누군가 떠올릴 때 가장 먼저 생각나는 건 통상적으로 그 사람의 ‘얼굴’ 아닐까. 얼굴은 이렇게 쉽게 접하고 공개될 수 있는 것이기에 얼굴인식과 관련된 분야는 인공지능(AI) 분야에서 가장 빠르게 시장화되기도 했다. AI 학습 데이터는 이미 역사적으로 형성된 인종, 성별 등 차별적 요소가 편향적으로 반영되는 한계가 있는데 얼굴인식 분야 역시 그러하다. 여러 연구 사례에서 여성, 성소수자, 유색인종 등 소수자에 대해서는 인식률이 현저히 떨어지는 것이 드러난 바 있다. 미 의회 의원을 범죄자 사진 데이터를 통해 확인해 보니 범죄자로 오인식한 28명 중 40%가 유색인종이라는 소름 끼치는 결과가 나오기도 했다. 2020년 5월 25일 백인 경찰관 무릎에 목이 눌려 숨진 비무장 아프리카계 미국인 조지 플로이드의 죽음으로 ‘흑인 생명도 중요하다’(Black Lives Matter)는 시위가 촉발된 바 있다. 이 시위 과정에서 법집행 기관인 경찰이 사용하는 안면인식 기술이 인종차별 도구로 활용될 수 있다는 점에서 이 기술에 대한 미국 대중의 반감이 증폭되기도 했다. 뉴욕타임스는 이 시위가 한창이던 2020년 8월 3일 경찰의 안면인식 시스템 오류로 아프리카계 미국인 로버트 윌리엄스가 범죄자가 아님에도 아내와 어린 딸들이 보는 앞에서 부당하게 체포돼 기소까지 된 사실을 보도했다. 이후에도 비슷한 일들이 반복해 일어났다. 마이크로소프트, 아마존 등 빅테크 기업들은 미국 집행기관에 그간 안면인식 서비스를 제공해 왔다. 그러나 시민들의 저항에 직면하자 향후 관련 서비스를 경찰에 납품하지 않겠다고 선언했다. 미국 연방의회는 얼굴인식 기술 사용에 대한 적절한 가이드라인을 마련할 때까지 정부의 기술 사용을 중지하는 법안을 발의하기도 했다. 얼굴인식 기술의 불투명한 사용에 대해 페이스북, 구글, 클리어뷰 AI, 인스타그램 등은 거액의 손해배상 소송에 직면하게 됐다. 페이스북이 지난해 11월 3일 안면인식 기능 폐지를 밝힌 이유다. 작년 법무부가 출입국 심사 과정에서 확보한 내외국인의 얼굴정보 등을 민간 업체에 넘겨 출입국 심사 인공지능 식별 추적 시스템을 개발하고 있는 점 등이 지적됐다. 하지만 개인정보보호위원회는 사실상 면죄부를 주었다. 국가기관의 개인정보 처리는 더 엄격하게 해석했어야 함에도 불구하고, 아울러 법적 근거가 불분명함에도 얼굴인식 시스템을 구축·운영해 불투명하게 개인정보 자기결정권을 침해할 가능성을 남겨 두었다. 과학기술정보통신부는 최근 AI 출입국 심사·관리 솔루션 개발 및 검증 사업을 공모했다. 독립적인 개인정보 감독기구인 개인정보위가 얼굴정보와 얼굴인식 기술에 대해 적극 개입할 수 있는 기회를 놓친 점은 뼈아프다. 지금이라도 외면하지 말고 AI 시스템에서 차별적 조치가 가능할 수 있는지 점검해 시민들을 보호해야 한다. 법무부와 과기부의 얼굴정보 인식 및 추적 시스템 구축에 대한 지속적인 모니터링 및 영향 평가도 강화해야 한다.

페이스북·인스타그램을 운영하는 메타가 이용자들에게 개인정보 수집 동의를 요구해 논란이 일자 개인정보보호위원회가 “적극 조치할 것”이라고 밝혔다. 개인정보위는 22일 낸 설명자료에서 “메타가 수집하는 이용자의 개인정보가 서비스 제공을 위해 반드시 필요한 정보인지를 중점적으로 검토하고 있다”고 밝혔다. 이어 “국민의 삶에 불편을 초래하는 행위에 대해 심각하게 받아들이고 있으며, 조사 결과 개인정보보호법 위반 여부가 확인되면 이용자의 개인정보가 침해되지 않도록 적극적으로 조치할 예정”이라고 강조했다. 개인정보보호법은 ‘이용자가 필요 최소한의 개인정보 이외의 개인정보를 제공하지 않는다는 이유로 서비스의 제공을 거부해서는 안 된다’고 규정하고 있다. 앞서 메타는 페이스북·인스타그램 등 자사 서비스 이용자들의 개인정보 동의절차를 구체화한 새로운 개인정보처리방침 개정안을 마련했다. 개인정보 수집 및 이용, 개인정보 제공, 개인정보의 국가 간 이전, 위치 정보, 개인정보처리방침 업데이트, 이용 약관 등에 동의할 것을 요구하며 개정안에 동의하지 않을 시 계정 중지를 예고했다. 한편, 이날 국회에서는 정의당 장혜영·배진교의원이 민주사회를위한변호사모임, 진보네트워크, 참여연대 등과 토론회를 열고 메타의 방침이 현행법 위반인지를 따진다.

