AI시대에서의 개인정보자기결정권의 재검토

• 영문명: Review of the right to self-determination of personal data in the AI era - based on the EU Personal Data Protection Act
• 발행기관: 전남대학교 공익인권법센터
• 저자명: 함인선(Ham In-Seon)
• 간행물 정보: 『인권법평론』제 26호, 123~151쪽, 전체 29쪽
• 주제분류: 법학 > 법학
• 파일형태: PDF
• 발행일자: 2021.02.28

국문 초록

21세기 이후 엄청나게 증가한 컴퓨터 처리성능과 방대한 데이터를 수집 할 수 있게 되고 다양한 머신러닝(Machine Learning ; ML)기법들을 사용하여 방대한 데이터에서 유용한 정보를 추출할 수 있게 되어, AI는 이른바 4차산업혁명의 핵심적인 위치를 차지하게 되었다. 최근의 AI 발전은 컴퓨터 처리능력의 증가, 알고리즘의 향상, 디지털 데이터의 양 및 다양성의 기하급수적인 증가, 그리고 자금조달 증가의 성과물이라고 할 수 있다. 한편, 우리 헌법재판소가 2005년 5월 이른바 지문날인사건에서 개인정보 자기결정권을 도입한 이후, 이 개념은 개인정보와 관련한 헌법상의 기본권으로서의 위치를 확고히 구축하였다. 이러한 개인정보자기결정권은 4차 산업사회가 진전됨에 따라 AI의 활용이 더욱 광범위하게 이루어지고, 그로 인해 인간의 개입이 배제된 채로 개인에게 중요한 결정이 이루어지는 상황이 발생하게 되었다. 이처럼 대규모의 데이터를 기반으로 하는 인공지능시대에는 데이터주체인 개인의 개입이 없는 상황에서 개인과 관련된 중요한 결정들이 이루어지고, 그로 인해 예상하지 못한 불이익을 받을 수 있기 때문에 이의 보호가 요청된다 할 것이다. 그러나, 다른 한편으로 현대는 데이터를 기반으로 하는 인공지능(AI), 사물인터넷(IoT), 자율주행차 및 빅데이터 분석 등을 이용한 기술이 산업 전반에 걸쳐 활용되고 발전을 주도하고 있는 데이터경제(Data Economy)의 시대이며, 여기에서 우위에 서기 위해 세계 주요국들이 이에 대한 발전전략의 수립과 투자에 집중하고 있다. 이와 같은 상황에서 개인정보(personal data)도 데이터의 하나로서 그 활용이 데이터경제의 우열을 가름하는 하나의 요인이 될 것이라고 할 수 있다. EU는 1995년에 정보보호지침을 제정한 이후, 과학기술 등의 발전에 의 한 새로운 환경에 대응하기 위해 2016년에 일반정보보호규칙(General Data Protection Regulation ; GDPR)을 제정하여 시행하고 있다. EU의 1995년 정보보호지침은 그 목적과 관련하여, “이 지침에 따라, 회원국들은 자연인들의 기본적 권리 및 자유와, 개인정보의 처리와 관련하여 특히 프라이버시권을 보호하여야 한다.”(제1조제1항)고 규정한데 대하여, 2016년 GDPR은 “이 규칙은 자연인들의 기본적 권리 및 자유와 특히 개인정보보호권을 보호한다.”(제1조제2항)고 개정하여, 프라이버시권에 대체하여 개인정보보호권을 도입하였다. EU GDPR의 이러한 전환에 대해 필자는 개인정보자기결정권(또는 프라이버시권)적 관점을 폐기하고, 새로운 ‘개인정보보호권’의 관념을 채택한 것으로 해석한다. 이러한 해석의 결과, 우선, 전자의 입장에서는 ‘개인정보=프라이버시’라는 관점에서 그것은 ‘보호’의 대상일 뿐 ‘이용’의 대상으로는 상정하기 어려우며, 일신전속적인 성격으로서 ‘자기결정권’의 대상으로 된다고 하지만, 후자의 입장에서는 ‘개인정보=개인데이터’로서 그것은 데이터의 하나로서 기본적으로 ‘유통(이용)’의 대상이 되며, 침해의 우려 등 일정한 경우에 ‘보호’를 하여야 하는 것으로서 파악된다고 할 것이다. 다음으로, 전자의 입장에서는 개인(정보주체)의 의사에 개인정보의 유통(이용)이 의존하게 되지만(opt-in), 후자의 관점에서는 ‘선 유통(이용)’을 전제로 한 ‘보호’(opt-out)에 친하기 쉬운 개념이라고 할 것이다. 이러한 EU GDPR의 기본적 관점의 전환은 EU가 데이터의 활용에 의한 인공지능(AI) 등 이른바 4차 산업혁명을 선도적으로 리드하여 EU의 신성장 동력으로 삼기 위한 시도의 하나라고 볼 수 있다. 이러한 관점에서의 접근은 우리나라의 경우에도 요청되며, 개인정보자기결정권에 대체해서 ‘개인정보보호권’의 관념을 도입하여야 할 것으로 보며, 이러한 변화된 관점에 입각하여, ‘보호’와 ‘이용’이 적정하게 조화된 개인정보 관련입법의 근본적인 재구성이 요청된다고 본다.

