「개인정보 보호법」 개정안 국회 본회의 통과 - 인공지능 개발 목적 개인정보 활용 특례 도입 추진

「개인정보보호법」 개정안(국회 정무위원회 대안)이 2026.8.20. 국회 본회의를 통과하여 공포를 앞두고 있습니다.

인공지능 기술 개발이 국가 경쟁력 강화 및 국민 삶의 질 향상을 위한 핵심 과제로 부상한 가운데, 개인정보가 포함된 데이터 활용의 필요성이 높아짐에 따라 관련 법률 개정 논의가 본격화되었습니다. 이에 인공지능 기술 개발을 위한 개인정보 활용 특례 및 개인정보 처리의 투명성·안전성 확보를 주요 내용으로 하는 「개인정보보호법」 일부개정법률안이 국회 본회의 의결을 통과하였습니다.

개정안은 익명 처리 또는 가명 처리만으로는 인공지능 기술 개발 목적을 달성하기 어려운 경우, 일정한 요건과 절차를 갖추는 것을 전제로 기존에 적법하게 수집한 개인정보를 인공지능 기술 개발에 활용할 수 있도록 하는 특례 규정을 신설하였습니다. 아울러 개인정보보호위원회의 사전 심의·의결, 위험 요인 평가 및 그 주요 내용의 공개, 사후 이행 점검, 개인정보 처리 제한 등 다층적 안전장치를 마련하였습니다.

개정안은 공포 후 6개월이 경과한 날부터 시행될 예정입니다. 이하에서는 개정안의 주요 내용과 시사점을 살펴보겠습니다.
   

1. 인공지능 기술 개발을 위한 개인정보 활용 특례 신설

    개정안은 개인정보처리자가 다음의 요건을 모두 충족하고 보호위원회의 심의·의결을 거친 경우, 기존에 적법하게 수집한 개인정보를 인공지능 기술 개발을 위하여 당초 수집한 목적 외로 이용할 수 있도록 하는 특례를 신설하였습니다. (제28조의12 제1항)

    ■ 영상, 음성, 이미지, 부호 및 문자 등 처리되는 정보의 특성, 인공지능 기술 개발과의 관련성 등을 고려할 때, 익명 처리 또는 가명 처리만으로는 인공지능 기술 개발이 어려운 경우

    ■ 개인정보의 안전한 처리를 위한 기술적·관리적·물리적 조치가 된 환경에서 처리하거나, 클라우드 환경 등 개별 상황에 따른 추가적 안전조치를 이행하는 등 대통령령으로 정하는 기준에 따른 안전장치를 마련한 경우

    ■ 인공지능 기술 개발의 목적이 공공의 이익 증진을 위한 경우이거나 정보주체나 제3자의 이익 보호 또는 사회적 이익 증진을 위한 경우로서, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮은 경우

한편, 위 특례 조항에 따라 개인정보를 이용하려는 경우, 개인정보처리자는 개인정보 처리방침에 개인정보를 이용하는 목적과 유형을 포함시켜야 합니다(제28조의12 제5항).
 

2. 개인정보보호위원회의 사전 심의·의결 절차 및 공개 의무

    개인정보처리자가 위 특례에 따라 개인정보를 이용하려는 경우, 특례 적용 요건에 해당하는지 여부에 대하여 개인정보보호위원회의 심의·의결을 받아야 합니다. 개인정보보호위원회는 심의·의결 과정에서 정보주체의 권리 보장 및 개인정보의 안전한 처리를 위해 필요한 범위에서 조건을 부과할 수 있습니다(제28조의12 제1항, 제2항).

    다만, 종전에 개인정보보호위원회의 심의·의결을 거친 인공지능 기술·서비스의 내용, 방식, 형태 등과 실질적으로 동일하거나 유사한 경우로서 대통령령으로 정하는 경우에는 개인정보보호위원회가 고시하는 방법에 따라 위 심의·의결 절차가 간소화될 수 있습니다(제28조의12 제4항).

