바이오 정보 수집·이용 실태조사

유럽 GDPR의 경우 민감정보의 대규모 처리에 대해서는 개인정보 영향평가가 의무적으로 적용되어야 한다고 규정하고 있다. 우리나라에서는 국가 인권위원회가 2013년 <정보인권 보고서>에서 빅데이터 환경에서 개인정보 영향평가의 의무적 도입을 제언한 바 있다. 이에, ｢개인정보 보호법｣에 규정되어 있지만 현재 제도적 영향력을 크게 발휘하고 있지 못한 개인정보 영향평가 제도를 실질화하여 바이오 정보의 처리에 적용할 수 있어야 한다. 현재 우리 개인정보 보호법 시행령에 따르면 민감정보의 경우 5만 건 이상 처리하는 공공기관만을 대상으로 영향평가를 실시하고 있다. 침해소지가 큰 바이오 정보의 경우, 공공기관 뿐 아니라 민간기관도 영향평가를 의무화하고 그 대상 기준 또한 현재의 5만 건보다 대폭 확대할 필요가 있다. 유럽연합 제29조 개인정보보호 작업반은 2012년 의견서에서 생체인식 정보에 프라이버시 중심설계를 적용하는 문제를 상세히 다룬 바 있다(Article 29 Data Protection Working Party, 2012). 작업반은 생체인식 시스템을 설계할 때 단계별로 ① 위험 분석 혹은 영향평가에 기반한 요구사항의 특정, ② 설계가 어떻게 요구사항을 충족할지에 대한 설명과 정당화, ③ 기능검사와 보안검사를 통한 검증, ④ 최종 설계의 규제 체제 준수 확인 등의 절차를 밟아 프라이버시 중심설계를 실시할 것을 권고하였다. 또 작업반은 관련 기관별로 실시할 수 있는 프라이버시 중심설계의 유형도 제시하였다. 우선 제조업체들(manufacturers)은 신기술과 센서를 설계할 때 생체 특징정보 생성후 원본 생체정보를 자동삭제하도록 하거나, 생체 인식 기술을 저장할 때 암호를 사용하는 등으로 프라이버시 중심설계 원칙을 실시해야 한다. 프라이버시 친화적인 생체인식 기술을 개발하기 위한 노력도 필요하다. 유럽연합 제29조 개인정보보호 작업반은 2012년 의견서에서 생체인식정보의 특수성에 부합하는 기술적인 보호수단을 제시한 바 있다(Article 29 Data Protection Working Party, 2012). ▲원본정보가 아닌 특징정보의 사용 ▲중앙집중형보다 분산저장형 권장 ▲갱신과 파기 보장 ▲암호화 저장 ▲속임수 방지 ▲생체암호(Biometric Encryption) 선호 ▲목적달성 후 자동삭제 ▲목적내 데이터베이스 규모의 최소화 및 식별정보 분리 등의 기술적 보호수단은 바이오 정보 일반에도 적용할 필요가 있다. 작업반은 생체인식 정보의 유출 등 사고가 발생하였을 때 이를 대체할 수 있도록, 원본정보로부터 복수의 독립적인 특징정보가 추출될 수 있어야 한다고 강조하였다. 또 생체인식 시스템은 식별자와의 결합을 파기할 수 있는 방식으로 설계되어야 하는데 이는 때로 생체인식 정보를 갱신할 필요가 있거나 동의를 철회하였을 경우 삭제할 수 있어야 하기 때문이다. 유럽 GDPR이 ‘개인정보보호 중심설계 및 설정(Data protection by design and by default)’을 규정하고 이를 바이오 정보를 비롯한 민감정보에 적용함으로써 프라이버시 중심설계가 주요 법제도 개선 과제로 주목을 받고 있다. 국가인권위원회 또한 2013년 <정보인권 보고서>에서 빅데이터 환경에서 프라이버시 중심설계의 도입을 제언한 바 있다. 특히 신체에 각인되어 있는 바이오 정보의 특성상 이 정보에 대한 오남용은 한번만으로도 정보인권에 치명적인 침해를 가져올 수 있다는 점에서 사전적인 예방으로서 프라이버시 중심설계가 더욱 필요하다. 프라이버시 중심설계의 고안자인 카부키안 박사는 바이오 정보에 대한 프라이버시 중심설계에 대하여서도 몇 가지 안을 제시하였다. 