기업이 수집한 ‘생체정보’…이대로 괜찮은가

프린트

오피니언 ㅣ 칼럼 기업이 수집한 ‘생체정보’…이대로 괜찮은가 ‘AI가 내 얼굴정보 학습?’…불필요한 수집 막도록 법안 개정 시급

기사입력2025-04-22 12:30

많은 사람들이 스마트폰 잠금 화면을 해제하거나, 마트나 식당에서 모바일 간편결제를 할 때 얼굴인식이나 지문인식 기능을 사용한다. 운동하거나 잠잘 때는 웨어러블 기기를 통해 심박수와 심전도, 수면 패턴, 일일 활동량 등을 확인하며 건강관리를 한다. 이처럼 우리 일상에서 생체정보를 활용한 서비스는 점점 늘어나고 있다. 그런데 이러한 생체정보가 불필요한 상황에서도 과도하게 수집되고 있는 것은 아닌지 우려된다.

기업이 수집한 ‘생체정보’는 어떻게 관리되는지

생체정보는 개인의 신체적·생리적·행동적 특성을 이용해 특정한 개인을 식별할 수 있는 정보를 뜻한다. 지문, 홍채, 얼굴, 정맥 등의 신체적 특징뿐만 아니라 음성, 필체, 걸음걸이 등도 포함된다. 생체인증은 도난과 분실의 염려가 없고 위조가 어려우며, 한 사람을 정확하게 식별할 수 있어 신뢰성과 보안성이 높다. 이에 본인 확인수단이나 건강상태를 점검하는 용도로 쓰임새가 늘어나고 있다.

다만 생체정보는 일반 개인정보와는 다른 특수성과 복잡성이 있어 꼭 필요한 상황이 아니라면 사용 전 유의하는 것이 좋다. 일반 개인정보는 이름, 주소, 전화번호, 주민등록번호 등으로 유출됐을 경우 변경할 수 있지만, 생체정보는 유출되더라도 바꿀 수 없다. 생체정보는 한 사람을 정확하게 식별할 수 있는 고유성을 지니는데다 건강정보와도 밀접한 연관이 있는 만큼, 유출되거나 부당하게 활용될 경우 치명적이다.

문제는 생체정보를 활용한 기술이 확대되면서, 과도하게 데이터를 수집하는 기업도 있어 논란이 생기고 있다.

지난해 12월 토스는 얼굴인증 기술을 통해 공연장 입장 절차를 간소화하는 서비스를 개시했다. 이는 별도로 티켓이나 신분증을 확인하는 절차를 거치지 않아 간편하며, 암표를 방지하는 효과를 기대할 수 있다. 그러나 카드 결제나 은행 업무 등 금융거래도 아닌, 공연 관람이나 팬미팅 참여에 얼굴이라는 민감한 생체정보를 이용하는 것이 과도하다는 의견도 있다. 공연이 끝난 후에는 기업이 얼굴정보를 어떻게 관리하고 유출을 방지할 것인지도 관객이 알기 어렵다.

지난 3월에는 중국의 전자상거래 플랫폼 테무가 국내 판매자들의 얼굴정보를 수집하려 했으나, 민감정보를 과도하게 요구한다는 논란이 불거지자 중단하기로 했다. 테무는 사기를 방지하기 위해 판매자의 신원을 파악하려 한 것이라 설명했으나, 판매자의 사기를 막는 방법이 과연 얼굴정보를 수집하는 것뿐이었는지 의문이 제기된다.

