｢개인정보 보호법｣에 따르면 개인정보의 의미는 ‘살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보’를 기본으로 한다. 이는 유럽연합(EU)의 GDPR(General Data Protection Regulation)에 정의된 개인정보 개념과 같은 맥락이다. GDPR은 생체인식정보(biometri ...

｢개인정보 보호법｣에 따르면 개인정보의 의미는 ‘살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보’를 기본으로 한다. 이는 유럽연합(EU)의 GDPR(General Data Protection Regulation)에 정의된 개인정보 개념과 같은 맥락이다. GDPR은 생체인식정보(biometric data)를 ‘안면이미지 또는 지문정보와 같이, 자연인의 고유한 식별을 허용하거나 확인해주는, 자연인의 신체적‧생리적 또는 행동적 특성과 관련하여 특정한 기술적 처리의 결과인 개인정보’로 정의하는데, 고유식별 목적의 생체정보는 ‘특수 범주의 개인정보(special categories of personal data)’로 표현되는 민감한 개인정보, 즉 민감정보에 해당하여 원칙적으로 처리가 금지된다. 개인정보보호에 관한 EU 기본법인 GDPR은 개인정보법과 마찬가지로 개인정보처리의 기본원칙을 천명하고 있다. 그 내용은 ① 합법성‧공정성‧투명성, ② 목적 제한, ③ 데이터 최소화, ④ 정확성, ⑤ 보유기간의 제한, ⑥ 무결성‧기밀성, ⑦ 개인정보처리자의 책임성 등으로 간추려진다. 생체정보도 개인정보이므로 그 처리는 일반 개인정보에서처럼 이러한 기본원칙이 준수되어야 한다. 이를 바탕으로 본 연구는 지능형 안면인식기술로 처리되는 개인영상정보의 규율에서 기본원칙에 근거하되 보강되어야 할 특수한 규범적 방향을 짚어 법제정비 방안을 제시한다.
안면인식정보로서 개인영상정보의 복합적 속성을 염두에 두고 정보처리의 목적과 수단이 갖는 특징에 상응하게 규율내용을 가늠하는 까닭은, 급진전하는 기술발전에 따라 촉발될 수 있는 권리침해 개연성의 통제가 제도화의 법적 준거에 기초하는 데 기인한다. 인공지능(AI)으로 가속되는 지능화나 자동화 같은 기술적 변혁은 이러한 위험성을 심화시키지만, 규범적 본질이 달라지는 것은 아니기 때문이기도 하다. 그 정점에서 안면인식기술은 지능화에 따라 인증·식별 목적으로 특정 개인의 얼굴에서 신체적 특징을 추출하여 생성한 안면인식정보를 보다 정교하게 처리할 수 있게 되었다. 이러한 급속도의 기술적 발전으로 영상정보처리기기 운용에 따른 안면인식정보의 처리는 개인영상정보로서 민감한 생체인식정보라는 복합적 특성에 연유한 권리침해 개연성을 증폭시키고 있다. 그 논란의 중심에 있는 법집행 목적의 안면인식시스템 활용은 규범적으로 모라토리엄의 대상이어야 한다는 비교법적 요청을 염두에 두고 다음과 같이 지능형 안면인식기술의 사용에 관한 법제정비 방안을 제시할 수 있다.
첫째, 안면인식시스템에 대하여 고정형과 이동형의 공통적인 사항을 생체인식 영상정보처리기기 운용 개념으로 포섭하여 안면인식기술에 따른 개인영상정보의 처리를 제한한다.
둘째, 법집행 목적의 생체인식 영상정보처리기기 운용은 개별법률의 요건에 따라 영장주의원칙이 적용되는 적법절차에 의하여 예외적으로 실시할 수 있게 규율하고 그 외 업무 목적의 생체인식 영상정보처리기기 운용은 별도 동의를 받거나 법령에서 구체적으로 허용되는 경우에 한하여 인정한다.
셋째, 생체인식 영상정보처리기기의 운용에 필요한 암호화 처리 및 대체적 인증수단 제공 등에 관한 상세한 내용은 위임한다.

