편집자주 :
이번에 소개할 것은 EU기본권청에서 발행한 법 집행을 목적으로 얼굴 인식 기술을 사용할 시 우리의 기본권에 어떤 영향을 미칠지에 대해 다룬 보고서입니다. 유럽에서도 몇몇 국가들이 실시간 얼굴 인식 기술의 가능성을 시험하고 있습니다. 동시에 이러한 인권침해의 위험성이 커다란 기술의 도입 및 검토에는 사회적 합의와 논의가 전제되어야 한다는 사실을 몸소 보여주고 있기도 합니다. 예를 들어 영국 경찰의 실시간 얼굴 인식 기술 테스트는 그 오류율이 98%에 달했으며, 사용 금지를 요구하는 소송이 이어지기도 했습니다.
얼굴인식 기술을 일컬어 ‘인공지능의 플루토늄’이라고 합니다. 그것이 얼마나 편리하든 좋은 의도로 도입되든 어쨋든, 핵폐기물처럼 위험하며 본질적으로 유해한 기술이라는 것이죠. 한국의 법 집행 당국도 실시간 얼굴 인식 기술의 사용을 도입하기 위해 호시탐탐 기회를 엿보고 있을 것입니다. 공항의 보안을 강화시킴과 동시에 편리하게 하겠다는 이유로 얼굴 인식 기술을 개발하고 도입하고 있기도 하구요.
허나 앞서 말했듯, 인권 침해의 위험성이 큰 기술의 도입엔 사회적 합의와 더불어 다양한 맥락에서의 인권에 대한 고려와 심사숙고가 필요할 것입니다.번역오류는 policy 골뱅이 jinbo.net 으로 알려주세요.
제목 : 얼굴 인식 기술 : 법 집행 상황에서 기본권에 대한 고려사항
원문제목 : Facial recognition technology: fundamental rights considerations in the context of law enforcement
원문링크 : https://fra.europa.eu/en/publication/2019/facial-recognition
일시 : 2019.12
작성 : EU Agency for Fundamental rights
7. 가장 큰 영향을 받는 기본권들
본 섹션에서는 법 집행의 맥락에서 얼굴 인식 기술이 사용될 때에 가장 큰 영향을 받는 구체적인 기본권들에 대해 논한다. 이는 얼굴 이미지가 CCTV카메라로부터 추출되어, 데이터베이스나 감시대상자 목록(watch-list)와 비교되는 실시간 얼굴 인식 기술을 중점적으로 논한다. 본 섹션은 얼굴인식 기술에 영향을 받는 모든 기본권에 대한 철저한 분석은 아니며, 적절한 예시들이라고 볼 수 있다.
7.1 개인정보 보호와 사생활 존중
사생활 존중과 개인정보 보호에 대한 권리는 공공 장소에 얼굴인식 기술을 배치하는 것에 있어 핵심적인 부분이다. 이 둘은 밀접하게 관련있어 보이지만, 별개의 독립적인 권리들이다. 이 권리들은 또한 프라이버시 보호를 위한 ‘고전적’ 권리 그리고 개인정보 보호를 위한 조금 더 ‘현대적’ 권리로 설명되어 왔다. 두 권리 다 비슷한 가치 – 사람들이 자유롭게 개성과 생각을 개발하고 의견을 다듬을 수 있는 개인적 영역을 보장함으로써, 개인의 자율성과 인간의 존엄성을 보호하고자 한다. 이는 그렇게 사상, 양심, 종교의 자유(헌장 10조)나 표현의 자유와 알 권리(헌장 11조) 그리고 조직과 결사의 자유(헌장 12조)와 같은 기본적 권리를 행하기 위한 본질적 선행조건을 형성한다.
실시간 얼굴인식 기술을 사용하는 것은, 식별을 목적으로한 IT시스템에 얼굴이미지를 수집, 비교 그리고/또는 저장하는 것을 의미한다. 이는 그러므로 유럽연합 기본권 헌장의 8조에 명시된 개인정보 보호권과(기존에 존재하던 유럽연합 개인정보보호법을 포함) 헌장 7조와 유럽인권조약ECHR 8조 하의 사생활에 대한 권리와의 관계가 있다. 유럽사법재판소(Court of Justice of the European Union,CJEU)와 유럽인권재판소(European Court of Human Right,ECtHR)에서 공식적으로 밝혔듯, 얼굴 이미지는 개인정보로 여겨진다. 또 유럽인권재판소는 개인의 얼굴 이미지는 개인의 고유한 특성을 드러내고 다른 이들과 구별해주는, 해당 인물의 인격을 구성하는 중심요소 중 하나로 여겨진다고 규정했다. 개인의 얼굴 이미지의 보호에 대한 권리는, 그러므로 자기개발의 본질적 요소 중 하나이다.
