"개인정보보호법"에 대한 통합검색 결과
통합검색(25)
정치(3)
검색결과 총 25건
[알고리즘 시대의 법생활] 인공지능, 의료기술, 데이터 혁명의 시대 - 법률 시장은 무엇을 준비해야 하는가? 인류의 역사는 늘 호기심과 탐구심에 의해 진보해 왔다. 불을 발견하고 바퀴를 만들었으며, 별을 관측하고 질병을 치료하는 방법을 찾았다. 과학의 발전은 언제나 인간의 질문으로부터 시작됐고, 그 답을 찾아가는 과정에서 인류는 문명을 발전시켜 왔다.그런데 오늘날, 이 진화와 발전의 속도는 이제 인간 스스로도 통제하기 어려울 만큼 빠르게 진행되고 있다. 특히 인공지능(AI), 의료기술의 급속한 진보, 데이터 혁명 등 세 가지 기술의 결합은 그 속도를 기하급수적으로 가속시키고 있다.이 세 가지 흐름이 상호 결합되면서 전 산업을 다시 설계하고 있고, 법률시장 또한 중대한 전환점에 서 있는 것이다.인공지능(AI)이 법률 사무의 패러다임을 완전히 바꿀 것이며 단순히 법률가를 보조하는 수준을 넘어, 일부 변호사의 역할을 대체하거나 심지어 능가할 수 있는 지점까지 도달하게 될 것이다. 예를 들어, 법률 문서 작성은 물론 계약서의 자동 분석 및 요약이나 소송 가능성 예측 및 리스크 분석 등 예전에는 많은 시간이 소요되던 작업도 단 몇 초, 몇 분 안으로 단축시킬 수 있게 되어 특히 시간당 요금을 받는 전통 로펌의 비즈니스 모델에 근본적인 변혁이 불가피할 것이다. 이러한 변화에 적응하려면 변호사와 로펌은 다음과 같은 방향으로 전환이 필요하다.즉, 단순 반복 업무는 AI에 맡기고, 고난도 자문, 전략적 판단, 인간적 중재가 필요한 분야에 집중해야 한다. AI를 단순 도구가 아닌 업무 파트너로 이해하고, 이를 활용한 새로운 법률 서비스 모델을 만들어야 한다. 특히 젊은 변호사일수록 AI 기술에 대한 이해와 활용 능력이 경쟁력의 핵심이 될 것이다. 다음은, 의료기술의 급진적 발전과 법률 수요의 폭증이다. 의료기술은 지금, ‘4차 산업혁명’의 중심에 있다. AI 진단기, 디지털 치료제, 원격 수술 로봇, 유전자 편집 기술 등 기술과 생명이 결합된 새로운 의료환경이 빠르게 확산되고 있다. 하지만 이러한 발전은 복잡한 법적 문제를 동반하게 된다. AI가 내린 오진의 책임은 누구에게 있는가? (의사? 병원? 개발사?)유전자 편집을 어디까지 허용할 것인가?환자의 의료정보가 유출되었을 때 배상은 어떻게 해야 하는가?의료기술과 보험약관의 관계는 어떻게 조율되어야 하는가? 이러한 흐름에 대응하기 위해 법률시장은 다음과 같은 기능을 갖춰야 한다.의료기술과 관련된 윤리·규제·책임 문제를 전문적으로 다룰 수 있는 변호사와 전문팀을 양성해야 한다.병원, 제약사, 디지털헬스 스타트업들을 대상으로 AI 진단기의 합법성, 데이터 보호, 보험 대응 전략 등을 포괄적으로 자문할 수 있어야 한다.복잡한 분쟁의 경우에는 기술적 이해를 바탕으로 한 소송대리 및 중재 서비스를 제공할 수 있어야 한다.지금 우리는 매일 수십억 건의 데이터가 생성되는 세상에 살고 있다. 하지만 이 데이터가 잘못 쓰이거나, 차별·편향을 유발하는 AI 알고리즘에 의해 사용된다면 엄청난 사회적 피해로 이어질 수 있다.이에 따라 전 세계는 다음과 같은 규제와 법제화를 추진하고 있다.EU는 AI법(AI Act)을 제정해 고위험 AI에 대해 엄격한 규제와 투명성을 요구하고, 미국은 연방정부 차원에서 AI 알고리즘 편향 감시, 개인정보 보호조치를 강화한다.우리도 의료기기 AI 심사제, 개인정보 보호법 강화, AI 윤리성 검증 등 제도를 추진 중이다. 따라서, 앞으로의 법률시장은 단순한 ‘법 해석’을 넘어서, 다음과 같은 규제 컨설팅·정책 조정자 역할까지 수행해야 한다.