기업전문변호사 기업 인사이트

2025년 3월부터 「개인정보 보호법」 개정에 따라 '개인정보 전송요구권' 제도가 본격적으로 시행되었습니다. 본 제도는 정보주체의 개인정보 자기결정권을 실질적으로 강화하고, 데이터 이동성과 활용을 촉진하기 위해 도입된 것으로, EU GDPR(일반개인정보보호법) 제20조 '데이터 이동권(Right to Data Portability)'을 참조하여 국내 실정에 맞게 설계되었습니다. 개인정보 전송요구권은 「개인정보 보호법」 제35조의2(개인정보의 전송 요구)에 근거하고 있으며, 정보주체는 본인이 제공하거나 본인의 활동을 통해 생성된 개인정보를 본인 또는 제3자에게 전송하도록 개인정보처리자에게 요구할 수 있는 법적 권리를 갖게 되었습니다. 개인정보 전송요구권의 적용 대상이번 개정된 개인정보 보호법에 따른 개인정보 전송요구권은 주로 의료, 통신, 에너지 분야를 중심으로 적용됩니다. 가. 의료정보질병관리청, 국민건강보험공단, 건강보험심사평가원, 상급종합병원이 보유한 예방접종정보, 건강검진정보, 진료내용정보, 투약이력정보, 진단정보 등을 포함합니다. 환자는 자신의 의료정보를 직접 관리하고, 병원 간 진료기록 이관이나 개인건강기록(PHR) 플랫폼 연계 등을 통해 건강관리 효율성을 높일 수 있습니다. 나. 통신정보이동통신 3사가 보유하는 고객정보, 가입정보, 이용정보, 청구정보, 납부정보 등이 대상입니다. 정보주체는 자신의 통신 이용 이력을 기반으로 요금제 비교, 이동통신사간 자유로운 전환을 보다 손쉽게 이용할 수 있습니다. 다. 에너지정보전기판매사업자(한국전력공사), 도시가스사업자·도시가스사업 관련 기관, 법인 및 단체 중 고시하는 자가 보유하는 에너지 사용량 정보, 전기요금·가스요금의 청구정보 및 납부정보 등 고시로 정하는 정보입니다. 이를 통해 에너지 요금 비교, 소비 최적화 서비스 활용이 가능해질 전망입니다. 개인정보보호위원회의 마이데이터 정책 확대한편, 개인정보보호위원회는 기존 금융·공공 중심의 마이데이터를 넘어 의료, 통신 분야를 시작으로 2026년 6월에는 에너지 분야까지 확대하는 계획을 추진 중입니다. 가. 전체 마이데이터 추진 방향• 본인전송: 정보주체가 자신의 개인정보를 직접 수령• 제3자 전송요구: 정보주체의 요청으로 제3자(마이데이터 사업자)에게 전송 본인전송과 제3자전송 모두 대통령령으로 정한 기준에 따라 범위가 설정되며, 현재 시행령은 양 전송 범위를 일치시키도록 규정했습니다. 나. 마이데이터 중점 10대 분야의료, 통신, 에너지 외에도 교통, 교육, 고용, 부동산, 복지, 유통, 여가 분야로 확장 예정이며, 이들 분야에서도 개인정보 전송요구권이 점진적으로 적용될 계획입니다. 다. 주요 전송 의무자 및 전송정보분야전송의무자전송대상정보의료질병관리청, 국민건강보험공단, 건강보험심사평가원, 상급종합병원예방접종정보, 건강검진정보, 진료내용정보, 투약이력정보, 진단정보 등통신SK텔레콤, KT, LG유플러스 등 이동통신 3사가입정보, 이용정보, 청구정보, 납부정보 등에너지한국전력공사, 도시가스사업자 등에너지 사용량 정보, 전기요금·가스요금 청구 및 납부 정보 등마이데이터 제도의 구조가. 전송 방식• 안전하고 신뢰성 있는 전송이 필수• 전송 시 암호화, API 방식 허용 / 스크래핑 방식 금지• 반드시 중계 전문기관을 통한 전송이 요구됨 나. 정보 수신자 구분• 개인정보관리 전문기관: 전송된 정보를 안전하게 보관·활용-일반 전문기관: 다양한 분야-특수 전문기관: 보건의료 데이터 특화 • 일반 수신자: 본연의 업무 수행 목적을 위해 전송받은 기관※ 모든 수신자는 마이데이터 플랫폼 등록 요건을 충족해야 하며, 사실상 허가제를 적용받습니다. 