바이오 정보 수집·이용 실태조사

타인의 정당한 이익으로 간주되어 정보주체의 동의 없이 민감정보를 처리할 수 있는 경우로는, 정보주체가 신체적 또는 법적으로 동의를 할 수 없는 경우, 고용법과 관련하여 특별히 위험한 작업장에서 건강정보를 처리하거나 휴일 등 종교적 신념과 관련한 정보를 처리하는 경우, 정치적, 철학적, 종교적 또는 노동조합의 목적을 수행하는 재단, 단체 또는 기타 비영리 단체가 회원이나 후원자, 관련 조직에 대한 정보를 처리하는 경우(이 정보는 그 자체로 정보주체의 종교적이거나 정치적 신념을 드러낸다는 점에서 민감하다), 법률에 따라 법원이나 행정기관이 소송을 제기, 수행하거나 방어하기 위해 처리하는 경우 등이 해당한다. 이 가운데 고용법과 관련하여 적법하게 민감정보를 처리하려면 사용자가 노동자나 구직자에게 건강 상태 에 대한 자료를 직접 요청해야 한다. 고용적합성 평가, 예방의학적 요건 충족, 사회적 급여의 제공 등을 위해서는 건강검진을 실시할 수 있다. 그러나 ｢개인정보 보호법｣은 모든 생체인식 정보를 민감정보로서 포함하고 있지 않다. 예를 들어 지문은 개인의 고유성, 동일성을 나타내고 정보주체를 타인으로부터 식별가능하게 하는 개인정보이지만(헌법재판소, 2005), 현행 개인정보 보호법에서는 민감정보로 규율되고 있지 않다. 또 민족 또는 인종적 기원을 드러낼 수 있는 유전정보는 민감정보로서 보호받고 있지만, 국제 규범에서 통상 민감정보로서 보호하고 있는 민족 또는 인종적 기원에 대한 보호를 우리 법률은 명시하고 있지 않다. 어플리케이션이나 기기 등으로 수집되는 개인정보 또한 모두가 건강정보는 아닐 수 있다. 다만 진료정보인 경우이거나 직접적으로나 간접적으로 건강 상태나 위험에 대해 판단할 수 있는 원본 감지정보인 경우, 혹은 건강상태나 건강위험에 대한 결론을 도출하는 경우는 민감정보에 포함되는 건강관련 정보로서 보호될 수 있을 것이다. 이처럼 여러 법률이 생체인식 정보를 ‘생체정보’ 혹은 ‘바이오 정보’로 서로 다르게 규정하여 흩어져서 규율하고 있다는 사실은 그 용어와 규범체계상의 통일이 필요하다는 점을 역설한다. 더불어 정보통신망법 시행령에서 주의 깊게 살펴보아야 할 점은, 바이오 정보가 비밀번호와 함께 본래 일방향 암호화의 대상이었으나 ‘생체인식 정보 활용’을 위해 2014년 11월 그 보호 수준을 완화하였다는 사실이다. 이로써 생체인식 정보를 처리하는 개인정보 처리자 혹은 이 정보를 제공받은 제3자는 생체인식 정보의 암호를 복호화하여 이용하는 것이 가능해진 것이다. 위 법률들을 종합적으로 살펴보면, 바이오 정보는 일반적으로 개인정보로서의 성격을 가지기 때문에, 개인정보 보호에 관한 제반 규정들이 적용된다. 즉 개인정보의 수집·이용·제공에 관한 원칙적 규정 및 개인정보의 기술적·관리적 보호조치 등 제반 개인정보 보호규정들이 바이오 정보에도 동일하게 적용된다. 건강관련 정보나 유전정보 등 일부 정보의 경우에는 민감정보로서 규율된다. 바이오 정보의 프라이버시 침해 등 인권 침해 우려는 이미 오래전부터 제기되어 왔지만, 이에 대응하기 위한 법제도의 개선은 별다른 진척이 없는 상황이다. 정보통신부가 2005년 및 2007년에 가이드라인을 발표하였고, DNA 정보 수집을 목적으로 한 법률, CCTV 규제에 대한 내용이 ｢개인정보 보호법｣에 들어가 있을 뿐, 바이오 정보에 초점을 맞춘 별도의 법적 규제는 없는 상황이다. 지난 2016년 3월 16일, 금융보안원은 ‘바이오 정보 사고사례 및 대응방안 조사’ 보고서를 발표하였는데, 이 보고서는 바이오 정보가 위조 혹은 유출된 몇 가지 사례를 제시하고 있다. 