Privacy Desk

외국계 자본이 국내 데이터 기업을 인수하는 과정에서 개인정보가 국외로 무단 이전되는 것을 사전에 차단하기 위한 입법이 추진되고 있다. 대규모 개인정보를 보유한 기업의 M&A가 진행될 경우 공정거래법상 기업결합심사처럼 반드시 개인정보보호위원회의 사전심사를 거치도록 하는 법안이 준비 중이다. 개인정보위는 관련 후속 대책을 2026년도 부처 업무보고에 반영하였으며, 9월 정기국회 전까지 방안을 마련하겠다는 입장이다. Herald CorpHerald Corp왜 지금 이 이슈가 나왔는가직접적인 계기는 두 사건이다.개인정보위는 올해 1월부터 외국계 사모펀드 EQT가 인수한 리멤버앤컴퍼니를 대상으로 대주주 변경에 따른 영향 및 개인정보 국외 이전 사항 등에 대한 사전 실태점검에 착수했으나 6개월째 결론을 내리지 않았..

개인정보보호위원회가 올해 핵심 과제로 명시한 것 중 하나가 AI 학습 데이터 처리 특례 도입이다. 성공적인 AI 전환 추진을 위해 AI 학습에 원본 데이터를 쓸 수 있게 하는 특례를 도입하고 개인정보 처리 근거도 확대하겠다고 밝혔다. 그리고 그 핵심 인프라로 공공기관을 대상으로 가명처리 원스톱 지원체계를 운영하고 개인정보 활용이 유연한 이노베이션존의 고도화를 위해 가명정보의 생성부터 활용까지 전 주기를 적극 지원하겠다는 방향을 제시했다. KoreaKorea가명정보는 2020년 개인정보보호법 개정으로 도입된 개념이다. 6년이 지난 지금, 제도는 있었지만 실제 활용은 더뎠다. 올해 개인정보위가 이 부분을 직접 밀겠다고 나선 것이다.가명정보와 익명정보, 실무에서 구분이 왜 중요한가가명정보는 추가 정보 없이는 ..

최근 에이전트 AI와 같은 새로운 AI 서비스의 개인정보 처리 기준과 리스크 관리 방안을 구체화할 계획이다. 개인정보위가 올해 연두업무보고에서 직접 언급한 내용이다. 기준이 없는 채로 서비스가 먼저 확산되는 상황을 제도가 따라가겠다는 신호다. Epnc챗봇과 에이전트 AI는 개인정보 처리 구조가 다르다챗봇은 사람이 직접 입력하고 직접 결과를 받는다. 처리 시점이 명확하고, 처리 범위가 대화 맥락으로 한정된다.에이전트 AI는 다르다. 지시를 받은 뒤 스스로 도구를 선택하고 외부 시스템에 접근하며 단계적으로 작업을 수행한다. 이메일을 열람하고 캘린더를 조회하고 외부 API를 호출하는 과정에서 개인정보가 처리된다. 사람이 매 단계에 개입하지 않는다.이 구조는 세 가지 측면에서 기존 개인정보 처리 체계와 충돌한다..

개인정보 보호를 서비스 기획·설계·개발 단계부터 기본값으로 반영하는 위험 기반 맞춤형 실태점검이 하반기부터 본격화된다. 플랫폼·금융 등 대규모 개인정보를 처리하는 분야가 집중 점검 대상이 된다. Korea올해 개인정보위 조사 방향의 키워드는 '위험 기반(Risk-based)'이다. 모든 조직을 동일한 기준으로 점검하는 대신, 위험이 높은 분야와 구조에 자원을 집중하겠다는 방식이다. 이 접근이 실무에서 무엇을 의미하는지를 정확히 이해해야 한다.위험 기반 접근이 기존 점검과 다른 점기존 정기 점검은 사전에 공지된 항목을 체크리스트 방식으로 확인하는 구조였다. 준비된 조직은 심사 전에 맞출 수 있었다.위험 기반 점검은 다르다. 조직의 서비스 특성, 처리 데이터의 민감도, 기존 사고 이력, 내부통제 체계 수준을..

개인의 인격권을 침해하는 딥페이크 악용 불법 콘텐츠에 대해 삭제요구권과 유통금지 의무를 신설하고 범정부 대응 체계도 적극 만들겠다. 개인정보위원회가 올해 업무계획에서 직접 명시한 내용이다. Epnc딥페이크는 지금까지 형사법(성착취물 제조·유포)이나 명예훼손 법리로 다뤄졌다. 이제 개인정보 프레임이 추가된다. 이게 실무에 의미하는 바가 있다.왜 개인정보 영역에서 딥페이크를 다루는가딥페이크는 특정인의 얼굴·음성·신체 정보를 무단으로 수집하고 합성·가공해서 새로운 콘텐츠를 만든다. 이 과정에서 생체정보가 처리된다. 얼굴 인식 데이터는 개인정보보호법상 민감정보에 해당한다.즉, 동의 없는 딥페이크 제작은 민감정보 무단 처리다. 여기에 삭제요구권과 유통금지 의무가 붙으면, 플랫폼은 피해자의 삭제 요청에 응해야 할 ..