기업이 사용하는 AI 시스템이 국제 규제를 위반하지 않도록 설계·검토해 주어야 한다.AI를 사용하는 조직이 투명성과 설명가능성을 확보하도록 내부 정책을 수립하게 해야 한다.분쟁 발생 시, “AI가 왜 그런 결정을 내렸는가?”에 대해 법적 설명과 소명자료를 준비하는 것도 필요할 것이다.미래형 변호사는 단순한 법률지식만 갖춘 사람이 아니고, AI, 의료기술, 데이터 보호에 대한 이해를 갖춘 융합형 인재가 되어야 한다.로스쿨 교육에도 기술 관련 커리큘럼이 필요하며 기업이 AI·의료·데이터를 안전하게 활용하도록 자문하는 예방 법률 서비스 중심으로 전환해야 한다.결국은 변호사, AI 전문가, 의료기기 엔지니어가 함께 일하는 융합형 법률조직이 경쟁력의 열쇠가 될 것이다. 또한, 각국의 AI 및 데이터 관련 규제가 상이하기 때문에, 글로벌 기업에 자문을 제공하려면 해외 규제에 대한 분석력과 적용 능력을 갖춰야 한다.이렇게 변화하게 될때 법률의 역할은 더욱 커진다고 볼 수 있다. 지금 이 순간에도 인공지능은 더 똑똑해지고, 의료는 더 정밀해지며, 데이터는 더 복잡해지고 있다. 이 과정에서 발생하는 수많은 윤리적·법적 질문을 해결할 수 있는 전문가는 바로 법률가이다.따라서 법률시장은 전통적 소송 대리의 영역을 넘어, 기술사회에서의 질서와 신뢰를 설계하는 ‘설계자’이자 ‘조정자’의 역할로 확장되어 갈 것이다.법을 아는 사람이 아니라, 기술과 인간을 함께 이해하는 법률가가 필요할 것이다.그 준비는 지금부터 시작되어야 한다.
2025.06.19
'이선균 수사 정보 유출' 경찰관·검찰수사관 불구속 기소 마약 투약 혐의로 수사받던 중 숨진 배우 이선균(48)씨의 수사 정보를 유출한 경찰관과 검찰 수사관이 재판에 넘겨졌다. 인천지검 형사6부(최종필 부장검사)는 공무상비밀누설 등 혐의로 30대 A 전 경위와 인천지검 소속 40대 검찰 수사관 B씨를 불구속 기소했다고 5일 밝혔다. A 전 경위로부터 수사 대상자 실명 등 개인정보를 받아 다른 기자에게 제공한 30대 기자 C씨 역시 개인정보 보호법 위반 혐의로 재판에 넘겨졌다. A 전 경위는 2023년 10월 이씨 마약 의혹 사건의 수사 진행 상황을 담은 자료(수사진행 보고서)를 사진으로 찍어 전송하는 방식 등으로 C씨 등 기자 2명에게 유출한 혐의를 받고 있다. 이 보고서는 인천경찰청 마약범죄수사계가 2023년 10월 18일 작성한 것이다. 여기에는 이씨의 마약 사건과 관련한 대상자 이름과 전과, 신분, 직업 등 인적 사항이 담겼다. 자료를 C씨로부터 전달받은 한 연예 매체는 이씨 사망 이튿날인 2023년 12월 28일 이 보고서 편집본 사진과 내용을 보도했다. B씨는 이씨가 마약 혐의로 경찰의 수사를 받고 있다는 정보와 수사 진행 상황을 2차례 지역신문 기자에게 알려준 혐의를 받고 있다. 해당 신문은 2023년 10월 19일 '톱스타 L씨, 마약 혐의로 내사 중'이라는 제목의 기사로 이 사건을 단독 보도했다. 수사 정보 유출 사건으로 A 전 경위는 파면됐고, B씨는 직무에서 배제돼 징계 관련 절차를 밟고 있는 것으로 전해졌다. 검찰은 A 전 경위와 B씨로부터 개인정보를 제공받기만 한 기자 3명은 불기소 처분했다. 개인정보 보호법 71조에 따르면 개인정보를 제공받은 자를 처벌하려면 '영리 또는 부정한 목적'이 인정돼야 한다고 검찰은 설명했다. 앞서 사건을 수사한 경기남부경찰청은 A 전 경위와 B씨의 구속영장을 신청했으나 법원은 "주요 증거가 이미 수집됐다"며 기각했다. 한편 배우 이선균씨는 2023년 10월 14일 형사 입건돼 2개월간 3차례에 걸쳐 경찰 소환 조사를 받았고, 3번째 조사 나흘 뒤인 12월 26일 서울 종로구 와룡공원 인근에서 숨진 채 발견됐다. 검찰 관계자는 "공무원의 비밀엄수 의무 위반이나 무분별한 개인정보 유출·제공 범행이 없도록 엄정 대응하겠다"고 말했다.
