서면 답변 · 2026-05-05 · 국회 15
AI가 생성한 추론·파생 데이터 사용 문제를 다루기 위한 2012년 개인정보보호법 재검토
노동자당 의원 데니스 탄(Dennis Tan Lip Fong)은 디지털개발정보부에 추론·파생 데이터—AI 시스템이 생성한 행동 프로파일 포함—의 사용 문제를 다루기 위해 2012년 개인정보보호법(PDPA)을 재검토할 의향이 있는지, 있다면 어떤 원칙이 그 재검토를 이끌 것인지 서면 질의했다. 조세핀 테오(Josephine Teo) 장관은 PDPA상 식별 가능한 개인에 관한 데이터는 개인정보로 간주되며, 조직은 보유·통제하는 그러한 데이터를 보호할 의무가 있고, 이는 조직이 사업 과정에서 개인정보로부터 파생시킨 해당 개인에 관한 데이터도 포함한다고 답했다. 또한 개인정보보호위원회(PDPC)가 'AI 추천·의사결정 시스템에서의 개인정보 사용에 관한 자문 지침'을 발간해 정당한 사업 목적으로만 데이터를 사용하고 수집을 필요 범위로 제한하는 등의 원칙을 제시했다고 밝혔다. 이 답변은 사실상 법 개정의 시급성을 부인한 것으로, 정부는 현행 법률 정의가 파생 데이터를 이미 포괄하며 소프트한 지침으로 충분하다는 입장인 반면, 야당 의원이 지적한 AI 행동 프로파일링이라는 새로운 위험에 대한 별도의 입법 대응은 이루어지지 않았다.
핵심 요점
- • 정부는 PDPA의 기존 정의가 사업 과정에서 파생된 개인정보를 이미 포괄한다고 판단
- • PDPC는 AI 추천·의사결정 시스템의 개인정보 사용 자문 지침을 발간
- • 지침 원칙은 정당한 사업 목적 한정과 필요 범위 내 수집 제한
- • AI 행동 프로파일링을 겨냥한 PDPA 개정 검토는 약속하지 않음
정부는 PDPA의 기존 개인정보 정의가 조직이 사업 과정에서 파생시킨 데이터를 이미 포괄하며, PDPC의 AI 자문 지침과 결합하면 충분하므로 즉각적인 법 개정은 필요 없다는 입장이다.
노동자당 의원 데니스 탄은 AI가 생성하는 추론 데이터와 행동 프로파일이 새로운 유형의 위험이며, PDPA 재검토를 통한 별도의 입법 대응이 필요하다고 본다.
싱가포르는 AI 시대의 데이터 보호에서 '현행법 + 소프트 지침' 노선을 이어가며, 단기적으로 AI 추론 데이터를 위한 별도 법 개정에 나서지 않을 것임을 시사한다.
“이는 조직이 사업 과정에서 그러한 개인정보로부터 파생시킨 해당 개인에 관한 데이터도 포함한다.”
참여자 (2)
영어 원문
SPRS Hansard · Fetched: 2026-06-09
39 Mr Dennis Tan Lip Fong asked the Minister for Digital Development and Information (a) whether the Ministry intends to review the Personal Data Protection Act 2012 to address the use of inferred or derived data, including behavioural profiles generated by Artificial Intelligence systems; and (b) if so, what principles will guide such a review.
Mrs Josephine Teo : Under the Personal Data Protection Act, data about an identifiable individual is considered personal data and an organisation has obligations to safeguard such data in its possession or control. This also covers data about the individual that an organisation derives in the course of business from such personal data.
The Personal Data Protection Commission has published Advisory Guidelines on the Use of Personal Data in Artificial Intelligence (AI) Recommendation and Decision Systems. It sets out principles to guide organisations and consumers on the responsible collection and use of personal data in AI systems, such as using data only for legitimate business purposes and limiting data collection to what is needed.