개인정보보호위원회
심의ㆍ의결
제2022-007-046호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2022년 4월 27일
요지
안건번호 : 제2022-007-046호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결연월일 : 2022. 4. 27.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결연월일 : 2022. 4. 27.
주문
1. 피심인 에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 1,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
가. 과 태 료 : 1,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
이유
Ⅰ. 기초 사실
피심인은 「개인정보 보호법」 제2조제5호에 따른 개인정보처리자이고, 「정부조직법」 제32조(법무부)에 따른 중앙행정기관의 소속기관으로 「개인정보 보호법」 제2조제6호에 따른 “공공기관”이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=117370005" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보 보호위원회는 피심인이 출입국 심사 고도화를 위한 인공지능(AI) 시스템 개발에 내외국인 안면 이미지정보(약 1억 7천만건)를 민간업체에 제공하여 적법성 논란이 있음을 언론에서 보도(’21.10.21., 10.26., 12.30., 한겨레)함에 따라 조사('21.12.10~’22. 4.11.)를 실시하였으며, 다음과 같은 사실을 확인하였다.
2. 사실조사 결과
가. 언론보도 내용 및 법무부 해명
○ 언론보도 내용
※ 정부, 출입국 얼굴사진 1억7천만건 AI업체에 넘겼다(한겨레, ’21.10.21.)
<img src="/LSW/flDownload.do?flSeq=117370027" alt="2번째 이미지"></img>
※ 정부, '인공지능 식별사업’ 업체 명단도 2년간 숨겼다(한겨레, ’21.10.26.)
<img src="/LSW/flDownload.do?flSeq=117370033" alt="3번째 이미지"></img>
※ 법무부 '개인정보 위탁’이라지만 '업체 이익보장’ 위법 정황(한겨레, ’21.12.30.)
<img src="/LSW/flDownload.do?flSeq=117370035" alt="4번째 이미지"></img>
○ 법무부 해명 (법무부 보도해명자료)
- 「출입국관리법」(제3조, 제6조, 제12조의2, 제28조)에 따라 출입국 심사시 국민과 외국인에 대한 정보(생체정보)를 수집ㆍ활용하는 것이 가능하며,
- 자동출입국심사대를 통과하는 사람의 신원을 신속ㆍ정확하게 식별할 수 있도록 인공지능 식별추적시스템을 고도화하자는 것임
<img src="/LSW/flDownload.do?flSeq=117370037" alt="5번째 이미지"></img>
- 또한, 법무부의 업무 처리를 위해 민간업체에 개인정보 처리를 위탁한 것으로, 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 '제3자 제공’에 해당되지 않으며,
* 법무부는 위탁처리 계약서상 규정 준수 여부를 지속적으로 감독할 예정
- 보안조치를 갖춘 실증랩 내에서 인공지능 학습만을 목적으로 수탁업체가 접근하여 사용할 수 있도록 보호조치를 하고 있음을 주장
- 한편, 기술결과물(안면인식 AI 알고리즘)에 대한 지식재산권은 국가계약법에 따라 공동으로 소유(각주:(사업 공모안내서) 기술결과물은 출입국 심사 고도화를 위한 목적으로 지속 활용하고, 법무부 데이터를 활용한 기술 결과물에 대한 지식재산권은 법무부 및 사업계약 상대자가 공동으로 소유하며, 참여기관은 사업 산출물의 사업화 및 성과 활용에 관하여 협조해야 함) 하나, 협의를 통하여 출입국심사 관리목적으로 제한할 계획임을 밝힘('21.10.21. 법무부 보도설명자료)
나. 사실조사 결과
○「인공지능(AI) 식별 추적시스템 개발」은 ’출입국 심사 고도화를 위한 AI 안면인식' 및 ’CCTV 활용 출입국 심사장 이상행동 추적' 등 2개 과제로 실시됨
① (과제1) 출입국 심사 고도화를 위한 AI 안면인식
ㆍ 목적 : 여권사진-얼굴 대조를 통한 본인여부 확인 시스템 고도화
ㆍ 근거 : 「출입국관리법」 제3조, 제6조, 제12조의2, 제28조
ㆍ 활용정보 : 내ㆍ외국인 국적, 연령, 성별, 얼굴정보
② (과제2) CCTV 활용 출입국 심사장 이상행동 추적*
ㆍ 목적 : 출입국 관리 구역 내 이상행동 추적 시스템 개발
ㆍ 근거 : 「개인정보 보호법」 제25조
ㆍ 활용정보 : 정보주체의 동의를 받고 촬영한 영상정보
* 출입국 안전 관리 관련 이상행동 추적 AI 학습용으로 CCTV 영상정보를 이용할 계획이었으나, 언론보도에 따라 사업이 중단된 '21.10월까지 CCTV 영상정보는 활용되지 않았음(각주:다만, 이상행동 패턴 분석을 위해 동의를 받고 별도로 촬영한 영상정보를 활용하여 예비 개발을 진행 중이었음) <img src="/LSW/flDownload.do?flSeq=117370039" alt="6번째 이미지"></img>
- (추진목적) 출입국 관리시스템을 고도화하여 출입국 심사과정에서 국민 편의성과 안전성을 높이고, 이 과정에서 AI기업들의 기술력 조기 확보와 AI 산업 활성화에 기여할 수 있도록 공모사업을 추진함
<img src="/LSW/flDownload.do?flSeq=117370041" alt="7번째 이미지"></img>
- (주요경과) 법무부는 과학기술정보통신부와 인공지능(AI) 식별추적시스템 구축사업의 추진을 위한 업무협약(MOU)을 체결(’19. 4. 30.)
※ 법무부는 사업 추진과정에서 개인정보 침해 등 문제 검토를 위해 법률자문 진행(법무법인 세종('19.2월), 법무법인 지평(’19.3월))
ㆍ 인공지능 식별추적 시스템 실증 및 검증사업 공모('19. 5월, ’20.1월)를 실시
ㆍ ’20년 인공지능식별추적시스템 구축 관련 개인정보처리위탁계약 체결('20. 6월)
ㆍ '인공지능 기반 출입국관리시스템 고도화를 위한 식별추적시스템 실증랩’을 상암동 누리꿈스퀘어에 개소(’20. 7월)하고, 공모 참여기업이 실증랩의 Zero 클라이언트 PC에서 내ㆍ외국인 얼굴사진(내국인 5,760만건, 외국인 1억2천만 건)에 접근 가능하도록 허용(’20. 8월)
ㆍ ’21년 인공지능식별추적시스템 구축 관련 개인정보처리위탁계약 체결('21. 4월)
ㆍ 언론보도에 따라 ’21년 사업을 중지(’21.10월)하고, '22년 사업은 미개시
<img src="/LSW/flDownload.do?flSeq=117370043" alt="8번째 이미지"></img>
- (공모사업 내용) AI기반 안면인식, 이상행동 패턴 알고리즘 보유기관(각주:AI 안면인식 알고리즘 보유업체의 AI모델 개발과정 : ① 공개된 AI모델(예 : ResNet)을 활용하거나, 공개된 학습 데이터(예: dlib_face_recognition_resnet_model_v1, 300만건)로 학습하여 자체 AI모델 개발 → ② 얼굴 또는 CCTV 데이터를 학습 목적에 맞춰서 가공 → ③ AI 모델에 가공된 데이터를 학습, 최적화하여 결과 값 도출) 을 대상으로 공모를 통해 사업 수행기관을 선정하여 식별추적시스템을 실증ㆍ검증
① (트랙1) 인공지능 식별추적 시스템 구축 및 실증
※ 중소ㆍ중견기업 및 창업기업 등을 대상으로 정부출연금 지원, 실증 수행
② (트랙2) 인공지능 식별추적 시스템 검증 참여 및 데이터 학습 지원
※ 정부출연금 없이 자부담으로 사업을 수행하여 법무부, 과기정통부, NIPA 등이 주관하는 성능평가 및 데이터 학습에 참여(참여 제한 없음)
③ (트랙3) 인공지능 식별추적 시스템 성능 검증(평가) 및 실증랩 구축ㆍ운영 지원
※ 안면인식 및 이상행동패턴 시스템의 성능 검증(평가) 지원을 위한 테스트 데이터 마련, 데이터 前처리, 평가방법 및 성능지표개발 등 평가모델 고도화ㆍ표준화, 데이터를 기반으로 알고리즘을 학습ㆍ검증할 수 있는 제반 환경 조성 및 실증랩 운영 지원
- (참여기업 현황) 공모사업에 참여한 업체*는 ’19년 17개사, ’20년 19개사, ’21년 9개사였으며, 이중 법무부 데이터를 활용했던 업체는 '20~’21년간 12개임
※ 본 사업은 '정보통신방송 연구개발 관리규정’(과기부 고시)에 따라 경쟁적 R&D를 통한 공모방식(각주:정보통신방송 연구개발 관리규정 16조(연구개발과제의 기획)에 따라 '정책적 경쟁유도를 위하여 일정기간을 정하여 복수의 연구개발기관으로 하여금 과제를 수행하게 할 수 있으며, 일정기간 이후 평가를 통해 상대적으로 경쟁 우위에 있는 연구개발기관으로 하여금 과제를 계속 수행하게 하는 사업을 추진할 수 있다.) 으로 추진됨
- (결과물 활용) 기술결과물*에 대한 지식재산권은 국가계약법에 따라 법무부 및 사업 계약상대자가 공동으로 소유하나 협의를 통하여 출입국 심사 관리목적으로 제한
* 법무부가 제공한 안면이미지를 활용하여 사업자가 보유한 AI모델을 통해 학습한 결과물인 '안면인식 알고리즘’이며, 안면인식 알고리즘에는 개인정보가 포함되어 있지 않음
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보 처리 위탁사실을 공개하지 않은 행위
피심인은 인공지능 식별추적시스템 구축사업 수행을 위해 '20. 6월부터 참여기업과 개인정보 처리 위탁계약을 체결하면서, 개인정보 처리업무 위탁사실을 '21.10.20.까지 출입국 정책본부 홈페이지(immigration.go.kr)에 공개하지 않은 사실이 있다.
