국가인권위원회
결정
14정책0018
본인확인을 위한 신분증 사본 저장에 따른 지문정보 수집에 대한 제도 개선 권고
국가인권위원회 상임위원회
의결일: 2014년 8월 21일
요지
3. 방송통신위원회위원장에게, 가. 이동통신사가 관행적으로 본인확인을 위해 수집해온 지문 정보를 모두 파기하도록 지도,감독할 것, 나. 이동통신사가 서비스 이용자의 동의 없이 지문 정보를 수집하고 이에 대한 삭제 요청도 거부하는 사례에 대하여 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제22조, 제23조, 제27조의2, 제30조 등의 위반 사항을 조사하여 그 결과에 따라 적절한 조치를 취할 것을 권고
주문
1. 안전행정부장관에게,
가. 공공기관과 민간기관이 본인확인을 위한 주민등록증 복사.저장 과정 에서 수집해온 지문 정보를 파기하도록 계도하고, 이를 불이행하는 기관에 대하여는 「개인정보 보호법」제15조, 제16조, 제30조 등 위반 사항을 조사하여 조치할 것,
나. 본인확인을 위하여 주민등록증에 수록된 지문 정보를 수집 이용하지 않도록 「주민등록법」제25조 등 관련 법령을 개선할 것,
2. 금융위원회위원장에게, 금융기관이 관행적으로 본인확인을 위해 수집해 온 지문 정보를 모두 파기하도록 지도.감독할 것,
3. 방송통신위원회위원장에게,
가. 이동통신사가 관행적으로 본인확인을 위해 수집해온 지문 정보를 모 두 파기하도록 지도.감독할 것,
나. 이동통신사가 서비스 이용자의 동의 없이 지문 정보를 수집하고 이에 대한 삭제 요청도 거부하는 사례에 대하여 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제22조, 제23조, 제27조의2, 제30조 등의 위반 사항을 조사하여 그 결과에 따라 적절한 조치를 취할 것을 권고한다.
가. 공공기관과 민간기관이 본인확인을 위한 주민등록증 복사.저장 과정 에서 수집해온 지문 정보를 파기하도록 계도하고, 이를 불이행하는 기관에 대하여는 「개인정보 보호법」제15조, 제16조, 제30조 등 위반 사항을 조사하여 조치할 것,
나. 본인확인을 위하여 주민등록증에 수록된 지문 정보를 수집 이용하지 않도록 「주민등록법」제25조 등 관련 법령을 개선할 것,
2. 금융위원회위원장에게, 금융기관이 관행적으로 본인확인을 위해 수집해 온 지문 정보를 모두 파기하도록 지도.감독할 것,
3. 방송통신위원회위원장에게,
가. 이동통신사가 관행적으로 본인확인을 위해 수집해온 지문 정보를 모 두 파기하도록 지도.감독할 것,
나. 이동통신사가 서비스 이용자의 동의 없이 지문 정보를 수집하고 이에 대한 삭제 요청도 거부하는 사례에 대하여 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제22조, 제23조, 제27조의2, 제30조 등의 위반 사항을 조사하여 그 결과에 따라 적절한 조치를 취할 것을 권고한다.
이유
국 가 인 권 위 원 회
상 임 위 원 회
결 정
제 목 본인확인을 위한 신분증 사본 저장에 따른 지문정보
수집에 대한 제도 개선 권고
주 문
1. 안전행정부장관에게,
가. 공공기관과 민간기관이 본인확인을 위한 주민등록증 복사·저장 과정
에서 수집해온 지문 정보를 파기하도록 계도하고, 이를 불이행하는
기관에 대하여는 「개인정보 보호법」제15조, 제16조, 제30조 등 위반
사항을 조사하여 조치할 것,
나. 본인확인을 위하여 주민등록증에 수록된 지문 정보를 수집 이용하지
않도록 「주민등록법」제25조 등 관련 법령을 개선할 것,
2. 금융위원회위원장에게, 금융기관이 관행적으로 본인확인을 위해 수집해
온 지문 정보를 모두 파기하도록 지도·감독할 것,
3. 방송통신위원회위원장에게,
가. 이동통신사가 관행적으로 본인확인을 위해 수집해온 지문 정보를 모
두 파기하도록 지도·감독할 것,
나. 이동통신사가 서비스 이용자의 동의 없이 지문 정보를 수집하고 이에
대한 삭제 요청도 거부하는 사례에 대하여 「정보통신망 이용촉진 및
정보보호 등에 관한 법률」제22조, 제23조, 제27조의2, 제30조 등의 위반
사항을 조사하여 그 결과에 따라 적절한 조치를 취할 것을 권고한다.
이 유
Ⅰ. 권고 배경
국가인권위원회에 신원확인을 위해 주민등록증 제시를 요구하는 사례와
관련한 상담이 여러 건 제기되었고, 최근 이동통신사가 회원 가입 시 이용
자의 주민등록증 앞뒷면을 스캔하여 저장함으로써 지문 정보를 수집하고
이용자의 지문 정보 삭제 요청도 거부하고 있는 실태에 대한 언론보도가
있어, 금융기관과 이동통신사에서 이루어지는 본인확인을 위한 주민등록증
사본 저장 실태를 조사하여 「국가인권위원회법」제25조 제1항에 따라 이
러한 관행이 사생활의 자유 등 기본권을 침해할 우려가 있는지 여부를 검토
하였다.
Ⅱ. 판단기준
「헌법」제10조, 제17조, 제37조, 「개인정보 보호법」제15조, 제16조, 제30조,
「정보통신망 이용 촉진 및 정보보호 등에 관한 법률」제22조, 제23조의2, 제
27조의2, 제30조, 헌법재판소 99헌마513 결정, 경제협력개발기구(OECD)의
「프라이버시 보호와 개인 데이터의 국제적 유통에 관한 가이드라인」등을
참고하였다.
Ⅲ. 판단
1. 본인확인을 위한 신분증 사본 저장의 현황 및 문제점
현재 금융기관 및 이동통신사는 관행적으로 계좌개설과 회원 가입 시 서비
스 이용자에 대한 신원확인을 위하여 신분증을 제시하도록 하여 확인한 후
신분증의 앞면과 뒷면을 복사 또는 스캔하고 이를 정보통신망에 파일로 저장
하고 있다.
이 때 가장 보편적으로 사용되는 신분증인 주민등록증이 제시될 경우 금
융기관과 이동통신사는 서비스 이용자의 성명, 주민등록번호, 사진, 주소에
더불어 주민등록증 뒷면에 현출되어 있는 지문 정보도 컴퓨터 파일로 만들어
저장함으로써 암호화 처리도 되지 않은 바이오 정보를 그대로 수집·저장하
게 된다. 주민등록증으로 신분을 확인하는 것 자체는 문제될 것이 없으나, 이
를 복사 저장함으로써 지문 정보의 수집과 관리의 문제가 발생하는 것이다.
