생체정보 활용과 개인정보 보호

규제조화 방안 연구

2024년 7월

개인정보보호위원회

이 정 은

국외훈련 개요

훈련국 : 미국

2. 훈련기관명 : 글로벌전략경영원

(Global America Business Institute)

3. 훈련분야 : 개인정보

4. 훈련기간 : 2023. 8월 ~ 2024. 8월

훈련기관 개요

명 칭	글로벌 전략경영원 (Global America Business Institute)
소 재 지	1001 Connecticut NW #435, Washington, DC 22036, U.S.A.
홈페이지	http://www.thegabi.com
설립목적	ㅇ 글로벌 이슈에 대한 국제적 교류 증진, 전문가 및 리더 양성 ㅇ 국내외 정책연구기관과의 다자 협력 ㅇ 대학 연계 정책연구 및 교육훈련 ㅇ 글로벌 경영환경 분석 및 재정정책, 전략 컨설팅, 자문
조 직	ㅇ 글로벌 이슈 정책자문위원회(Advisory Board), Staff, Fellowship 및 Internship 운영조직, 행정지원 등
주요 기능 및 연구분야	ㅇ 재정, 복지, 산업 등 글로벌 이슈 관련 국제적 협력, 공동연구 및 정책자문, 분야별 관심주제 심층연구 지원 ㅇ 에너지, 기후변화 등 글로벌 정책 한‧미‧일 공동연구 ㅇ 민간‧정부‧학계‧언론 등 분야별 전문가 대상 교류 및 교육훈련 ㅇ Visiting Fellowship, Elite CEO program, Global leadership Program 등 운영
주요인사 인적사항	ㅇ President : Florence Lowe-Lee - GABI Founder, Officer

< 목 차 >

국외훈련 개요	1

훈련기관 개요	2

Ⅰ. 연구 배경	5

Ⅱ. 생체인식 기술 현황	9

Ⅲ. 미국의 생체정보 보호 규율체계	15

1. 미국 주별 생체정보 보호 체계	19

2. 미국 연방 생체정보 보호 체계	45

3. 미국 국토안보부 지침	51

Ⅳ. 유럽연합(EU) 생체정보 보호 규율체계	53

1. GDPR 내 생체정보 관련 조항	53

2. EU 인공지능법	54

3. 유럽내 생체정보 관련 가이드라인	60

Ⅴ. 영국(UK) 생체정보 보호 규율체계	65

1. 생체정보 보호 법률	65

2. 정보위원회 가이드라인	68

Ⅵ. 아시아 국가의 규율체계	69

1. 중국	69

2. 일본	72

3. 싱가포르	74

Ⅶ. 국내 생체정보 보호 법체계 분석	80

Ⅷ. 주요국 소송 및 처분 사례	89

1. Clearview AI 처분 사례	89

2. 미국 일리노이주 소송 및 판결 사례	91

3. 국내 처분 사례	96

Ⅸ. 평가 및 정책제언	98

수집자료 및 참고문헌	102

Ⅰ. 연구 배경

생체인식은 개인의 독특한 행동이나 생물학적인 특성을 기반으로 개인을 인식하는 것으로, 생물학적 특성은 얼굴, 지문, 홍채 등 신체의 한 부분을 직접 측정하여 사용되고, 행동적 특성은 음성, 필적과 같은 개인의 행동에서 파생된 데이터를 기반으로 한다. 2020년 발생한 COVID-19이 전 세계적으로 장기간 지속되면서 비접촉 인증에 대한 수요가 급증하였고, 인공지능(Artificial Intelligence), 머신러닝 등의 발달로 생체인식 기술 및 관련 시장이 급속도로 증가하고 있다.

글로벌 리서치 기관인 Precedence Research에 따르면, 전 세계 생체인식 기술 시장 규모는 ‘22년 약 460억$ 수준으로 추정되며, 연평균 13.6%씩 성장하여 ’32년에는 약 1,639억$에 이를 것으로 전망된다.