법적 유의사항 및 리스크 관리전송 대상은 정보주체의 개인정보에 한하며, 개인정보처리자가 자체 분석·가공하여 생성한 정보(예: 프로파일링 결과)는 전송 대상에서 제외됩니다. (단, 의료법상 진단정보 등은 예외적으로 전송 대상에 포함됩니다.) 정보전송자는 전송요구 발생 시 지체 없이 전송해야 하며, 전송지연이나 거부 시에는 정당한 사유가 있어야 하며, 이를 정보주체에게 통지해야 합니다. 개인정보 보호법 상 개인정보 전송요구권 규정에 따른 의무를 위반한 경우, 직접적인 형사처벌이나 과태료 부과 규정은 존재하지 않습니다. 다만, 전송 과정에서 보안성 및 신뢰성을 확보하지 못할 경우, 개인정보 보호법에 따른 과태료 부과, 행정처분 등의 제재가 이루어질 수 있습니다. 전송을 위한 수수료는 정보의 특성, 설비 구축 비용, 운영 비용 등을 고려해 정보수신자에게 청구할 수 있도록 규정되어 있습니다. 시사점개인정보 전송요구권과 마이데이터 제도의 전면 확대는 정보주체 중심의 데이터 거버넌스 체계를 실질적으로 구축하는 데 중요한 전환점이 될 것입니다. 기업과 기관은 개인정보 이동성 확장에 따른 서비스 혁신 기회를 적극 활용하는 한편, 강화된 법적 요구사항에 따라 개인정보 관리체계, 보안체계, 리스크 대응체계를 전사적으로 정비해야 할 시기에 와 있습니다. 특히 의료기관, 통신사업자, 에너지사업자는 자신들의 특수성과 민감정보를 다루는 특성을 반영해 보다 높은 수준의 데이터 보호 및 활용 전략을 수립할 필요가 있습니다. 의료 마이데이터와 관련하여 문의사항이 있으시다면 🔗의료전문변호사 법률상담예약 또는 1660-1036(핫라인)으로 상담을 요청해주시기 바랍니다.

공정거래위원회가 지난 4월 23일부터 「공정거래 자율준수제도(CP) 운영·평가에 관한 규정」(이하 "CP 운영 고시")을 개정하여 시행 중에 있습니다. CP 도입 활성화 및 등급평가의 내실화를 목표로 마련되었으며, 기존 고시와 달라진 점이 일부 있어, 컴플라이언 담당 부서에서는 필히 참고하시기 바랍니다. 주요 개정사항1. CP 우수기업 지정제 개편현행 6개 등급 체계(AAA, AA, A, B, C, D) 중 B등급 이하 등급을 폐지하고, AAA, AA, A 3개 등급만을 CP 우수기업으로 지정합니다. 이에 따라 AAA, AA, A 등급에 들지 못한 기업은 CP 등급이 부여되지 않습니다.AAA A 등급에 대한 기준점수는 상향 없이 기존 점수(AAA: 90100점 미만, AA: 8090점 미만, A: 7080점 미만)를 그대로 유지합니다. 2. 직권조사 면제 인센티브 폐지기존 A등급 기업에 부여되던 직권조사 면제 및 시정조치 공표명령 감경 등의 인센티브는 폐지됩니다. 다만, A등급 인센티브는 경과조치로서 2026년까지 한시적으로 유지됩니다. 3. 등급하향 감점제 변경 및 등급보류제도 폐지공정거래 관련 법규 위반에 따른 과징금 및 조사방해 등에 따른 과태료, 고발처분으로 인한 최대 2단계 등급하향 방식은 폐지되고, 평가점수에서 조치 건별로 5점을 감점하는 방식으로 변경됩니다. 다만, CP 등급평가를 최초 신청하는 기업에 대해서는 감점이 적용되지 않습니다. CP 제도의 신뢰성을 현저히 저해할 우려가 있는 경우, 평가심의위원회의 결정을 거쳐 별도로 등급을 하향하거나 CP 우수기업 지정을 제외할 수 있도록 하여 재량 여지를 남겨두었습니다. 또한 혐의가 확정되지 않은 기업에 대해서는 등급보류제를 폐지합니다. 평가과정에 있는 기업에 대한 심사보고서가 상정되더라도 평가등급은 부여받을 수 있습니다. 4. 