인공지능(AI) 챗봇 ‘이루다’는 개인정보 유출 등의 논란이 시작된 이후 20여일 만에 서비스를 중단했고, 현재 개인정보보호위원회의 조사를 받고 있습니다. 나아가 수백명의 이용자들로부터 2억원 상당의 손해배상청구 소송까지 당했습니다. 이루다는 운영사인 스캐터랩이 과거 출시한 ‘연애의 과학’ 서비스 이용자들이 제공한 카카오톡 대화 내용을 토대로 개발된 것으로 알려졌는데 대화 내용 중 비식별화되지 않은 개인정보가 유출됐다고 합니다.

개인정보는 인간의 존엄성, 인격권, 사생활과 밀접한 관련이 있어 법에 의해 엄격하게 보호됩니다. 이루다 사례처럼 서비스 자체가 중단되고 기업 존폐에도 큰 영향을 미칠 수 있다는 점을 인지하고 대비해야 합니다. 먼저 ‘개인정보’에 대해 알 필요가 있습니다. ‘개인정보’는 생존하는 개인에 관한 정보로서 성명·주민등록번호 등에 의해 특정한 개인을 알아볼 수 있는 부호, 문자, 음성, 음향 및 영상 등의 정보를 말합니다. 중요한 것은 ‘특정한 개인을 알아볼 수 있다’는 것인데요, 해당 정보만으로 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합해 알아볼 수 있는 경우 그 정보도 개인정보에 속하는 점에 유의해야 합니다. 예를 들어 변호사, 여자, 서울, 10월 5일, 이화여대 각각은 개인정보가 아니지만, 이들 정보를 조합해 강혜미 변호사로 특정할 수 있다면 이 정보도 개인정보가 됩니다.

개인정보를 수집·이용하는 경우에는 사전에 이용자로부터 ①개인정보의 수집·이용 목적 ②수집하는 개인정보의 항목 ③개인정보의 보유·이용 기간을 알리고 동의를 받아야 합니다. 스캐터랩의 경우 연애의 과학 서비스 가입 시 개인정보 수집·이용 목적과 관련해 ‘개인정보가 신규 서비스 개발에 활용될 수 있다’고만 명시한 것으로 알려졌습니다. 이것만으로는 수집·이용 목적을 제대로 알린 것으로 보기 어려우며 이용자의 개인정보를 이루다 서비스에 이용한 것은 위법해 보입니다.

실무상 자주 문제가 되는 것은 적법하게 수집한 개인정보를 ‘제3자’에게 제공할 때 동의 없이 제공하는 것입니다. 개인정보를 제3자에게 제공할 경우 수집·이용에 대한 동의와 별도로 이용자의 동의를 받아야 합니다. 이때 ①개인정보를 제공받는 자 ②개인정보를 제공받는 자의 개인정보 이용 목적 ③제공하는 개인정보의 항목 ④개인정보를 제공받는 자의 개인정보 보유 및 이용 기간을 알리고 동의를 받아야 합니다. 통상적으로 제공받는 자를 ‘제휴사’와 같이 포괄적으로 기재하는 경우도 있으나, 제휴사의 상호를 특정할 필요가 있습니다. 개인정보를 제공받는 제3자가 많거나 수시로 변동되는 경우 제공받는 자를 별도의 서면 또는 인터넷 홈페이지에 구체적으로 기재하고, 정보주체가 링크를 클릭하면 팝업창이 열려 해당 내용을 확인할 수 있도록 합니다. 주민등록번호의 경우, 수집이 원칙적으로 금지되고, 예외적인 경우에만 수집할 수 있습니다.

<강혜미 변호사>