Precedence Research 생체인식 기술 시장(Biometric Technology Market) 전망 보고서 2023-2032https://www.precedenceresearch.com/biometric-technology-market

【 생체인식기술 시장 규모(‘22~’32) 】      (단위: 10억)

출처 : www.precedenceresearch.com

지문이나 홍채와 같은 생체정보는 개인마다 다르고 중복될 가능성이 매우 낮은 고유성을 가지며, 시간에 따라 변하지 않는 영속성(불변성)과 수집이 용이한 장점이 있어 인증이나 신원 확인 등에 많이 활용되고 있다. 하지만, 코로나 19 팬데믹 이후 비대면 인증 수요가 폭발적으로 증가함에 따라 생체인식 기술의 사용이 더욱 확대되면서 다양한 문제점도 함께 대두되고 있는데, 우선 생체정보가 유출될 경우 해당 정보의 변경이 불가능하다는 점 때문에 영구적인 피해가 발생할 수 있다. 또한, 생체인식 기술이 100% 완벽하지 않기 때문에 잘못된 인식으로 큰 피해를 초래할 수 있으며, 생체정보를 수집하여 이를 불법적으로 사용할 경우 개인을 감시하는 도구로 악용될 가능성이 있다.

2019년 5월 미국 세관 및 국경 보호국(Customs and Border Protection, CBP)의 얼굴 인식 데이터 유출 사건을 계기로 생체인식 데이터의 안전 관리의 중요성을 부각시킨 바 있는데, 특정 위치에서 수집된 여행자의 얼굴 이미지와 차량 번호판 이미지를 CBP의 승인이나 인지 없이 하청업체인 퍼셉틱스(Perceptics)가 자체 네트워크로 전송한 후 이 데이터가 유출되는 사건이 발생하였다. 유출된 이미지는 약 18만 개로 이 중 약 10만 명의 얼굴 이미지가 포함되어 있었고, 퍼셉틱스의 네트워크에 대한 사이버 공격으로 이 데이터가 유출되었으며, 일부 얼굴 이미지는 다크웹에 게시되기도 하였다. 사건 인지 후 CBP는 관련 장비 사용을 중지하고, 퍼셉틱스 직원의 시스템 접근을 차단하였으며, 하청업체에 대한 보안 프로토콜 강화, USB 사용 제한 등 유사 사건 방지를 위한 보안 강화 조치를 마련하였다.

미국 CBP 안면인식 데이터 유출 사고 리포트 https://www.oversight.gov/report/dhs/review-cbps-major-cybersecurity-incident-during-2019-biometric-pilot

2022년 11월 미국 조지아주의 랜달 리드(Randal Reid)는 얼굴 인식기술의 오류로 인해 루이지애나주의 절도 사건에 연루되었다고 잘못 인식되어 체포되기도 하였다. 그는 루이지애나주에 가본 적도 없었으며 실제 용의자와 외모상 차이가 컸음에도 불구하고 체포되어 5일 동안 구금되었다가 석방되어 문제가 되었다. 얼굴 인식 기술은 오래전부터 인종, 성별, 연령에 따라 오류 편차가 커지는 편향성에 대한 비판이 제기되어 왔으며, 2019년 미국 상무부 산하 표준기술연구소(NIST)가 얼굴 인식 소프트웨어 알고리즘 분석을 통해 이러한 편향성을 지적하는 연구결과를 발표한 바 있다.