* 피심인은 인공지능식별추적시스템 기술 개발 및 검증, 실증을 위한 안면정보 등 개인정보를 총 24개사(’20.6.17. : 16개사, ’21.4.19. : 8개사)에 처리위탁
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 ’22. 4. 12. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 '22. 4. 22. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
○ 언론보도에 따른 확인 필요사항은 다음과 같다
<img src="/LSW/flDownload.do?flSeq=117370045" alt="9번째 이미지"></img>
① 안면 이미지 정보 등의 민감정보 해당 여부 및 처리 가능 여부
○ (법 규정) 개인의 신체적 특징 등에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보는 민감정보에 해당하며,
- 「개인정보보호법」 제23조제1항에 따라 정보주체의 별도 동의를 받은 경우, 법령에서 요구하거나 허용하는 경우에만 민감정보의 처리가 가능하다.
<img src="/LSW/flDownload.do?flSeq=117370007" alt="10번째 이미지"></img>
1) 출입국 심사 고도화를 위한 안면 인식의 경우
o (쟁점1) 출입국 심사시 안면 이미지정보 등 생체정보(각주:(출입국관리법 제2조제15호) 생체정보란 이 법에 따른 업무에서 본인 일치 여부 확인 등에 활용되는 사람의 지문ㆍ얼굴ㆍ홍채 및 손바닥 정맥 등의 개인정보를 말한다) 가 본인확인 등 특정 개인을 알아볼 목적으로 이용되는 경우, 민감정보를 처리하는 것으로 볼 수 있는지
- 특정 개인을 알아볼 목적으로 얼굴 사진으로부터 특징점을 추출하는 등 일정한 기술적 수단을 통해 생성된 생체인식 특징정보는 민감정보에 해당된다.
→ 「생체정보 보호 가이드라인」(2021. 9월, 개인정보위)에 따르면, 일반적인 얼굴 사진은 생체인식 원본정보로서 개인정보이나 그 자체로 민감정보에 해당되지는 않고, 다만 얼굴 사진으로부터 특징점을 추출하는 등 일정한 기술적 수단을 통해 생성된 정보인 경우 생체인식 특징정보로서 민감정보에 해당되며, 따라서, 피심인이 출입국 안면인식 시스템을 운용하면서 생체인식 특징정보를 처리할 경우 민감정보의 처리라고 볼 수 있음(각주:안면인식 시스템을 통한 본인확인을 위해서는 여권사진 얼굴 이미지로부터 특징점을 추출한 정보와 실제 출입국심사를 받는 사람의 얼굴 이미지로부터 특징점을 추출한 정보 간의 비교가 알고리즘을 통해 이루어져야 할 것으로, 생체인식 특징정보의 처리가 필요함.
* '생체정보’에는 '일반적 생체정보’와 '생체인식정보’가 있고, '생체인식정보’에는 '생체인식 원본정보’와 '생체인식 특징정보’가 있으며, 이중 '생체인식 특징정보’가 민감정보에 해당 (생체정보보호 가이드라인)) <img src="/LSW/flDownload.do?flSeq=117370003" alt="11번째 이미지"></img>
o (쟁점2) 「출입국관리법」에 내ㆍ외국인 출입국 심사시 생체정보의 활용이 가능(§3ㆍ6ㆍ12조의2)하다고 한 것이 「개인정보 보호법」 제23조제1항제2호의 '법령에서 민감정보의 처리를 요구하거나 허용한 경우’로 볼 수 있는지
- 「출입국관리법」에서 출입국 심사시 생체정보의 활용을 규정한 것은 민감정보의 처리를 허용한 것으로 볼 수 있다.
→ 「개인정보 보호법」 제23조 제1항 제2호는 '법령에서 민감정보의 처리를 요구하거나 허용하는 경우 민감정보 처리가 허용된다고 규정하고 있는데, 이는 법령에서 민감정보의 종류를 열거하고 그 처리를 요구하는 경우를 의미함(개인정보 보호 법령 및 지침ㆍ고시 해설서, 160p)
현행 「출입국관리법」은 '생체정보’의 종류로 지문, 얼굴, 홍채 및 손바닥 정맥 등을 나열하고 있고(제2조 제15호), '생체정보’의 활용에 관하여 규정하고 있는데(제3조, 제6조, 제12조의2), 이는 '지문 및 얼굴에 관한 자료’라는 용어가 2016년 일부개정을 통해 '생체정보’로 대체된 것으로서, 지문, 얼굴을 비롯하여 홍채, 손바닥 정맥 등 생체정보를 이용한 본인 확인이 가능하도록 법적 근거를 마련하고자 한 것임(법제사법위원회 출입국관리법 일부개정법률안 검토보고서)
본인 확인을 위해서는 홍채, 얼굴, 지문 이미지 등으로부터 특징점을 추출한 정보의 처리가 필수적일 것이므로, 개정된 출입국관리법에서 출입국 심사 시 생체정보의 활용이 가능하다고 규정한 것은 민감정보의 처리를 허용하는 것으로 해석하는 것이 타당함
<img src="/LSW/flDownload.do?flSeq=117370009" alt="12번째 이미지"></img>
2) CCTV 활용 출입국심사장 이상행동 추적의 경우
o (쟁점3) 「개인정보 보호법」 제25조(각주:제25조(영상정보처리기기의 설치ㆍ운영 제한) ① 누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다.
1. 법령에서 구체적으로 허용하고 있는 경우, 2. 범죄의 예방 및 수사를 위하여 필요한 경우
3. 시설안전 및 화재 예방을 위하여 필요한 경우, 4. 교통단속을 위하여 필요한 경우 5.(생략)) 의 '범죄예방 및 시설안전 등’을 위해 CCTV 설치ㆍ운영이 인정되는 경우, 같은 법 제23조 제1항에 따른 민감정보 처리 요건을 충족시키지 않아도 되는지
- CCTV 영상정보를 범죄행동 추적, 이상징후 탐지 등을 위해 특정 개인을 알아볼 목적으로 이용하는 것은 민감정보를 처리하는 것이고, 범죄 예방 등을 위해 CCTV 설치ㆍ운영이 허용된다고 하더라도, 민감정보를 처리하게 된다면 「개인정보 보호법」 제23조제1항의 요건을 충족하여야 한다.
