공유하기
TMT/IP 이슈리포트 - ‘이동형 영상정보처리기기를 위한 개인영상정보 보호·활용 안내서’의 주요 내용
‘이동형 영상정보처리기기를 위한 개인영상정보 보호·활용 안내서’의 주요 내용
법무법인 대륙아주 김정은1 변호사
법무법인 대륙아주 나희수 변호사
1. 들어가며
자율주행차, 로봇, 드론 등 다양한 이동형 영상정보처리기기가 등장함에 따라, 이동형 영상정보처리기기에 관한 법령 정비의 필요성이 제기되었습니다. 이에 개인정보보호법(이하 ‘법’이라 합니다)이 개정(법률 제19234호, 일부개정 2023. 3. 14., 시행 2023. 9. 15.)되면서, 이동형 영상정보처리기기의 운영 제한에 관한 조항(제25조의2)이 신설되었습니다.
개인정보보호위원회는 위 신설 규정의 구체적인 내용을 안내함으로써 이동형 영상정보처리기기가 안전하게 활용될 수 있도록 하는 한편, 규제의 불확실성을 해소하여 기술 발전을 촉진하기 위한 목적으로 ‘이동형 영상정보처리기기를 위한 개인영상정보 보호·활용 안내서’(이하 ‘본 안내서’라 합니다)를 발간하였습니다. 이하에서는 본 안내서의 주요 내용을 설명드리겠습니다.
2. 적용 대상
본 안내서는 원칙적으로 법 제25조의2 제1항 각호에 따라 업무를 목적으로 공개된 장소에서 사람 또는 그 사람과 관련된 사물의 영상(개인정보에 해당하는 영상을 의미하며, 이하 ‘개인영상정보’라고 합니다)을 촬영하기 위하여 이동형 영상정보처리기기를 운영하는 자(이하 ‘영상기기운영자’라고 합니다)를 대상으로 합니다.
영상기기운영자에 해당하지 않더라도 영상기기운영자로부터 개인영상정보를 제공받아 이를 저장۰관리하면서 업무 목적으로 활용하는 자는 법 제2조 제5호의 개인정보처리자에 해당하므로 법상 의무를 준수하여야 합니다.
또한, 영상기기운영자로부터 이동형 영상정보처리기기의 설치나 운영 등 업무를 위탁받아 수행하는 자는 법 제25조의2 제4항, 제25조 제8항 또는 제26조 제8항에 따른 ‘수탁자’에 해당하므로, 본 안내서의 영상기기운영자의 준수사항을 따라야 합니다.
이동형 영상정보처리기기 또는 개인영상정보의 처리와 관련된 제품이나 서비스를 기획, 설계, 제조하는 자나 사적 목적으로 이동형 영상정보처리기기를 운영하는 자는 개인영상정보를 안전하게 처리할 수 있는 제품, 서비스 등을 기획, 설계, 제조할 수 있도록 또는 타인의 인격권 등 법적 권리를 보호할 수 있도록 본 안내서의 내용을 참고할 것이 권장됩니다.
3. 이동형 영상정보처리기기의 개인영상정보 처리 원칙
안내서는 법 제3조의 개인정보 보호 원칙을 기본으로 이동형 영상정보처리기기의 개인영상정보 처리 특성 등을 고려하여 아래와 같은 8대 원칙을 제시합니다.
1) 비례성: 개인영상정보 처리 목적이 정당하고 수단이 적정한지, 예상되는 편익에 비해 정보주체의 권리침해가 과도한지 등을 종합적으로 고려하여야 한다.
2) 적법성: 개인영상정보의 처리(수집·이용 등) 근거는 적법, 명확해야 한다.
3) 투명성: 개인영상정보의 처리에 관한 사항을 투명하게 공개해야 한다.
4) 안전성: 개인영상정보가 유출·훼손되지 않도록 안전하게 관리해야 한다.
5) 책임성: 영상기기운영자는 개인영상정보 처리 전반에 대한 책임을 준수하고 정보주체의 신뢰를 확보하기 위해 노력해야 한다.
6) 목적 제한: 개인영상정보 처리는 목적에 필요한 범위에서 최소화해야 한다.
7) 통제권 보장: 정보주체가 자신의 개인영상정보에 대한 통제권을 행사할 수 있는 수단을 제공하고 이를 보장해야 한다.
8) 사생활 보호: 사생활 침해를 최소화하는 방법으로 개인영상정보를 처리하여야 한다.
4. 개인영상정보 처리 단계별 준수사항
1) 기획 및 설계 단계
가) 법적 근거 확인
개인정보 수집·이용의 일반 요건에 해당하는 법 제15조 제1항 각 호의 어느 하나에 해당하는 경우(법제25조의2 제1항 제1호), 촬영 사실을 명확히 표시하여 정보주체가 촬영 사실을 알 수 있도록 하였음에도 불구하고 촬영 거부 의사를 밝히지 아니한 경우(제2호), 그 밖에 대통령령으로 정하는 경우(제3호)2에 한하여 개인영상정보를 촬영할 수 있습니다.
