행정안전부와 개인정보보호위원회가 2026년 11월 1일 서울 연세대 백양누리에서 제3차 ‘모두의 토론회’를 열고, AI가 개인정보를 쓸 때마다 동의를 받을지, 미리 알리고 거부할 길을 열어둘지를 국민 200여 명과 논의했다. 참석자는 공개 모집으로 선정된 국민과 전문가들이었다고 연합뉴스는 전했다.
시간순으로 보면 개인정보위가 동의 중심 체계를 문제 삼은 것은 이번이 처음이 아니다. 개인정보위는 국민 정책제안 접수(8월 6일~31일)를 알린 보도자료에서, 현행법의 핵심 구조로 “30여 년 전 디지털 환경을 기준으로 설계되었던 개별적 동의 중심의 규율”이 유지돼 왔다고 설명했다(개인정보보호위원회). 이번 토론회에서 송경희 개인정보보호위원장은 “개인정보 보호 제도를 근본적으로 재설계해야 할 때”라고 말했다(연합뉴스).
이 글은 두 방식이 각각 무엇을 지키려 하고 어디서 약해지는지, 조별 발표에서 어떤 근거가 오갔는지, 이용자·기업·정부가 무엇을 떠안는지를 차례로 정리한다. 미리 말하면 정부가 밝힌 다음 단계는 국민 의견과 전문가 제안을 향후 개인정보 제도 개선을 위한 정책 검토에 활용하겠다는 계획이다(파이낸셜뉴스). 그래서 이날의 결론은 결정이 아니라 의견으로 읽는 것이 맞다고 본다.
AI 비서에게 식당 예약을 맡기면 이름과 전화번호가 밖으로 나간다
연합뉴스가 든 예시는 이렇다. AI 비서에게 식당 예약을 요청하면 AI는 이용자의 이름과 전화번호, 예약 시간 등을 외부 예약 플랫폼이나 식당에 전달해야 한다(연합뉴스).
쟁점은 그다음이다. 이용자가 예약을 요청했다는 사실만으로 개인정보 제공까지 허용한 것으로 볼 수 있는지, 다른 회사에 정보를 전달할 때마다 별도의 동의를 받아야 하는지를 놓고 의견이 엇갈린다.
현행 개인정보 보호법이 동의만 요구하는 것은 아니다. 정보주체의 동의 외에도 계약 이행이나 법령상 의무, 개인정보처리자의 정당한 이익 등 일정한 요건을 충족하면 개인정보를 처리할 수 있다(파이낸셜뉴스).
그런데도 쟁점이 생기는 이유를 연합뉴스는 환경 변화에서 찾았다. AI가 여러 서비스를 연결해 이용자의 요청을 수행하는 환경에서는 기존 처리 기준만으로 해결하기 어려운 문제가 생길 수 있다는 것이다.
이 글의 해석으로는 여기서 말하는 AI 비서가 개인정보위가 쓰는 ‘AI 에이전트’라는 말과 겹친다. 개인정보위는 AI 에이전트를 이용자의 요청에 따라 스스로 판단하고 다양한 정보를 조회·활용하며 업무를 수행하는 서비스로 설명했다(개인정보보호위원회).
‘매번 동의’와 ‘고지 후 거부’는 서로 다른 곳에서 약해진다
토론의 두 축을 표로 정리했다. 방식의 이름은 연합뉴스 기사 제목의 표현을 따랐고, 내용은 연합뉴스 보도의 설명을 옮겼다.
| 구분 | 매번 동의(사전 동의) | 고지 후 거부 |
|---|---|---|
| 방식 | 다른 회사에 정보를 넘길 때마다 별도의 동의를 받는다 | 법적으로 합리적이고 정당한 근거가 있으면 처리 목적과 내용을 미리 알리고, 원하면 언제든 거부·중단할 수 있게 한다 |
| 지키려는 것 | 정보가 어디에 어떻게 쓰이는지 정보주체가 직접 확인하고 허용 여부를 결정하는 것 | 반복 동의가 실질적 선택권을 약화하는 문제를 피하는 것 |
| 지적된 약점 | 동의 화면이 너무 자주 뜨면 내용을 충분히 확인하지 않고 형식적으로 동의 버튼을 누를 수 있다 | 사전 안내를 확인하지 못하거나 거부 절차가 복잡하면 통제권을 제대로 행사하기 어렵다 |
‘고지 후 거부’가 낯선 말이라면 표의 셋째 열이 풀이다. 동의를 먼저 받는 대신, 법적 근거가 있는 경우에 처리 목적과 내용을 미리 알리고 이용자가 언제든 빠져나갈 길을 열어두는 방식이다.