https://www.biometricupdate.com/202301/mistaken-arrest-in-georgia-triggered-by-false-facial-recognition-match-in-different-state

https://www.aitimes.com/news/articleView.html?idxno=132833

영국 보안업체 Comparitech는 미국 내 인구수 기준 상위 50개 도시를 대상으로 고정형 CCTV 카메라 수, 실시간 범죄 센터를 통해 접근할 수 있는 카메라 수, 경찰 네트워크에 포함된 개인 카메라 수, 경찰의 바디 카메라 및 순찰차 대시 카메라 수, 대중교통 시설에 설치된 카메라 수, 교통 카메라 수를 조사한 결과를 2024년 1월 발표하였는데, 평균적으로 각 도시들은 인구 1,000명당 11대의 감시 카메라가 있으며, 특히 애틀랜타는 인구 1,000명당 124대 이상의 카메라가 설치되어 있는 것으로 나타났다. 도시 면적당 가장 많은 카메라가 설치된 곳은 Washington DC로 제곱 마일당 약 574대의 카메라가 있는 것으로 조사되었는데, 이러한 카메라 설치는 교통 모니터링부터 범죄 예방까지 다양한 목적을 가지고 있으며 점점 더 높은 해상도, 실시간 비디오 영상에 대한 원격 접근 증가, 얼굴 인식 및 자동 차량 번호판 인식 등의

Comparitech 보고서(2024.1): CCTV surveillance in the most populated cities in the US

【 미국 인구수 상위 도시의 CCTV 설치 현황 (인구 1000명당 카메라 수) 】

출처 : www.comparitech.com

기술이 활용되고 있어 사생활 침해 및 감시에 대한 우려 또한 증가하고 있다. 특히, 일부 국가에서는 안면인식, DNA 수집, 홍채 인식 등 다양한 생체정보 기술을 활용한 대규모 감시 시스템을 구축하여 반정부 활동이나 저항 의심이 있는 인물을 선별하여 감시하거나 소수민족을 통제하는 데에 활용하고 있다는 의심과 국제적 비판을 받고 있다.

이러한 문제점들이 부각되면서 생체인식 기술의 오남용을 방지하고, 개인의 권리를 보호하기 위한 규제의 필요성이 강력히 제기되고 있으며, 이에 따라 각국에서는 이를 관리하고 통제하기 위한 법적, 제도적 장치를 마련하고 있다. 다만, 각국의 규제 수준과 접근 방식은 상이하며, 어떤 나라는 강력한 규제를 시행하는 반면, 다른 나라는 기술 발전을 장려하기 위해 비교적 느슨한 규제를 채택하고 있는 상황이다. 본 보고서에서는 이러한 해외의 다양한 규제 방식을 조사하여 비교 분석함으로써 우리나라의 생체인식 기술 규제 정책 수립에 시사점을 제공할 수 있으며, 글로벌 규제 동향을 파악함으로써 국제적 협력과 조화를 도모하고, 기술 발전과 개인정보 보호 간의 균형을 맞추는 데 도움을 줄 수 있을 것이다. 따라서 생체인식 기술의 안전하고 책임 있는 사용을 보장하기 위해서는 해외 규율체계에 대한 심도 있는 조사가 필요하며, 이를 통해 우리나라의 법적, 제도적 기반을 더욱 견고히 할 수 있을 것이다.

Ⅱ. 생체인식 기술 현황

생체인식 기술의 종류

안면인식 기술은 눈구멍의 위쪽 윤곽, 광대뼈 주변, 입의 측면과 같이 쉽게 변하지 않는 얼굴의 특징을 분석하여 사람을 식별한다. 안면인식 기술은 사람의 라이브 사진 또는 정지 이미지를 사용하여 템플릿 또는 사진을 수학적 표현으로 변환하는데, 정확한 안면인식 알고리즘을 위해 AI 기술을 사용하고 매칭 알고리즘은 템플릿을 다른 사진의 템플릿과 비교하고 유사성을 계산할 수 있다.

【 안면인식 기술 처리 흐름도 】

미국 회계감사원(GAO) 보고서(GAO-24-106293) p7

지문인식은 주로 사람의 손끝 피부에 있는 뚜렷한 융기 패턴에서 특징들을 추출하는데 지문의 이미지는 스캐너에 의해 캡처되고 템플릿으로 변환된다. 안면인식과 마찬가지로 알려진 지문 기록들의 템플릿들을 매칭 알고리즘을 통해 다른 지문의 템플릿과 비교하고 그것들의 유사성을 계산할 수 있다. 최근에는 손가락을 스캐너에 직접 접촉할 필요 없이 스마트폰의 카메라와 같은 모바일 장치를 사용하여 지문 패턴을 수집할 수 있는 비접촉식 지문인식 기술도 구현되었다.

