AI 결정이 취업에 영향 땐 거부·설명 요구권…AI시대 자기결정권 강화

'개인정보 보호법 시행령' 개정안 23일 입법예고
공공기관 개인정보 보호수준 평가 법적 근거 마련

고학수 개인정보보호위원회 위원장. 2023.11.15/뉴스1 ⓒ News1 김명섭 기자

(서울=뉴스1) 윤수희 기자 = 앞으로 인공지능(AI) 등 '완전히 자동화된 시스템'으로 개인정보를 처리하는 특수한 영역에서도 자동화된 결정에 대한 정보주체의 거부·설명 등을 요구할 수 있게 된다.

개인정보보호위원회는 이같은 내용을 담은 '개인정보 보호법 시행령' 개정안을 23일부터 내년 1월2일까지 40일 간 입법예고한다고 22일 밝혔다.

개정안에는 자동화된 결정에 대한 정보주체의 거부·설명 등을 요구할 수 있는 권리가 신설됐다.

정보주체가 자동화된 결정으로 생명·신체·재산의 이익 등 자신의 권리 또는 의무에 중대한 영향을 미친다고 판단, 해당 결정을 거부한다면 적용하지 않는 조치를 해야한다. 정보주체가 인적 개입에 의한 재처리를 요구한 경우엔 그 조치 결과를 알려야 한다.

또 설명 등을 요구할 땐 해당 결정의 결과, 해당 결정에 사용된 주요 개인정보의 유형 및 영향 등을 포함해 이해하기 쉽게 설명해야 하고 권리·의무에 중대한 영향을 미치지 않는다면 사전 공개한 기준과 절차 등을 활용해 설명하도록 했다.

아울러 개인정보처리자가 완전히 자동화된 결정에 따른 개인정보 처리를 하는 경우 사전에 기준 및 절차 등을 공개해야 한다. 일회적으로 이뤄진다면 정보주체에게 사전에 알려야 하며 공개할 때에는 표준화·체계화된 용어 및 시각화 방법 등을 활용할 수 있도록 규정했다.

개인정보 보호책임자(CPO)의 전문성과 독립성도 강화된다. 매출액, 개인정보의 보유 규모를 고려해 일정 기준 이상 개인정보처리자는 개인정보 보호 관련 경력(자격요건)을 갖춘 전문성이 있는 보호책임자를 지정하도록 했다.

개인정보 보호책임자의 독립성을 보장하기 위해 대표자 및 이사회에 직접 보고할 수 있는 보고체계를 구축하고 개인정보 처리 관련 정보에 대한 접근을 보장해야 한다. 인적·물적 자원 제공 및 부당한 지시에 대한 불이행을 이유로 불이익을 줄 수 없다.

더불어 공공기관의 개인정보 보호 수준을 평가하고 그 결과를 바탕으로 개선을 권고할 수 있도록 '개인정보 보호수준 평가'에 대한 법적 근거를 마련했다. 평가는 계획에 따라 제출한 자료를 기준으로 평가하는데 필요시 현장방문 또는 대면평가의 방법으로 실시할 수 있다.

이밖에 손해배상책임 보장을 위한 보험(공제) 가입 및 준비금 적립 등 의무대상 기준을 현행 '매출액 5000만원' 및 '이용자 수 1000명' 이상에서 '매출액 10억원' 및 '정보주체 수 1만 명' 이상으로 조정하고 고유식별정보 관리실태 정기조사 기간을 2년에서 3년으로 바꿨다.

개인정보를 국외에서 수집해 처리하는 경우 국외에서 처리된다는 사실과 국외 이전의 경우 법적 근거를 개인정보 처리방침에 기재하도록 개선하였다.

고학수 개인정보위 위원장은 "현장과의 소통 과정에서 나온 자동화된 결정에 대한 권리 보장이나 개인정보 보호책임자의 전문성·독립성 강화 등의 의견을 개정안에 담았다"고 설명했다.

ysh@news1.kr