개인정보 처리방침, 쉽고 구체적으로 바뀐다…AI 등 신기술 대응

개인정보위, 개인정보 처리방침 작성지침 개정
생성형 AI 서비스 부록 포함

개인정보보호위원회는 생성형 인공지능(AI) 서비스의 확산과 온디바이스 등 신기술에 대응해 개인정보 처리방침 작성지침을 개정해 공개했다고 24일 밝혔다.

개인정보 처리방침은 개인정보 처리자가 수집하는 개인정보와 수집 목적, 처리 방법 등을 작성해 공개한 문서다. 이번 개정은 개인정보 처리자의 작성 부담은 줄이면서 개인정보 자기결정권을 실질적으로 보호하기 위해 마련됐다는 설명이다.

개인정보보호위원회 로고. 개인정보보호위원회

먼저 개인정보를 제공받는 자 또는 수탁자가 대규모거나 자주 바뀌면 '택시기사', '배달원' 등과 같이 유형화해 쓸 수 있도록 했다. 다만, 정보주체가 실제 개인정보를 제공받는 자나 수탁자를 직접 확인할 수 있는 구체적인 확인 경로를 함께 안내해야 한다.

처리방침 변경사항 안내 방식도 합리적으로 바꿨다. 정보주체의 권리에 중대한 영향을 미치는 사항은 개정 전 또는 개정 즉시 공지하도록 하되, 권리 침해 가능성이 낮은 사항은 일정 기간의 변경 내용을 모아서 안내할 수 있도록 했다.

온디바이스 처리와 관련한 기준도 명확해진다. 서버에 저장되는 개인정보가 있다면 온디바이스 기능이 일부 있더라도 처리방침을 작성해야 한다. 다만 개인정보가 외부 서버로 전송되지 않고 단말기 내부에서만 처리되는 경우에는 그 사실과 삭제 기준을 이용자에게 안내하도록 권장한다.

수탁자 처리방침 작성 기준도 구체화해 정보주체의 권리 보장과 직접 관련되는 사항을 중심으로 기재하도록 했다. 행태정보와 간이형 처리방침에 대한 작성 기준도 정비해 개인정보처리자가 자신의 처리 형태에 맞는 내용을 보다 쉽고 정확하게 작성할 수 있도록 했다.

이번 개정에서는 생성형 AI 서비스를 위한 별도 부록도 새로 마련했다. 부록에는 AI의 사용 의도를 명확하게 기재하도록 권장했고, 이용자가 직접 입력한 정보(텍스트, 음성, 첨부파일 등)와 서비스 이용 과정에서 생성된 결과물이 수집·저장되는 경우 이를 처리항목으로 기재하도록 했다.

아울러 민감정보나 고유식별정보 입력에 대한 주의사항도 함께 안내하도록 했고, 이용자가 입력한 정보 등이 AI 모델 학습에 활용되는지 여부와 학습 활용 거부(옵트아웃) 절차, 부적절한 답변에 대한 신고·이의 제기 방법 등을 처리방침에 포함하도록 했다.

양청삼 개인정보위 사무처장은 "생성형 AI와 온디바이스 등 새로운 기술 환경에서는 개인정보가 어떤 목적으로 어떤 방식으로 처리되는지를 국민이 쉽게 이해할 수 있도록 투명하게 알리는 것이 무엇보다 중요하다"면서 "이번 작성지침 개정이 현장에는 보다 명확한 기준을 제공하고 국민에게는 자신의 개인정보가 처리되는 과정을 더 쉽게 확인할 수 있게 되기를 기대한다"라고 밝혔다.

이명환 기자 lifehwan@asiae.co.kr