또한, 이동통신사가 서비스 이용자의 지문 정보 삭제 요청을 거부한 사례
가 언론에 보도되는 등 이미 수집한 지문 정보에 대한 정보주체의 정정 요
구도 잘 수용되지 않는 것으로 보이고, 위와 같이 신원확인을 위해 신분증
의 앞뒷면 사본을 수집하는 관행은 국가인권위원회의 조사 결과 금융기관
및 이동통신사 외에도 공공기관과 민간기관에서 광범위하게 이루어지고 있었다.
2. 개인정보자기결정권 침해 여부
금융기관 및 이동통신사는 신분증의 완결성, 주소에 대한 최신성, 채권·
채무 관계에 대한 본인 확인, 직원의 본인 확인 여부에 대한 증빙 등을 위
해서 신분증 앞뒷면을 복사하여 저장할 필요성이 있다고 주장하였다.
그러나, 정보 주체가 동의하면 개인정보의 수집·저장·이용이 가능하다
할지라도 이용자가 개인정보 항목에 대한 창구 직원의 수집 동의 요구에
실질적으로 거부하기 어렵다는 점, 서비스 이용 신청서 등에 이미 이용자의
주민등록번호와 주소를 기재하고 있으며 주민등록증 뒷면에 기재되어 있는
주소가 반드시 최신성을 담보하고 있다고 할 수 없는 점, 주민등록증 앞면
에 기재된 주민등록번호와 사진 등으로도 본인 확인을 할 수 있는 점 등을
고려할 때 이러한 주장은 합리성이 부족하다 할 것이다.
또한, 「개인정보보호법」제30조 및 「정보통신망 이용촉진 및 정보보호
등에 관한 법률」제27조의2에 따라 개인정보처리자 또는 정보통신서비스
제공자가 정하여 공개하여야 하는 "개인정보 처리방침" 또는 "개인정보 취급
방침"을 살펴본 결과, 금융기관과 이동통신사가 수집하는 개인정보 항목에
지문 정보는 포함되어 있지 않았다. 따라서, 주민등록증 뒷면의 지문 정보
를 수집하는 것은 각 금융기관과 이동통신사가 정한 위 방침을 위반하는
것으로 보인다.
더구나, 다른 신분증과 달리 주민등록증의 경우 뒷면에 지문 정보가 기재
되어 있다는 점에서 그 정보의 수집과 저장에 신중함이 요구된다. 지문 정
보와 같은 바이오 정보는 개인의 고유성·동일성을 나타내는 정보로서 유
일성, 불변성, 보편성을 가지고 있어 유일식별자로서 기능하고, 각 개인의
신체에 각인되어 특별한 신체적 변화가 없는 한 평생토록 바꿀 수 없기 때
문에 개인 식별성이 가장 강력한 개인정보에 해당하며, 일반적인 텍스트 정
보에 비하여 정보의 오·남용을 방지하기 위해 보다 강력한 보호가 필요하다.
그런데, 최근 들어서 지문 등 바이오 정보를 통한 본인확인 기술의 확산
에 따라 바이오 정보의 복제 및 위조 범죄가 지속적으로 발생하고 있는 상
황이고, 고도정보화 사회에서 지문 정보의 오·남용으로 인해 국민 개인의
기본적 인권이 침해될 가능성이 커지고 있다. 이에 국가인권위원회는 "스마
트스쿨 구축을 위한 지문인식시스템 설치에 대한 의견표명(2011. 10. 27.)"에
서, 명확한 인식과 설명 없는 지문 정보 수집의 위험성과 저장 및 관리 과
정에서 개인정보가 유출되는 경우의 위험성, 다른 개인정보와의 결합에 따
른 오·남용 문제를 지적한바 있다.
이러한 바이오 정보의 특수성을 고려할 때, 금융기관 및 이동통신사가 위
와 같이 서비스 이용자의 신원 확인에 필요한 최소한의 범위를 넘어 주민
등록증 뒷면까지 복사하여 지문 정보를 수집하고 파일로 저장하는 관행은
각 금융기관 및 이동통신사가 정한 "개인정보 처리방침" 또는 "개인정보 취
급방침"을 위반하고, 이용자의 개인정보자기결정권을 과도하게 제한하는 것
으로 판단된다.
한편, 위 현황 및 문제점에 기술한바와 같이 이동통신사가 서비스 이용자
의 지문 정보 삭제 요청을 거부하는 사례가 있는데, 이는 정보주체가 개인
정보의 수집·이용·제공 등의 동의 철회 시 정보통신서비스 제공자는 지
체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다고 규
정한 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제30조를 위반
하고, 이용자의 개인정보자기결정권을 침해하는 행위라 할 것이다.
3. 제도 개선의 필요성
이와 같은 주민등록증 뒷면 복사·저장으로 인한 지문 정보 수집 관행의
개선을 위하여, 금융기관의 감독기관인 금융위원회위원장에게, 그동안 금융
기관이 관행적으로 수집해온 지문 정보를 모두 파기하도록 지도·감독할
것을 권고하고, 이동통신사와 관련한 개인정보 보호 주무기관인 방송통신위
원회위원장에게는, 이동통신사가 관행적으로 수집해온 지문 정보를 모두 파
기하도록 지도·감독할 것과, 이동통신사가 서비스 이용자의 동의 없이 지
문 정보를 수집하고 이용자의 삭제 요청도 거부하는 사례를 조사하여 그
결과에 따라 적절한 조치를 취할 것을 권고하는 것이 적절하다고 판단된다.
나아가, 이러한 지문 정보 수집 관행이 금융기관이나 이동통신사뿐 아니
라 다른 공공기관 및 민간기관에서도 광범위하게 이루어지고 있다는 점에
서, 「개인정보 보호법」의 주무부처인 안전행정부장관에게, 그동안 공공기
관과 민간기관이 본인확인을 위한 주민등록증 복사·저장 과정에서 수집해
온 지문 정보를 파기하도록 계도하고, 이를 불이행하는 기관에 대하여는 법
률 위반 사항을 조사하여 조치하도록 권고하며, 또한, 본인확인을 위하여
주민등록증에 수록된 지문정보를 수집 이용하지 않도록 「주민등록법」제
25조 등 관련 법령을 개선할 것을 권고하는 것이 적절하다고 판단된다.
Ⅳ. 결론
이상과 같은 이유로 「국가인권위원회법」제25조 제1항에 따라 주문과
같이 결정한다.
2014. 8. 21.
위 원 장 현 병 철
위 원 김 영 혜
위 원 장 명 숙
위 원 유 영 하
<별지>
관련규정
1. 개인정보 보호법
제15조(개인정보의 수집ㆍ이용)
① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개
인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.
1. 정보주체의 동의를 받은 경우
2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여
불가피한 경우
3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불
가피한 경우
4. 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한
경우
5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에
있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명
백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을
위하여 필요하다고 인정되는 경우
6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우
로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개
인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범
위를초과하지 아니하는 경우에 한한다.
② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각
호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의
사항을 변경하는 경우에도 이를알리고 동의를 받아야 한다.
1. 개인정보의 수집ㆍ이용 목적
2. 수집하려는 개인정보의 항목
3. 개인정보의 보유 및 이용 기간
4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익
이 있는 경우에는 그 불이익의 내용
제16조(개인정보의 수집 제한)
① 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인
정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를
수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임
은 개인정보처리자가 부담한다.
② 개인정보처리자는 정보주체의 동의를 받아 개인정보를 수집하는 경
우 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할
수 있다는 사실을 구체적으로알리고 개인정보를 수집하여야 한다.
③ 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보
수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스
의 제공을 거부하여서는 아니 된다.
제30조(개인정보 처리방침의 수립 및 공개)
① 개인정보처리자는 다음 각 호의 사항이 포함된 개인정보의 처리 방
침(이하 "개인정보 처리방침"이라 한다)을 정하여야 한다. 이 경우
공공기관은 제32조에 따라 등록대상이 되는 개인정보파일에 대하여
개인정보 처리방침을 정한다.
1. 개인정보의 처리 목적
2. 개인정보의 처리 및 보유 기간
3. 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)
4. 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)
5. 정보주체의 권리ㆍ의무 및 그 행사방법에 관한 사항
6. 그밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항
② 개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우
에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법
에 따라 공개하여야 한다.
③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결
한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.
④ 안전행정부장관은 개인정보 처리방침의 작성지침을 정하여 개인정
보처리자에게 그 준수를 권장할 수 있다.
2. 정보통신망 이용촉진 및 정보보호 등에 관한 법률
제22조(개인정보의 수집·이용 동의 등)
① 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하
는 경우에는 다음 각 호의 모든 사항을 이용자에게 알리고 동의를
받아야 한다. 다음 각 호의 어느 하나의 사항을 변경하려는 경우에도 또
한 같다.
1. 개인정보의 수집·이용 목적
2. 수집하는 개인정보의 항목
3. 개인정보의 보유·이용 기간
② 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우에
는 제1항에 따른 동의 없이 이용자의 개인정보를 수집·이용할 수 있다.
1. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개
인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이
뚜렷하게곤란한 경우
2. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우
3. 이 법 또는 다른 법률에 특별한 규정이 있는 경우
제23조(개인정보의 수집 제한 등)
① 정보통신서비스 제공자는 사상, 신념, 과거의 병력(病歷) 등 개인의
권리·이익이나 사생활을 뚜렷하게 침해할 우려가 있는 개인정보를
수집하여서는 아니 된다. 다만, 제22조제1항에 따른 이용자의 동의
를 받거나 다른 법률에 따라 특별히 수집 대상 개인정보로 허용된
경우에는 그 개인정보를 수집할 수 있다.
② 정보통신서비스 제공자는 이용자의 개인정보를 수집하는 경우에는
정보통신서비스의 제공을 위하여 필요한 최소한의 정보를 수집하여
야 하며, 필요한 최소한의 정보 외의 개인정보를 제공하지 아니한다
는 이유로 그 서비스의 제공을 거부하여서는 아니 된다.
제27조의2(개인정보 취급방침의 공개)
① 정보통신서비스 제공자등은 이용자의 개인정보를 취급하는 경우에
는 개인정보 취급방침을 정하여 이용자가 언제든지 쉽게 확인할 수
있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.
② 제1항에 따른 개인정보 취급방침에는 다음 각 호의 사항이 모두 포
함되어야 한다.
1. 개인정보의 수집·이용 목적, 수집하는 개인정보의 항목 및 수집방법
2. 개인정보를 제3자에게 제공하는 경우 제공받는 자의 성명(법인인
경우에는 법인의 명칭을 말한다), 제공받는 자의 이용 목적과 제
공하는 개인정보의 항목
3. 개인정보의 보유 및 이용 기간, 개인정보의 파기절차 및 파기방법
(제29조제1항 각 호 외의 부분 단서에 따라 개인정보를 보존하여야
하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다)
4. 개인정보 취급위탁을 하는 업무의 내용 및 수탁자(해당되는 경우
에만 취급방침에 포함한다)
5. 이용자 및 법정대리인의 권리와 그 행사방법
6. 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설
치·운영 및 그 거부에 관한 사항
7. 개인정보 관리책임자의 성명 또는 개인정보보호 업무 및 관련 고
충사항을 처리하는 부서의 명칭과 그 전화번호 등연락처
③ 정보통신서비스 제공자등은 제1항에 따른 개인정보 취급방침을 변
경하는 경우에는 그 이유 및 변경내용을 대통령령으로 정하는 방법
에 따라 지체 없이 공지하고, 이용자가 언제든지 변경된 사항을 쉽
게알아볼 수 있도록 조치하여야 한다.
제30조(이용자의 권리 등)
① 이용자는 정보통신서비스 제공자등에 대하여 언제든지 개인정보 수
집·이용·제공 등의 동의를 철회할 수 있다.
② 이용자는 정보통신서비스 제공자등에 대하여 본인에 관한 다음 각
호의 어느 하나의 사항에 대한 열람이나 제공을 요구할 수 있고 오
류가 있는 경우에는 그 정정을 요구할 수 있다.
1. 정보통신서비스 제공자등이 가지고 있는 이용자의 개인정보
2. 정보통신서비스 제공자등이 이용자의 개인정보를 이용하거나 제3
자에게 제공한 현황
3. 정보통신서비스 제공자등에게 개인정보 수집·이용·제공 등의 동의
를 한 현황
③ 정보통신서비스 제공자등은 이용자가 제1항에 따라 동의를 철회하
면 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다.
④ 정보통신서비스 제공자등은 제2항에 따라 열람 또는 제공을 요구받
으면 지체 없이 필요한 조치를 하여야 한다.
⑤ 정보통신서비스 제공자등은 제2항에 따라 오류의 정정을 요구받으
면 지체 없이 그 오류를 정정하거나 정정하지 못하는 사유를 이용
자에게알리는 등 필요한 조치를 하여야 하고, 필요한 조치를 할 때
까지는 해당 개인정보를 이용하거나 제공하여서는 아니 된다. 다만,
다른 법률에 따라 개인정보의 제공을 요청받은 경우에는 그 개인정
보를 제공하거나 이용할 수 있다.
⑥ 정보통신서비스 제공자등은 제1항에 따른 동의의 철회 또는 제2항
에 따른 개인정보의 열람·제공 또는 오류의 정정을 요구하는 방법
을 개인정보의 수집방법보다쉽게 하여야 한다.
⑦ 영업양수자등에 대하여는 제1항부터 제6항까지의 규정을 준용한다.
이 경우 "정보통신서비스 제공자등"은 "영업양수자등"으로 본다.
위 정본입니다.
2014. 10. 22.