나) 개인영상정보의 처리 목적 명확화
법 제15조 제1항 각 호 및 법 제25조 제1항 각 호의 법적 근거와 제품·서비스를 통해 달성하고자 하는 목적 등을 고려하여 개인영상정보의 처리 목적을 명확히 설정하여야 합니다. 처리 목적은 영상기기운영자 등에게 법적 책임을 부과하는 기준이 될 수 있으므로, 제품·서비스의 이용 과정에서 발생할 수 있는 제반 상황을 충분히 고려하여 신중하게 결정할 필요가 있습니다.
다) 부당한 권리 침해 우려 및 합리적 범위 초과 여부 판단
법 제25조의2 제1항 제2호에서는 이동형 영상정보처리기기의 영상 촬영에 대한 예외적 허용 요건으로 “정보주체의 권리를 부당하게 침해할 우려가 없고 합리적 범위를 초과하지 아니하는 경우”를 명시하고 있습니다. ‘부당한 권리 침해 우려’가 있는지 여부는 ① 촬영 목적이 정당한지, ② 그 수단이 적합한지, ③ 정보주체의 권리의 성질과 내용, ④ 정보주체 권리보장의 수준 등을 종합적으로 고려하여 개별적으로 판단하여야 하며, 이 규정에 따른 허용을 주장하려는 영상기기운영자는 그 판단의 이유와 근거 등을 입증할 수 있어야 합니다.
라) 개인정보보호 중심 설계
개인영상정보 처리가 수반되는 제품이나 서비스를 개발하려는 경우 ‘개인정보보호 중심설계(Privacy by Design, PbD)’의 기본원칙을 참고하여 정보주체에게 발생할 수 있는 위험을 파악하고 이에 대한 대책을 마련해야 합니다. 국제적으로 PbD에 관한 다양한 종류의 가이드라인이 제시되어 있으며 특히 2023년에는 국제표준화기구에서 PbD 관련 국제표준을 제정한 바 있으므로 참고할 수 있을 것입니다.
2) 촬영(수집)단계
가) 사생활 보호
법 제25조의2 제2항에 따라, 불특정 다수가 이용하는 목욕실, 화장실, 발한실, 탈의실 등에서 이동형 영상정보처리기기로 사람 또는 사물의 영상(개인정보에 해당하는 경우로 한정)을 촬영하는 것은 원칙적으로 금지됩니다. 안내서는 수영장, 헬스클럽 등 장소도 사생활과 밀접하게 관련된 장소이므로 영상 촬영을 제한할 필요가 있다고 해석합니다.
나) 촬영 사실의 표시
법 제25조의2 제3항에 따라, 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상(개인정보에 해당하는 경우로 한정)을 촬영하는 경우에는 불빛, 소리, 안내판, 안내서면 등 수단이나 방법으로 정보주체가 촬영 사실을 알 수 있도록 표시하여야 합니다.
다) 가능한 익명·가명 처리
익명·가명처리된 영상을 통해서도 업무 목적 달성이 가능한 경우에는 가급적 익명·가명처리를 통해 영상을 처리하는 것이 바람직합니다. 예를 들어, 산불감시, 교통흐름 확인 목적 등의 경우 익명·가명처리하는 것이 권장됩니다.
라) 정보주체의 촬영 거부 의사 존중
법 제25조의2 제1항 제2호에 따라, 영상기기운영자가 업무 목적의 영상 촬영 시 정보주체가 촬영에 대한 거부의사를 표시하고 촬영 중단이나 삭제 등을 요청하는 경우에는 이에 따라야 합니다. 다만 자율주행차 등이 영상을 촬영하는 경우에는 정보주체의 의사 파악이 어려울 수 있고, 거부 의사가 파악되더라도 그에 따라 주행을 중단할 경우 다른 사람의 생명·신체에 대한 위험이 발생할 수 있습니다. 따라서, 자율주행차 등을 운영하는 영상기기운영자는 주행 완료 후 필요한 영상을 제외한 나머지를 삭제하고, 필요한 영상이더라도 익명·가명처리하는 것이 권고됩니다.
3) 이용 및 제공 단계
가) 목적 범위 내 이용·제공
영상기기운영자는 개인정보보호법 제15조, 제17조, 제18조의 일반원칙에 따라서 촬영된 개인영상정보를 목적 범위 내에서 이용·제공하여야 합니다.
나) 추가적 이용·제공
영상기기운영자는 법 제15조 제3항 및 제17조 제4항에 따라 당초의 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 안전성 확보에 필요한 조치를 하였는지 여부 등을 종합적으로 고려하여 정보주체의 동의 없이 개인정보를 이용·제공할 수 있습니다. 위 규정에 따라 개인영상정보를 추가적으로 이용·제공하기 위해서는, ① 당초 수집 목적과 관련성이 있는지 여부, ② 개인영상정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인영상정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부, ③ 정보주체의 이익을 부당하게 침해하는지 여부, ④ 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부를 고려하여야 하며, 이에 대한 판단기준을 개인정보 처리방침을 통해 공개하여야 합니다.
