강은성의 보안 아키텍트ㅣ생체인식기술과 글로벌 규제 (2)

지난 칼럼(생체인식 기술과 글로벌 규제(1))에서 설명했듯이 우리나라 개인정보보호법에서는 생체인식정보를 민감정보의 한 종류로 정의하여 일반 개인정보보다 좀 더 강력하게 규제한다. 이와 같은 방식으로 생체인식정보를 다루는 대표적인 법으로 유럽연합(EU) 개인정보보호법인 GDPR(General Data Protection Regulation)이 있다.

GDPR의 생체인식정보 정의는 다음과 같다. 
 

생체인식정보(Biometric data)는 얼굴 이미지나 지문정보와 같이 특정한 기술적 처리 결과로 얻어진 자연인의 신체적, 생리적, 행태적 특성과 관련된 정보로서, 자연인을 고유하게 식별할 수 있도록 해주거나 확인해주는 것을 의미한다.  GDPR 제4조(정의) 제14항

GDPR에서는 생체인식정보를 인종이나 민족, 정치적 견해, 종교적 또는 철학적 신념, 노동조합의 가입 여부, 유전자 정보 등과 함께 민감정보(또는 특정 범주의 개인정보)의 하나로 규정(제9조 제1항)하여 일반 개인정보보다 엄격하게 처리하도록 요구한다. 정보주체의 명백한 동의가 있거나 명백하게 공개한 경우, 법률에 근거가 있는 경우 등으로 엄격하게 제한되어 있다. 큰 틀에서 우리나라 개인정보보호법과 비슷하다. 

이러한 GDPR 규정을 위반해 대규모 과징금을 부과받은 사례도 여럿 있다.
 

대표적인 사례가 SNS 등 인터넷에 공개된 사진 자료를 가공하여 얼굴인식정보를 확보한 뒤 이를 민간 또는 경찰 같은 법 집행기관에 판매한 클리어뷰 AI(Clearview AI)라는 기업이다. 이 기업은 인터넷에 공개된 사진을 200억 장 이상 수집, 처리하여 DB를 구축하였는데, 인터넷에 공개된 사진이라 처리한 것에 문제가 없다고 주장했지만, 그리스 감독기구는 GDPR 위반으로 이 회사에 260억 원의 대규모 과징금과 함께 자국민의 얼굴인식정보를 삭제하라는 명령을 내렸다. 영국, 프랑스, 이탈리아 등 각국에서 클리어뷰 AI에 비슷한 행정처분을 내렸다. 정보주체가 SNS에 사진을 공개하는 것 역시 그 목적이 있는데, 그것을 정보주체의 동의 없이 수집, 처리하여 상업적 목적으로 이용하는 것은 GDPR에 위반한다는 점을 명확히 한 것이다.
 

GDPR에서 정보주체의 동의를 받으려면 우리나라보다 더 엄격한 요건을 갖춰야 한다. 정보주체가 ‘동의’ 판단을 할 수 있을 만큼 충분한 정보를 전달받고, 권력관계에서의 압박이나 서비스를 쓰기 위해 어쩔 수 없어서(lock-in) 하는 것이 아닌 ‘자유로운 동의’를 했다는 점을 개인정보처리자가 입증해야 ‘명백한 동의’로 인정받을 수 있다. 네덜란드 개인정보 감독기구 AP가 직원 수가 300여 명에 불과한 기업에 약 10억 원의 과징금을 부과한 사례가 이에 해당한다. 이 기업이 지문 스캐너를 도입했는데, 임직원들이 충분한 정보를 듣고 자유로운 의사에 따라 ‘명백한 동의’를 한 것을 입증하지 못했다는 것이다. 

생체인식정보를 별도로 정의하고 이를 규제하는 대표적인 법으로는 미국 일리노이주의 ‘생체인식정보 보호법’(BIPA: Biometric Information Privacy Act)이 있다. 미국의 주법(State law)은 연방법이 아니어서 해당 주에만 효력을 미치지만, 온라인 사업이 특정 주의 가입자는 사용하지 못하도록 하기 어렵기 때문에 미국에서 인터넷 기반 서비스를 하려면 연방법뿐 아니라 주법도 살펴봐야 한다.

BIPA는 망막이나 홍채 스캔, 지문, 성문, 손이나 얼굴 형태(face geometry) 스캔을 생체인식 식별자(Biometric Identifier)로 정의한다. 다른 법의 생체인식정보 정의와 별로 다르지 않다. 또한, BIPA 역시 생체인식 식별자를 수집하려면, 그것의 수집 목적, 저장·이용 기간을 정보주체에게 미리 알려 사전 동의를 얻도록 하고, 그 밖에 생체인식 식별자를 수집할 수 있는 요건은 엄격하게 제한한다.
 