국 가 인 권 위 원 회
의사담당 최환석 (인)
Ⅰ. 권고 배경 국가인권위원회에 신원확인을 위해 주민등록증 제시를 요구하는 사례와 관련한 상담이 여러 건 제기되었고, 최근 이동통신사가 회원 가입 시 이용 자의 주민등록증 앞뒷면을 스캔하여 저장함으로써 지문 정보를 수집하고 이용자의 지문 정보 삭제 요청도 거부하고 있는 실태에 대한 언론보도가 있어, 금융기관과 이동통신사에서 이루어지는 본인확인을 위한 주민등록증 사본 저장 실태를 조사하여 「국가인권위원회법」제25조 제1항에 따라 이 러한 관행이 사생활의 자유 등 기본권을 침해할 우려가 있는지 여부를 검토 하였다.
Ⅱ. 판단기준
「헌법」제10조, 제17조, 제37조, 「개인정보 보호법」제15조, 제16조, 제30조,
「정보통신망 이용 촉진 및 정보보호 등에 관한 법률」제22조, 제23조의2, 제 27조의2, 제30조, 헌법재판소 99헌마513 결정, 경제협력개발기구(OECD)의
「프라이버시 보호와 개인 데이터의 국제적 유통에 관한 가이드라인」등을 참고하였다.
Ⅲ. 판단 1. 본인확인을 위한 신분증 사본 저장의 현황 및 문제점 현재 금융기관 및 이동통신사는 관행적으로 계좌개설과 회원 가입 시 서비 스 이용자에 대한 신원확인을 위하여 신분증을 제시하도록 하여 확인한 후 신분증의 앞면과 뒷면을 복사 또는 스캔하고 이를 정보통신망에 파일로 저장 하고 있다. 이 때 가장 보편적으로 사용되는 신분증인 주민등록증이 제시될 경우 금 융기관과 이동통신사는 서비스 이용자의 성명, 주민등록번호, 사진, 주소에 더불어 주민등록증 뒷면에 현출되어 있는 지문 정보도 컴퓨터 파일로 만들어 저장함으로써 암호화 처리도 되지 않은 바이오 정보를 그대로 수집.저장하 게 된다. 주민등록증으로 신분을 확인하는 것 자체는 문제될 것이 없으나, 이 를 복사 저장함으로써 지문 정보의 수집과 관리의 문제가 발생하는 것이다. 또한, 이동통신사가 서비스 이용자의 지문 정보 삭제 요청을 거부한 사례 가 언론에 보도되는 등 이미 수집한 지문 정보에 대한 정보주체의 정정 요 구도 잘 수용되지 않는 것으로 보이고, 위와 같이 신원확인을 위해 신분증 의 앞뒷면 사본을 수집하는 관행은 국가인권위원회의 조사 결과 금융기관 및 이동통신사 외에도 공공기관과 민간기관에서 광범위하게 이루어지고 있었다.
2. 개인정보자기결정권 침해 여부 금융기관 및 이동통신사는 신분증의 완결성, 주소에 대한 최신성, 채권. 채무 관계에 대한 본인 확인, 직원의 본인 확인 여부에 대한 증빙 등을 위 해서 신분증 앞뒷면을 복사하여 저장할 필요성이 있다고 주장하였다. 그러나, 정보 주체가 동의하면 개인정보의 수집.저장.이용이 가능하다 할지라도 이용자가 개인정보 항목에 대한 창구 직원의 수집 동의 요구에 실질적으로 거부하기 어렵다는 점, 서비스 이용 신청서 등에 이미 이용자의 주민등록번호와 주소를 기재하고 있으며 주민등록증 뒷면에 기재되어 있는 주소가 반드시 최신성을 담보하고 있다고 할 수 없는 점, 주민등록증 앞면 에 기재된 주민등록번호와 사진 등으로도 본인 확인을 할 수 있는 점 등을 고려할 때 이러한 주장은 합리성이 부족하다 할 것이다. 또한, 「개인정보보호법」제30조 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제27조의2에 따라 개인정보처리자 또는 정보통신서비스 제공자가 정하여 공개하여야 하는 "개인정보 처리방침" 또는 "개인정보 취급 방침"을 살펴본 결과, 금융기관과 이동통신사가 수집하는 개인정보 항목에 지문 정보는 포함되어 있지 않았다. 따라서, 주민등록증 뒷면의 지문 정보 를 수집하는 것은 각 금융기관과 이동통신사가 정한 위 방침을 위반하는 것으로 보인다. 더구나, 다른 신분증과 달리 주민등록증의 경우 뒷면에 지문 정보가 기재 되어 있다는 점에서 그 정보의 수집과 저장에 신중함이 요구된다. 지문 정 보와 같은 바이오 정보는 개인의 고유성.동일성을 나타내는 정보로서 유
일성, 불변성, 보편성을 가지고 있어 유일식별자로서 기능하고, 각 개인의 신체에 각인되어 특별한 신체적 변화가 없는 한 평생토록 바꿀 수 없기 때 문에 개인 식별성이 가장 강력한 개인정보에 해당하며, 일반적인 텍스트 정 보에 비하여 정보의 오.남용을 방지하기 위해 보다 강력한 보호가 필요하다. 그런데, 최근 들어서 지문 등 바이오 정보를 통한 본인확인 기술의 확산 에 따라 바이오 정보의 복제 및 위조 범죄가 지속적으로 발생하고 있는 상 황이고, 고도정보화 사회에서 지문 정보의 오.남용으로 인해 국민 개인의 기본적 인권이 침해될 가능성이 커지고 있다. 이에 국가인권위원회는 "스마 트스쿨 구축을 위한 지문인식시스템 설치에 대한 의견표명(2011. 10. 27.)"에 서, 명확한 인식과 설명 없는 지문 정보 수집의 위험성과 저장 및 관리 과 정에서 개인정보가 유출되는 경우의 위험성, 다른 개인정보와의 결합에 따 른 오.남용 문제를 지적한바 있다. 이러한 바이오 정보의 특수성을 고려할 때, 금융기관 및 이동통신사가 위 와 같이 서비스 이용자의 신원 확인에 필요한 최소한의 범위를 넘어 주민 등록증 뒷면까지 복사하여 지문 정보를 수집하고 파일로 저장하는 관행은 각 금융기관 및 이동통신사가 정한 "개인정보 처리방침" 또는 "개인정보 취 급방침"을 위반하고, 이용자의 개인정보자기결정권을 과도하게 제한하는 것 으로 판단된다. 한편, 위 현황 및 문제점에 기술한바와 같이 이동통신사가 서비스 이용자 의 지문 정보 삭제 요청을 거부하는 사례가 있는데, 이는 정보주체가 개인 정보의 수집.이용.제공 등의 동의 철회 시 정보통신서비스 제공자는 지 체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다고 규
정한 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제30조를 위반 하고, 이용자의 개인정보자기결정권을 침해하는 행위라 할 것이다. 3. 제도 개선의 필요성 이와 같은 주민등록증 뒷면 복사.저장으로 인한 지문 정보 수집 관행의 개선을 위하여, 금융기관의 감독기관인 금융위원회위원장에게, 그동안 금융 기관이 관행적으로 수집해온 지문 정보를 모두 파기하도록 지도.감독할 것을 권고하고, 이동통신사와 관련한 개인정보 보호 주무기관인 방송통신위 원회위원장에게는, 이동통신사가 관행적으로 수집해온 지문 정보를 모두 파 기하도록 지도.감독할 것과, 이동통신사가 서비스 이용자의 동의 없이 지 문 정보를 수집하고 이용자의 삭제 요청도 거부하는 사례를 조사하여 그 결과에 따라 적절한 조치를 취할 것을 권고하는 것이 적절하다고 판단된다. 나아가, 이러한 지문 정보 수집 관행이 금융기관이나 이동통신사뿐 아니 라 다른 공공기관 및 민간기관에서도 광범위하게 이루어지고 있다는 점에 서, 「개인정보 보호법」의 주무부처인 안전행정부장관에게, 그동안 공공기 관과 민간기관이 본인확인을 위한 주민등록증 복사.저장 과정에서 수집해 온 지문 정보를 파기하도록 계도하고, 이를 불이행하는 기관에 대하여는 법 률 위반 사항을 조사하여 조치하도록 권고하며, 또한, 본인확인을 위하여 주민등록증에 수록된 지문정보를 수집 이용하지 않도록 「주민등록법」제 25조 등 관련 법령을 개선할 것을 권고하는 것이 적절하다고 판단된다.
