한겨레

개인정보보호위원회(개보위)가 내·외국인 얼굴 사진 등을 이용한 ‘인공지능 식별추적 시스템’ 구축 사업 관련 자료를 법무부·과학기술정보통신부(과기부)에 요구하며 적법성 검토에 착수했다. 이들 부처가 개인정보를 민간 업체에 불법 제공했는지 여부, 원래의 수집 목적대로 이용했는지 여부 등을 들여다볼 계획이다. 그러나 지난 2년여 동안 최소 1억7000만건 개인정보가 민간으로 이전될 동안 개보위는 이 사업 존재조차 몰랐던 것으로 확인돼 ‘뒤늦은 체면치레’라는 평가도 나온다.

27일 <한겨레> 취재 내용을 종합하면, 개보위는 최근 법무부·과기부에 이들 부처가 인공지능 식별추적 시스템을 추진하며 민간 업체들과 맺은 개인정보 처리위탁 계약서 등을 제출해 달라고 요구했다. 해당 사업의 개인정보보호법 위반 여부를 살피기 위해서다. 개보위 핵심 관계자는 <한겨레>와 한 통화에서 “개인정보보호법 위반 정황이 발견되면 사건을 개보위 조사조정국으로 넘겨 (과징금 등 처벌 대상인지를 판단하기 위한) 본격적인 조사를 진행할 수 있다”고 말했다.

개보위는 법무부가 업체들과 맺은 개인정보 처리위탁 계약이 ‘위탁’ 요건을 갖췄는지를 중점적으로 따질 방침이다. 법무부는 이 계약이 “개인정보보호법 상 별도의 본인 동의가 필요 없는 개인정보 ‘처리위탁’에 해당한다”는 입장이다. 반면 정보인권 단체들은 해당 정보 이관을 위탁이 아닌 당사자 동의를 필요로 한 ‘제3자 제공’에 해당한다는 주장을 펴고 있다. 개보위는 단순 위탁이 아닐 가능성을 열어두고 사실조사를 벌일 예정이다.

또 해당 사업이 ‘목적 내 이용’에 해당하는지 여부도 개보위가 검토할 핵심 대상이다. 앞서 법무부는 설명자료를 내어 “(이 계약은) 본래의 개인정보 수집·이용 목적과 관련된 업무 처리와 이익을 위한 것”이라며 “본래의 개인정보 수집·이용 목적의 범위를 넘어, 정보를 제공받는 자의 이익 등을 위해 개인정보가 이전되는 ‘제3자 제공’에는 해당되지 않는다”고 주장했다. 출입국관리법 상 출입국 심사를 위해 수집된 안면 정보를 ‘출입국 심사 고도화’에 썼으니, 원래 수집목적에 부합한다는 논리다. 반면 민변과 정보인권단체 등은 개인 이동경로를 추적하고 행동패턴을 예측하는 등을 목표로 하는 이 사업은 수집 목적을 한참 벗어난 ‘목적 외 이용’이라고 맞선다.

개보위는 지난 21일 <한겨레> 보도 이전에는 해당 사업의 존재 자체도 인지하지 못했다고 말했다. 개보위 쪽은 “이전에는 이 사업에 대해 별도로 검토한 적이 없다. 관련 기사를 보고 (적법성을) 들여다보고 있다”고 밝혔다. 개보위는 개인정보보호법 1차 해석 기관이자 개인정보 관리 정책 주무부처이다. 법무부 등은 해당 사업의 적법성 등에 대한 유권해석도 개보위에 의뢰하지 않았다.

특히 공공기관이 정보주체 100만명 이상의 개인정보가 들어간 정보파일을 구축할 때는 개보위의 ‘개인정보 영향평가’를 받아야 한다. 본인 동의 없이 개인정보를 제3자에 제공할 때도 개보위 심의·의결이 필요하다. 하지만 법무부와 과기부는 민간 법무법인의 ‘개인정보 보호 법률검토’를 통해 이런 절차를 피해갔다. 실제 법무부와 과기부에 법률자문을 한 법무법인 지평은 “(개보위는) 개인정보를 이용·제공받지 않아도 업무 수행이 가능한 다른 방법들이 존재하는 경우 (제3자 제공의) 요건이 충족되지 않는다고 판단한다. 개보위 승인을 받기 어려울 것으로 보인다”고 회신한 바 있다. 이에 법무부는 민간 업체와 위탁 계약 체결이란 방식으로 개인정보 ‘제공’에 대한 개보위 심의를 피해 갔다.

한편 개보위가 위법 정황을 확인해 본 조사에 나서더라도 사업 중단 등 실효성 있는 조처로 이어질지는 미지수다. 이미 1억7천만건의 내·외국인 개인정보가 민간 업체에 넘어간 데다, 내년 연말이면 해당 사업이 모두 끝나기 때문이다.

천호성 기자 rieux@hani.co.kr