Implications of GDPR and EU Adequacy Decision for Regulation of Profiling and Automated Decision-making in Korea

4차산업혁명 시대를 맞이하여 개인정보 처리에서의 인공지능의 중요성에도 불구하고 국내법 상 자동화된 의사결정 및 프로파일링에 대한 일반 법적 규정이 없다. 반면 유럽연합의 일반개인정보보호규정(General Data Protection Regulation, 이하 “GDPR”)은 인간의 개입 없이 전적으로 자동화된 의사 결정을 원칙적으로 금지하면서 예외적으로 처리가 허용이 되는 경우에도 적절한 안전조치(safeguard)를 취하도록 규정하고 있으며, 특히 인간의 개입을 요구할 권리, 적용 알고리즘에 대한 구체적 설명을 요구할 권리 등을 규정하고 있다. 개인정보의 자동화된 처리 관련 한국과 유럽연합의 규제적 차이점은 한국의 GDPR 적정성 결정 재심사에서 문제가 될 수 있다.BR 적정성 결정이란 GDPR 상 관련 규정에 근거하여 유럽연합 집행위원회가 내리는 결정으로, 특정 국가의 개인정보보호 법제가 GDPR과 동일한 수준으로 개인정보를 보호한다는 집행위의 심사결과를 기초로 이루어진다. 적정성 결정이 채택되면 유럽연합 정보주체의 개인정보를 해당 국가로 자유로이 이전할 수가 있다. 한국에 대한 적정성 결정은 2021년 12월에 채택되었고 채택 3년 후 재심사 대상이 된다. 당초 적정성 협상 시 한국정부는 자동화된 의사결정 규제 부재에 대한 유럽연합 측 우려를 일단 불식시킬 수 있었으나 향후 재심사 과정에서는 해당 문제에 대한 상당히 심도 깊은 검토가 예상된다.BR 본 논문은 GDPR 및 한국법 상 자동화된 의사결정에 대한 규제를 분석하고 사실상 국제 표준으로 자리잡고 있는 GDPR 기준에 대한 적합성 제고를 위한 개선과제를 제시한다. 먼저 프로파일링 및 자동화된 의사결정에 대한 규제를 개인정보보호법 개정 등을 통해 추진하는 것이 중요하고 하위법령에만 관련 내용을 넣는 것은 지양해야 할 것이다. 이러한 규제는 개인정보보호법과 같은 일반법을 통해 도입이 필요하며 신용정보법 등 일부 분야에만 적용이 되는 법을 통한 도입을 지양해야 한다. 현재 국회에서 계류 중인 개인정보보호법 개정안(정부안)의 경우 자동화된 평가에 대해 인간의 개입을 요구할 권리, 자동화된 의사결정에 사용된 로직에 대한 의미있는 정보를 제공할 의무 등은 규정하고 있지 않고 일반적인 프로파일링에 대한 명시적 규제도 없는바, 이 부분 역시 GDPR 적정성 재심사 과정에서 쟁점이 될 가능성이 있다. 한편 GDPR과 달리 개인정보보호법에는 관련 정보를 명확하고 쉬운 언어로 전달할 의무가 없는데 그 결과 개인정보보호법 상 요구되는 동의서, 처리방침 등은 가독성이 떨어지는 경우가 많다. 따라서 알고리즘의 로직 등에 대한 정보를 제공하는 경우 가독성을 높이기 위한 지침을 규제기관이 발간한다면 도움이 될 것이다. 아울러 자발적으로 이러한 지침을 따를 유인을 제공하기 위하여 개인정보보호 분야에도 공정거래자율준수프로그램(CP)과 유사한 자율준수 프로그램 도입을 고려해 볼 수 있다. 마지막으로 현재 규제기관 구성원들의 전문분야 등을 살펴보면 주로 침해예방에 초점이 맞추어져 있는바, 향후에도 AI가 개인정보처리에 중대한 역할을 할 것을 고려할 때 AI 관련 이슈에 전문성을 지닌 인력 채용 및 양성이 필요하다.