한국법제연구원 KLRI

Ⅰ. 연구의 목적 및 범위

▶ 인공지능 등 디지털 신기술은 데이터를 기반으로 발전, 따라서 데이터 관련 규제는 디지털 기술 및 산업 전반에 영향을 미침

○ 데이터 관련 규제 문제는 오랜 기간 논의되어 왔으나, 특별한 해결책은 제시되지 못한 채 같은 문제점이 여전히 노정된 상황

데이터가 인공지능, 양자컴퓨팅, 모빌리티, 로봇공학 등 디지털 신기술과의 관련성이 높고 해당 기술의 활용에 필수적이므로 데이터 관리의 필요성이 지속적으로 강조

디지털 기술 및 서비스의 심화로 데이터의 활용이 필수적인 상황에 이르게 됨에 따라 데이터 보호에 방점을 두고 있는 제도 개선에 대한 요구가 끊임없이 제기

데이터의 경우 개인정보보호 관련 규제 내지는 저작권 침해 등의 이슈로 활용이 더욱 어려운 상황이며, 이 또한 오랜 기간 데이터 산업경쟁력 강화를 위해 개선이 필요한 과제로 지적

○ 따라서 데이터 산업 경쟁력 강화를 위하여 디지털 기술 및 서비스가 발전·심화됨에 따라 제기되어 온 데이터 산업 혁신과 발전을 저해하는 규제요인들을 발굴하고 개선방안을 탐색할 필요가 있음

▶ 디지털 신기술 변화 양상에 따른 데이터 산업 현황에 적합한 효과적, 효율적인 제도 정립방안 모색

○ 데이터 활용은 데이터가 활용되는 기술과 서비스의 내용이나 변화양상에 따라 활용 방법, 내용, 목적, 주체 등에 차이가 존재하며, 이에 따라 적용되는 규제의 내용이나 규율 법제 등이 달라지게 될 수밖에 없어 효율적·효과적인 법제도를 정립하는 데 많은 어려움이 있음

-또한 데이터를 비롯한 디지털 기술 등과 관련한 현재 우리의 법제도는 분절적이고 경직적인 규제 체계를 갖추고 있어 규제요소에 대응한 제도 개선이 이루어진다 하더라도 유사한 문제가 재발생하거나 그 효과가 미비한 경우가 상당

-이에 데이터 활용과 산업 활성화에 제한요소로 작용하는 규제요인들을 발굴함과 동시에 디지털 기술 및 서비스 변화 양상에 적합한 제도 개선방안에 대해 다양한 의견을 종합·분석하여 제시하여 보고자 함

○ 데이터 관련 산업의 핵심 규제 요소를 탐색, 개선이 요구되는 사항을 도출하고자 함

-불합리하거나 비효율적, 불필요한 데이터 산업 관련 규제요소들을 발굴하여 데이터 활용 및 산업 활성화를 위하여 개선이 요구되는 사항을 발굴

-디지털 신기술의 변화와 그에 따른 데이터 활용 방식 등을 고려하여 이를 바탕으로 규제개선방안을 제안하고자 함

Ⅱ. 주요 내용

▶ 데이터 관련 산업의 규제 현황분석, 이슈 및 개선 요구사항 파악

○ 데이터 관련 규제의 유형을 ① 데이터 내용에 따른 규제, ② 데이터 보안 및 안전 관리 규제로 구분하여 진행함

데이터 내용에 따른 규제: 개인정보보호법, 저작권법 등 데이터의 내용에 따라 입법된 규제적 조치들을 정리

데이터 보안 및 안전 관리 규제: 데이터 처리 주체에 대해 요구되는 데이터보호를 위한 시스템 등에 대한 안전 조치, 데이터의 안전성과 신뢰성 확보, 데이터센터에 대한 물리적 위험에 대한 조치 등

의료 및 금융 분야 데이터 관련 규제: 의료법및 생명윤리법 등 의료분야 데이터에 대한 요구사항, 신용정보법 및 전자금융감독규정 등 금융데이터에 대한 요구사항 정리

