뷰인터HR은 국내 개인정보보호법 현행에 가장 잘 대응하고 있는 솔루션입니다.
3월 15일, 내일 개인정보보호법에서 신설된 인공지능(AI) 등 자동화된 결정에 대한 권리 등 일부 규정이 시행됩니다. 이 개정안에 대응 가능한 뷰인터HR은 업계 가장 빠르게 관련 소식을 전달드립니다.
최근 개정된 자동화된 결정 관련 법률에 대해 많은 기업과 개인이 어떻게 대응해야 할지 고심하고 있습니다. 이런 상황에서, 뷰인터HR은 해당 법안이 발의되기 훨씬 이전부터 이미 개인정보보호위원회와 긴밀히 협력하며 개정된 개인정보보호법에 선제적으로 대응하기 위한 준비를 해왔습니다.
오늘은 이 주제에 대해 자세히 알아보고, 어떻게 준비할 수 있을지 자세한 가이드도 함께 제공해 드리겠습니다. 자동화된 결정이란, ⓐ 인간의 개입 없이 컴퓨터 알고리즘, 또는 시스템이 자동으로 ⓑ 개인정보를 포함한 정보를 처리하여 ⓒ 중대한 결정을 내리는 과정을 말합니다.
여기서 중요한 점은 세 가지 조건을 모두 만족시켜야 자동화된 결정으로 분류된다는 것입니다. 이 세 가지 조건이 충족될 경우, 정보주체는 해당 결정에 대해 법적으로 거부할 권리를 갖게 됩니다.
그럼, 자동화된 결정의 판단 기준을 조금 더 자세히 알아볼 필요가 있겠죠?
먼저 자동화된 결정의 개념과 그 기준을 더 상세히 이해해야 합니다. 주요 기준은 다음과 같은 세 가지로 구분됩니다:
이 세 가지 기준을 통해, 어떤 상황이 자동화된 결정에 해당하는지를 판단할 수 있습니다. 일반적으로 채용 절차에서 개인정보의 처리는 필수적이기 때문에, 대부분의 채용 관련 결정은 첫 번째 조건을 충족합니다.
AI 면접 솔루션의 도입 목적은 지원자를 보다 정확하고 객관적으로 평가하는 것입니다. 사람의 개입을 최소화하여 모든 지원자에게 공평한 기회를 제공하면, AI 면접 솔루션을 통한 채용 결정 과정이 더욱 공정해집니다.
결과적으로, AI 면접 솔루션이 적용된 채용에 지원함으로써, 지원자는 해당 채용 절차를 동의하는 것으로 간주됩니다. 자동화된 결정에서 가장 이슈가 될 수 있는 부분은 바로 결정에 대한 거부권인데, 이 경우 자동화된 결정의 적용에 대한 거부권이 인정되지 않습니다.
따라서 중점을 두어야 할 부분은 '중대한 결정'과 '완전 자동화된 결정'입니다.
‘중대한 결정’이라는 개념은 상당히 주관적으로 해석될 수 있어, 정확한 범위를 결정하기 어려운 면이 있습니다. 개인정보보호법에서는 '중대한 결정'을 명확히 정의하고 있지 않지만, GDPR에서는 이에 대한 몇 가지 힌트를 제공합니다.
GDPR, 즉 General Data Protection Regulation은 유럽에서 시행되고 있는 데이터 보호 법률이며, 우리나라의 개인정보보호법 개정안도 이 GDPR의 일부 문구를 차용하고 있습니다.
GDPR의 22조(Article 22 GDPR. Automated individual decision-making, including profiling)는 자동화된 결정에 관한 내용을 담고 있으며, 그 전문 71조에서 중대한 결정에 대한 내용을 다루고 있습니다.
GDPR에서는 '온라인 신용 평가에 대한 자동 거부'와 '인간의 개입 없는 온라인 채용'을 중대한 결정의 예로 들고 있습니다. 이를 통해 우리나라의 개인정보보호법에서도 중대한 결정을 판단할 때, 이와 유사한 예시를 기준으로 삼을 수 있다는 점을 알 수 있습니다.
…(원문)…
(71) The data subject should have the right not to be subject to a decision, which may include a measure, evaluating personal aspects relating to him or her which is based solely on automated processing and which produces legal effects concerning him or her or similarly significantly affects him or her, such as automatic refusal of an online credit application or e-recruiting practices without any human intervention.
Such processing includes ‘profiling’ that consists of any form of automated processing of personal data evaluating the personal aspects relating to a natural person, in particular to analyse or predict aspects concerning the data subject’s performance at work, economic situation, health, personal preferences or interests, reliability or behaviour, location or movements, where it produces legal effects concerning him or her or similarly significantly affects him or her.