    한편, 개인정보보호위원회가 특례 적용에 대해 심의·의결한 경우에는 심의·의결을 요청한 자와 그 주요 내용을 인터넷 홈페이지 등에 공개하여야 합니다(제28조의12 제6항 제1호).
 

3. 위험 요인 평가 및 공개 의무

    개정안은 민감정보, 고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향 및 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우, 개인정보보호위원회가 심의·의결 전에 개인정보처리자에게 개인정보 처리로 인한 위험 요인 분석과 개선사항 도출을 위한 평가(위험 요인 평가)를 실시하고 그 결과를 제출하도록 하였습니다(제28조의12 제3항).

    이 경우 개인정보보호위원회는 위험 요인 평가 결과를 요약한 내용을 인터넷 홈페이지 등에 공개해야 합니다(제28조의12 제6항 제2호).
 

4. 사후 관리·감독 및 개인정보 처리 제한

    개인정보보호위원회는 심의·의결한 사항에 대하여 주기적으로 이행 여부를 관리·감독하여야 합니다(제28조의13 제1항). 또한, 개인정보보호위원회는 관리·감독에 필요한 범위에서 해당 개인정보처리자에게 자료 제출을 요구할 수 있으며, 자료 제출을 요구받은 개인정보처리자는 특별한 사정이 없는 한 이에 따라야 합니다(제28조의13 제2항).

    특히, 개정안은 개인정보 이용에 대한 심의·의결을 받은 자에게 다음과 같은 사정이 있는 경우, 개인정보보호위원회로 하여금 심의·의결을 거쳐 그 개인정보처리자의 개인정보 처리 전부를 제한하도록 규정하였습니다(제28조의14 제1항).

    ■ 거짓이나 그 밖의 부정한 방법으로 개인정보 이용에 대한 개인정보보호위원회의 심의·의결을 받은 경우

    ■ 특례 요건을 충족하지 못한 경우

    ■ 개인정보보호위원회가 심의·의결 시 부여한 조건을 충족하지 못한 경우

    ■ 개인정보보호위원회의 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 인공지능 기술 개발을 위한 개인정보 처리를 시작하지 아니한 경우

    ■ 중대한 사정 변경으로 인하여 인공지능 기술 개발 등 개인정보 처리의 목적을 달성하는 것이 명백히 불가능하다고 판단되는 경우
 

5. 일부 규정의 적용 배제

    개인정보처리자가 위 특례에 따라 개인정보를 이용하는 경우, 그 이용 범위 내에서 다음과 같은 개인정보보호법의 일부 규정 적용을 배제할 수 있도록 하였습니다(제28조의15).

    ■ 개인정보의 목적 외 이용·제공 제한에 관한 규정(법 제18조, 제19조)

    ■ 개인정보 수집 출처 및 이용·제공 내역의 통지에 관한 규정(법 제20조, 제20조의2)

    ■ 민감정보, 고유식별정보 및 주민등록번호 처리 제한에 관한 규정(제23조, 제24조, 제24조의2)

    ■ 영상정보처리기기의 설치·운영 제한에 관한 규정(제25조, 제25조의2)

    ■ 개인정보의 국외 이전에 관한 규정(개인정보를 국외로 처리 위탁하는 경우에 한함, 제28조의8)
 

6. 시사점

    ■ 개정안의 의의 및 실무적 유의사항
        이번 개정안은 인공지능 기술 개발이라는 공익적 목적을 위해 기존 개인정보보호법의 예외를 명시적으로 허용한다는 점에서 의미가 있습니다. 가명 처리·익명 처리로는 충분하지 않은 경우에도 일정한 요건 하에 적법하게 수집한 개인정보를 활용할 수 있는 법적 근거가 마련된 것입니다.

        다만, 이번 개정안에 의하면 개인정보처리자는 특례를 적용받기 위해 요건 충족 여부에 관한 심의·의결을 거쳐야 하고, 경우에 따라서는 위험 요인 평가 결과까지 제출하여야 합니다. 이는 개인정보 처리의 안전성과 투명성을 확보하기 위한 안전장치이나, 실무적으로 심의·의결을 준비하고 소요되는 기간을 일정에 고려할 필요가 있습니다.