→ 「개인정보 보호법」 제25조는 일정한 요건 하에 정보주체의 동의를 득하지 않고 CCTV를 설치ㆍ운영할 수 있음을 규정하고 있는데, 수집한 영상정보로부터 특징점을 추출하는 등의 일정한 기술적 수단을 통해 특징정보를 생성하고 처리하여 이상행동을 추적하는 것은 민감정보의 처리인바,
범죄예방 등의 필요성이 인정되어 CCTV 설치ㆍ운영이 허용된다고 하더라도, 이와는 별개로 민감정보를 처리하는 것이라면 「개인정보 보호법」 제23조의 요건을 충족하여야만 특징정보를 처리할 수 있음
※ '특정 개인 식별 목적’ 없이 '이상행동 추적 목적’으로만 CCTV 영상정보를 이용할 경우에는 민감정보에 해당하지 않음(예: 얼굴특징, 인상착의 식별 등의 기능 없이 동작과 영상만을 분석하여 이상징후를 탐지하는 것은 민감정보의 처리라 할 수 없음)
o (쟁점4) CCTV 영상정보를 출입국 심사장의 이상행동 추적을 위한 AI 개발 목적으로 이용하는 것을 적법한 것으로 볼 수 있는지
- 출입국 심사구역의 CCTV 영상을 'AI 이상행동 탐지 솔루션’ 개발을 위해 이용하는 것은, 피심인의 CCTV 설치ㆍ운영의 목적인 '시설 안전 및 범죄 예방’ 목적 달성을 위한 수단이라고 주장할 여지도 있으나, CCTV 영상정보를 AI 기술 개발을 위해 사용할 수 있게 하는 「출입국관리법」상 근거가 없다.
→ 피심인의 「영상정보처리기기 운영ㆍ관리 방침」에 따르면 「개인정보 보호법」 제25조 제1항의 '시설안전 및 화재 예방’, '고객의 안전을 위한 범죄 예방’을 목적으로 CCTV가 설치ㆍ운영되고 있음
출입국 심사구역의 CCTV 영상을 통해 이상행동을 탐지하는 것은 '시설 안전 및 범죄 예방’이라는 피심인의 CCTV 설치ㆍ운영의 목적에 부합하며, 피심인이 CCTV 영상을 활용하여 '이상행동 탐지 솔루션'을 개발하는 것은 목적 달성을 위한 수단에 해당한다고 주장할 여지도 있으나, 출입국심사장의 CCTV 영상을 AI 솔루션 개발 등을 위해서 사용할 수 있다는 출입국관리법령상 명시적인 규정이 없음
o 다만, 피심인은 언론보도 등에 따라 ’21. 10월 사업을 중지한 상태로, 현재까지 이상행동 탐지를 위한 AI 개발을 위해 CCTV 영상을 사용한 사실이 없으므로 위법성 판단은 불필요하다.
- 그리고, 사업 중단시점까지 피심인이 실제 추진했던 AI 개발과정은 탐지하고자 하는 목적에 맞게 CCTV 영상을 라벨링한 정보(돌진, 물건방치, 2인 감지, 역주행의 동영상 형태 등)를 학습하려 하는 것으로, CCTV 영상내 특정 개인을 식별할 수 있는 정보가 처리된 것은 아닌 것으로 보인다.
o 그럼에도 불구하고, 동 사업 추진시 이상행동 탐지에 그치지 않고 이상행동 발생시 AI 안면인식을 통해 특정 개인을 추적하는 기능 개발을 위해 CCTV 영상을 이용하는 경우, 이는 CCTV 영상정보에서 특징점을 추출하여 개인을 식별해야 하므로 민감정보의 처리로 볼 수 있고
- 이러한 민감정보 처리를 위해서는 별도로 정보주체의 동의를 받거나, 법령상 명시적인 근거가 있어야 할 것이다.
<img src="/LSW/flDownload.do?flSeq=117370011" alt="13번째 이미지"></img>
② 안면정보를 출입국심사 AI기술 개발에 이용하는 것의 적법성 여부
1) AI 학습 및 개발에 이용하는 것이 목적범위內 이용인지 여부
o 「출입국관리법」은 출입국 관리를 통한 안전한 국경관리가 목적(법 §1)이며, 정보화 기기를 통한 출입국관리(같은 법 §3②(각주:출입국관리법 제3조(국민의 출국) ② 제1항에 따른 출국심사는 대통령령으로 정하는 바에 따라 정보화기기에 의한 출국심사로 갈음할 수 있다.) , §6③(각주:출입국관리법 제6조(국민의 입국) ③ 제1항에 따른 입국심사는 대통령령으로 정하는 바에 따라 정보화기기에 의한 입국심사로 갈음할 수 있다.) )는 효율적인 출입국 관리를 위해 도입된 시스템이다.
- 출입국 심사 과정에서 수집한 안면이미지를 안면인식 AI 개발에 활용하는 것은, 출입국관리법상의 정보화기기를 통한 출입국 심사(§3②ㆍ§6③)ㆍ고도화를 통해 법의 목적인 '안전한 국경관리’를 달성코자 하는 것으로 당초 개인정보 수집ㆍ이용 목적범위에 포함된다고 판단된다.
<img src="/LSW/flDownload.do?flSeq=117370013" alt="14번째 이미지"></img>(각주:경찰청이 인사업무 수행 목적으로 수집된 직원의 주민번호를 단체보험 가입, 맞춤형 복지 점수 배정 목적으로 이용하는 것은, 인사업무의 내용에 포함되고 인사업무 목적달성을 위한 수단으로서 필요한 절차인 경우에 해당하여 개인정보의 목적 내 사용이라고 판단한 개인정보위 판단사례(경찰청의 인사관련 개인정보 처리에 관한 질의건, 의안번호 제2015-10-19호)도 있음) <img src="/LSW/flDownload.do?flSeq=117370015" alt="15번째 이미지"></img>
2) 개인정보의 처리위탁인지, 제3자 제공에 해당하는지 여부
o 「개인정보 보호법」 제17조의 '개인정보의 제3자 제공’은 본래의 개인정보 수집ㆍ이용 목적의 범위를 넘어 정보를 제공받는 자의 업무처리와 이익을 위해 개인정보가 이전되는 경우를 말하며,
- 같은 법 제26조의 '개인정보의 처리위탁’은 본래의 개인정보 수집ㆍ이용목적과 관련된 위탁자 본인의 업무처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다.
o 대법원은 “개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리ㆍ감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로, 보호법 제17조에 정한 '제3자’에 해당하지 않는다”고 판시(대법원 2017. 4. 7. 선고 2016도13263 판결)하고,
- 또한, 어떠한 행위가 개인정보의 제공인지 아니면 처리위탁인지는 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리ㆍ감독 여부, 정보주체의 개인정보 보호 필요성에 미치는 영향 및 이러한 개인정보를 이용할 필요가 있는 자가 실질적으로 누구인지 등을 종합하여 판단하여야 한다고 판시하고 있다.
o 피심인은 AI를 활용하여 출입국 심사 등에 대응하고자 하는 목적으로 참여기업과 계약을 체결(각주:법무부-사업수행기관간 개인정보 처리위탁 계약서 제3조(위탁업무의 목적 및 범위) “사업수행기관”은 계약이 정하는 바에 따라 인공지능 식별추적시스템 구축사업 수행을 목적으로 다음과 같은 개인정보 처리업무를 수행한다.
