 개인정보 규범 주도권 확보'도 목표로 삼았다. 2025년 글로벌 프라이버시 총회(GPA)의 9월 서울 개최를 계기로 다양한 지역의 시각을 반영한 개인정보 규범 형성을 선도한다는 구상이다. 또 한국과 유럽연합(EU)의 상호 데이터 이전 협력을 강화하기 위해 EU에 대한 동등성 인정과 EU의 한국에 대한 적정성 결정 갱신으로 상호 인정체계를 마련하며, 미국·영국·일본 등 동등성 인정 추진 대상을 추가로 검토할 예정이다.
'마이데이터 시대 개막, 성과 창출 본격화'도 주요 과제다. 마이데이터 제도 안착을 위한 마중물이 될 선도서비스 5종을 단계적으로 출시할 예정이다. 또 의료·통신 분야 정보 전송자와 전송항목을 확대하고, 교육·고용·여가 등 다양한 분야로 확대하는 방안도 논의할 계획이다. 전송요구 이력 조회, 전송 철회 등 국민의 개인정보 전송요구권 행사를 지원하는 '마이데이터 지원 플랫폼'도 개설, 개인정보관리 전문기관을 지정하고 실태점검을 실시할 계획이다.
'개인정보 보호 컨트롤타워 역할 강화'를 꾀한다. 국민 생활 밀접 분야, 신기술·신산업 분야, 공공 분야 등 개인정보 보호 취약 3대 부문에 대해 선제적 집중 점검을 실시한다. 유출 원인·경로를 파악하는 포렌식랩을 구축하고, 체계적인 조사를 위한 조사정보시스템을 운영하며, 행정소송 증가에 따라 소송 전담팀도 구성한다. 해외사업자에 대해선 매출액 자료 비협조에 대한 강제력 확보 방안을 마련하고, 국내 법인을 대리인으로 우선 지정하도록 의무화한다.
마지막으로, '촘촘하고 탄탄한 개인정보 안전망 구축'에 집중한다. IP카메라 등 일상에서 활용되는 IT기기 대상으로 개인정보보호 중심 설계(PbD) 시범인증을 확대하고, 개인정보보호법 개정을 통한 법정 인증화를 추진한다. 다중이용시설에서는 보안이 인증된 IP카메라를 사용하도록 의무화할 계획이다. CCTV 영상관제시설 등의 개인영상정보 보호 수준을 강화하기 위해 영상정보관리사 국가공인 민간자격시험도 시행한다.
공공기관의 법 위반행위에 대해서는 전면 공표제를 시행, 대규모 유출사고가 발생한 공공기관은 조사·처분을 받은 후 3년 내에 추가적인 실태점검을 받도록 의무화한다. 개인정보 처리 규모, 행정처분 이력 등을 고려해 대학·특수법인(8개기관) 등으로 공공기관 보호수준 평가의 대상도 확대한다.
고학수 개인정보위 위원장은 "생성형AI를 포함한 신기술의 급격한 발전과 함께 개인정보 규제 혁신을 요구하는 목소리와 잠재적인 프라이버시 침해 위협에 대한 우려가 동시에 나타나고 있다"고 말했다. 이어 "개인정보위는 AI 환경 변화에 발맞추어 원칙 기반 개인정보 규율체계의 완성도를 높여 나감으로써 국민 불안을 해소하고 국내 AI생태계 발전을 적극 지원하겠다"고 밝혔다.팽동현기자 dhp@dt.co.kr
이정렬 개인정보보호위원회 사무처장이 지난 9일 정부서울청사에서 2025년 개인정보보호위원회 주요 정책 추진계획 발표 사전브리핑을 하고 있다. 개인정보위 제공