개인정보위 보도자료에도 둘째 열의 약점이 사례로 올라 있다. 국민이 긴 동의서를 충분히 이해하기보다 형식적으로 동의 버튼을 누르게 되면서, 동의 기반 처리가 오히려 실질적인 보호 수준이나 통제권을 약화시킬 수도 있다는 지적이 제기되고 있다는 내용이다(지디넷코리아).
이 글의 해석으로는 두 약점이 같은 질문으로 모인다. 이용자가 안내를 실제로 읽고, 원할 때 쉽게 거절할 수 있느냐다. 그렇다면 방식의 이름 못지않게 화면 설계와 거부 절차가 실제 보호 수준을 가를 수 있다.
조별 발표는 ‘신뢰가 먼저’와 ‘속도를 못 따라간다’로 갈렸다
같은 날 나온 연합뉴스 기사 두 건을 송고 시각순으로 보면 토론의 진행이 보인다. 오후 1시 송고된 첫 기사는 국민 분임 토론과 전문가 토론 등이 “진행된다”고 예고형으로 썼고(연합뉴스), 오후 7시 23분 송고된 종합 기사에 조별 발표 내용이 실렸다(연합뉴스 종합).
종합 기사가 전한 조별 발표는 다음과 같다.
- 사전 동의를 선호한 한 조: “우리 사회에 아직 AI를 통한 혹은 개인정보 활용에 대한 신뢰가 두텁지 못한 것 같다”며 “신뢰가 확보된 상태에서 미리 알려주고 중단할 수 있는 방식으로 나아가도 좋을 것 같다”고 말했다.
- 다른 조: “우리가 AI에 주는 정보 중 생각보다 굉장히 민감한 정보가 많다”며 정보가 어디까지 쓰일지 예측하기 어렵다고 우려했다.
- 사전 고지 후 거부를 선호한 한 조: “산업의 발달 속도와 AI 처리 속도를 우리가 따라갈 수가 없다”며 데이터 활용 구조와 국가 기술 발전 측면의 이점을 들었다.
- 또 다른 조: AI 시대의 편의성을 고려해 사전 고지 후 거부 방식을 선호하면서도 “법적·제도적인 안전장치가 뒷받침되어야 한다”고 강조했다.
이 글의 해석으로는 양쪽에서 모두 조건을 단 발표가 나왔다는 점이 눈에 띈다. 사전 동의를 고른 조는 신뢰가 확보되면 고지 후 거부로 가도 좋다고 했고, 고지 후 거부를 고른 한 조는 안전장치를 전제로 걸었다. 연합뉴스가 전한 발표만 놓고 보면 대립은 ‘어느 방식이냐’ 못지않게 ‘어떤 조건에서 넘어가느냐’를 둘러싼 것으로 읽힌다.
다만 전체 조가 몇 개였는지, 각 방식을 고른 조가 몇 곳이었는지는 연합뉴스 종합 기사에 나오지 않는다. 이 발표들을 참석자 전체의 다수 의견으로 읽어서는 안 되는 이유다.
개인정보위가 꼽은 동의 체계의 한계는 AI 비서에 그치지 않는다
개인정보위가 정책제안 접수를 알리며 내놓은 설명은 법의 이력에서 시작한다. 개인정보 보호 법체계는 1990년대 중반 공공분야와 정보통신·금융 분야에 각각 도입됐고, 2011년 개인정보 보호법 제정과 2020년 분산된 보호 체계 통합을 거쳐 지금의 구조가 됐다(지디넷코리아).
개인정보위는 그사이 데이터 환경이 달라졌다고 봤다. 인공지능 환경에서는 다양한 데이터가 누적돼 학습되고, 여러 기관이 데이터를 연계 활용하며, AI 에이전트가 이용자를 대신해 업무를 수행하는 형태로 빠르게 전환되고 있다는 설명이다(개인정보보호위원회).
