[디지털데일리 최민지기자] 개인정보보호위원회(이하 개인정보위)가 중장기적 관점으로 소송 전담대응팀을 구성한다. 현재 개인정보위는 구글과 메타가 제기한 행정소송 1심을 준비 중이다.

개인정보위는 우리 국민의 개인정보를 침해하는 행위 등에 대해 과징금 등 법적 제재를 내리고 있다. 제재 처분을 받은 글로벌 빅테크들이 소송으로 맞불을 놓고 있는 상황이다.

구글과 메타는 국내 최대 로펌인 김앤장을 내세웠지만, 개인정보위는 지난해 2억원 예산으로 대응해야 했다. 올해에는 다행히 4억2000만원으로 증액됐지만, 여전히 한정된 예산만 보면 ‘다윗(개인정보위)’과 ‘골리앗(빅테크)’으로 비춰진다.

고학수 개인정보위원장은 <디지털데일리>와 인터뷰를 통해 “개인정보위 전체 소송 예산이 빅테크 기업들 소송 한 건의 수임료 수준도 되지 않는 현실이기에, 법률대리인 비용 현실화가 필요하다”며 “관련 조직도 갖춰야 한다. 아직 소송 대응조직이 없기에, 중장기적 관점에서 소송전담 대응팀을 구성해 지속적으로 대응역량을 제고하는 방안을 함께 강구할 계획”이라고 밝혔다.

이처럼 고학수 위원장은 글로벌 빅테크와의 법적 분쟁에 대응하는 한편, 국제사회에서 한국 위상을 높이는 활동에도 적극적이다. <지난 기사 참조 [인터뷰] “한국이 GPA총회를 제대로 준비하고 있다고 소문내라”> 이뿐 아니라, AI 시대에 대응하기 위해 정책적인 변화에도 힘을 주고 있다.

다음은 개인정보보호위원회 고학수 위원장과의 일문일답.

Q. 구글‧메타와 소송 중이다. 개인정보위 처분에 대한 반발로 소송 분쟁이 늘고 있다. 이에 대한 대책이 있는가?

▲지난해 말 기준 10여건 소송이 진행 중이다. 위원회 출범 3년여간 과징금 96건, 과태료 520여건, 시정명령·권고 370여건 등 전체 처분건에 비해 많다고 보기는 어렵다. 다만, 아직 보호법 관련 판례가 충분히 축적되지 않았고 기술발전에 따른 서비스 형태 다양화 등으로 법리상 쟁점이 많아질 것으로 예상된다.

개인정보위는 출범 초기라 소송대응 조직이 따로 없다. 법무감사팀에서 절차적으로 진행하고 있지만, 실제 내용적 부분은 해당 업무를 담당했던 조사국에서 지속적으로 지원해줄 수밖에 없다. 우리 과제 중 하나가 소송전담대응 조직을 구성하는 것이다. 공정거래위원회 등 다른 부처에도 관련 조직이 있다.

Q. 구글과 메타는 국내 최대 로펌을 선임했다. 소송 관련 예산이 2배 늘어나기는 했지만, 여전히 어려움이 있을 것으로 보인다.

▲개인정보위 소송 전체 예산은 글로벌 기업들 소송 한 건의 수임료 수준도 안 될 수 있다. 개인정보위 경우, 규정상 소송이 제기되면 원칙적으로 한 건당 법률 대리인에게 지급할 수 있는 액수 상한이 2000만원이다. 글로벌 기업을 상대로 소송을 진행하게 되면, 큰 소송 맥락에서 (정부 측) 법률 수임료가 비현실적이긴 하다. 법률대리인 비용을 현실화하고, 관련 조직도 갖출 수 있어야 한다.

Q. 과학기술정보통신부는 AI기본법 통과에 주력하고 있고, 방송통신위원회에서도 AI이용자보호법을 추진하겠다고 밝혔다. AI이용자보호법 경우, 구체적 내용은 제시되지 않았지만 개인정보위 업무와 상충될 가능성은 없는가. 또한, AI 관련 법·규정 제정은 범정부적으로 추진되고 부처들이 함께 협력해야 할 부분으로 보이는데, 관련해 개인정보위와 협업하고 있는 상황인가?