1. 인공지능식별추적시스템 기술개발 및 검증을 위한 개인정보 처리업무(후략)) 하였고, 해당 업체의 연구 개발이 출입국청 내 인공지능 학습통제구역에서 행해지는 등 해당 시스템 개발이 피심인의 관리ㆍ감독(각주:개인정보 처리위탁 계약서 제8조(수탁자에 대한 관리ㆍ감독 등) ① “관리기관”은 “사업수행기관”에 대하여 다음 각호의 사항을 감독할 수 있으며, “사업수행기관”은 특별한 사유가 없는 한 이에 응하여야 한다.
1. 개인정보의 처리현황, 2. 개인정보의 접근 또는 접속현황, 3. 개인정보 접근 또는 접속 대상자,
4. 목적외 이용ㆍ제공 및 재위탁 금지 준수 여부, 5. 암호화 등 안전성 확보조치 이행여부,
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항) 하에 이루어졌으며,
- 본 시스템의 경우 ㉠ 출입국 심사대를 통과하는 내국인의 신원을 신속하게 식별할 수 있는 AI식별 시스템 개발을 목적으로 개인정보가 이용되며, ㉡ 이러한 도입의 필요성이 피심인에 있고, ㉢ 참여기업이 지식재산권을 공동 소유하는 것 외에 개인정보 처리에 관한 독자적인 이익을 갖지 않는 것으로 보이며*, ㉣ 위탁받은 범위(AI 알고리즘을 개발하기 위한 범위) 내에서만 개인정보가 처리되는 점 등을 종합적으로 고려할 때 개인정보의 처리위탁이라 할 수 있다.
<img src="/LSW/flDownload.do?flSeq=117370017" alt="16번째 이미지"></img>(각주:통상의 알고리즘 개발과정을 고려하면, 알고리즘 개발업체들은 이미 자체적으로 개발하여 보유하고 있는 알고리즘을 기반으로 유의미한 학습 데이터들을 통해 기존 알고리즘을 변형시켜 특정 목적을 위한 알고리즘으로 발전시키는 것이 일반적임) <img src="/LSW/flDownload.do?flSeq=117370019" alt="17번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=117370021" alt="18번째 이미지"></img>
③ 개인정보 처리 위탁계약 수탁업체 미공개 여부
1) 관련 법 규정
○ 「개인정보 보호법」 제26조제2항은 개인정보의 처리업무를 위탁하는 개인정보처리자(이하 '위탁자’라 한다)는 위탁하는 업무의 내용과 개인정보 처리업무를 위탁받아 처리하는 자(이하 '수탁자’라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다고 규정하고 있다.
○ 같은 법 시행령 제28조제2항은 '대통령령으로 정하는 방법’이란 개인정보 처리업무를 위탁하는 개인정보처리자(이하 '위탁자’라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다고 규정하고 있다.
2) 위법성 판단
o 개인정보 처리업무 위탁사실을 공개하지 않은 행위 개인정보보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제2항
피심인이 공모사업 참여기업과 개인정보 처리 위탁계약을 맺으면서, 위탁 사실을 공개하지 않은 것은 위탁받은 업무의 내용과 위탁받아 처리하는 자를 정보주체가 쉽게 확인할 수 있도록 공개하도록 한 「개인정보 보호법」 제26조제2항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=117370023" alt="19번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 국가기관에 과태료 부과 가부 검토
○ 국가기관에는 원칙적으로 과태료를 부과할 수 없으나, 예외적으로 개별법이 명문으로 국가기관에 과태료를 부과할 수 있도록 규정한 경우(예: 통계법)에는 가능하다.
○ 「개인정보 보호법」에 명문의 규정이 있고(통계법과 같음), 과태료는 보호법상 주요 제재 수단이며, 국가기관은 공익성이 큰 만큼 더욱 엄격하게 규율해야 하는 점 등을 고려 시, 국가기관만 과태료 부과 대상에서 제외할 이유는 없다.
※ (행정기본법 제40조제2항) 헌법과 해당 법령 등의 취지에 부합되게 해석ㆍ집행 책임
(대법원 2004도7807) 법령의 전반적인 체계와 취지ㆍ목적, 당해 조항의 규정 형식과 내용 및 관련 법령을 종합적으로 고려하여 해석
- (법문언) 「개인정보 보호법」은 과태료 부과 대상으로 국가기관을 포함하는 개인정보처리자를 명시하고 있고,
※ 국립대학 과태료 부과처분이 취소된 정보통신망법령은 법률이 아닌 대통령령에서 「고등교육법」에 따른 학교(국립대학이 포함됨)를 명시하고 있어 개인정보보호법과 문언 체계가 다름
- (입법 취지) 공공기관의 개인정보 보호 중요성 대두로 공공기관 개인정보 보호법이 먼저 제정(’94.1.7.)되고, 공공부문과 민간부문을 망라하여 국제수준에 부합하는 개인정보 처리원칙 등을 규정할 목적(제정 이유)으로 「개인정보 보호법」이 제정(’11.3.29.)되었으며,
- (법 집행력) 과태료는 개인정보보호법상 주요 제재 수단(’21 시정조치 중 36.5%)으로 제재 대상에서 국가기관을 제외하는 것은 법 집행력을 저해하고, 형평성에 반하며*, 해외 사례와도 차이**가 있는 점 등을 종합적으로 고려할 때 국가기관에 과태료를 부과할 수 있다.
* (사례) 대학의 경우, 사립대학ㆍ국립대학법인에는 과태료가 부과되는데 국립대학에는 부과하지 못하는 형평성에 반하는 문제 발생
** (해외 사례) GDPR의 적용을 받는 불가리아는 국세청에 과징금 부과('19.8.), 아일랜드도 Tusla(아동 및 가족문제 담당 정부기관)에 과징금 부과('20.5., 정부기관에 최초 부과)
2. 소속기관 처분대상 검토
○ 개인정보처리자에 공공기관이 포함(개인정보 보호법 제2조제5호)되고, 공공기관에는 중앙행정기관뿐만 아니라 그 소속기관도 포함(법 제2조제6호)되는 점, 법무부 인천공항 출입국ㆍ외국인청은 정부조직법 제3조, 법무부와 그 소속기관 직제규정 제2조에 설치근거를 둔 법무부 소속기관인 점, 그리고 개인정보 처리업무 위탁계약을 AI개발업체와 체결한 당사자는 인천공항 출입국ㆍ외국인청이고, 「개인정보 보호법」 제26조제2항을 위반한 주체에 해당함을 종합적으로 고려하여 법무부 소속기관인 인천공항 출입국ㆍ외국인청에 과태료를 부과한다.
3. 과태료 부과
피심인의 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제2항 위반에 대한 과태료는 같은 법 제75조(과태료)제4항제5호, 같은 법 시행령 제63조(과태료의 부과기준)의 [별표2] '과태료 부과기준’에 따라 다음과 같이 부과한다.
가. 기준금액
개인정보보호법 시행령 제63조의 [별표2] 과태료 부과기준은 최근 3년간 같은 위반행위로 과태료 부과처분을 받은 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 1회 위반 과태료인 200만원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=117370025" alt="20번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) '개인정보보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침)’('21. 1. 27. 제정, 이하 ’과태료 부과기준'이라 한다) 제8조(과태료의 가중)은 사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 동 기준 [별표2]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다고 규정하고 있다.
피심인의 경우 ’과태료 부과기준' 제8조(과태료 가중)에 해당하지 않아 가중없이 기준금액을 유지한다.
2) (과태료의 감경) ’과태료 부과기준' 제7조(과태료의 감경)는 사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 동 기준 [별표1]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다고 규정하고 있다.
피심인의 경우 의견제출 기간 이내에 위반행위에 대하여 시정을 완료한 점, 조사에 적극 협력한 점 등을 고려하여 기준금액의 50%인 100만원을 감경한다.