홍채 인식은 눈의 동공을 둘러싸고 있는 뚜렷한 색상의 반지(ring)를 기반으로 하며, 안면·지문 인식과 유사하게 홍채에 대한 템플릿이 생성되고, 이 템플릿은 매칭 알고리즘을 통해 비교 작업을 시행하고, 이러한 계산에 AI가 사용된다.

이 밖에도 음성, 서명, 손 기하학 및 혈관 패턴같은 생체인식 특성뿐만 아니라, 걸음걸이, 심전도 및 뇌파 신호와 같은 특성을 통해 개인을 구별할 수 있으나, 아직 기술적 성숙도 측면에서 충분하지 않다고 여겨진다.

생체인식 기술의 사용 분야

미국 회계감사원(GAO) 보고서(GAO-24-106293) p8-11

생체인식 기술은 개인의 신원을 확인할 필요가 있는 상황에서 광범위하게 사용되는데, 출입국 항에서의 심사를 포함한 국경 보안, 교육, 실업과 같은 공공 혜택에 대한 접근, 헬스케어, 상업적 목적 등으로 사용될 수 있다.

● 법 집행 기관 : 법 집행 기관은 수십 년 동안 개인을 식별하기 위해 지문, 안면 생체인식 등을 사용해 왔다. 사망하거나 반응이 없는 사람의 식별, 실종되거나 착취된 사람들의 구조 등을 포함하여 다양한 목적을 위해 자동화된 생체인식 시스템을 소유하거나 사용해 왔다.

● 국경 및 교통 보안 : 공항, 항만, 국경 등에서 신원 확인 및 출입국 절차를 신속, 간소화하는 데에 안면인식 등 생체인식 기술이 활용되고 있다.

● 교육 : 미국 등 일부 국가 학교에서는 학교 급식 결제 시 학생 식별을 위해 지문 스캔을 실시하여 학생 신원과 계좌를 연결하고, 학교 내 보안과 학생 행동 모니터링을 위해 안면인식 기술이 사용된다.

● 공공 혜택 및 서비스 : 사람들은 공공 혜택 및 서비스를 신청하고 액세스하기 위한 목적으로 생체인식을 사용하여 자신의 신원을 확인하도록 요청받을 수 있다. 예를 들어 미국 국세청(IRS) 웹사이트에서 신원 확인을 위한 방법으로 얼굴을 통한 생체 인증 옵션이 포함된다.

● 헬스케어 : 생체인식 기술은 환자 체크인 절차를 신속하게 진행하고 원격 의료를 위한 환자 신원을 확인하며 환자와 직원의 의료 기록 및 약물에 대한 안전한 접근을 위해 사용될 수 있다.

● 상업적 활용 : 기업과 엔터테인먼트 장소에 대한 물리적 접근성을 확보하고 소매업체가 개인화된 마케팅과 서비스를 위해 고객을 식별하는 데 활용되며, 기업은 안전한 디지털 거래를 위해 신원을 확인하기 위해 생체인식을 사용한다.

전 세계 안면인식 기술 사용 현황

생체인식 기술 중 가장 널리 사용되는 기술 중 하나인 안면인식 기술과 관련하여 영국의 보안업체 Comparitech가 전 세계 인구수 기준 상위 100개 국가를 대상으로 사용현황을 조사한 결과를 2022년 1월 발표하였다. 그 결과, 70%의 국가들은 경찰이 어떤 형태로든 안면인식 기술에 접근할 수 있으며, 60%는 일부 공항에서 안면인식을 적용하고 있으며, 40% 이상의 국가가 COVID-19 전염의 추적, 모니터링 등을 위해 어떤 형태로든 안면인식을 사용한 것으로 조사되었다. 안면인식 사용의 증거가 없는 국가는 6개국에 불과하였고, 이 또한 엄격한 금지법이나 반대여론이 아닌 예산·기술 부족 때문인 것으로 추정되었다.