○ 데이터 산업 규제를 데이터 활용 단계별로 규제개선 이슈와 요구사항을 정리

▶ 해외 법제 동향 조사·분석 및 시사점 도출

○ 해외 주요국의 ① 데이터의 활용의 제한적 허용을 위한 입법 및 정책, ② 데이터 관리 및 안전 규제변화 동향, ③ 의료 및 금융 분야별 데이터 관련 법정책동향을 조사

① 데이터 활용 확대 법정책: 데이터 개인정보, 저작물 등 데이터의 제한적 활용 허용, 데이터 공유와 활용을 위한 기반 마련, 국가 데이터 산업 활성화 전략 또는 정책

② 데이터 관리 및 안전 규제 변화 동향: 데이터 보호법제, 데이터센터 규제 개선 입법 등

③ 의료 및 금융 분야별 데이터 관련 법정책동향

○ 데이터 활용의 제한적 허용을 위한 입법 및 정책 ① : 영국 데이터 이용 및 접근법

2025년 영국은 데이터 이용 및 접근법(Data Use and Access Act, DUAA)을 제정. GDPR과 DPA를 개정하기 위한 목적의 입법으로 개인정보 처리의 정당성 확보 요건, 정보주체의 접근 권한 강화, 자동화된 의사결정에 대한 통제, 개인정보의 국제 전송 표준 수립 등 개인정보를 포함한 데이터의 활용과 보호에 관한 포괄적 개선 사항을 담고 있음

과학적 연구 및 통계 목적 활용의 범위 확대: 과학적 연구(상업적 과학 연구 포함)·통계 목적으로 개인정보를 사용하도록 규정, 질병연구 등 과학적 연구에 대해서는 정보주체로부터 ‘포괄적 동의’를 받을 수 있도록 함

연구목적으로 개인정보를 처리하는 경우 ① 개별 고지가 비현실적일 정도로 과도한 비용과 시간, 노력이 소요되거나 ② 기존 공개된 자료들을 통해 개인정보를 수집하는 것이고, ③연구윤리심의 등 연구윤리기준이 충족되는 경우 개별고지(Privacy Notice)를 면제하도록 함. 단, 웹사이트 등을 통해 관련 사항을 공지하는 등 간접적 투명성 확보조치는 필요

동의 없이 활용 가능한 쿠키 정보 규정: ① 정보사회서비스를 제공하기 위해 엄격히 필요한(strictly necessary) 쿠키, ② 통계 데이터(analytics cookies) 수집, ③ 웹사이트의 성능 향상목적(functionality cookies)의 쿠키 정보는 동의없이도사용할 수 있도록 함

○ 데이터 활용의 제한적 허용을 위한 입법 및 정책 ② : 개인정보, 저작물의 AI 학습에 대한 합법성 논의, 인공지능 학습 목적의 공개된 데이터 활용, 데이터 활용촉진 정책 등

미국 연방저작권청: AI의 저작물 이용이 공정이용 요건에 해당하는지 검토

Bartz v. Anthropic: AI 학습 목적으로 출판저작물을 학습하는 것은 공정이용에 해당한다고 판결

싱가포르 저작권법: 컴퓨터 프로그램을 활용하여 저작물 등으로부터 정보 또는 데이터를 식별·추출·분석하는 행위' 및 '특정 유형의 정보 또는 데이터와 관련된 컴퓨터 프로그램의 기능 향상을 위하여 저작물 등을 해당 유형의 예시로 사용하는 행위＇는 특정 요건을 충족하는 경우(컴퓨터데이터분석, 원본은 정당한 권리로 접근, 복제물은 분석이나 결과검증 등을 제외하고는 공유 불가 등) 일정 조건하에 저작물을 복제하거나 저장·보관하는 것이 제한적으로 허용되는 것으로 개정

영국, 프랑스: 공개된 개인정보라 하더라도 법적 보호가 필요한 것으로 보고 있으나 2024년 AI학습용 데이터 수집시 구체적 이익이 존재하여야 하고, 이 때의 이익은 광범위한 사회적 이익을 포괄하며 이는 개발자가 목적과 용도를 입증할 수 있으면 스크래핑할 수 있다고 보고 있음