FRT(facial recognition technology) can more precisely and elaborately deal with personal information extracted from facial data related to an individual’s unique characteristics through specific technical processing for authentication or identificati ...

FRT(facial recognition technology) can more precisely and elaborately deal with personal information extracted from facial data related to an individual’s unique characteristics through specific technical processing for authentication or identification as biometrics automated by AI(artificial intelligence). According to this swiftly rapid technological development, the probability of rights infringement is amplified due to complicate peculiarity of personal image data as sensitive biometric data and personal location data in accordance with processing of facial recognition information based on application of image data handling device. Considering the comparative legal requests assert that the utilization of facial recognition system for law enforcement purposes, which is in central controversy, should be normatively subject to moratorium, this article presents the legislative solutions as belows for the use of AI FRT(intelligent facial recognition technology).
No.1 : Restriction of personal image data processing implemented by FRT with subsuming the common features of the fixed type and the mobile type into the concept of operating the biometric image data handling device
No.2 : Admission of operating the biometric image data handling device from the viewpoint of two-way classification divided as one system aimed at law enforcement regulated under legal due process of warrant doctrine depending on requirements of particular statutory exceptions and the other system for another purposes only carried out by prior consent approved separately or by concrete enactment permitted specifically
No.3 : Delegation of the details including the encryption measure and alternative authentication means necessary for application of biometric image data handling device

지난 2022년 11월 국가인권위원회는 안면인식정보의 경우 식별가능한 개인정보에 해당하며, 부당하게 활용되거나 유출될 경우 정보주체에게 미칠 수 있는 피해의 위험성이 결코 작지 않다고 판단하였다. 안면인식정보는 이름‧주소‧암호 등 여타 개인정보와 달리 변경할 수 ...