Ⅳ. 결론 이상과 같은 이유로 「국가인권위원회법」제25조 제1항에 따라 주문과 같이 결정한다.
상 임 위 원 회
결 정
제 목 본인확인을 위한 신분증 사본 저장에 따른 지문정보
수집에 대한 제도 개선 권고
주 문
1. 안전행정부장관에게,
가. 공공기관과 민간기관이 본인확인을 위한 주민등록증 복사·저장 과정
에서 수집해온 지문 정보를 파기하도록 계도하고, 이를 불이행하는
기관에 대하여는 「개인정보 보호법」제15조, 제16조, 제30조 등 위반
사항을 조사하여 조치할 것,
나. 본인확인을 위하여 주민등록증에 수록된 지문 정보를 수집 이용하지
않도록 「주민등록법」제25조 등 관련 법령을 개선할 것,
2. 금융위원회위원장에게, 금융기관이 관행적으로 본인확인을 위해 수집해
온 지문 정보를 모두 파기하도록 지도·감독할 것,
3. 방송통신위원회위원장에게,
가. 이동통신사가 관행적으로 본인확인을 위해 수집해온 지문 정보를 모
두 파기하도록 지도·감독할 것,
나. 이동통신사가 서비스 이용자의 동의 없이 지문 정보를 수집하고 이에
대한 삭제 요청도 거부하는 사례에 대하여 「정보통신망 이용촉진 및
정보보호 등에 관한 법률」제22조, 제23조, 제27조의2, 제30조 등의 위반
사항을 조사하여 그 결과에 따라 적절한 조치를 취할 것을 권고한다.
이 유
Ⅰ. 권고 배경
국가인권위원회에 신원확인을 위해 주민등록증 제시를 요구하는 사례와
관련한 상담이 여러 건 제기되었고, 최근 이동통신사가 회원 가입 시 이용
자의 주민등록증 앞뒷면을 스캔하여 저장함으로써 지문 정보를 수집하고
이용자의 지문 정보 삭제 요청도 거부하고 있는 실태에 대한 언론보도가
있어, 금융기관과 이동통신사에서 이루어지는 본인확인을 위한 주민등록증
사본 저장 실태를 조사하여 「국가인권위원회법」제25조 제1항에 따라 이
러한 관행이 사생활의 자유 등 기본권을 침해할 우려가 있는지 여부를 검토
하였다.
Ⅱ. 판단기준
「헌법」제10조, 제17조, 제37조, 「개인정보 보호법」제15조, 제16조, 제30조,
「정보통신망 이용 촉진 및 정보보호 등에 관한 법률」제22조, 제23조의2, 제
27조의2, 제30조, 헌법재판소 99헌마513 결정, 경제협력개발기구(OECD)의
「프라이버시 보호와 개인 데이터의 국제적 유통에 관한 가이드라인」등을
참고하였다.
Ⅲ. 판단
1. 본인확인을 위한 신분증 사본 저장의 현황 및 문제점
현재 금융기관 및 이동통신사는 관행적으로 계좌개설과 회원 가입 시 서비
스 이용자에 대한 신원확인을 위하여 신분증을 제시하도록 하여 확인한 후
신분증의 앞면과 뒷면을 복사 또는 스캔하고 이를 정보통신망에 파일로 저장
하고 있다.
이 때 가장 보편적으로 사용되는 신분증인 주민등록증이 제시될 경우 금
융기관과 이동통신사는 서비스 이용자의 성명, 주민등록번호, 사진, 주소에
더불어 주민등록증 뒷면에 현출되어 있는 지문 정보도 컴퓨터 파일로 만들어
저장함으로써 암호화 처리도 되지 않은 바이오 정보를 그대로 수집·저장하
게 된다. 주민등록증으로 신분을 확인하는 것 자체는 문제될 것이 없으나, 이
를 복사 저장함으로써 지문 정보의 수집과 관리의 문제가 발생하는 것이다.
또한, 이동통신사가 서비스 이용자의 지문 정보 삭제 요청을 거부한 사례
가 언론에 보도되는 등 이미 수집한 지문 정보에 대한 정보주체의 정정 요
구도 잘 수용되지 않는 것으로 보이고, 위와 같이 신원확인을 위해 신분증
의 앞뒷면 사본을 수집하는 관행은 국가인권위원회의 조사 결과 금융기관
및 이동통신사 외에도 공공기관과 민간기관에서 광범위하게 이루어지고 있었다.
2. 개인정보자기결정권 침해 여부
금융기관 및 이동통신사는 신분증의 완결성, 주소에 대한 최신성, 채권·
채무 관계에 대한 본인 확인, 직원의 본인 확인 여부에 대한 증빙 등을 위
해서 신분증 앞뒷면을 복사하여 저장할 필요성이 있다고 주장하였다.
그러나, 정보 주체가 동의하면 개인정보의 수집·저장·이용이 가능하다
할지라도 이용자가 개인정보 항목에 대한 창구 직원의 수집 동의 요구에
실질적으로 거부하기 어렵다는 점, 서비스 이용 신청서 등에 이미 이용자의
주민등록번호와 주소를 기재하고 있으며 주민등록증 뒷면에 기재되어 있는
주소가 반드시 최신성을 담보하고 있다고 할 수 없는 점, 주민등록증 앞면
에 기재된 주민등록번호와 사진 등으로도 본인 확인을 할 수 있는 점 등을
고려할 때 이러한 주장은 합리성이 부족하다 할 것이다.
