법무부·과기부의 얼굴인식인공지능식별추적시스템 구축의 부당, 위법성에 대한 공익감사청구

▣ 붙임

법무부·과기부의 얼굴인식 인공지능식별추적시스템 구축 사업에 대한 공익감사청구 주요 내용

1. 감사청구 제목

• 법무부·과기부의 얼굴인식 인공지능식별추적시스템 구축 사업에 대한 공익감사청구

2. 감사대상기관

• 법무부, 과학기술정보통신부, 정보통신산업진흥원

3. 청구단체

• 민주사회를 위한 변호사모임, 참여연대

4. 감사청구 주요 내용

1) 배경

• 2021.10.21. 한겨레 보도 등을 통해 법무부, 과기부가 2019년부터 ‘인공지능식별추적시스템구축 및 실증 공모사업’을 위해 법무부가 출입국심사과정에서 수집, 보유하고 있는 내·외국인 안면 데이터 약 1억 7천만 건을 정보주체 동의없이 민간기업들에게 인공지능 학습 및 알고리즘 검증용으로 제공한 사실이 드러남.
• 또한 2021년부터 이른바 ‘리얼 데이터’를 얻는다는 목적으로 인천공항 내 CCTV를 추가로 설치하여 내외국인 영상을 취득하고 있는 것으로 알려짐.
• 얼굴정보는 한 개인의 일생 동안 거의 변화가 없는 유일무이한 정보이자 민감정보로서 법률에서 특별한 보호를 요구하고 있음에도 이와 같이 정보주체의 동의는 물론이고 고지도 없이 민간기업에 제공, 처리되었다는 사실은 충격과 분노를 불러일으켰으며 시민사회단체들은 대규모 인권침해이자 개인정보보호법 등 관련 법령의 위반이라고 지적하며 사업 중단을 요구함.
• 이에 대해 법무부와 과기부는 한차례 보도자료를 통해 민간기업이 법무부가 공적 목적으로 수집, 보유한 얼굴데이터를 인공지능 개발 학습 및 검증에 활용한 것을 부인하지 않았으나, 출입국심사라는 본래 목적과 관련된 업무처리와 이익을 위한 것으로 별도 본인 동의가 필요하지 않는 개인정보 처리위탁에 해당하므로 개인정보 보호법령 등을 위반하지 않았다고 주장하였음.
• 그러나 출입국심사과정에서 본인확인을 위해 수집한 얼굴데이터를 인공지능 식별추적 시스템을 고도화하는 학습데이터 등으로 사용한다는 것 자체가 본래 수집목적을 벗어난 것일 뿐 아니라, 얼굴데이터를 이용하여 알고리즘을 고도화한 민간기업들이 개인정보처리에 독자적인 이익을 가지고 있기 때문에 이를 위수탁관계로 처리하는 것은 명백히 위법임.
• 이에 관련 자료 등을 검토하여 사업의 추진단계부터 수행과정 및 성과관리, 사회적 논란에 대한 대응 과정 전반에 걸쳐 사업의 필요성, 절차적 합법성 및 법적 타당성 등에 대해 살펴본 바, 업무처리에서 위법, 부당성이 드러나거나 의심되어 공익감사를 통해 밝혀져야 할 필요성이 있어 감사청구에 이르게 됨.

2) 청구내용

01. 사업추진 경위와 추진 방식, 기술개발목표에서의 위법, 부당성

• 법무부, 과기부의 보도자료(2021.10.21.)와 정보통신산업진흥원(이하, ‘NIPA’)이 발간한 이슈리포트(2020.12.31.)에서 밝힌 사업추진 목적이 서로 다름.

• • 법무부, 과기부 보도자료 : 기 운영 중인 자동출입국심사시스템을 인공지능 기술을 활둉하여 고도화하여 국민 편의성 및 안전성을 제고하기 위함.
  • NIPA 이슈리포트 : 인공지능 기반 얼굴인식 기술을 개발하려는 국내기업들이 대규모 안면데이터 및 이상행동 데이터를 확보하는 데 필요한 정보주체의 동의, 개인당 수집, 가공비용과 관리책임의 부담 없이 정부가 보유한 고품질 대용량의 안면데이터 및 이상행동 데이터를 효과적으로 취득하고 학습할 수 있도록 지원하려는 것

• 이번 인공지능식별추적시스템 구축 사업은 정보주체의 개별적 동의를 받기 위한 비용과 법적 리스크를 회피하면서 안면인식 기술을 개발하고자 하는 관련 기업들의 요구에 부합하는 사업임을 알 수 있음.
• 과기정통부가 기업들의 이해관계에 따라 공공에서 확보한 대규모 얼굴데이터를 민간기업이 활용할 수 있는 방안을 모색하는 과정에서 법무부가 출입국심사과정에서 수집하는 내외국인의 대규모 얼굴데이터를 대상으로 선정하여 공동으로 사업을 추진하게 된 것으로 보임. 또한 공개모집 방식을 통한 특정 업체 선정 방식이 아닌 공모에 지원한 다수 민간기업들을 선정한 뒤 이들이 보유한 알고리즘을 법무부가 제공하는 데이터를 통해 학습시키고 이를 실증, 검증하도록 하면서 정부기금인 ‘정보통신진흥기금’을 지원하는 방식을 택한 것은, 법무부가 제시한 출입국고도화 시스템 개발이라는 목적보다는 다수의 얼굴인식인공지능알고리즘 개발업체에 학습기회를 제공 시간과 비용을 절감해 주겠다는 목적에 더 큰 비중이 있는 것으로 보임.
• 이에
• • 이 사건 사업의 추진과정에서 기업들로부터 안면인식기술 개발을 위한 공공데이터 활용 요구 및 로비활동이 존재했는지
  • 과기정통부 및 NIPA에서 법무부의 출입국심사 관련 얼굴데이터를 대상으로 사업을 추진하게 된 경위는 어떠한지
  • 법무부는 과연 자체적으로 생체정보를 활용한 출입국관리시스템을 고도화할 필요성에 대해 검토하거나 구체적인 사업추진 계획을 수립했던 사실이 있는지
  • 인공지능 식별추적시스템이 지닌 인권침해(프라이버시 침해, 차별 등) 위험성에 대해 법무부 및 과기정통부 내부에서 검토한 사실이 있는지
• 등에 대해 감사를 통해 밝혀야 할 것임.

