[아주로앤피]
COVID-19 펜데믹 확산으로 ‘안면인식기술’이 다양한 산업군에서 주목받고 있다. 비접촉, 간편한 인증으로 결제, 출입관리 수단으로 서비스가 확대되고 있지만 '개인정보 및 사생활 침해' 논란에서 자유롭지 않다.
 
안면인식기술은 사람의 생체정보를 이용하여 개인을 확인 및 식별하는 생체인증 기술이다.  인공지능기술에 기반한 것으로 세심한 규제가 필요하지만, 우리나라에서는 이에 대한 논의가 아직 충분히 이뤄지지 않고 있다.

안면인식정보는 동의나 인지 없이 촬영될 위험성 있으며, 일단 노출되면 손해회복이 어려워 사전에 높은 수준의 보안을 필요로 한다.

◆참여연대·사회단체, ‘인공지능 식별 추적 시스템’? 정보인권 침해

지난 9일 참여연대와 6개 사회단체가 법무부‧과학기술정보통신부가 추진 중인 ‘인공지능 식별추적 시스템’ 구축 사업을 ‘정보인권 침해’라며 규탄하고 나섰다.
 
이들 단체는 입장문을 통해 얼굴과 같은 생체정보는 쉽게 바꿀 수 없는 유일무이한 정보로 치명적인 프라이버시 침해라고 주장했다.
 
참여연대 관계자는 “미국이나 영국 등 주요국에서도 규제가 필요하다는 공감대가 형성되며 관련 법안도 제출됐다”며 “선발주자가 기술의 위험성을 인식하고 중단하고 있는데 우리는 민간에 생체정보를 내주면서 시스템을 개발하는 것은 잘못”이라고 덧붙였다.

◆안면인식 앱 개발사 ‘클리어뷰AI’, 프라이버시 침해

AP통신에 따르면 개인정보 보호 담당 기관인 호주정보청(OAIC)은 미국 기업 클리어뷰 AI에 호주 국민과 관련해 안면 인식 정보 등 생체 정보 수집을 멈추고 모은 자료를 파기하라고 명령했다.
 
앤젤린 포크(OAIC 청장)는 지난 3일(현지시간) 보도자료를 통해 안면 인식 기술로 호주 국민의 개인정보를 소셜미디어 등 온라인에서 끌어 모은 클리어뷰 AI의 활동이 프라이버시를 침해했다고 밝혔다.
 
그는 "이런 민감한 정보를 은밀히 수집해왔던 해당 회사의 작업은 부당하고, 선을 넘은 일"이라며 "이런 작업에는 취약 집단인 아이들이나 범죄 피해자를 포함해 개인에게 중대한 해악을 끼칠 위험이 따른다"고 말했다.
 
◆‘흑인’ 얼굴 구별못한 AI...무고한 시민 범인으로 ‘오인’

한편, 미국에서 안면인식 인공지능(AI)의 오류로 무고한 흑인이 범인으로 체포되는 일이 있었다.
 
미 국립표준기술원(NIST)이 지난해 마이크로소프트(MS) 제품을 포함해 189개 안면인식 AI를 분석한 결과, 흑인 및 아시아계에 대한 오류 비율이 백인보다 10∼100배 높았다. 또한 AI는 여성을 잘 식별하지 못했고, 노년의 얼굴을 잘못 인식할 확률도 중년의 10배에 달했다.
 
이렇게 미국사회는 인공지능의 기술적, 윤리적 문제에 대해 우려하고 있으며 그 결과 2020년 이후 생체인식(안면인식)데이터 처리규제 법안이 지속적으로 증가하고 있다.
  
◆페이스북, “안면인식 시스템” 사용 “포기”

페이스북이 지난 2일(현지시간) 안면인식 시스템 사용 포기를 선언했다. 지속되는 프라이버시와 윤리 문제에 굴복, 적어도 소셜네트워크 플랫폼에서는 더이상 사용하지 않기로 했다. 또 "12월까지 세계 각국에서 안면인식 시스템 제거를 완료할 것으로 예상된다"고 밝혔다.
 
회사측은 페이스북 일일 활성 사용자의 3분의 1 이상이 소셜미디어 사이트에서 얼굴인식 설정을 선택했고, 변경사항으로 인해 10억명 이상의 얼굴인식 템플릿을 삭제할 것이라고 말했다.
 
