개인정보 보호법 일부개정법률안(대안)

「개인정보 보호법 일부개정법률안(대안)」이 2026년 8월 20일 본회의를 통과하였습니다(재석 233, 찬성 217, 반대 9, 기권 7). 이 법은 인공지능기술 개발을 위하여 기존에 적법하게 수집한 개인정보를 당초 수집 목적 외로 이용할 수 있는 특례를 신설하되, 개인정보 보호위원회의 사전 심의·의결, 위험요인평가, 사후 관리·감독 등 안전장치를 함께 규정한 것이 핵심입니다. 부칙에 따라 이 법은 공포 후 6개월이 경과한 날부터 시행됩니다.

개인정보 보호법 개정이유에 비추어, 기존 제도 아래에서는 익명 또는 가명 처리로는 충분한 품질의 인공지능 학습 데이터를 확보하기 어려운 경우에도 적법하게 수집된 개인정보를 인공지능기술 개발에 목적 외로 활용할 수 있는 법적 근거가 없었던 것으로 보입니다. 이로 인해 사회적 안전망 확보, 재난·범죄 예방 등 공익적 필요가 높은 분야와 신산업 분야에서 개인정보 포함 데이터 활용이 제한되어 인공지능기술 개발 경쟁력 확보에 한계가 있었다는 점이 개정이유에 명시되어 있습니다.

제3장에 제5절(제28조의12부터 제28조의15까지)을 신설하여 인공지능기술 개발을 위한 개인정보 처리 특례를 도입합니다. 첫째, 개인정보처리자가 (1) 익명·가명 처리로는 인공지능기술 개발이 어려울 것, (2) 기술적·관리적·물리적 안전장치를 마련하였을 것, (3) 공공의 이익 또는 사회적 이익 증진 목적이 포함되고 정보주체 등의 이익을 부당하게 침해할 우려가 현저히 낮을 것, 이 세 가지 요건을 모두 충족하고 개인정보 보호위원회의 심의·의결을 거친 경우에는 적법하게 수집한 개인정보를 당초 수집 목적 외로 이용할 수 있도록 합니다(개정 제28조의12제1항·제2항). 둘째, 민감정보·고유식별정보 처리 여부 등 대통령령으로 정하는 기준에 해당하는 경우에는 심의·의결 전에 위험요인평가를 실시하고 그 주요 내용을 공개하도록 합니다(개정 제28조의12제3항·제6항). 종전에 심의·의결을 거친 기술·서비스와 실질적으로 동일하거나 유사한 경우에는 심의·의결 절차를 간소화할 수 있습니다(개정 제28조의12제4항). 셋째, 개인정보 보호위원회는 심의·의결 사항의 이행 여부를 주기적으로 관리·감독하고 자료 제출을 요구할 수 있습니다(개정 제28조의13). 거짓·부정한 방법으로 특례를 적용받거나 요건을 충족하지 못한 경우, 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 처리를 시작하지 않은 경우 등에는 개인정보 처리의 전부를 제한하여야 합니다(개정 제28조의14). 넷째, 특례에 따라 개인정보를 이용하는 경우 개인정보 보호위원회의 심의·의결을 거쳐 개인정보의 이용·제공 제한(제18조~제20조, 제20조의2), 민감정보·고유식별정보 등 처리 제한(제23조, 제24조, 제24조의2, 제25조, 제25조의2), 개인정보 국외 처리위탁 제한(제28조의8) 등 총 10개 조항의 적용을 개별 사안별로 제외할 수 있습니다(개정 제28조의15). 법제사법위원회 체계자구심사 과정에서, 10개 조항 전체가 일괄·자동으로 적용 제외되는 것처럼 해석될 여지를 방지하기 위해 '보호위원회의 심의·의결을 거쳐' 개별 사안별로 면제 여부를 결정하도록 문안이 수정되었습니다. 아울러 '인공지능기술'의 정의를 제2조 제9호로 신설하여 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제2조제3호의 정의를 준용하도록 하고, 개인정보 보호위원회의 심의·의결 사항 목록(제7조의9제1항)에 제6호의3 및 제6호의4를 추가합니다.

이 법은 공포 후 6개월이 경과한 날부터 시행되므로, 인공지능 서비스·제품을 개발하는 기업은 시행 전까지 대응 체계를 갖추어야 합니다. 활용 기회 측면에서, 인공지능 모델 학습에 실제 개인정보가 필요한 기업은 이 특례를 통해 기존에 적법하게 수집한 데이터를 재활용할 수 있는 법적 경로가 열립니다. 특히 의료·금융·공공안전 분야처럼 가명처리만으로는 데이터 품질 확보가 어려운 영역에서 실질적인 데이터 활용 가능성이 높아집니다. 준비·대응 측면에서, 특례를 이용하려는 기업은 개인정보 보호위원회에 심의·의결을 신청하기 전에 세 가지 요건(익명·가명 처리 곤란성, 안전장치 마련, 공익 목적 및 침해 우려 저감)을 모두 입증할 수 있는 내부 문서와 기술적 조치를 사전에 갖추어야 합니다. 민감정보나 고유식별정보를 처리하는 경우에는 위험요인평가까지 추가로 수행해야 하므로 준비 부담이 상당합니다. 컴플라이언스 리스크 측면에서, 심의·의결을 받은 날부터 6개월 이내에 처리를 시작하지 않거나 부여된 조건을 위반하면 개인정보 처리 전부가 제한될 수 있습니다. 이 제한 조치 자체도 보호위원회의 심의·의결을 거쳐 이루어지므로 절차적 예측 가능성은 있으나, 일단 제한이 결정되면 진행 중인 인공지능 개발 프로젝트 전체가 중단될 수 있다는 점에서 사전 요건 관리가 매우 중요합니다. 또한 보호위원회가 심의·의결 내용과 위험요인평가 결과 요약을 인터넷 홈페이지 등에 공개하도록 의무화되어 있어, 기업의 개인정보 처리 목적과 방식이 외부에 노출될 수 있다는 점도 사전에 고려할 필요가 있습니다. 대통령령으로 정해질 안전장치 기준, 위험요인평가 기준, 심의·의결 절차 간소화 요건 등 하위 법령의 내용을 지속적으로 모니터링하는 것이 중요합니다.