인터넷 포털 등의 개인정보처리자는 현금이나 게임 아이템 등을 주는 대가로 개인 정보를 입력하도록 하는 서비스 설계를 자제해야 한다. 또 아동·청소년도 쉽게 이해할 수 있는 ‘어린이용 개인정보 수집 및 이용 동의 안내’ 등을 수록해야 한다. 개인정보보호위원회는 아동·청소년의 안전한 온라인 활동을 지원하기 위한 내용을 담은 ‘아동·청소년 개인정보 보호 가이드라인’을 21일 발표했다. 이번 가이드라인은 지난 11일 발표한 아동·청소년 개인정보보호 기본계획의 후속 조치다. 온라인에서 어린이의 개인정보를 처리하는 개인정보처리자가 준수해야 하는 사항을 5단계의 18개 항목으로 사례와 함께 알기 쉽게 정리했다. 예컨대 개인정보처리자는 개인정보보호 수집의 기획 및 설계 단계에서 법정 생년월일을 직접 입력하거나, ‘만 14세 이상’ 항목에 스스로 체크하도록 하는 등 적절한 연령 확인 방법을 도입해야 한다.개인정보 권리와 행사 방법도 구체적으로 안내하도록 한다. 예컨대 어린이용 개인정보 수집 및 이용 동의 안내 등을 홈페이지에 수록해 아동이 홈페이지 이용 시 자신의 어떤 정보가 어떻게 사용되는지 알 수 있도록 해야 한다. 현금, 아이템 등을 지급하는 대가로 개인정보를 입력하도록 하는 서비스 설계는 자제해야 한다. 개인정보 보관 및 파기 단계에서는 이해하기 쉬운 언어, 그림, 영상을 활용해 개인정보 관련 사항을 알려야 한다. 포털 등 기존 개인정보처리자뿐 아니라 네트워크 연결로 아동의 개인정보를 전송할 수 있는 기기 제조사에도 개인정보 보호 중심 설계 원칙이 적용될 수 있도록 하고, 여러 방법으로 이용자가 개인정보 처리 사실을 인지할 수 있도록 설계할 것을 권고했다. 보호자에게는 아동·청소년의 연령을 미취학, 초등 저학년, 초등 고학년, 중·고등학생 등 4단계로 나눠 연령대별 특성에 맞는 보호자 역할과 교육 방법을 안내했다. 개인정보위는 이 가이드라인을 개인정보위 사이트와 개인정보보호포털에 공개하고 교육과 홍보를 병행할 예정이다.

개인정보보호위원회가 13일 개인정보 보호법규를 위반한 2개 사업자에 과징금 3억 8900만원과 과태료 1380만원을 부과했다. 개인정보를 위법하게 수집한 보험사업자 등 3곳에도 1300만원의 과태료가 부과됐다. 개인정보위에 따르면 의류 및 육아 쇼핑몰을 운영하는 브랜디는 약 639만여건의 고객 개인정보(ID, 암호화한 비밀번호, 이메일)를 유출 당했다. 해커가 알 수 없는 방법으로 확보한 클라우드서비스(AWS) 관리자 접근권한을 활용, 개인정보처리시스템에 접근해 이 회사 고객의 개인정보를 빼낸 것으로 드러났다. 조사에서는 브랜디가 개인정보처리시스템에 대한 접속권한을 인터넷주소(IP) 등으로 제한하지 않았고, 탈퇴한 회원의 개인정보를 파기하지 않고 보관하는 등 개인정보 보호법령을 위반한 사실도 확인됐다. 또한 유기발광다이오드(LED) 제품 판매 쇼핑몰을 운영하는 에스테크엘이디에서는 고객들에게 스팸 문자가 발송되기도 했다. 해커가 쇼핑몰에 관리자 계정으로 무단접속한 뒤, 문자발송 기능을 이용한 것으로 파악됐다. 이 회사는 개인정보처리시스템을 운영하면서 안전한 인증수단을 적용하지 않았고, 1년 이상 장기 미 이용자의 개인정보를 파기 또는 분리해 별도 보관하지 않았다. 개인정보위는 회사에 과태료 600만원을 부과했다. 개인정보 수집 과정에서 개인정보 보호법을 위반한 KB손해보험 등 3개 사업자에게는 총 1300만원의 과태료를 부과하기로 했다. KB손해보험은 만 14세 미만 아동을 피보험자로 하는 보험계약을 체결하면서 법정대리인의 동의를 받지 않고 개인정보를 처리했다. 법인보험대리점인 디비앰엔에스(DBMnS)는 소속 보험설계사가 보험 상담을 하면서 넘겨받은 고객의 지인, 배우자 등의 개인정보를 당사자 동의 없이 보험상품 소개 및 상담을 위해 수집했다. 이들 보험사업자에게는 각각 과태료 500만원을 부과했다. 이밖에 분양 대행 홍보 사이트에서 방문자 예약을 위한 연락처 수집 동의를 받으면서 법정 고지항목을 누락한 김모씨에게도 과태료 300만원 결정이 내려졌다.

개인정보보호위원회(개인정보위)가 21일부터 다음 달 11일까지 3주 동안을 ‘2022년 개인정보 보호 인식주간’으로 운영한다. 올해 표어는 ‘개인정보, 지키면 ‘프라이-벗(友)’ 놔두면 ‘프라이-빚’이다. 국민이 직접 개인정보 보호 활동에 참여하도록 하는 ‘국민참여’, 민간기업과 정부가 함께 협력해 개인정보 보호 문화를 확산하는 ‘협력’ 두 갈래로 여러 프로그램을 진행한다. 우선 국민참여 부문에서는 개인정보 보호 실천을 다짐하는 ‘개인정보 보호 함께 서약’을 연속적으로 진행한다. 참가자들이 다짐 서약을 하는 모습을 촬영한 영상을 본인 소셜네트워크서비스(SNS)와 캠페인 홈페이지 등에 게재할 계획이다. 연기자 권혁수와 가수 정유진·마르코, 래퍼 수진 등도 참여한다. 협력 부문에서는 중고 거래 플랫폼 및 배달 앱과 손잡고 개인정보 보호문화 확산에 나서는 활동을 펼칠 계획이다. 개인정보위는 당근마켓, 번개장터 등과 중고 거래 시 개인정보 유출을 막기 위한 유의사항을 담은 영상을 제작한다. 배달 앱인 배달의민족과는 배달 주문 시 발생할 수 있는 개인정보 유의사항을 담은 영상을 만들기로 했다. 중앙행정기관, 지방자치단체, 공공기관 등과 함께 인식주간 배너와 포스터를 게재하는 등 기관 간 협력도 강화할 예정이다. 서남교 개인정보위 대변인은 “개인정보 보호는 국민과 정부, 기업이 함께 노력해서 정착시켜야 하는 사회적 문화”라며 “개인정보보호 인식주간을 통해 모든 국민이 개인정보의 중요성을 절감하고, 이를 지키기 위한 생활 속 작은 실천에 동참해 주시길 바란다”고 말했다.

