14.

[일문일답] 인공지능(AI) 학습을 위해서 '공개된 개인정보'를 사용할 수 있는가?

• 새 탭 열기
• 작성 이력 보기

공개된 개인정보도 개인정보 보호법으로 보호받지만, 몇 가지 요건을 갖추면 공개된 개인정보를 인공지능(AI) 학습데이터로 사용할 수 있다.

개인정보 보호법 제15조 제1항 제6호는 ① 개인정보처리자의 정당한 이익을 달성하기 위하여 ② 필요한 경우로서 ③ 명백하게 정보주체의 권리보다 우선하는 경우에(다만 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한정), 정보주체의 동의 없는 개인정보를 수집·이용을 허용하고 있다.

개인정보 보호법 제15조(개인정보의 수집ㆍ이용) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. <개정 2023. 3. 14.>
6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.

그런데 최근 개인정보 보호위원회는 "AI 학습·서비스를 위해 공개된 개인정보를 수집·이용하는 경우, 개인정보 보호법 제15조 제1항 제6호의 정당한 이익 조항이 실질적인 적법 근거가 될 수 있음"이라고 하여, 위 제15조 제1항 제6호를 '공개된 개인정보'의 학습데이터 사용의 근거로 제시하였다.^[1] 

다만 몇 가지 요건을 갖추어야 하는바, 그 내용은 아래와 같다.

① 목적의 정당성 (개인정보처리자의 정당한 이익을 달성하기 위하여)

개인정보처리자가 '정당한' 이익을 달성하기 위하여 개인정보를 사용하는 경우여야 한다.

여기서의 '정당한 이익'은 개인정보 처리에 관한 합법적인 이익으로서, AI 개발자 및 서비스 제공자의 영업상 이익뿐 아니라, 그로부터 발생하는 사회적 이익 등 다양한 층위의 이익을 포함한다.^[2]

예컨대, ■ 안면인식 DB와 결합하여 개인에 대한 프로파일링 및 감시 목적으로 AI를 개발하거나, ■ 사이버 공격, 개인 사칭 사기(예: 피싱·스미싱) 목적으로 AI를 개발하는 경우에는 정당한 이익이 인정되지 않는다.^[3]

AI 개발자는 '정당한 이익'이 있음을 주장하려면 공개된 개인정보의 처리 목적을 최대한 구체적으로 정의할 필요가 있다.

② 처리의 필요성 (정당한 이익을 달성하기 위하여 필요한 경우, 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우)

공개된 개인정보 처리의 필요성, 상당성, 합리성이 인정되어야 한다.

즉 해당 개인정보 처리가 정당한 이익을 달성하기 위하여 필요한 경우여야 하고, 정당한 이익과 상당한 관련이 있는 범위 내 및 합리적인 범위를 초과하지 않는 범위 내에서 개인정보 처리가 이루어져야 한다.

관련하여 개인정보 보호위원회는 공개된 개인정보를 AI 학습데이터로 사용할 필요성을 어느 정도 긍정하면서도 이를 일률적으로 인정할 수는 없고 AI 의 구체적인 목적, 용도, 맥락 등을 고려하여 개별적으로 판단하여야 한다고 설명하였다.

또한, AI 개발 목적·용도에 맞는 학습데이터 수집 기준을 사전에 정하고, AI 개발과 상당한 관련성이 없는 정보는 학습에서 제외하여야 한다고 설명하였다(예컨대, 의료진단보조 AI 개발시 개인의 소득·재산 등 관련 없는 정보는 학습 배제).^[5]

③ 이익형량 (개인정보처리자의 정당한 이익이 정보주체의 권리보다 명백히 우선할 것)

개인정보처리자의 정당한 이익이 정보주체의 권리보다 명백히 우선하여야 한다. 즉 개인정보처리자가 설정한 '정당한 이익'과 '정보주체의 권리'를 비교 형량하였을 때 정당한 이익이 더 우위에 있어야 한다. (이때 '정보주체의 권리'는 개인정보자기결정권에 한정되지 않고 포괄적인 의미의 헌법적 권리를 모두 포함한다.)

그렇다면 어떤 경우에 AI 개발자의 이익이 정보주체의 권리보다 우위에 있을 수 있을까? 

두 가지 길이 있다. 

하나는, AI 개발자가 설정한 이익이 누가 보아도 정보주체 개인의 권리보다 더 중요하다고 판단되는 경우이다. 

또 하나는, 원래는 정보주체 개인의 권리가 더 중요한 경우였지만 AI 개발자가 최대한 노력하여 그 개인정보의 사용으로 인한 정보주체의 권리 침해 가능성을 제거하고 또 제거함으로써 결국에는 정보주체가 그다지 피해볼 게 없도록 만드는 것이다.

이에 대해 개인정보 보호위원회도, 
(i) 개인정보처리자의 이익이 정보주체 권리에 우선한다는 점이 명백하거나, 
(ii) 개인정보처리자의 이익이 정보주체 권리에 명백히 우선하도록 ➊정보주체 권리침해 위험을 예방·경감 하기 위한 안전성 확보 조치 및 ➋정보주체 권리보장 방안을 마련·시행한 경우여야 한다고 설명하고 있다.

전자의 예시로는 ■ 금융사기 탐지·방지 등 정보주체 또는 제3자의 급박한 생명, 재산 등 이익을 위해 필수적인 경우, ■ 전자통신망에의 무단접근 예방, 정보보안 목적을 위해 반드시 필요한 경우, ■ 범죄행위 또는 공공안보에 대한 위협으로부터의 보호·예방을 위해 필요한 경우 등을 들고 있다.

그리고 후자와 관련하여서는, 예컨대 AI 생애주기 각 단계에서 안전성 확보 조치 및 정보주체 권리보장 등을 중층적으로 도입·시행하여 정보주체 권리침해 우려를 낮추는 경우에는 명백성 요건 인정 가능성이 높아질 수 있다고 설명하고 있다. 나아가 이처럼 정보주체 권리침해 우려를 낮추는 노력에 있어서는, 공개된 개인정보의 성격, 공개의 대상 범위, 공개된 개인정보의 처리 방식, 정보주체의 예견가능성, 권리보장 방안 등을 종합적으로 고려할 필요가 있다. ^[6]