에이전틱 AI 환경에서의 전송 요구권 법제 개선 방향에 대한 연구 : 초개인화 서비스를 위한 개인정보 위수탁·제공의 한계를 중심으로 = A Study on the Legislation of the Right to Data Portability in the Agentic AI Environment : Focusing on the Limitations of Personal Information Outsourcing and Provision for Hyper-personalization Services

다국어 초록 (Multilingual Abstract)

The emergence of Agentic AI, such as ChatGPT and Gemini, which possesses active reasoning capabilities, is fundamentally transforming how digital services are utilized. Hyper-personalization services based on Agentic AI provide optimized benefits by integrating heterogeneous data distributed across multiple controllers in real time, evolving into a more sophisticated form of service that surpasses traditional, one-dimensional customization. The realization of such services necessitates a process of collecting and synthetically analyzing personal financial and lifestyle data scattered across various platforms without boundaries. However, the autonomous data integration methods of Agentic AI structurally collide with the strict dichotomous framework of ＂entrustment＂ and ＂third-party provision＂ under the current Personal Information Protection Act. If the transfer of data to Agentic AI is interpreted as a simple entrustment relationship, it becomes difficult to control the AI provider—as a trustee—diverting data for independent purposes such as model training, which creates a regulatory vacuum where liability is unfairly shifted to lower-level service providers. Conversely, if this is viewed as third-party provision between independent controllers, individual consent must be obtained at every stage of vast data integration, leading to practical bottlenecks and extreme consent fatigue for data subjects. Furthermore, as these services are predominantly led by global companies headquartered overseas, there are inherent sovereign risks, such as potential data leaks due to information disclosure orders from foreign judicial authorities and the loss of domestic judicial control. Accordingly, this study analyzes the regulatory blind spots created by the current legal system and proposes a new liability-based legal framework that ensures the effective remedy of data subjects' rights while fostering industrial innovation. As specific legislative improvements, this study first suggests the introduction of a ＂Joint Personal Information Controller＂ system, drawing on the concept of Joint Controllers under the EU GDPR, to enforce joint and several liability among entities within complex processing environments. Second, moving beyond the structural constraints of the current MyData authorization system, this study proposes the creation of a ＂Specialized Agentic AI Data Recipient＂ status, which allows for the legal receipt of data across all industrial sectors upon demonstrating high levels of internal control and proactive rights protection systems. Third, the study establishes post-facto purification liability for companies by codifying ＂Algorithmic Disgorgement＂ orders, which mandate the disposal of intelligent models derived from illegally processed information. Finally, the study defines measures to safeguard data sovereignty by imposing a judicial defense obligation on domestic representatives against unjust compulsory execution by foreign judicial authorities within global AI processing structures. This study holds academic significance by re-examining the risks of privacy infringement and liability evasion in the Agentic AI environment through the lens of substantive regulation and structural attribution of liability to controllers, rather than the passive defense logic of data subjects. It is expected that the alternatives proposed in this paper will serve as a legislative cornerstone and a normative foundation for future amendments to personal information protection laws and the establishment of new regulatory governance for the era of Agentic AI.

국문 초록 (Abstract)

