태평양이 소개한 개정 보호법은 2026년 8월 20일 국회 본회의를 통과한 뒤 법제처의 자구 정비와 국무회의 의결을 거쳐 2026년 9월 8일 법률 제21910호로 공포됐다. 시행일은 공포 후 6개월이 지난 2027년 3월 9일이다.
개정 보호법은 제3장에 제5절(제28조의12부터 제28조의15까지)을 신설했다. 적용을 받으려면 익명·가명처리로는 인공지능기술 개발이 곤란한 특성의 정보여야 하고, 대통령령으로 정하는 기술적·관리적·물리적 안전장치와 클라우드 환경 등 추가조치를 마련해야 한다. 또 공익 증진, 정보주체 및 제3자 이익 보호, 사회적 이익 증진 중 하나를 목적으로 하면서 정보주체 또는 제3자 이익 침해 우려가 현저히 낮아야 한다.
이 요건 충족 여부는 개인정보보호위원회의 심의·의결을 받아야 하며, 위원회는 필요한 범위에서 조건을 붙일 수 있다. 민감정보·고유식별정보의 처리 등 대통령령으로 정하는 기준에 해당하면 심의·의결 전에 위험요인평가를 실시·제출해야 하고, 개인정보 이용 목적과 유형은 개인정보 처리방침에 반영해야 한다. 종전에 심의·의결을 거친 사례와 실질적으로 동일·유사한 경우에는 절차를 간소화할 수 있다. 개정 보호법은 AI 특례에 따라 개인정보를 이용하는 경우 심의·의결을 거쳐 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2 및 제28조의8의 적용을 배제할 수 있도록 했다. 제28조의8은 국외 처리위탁에 한정된다.
태평양은 기업 대응 과제로 개인정보 데이터셋 정리, 익명·가명처리만으로는 개발이 곤란한 데이터셋과 그 사유 정리, 공익적·사회적 가치와 정보주체·제3자 이익 침해 우려가 현저히 낮다는 점을 뒷받침할 자료 준비를 꼽았다. 기술적·관리적·물리적 안전조치 점검과 위험요인평가 대비, 심의·의결 신청 자료 정리, AI 특례에 따른 개인정보 처리방침 개정안 마련도 필요하다고 했다.
사후 관리도 점검 대상으로 제시됐다. 태평양은 보호위원회 승인 이후에도 조건 이행 여부, AI 학습·검증·운영 단계별 데이터 사용 내역, 접근권한 통제, 로그 관리, 데이터 보관·파기 절차를 관리해야 하며, 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 개인정보 처리를 시작하지 않으면 처리가 제한될 수 있다고 설명했다. 이어 시행령과 보호위원회 고시 제정 동향을 지속적으로 모니터링해 내부 절차에 반영할 필요가 있다고 덧붙였다.
이번 가이드는 박지연·강태욱·윤주호·이강혜 변호사가 작성했다.
※ 이 기사는 공개된 자료를 바탕으로 AI 기술을 활용해 분석·정리한 기사입니다.
<저작권자 © 아주로앤피 (www.lawandp.com) 무단전재 및 재배포금지>
