바이오 정보의 민감성과 유출 시 복구 불가능성을 고려하여, 이를 민감정보로 규정하고 법적·제도적 보호 체계 및 감독 기구의 독립성을 강화해야 한다. doc_id PCY_201702100441471731_14

이처럼 신체에 각인되어 있는 특성상 유출될 경우 쉽게 대체되거나 회복이 불가능하다는 점에서, 바이오 정보는 특징정보를 생성한 후 처리 목적을 달성한 것으로 보고 원본정보 삭제를 원칙으로 삼을 필요가 있다. 특수한 경우 원본정보의 보관이 가능하지만 이는 식별자를 구분하여 저장하도록 한다. 제20대 국회에서 발의된 개인정보 보호법 일부개정법률안(강효상의원 대표발의, 의안번호 2030)에서는 비록 생체인식 정보에 국한되어 있기는 하지만 “개인정보처리자는 생체정보를 보관함에 있어 가공되지 아니한 원본정보를 보관하는 경우에는 그 원본정보와 성명·주민등록번호 등 정보주체를 식별할 수 있는 대통령령으로 정하는 개인정보를 별도로 분리하여 보관하여야” 하고(안 제24조의3 제2항), “개인정보처리자가 생체정보의 원본정보로부터 특징정보를 생성한 경우에는 지체 없이 해당 원본정보를 복구·재생할 수 없도록 파기하여야 한다. 다만, 다른 법률에서 허용하는 경우 또는 정보주체의 동의가 있는 경우에는 해당 원본정보를 보관할 수 있다”고(안 제24조의3 제3항) 규정하고 있다는 점을 참고해볼 수 있다. 생체인식 정보를 민감정보로서 규율하고 있는 국가가 증가하고 있을 뿐 아니라 유럽연합은 전체적으로 GDPR을 통하여 생체인식 정보를 민감정보에 포함하였다. 이로써 유럽연합은 생체인식 정보, 유전정보 및 진료정보를 포함한 건강관련 정보에 대하여 통일된 규범을 적용하고 있다. 우리 ｢개인정보 보호법｣에서는 정보주체에게 별도로 동의를 받은 경우이거나 법령에서 특별히 요구하거나 허용하는 경우에만 민감정보를 처리할 수 있다. 유전정보 및 건강관련 정보는 민감정보에 포함되어 있으나 생체인식 정보는 포함되어 있지 않다. 이에 생체인식 정보를 ｢개인정보 보호법｣상 민감정보로 포함하여 유전정보 및 건강관련 정보 등 여타의 바이오 정보와 통일적인 규율을 적용할 수 있어야 한다. 나아가 생체인식 정보를 규정한 개별 법률에서도 민감정보에 부합하는 강화된 기술적·관리적 보호수준을 적용해야 한다. 해외의 보호 수준을 감안할 때 바이오 정보의 수집, 이용, 결합, 제공 및 판매 등 처리와 관련한 국내 법률의 규범은 다소 모호한 수준이다. 반면 세계 여러 나라가 생체인식 정보, 유전정보, 건강관련 정보를 민감정보로서 특별한 보호를 규정하고 있는 경향은 우리에게 시사하는 바가 크다. 우선 생체인식 정보와 관련하여 그 민감성에 부합하는 보호규정을 정비할 필요가 있다. 특히 여러 법령에서 서로 다른 용어로 정의하고 있는 ‘생체인식 정보’의 법령용어를 정비하여야 한다. 또한 생체인식 정보를 비롯하여 유전정보 및 건강관련 정보 등 바이오 정보 전체적으로 통일적인 규율을 적용할 수 있어야 한다. 바이오 정보에 대한 보호를 위하여 현행 ｢개인정보 보호법｣상의 민감정보에 대한 보호 조치를 제고할 필요가 있다. 특히 개인정보처리자가 민감정보의 처리를 위해 정보주체로부터 동의를 구할 때 그 동의 요건을 보다 명시적으로 규정할 필요가 있다. 사전 혹은 사후적으로 바이오 정보의 오남용을 방지하기 위해서는 이를 제도적으로 감독하는 체제가 수립될 필요가 있다. 라트비아, 룩셈부르크, 몬테네그로, 루마니아, 우크라이나, 프랑스 등 여러 국가가 바이오 정보의 처리에 대하여 감독기구들이 사전 혹은 사후적으로 강력한 규제를 하고 있다. 