생체정보는 한 사람을 정확하게 식별할 수 있는 고유성을 지니는데다 건강정보와도 밀접한 연관이 있는 만큼, 유출되거나 부당하게 활용될 경우 치명적이다. <이미지=이미지투데이>

대학입학이나 취업을 대비해 이용하는 AI 모의면접 서비스의 생체정보 처리 역시 유의할 필요가 있다. AI 모의면접 서비스를 이용할 경우, 이용자의 얼굴이나 목소리, 말투, 몸짓 등 생체정보가 데이터로 남게 된다. 그러나 상당수의 AI 모의면접 서비스가 이용자의 생체정보를 어떻게 처리하는지 복잡하고 모호하게 소개하고 있다. 유의사항 또는 개인정보 처리방침 공지를 살펴보더라도 ‘면접 영상은 개인정보를 비식별화한 후 서비스 개발 및 개선, 연구 목적을 위해 사용할 수 있다’라고 안내하는 경우가 많다. 그러나 서비스 개선이라는 표현은 광범위하고 추상적이며, 비식별화 기술 역시 만능이 아니다. 얼굴, 목소리, 말투 등은 고유한 생체정보인 만큼 다른 정보와 결합될 경우 자칫 개인을 유추할 정보가 남을 가능성이 존재한다.

‘과도한 생체정보 수집 NO’…법안 개정 시급해

이같이 일부 기업이 불필요한 상황에서도 불특정다수의 생체정보를 수집하는 것은 근절돼야 한다. 그러나 현행법에는 생체정보에 대한 별도의 규정을 두고 있지 않으며, ‘개인정보 보호법 시행령’에서 민감정보의 한 유형으로만 규율하고 있어 한계가 있다.

이에 지난 1월 더불어민주당 이수진 의원은 민간기업이 생체정보를 함부로 수집하지 못하도록 ‘개인정보 보호법 일부개정법률안'을 대표 발의했다. 이 의원은 공연 또는 운동경기 입장권 구입 시에 생체정보를 의무적으로 제공하도록 하는 것은 민감정보를 필요 이상으로 과도하게 요구하는 것이며, 이에 대한 관리가 필요해 관련 법안을 제안했다고 밝혔다.

발의한 개정안은 현행법에 민감정보의 유형으로 지문·얼굴·홍채 및 손바닥 정맥 등 개인을 식별할 수 있는 생체정보를 추가해, 생체정보와 관련한 법적 근거를 명확하게 하는 내용을 담고 있다. 또한 개인정보처리자가 민감정보를 처리하지 않고 재화나 서비스를 제공할 수 있는 경우, 정보 주체에게 해당 사실을 알려 민감정보를 처리하지 않는 방법을 우선적으로 고려하도록 한다. 이를 통해 과도한 민감정보 처리를 방지하고, 정보 주체의 개인정보를 보다 두텁게 보호하는 것을 목표로 하고 있다.

기업의 데이터 윤리, 개인의 정보보호 인식 중요

기업은 이용자의 생체정보를 최소한으로 수집하는 것을 원칙으로 해야 한다. 또 관련 정보를 어떻게 관리하는지 누구나 손쉽게 확인할 수 있도록 알려야 한다. 생체정보 확인 외에 다른 수단으로 대체할 방법이 있다면 이를 마련해, 이용자가 자신이 원하는 본인인증 방식을 선택할 수 있도록 해야 한다. 생체정보를 제공하지 않으면 가입이 불가하거나 전체 서비스를 사용하지 못하도록 하는 경우 역시 제재가 필요하다.

서비스 이용자도 자신의 생체정보 보호에 소홀한 경우가 많은데 주의가 요구된다. 최근 챗GPT에 사진을 업로드하면 지브리 애니메이션 화풍으로 그림을 그려주는 기능이 전 세계적으로 인기를 끌었다. 그러나 무심코 업로드한 자신의 얼굴 데이터가 AI 기업의 데이터 학습에 활용될 가능성을 배제하기 어렵다는 점을 유념해야 한다.

서비스를 이용해야 한다면 개인정보 수집 및 이용 동의에 관한 공지를 반드시 살펴보자. 특히 생체정보 저장 여부, 보관 기간, 제3자 제공 여부 등을 중점적으로 확인해야 하며, 이용자가 생체정보가 포함된 영상이나 사진 등을 삭제할 권한이 있는지도 알아보아야 한다. 중기이코노미 안수영 기자