협약이행평가 우수 이상 등급 가점평가신청 직전 연도에 공정위 협약이행평가(하도급, 유통, 대리점, 가맹 분야)에서 ‘우수’ 및 ‘최우수’ 이상 등급을 받은 기업은 CP 등급평가 시 11.5점의 가점을 받을 수 있습니다. 단, 복수 협약이행평가등급을 보유하더라도 최고 등급 1개만 부여합니다. 5. 평가절차 개편기존 서류평가 → 현장평가 → 심층면접 평가 절차가 개편되어, 서류평가(가점평가 포함) 후 대면평가를 먼저 실시하고, 그 이후 현장평가를 추가로 진행하는 방식으로 변경됩니다. 개정 전개정 후(25.4.23)1단계(서류평가)기업 CP 운영자료 바탕 평가위원이 평가1단계(서류평가)현행 동일2단계(현장평가)1단계 서류평가 결과 바탕 → 기업현장 방문 → CP관리자 면접, CP운영 심사 등으로 평가위원이 평가2단계(대면평가)1단계 서류평가 결과 바탕 → CP 관리자 대상 평가위원이 대면평가3단계(심층면접평가)1, 2단계 점수 산출 결과 80점 이상 기업 대상 CP관리자, CP 실무자 등 기업 임직원에 대한 추가 평가3단계(현장평가)평가위원이 기업현장 방문 → 평가서류, 대면평가 결과와 일치 여부 확인 시사점 및 CP부서 대응안이번 CP 운영 고시 개편은 행정예고안에 포함되지 않았던 내용인 관계로, 업계 내 일시적 혼란이 예상됩니다. 기존에는 B등급 이하라도 평가를 통해 CP 관리 수준을 외부로부터 진단받을 수 있다는 점에서 수요가 존재했으나, 개편 이후 A등급 이상을 받지 못한다면 자율준수제도 프로그램 운영 및 평가의 성과 자체가 무효화되는 것에 가까우므로 이점을 유의하셔야 합니다. 진단이 아닌 현 수준 확인 차원의 평가 접근을 지양하여 CP 평가 목표 설정의 전략적 조정이 필요한 시점입니다. 또한, 기준점수는 현행 점수 체계가 유지된다 하더라도 평가과정이 실질적으로 더 엄격하게 운영될 가능성도 있습니다. 기업은 CP 운영의 질적 개선 및 내부통제 강화에 선제적으로 대응하실 수 있도록 외부 전문기관을 통한 사전 진단과 컨설팅을 적극 활용하시는 것이 좋습니다. 하도급 및 유통, 대리점, 가맹 분야에서 ‘우수’ 이상 등급을 획득하는 전략을 고려하시는 것도 좋습니다. 귀사 연관 부문이 있으시다면 미리 협약이행평가를 병행해 준비하여 CP 평가 시 추가 점수를 확보하는 방안을 강구하실 것을 권합니다. 관련하여 문의사항이 있으시다면 🔗공정거래전문변호사 법률상담예약을 이용해주시기 바랍니다. ▶ [인터뷰] ‘공정거래 스페셜리스트’ 손계준 기업법무그룹장 심층 인터뷰▶ [함께 읽기] 최근 공정거래 자율준수 프로그램 변경 내용과 대응 전략

개인정보보호위원회는 최근 국회에 발의된 개정안에 근거하여, 익명·가명 처리하지 않은 개인정보도 일정 요건 하에 AI 개발에 활용할 수 있도록 허용하는 법 개정을 추진하고 있습니다.이번 개정 추진은 기존 제도 하에서 AI 개발을 위한 학습 데이터 확보가 현실적으로 어렵다는 문제의식에서 출발하였습니다.이는 기술혁신과 개인정보 보호의 균형을 시도하는 정책 변화로 주목됩니다. 현행 제도의 한계 현행 개인정보보호법은 개인정보 활용 시 익명 처리 또는 가명 처리를 원칙으로 하고 있으며, 원본 개인정보를 직접 활용할 수 있는 근거는 사실상 부재합니다.개인정보위가 지난해 7월 발간한 「AI 개발·서비스를 위한 공개된 개인정보 처리 안내서」에서도, 공개된 개인정보조차 ‘정보주체의 권리보다 명백하게 우선하는 정당한 이익이 있는 경우’에 한해 제한적으로 활용할 수 있다고 명시되어 있습니다.이에 산업계는 ‘명백한 정당한 이익’이라는 판단 기준이 모호하다는 점과, AI 학습에 필요한 고품질 데이터의 경우 가명처리 과정에서 정보의 맥락이 훼손되어 기술 개발이 현실적으로 어렵다는 점을 지적해 왔습니다.