I. 「이동형 영상정보처리기기를 위한 개인영상정보 보호·활용 안내서」 (이하 “본 안내서”) 발간
최근 스마트 안경, 자율주행차, 배달로봇, 드론 등 카메라가 장착되어 사람 또는 사물의영상 등을 촬영하거나 촬영한 영상정보를 유∙무선망을 통하여 전송하는 ‘이동형 영상정보처리기기’ 관련 기술 개발이 활발하게 이루어지고 있고, 이동형 영상정보처리기기로 촬영된 영상을 인공지능 개발에 활용하고자 하는 산업계의 요구가 많아졌습니다.
이에 발맞추어 개인정보보호위원회는 지난 2023. 3. 14. 개인정보 보호법(이하 “법”) 개정을 통해 이동형 영상정보처리기기에 관한 규정(제25조의2)을 신설하였고, 최근 2024. 10. 14. 인공지능(AI) 개발 기업들이 이동형 영상정보처리기기에서 촬영된 영상을 AI 개발 등에 활용할 수 있도록 개인영상정보 보호∙활용 기준을 수립하여 본 안내서를 발간하였습니다.
기존에도 개인정보보호위원회는 「가명정보 처리 가이드라인」을 통해 영상을 포함한 비정형데이터에 대한 가명처리 기준을 제시한 바 있으나, 본 안내서는 이동형 영상정보처리기기의 특성에 맞추어 이를 통해 이루어지는 개인영상정보의 촬영, 이용, 제공, 보관, 파기 등 처리 단계별 준수사항을 구체적으로 제시하고 있는바, 다음 내용을 참고하여 개인영상정보 활용 계획을 수립하는 것이 바람직합니다.
II. 주요 내용
1. 이동형 영상정보처리기기의 개인영상정보 처리 원칙
이동형 영상정보처리기기는 통상 다른 기기나 신체 등에 부착된 형태로 이동중 일정한 촬영 범위에 포함된 모든 사람과 사물의 영상을 자동적으로 촬영하는 기계 장치이므로, 정보주체가 촬영 사실을 인지하기 어렵고 불특정다수의 개인영상정보가 그들의 의사와는 관계없이 수집되는 결과를 초래한다는 특성이 있습니다. 따라서 다른 형태의 개인정보 수집에 비해 개인의 사생활이 침해될 가능성이 높고, 촬영 대상을 특정∙예상하기 어려워 동의 등 사전적 조치가 곤란하며, 정보주체가 촬영사실을 인지하지 못할 가능성이 상당하므로 사후적 권리행사도 제한될 수 있습니다.
개인정보보호위원회는 법상의 개인정보 보호 원칙(제3조)을 기본으로 위와 같은 이동형 영상정보처리기기의 개인영상정보 처리 특성을 고려하여 다음과 같은 8대 원칙을 도출하였습니다.
2. 개인영상정보 처리 단계별 유의사항
1) 기획 및 설계 단계
•[법적 근거 확인] 공개된 장소에서 업무를 목적으로 이동형 영상정보처리기기를 이용하여 개인영상정보를 촬영하는 행위는 원칙적으로 제한되며, 아래와 같은 경우에만 허용됩니다(법 제25조의2 제1항).