지디넷코리아가 정리한 개인정보위의 대표 사례는 아래와 같다.
| 사례 | 개인정보위가 설명한 문제 |
|---|---|
| ① 반복돼 형식화하는 동의 | 동의 외 적법처리 근거가 확대돼 왔는데도 형식적 동의 관행이 이어진다 |
| ② 가명정보 기반 국제 공동연구 | 해외 연구기관과 공동연구 때 국외이전에 정보주체 동의가 필요하지만, 이미 개인을 식별할 수 없는 상황에서 재동의를 받기가 현실적으로 어렵다 |
| ③ AI 에이전트 서비스 | 여러 에이전트가 협업하거나 외부 서비스·도구와 연계될 때 매번 새로운 동의가 필요한 경우가 있을 수 있다 |
| ④ 신규 프라이버시 이슈 | 로봇·드론·스마트 글라스 같은 기기가 보급되며 기존 법제로 포섭하기 어려운 이슈가 등장한다 |
이 글의 비교로는 토론회의 식당 예약 예시가 사례③과 가장 가깝다. 개인정보위는 사례③을 설명하며 동의 기반 처리의 한계와 함께 ‘새로운 책임 구조 설정’도 논의 과제로 들었다. 동의 방식만 바꿔서는 풀리지 않는 부분이 있다는 뜻으로 읽힌다.
혁신의 방향도 한쪽으로만 가는 것은 아니다. 개인정보위는 형식화된 규제는 덜어내 혁신 역량을 강화하고 실제 필요한 보호 강화에 집중한다는 취지를 밝혔다(개인정보보호위원회).
이 보도자료에 적힌 절차는 다음 순서다.
- 7월 30일 ‘개인정보 제도 혁신 TF’ 구성
- 8월 6일~31일 개인정보 포털과 소통혁신24에서 국민 정책제안 접수, 우수 제안자에게 위원장 표창 계획
- 우수 제안을 포함해 정책 과제를 선정하고 공개 토론회·세미나 등을 개최할 예정
- 국민·기업·전문가가 참여하는 공론화를 거쳐 AI 시대 개인정보 제도 혁신 방향을 ‘연내’ 발표할 계획
3·4번은 보도자료가 나올 당시의 계획이다. 지디넷코리아가 이 내용을 보도한 날짜는 2026년 8월 7일이고, ‘연내’는 그 시점 기준의 표현이다(지디넷코리아).
이용자·기업·정부가 떠안는 몫은 서로 다르다
전문가들은 개인정보 활용 범위뿐 아니라 기업과 정부의 보호 책임도 함께 논의해야 한다고 강조했다(파이낸셜뉴스). 김도승 전북대 법학전문대학원 교수는 개인정보 보호를 개인의 동의에만 맡기는 데 한계가 있다고 지적했다.
김 교수는 기업이 “개인정보 처리의 적법성과 안전성을 책임지는 것은 물론”, 국가도 “위험을 예방하고 권리침해를 구제하기 위한 제도를 마련하고 실효성 있게 운영해야 한다”고 강조했다.
발제자인 김병필 한국과학기술원(KAIST) 기술경영학부 교수는 “어떤 판단을 AI에게 맡기고, 어떤 순간에는 나에게 다시 물어보도록 할지 함께 기준을 만들어 가야 한다”고 말했다(연합뉴스).
발언을 당사자별로 나누면 아래와 같다. 이 목록은 토론에서 나온 주장을 이 글이 정리한 것이며, 확정된 책임 분담이 아니다.
- 이용자: 두 방식의 약점(형식적 동의, 놓친 안내와 복잡한 거부 절차)은 모두 이용자 쪽에서 드러난다.
- 기업: 김도승 교수는 처리의 적법성과 안전성 책임을 기업 몫으로 들었다. 사업자 측 발언은 연합뉴스·파이낸셜뉴스 보도에 나오지 않는다.
- 정부: 김 교수는 위험 예방과 권리침해 구제 제도의 마련·운영을 국가 몫으로 들었다. 연합뉴스 첫 기사는 정부의 감독 및 피해구제 역할을 참석자들이 의견을 나눌 주제로 소개했다.