Comparitech, Facial recognition technology(FRT): Which countries use it? (2022.1.24.), https://www.comparitech.com/blog/vpn-privacy/facial-recognition-statistics/

안면인식 기술을 가장 많이 사용하는 국가는 중국으로, 중국 정부와 경찰은 이 기술을 매우 광범위하게 사용하고 있는 것으로 조사되었다. 예를 들어, 쑤저우시는 잠옷 차림으로 집을 떠난 7명의 사람에게 공개적으로 수치심을 주기 위해 안면인식 기술을 사용하여 그들의 신원을 확인하였으며, Wechat 계정에 그들의 사진을 게시하기도 하였다. 두 번째 국가는 러시아로 반정부 시위에 가담한 시위자들을 안면인식 기술을 통해 신원을 확인하고 구금하는데 활용하였다는 주장이 있다.

【 전 세계 안면인식 기술 사용현황 지도 (2022.1월 발표) 】

출처: www.comparitech.com

한편, 미국 연방 법 집행 기관이 얼마나 광범위하게 안면인식 기술을 사용하고 있는지 구체적으로 보여주는 조사 결과도 있다. 미국의 회계감사원(United States Government Accountability Office, GAO)이 미국 내 42개 연방기관을 대상으로 안면인식 기술 사용에 관해 2021년 6월 발표한 바에 따르면, 20개 기관이 안면인식 기술이 적용된 시스템을 직접 소유하고 있거나, 다른 기관이 소유한 시스템을 사용하는 것으로 나타났다. 연방 교도소(Federal Bureau of Prisons), 보훈 경찰국(Department of Veterans Affairs Police Service) 등 8개 기관은 안면인식 시스템을 직접 소유하고 있으며, 미국 이민국 등 17개 기관은 다른 기관(주·지방정부, 비정부 기관) 소유의 시스템을 사용하고 있었다. 특히, 연방수사국(Federal Bureau of Investigation, FBI) 등 5개 기관은 직접 소유한 시스템뿐만 아니라 다른 기관의 시스템을 함께 사용하는 것으로 나타났다.

【 미국 연방 법 집행 기관의 안면인식 시스템 보유 및 사용현황 】

미국 회계감사원(GAO) 보고서(GAO-21-105309) p4

이들 기관은 안면인식을 위해 시스템에 저장된 사진도 사용한 것으로 조사되었는데, 이 사진에는 머그샷(범죄자 인상착의 기록 사진), 운전면허증 사진, 여권 사진, 인터넷에 공개된 사진, CCTV 사진 등이 있는 것으로 나타났다. 연방기관들은 범죄 수사 및 감시, COVID-19 대응 등을 위해 안면인식 기술을 사용한다고 보고하였는데, FBI의 안면인식 시스템(Next Generation Identification Interstate Photo System)은 사용자가 4천만 장 이상의 사진 DB를 검색할 수 있으며, 이를 통해 강력 범죄, 신분 사기, 실종자 및 은행강도 조사 등에 사용된 것으로 조사되었다.

Ⅲ. 미국의 생체정보 보호 규율체계

미국은 현재까지 개인정보 보호를 규율하는 연방 차원의 독립된 법제는 없는 상황이나, 주 정부나 지방정부 차원에서 자체적인 법률을 마련하여 규율하고 있는 상황이다. 2018년 이후 미국의 44개 주에서 사람들의 프라이버시 보호와 보안 강화를 위해 포괄적인 개인정보 보호 법안을 검토하였고, 2024년 2월 기준으로 캘리포니아주, 콜로라도주 등 14개 주가 개인정보 보호법을 통과시켰다.

