1. 들어가며
빅데이터 시대의 도래와 인공지능의 발달에 따라 안면인식기술은 급속도로 발전하고 있다. 안면인식기술의 발전은 우리 일상생활을 편리하게 해 주지만 그로 인한 부작용에 대한 우려도 크다. 이 글은 안면인식정보 보호 및 안면인식기술 규제에 관한 미국의 법률 및 판례를 살펴봄으로써 우리가 얻을 수 있는 시사점을 생각해 본다. 상세한 논증은 졸고, '안면인식정보 보호 및 안면인식기술 규제에 관한 미국법 연구', 저스티스 제179호(2020. 8.)를 참조하시길 바란다.2. 안면인식정보 보호 법제(Biometric Information Privacy Act, 'BIPA')
BIPA는 2008년 10월 미국 연방과 주를 통틀어 최초로 일리노이 주(州)에서 제정된 바이오메트릭 정보 보호법이다. BIPA는 '바이오메트릭 식별자(biometric indentifier)'와 이에 기초한 정보로서 개인을 식별하는데 사용되는 정보인 '바이오메트릭 정보'를 보호하고 있는데(제10조) 바이오메트릭 식별자 중 하나로 '얼굴형상(face geometry)의 스캔'을 규정하고 있기 때문에 얼굴의 특성을 추출한 디지털 정보인 안면인식정보는 그 보호대상이 된다.
이러한 정보를 수집·보유하려는 사업자는 서면 정책을 만들어 공개하여야 하고 파기 가이드라인을 수립하고 있어야 하며 사전에 본인 또는 그의 대리인에게 해당 정보를 수집·보관·사용하는 구체적인 목적과 사용기간을 서면 고지하고 그로부터 '서면 동의'를 얻어야 한다(제15조). 이 법 위반으로 인해 피해를 입은(aggrieved) 사람은 누구나 위반 당사자를 상대로 주 또는 연방법원에 법정손해배상 등을 구하는 소송을 제기할 수 있다(제20조).
BIPA는 안면인식정보(얼굴형상의 스캔)를 명시하여 보호하고 있고 이러한 정보를 수집하려는 사업자에게 개인으로부터 서면 동의를 받을 의무를 부과하고 있으며 이 법 위반으로 인해 피해를 입은 자는 누구나 소송을 제기할 수 있도록 하고 있다는 점에서 제정 당시부터 현재까지 가장 강력한 안면인식정보 보호법이라 할 수 있다.
3. 미국 법원의 안면인식정보 보호
가. 페이스북(Facebook) 사건
이 사건은 페이스북이 사용자의 동의없이 사용자가 포스팅한 사진으로부터 안면인식정보를 수집·처리한 것에 대한 집단소송 케이스이다{Patel v. Facebook, 932 F.3d 1264 (9th Cir. 2019) cert denied, 140 S.Ct. 937 (2020)}.
페이스북은 연방대법원 판결에 의하면 원고는 연방헌법 제3조에 따른 원고적격(standing)을 갖추기 위해서 구체적인 '사실상 손해(injury-in-fact)'를 입었음을 입증하여야 하는바{Lujan v. Defs. of Wildlife, 504 U.S. 555 (1992)} 이 사건 원고들의 청구는 원고적격이 결여되어 있다고 주장하였다. 하지만 제9구 연방항소법원은 (i) BIPA 제15조는 절차적 권리만을 보호하기 위한 것이 아니라 개인의 프라이버시에 대한 원고의 '구체적 이익(concrete interest)'을 보호하기 위해 만들어진 것이고 (ii) 피고의 법률위반은 원고의 그와 같은 이익에 대해 '현실적 해악 또는 중대한 해악의 위험'을 야기하므로 원고의 주장은 구체적 사실상 손해 요건을 충족한다고 판단하였다.
연방대법원이 이 판결에 대해 상고심 심리에 나가지 않기로 결정함으로써 위와 같은 연방항소법원의 판지는 확정되었고 페이스북은 본안소송에서 들어가기 전에 6억5000만 달러라는 천문학적 액수의 합의안을 제시하고 연방법원 판사의 합의안 최종 승인을 기다리는 중이다.
나. 구글(Google) 사건
한편 북 일리노이 연방지방법원은 이와 정반대의 판결을 내렸다{Rivera v. Google Inc., 366 F.Supp.3d 998 (2018)}. 위 법원은 "대부분의 사람은 자신의 얼굴을 매일 대중에게 노출시키고 있으며 구글이 한 일이라고는 공개된 정보였을 원고의 얼굴로부터 템플릿을 만든 것일 뿐"이라고 하면서 구체적 사실상 손해 요건이 충족되지 않았다고 보았다.
위 사건에 대해서는 항소심이 진행중이다. 하지만 최근 지문 무단수집과 관련된 다른 사건에서 일리노이 주를 관할하는 제7구 연방항소법원이 원고적격을 넓게 인정하는 판결을 내림으로써{Bryant v. Compass Grp. USA, Inc., 958 F.3d 617 (7th Cir. 2020)} 위 사건 판시가 항소심에서도 유지될지 여부는 예측하기 어렵게 되었다.