<img src="/LSW/flDownload.do?flSeq=117370029" alt="21번째 이미지"></img>
다. 최종 과태료
피심인이 「개인정보 보호법」 제26조제2항을 위반한 행위에 대해 기준금액에 가중ㆍ감경을 거쳐 총 100만원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=117370031" alt="22번째 이미지"></img>
Ⅴ. 결론
피심인의 「개인정보 보호법」 제26조제2항 위반행위에 대하여 같은 법 제75조(과태료)제4항제5호에 따라 주문과 같이 의결한다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
피심인은 「개인정보 보호법」 제2조제5호에 따른 개인정보처리자이고, 「정부조직법」 제32조(법무부)에 따른 중앙행정기관의 소속기관으로 「개인정보 보호법」 제2조제6호에 따른 “공공기관”이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=117370005" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보 보호위원회는 피심인이 출입국 심사 고도화를 위한 인공지능(AI) 시스템 개발에 내외국인 안면 이미지정보(약 1억 7천만건)를 민간업체에 제공하여 적법성 논란이 있음을 언론에서 보도(’21.10.21., 10.26., 12.30., 한겨레)함에 따라 조사('21.12.10~’22. 4.11.)를 실시하였으며, 다음과 같은 사실을 확인하였다.
2. 사실조사 결과
가. 언론보도 내용 및 법무부 해명
○ 언론보도 내용
※ 정부, 출입국 얼굴사진 1억7천만건 AI업체에 넘겼다(한겨레, ’21.10.21.)
<img src="/LSW/flDownload.do?flSeq=117370027" alt="2번째 이미지"></img>
※ 정부, '인공지능 식별사업’ 업체 명단도 2년간 숨겼다(한겨레, ’21.10.26.)
<img src="/LSW/flDownload.do?flSeq=117370033" alt="3번째 이미지"></img>
※ 법무부 '개인정보 위탁’이라지만 '업체 이익보장’ 위법 정황(한겨레, ’21.12.30.)
<img src="/LSW/flDownload.do?flSeq=117370035" alt="4번째 이미지"></img>
○ 법무부 해명 (법무부 보도해명자료)
- 「출입국관리법」(제3조, 제6조, 제12조의2, 제28조)에 따라 출입국 심사시 국민과 외국인에 대한 정보(생체정보)를 수집ㆍ활용하는 것이 가능하며,
- 자동출입국심사대를 통과하는 사람의 신원을 신속ㆍ정확하게 식별할 수 있도록 인공지능 식별추적시스템을 고도화하자는 것임
<img src="/LSW/flDownload.do?flSeq=117370037" alt="5번째 이미지"></img>
- 또한, 법무부의 업무 처리를 위해 민간업체에 개인정보 처리를 위탁한 것으로, 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 '제3자 제공’에 해당되지 않으며,
* 법무부는 위탁처리 계약서상 규정 준수 여부를 지속적으로 감독할 예정
- 보안조치를 갖춘 실증랩 내에서 인공지능 학습만을 목적으로 수탁업체가 접근하여 사용할 수 있도록 보호조치를 하고 있음을 주장
- 한편, 기술결과물(안면인식 AI 알고리즘)에 대한 지식재산권은 국가계약법에 따라 공동으로 소유(각주:(사업 공모안내서) 기술결과물은 출입국 심사 고도화를 위한 목적으로 지속 활용하고, 법무부 데이터를 활용한 기술 결과물에 대한 지식재산권은 법무부 및 사업계약 상대자가 공동으로 소유하며, 참여기관은 사업 산출물의 사업화 및 성과 활용에 관하여 협조해야 함) 하나, 협의를 통하여 출입국심사 관리목적으로 제한할 계획임을 밝힘('21.10.21. 법무부 보도설명자료)
나. 사실조사 결과
○「인공지능(AI) 식별 추적시스템 개발」은 ’출입국 심사 고도화를 위한 AI 안면인식' 및 ’CCTV 활용 출입국 심사장 이상행동 추적' 등 2개 과제로 실시됨
① (과제1) 출입국 심사 고도화를 위한 AI 안면인식
ㆍ 목적 : 여권사진-얼굴 대조를 통한 본인여부 확인 시스템 고도화
ㆍ 근거 : 「출입국관리법」 제3조, 제6조, 제12조의2, 제28조
ㆍ 활용정보 : 내ㆍ외국인 국적, 연령, 성별, 얼굴정보
② (과제2) CCTV 활용 출입국 심사장 이상행동 추적*
ㆍ 목적 : 출입국 관리 구역 내 이상행동 추적 시스템 개발
ㆍ 근거 : 「개인정보 보호법」 제25조
ㆍ 활용정보 : 정보주체의 동의를 받고 촬영한 영상정보
* 출입국 안전 관리 관련 이상행동 추적 AI 학습용으로 CCTV 영상정보를 이용할 계획이었으나, 언론보도에 따라 사업이 중단된 '21.10월까지 CCTV 영상정보는 활용되지 않았음(각주:다만, 이상행동 패턴 분석을 위해 동의를 받고 별도로 촬영한 영상정보를 활용하여 예비 개발을 진행 중이었음) <img src="/LSW/flDownload.do?flSeq=117370039" alt="6번째 이미지"></img>
- (추진목적) 출입국 관리시스템을 고도화하여 출입국 심사과정에서 국민 편의성과 안전성을 높이고, 이 과정에서 AI기업들의 기술력 조기 확보와 AI 산업 활성화에 기여할 수 있도록 공모사업을 추진함
<img src="/LSW/flDownload.do?flSeq=117370041" alt="7번째 이미지"></img>
- (주요경과) 법무부는 과학기술정보통신부와 인공지능(AI) 식별추적시스템 구축사업의 추진을 위한 업무협약(MOU)을 체결(’19. 4. 30.)
※ 법무부는 사업 추진과정에서 개인정보 침해 등 문제 검토를 위해 법률자문 진행(법무법인 세종('19.2월), 법무법인 지평(’19.3월))
ㆍ 인공지능 식별추적 시스템 실증 및 검증사업 공모('19. 5월, ’20.1월)를 실시
ㆍ ’20년 인공지능식별추적시스템 구축 관련 개인정보처리위탁계약 체결('20. 6월)
ㆍ '인공지능 기반 출입국관리시스템 고도화를 위한 식별추적시스템 실증랩’을 상암동 누리꿈스퀘어에 개소(’20. 7월)하고, 공모 참여기업이 실증랩의 Zero 클라이언트 PC에서 내ㆍ외국인 얼굴사진(내국인 5,760만건, 외국인 1억2천만 건)에 접근 가능하도록 허용(’20. 8월)
ㆍ ’21년 인공지능식별추적시스템 구축 관련 개인정보처리위탁계약 체결('21. 4월)
ㆍ 언론보도에 따라 ’21년 사업을 중지(’21.10월)하고, '22년 사업은 미개시
<img src="/LSW/flDownload.do?flSeq=117370043" alt="8번째 이미지"></img>
- (공모사업 내용) AI기반 안면인식, 이상행동 패턴 알고리즘 보유기관(각주:AI 안면인식 알고리즘 보유업체의 AI모델 개발과정 : ① 공개된 AI모델(예 : ResNet)을 활용하거나, 공개된 학습 데이터(예: dlib_face_recognition_resnet_model_v1, 300만건)로 학습하여 자체 AI모델 개발 → ② 얼굴 또는 CCTV 데이터를 학습 목적에 맞춰서 가공 → ③ AI 모델에 가공된 데이터를 학습, 최적화하여 결과 값 도출) 을 대상으로 공모를 통해 사업 수행기관을 선정하여 식별추적시스템을 실증ㆍ검증
① (트랙1) 인공지능 식별추적 시스템 구축 및 실증
※ 중소ㆍ중견기업 및 창업기업 등을 대상으로 정부출연금 지원, 실증 수행
② (트랙2) 인공지능 식별추적 시스템 검증 참여 및 데이터 학습 지원
※ 정부출연금 없이 자부담으로 사업을 수행하여 법무부, 과기정통부, NIPA 등이 주관하는 성능평가 및 데이터 학습에 참여(참여 제한 없음)
③ (트랙3) 인공지능 식별추적 시스템 성능 검증(평가) 및 실증랩 구축ㆍ운영 지원
※ 안면인식 및 이상행동패턴 시스템의 성능 검증(평가) 지원을 위한 테스트 데이터 마련, 데이터 前처리, 평가방법 및 성능지표개발 등 평가모델 고도화ㆍ표준화, 데이터를 기반으로 알고리즘을 학습ㆍ검증할 수 있는 제반 환경 조성 및 실증랩 운영 지원
- (참여기업 현황) 공모사업에 참여한 업체*는 ’19년 17개사, ’20년 19개사, ’21년 9개사였으며, 이중 법무부 데이터를 활용했던 업체는 '20~’21년간 12개임
※ 본 사업은 '정보통신방송 연구개발 관리규정’(과기부 고시)에 따라 경쟁적 R&D를 통한 공모방식(각주:정보통신방송 연구개발 관리규정 16조(연구개발과제의 기획)에 따라 '정책적 경쟁유도를 위하여 일정기간을 정하여 복수의 연구개발기관으로 하여금 과제를 수행하게 할 수 있으며, 일정기간 이후 평가를 통해 상대적으로 경쟁 우위에 있는 연구개발기관으로 하여금 과제를 계속 수행하게 하는 사업을 추진할 수 있다.) 으로 추진됨
- (결과물 활용) 기술결과물*에 대한 지식재산권은 국가계약법에 따라 법무부 및 사업 계약상대자가 공동으로 소유하나 협의를 통하여 출입국 심사 관리목적으로 제한
* 법무부가 제공한 안면이미지를 활용하여 사업자가 보유한 AI모델을 통해 학습한 결과물인 '안면인식 알고리즘’이며, 안면인식 알고리즘에는 개인정보가 포함되어 있지 않음
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보 처리 위탁사실을 공개하지 않은 행위
피심인은 인공지능 식별추적시스템 구축사업 수행을 위해 '20. 6월부터 참여기업과 개인정보 처리 위탁계약을 체결하면서, 개인정보 처리업무 위탁사실을 '21.10.20.까지 출입국 정책본부 홈페이지(immigration.go.kr)에 공개하지 않은 사실이 있다.