영문 초록

Since the 21st century, AI has become a key player in the so-called Fourth Industrial Revolution, as it has been able to collect huge amounts of data and extract useful information from a wide range of machine learning (ML) techniques. Recent AI developments have been the result of increased computer processing power, improved algorithms, exponential growth in the amount and variety of digital data, and increased funding. Today, AI is used in many areas, such as transportation, communication, and healthcare. On the other hand, since the Constitutional Court introduced the right to self-determination of personal data in the so-called fingerprinting case in May 2005, this concept can be said to have firmly established its position as the fundamental right related to personal data. As the 4th Industrial Society progresses, the use of AI has become more widespread, and as a result, a situation has arisen in which important decisions are made to individuals without human intervention. In this age of artificial intelligence(AI) based on large-scale data, important decisions related to individuals are made in the absence of personal intervention, and this may result in unexpected disadvantages, so protection is required. However, on the other hand, in an era of data economy that is using data-based artificial intelligence (AI), Internet of Things (IoT), autonomous vehicles and big data analytics, major countries around the world are focusing on establishing and investing in development strategies of AI. In such a situation, personal data is also one of the data, and its use can be said to be a core factor that determines the superiority of the data economy. Since establishing the 1995 Data Protection Directive, the EU has enacted the General Data Protection Regulation(GDPR) in 2016 to respond to new environments due to advances in science and technology. While EU s 1995 Data Protection Directive, for its purposes, stipulated that “In accordance with this Directive, Member States shall protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy with respect to the processing of personal data.”(Article 1(1)), 2016 GDPR revised that “This Regulation protects fundamental rights and freedoms of natural persons and in particular their right to the protection of personal data.”(Article 1(2)) For this transformation in the EU GDPR, I interpret it as abolishing the view of the right to self-determination of personal data(or right to privacy) and adopting the concept of “right to the protection of personal data”. As a result of this interpretation, first of all, from the point of view of ‘personal data = privacy’ from the former standpoint, it is only an object of ‘protection’, but it is difficult to assume as an object of ‘use’. However, from the latter s point of view, as ‘personal information = personal data’, it is generally one of the data and is mainly the object of ‘use’, and it is understood that it should be ‘protected’ in certain cases. Next, from the former point of view, the use of personal data depends on the intention of the individual (data subject) (opt-in), but from the latter point of view, ‘protection’ is based on the premise of ‘use’. It would be an concept to be familiar with(opt-out). This transformation in the basic view of EU GDPR can be regarded as one of the EU s attempts to lead the so-called Fourth Industrial Revolution, such as artificial intelligence (AI) by the use of data, and make it the EU s new growth engine. The approach from this viewpoint is also appropriate for Korea, and the concept of ‘right to the protection of personal data’ should be introduced in place of ‘right to the selfdetermination of personal data’.

목차

Ⅰ. 처음에

Ⅱ. 인공지능(AI)의 발전과 개인정보보호법의 대응

Ⅲ. 개인정보자기결정권의 재검토

Ⅳ. 마치며

키워드

개인정보자기결정권 인공지능 개인정보 일반정보보호규칙 개인정보보호권 데이터경제 right to the protection of personal data AI personal data GDPR data economy privacy