2026년 8월 20일 인공지능기술 개발을 위한 개인정보 이용 특례를 신설하는 「개인정보 보호법」 일부개정법률안이 국회 본회의를 통과했고, 9월 8일 법률 제21910호로 공포되어 2027년 3월 9일부터 시행됩니다. 이번 개정의 핵심은 인공지능기술 개발이라는 ‘수집 목적 외 이용’에 개인정보 보호위원회(이하 “보호위원회”)의 사전 심의·의결 절차를 도입한 것입니다. 과거에는 개인정보처리자의 정당한 이익을 주장하여 인공지능기술 개발 목적으로 개인정보를 수집·이용하거나(제15조 제1항 제6호), 정보주체의 별도 동의를 받아 적법 수집한 원본 개인정보를 인공지능기술 개발을 위해 이용해야 했고(제18조제2항제1호), 공공기관에 대해서는 보호위원회의 심의·의결을 조건으로 인공지능기술 개발을 위한 ‘수집 목적 외 이용’이 이론상 가능하였으나(제18조제2항제5호 및 같은 항 단서), 이번 특례는 인공지능기술 개발이라는 목적에 맞춘 별도의 절차를 두고 그 대상을 민간 개인정보처리자까지 넓혔습니다.

EU에서는 GDPR 제6조 제1항 제(f)호가 정당한 이익(legitimate interests)을 처리의 적법근거 중 하나로 명시하고 있고,1) 유럽정보보호이사회(European Data Protection Board, EDPB)는 2024년 12월 18일 채택한 Opinion 28/2024에서 AI 모델의 개발 및 배포 단계에서의 처리에 관하여, 개인정보처리자가 적법근거를 식별해야 하고, 감독기관은 정당한 이익의 존재, 처리의 필요성, 정당한 이익이 정보주체의 이익이나 기본적 권리 및 자유에 우선하는지 여부의 세 가지 누적 요건을 개인정보처리자가 평가하고 문서화했는지를 검증해야 한다고 밝혔습니다.2)  적법하게 수집된 개인정보를 다른 목적으로 처리하는 것을 허용하는 EU AI법 제59조도 이를 규제샌드박스 안에서만, 그리고 공공안전과 공중보건, 환경, 에너지 지속가능성, 교통체계의 안전, 행정·공공서비스의 효율과 품질이라는 열거된 분야에 한하여 인정하고 있습니다.3)  이번 특례는 개인정보처리자의 판단을 사후에 검증하는 대신 개인정보 처리에 앞서 보호위원회의 심의·의결을 거치도록 하고, 목적 요건도 대상 분야를 열거하지 않고 공공의 이익, 정보주체 또는 제3자 이익 보호, 사회적 이익 증진이라는 포괄적인 요건을 규정하였다는 점에서 EU의 제도와 구분됩니다.

이번 TLI에서는 특례의 주요 내용과 기업의 대응 방안을 함께 살펴봅니다.

제28조의12제1항은 개인정보처리자가 아래 세 가지 요건을 모두 갖추고 보호위원회의 심의·의결을 거친 경우에 한하여, 적법하게 수집한 개인정보를 인공지능기술의 개발과 성능 개선을 위하여 당초 수집한 목적 외로 이용할 수 있도록 허용합니다. 보호위원회는 정보주체의 권리 보장과 개인정보의 안전한 처리를 위하여 필요한 범위에서 조건을 붙일 수 있습니다(같은 조 제2항 후단).

첫째, 영상·음성·이미지·부호·문자 등 처리되는 정보의 특성과 인공지능기술 개발과의 관련성을 고려했을 때 익명 또는 가명으로 처리하여서는 개발이 어려울 것
둘째, 개인정보의 안전한 처리를 위한 기술적·관리적·물리적 조치가 된 환경에서 처리하거나 클라우드 환경 등 개별 상황에 따른 추가적 안전조치를 이행하는 등 대통령령으로 정하는 기준에 따른 안전장치를 마련하였을 것
셋째, 개발 목적이 ① 공공의 이익 증진 또는 ② 정보주체·제3자의 이익 보호나 사회적 이익 증진을 포함하고, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것

세 요건은 누적 요건입니다. 하나라도 충족되지 않으면 특례가 적용되지 않고, 사후에 요건을 충족하지 못한 사실이 확인되면 제28조의14제1항제2호에 따라 개인정보 처리가 전부 제한됩니다. 특례의 적용 대상은 “적법하게 수집한 개인정보”로서, 이미 보유하고 있는 데이터를 전제로 하고 있고, 적법하지 않은 방법으로 수집된 개인정보에 대해서는 특례가 적용되지 않습니다.