지난 2022년 11월 국가인권위원회는 안면인식정보의 경우 식별가능한 개인정보에 해당하며, 부당하게 활용되거나 유출될 경우 정보주체에게 미칠 수 있는 피해의 위험성이 결코 작지 않다고 판단하였다. 안면인식정보는 이름‧주소‧암호 등 여타 개인정보와 달리 변경할 수 없는 생체정보로서 살아 있는 동안 그 사람과 결합되어 있고, 신체 그 자체로부터 획득할 수 있는 일신전속성이 강한 개인정보이며, 언제든 축적이 가능하고 데이터베이스 연결의 고리로 기능할 수 있다는 점이 그 이유였다.
개인정보보호 일반법인 일반정보보호법(GDPR)이 시행되고 있는 유럽연합(EU)에서 회원국은 개별 국내법을 통해 개인정보 보호원칙을 구체화하고 있으며 EU 차원의 지침 등을 통해 체계적인 규범적 프레임을 확보한다고 볼 수 있다. 여기서 지능형 안면인식기술(AI FRT)에 따른 개인정보의 처리에 대하여 합법적 정당성과 함께 강화된 필요성과 비례성을 요구하는 것은 우리 법제에 일반 개인정보에 관한 규정과 다른 규율이 마련되어야 할 당위성을 확인해주는 요건이다.
미국의 경우 정부의 안면인식기술(FRT) 사용 제어방법에 대한 논쟁을 의회가 이어가고 있다. 그리고 FRT 사용에 관한 연방 단일법이 제정되지 않은 채 일부 생체정보 보호법규가 있음에도 안면인식정보 처리를 제한하는 주법 및 조례를 통해 경찰의 FRT 활용이 산발적으로 제어되고 있다. 한편 수정헌법 제4조는 ‘불합리한 수색과 압수’로부터 시민을 보호하는 데 목적이 있는바, 판례 역시 범죄실행 가능성에 따라 발부한 영장 없이는 시민을 감시할 수 없다고 본다. 대표적으로 Carpenter 판결의 경우 시민을 추적하기 위한 영장 없는 정부기관의 휴대전화 위치정보(CSLI) 사용은 위법하다고 판단했다. 이에 따라 정부기관은 기록정보에 접근하려면 수색영장을 발부받아야 한다. 이와 달리 우리 헌법재판소는 기지국의 위치정보를 활용한 수사와 관련하여 통신사실확인자료 제공 요청에 관할 법원의 허가를 필수요건으로 명문화한 ｢통신비밀보호법｣ 규정은 헌법상 영장주의원칙에 위배되지 않는다고 설시했다.
이에 비추어 볼 때 적어도 법집행 목적의 자동화된 FRT에 따른 개인정보의 처리는 법률유보의 원칙에 의해 법적 근거를 갖추어야 하고 정당한 목적에 수반되는 수단의 필요성과 비례성은 개인영상정보의 법적 성격이 투영된 FRT 활용 제한의 규범으로 우리 법제에 상응하게 규율되어야 한다. 이렇게 요건화한다면 기술활용의 민감한 생체정보 처리에 대하여 상당성이 인정되어야 형사사법적 조치로서 FRT 사용이 가능할 것이다. 또한 보호원칙의 정립을 위해 법집행 목적의 FRT에 대한 영장주의 적용의 일반화와 아울러 FRT로 처리되는 개인영상정보가 개인위치정보에 해당하여 거동에 관한 권리가 제한되는 경우 실체적·절차적 규준의 재검토도 필요하다.
요컨대, 알고리즘에 따른 AI의 활용으로 국민의 권리가 제한되거나 의무가 부과되는 경우에는 법률유보의 원칙을 근거로 AI 알고리즘에 따라 규제행정이 행해질 수 있는 법적 근거가 마련되어야 한다. 자동화된 의사결정으로 개인정보가 처리되려면 결정하는 의사가 기속행위로서의 법집행에 관한 것이어야 하고 개별법규로 수권되어야 할 것이다. ｢행정기본법｣ 제8조는 법치행정의 원칙에 대하여 “행정작용은 법률에 위반되어서는 아니 되며, 국민의 권리를 제한하거나 의무를 부과하는 경우와 그 밖에 국민생활에 중요한 영향을 미치는 경우에는 법률에 근거하여야 한다.”라고 규정하고 있다. 특히 범죄 예방 및 수사를 목적으로 설치되는 고정형 AI CCTV라 할지라도 이동형 AI 기반 FRT의 운용과 마찬가지로 개인영상정보 처리에 관한 원칙적 금지를 일반법에 명문화하고 범죄 예방 및 수사에 대한 수권법률에서 그 수단의 활용을 제한적으로 허용하는 명시적인 법적 근거를 두어야 하는바, 이러한 중첩적 규율에 따라 규범적인 정보주체의 권리 보장이 가능한 체계정합적 법률유보를 정립할 수 있을 것이다. 이에 ｢개인정보 보호법｣의 영상정보처리기기에 관한 규율에 안면인식기술 활용을 포섭하는 생체인식 관련 규정의 신설을 제언한다.

연구결과
급속도의 기술발전으로 영상정보처리기기 운용에 따른 안면인식정보 처리는 영상정보로서 민감한 생체정보라는 복합적 특성으로 권리침해 개연성을 증폭시키고 있다. 그 논란의 중심에서 법집행 목적의 안면인식시스템 활용은 모라토리엄되어야 한다는 비교법적 ...