ChatGPT, Gemini 등 에이전틱 AI의 등장은 디지털 서비스의 활용 방식을 근본적으로 변화시키고 있다. 에이전틱 AI 기반의 초개인화 서비스는 다수의 처리자에게 분산된 이기종 데이터를 실시간으로 통합하여 최적화된 편익을 제공하며, 이는 기존의 일차원적인 맞춤형 서비스를 넘어선 보다 정교한 형태의 서비스로 진화하고 있다. 이러한 서비스의 구현을 위해서는 여러 플랫폼에 산재한 개인의 금융 및 생활 데이터를 경계 없이 수집하고 종합적으로 분석하는 과정이 필수적이다.
그러나 에이전틱 AI의 자율적인 데이터 통합 방식은 현행 개인정보 보호법상의 '위탁'과 '제3자 제공'이라는 엄격한 이분법적 체계와 구조적으로 충돌한다. 에이전틱 AI로의 데이터 이전을 단순한 위탁 관계로 해석할 경우, 수탁자인 AI 제공자가 모델 학습 등 독자적인 목적으로 데이터를 전용하는 것을 통제하기 어려워지며, 이는 하위 서비스 제공자에게 부당하게 책임이 전가되는 규제 공백을 초래한다. 반대로 이를 독립적인 처리자 간의 제3자 제공으로 볼 경우, 방대한 데이터 통합의 매 단계마다 개별적인 동의를 받아야 하므로 실무적인 병목현상과 정보주체의 극심한 동의 피로를 유발하게 된다. 나아가 이러한 서비스가 주로 해외에 본사를 둔 글로벌 기업들에 의해 주도됨에 따라, 외국 사법 당국의 정보 공개 명령에 의한 잠재적인 데이터 유출 및 국내 사법 통제권 상실 등 내재적인 데이터 주권 위험이 존재한다.
이에 본 연구는 현행 법제도가 야기하는 규제 사각지대를 분석하고, 산업의 혁신을 촉진하면서도 정보주체의 권리에 대한 실효적인 구제를 보장하는 새로운 책임 기반의 법적 프레임워크를 제안한다. 구체적인 입법 개선 방안으로서, 본 연구는 첫째, 복잡한 처리 환경 내 주체들 간의 연대 책임을 강화하기 위해 EU GDPR의 Joint Controllers 개념을 차용한 '공동 개인정보 처리자' 제도의 도입을 제안한다. 둘째, 현행 마이데이터 허가제의 구조적 한계를 넘어, 높은 수준의 내부 통제 및 선제적인 권리 보호 체계를 입증할 경우 모든 산업 부문에 걸쳐 합법적인 데이터 수령을 허용하는 '에이전틱 AI 정보수신 전문사업자' 지위의 신설을 제안한다. 셋째, 불법적으로 처리된 정보로부터 파생된 지능형 모델의 폐기를 명령하는 '알고리즘 파기' 제도를 명문화하여 기업의 사후적 정화 책임을 확립한다. 마지막으로, 글로벌 AI 처리 구조 내에서 외국 사법 당국의 부당한 강제 집행에 맞서 국내 대리인에게 사법적 방어 의무를 부과함으로써 데이터 주권을 보호하기 위한 방안을 규정한다.
본 연구는 에이전틱 AI 환경에서의 프라이버시 침해 및 책임 회피 위험을 정보주체의 수동적인 방어 논리가 아닌, 실체적 규제와 처리자에 대한 구조적인 책임 귀속의 관점에서 재조명했다는 점에서 학술적 의의를 지닌다. 본 논문에서 제안된 대안들은 향후 개인정보 보호법 개정 및 에이전틱 AI 시대를 위한 새로운 규제 거버넌스 확립에 있어 입법적 초석이자 규범적 토대가 될 것으로 기대된다.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구의 배경 및 목적 1
• 제2절 연구의 범위 및 방법 4
• 1. 연구의 범위 4
• 2. 연구의 방법 5
• 제2장 초개인화 서비스와 개인정보 처리 법제 7
• 제1절 에이전틱 AI 기반 초개인화 서비스의 이해 7
• 1. 초개인화 서비스의 개인정보 처리 특성 7
• 2. 에이전틱 AI의 능동적 데이터 통합 능력 8
• 제2절 주요국의 개인정보 처리 주체별 역할과 책임 9
• 1. EU GDPR 의 처리 주체 분류와 책임 구조 9
• 2. 미국 CCPA/CPRA의 처리 주체 분류와 책임 구조 12
• 제3절 국내 개인정보 처리 형태별 역할과 책임 14
• 1. 개인정보 처리위탁의 책임 관계 14
• 2. 개인정보 제3자 제공의 책임 분리 15
• 3. 개인정보 국외 이전과 국외 개인정보처리자 통제 16
• 4. 개인정보 전송요구권과 수신자의 독자 책임 16
• 제3장 에이전틱 AI 서비스의 개인정보 처리 한계 18
• 제1절 주요국 개인정보 보호 법제 적용의 실태 18
• 1. EU GDPR의 개인정보 처리 주체 분류 체계 18
• 2. 미국 CCPA/CPRA의 처리 주체 적용 제도 22
• 제2절 국내 개인정보 보호 법제 적용의 한계 25
• 1. 개인정보 처리위탁 형태 적용의 한계 25
• 2. 개인정보 제3자 제공 형태 적용의 현실적 장벽 27
• 3. 전송요구권（마이데이터） 형태 적용의 타당성과 과제 28
• 4. 개인정보 국외이전 시 권리 침해 위험성 33
• 제4장 에이전틱 AI 환경에서의 전송 요구권 제도 개선방안 35
• 제1절 데이터 송수신 거버넌스 개편 35
• 1. 필수 데이터 편입과 송신 주체 확대 35
• 2. 정보수신 적격성 신설과 내부 통제 의무 부여 36
• 3. 개인정보보호위원회 중심의 범부처 합동 거버넌스 구축 37
• 제2절 다수 개인정보 처리자 간 책임 구조 개편 38
• 1. EU GDPR의 공동 개인정보 처리자 모델 수용 38
• 2. 연대책임 체계와 권리 보장 방안 38
• 제3절 제재 수단의 실효성 확보 40
• 제4절 글로벌 데이터 주권 수호 41
• 1. 국내대리인 제도의 법률상 의무 강화 42
• 2. 국외 이전 중지 명령권 요건 명확화 43
• 제5장 결론 45
• 참 고 문 헌 49
• ABSTRACT 53