① 개인정보 수집·이용의 일반 요건(법 제15조 제1항)을 충족하는 경우
- 정보주체의 동의를 받은 경우
- 법률에 특별한 규정이 있거나 법령상 의무 준수를 위하여 불가피한 경우
- 공공기관이 법령 등에서 정한 소관 업무의 수행을 위하여 불가피한 경우
* 예: 지자체 등에서 불법주차 차량 촬영 등
- 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우
* 예: 광고촬영, 웨딩촬영, 배송완료 촬영 등
- 명백히 정보주체 또는 제3자의 급박한 생명신체재산의 이익을 위하여 필요하다고 인정되는 경우
* 예: 사건사고 상황을 촬영하여 피해구제에 활용 등
- 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우(개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한함)
* 예: 위험지역에 대한 원격 영상 모니터링 등
- 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우
* 예: 감염병 상황을 촬영하여 긴급히 전파 등
② 촬영사실을 명확히 표시하여 정보주체가 촬영사실을 알 수 있도록 하였음에도 불구하고 촬영 거부 의사를 밝히지 아니한 경우(정보주체의 권리를 부당하게 침해할 우려가 없고 합리적인 범위를 초과하지 아니하는 경우로 한정)
* 유무인 이동체가 주행 과정에서 충돌 회피를 위해 경로 주변 영상을 촬영분석하는 행위 등. 부당한 권리 침해 우려란, 정보주체의 권리 침해 내용과 정도가 사회통념상 참고 견디기 어려운 부당한 수준에 이를 가능성이 있는 경우를 뜻함
③ 위 ①, ②에 준하는 경우로서 대통령령으로 정하는 경우
* 기술발전에 대비한 조항으로, 현재는 별도 규정 없음
• 또한 목욕실, 화장실, 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소에서는 범죄나 재난 등의 상황에서 인명의 구조구급을 위하여 필요한 경우를 제외하고는 촬영이 금지됩니다(법 제25조의2 제2항).
• [목적 명확화] 영상기기운영자 및 제조사등은 제품·서비스에 개인영상정보 처리가 수반되는 경우 그 처리 목적을 사전에 명확히 설정하고 그에 맞는 촬영(수집)방법을 결정하여야 합니다.
* 예: 평상시에는 열화상 모드로, 목적달성을 위한 특정 경우에만 일반 카메라로 동작 등
• [개인정보보호 중심 설계] 제품·서비스 개발 시 기획 단계부터 개인정보의 생애주기에 맞는, 이용자의 프라이버시를 고려한 정책을 설계에 반영하여야 합니다.또한 필요시 외부 전문가 또는 제3의 기관을 통해 객관적인 검증을 거치는 것이 바람직합니다.
2) 촬영(수집) 단계
• [사생활 보호] 불특정 다수가 이용하는 목욕실, 화장실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부에서는 촬영이 금지되고, 수영장, 찜질방 등 일반적으로 촬영에 대한 거부감이 예상되는 장소는 촬영이 제한될 수 있습니다.
• [촬영 사실의 표시] 이동형 영상정보처리기기의 경우 이동 경로에 있는 불특정다수의 개인영상정보가 촬영(수집)될 수 있다는 특성상 개인정보 수집이용의 일반 요건(법 제15조 제1항 각호)을 충족하기 어려우므로, 법 제25조의2 제1항 제2호를 주요한 법적 근거로 확보해야 합니다.
- 즉, 이동형 영상정보처리기기로 사람의 개인정보에 해당하는 영상을 촬영하는 경우 불빛, 소리, 안내판, 안내서면, 안내방송 또는 이에 준하는 수단이나 방법으로 정보주체가 촬영 사실을 알 수 있도록 표시하고 알려야 합니다.
- 개인정보보호위원회가 제시하는 주요 이동형 영상정보처리기기별 촬영 사실 표시 방법 권고안은 다음과 같습니다.
• [익명·가명 처리] 개인정보를 익명 또는 가명 처리하여도 개인정보 수집 목적을 달성할 수 있는 경우(예. 산불감시, 교통흐름 확인 등)에는 가급적 익명 또는 가명처리를 통해 특정 개인을 알아볼 수 없도록 영상을 처리하는 것이 바람직합니다.
• [촬영 거부 의사 존중] 피촬영자인 정보주체가 촬영 거부 의사를 명확하게 전달하고 촬영 중단이나 삭제를 요구하는 경우에는 이에 따라야 합니다(Opt-out 방식). 또한 자율주행차 등은 고속 이동하면서 영상을 촬영하므로 정보주체의 거부의사를 파악하는 것이 어렵다는 특성이 있기 때문에, 이를 통해 촬영된 영상을 자율주행시스템 개발 등에 활용할 때에는 익명가명처리하는 것이 바람직합니다.