하지만, 이 법들의 대다수가 소비자에 대한 실질적이고 의미있는 프라이버시 보호를 제공하지 못하고 있으며, 빅테크 기업들이 이익 추구를 위해 개인의 데이터를 대량으로 수집하고 이용할 수 있도록 허용하고 있다는 평가를 받는다.

미국 EPIC(Electronic Privacy Information Center) 보고서(2024.2), https://epic.org/documents/the-state-of-privacy-report/

【 포괄적 개인정보 보호법 제정 또는 검토한 미국 주(States) 현황 】

출처 : www. epic.org

최근 연방 차원에서도 개인정보 보호법 제정 시도가 이루어지고 있다. 2024년 4월 7일 미국 여야는 구글, 틱톡 등 빅테크 기업의 무분별한 데이터 수집 및 활용을 막기 위해 연방 차원의 개인정보 보호법(American Privacy Rights Act, APRA) 제정에 합의하고 그 초안을 발표하였다. 초안에는 기업들이 특정 제품 및 서비스를 소비자에게 제공하는 데 필요한 최소한의 데이터만 수집하도록 하고, 소비자에게 자신의 데이터에 대한 접근·삭제·전송할 수 있는 권한을 부여하였으며, 권리를 침해당했을 경우 손해배상을 청구할 수 있도록 하였다. 다만, 2022년에도 미국 하원에서 McMorris Rodgers 의원 등이 주도하여 연방 차원의 개인정보 보호법안을 발의하였으나 회기 내에 처리되지 못한 바 있으며, 금년 11월 미국 대통령 선거를 앞두고 있어 동 법안이 가결될 수 있을지는 미지수로 평가받고 있다.

https://www.washingtonpost.com/technology/2024/04/07/congress-privacy-deal-cantwell-rodgers/

【 American Privacy Rights Act 주요 내용 】

https://www.commerce.senate.gov/services/files/E7D2864C-64C3-49D3-BC1E-6AB41DE863F5