또한, 「개인정보보호법」제30조 및 「정보통신망 이용촉진 및 정보보호
등에 관한 법률」제27조의2에 따라 개인정보처리자 또는 정보통신서비스
제공자가 정하여 공개하여야 하는 "개인정보 처리방침" 또는 "개인정보 취급
방침"을 살펴본 결과, 금융기관과 이동통신사가 수집하는 개인정보 항목에
지문 정보는 포함되어 있지 않았다. 따라서, 주민등록증 뒷면의 지문 정보
를 수집하는 것은 각 금융기관과 이동통신사가 정한 위 방침을 위반하는
것으로 보인다.
더구나, 다른 신분증과 달리 주민등록증의 경우 뒷면에 지문 정보가 기재
되어 있다는 점에서 그 정보의 수집과 저장에 신중함이 요구된다. 지문 정
보와 같은 바이오 정보는 개인의 고유성·동일성을 나타내는 정보로서 유
일성, 불변성, 보편성을 가지고 있어 유일식별자로서 기능하고, 각 개인의
신체에 각인되어 특별한 신체적 변화가 없는 한 평생토록 바꿀 수 없기 때
문에 개인 식별성이 가장 강력한 개인정보에 해당하며, 일반적인 텍스트 정
보에 비하여 정보의 오·남용을 방지하기 위해 보다 강력한 보호가 필요하다.
그런데, 최근 들어서 지문 등 바이오 정보를 통한 본인확인 기술의 확산
에 따라 바이오 정보의 복제 및 위조 범죄가 지속적으로 발생하고 있는 상
황이고, 고도정보화 사회에서 지문 정보의 오·남용으로 인해 국민 개인의
기본적 인권이 침해될 가능성이 커지고 있다. 이에 국가인권위원회는 "스마
트스쿨 구축을 위한 지문인식시스템 설치에 대한 의견표명(2011. 10. 27.)"에
서, 명확한 인식과 설명 없는 지문 정보 수집의 위험성과 저장 및 관리 과
정에서 개인정보가 유출되는 경우의 위험성, 다른 개인정보와의 결합에 따
른 오·남용 문제를 지적한바 있다.
이러한 바이오 정보의 특수성을 고려할 때, 금융기관 및 이동통신사가 위
와 같이 서비스 이용자의 신원 확인에 필요한 최소한의 범위를 넘어 주민
등록증 뒷면까지 복사하여 지문 정보를 수집하고 파일로 저장하는 관행은
각 금융기관 및 이동통신사가 정한 "개인정보 처리방침" 또는 "개인정보 취
급방침"을 위반하고, 이용자의 개인정보자기결정권을 과도하게 제한하는 것
으로 판단된다.
한편, 위 현황 및 문제점에 기술한바와 같이 이동통신사가 서비스 이용자
의 지문 정보 삭제 요청을 거부하는 사례가 있는데, 이는 정보주체가 개인
정보의 수집·이용·제공 등의 동의 철회 시 정보통신서비스 제공자는 지
체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다고 규
정한 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제30조를 위반
하고, 이용자의 개인정보자기결정권을 침해하는 행위라 할 것이다.
3. 제도 개선의 필요성
이와 같은 주민등록증 뒷면 복사·저장으로 인한 지문 정보 수집 관행의
개선을 위하여, 금융기관의 감독기관인 금융위원회위원장에게, 그동안 금융
기관이 관행적으로 수집해온 지문 정보를 모두 파기하도록 지도·감독할
것을 권고하고, 이동통신사와 관련한 개인정보 보호 주무기관인 방송통신위
원회위원장에게는, 이동통신사가 관행적으로 수집해온 지문 정보를 모두 파
기하도록 지도·감독할 것과, 이동통신사가 서비스 이용자의 동의 없이 지
문 정보를 수집하고 이용자의 삭제 요청도 거부하는 사례를 조사하여 그
결과에 따라 적절한 조치를 취할 것을 권고하는 것이 적절하다고 판단된다.
나아가, 이러한 지문 정보 수집 관행이 금융기관이나 이동통신사뿐 아니
라 다른 공공기관 및 민간기관에서도 광범위하게 이루어지고 있다는 점에
서, 「개인정보 보호법」의 주무부처인 안전행정부장관에게, 그동안 공공기
관과 민간기관이 본인확인을 위한 주민등록증 복사·저장 과정에서 수집해
온 지문 정보를 파기하도록 계도하고, 이를 불이행하는 기관에 대하여는 법
률 위반 사항을 조사하여 조치하도록 권고하며, 또한, 본인확인을 위하여
주민등록증에 수록된 지문정보를 수집 이용하지 않도록 「주민등록법」제
25조 등 관련 법령을 개선할 것을 권고하는 것이 적절하다고 판단된다.
Ⅳ. 결론
이상과 같은 이유로 「국가인권위원회법」제25조 제1항에 따라 주문과
같이 결정한다.
2014. 8. 21.
위 원 장 현 병 철
위 원 김 영 혜
위 원 장 명 숙
위 원 유 영 하
<별지>
관련규정
1. 개인정보 보호법
제15조(개인정보의 수집ㆍ이용)
① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개
인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.
1. 정보주체의 동의를 받은 경우
2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여
불가피한 경우
3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불
가피한 경우
4. 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한
경우
5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에
있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명
백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을
위하여 필요하다고 인정되는 경우
6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우
로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개
인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범
위를초과하지 아니하는 경우에 한한다.
② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각
호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의
사항을 변경하는 경우에도 이를알리고 동의를 받아야 한다.
1. 개인정보의 수집ㆍ이용 목적
2. 수집하려는 개인정보의 항목
3. 개인정보의 보유 및 이용 기간
4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익
이 있는 경우에는 그 불이익의 내용
제16조(개인정보의 수집 제한)
① 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인
정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를
수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임
은 개인정보처리자가 부담한다.
② 개인정보처리자는 정보주체의 동의를 받아 개인정보를 수집하는 경
우 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할
수 있다는 사실을 구체적으로알리고 개인정보를 수집하여야 한다.
③ 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보
수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스
의 제공을 거부하여서는 아니 된다.
제30조(개인정보 처리방침의 수립 및 공개)
① 개인정보처리자는 다음 각 호의 사항이 포함된 개인정보의 처리 방
침(이하 "개인정보 처리방침"이라 한다)을 정하여야 한다. 이 경우
공공기관은 제32조에 따라 등록대상이 되는 개인정보파일에 대하여
개인정보 처리방침을 정한다.
1. 개인정보의 처리 목적
2. 개인정보의 처리 및 보유 기간
3. 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)
4. 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)
5. 정보주체의 권리ㆍ의무 및 그 행사방법에 관한 사항
6. 그밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항
② 개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우
에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법
에 따라 공개하여야 한다.
③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결
한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.
④ 안전행정부장관은 개인정보 처리방침의 작성지침을 정하여 개인정
보처리자에게 그 준수를 권장할 수 있다.