이번 법 개정은 이러한 현행 제도의 한계를 보완하고자 추진되고 있습니다. 주요 개정 내용 개인정보위는 일정 요건 충족 시 원본 개인정보의 AI 개발 활용을 예외적으로 허용하는 특례 규정을 도입할 예정입니다.이는 민병덕 더불어민주당 의원과 고동진 국민의힘 의원이 각각 발의한 ‘개인정보보호법 일부개정안’을 기반으로 하고 있습니다.두 개정안의 주요 내용은 다음의 3가지 요건을 모두 충족할 시, 개인정보위의 심의·의결을 받아 개인정보를 AI 개발에 활용할 수 있도록 하는 것입니다.<div class="box2"> AI 개발 시 원본 개인정보를 활용할 수 있는 조건 <br><br> ① 익명·가명처리 시 기술 개발이 곤란한 경우<br><br> ② 대통령령으로 정하는 안전장치를 마련한 경우<br><br> ③ 공공 또는 사회적 이익 증진을 목적으로 하는 경우<br><br> ※ 위 요건 충족 여부는 개인정보보호위원회의 사전 심의·의결을 거쳐야 함</div>아울러 기존 안내서에서 사용되었던 ‘명백한’이라는 표현은 삭제하는 방향으로 검토가 이루어지고 있습니다. 기업에 미치는 영향과 준비 방향 이번 법 개정 추진은 AI 개발에 있어 원본 개인정보 활용의 법적 근거를 마련하는 시도로 평가됩니다.이는 관련 기업에게 기술 개발 및 데이터 확보 측면에서 새로운 기회를 제공할 수 있는 전환점이 될 수 있습니다.다만 실제 활용을 위해서는 자사 서비스 목적이 공공 또는 사회적 이익에 부합하는 지 여부에 대한 사전 검토가 필요합니다.또한 익명·가명 처리된 정보로는 기술 개발이 곤란하다는 점을 입증할 수 있는 자료를 확보해야 할 것으로 보이는데요.이와 함께 향후 마련될 안전조치 기준에 대응할 기술·관리적 준비와 개인정보위의 심의 절차 및 판단 기준에 대한 실무적 검토도 필요할 것입니다.

더불어민주당 이수진 의원은 지난 1월 16일, 지문·홍채·얼굴·손바닥 정맥 등 생체정보를 ‘민감정보’의 처리 제한 정보로 명확히 규정하는 「개인정보보호법 일부개정법률안」을 대표 발의했습니다.이번 개정안은 기존 시행령에만 규정되어 있던 생체정보의 법적 근거를 법률에 명시함으로써, 개인정보 보호 수준을 한층 강화하고자 하는 목적을 담고 있습니다. 주요 배경 생체정보는 출입통제, 스마트폰 인증, 금융권 본인확인 등 다양한 분야에서 활용되고 있습니다.최근에는 공연이나 스포츠 경기 입장권 구매 시 본인 확인 수단으로 활용하려는 움직임도 늘고 있습니다.예컨대 일부 업체는 공연장 입장 시 얼굴인증 시스템을 도입하고, 이를 통해 암표 방지나 이용자 인증 강화를 꾀하고 있습니다.그러나 생체정보는 유출 시 피해가 되돌릴 수 없고, 딥페이크 범죄 등 이차 피해로 이어질 수 있다는 점에서 특별한 보호가 필요하다는 우려가 제기돼 왔습니다.현행 개인정보보호법에는 생체정보에 대한 명확한 규정이 없어, 법률상 보호의 사각지대가 존재해 왔습니다.이에 따라 법률에 직접 규정하여 보호 근거를 강화할 필요성이 지속적으로 제기됐습니다. 개정안의 주요 내용 이번 개정안의 주요 내용은 두 가지입니다.첫째, 개인정보 보호법 제23조(민감정보의 처리 제한)에 생체정보를 명시적으로 포함했습니다.법이 개정될 경우, 지문, 얼굴, 홍채, 손바닥 정맥 등이 법률상 ‘민감정보’로 분류됩니다. 또한 민감정보 없이도 서비스를 제공할 수 있는 경우, 개인정보처리자는 그 사실을 정보주체에게 고지하고 민감정보를 처리하지 않는 방안을 우선적으로 고려해야 합니다.이는 ‘서비스 이용을 위해 반드시 생체정보를 제공해야 하는가?’에 대해 대체 수단을 마련하라는 취지로 해석됩니다.이로써 법적 근거 없이 생체정보를 요구하거나, 대체 수단 없이 생체정보 제공을 강제하는 행위는 제한할 수 있을 것으로 보입니다. 