개정법은 제2조제9호를 신설해 “인공지능기술”을 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(이하 “AI 기본법”) 제2조제3호에 따른 인공지능기술, 즉 인공지능을 구현하기 위하여 필요한 하드웨어·소프트웨어 기술 또는 그 활용 기술로 정의하고 있습니다. 특례 적용 대상의 범위가 개인정보 보호법이 아니라 AI 기본법에 의해 결정되는 구조입니다. AI 기본법의 정의 조항이 개정되면 이 특례의 적용 범위도 함께 바뀌고, 특정 기술이 특례의 대상인지 여부가 다투어질 경우 AI 기본법과 그 하위법령·해석례가 판단 기준이 됩니다. 따라서 각 기업의 개인정보 담당 조직은 개인정보 보호법과 함께 AI 기본법의 개정 동향도 확인해야 합니다.

보호위원회는 민감정보·고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향과 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우에는 심의·의결 전에 개인정보처리자에게 기간을 정하여 위험요인평가를 하고 그 결과를 제출하도록 해야 합니다(제28조의12제3항). 위험요인평가는 개인정보 처리로 인한 위험요인 분석과 개선 사항 도출을 위한 평가를 말합니다. 종전에 보호위원회의 심의·의결을 거친 인공지능 기술·서비스의 내용·방식·형태 등과 실질적으로 동일하거나 유사한 경우로서 대통령령으로 정하는 경우에는 보호위원회가 정하여 고시하는 방법에 따라 절차를 간소화할 수 있습니다(같은 조 제4항). 또한 개인정보처리자는 이용 목적과 유형을 개인정보 처리방침에 포함해야 하고(같은 조 제5항), 보호위원회는 심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과를 요약한 내용을 인터넷 홈페이지 등에 공개해야 합니다(같은 조 제6항). 심의·의결 요청 방법과 보호위원회가 부여하는 조건, 세부 심의 기준 및 절차, 위험요인평가에 필요한 사항은 대통령령으로 정합니다(같은 조 제7항).

보호위원회는 심의·의결한 사항의 이행 여부를 주기적으로 관리·감독해야 하고, 필요한 범위에서 개인정보처리자에게 자료제출을 요구할 수 있으며, 자료제출을 요구받은 자는 특별한 사정이 없으면 이에 따라야 합니다(제28조의13제1항·제2항). 제출받은 자료의 보호에 관해서는 제63조제6항 및 제7항이 준용됩니다(같은 조 제3항).

또한 보호위원회가 심의·의결을 거쳐 개인정보 처리의 전부를 제한해야 하는 경우로 거짓이나 그 밖의 부정한 방법으로 심의·의결을 받은 경우, 중대한 사정 변경으로 인해 개인정보 처리의 목적을 달성하는 것이 명백히 불가능하다고 판단되는 경우 등을 명시하고 있습니다(제28조의14). 조문은 "전부를 제한하여야 한다"고 규정하고 있어 일부 제한은 불가능한 것으로 해석되고, 요건에 해당한다고 판단된 경우 처리 제한은 보호위원회의 재량이 아니라 의무입니다. 특히 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 인공지능기술 개발을 위한 개인정보 처리를 시작하지 않을 경우에도 처리가 전부 제한되므로, 기업들은 실제로 개인정보 처리를 시작할 수 있는 시점을 기준으로 신청 일정을 조율할 필요가 있습니다. 이와 같은 ‘개인정보 처리의 전부 제한’이 학습 완료된 모델 내지 체크포인트의 폐기도 포함할 수 있는지는 현재 요건상 불분명합니다. 이에 대해서 향후 제정될 시행령, 고시의 내용을 추적할 필요가 있습니다. 

제28조의15는 제28조의12에 따라 개인정보를 이용하는 경우 그 범위 안에서 보호위원회의 심의·의결을 거쳐 다음 10개 조항의 적용을 제외할 수 있도록 하고 있습니다.4)