2025.06.05
개인정보유출배상보험 가입률 10% 이하…의무대상은 더 줄어 SKT 해킹 사태로 개인정보의 중요성이 강조되고 있지만 개인정보가 유출된 정보주체의 피해를 구제하는 의무 보험인 '개인정보유출 배상보험'의 가입률은 10%도 채 안 된다. 20일 손해보험업계에 따르면 지난해 말 기준 개인정보유출 배상책임보험을 취급하는 15개사(메리츠·한화·롯데·MG·흥국·삼성·현대·KB·DB·서울보증·AIG·라이나·농협·신한EZ·하나)의 가입 현황을 집계한 결과 7769건으로 집계됐다. 개인정보보호위원회는 개인정보 유출에 따른 손해배상책임 이행시 자금조달이 어려운 사업체를 위해 2020년부터 개인정보 손해배상 책임보험 가입을 의무화했다. 가입 대상은 전년도 매출액 등이 10억원 이상에 정보 주체 수가 1만명 이상인 곳이다. 개보위는 대상 기업을 약 8만3천개∼38만개로 추정하지만 실제 지난해 말 기준 가입률은 2.0∼9.4% 수준에 그친다. 해킹사고가 일어난 SKT도 10억원 한도의 책임보험을 들어 보상 체계가 취약하다는 지적이 있었다. 개인정보위는 3월 의무대상 기업의 기준을 '매출액 1500억원 이상이면서 관리하는 정보주체 수 100만명 이상'으로 조정하기로 해 의무 가입대상이 더욱 축소됐다. 개인정보위는 기존 의무 대상 범위가 너무 넓어 실질적인 점검·관리가 어렵다는 이유로 의무대상을 조정한다고 밝혔다. 이 기준에 따르면 의무 가입 대상은 불과 200곳 정도로 줄어들게 된다. 개인정보보호법 상 의무보험 가입 제도의 목적은 개인정보 유출 사고 발생시 배상능력이 부족한 기업으로부터 피해자를 보호하는 것이다. 배상 능력이 충분한 기업에만 보험 가입 의무를 부여하고, 매출 1500억원 미만의 기업에 보험 가입 의무를 제외하는 것은 개인정보보호법 제정 목적과도 어긋난다. 김규동 보험연구원 연구위원은 "규모가 큰 기업보다 중소·영세업체들의 보안 역량이 더욱 취약한데 보험 가입 의무사항을 면제해버리면 개인정보 보호나 보안 리스크에 업체들의 인식이 소홀해질 수 있어 우려된다"고 말했다. 또 "보험에 가입하지 않아도 사전적으로 예방을 잘할 수 있도록 강한 규제가 있다면 상관이 없을 것"이라면서 "현 상황에서는 의무 대상을 축소할 것이 아니라 의무 가입 대상을 효과적으로 관리하는 방식을 찾는 것이 더 낫다"고 덧붙였다. 개인정보위 관계자는 이에 대해 "현재 폭넓게 의견 수렴을 하는 단계"라며 "중소기업에는 의무는 면하되 자발적으로 가입할 수 있는 인센티브를 줄 것"이라고 강조했다. 최근 벌어진 SKT 해킹 사태와 법인보험대리점(GA)과 디올, 알바몬 등 각종 개인정보 유출 사고가 속출하고 있어 기업들의 보험 수요는 늘어나고 있다.
2025.05.20
테무, 韓이용자에 고지 없이 개인정보 해외로 넘겨…과징금 13억원 국내 이용자에게 알리지 않은 채 중국과 싱가포르 등에 이들의 개인정보를 넘긴 중국의 온라인 유통업체 테무가 과징금 13억6천여만원을 문다. 개인정보보호위원회는 15일 C커머스(중국 전자상거래업체) 테무에 개인정보보호법 위반을 이유로 과징금과 개인정보 보호 관리체계 개선 권고 등을 전날 전체회의에서 의결했다고 밝혔다. 개인정보위는 지난해 4월 테무를 비롯해 알리익스프레스 등 C커머스에 대한 개인정보보호법 위반 여부 조사에 착수했다. 알리는 지난해 7월 개인정보 국외 이전 위반 등을 근거로 과징금 19억7800만원이 부과됐다. 테무는 과징금 산정 기준이 되는 매출액을 제때 제출하지 않아 처분이 늦어졌다. 김해숙 개인정보위 조사1과장은 브리핑에서 "테무의 자료가 불충분해 추가 확인이 필요했고, 올해 입점 판매자 정보(수집)에 대한 이슈가 발생하면서 이를 함께 처분하려고 하다 보니 시간이 더 걸렸다"며 "테무의 조사 협조가 충분치 않아 (과징금 처분에) 가중처벌을 했다"고 설명했다. 