2026년 8월 20일 인공지능기술 개발을 위한 개인정보 이용 특례를 신설하는 「개인정보 보호법」 일부개정법률안이 국회 본회의를 통과했고, 9월 8일 법률 제21910호로 공포되어 2027년 3월 9일부터 시행됩니다. 이번 개정의 핵심은 인공지능기술 개발이라는 ‘수집 목적 외 이용’에 개인정보 보호위원회(이하 “보호위원회”)의 사전 심의·의결 절차를 도입한 것입니다. 과거에는 개인정보처리자의 정당한 이익을 주장하여 인공지능기술 개발 목적으로 개인정보를 수집·이용하거나(제15조 제1항 제6호), 정보주체의 별도 동의를 받아 적법 수집한 원본 개인정보를 인공지능기술 개발을 위해 이용해야 했고(제18조제2항제1호), 공공기관에 대해서는 보호위원회의 심의·의결을 조건으로 인공지능기술 개발을 위한 ‘수집 목적 외 이용’이 이론상 가능하였으나(제18조제2항제5호 및 같은 항 단서), 이번 특례는 인공지능기술 개발이라는 목적에 맞춘 별도의 절차를 두고 그 대상을 민간 개인정보처리자까지 넓혔습니다.
EU에서는 GDPR 제6조 제1항 제(f)호가 정당한 이익(legitimate interests)을 처리의 적법근거 중 하나로 명시하고 있고,1) 유럽정보보호이사회(European Data Protection Board, EDPB)는 2024년 12월 18일 채택한 Opinion 28/2024에서 AI 모델의 개발 및 배포 단계에서의 처리에 관하여, 개인정보처리자가 적법근거를 식별해야 하고, 감독기관은 정당한 이익의 존재, 처리의 필요성, 정당한 이익이 정보주체의 이익이나 기본적 권리 및 자유에 우선하는지 여부의 세 가지 누적 요건을 개인정보처리자가 평가하고 문서화했는지를 검증해야 한다고 밝혔습니다.2) 적법하게 수집된 개인정보를 다른 목적으로 처리하는 것을 허용하는 EU AI법 제59조도 이를 규제샌드박스 안에서만, 그리고 공공안전과 공중보건, 환경, 에너지 지속가능성, 교통체계의 안전, 행정·공공서비스의 효율과 품질이라는 열거된 분야에 한하여 인정하고 있습니다.3) 이번 특례는 개인정보처리자의 판단을 사후에 검증하는 대신 개인정보 처리에 앞서 보호위원회의 심의·의결을 거치도록 하고, 목적 요건도 대상 분야를 열거하지 않고 공공의 이익, 정보주체 또는 제3자 이익 보호, 사회적 이익 증진이라는 포괄적인 요건을 규정하였다는 점에서 EU의 제도와 구분됩니다.
이번 TLI에서는 특례의 주요 내용과 기업의 대응 방안을 함께 살펴봅니다.
1. 특례의 주요 내용
가. 세 가지 실체적 요건
제28조의12제1항은 개인정보처리자가 아래 세 가지 요건을 모두 갖추고 보호위원회의 심의·의결을 거친 경우에 한하여, 적법하게 수집한 개인정보를 인공지능기술의 개발과 성능 개선을 위하여 당초 수집한 목적 외로 이용할 수 있도록 허용합니다. 보호위원회는 정보주체의 권리 보장과 개인정보의 안전한 처리를 위하여 필요한 범위에서 조건을 붙일 수 있습니다(같은 조 제2항 후단).
첫째, 영상·음성·이미지·부호·문자 등 처리되는 정보의 특성과 인공지능기술 개발과의 관련성을 고려했을 때 익명 또는 가명으로 처리하여서는 개발이 어려울 것
둘째, 개인정보의 안전한 처리를 위한 기술적·관리적·물리적 조치가 된 환경에서 처리하거나 클라우드 환경 등 개별 상황에 따른 추가적 안전조치를 이행하는 등 대통령령으로 정하는 기준에 따른 안전장치를 마련하였을 것
셋째, 개발 목적이 ① 공공의 이익 증진 또는 ② 정보주체·제3자의 이익 보호나 사회적 이익 증진을 포함하고, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것
세 요건은 누적 요건입니다. 하나라도 충족되지 않으면 특례가 적용되지 않고, 사후에 요건을 충족하지 못한 사실이 확인되면 제28조의14제1항제2호에 따라 개인정보 처리가 전부 제한됩니다. 특례의 적용 대상은 “적법하게 수집한 개인정보”로서, 이미 보유하고 있는 데이터를 전제로 하고 있고, 적법하지 않은 방법으로 수집된 개인정보에 대해서는 특례가 적용되지 않습니다.