“사생활”이라는 개념은 완벽한 정의를 내릴 수 없는 넓은 용어다. 이는 한 인간의 물질적이고 정신적인 요소를 포함하기에 개인의 물리적이고 사회적인 정체성의 다양한 측면을 포괄할 수 있다. 심지어 공적인 맥락일지라도, 사람과 다른 사람들이 상호 작용을 하는 영역이 있으며 이는 “사생활”의 영역에 속할 수 있다. 다른 맥락에서, 유럽인권재판소는 반드시 결정적인 것만은 아니지만, 사생활을 존중받을 권리의 침해를 결정하는 요소들 중의 하나로써 “프라이버시에 대한 합리적인 기대”의 개념을 사용했다. 이는 사람들이 공공장소에서 감시를 받지 않고 프라이버시를 기대할 수 있는 정도를 언급하며 사용되었다. 허나 이에 대한 관련성과 적용의 범위는 제한적으로 보인다. 비슷하게도, UN전문가들에 의하면, 공공장소에서 열리는 집회에 참가했다는 사실만으로 그들의 프라이버시 권리가 제한될 수 없다는 것을 의미하지는 않는다. 얼굴인식 기술의 발전에 따라, 대규모 데이터베이스에서 얼굴 이미지를 처리하는 것은 개인정보 뿐만 아니라 사생활의 보호의 권리에 대한 발견되지 않은 이슈가 나타날 수도 있다. 이 두 가지 권리가 절대적인 권리가 아님을 고려하여 제한될 수는 있지만, 섹션 6.2에서 설명한 것처럼, 모든 법적 개입은 적법하게 정당화되어야 하며, 어떤 경우라도 권리의 본질적이고 불가분적인 핵심은 타협의 대상이 될 수 없다.
실시간 얼굴인식 기술은 특정 인물의 신원을 알아내기 위한 목적(일-대-다 식별) 그리고 그런 이미지의 잠재적 저장을 목적으로 공공장소에서 촬영된 얼굴 이미지의 생체 정보 처리(biometric processing)를 포함한다. 따라서, 시작 단계의 얼굴 이미지들의 생체 정보 처리와 후속 단계의 영상 푸티지의 저장, 그리고 ‘감시대상자 목록’의 데이터와 비교하는 것(감시대상자 목록에 얼굴 이미지를 추가하는 것과 함께) 둘 다 개인정보의 보호와 사생활을 존중받을 권리에 대한 침해로 간주된다. 개인정보의 처리가 권리를 제한하는 것으로 간주되므로, 이를 위한 명확한 법적 근거와 합법적인 목표를 포함한 엄격한 필요성과 비례의 원칙을 지켜야 할 필요가 있다. 이러한 원칙은 모든 상황과 맥락을 고려해야 한다. 따라서, 데이터의 민감도 또는 데이터 사용 방식이 맥락에 있어 중요하다.
유럽사법재판소가 해석한 헌장 8조에 따른 기본권 보호와 중요 개인정보 보호 원칙 다음으로, 유럽연합 개인정보 보호 조약(Eu data protection acquis)에 따른 명확한 보증은 섹션 6.2에 서술된 필요성과 비례의 원칙을 더욱 활실하게 한다. GDPR의 9조 (2) (g)에 의거하여, 생체정보의 처리는 “중대한 공익을 위해 필요할 때, 추구하는 목적에 비례하는 유럽연합 또는 회원국의 법에 근거하여, 개인정보를 보호받을 권리의 본질을 존중하며 기본권과 정보주체의 이익을 보호할 적절하고 구체적인 조치들을 제공해야 한다.” 유럽연합 법 집행 지침(Law Enforcement Directive)의 10조는 조금 더 관용적인 상태이지만 이와 비슷하게 정하고 있다.
얼굴인식기술(FRT)를 목적으로한 얼굴 이미지들의 수집과 처리는 유럽개인정보보호법(European data protection law)에 엄격하게 부합할 필요가 있다. 개인정보 보호의 주요한 법적 원칙에 따라, 얼굴 이미지의 처리는 반드시 :
a) 합법적이고 공정하며 투명해야만 한다
b) 구체적이고 명시적이며 적법한 목적을 따라야만 한다 (회원국 또는 유럽연합 법에 명확하게 정의된 목적)
c) 개인정보 수집 최소화, 정확성, 저장 제한, 보안과 책임의 요구사항을 준수해야만 한다.