원문	번역
Definitions (정의)
(Covered entity) any entity that determines the purpose and means of collecting, processing, retaining, or transferring covered data and is subject to the FTC Act, including common carriers and certain nonprofits. Small businesses, governments, entities working on behalf of governments, the National Center for Missing and Exploited Children (NCMEC), and except for data security obligations, fraud-fighting non-profits are excluded.	(적용 주체) FTC 법의 적용을 받으며, 데이터의 수집, 처리, 보유, 또는 전송의 목적과 수단을 결정하는 모든 주체를 포함한다. 여기에는 통신사업자 및 특정 비영리 단체가 포함된다. 소규모 기업, 정부, 정부를 대신하여 일하는 기관, 실종 및 착취 아동국(NCMEC), 데이터 보안 의무를 제외한 사기 방지 비영리 단체는 제외된다.
(Covered data) information that identifies or is linked or reasonably linkable to an individual or device. It does not include de-identified data, employee data, publicly available information, inferences made from multiple sources of publicly available information that do not meet the definition of sensitive covered data and are not combined with covered data, and information in a library, archive, or museum collection subject to specific limitations.	(적용 데이터) 개인 또는 기기와 연결되거나 합리적으로 연결될 수 있는 정보를 의미한다. 여기에는 식별되지 않은 데이터, 직원 데이터, 공개적으로 이용 가능한 정보, 민감한 적용 데이터의 정의를 충족하지 않고 적용 데이터와 결합되지 않은 공개적으로 이용 가능한 여러 출처로부터의 추론, 특정 제한 사항이 적용되는 도서관, 기록 보관소 또는 박물관 컬렉션의 정보는 포함되지 않는다.
(Sensitive covered data) a subset of covered data that includes government identifiers; health information; biometric information; genetic information; financial account and payment data; precise geolocation information; log-in credentials; private communications; information revealing sexual behavior; calendar or address book data, phone logs, photos and recordings for private use; any medium showing a naked or private area of an individual; video programming viewing information; an individual’s race, ethnicity, national origin, religion, or sex, in a manner inconsistent with a reasonable expectation of disclosure; online activities over time and across third party websites, or over time on a high-impact social media site; information about a covered minor; and other data the FTC defines as sensitive covered data by rule.	(민감한 적용데이터) 적용 데이터의 하위 집합으로, 다음을 포함한다: 정부 식별자, 건강 정보, 생체정보, 유전자 정보, 금융 계좌 및 결제 데이터, 정밀한 위치 정보, 로그인 자격 증명, 개인 통신, 성적 행동을 드러내는 정보, 캘린더 또는 주소록 데이터, 전화 기록, 개인 사용을 위한 사진 및 녹음, 개인의 나체나 사적인 부위를 보여주는 모든 매체, 비디오 프로그램 시청 정보, 개인의 인종, 민족, 출신 국가, 종교 또는 성별을 합리적인 공개 기대와 일치하지 않는 방식으로 드러내는 정보, 제3자 웹사이트에서 시간 경과에 따른 온라인 활동 또는 고영향 소셜 미디어 사이트에서 시간 경과에 따른 온라인 활동, 피해 아동에 대한 정보, 그리고 FTC가 규칙에 따라 민감한 피해 데이터로 정의하는 기타 데이터.
Data Minimization (데이터 최소화)
Covered entities and service providers operating on their behalf shall not collect, process, retain, or transfer data beyond what is necessary, proportionate, or limited to provide or maintain a product or service requested by an individual, or provide a communication reasonably anticipated in the context of the relationship, or a permitted purpose.	대상기관과 그들을 대신하여 운영하는 서비스 제공자는 개인이 요청한 제품이나 서비스를 제공하거나 유지하거나, 관계의 맥락에서 합리적으로 예상되는 커뮤니케이션을 제공하거나, 허용된 목적을 위해 필요한, 비례적인, 또는 제한된 범위를 넘어 데이터를 수집, 처리, 보유, 또는 전송해서는 안된다.
A covered entity cannot collect or transfer to a third party biometric or genetic information without the individual’s affirmative express consent, unless expressly allowed by a stated permitted purpose. There are strict retention limitations on biometric and genetic information.	대상기관은 명시적으로 허용되지 않는 한, 개인의 명확한 동의 없이 생체정보 또는 유전자 정보를 수집하거나 제3자에게 전송할 수 없다. 생체정보와 유전자 정보에 대해서는 엄격한 보유 제한이 적용된다.
Permitted purposes are narrower for the collection and transfer of biometric and genetic information.	생체 및 유전자 정보의 수집 및 이전을 위해 허용되는 목적은 더 제한적이다.
Transparency (투명성)
Covered entities and service providers must have publicly available privacy policies detailing their data privacy and security practices.	대상 기업 및 서비스 제공업체는 데이터 프라이버시 및 보안 관행을 자세히 설명하는 공개된 개인정보 보호 정책을 보유해야 한다.
Consumer Controls over Covered Data (적용데이터에 대한 고객 통제권)
After submitting a verifiable request, consumers have the right to access their covered data that is collected, processed, or retained by a covered entity and to know the name of any third party or service provider to which the data was transferred and the purpose of the transfer.	소비자는 확인 가능한 요청을 제출한 후, 적용주체가 수집, 처리, 또는 보유한 자신의 데이터에 접근할 권리가 있으며, 해당 데이터가 전송된 제3자 또는 서비스 제공자의 이름과 전송 목적을 알 권리가 있다.
Enforcement by Individuals (개별 소송)
Consumers may file private lawsuits against entities that violate their rights under this Act.	소비자는 이 법에 따라 자신의 권리를 침해하는 주체에 대해 사적 소송을 제기할 수 있다.
A person bringing an action may recover actual damages, injunctive relief, declaratory relief, and reasonable attorney fees and costs. Any amount that a court orders an entity to pay may be offset by recovery for the same violation pursuant to an FTC or State action.	소송을 제기하는 자는 실제 손해배상, 명령적 구제, 선언적 구제, 합리적인 변호사 비용 및 비용을 회수할 수 있다. 법원이 기업에게 지불하도록 명령하는 금액은 FTC 또는 국가 조치에 따라 동일한 위반에 대한 회수로 상쇄될 수 있다.
A person may recover statutory damages consistent with Illinois’s Biometric Information Privacy Act and Genetic Information Privacy Act for an action involving a violation of the affirmative express consent provisions for biometric and genetic information where the conduct occurred substantially and primarily in Illinois.	개인은 그 행위가 실질적으로 그리고 주로 일리노이주에서 발생한 생체정보 및 유전정보에 대한 긍정적인 명시적 동의 조항 위반과 관련된 행위에 대해 일리노이주 생체정보 프라이버시법 및 유전정보 프라이버시법과 일치하는 법적 손해를 회복할 수 있다.