개인정보 보호를 서비스 기획·설계·개발 단계부터 기본값으로 반영하는 개인정보보호 중심 설계(PbD) 원칙이 제도화된다. 그간 IP카메라, 로봇청소기 등 일부 제품군에 한정됐던 PbD 인증제를 개인정보보호법 개정과 함께 확산하고, 기획·설계 단계에서 참고할 수 있는 안내서와 우수사례를 마련·보급한다. ISMS-P 등 기존 평가·인증 기준에도 PbD 원칙을 반영한다. KoreaPbD는 새로운 개념이 아니다. 1990년대 캐나다 온타리오 정보·프라이버시 위원장인 앤 카부키언이 제시한 원칙으로, EU GDPR에도 'Privacy by Design and by Default'로 명문화되어 있다. 그런데 국내에서는 그동안 일부 제품군의 자율적 인증 수준에 머물렀다. 이걸 법적 기반 위에 올리겠다는 게 이번 방향의 ..

이번 달 말부터 공공앱, 대학교, 채용플랫폼, 만남중개서비스, 해외명품브랜드, 팬덤플랫폼, 프랜차이즈 등 7대 분야 총 52개 서비스를 대상으로 개인정보 처리방침 평가가 본격 실시된다. Koreaissuejournal개인정보 처리방침 평가는 2024년부터 매년 실시되는 제도다. 법 제30조의2에 따라 처리방침이 적정하게 작성됐는지(적정성), 정보주체가 알기 쉽게 이해할 수 있는지(가독성), 쉽게 확인할 수 있는지(접근성) 세 축으로 평가한다.올해 평가 대상이 바로 지금 공개됐다. 이 목록에 직접 포함되지 않더라도, 실무 담당자라면 눈여겨봐야 한다.올해 평가가 이전과 다른 점올해 평가는 국민 생활과 밀접하면서, 주민등록번호·민감정보 등 고위험 개인정보를 대규모로 처리하거나, 프로파일링 등 신기술 기반 개인..

처음 시작은 챗봇 하나였다.개인정보보호 관련 질문에 답해주는 PRIVACY라는 이름의 페이지 하나. HTML 파일 하나에 Claude API를 연결한 구조였다. 그게 pia-privacy.com의 시작이었다.지금은 16개 툴이 된다.뭘 만들었나크게 세 묶음으로 나눌 수 있다.첫 번째는 문서 생성 계열이다. 개인정보 처리방침 초안 생성, 동의서 문구 생성, 위탁계약 체크리스트, 내부관리계획 초안. 반복적으로 써야 하는 문서를 AI가 초안을 잡아주고 담당자가 검토·수정하는 구조다.두 번째는 진단·점검 계열이다. 개인정보 위험도 자가진단, PIA 체크리스트, 운영 점검 관리 시스템. 이쪽은 단순 텍스트 생성보다는 입력 기반의 구조화된 결과가 나와야 해서 시스템 프롬프트 설계에 가장 공을 많이 들였다.세 번째는..

개인정보보호위원회는 마이데이터를 에너지, 교육, 고용, 문화·여가 분야로 확대하기 위한 실무협의체를 구성·운영할 계획이라고 밝혔다. ZDNet Korea 기존 의료·통신 2대 분야였던 제3자 전송서비스를 에너지·교육·고용·문화·여가 등 6대 분야로 넓혀가겠다는 구상이다. Korea마이데이터가 금융권 중심에서 시작해 점점 범위를 넓혀가는 흐름은 이미 진행 중이었다. 그런데 올해 개인정보위가 직접 전송 분야 확대를 주도하겠다고 나선 것은 구조적으로 의미가 다르다. 이제는 업종과 무관하게 "우리 서비스가 마이데이터 의무 대상이 될 수 있는가"를 따져봐야 하는 상황이 가까워졌다.마이데이터의 핵심 개념: 본인전송요구권마이데이터의 법적 근거는 개인정보보호법상 본인전송요구권이다. 정보주체가 자신의 개인정보를 보유하고..

개인정보위는 2026년 AI 채용솔루션 및 이용기관을 대상으로 자동화된 결정 해당 여부, 설명의무, 주요 평가기준 공개여부 등 투명성 확보 노력을 점검한다. Korea채용 과정에서 AI를 쓰는 기업이 빠르게 늘고 있다. 이력서 필터링, 면접 예약 자동화, 역량 진단 도구, 채용 적합도 평가 등이 AI 기반으로 운영되는 경우가 많다. 이번 점검은 이 도구를 만드는 사업자뿐 아니라, 이를 도입해 사용하는 기관도 대상이라는 점이 중요하다.자동화된 결정의 법적 의미개인정보보호법 개정 논의에서 완전 자동화된 의사결정에 대한 설명 요구권과 거부권이 계속 거론되어 왔다. 채용은 이 논의에서 가장 민감한 적용 사례 중 하나다.AI가 이력서를 필터링해서 특정 지원자를 탈락시키는 결정이 "자동화된 결정"에 해당하는지, 그..