2. 정보통신망 이용촉진 및 정보보호 등에 관한 법률
제22조(개인정보의 수집·이용 동의 등)
① 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하
는 경우에는 다음 각 호의 모든 사항을 이용자에게 알리고 동의를
받아야 한다. 다음 각 호의 어느 하나의 사항을 변경하려는 경우에도 또
한 같다.
1. 개인정보의 수집·이용 목적
2. 수집하는 개인정보의 항목
3. 개인정보의 보유·이용 기간
② 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우에
는 제1항에 따른 동의 없이 이용자의 개인정보를 수집·이용할 수 있다.
1. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개
인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이
뚜렷하게곤란한 경우
2. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우
3. 이 법 또는 다른 법률에 특별한 규정이 있는 경우
제23조(개인정보의 수집 제한 등)
① 정보통신서비스 제공자는 사상, 신념, 과거의 병력(病歷) 등 개인의
권리·이익이나 사생활을 뚜렷하게 침해할 우려가 있는 개인정보를
수집하여서는 아니 된다. 다만, 제22조제1항에 따른 이용자의 동의
를 받거나 다른 법률에 따라 특별히 수집 대상 개인정보로 허용된
경우에는 그 개인정보를 수집할 수 있다.
② 정보통신서비스 제공자는 이용자의 개인정보를 수집하는 경우에는
정보통신서비스의 제공을 위하여 필요한 최소한의 정보를 수집하여
야 하며, 필요한 최소한의 정보 외의 개인정보를 제공하지 아니한다
는 이유로 그 서비스의 제공을 거부하여서는 아니 된다.
제27조의2(개인정보 취급방침의 공개)
① 정보통신서비스 제공자등은 이용자의 개인정보를 취급하는 경우에
는 개인정보 취급방침을 정하여 이용자가 언제든지 쉽게 확인할 수
있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.
② 제1항에 따른 개인정보 취급방침에는 다음 각 호의 사항이 모두 포
함되어야 한다.
1. 개인정보의 수집·이용 목적, 수집하는 개인정보의 항목 및 수집방법
2. 개인정보를 제3자에게 제공하는 경우 제공받는 자의 성명(법인인
경우에는 법인의 명칭을 말한다), 제공받는 자의 이용 목적과 제
공하는 개인정보의 항목
3. 개인정보의 보유 및 이용 기간, 개인정보의 파기절차 및 파기방법
(제29조제1항 각 호 외의 부분 단서에 따라 개인정보를 보존하여야
하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다)
4. 개인정보 취급위탁을 하는 업무의 내용 및 수탁자(해당되는 경우
에만 취급방침에 포함한다)
5. 이용자 및 법정대리인의 권리와 그 행사방법
6. 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설
치·운영 및 그 거부에 관한 사항
7. 개인정보 관리책임자의 성명 또는 개인정보보호 업무 및 관련 고
충사항을 처리하는 부서의 명칭과 그 전화번호 등연락처
③ 정보통신서비스 제공자등은 제1항에 따른 개인정보 취급방침을 변
경하는 경우에는 그 이유 및 변경내용을 대통령령으로 정하는 방법
에 따라 지체 없이 공지하고, 이용자가 언제든지 변경된 사항을 쉽
게알아볼 수 있도록 조치하여야 한다.
제30조(이용자의 권리 등)
① 이용자는 정보통신서비스 제공자등에 대하여 언제든지 개인정보 수
집·이용·제공 등의 동의를 철회할 수 있다.
② 이용자는 정보통신서비스 제공자등에 대하여 본인에 관한 다음 각
호의 어느 하나의 사항에 대한 열람이나 제공을 요구할 수 있고 오
류가 있는 경우에는 그 정정을 요구할 수 있다.
1. 정보통신서비스 제공자등이 가지고 있는 이용자의 개인정보
2. 정보통신서비스 제공자등이 이용자의 개인정보를 이용하거나 제3
자에게 제공한 현황
3. 정보통신서비스 제공자등에게 개인정보 수집·이용·제공 등의 동의
를 한 현황
③ 정보통신서비스 제공자등은 이용자가 제1항에 따라 동의를 철회하
면 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다.
④ 정보통신서비스 제공자등은 제2항에 따라 열람 또는 제공을 요구받
으면 지체 없이 필요한 조치를 하여야 한다.
⑤ 정보통신서비스 제공자등은 제2항에 따라 오류의 정정을 요구받으
면 지체 없이 그 오류를 정정하거나 정정하지 못하는 사유를 이용
자에게알리는 등 필요한 조치를 하여야 하고, 필요한 조치를 할 때
까지는 해당 개인정보를 이용하거나 제공하여서는 아니 된다. 다만,
다른 법률에 따라 개인정보의 제공을 요청받은 경우에는 그 개인정
보를 제공하거나 이용할 수 있다.
⑥ 정보통신서비스 제공자등은 제1항에 따른 동의의 철회 또는 제2항
에 따른 개인정보의 열람·제공 또는 오류의 정정을 요구하는 방법
을 개인정보의 수집방법보다쉽게 하여야 한다.
⑦ 영업양수자등에 대하여는 제1항부터 제6항까지의 규정을 준용한다.
이 경우 "정보통신서비스 제공자등"은 "영업양수자등"으로 본다.
위 정본입니다.
2014. 10. 22.
국 가 인 권 위 원 회
의사담당 최환석 (인)
Ⅰ. 권고 배경 국가인권위원회에 신원확인을 위해 주민등록증 제시를 요구하는 사례와 관련한 상담이 여러 건 제기되었고, 최근 이동통신사가 회원 가입 시 이용 자의 주민등록증 앞뒷면을 스캔하여 저장함으로써 지문 정보를 수집하고 이용자의 지문 정보 삭제 요청도 거부하고 있는 실태에 대한 언론보도가 있어, 금융기관과 이동통신사에서 이루어지는 본인확인을 위한 주민등록증 사본 저장 실태를 조사하여 「국가인권위원회법」제25조 제1항에 따라 이 러한 관행이 사생활의 자유 등 기본권을 침해할 우려가 있는지 여부를 검토 하였다.
Ⅱ. 판단기준
「헌법」제10조, 제17조, 제37조, 「개인정보 보호법」제15조, 제16조, 제30조,
「정보통신망 이용 촉진 및 정보보호 등에 관한 법률」제22조, 제23조의2, 제 27조의2, 제30조, 헌법재판소 99헌마513 결정, 경제협력개발기구(OECD)의
「프라이버시 보호와 개인 데이터의 국제적 유통에 관한 가이드라인」등을 참고하였다.