개인정보 보호법 제23조(민감정보의 처리 제한)①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다.② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다.③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다. 기대 효과 현재 발의안은 위원회 심사 단계에 있습니다. 이번 발의안은 기술 발전 속에서 발생한 법적 공백을 메우기 위한 입법 대응이라고 할 수 있습니다.발의안이 통과되면 민감정보 중에서도 특히 보호가 필요한 생체정보에 대한 법적 보호 수준이 한층 강화될 것으로 기대됩니다.또한 개인정보처리자에게 ‘대체 수단 제공’과 ‘사전 고지’ 의무가 부과되면서 정보주체의 선택권도 확대될 것으로 보입니다.이를 통해 생체정보 제공이 일상화되는 상황 속에서도 정보주체가 자신의 개인정보에 대한 실질적인 통제권을 행사할 수 있는 환경이 조성될 것입니다. 기업의 대응 방향 발의안이 통과되면, 생체정보에 대한 보호 수준이 법률에 명확히 규정됨에 따라, 개인정보를 수집·이용하는 기업에게도 직접적인 영향을 미치게 됩니다.특히 공연, 이벤트, 금융 등 생체정보를 활용하는 기업은 지문, 얼굴, 홍채, 손바닥 정맥 등의 정보가 ‘민감정보’에 해당한다는 점을 인지하고 이를 수집하는 과정에서 더욱 신중을 기해야 합니다.또한 이러한 민감정보를 수집하지 않고도 서비스를 제공할 수 있는 경우, 그 사실을 사용자에게 고지하고 대체 수단을 우선적으로 고려해야 할 의무를 갖게 되는데요.이에 따라 기업은 법안 통과 이후를 대비해 내부 점검을 통해 현행 운영 방식이 개정 법률에 부합하는지 확인해야 합니다.아울러 개인정보보호위원회가 발표할 시행령 개정안과 가이드라인도 면밀히 분석해 적절한 대응 전략을 마련할 필요가 있습니다.

지난 3월 13일, 해외사업자의 개인정보 보호 책임을 실질적으로 강화하는 내용을 담은 「개인정보보호법 일부개정안」이 국회 본회의를 통과했습니다.이번 개정은 우리 국민의 개인정보를 처리하는 해외사업자의 책임을 실질적으로 높이려는 조치입니다.기존에는 해외사업자가 국내대리인을 형식적으로만 지정하거나 책임을 회피하는 경우가 많았습니다. 이에 따라 개인정보보호위원회는 제도의 실효성을 높이기 위한 법 개정이 필요하다고 판단했습니다. 주요 배경 글로벌 디지털 플랫폼의 성장과 함께, 해외에서 국내 이용자의 개인정보를 수집·이용하는 사례가 급격히 증가하고 있습니다.하지만 이들 사업자에게 직접 책임을 묻기 어려운 상황이 반복되면서, 국내 이용자의 권익 보호에 한계가 있다는 지적이 꾸준히 제기돼 왔습니다.국내대리인 제도는 이 같은 문제를 보완하고자 도입되었지만, 일부 사업자들이 국내대리인을 명목상으로만 지정해 실질적인 보호 효과가 미흡하다는 비판이 있었습니다.특히 국내에 물리적 거점을 둔 글로벌 기업조차 별도의 책임 회피 구조를 갖춘 경우가 많아 제도 개선 필요성이 커졌습니다.최근 개인정보위원회 조사에 따르면, 구글, 마이크로소프트, 페이스북, 오픈AI 등 주요 해외 사업자들이 소수의 대행사나 법무법인을 국내대리인으로 지정해 운영하는 사례가 다수 확인되었습니다.이들 대행사는 상시근무자가 1명에 불과한 경우도 있어, 개인정보 유출이나 법 위반 발생 시 즉각적이고 실질적인 대응이 어려운 문제가 드러났습니다.국내대리인이 실질적 권한 없이 형식적으로만 존재하다 보니, 개인정보위가 조사를 진행할 때에도 본사와 직접 연락을 주고받으며 수개월이 지연되는 사례가 빈번했습니다.