AX 시대, 가입 폼에서 지워야 할 개인정보는 무엇인가

인공지능 전환(AX)이 산업 전반으로 번지면서, 역설적으로 '적게 모으는 것'이 다시 화두가 되고 있다. 데이터를 대량으로 학습에 쓰는 시대일수록, 애초에 필요 없는 정보를 수집하지 않는 것이 위험을 줄이는 가장 확실한 방법이기 때문이다. 개인정보보호법이 오래전부터 명시해 온 '최소 수집 원칙'은 이제 선언적 조항이 아니라 실무의 판단 기준으로 옮겨가고 있는 것으로 보인다. 특히 온라인 서비스의 첫 관문인 회원가입 폼이 그 시험대에 올라 있다.

법적으로 보면 개인정보보호법 제16조는 처리 목적에 필요한 최소한의 정보만 수집하도록 요구하고, 이를 넘어서는 수집에 동의하지 않았다는 이유로 서비스 제공을 거부해서는 안 된다고 정하고 있다. 그런데 국내 상당수 가입 폼은 여전히 이 원칙과 거리가 있다. 단순 콘텐츠 열람이 목적인 서비스가 생년월일 전체, 성별, 주소, 심지어 통신사 정보까지 필수 항목으로 요구하는 사례가 흔하다. 이런 항목은 대부분 마케팅 세분화나 향후 활용 여지를 위해 '일단 받아두는' 관행에서 비롯된 것이다. 목적이 특정되지 않은 수집은 최소 수집 원칙의 정면 위반에 가깝다는 것이 내 판단이다.

그렇다면 무엇을 지워야 하는가. 우선 서비스 제공과 직접 인과관계가 없는 항목이 1순위다. 결제나 배송이 없는 서비스에서 집 주소를 필수로 받을 이유는 없다. 나이 제한이 필요한 서비스라 하더라도 생년월일 전체가 아니라 성인 여부 확인만으로 목적을 달성할 수 있는 경우가 많다. 마케팅 수신 동의, 제3자 제공 동의는 원칙적으로 선택 항목이어야 하며, 이를 필수로 묶어두는 '동의 번들링'은 개선 대상이다. AX 맥락에서 특히 주의할 부분은 프로파일링용 정보다. 관심사, 소비 성향, 위치 이력처럼 그 자체로는 사소해 보여도 결합되면 개인을 정밀하게 추론할 수 있는 데이터는, 학습·자동화 의사결정에 쓰일 여지가 있어 수집 단계에서부터 신중해야 한다.

이용자 입장에서 체감할 변화는 생각보다 구체적이다. 가입 절차가 짧아지고, 필수와 선택 항목이 분리되어 표시되며, 동의하지 않아도 핵심 기능은 쓸 수 있는 구조가 확산될 전망이다. 반대로 기업 입장에서는 데이터 자산이 줄어드는 부담이 있어 저항이 없지 않다. 여기서 논쟁이 갈린다. 한쪽은 최소 수집이 개인화 서비스 품질을 떨어뜨린다고 보고, 다른 한쪽은 애초에 과잉 수집된 데이터가 유출·오남용 사고의 뿌리였다고 본다. 실제로 대규모 개인정보 유출 사고가 반복될 때마다, 사고 규모를 키운 것은 '왜 이 정보까지 저장하고 있었는가'라는 불필요한 축적이었던 경우가 적지 않았다.

정리하면, AX 시대의 데이터 최소 수집은 규제 준수의 문제인 동시에 위험 관리의 문제다. 이용자라면 가입할 때 필수 표시(*)가 붙은 항목이 정말 그 서비스에 필요한지 한 번쯤 따져보는 습관이 필요하다. 목적이 설명되지 않은 필수 수집은 언제든 문제 삼을 수 있는 근거가 된다. 다만 구체적인 위반 여부나 과태료 기준은 사안별로 다르므로, 실제 분쟁 상황이라면 개인정보보호위원회 등의 최신 지침을 확인하는 편이 안전하다. 지우는 것이 곧 지키는 것이 되는 시대가 왔다.