[이코리아]  개인정보보호위원회가 23일부터 내년 1월 2일까지 '개인정보보호법 시행령 개정안'을 입법예고한다고 22일 밝혔다. 

이번 시행령 개정안은 지난 3월에 공포된 개정 개인정보 보호법의 후속 조치로, 내년 3월부터 시행되는 자동화된 결정에 대한 정보주체의 권리, 개인정보 보호책임자의 자격 요건 및 대상, 손해배상의 보장, 공공기관 개인정보 보호수준 평가 등 개정법에서 위임한 기준과 절차를 마련하는 내용을 담았다. 

이번 개정안의 핵심은 자동화된 결정에 대한 정보 주체의 권리 행사에 관한 부분이다. 정보 주체의 자동화된 결정에 대한 거부·설명 등을 요구할 수 있는 권리가 신설되어 정보 주체의 요구절차와 방법, 이에 대한 개인정보처리자의 조치사항 및 공개사항 등에 대한 세부 절차를 마련하였다. 이는 AI 등 완전히 자동화된 시스템으로 개인정보를 처리하는 경우에도 정보주체의 권리가 보장될 수 있도록 마련된 규정이다. 

이에 따라 AI 면접관이 편견이나 부정확한 정보가 반영된 결과를 내놓는 등 자동화된 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우 정보 주체는 해당 결정을 거부할 수 있으며, 설명을 요구할 시 해당 결정의 결과와 해당 결정에 사용된 주요 개인정보의 유형 및 영향 등을 정보처리자에게 제공받을 수 있다. 또 정보 주체가 인적 개입에 의한 재처리를 요구할 경우 처리자는 그 조치 결과를 알리도록 한다.

개인정보처리자가 완전히 자동화된 결정에 따른 개인정보 처리를 하는 경우 사전에 기준 및 절차 등을 공개하도록 하되 일회적으로 이루어 지는 경우에는 정보주체에게 사전에 알리도록 하였으며, 공개할 때에는 표준화· 체계화된 용어 및 시각화 방법 등을 활용할 수 있도록 규정하였다.

개인정보 보호책임자의 전문성과 독립성을 강화하는 방안도 포함되었다. 재학생 수 1만 명 이상인 대학이나 상급종합병원 등 일정 기준 이상 개인정보처리자는 개인정보 보호 관련 경력을 갖춘 전문성이 있는 보호 책임자를 지정하도록 한다. 또 보호책임자의 독립성 보장을 위해 대표자 및 이사회에 직접 보고할 수 있는 보고체계를 구축하도록 하고, 부당한 지시에 대한 불이행을 이유로 한 불이익을 금지하는 등 준수해야 할 사항을 구체화했다.

공공기관의 개인정보 보호 수준을 평가하고 그 결과를 바탕으로 개선을 권고할 수 있도록 하는 ‘개인정보 보호수준 평가’에 대한 법적 근거를 마련한다.

일각에서는 이번 개정안에 대한 우려도 나온다. 해당 규정으로 개인의 자기 결정권이 강화될 수 있지만, 정보 주체가 AI의 결정을 실제로 거부할 경우 다른 의사결정 방식을 도입하는 과정에서 소모 비용이 늘어나고 인적 자원이 낭비될 수 있다는 것이다. 예를 들면 지원자가 AI 면접관이 개입된 채용 결과를 거부할 경우, 인간 면접관으로 면접을 다시 치르는 과정에서 많은 재원이 낭비되고, 지원자 간의 차별 문제가 불거질 수 있다는 우려다.

또 기업이 정보 주체에게 설명을 제공할 때 ‘간결하고 의미있는 설명’을 ‘이해하기 쉽게 제공’해아 한다고 규정되어 있는 등 주관적으로 해석될 여지가 있는 조항이 포함되어 있어 일선에서 혼란이 일어날 수 있다는 지적도 나온다. 

개보위는 다양한 의견을 수렴해 시행령을 다듬어 나가겠다는 입장이다. 고학수 개인정보위 위원장은 “지난 9월 15일 법 시행 이후 개정법이 안정적으로 정착될 수 있도록 분야별 현장 설명회 및 안내서 발간 등을 통해 계속해서 현장과 소통해왔으며, 그 과정에서 나온 자동화된 결정에 대한 권리 보장이나 개인정보 보호 책임자의 전문성·독립성 강화 등의 의견을 개정안에 담았다.”라며 “개정된 개인정보 보호법이 현장에서 차질 없이 시행될 수 있도록 입법예고 이후에도 간담회 및 설명회 등을 통해 학계, 산업계, 시민단체 등의 다양한 의견을 들어 시행령에 반영해 나갈 것”이라고 밝혔다.

이번 시행령 개정안에 대하여 의견이 있는 경우 국민 참여입법센터 또는 개인정보위 전자우편 및 일반우편 등으로 내년 1월 2일까지 의견을 제출할 수 있다.