유럽연합 데이터법: 데이터 이동성 강화, 데이터 공유와 처리 계약의 불공정 조항 제한 등

호주데이터 가용성 및 투명성법: 개인정보인 경우라도 기관간 공유할 수 있도록 법적 근거와 절차 등을 규정, 데이터거버넌스 개선

유럽연합 데이터거버넌스법: 시민들의 자발적 데이터 공유 매커니즘을마련, 이를 관리하는 조직과 감독체계 구축

○ 데이터 관리 및 안전규제 변화 동향 ① : 데이터 보호 관련 규제체계 변화

미국FedRAMP 규제 차등 적용: 클라우드 서비스 보안 평가 및 인증을 통합하는 제도로, 데이터의 중요도에 따라 보안 수준을 등급화하여인증하고 이를 바탕으로 위험 관리 비용을 절감하고 효율적 보안인증체계를 구축하고자 함

유럽연합 Risk-based 규제: 정보보호기관인 ENISA는 AI 등의 기술에서의 데이터 처리 위험을 유형화하고 그에 따른 보호조치를 세분화하는 시도 지속

영국 G-Cloud 프레임워크: 데이터보안분류체계를 개편하여 민간클라우드사업자가 공공클라우드시장으로 진출하는 것을 활성화, 동시에 위험 기반 접근 방식 규제로 공급업체의 자율성을 강화하고 보안성을 스스로 확보하도록 함

○ 데이터 관리 및 안전규제 변화 동향 ② : 데이터센터 설치 관련 규제 개선

아일랜드의 데이터센터 설립 패스트트랙 계획: 지방 당국의 계획 심의를 생략하고 국가 계획기관에서 직접 처리, 지방정부 승인 지연 문제를 해결

네덜란드의 에너지 투자 공제 및 환경 투자 공제: 데이터센터가 에너지 절약 기술 및 장비에 투자할 경우, 투자 비용의 일정 비율(40%)을 과세 소득에서 공제받도록 함

일본의 데이터센터 관련 보조금 정책: 수도권 이외 지역에 대규모 데이터센터를 신설하거나 확장하는 경우 데이터센터 건립비를 지원하는 것을 넘어, 토지 조성, 전력 및 통신 접속 인프라의 정비, 그리고 건축 및 서버 설비에 이르기까지 데이터센터 운영에 필수적인 기반 요소 전반을 포괄하는 재정 지원을 시행

○ 의료 및 금융분야 데이터 관련 법정책동향

유럽연합의 유럽건강데이터공간(EHDS)규정: 환자는 EU전역의 국가에서 자신의 건강데이터를 전자형식으로 받을 수 있으며, 의료전문가도 환자의 동의를 얻어 해당 데이터에 접근할 수 있음

독일의 건강데이터 활용법: 전자환자기록, 암등록부, 병원·약국데이터 등에 대해서 연구목적으로 활용하는 경우 해당 데이터에 대해 접근 가능하도록 규정, 데이터접근 및 조정기관을 설치하여 신청기관이 건강데이터를 연결을 요청하면 이를 할 수 있도록 지원

핀란드의 의료 및 사회보장 데이터 2차 활용에 관한 법률: 국민의 개인 의료 데이터를 과학적 연구, 통계 작성, 개발 및 혁신 활동, 교육 등의 목적으로 활용할 수 있도록 허용. 보건복지부 산하에 독립적 조직으로 ‘핀데이터(Findata)’를 설치, 데이터 요청을 통합적으로 관리하는 시스템을 운영하며, 요청의 목적과 범위에 따라 필요한 데이터를 수집 및 정제하고, 적절히 익명 또는 가명 처리한 후 결합하여 제공

영국 오픈뱅킹정책: 소비자의 동의하에 금융 데이터에 접근할 수 있는 계좌정보서비스 제공자(AISP)와 지급지시서비스 제공자(PISP)의 역할과 책임을 규율. ‘오픈 뱅킹 시행기관(Open Banking Implementation Entity, OBIE)’을 설립하여 실제 데이터 공유 체계를 구현하기 위한 기술적 표준과 규격을 개발

○ 해외 법제 동향 분석 및 시사점 ①: 데이터 활용 조건의 개선과 확대

주요 국가들은 연구목적이나 AI개발 목적 등에 있어서도 제한적으로 수집 및 활용 등 처리를 허용함으로써 데이터 활용과 보호의 균형을 맞추기 위한 노력들을 실시하고 있는 것으로 파악

