윤수영 한국개인정보보호책임자협의회(KCPO) 사무국장 (사진=안유리 기자)
문제는 통제 권한과 법적 책임이 이러한 구조 변화에 맞춰 배분되지 못하고 있다는 점이다. 개인정보 보호법 제26조는 위탁자에게 수탁자 관리·감독 의무를 부과하는 한편, 위탁업무의 내용과 수탁자를 정보주체가 확인할 수 있도록 공개할 것을 규정하고 있으며 재위탁 관계에서도 관련 의무가 적용된다.
그러나 시장지배적 지위의 글로벌 클라우드·AI 사업자는 자체 표준계약을 적용한다. 국내 기업이 계약조건 변경이나 별도 교육·점검을 요구해도 관철하기 어렵고 그 과정에서 추가적인 비용이 발생한다. 재수탁자가 수시로 바뀌는 다층 구조에서는 개별 관리·감독과 공개 의무를 이행하기도 쉽지 않다. 국내 전문수탁사도 사정이 다르지 않다. 다수 고객사의 유사한 교육·점검 요구에 반복 대응하다 보면, 특히 중소·중견 수탁사는 실제 보호조치 개선보다 형식적 점검 대응에 자원을 쓰게 된다.
결국 개인정보 처리의 외부화와 전문화로 공급망 전체의 위험은 커졌는데, 법제는 여전히 개별 위탁자의 책임을 중심으로 운영된다. 실질적 통제 가능성과 침해 위험에 비례해 의무와 책임을 배분하도록 제도를 재검토해야 한다. 이는 규제 완화가 아니라 보호 수준을 높이기 위한 자원 재배분이다.
첫째, 수탁자·재수탁자 공개 의무를 재검토해야 한다. 현행 제도는 수탁자명을 개인정보 처리방침 등에 일률적으로 공개하도록 한다. 변경이 잦은 다층 공급망에서는 이를 지속 갱신하는 행정 부담이 크고, 보호조치 강화에 쓸 자원이 분산된다. 위탁은 제3자 제공과 달리 위탁자의 업무 수행을 위해 위탁 범위 안에서 이뤄지므로, 정보주체가 합리적으로 예측할 수 있는 범위에 있다. 모든 수탁자명을 나열하는 것이 정보주체의 자기결정권 행사에 기여하는 정도도 제한적이다. 공개된 구조가 공격 대상 식별에 악용될 우려도 보조적으로 고려할 수 있다.
EU 일반개인정보보호법(GDPR) 등 주요 국가의 개인정보 보호법제에서도 개별 수탁자와 재수탁자의 명단을 개인정보 처리방침 등에 일률적으로 공개하도록 하는 의무는 두고 있지 않다. 따라서 정보주체의 개인정보 보호에 대한 실질적 위험 수준, 공급망 보안 위험, 행정적 부담 등을 종합적으로 고려하여 수탁자 및 재수탁자의 일률적인 공개 의무를 폐지하거나 대폭 축소하는 방향으로 제도 개선을 검토할 필요가 있다.
정보주체의 알 권리와 투명성을 보장하기 위해 평상시에는 위탁업무의 유형이나 범주를 공개하되, 정보주체가 요청하는 경우 개별 수탁자를 확인할 수 있도록 하는 방안도 대안으로 검토할 수 있다. 이는 투명성을 후퇴시키려는 것이 아니라 정보주체에게 실질적으로 의미 있는 정보를 중심으로 공개 체계를 재설계하려는 것이다.
둘째, 수탁자 관리·감독 의무를 통제 가능성과 위험 수준에 따라 차등화해야 한다. 현행법은 위탁자에게 수탁자 교육과 관리·감독을 요구하지만, 이행 가능성은 수탁자의 특성과 계약관계에 따라 크게 다르다. 글로벌 사업자에 대해서는 개별 기업이 직접 교육이나 현장점검을 하기 어렵고, 국내 전문수탁사는 다수 고객사의 유사한 점검 요구가 중복된다.