이처럼 국내대리인 제도의 실효성이 약화되면서, 국민의 개인정보 보호에 심각한 공백이 발생하고 있다는 문제의식이 이번 법 개정의 주요 배경이 되었습니다. 형식적 지정 문제 개선 기존 법령은 국내대리인을 지정하도록 규정하고 있었지만, 실제 운영에서는 문제가 많았습니다.일부 해외사업자가 국내 소재 법인이 아닌 제3의 회사를 대리인으로 지정하거나, 지정만 해두고 실질적 책임은 지지 않는 경우가 많았기 때문입니다.이번 개정안은 이런 문제를 해결하기 위해 두 가지 주요 내용을 담고 있습니다.첫째, 해외사업자가 국내 법인을 보유하고 있을 경우, 해당 법인을 반드시 국내대리인으로 지정해야 합니다.둘째, 해외 본사는 국내대리인을 직접 관리·감독해야 하며, 이를 위반하면 제재를 받을 수 있습니다.또한 해외사업자가 국내대리인을 제대로 지정하지 않거나, 국내대리인의 전화번호 등 필수 정보를 공개하지 않는 경우에도 과태료가 부과됩니다.이를 통해 국내 이용자가 개인정보 유출 등 문제 발생 시 국내대리인에게 신속히 접근할 수 있도록 제도의 실효성을 강화하려는 취지입니다. 개인정보위원회의 후속 조치 예고 개인정보보호위원회는 이번 개정안의 취지에 공감하며, 제도의 정착을 위한 후속 조치를 예고했습니다.먼저 시행령을 개정해 보다 구체적인 운영 기준을 마련할 계획입니다.또한 정기적인 실태 점검을 통해 국내대리인이 실질적 역할을 하고 있는지 확인할 예정입니다.개인정보위는 해외사업자의 책임이 강화되면, 국내 이용자의 개인정보 보호 수준도 한층 높아질 것으로 기대하고 있습니다. 기업의 대응 방향이번 개정안은 해외사업자에게 새로운 법적 의무를 부과하는 중요한 변화라고 할 수 있습니다.이에 따라 국내 법인을 보유한 경우, 해당 법인이 실제로 개인정보 보호 업무를 수행할 수 있도록 체계를 갖춰야 할 것입니다.또한 향후 시행령에 따라 추가적인 기술적·관리적 조치가 요구될 수 있으므로, 관련 내용을 지속적으로 모니터링하는 것이 필요합니다.국내 이용자의 피해 발생 시, 대리인을 통한 신속한 대응과 책임 있는 조치가 가능하도록 준비해야 합니다.

개인정보보호위원회는 지난 1월 13일, ‘안전한 개인정보, 신뢰받는 AI 시대’를 비전으로 한 2025년 주요 정책 추진계획을 발표했습니다.<div class="box2">▲ 데이터와 신뢰 기반의 AI 성장 여건 조성<br><br>▲ 데이터 프라이버시 글로벌 리더십 강화<br><br>▲ 디지털 대전환 가속화에 대응한 개인정보보호 체계 재정비</div>이번 계획은 위의 3대 전략을 중심으로 한 6대 핵심과제로 구성되었습니다.이에 따라 기업은 개인정보보호 법제 변화와 디지털 규제환경에 선제적으로 대응할 필요가 있습니다. AI 시대 개인정보 규율체계 혁신AI 기술의 빠른 발전 속도에 맞춰 개인정보보호 제도가 새롭게 정비될 예정입니다.개인정보위는 기술 혁신을 막지 않으면서도, 개인정보를 안전하게 활용할 수 있는 방향으로 제도를 설계한다고 밝혔는데요.먼저 가명 처리만으로는 충분한 분석이 어려운 AI 연구개발 분야에서는 개인정보 원본을 일정 조건 하에 사용할 수 있는 특례가 마련됩니다. 또한 AI 개발 시 정당한 이익이나 공익이 있다면 개인정보를 활용할 수 있는 길도 열립니다.더불어 딥페이크에 대해서는 개인정보를 합성한 영상이나 이미지를 삭제하거나 금지·처벌할 수 있는 근거가 마련될 것입니다.개인정보위는 이러한 법 개정 추진과 함께, 합리적이고 유연한 법 해석과 규제 샌드박스 등을 병행할 것이라고 밝혔는데요.이를 통해 신기술 변화와 현행 법 체계 간의 간극을 완화할 수 있을 것으로 보입니다.이러한 변화에 따라 기업은 AI 학습이나 모델 개발 시 개인정보 활용 계획이 있다면, 관련 법적 정당성 확보 여부를 사전에 검토해야 할 것으로 보입니다. 