AI가 내린 결정, 사람이 다시 보게 하려면
채용·한도·정지 판단이 사람 개입 없이 내려졌다면 그 결정을 거부하거나 설명을 요구할 수 있습니다. 개인정보 보호법 제37조의2의 요건과 회신 기한을 정리했습니다.
이 주제로 지누 리더에게 1:1 질문하기‘시스템이 그렇게 판정했습니다’라는 답을 받았을 때
서류 심사에서 떨어진 이유를 물었더니 ‘시스템 판정’이라는 답만 돌아오는 일이 늘고 있습니다. 대출 한도, 보험 인수, 플랫폼 계정 정지처럼 생활에 곧바로 영향을 주는 판단도 모델이 먼저 결론을 내고 사람은 결과만 통보하는 구조가 흔해졌습니다. 개인정보 보호법 제37조의2는 바로 이 상황을 위해 정보주체에게 두 가지 권리를 줍니다. 하나는 그 결정을 거부할 권리이고, 다른 하나는 그 결정에 대해 설명 등을 요구할 권리입니다. 두 권리는 나란히 규정돼 있지만 발동 요건이 서로 다르며, 그 차이를 모르면 아직 쓸 수 있는 권리까지 스스로 접게 됩니다.
핵심 용어 정리
자동화된 결정
완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함합니다)으로 개인정보를 처리하여 이루어지는 결정을 말합니다. 개인정보 보호법 제37조의2 제1항은 이 개념에서 행정기본법 제20조에 따른 행정청의 자동적 처분을 명시적으로 제외합니다.
거부권
자동화된 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우 개인정보처리자에게 그 결정을 거부한다고 밝힐 수 있는 권리입니다. 거부가 받아들여지면 그 결정을 적용하지 않거나 사람이 개입해 다시 처리하는 조치로 이어집니다.
설명 등 요구권
자동화된 결정이 어떤 기준과 과정으로 내려졌는지 설명해 달라고 요구하거나, 자신이 낸 추가 자료를 반영할 수 있는지 검토해 달라고 요구할 수 있는 권리입니다. 개인정보 보호법 제37조의2 제2항이 근거이며 거부권과는 요건이 다릅니다.
심층 분석
두 권리의 문언을 나란히 놓고 읽는 것이 출발점입니다. 개인정보 보호법 제37조의2 제1항의 거부권에는 ‘권리 또는 의무에 중대한 영향’이라는 요건이 붙고, 정보주체의 동의를 받은 경우, 법령상 의무 준수를 위해 불가피한 경우, 계약의 이행 또는 계약 체결 과정에서 정보주체의 요청에 따른 조치를 이행하기 위해 필요한 경우에 이루어진 결정은 거부 대상에서 빠집니다. 반면 개인정보 보호법 제37조의2 제2항의 설명 등 요구권에는 그 단서가 붙어 있지 않습니다. 즉 가입 약관에 동의하고 이용하는 서비스라 거부권이 막히는 국면에서도, 어떤 기준으로 그런 결론이 나왔는지 묻는 길은 따로 열려 있는 구조입니다. 흔한 오해가 여기서 생깁니다. ‘동의하고 쓴 서비스니 아무 말도 못 한다’는 체념과, 반대로 ‘설명을 요구하면 결정이 자동으로 취소된다’는 기대가 모두 문언과 어긋납니다. 개인정보 보호법 시행령 제44조의3 제2항은 설명 요구에 대해 결정의 결과, 사용된 주요 개인정보의 유형, 그 유형이 결정에 미친 영향 등 주요 기준, 결정이 이루어지는 절차를 담은 설명을 제공하도록 정하고 있어, 설명의 내용도 성의 표시가 아니라 항목이 정해진 의무입니다. 다만 개인정보처리자에게 ‘정당한 사유’가 있으면 거절될 수 있으므로, 요구를 넣을 때부터 그 결정이 나에게 어떤 영향을 미쳤는지를 함께 적어 두는 편이 실효적입니다.
