개보위, '2026 개인정보보호 법률 아이디어 경진대회' 개최...AI 시대 법제도 혁신 나선다

핵심 요약

- 개인정보보호위원회, AI 시대 개인정보 보호·활용 균형을 위한 '2026 개인정보보호 법률 아이디어 경진대회' 개최 - 법학전공자 및 일반 국민 누구나 참여 가능, 9월 30일까지 접수하며 최우수상 300만원 등 총 700만원 시상 - 생성형AI, 아동·청소년 개인정보 등 4개 주제 중심으로 실효적 법제도 개선안 발굴 목표

주요 내용

개인정보보호위원회(위원장 고학수, 이하 개보위)는 2026년 8월 28일, 인공지능 시대에 부합하는 개인정보 보호와 활용의 조화로운 법제도 마련을 위해 '2026 개인정보보호 법률 아이디어 경진대회'를 개최한다고 밝혔다. 이번 경진대회는 법학 전공자뿐만 아니라 개인정보보호에 관심 있는 모든 국민이 참여할 수 있으며, 9월 30일까지 개보위 누리집을 통해 신청할 수 있다.

경진대회의 주요 주제는 △생성형AI 서비스의 개인정보 보호 및 활용 △아동·청소년 개인정보 보호 강화 △개인정보 처리자의 책임성 제고 △글로벌 개인정보 보호 추세 반영 등 4개 분야로 구성된다. 참가자는 이 중 1개 주제를 선택해 현행 법제도의 문제점을 분석하고, 해외 입법례와 국내 판례·행정해석을 바탕으로 구체적인 개선방안을 제시해야 한다.

심사는 2단계로 진행되며, 1차 서면심사를 통과한 팀은 11월 중 개최되는 2차 발표심사에 참여하게 된다. 심사기준은 △주제의 적합성 및 시의성 △문제 분석의 논리성 △해결방안의 창의성과 실현가능성 △법리적 타당성 등이다. 최우수상(1팀, 300만원), 우수상(2팀, 각 200만원), 장려상(2팀, 각 100만원) 등 총 5개 팀에 700만원의 상금이 수여되며, 수상작은 개보위의 정책 및 법령 개정에 적극 반영될 예정이다.

개보위 관계자는 "생성형AI 등 신기술 환경에서 개인정보 보호와 혁신의 균형을 이루는 법제도 마련이 시급하다"며 "다양한 관점과 창의적 아이디어를 통해 국민 눈높이에 맞는 실효성 있는 개인정보 보호 법제를 구축하겠다"고 밝혔다.

전문가 시각

이번 경진대회는 개인정보보호법 제정 이후 급변하는 기술 환경, 특히 생성형AI의 등장으로 인한 법제도적 공백을 메우기 위한 선제적 조치로 평가된다. 2023년 ChatGPT 출시 이후 생성형AI 서비스의 학습데이터 수집·이용, 합성정보 생성 과정에서의 개인정보 처리 등이 법적 쟁점으로 부각되었으나, 현행 개인정보보호법은 이러한 새로운 처리 유형을 명확히 규율하지 못하고 있다. 특히 개인정보 보호법 제15조(개인정보의 수집·이용)와 제17조(개인정보의 제공)가 전통적인 데이터 처리를 전제로 설계되어, AI 학습용 크롤링이나 비식별화된 학습데이터의 법적 지위 등에 대한 해석상 논란이 지속되고 있다.

기업 입장에서는 이번 경진대회를 통해 도출될 법제도 개선방향을 주시할 필요가 있다. 특히 생성형AI 서비스를 제공하거나 활용하는 기업은 향후 법령 개정 시 준수해야 할 의무사항이 구체화될 가능성에 대비해야 한다. ISMS-P 인증 취득 기업의 경우, AI 활용 과정에서의 개인정보 처리 프로세스를 현재부터 체계적으로 문서화하고, 내부 관리계획에 반영하는 선제적 대응이 요구된다. 아동·청소년 개인정보 보호 강화 주제 역시 온라인 서비스 제공자에게는 연령 확인 체계, 법정대리인 동의 절차 등 실무적 대응방안 마련이 시급한 과제다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.1(개인정보 영향평가) - AI 서비스 도입 시 사전 영향평가 실시 여부
생성형AI 등 신기술을 활용한 개인정보 처리 시스템 도입 시, 개인정보보호법 제33조(개인정보 영향평가)에 따른 사전 영향평가 실시 여부를 중점 점검한다. 특히 AI 학습데이터 수집 단계, 모델 학습 과정, 서비스 제공 단계에서의 개인정보 처리 흐름이 명확히 식별·평가되었는지, 위험도 분석 및 보호조치가 적정한지 확인해야 한다. 100만명 이상의 정보주체에게 서비스를 제공하는 사업자는 의무적으로 영향평가를 실시해야 하며, 이를 이행하지 않을 경우 법 제75조에 따라 과태료가 부과될 수 있다.