스마트폰을 이용해 개인정보 분쟁 조정을 신청할 수 있게 됐다. 개인정보보호위원회 산하 개인정보 분쟁조정위원회는 4일 스마트폰 등 모바일 기기로 분쟁조정을 신청하는 서비스를 개통한다고 3일 밝혔다. 개인정보 분쟁조정은 개인정보 침해로 인한 다툼이 발생하면 소송 대신 조정을 통해 신속하고 원만하게 해결될 수 있도록 지원하는 제도다. 지금까지는 PC를 통해서만 분쟁조정을 신청할 수 있었다. 위원회는 ‘개인정보 분쟁조정 홈페이지’(kopico.go.kr)를 개통해 스마트폰 등 모바일 기기로 분쟁조정을 신청하고 자신이 신청한 분쟁조정 사건이 처리되는 상황을 실시간으로 확인할 수 있게 했다. ‘분쟁조정 사례’와 ‘분쟁조정 신청조건 확인’ 메뉴를 통해 사전에 필요한 사항이 무엇인지, 유사한 침해 사례의 경우 손해 배상액은 얼마인지 등 다양한 정보도 제공한다. PC, 태블릿, 스마트폰 등 접속 기기에 따라 화면을 다르게 보여주는 반응형 웹을 적용해 별도의 앱을 설치하지 않아도 이용할 수 있다. 다만 휴대전화 인증, 공동인증서, 인터넷 개인 식별 번호(아이핀), 신용카드 등을 통해 본인인증을 우선 거쳐야 한다. 양청삼 개인정보위 조사조정국장은 “국민의 불편함과 어려움을 조금이라도 덜어 드릴 수 있도록 꾸준히 개인정보 분쟁조정 서비스를 개선해 나가겠다”고 말했다.

디지털 시대의 키워드는 데이터와 인공지능(AI)이다. 정부는 2년 전 ‘디지털 뉴딜’을 발표하며 데이터, AI 기술 활용 가속화 등을 국가 전략으로 내세우며 디지털 경제 육성을 천명했다. 정부는 관련 산업의 진흥을 위한 다양한 지원정책을 내놓고 있지만, 실제 산업 현장에서는 정부가 ‘데이터 활용’이냐 ‘개인정보 보호’냐를 놓고 오락가락하는 바람에 어려움을 겪고 있다. 법무부와 과학기술정보통신부는 2019년부터 여권 확인 절차 없이 공항 자동출입국심사대를 통과하는 사람의 신원을 확인하는 ‘AI 식별추적시스템 구축사업’을 추진했지만 최근 3개월째 중단된 상태다. 지난해 10월 정부가 내외국인 1억 7000만여명의 얼굴 사진 등을 민간 AI 업체에 넘겼다는 보도가 나오자 개인정보보호위원회가 개인정보보호법 위반 여부를 조사하겠다고 제동을 걸면서 사업이 전면 보류된 것이다. 과기정통부 관계자는 12일 “개인정보위의 조사 결과에 따라 사업 진행 여부를 결정하게 될 것”이라고 말했다. ●AI 사업 놓고 정부 부처 간 엇박자 지금 세계는 데이터와 AI 기술 패권을 차지하려는 전쟁터나 다름없다. 데이터는 4차 산업혁명의 ‘원유’로 불릴 정도로 핵심 자원이다. 충분한 데이터만 있으면 그동안 사람이 하던 작업들을 이제 AI가 대신하면서 AI 기술 역시 혁신의 아이콘이 됐다. 하지만 기업이나 정부가 수집한 빅데이터에는 수많은 개인 정보가 포함돼 있다. 익명·가명 처리된 개인정보도 관련 데이터의 양이 축적되면 식별 가능성이 높아진다. 그러다 보니 디지털 산업에는 ‘실과 바늘’처럼 개인정보 보호 논란이 뒤따른다. 시민단체 등에서 “안전한 데이터 활용 여건이 뒷받침되지 않으면 데이터 경제는 성공할 수 없다”면서 개인정보 보호 강화를 주장하는 이유다. 정부는 ‘데이터 활용’과 ‘개인정보 보호’라는 두 마리 토끼를 잡을 수 있도록 균형점을 찾아내야 하지만 실제 관련 정책 적용 과정에서는 갈팡질팡하고 있다. ●“美·中 등 경쟁국과 격차 더 심화” 데이터·AI 정책 혼란의 가장 큰 원인은 정부가 새롭게 등장한 산업을 다루면서도 여전히 전통적인 산업에 적용하는 규제 중심의 사고에서 벗어나지 못하고 있기 때문이다. AI 챗봇 ‘이루다’의 혐오 발언 등으로 AI 윤리 문제가 커지자 AI 업무를 다루는 과기정통부, 개인정보위, 방통위, 금융위 등 부처마다 앞다퉈 규제를 담은 가이드라인을 내놓은 것이 대표적이다. 박성호 인터넷기업협회 회장은 “기업에서는 가이드라인을 지켜야 할 규제로 받아들일 수밖에 없다”면서 “시작 단계의 AI에 대해 추상적 개념의 사전 규제를 하면 경쟁국인 미국, 중국 등과의 격차가 더 심화될 수 있다”고 우려했다. 고령화 시대 비약적인 성장을 보일 수 있는 보건·의료 분야도 공공의료 데이터 접근이 규제 일변도에서 벗어나지 못하고 있다. 국민건강보험공단이 산업계의 요청에도 국내 데이터를 활용할 수 없도록 빗장을 걸고 있어 보험업계는 캐나다 등 외국 통계를 돈 주고 구입해 한국인과는 다른 외국인들의 건강 상태를 토대로 당뇨 등 건강보험상품을 설계해야 하는 실정이다.지난 2020년 8월 ‘데이터 3법’(개인정보보호법, 정보통신망법, 신용정보법 개정안)이 시행된 이후 가명 정보는 정보 주체의 동의 없이 이용하고, 데이터 간 결합이 허용돼 데이터 산업의 활성화가 기대됐지만 현장에서는 정부의 각종 규제로 데이터 활용에 여전히 어려움을 겪고 있는 것이다. 조광원 전 데이터산업협회 회장은 “개인정보의 중요성은 충분히 인정하지만 개인정보 유출 사고 등이 발생했다고 아무것도 하지 않는다면 한국은 데이터 패권국이 아니라 데이터 종속국으로 전락할 수밖에 없다”고 우려했다. ●규제혁신 경쟁보다 주도권 다툼 정부 부처마다 관련 기준과 규정이 제각각 다른 것도 문제다. 디지털 헬스케어 업체의 한 관계자는 “개인정보보호법에 따르면 가능한 사업이지만 막상 보건·의료 관련법 등을 보면 모호해 이러지도 저러지도 못하고 관련 부처를 쫓아다니면서 허송세월하고 있다”고 하소연했다. 하지만 정부는 규제혁신 경쟁에 나서기는커녕 데이터산업에 대한 주도권 다툼에 열을 올리고 있다. 지난해 국회에서 제출된 정부 부처 주도의 데이터 관련법은 모두 5개다. 일부 법안은 ‘데이터의 활용-산업데이터의 활용’, ‘데이터의 보호-비정형 데이터의 보호’ 등 법안명도 내용도 비슷하다. 서로 자신들이 데이터 관리를 주도하겠다는 의도가 담겨 있다. 데이터기본법상 데이터는 과기정통부 소관으로, 산업디지털촉진법상 산업데이터는 산업부 소관으로 한다는 식이다.데이터·AI 분야는 우리나라의 생존이 걸린 혁신 성장 동력이다. 사생활 침해 논란 등에도 불구하고 미국의 경우 국무부 등 24개 연방기관 중 18개 기관이 사이버 보안 목적 등으로 안면인식기술을 사용하고 있는 것도 부작용보다 공익이 더 크다는 판단에서다. 김재호 세종대 전자정보통신공학과 교수는 “코로나 역학조사지원시스템에서 보았듯이 데이터는 국민의 생명을 구할 뿐만 아니라 미래 산업의 중심”이라면서 “데이터 경제를 활성화하기 위해서는 사생활 침해 논란을 잠재울 수 있는 개인정보에 대한 명확한 기준을 정립하고 거버넌스 등을 확립하는 것이 시급한 과제”라고 강조했다.

