내 얼굴이 딥페이크 영상으로 둔갑하고, 병원 기록이 어딘가로 유출되는 시대가 현실이 됐다. 인공지능(AI)이 일상 깊숙이 파고든 지금, 기존의 개인정보 보호 규칙은 이미 낡은 옷이 됐다는 지적이 끊이지 않는다.
정부가 마침내 이 판을 뒤집기로 했다.
3년 로드맵 공개…’원칙 중심’ 체계로 대전환
개인정보보호위원회는 7월 3일 경제관계장관회의에서 관계부처 합동으로 ‘제3차 개인정보 보호 기본계획(2027~2029)’을 발표했다. 비전은 “신뢰받는 개인정보 환경, 안심하고 누리는 AI 사회”다.
핵심은 규율 방식의 전면 전환이다. 지금까지는 모든 처리 행위에 동일한 규칙을 적용하는 ‘획일적 규제’였다면, 앞으로는 위험 수준에 따라 보호 강도를 다르게 적용하는 ‘원칙 중심 체계’로 바뀐다.
의료·금융 데이터처럼 민감도가 높은 분야에는 강도 높은 점검이 집중되고, 상대적으로 위험이 낮은 처리 행위에는 규제 부담이 줄어 기업의 데이터 활용 여지가 넓어지는 구조다. EU의 GDPR이 리스크 기반 접근을 오래전부터 강조해 온 것과 같은 방향이다.
내 정보, 내가 관리한다…마이데이터 10대 분야로 확대
이번 계획에서 눈에 띄는 대목 중 하나는 ‘데이터 주권’의 강화다. 정부는 마이데이터 지원 플랫폼을 고도화해 국민이 여러 기관에 흩어진 자신의 정보를 한곳에서 조회·통제할 수 있도록 한다.
마이데이터 적용 분야는 기존 금융 중심에서 10개 분야로 1단계 확대를 마무리하고, 2단계에서는 복지·돌봄·의료를 중심으로 데이터 기반 서비스를 본격 넓힌다. 고령층과 취약계층에게는 맞춤형 복지 추천, 돌봄 연계 서비스로 직접 연결될 수 있는 대목이다.
자율형 AI(에이전틱 AI)와 실물 AI(로봇·드론·자율주행차 등)에 대한 별도 개인정보 보호 기준도 새로 마련된다. 딥페이크 등 데이터 변조 방지와 AI 투명성 제도화도 함께 추진한다.
기업엔 당근과 채찍…불법 유통엔 형사처벌
기업 책임 구조도 크게 달라진다. 개인정보 보호에 선제 투자한 기업에는 유출 과징금 감면 등 인센티브를 확대하는 한편, 최고경영자(CEO)의 관리 감독 책임을 법·제도적으로 명확히 하고 개인정보보호책임자(CPO)의 위상도 높인다.
반면 관리 의무를 소홀히 한 사업자에게는 이행강제금 도입을 추진하고, 텔레그램·다크웹 등을 통한 개인정보 불법 유통에는 형사처벌 근거를 신설한다. 중소기업에는 유출 사고 발생 시 포렌식·데이터 복원 등 복구 기술 지원과 맞춤형 컨설팅을 제공해 ‘회복력 중심 지원’을 강화한다.
국경 간 데이터 이전 체계도 정비된다. 이미 마련된 한·EU 상호 동등성 인정 체계에 더해, 영국·일본·미국 등과도 법체계 유사성과 교역 규모를 감안한 맞춤형 협력을 확대한다. 표준계약조항(SCC)과 구속력 있는 기업규칙(BCR) 등 안전한 이전 수단도 넓혀 글로벌 공동연구 등에서 데이터 이동의 유연성을 높일 계획이다.
국민 권리구제 체계도 강화된다. 개인정보 침해 발생 시 신고부터 조사·분쟁조정·손해배상까지 한 흐름으로 연결하는 원스톱 체계가 마련되고, AI 기반 개인정보 관리 플랫폼을 통해 누구나 자신의 정보 처리 현황을 확인하고 권리를 행사할 수 있도록 지원한다. 영상·생체정보 보호 기준 강화와 아동·청소년 등 취약계층 보호 확대도 이번 계획에 포함됐다.