개정법은 제2조제9호를 신설해 “인공지능기술”을 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(이하 “AI 기본법”) 제2조제3호에 따른 인공지능기술, 즉 인공지능을 구현하기 위하여 필요한 하드웨어·소프트웨어 기술 또는 그 활용 기술로 정의하고 있습니다. 특례 적용 대상의 범위가 개인정보 보호법이 아니라 AI 기본법에 의해 결정되는 구조입니다. AI 기본법의 정의 조항이 개정되면 이 특례의 적용 범위도 함께 바뀌고, 특정 기술이 특례의 대상인지 여부가 다투어질 경우 AI 기본법과 그 하위법령·해석례가 판단 기준이 됩니다. 따라서 각 기업의 개인정보 담당 조직은 개인정보 보호법과 함께 AI 기본법의 개정 동향도 확인해야 합니다.
나. 위험요인평가, 절차 간소화 및 공개
보호위원회는 민감정보·고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향과 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우에는 심의·의결 전에 개인정보처리자에게 기간을 정하여 위험요인평가를 하고 그 결과를 제출하도록 해야 합니다(제28조의12제3항). 위험요인평가는 개인정보 처리로 인한 위험요인 분석과 개선 사항 도출을 위한 평가를 말합니다. 종전에 보호위원회의 심의·의결을 거친 인공지능 기술·서비스의 내용·방식·형태 등과 실질적으로 동일하거나 유사한 경우로서 대통령령으로 정하는 경우에는 보호위원회가 정하여 고시하는 방법에 따라 절차를 간소화할 수 있습니다(같은 조 제4항). 또한 개인정보처리자는 이용 목적과 유형을 개인정보 처리방침에 포함해야 하고(같은 조 제5항), 보호위원회는 심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과를 요약한 내용을 인터넷 홈페이지 등에 공개해야 합니다(같은 조 제6항). 심의·의결 요청 방법과 보호위원회가 부여하는 조건, 세부 심의 기준 및 절차, 위험요인평가에 필요한 사항은 대통령령으로 정합니다(같은 조 제7항).
다. 사후 관리·감독 및 처리 제한
보호위원회는 심의·의결한 사항의 이행 여부를 주기적으로 관리·감독해야 하고, 필요한 범위에서 개인정보처리자에게 자료제출을 요구할 수 있으며, 자료제출을 요구받은 자는 특별한 사정이 없으면 이에 따라야 합니다(제28조의13제1항·제2항). 제출받은 자료의 보호에 관해서는 제63조제6항 및 제7항이 준용됩니다(같은 조 제3항).
또한 보호위원회가 심의·의결을 거쳐 개인정보 처리의 전부를 제한해야 하는 경우로 거짓이나 그 밖의 부정한 방법으로 심의·의결을 받은 경우, 중대한 사정 변경으로 인해 개인정보 처리의 목적을 달성하는 것이 명백히 불가능하다고 판단되는 경우 등을 명시하고 있습니다(제28조의14). 조문은 "전부를 제한하여야 한다"고 규정하고 있어 일부 제한은 불가능한 것으로 해석되고, 요건에 해당한다고 판단된 경우 처리 제한은 보호위원회의 재량이 아니라 의무입니다. 특히 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 인공지능기술 개발을 위한 개인정보 처리를 시작하지 않을 경우에도 처리가 전부 제한되므로, 기업들은 실제로 개인정보 처리를 시작할 수 있는 시점을 기준으로 신청 일정을 조율할 필요가 있습니다. 이와 같은 ‘개인정보 처리의 전부 제한’이 학습 완료된 모델 내지 체크포인트의 폐기도 포함할 수 있는지는 현재 요건상 불분명합니다. 이에 대해서 향후 제정될 시행령, 고시의 내용을 추적할 필요가 있습니다.