예를 들어 일 대다수 비교(one-to-many comparison) 생체인식에 적용될 수 있는 프라이버시 중심설계로는 추적불가능한 생체암호(Biometric Encryption, BE) 기술을 들고 있다. BE는 생체인식 정보를 시스템에 저장하지 않고 생체정보와 디지털 키를 결합하거나 생체정보로부터 디지털 키를 생성하는 등 생체적으로 암호화된 키를 사용한다. 셋째, 공개적인 검색인가, 은밀한 검색인가(Transparents vs. Invisible Searches). 검문을 해서 신원확인을 하는 것은 공개적인 검색이라고 볼 수 있다. 이때 당사자는 자신이 검색 당하고 있음을 알 수 있고 문제제기 할 수 있다. 그러나 디지털 기술의 발전으로 은밀한 검색 가능성이 높아지고 있다. 수배차량 검색시스템뿐만 아니라, 지방자치단체가 운영하는 ‘문제 차량 자동검색 시스템’ 역시 당사자가 인식하지 못한 채 이루어지는 문제가 있다. 넷째, 실시간 검색인가, 사후 검색인가. (Real-time vs. After-the-Fact Searches) 실시간 위치추적과 마찬가지로 실시간 검색의 위험성이 더 크며, 이는 더 엄격한 조건 속에서 이루어져야 한다. 다섯째, 오랫동안 정착된 방식인가, 새로운 방식인가. (Established vs. Novel Use) 새로운 방식이 도입될 때는 그 영향에 대한 면밀한 검토가 필요하다. 비록 과거로부터 행해왔던 방식과 유사하더라도, 새로운 기술 시스템의 영향은 질적으로 달라질 수 있다는 점을 고려해야 한다. 중앙 데이터베이스에 집적된 바이오 정보(혹은 생체인식 정보) 뿐만 아니라, 스마트폰에 저장된 바이오 정보 역시 안전한 것은 아니다. 점점 더 많은 스마트폰에 생체인식 센서가 장착되고 있지만, 일부 스마트폰은 저장된 바이오 정보를 안전하게 저장하지 않기 때문이다. 파이어아이 연구원들은 일부 스마트폰 종류에서 대규모로 지문을 탈취하는 것을 시연한 바 있다.(IDG Tech Report, 2015) CD/ATM에 부착된 위장 카드리더기를 통해 신용카드 번호가 무작위로 유출된 범죄가 빈번히 발생한 것과 같이 위장 바이오센서를 통해 바이오 정보를 무작위로 수집하는 범죄가 발생할 가능성도 배제할 수 없다.(윤재호 등, 2016) 이렇게 유출된 바이오정보 혹은 생체인식 정보는 다시 판매되거나 신원 도용 등에 악용될 수 있다. 바이오 정보 유출은 경우에 따라 개인에게 치명적인 피해를 야기할 수도 있다. 예를 들어, 앞서 소개한 유엔난민고등판무관(UNHCR)이 난민 식별을 위해 생체인식 기술을 도입한 사례와 관련하여, 프라이버시 인터내셔널은 난민의 속성 상 데이터가 안전하게 보관되어야 할 필요성을 강조하고 있는데, 만일 난민들의 데이터가 본국 정부에 유출된다면, 난민들에게 비극적인 결과를 초래할 수도 있기 때문이다.(Privacy International, 2013) 아직 생체인식 정보의 실제 유출 사례는 많지 않지만, 향후 생체인식 기술의 보급 확대에 따라 유출의 가능성은 높아질 것이다. 한국은 대규모 개인정보 유출 사고를 수차례 경험한 바 있으며, 생체인식 정보 역시 예외가 될 수 없다. 생체인식 정보의 활용이 많아질수록 그 가치가 높아질 것이며, 이에 따라 생체인식 정보를 탈취하기 위한 시도도 많아질 것이다. 특히, 대규모 데이터베이스일수록 높은 가치를 가지기 때문에 해킹이나 내부자 유출의 위험성이 높아지며, 한번 유출될 경우에 피해도 커지게 된다. 따라서 가능한 한 생체인식 정보의 데이터베이스 구축을 피하고 분산·관리하는 방향으로 시스템을 설계할 필요가 있다.