무슨 사고가 났는가보다, 어디서 날 것인가

오늘 아침 한국CISO협회 제154차 CISO포럼에서 개인정보보호위원회 고낙준 국장의 「사전 예방 중심의 개인정보보호체계 전환」 발표를 들었다.

사고가 난 뒤가 아니라, 날 만한 곳을 먼저

특히 인상적이었던 것은 개인정보위가 추진 중인 ’개인정보 처리 실태점검’이다. 이는 사고가 발생한 뒤 조사와 과징금으로 대응하는 사후 규제 중심의 접근에서 벗어나, 사고 가능성이 높은 분야를 선제적으로 찾아 점검하고 개선을 유도하는 정책이다. 다시 말해 “무슨 사고가 발생했는가?“보다 “어디에서 사고가 발생할 가능성이 높은가?“를 먼저 살펴보겠다는 것이다.

보안의 CVD·VDP와 겹쳐 보인 것

발표를 들으며 최근 범부처 차원에서 논의되고 있는 CVD(Coordinated Vulnerability Disclosure)와 VDP(Vulnerability Disclosure Program)가 자연스럽게 떠올랐다. 보안 분야가 취약점을 조기에 발견하고 수정하는 방향으로 진화하고 있다면, 개인정보보호 역시 침해사고 이후의 제재 중심 체계에서 위험요인을 사전에 식별하고 개선하는 예방 중심 체계로 전환되고 있는 셈이다.

AI 시대의 프라이버시 리스크는 다르다

AI 시대에는 개인정보 침해의 양상도 근본적으로 달라지고 있다. 과거처럼 단순한 데이터베이스 유출에 그치지 않고, AI 모델, 학습데이터, RAG, AI 에이전트, 추론 과정 등 복합적인 환경에서 새로운 형태의 프라이버시 리스크가 발생한다. 따라서 개인정보보호 역시 사고 대응 중심에서 위험 예방 중심으로 패러다임을 전환할 필요가 있다.

PDP와 Privacy Safe Harbor

그런 점에서 장기적으로는 정보보호 분야의 CVD·VDP와 유사하게 개인정보 분야에서도 PDP(Privacy Disclosure Program)나 Privacy Safe Harbor 체계를 적극 검토해볼 필요가 있다고 생각한다. 선의의 연구자와 전문가들이 개인정보 취약점과 프라이버시 리스크를 조기에 발견하고, 기업과 기관은 이를 신속히 개선하며, 신고자는 합리적으로 보호받는 구조다.

AI 시대에 필요한 것은 사고 이후의 처벌만이 아니다. 개인정보 취약점과 프라이버시 리스크를 조기에 발견하고 함께 개선하는 생태계, 그리고 예방 중심의 개인정보 거버넌스가 더욱 중요해질 것이다.