[보안칼럼] 당신은 정말 ‘동의’ 하셨습니까?

나의 개인정보가 어디로 유통·보관·제공되는지 아시나요?

‘다른 사람의 행위를 승인하거나 시인함’이라는 의미를 가진 ‘동의’. 개인정보와 관련된 중요한 행위중 하나인 이 동의와 관련된 여러 사례들이 요즘 이슈가 되고 있다.

한 가지는 사용자의 동의 없이 국제단말기 인증번호(IMEI), 범용 가입자식별모듈(USIM)일련번호 등 스마트폰 주요정보를 수집했다는 이유로 유죄 판결을 받은 사건이 있었고 또 다른 사례는 일부 회원에 대해 동의 받지 않고 제3자에 위탁하고 개인정보의 수집항목 및 이용목적에 대해서도 지나치게 포괄적으로 고지하고 동의를 받은 이유로 과징금을 받은 업체도 나타났다.

이렇듯 개인정보의 수집부터 제공, 위탁에 이르기까지 이용자의 동의 행위는 개인정보 취급자(사업자등)와 이용자 모두에게 중요한 부분임이 틀림없다. 이러한 상황에서 개인정보 취급자는 동의를 받은 형식이나 방법이 적절한 것인지 이용자가 쉽게 이해할 수 있는 내용으로 구성되어 있는지 등에 대해 검토 할 필요가 있고 이용자 입장에서도 본인의 동의를 통해 나의 개인정보가 언제까지 보관 되는지, 어디로 제공과 위탁이 이루어지고 있는지에 대해 관심을 가질 필요가 있겠다.

개인정보 취급자 입장에서는 동의를 받으면 개인정보 수집부터 이용 과정상에서 상당한 자유로움(?)을 가질 수 있기 때문에 이용자에게 ‘명확한 동의’를 받는 것이 중요하고 반대로 이용자 입장에서는 동의를 함으로서 본인의 개인정보에 대한 ‘결정권’을 상당부분 포기하는 상황이 될 수 있기 때문에 신중한 ‘동의 행위’가 필요하다.

많은 곳에서 온라인과 오프라인을 통해 수집 및 이용에 대해 동의 받는 모습은 작은 창에 작은 글씨로 수집목적과 수집항목, 제공 및 위탁업체, 보유 및 이용기간 등 다양하고 복잡해 보이는 내용을 보여주고 ‘동의 하도록’하고 있는 현실에서 과연 이용자가 어느 정도까지 이해하고 동의하고 있는 것인지 의문을 갖게 한다.

따라서 개인정보 취급자들은 개인정보의 최소 수집 원칙부터 준수할 필요가 있고 동의를 받는 형식과 방법 면에서 이용자들에게 이해하기 쉽고 명확하게 동의를 받으려는 다양한 노력이 필요한 상황이다.

이용자 입장에서도 무의식적인 동의 행위가 아닌, 본인의 ‘개인정보 주권’을 지키는 측면에서 확인할 부분은 확인하고 이해하기 어려운 부분은 개인정보 취급자들에게 쉽게 이해할 수 있도록 설명을 요구할 수 있는, 지금보다 적극적인 모습이 필요해 보인다.

글 _ 박나룡 보안전략연구소 소장(isssi@daum.net)

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다