그런데 이 주법은 놀랍게도 2008년에 제정되었다. 벌써 15년 전의 일이다. 오랫동안 시행되어 와서 그만큼 이를 위반한 사례도 많다. 2015년 미국 일리노이주 주민 3명이 페이스북을 상대로 “페이스북의 얼굴 인식-태그 제안 기능이 BIPA에 위배된다”며 낸 소송이 대표적인 사례다. 페이스북은 2010년부터 이용자가 페이스북에 올린 사진과 동영상에서 얼굴을 자동으로 인식해 태그를 제안하는 기능을 제공했는데, 이것이 이용자의 사전 동의 없이 기본 설정으로 된 점이 문제가 되었다. 결국, 페이스북은 이 기능을 기본 설정으로 제공한 2011년 6월 7일부터 최소 6달 동안 일리노이주에 거주한 페북 이용자에게 6억 5천만 달러(약 8,500억 원)의 보상금을 지급하는 것으로 원고 측과 합의하여 소송을 끝냈다. 기본 설정을 ‘비활성화’로 바꾼 것은 물론이다. 

2022년에만도 구글이 구글 포토로 1억 달러(약 1,300억 원), 스냅이 스냅챗으로 3,500만 달러(약 450억 원), 틱톡이 9,200만 달러(약 1,200억 원)를 BIPA 위반 소송에 대한 보상금으로 지급하게 되었고, 2023년에 들어서도 메타가 인스타그램이 페이스북과 같은 기능을 제공한 것에 대한 소송에서 6,850만 달러(약 890억 원)의 보상금을 내게 되었다. 

유럽연합의 인공지능법(AI Act) 또한 생체인식정보를 별도로 규정하여 규제한다. 이 법은 인공지능에 관한 규제를 종합적으로 제시한 법으로 지난 5월 EU 의회를 통과했다. 법 이름에서 보는 것과 같이 인공지능시스템을 위험 기반으로 분류하고 이에 대한 규제를 규정한 것이 핵심 내용이지만, 인공지능 기술이 적용되는 주요 분야의 하나인 생체인식정보와 관련 시스템에 관한 규정도 눈에 띈다. EU 정상회의 통과 절차를 남기고 있어서 회원국의 이해관계에 따라 변경될 수도 있으나, GDPR이 세계 개인정보보호 규제에 미친 영향을 고려하면, 생체인식정보와 관련해서 이 법안을 주목할 필요가 있다. 

GDPR의 정의를 그대로 인용한 생체인식정보 외에 이 법에서 규정한 관련 주요 정의는 다음과 같다. 
 

• 생체 기반 정보(Biometric-based data): 특정한 기술적 처리 결과로 얻어진 자연인의 신체적, 생리적, 행태적 신호와 관련된 정보를 의미  • 생체 분류(Biometric categorization): 자연인을 특정 범주에 할당하거나 생체인식정보 또는 생체 기반 정보 또는 그러한 정보로부터 유추할 수 있는 정보를 기반으로 자연인의 특성 및 속성을 유추  • 원격 생체식별시스템(Remote biometric identification system): 한 사람의 생체인식정보와 기준 데이터베이스에 포함된 생체인식정보를 비교하여 원거리에 있는 자연인을 식별하기 위한 AI 시스템. 그 사람이 존재할 것인지, 식별할 수 있을 것인지 AI 시스템 사용자가 사전에 알지 못함  • ‘실시간’(Real-time) 원격 생체식별시스템: 생체인식정보의 캡처, 비교 및 식별이 모두 상당한(significant) 지연 없이 이루어지는 원격 생체식별시스템.  즉각적인 식별뿐만 아니라 ‘실시간’을 우회하기 위한 제한된 지연도 포함 인공지능법 제3조(정의)

인공지능법에서는 생체인식정보뿐 아니라 생체 기반 정보(Biometric-based data)와 이를 활용한 ‘생체 분류’를 정의한다. 특정한 기술적 처리의 ‘결과’만을 의미한다는 점을 제외하면 우리나라 개인정보보호법 체계에서의 생체정보와 비슷한 개념이다. 또한, 이 법에서는 멀리 떨어져 있는 사람을 식별하는 ‘원격 생체식별시스템’, 이를 짧은 지연 시간을 포함해 실시간으로 사람을 식별하는 ‘실시간 원격 생체식별시스템’을 정의한다. 생체인식정보와 관련한 다양한 정보와 시스템을 규정한 셈이다. 

특히 이 법에서는 ‘공개된 장소’에서 ‘실시간 원격 생체식별시스템’을 완전히 금지한다. 이 시스템이 공개된 장소에서 사용된다면 실시간으로 (얼굴인식을 통해) 사람을 감시, 추적할 수 있다고 보기 때문이다.  EU 집행위원회에서 제출한 원안에서는 이 시스템을 테러 예방이나 납치된 아동의 구출 등 이 시스템을 사용할 수 있는 몇 가지 예외 조항을 뒀으나 의회에서 이 예외 조항은 많은 표 차이로 부결되어 결국 삭제됐다. 집행위 원안과 달리 EU 의회를 통과한 최종안 곳곳에 얼굴 이미지나 얼굴인식에 관한 내용이 포함된 것과 궤를 같이한다.       
* 강은성 교수는 국내 최대 보안기업의 연구소장과 인터넷 포털회사의 최고보안책임자(CSO)를 역임한 정보보호 및 개인정보보호 전문가다. 현재는 서울여자대학교 정보보호학과 조교수로 있다. 저서로 「IT시큐리티」(한울, 2009)와 「팀장부터 CEO까지 알아야 할 기업 정보보안 가이드」(한빛미디어, 2022) 등이 있다. ciokr@idg.co.kr