65세 이상 노인층의 절반 정도가 하나 이상의 연금을 받고 있으며, 연간 평균 금액은 710만원으로 조사됐다. 연간 수급액은 남성 노인이 여성의 1.7배 수준이었다. 개인정보보호위원회(개인정보위)는 사회보장위원회와 함께 이런 내용을 포함한 ‘노후소득보장 종합분석’ 결과를 29일 발표했다. 18개 기관에서 340만 명의 행정 자료를 받아 분석했다. 우선 근로 연령층(20∼59세) 노후소득보장 준비현황을 살펴본 결과, 공적연금 가입 기간이 1개월 이상인 이의 비율이 전체의 72%, 평균 가입 기간은 120개월이었다. 남성의 공적연금 가입률(77%)이 여성(66%)보다 약 11% 포인트 높았다. 여성은 청년기(20∼39세) 이후 공적연금 가입 기간이 정체했지만, 남성은 40세 이후 중장년층에서 가입 기간이 꾸준히 늘어났다. 소득수준이 높을수록 공적연금 가입률과 평균 가입 기간이 증가했다. 소득 상위 20% 가입률(81%)과 가입 기간(153.8개월)은 하위 20% 가입률(52%)과 가입 기간(82.3개월)의 각각 약 1.6배, 1.9배였다. 공적연금 가입 기간이 길수록 퇴직연금 가입률도 높게 나타났다. 공적연금 미가입자의 퇴직연금 가입률은 2.8%였지만, 공적연금 가입 기간이 상위 3분의 1에 속하는 집단의 퇴직연금 가입률은 39.7%였다. 65세 이상 노인층에서 국민연금·특수직역연금·주택연금·농지연금 중 하나 이상의 연금을 수급 받고 있는 비율은 47% 정도였으며, 이들이 받는 평균 연간 수급액은 710만원으로 조사됐다. 남성 노인(66%)의 연금 수급률이 여성(33%)의 2배 수준이었다. 평균 연간 수급액은 남성이 861만원, 여성이 489만원이었다. 60∼79세 노인층의 연금수급액은 연령 증가에 따라 다소 감소하지만, 80세 이상 초고령 노인층에서는 수급액이 높아졌다. 개인정보위는 초고령 노인층에서 특수직역연금 등 가입 비중이 높아지기 때문으로 풀이했다. 90세 이상 노인층의 기초연금 수급률(85.2%)은 65∼69세(60.1%)의 약 1.4배에 달했다.

개인정보 유출을 확인할 수 있는 ‘털린 내 정보 찾기 서비스’(kidc.eprivacy.go.kr) 이용자가 운영 한 달 만에 18만명을 넘어섰다. 개인정보보호위원회는 이 서비스를 시작한 지난달 16일부터 이달 15일까지 모두 18만 2218명이 계정정보 유출 여부를 조회했다고 21일 밝혔다. 18만여명 가운데 계정정보 유출을 확인한 이용자는 1만 8095명이었다. 개인정보 유출 이력 확인에 따른 회원 탈퇴 대행 서비스 ‘e프라이버시 클린 서비스’(eprivacy.go.kr) 이용자도 급증했다. 유출 조회 서비스 개시 전 하루 평균 방문자가 6685명이었지만, 개시 후 한 달 동안 1만 1190명으로 급증했다. 유출 조회 서비스 만족도를 조사한 결과 응답자 1874명 가운데 92%가 서비스에 긍정적(만족+매우 만족)인 반응을 보였다. ‘털린 내 정보 찾기 서비스’는 이용자가 사용하는 온라인 계정 정보(아이디·패스워드)를 입력하면 유출 이력을 알려 주는 서비스다. 개인정보위와 한국인터넷진흥원은 다크웹 등에서 불법 유통되는 2300만건의 국내 계정정보와 포털 사이트 구글에서 제공하는 비밀번호 진단 서비스(40억여건) 등을 활용해 유출 여부를 확인할 수 있도록 했다. 개인정보위 관계자는 “계정정보의 불법 유통으로 인한 2차 유출 피해를 예방하고, 국민 인식을 높이는 데 큰 효과가 있는 것으로 확인됐다”며 “앞으로도 관계기관 간 협력을 통해 불법 유통되는 최신 계정정보를 계속 확보해 내실 있는 서비스를 제공하겠다”고 말했다.