…(국문)…
정보 주체는 법적인 효력을 가지며, 자신의 삶에 중대한 영향을 끼치는 사항에 대해 자동화된 결정으로 평가받지 않을 권리를 가진다. 그 예로 온라인 신용 평가 자동 거부 또는 사람의 개입 없이 이루어지는 온라인 채용 정책을 들 수 있다.
이것은 직장 내 성과, 경제 상황, 건강, 개인적인 선호도, 신뢰도, 행동, 위치에 대한 분석이나 예측 등 개인적인 측면을 평가하는 모든 데이터를 포함한다.
그럼, ‘완전히 자동화된 결정’이란, 어떨까요? 이 조건은 아주 명확합니다. 결과에 납득 가능한 사람의 개입이 반영된다면, 이것은 자동화된 결정이 아닙니다. 즉, 사람의 개입이 중요한 요소로 작용하는 것이지 AI의 유무가 영향을 미치지 않는 것입니다.
채용 과정에서 완전히 자동화된 결정이 아닌 경우는 아래와 같습니다:
반면, 시험을 채점할 때, 프로그램이 답안을 확인한 뒤 점수를 부여하고, ⓐ 그 점수 기준에 따라 합격/불합격 여부를 판단하고, ⓑ 사람의 개입이 없다면, 이것은 자동화된 처리입니다.
자동화된 결정과 관련된 가장 중요한 대응은 ⓐ 거부권, ⓑ 사전고지 의무, ⓒ 설명 요구권과 관련이 있습니다.
AI 면접을 활용하는 방식에 대해서는, 응시자가 채용 절차에 동의함으로써, 사실상의 거부가 불가능하게 됩니다. 이는 「개인정보보호법 제15조 제1항 제1호」에 따라, 정보주체가 거부권을 행사할 수 없음을 의미합니다. 즉, 채용 절차에 대한 동의를 거부하는 것은 실질적으로 해당 회사에 지원하지 않는 것과 같습니다.
뷰인터HR은 자동화된 결정에 해당할 경우, 정보주체의 권리를 보호하기 위해 다음과 같은 두 가지 조치를 하고 있습니다:
뷰인터HR은 「개인정보보호법 시행령 제44조의4」에 의거하여, 자동화된 결정에 관한 다음 요소들에 대해 사전 고지 예시문을 제공하고 있습니다. :
(실제 게시해야 하는 책임은 개인정보처리자인 기업이 되니, 이 점은 꼭 참고 부탁드립니다)
이러한 사전 고지는 개인정보보호위원회와 협의하여 완성한 것으로, 자동화된 결정에 대한 이해를 돕고 정보주체의 권리를 보호하는 데 중점을 두고 있습니다.
뷰인터HR에서 제공하는 “자동화된 결정에 대한 사전고지문 예시”는 언제든지 문의할 수 있으며, 사전고지문 활용 방법에 대한 가이드와 함께, 채용 절차에 맞게 적용하는 방법에 대한 지원도 제공하고 있습니다.
추가로 필요한 정보나 가이드가 있으시다면, 언제든지 문의해 주세요!
만약 채용 절차가 자동화된 결정 시스템을 사용하는 경우, 응시자는 설명을 요구할 권리가 있으며, 회사는 이에 대해 성실하게 응답해야 합니다(「개인정보보호법 제37조의 2 2항」에 따름).
뷰인터HR은 AI 면접 솔루션에서 뛰어난 AI 기술력을 바탕으로, 응시자에게 제공되는 피드백 리포트를 통해 설명 가능한 AI의 실행을 보장하고 있습니다.
뷰인터HR은 개인정보보호법 개정 이후에도 별도의 준비 없이 이 기준을 충족시켰습니다. 이는 뷰인터HR이 AI 면접 결과의 판단 근거를 명확하게 설명할 수 있는 기능을 이미 갖추고 있었기 때문입니다.
다른 면접 솔루션들이 AI의 판단 기준을 명확하게 설명하는 데 어려움을 겪는 반면, 뷰인터HR은 "AI는 반드시 설명 가능해야 한다"는 원칙을 준수합니다.
아래 간단한 정보만 입력하여 주시면, 사전고지문 예시와 응시자 피드백 용 리포트를 HR 컨설턴트가 최대한 빠른 시일 내에 제공드리고 있습니다.
(영업일 최대 30분 이내)
자동화된 결정으로 합격/불합격을 결정하시는 분들께서는 관련 안내를 통해 반드시 불이익을 피해가시기 바랍니다!
개인정보 보호법의 개정으로 인한 안내를 드리기 위한 목적으로 이번 콘텐츠를 작성하게 되었습니다. 이 글을 마무리하며, 중요한 시사점 두 가지를 꼭 전달드리고 싶습니다.
① 개인정보보호법의 개정은 AI기술 수준과 기준이 이제 법적으로 평가받을 수 있다는 점을 시사합니다.