4. 미국의 안면인식기술 규제 입법
가. 샌프란시스코 시는 2019년 5월 14일 미국 최초로 경찰을 포함한 시 정부 산하 53개 부처(연방 관할의 공항과 항만은 제외)의 안면인식기술 사용을 금지하였다.
나. 이러한 움직임은 연방의회에도 영향을 미치기 시작했다. 가령 '상업적 안면인식 프라이버시법(안){S.847 (2019)}'은 안면인식기술을 상업적으로 이용하려는 사업자가 개인의 명시적 동의없이 개인을 식별 또는 추적하는데 안면인식기술을 사용하는 것을 금지하고 '안면인식의 윤리적 사용법(안){S.3284 (2020)}'은 안면인식이 특히 여성, 아동, 흑인, 기타 소수 인종에 대해 부정확하였던 점을 지적하면서 가이드라인이 마련될 때까지 연방정부가 안면인식기술을 사용하는 것을 금지한다.
다. 워싱턴 주는 올해 3월 미국 연방과 주를 통틀어 최초로 안면인식기술에 대한 규제 법률을 제정하였다{S.B. 6280 (Wash. 2020)}. 이 법에 따르면 안면인식서비스를 사용하고 있거나 개발·조달·사용하려 하는 워싱턴 주 및 지방정부 기관(이하 '기관')은 안면인식서비스를 이용한 결정에 대한 '의미있는 인적검토'를 제도화하고 서비스의 정확성과 불공정성에 대한 적법하고 독립적이고 합리적인 테스트를 보장하여야 한다. 또한 기관은 계속적 감시(ongoing surveillance), 실시간 또는 준실시간 식별(identification) 또는 지속적 추적(persistent tracking)을 위해 안면인식서비스를 사용해서는 안 된다. 다만 영장이 있는 경우, 긴급한 사태인 경우 또는 법원이 실종자 또는 사망자의 위치확인 또는 식별만을 목적으로 하는 서비스의 사용을 인가한 경우는 예외이다.
안면인식기술에 대한 보다 적극적인 최초의 제도적 규제 장치로써 이 법의 의미는 작지 않다. 하지만 이 법은 (i) 법적 의무의 구체적 집행 및 강제수단을 두고 있지 않은 점 (ii) 기관이 감시에 나아갈 수 있는 예외 중 하나로 '긴급한 사태'라는 매우 광범위한 사유를 포함시키고 있는 점 (iii) 기업은 안면인식기술의 상업적 개발이나 판매에 있어 사실상 별다른 제한을 받지 않는 점 등에서 프라이버시 옹호단체로부터 비판을 받고 있다.
5. 우리에게 주는 시사점
이를 바탕으로 우리는 다음과 같은 시사점을 얻을 수 있다.
첫째, 개인정보보호법 체계상 안면인식정보의 위상을 제고하여 그 보호를 더 강화·실질화하여야 한다. 2020년 8월 5일 시행된 개정 개인정보보호법 시행령 제18조 제3호는 '개인의 신체적·생리적·행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보'를 민감정보의 하나로 추가 규정함으로써 안면인식정보를 비롯한 바이오정보의 보호수준을 강화한 바 있다.
둘째, 안면인식정보의 특성상 안면인식정보 침해에 대해서는 손해를 좀 더 넓게 인정해 줄 필요가 있다. 우리 대법원은 개인정보가 유출되었더라도 추가유출, 확대손해 발생 여부 등에 따라 그로 인한 정신적 손해는 부정될 수도 있다고 본다(대법원 2012. 12. 26. 선고 2011다59834·59858·59841 주유 보너스카드 회원정보 유출사건). 하지만 안면인식정보는 민감하고 고유불변의 정보로서 이러한 정보의 무분별한 수집·처리 및 관리소홀로 인한 유출사고 등에 대해서는 손해가 더 용이하게 인정될 수 있어야 할 것이다.
셋째, 안면인식기술의 무분별한 발전이 시민의 권리와 자유를 침해하지 않도록 하기 위해 구체적인 규제프레임을 미리 마련할 필요가 있다. 가령 (i) 안면인식기술의 도입에 대한 기관간 견제와 감시 제도 마련 (ii) 개인정보영향평가 실시 의무화 (iii) 안면인식기술의 성능과 한계에 대한 투명한 공개 의무화 (iv) 안면인식기술의 오류, 편향성에 대한 테스트 의무화 (v) 안면인식기술을 적용한 결과에 대한 인적검토 보장 등이 그것이다.
6. 나아가며
모든 기술은 순기능과 역기능을 가지고 있으므로 우리는 양자를 충분히 고려하면서 기술이 인간의 행복과 복지에 기여할 수 있도록 유도하여야 한다. 기술의 발전속도를 고려할 때 안면인식정보를 어떻게 보호하여야 할지, 안면인식기술을 어떻게 규제하여야 할지에 대한 사회적·정책적, 법적 결단을 서둘러야 할 것인바 현재 미국에서의 논의를 참고하여 우리만의 현명한 해결책을 마련하여야 할 것이다.
이창민 변호사 (법무법인 대륙아주)
September 13, 2020 at 06:01PM
https://ift.tt/3c20HDB
안면인식정보 보호 및 안면인식기술 규제에 관한 미국법 연구 - 법률신문
https://ift.tt/2XWAW2l
No comments:
Post a Comment