▲협업하는 것이 바람직하다. AI 관련 글로벌 규범 경우, 과기정통부 및 외교부와 계속 이야기하고 있다. AI기본법에 대해서도 필요한 피드백과 협조를 제공하고 있다.

AI이용자보호법은 추후 실무적으로 협의를 하든, 과정을 지켜봐야 한다. 상충되지 않도록 조화롭게 하겠다. 제가 강조하는 키워드 중 하나는 신뢰다. 기술이 아무리 좋아도 이용자가 불안하면 쓰지 않는다. 관련해 방통위 경우 이용자 보호와 맞닿은 영역일 가능성이 있는데, (학습데이터 관련) 투명성을 언급한 것으로 봤다. (개인정보위 영역과) 맞닿아 있는 부분이 있을 것 같지만, 개인정보위는 개인정보보호법 또는 더 넓게 데이터와 국민 신뢰 등을 염두에 놓고 접근을 하니까 핵심적으로 보는 관점이 똑같지는 않을 것이다.

이와 별개로 개인정보위에서 해야 할 일들이 있다. AI는 결국 데이터 문제다. AI 데이터 영역은 개인정보위가 핵심 역할을 할 수밖에 없기에, 시장과 이용자에게 어떤 가이드와 메시지를 줄 것인지 지난해부터 지속적으로 고민해 왔다. 어떤 자세로 접근하느냐에 대해선 다른 부처와 다른 점이 있다. 과기정통부와 달리 개인정보위는 법을 집행하고 조사·처분하는 기능이 있다. 이에 개인정보위가 발표하는 가이드·문서는 수범자에겐 법에 준하는 수준으로 꼼꼼히 살펴야 한다. 개인정보위는 이 부분까지 고려해야 한다. 해외에서 참조할 부분도 많지 않다. 맨땅에 헤딩을 해야 한다. 그만큼 새롭고 중요한 영역을 선도적으로 고민하고 있다는 자긍심이 있다.

Q. AI 진흥과 규제 사이에서 고민이 많을 것 같다. 한국이 AI 주도권을 차지하면서도 국익을 최우선으로 고려하려면 어떠한 모델이 적합할까?

▲AI 기술을 바라볼 때 ‘규제 대상’ 또는 ‘진흥 대상’이라는 이분법적 시각으로 바라보지 않는다. 국민의 개인정보를 침해의 위험으로부터 보호해야 한다는 점은 당연하고, 이를 전제로 정보주체 신뢰에 기반해 어떻게 유용하게 AI 등 새로운 기술을 활용할 것인지 고민이 필요하다. AI 기술과 산업 육성은 매우 중요하다. 다만, AI 기술 성장이 지속가능하려면 국민 신뢰가 밑바탕이 돼야 한다. 국제사회에서 AI 안전성 관심이 고조되는 것도 같은 맥락이다. 국민이 AI 기술 편익을 충분히 누릴 수 있도록 하면서도 동시에 정보주체의 프라이버시 침해 우려를 해소해야 하는데, 이러한 두 가지 축의 중요한 질문에 대해 개인정보 총괄 부처로서 당연히 심도 있게 고민하고 면밀히 살펴야 할 것이다.

개인정보위는 지난해 8월 AI 정책방향을 발표하고, 이에 대한 후속조치로 지난달 ‘비정형데이터 가명처리 기준’을 내놓았다. AI 분야 빠른 기술발전을 수용할 수 있는 유연하고 실용적인 기준을 제시해 AI 데이터 처리 안전성과 활용성을 동시에 확보하고자 했다. 올해 중에는 AI 프라이버시 민·관 정책 협의체를 통해 AI 프라이버시 가이드라인을 추가적으로 발표하겠다.

Q. 위원장님이 싫어하는 말 중 하나가 ‘개인정보보호법 때문에 기업 운영하기 힘들다’라는 이야기를 들은 바 있다. 최근엔 법적 불확실성으로 어려운 기업을 위해 사전적정성 검토제를 도입했다.

▲개인정보보호법 때문에 (사업 등이) 안 된다고 얘기하는 거, 못마땅하다. 적지 않은 경우 면피용이다. 법에서 ‘안 된다’고 돼 있지 않은데, 뭉뚱그려 핑계용으로 말한다. 법 내 빈 공간을 찾을 수 있는 여지를 고민해봐야 한다.