Ⅲ. 판단 1. 본인확인을 위한 신분증 사본 저장의 현황 및 문제점 현재 금융기관 및 이동통신사는 관행적으로 계좌개설과 회원 가입 시 서비 스 이용자에 대한 신원확인을 위하여 신분증을 제시하도록 하여 확인한 후 신분증의 앞면과 뒷면을 복사 또는 스캔하고 이를 정보통신망에 파일로 저장 하고 있다. 이 때 가장 보편적으로 사용되는 신분증인 주민등록증이 제시될 경우 금 융기관과 이동통신사는 서비스 이용자의 성명, 주민등록번호, 사진, 주소에 더불어 주민등록증 뒷면에 현출되어 있는 지문 정보도 컴퓨터 파일로 만들어 저장함으로써 암호화 처리도 되지 않은 바이오 정보를 그대로 수집.저장하 게 된다. 주민등록증으로 신분을 확인하는 것 자체는 문제될 것이 없으나, 이 를 복사 저장함으로써 지문 정보의 수집과 관리의 문제가 발생하는 것이다. 또한, 이동통신사가 서비스 이용자의 지문 정보 삭제 요청을 거부한 사례 가 언론에 보도되는 등 이미 수집한 지문 정보에 대한 정보주체의 정정 요 구도 잘 수용되지 않는 것으로 보이고, 위와 같이 신원확인을 위해 신분증 의 앞뒷면 사본을 수집하는 관행은 국가인권위원회의 조사 결과 금융기관 및 이동통신사 외에도 공공기관과 민간기관에서 광범위하게 이루어지고 있었다.
2. 개인정보자기결정권 침해 여부 금융기관 및 이동통신사는 신분증의 완결성, 주소에 대한 최신성, 채권. 채무 관계에 대한 본인 확인, 직원의 본인 확인 여부에 대한 증빙 등을 위 해서 신분증 앞뒷면을 복사하여 저장할 필요성이 있다고 주장하였다. 그러나, 정보 주체가 동의하면 개인정보의 수집.저장.이용이 가능하다 할지라도 이용자가 개인정보 항목에 대한 창구 직원의 수집 동의 요구에 실질적으로 거부하기 어렵다는 점, 서비스 이용 신청서 등에 이미 이용자의 주민등록번호와 주소를 기재하고 있으며 주민등록증 뒷면에 기재되어 있는 주소가 반드시 최신성을 담보하고 있다고 할 수 없는 점, 주민등록증 앞면 에 기재된 주민등록번호와 사진 등으로도 본인 확인을 할 수 있는 점 등을 고려할 때 이러한 주장은 합리성이 부족하다 할 것이다. 또한, 「개인정보보호법」제30조 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제27조의2에 따라 개인정보처리자 또는 정보통신서비스 제공자가 정하여 공개하여야 하는 "개인정보 처리방침" 또는 "개인정보 취급 방침"을 살펴본 결과, 금융기관과 이동통신사가 수집하는 개인정보 항목에 지문 정보는 포함되어 있지 않았다. 따라서, 주민등록증 뒷면의 지문 정보 를 수집하는 것은 각 금융기관과 이동통신사가 정한 위 방침을 위반하는 것으로 보인다. 더구나, 다른 신분증과 달리 주민등록증의 경우 뒷면에 지문 정보가 기재 되어 있다는 점에서 그 정보의 수집과 저장에 신중함이 요구된다. 지문 정 보와 같은 바이오 정보는 개인의 고유성.동일성을 나타내는 정보로서 유
일성, 불변성, 보편성을 가지고 있어 유일식별자로서 기능하고, 각 개인의 신체에 각인되어 특별한 신체적 변화가 없는 한 평생토록 바꿀 수 없기 때 문에 개인 식별성이 가장 강력한 개인정보에 해당하며, 일반적인 텍스트 정 보에 비하여 정보의 오.남용을 방지하기 위해 보다 강력한 보호가 필요하다. 그런데, 최근 들어서 지문 등 바이오 정보를 통한 본인확인 기술의 확산 에 따라 바이오 정보의 복제 및 위조 범죄가 지속적으로 발생하고 있는 상 황이고, 고도정보화 사회에서 지문 정보의 오.남용으로 인해 국민 개인의 기본적 인권이 침해될 가능성이 커지고 있다. 이에 국가인권위원회는 "스마 트스쿨 구축을 위한 지문인식시스템 설치에 대한 의견표명(2011. 10. 27.)"에 서, 명확한 인식과 설명 없는 지문 정보 수집의 위험성과 저장 및 관리 과 정에서 개인정보가 유출되는 경우의 위험성, 다른 개인정보와의 결합에 따 른 오.남용 문제를 지적한바 있다. 이러한 바이오 정보의 특수성을 고려할 때, 금융기관 및 이동통신사가 위 와 같이 서비스 이용자의 신원 확인에 필요한 최소한의 범위를 넘어 주민 등록증 뒷면까지 복사하여 지문 정보를 수집하고 파일로 저장하는 관행은 각 금융기관 및 이동통신사가 정한 "개인정보 처리방침" 또는 "개인정보 취 급방침"을 위반하고, 이용자의 개인정보자기결정권을 과도하게 제한하는 것 으로 판단된다. 한편, 위 현황 및 문제점에 기술한바와 같이 이동통신사가 서비스 이용자 의 지문 정보 삭제 요청을 거부하는 사례가 있는데, 이는 정보주체가 개인 정보의 수집.이용.제공 등의 동의 철회 시 정보통신서비스 제공자는 지 체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다고 규
정한 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제30조를 위반 하고, 이용자의 개인정보자기결정권을 침해하는 행위라 할 것이다. 3. 제도 개선의 필요성 이와 같은 주민등록증 뒷면 복사.저장으로 인한 지문 정보 수집 관행의 개선을 위하여, 금융기관의 감독기관인 금융위원회위원장에게, 그동안 금융 기관이 관행적으로 수집해온 지문 정보를 모두 파기하도록 지도.감독할 것을 권고하고, 이동통신사와 관련한 개인정보 보호 주무기관인 방송통신위 원회위원장에게는, 이동통신사가 관행적으로 수집해온 지문 정보를 모두 파 기하도록 지도.감독할 것과, 이동통신사가 서비스 이용자의 동의 없이 지 문 정보를 수집하고 이용자의 삭제 요청도 거부하는 사례를 조사하여 그 결과에 따라 적절한 조치를 취할 것을 권고하는 것이 적절하다고 판단된다. 나아가, 이러한 지문 정보 수집 관행이 금융기관이나 이동통신사뿐 아니 라 다른 공공기관 및 민간기관에서도 광범위하게 이루어지고 있다는 점에 서, 「개인정보 보호법」의 주무부처인 안전행정부장관에게, 그동안 공공기 관과 민간기관이 본인확인을 위한 주민등록증 복사.저장 과정에서 수집해 온 지문 정보를 파기하도록 계도하고, 이를 불이행하는 기관에 대하여는 법 률 위반 사항을 조사하여 조치하도록 권고하며, 또한, 본인확인을 위하여 주민등록증에 수록된 지문정보를 수집 이용하지 않도록 「주민등록법」제 25조 등 관련 법령을 개선할 것을 권고하는 것이 적절하다고 판단된다.
Ⅳ. 결론 이상과 같은 이유로 「국가인권위원회법」제25조 제1항에 따라 주문과 같이 결정한다.
출처: 국가법령정보센터 국가인권위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).