조사 결과 테무는 상품 배송을 위해 한국과 중국, 싱가포르, 일본 등 다수 사업자에게 개인정보 처리를 위탁하거나 보관하도록 했다. 이 과정에서 이러한 점을 개인정보처리방침(처리방침)에 공개하거나 이용자에게 알리는 절차는 없었다. 또 개인정보 처리업무를 위탁한 수탁사에 대해 개인정보 안전관리 방안 교육과 개인정보 처리현황 점검 등의 관리·감독을 실시하지 않았다. 계약 이행을 위해 국외 사업자에게 개인정보 처리 위탁 또는 보관 등이 필요할 경우 처리방침에 이를 공개하거나 이용자에게 이메일 등으로 알려야 함에도 테무는 이를 준수하지 않았다. 테무는 2023년 말 기준 하루 평균 290만명의 한국 이용자가 테무 서비스를 이용하고 있음에도 국내 대리인을 지정하지 않았다. 또한 회원 탈퇴 절차를 7단계로 복잡하게 만들어 이용자의 권리행사를 어렵게 만들기도 했다. 개인정보위 조사 과정에서 테무는 처리방침을 개정해 국외 이전 사실과 수탁자, 국내 대리인을 공개하고 회원 탈퇴 절차를 일부 개선하는 등 자진 시정조치했다고 밝혔다. 테무는 올해 2월부터 한국에서 직접 상품을 판매·배송할 수 있는 '로컬 투 로컬' 서비스를 위해 한국 판매자를 시범 모집하면서 이들의 신분증과 얼굴 동영상을 수집하고 법적 근거 없이 주민등록번호를 처리한 사실도 드러났다. 개인정보위는 테무가 이번 조사 과정에서 해당 정보를 모두 파기했고, 현재 다른 방식으로 신원 확인을 하고 있다고 밝혔다. 개인정보위는 테무에 대해 개인정보의 국외 이전 및 주민등록번호 처리 제한 규정 위반으로 과징금 13억6900만원을, 개인정보 처리업무 위탁과 국내 대리인 지정 관련 규정 위반으로 과태료 1760만원을 부과했다. 또 ▲ 국외 이전을 포함한 개인정보 처리위탁 현황과 개인정보 처리 흐름을 투명하게 공개 ▲ 수탁자에 대한 관리·감독 실시 ▲ 충분한 정보주체의 권리 보장 등을 시정명령·개선권고했다. 올해 10월 시행 예정인 국내 대리인 개정 규정에 따라 테무의 국내 법인을 국내 대리인으로 지정하도록 권고했다. 개인정보위는 중국 사업자의 국내 진출이 증가함에 따라 한중 인터넷협력센터 및 중국 현지 기업 간담회를 통해 국내 개인정보보호법에 대한 안내를 강화할 계획이다. 테무 관계자는 "개인정보위 조사에 전적으로 협조해 왔으며 그 결정을 존중한다"며 "필요한 조치를 취하고 변경 사항을 적용했으며, 앞으로도 합리적인 가격의 고품질 제품을 제공하고 현지 판매자를 지원하는 데 집중하겠다"고 밝혔다.
2025.05.15
개인정보위 "SKT, 정보유출 가능성 있는 모든 이용자에 통지해야" 개인정보보호위원회는 2일 긴급 전체회의에서 "SKT가 유심정보 유출이 확인된 이용자는 물론 SKT 망을 사용하는 알뜰폰 이용자를 포함해 유출 가능성이 있는 모든 이용자에 대해 신속히 유출 사실을 통지해야 한다"고 밝혔다. 개인정보위는 "SKT가 고객의 유심정보가 유출된 정황을 인지하고 유출 신고는 했으나 홈페이지에 고객의 일부 정보가 유출된 것으로 추정된다는 내용의 전체 공지만 했을 뿐, 현재까지 개인정보보호법(이하 보호법)에 따른 법정사항을 포함해 정보주체에게 유출 사실을 개별 통지하지 않은 사실을 확인했다"고 밝혔다. 이에 따라 SKT는 이용자에게 ▲ 유출된 개인정보 항목 ▲ 유출된 시점과 그 경위 ▲ 유출 피해 최소화 방법 ▲ 개인정보처리자의 대응 조치 및 피해 구제절차 ▲ 피해신고 접수 부서 및 연락처 등을 통지해야 한다. 개인정보위는 SKT측이 유심유출 사고 이후 전체 이용자에게 개별 문자 발송을 했지만, 본 사고에 대한 사과문과 유심보호서비스, 유심교체에 관한 내용만 기재돼 있는 것을 확인했다고 설명했다. 개인정보위로도 민원 접수가 급증하고 있다고 덧붙였다. 