        또한 사후 이행 점검, 자료 제출 의무, 개인정보 처리 전부 제한 등 광범위한 사후 관리·감독 수단이 함께 마련되어 있으므로, 심의·의결 이후에도 부과된 조건의 이행 여부, 개인정보 처리방침의 업데이트 등 지속적인 내부 관리 체계를 갖추는 것이 중요합니다.

        아울러, 민감정보·고유식별정보 처리 제한, 수집 출처 통지, 국외 처리 위탁 관련 규정 등 일부 조항의 적용이 배제될 수 있는 만큼, 특례를 활용하는 기업은 적용 배제 범위와 그 한계를 정확히 파악하고 관련 절차를 설계할 필요가 있습니다. 개정안은 공포 후 6개월이 경과한 날부터 시행될 예정이므로, 시행 전 대통령령 등 하위 법령의 구체적 내용을 면밀히 확인하고 대응 방안을 미리 준비하는 것이 바람직합니다.

    ■ 각계 의견 등 향후 과제
        국회 논의 과정에서는 AI 개발을 위한 개인정보 활용 필요성에는 공감하면서도, 개인정보의 목적 외 이용을 허용하는 만큼 실효적인 보호 장치가 필요하다는 점이 논의되었습니다. 특히 AI 학습 완료 후 사후 회복의 어려움에 대한 우려, 개인정보보호위원회의 사전 심의에 더하여 사후 모니터링 및 피해 구제 방안 마련, 기존 개별 특별법과의 체계 정비, 시행령상 안전장치의 구체화가 필요하다는 논의가 있었습니다.

        한편, 시민단체는 AI 개발을 이유로 개인정보 원본을 동의 없이 목적 외로 활용할 수 있도록 하는 것은 개인정보 보호 원칙과 개인정보 자기결정권을 약화시킬 수 있다는 의견을 제시하였습니다. 반면 산업계는 국내 AI 경쟁력 확보를 위해서는 데이터 활용의 법적 불확실성을 완화하고, 개인정보 활용에 보다 유연한 기준을 마련할 필요가 있다는 입장입니다.

        이번 특례가 실효적으로 운영되기 위해서는 하위 법령 및 고시 단계에서 보호 장치와 활용 절차가 균형 있게 설계될 필요가 있습니다.


법무법인(유)광장 개인정보·DPC그룹은 개인정보 전문 변호사, 규제기관 출신 전문가 및 보안기술 전문가 등 50여 명의 전문가들로 구성되어 있으며, 외부 IT·보안 전문가들과도 긴밀한 협업 관계를 구축하고 있습니다. 이를 바탕으로 정보보호 거버넌스 구축, 개인정보 유출 및 침해 사고 대응, ISMS·ISMS-P 인증 대응 등 개인정보보호 및 정보보안 영역 전반에 걸쳐 신속하고 정확한 원스톱 자문 서비스를 제공하고 있습니다.

그리고, 법무법인(유)광장 Tech&AI팀은 개인정보, 데이터, IT, 정보보호, IP, 금융, 의료, 기술 분쟁, 공정거래, 통상, 법제 컨설팅 등 디지털·AI 대전환에 따른 기술 규제가 영향을 미칠 수 있는 각 영역에서 풍부한 업무 수행 경험을 가진 100여 명의 전문 변호사 및 규제기관 출신 전문가들로 구성되어, 인공지능 및 신기술을 활용한 융·복합 서비스의 모든 단계에 걸쳐 종합적인 법률 서비스를 제공하고 있습니다.

인공지능 기술 개발을 위한 개인정보 활용 등 인공지능 관련 규제 대응과 관련하여 자문이 필요하신 경우 언제든지 법무법인(유)광장 개인정보·DPC그룹 및 Tech&AI팀에 문의하여 주시기 바랍니다.

저자 및 관련 전문가
- 고환경 변호사 ( hwankyoung.ko@leeko.com )
- 진성철 고문 ( seongcheol.jin@leeko.com )
- 채성희 변호사 ( sunghee.chae@leeko.com )
- 손경민 변호사 ( kyungmin.son@leeko.com )