사회연대경제기본법 통과, 협동조합·사회적기업 개인정보보호 체계 정비 시급

핵심 요약

- 국회가 2026년 8월 사회연대경제기본법을 통과시키고 대통령 직속 '사회연대경제발전위원회' 설치를 의결 - 사회적기업, 협동조합 등 사회연대경제 조직의 법적 기반 마련으로 개인정보 처리 책임 명확화 필요 - 소규모 조직 특성상 개인정보보호 관리체계(ISMS-P) 구축 및 AI 활용 거버넌스 정립이 시급한 과제로 대두

주요 내용

국회가 2026년 8월 21일 사회연대경제기본법을 통과시키면서 사회적기업, 협동조합, 마을기업, 자활기업 등 사회연대경제 조직의 법적 지위가 본격적으로 확립됐다. 이번 법안은 대통령 직속 '사회연대경제발전위원회'를 설치하고, 사회연대경제 조직에 대한 체계적 지원 근거를 마련했다는 점에서 의미가 크다.

사회연대경제 조직은 취약계층 고용, 지역사회 서비스 제공 등을 목적으로 운영되면서 필연적으로 민감정보를 포함한 개인정보를 처리하게 된다. 특히 사회복지 서비스, 돌봄 서비스, 취약계층 지원 과정에서 건강정보, 소득정보, 가족관계 등 고유식별정보와 민감정보를 다루는 경우가 많아 개인정보보호법상 책임이 막중하다.

문제는 대부분의 사회연대경제 조직이 영세한 규모로 운영되면서 전문 개인정보보호 인력을 확보하기 어렵다는 점이다. 2026년 현재 AI 기반 업무 자동화 도구 활용이 확산되면서 ChatGPT 등 생성형 AI를 통한 회원 관리, 상담 기록 정리 등이 일반화되고 있으나, 이 과정에서 개인정보가 외부 플랫폼으로 유출되는 사례가 빈번히 발생하고 있다.

사회연대경제발전위원회는 향후 지원 정책 수립 시 개인정보보호 교육, 간소화된 ISMS-P 인증 프로세스, AI 활용 가이드라인 등을 함께 제공해야 할 것으로 보인다. 특히 협동조합 조합원 정보, 사회적기업 수혜자 정보 등이 디지털 전환 과정에서 안전하게 관리될 수 있도록 기술적·관리적 보호조치 기준을 명확히 제시할 필요가 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 사회연대경제 조직은 '상시근로자 5인 이상' 기준에 따라 개인정보보호법 전면 적용 대상이 되지만, 실무적으로는 개인정보 처리방침 수립, 동의서 관리, 접근권한 통제, 암호화 조치 등 기본 요구사항조차 충족하지 못하는 경우가 많다. 사회연대경제발전위원회는 단순 재정 지원을 넘어 'Privacy by Design' 원칙이 반영된 표준 업무 프로세스와 체크리스트를 개발·보급해야 한다.

특히 2026년 현재 급증하는 바이브 코딩(자연어 기반 AI 자동 코드 생성) 활용 시 주의가 필요하다. 소규모 조직이 회원 관리 시스템을 ChatGPT로 빠르게 구축하는 과정에서 SQL 인젝션 취약점, 인증 미비, 개인정보 로그 노출 등 보안 결함이 자동 생성될 수 있다. 사회연대경제 조직 대상 AI 보조 개발 교육 시 코드 리뷰, 보안 검증, 개인정보 영향평가 절차를 필수로 포함시켜야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 처리 위탁 관리 (개인정보보호법 제26조): 사회연대경제 조직이 외부 IT 서비스(클라우드, AI 플랫폼 등)를 활용할 때 위탁계약서 작성, 위탁업체 관리·감독, 재위탁 제한 등 법적 요구사항을 준수해야 한다. 특히 생성형 AI 활용 시 개인정보가 학습 데이터로 사용되지 않도록 계약 조항을 명확히 해야 한다.

민감정보 처리 제한 (개인정보보호법 제23조): 사회적기업·협동조합이 취약계층 지원 과정에서 처리하는 건강정보, 장애정보는 별도 동의와 최소 수집 원칙이 적용된다. ISMS-P 인증 시 민감정보 처리 프로세스 문서화, 접근권한 최소화, 암호화 저장 등이 중점 심사 항목이 된다.