라. 제28조의15에 따른 규정 적용 배제
제28조의15는 제28조의12에 따라 개인정보를 이용하는 경우 그 범위 안에서 보호위원회의 심의·의결을 거쳐 다음 10개 조항의 적용을 제외할 수 있도록 하고 있습니다.4)
EU에서는 GDPR 제6조 제1항 제(f)호가 정당한 이익(legitimate interests)을 처리의 적법근거 중 하나로 명시하고 있고,1) 유럽정보보호이사회(European Data Protection Board, EDPB)는 2024년 12월 18일 채택한 Opinion 28/2024에서 AI 모델의 개발 및 배포 단계에서의 처리에 관하여, 개인정보처리자가 적법근거를 식별해야 하고, 감독기관은 정당한 이익의 존재, 처리의 필요성, 정당한 이익이 정보주체의 이익이나 기본적 권리 및 자유에 우선하는지 여부의 세 가지 누적 요건을 개인정보처리자가 평가하고 문서화했는지를 검증해야 한다고 밝혔습니다.2) 적법하게 수집된 개인정보를 다른 목적으로 처리하는 것을 허용하는 EU AI법 제59조도 이를 규제샌드박스 안에서만, 그리고 공공안전과 공중보건, 환경, 에너지 지속가능성, 교통체계의 안전, 행정·공공서비스의 효율과 품질이라는 열거된 분야에 한하여 인정하고 있습니다.3) 이번 특례는 개인정보처리자의 판단을 사후에 검증하는 대신 개인정보 처리에 앞서 보호위원회의 심의·의결을 거치도록 하고, 목적 요건도 대상 분야를 열거하지 않고 공공의 이익, 정보주체 또는 제3자 이익 보호, 사회적 이익 증진이라는 포괄적인 요건을 규정하였다는 점에서 EU의 제도와 구분됩니다.
이번 TLI에서는 특례의 주요 내용과 기업의 대응 방안을 함께 살펴봅니다.
1. 특례의 주요 내용
가. 세 가지 실체적 요건
제28조의12제1항은 개인정보처리자가 아래 세 가지 요건을 모두 갖추고 보호위원회의 심의·의결을 거친 경우에 한하여, 적법하게 수집한 개인정보를 인공지능기술의 개발과 성능 개선을 위하여 당초 수집한 목적 외로 이용할 수 있도록 허용합니다. 보호위원회는 정보주체의 권리 보장과 개인정보의 안전한 처리를 위하여 필요한 범위에서 조건을 붙일 수 있습니다(같은 조 제2항 후단).
첫째, 영상·음성·이미지·부호·문자 등 처리되는 정보의 특성과 인공지능기술 개발과의 관련성을 고려했을 때 익명 또는 가명으로 처리하여서는 개발이 어려울 것
둘째, 개인정보의 안전한 처리를 위한 기술적·관리적·물리적 조치가 된 환경에서 처리하거나 클라우드 환경 등 개별 상황에 따른 추가적 안전조치를 이행하는 등 대통령령으로 정하는 기준에 따른 안전장치를 마련하였을 것
셋째, 개발 목적이 ① 공공의 이익 증진 또는 ② 정보주체·제3자의 이익 보호나 사회적 이익 증진을 포함하고, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것
세 요건은 누적 요건입니다. 하나라도 충족되지 않으면 특례가 적용되지 않고, 사후에 요건을 충족하지 못한 사실이 확인되면 제28조의14제1항제2호에 따라 개인정보 처리가 전부 제한됩니다. 특례의 적용 대상은 “적법하게 수집한 개인정보”로서, 이미 보유하고 있는 데이터를 전제로 하고 있고, 적법하지 않은 방법으로 수집된 개인정보에 대해서는 특례가 적용되지 않습니다.
개정법은 제2조제9호를 신설해 “인공지능기술”을 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(이하 “AI 기본법”) 제2조제3호에 따른 인공지능기술, 즉 인공지능을 구현하기 위하여 필요한 하드웨어·소프트웨어 기술 또는 그 활용 기술로 정의하고 있습니다. 특례 적용 대상의 범위가 개인정보 보호법이 아니라 AI 기본법에 의해 결정되는 구조입니다. AI 기본법의 정의 조항이 개정되면 이 특례의 적용 범위도 함께 바뀌고, 특정 기술이 특례의 대상인지 여부가 다투어질 경우 AI 기본법과 그 하위법령·해석례가 판단 기준이 됩니다. 따라서 각 기업의 개인정보 담당 조직은 개인정보 보호법과 함께 AI 기본법의 개정 동향도 확인해야 합니다.