연구목적 등 공익적 목적에 있어서는 정보주체의 동의가 없어도 활용이 가능하도록 하는 등 합법적 처리 근거를 확대하는 동시에 동의 없는 처리라 하더라도 처리 사실을 통지하도록 하는 등 균형을 유지하며 개선을 시도

또한 공공데이터의 공유를 촉진하고 데이터 거버넌스 체계를 정비하는 것에 중점을 두고 있는데, 공공부문간 공유에는 요건과 절차 등을 마련하여 개인정보도 공유할 수 있도록 근거를 마련. 데이터 공유 등을 지원하는 전문기관을 설치

○ 해외 법제 동향 분석 및 시사점 ②: 데이터 보안, 안전관리 규제의 실질화

데이터 보안 요구를 강화하는 방향을 유지하지만 법률 등을 통해 일률적인 보안수준을 요구하는 방식에서 법제를 개선

데이터의 유형, 처리목적, 처리 주체 등에 따른 위험도를 식별 및 평가하고 그에 적합한 보안수준을 갖추도록 요구데이터 정책을 통해 데이터 전문성이나 처리 능력을 강화하고 있음

○ 해외 법제 동향 분석 및 시사점 ③: 의료데이터 활용가능성 확보

의료기관에서 연구목적으로 데이터를 활용하는 경우 포괄적 동의를 받는 것으로도 합법성을 갖출 수 있도록 규정하거나 수집 목적과는 다른 추가적 처리라 하더라도 별도의 동의를 얻지 않고 활용할 수 있도록 허용함으로써 의료데이터 활용가치를 최대화하고자 함

데이터 주체의 권리 보장을 위해 정보주체가 데이터를 제공하고 처리 현황을 확인할 수 있도록 플랫폼을 구축하는 등의 정책도 추진중

▶ 데이터 산업 규제 개선을 위한 법정책 개선 과제

○ 개인정보의 민감성, 영향에 따른 차등적 규제 적용

민감도나 영향정도에 따라 개인정보를 구분하고 민감성이 낮거나 사생활 침해 우려가 적은 경우 옵트아웃제도를 활용하는 등 개인정보규제체계를 현실화

연구목적, AI개발 목적 등에 있어 제한적으로 개인정보 수집·이용의 처리를 허용하거나 특정 조건에서는 옵트아웃 방식을 도입

개인정보보호위원회는 AI기술개발이 가명정보 등으로 진행하기 어렵고, 안전장치를 마련하고, 정보주체나 제3자의 이익을 부당하게 침해할 우려가 현저히 낮은 경우에는 위원회의 심의·의결을 받아 당초 수집 목적 외로 처리할 수 있도록 하는 개정안을 발의한 바 있음. 이러한 예외적 활용 규정의 입법 필요

○ 의료, 금융 등 분야별 개인정보보호 규제 특화

개인정보 보호법은 개인정보보호 관련 일반법으로서의 역할에 충실

의료, 금융, 교육, 행정, 국방과 국가안보 등 개별 영역의 특수성을 고려한 개인정보보호 및 활용의 입법 체계가 구조화되는 것 필요

○ 데이터보안 레질리언스 강화

데이터보안 위협의 진화, AI 기술을 활용한 위협 상황 증가 등을 고려한 보안 패러다임 전체 변화 필요

공급망 보안을 강화, 보안내재화 의무, 회복력 강화 등을 주요 골자로 하는 정보보호법제 개선 필요

일률적 보안기준을 법률에서 제시하거나 하는 것이 아닌 데이터 처리하는 자들이 보안위협에 현실적으로 대응하는 것을 요구하는 방식으로 변화

○ 데이터산업 구조에 적합한 규제 정립

클라우드서비스 제공자와 이용자의 관계 등 데이터가 이용되고 있는 현실과 산업 구조를 바탕으로 법적 책임을 구조화하여야 할 것

○ 저작물 데이터에 대한 활용

TDM면책 규정 등을 법률에서 도입하여 데이터 활용 가능성을 높이고 저작권자의 권리 보호를 위해 학습용 데이터세트에 이용된 저작물에 대한 상세 요약서를 공개하도록 하는 등 제한적으로 이를 허용하는 것 필요