개인정보위는 "보호법상 사업자는 개인정보 유출 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하도록 규정하고 있지만 SKT가 피해방지 대책으로 마련한 유심보호서비스 및 유심교체는 유심 물량 부족, 서비스 처리지연 등으로 원활하게 이뤄지지 않아 국민적 혼란과 불만이 가중되고 있다"고 지적했다. 이어 "서비스 가입이나 유심교체가 모바일이나 현장방문을 통해서만 가능해 고령층·장애인 등 취약계층이 접근하기 어려운 문제가 발생하는 등 유출 피해 방지대책이 미흡한 것으로 확인됐다"고 덧붙였다. 개인정보위는 SKT에 유출 사실 이용자 통지 외에 고령자·장애인 등 취약계층에 대한 별도의 보호 대책과 SKT 전체 이용자의 2차 피해 예방을 위한 충실한 지원 대책을 마련하라고 촉구했다. 이어 이용자의 개인정보와 관련해 급증하는 민원에 성실히 대응하기 위해 전담 대응팀을 확대해 사태가 완전히 해결될 때까지 운영하라고 요청했다. 개인정보위는 SKT에 7일 이내에 조치 결과를 제출토록 했다. 이후에도 이행 상황을 지속 점검해 국민 불편과 불안을 해소할 방침이다. 개인정보위는 "현재 SKT 개인정보 처리와 관련된 개별시스템들에 대한 전수조사를 신속히 추진하고 있다"면서 "이를 통해 정확한 유출 경위 및 추가 유출 사실이 없는지 확인할 계획"이라고 강조했다. 또 "사업자의 안전조치 의무 준수 여부 등 보호법상 위반사항을 중점 조사해 위반사항에 대해 엄정히 처분하고 재발 방지에 최선을 다하겠다"고 전했다.
2025.05.02
딥시크, 신규 다운로드 재개…'한국 개인정보보허법 준수' 개인정보 수집 문제로 정부의 실태 점검을 받은 중국의 생성형 인공지능(AI) '딥시크'가 한국 정부의 시정권고를 일부 수용하고 신규 다운로드 서비스를 재개한 것으로 파악됐다. 딥시크는 28일(현지시간) 처리방침을 개정해 한국어판을 공개하고, 개인정보 정책을 일부 개정했다. 앞서 개인정보보호위원회는 23일 열린 제9회 전체회의에서 '딥시크 사전 실태점검 결과'를 심의·의결했다. 개인정보위 점검 결과 딥시크는 국외 이전에 대해 이용자 동의를 받거나 처리방침을 공개하지 않았고, 중국에 있는 틱톡 모기업인 바이트댄스의 자회사인 '볼케이노'로 국내 고객이 딥시크 채팅창에 입력한 프롬프트 정보를 넘겼던 사실이 확인됐다. 개인정보위는 딥시크에 국외 이전 시 합법적인 근거를 충실히 마련하는 것은 물론 프롬프트 정보 즉각 파기와 한국어 처리방침 공개, 아동 개인정보 수집 확인·파기 등을 시정권고한 바 있다. 딥시크는 이번에 개정된 처리방침에서 한국에 대한 별도의 부속 규정을 새로 마련하고 '한국 개인정보보호법을 준수해 개인정보를 처리한다'고 명시했다. 또 이용자 개인정보를 중국 내 회사 3곳과 미국 내 1곳 등 모두 4개 해외 업체로 이전한다면서 '이용자가 개인정보 이전을 거부할 수 있다'고 밝혔다. 이용자 선택권 보장을 위한 '옵트아웃'(opt-out)' 기능도 마련했다고 알렸다. 옵트아웃은 생성형 인공지능(AI) 등에서 정보 주체가 명시적으로 거부 의사를 밝히면 이용자가 입력한 데이터를 삭제하고 AI 학습을 거부할 수 있는 기능이다. 이밖에도 '14세 미만의 아동을 대상으로 서비스를 제공하지 않으며 아동에게 적극적으로 정보를 수집하지 않는다'고 밝혔다. 이미 볼케이노로 이전한 이용자의 프롬프트 입력 내용을 즉각 파기하도록 권고한 부분에 대해 개인정보위 관계자는 "아직 확인은 안 된 상태"라고 전했다. 딥시크는 2월부터 국내 앱 마켓에서 잠정 중단했던 신규 다운로드 서비스도 재개한 사실이 확인됐다. 현재 구글 안드로이드 마켓과 애플 앱스토어 검색창에 '딥시크' 또는 영문명 'deepseek'를 넣으면 해당 앱이 노출되며 다운로드도 받을 수 있다. 딥시크 신규 서비스 재개 여부에 대해 "딥시크사(社)에서 자율적으로 결정한 것이고 재개 여부도 시정명령을 수용하고 이행이 어느 정도 됐다고 하면 사업자 측에서 자율적으로 결정할 수 있는 사항"이라며 구체적인 재개 시점을 언급하지 않았다.