나. 위험요인평가, 절차 간소화 및 공개
보호위원회는 민감정보·고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향과 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우에는 심의·의결 전에 개인정보처리자에게 기간을 정하여 위험요인평가를 하고 그 결과를 제출하도록 해야 합니다(제28조의12제3항). 위험요인평가는 개인정보 처리로 인한 위험요인 분석과 개선 사항 도출을 위한 평가를 말합니다. 종전에 보호위원회의 심의·의결을 거친 인공지능 기술·서비스의 내용·방식·형태 등과 실질적으로 동일하거나 유사한 경우로서 대통령령으로 정하는 경우에는 보호위원회가 정하여 고시하는 방법에 따라 절차를 간소화할 수 있습니다(같은 조 제4항). 또한 개인정보처리자는 이용 목적과 유형을 개인정보 처리방침에 포함해야 하고(같은 조 제5항), 보호위원회는 심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과를 요약한 내용을 인터넷 홈페이지 등에 공개해야 합니다(같은 조 제6항). 심의·의결 요청 방법과 보호위원회가 부여하는 조건, 세부 심의 기준 및 절차, 위험요인평가에 필요한 사항은 대통령령으로 정합니다(같은 조 제7항).
다. 사후 관리·감독 및 처리 제한
보호위원회는 심의·의결한 사항의 이행 여부를 주기적으로 관리·감독해야 하고, 필요한 범위에서 개인정보처리자에게 자료제출을 요구할 수 있으며, 자료제출을 요구받은 자는 특별한 사정이 없으면 이에 따라야 합니다(제28조의13제1항·제2항). 제출받은 자료의 보호에 관해서는 제63조제6항 및 제7항이 준용됩니다(같은 조 제3항).
또한 보호위원회가 심의·의결을 거쳐 개인정보 처리의 전부를 제한해야 하는 경우로 거짓이나 그 밖의 부정한 방법으로 심의·의결을 받은 경우, 중대한 사정 변경으로 인해 개인정보 처리의 목적을 달성하는 것이 명백히 불가능하다고 판단되는 경우 등을 명시하고 있습니다(제28조의14). 조문은 "전부를 제한하여야 한다"고 규정하고 있어 일부 제한은 불가능한 것으로 해석되고, 요건에 해당한다고 판단된 경우 처리 제한은 보호위원회의 재량이 아니라 의무입니다. 특히 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 인공지능기술 개발을 위한 개인정보 처리를 시작하지 않을 경우에도 처리가 전부 제한되므로, 기업들은 실제로 개인정보 처리를 시작할 수 있는 시점을 기준으로 신청 일정을 조율할 필요가 있습니다. 이와 같은 ‘개인정보 처리의 전부 제한’이 학습 완료된 모델 내지 체크포인트의 폐기도 포함할 수 있는지는 현재 요건상 불분명합니다. 이에 대해서 향후 제정될 시행령, 고시의 내용을 추적할 필요가 있습니다.
라. 제28조의15에 따른 규정 적용 배제
제28조의15는 제28조의12에 따라 개인정보를 이용하는 경우 그 범위 안에서 보호위원회의 심의·의결을 거쳐 다음 10개 조항의 적용을 제외할 수 있도록 하고 있습니다.4)
조문은 “그 범위 안에서” 적용하지 아니할 수 있다고 정하고 있어 심의·의결을 받은 범위를 벗어나는 처리에는 위 10개 조항이 여전히 적용됩니다. 또한 별도의 심의·의결을 요하고 있어 결국 보호위원회의 심의·의결은 이용 특례를 위한 요건 충족 여부에 관한 판단(제28조의12제2항)과 적용을 제외할 법조항의 범위에 관한 판단(제28조의15)의 두 단계로 이루어지는 구조입니다.
보호위원회의 심의·의결을 목적 외 이용의 근거로 삼는 규정은 제18조제2항 제5호에 이미 있었으나, 그 심의·의결의 효과는 제18조제1항이 금지하는 목적 외 이용·제공을 허용하는 것으로 한정되고, 민감정보와 고유식별정보 등에 대한 처리를 제한하는 제23조부터 제25조의2까지는 그대로 적용되었습니다. 그러나 신설된 제28조의15는 이들 조항까지 보호위원회의 심의·의결을 통해 적용을 배제할 수 있도록 했습니다.