다크웹 등에서 불법 유통되는 2300만건의 온라인 계정정보 유출 여부를 국민이 쉽게 확인하고 조치할 수 있도록 16일부터 ‘털린 내 정보 찾기 서비스’를 시작한다고 개인정보보호위원회가 밝혔다. 이를 통해 개개인이 직접 개인정보 유출 여부를 조회할 수 있게 된다. 개인정보위는 12일 김부겸 국무총리 주재로 열린 제136회 국정현안점검조정회의에서 이런 내용을 담은 ‘온라인 개인정보 유출예방 및 피해구제 대책’을 보고했다. 이번 대책은 매년 1000만건이 넘는 개인정보가 유출되고 사이버 범죄 등 2차 피해로 이어지는 상황에서 피해 예방과 신속한 구제를 위해 마련됐다. ‘털린 내 정보 찾기 서비스’를 통해 본인의 계정정보와 유출 계정정보의 일치 여부를 확인하고,유출 확인 시 해당 사이트에 접속해 비밀번호를 변경하는 등 피해 예방조치를 할 수 있다. 송상훈 조사조정국장은 “지난해 말 ‘다크웹에 우리 국민 계정정보 2300만 건이 거래되고 있다’는 뉴스를 접하고 그와 관련한 계정정보를 내려받고 차단조치를 했다”고 배경을 설명했다. 또 서비스 제공을 위해 과거 유출 사고 때 확보한 ID와 비밀번호를 데이터베이스화했으며 앞으로 데이터를 확충해나갈 방침이다. 아울러 구글의 계정정보 유출 확인 시스템인 ‘패스워드 체크업’과도 서비스를 연계했다. 사이버사기 피해 신고 이력 조회(사이버캅) 범위도 확대된다. 사이버캅 범위가 확대되면 현행 판매자 휴대전화 번호와 계좌번호 외에 메신저 계정과 이메일주소가 신고된 이력이 있는지 확인할 수 있다. 업계와 협업을 통해 개인정보를 대량 수집·처리하는 오픈마켓, 배달앱 등 온라인 플랫폼에 대한 개인정보보호 공동규제 방안도 마련하기로 했다. 온라인 플랫폼은 개인정보를 수집·처리하는 구조가 복잡해 안전조치 강화 방안을 마련할 필요가 있기 때문이다. 송 국장은 “예를 들면 배달앱의 경우 플랫폼 사업자가 구축한 데이터, 개인정보를 배달기사나 식당 등이 함께 활용하는 상황”이라며 “일률적으로 부여된 (개인정보 보호) 의무를 누가 어디까지 어떤 방식으로 이행해야 할지 사업자들이 혼선을 빚고 있다”고 설명했다. 개인정보 유출 사고에 신속히 대응하기 위해 유출통지·신고 제도를 개선하고,공동대응 협의체도 구축한다. 우선 온·오프라인 분야에 다르게 적용되는 개인정보 유출통지·신고 절차를 일원화할 방침이다. 국정원, 과학기술정보통신부, 경찰청 등 관계기관과 공동대응 체계를 구축하고 정보를 공유하는 등 합동대응반을 구성할 계획이다. 윤종인 위원장은 “디지털 대전환 시대에 피해확산 속도가 빠른 온라인을 중심으로 대규모 개인정보 유출이 발생하는 점을 고려해 유출 사고 단계별로 다각적 대책을 마련했다”며 “이번 대책을 계기로 개인정보 자기결정권이 실질적으로 보장될 수 있도록 적극적으로 노력하겠다”고 말했다.

개인정보보호법을 위반한 7개 사업자에 과태료가 부과됐다. 개인정보보호위원회는 10일 제18회 전체회의를 열고 지에스리테일(1120만원), 무신사(840만원), 위버스컴퍼니(700만원), 동아오츠카(700만원), 디엘이앤씨(420만원), 케이티알파(420만원), 한국신용데이터(360만원) 7개 사업자에 모두 4560만원의 과태료 부과와 시정명령 처분을 의결했다. 무신사는 개발자 실수로 ‘카카오 간편 로그인’ 기능 이용자 1명의 개인정보가 타인에게 조회됐다. 또 서비스 간 계정정보를 연동하는 과정에서 중복계정이 발생해 23명의 개인정보가 타인에게 조회됐다. 위버스컴퍼니는 서비스 트래픽 이상 현상을 긴급조치하는 과정에서 개발 오류로 타인의 계정으로 로그인돼 137건의 개인정보가 타인에게 공개된 것으로 확인됐다. 동아오츠카는 회원 상품 주문페이지 내 ‘기존 배송지 선택’ 기능을 새롭게 개발·적용하는 과정에서 비회원으로 구매한 10명의 개인정보가 공개됐다. 이밖에 제재 처분을 받은 사업자들 또한 처리 중인 개인정보가 열람 권한이 없는 이에게 공개되는 등 안전조치 의무를 위반한 것으로 확인됐다. 7개 사업자 모두 안전조치 의무 위반으로 과징금 부과 대상에는 해당하나 사소한 실수로 개인정보가 유출됐으며 피해 또한 미미해 과징금을 부과하지 않기로 했다고 개인정보위는 설명했다. 송상훈 개인정보위 조사조정국장은 “개인정보처리자는 해킹과 같은 외부 공격뿐 아니라 담당자 부주의, 작업 실수 등 내부요인으로도 개인정보 유출이 발생할 수 있다는 데 경각심을 가져야 한다”고 강조했다.