사례를 하나 말하자면, CCTV 설치에 관해 시설안전 용도 등 법상 제약이 있다. 이에 사전적정성 검토제를 통해 CCTV 관련된 한 건이 승인을 받았다. 공장 현장에서 CCTV를 설치를 하되 사람이 넘어지는 등 돌발상활을 파악해 곧바로 알려주는 건이다. 사람을 식별할 수 있는 종류는 아니다. CCTV가 불안한 이유는 신원과 동선이 파악될 가능성 때문이다. 식별 가능성을 제거하고 현장 안전에 직접적 도움을 준다. 위원회는 개인정보 침해 우려 부분을 사업자와 협의해 영상관제 관련 보호법 적용방안을 마련했다.

신기술‧신서비스 분야는 기술 변화가 빠르게 일어나기에 규제보다는 원칙 중심 방향 제시가 필요하다. 사전적정성 검토제는 기획 및 개발 단계부터 개인정보보호법 적용방안을 기업과 개인정보위가 함께 마련하고, 이를 적정히 적용하면 추후 환경‧사정변화가 없는 한 법적조치를 취하지 않는 제도다. 넓은 의미의 컨설팅 역할까지 하면서 함께 답을 찾아가겠다는 것. 총 5곳이 시범운영으로 이용했다. 스타트업 4곳, 공공기관 1곳이다. 오는 4월부터 본격 시행 계획이다.

Q. 프라이버시 강화와 데이터 거버넌스 전환에 있어 개인정보보호책임자(CPO) 역할을 강조했다. 이유는 무엇인가.

▲종전에는 개인정보 보호책임자를 지정하는데 있어서 단지 대표자‧임원 등 지정할 수 있는 직위 요건만 규정하고, 구체적인 자격요건이나 업무수행 체계 등에 대한 규정이 없었다. 이로 인해 CPO를 포함한 개인정보 업무 종사자들이 전문성을 키워나가기 어려운 상황에서, 사고가 발생하면 책임만 지게 될 것이라는 불안감으로 기피업무 영역이 될 수 밖에 없었다. 총알받이라는 안타까운 악순환에 대한 불만이 커지면서, 보람도 느끼지 못하고 전문성도 확보되지 못하는 환경을 선순환 구조로 만들고자 한다.

CPO 전문성과 독립성을 강화해, 회사 경영진과 조직 내에서 인정받는 자리가 돼야 한다. 개인정보보호법령 개정을 통해 CPO 자격요건과 업무수행체계를 구체적이고 명확하게 규정하게 된 이유다.

Q. 추후엔 기업 매출 규모에 따라 CISO와 CPO 겸직을 허용하지 않도록 할 수도 있는가?

▲장기적으로는 그 방향으로 가야 한다. 다만, 지금 당장은 아니다. 지금은 CPO 역할 관련 제도가 초기단계라, 이에 맞는 시스템을 마련하는게 우선이다.

Q. 마이데이터 수익성 저조 우려가 제기되고 있다. 기업들 참여를 유도하려면, 수익성에 대한 고민은 필요할 수밖에 없다. 어떻게 진행되고 있는가?

▲고민이 많다. 마이데이터는 이해관계가 굉장히 크게 엇갈리는 분야다. 기업들 입장에선 데이터를 내주는 입장일지, 가져오는 입장이 될지, 마이데이터로 사업모델을 만들 수 있을지 등 여러 관점에서 제각각 반응을 보인다. 마이데이터가 성공하기 위한 성립 전제조건은 데이터의 표준화와 인프라 구축이다. 이는 AI 디지털 시대로 가기 위해 국가적 차원에서 꼭 필요하지만, 개별 기업 입장에선 안 한다 해서 당장 문제 될 게 없다. 그런 맥락에서 투자를 딱히 하고 싶지 않을 수 있다. 이에 우선순위가 떨어지는 것으로 인식되는 면이 있다. 계속 조율하고 논의하고 협의하는 과정에 시간이 굉장히 많이 들고 있다. 올해 하는 일이 (수익성 향상 등을 포함해) 협의하는 건들이다.

Q. 개인정보보호위원회 명칭을 개인정보위원회로 바꿔야 한다고 언급한 적 있는데, 실제로 진행되고 있는 부분이 있는가?

▲법이 바뀌어야 하는 사안이다. 이에 앞서 이해관계자 조율이 전제돼야 해, 구체적으로 진행하는 건 없다.