2. 특례 활용을 위한 단계별 점검 사항
3. 시사점
이번 개정은 인공지능기술 개발을 위한 개인정보 이용의 허용 범위를 넓히는 데 그치지 않고, 개인정보처리자가 지켜야 할 기준이 정해지는 방식을 바꾸었다는 데 그 의의가 있습니다. 개인정보 보호법은 처리의 적법성 요건을 법률에 명시하고 개인정보처리자가 이를 해석해서 적용하는 구조를 취해 왔습니다. 반면 이번 특례는 적용이 배제되는 조항과 보호위원회가 부여하는 조건이 사안별 심의·의결로 정해지도록 하고 있습니다. 조문의 해석만으로는 판단하기 어려운 영역이 넓어진 만큼, 개인정보처리자는 보호위원회의 의결례를 함께 확인해야 합니다.
문제는 그 선례가 아직 없다는 점입니다. 안전장치의 기준을 비롯해 위험요인평가 대상, 절차 간소화 요건, 세부 심의 기준과 절차가 모두 대통령령과 보호위원회 고시에 위임되어 있습니다. 제28조의15도 적용을 배제할 수 있는 조항을 열거하고 있을뿐 어느 조항을 어떤 기준으로 배제할지는 정하지 않고 있습니다. 보호위원회가 부여하는 조건의 내용에 관하여 신청인과 협의하는 절차도 마련되어 있지 않고, 심의·의결에 대한 불복 절차도 따로 두지 않았습니다. 결국 제도의 실질적인 내용은 초기 의결례가 형성하게 되며, 제28조의12제6항에 따라 보호위원회가 공개하는 심의·의결의 주요 내용과 위험요인평가 결과의 요약이 이를 확인할 수 있는 자료가 됩니다.
따라서 기업들은 특례를 어떻게 활용할 것인지가 아니라 특례를 활용할 것인지 여부부터 검토해야 합니다. 제28조의12제1항제1호가 익명 또는 가명으로 처리해서는 개발이 어려울 것을 요구하고 있어 다른 방법에 대한 검토가 선행되어야 하고, 요건이나 조건을 충족하지 못한 경우의 제재가 과징금이 아니라 개인정보 처리의 전부 제한이라는 점에서 위반의 결과도 종전과 다릅니다. 시행일인 2027년 3월 9일까지 6개월이 남아 있고 그사이 시행령과 고시가 마련될 예정이므로, 지금부터 이러한 사항을 검토하고 필요한 준비를 해야 합니다.
* * *
법무법인(유) 린 APT(AI, Platform, Technology) 그룹 개인정보보호팀은 국내 기업들의 규제 이슈에
전략적인 원스톱(One-Stop) 토탈 솔루션(Total Solution)을 제공하고 있습니다.
상기 내용에 대해 문의사항이 있으시면 언제든지
법무법인(유) 린 APT(AI, Platform, Technology) 그룹 개인정보보호팀(Tel. 02-3477-8695)에 문의해 주시기 바랍니다.
전략적인 원스톱(One-Stop) 토탈 솔루션(Total Solution)을 제공하고 있습니다.
상기 내용에 대해 문의사항이 있으시면 언제든지
법무법인(유) 린 APT(AI, Platform, Technology) 그룹 개인정보보호팀(Tel. 02-3477-8695)에 문의해 주시기 바랍니다.
1)https://gdpr-info.eu/art-6-gdpr/
2)https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_en
3)https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-59
4)정무위원회 의결안의 문언은 "제28조의12에 따라 보호위원회의 심의·의결을 받아 개인정보를 이용하는 경우에는 그 범위 안에서 … 적용하지 아니할 수 있다"였으나, 법제사법위원회의 체계·자구 심사에서 "그 범위 안에서 보호위원회의 심의·의결을 거쳐"로 수정되었습니다(2026. 7. 29. 수정가결). 검토보고서는 원안의 문언이 10개 조항 전체가 일괄적·자동적으로 적용 제외되는 것처럼 해석될 여지가 있다고 보아, 목적 외 이용을 승인하는 것과 개별 보호 조항의 면제를 결정하는 것을 분리하여 개별 사안별로 심의·의결하도록 명확히 할 필요가 있다고 밝히고 있습니다.
