더불어민주당 이수진 의원은 지난 1월 16일, 지문·홍채·얼굴·손바닥 정맥 등 생체정보를 ‘민감정보’의 처리 제한 정보로 명확히 규정하는 「개인정보보호법 일부개정법률안」을 대표 발의했습니다.
이번 개정안은 기존 시행령에만 규정되어 있던 생체정보의 법적 근거를 법률에 명시함으로써, 개인정보 보호 수준을 한층 강화하고자 하는 목적을 담고 있습니다.
주요 배경
생체정보는 출입통제, 스마트폰 인증, 금융권 본인확인 등 다양한 분야에서 활용되고 있습니다.
최근에는 공연이나 스포츠 경기 입장권 구매 시 본인 확인 수단으로 활용하려는 움직임도 늘고 있습니다.
예컨대 일부 업체는 공연장 입장 시 얼굴인증 시스템을 도입하고, 이를 통해 암표 방지나 이용자 인증 강화를 꾀하고 있습니다.
그러나 생체정보는 유출 시 피해가 되돌릴 수 없고, 딥페이크 범죄 등 이차 피해로 이어질 수 있다는 점에서 특별한 보호가 필요하다는 우려가 제기돼 왔습니다.
현행 개인정보보호법에는 생체정보에 대한 명확한 규정이 없어, 법률상 보호의 사각지대가 존재해 왔습니다.
이에 따라 법률에 직접 규정하여 보호 근거를 강화할 필요성이 지속적으로 제기됐습니다.
개정안의 주요 내용
이번 개정안의 주요 내용은 두 가지입니다.
첫째, 개인정보 보호법 제23조(민감정보의 처리 제한)에 생체정보를 명시적으로 포함했습니다.
법이 개정될 경우, 지문, 얼굴, 홍채, 손바닥 정맥 등이 법률상 ‘민감정보’로 분류됩니다.
또한 민감정보 없이도 서비스를 제공할 수 있는 경우, 개인정보처리자는 그 사실을 정보주체에게 고지하고 민감정보를 처리하지 않는 방안을 우선적으로 고려해야 합니다.
이는 ‘서비스 이용을 위해 반드시 생체정보를 제공해야 하는가?’에 대해 대체 수단을 마련하라는 취지로 해석됩니다.
이로써 법적 근거 없이 생체정보를 요구하거나, 대체 수단 없이 생체정보 제공을 강제하는 행위는 제한할 수 있을 것으로 보입니다.
개인정보 보호법 제23조(민감정보의 처리 제한)
①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다.
② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다.
③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다.
기대 효과
현재 발의안은 위원회 심사 단계에 있습니다.
이번 발의안은 기술 발전 속에서 발생한 법적 공백을 메우기 위한 입법 대응이라고 할 수 있습니다.
발의안이 통과되면 민감정보 중에서도 특히 보호가 필요한 생체정보에 대한 법적 보호 수준이 한층 강화될 것으로 기대됩니다.
또한 개인정보처리자에게 ‘대체 수단 제공’과 ‘사전 고지’ 의무가 부과되면서 정보주체의 선택권도 확대될 것으로 보입니다.
이를 통해 생체정보 제공이 일상화되는 상황 속에서도 정보주체가 자신의 개인정보에 대한 실질적인 통제권을 행사할 수 있는 환경이 조성될 것입니다.
기업의 대응 방향
발의안이 통과되면, 생체정보에 대한 보호 수준이 법률에 명확히 규정됨에 따라, 개인정보를 수집·이용하는 기업에게도 직접적인 영향을 미치게 됩니다.
특히 공연, 이벤트, 금융 등 생체정보를 활용하는 기업은 지문, 얼굴, 홍채, 손바닥 정맥 등의 정보가 ‘민감정보’에 해당한다는 점을 인지하고 이를 수집하는 과정에서 더욱 신중을 기해야 합니다.
또한 이러한 민감정보를 수집하지 않고도 서비스를 제공할 수 있는 경우, 그 사실을 사용자에게 고지하고 대체 수단을 우선적으로 고려해야 할 의무를 갖게 되는데요.
이에 따라 기업은 법안 통과 이후를 대비해 내부 점검을 통해 현행 운영 방식이 개정 법률에 부합하는지 확인해야 합니다.
아울러 개인정보보호위원회가 발표할 시행령 개정안과 가이드라인도 면밀히 분석해 적절한 대응 전략을 마련할 필요가 있습니다.
