AI가 내린 결정, 사람이 다시 보게 하려면

두 권리의 문언을 나란히 놓고 읽는 것이 출발점입니다. 개인정보 보호법 제37조의2 제1항의 거부권에는 권리 또는 의무에 중대한 영향이라는 요건이 붙고, 같은 항 단서가 개인정보 보호법 제15조 제1항 제1호와 제2호 및 제4호에 따라 이루어지는 결정을 거부 대상에서 뺍니다. 반면 개인정보 보호법 제37조의2 제2항의 설명 등 요구권에는 그 요건도 그 단서도 없습니다. 가입 약관에 동의하고 이용하는 서비스라 거부권이 막히는 국면에서도, 어떤 기준으로 그런 결론이 나왔는지 묻는 길은 따로 열려 있는 구조입니다. 흔한 오해가 여기서 두 방향으로 생깁니다. 동의하고 쓴 서비스니 아무 말도 못 한다는 체념과, 설명을 요구하면 결정이 자동으로 취소된다는 기대가 모두 문언과 어긋납니다. 요구가 들어간 뒤의 의무는 성의 표시가 아니라 항목이 정해진 일입니다. 개인정보 보호법 시행령 제44조의3 제2항은 설명 요구에 대하여 정당한 사유가 없으면 해당 자동화된 결정의 결과, 해당 자동화된 결정에 사용된 주요 개인정보의 유형, 그 유형이 자동화된 결정에 미친 영향 등 자동화된 결정의 주요 기준, 그리고 해당 자동화된 결정에 사용된 주요 개인정보의 처리 과정 등 자동화된 결정이 이루어지는 절차를 포함한 간결하고 의미있는 설명을 제공하도록 정합니다. 다만 같은 항 단서는 그 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치지 않는 경우에는 개인정보 보호법 시행령 제44조의4 제1항 제2호와 제3호의 사항을 알리는 것으로 갈음할 수 있게 합니다. 여기서도 중대한 영향이 갈림길로 다시 나오므로, 요구서에 그 결정이 나에게 어떤 불이익을 남겼는지를 함께 적어 두는 것이 설명의 깊이를 바꿉니다. 공개 의무는 시행령이 아니라 법률에서 나옵니다. 개인정보 보호법 제37조의2 제4항은 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다고 정합니다. 개인정보 보호법 제37조의2 제5항이 그 절차와 방법을 대통령령에 위임하고, 개인정보 보호법 시행령 제44조의4 제1항이 공개 항목을 다섯 가지로 적습니다. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위, 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계, 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차, 과정에서 민감정보 또는 14세 미만 아동의 개인정보를 처리하는 경우 그 목적 및 처리하는 개인정보의 구체적인 항목, 그리고 정보주체가 거부와 설명 등의 요구를 할 수 있다는 사실과 그 방법 및 절차입니다. 개인정보 보호법 시행령 제44조의4 제2항은 그 공개에 표준화되고 체계화된 용어를 사용하도록 하고 동영상과 그림과 도표 등 시각적인 방법을 활용할 수 있게 합니다. 공개된 문서가 없거나 다섯 번째 항목이 비어 있다면, 요구서를 넣기 전에 그 결손 자체를 함께 지적할 수 있습니다. 마지막으로 응하지 않을 때의 무게가 있습니다. 개인정보 보호법 제37조의2 제3항은 조치 의무를 개인정보처리자에게 지우고, 개인정보 보호법 제75조 제2항 제24호는 정당한 사유 없이 정보주체의 요구에 따르지 아니한 자에게 3천만원 이하의 과태료를 부과합니다. 개인정보 보호법 제75조 제5항은 그 과태료를 보호위원회가 부과하고 징수하며, 위반행위의 정도와 동기와 결과, 개인정보처리자의 규모 등을 고려하여 감경하거나 면제할 수 있다고 정합니다. 거절하려면 절차를 밟아야 한다는 점도 함께 읽어야 합니다. 개인정보 보호법 시행령 제44조의3 제4항은 다른 사람의 생명과 신체와 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 등 정당한 사유가 있어 개인정보 보호법 제38조 제5항에 따라 거절하는 경우에는 그 사유를 정보주체에게 지체 없이 서면등의 방법으로 알려야 한다고 정합니다. 아무 말 없이 묵히는 것은 조문이 허용한 선택지가 아닙니다.