● 개인정보 활용과 보호의 딜레마
개인정보의 중요성과 그것이 노출되었을 때의 위험성을 모르는 사람은 없다. 다만 현대사회에서는 국가기관이나 기업 등에게 개인정보를 제공하지 않으면 정상적인 생활을 할 수 없기 때문에 개인정보는 항상 노출될 수밖에 없다. 결국 개인정보 활용의 편의성과 개인정보 보호를 위한 통제의 필요성 사이에서 위태로운 줄타기를 해야 한다.

이런 개인정보 보호의 딜레마는 오래전부터 논의돼 왔고, 세계 각국은 여러 법제도를 통해 서로 충돌하는 두 가지 방향 사이에서 균형을 맞추려고 노력해왔다. 개인정보의 수집과 활용을 허용하면서도 개인정보의 주체에게 결정권을 부여하고 개인정보를 취급하는 자에게 비밀유지의무, 관리의무, 일정 기간 후의 삭제의무 등의 엄격한 책임을 지우는 식이다. 완벽하진 않지만 어느 정도 수긍할 수 있는 균형점을 찾으려고 시도한 것이다.

● 계속되는 개인정보 유출 사고, 완벽하지 않은 개인정보 보호
우리나라에서도 2000년대 후반에 옥션 해킹 사건(약 1천81만 명 유출)과 GS칼텍스 고객정보 유출 사건(약 1천1백25만 명 유출) 등 굵직한 정보 유출 사건들이 연이어 터지며 개인정보 보호를 강화해야 한다는 목소리가 커졌다. 2011년에 여러 법률 아래 분산돼 있던 개인정보 보호 규정들을 ‘개인정보 보호법’이라는 하나의 통합된 기본법으로 정비해 기존의 사각지대를 없앴다.

그러나 안타깝게도 그 이후에도 개인정보 유출 사고는 계속해서 발생하고 있다. 최근 벌어진 큰 사고들만 봐도 개인정보 보호가 제대로 이뤄지지 않고 있다고 느껴진다. 2025년 발생한 쿠팡의 대규모 유출사고(피해자 3천7백55만 명)와 SKT의 가입자 정보 해킹 사고(피해자 2천3백24만 명)는 과거 일부 IT기업의 문제로 치부되던 보안 사고가 이제는 전 국민적 재난 수준으로 커지고 있음을 보여줬다.

올해 2026년에 발생한 KT 사태는 유출 규모가 1만6천 명으로 상대적으로 적었으나, 불법 소형 기지국(펨토셀)을 악용한 탓에 무단 소액결제 피해까지 발생해 그 심각성은 적지 않았다. 심지어 지난 5월에는 공공 포털인 ‘1365자원봉사’마저 뚫리며 9백30명의 정보가 유출됐다. 아마도 알려지지 않은 소규모사고는 훨씬 많을 것이다.

개인정보 유출 사고 전후 사정을 살펴보면 현재의 법 규정이 충분하지 않다는 인상을 준다. ‘개인정보 보호법’ 제34조는 개인정보 유출이 발생했을 때 지체 없이 이용자에게 그 사실을 알리도록 규정하고 있다. 그러나 쿠팡을 비롯한 다수의 기업은 유출 사실을 제때 통지하지 않거나 축소하기 급급했고, 사후적인 처리도 충분하지 않았다.

또한 동법 제39조는 개인정보를 잃어버리거나 도난당했을 때 기업이 손해배상책임을 지도록 명시하고 있지만, 실제 민사소송이나 소비자분쟁조정을 통해 개인이 받을 수 있는 위자료는 1인당 평균 10만원 남짓에 불과하다. 피해의 심각성에 비해 배상금액이 작다 보니 피해자들이 배상 과정의 번거로움, 소송비용이나 손해 입증의 어려움 등을 고려하여 이마저도 포기하는 경우도 많다.

사태의 심각성을 인지한 정부와 입법부도 ‘개인정보 보호법’ 등을 계속 개정하면서 대응 수위를 높이고 있다. 2023년에는 실제 피해액보다 더 큰 금액의 손해배상을 명할 수 있는 징벌적 손해배상을 3배에서 5배로 강화하고, 손해배상청구소송에서 개인정보처리자에게 손해의 증명 또는 손해액의 산정에 필요한 자료의 제출을 명할 수 있는 근거 규정을 도입하였으며, 과징금에 관한 상세한 규정을 신설하였다.