* 피심인은 인공지능식별추적시스템 기술 개발 및 검증, 실증을 위한 안면정보 등 개인정보를 총 24개사(’20.6.17. : 16개사, ’21.4.19. : 8개사)에 처리위탁
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 ’22. 4. 12. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 '22. 4. 22. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
○ 언론보도에 따른 확인 필요사항은 다음과 같다
<img src="/LSW/flDownload.do?flSeq=117370045" alt="9번째 이미지"></img>
① 안면 이미지 정보 등의 민감정보 해당 여부 및 처리 가능 여부
○ (법 규정) 개인의 신체적 특징 등에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보는 민감정보에 해당하며,
- 「개인정보보호법」 제23조제1항에 따라 정보주체의 별도 동의를 받은 경우, 법령에서 요구하거나 허용하는 경우에만 민감정보의 처리가 가능하다.
<img src="/LSW/flDownload.do?flSeq=117370007" alt="10번째 이미지"></img>
1) 출입국 심사 고도화를 위한 안면 인식의 경우
o (쟁점1) 출입국 심사시 안면 이미지정보 등 생체정보(각주:(출입국관리법 제2조제15호) 생체정보란 이 법에 따른 업무에서 본인 일치 여부 확인 등에 활용되는 사람의 지문ㆍ얼굴ㆍ홍채 및 손바닥 정맥 등의 개인정보를 말한다) 가 본인확인 등 특정 개인을 알아볼 목적으로 이용되는 경우, 민감정보를 처리하는 것으로 볼 수 있는지
- 특정 개인을 알아볼 목적으로 얼굴 사진으로부터 특징점을 추출하는 등 일정한 기술적 수단을 통해 생성된 생체인식 특징정보는 민감정보에 해당된다.
→ 「생체정보 보호 가이드라인」(2021. 9월, 개인정보위)에 따르면, 일반적인 얼굴 사진은 생체인식 원본정보로서 개인정보이나 그 자체로 민감정보에 해당되지는 않고, 다만 얼굴 사진으로부터 특징점을 추출하는 등 일정한 기술적 수단을 통해 생성된 정보인 경우 생체인식 특징정보로서 민감정보에 해당되며, 따라서, 피심인이 출입국 안면인식 시스템을 운용하면서 생체인식 특징정보를 처리할 경우 민감정보의 처리라고 볼 수 있음(각주:안면인식 시스템을 통한 본인확인을 위해서는 여권사진 얼굴 이미지로부터 특징점을 추출한 정보와 실제 출입국심사를 받는 사람의 얼굴 이미지로부터 특징점을 추출한 정보 간의 비교가 알고리즘을 통해 이루어져야 할 것으로, 생체인식 특징정보의 처리가 필요함.
* '생체정보’에는 '일반적 생체정보’와 '생체인식정보’가 있고, '생체인식정보’에는 '생체인식 원본정보’와 '생체인식 특징정보’가 있으며, 이중 '생체인식 특징정보’가 민감정보에 해당 (생체정보보호 가이드라인)) <img src="/LSW/flDownload.do?flSeq=117370003" alt="11번째 이미지"></img>
o (쟁점2) 「출입국관리법」에 내ㆍ외국인 출입국 심사시 생체정보의 활용이 가능(§3ㆍ6ㆍ12조의2)하다고 한 것이 「개인정보 보호법」 제23조제1항제2호의 '법령에서 민감정보의 처리를 요구하거나 허용한 경우’로 볼 수 있는지
- 「출입국관리법」에서 출입국 심사시 생체정보의 활용을 규정한 것은 민감정보의 처리를 허용한 것으로 볼 수 있다.
→ 「개인정보 보호법」 제23조 제1항 제2호는 '법령에서 민감정보의 처리를 요구하거나 허용하는 경우 민감정보 처리가 허용된다고 규정하고 있는데, 이는 법령에서 민감정보의 종류를 열거하고 그 처리를 요구하는 경우를 의미함(개인정보 보호 법령 및 지침ㆍ고시 해설서, 160p)
현행 「출입국관리법」은 '생체정보’의 종류로 지문, 얼굴, 홍채 및 손바닥 정맥 등을 나열하고 있고(제2조 제15호), '생체정보’의 활용에 관하여 규정하고 있는데(제3조, 제6조, 제12조의2), 이는 '지문 및 얼굴에 관한 자료’라는 용어가 2016년 일부개정을 통해 '생체정보’로 대체된 것으로서, 지문, 얼굴을 비롯하여 홍채, 손바닥 정맥 등 생체정보를 이용한 본인 확인이 가능하도록 법적 근거를 마련하고자 한 것임(법제사법위원회 출입국관리법 일부개정법률안 검토보고서)
본인 확인을 위해서는 홍채, 얼굴, 지문 이미지 등으로부터 특징점을 추출한 정보의 처리가 필수적일 것이므로, 개정된 출입국관리법에서 출입국 심사 시 생체정보의 활용이 가능하다고 규정한 것은 민감정보의 처리를 허용하는 것으로 해석하는 것이 타당함
<img src="/LSW/flDownload.do?flSeq=117370009" alt="12번째 이미지"></img>
2) CCTV 활용 출입국심사장 이상행동 추적의 경우
o (쟁점3) 「개인정보 보호법」 제25조(각주:제25조(영상정보처리기기의 설치ㆍ운영 제한) ① 누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다.
1. 법령에서 구체적으로 허용하고 있는 경우, 2. 범죄의 예방 및 수사를 위하여 필요한 경우
3. 시설안전 및 화재 예방을 위하여 필요한 경우, 4. 교통단속을 위하여 필요한 경우 5.(생략)) 의 '범죄예방 및 시설안전 등’을 위해 CCTV 설치ㆍ운영이 인정되는 경우, 같은 법 제23조 제1항에 따른 민감정보 처리 요건을 충족시키지 않아도 되는지
- CCTV 영상정보를 범죄행동 추적, 이상징후 탐지 등을 위해 특정 개인을 알아볼 목적으로 이용하는 것은 민감정보를 처리하는 것이고, 범죄 예방 등을 위해 CCTV 설치ㆍ운영이 허용된다고 하더라도, 민감정보를 처리하게 된다면 「개인정보 보호법」 제23조제1항의 요건을 충족하여야 한다.