영국 정보위원회는 ICO(Information Commissioner's Office), 프랑스 국가정보‧자유위원회는 CNIL(National Commission on Informatics and Liberty)로 불린다. 전세계 가장 액티브한 곳이지만, 개인정보 ‘보호’를 붙이지 않는다. 개인정보위는 정책과 조사 영역을 담당하고 있지만, 마이데이터 추진단도 포함돼 있다. 전통적인 개인정보보호 관점에선 왜 저런 조직이 있는지 질문이 나올 수도 있다. 보호라는 맡을 붙이면, 조직 역할을 더 협소하게 하는 측면이 있다. 보호와 활용은 별개가 아니다. 그러한 문제의식을 표현한 것으로, 위원회 이름을 바꾸는 논의는 하고 있지 않다.

Q. 남은 임기 내 집중해 추진할 정책과 목표가 있다면?

▲ 지난 2022년 10월 취임 후, 한 달 만에 ‘챗GPT(Chat GPT)’가 출시됐던 것으로 기억한다. AI를 중심 축으로 디지털전환과 데이터경제가 심화되는 시기에 위원장으로 취임해 지난 1년6개월 동안 막중한 책임감을 갖고 ‘국민의 개인정보 보호와 국민 신뢰 기반의 데이터 활용’을 위해 노력해왔다. 국정과제인 ‘개인정보의 안전한 활용 기반 강화’를 위해 개인정보보호법 전면 개정, AI시대 개인정보 활용 정책방향 제시, 가명정보 활용 확산 방안 수립·추진 등에 주력했다.

AI가 본격적으로 열리는 시대에 발맞춰 선도적 역할을 해야겠다는 판단을 했고 이같은 작업들을 진행했다. 올해에도 가이드라인을 내고, 지속적으로 신경써야 할 영역이다. 새로운 영역이라 쉽지 않은데, 무언가 만들어내는 데 상당한 노력이 필요하다. 다행스럽게, 위원회와 직원들 모두 생동감 있게 일하고 있다. 개인정보위로 오고자 하는 사람들이 많아졌고, 그만큼 함께 일하고 싶은 조직으로 변화해 보람을 느낀다.

이제 그간의 성과를 토대로 개인정보를 안전하고 신뢰성 있게 활용할 수 있는 체계를 지속적으로 구축하겠다. AI 등 신기술 발전으로 인한 프라이버시 침해 위험은 최소화하면서, AI 혁신 생태계 발전에 꼭 필요한 데이터는 안전하게 활용할 수 있도록 선제적으로 방향을 제시하고 정책을 이끌어가려고 한다. 내년 초 도입을 앞둔 마이데이터 관련 선도서비스를 발굴‧지원하고, 개인정보 전송요구권 세부 기준을 수립하는 등 국민이 일상에서 체감하고, 기업에게는 새로운 기회가 열리는 마이데이터 서비스가 창출될 수 있도록 노력하겠다. AI‧마이데이터 등이 일상화‧현실화되고, 실질적 의미에서 데이터를 둘러싼 세상의 본격적인 변화가 나타나는 시기다. 한국이 이러한 세계적 흐름을 이끌고 선도적인 위치에 자리매김하도록 최선을 다하겠다.

◆개인정보보호위원회 고학수 위원장 프로필

▲1967년생

▲주요 경력

▲2022년 10월~ 개인정보보호위원회 위원장(장관급)

▲2024년 1월~ 한국공학한림원 정회원

▲2023년 10월~ UN AI 고위급 자문기구 위원

▲2020년~2022년 10월 한국인공지능법학회 회장

▲2019년~2022년 10월 아시아법경제학회 회장

▲2015년~2019년 한국법경제학회 회장

▲2014년~2022년 10월 서울대학교 법과경제연구센터장

▲2007년 10월~ 서울대학교 법학전문대학원 교수

▲2005년~2007년 연세대학교 법과대학 부교수

▲학력

▲미국 콜롬비아대학교 대학원 경제학 박사

▲미국 콜롬비아대학교 법과대학원 로스쿨(JD)

▲서울대학교 대학원 경제학 석사

▲서울대학교 경제학과 학사