개인정보위 “사소한 실수 등 경미한 사안으로 과징금은 면제”개인정보 안전성 확보를 위한 조처를 소홀히 해 개인정보가 유출된 무신사 등 7개 사에 총 4560만원의 과태료가 부과됐다. 개인정보보호위원회는 10일 제18회 전체회의를 열고 개인정보보호 법규를 위반한 이들 7개 사업자에 대한 제재 처분을 심의·의결했다고 밝혔다. 기업별 과태료 부과액은 무신사(840만원), 위버스컴퍼니(700만원), 동아오츠카(700만원), 한국신용데이터(360만원), 디엘이앤씨(420만원), GS리테일(1120만원), 케이티알파(420만원) 등이다. 조사 결과 무신사는 개발자 실수로 ‘카카오 간편 로그인’ 기능 이용자 1명의 개인정보가 타인에게 조회됐다. 또 서비스 간 계정정보를 연동하는 과정에서 중복계정이 발생해 23명의 개인정보가 타인에게 조회됐다. 위버스컴퍼니는 서비스 트래픽 이상 현상을 긴급조치하는 과정에서 개발 오류로 타인의 계정으로 로그인이 되는 바람에 137건의 개인정보가 타인에게 공개된 것으로 확인됐다. 동아오츠카는 회원 상품 주문페이지 내 ‘기존 배송지 선택’ 기능을 새롭게 개발·적용하는 과정에서, 비회원으로 구매한 10명의 개인정보가 공개됐다. 이 밖에 제재 처분을 받은 사업자들 또한 처리 중인 개인정보가 열람 권한이 없는 이에게 공개되는 등 안전조치 의무를 위반한 것으로 확인됐다. 7개 사업자 모두 안전조치 의무 위반으로 과징금 부과 대상에는 해당하나 사소한 실수로 개인정보가 유출됐으며 피해 또한 미미해 과징금을 부과하지 않기로 했다고 개인정보위는 설명했다. 송상훈 개인정보위 조사조정국장은 “개인정보처리자는 해킹과 같은 외부 공격뿐 아니라 담당자 부주의, 작업 실수 등 내부요인으로도 개인정보 유출이 발생할 수 있다는 데 경각심을 가져야 한다”고 강조했다.

서울시 어린이집의 10곳 중 8곳 이상이 CCTV가 노후화돼 교체가 시급한 것으로 나타났다. 서울시의회 보건복지위원회 소속 김경영 더불어민주당 의원이 서울시로부터 제출받은 행정사무감사 자료에 따르면 CCTV가 설치된 서울시 어린이집 5053개 중 85.4%인 4315개의 어린이집 CCTV가 설치 5년 이상 된 노후 CCTV인 것으로 확인됐다. 지난 4월 개인정보위원회의 열람 지침이 개선되어 학부모가 어린이집 교사의 아동학대나 안전사고가 의심될 경우 어린이집의 CCTV 영상원본을 열람할 수 있게 되면서 노후화된 어린이집 CCTV 교체 시급성이 지적된다. 서울시의 아동학대 의심으로 인한 CCTV 열람요청은 지난 4월부터 10월까지 148건에 이른다. 김 의원은 “어린이집 CCTV영상은 아동학대 의심을 가장 빠르고 정확하게 확인할 수 있는 유일한 수단”이라며, “서울시가 어린이집 노후 CCTV관련 개선 기준을 조속히 마련해 아동학대의 신속한 대응과 조기발견을 위해 활용을 극대화해야 한다”고 말했다.

개인정보 보호조치를 제대로 하지 않아 8만여명의 개인정보가 유출되는 사고를 초래한 샤넬코리아가 1억원대 과징금을 물게 됐다. 개인정보보호위원회는 27일 전체회의를 열고 샤넬코리아 등 9개 사업자의 개인정보보호 법규 위반행위에 과징금 총 10억 3407만원과 과태료 총 1억 220만원 부과, 시정명령 등의 시정 조치를 내렸다. 기업별로는 샤넬코리아(과징금 1억 2616만원·과태료 1860만원), 천재교과서(과징금 9억 335만원·과태료 1740만원), 천재교육(과태료 540만원), 지지옥션(과태료 1700만원), 크라운컴퍼니(과태료 540만원), 핸디코리아(과태료 900만원), 박코치소리영어훈련소(과징금 456만원·과태료 1500만원), 에이치제이컬쳐(과태료 900만원), 디어유(과태료 540만원) 등이다. 샤넬코리아는 개인정보처리시스템에 접속할 수 있는 관리자 계정 비밀번호를 누구나 매우 쉽게 추측할 수 있도록 설정해 9개 제휴사의 온라인장터를 통해 화장품을 구매한 이용자 8만 1654명의 개인정보가 유출됐다. 또 1년 이상 장기 미이용자 개인정보를 파기하거나 다른 이용자의 개인정보와 분리해 별도로 저장·관리하지 않았다. 국외로 개인정보를 이전한다는 사실을 이용자들에게 알리거나 동의를 받지도 않은 채 이용자 개인정보를 미국 아마존웹서비스(AWS)에 보관하기도 했다. 천재교과서는 스마트 학습기인 ‘밀크티’를 운영하면서 밀크티에 접근할 권한이 없는 천재교육에서 개인정보처리시스템에 접근할 수 있도록 운영해 밀크티 이용자 2만 3624명의 개인정보가 유출됐다. 이 밖에 제재 처분을 받은 업체들은 외부에서 개인정보처리시스템에 접속할 때 2차 인증을 적용하지 않는 등 안전조치 의무를 위반했다.

온라인 동영상 실시간 재생(스트리밍) 서비스 이용자인 A씨는 최근 회원 가입시 제공한 개인정보가 어떻게 이용되는지 확인하기 위해 업체 누리집(홈페이지)의 ‘개인정보 처리방침’을 확인했다. 하지만 글자만 빼곡히 적혀 있어서 무슨 내용인지 이해할 수 없었다. 개인정보보호위원회가 이 같이 국민들이 일상 생활에서 흔히 겪는 어려움을 해소하기 위해 개인정보보호에 디자인을 활용하기로 했다. 개인정보위는 이를 위해 지난 15일 정부서울청사에서 개인정보보호 중심 설계를 디자인적 시각에서 정착하고 확산하기 위한 업무협약을 한국디자인진흥원과 체결했다. 이들 기관은 이번 협약을 통해 개인정보보호 중심 설계(PbD) 산업분야 적용, 개인정보 국민점검단 운영 지원, 서비스디자인 기반 개인정보 정책서비스 추진에 관해 협력해 나가기로 했다. 사물인터넷(IoT), 자율주행차 등 신기술 분야에 개인정보보호 중심 설계를 접목시킬 수 있는 법·제도 개선 및 시범사업 추진을 위한 공동 연구반을 구성·운영할 계획이다. 또 지난 5월에 출범한 개인정보 국민점검단에서 일상생활 속 개인정보 침해 사각지대를 발굴하고 국민 눈높이에서 개선하기 위한 설명서 제작에도 나서기로 했다. 윤종인 개인정보위원장은 “급속도로 발전하는 신기술 환경에 대응해 기업이 제품과 서비스를 개발할 때 개인정보보호 중심 디자인을 고려하는 관행이 정착될 수 있도록 하겠다”고 말했다. 윤상흠 디자인진흥원장은 “이번 업무협약을 통해 디자인이 국민의 권리를 강화하고 신기술이 개인정보를 보호하면서 올바른 데이터 활용을 통한 사회·경제적 부가가치 창출에 기여할 수 있기를 기대한다”고 밝혔다.