2. 인증기준 2.1.3(개인정보 처리 관련 법령 및 지침 준수) - 아동·청소년 개인정보 보호 절차 이행 여부
만 14세 미만 아동의 개인정보를 처리하는 경우, 개인정보보호법 제22조(동의를 받는 방법)에 따른 법정대리인 동의 절차가 적정하게 구현되어 있는지 심사한다. 연령 확인 메커니즘, 법정대리인 본인 확인 수단, 동의서 보관 및 관리 체계 등을 점검하며, 특히 최근 강화되고 있는 아동·청소년 보호 규제 동향에 따라 단순 형식적 동의를 넘어 실질적 보호장치 마련 여부를 확인한다. 위반 시 법 제71조에 따라 5천만원 이하의 과태료가 부과될 수 있다.

3. 인증기준 2.9.1(개인정보 처리방침 수립 및 공개) - AI 활용 관련 투명성 확보
생성형AI 서비스 제공 시 개인정보 처리방침에 AI 학습데이터 수집·이용 목적, 처리 항목, 보유기간, 제3자 제공 여부(클라우드 AI 서비스 이용 시) 등이 명확히 고지되어 있는지 점검한다. 개인정보보호법 제30조(개인정보 처리방침의 수립 및 공개)는 정보주체가 쉽게 확인할 수 있도록 공개할 것을 요구하며, AI 처리의 자동화된 의사결정이 있는 경우 그 존재 및 중요성, 예상 결과에 관한 정보도 제공해야 한다.

위반 조항

본 경진대회 자체는 법령 위반 사안이 아니나, 다루고 있는 주제들과 관련된 주요 위반 가능 조항은 다음과 같다:

개인정보보호법 제15조(개인정보의 수집·이용) 위반
생성형AI 학습을 위한 웹 크롤링 등으로 정보주체 동의 없이 개인정보를 수집·이용하는 경우, 법 제15조 제1항 각호의 정당한 사유 없이 개인정보를 처리한 것으로 간주되어 제71조에 따라 5천만원 이하의 과태료 또는 제70조에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금이 부과될 수 있다.

개인정보보호법 제22조(동의를 받는 방법) 위반
만 14세 미만 아동의 개인정보를 처리하면서 법정대리인의 동의를 받지 않거나 형식적으로만 받은 경우, 법 제22조 제6항 위반으로 제71조에 따라 5천만원 이하의 과태료가 부과된다. 특히 아동·청소년 대상 서비스에서 연령 확인 절차를 우회하거나 생략하는 경우 가중 처벌될 수 있다.

개인정보보호법 제33조(개인정보 영향평가) 미실시
대규모 개인정보 처리 시스템에 생성형AI를 도입하면서 사전 영향평가를 실시하지 않은 경우, 법 제33조 위반으로 제75조에 따라 3천만원 이하의 과태료가 부과된다. 영향평가 대상 여부를 판단하지 않거나 고의로 회피한 경우 책임성이 인정될 수 있다.

CPPG·ISMS-P 연계 포인트

1. 생성형AI와 가명정보 처리 (CPPG 핵심개념)
개인정보보호법 제28조의2(가명정보의 처리 등)는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 정보주체 동의 없이 가명정보를 처리할 수 있도록 허용한다. 생성형AI 학습에 가명정보를 활용하는 것이 '과학적 연구' 목적에 해당하는지 여부는 현재 해석상 논란이 있으며, 이번 경진대회에서 다뤄질 핵심 쟁점이다. CPPG 시험에서는 가명처리의 적정성 기준(제28조의3), 결합·반출 절차(제28조의4~5), 재식별 금지 의무(제28조의6) 등이 출제 빈도가 높은 영역이다.

2. 아동 개인정보 보호와 법정대리인 동의 (ISMS-P 핵심통제)
만 14세 미만 아동의 개인정보 처리 시 법정대리인의 동의는 필수적 법적 요건이다(법 제22조 제6항). ISMS-P 인증심사에서는 연령 확인 방법의 신뢰성, 법정대리인 본인확인 수단의 적정성, 동의 철회 시 즉시 처리 중단 메커니즘 등을 중점 점검한다. 특히 온라인 서비스의 경우 회원가입 단계에서의 기술적 구현뿐 아니라, 내부 처리 프로세스 전반에 걸친 아동 보호 체계가 수립되어 있는지 확인하며, 이는 인증기준 2.1.3(법령 준수)의 핵심 평가항목이다.