[기고] 개인정보 보호의 기본값을 바꿀 때

최경진 가천대 법학과 교수 개인정보 유출 사고가 발생할 때마다 우리 사회는 뒤늦게 묻는다. 왜 막지 못했는가, 누가 책임질 것인가, 피해자는 어떻게 구제할 것인가. 그러나 이 질문만으로는 충분하지 않다. 인공지능(AI)과 플랫폼 경제, 클라우드 기반 정보처리가 일상화되면서 데이터 처리 환경이 복잡해졌고, 유출 위험 요인도 함께 증가했다. 국내외를 넘나드는 수집과 분석, 위탁과 이전, 학습과 재활용을 거치며 정보는 여러 시스템과 공급망을 이동한다. 기존의 사후 제재 위주의 법과 제도만으로는 기술 변화에 따른 위험 확산 속도를 따라잡기 어렵다. 이제 개인정보 보호의 중심축은 사고를 온전히 막기 어려운 현실을 인정하고 위험을 사전에 식별·관리하는 사전 예방으로 옮겨가야 한다. 이 전환은 선택이 아니라 현실의 긴박한 요구다. 정부 자료에 따르면, 최근 5년간 개인정보 유출 신고 건수는 2020년 219건에서 2025년 447건으로 두 배 이상이나 증가했다. 같은 기간 유출 규모는 약 1200만건에서 1억354만여 건으로 8.6배나 폭증했다. 더 큰 문제는 유출이 단순한 정보 노출로 끝나지 않고, 보이스 피싱과 같은 범죄로 이어지며 정보 주체의 2차 피해는 물론 막대한 사회적 비용을 유발할 수 있다는 점이다. 이런 맥락에서 개인정보위가 추진하고 있는 ‘예방 중심 개인정보 관리체계 전환’의 방향성은 타당하다. 핵심은 획일적 규율을 벗어난 위험에 비례한 차등적 관리다. 정부가 개인정보 처리 규모, 민감도, 산업별 특성을 고려해 고·중·저 위험군을 나누고 점검 체계를 차등화하며, 대규모 개인정보나 민감정보를 다루는 고위험군을 대상으로 정기·수시 점검을 통해 내부통제를 집중 관리하겠다는 방향은 국민이 체감하는 리스크를 정확히 짚은 것이다. 다만, 이 예방 관리체계가 현장에 안착하려면 규제의 이름표를 바꿔다는 수준을 넘어 설계와 운영의 기본 언어가 바뀌어야 한다. 서비스 기획·설계·개발 단계부터 개인정보 보호 중심 설계(PbD)를 기본값으로 삼는 제도와 실무가 안착해야 한다. 단순히 수집된 정보를 연계정보(CI)와 같은 고정된 식별자로 영구히 묶어두는 경직된 구조에서 벗어나, 데이터의 생애주기 전반에 걸친 동태적(Dynamic) 관리가 필수적이다. 보유 기간이 경과한 데이터는 목적에 맞게 안전하게 파기하거나 익명화 조치를 취하는 등 생애주기별 위험 감소 조치가 수반돼야 한다. 이 전환이 성공하려면 조직의 의사결정 구조와 책임경영이 뒷받침돼야 한다. 정보보호 공시 항목에 개인정보보호책임자(CPO)의 내부통제 점검 결과와 이사회 보고 현황 등 실효적 보호활동을 포함하도록 유도하고, 이런 투자가 입증될 때 과징금 감경 등 인센티브를 과감하게 부여하는 방향은 기업의 능동적 참여를 이끌어낼 합리적 장치다. 아울러 여력이 부족한 중소·영세 사업자에게 소상공인용 구독형 컨설팅과 사고복구 기술지원 등을 병행하는 것도 실효성 있는 상생 방안이 될 것이다. 공공 부문의 변화 역시 다급하다. 이 부문은 국민 생활과 직결된 대량의 행정정보를 다루지만, 상시 취약점 점검이나 전담인력 확충 등 예방 역량이 턱없이 부족한 실정이다. 공공기관의 개인정보 보호수준 평가를 내실화하고, 전담 인력과 재원을 확충하며 처우를 개선해 전문성을 키우겠다는 계획이 차질 없이 실행돼야 한다. 공공이 모범을 보일 때 민간의 동참도 설득력을 얻는다. 기술의 진화, 특히 AI 시대를 맞아 공급망 관리와 선제적 기술 대응은 핵심 과제다. SaaS, 클라우드, 전문수탁자 등 다수 주체가 얽힌 공급망 전반에 대해 책임 소재를 명확히 하고 상시적 모니터링을 통해 보호 공백을 막아야 한다. 나아가 AI 에이전트처럼 시스템이 자율적으로 판단하고 행동하는 신기술이 속속 도입되는 환경에선 사각지대가 발생하기 쉽다. 이를 선제적으로 점검함과 동시에, 개인정보를 보호하면서도 데이터 활용을 가능케 하는 프라이버시 보호 강화기술(PET)의 연구개발(R&D) 투자를 대폭 키워야 한다. 마지막으로, 제도의 완성은 국민의 신뢰 회복에 있다. 다크패턴 같이 신뢰를 저해하는 관행을 개선하고, 아동·청소년 및 어르신 등 디지털 취약계층을 위한 맞춤형 교육 확대 및 제도 설계를 추진해야 한다. 반복된 유출 사고가 남긴 ‘어차피 또 털린다’는 체념을 넘어설 수 있어야 한다. 개인정보 보호가 기본값이 되는 사회는 혁신을 가로막는 사회가 아니라, 위험을 예측해 통제하고 안전한 데이터 활용을 담보하는 사회다. 설계 단계의 작은 기본값 변화와 경영진의 책임 있는 투자, 공급망 전체의 협력이 어우러질 때, AI 시대 대한민국의 경쟁력은 한 차원 더 도약할 것이다.