토스 '환급액 찾기' 서비스 위기…개인정보 최소수집 원칙 vs AI 서비스 딜레마

핵심 요약

- 개인정보보호위원회가 기업의 과도한 개인정보 수집·보유에 대한 규제 강화 방침을 밝히며 토스 '환급액 찾기' 등 AI 기반 서비스가 타격 예상 - 개인정보 대규모 축적 시 유출 위험 증가를 이유로 소비자 데이터 통제권 강화 필요성 제기 - 산업계는 "데이터 없이는 AI 서비스 불가능"하다며 반발, 개인정보 최소수집 원칙과 AI 서비스 고도화 간 충돌 본격화

주요 내용

2026년 8월 현재, 개인정보보호위원회가 기업의 개인정보 과다 축적 문제를 지적하고 나서면서 토스의 '환급액 찾기'를 비롯한 AI 기반 금융 서비스들이 중대한 기로에 섰다. 개인정보보호위는 기업 서버에 개인정보가 과도하게 쌓일 경우 대규모 유출 사고로 이어질 위험이 커진다는 점을 들어, 소비자가 자신의 데이터를 직접 통제할 수 있도록 보호 장치를 강화해야 한다는 입장을 명확히 했다.

이번 조치는 개인정보보호법상 '개인정보 최소수집 원칙'과 '목적 외 이용 금지' 원칙을 재확인하는 동시에, 최근 급증하는 AI 서비스 사업자들의 무분별한 데이터 수집 관행에 제동을 거는 의미를 담고 있다. 특히 토스의 환급액 찾기 서비스는 사용자의 금융 거래 내역, 소득 정보, 세금 납부 이력 등 민감한 개인정보를 광범위하게 수집·분석해 숨은 환급금을 찾아주는 방식으로 운영되는데, 이러한 데이터 축적 방식이 규제 당국의 우려 대상이 된 것이다.

산업계는 즉각 반발하고 나섰다. 금융권과 핀테크 업계 관계자들은 "AI 서비스의 정확도와 개인화는 충분한 데이터 학습에서 나온다"며 "데이터 수집을 지나치게 제한하면 글로벌 경쟁에서 뒤처질 수밖에 없다"고 주장했다. 실제로 LLM(대규모 언어모델) 기반 금융 상담 서비스, AI 투자 자문, 맞춤형 보험 추천 등 2025년 이후 급성장한 AI 금융 서비스들은 대부분 방대한 개인정보 분석을 전제로 하고 있어, 데이터 최소화 원칙 적용 시 서비스 품질 저하가 불가피하다는 입장이다.

이번 논란은 단순한 규제 vs 혁신 대립을 넘어, AI 시대 개인정보보호 패러다임의 근본적 재설계가 필요함을 보여준다. 특히 바이브 코딩(Vibe Coding) 방식으로 빠르게 개발되는 AI 서비스들이 개인정보 처리 단계에서 필수적 보안 통제를 누락하는 사례가 증가하면서, 기술적 편의성과 법적 준수성 간 균형점 찾기가 시급한 과제로 떠올랐다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 사안은 '개인정보 라이프사이클 관리' 전 단계에서 최소수집·최소보유 원칙이 얼마나 중요한지를 재확인시킨다. 실무적으로 AI 서비스 기획 단계부터 개인정보영향평가(PIA)를 통해 ①수집 항목별 필요성 입증 ②보유기간 최소화 ③목적 달성 후 즉시 파기 체계를 설계해야 한다. 특히 토스와 같은 핀테크 기업은 ISMS-P 인증 유지를 위해 개인정보 처리방침에 명시된 수집 목적과 실제 AI 모델 학습 용도 간 괴리가 없는지 정기 점검이 필수다. 2026년 현재 개인정보보호위의 단속 강화 추세를 고려하면, 동의 없는 목적 외 이용은 과징금뿐 아니라 인증 취소 사유가 될 수 있다.

기업 대응 방향으로는 '프라이버시 강화 기술(PETs)' 도입이 현실적 해법이다. 연합학습(Federated Learning)을 활용해 개인정보를 서버에 집중시키지 않고 분산 학습하거나, 차등 프라이버시(Differential Privacy) 기법으로 개인 식별 가능성을 최소화하면서도 AI 모델 성능을 유지하는 방법론이 이미 검증되고 있다. 또한 바이브 코딩으로 빠르게 프로토타입을 개발하는 과정에서도, AI가 자동 생성한 개인정보 처리 코드에 대해 ①접근 통제 ②암호화 ③로그 기록 등 필수 보안 통제가 누락되지 않았는지 코드 리뷰 단계에서 반드시 검증해야 한다. ChatGPT 등 생성형 AI가 작성한 코드는 편의성은 높지만 개인정보보호법 준수 여부를 자동 검증하지 못하므로, 인간 전문가의 최종 검수가 반드시 필요하다.

CPPG·ISMS-P 연계 포인트

개인정보 최소수집 원칙 (개인정보보호법 제16조)
개인정보처리자는 서비스 제공에 필요한 최소한의 개인정보만 수집해야 하며, 필요 이상의 개인정보 수집을 동의 조건으로 해서는 안 된다. ISMS-P 인증 심사 시 개인정보 수집 항목별 필요성 입증 자료(수집·이용 내역, 법적 근거, 보유기간 등)를 요구하며, AI 서비스라 하더라도 예외는 인정되지 않는다.

개인정보 영향평가(PIA) 의무화 (개인정보보호법 제33조)
50만 명 이상의 정보주체에 관한 민감정보·고유식별정보를 처리하는 개인정보파일 운용 시 사전에 개인정보 영향평가를 받아야 한다. 토스와 같은 대규모 핀테크 서비스는 PIA 대상이 되며, AI 모델 학습 목적의 데이터 결합·활용 계획도 평가 범위에 포함된다. 평가 결과 위험도가 높을 경우 개인정보보호위는 처리 중지 또는 방식 변경을 권고할 수 있다.