이제는 중요 정보에 접근할 때 얼굴인식, 지문인식, 홍채인식 등을 통해 접근하곤 합니다. 신시웨이 뉴스룸에서는 ‘세상에 하나뿐인 비밀번호, 생체인식 정보’ 글을 통해 생체인식 정보란 무엇인지, 생체정보의 종류와 함께 개인정보보호위원회에서 공개한 「생체정보 보호 가이드라인」 을 통해 알아보았습니다. 이번 게시글에서는 생체인식정보 활용시 주의해야 할 사항과 해외에서는 어떻게 다루고 있는지를 중심으로 전달드리겠습니다.

생체정보(생체인식정보)란?

생체정보는 일반적인 ‘생체정보’와 특정 개인을 인증, 식별할 목적으로 처리되는 ‘생체인식정보’로 나눌 수 있습니다. 생체인식정보는 다시 ‘생체인식 원본정보’와 원본정보에서 일정한 기술적 수단을 통해 생성되는 ‘생체인식 특징정보’로 분류할 수 있습니다. 생체인식 원본정보와 생체인식 특징정보의 예시는 다음과 같습니다.

[출처: 개인정보보호위원회 ‘생체정보 보호 가이드라인’]

생체인식 사고 사례

스마트폰 등 생체정보 이용 기기의 보급이 보편화되고, 코로나이후로 비대면 서비스의 활용이 증가하면서 다양한 분야에서 생체정보의 이용이 일상화되고 있습니다. 그러나 생체정보가 유출되거나 위·변조되는 사례가 발생하면서 생체정보 활용에 대한 우려가 높아지고 있습니다. 실제로 최근에는 수만건의 생체인식 데이터가 다크웹2에서 유통되고 있다는 내용이 보도되기도 했습니다. 안면인식 데이터뿐만 아니라 지문, 사용자 이름과 비밀번호가 저장되어있는 DB가 암흑의 경로에서 공유되고 있는 셈입니다.

미국에서는 과거 몇 년 동안 여러 대규모 개인정보 유출사고가 발생해 큰 이슈가 되기도 했습니다. 대표적인 사례로 바이오스타 침해사건이 있습니다. 바이오스타 침해사건은 생체인증을 저장하고 있던 서버가 보호되어있지 않고, 데이터 또한 암호화되어있지 않아 백만명의 정보가 고스란히 노출되었던 사건입니다. DB에는 23GB의 안면인식정보, 지문정보, 사용자 이름, 비밀번호가 저장되어있었다고 합니다. 이외에도 삼성전자의 갤럭시S10 지문스캐너 해킹사건이 있었습니다. 갤럭시S10 시리즈에 실리콘 케이스를 끼운 채 지문인식을 시도할 경우 기기에 저장된 지문이 아니더라도 잠금이 해제되어 논란이 있었습니다.

단계별 생체인식정보 보호조치

우리나라는 2017년 바이오정보 보호 가이드라인을 발표했으며, 2021년 9월 8일 생체정보 보호 가이드라인으로 이름을 바꿔 개정하였습니다. 개정된 가이드라인에서는 생체인식정보를 처리하는 개인정보처리자의 의무를 규정하고 있습니다.

[출처: 개인정보보호위원회 ‘생체정보 보호 가이드라인’]

이번 글에서는 생체정보 보호 가이드라인을 통해 수집단계, 이용단계, 저장·파기단계에서 생체인식정보를 어떻게 보호해야 하는지 알아보겠습니다.

1. 수집단계

특징정보는 민감정보로 분류되기 때문에 수집 시 다른 개인정보와는 별도로 동의를 받아야 합니다. 수집 이용 동의서에는 ①수집 이용·목적, ②수집 항목, ③보유·이용기간, ④동의를 거부할 권리가 있다는 내용이 들어가야 합니다. 동의 거부에 따른 불이익이 있는 경우, 그 불이익의 내용도 포함되어야 합니다.

원본정보는 개인정보 침해 위험성이 크기 때문에, 특징정보 생성이 완료돼 원본정보의 수집·이용 목적이 달성되면 이를 지체없이 파기하는 것이 원칙입니다. 그러나 필요에 따라 원본정보를 보관해야 하는 경우, 수집·이용 동의를 받을 때 다음과 같이 목적과 보유기간, 동의여부를 구분하여 안내해야 합니다.

법적 의무 사항은 없지만, 생체인식정보가 수집·입력될 때 위·변조된 생체인식정보를 이용한 공격에 대한 보안대책을 마련하는 것이 권고됩니다. 여기서 말하는 위·변조된 생체인식정보의 예시로는 인공 지문, 캡처된 얼굴·홍채 이미지, 녹음된 음성 등이 있습니다.

2. 이용단계

이용단계에서는 수집된 생체인식정보에 대해 사용자가 제공 및 이용 여부를 스스로 결정할 수 있도록 열람·정정·삭제 등의 통제 수단을 제공해야 합니다. 기기 제조사나 서비스 제공자는 사용자의 등록된 생체인식정보를 수정·삭제할 수 있도록 하는 기능을 제공해야 합니다. 또한 생체인식정보를 직접 수집하지 않고 스마트폰 등 기기내에서 처리된 결과를 전송받는 경우에는 이를 해지할 수 있는 기능을 제공해야 합니다.

