AI가 내린 결정, 거부할 수 있나

어떤 결정이 대상인가

개인정보 보호법 제37조의2는 완전히 자동화된 시스템으로 개인정보를 처리해 이루어지는 결정을 다룹니다. 괄호에서 인공지능 기술을 적용한 시스템이 포함된다고 명시합니다.

두 가지 조건이 함께 붙습니다.

• 완전히 자동화되어 있을 것 — 사람이 실질적으로 판단에 개입하면 이 조문의 대상이 아닙니다
• 정보주체의 권리 또는 의무에 중대한 영향을 미칠 것

행정기본법 제20조에 따른 행정청의 자동적 처분은 제외됩니다.

권리는 두 개고, 범위가 다릅니다

여기가 실무에서 가장 많이 혼동되는 지점입니다.

| | 거부권(제1항) | 설명요구권(제2항) | |---|---|---| | 내용 | 그 결정을 거부할 수 있음 | 결정에 대해 설명 등을 요구할 수 있음 | | 예외 | 있음 | 없음 |

거부권에는 단서가 붙습니다. 자동화된 결정이 제15조 제1항 제1호·제2호·제4호에 따라 이루어지는 경우에는 거부할 수 없습니다.

• 제1호: 정보주체의 동의를 받은 경우
• 제2호: 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우
• 제4호: 정보주체와 체결한 계약을 이행하거나, 계약 체결 과정에서 정보주체의 요청에 따른 조치를 이행하기 위해 필요한 경우

설명요구권에는 이런 단서가 없습니다. 동의를 받았더라도 이용자는 왜 그런 결정이 나왔는지 물을 수 있습니다.

요구를 받으면 해야 하는 일

거부하거나 설명을 요구받은 개인정보처리자는 정당한 사유가 없는 한 다음 중 필요한 조치를 해야 합니다(제3항).

• 자동화된 결정을 적용하지 않거나
• 인적 개입에 의한 재처리를 하거나
• 설명 등 필요한 조치를 하거나

"사람이 다시 본다"는 절차가 법에 적힌 의무라는 뜻입니다. 자동 심사를 도입한다면 재처리 경로를 함께 설계해야 합니다.

요구가 없어도 공개해야 합니다

제4항은 요구와 무관한 상시 의무를 둡니다.

개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다.

**"쉽게 확인할 수 있도록"**이 기준입니다. 약관 깊숙한 곳에 한 줄 넣는 것으로는 부족할 수 있습니다.

처리방침과 계약이 다를 때

제30조 제3항은 개인정보 처리방침의 내용과 개인정보처리자·정보주체 간 계약 내용이 다르면 정보주체에게 유리한 것을 적용한다고 정합니다.

처리방침을 느슨하게 써 두고 계약으로 조이는 설계는 작동하지 않습니다.

주의

거부·설명 요구의 구체적 절차와 방법, 공개의 방식은 대통령령이 정합니다. 어떤 결정이 '중대한 영향'에 해당하는지는 사안마다 다르게 판단됩니다. 실제 서비스 설계는 개인정보 보호 전문 변호사와 확인하세요.