다)통계작성·과학적 연구·공익적 기록 보존 목적 활용
개인정보는 원칙적으로 법 제18조 제2항의 예외 사유를 제외하고는 당초 수집 목적 외의 용도로 활용할 수 없지만, 통계작성, 과학적 연구, 공익적 기록 보존 목적 등의 경우에 한해서는 법 제28조의2부터 제28조의7에 따라 가명처리한 후 활용할 수 있습니다. 가명처리된 영상정보를 AI 기술개발 등에 이용하려는 경우, 영상기기운영자는 해당 정보와 결합 가능한 추가 정보를 별도 분리하여 보관·관리하는 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 취해야 합니다.
라) 처리 위탁
이동형 영상정보처리기기의 운영에 관한 사무를 제3자에게 위탁하는 경우, 영상기기운영자는 개인정보처리방침 등을 통해 처리 위탁에 관한 정보를 공개하고, 수탁자의 개인영상정보 처리 업무를 관리·감독하여야 합니다.
4) 보관 및 파기 단계
가) 보호책임자 지정 등 운영관리체계 마련
영상기기운영자는 개인영상정보 보호 업무 책임자를 지정하고 개인영상정보 보호 계획의 수립, 내부 직원 및 수탁자 대상 교육 등 개인영상정보의 안전한 처리를 위한 조치를 시행하여야 합니다. 법 제31조에 따른 개인정보 보호책임자에게 개인영상정보 보호 업무 책임자를 겸직하도록 하거나, 별도의 책임자를 둘 수 있습니다.
나) 보유기간 설정 및 관리
보유기간은 구체적 기간으로 정하는 것이 바람직합니다. 보유기간이 도래한 경우에는 원칙적으로 파기하여야 하나, 추가 보유 필요성이 있는 경우 보유기간 연장 사실과 근거를 운영관리방침에 기재하여 공개하여야 합니다.
다) 이동형 영상정보처리기기 운영관리 방침 마련
영상기기운영자는 법 제25조의2 제4항에 따라 운영관리방침을 마련하여야 하지만, 개인정보처리방침에 이를 반영한 경우 운영관리방침을 따로 만들지 않을 수 있습니다. 운영관리방침은 정보주체가 확인할 수 있도록 인터넷 등에 공개하는 것이 권장됩니다. 운영관리방침에는 영상정보처리기기 운영 근거와 목적, 정보주체의 요구에 따른 조치 등이 포함되어야 합니다.
라) 불필요한 개인영상정보의 파기 또는 분리보관
영상기기운영자는 법 제21조에 따라 보유기간이 경과한 경우 등에는 개인영상정보를 즉시 파기하여야 하고, 법령에 따라 보존하여야 하는 경우 다른 개인영상정보와 분리하여 저장·관리하여야 합니다.
5) 상시 보호조치
가) 안전성 확보조치
영상기기운영자는 법 제29조에 따라 개인정보의 안전성 활보를 위한 기술적(접근 통제 등)·관리적(접근 권한의 관리 등)·물리적(개인영상정보의 파기 등) 조치를 하여야 합니다.
나) 개인영상정보 취급자에 대한 교육 및 관리감독
임직원, 시간제근로자 등 개인영상정보를 처리하는 개인영상정보취급자의 범위를 제한하고 이들에 대한 교육을 실시하는 등 관리·감독에 주의를 기울여야 합니다. 특히 수탁자에 의하여 개인영상정보가 처리되는 경우 영상기기운영자가 구체적인 처리를 파악하기 어렵기 때문에 더욱 주의하여야 합니다.
다) 정보주체 권리보장 방안 마련 및 이행
정보주체가 개인영상정보에 대한 권리(열람, 전송, 처리정지, 자동화된 결정에 대한 거부 및 설명 요구 등)를 행사할 수 있는 방법을 마련하여 이를 운영관리방침 또는 개인정보 처리방침을 통해 공개하여야 합니다.
5. 시사점
본 안내서는 영상기기운영자들이 적법하게 개인영상정보를 처리하기 위하여 준수해야 할 원칙, 처리단계별 준수 사항을 상세한 예시와 함께 구체적으로 설명하고 있습니다. 이에 따라 이동형 영상정보처리기기에 대한 규제의 불명확성이 해소되어 이동형 영상정보처리기기의 개발·활용이 더욱 활발히 이루어질 것으로 보입니다.
다만 본 안내서는 개인정보 보호 관련 법령 등의 제·개정 사항과 기술 발전을 반영하여 지속적으로 수정될 예정이므로, 관련 기업들은 개인정보보호위원회의 동향을 지속적으로 살피고 그에 맞는 전략을 마련할 필요가 있습니다.