정부는 인공지능(AI) 챗봇을 통한 개인정보 유출이나 다크웹(특정 프로그램을 통해서만 접속할 수 있는 웹사이트)에서 개인정보 불법 거래 등을 방지할 기술을 2026년까지 개발하기로 했다. 개인정보보호위원회는 6일 개인정보 보호·활용에 필요한 11개 핵심기술 연구·개발을 골자로 하는 ‘개인정보 보호·활용 기술개발 로드맵’(2022∼2026년) 초안을 공개했다. 개인정보위는 개인정보 유·노출 최소화, 안전한 활용, 정보주체 권리보장의 3개 분야에 대해 모두 11개 핵심기술과 37개 세부 기술을 개발하기로 했다. 유·노출 최소화 부문에서는 ‘비정형 데이터 개인정보 탐지’ 기술을 개발한다. 이 기술은 텍스트, 영상, 음성처럼 형태가 일정하지 않은 데이터 안에 개인정보가 포함됐는지를 탐지할 수 있도록 할 계획이다. 앞서 국내 한 스타트업에서 개발한 인공지능 챗봇 ‘이루다’는 이용자의 동의 없이 수집한 개인정보가 유출돼 개인정보보호법 위반으로 업체에 1억원의 과징금·과태료 철퇴를 받은 바 있다. 다크웹에서 획득한 개인 계정을 통해 해킹 등 범죄를 저지르는 일을 방지할 ‘다크웹 개인정보 거래 추적 및 차단 기술’도 개발한다. 이 기술은 ID 등 개인정보 불법 거래 정황을 포착하거나 해당 게시물 삭제, 웹서버 차단 등을 할 수 있도록 할 예정이다. 정부는 로드맵 초안과 관련해 이날 오후 전문가들과 온라인 토론회를 열고 의견을 수렴했다. 최영진 개인정보위 부위원장은 “개인정보의 활용을 확대하면서도 안전하게 보호되도록 기술개발과 표준화가 무엇보다 중요하다”면서 “로드맵에 따라 개인정보 보호·활용을 위한 기술 연구개발(R＆D)이 성공적으로 추진될 수 있도록 하겠다”고 말했다.

가명정보 결합전문기관의 역할이 가명정보 처리와 분석 지원 등으로 확대된다. 개인정보보호위원회는 5일 이 같은 내용의 가명정보 결합 및 반출 등에 관한 고시 일부 개정안이 시행된다고 밝혔다. 개정안에 따르면 결합전문기관의 역할이 상담(컨설팅)과 가명정보 처리, 분석 지원 등 전 단계로 확대된다. 현재는 결합과 반출로 한정됐다. 가명정보 결합 과정에서 불필요한 시간과 비용도 최소화된다. 개인정보를 가명 처리하기 전에 결합키만 생성해 사전에 결합률을 확인하거나, 일부 정보만 미리 결합·분석해 결합 진행 여부를 결정 및 결합대상 정보를 변경할 수 있도록 했다. 지정 요건을 완화해 다양한 분야에 전문성을 가진 법인·단체·기관이 더 원활하게 전문기관으로 지정받을 수 있도록 했다. 전문가 3명 중 1명은 기관 내 다른 부서 겸임도 인정된다. 법률상 출연 근거 등 기관 운영의 건전성·지속성이 확보된 공공기관은 자본금 50억원의 요건을 충족하지 않아도 결합전문기관으로 지정받을 수 있다. 개인정보위는 다양한 분야에 전문성을 보유한 기관·법인 등이 전문기관으로 활동할 수 있는 기반 마련과 함께 시설·설비 등의 투자 부담도 줄어들 것으로 기대했다.

10월 1일부터 본인의 휴대전화 통화내역 열람기한이 1년으로 늘어난다. 개인정보보호위원회는 10월 1일부터 본인의 휴대전화 통화내역 열람기한이 6개월에서 1년으로 확대된다고 30일 밝혔다. 그동안 이동통신사는 통신비밀보호법에 따라 수사·안보 등의 목적으로 통화내역과 기지국 접속정보 등 통신사실 확인자료를 12개월간 보관했지만 이용약관에는 통화내역 열람청구 기간을 모두 6개월로 제한했다. 개인정보위는 지난해 12월 개인정보 보호법상 개인정보 열람권의 실질적 보장을 위해 이용약관 열람기한 1년으로 연장하도록 개선권고했고, 48개 이동통신사(통신3사, 알뜰폰사업자 45개)가 이를 수용했다. 본인의 휴대전화 통화내역 열람을 원할 경우 해당 이통사의 홈페이지, 고객센터(114), 직영대리점 등에서 신청할 수 있다. 홈페이지의 경우 본인인증 후 통화내역을 바로 열람할 수 있고 고객센터 전화, 직영 대리점 방문의 경우 팩스, 등기우편 또는 전자메일로 받아 볼 수 있다. 송상훈 개인정보위 조사조정국장은 “앞으로도 개인정보위는 국민의 자기정보결정권을 두텁게 보장하기 위한 제도개선 사항을 적극 발굴하고 개선하겠다”고 말했다