연구결과
급속도의 기술발전으로 영상정보처리기기 운용에 따른 안면인식정보 처리는 영상정보로서 민감한 생체정보라는 복합적 특성으로 권리침해 개연성을 증폭시키고 있다. 그 논란의 중심에서 법집행 목적의 안면인식시스템 활용은 모라토리엄되어야 한다는 비교법적 요청을 염두에 두고 그 입법정책방안으로 연구내용을 수렴하여 시행령 제18조 단서의 삭제와 아울러 제25조의3을 신설하는 개인정보법의 개정을 제안함으로써 연구결과에 갈음한다.
개인정보법 제25조의3(생체인식 영상정보처리기기의 운용 제한) ① 누구든지 특정 개인을 알아볼 목적으로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하거나 이를 유·무선망을 통하여 전송함으로써 기술적 수단을 통하여 생성된 개인의 신체적·생리적·행동적 특징에 관한 민감정보를 처리하는 장치(이하 ‘생체인식 영상정보처리기기’라 한다)를 설치·운영하거나 생체인식 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하여서는 아니 된다.
② 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 경우에는 생체인식 영상정보처리기기의 설치·운영이나 이에 따른 영상촬영(이하 ‘생체인식 영상정보처리기기의 운용’이라 한다)을 실시할 수 있다. 이 경우 생체인식 영상정보처리기기가 고정형 영상정보처리기기에 해당하면 제25조제3항부터 제8항까지를 준용하고 이동형 영상정보처리기기에 해당하면 제25조의2제3항 및 제4항을 준용한다.
1. 다음 각 목의 어느 하나에 해당하여 ｢형사소송법｣ 제215조 또는 제216조·제217조에 따른 강제처분의 요건과 절차에 의하여 법집행의 공권력행사 목적으로 실시하는 경우
가. ｢통신비밀보호법｣ 제5조제1항 각 호에 따른 범죄의 수사 및 공소의 제기·유지를 위하여 필요한 형사처분
나. ｢경찰관 직무집행법｣ 제5조제1항·제2항 또는 제6조에 따른 위험한 사태가 발생하여 사람의 생명·신체 또는 재산에 대한 위해가 임박한 때에 이를 방지하거나 그 요인이 되는 범죄행위를 제지하는 데 필요한 사법조치
다. ｢국민보호와 공공안전을 위한 테러방지법｣ 제2조제6호에 따른 대테러활동으로서 무력진압 등 같은 조 제1호에 따른 테러의 예방과 대응에 필요한 강제수단
2. 다음 각 목의 어느 하나에 해당하여 대통령령으로 정하는 요건과 절차에 의하여 관할 법원에 생체인식 영상정보처리기기의 운용을 청구하고 법원이 이를 허가함으로써 실시하는 경우
가. ｢실종아동등의 보호 및 지원에 관한 법률｣ 제9조제1항에 따라 경찰관서(｢국가경찰과 자치경찰의 조직 및 운영에 관한 법률｣에 따른 경찰청, 시·도경찰청 및 경찰서를 말한다)의 장이 실종아동등을 발견하기 위하여 필요한 수색·수사
나. ｢범죄피해자 보호법｣ 제3조제2항에 따라 경찰관서의 장이 범죄피해자를 구조하기 위하여 필요한 수색·수사
3. 다음 각 목의 어느 하나에 해당하여 제1호 및 제2호 외의 업무 목적으로 실시하는 경우
가. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
나. 법령에서 구체적으로 민감정보의 처리를 허용하는 경우
③ 생체인식 영상정보처리기기의 운용에 의하여 수집되는 안면인식정보(기술적 수단을 통하여 생성되는 눈·코·귀·입 등 얼굴의 특징에 따라 특정 개인을 인증·식별할 수 있는 생체인식정보를 말한다)는 그 목적에 필요한 최소한이어야 하고 이를 수집한 개인정보처리자는 그 수집 목적의 범위에서만 이를 이용할 수 있다. 이 경우 안면인식정보의 파기에 대하여는 제21조를 준용한다.
활용방안
본 연구는 개인정보 보호정책의 주요 현안과 쟁점을 고찰하여 관련 법제의 정비․개선 방안을 제시함으로써 법률 제․개정안 입안에 활용될 수 있다. 또한 정보주체의 권익보호 관점에서의 지능정보사회 관련 법제적 대응체계를 도출하고 행정통제적․행정규제적 시각에서의 정합성 있는 정책을 수립․이행하는 기준과 지표가 될 수 있다고 사료된다. 아울러 신기술의 도입에 따라 형성되는 급변하는 정보환경에 적합한 정책적․사회적 수요를 행정법이론의 변용을 통해 법제도적으로 재구성하는 근거가 될 수 있다고 판단된다.