3) 이용 및 제공 단계
• [목적 범위 내 이용·제공] 법 제25조의2는 촬영 단계에서 적용되는 사항을 규율하므로, 촬영된 개인영상정보의 이용·제공 등에 관하여는 개인정보 보호법의 일반 원칙이 적용됩니다. 따라서 개인영상정보는 그 촬영(수집) 목적의 범위에서 이용 또는 제공하여야 하고, 법령에서 허용하는 예외적인 경우가 아닌 이상 임의로 제3자에게 제공하거나 국외이전 하여서는 안됩니다.
• [추가적 이용·제공] 법 제15조 제3항 및 제17조 제4항, 동법 시행령 제14조의2에 따라 개인영상정보의 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 안전성 확보 조치를 하였는지 여부 등을 고려하여 정보주체의 동의 없이 개인정보를 이용·제공할 수 있습니다.
* 예: 자율주행차 등이 안전한 주행 목적으로 영상 촬영시 장애물 충돌, 교통사고 등이 발생한 경우, 해당 상황이 촬영된 영상을 사고처리를 위해 보험사에 제공
• [과학적 연구 목적] 통계작성, 과학적 연구, 공익적 기록 보존 목적 등의 경우 법 제28조의2부터 제28조의7에 따라 개인정보를 가명처리한 후 활용 가능합니다.
- 예컨대, 자율주행차가 촬영한 영상데이터를 주행이 완료된 이후에 인공지능 학습 목적으로 활용하는 것은 개인정보 침해 우려가 있으므로 원칙적으로 가명처리를 한 후 인공지능 개발에 활용하여야 합니다. 다만, 연구목적 달성을 위해 원본 활용이 불가피한 경우에는 개인정보보호위원회가 제시하는 가명처리 수준 이상의 안전성 확보조치를 취하는 등 규제샌드박스 실증특례 신청을 검토할 수 있습니다(자세한 내용은 www.sandbox.go.kr 참조).
* ’24. 6월말 기준 자율주행차, 로봇 관련 4개 업체에 영상데이터 원본 활용 허용
4) 보관 및 파기 단계
• [보호책임자 지정 등] 개인영상정보의 처리에 관한 업무를 총괄하여 책임질 보호책임자를 지정하고, 개인영상정보의 적절한 처리와 안전한 보관·관리를 위한 운영관리체계를 마련하여 시행하여야 합니다.
* 만약 개인영상정보 관련 업무만을 담당할 보호책임자를 법 제31조에 따른 개인정보 보호책임자와 구분하여 지정하는 경우, 법 시행령 제32조 제3항에 따른 개인정보 보호책임자의 지정 요건은 적용하지 아니할 수 있음
• [보유기간 설정 및 관리] 공개된 장소에서 촬영된 불특정 다수 영상의 경우, 사전에 보유기간 등을 정보주체에게 직접 고지하기 어려우므로 인터넷 홈페이지 등을 통해 촬영대상이 되는 모든 정보주체에게 그 내용을 지속적으로 공개하여야 합니다. 또한 영상기기운영자가 설정한 보유기간이 도래한 경우 원칙적으로 개인영상정보를 파기하여야 하나, 업무 목적 미달성 등 추가로 보유하여야 할 필요성이 있는 경우에는 보유기간 연장 사실과 판단의 근거 등을 운영관리방침에 기재하여 공개함으로써 추가로 개인영상정보를 보유할 수 있습니다.
• [운영관리방침 마련] 법 제25조의2 제4항 및 표준개인정보보호지침 제39조의3에 따라 아래 내용을 포함한 운영관리방침을 마련하여야 합니다.
- 운영관리방침을 마련하거나 일부 변경한 경우에는 정보주체가 쉽게 확인할 수 있도록 인터넷 홈페이지 등을 통해 공개하는 것이 바람직하고, 이동형 영상정보처리기기에 운영관리방침에 접근할 수 있는 홈페이지 주소 또는 QR코드를 표기하는 것을 권장합니다.