뷰인터HR은 개인정보보호법에 대응하는 가장 앞선 솔루션이라는 점을 이러한 콘텐츠를 통해서도 증명하고 있습니다.
뷰인터HR은 동종업계 기준으로는 비교 자체가 무색할 정도로 압도적인 양의 AI 및 HR 특허를 보유하고 있습니다. 뷰인터HR은 32건의 AI 면접 관련 국내외 특허를 등록 및 출원하였으며, 제네시스랩은 총 64건의 국내외 특허를 등록 및 출원한, 독보적 AI 기술을 보유한 기업입니다. 이는 다른 동종 업계 기업들에 비해 뷰인터HR이 가지고 있는 가장 큰 비교우위입니다.
더 많은 일상과 업무의 영역에 AI가 함께 하게 될수록, 모두가 이제껏 익숙하지 않았던 AI에 대해 더 많이 걱정하고, 궁금해할 것입니다. 우리의 삶에 새로운 것을 받아들이는 일은 언제나 쉬운 일이 아닙니다. 하지만, AI의 힘을 빌려 보다 더 적은 시간/비용/노력으로 효율적으로 성장하는 비즈니스만이 이 힘든 시기를 이겨내고, 성장한다는 것은 자명한 사실입니다.
② AI기술력에 대한 검증이 그 무엇보다 중요해졌습니다.
아직, 어떤 산업군에서 어떤 기술이 명확하게 ‘AI 기술’인지, AI 전문가가 아니라면 판단하기는 쉽지 않습니다. 그렇기에, 정보의 비대칭이 0에 수렴해 가는 지금의 세대에서도 AI 기술이 전혀 적용되지 않은 채 AI 솔루션을 가장한 기업과 솔루션이 너무나 많습니다.
어떤 분야에서 뷰인터HR은 AI 기술력을 선도하는 대한민국의 첫 번째 기업으로써, 법적 대응의 민첩성뿐만 아닌, 윤리적 가치를 추구하며, 누구나 믿을 수 있는 AI 신뢰성을 확보할 사명을 지니고 일합니다.
뷰인터HR은 근거 없이, 믿을 수 있는 객관적인 지표 없이 우리의 솔루션을 AI라 칭하지 않습니다. HR기업 중에선 유일하게 TTA(한국정보통신기술협회)로부터 AI 신뢰성 평가를 인증받으며, 실질적인 AI 기술을 제3 전문기관으로부터 검증받았습니다.
과학기술정보통신부의 AI 관련 장관상 대상 수상 실적을 가지고 있는 HR 기업으로도 유일한 기업이지만, 우리는 이 장관상을 두 번이나 수상했습니다. (2023 대한민국 인공지능 대상 장관상, 제1회 인공지능 신뢰성·품질 대상 장관상)
뷰인터HR을 만드는 제네시스랩은 모두가 AI 기술의 우위와 윤리적 책임을 함께 평가받으리라는 것을 예측하였습니다. 개인정보보호법 준수를 위해 개인정보보호위원회와 가졌던 다수의 협의, AI의 윤리 기준을 충족하기 위해 한국인공지능윤리협회와 만들었던 AI 윤리 가이드라인을 뷰인터HR은 이미 가지고 있습니다.
이 글을 읽는 모두가 더 이상 AI 기술이 적용되지 않았거나, 전혀 검증이 이루어지지 않은 ‘AI를 가장한 솔루션’에 피해를 받지 않으셨으면 좋겠습니다. 이제는 AI 기술이 적용되지 않는 것은 고사하고, 개인정보보보호법의 개정으로 자칫 잘못하면 법적인 제재를 받을 수도 있는 상황입니다.
AI 솔루션을 도입함에 있어서는 반드시 AI의 기술력과 법적 보호를 받을 수 있는 솔루션인지를 판단해야 합니다. 뷰인터HR의 든든한 도움이 필요하시다면, 또는 어떠한 질문이든 있으시다면 편한 마음으로 연락 주시면 필요한 도움을 모두 드리도록 하겠습니다.
① 정보주체는 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 개인정보처리자에 대하여 해당 결정을 거부할 수 있는 권리를 가진다. 다만, 자동화된 결정이 제15조제1항제1호ㆍ제2호 및 제4호에 따라 이루어지는 경우에는 그러하지 아니하다.
② 정보주체는 개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다.
① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.
1. 정보주체의 동의를 받은 경우
2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우
① 정보주체는 법 제37조의2제1항에 따른 자동화된 결정(이하 “자동화된 결정”이라 한다)에 대해 같은 항 본문에 따라 거부하는 경우에는 개인정보처리자가 마련하여 제44조의4제1항제5호에 따라 공개하는 방법과 절차에 따라야 한다.