앞으로 개인정보 보호를 위해 암호화해야 하는 지문 등 생체인식정보가 명확히 규정된다. 개인정보보호위원회는 8일 지문·정맥·홍채 등 생체정보의 보호와 안전한 활용을 위한 생체정보 보호 가이드라인을 개정했다. 생체정보 보호 가이드라인은 기존 바이오정보 보호 가이드라인을 전면 개편한 것으로 생체정보 보호를 위한 기본 원칙과 생체정보 처리 단계별 보호 조치, 사례 등을 구체적으로 제시했다. 개정된 가이드라인에 따르면 기존 ‘바이오정보’라는 용어를 ‘생체정보’로 바꿔 개념을 명확히 하고, 개인정보보호 법령에서 암호화 대상으로 규정하는 정보의 범위를 명확히 했다. 보호원칙 중심으로 구성된 기존 가이드라인을 생체인식정보가 처리되는 5단계에 따라 각 처리 단계에서 필요한 총 15개의 보호 조치를 안내하는 체계로 개편했다. 적용 대상도 기존 정보통신서비스 제공자 등에서 개인정보처리자(정보통신서비스 제공자 등 포함)로 확대된다. 개인정보위는 이날 열린 제15회 전체회의에서 지방자치단체 5곳(교육청 2곳 포함) 등 19개 공공기관에 과태료 부과, 시정권고·명령·공표 등을 의결했다. 지자체에 과태료를 부과한 것은 2011년 3월 개인정보보호법 제정 이후 처음이다. 충북 청주시에 과태료 960만원을 부과한 것을 비롯해, 전남·충남 천안시 등에 과태료 480만원 등 과태료 총액은 9360만원이었다. 개인정보위는 올해 초 개인정보보호법 위반 소지가 있는 20개 공공기관을 선정해 조사했다. 그 결과 개인정보처리시스템에 접속한 기록을 월 1회 이상 점검하지 않는 등 접속 기록을 미흡하게 관리하거나, 외부에서 추가 인증절차 없이 아이디 및 비밀번호 입력만으로 개인정보처리시스템에 접근 가능하도록 하는 등의 위반 사례를 다수 확인했다. 한 계정을 여러 명이 공유하며 사용하거나 비밀번호를 암호화하지 않고 송신하는 사례도 있었다. 개인정보위는 또한 이날 회의에서 정보통신서비스 제공자 등의 개인정보보호법규 위반 정도가 경미한 경우 과징금 부과를 시정조치 명령으로 대신하고 과태료만 부과할 수 있도록 결정했다. 이에 따라 개인정보를 유출했으나 위반 행위가 경미한 6개 사업자에 대해 이 같은 기준이 처음으로 적용돼 과징금을 부과하지 않고 총 4800만원의 과태료 부과, 시정명령, 공표 등 시정조치가 내려졌다.

개인정보보호위원회(개인정보위) 정책자문기구에 사법부 고위인사가 공동의장으로 활동해 논란이 일고 있다. “사법부 인사가 행정부의 정책 형성 과정에 참여하는 것은 적절하지 않다”는 지적이 법조계와 정부 내에서 나오고 있다. 하지만 “최종 정책 결정을 하는 자리가 아니기에 문제가 없다”는 반론도 있다. 개인정보위는 지난 4월 정책자문기구인 개인정보미래포럼(이하 미래포럼)을 출범시켰다. 윤종인 개인정보위 위원장과 강영수 인천지법원장이 공동의장을 맡았다. 회의는 강 법원장이 주재하며 포럼을 이끌고 있다. 현직 사법부 고위인사가 행정부 정책자문기구의 장에 임명된 것은 이례적이다. 출범 넉 달이 지난 후에도 강 법원장의 공동의장직 수행을 놓고 포럼 안팎에서 뒷말이 끊이지 않고 있다. 정부의 한 관계자는 2일 “사법부 인사가 행정부 내 정책자문기구 의장을 맡는 것은 입법·행정·사법 삼권분립의 원칙에 맞지 않는다”면서 “공동의장 자리가 상임직은 아니지만 현직 법원장이 정부 정책 형성에 영향을 미치는 것은 부적절해 보인다”고 말했다. 다른 관계자도 “사건 조사 시 당사자의 의견을 들어 제재를 판단해야 하는 등 전문성이 필요할 때 행정부에서 판사에게 자문을 요청하는 경우가 드물게 있긴 하지만 전반적인 정책 형성 과정에 참여하는 것을 본 적이 없다”고 말했다. 앞서 문재인 정부 출범 직후인 2017년 5월 김형연 부장판사가 청와대 법무비서관에 임명된 것을 놓고 논란이 된 것도 같은 맥락이다. 당시 현직 판사가 사직 직후 청와대행을 한 것이 문제가 됐는데 강 법원장의 경우 현직이라서 더 문제가 될 수 있다는 지적이 나온다. 특히 개인정보위가 홈페이지에서 포럼의 목적이 단순 ‘정책 자문’이 아니라 ‘정책화 과정’이라는 점을 분명히 하고 있다는 점도 논란을 키우고 있다. 개인정보위는 최근 구글 등 3개 기업에 개인정보보호법 위반으로 과징금 66억을 부과하고, 이용자 정보 유출 논란을 일으킨 인공지능 챗봇 ‘이루다’ 개발사에 관련 법 위반으로 1억원의 과징금 철퇴를 내리는 등 갈수록 위상이 높아지고 있다. 미래포럼을 출범시킨 것도 개인정보 패러다임 전환을 위한 행보다. 미래포럼은 산업계 등 각계 전문가 40명으로 구성됐는데 매월 한 차례 회의를 연다. 보통 위원 2명이 돌아가며 의제를 발제하고 논의를 거쳐 법제·정책화된 정책과제를 개인정보위에 제안하면 정보위는 이를 심의·의결해 정책에 반영하는 식으로 운영된다. 논의된 사안들은 관련법 개정안과 개인정보위의 중장기 계획에 반영될 수 있다. 변호사 5명이 위원으로 참여해 법적 자문을 하고 있다. 법조계의 한 인사는 “변호사들이 법리적인 문제를 점검할 수 있는데 굳이 정치적 독립성과 중립성이 생명인 현직 판사를 공동의장으로 앉힌 것은 의아하다”면서 “판사가 정부 정책 형성 과정에 참여하면 개인정보법 위반 기업 판결 등에 정부의 입장을 반영한 편파적인 판결을 내릴 수도 있다”고 지적했다. 하지만 개인정보위 관계자는 “미래포럼은 해외 법제·판례, 기술발전 등 중장기적 관점에서 개인정보 보호 발전 방안에 대해 각계 인사들이 모여 다양한 논의가 이뤄지는 공론의 장”이라면서 “강 법원장은 정보법학회 회장의 자격으로 참여하는 것이어서 문제될 것은 없다”고 말했다.