합법적이고 공정하며 투명할 것
투명하고 명백한 정보의 제공은, 사람들의 얼굴 이미지가 그들의 인지나 동의도 없이 공공 장소에서 카메라에 의해 수집되는 실시간 얼굴인식 기술의 맥락에서 굉장히 중요하다. GDPR과 법 집행 지침은 알 권리와 투명성의 원칙을 보장하는 조항을 포함하고 있다. 개인정보를 보호받을 권리는 얼굴 이미지를 수집당한 사람에게 적절히 알리는 것을 포함한 공정한 처리과정을 요구로 한다. GDPR의 5조 1항(article 5(1))은 “개인정보는 정보주체와 관련하여 합법적이고 공정하며 투명한 방식으로 처리되어야 한다.” 법 집행 지침의 해석(Recital 26)도 같은 것을 요구한다. 또한 알 권리는 헌장의 24조 1과 유엔아동권리협약(UN Convention on the Rights of the Child,CRC)의 12조에 의해 보호받는 아동이 그들에게 영향을 미치는 사법적이고 행정적인 절차에서 들을 수 있는 권리를 행사하기 위한 전제 조건이다. 정보의 제공은 유럽개인정보보호법 하의 투명성 요구사항일 뿐만 아니라 개개인의 존엄성을 지키는 것을 증진하는 것이기도 하다.
컨트롤러는 “명확하고 평이한 언어를 사용하여, 간결하고 투명하며 이해하기 쉽우며 쉽게 접근할 수 있는 형식으로 정보주체에게 관련된 정보를 제공하기 위해” 적절한 조치를 취해야만 한다. GDPR의 13조와 14조 그리고 법 집행 지침의 13조는 개인정보의 처리, 보관 기간, 저장된 정보에 접근을 요청할 권리, 삭제 또는 정정, 뿐만 아니라 감독 당국에 불만을 제기할 권리를 목적으로 각 개인들이 개인정보관리자의 신분과 연락처 세부사항에 관한 정보를 제공받을 수 있게끔 요구한다. 하지만, 법 집행 지침은 진행중인 조사에 대한 방해나 침해를 피하기 위해 13조 제3항의 의무에 따라서 또는 공공의 안전과 국가의 안전을 보호하기 위해 몇 가지 예외를 허용하고 있다. 얼굴 인식 기술을 고려할 때, 이러한 경우들은 매우 중요하다. 얼굴 인식 기술을 사용하기 위해 현재 논의되고 언급되는 잠재적 목적들(예를 들어 테러리스트 또는 잠재적 범죄자를 수색하는 경우 등)은 오로지 사전 동의 없이 또는 옵트 아웃할 가능성이 없는 경우에만 가능할지도 모른다. 이런 이유로, 개인정보 처리에 대한 동의와 알 권리와 같은 기본권에 대한 제한은, 저장된 개인정보에 접근할 수 있는 권리의 제한과 함께 강력하게 정당화될 필요가 있다.
유럽개인정보보호위원회(European Data Protection Board, EDPB)는 회원국은 영상 감시 장치의 존재를 개개인에게 알려야 할 의무가 있다는 것을 명확히 한다. 이러한 정보는 감시받는 장소에서 적당한 거리의 경고 표지판을 통해 제공되어야 하며, 또한 감시 당하는 지역에 들어가지 않고도 접근할 수 있는 정보를 제공해야 한다. 이는 안내지, 감시에 대한 자세한 정보를 담고 있는 웹사이트 링크, 추가적인 정보를 받기 위한 전화번호 또는 영상 장치의 장소를 표시해둔 앱 등을 포함할 수 있다.
얼굴에서 생체 특성을 추출해내는 과정은, 얼굴을 다른 방식으로 처리할 수 있게 함으로써 그새로운 기술적 이용가능성으로 인해 개인정보에 대한 침해의 수준을 바꾼다. 그 결과, 데이터베이스 속 얼굴 이미지의 이용가능성은, 추출된 특성이 실제로 감시대상 목록과 비교하는 식으로 작동하는지 등의 여부와는 관련없이 얼굴 이미지에서 고유한 특성을 추출하는 소프트웨어를 적용하는 것과는 차이가 있다. 함부르크시의 개인정보보호책임자(Data Protection Commissioner of the City of Hamburg)의 논증에 따라, 법 집행을 목적으로한 당국의 권리 침해와 정보주체의 자기결정권(the right to informational self-determination) 사이의 이전에 법적으로 명시된 균형이, 후자의 손해-정보주체의 손해로 확고하게 바뀌었다. 뿐만 아니라, 개인정보보호위원(Date Protection Commissioner)은 얼굴 인식 기술이 완전히 새로운 방식의 침해와 피해를 만들어낼 것으로 보고 독립적이고 구체적인 규제가 필요하다고 보았다.