② 정보주체는 법 제37조의2제2항에 따라 자동화된 결정에 대해 개인정보처리자에게 다음 각 호의 설명 또는 검토를 요구할 수 있다. 이 경우 정보주체의 설명 또는 검토 요구는 개인정보처리자가 마련하여 제44조의4제1항제5호에 따라 공개하는 방법과 절차에 따라야 한다.
1. 해당 자동화된 결정의 기준 및 처리 과정 등에 대한 설명
2. 정보주체가 개인정보 추가 등의 의견을 제출하여 개인정보처리자가 해당 의견을 자동화된 결정에 반영할 수 있는지에 대한 검토
③ 제1항 및 제2항에 따른 정보주체의 자동화된 결정에 대한 거부, 설명 및 검토 요구(이하 “거부ㆍ설명등요구”라 한다)의 방법과 절차를 개인정보처리자가 마련하는 경우 준수해야 할 사항에 관하여는 제41조제2항을 준용한다. 이 경우 “열람 요구”는 “거부ㆍ설명등요구”로 본다.
① 개인정보처리자는 정보주체가 제44조의2제1항에 따라 자동화된 결정에 대해 거부하는 경우에는 정당한 사유가 없으면 다음 각 호의 어느 하나에 해당하는 조치를 하고 그 결과를 정보주체에게 알려야 한다.
1. 해당 자동화된 결정을 적용하지 않는 조치
2. 인적 개입에 의한 재처리
② 개인정보처리자는 정보주체가 제44조의2제2항에 따라 자동화된 결정에 대해 같은 항 제1호에 따른 설명을 요구하는 경우 정당한 사유가 없으면 다음 각 호의 사항을 포함한 간결하고 의미있는 설명을 정보주체에게 제공해야 한다. 다만, 개인정보처리자는 해당 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치지 않는 경우에는 정보주체에게 제44조의4제1항제2호 및 제3호의 사항을 알릴 수 있다.
1. 해당 자동화된 결정의 결과
2. 해당 자동화된 결정에 사용된 주요 개인정보의 유형
3. 제2호에 따른 개인정보의 유형이 자동화된 결정에 미친 영향 등 자동화된 결정의 주요 기준
4. 해당 자동화된 결정에 사용된 주요 개인정보의 처리 과정 등 자동화된 결정이 이루어지는 절차
③ 개인정보처리자는 정보주체가 제44조의2제2항에 따라 같은 항 제2호에 따른 검토를 요구하는 경우에는 정당한 사유가 없으면 정보주체가 제출한 의견의 반영 여부를 검토하고 정보주체에게 반영 여부 및 반영 결과를 알려야 한다.
④ 개인정보처리자는 다른 사람의 생명ㆍ신체ㆍ재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 등 정당한 사유가 있어 법 제38조제5항에 따라 거부ㆍ설명등요구를 거절하는 경우에는 그 사유를 정보주체에게 지체 없이 서면등의 방법으로 알려야 한다.
⑤ 개인정보처리자는 제1항부터 제3항까지의 규정에 따라 정보주체의 거부ㆍ설명등요구에 따른 조치를 하는 경우에는 정보주체의 거부ㆍ설명등요구를 받은 날부터 30일 이내에 서면등의 방법으로 해야 한다. 다만, 30일 이내에 처리하기 어려운 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 2회에 한정하여 각각 30일의 범위에서 그 기간을 연장할 수 있다.
⑥ 제1항부터 제5항까지의 규정에 따른 정보주체의 거부ㆍ설명등요구에 따른 조치에 관한 세부 사항은 보호위원회가 정하여 고시한다.
① 개인정보처리자는 법 제37조의2제4항에 따라 다음 각 호의 사항을 정보주체가 쉽게 확인할 수 있도록 인터넷 홈페이지 등을 통해 공개해야 한다. 다만, 인터넷 홈페이지 등을 운영하지 않거나 지속적으로 알려야 할 필요가 없는 경우에는 미리 서면등의 방법으로 정보주체에게 알릴 수 있다.
1. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위
2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계
3. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차
4. 자동화된 결정 과정에서 민감정보 또는 14세 미만 아동의 개인정보를 처리하는 경우 그 목적 및 처리하는 개인정보의 구체적인 항목
5. 자동화된 결정에 대하여 정보주체가 거부ㆍ설명등요구를 할 수 있다는 사실과 그 방법 및 절차
② 개인정보처리자는 제1항 각 호의 사항을 공개할 때에는 정보주체가 해당 내용을 쉽게 알 수 있도록 표준화ㆍ체계화된 용어를 사용해야 하며, 정보주체가 쉽게 이해할 수 있도록 동영상ㆍ그림ㆍ도표 등 시각적인 방법 등을 활용할 수 있다.
Write 이도연 (HR사업개발)
Review & Edit 최성원 (마케팅)