페이스북은 시각 장애인을 위한 이미지 설명을 생성하는 자동 텍스트 도구에서 얼굴인식 기능을 제거한 뒤에는 사진 인식에 더이상 이름이 포함되지 않고, 그렇지 않으면 정상적으로 작동할 것이라고 덧붙였다.

◆일리노이주, 텍사스주, 워싱턴주, 메인주, 생체인식정보 법률 제정

현재 연방차원에는 관련 법률이 없으나, 사업자에게 생체정보의 수집·보유·이동 등에 대하여 정보주체의 명시적 동의를 받도록 하거나, 안면 및 생체인식기술 사용 유예를 규정한 법안들이 발의되어 있다.
 
주차원에서는 일리노이주가 2008년 미국 최초로 광범위한 생체인식정보 법률을 제정하였고, 텍사스주(2009년), 워싱턴주(2020년), 메인주(2021년) 등이 그 뒤를 이었다.
 
일리노이주 「개인생체정보 보호법」(Biometric Information Privacy Act)

이 법은 생체식별자 또는 생체인식정보를 사용·저장하는 사업자에 적용된다. 여기서 생체식별자는 망막·홍채·지문·성문·손이나 얼굴을 스캔한 것이고 , 사업자는 개인·기업·비영리단체 등을 말한다(제10조).

사업자가 생체식별자·생체인식정보를 수집, 보유, 거래하기 위해서는 정보주체에게 해당정보의 수집·저장·사용 목적, 보유기간, 폐기 등으 고지하고 서면동의 받아야 한다(제15조제b조).

생체식별자·생체인식정보 보유기간은 수집 및 획득한 목적이 충족될 때까지 또는 개인이 사업자와 마지마막으로 상호 작용한 후 3년 이내 중 먼저 도래하는 날까지다(제15항제a항).

텍사스주「상법」제 503.001조:생체식별정보 수집 또는 이용(Bus.&Com. 503.001:Capture or Use of Biometric Identifier)

텍사스주는 법률에 생체식별자를 명시하고(제a항), 누구든지 상업적 목적으로 해당 정보를 수집· 보유·사용하는 경우 정보주체에게 수집목적, 보유기간 등을 사전에 고지하고 동의를 받도록 하며(제b항), 보유기간은 최장 1년으로 제한하고 있다.(제c항제3호).
 
또 법정손해배상 소송제도는 없으며, 위반 시 위반행위 당 최대 25.000달러 이하의 벌금이 부과될 수 있다(제d항).
 
메인주 「공무원의 안면감시 시스템 사용규제를 통한 개인정보 보호 및 보안강화에 관한 법률」(An act To Increase Privacy and Security by Regulating the Use of Facial Surveillance System by Departments, Public Employees and Publice Officials)

이 법은 현재 미국내에서 안면인식정보 관리가 가장 엄격한 법률로 알려져 있다. (2021년 7월제정, 10월 시행). 여기서 ‘안면감시’는 ‘얼굴의 물리적 특성을 기반으로 개인을 식별 또는 확인하거나 개인정보수집을 지원하는 자동화 또는 반자동화 프로세스’라고 정의하고 있다.(제 6001조제1항제D호). 공무원이 안면감시 시스템 및 데이터를 수집,보유 사용 등을 하거나 제 3자와 수집·사용 등 협약을 체결하거나, 제 3자에게 수집·사용 등을 허가 하는 것을 금지하고 있으나(동조 제2항제A호) 중대범죄 수사 등에는 예외를 두고 있다(동항 제 B호).

◆우리나라, 「개인정보호법」
우리나라에서 안면인식정보는 「개인정보보호법」 제23조의 민감정보로서 시행령 제 18조에서 정한 ‘개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보’에 해당한다.
 
또, 개인정보처리자(공공, 개인, 기업, 비영리단체)가 민감정보를 수집·이용·제공하는 경우 그 목적과 보유기간 등에 대해 정보주체의 동의를 받아야 한다. (법 제 23조).아울러 법 위반 시 법정손해배상과 벌칙을 정하고 있다.(법 제39조 등) 
 
미국의 안면인식정보 보호를 둘러싼 안면인식기술 규제는 넓은 스펙트럼을 보여준다. 우리나라도 이 기술의 도입속도가 빨라지고 있고, 이에 따른 개인정보 보호가 문제로 제기되고 있다. 일리노이주 사례와 같이 생체정보에 대해 별도의 법률을 제정하여 개인정보 보호권을 강화하는 방안을 생각해 볼 수 있을것이다.