정부 쪽 발언은 ‘반영하겠다’는 약속까지다
토론회에 참석한 정부·청와대 인사들의 발언을 성격별로 나눠 보면 다음과 같다. ‘성격’ 분류는 이 글의 판단이다.
| 발언 주체 | 보도된 발언·계획 | 성격 |
|---|---|---|
| 정부 | 국민 의견과 전문가 제안을 향후 제도 개선 정책 검토에 활용 | 계획 |
| 송경희 개인정보보호위원장 | “숙의의 결과가 실제 제도 개선으로 이어지도록 최선을 다하겠다” | 의지 표명 |
| 전성환 청와대 경청통합수석비서관 | “오늘 여러분께서 주신 귀한 고견과 생각들을 잘 모아 정책에 반영하겠다” | 의지 표명 |
| 김민재 행정안전부 차관 | 국민의 지적과 대안이 “정책 방향을 결정하는 나침반이 될 것” | 기대 |
송 위원장과 전 수석의 발언은 연합뉴스 종합 보도, 김 차관의 발언은 파이낸셜뉴스 보도에 실렸다.
이 글의 해석으로는 이 발언들은 방향과 의지를 밝힌 것이고, 매번 동의와 고지 후 거부 가운데 하나를 택했다는 결정으로 읽을 근거는 이날 보도에 없다.
같은 토론회라도 매체마다 비중을 둔 대목이 달랐다. 파이낸셜뉴스 기사는 김민재 차관의 인사말을 길게 전했고, 연합뉴스 종합 기사는 조별 발표와 송 위원장·전 수석의 발언을 실었다. 한 기사만 읽으면 토론회의 다른 면을 놓칠 수 있다는 것이 이 글의 해석이다.
연합뉴스·파이낸셜뉴스에서 확인되지 않은 후속 일정과 제도 개선 방식
- 토론 결과물: 이날 토론 의견을 정리한 문서가 공개될지, 언제일지는 연합뉴스·파이낸셜뉴스 보도에 나오지 않는다.
- 발표 날짜: 개인정보위의 혁신 방향 발표는 정책제안 접수를 알린 보도자료 기준 ‘연내’ 계획이며, 구체 날짜는 보도자료에 적혀 있지 않다.
- 제도 개선의 형식: 법 개정으로 갈지 다른 방식으로 갈지는 연합뉴스·파이낸셜뉴스 보도에 나오지 않는다.
- ‘정당한 근거’의 범위: 고지 후 거부를 쓸 수 있는 ‘법적으로 합리적이고 정당한 근거’가 구체적으로 무엇인지는 연합뉴스 보도에 정의돼 있지 않다.
- 정책제안 접수 결과: 개인정보위 보도자료와 지디넷코리아 보도는 접수를 시작하던 시점의 것이어서, 의견이 얼마나 들어왔고 어떤 과제가 선정됐는지는 알 수 없다.
후속 발표에서 확인할 여섯 가지
개인정보위의 혁신 방향 발표나 토론회 후속 자료를 볼 때 아래 순서로 확인하면 이번 토론의 쟁점이 어떻게 정리됐는지 가늠할 수 있다. 질문은 토론회 보도와 개인정보위 보도자료에 나온 쟁점에서 뽑았다.
- 성격: 방향 발표인지, 법안이나 시행 일정이 붙은 것인지부터 구분한다. 계획·확정·시행은 서로 다른 단계다.
- 적용 범위: 매번 동의와 고지 후 거부 가운데 어느 것을 어떤 상황에 쓰는지, 조건이 붙는지 본다. 조별 발표에서 조건부 의견이 나온 만큼 이 대목이 핵심이다.
- 근거의 정의: 고지 후 거부의 전제인 ‘정당한 근거’를 어떻게 정했는지 본다.
- 거부의 쉬움: 사전 안내를 어디서 보여주고 거부·중단 절차를 얼마나 간단하게 만드는지 본다.
- 책임 구조: AI 에이전트가 정보를 넘길 때 책임을 누가 지는지, 사례③의 ‘새로운 책임 구조 설정’ 과제가 어떻게 채워졌는지 본다.
- 감독과 구제: 정부의 감독과 피해구제 수단이 구체화됐는지 본다.
AI 비서에게 예약 같은 일을 맡긴다면, 이름·전화번호처럼 외부 사업자에게 넘어갈 정보가 무엇인지 먼저 떠올려 보는 것이 이번 논의에서 끌어낼 수 있는 실전 감각이라고 본다.