▶ 중장기적 관점의 데이터 법제 개선 방안

○ 개인정보보호 관련 규제의 개선 방안

인공지능기술을 포함한 디지털 기술에 의한 개인정보 및 데이터 침해 위험은 위험 발생가능성이 높으며, 위험이 나타나는 방식과 정도, 내용이 불확실하다는 특징이 있음

이에 개인정보보호 분야에서 리스크 기반 규제 방식이 필요하다는 논의는 상당히 오랜 기간 이루어져 옴

개인정보보호 규제체계를 리스크기반 규제로 접근하고, 개인정보 처리에 따르는 리스크를 식별 및 평가하고 그에 따라 완화책을 설계하는 방식의 개인정보영향평가 제도를 적극적으로 활용

○ 데이터 관리 규제의 개선 방안

데이터 규제가 합리적으로 운영되기 위해서는 규제의 필요성과 민감도 등 위험이 낮은 데이터에 대해서는 활용을 허용하고, 활용시 위험이나 영향이 크게 미칠 데이터에 대해서는 활용을 제한하도록 구조화하는 것이 필요

이를 구현하기 위해서는 데이터분류체계를 도입하도록 의무화하는 것에 대해서도 검토 필요. 데이터를 최대한 등급화하거나 분류하는 방식은 데이터 활용의 가능성을 극대화하고 개인정보보호 규제 등을 이유로 활용을 하지 못하는 상황을 극복함은 물론, 데이터 보안이나 보호가 필요한 데이터를 식별해서 보호체계를 강화한다는 측면에서 요긴하기 때문

데이터 분류체계를 구축하게 하는 것은 법적으로 이를 의무화할 경우 수범자에게 상당한 혼란을 야기할 수 있음. 데이터를 등급화하거나 분류하는 것이 현실적으로는 어렵기 때문인데, 데이터 분류기준을 이론적으로 정립하는 것도 어려운 일이지만 현실에서 생산, 수집, 활용되는 데이터가 이러한 분류나 기준에 의해 명확하게 구분되는 것이 아니기 때문

따라서 공공기관 등에서는 데이터분류체계를 의무화하도록 하되 민간이나 공공기관중에서도 중요도가 낮은 기관에 대해서는 이러한 분류체계를 마련할 수 있는 역량을 갖추도록 지원하는 것 필요

○ 데이터 산업 전반에서의 개선 사항

데이터 거버넌스는 조직내에서 데이터 관련 문제에 대한 의사결정과 그 권한을 행사하는 모든 것을 의미. 데이터의 가치를 보전하고 이를 활용하기 위한 목적으로 수행되는 전사 차원의 경영체계라 할 수 있음

데이터 활용이 요구되는 조직에서 데이터거버넌스 체계를 마련하도록 의무화하는 방안 고려 필요 전사적으로 보유하거나 생산하는 데이터에 대한 관리정책과 전략 및 방향을 수립하고 활용과 보호를 동시에 추진하도록 관리

데이터 관련 업무 전반에 걸쳐 의사결정과 그에 대한 책임을 부담하도록 하여 데이터 활용으로 인한 이익과 리스크를 전반적으로 이해하고 관리하도록 하기 위함

Ⅲ. 기대효과

○ 데이터 산업의 상세한 규제요인들을 발굴함으로써 관련 연구를 심화시킬 수 있는 기반을 마련

○ 데이터 관련 법제도 전반에 대한 문제점을 살피고, 효과적·효율적 개선방안을 제시함으로써 데이터 관련 법제도 연구를 발전시키는 데 기여

○ 디지털 기술 및 서비스에서의 데이터 활용 현황에 맞추어 규제적 요인을 발굴하고 그에 따른 개선방안을 모색함으로써 보다 현실적이고 시장 상황에 적합한 개선안을 도출하는 데 기여

○ 해외 법제 분석, 국내 규제법제 분석 등의 자료는 정책 집행의 기초자료로써 활용될 수 있으며, 실효적이고 효과적인 데이터 산업 관련 법제도 개선방안을 제시함으로써 관련 정책의 합리화를 도모하는 데 기여