절차 안내
1단계 — 공개된 기준·절차부터 찾아 읽는다
개인정보 보호법 시행령 제44조의4는 자동화된 결정이 이루어진다는 사실과 목적, 사용되는 주요 개인정보의 유형, 고려사항과 처리 절차, 거부·설명 등을 요구하는 방법과 절차를 홈페이지 등에 공개하도록 정하고 있습니다. 개인정보 처리방침이나 별도 안내 페이지에서 이 항목들을 먼저 확인하면, 내가 받은 결정이 정말 사람 개입 없이 내려진 것인지와 어디로 요구서를 내야 하는지가 동시에 정리됩니다.
2단계 — 거부인지 설명인지 검토인지를 특정한다
개인정보 보호법 제37조의2는 결정의 거부, 결정에 대한 설명 요구, 의견 반영 검토 요구를 서로 다른 것으로 규정합니다. 결정 자체를 물리고 싶다면 거부를, 왜 그런 결론이 나왔는지 알고 싶다면 설명을, 빠진 자료를 추가해 다시 보게 하고 싶다면 검토를 지목해야 합니다. 무엇을 요구하는지 적지 않은 문의는 단순 상담으로 처리되어 회신 기한이 걸리지 않을 수 있습니다.
3단계 — 공개된 방법과 절차대로 요구서를 낸다
개인정보 보호법 시행령 제44조의2는 거부와 설명 등의 요구를 개인정보처리자가 마련해 공개한 방법과 절차에 따라 하도록 정합니다. 그 방법이 안내돼 있지 않다면 개인정보 보호법 제38조 제4항이 정한 공개 의무가 지켜지지 않은 것이므로, 그 사실을 함께 지적하며 서면이나 전자우편 등 증빙이 남는 수단으로 접수하십시오. 언제 무엇을 요구했는지를 남기는 것이 이후 모든 단계의 기준점이 됩니다.
4단계 — 회신 기한을 세고 기다린다
개인정보 보호법 시행령 제44조의3 제5항은 개인정보처리자가 요구를 받은 날부터 30일 이내에 서면 등의 방법으로 조치하도록 하고, 30일 안에 처리하기 어려운 정당한 사유가 있으면 사유를 알리고 2회에 한정해 각각 30일의 범위에서 연장할 수 있게 합니다. 기한을 넘겨 아무 연락이 없다면 그 자체가 다음 단계에서 쓸 수 있는 사실이 되므로, 접수일과 무응답 사실을 기록해 두십시오.
5단계 — 거절되면 이의제기, 그다음이 신고와 조정이다
개인정보 보호법 제38조 제5항은 열람 등 요구가 거절된 경우 정보주체가 이의를 제기할 수 있도록 개인정보처리자가 절차를 마련하고 안내하게 합니다. 내부 이의제기로 풀리지 않으면 개인정보 보호법 제62조에 따라 개인정보침해 신고센터에 침해 사실을 신고하거나, 개인정보 보호법 제43조에 따라 개인정보 분쟁조정위원회에 조정을 신청하는 길이 있습니다. 두 경로는 서로 배타적이지 않으므로 사안에 맞게 선택하십시오.
핵심 법령
아래 법령 조문은 게시 전 국가법령정보센터(law.go.kr)와 실시간 대조하여 실존을 확인했습니다.
개인정보 보호법 제37조의2
완전히 자동화된 시스템의 결정을 거부하거나 설명 등을 요구할 권리와 그 예외를 정한 근거 조문
개인정보 보호법 제38조
요구의 방법·절차 공개 의무와 거절에 대한 이의제기 절차 마련 의무
개인정보 보호법 시행령 제44조의3
거부·설명 요구에 따른 조치 내용과 30일 이내 서면 등 회신 의무
개인정보 보호법 시행령 제44조의4
자동화된 결정의 기준·절차와 요구 방법을 홈페이지 등에 공개할 의무
실무 주의사항
- 사람이 실질적으로 개입해 내린 결정이라면 개인정보 보호법 제37조의2가 말하는 자동화된 결정이 아닐 수 있으므로, 요구서를 내기 전에 사람의 개입이 있었는지부터 확인하십시오.