2025.04.28
'청약플러스' LH 직원 실수로 1100명 개인정보 유출 한국토지주택공사(LH)가 운영하는 임대·분양 청약사이트 '청약 플러스'에서 직원의 실수로 고객 1100여명의 개인정보가 유출됐다. 24일 LH 대전충남지역본부에 따르면 LH는 전날 오후 7시께 충남 아산 탕정 2지구 7블록, 15블록 국민임대 예비 입주자모집 신청자 서류 제출대상자 명단을 공개하는 과정에서 실수로 입주 신청자의 개인정보가 담긴 파일이 올라갔다. 이 파일에는 입주 신청자의 이름과 휴대 전화번호, 청약 순위와 배점 등이 담겨 있어 신청자 1100여명의 개인정보가 유출됐다. LH는 그로부터 2시간 가량 지난 뒤 유출 사실을 인지하고 파일을 삭제했다. 피해 고객에게는 15시간이 지난 이날 낮에야 개인정보 유출 사실을 개별 문자메시지로 안내했다. 피해자들은 유출된 개인 정보 파일을 누구나 청약 홈페이지를 통해 다운받을 수 있어 막대한 피해가 예상됨에도 LH 측은 유출 내용과 경위, 피해 사안을 정확히 안내하지 않았다며 울분을 터뜨렸다. 한 임대주택 신청자는 "오늘에서야 안내 문자가 왔는데 정확한 피해 사실을 물어보려고 LH에 전화해도 연락이 닿질 않는다"며 "홈페이지에도 별도 공지가 없어 불안하고 답답하다"고 밝혔다. 이에 LH 관계자는 "개인정보 보호법상 72시간 내 피해자에게 사실을 알려야 해 조처에 나선 것"이라며 "유출 사실을 파악 후 즉각 해당 자료를 삭제했고, 상세한 경위를 파악한 뒤 고객에게 문자 메시지를 통보하게 됐다"고 해명했다. 또 "피해 고객과 원활히 응대할 수 있도록 조처하겠다. 불편을 끼쳐 죄송하다"며 "유사 사고 방지를 위한 재발 방지 대책 마련에도 최선을 다하겠다"고 덧붙였다.
2025.04.24
개인정보위 "딥시크, 개인정보 중국 등에 무단 이전" 개인정보 수집 논란으로 국내 서비스를 잠정 중단한 중국의 생성형 인공지능(AI) '딥시크(DeepSeek)'가 서비스 당시 중국과 미국 내 업체 여러 곳에 국내 이용자 정보를 무단 이전한 정황이 밝혀졌다. 개인정보보호위원회는 24일 정부서울청사에서 브리핑을 열고 전날 전체회의에서 심의·의결한 '딥시크 사전 실태점검 결과'를 발표했다. 개인정보위에 따르면 딥시크는 올해 1월 15일 국내 서비스를 개시한 때부터 서비스를 중단한 2월 15일까지 이용자 개인정보를 중국 내 회사 3곳과 미국 내 1곳 등 모두 4개 해외 업체로 이전했다. 이 과정에서 이용자로부터 국외 이전에 대한 동의를 받거나 개인정보 처리방침에 이를 공개하지 않았다. 중국어와 영어로 된 해당 처리방침에는 개인정보 파기 절차 및 방법, 안전조치 등 개인정보보호법상 요구 사항도 누락됐다. 딥시크는 이용자의 기기·네트워크·앱 정보 외에도 이용자가 프롬프트에 입력한 내용을 중국 내 업체 3곳 중 한 곳인 볼케이노에 전송했다. 이 업체는 중국 소셜미디어 '틱톡'의 모회사인 '바이트댄스(Bytedance)'의 계열사다. 딥시크는 점검과정에서 빠뜨렸던 국외이전 관련 법정 사항을 새롭게 마련한 한국어 처리방침에 포함해 개인정보위에 제출했다. 딥시크는 이용자 동의 없이 볼케이노에 개인정보를 이전한 사실은 확인했지만 보안 취약점과 이용자 인터페이스(UI)·경험(UX) 등의 개선을 위해 볼케이노의 클라우드 서비스를 이용한 것이라고 설명했다. 개인정보위는 이용자가 딥시크 프롬프트에 입력한 내용의 이전은 불필요하다고 지적했고, 딥시크는 이달 10일부터 신규 이전을 차단했다. 개인정보위는 "볼케이노는 바이트댄스의 계열사이지만 별도 법인으로 바이트댄스와 무관하고, 처리 위탁한 정보는 서비스 운영·개선 외 마케팅 등 목적으로는 이용하지 않고 있으며 법령상 요건과 적법절차를 준수해 개인정보를 철저히 보호하겠다고 (딥시크가) 소명했다"고 전했다. 또 딥시크는 AI 학습·개발에 공개된 데이터와 이용자가 프롬프트에 입력한 내용을 이용했다. 그러면서도 이용자가 프롬프트에 입력한 내용을 AI 학습·개발에 사용하지 못하도록 거부할 수 있는 '옵트아웃(opt-out)' 기능은 없었다. 딥시크는 이를 개인정보위가 지적한 다음 개선했다. 당초 처리지침 상 수집정보로 기재했던 '키 입력 패턴·리듬' 정보에 대해서는 국내 서비스 준비 당시 수집할 정보가 확정되지 않은 상태에서 기재한 것으로 실제 수집한 사실은 없다고 알렸다. 개인정보위는 딥시크에 볼케이노로 이전한 이용자의 프롬프트 입력 내용을 즉각 파기할 것 등을 시정 권고했다. 국내 대리인 지정과 개인정보 처리시스템 전반의 안전조치 향상 등도 개선 권고했다. 딥시크가 개인정보위의 시정 권고를 10일 내 수용하면 관련 법에 따라 시정명령을 받은 것으로 간주한다. 이럴 경우 시정 및 개선 권고에 대한 이행 결과는 60일 내 개인정보위에 보고해야 한다. 개인정보위는 딥시크가 잠정 중단했던 국내 앱 다운로드 서비스가 언제 재개될지에 대해서는 밝히지 않았다.