이를 위해 검증된 국제 인증이나 독립적인 감사보고서를 합리적 관리·감독 수단으로 인정하고, 전문수탁사의 주요 B2B 서비스 영역으로 ISMS-P 인증범위를 넓혀 그 결과를 위탁기업의 의무 이행 수단으로 활용할 수 있어야 한다. 다만 인증이 형식화되지 않도록 인증 범위와 사후 점검, 갱신 심사를 실질화하는 것이 전제다. 이는 관리·감독 의무를 일률적으로 낮추자는 것이 아니다. 위탁자의 형식적 점검 부담은 줄이되, 글로벌 사업자와 위험이 집중된 대규모 전문수탁사에 대한 관리·감독의 실효성을 높이자는 것이다.
셋째, 공동 개인정보처리자 개념을 도입해 통제 권한에 상응하는 책임을 부여해야 한다. 현행법은 개인정보처리자와 수탁자를 중심으로 책임을 규율한다. 그러나 글로벌 AI·클라우드 서비스 등 시장지배적 글로벌 공급망 기업이 개인정보 처리 방식과 조건을 주도적으로 결정하는 상황에서 국내 이용기업이 이에 실질적으로 관여하기는 어렵다. 그럼에도 국내 기업에는 법상 동일한 수탁사 관리·감독 책임이 부과되므로 실질적 통제 권한과 법적 책임 사이에서 불균형이 발생한다.
EU GDPR은 처리의 목적과 수단을 공동으로 결정하는 사업자를 공동처리자(Joint Controller)로 규정하고, 각자의 역할에 따라 의무와 책임을 투명하게 배분하도록 한다. 우리도 이 개념을 도입해 처리의 목적과 수단에 대한 실질적 결정권을 기준으로 사업자 간 책임관계를 명확히 해야 한다. 실제로 개인정보 처리 방식을 결정하는 시장지배적 글로벌 공급망 기업이 책임의 주체임을 국내법상 분명히 하여 국민의 개인정보를 보다 안전하게 보호하려는 것이다.
AI 시대의 개인정보 보호법제는 형식적 의무 준수보다 실질적 위험 관리와 정보주체의 권익 보호를 중심으로 발전해야 한다. 개인정보의 민감도와 처리 규모, 침해 위험, 통제 가능성을 고려한 위험 기반 규율 체계를 마련하고, 글로벌 공급망에서 통용되는 관리·감독 방식과 책임 체계를 합리적으로 반영해야 한다. 이를 통해 기업과 규제당국 모두 한정된 자원을 정보주체의 개인정보 침해 위험을 실질적으로 낮추는 보호조치에 집중할 수 있을 것이다. 또한 해외 주요 법제와 비교해 과중할 수 있는 수탁자 관리·감독 이행 비용이 줄어들면 국내 기업의 산업 경쟁력에도 도움이 될 것이다.
2000년대 정보통신망법을 중심으로 발전해 온 우리나라 개인정보 보호법제는 개인정보 보호법 제정과 규제당국의 적극적인 법 집행을 거쳐 오늘날 세계적으로도 엄격한 수준의 규율 체계를 갖추게 되었다. 이는 국민의 개인정보 보호 수준을 높이는 데 크게 기여했다. 그러나 개인정보 처리 공급망의 구조가 변화하고 AI를 활용한 사이버 공격 등 새로운 위협이 등장한 지금, 기존 법제의 설계와 실효성을 다시 점검해야 할 때다.
개인정보 보호와 AI 혁신은 상충하는 가치가 아니다. AX 대전환 시대에 맞춰 규제를 합리화하고 실질적인 개인정보 보호 수준을 높이는 방향으로 법제를 발전시켜야 한다. 이것이 개인정보 보호와 산업 혁신을 조화시키고 국가 경쟁력을 높이는 길이다.