- 거부권과 설명 등 요구권은 요건이 다릅니다. 동의나 계약 이행을 근거로 한 결정이어서 거부가 막히더라도 설명을 요구하는 길은 남아 있으니 두 가지를 함께 포기하지 마십시오.
- 행정청이 법률에 따라 완전히 자동화된 시스템으로 한 처분은 행정기본법 제20조가 규율하며 개인정보 보호법 제37조의2의 대상에서 제외되므로, 그 경우에는 행정심판·행정소송 등 행정쟁송 경로를 검토해야 합니다.
자주 묻는 질문
채용 서류 심사에서 AI가 걸러냈다고 합니다. 거부권을 쓸 수 있나요?
사람 개입 없이 완전히 자동화된 시스템이 결정했고 그 결정이 권리 또는 의무에 중대한 영향을 미친다면 개인정보 보호법 제37조의2 제1항의 거부 대상이 될 수 있습니다. 다만 그 결정이 정보주체의 동의, 법령상 의무 준수, 계약 이행에 필요한 조치를 근거로 이루어졌다면 거부권은 미치지 않습니다. 이때에도 개인정보 보호법 제37조의2 제2항의 설명 요구는 별도로 가능하니, 거부가 막힌다고 판단되면 설명 요구로 바꾸어 접수하는 편이 실효적입니다. 개별 채용 절차의 결론은 사실관계에 따라 달라지므로 단정하기 어렵습니다.
설명을 요구하면 어느 정도까지 알려 주어야 하나요?
개인정보 보호법 시행령 제44조의3 제2항은 결정의 결과, 결정에 사용된 주요 개인정보의 유형, 그 유형이 결정에 미친 영향 등 주요 기준, 결정이 이루어지는 절차를 포함한 간결하고 의미 있는 설명을 제공하도록 정하고 있습니다. 알고리즘의 소스코드나 학습 데이터 전부를 공개하라는 의미는 아닙니다. 다만 그 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치지 않는 경우에는 공개 항목 일부를 알리는 것으로 갈음할 수 있습니다.
요구했는데 회사가 아무 연락을 하지 않습니다. 얼마나 기다려야 하나요?
개인정보 보호법 시행령 제44조의3 제5항은 요구를 받은 날부터 30일 이내에 서면 등의 방법으로 조치하도록 정하고 있습니다. 정당한 사유가 있으면 그 사유를 알리고 2회에 한정해 각각 30일의 범위에서 연장할 수 있으므로, 연장 통지 없이 기한이 지났다면 미이행 상태로 보고 다음 단계를 준비하십시오. 접수 일자와 회신 여부를 기록해 두면 이의제기나 신고 단계에서 그대로 근거가 됩니다.
공공기관이 자동화 시스템으로 내린 처분에도 같은 권리를 쓸 수 있나요?
행정청이 법률로 정하는 바에 따라 완전히 자동화된 시스템으로 하는 처분은 행정기본법 제20조가 규율하며, 개인정보 보호법 제37조의2 제1항은 그 자동적 처분을 자동화된 결정의 개념에서 제외하고 있습니다. 따라서 그 처분 자체를 다투려면 행정심판이나 행정소송 같은 행정쟁송 절차를 검토하는 것이 순서입니다. 다만 행정기본법 제20조 단서는 처분에 재량이 있는 경우를 제외하고 있어, 어떤 처분이 여기에 해당하는지는 근거 법률을 함께 확인해야 합니다.
회사가 요구를 거절했습니다. 다음 단계는 무엇인가요?
먼저 개인정보 보호법 제38조 제5항에 따라 개인정보처리자가 마련해 안내하도록 돼 있는 이의제기 절차를 이용하십시오. 그래도 해결되지 않으면 개인정보 보호법 제62조에 따라 개인정보침해 신고센터에 침해 사실을 신고하거나, 개인정보 보호법 제43조에 따라 개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있습니다. 손해가 실제로 발생했다면 개인정보 보호법 제39조에 따른 손해배상 청구도 별도로 검토할 수 있으며, 이 경우 개인정보처리자가 고의 또는 과실이 없음을 입증하지 못하면 책임을 면하지 못합니다.
