이루다 AI만 문제?…'개인정보 처리방침' 공개·갱신 안한 기업 '수두룩'

[아이뉴스24 김국배 기자] 인공지능(AI) 챗봇 '이루다' 사태의 후폭풍이 가시지 않는 가운데 민간 기업의 '개인정보 처리 방침' 관리가 부실하다는 조사 결과가 나왔다.

정부는 개인정보보호법 2차 개정을 통해 '개인정보 처리 방침 심사 제도' 등 개인정보 처리 방침 관리와 관련한 기업들의 책임을 강화하는 방안을 검토 중이다.

19일 개인정보보호위원회(이하 개인정보위)와 한국인터넷진흥원(KISA)가 내놓은 '2021년 개인정보보호 7대 이슈 보고서'에 따르면 지난해 개인정보보호 실태 조사 결과 민간 기업의 절반 수준인 48.5%가 '개인정보처리 방침'을 공개하고 있지 않은 것으로 조사됐다.

개인정보 처리 방침을 공개한 기업의 경우에도 갱신 시기가 1년이 넘은 기업이 절반 이상(57.7%)이었다. 작성 이후 한번도 갱신한 적이 없는 기업도 무려 24.8%에 달했다. 개인정보 처리 방침은 정보 주체의 개인정보 수집·이용 시 동의 내용의 토대다.

최근 스캐터랩이 이루다를 폐기까지 하게 된 데는 혐오 발언 등 AI 편향성 문제보다 이용자의 개인정보 처리 문제에 따른 반발이 컸다. 스캐터랩이 다른 서비스인 '연애의 과학'에서 수집한 사적인 카카오톡 대화 내용이 이루다의 학습에 활용됐다는 사실이 드러나면서 이용자 동의를 제대로 받았는지 등이 논란이 된 것이다.

이런 가운데 정부는 현재 개인정보 처리 방침을 심사해 개인정보 처리자의 투명성·책임성을 강화하는 방안을 추진 중이다.

실제로 개인정보위가 지난 6일 입법 예고한 개인정보보호법 일부 개정 법률안(2차 개정안)을 보면, 개인정보 처리 방침 심사 제도를 도입하는 안(제30조의2)이 포함돼 있다. 개인정보위 직권 또는 개인정보 보호 관련 비영리 민간단체 등이 청구하면 개인정보 처리의 적정성을 심사할 수 있도록 하는 내용이다.

개인정보위는 이번 보고서에서 올해 개인정보보호 7대 이슈 중 하나로 '실효성 있는 동의 제도 수립'을 꼽기도 했다. 데이터 경제 활성화를 저해하지 않으면서 정보주체가 실질적이고 자발적인 결정권을 행사할 수 있도록 동의 및 고지 제도를 개선하는 논의가 필요하다는 것이다.

개인정보위는 보고서에서 "정보주체 관점에서 복잡한 동의 내용을 이해하기 쉽게 개선하고, 현행법상 산재돼 있는 동의사항을 체계적으로 규정해야 한다"고 지적했다.

예를 들어 아동·노년층의 이해도를 높이기 위한 알기 쉬운 개인정보 수집·제공 동의서 및 개인정보 처리 방침 작성 등을 독려해야 한다는 것이다. 실제로 네이버는 개인정보 처리 방침을 '이지(EASY) 버전'과 '인포그래픽 버전'으로 제공하고 있다.

한편, 이번 보고서에 일부 인용된 개인정보보호 실태 조사는 종사자 수 5인 이상, 개인정보 1천개 이상을 보유한 민간 기업 2천개를 대상으로 진행된 것으로, 내달쯤 전문이 공개될 예정이다.