‘법’이라는 이름으로 개인정보 영역이 규율이 본격화된 시기가 2011년이다. 여기저기 흩어져 있던 개인정보 영역이 하나로 합쳐지고 개인정보보호위원회가 공식 출범한지 13년이 흘렀다. AI를 비롯해 라인야후와 알리·테무 까지, 요즘처럼 개인정보위가 산업 이슈의 중심에 섰던 적이 있었나 싶을 정도로 개인정보의 중요성은 이제 기업과 소비자의 내면 깊숙한 곳까지 파고들었다.
고학수 개인정보위원장은 급변하는 산업계의 크고 작은 사건들 속에서 관리·감독과 가이드라인을 만드는 전문화 영역을 담당하며 바쁘게 뛰고 있다. 업무는 갈수록 고도화·세분화되고 있는 반면, 장관급 중앙행정기관의 면모에 걸맞지 않는 예산과 조직 규모는 앞으로 위원회가 해결해야 할 현실적인 문제이기도 하다. 개인정보위의 역할과 현안에 대한 생각, 중점 사업들의 방향성에 대한 고 위원장의 의견을 들어봤다.
Q. 개인정보 소송이 많아질 수밖에 없는 구조인데 대기업들을 상대할 관련 예산이 부족하지 않나.
-개인정보위는 현재 대략 170명 정도 규모인데 중앙행정기관 중에서는 단연 가장 작은 조직이고, 국민적인 관심도를 고려하면 일을 꾸려가는 게 상당히 버거운 것이 현실이다. 그래도 매년 인원을 약간씩 늘리고 전문성도 확보하고 있는 중이긴 하다. 지난 3년간 처분을 한 사례가 800건 정도 되는데 그중에 소송은 10여 건이 진행이 됐다. 비율상 높지는 않지만 사회적인 주목을 받는 사건들의 대응을 어떻게 효율적으로 할 것인가에 대한 고민이 있다. 소송 예산도 올해 좀 늘긴 했지만 장기적인 조사·처분 과정, 법리적 전문성 확보의 중요성을 고려할 때 소송 전담 대응팀이 없고 한 과 안에서 부분적인 업무로 진행되고 있어 조직 체계를 더 확보해야 하는 과제가 있다.
Q. 소송 예산이 2억원에서 올해 4억원으로 늘어났다. 그래도 많이 부족하지 않나.
-지난해까지는 절대적으로 액수가 낮아서 문제였고 올해 좀 숨통이 트이기는 했다. 그런데 기업 소송은 대법원까지 가는 경우가 많고 과징금을 부과 받은 기업들은 예산에 제약을 두지 않고 전력투구를 하는데 우리는 현실적인 제약이 상당히 있다. 그런 제약을 어떤 식으로 풀어가고 소송 과정에서 어떻게 효과적으로 대응을 할 거냐는 고민들은 상시적으로 있는 고민이긴 하다.
Q. 기업들의 개인정보 활용을 돕는 역할도 담당하고 있는데 어떤 내용이 있나.
- 지난해 법이 개정되면서 개인정보를 관리하는 CPO 지정을 의무화했다. 그런데 전문성 있는 담당자를 키워내는 곳이 많지 않았고, 문제가 생기면 책임을 지는 자리로 인식되는 경향이 좀 있었다. 일종의 악순환이 있었는데 선순환 구조로 바꿀 수 있으면 좋겠다. 그들이 전문성도 확보할 수 있도록, 회사 안에서 입지를 더 확보할 수 있도록 자격 요건도 정하고 정기적인 CEO 보고 시스템 등을 만들고 있다. 또 사전 적정성 검토 제도의 경우 서비스를 출시하는 기업들의 법 준수 여부에 대한 불안감을 줄여주기 위해 우리가 안전장치를 같이 고민해서 나중에 따로 처분하지 않을 것이라는 다짐을 해주는 개념으로 운영되고 있다. 가장 핵심은 불확실성을 줄여주고, 예측 가능성을 높인 상태에서 비즈니스를 할 수 있게 하는 장치를 새로 도입을 했다는 점이다.
Q. 산업 형태가 빠르게 바뀌면서 사각지대도 많아질 텐데 어떻게 대응하고 있나.
-사전 실태 점검이라고 하는 제도가 법 안에 들어왔다. 문제 상황인지를 전제하지 않고 예방 차원에서 미리 들여다보는 것이 가능해졌고 몇몇 영역들은 올해 특정해서 들여다보고 있다. 예를 들면 학원에서 출결상황을 확인할 때 생체 정보를 쓰는 경우, 또 식당이나 카페에서 키오스크를 통해서 개인 정보를 입력하도록 요구하는 경우에 어떤 데이터가 누구한테 흘러가는지 등이다.
Q. C커머스 등 해외 플랫폼에 대한 동일선상의 규제가 필요하다는 목소리에 대한 생각은.
-C커머스는 올 초 사회적인 관심이 늘어나면서 몇 달 전부터 필요한 조사를 진행을 하고 있고 조만간 결론이 날 예정이어서 좀 지켜봐야 될 것 같다. 해외 기업이 한국에서 비즈니스를 하는 맥락에서 조사를 하는 것일 수도 있고 더 넓은 차원의 협조를 구하는 것일 수도 있는데 지금까지 경험으로는 대부분 협조적이다. 외국계 큰 기업들은 오히려 문제의 단초가 보이거나 하면 훨씬 더 적극적으로 소명하려고 노력하는 편이다.
Q. 아무래도 AI의 추상적인 개념들을 구체화시키는 데 어려움이 있지 않나.
-가이드라인을 통해 위원회가 바라보는 AI의 방향성을 제시한 총론적인 문서를 얼마 전 냈다. 후속 작업으로 올해 가이드라인 6개를 내고 있는데 일종의 가드레일 같이 기업들의 불확실성과 국민들의 불안감을 잠재워주는 역할을 담당할 예정이다. 한편으로 기업에 추가 규제로 인식될 수 있는 실무 지침 같은 가이드라인은 지양하려 한다. 최대한 현장에서 유연성을 가지고 접근할 수 있도록 사례들을 최대한 제시해서 스스로 판단할 수 있게 하는 게 주목적이다. 두 번째 가이드라인은 인터넷에 공개된 개인정보들을 크롤링해서 AI에 학습 데이터로 사용하는 영역의 법적 근거나 안전장치들을 담아서 조만간 발표할 예정이다.
Q. 개인의 입장에서 가장 애착이 가는 정책 사업은 어떤 것인가.
-AI 중 하나의 제품을 꼽으라고 하면 보통 챗GPT를 언급한다. 챗GPT가 2022년 11월에 출시가 됐는데 저는 2022년 10월에 위원장이 됐다. 위원장이 되고 한 달 지나 챗GPT가 나오면서 개인적으로는 AI가 크게 부각될 영역인데 개인정보위의 역할이 감당이 될지 걱정됐다. 그래도 회피할 수 없는 시대적인 흐름이라는 판단 하에 지난해부터 계속 작업들을 해오고 있다. 올해 가이드라인 내는 것만 해도 버거운 과제들을 안고 있지만, AI 데이터와 관련된 규율 체계를 확립하고 불확실성을 줄여주는 방향의 작업들을 당분간은 계속 할 것 같다.