생체인식정보를 서버로 전송해 처리할 경우, 개인정보 침해사고 발생 시 대규모 피해의 위험이 있으므로 생체인식정보를 수집·입력하는 기기 내의 안전한 영역에서 저장·처리하는 방식을 먼저 고려해야 합니다. 정보통신망을 통해 생체인식정보를 전송해야 하는 경우, 안전한 알고리즘으로 암호화한 후 전송해야 합니다.

3. 저장·파기단계

생체인식정보는 저장 시 안전한 알고리즘으로 암호화해 저장해야 합니다. 암호화를 할 때 사용한 암호키는 생성, 이용, 보관, 배포 및 파기 등에 관한 절차를 수립하고 이에 따라 관리해야 합니다. 또한 보유·이용기간이 지나거나 처리 목적이 달성된 경우, 해당 생체인식정보는 지체없이 파기되어야 합니다.

특징정보 생성 이후 예외적으로 원본정보를 파기하지 않고 보관하는 경우에는 다른 개인정보와 물리적/논리적으로 분리해 별도로 저장하는 것을 권고합니다. 이는 원본정보가 유출되었을 때 발생할 수 있는 피해를 최소화하기 위함인데요. 관리시에도 원본정보와 다른 개인정보를 매핑하는 공통 식별자는 임의의 값을 사용하도록 권고합니다. 이는 식별자를 통해 원본정보에 해당하는 개인정보가 식별되지 않도록 하기 위한 것입니다.

생체인식정보 관련 해외 입법 동향

미국은 연방차원의 법률은 아직 없으나, 생체정보 및 안면인식 규제·금지를 위한 법안이 다수 발의되었습니다. 미국 일리노이주에서는 2008년 미국 최초로 생체정보 관련 법률을 제정하였습니다. 미국 일리노이주에서 채택한 「생체인식정보 보호법」에 따르면 민간기업이 생체인식정보를 수집·거래하려면 정보주체의 서면 동의가 필요합니다.

미국의 「공무원의 안면감시 시스템 사용규제를 통한 개인정보 보호 및 보안강화에 관한 법률」은 현재 미국 내에서 안면인식정보 관리가 가장 엄격한 법률로 알려져 있습니다. 공무원이 안면감시 시스템 및 데이터를 수집·보유·사용 등을 하거나, 제3자에게 수집·사용 등을 허가하는 것을 금지하고 있으나, 중대범죄수사 등에는 예외를 두고 있습니다.

유럽연합(EU)의 개인정보보호법 GDPR에서는 생체정보를 별도로 정의하고 있으며, 생체인식정보를 민감정보의 하나로 규정하고 있습니다. GDPR 제9조 제1항에서는 개인을 고유하게 식별할 수 있는 생체정보를 민감정보 중 하나로 규정하고 있습니다. 또한 민감정보는 정보주체의 명시적 동의 획득 등의 경우를 제외하고는 원칙적으로 처리가 금지됩니다.

유럽의회는 2023년 6월 14일 「인공지능에 관한 통일규범의 제정 및 일부 연합제정법들의 개정을 위한 법안」의 수정안을 채택하였습니다. 수정안에서는 공공장소에서 생체인식기술을 사용해 시민을 감시하거나 수사에 활용하는 것을 전면 금지하였습니다.

지금까지 생체인식정보의 안전한 활용 방안과 국내외 입법 동향에 대해 알아보았습니다. 정보통신산업진흥원의 보고서에 따르면 글로벌 생체인식 시장은 2028년까지 연평균성장률 15%를 기록하며 약 1,050억 달러 규모로 성장할 것으로 전망하였습니다. 또한 코로나19 펜데믹으로 인한 비대면 서비스로의 전환 확대와 기술 발달 등으로 생체정보의 활용 분야가 다양해지고 있습니다. 그러나 동시에 개인의 자유와 권리 침해에 대한 우려도 높아지고 있는데요. 생체정보는 그 자체로 개인식별이 가능한 유일성과, 변경이 불가능한 불변성을 지닌 정보이기 때문에 다른 개인정보보다 더욱 안전하게 취급해야 합니다.

우리나라는 아직 미국, 유럽 등 해외 주요국에 비해 생체정보 보호와 관련한 법률이 충분하지 않지만, 정부에서는 2023년 6월 발표한 개인정보보호 기본계획(2024~2026)의 과제 중 하나로 ‘생체인식 서비스 활성화에 따른 개인정보 법제도 기반 마련’을 포함하였습니다. 생체정보의 활용이 증가하는 만큼 생체정보를 안전하게 활용하기 위한 법령과 가이드라인이 지속적으로 업데이트 되고 있으니, 기업 내부에서도 생체정보 처리에 대한 적절한 관리체계를 수립해야 하며, 생체정보를 제공하는 개인도 이에 대한 숙지가 필요합니다.

출처 및 참고자료

개인정보보호위원회, 「생체정보 보호 가이드라인」

국회입법조사처, 「생체정보의 안전한 활용을 위한 입법 과제」