이후 쿠팡 개인정보 유출 사고에 대한 대응으로서 2026년 3월에 다시 한번 법을 개정하여 개인정보 보호책임자의 업무를 구체화하고 과징금 부과 기준을 보강했다. 또한 정부는 최근 개인정보 보호 관련 인력을 11년 만에 일괄 증원하며 현장 감독과 단속 역량을 대폭 강화했다. 그러나 과연 이런 조치만으로 충분할지에 대해서는 의구심이 든다. 그러나 정부기관에 의한 관리와 감독, 사후적인 제재는 대규모로 상시적으로 수집되고 활용되는 개인정보의 보호에 충분할 수 없기 때문이다.

● 인공지능의 발전과 새로운 딜레마, 더 커진 위험
지금까지 이야기한 것은 디지털 시대의 일반적인 개인정보 보호 문제이다. 그런데 최근 인공지능 시대가 도래하면서 개인정보에 관한 새로운 딜레마가 등장했다. 더 정확하게 표현하자면, 기존 딜레마의 균형점을 개인정보 활용을 쉽게 하는 방향으로 움직이게 하는 압력이 강해졌다고 해야 할 것이다.

기업들은 예전부터 소비자 개개인들의 연령, 주소, 직업 등의 쉽게 공개할 수 있는 정보부터 소득 수준, 소비 패턴, 취미, 인간관계, 취향 등 내밀한 정보까지 탐냈다. 인공지능 서비스를 제공하는 기업들은 더 강력한 동기를 가지고 있다. 현재 기업들과 연구자들은 인공지능 분야에서의 국제적인 경쟁에서 살아남기 위해 개인정보를 더 쉽게 활용할 수 있도록 법률상 제약을 풀어달라고 강력하게 요청하고 있고, 정부와 입법자들은 이런 목소리를 외면하기 어려운 상황이다.

한편 오늘날에는 디지털 신원증명과 인공지능 기반 맞춤형 서비스가 보편화되고 있어서 한 곳에서 수집된 개인정보를 이용해 다른 플랫폼의 개인정보를 쉽게 수집할 수 있고, 그 정보들을 인공지능 기술과 결합하여 피싱, 스미싱, 명의도용 등의 침해행위를 더 정교하고 쉽게 실행할 수 있다. 즉, 개인정보 수집의 동기와 이익이 커진 만큼 개인정보 유출 가능성과 심각성도 더 증가하고 있다.

이런 상황에서 ‘개인정보 보호법’ 개정안이 2026년 8월 20일 국회 본회의에서 통과되며, ‘인공지능기술 개발을 위한 개인정보 처리 특례’가 신설됐다. 이에 따라 엄격한 사전 심의를 거칠 시 무거운 책임(위험 평가, 투명한 공개, 관리·감독)이 따르지만, 익명화되지 않은 원본 데이터를 제한적으로 활용할 수 있게 될 예정이다. 그러나 주의할 점은 관리와 감독, 사후적인 제재 등의 통제는 완전할 수 없다는 것이다. 또한 개인정보 수집의 직접적인 이익은 주로 기업들이 누리고, 가늠할 수 없는 개인정보 유출의 피해는 개인이 먼저 부담하는 구도도 동일하다.

● 개인정보 보호를 위한 개인의 행동 원칙
인공지능 발전에 따라 개인정보 수요는 급증할 것이고, 이에 비례해 개인정보 유출로 인한 개인의 피해는 점점 더 막기 어려워질 것이다. 이런 시대적 흐름 속에서 개인이 개인정보 수집 및 활용 동의에 더 신중해야 한다고 말하는 것은 의미가 없다. 그럼에도 불구하고 새로운 패러다임과 기술이 등장하기 전까지 이 문제는 우선적으로는 개인에게 맡겨져 있다. 인공지능에 대한 의존성이 커지고 있지만, 적어도 중요한 결정이나 개인정보 관련 사항에 대해서만큼은 한 번 더 의심하고 생각하여 스스로 결정하는 자주성을 지켜야 한다.

마지막으로 개인정보 유출이 의심된다는 통지를 받았을 때의 대처법에 대해 간단히 언급하면서 글을마친다. 첫째, 동일한 아이디와 비밀번호를 사용하는 모든 웹사이트의 비밀번호를 즉시 변경하고 2단계 인증을 설정해야 한다. 둘째, ‘명의도용방지서비스(M-Safer)’에 접속해 신규 통신 가입을 제한하고, 금융감독원 ‘파인(FAIN)’에서 개인정보 노출자 사고예방 시스템에 등록해 무단 대출과 계좌 개설을 원천 차단해야 한다. 셋째, 유출된 연락처를 겨냥한 정교한 스미싱 문자가 급증하므로, 출처가 불분명한 링크는 절대 클릭하지 말고 KISA(한국인터넷진흥원) 등을 통해 적극적으로 구제를 신청해야 한다.