2025.04.24
개인정보 유출 신고 2배 증가… 절반 이상 차지한 항목?개인정보 유출 사고가 여전히 심각한 사회적 문제로 떠오르는 가운데, 지난해 공공기관의 개인정보 유출 신고 건수가 전년 대비 2배 이상 증가한 것으로 나타났다. 특히 해킹으로 인한 유출 비중이 절반 이상을 차지하며 사이버 보안의 취약점이 다시 한번 드러났다. 21일 업계에 따르면, 개인정보보호위원회와 한국인터넷진흥원(KISA)은 ‘2024년 개인정보 유출 신고 동향 및 예방 방법’ 보고서를 발표했다. 이 보고서는 지난 1년간 접수된 개인정보 유출 사고를 분석해 원인별 예방 대책을 제시했다. 보고서에 따르면, 2023년 개인정보 유출 신고 건수는 총 307건으로 전년(318건)과 유사한 수준을 유지했다. 유출 원인으로는 해킹이 56%(171건)로 가장 높은 비중을 차지했고, 업무 과실(30%·91건)과 시스템 오류(7%·23건)가 뒤를 이었다. 특히 해킹 사고는 전년(151건) 대비 13.2% 증가해 개인정보 보호의 필요성이 더욱 강조됐다. 해킹 유형별로 살펴보면, 관리자 페이지의 비정상적인 접속(23건)이 가장 많이 발생했다. 이어 ▲SQL 인젝션(17건) ▲악성 코드 삽입(13건) ▲크리덴셜스터핑(9건) 순으로 나타났다. SQL 인젝션은 악의적인 명령어를 삽입해 데이터베이스를 조작하는 방식이며, 크리덴셜스터핑은 탈취한 계정 정보를 이용해 다른 웹사이트에 무단 로그인하는 기법이다. 이밖에도 원인이 명확하지 않은 해킹 사고(87건)도 전체 해킹 건수의 절반 이상을 차지했다. 업무 과실로 인한 개인정보 유출 사례는 ▲게시판이나 단체 채팅방에 개인정보 파일을 게시한 경우(27건) ▲이메일 동보 발송 시 개인정보가 포함된 경우(10건) ▲이메일·공문에 개인정보 파일을 잘못 첨부한 사례(7건) 등이 주를 이뤘다. 시스템 오류로 인한 유출 사고 중에서는 ▲소스코드 적용 오류(14건) ▲API 연동 오류(8건) 등이 많았다. 기관 유형별로는 공공기관이 전체 유출 신고의 34%(104건)를 차지하며, 2023년(41건) 대비 2배 이상 증가했다. 개인정보위는 이러한 증가 원인으로 2023년 9월 개정된 개인정보보호법을 꼽았다. 개정된 법안에 따르면 기존에는 1000명 이상의 개인정보가 유출된 경우에만 신고 의무가 있었으나, 이제는 민감 정보나 고유식별정보가 1건 이상 유출되더라도 반드시 신고해야 한다. 실제로 공공기관의 유출 신고 104건 중 68%(71건)는 1000건 미만의 개인정보 유출 사례였다. 공공기관 유형별로는 ▲중앙행정기관 및 지방자치단체(42%) ▲대학교 및 교육청(41%) ▲공공기관 및 특수법인(17%) 순으로 집계됐다. 반면, 민간기업의 유출 신고 건수는 전체의 66%(203건)로, 2023년(277건) 대비 감소했다. 민간기업 중에서는 중소기업(60%)의 비율이 가장 높았으며, 이어 ▲해외 사업자(12%) ▲협·단체(12%) ▲중견기업(11%) ▲대기업(5%) 순이었다. 한편, 개인정보위 관계자는 “개인정보 입력 페이지에서 비정상적인 아이디·비밀번호 대입 행위를 탐지·차단하는 조치를 마련하고, 웹 방화벽(WAF) 등의 보안 솔루션을 적극 도입해야 한다”고 강조했다. 또한, 보안 취약점을 사전에 점검하고 정기적인 보안 업데이트를 수행하는 것이 중요하다고 덧붙였다.