02. 사업수행과정에서 드러난 위법, 부당성

• 얼굴정보와 같은 생체인식정보는 유일성, 불변성의 특성이 있어 유출 시 피해를 복구하기 어렵고 악용 가능성도 높으며, 이러한 점에서 개인정보보호법 제23조 및 시행령 제18조에서는 이를 민감정보로 보고 특별히 더 강하게 보호하고 있음.
• 개인정보보호위원회가 2021. 9. 발간한 「생체정보보호 가이드라인」에서도 얼굴인식정보 등 생체인식정보를 이용한 사업을 도입하기 전, 예상되는 편익에 비하여 개인정보 침해 위험성이 크지 않은 지 고려해야 한다는 비례성 원칙을 비롯해 적법성, 목적제한, 투명성, 안전성, 통제권 보장의 6대원칙을 규정하고 있음.
• 법무부 과기부가 2021.10.21. 보도자료에서 밝힌 바에 따르면 이 사업수행 전 2019년 복수의 법무법인을 통해 출입국관리법, 개인정보보호법 관련 법률자문을 거쳐 사업을 추진하였다고 주장하고 있음.
• 이에
• • 개인정보보호 관련 검토가 적절하고 충분했는지 여부
  • 동의없는 개인정보 제3자 제공을 위수탁관계로 처리한 업무처리의 위법성
  • 위수탁관계로 처리하는 경우 필요한 수탁자 공개의무, 관리감독 의무이행, 보안조치 수준 등 법준수사항을 제대로 시행했는지 여부
  • 정보주체 또는 이용자의 개인정보 보호 필요성에 미치는 영향을 충분히 제대로 검토하였는지 여부와 이에 대한 충분하고 적정한 예방책을 마련하였는지에 대해
• 감사를 통해 밝혀져야 할 것임.

03. 참여기업의 증가 경위 및 선정기준의 적절성

• 2020년 공모안내서에서는 50억 내외의 정부지원규모에 8~10개 내외의 컨소시엄 구성 계획이었으나 실제 13개 기업이 참여함. 얼굴정보라는 민감정보를 다루는 기업이 많을수록 정보주체의 권리에 미치는 영향이 심각해지므로 실제 사업목적에 부합하는 적절한 기준과 요건을 통해 참여업체가 선정되었는지 여부가 감사를 통해 밝혀져야 할 것임.
• 또한 2019년 사업 공모안내 당시에 제공 데이터의 양이 200만 장인 것에 비해 실제 제공된 데이터 양인 1억 7천만 장으로 급격하게 증가함. 법무부는 이 사건 사업을 위해 수집, 이용된 대상정보주체의 수가 얼마인지 산출하기 어렵다는 입장인데, 실제로 얼마나 많은 정보주체가 이 사건 사업으로 권리침해를 당하였는지 그 실태 확인이 필요함.
• NIPA보고서에 의하면 인천공항 출입국 관리구역에 카메라를 추가로 400대 설치하여 데이터를 취득한 뒤 기업들이 가공, 학습할 수 있도록 하였다고 기재되어 있음. 법무부가  추가로 CCTV CCTV 카메라를 설치하고 내외국인의 영상정보를 취득, 이용하였다면, 그에 따른 정보주체의 권리침해여부와 수준을 확인하기 위해서 해당 영상정보처리기기의 설치와 정보취득이 개인정보보호법 제25조의 요건과 절차를 충족하였는지, 그밖에 법령위반 사실이 없는지도 감사를 통해 밝혀져야 할 것임.

04. 사업성과의 귀속 여부

• 이번 인공지능식별추적시스템은 법무부 출입국심사시스템의 고도화를 명분이지만 실제로는 개별 민간기업들의 기술개발을 위해 공공의 민감정보를 제공하는 것이 보다 근본적인 목적으로 보임. 사업 수행 결과 실제 법무부의 출입국 심사시스템 고도화라는 목표를 달성하였는지, 참여 기업들이 학습 데이터 활용과 실증, 검증과정을 통해 개발한 기술결과물을 어떤 목적으로 어떻게 활용하고 있는지는 이 사건 사업이 법무부의 필요와 이익을 위한 것이라기보다 기업의 이익에 복무하는 측면이 크고 기업들에게 정보처리에 대한 독자적 이익이 있다는 것이 밝혀지면, 법무부와 과기부가 주장하는 단순 위탁업무수행으로 보기 어렵기 때문임.

• • 따라서 이 사업의 수행결과 및 그 성과물은 무엇이며, 법무부가 밝힌 출입국심사시스템 고도화라는 목표를 어느 정도 달성했는지, 참여기업들이 학습데이터 활용과 실증, 검증과정을 통해 개발한 기술 결과물이 무엇이며, 어떤 목적으로 어떻게 활용하고 있는지, 기업의 개별 이익으로 귀속되었는지 여부에 대해서도 감사를 통해 밝혀야 할 것임.