→ 「개인정보 보호법」 제25조는 일정한 요건 하에 정보주체의 동의를 득하지 않고 CCTV를 설치ㆍ운영할 수 있음을 규정하고 있는데, 수집한 영상정보로부터 특징점을 추출하는 등의 일정한 기술적 수단을 통해 특징정보를 생성하고 처리하여 이상행동을 추적하는 것은 민감정보의 처리인바,
범죄예방 등의 필요성이 인정되어 CCTV 설치ㆍ운영이 허용된다고 하더라도, 이와는 별개로 민감정보를 처리하는 것이라면 「개인정보 보호법」 제23조의 요건을 충족하여야만 특징정보를 처리할 수 있음
※ '특정 개인 식별 목적’ 없이 '이상행동 추적 목적’으로만 CCTV 영상정보를 이용할 경우에는 민감정보에 해당하지 않음(예: 얼굴특징, 인상착의 식별 등의 기능 없이 동작과 영상만을 분석하여 이상징후를 탐지하는 것은 민감정보의 처리라 할 수 없음)
o (쟁점4) CCTV 영상정보를 출입국 심사장의 이상행동 추적을 위한 AI 개발 목적으로 이용하는 것을 적법한 것으로 볼 수 있는지
- 출입국 심사구역의 CCTV 영상을 'AI 이상행동 탐지 솔루션’ 개발을 위해 이용하는 것은, 피심인의 CCTV 설치ㆍ운영의 목적인 '시설 안전 및 범죄 예방’ 목적 달성을 위한 수단이라고 주장할 여지도 있으나, CCTV 영상정보를 AI 기술 개발을 위해 사용할 수 있게 하는 「출입국관리법」상 근거가 없다.
→ 피심인의 「영상정보처리기기 운영ㆍ관리 방침」에 따르면 「개인정보 보호법」 제25조 제1항의 '시설안전 및 화재 예방’, '고객의 안전을 위한 범죄 예방’을 목적으로 CCTV가 설치ㆍ운영되고 있음
출입국 심사구역의 CCTV 영상을 통해 이상행동을 탐지하는 것은 '시설 안전 및 범죄 예방’이라는 피심인의 CCTV 설치ㆍ운영의 목적에 부합하며, 피심인이 CCTV 영상을 활용하여 '이상행동 탐지 솔루션'을 개발하는 것은 목적 달성을 위한 수단에 해당한다고 주장할 여지도 있으나, 출입국심사장의 CCTV 영상을 AI 솔루션 개발 등을 위해서 사용할 수 있다는 출입국관리법령상 명시적인 규정이 없음
o 다만, 피심인은 언론보도 등에 따라 ’21. 10월 사업을 중지한 상태로, 현재까지 이상행동 탐지를 위한 AI 개발을 위해 CCTV 영상을 사용한 사실이 없으므로 위법성 판단은 불필요하다.
- 그리고, 사업 중단시점까지 피심인이 실제 추진했던 AI 개발과정은 탐지하고자 하는 목적에 맞게 CCTV 영상을 라벨링한 정보(돌진, 물건방치, 2인 감지, 역주행의 동영상 형태 등)를 학습하려 하는 것으로, CCTV 영상내 특정 개인을 식별할 수 있는 정보가 처리된 것은 아닌 것으로 보인다.
o 그럼에도 불구하고, 동 사업 추진시 이상행동 탐지에 그치지 않고 이상행동 발생시 AI 안면인식을 통해 특정 개인을 추적하는 기능 개발을 위해 CCTV 영상을 이용하는 경우, 이는 CCTV 영상정보에서 특징점을 추출하여 개인을 식별해야 하므로 민감정보의 처리로 볼 수 있고
- 이러한 민감정보 처리를 위해서는 별도로 정보주체의 동의를 받거나, 법령상 명시적인 근거가 있어야 할 것이다.
<img src="/LSW/flDownload.do?flSeq=117370011" alt="13번째 이미지"></img>
② 안면정보를 출입국심사 AI기술 개발에 이용하는 것의 적법성 여부
1) AI 학습 및 개발에 이용하는 것이 목적범위內 이용인지 여부
o 「출입국관리법」은 출입국 관리를 통한 안전한 국경관리가 목적(법 §1)이며, 정보화 기기를 통한 출입국관리(같은 법 §3②(각주:출입국관리법 제3조(국민의 출국) ② 제1항에 따른 출국심사는 대통령령으로 정하는 바에 따라 정보화기기에 의한 출국심사로 갈음할 수 있다.) , §6③(각주:출입국관리법 제6조(국민의 입국) ③ 제1항에 따른 입국심사는 대통령령으로 정하는 바에 따라 정보화기기에 의한 입국심사로 갈음할 수 있다.) )는 효율적인 출입국 관리를 위해 도입된 시스템이다.
- 출입국 심사 과정에서 수집한 안면이미지를 안면인식 AI 개발에 활용하는 것은, 출입국관리법상의 정보화기기를 통한 출입국 심사(§3②ㆍ§6③)ㆍ고도화를 통해 법의 목적인 '안전한 국경관리’를 달성코자 하는 것으로 당초 개인정보 수집ㆍ이용 목적범위에 포함된다고 판단된다.
<img src="/LSW/flDownload.do?flSeq=117370013" alt="14번째 이미지"></img>(각주:경찰청이 인사업무 수행 목적으로 수집된 직원의 주민번호를 단체보험 가입, 맞춤형 복지 점수 배정 목적으로 이용하는 것은, 인사업무의 내용에 포함되고 인사업무 목적달성을 위한 수단으로서 필요한 절차인 경우에 해당하여 개인정보의 목적 내 사용이라고 판단한 개인정보위 판단사례(경찰청의 인사관련 개인정보 처리에 관한 질의건, 의안번호 제2015-10-19호)도 있음) <img src="/LSW/flDownload.do?flSeq=117370015" alt="15번째 이미지"></img>
2) 개인정보의 처리위탁인지, 제3자 제공에 해당하는지 여부
o 「개인정보 보호법」 제17조의 '개인정보의 제3자 제공’은 본래의 개인정보 수집ㆍ이용 목적의 범위를 넘어 정보를 제공받는 자의 업무처리와 이익을 위해 개인정보가 이전되는 경우를 말하며,
- 같은 법 제26조의 '개인정보의 처리위탁’은 본래의 개인정보 수집ㆍ이용목적과 관련된 위탁자 본인의 업무처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다.
o 대법원은 “개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리ㆍ감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로, 보호법 제17조에 정한 '제3자’에 해당하지 않는다”고 판시(대법원 2017. 4. 7. 선고 2016도13263 판결)하고,
- 또한, 어떠한 행위가 개인정보의 제공인지 아니면 처리위탁인지는 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리ㆍ감독 여부, 정보주체의 개인정보 보호 필요성에 미치는 영향 및 이러한 개인정보를 이용할 필요가 있는 자가 실질적으로 누구인지 등을 종합하여 판단하여야 한다고 판시하고 있다.
o 피심인은 AI를 활용하여 출입국 심사 등에 대응하고자 하는 목적으로 참여기업과 계약을 체결(각주:법무부-사업수행기관간 개인정보 처리위탁 계약서 제3조(위탁업무의 목적 및 범위) “사업수행기관”은 계약이 정하는 바에 따라 인공지능 식별추적시스템 구축사업 수행을 목적으로 다음과 같은 개인정보 처리업무를 수행한다.
1. 인공지능식별추적시스템 기술개발 및 검증을 위한 개인정보 처리업무(후략)) 하였고, 해당 업체의 연구 개발이 출입국청 내 인공지능 학습통제구역에서 행해지는 등 해당 시스템 개발이 피심인의 관리ㆍ감독(각주:개인정보 처리위탁 계약서 제8조(수탁자에 대한 관리ㆍ감독 등) ① “관리기관”은 “사업수행기관”에 대하여 다음 각호의 사항을 감독할 수 있으며, “사업수행기관”은 특별한 사유가 없는 한 이에 응하여야 한다.
