개인정보위 "위탁사실 비공개"…'법무부 얼굴 정보 무단사용' 논란 매듭 [IT돋보기]

[아이뉴스24 김혜경 기자] 법무부가 출입국 심사 고도화를 위해 내·외국인의 안면 정보를 인공지능(AI) 개발에 활용한 것은 '목적 범위 내 이용'에 해당한다는 판단이 나왔다. 다만 개발업체와 위탁계약을 맺으면서 관련 사실을 홈페이지 등을 통해 명시하지 않은 점은 개인정보보호법 위반으로 봤다.

개인정보보호위원회(위원장 윤종인)는 27일 정부서울청사에서 제7회 전체회의를 열고 법무부 인천공항 출입국·외국인청에 대해 과태료 100만원을 부과했다. 개인정보위는 지난해 말 법무부와 과학기술정보통신부 등 관계기관과 사업 참여기업을 대상으로 조사에 착수한 바 있다.

법무부는 과기정통부와 업무협약을 체결한 후 2019년부터 'AI 식별추적 시스템 개발사업'을 추진했다. 해당 사업은 'AI 안면인식'과 'CCTV 활용 출입국 심사장 이상행동 추적' 등 2개 영역으로 구성됐다. 이중 CCTV 활용 사업은 사업이 중단된 지난해 10월까지 CCTV 영상정보가 활용되지 않은 것으로 나타났다.

조사결과 개인정보위는 해당 사업 참여업체가 법무부가 수집한 내국인 5천760만건‧외국인 1억2천만건의 개인정보를 AI 알고리즘 학습에 이용한 사실을 확인했다. 수집한 개인정보에는 일방향 암호화를 수행한 여권번호와 국적, 생년, 성별, 안면 이미지 정보 등이 포함됐다.

법무부는 서버 외부로 개인정보가 반출되지 않도록 조치했다고 밝혔다. 위원회에 따르면 현재까지 유출된 개인정보는 없으며, AI 학습에 활용된 정보도 데이터베이스에서 모두 삭제된 것으로 확인됐다.

우선 위원회는 AI 학습에 활용된 안면 정보 등은 민감정보라고 판단했다. 개인정보보호법 제23조에 따라 정보주체의 동의 또는 명시적 법적 근거가 필요하다. CCTV 영상정보 내 특정 개인의 특징점을 추출하는 행위도 민감정보 처리에 해당되지만 조사결과 영상정보가 실제로 이용되지 않았으므로 위법 여부를 판단하지 않았다.

안면 정보 등을 출입국 심사 AI 개발에 활용한 것은 개인정보 수집‧이용 목적 범위에 해당한다고 봤다. 출입국관리법의 목적인 '안전한 국경관리'를 달성하기 위해 관련 개발이 이뤄졌고 당초 목적에 따라 개인정보가 이용됐다는 것.

개인정보가 출입국관리법상 근거가 없는 다른 목적으로 사용되려면 정보주체의 동의를 받거나 별도의 법적근거를 마련해야 한다고 판단했다.

법무부가 AI 개발업체와 위탁계약을 체결한 것은 보호법 제26조에 적시된 '개인정보 처리위탁'에 해당된다. 출입국 심사 목적으로 계약이 체결됐다는 점과 해당 기업의 연구‧개발이 법무부의 관리 하에 이뤄졌으며, 위탁받은 범위 내에서만 개인정보가 처리됐다는 점을 고려했다.

다만 위원회는 위탁계약을 체결하면서 관련 사실을 외부에 공개하지 않은 것은 보호법 26조 제2항에 위배된다고 봤다.

정혜원 개인정보위 조사총괄과장은 "수집된 개인정보를 출입국관리법상 근거가 있는 AI 학습에 이용한 것은 목적 내 이용"이라며 "위탁 여부를 따져봤을 때 위탁 과정에서 필요한 절차를 공개하지 않아 이 부분에 대해 과태료를 부과한 것"이라고 설명했다.

이어 "출입국‧외국인청이 위탁계약을 체결했으므로 법무부가 아닌 해당 기관에 과태료를 부과한 것"이라며 "보호법 26조 2항을 위반한 위탁자라는 점을 고려했다"고 덧붙였다.

윤종인 개인정보위 위원장은 "정부와 공공기관 등은 법령에 따라 개인정보를 수집·이용하는 만큼 개인정보의 이용에 관한 법적 근거를 잘 살펴야 할 것"이라며 "특히 민감정보를 처리하는 경우 정보주체의 개인정보 자기결정권이 침해되지 않도록 유의해야 한다"고 말했다.