지속가능한 신산업 혁신 기반 마련신산업이 지속적으로 성장하려면 기술 변화에 걸맞은 법 제도가 뒷받침돼야 합니다.이를 위해 개인정보위는 영상정보와 생체정보 등 새로운 기술에 맞는 별도의 법률을 추진하고, 가명정보 활용을 확대하는 방식으로 신산업 성장을 도울 계획입니다.구체적으로는 얼굴이나 지문 같은 생체정보에 대해선 보호 원칙을 정비하고, 사전 동의가 어려운 대규모 영상정보에 대해선 새로운 법률을 제정해 처리 기준을 마련할 예정입니다.또한 연구자가 보다 유연하게 가명정보를 활용할 수 있도록 ‘개인정보 이노베이션존’을 확대하고, 클라우드 환경 등 사용자 편의성도 개선할 것입니다.더불어 문서, 이미지, 영상 등 비정형 데이터에 대한 가명처리 기능도 지원 플랫폼에 추가해 AI 등 신기술 개발에도 힘을 보탤 예정인데요.아울러 개인정보 비식별화, 탐지, AI 안전성 등 기술개발(R&D)도 본격적으로 진행되며, 중소기업이 이를 실제 서비스에 활용할 수 있도록 상용화도 추진됩니다.개인정보위는 이처럼 기술과 법, 인프라가 조화를 이루도록 하여, 개인정보 보호와 산업 혁신을 함께 끌고 갈 계획입니다.이에 따라 기업은 가명정보의 활용 가능성을 검토하고, 비정형 데이터 처리 기술이나 관련 인프라 활용 방안에 대한 전략을 마련해둘 필요가 있습니다. 글로벌 개인정보 규범 주도권 확보개인정보위는 EU와의 데이터 이전 협력을 강화하고, 미국, 일본 등과도 협의해 국제 공동 연구나 AI 서비스 개발이 원활히 이루어질 수 있도록 제도 기반을 마련한다고 밝혔습니다.국경 간 개인정보 이전 관련 프라이버시 규칙인 CBPR 인증 요건을 높이고, 우리 법과의 연계성을 강화하여 기업의 글로벌 진출에도 도움이 되도록 할 예정입니다.또한 개인정보위는 해외 기업에 대한 조사 역량도 강화할 계획인데요.해외 사업자에게 법 적용 사례나 국내대리인 지정 요건 등을 구체화한 안내서를 제공하고, 주요 외국의 감독 사례도 공유해 글로벌 공조 체계를 마련할 방침입니다.이에 따라 글로벌 기업이나 해외 진출을 계획하는 기업은 각국의 개인정보 규제 동향과 연계성을 고려해, 내부 정책과 글로벌 기준 간의 정합성을 사전에 점검해야 할 것입니다. 마이데이터 시대 개막, 성과 창출 본격화마이데이터는 국민이 자신의 정보를 스스로 관리하고 원하는 서비스를 선택할 수 있도록 돕는 제도입니다.의료, 통신, 에너지 등 국민 생활과 밀접한 분야에서 3월부터 먼저 시행되며, 5가지 선도 서비스도 단계적으로 출시될 예정입니다.5가지 선도서비스 ① 맞춤형 만성질환 예방 관리② 해외 체류 국민 국내 의료 기록 연동③ 복약 관리 및 약물 처방 지원(이상 의료분야)④ 최적 통신요금 추천(통신 분야)⑤ 여행지·여행경비 최적 설계 제안(자율 분야)앞으로는 교육, 고용, 여가 등 다른 분야로도 확대될 것이며, 금융·공공 부문과 데이터를 융합해 더 혁신적인 서비스가 나올 수 있도록 기반을 마련할 것이라고 밝혔습니다.이를 통해 데이터 전송 과정의 비용 부담을 줄이고, 중계기관을 통해 데이터 연계도 활성화해 마이데이터 생태계를 지속 가능하게 만든다는 것이 개인정보위의 계획입니다.정보주체가 자신의 데이터 전송 요청 이력이나 철회, 동의 현황 등을 직접 확인할 수 있는 통합 플랫폼도 마련될 예정이며, 개인정보 관리기관의 지정과 점검도 철저히 이뤄질 예정입니다.아울러 다크패턴 같은 부당한 정보 유도 행위를 방지하고, 정보주체 대상 교육도 병행해 건강한 마이데이터 문화를 만들어갈 것이라고 밝혔습니다.이에 따라 관련 기업은 마이데이터 연계 서비스 기획과 동시에, 정보 주체의 권리를 보호할 수 있는 안전한 데이터 전송 및 관리 체계를 구축해야 할 것으로 보입니다. 