우리의 경우에도 바이오 정보의 처리가 정보주체의 권리에 특별한 위험을 초래할 것으로 보일 때 이를 특정하여 개인정보 보호위원회 등 감독기관에 의한 사전 심의를 거치도록 제도화할 필요가 있어 보인다. 다만 현재 ｢개인정보 보호법｣에 의해 대통령 산하에 설치된 개인정보 보호위원회의 경우 그 예산 및 인사에 대한 권한이 정부에 종속되어 있어 충분히 독립적으로 활동하기에 한계가 있다. 국가인권위원회는 2013년 <정보인권 보고서>에서 “개인정보보호위원회를 명실상부한 독립기구로 재편” 할 것을 제언한 바 있다. 바이오 정보 보호의 민감성에 비추어 가장 중요한 것은 사전 예방이다. 그런 의미에서 현재 제도적 영향력을 크게 발휘하고 있지 못한 개인정보 영향평가 제도 또한 실질화하여 바이오 정보의 처리에 적용할 수 있어야 한다. 더불어 프라이버시 중심설계(Privacy by design) 및 프라이버시 중심설정(Privacy by default)에 대해 적극적으로 도입할 필요가 있다. 실효성을 거두고 있지 못한 개인정보 감독기구의 독립성 강화도 필수적이다. 개인정보 영향평가의 강화, 프라이버시 중심설계 및 설정 및 감독 강화는 유럽 제29조 개인정보보호 작업반은 물론 국가인권위원회도 2013년 <정보인권 보고서>에서 제언한 바 있다. 단기적으로는 위와 같은 내용으로 현행 개인정보 보호 관련 법령을 정비하여 생체인식 정보를 비롯한 바이오 정보를 보호할 수 있겠다. 장기적으로는 바이오 정보 보호에 관해 특화된 법률을 마련할 필요도 있어 보인다. 바이오 정보가 처리되는 모든 생애주기에 있어 목적제한, 최소수집, 비례성, 적합성, 투명성, 안전장치가 보장될 필요가 있다. 개인정보의 수집·이용과 관련하여 ｢개인정보 보호법｣은 구체적으로 개인 정보를 수집하여 그 수집 목적의 범위에서 이용할 수 있는 경우를 다음과 같이 열거하고 있다. 첫째, 정보주체의 동의를 받은 경우, 둘째, 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, 셋째, 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, 넷째, 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우, 다섯째, 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우, 여섯째, 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우이고 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다(제15조 제1항). 생체인식 정보의 활용도가 높아지면서 그 위험성에 대한 우려도 커지고 있다. 생체인식 정보가 본인 식별이나 인증을 위해 활용되는 것은 그 유일성, 불변성 때문인데, 바로 그와 같은 특성 때문에 개인의 프라이버시에 미치는 영향도 치명적일 수 있기 때문이다. 즉, 유출되었을 경우 변경할 수 있는 비밀번호나 신용카드 등과 달리, 생체인식 정보는 한번 유출되면 그 피해를 복구하는 것이 거의 불가능하다. 이러한 문제에 대응하기 위하여 재발급 가능한 템플릿(특징정보) 기술이 개발되고 있는데, 이는 템플릿 정보가 유출되더라도 이를 폐기하 고 새로운 템플릿을 재발급 가능하도록 하는 기술이다. 재발급 가능한 생체인식(Renewable Biometrics) 기술이라고도 불리며, ISO/IEC 표준으로도 제정된 바 있다(김동진, 2016).