1. 개인정보의 처리현황, 2. 개인정보의 접근 또는 접속현황, 3. 개인정보 접근 또는 접속 대상자,
4. 목적외 이용ㆍ제공 및 재위탁 금지 준수 여부, 5. 암호화 등 안전성 확보조치 이행여부,
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항) 하에 이루어졌으며,
- 본 시스템의 경우 ㉠ 출입국 심사대를 통과하는 내국인의 신원을 신속하게 식별할 수 있는 AI식별 시스템 개발을 목적으로 개인정보가 이용되며, ㉡ 이러한 도입의 필요성이 피심인에 있고, ㉢ 참여기업이 지식재산권을 공동 소유하는 것 외에 개인정보 처리에 관한 독자적인 이익을 갖지 않는 것으로 보이며*, ㉣ 위탁받은 범위(AI 알고리즘을 개발하기 위한 범위) 내에서만 개인정보가 처리되는 점 등을 종합적으로 고려할 때 개인정보의 처리위탁이라 할 수 있다.
<img src="/LSW/flDownload.do?flSeq=117370017" alt="16번째 이미지"></img>(각주:통상의 알고리즘 개발과정을 고려하면, 알고리즘 개발업체들은 이미 자체적으로 개발하여 보유하고 있는 알고리즘을 기반으로 유의미한 학습 데이터들을 통해 기존 알고리즘을 변형시켜 특정 목적을 위한 알고리즘으로 발전시키는 것이 일반적임) <img src="/LSW/flDownload.do?flSeq=117370019" alt="17번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=117370021" alt="18번째 이미지"></img>
③ 개인정보 처리 위탁계약 수탁업체 미공개 여부
1) 관련 법 규정
○ 「개인정보 보호법」 제26조제2항은 개인정보의 처리업무를 위탁하는 개인정보처리자(이하 '위탁자’라 한다)는 위탁하는 업무의 내용과 개인정보 처리업무를 위탁받아 처리하는 자(이하 '수탁자’라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다고 규정하고 있다.
○ 같은 법 시행령 제28조제2항은 '대통령령으로 정하는 방법’이란 개인정보 처리업무를 위탁하는 개인정보처리자(이하 '위탁자’라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다고 규정하고 있다.
2) 위법성 판단
o 개인정보 처리업무 위탁사실을 공개하지 않은 행위 개인정보보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제2항
피심인이 공모사업 참여기업과 개인정보 처리 위탁계약을 맺으면서, 위탁 사실을 공개하지 않은 것은 위탁받은 업무의 내용과 위탁받아 처리하는 자를 정보주체가 쉽게 확인할 수 있도록 공개하도록 한 「개인정보 보호법」 제26조제2항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=117370023" alt="19번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 국가기관에 과태료 부과 가부 검토
○ 국가기관에는 원칙적으로 과태료를 부과할 수 없으나, 예외적으로 개별법이 명문으로 국가기관에 과태료를 부과할 수 있도록 규정한 경우(예: 통계법)에는 가능하다.
○ 「개인정보 보호법」에 명문의 규정이 있고(통계법과 같음), 과태료는 보호법상 주요 제재 수단이며, 국가기관은 공익성이 큰 만큼 더욱 엄격하게 규율해야 하는 점 등을 고려 시, 국가기관만 과태료 부과 대상에서 제외할 이유는 없다.
※ (행정기본법 제40조제2항) 헌법과 해당 법령 등의 취지에 부합되게 해석ㆍ집행 책임
(대법원 2004도7807) 법령의 전반적인 체계와 취지ㆍ목적, 당해 조항의 규정 형식과 내용 및 관련 법령을 종합적으로 고려하여 해석
- (법문언) 「개인정보 보호법」은 과태료 부과 대상으로 국가기관을 포함하는 개인정보처리자를 명시하고 있고,
※ 국립대학 과태료 부과처분이 취소된 정보통신망법령은 법률이 아닌 대통령령에서 「고등교육법」에 따른 학교(국립대학이 포함됨)를 명시하고 있어 개인정보보호법과 문언 체계가 다름
- (입법 취지) 공공기관의 개인정보 보호 중요성 대두로 공공기관 개인정보 보호법이 먼저 제정(’94.1.7.)되고, 공공부문과 민간부문을 망라하여 국제수준에 부합하는 개인정보 처리원칙 등을 규정할 목적(제정 이유)으로 「개인정보 보호법」이 제정(’11.3.29.)되었으며,
- (법 집행력) 과태료는 개인정보보호법상 주요 제재 수단(’21 시정조치 중 36.5%)으로 제재 대상에서 국가기관을 제외하는 것은 법 집행력을 저해하고, 형평성에 반하며*, 해외 사례와도 차이**가 있는 점 등을 종합적으로 고려할 때 국가기관에 과태료를 부과할 수 있다.
* (사례) 대학의 경우, 사립대학ㆍ국립대학법인에는 과태료가 부과되는데 국립대학에는 부과하지 못하는 형평성에 반하는 문제 발생
** (해외 사례) GDPR의 적용을 받는 불가리아는 국세청에 과징금 부과('19.8.), 아일랜드도 Tusla(아동 및 가족문제 담당 정부기관)에 과징금 부과('20.5., 정부기관에 최초 부과)
2. 소속기관 처분대상 검토
○ 개인정보처리자에 공공기관이 포함(개인정보 보호법 제2조제5호)되고, 공공기관에는 중앙행정기관뿐만 아니라 그 소속기관도 포함(법 제2조제6호)되는 점, 법무부 인천공항 출입국ㆍ외국인청은 정부조직법 제3조, 법무부와 그 소속기관 직제규정 제2조에 설치근거를 둔 법무부 소속기관인 점, 그리고 개인정보 처리업무 위탁계약을 AI개발업체와 체결한 당사자는 인천공항 출입국ㆍ외국인청이고, 「개인정보 보호법」 제26조제2항을 위반한 주체에 해당함을 종합적으로 고려하여 법무부 소속기관인 인천공항 출입국ㆍ외국인청에 과태료를 부과한다.
3. 과태료 부과
피심인의 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제2항 위반에 대한 과태료는 같은 법 제75조(과태료)제4항제5호, 같은 법 시행령 제63조(과태료의 부과기준)의 [별표2] '과태료 부과기준’에 따라 다음과 같이 부과한다.
가. 기준금액
개인정보보호법 시행령 제63조의 [별표2] 과태료 부과기준은 최근 3년간 같은 위반행위로 과태료 부과처분을 받은 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 1회 위반 과태료인 200만원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=117370025" alt="20번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) '개인정보보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침)’('21. 1. 27. 제정, 이하 ’과태료 부과기준'이라 한다) 제8조(과태료의 가중)은 사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 동 기준 [별표2]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다고 규정하고 있다.
피심인의 경우 ’과태료 부과기준' 제8조(과태료 가중)에 해당하지 않아 가중없이 기준금액을 유지한다.
2) (과태료의 감경) ’과태료 부과기준' 제7조(과태료의 감경)는 사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 동 기준 [별표1]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다고 규정하고 있다.
피심인의 경우 의견제출 기간 이내에 위반행위에 대하여 시정을 완료한 점, 조사에 적극 협력한 점 등을 고려하여 기준금액의 50%인 100만원을 감경한다.
<img src="/LSW/flDownload.do?flSeq=117370029" alt="21번째 이미지"></img>
다. 최종 과태료
피심인이 「개인정보 보호법」 제26조제2항을 위반한 행위에 대해 기준금액에 가중ㆍ감경을 거쳐 총 100만원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=117370031" alt="22번째 이미지"></img>
Ⅴ. 결론
피심인의 「개인정보 보호법」 제26조제2항 위반행위에 대하여 같은 법 제75조(과태료)제4항제5호에 따라 주문과 같이 의결한다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).