2025.03.21
[AI 동향과 법] 한국의 개인정보 해법은? EU GDPR VS 美 미국의 대표적인 신용정보회사인 Equifax는 해킹 공격을 당해 1억4700만 명의 개인정보가 유출되는 대규모 사고를 겪었다. 이 사건으로 인해 Equifax는 연방거래위원회(FTC)로부터 7억 달러(약 9조 원)에 달하는 배상 판결을 받았다. 또한, 페이스북(Facebook)도 생체정보 보호법(BIPA) 위반으로 6억5천만 달러(약 8400억 원)의 배상 판결을 받았다. 이러한 사례들은 미국의 개인정보 보호법이 사전 규제를 최소화하는 대신, 사고 발생 시 강력한 징벌적 손해배상을 부과하는 구조를 띠고 있음을 보여준다. 그러나 이와 같은 강력한 처벌은 예상치 못한 개인정보 유출로 인해 기업의 도산할 위험을 높이기도 한다. 반면, 유럽연합(EU)의 GDPR(General Data Protection Regulation)은 사전 규제를 적용하여, 기업이 일정한 보안 조치를 준수할 경우 책임을 경감하는 방식을 취하고 있다. 그렇다면 대한민국의 개인정보보호법은 어느 방향으로 나아가야 할까? 개인정보 보호와 기업 성장, 그리고 AI 등 신산업 활성화를 고려할 때, 한국은 GDPR을 기반으로 한 사전 규제 모델을 도입하되, 신산업 테스트베드를 마련할 필요가 있다. GDPR 역시 기업에 전 세계 연간 매출의 최대 4%에 달하는 과징금을 부과할 수 있지만, 그 핵심은 개인정보 보호를 위한 사전 조치와 기업의 준수 의무 강화에 있다. 개인정보를 수집·활용하기 전에 반드시 명확한 동의를 받아야 하며, 기업이 적절한 보안 조치를 이행했다면 유출 사고 발생 시 일부 책임이 면제될 수 있다. 반면, 미국은 연방 차원의 GDPR과 같은 포괄적인 개인정보 보호법이 없으며, 주(州)별·산업별로 개별적인 법률을 운영한다. 이에 따라 데이터 활용이 비교적 자유로운 반면, 사고 발생 시 강력한 처벌이 부과된다. 예를 들어, 기업이 개인정보 유출을 방지하지 못할 경우, 캘리포니아 개인정보권리법(CPRA)은 집단소송을 허용하며, 일리노이 생체정보 보호법(BIPA)은 징벌적 손해배상 및 집단소송이 가능하도록 규정하고 있다. 대한민국의 개인정보보호법은 GDPR을 기반으로 하면서도 미국식 모델의 요소를 가미하는 방식으로 발전해 왔다. 그러나 최근 AI, 빅데이터, 헬스케어 등 신산업이 활성화되면서 보다 명확한 정책 방향이 필요한 시점이다. 기업이 일정 수준의 개인정보 보호 조치를 준수한 경우, 사고 발생 시 법적 책임을 일부 완화하는 방안이 바람직하다. 개인정보 보호를 지나치게 강조하면 대기업만이 보호 시스템을 구축할 수 있어 혁신성이 저하될 우려가 있으며, 기존과는 다른 방식의 해킹 등 불가항력적인 사고가 발생할 가능성도 고려해야 한다. 신산업 발전을 위해서는 정부가 전문 테스트베드를 운영하여 데이터 활용 환경을 제공해야 한다. 특히 스타트업들은 양질의 데이터에 접근하기 어려운 경우가 많아, AI 모델 학습과 데이터 기반 서비스 개발이 제한된다. 따라서 전문기관을 설립하여 개인정보 활용을 위한 사전 검증 및 보안 조치 지원을 수행하고, 신산업 기업들이 안전한 환경에서 혁신을 추진할 수 있도록 해야 한다. 마이데이터, 공공데이터 개방 등과 연계하여 개인정보 보호를 유지하면서도 데이터 산업이 활성화될 수 있는 환경을 조성해야 한다. 유럽의 GDPR의 사전 규제를 산업별/기업별로 유연하게 적용하고, AI 및 데이터 신산업 발전을 위해 테스트베드 전문기관을 운영하는 방향으로 나아가야 한다. 이를 통해 기업들이 과도한 법적 리스크 없이 개인정보를 활용할 수 있도록 하고, 동시에 국민의 개인정보 보호를 강화할 수 있을 것이다.
2025.03.06