예를 들어, 지난 2014년에는 실리콘 위조지문을 통해 주민센터에서 인감증명서를 발급받아 50억 원대 부동산불법 명의 이전을 한 사례가 있었고, 독일 해커단체인 CCC는 구글에서 찾은 푸틴 러시아 대통령의 사진으로 홍채를 복제할 수 있음을 증명하기도 했다. 지난 2015년에는 미국 연방 인사관리처 전·현직 공무원 개인정보 2,200만 건과 함께, 지문정보 560만 건이 유출되기도 했다. 아직 바이오 정보가 활용되는 초기임을 생각하면, 그 활용도가 높아질수록 바이오 정보의 유출과 위조 등은 증가할 것으로 예상된다. 생명윤리법에서 ‘익명화’(匿名化)란 매우 핵심적인 인체유래물의 보호수단이고, 그 방법은 개인식별정보를 영구적으로 삭제하거나, 개인식별정보의 전부 또는 일부를 해당 기관의 고유식별기호로 대체하는 것이다(제2조 제19호). 그런데 개인식별정보의 전부 또는 일부를 기관의 고유식별기호로 대체한다는 것은, 이 정보가 해당 기관에서 보유한 고유식별기호와 결합하면 개인이 식별되는 상태라는 의미이다. 이는 ｢개인정보 보호법｣에서 ‘다른 정보와 쉽게 결합하여 개인을 식별할 수 있는 정보’도 개인정보로서 보호하고 있다는 점과 큰 차이를 보인다. ｢개인정보 보호법｣은 익명화를 ‘특정 개인을 알아볼 수 없는 형태’, 즉 직간접적으로 더 이상 개인정보로 규정할 수 없는 상태로서 규정하고 있다(제18조 제2항 제4호). 특히 빅데이터 시대에는 가명 등 비식별화 처리를 하였더라도 다른 데이터셋을 결합하는 경우 개인의 식별 가능성이 매우 높아진다. 이런 상황에서 대체 등 특정한 방법으로 처리하였다는 이유로 민감한 개인정보에 대한 보호조치를 다한 것으로 간주하는 생명윤리법의 접근방식은 다소 위험하다 아니할 수 없다. 현행 개인정보 보호법은 CCTV와 같은 영상정보처리기기에 대한 규정을 두고 있지만, 통합관제센터, 블랙박스, 바디캠, 드론 등 그 규제 대상에서 제외되어 있거나 수집된 영상정보를 얼굴인식 기술을 사용하여 분석하는 것에 대해서는 규율하고 있지 못하다. CCTV외 영상정보처리장치를 규율할 수 있는 내용을 포함하는 한편, CCTV 등 영상정보처리장치가 한정된 목적으로만 사용되고 목적 외 용도로 사용되지 못하도록 엄격하게 제한할 필요가 있다. 또한, 지능형 CCTV 등 진화하는 영상정보처리기기에 의한 개인정보 수집 및 얼굴인식 기술은 기존의 영상정보 수집에 비해 프라이버시에 대한 침해 수준이 높기 때문에 대상이 특정되지 않은 무차별 검색이나 실시간 검색 등은 보다 엄격하게 규제할 필요가 있다. CCTV의 목적 외 이용과 관련하여 또 하나의 큰 쟁점은 ‘통합관제센터’ 의 운영이다. 지방자치단체에서 설립한 CCTV는 본래 시설안전, 주차단속 등 그 설치 목적별로 수집 및 운영되고 있었다. 그런데 2011년 1월, 당시 안전행정부는 2015년까지 전국 230개 모든 지방자치단체에 CCTV 통합관제센터 구축을 지원하겠다고 밝히고 <지방자치단체 영상정보처리 기기 통합관제센터 구축 및 운영 규정>을 제정하여 시행해오고 있다. 행정자치부와 한국정보진흥원이 운영하는 영상정보자원 지원센터에 따르면, 불법주정차단속, 불법 쓰레기 투기 단속, 방범, 하천감시, 문화재보호, 농수산물 도난 예방, 초등학교 방범 목적 등으로 설치된 CCTV 영상들이 통합관제 시스템을 통해 통합되고 관리 된다. 2014년 장하나 의원이 진보네트워크센터와 함께 전국 지방자치단체 101곳의 CCTV통합관제센터의 운영 현황을 전수 조사한 결과 전국 대부분의 통합관제센터에서 위법을 저지르고 있었던 것으로 나타났다. 전체 관제센터의 84%에 경찰이 파견되어 있는데, 이 자체가 제3자에 대한 개인 영상정보의 실시간 송출 및 상시 관제행위로서 「개인정보 보호법」 위반이라는 것이다.