• [파기 또는 분리보관] 보유기간 경과, 처리 목적 달성 등으로 개인영상정보가 불필요하게 되었을 때에는 이를 지체없이 파기하여야 하고, 다른 법령에서 별도의 보존의무를 규정한 경우에는 다른 개인영상정보와 분리저장·관리하여야 합니다.
- 개인영상정보 파기 시에는 △소각·파쇄 등 완전 파괴, △전용 소자장비를 이용한 삭제, △초기화 또는 덮어쓰기 수행 중 어느 하나에 해당하는 조치를 통해 복구 또는 재생되지 않도록 조치하여야 합니다. 또한 개인영상정보 중 일부만을 파기하는 경우에는 익명정보로 처리하고 복원 불가능하도록 조치할 수도 있습니다.
5) 상시 보호조치
•[안전성 확보조치] 법 제29조에 따라 개인정보의 안전성 확보를 위한 기술적·관리적·물리적 조치를 하여야 하고, 그 주요 항목은 아래와 같습니다.
• [교육 및 관리감독] 개인영상정보취급자의 범위를 최소한으로 제한하고 정기적으로 필요한 교육을 실시하는 등 적절한 관리·감독을 하여야 합니다.
- 특히, 외부 수탁자에 의해 개인영상정보가 처리되는 경우에는, 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 법을 위반하여 발생한 손해배상 책임에 대해서 위탁자가 민법상 사용자책임을 부담하므로, 위탁자는 수탁자를 지속적으로 관리·감독하여야 합니다.
• [정보주체 권리보장] 정보주체의 열람 요구권, 전송 요구권, 정정·삭제 요구권, 처리정지 요구권, 자동화된 결정에 대한 거부권 및 설명요구권 등의 권리를 보장하여야 하고, 정보주체의 권리의무 및 그 행사방법에 관한 절차를 마련하여 운영관리방침 등을 통해 공개하여야 합니다.
3. 위험도에 따른 개인영상정보 처리 유형 분류
• 본 안내서는 개인영상정보 처리 방식에 따라 아래와 같이 3가지 유형으로 위험도를 분류하고 있습니다.
• 이동형 영상정보처리기기를 통한 영상정보 처리 방식에 따라 위와 같이 위험도 등을 평가하고 그에 맞는 개선방안을 도출하는 노력을 하여야 합니다
III. 시사점
인공지능 기술의 급격한 발전과 더불어 이를 활용한 자율주행차, 서비스 로봇 등의 신산업이 확대되는 시점에, 본 안내서는 이러한 이동형 영상정보처리기기를 통해 촬영한 개인영상정보의 보호 및 활용 기준을 제시하고 있습니다.
특히 본 안내서는 법의 개정에 따라 신설된 이동형 영상정보처리기기에 대한 규정 등의 요건을 다양한 사례를 들어 산업계에서 이해하고 적용하기 쉬운 형태로 구체화하여 설명하고 있습니다.
이에 그 동안 규제의 불확실성 등으로 위축되어 있던 인공지능 개발 목적 개인영상정보의 활용이 보다 활발해질 것으로 기대되며, 본 안내서에서 제시한 다양한 위험도 평가 및 안전성 확보조치 기준 등을 참고하여 정보주체의 권리 침해 우려를 최소화 하면서도 데이터 활용도를 높일 수 있을 것으로 생각됩니다.
인공지능 기술의 발달과 기존에 없던 새로운 제품 및 서비스 등의 등장에 발맞추어 개인정보보호위원회는 주기적으로 본 안내서를 보완 및 개선해나갈 예정인 만큼, 관련 업계 종사자분들은 지속적으로 관련 법령의 개정사항 및 본 안내서의 업데이트 등에 대해서 관심을 가지고 숙지해야 할 필요가 있습니다.