개인정보 보호 컨트롤타워 역할 강화개인정보위는 본연의 역할인 컨트롤타워 기능도 더욱 강화할 것이라고 밝혔습니다.이를 위해 개인정보 취급이 많은 국민 생활 밀접 분야, 신기술 분야, 공공기관 등을 집중 점검할 예정인데요.점검 결과는 정책과 제도 개선에도 반영될 예정입니다.또한 디지털 기술을 활용한 조사 역량도 업그레이드되는데요.디지털 증거를 수집·분석하는 포렌식랩이 도입되고, 조사 전 과정을 체계적으로 관리하는 시스템도 운영될 예정입니다.더불어 조사 전문성을 높이기 위해 전담조사관을 육성하고, 행정소송 증가에 대비해 소송팀도 운영될 계획인데요.이와 함께 해외사업자의 비협조에 대한 강제력을 강화하고, 과징금 산정 기준도 합리적으로 조정됩니다.특히 경미한 사건에 대한 면제 기준도 마련함으로써 실효성 높은 제도로 거듭날 전망입니다.이런 변화 속에서 기업은 개인정보 처리 실태를 주기적으로 점검해야 합니다.또한 조사·소송 대응 역량을 강화하는 동시에, 위반 리스크를 사전에 차단할 수 있는 내재화된 관리 체계를 갖춰야 할 것으로 보입니다. 촘촘하고 탄탄한 개인정보 안전망 구축개인정보위는 ‘개인정보보호 중심 설계’ (Privacy by Design)를 확대 적용해 IP 카메라 등 일상생활에서 활용되는 IT 기기의 법정 인증화를 추진할 것이라고 밝혔습니다. 이와 함께 다중이용시설에서는 보안이 인증된 IP 카메라를 사용하도록 의무화할 계획입니다.개인정보위는 공공기간 및 민간부문의 개인정보 관리도 함께 강화할 예정인데요.먼저 공공기관에 대해서는 모든 법 위반 행위를 공표하고, 대규모 유출 사고가 발생한 기관은 추가 실태점검을 의무화할 예정입니다.또한 대학이나 방송사 등도 공공기관 보호 수준 평가 대상에 포함하여 점검의 사각지대를 줄일 계획입니다. 민간 분야에선 공공·민간 CCTV 관제 시설 종사자의 전문성을 제고하고 역량을 강화하기 위해 3월부터 ‘영상정보관리사 국가공인 민간자격시험’ 제도를 시행하고 있습니다.또한 공인중개사, 여행업과 같이 대규모 개인정보를 다루는 분야와 개인정보 보호 취약 분야 등에 대해서는 자율규제 단체의 특성과 규모에 맞게 차별화된 지원을 제공할 예정입니다.이에 따라 기업은 취급하는 개인정보의 유형과 범위를 면밀히 분석하고, 취약 계층 보호와 맞춤형 관리 기준을 반영한 내부 정책을 정비해 나가야 할 것입니다. 개인정보위 정책 변화에 철저히 대비해야2025년 개인정보보호위원회의 주요 정책 추진계획은 기술 발전을 촉진하면서도 개인정보 보호를 강화하는 방향입니다. 이에 따라 기업은 단순한 컴플라이언스 차원을 넘어, 개인정보 보호를 비즈니스 전략의 핵심 요소로 삼아야 할 시점입니다.특히 최근 개인정보위 조사에 따르면, 국민 생활과 밀접한 기업의 72%가 개인정보처리방침에 기재한 내용과 실제 개인정보 수집·이용 실태가 일치하지 않는 것으로 나타났습니다. 이에 따라 기업은 개인정보처리방침을 단순한 형식적 문서로 취급하지 않고, 실제 개인정보 처리 현황과 일관되게 관리하는 체계를 갖추는 것이 필수적입니다.아울러 개인정보위는 2025년 처리방침 평가제 시행을 앞두고, 기업 부담을 완화하는 방향으로 🔗처리방침 작성지침 개정안을 마련했습니다. 수범기업이 개인정보 항목·보유기간 등을 보다 유연하게 기재할 수 있도록 지원하되, 정보주체 권리보장을 실질화하기 위한 조치는 강화되었습니다.정책 변화는 단기적 대응에 그칠 것이 아니라, 지속적인 모니터링과 조직 차원의 체계적 준비가 요구됩니다. 앞으로도 개인정보보호위원회의 후속 조치 및 입법 동향을 면밀히 살피면서, 자사 서비스와 기술에 맞는 대응 방안을 마련하는 것이 중요합니다.