구체적이고 명시적이며 적법한 목적
목적 제한의 원칙은 유럽 개인정보보호법의 핵심적인 원칙이다. 이는 헌장 8조 2항(article 8 (2))과 GDPR 5조 1항의 b(article 5 (1) (b)), 그리고 법 집행 지침 4조 1항의 b에도 나와있다. 이는 개인정보가 반드시 법에 명시적으로 정의된 구체적 목적으로만 처리될 것을 요구한다. 관련자는 자신의 정보가 처리될 목적을 예측할 수 있어야만 한다. 이러한 원칙은 얼굴 인식 기술을 통한 정보 처리의 맥락에도 동등하게 적용된다. 목적 제한의 원칙은 또한, 이러한 정보의 무제한적인 저장의 금지를 의미한다.
이러한 맥락에서 얼굴 인식 기술을 통한 얼굴 이미지의 처리 목적은 반드시 엄격하게 정해져야만 한다. 이는 다양한 대규모 EU데이터베이스에 법 집행 목적으로 접근하는 것에 대한, EU법으로 확립되어있는 목적 제한이 본디 테러리즘이나 다른 형태의 심각한 범죄를 방지하기 위한 목적으로 구성된 것처럼 높은 기준을 가져야만 한다. 추가적인 목적으로는, 실종된 사람이나 아동을 포함한 범죄의 피해자를 식별하기 위해 사용될 수도 있다.
심각한 범죄와 테러리즘의 방지, 공공의 안전 개선, 불법 이주 방지를 목적으로 얼굴 인식 시스템을 비롯한 IT시스템을 설계하는 것에는 개인정보(얼굴 이미지)가 예상했던 목적과는 다르게 사용될 수 있다는 위험성(function creep)이 존재한다. 대규모 EU데이터베이스의 상호 운용가능성을 보아, 얼굴 이미지 인식 기술이 대규모 EU데이터베이스에 불법적으로 접근할 수 없도록 반드시 보호해야할 필요가 있다.
개인정보 수집 최소화, 정확성, 저장 제한, 보안과 책임
개인정보는 반드시 안전하게 수집되고 처리되고 저장되어야만 하며, 불법적인 개인정보 처리를 반드시 방지하고 탐지해야 한다. 이와 관련한 문제는 얼굴 인식 기술에 의해 처리된 개인정보의 사용과 허가받지 않은 접근을 방지하는 것이다. GDPR의 32조와 법 집행 지침의 29조는 개인정보가 공개되거나, 허가받지 않은 사람이나 기관이 접근하는 것을 방지하기 위해 필요한 조치를 취할 것을 회원국에게 요구한다. 만약 얼굴 인식 시스템이 추후에 다른 IT시스템과 상호운용될 수 있도록 만들어진다면, 이런 시나리오에서 목적 제한을 보장하는 것은 특히 어려울 것이다. 잠재적인 개인정보 유출을 방지하기 위해, 현재 진행중인 연구는 생체정보의 프라이버시를 보호하고 데이터 보안을 강화하는 방법을 모색하는 것으로 보인다. 현재의 연구는 생체정보 식별자를 보호하기 위한 기술적 방안을 평가한다.
유럽연합의 법은 개인정보 컨트롤러로 하여금 설계 단계에서의 개인정보 보호를 요구로 한다. 이는 관계된 사람들의 권리를 보호하기 위해 보호장치를 마련하기 위한 조치를 취해야 할 필요가 있다는 말이다. 결과적으로, 얼굴 인식 기술의 사용을 계획할 때, 권리를 보호하기 위한 완전히 준비된 분석, 계획 그리고 과정이 시작부터 이루어져야 한다. GDPR과 법 집행 지침에 따라, 얼굴 이미지의 사용은 개인정보보호기구(Data Protection Authority,DPA)과의 사전 협의를 포함해 개인정보보호영향평가(Data Protection Impact Assessment,DPIA)를 필요로 한다. 개인정보보호영향평가는 얼굴 인식 기술의 사용과 관련된 법적 책임과 위험을 종합적으로 평가하기 위한 중요한 도구이며, 이는 철저히 수행되어야 할 필요가 있다. 이 점에 있어서 개인정보보호기구는 법에 기반해 독립적으로 움직일 수 있는 기구라는 점에서 기본권을 보호하는 데 결정적인 역할을 한다.
실제로, 얼굴 인식 기술에 대한 시험은 영향 평가를 수행하기 위해 상당한 노력을 기울였다. 독일의 시험에는, 시험의 목적에 개인정보보호기구와 함께 구성된 개인정보 보호 계획이 포함되었다. 영국 사우스 웨일즈 경찰의 영향 평가 초안 또한 발표되었고, 런던 광역 경찰의 평가도 마찬가지였다. 프랑스의 경찰은 시험 시행 몇 주 전에, 경찰의 시험 수행 계획에 대해 개인정보보호기구에게 알렸다.