1. 미국 주별 생체정보 보호 체계

생체정보 보호와 관련하여서는 미국 내 많은 주들이 관련 입법을 제정하거나 발의하였는데, 일리노이주, 워싱턴주 등과 같이 생체정보 보호를 위한 별도 법률을 제정한 경우가 있으며, 캘리포니아주, 콜로라도주 등과 같이 일반 프라이버시법 또는 소비자보호법 등에 생체정보 사용을 규제하는 규정을 포함하여 운영하는 경우가 있다.

일리노이주는 2008년 미국 내에서 최초로 안면인식, 지문, 홍채 정보 등의 상업적 이용을 규제하는 생체정보 보호법(Biometric Information Privacy Act, BIPA)을 제정하였고, 이어 텍사스주, 워싱턴주, 메인주 등이 별도의 생체정보 보호법을 제정하여 운영하고 있다.

가. 일리노이주(Illinois State) 생체정보보호법

1) 입법 목적

2008년 미국 내에서 최초로 제정된 생체정보 보호법으로 생체정보는 다른 고유 식별자와 다르게 한 개인의 생물학적 특성을 바탕으로 하고 있어 유출·훼손되었을 경우 변경이나 복원이 불가능한 바, 생체인식 식별자(biometric identifier)와 생체인식정보(biometric information)의 수집·이용· 보호·취급·저장·보유·파기를 규율함으로써 공공의 복지, 보안 및 안전을 확보할 필요가 있다고 입법 목적을 밝히고 있다

2) 주요 내용

가) 정의(제10조)

● 생체인식 식별자(biometric identifier) : 망막 스캔, 지문(fingerprint), 성문(voiceprint), 손이나 얼굴의 기하학적 형상(hand or face geometry) 스캔을 의미하며, 서체(writing sample), 서명(written signature), X-ray·MRI 등과 같은 치료·검사에 사용되는 이미지/필름 등은 포함하지 않는다

● 생체인식정보(biometric information) : 생체식별자를 기반으로 개인을 식별하는데 사용되는 일체의 정보로, 캡처, 변환, 저장 또는 공유되는 방식은 상관없으며, 생체인식 식별자의 정의에 따라 제외된 항목에서 파생된 정보는 포함하지 않는다.

【 Illinois Biometric Information Privacy Act 제10조 원문 참조 】

740 ILCS 14/ Biometric Information Privacy Act. https://www.ilga.gov/legislation/ilcs/ilcs3.asp?ActID=3004&ChapterID=57

나) 보관·수집·공개·파기(제15조)

● 민간의 데이터 처리자가 개인의 생체식별자 또는 생체인식정보를 수집, 캡처, 구매 또는 기타의 방식으로 획득하기 위해서는 생체식별자 또는 생체인식정보가 수집 또는 저장되고 있다는 사실 및 이용목적과 이용기간을 사전에 정보 주체 또는 법정대리인에게 서면으로 통지하여야 하며, 해당 정보를 판매, 임대, 거래할 수 없으며 그로부터 이익을 창출할 수 없다.

● 처리자는 문서화된 처리방침을 작성하고 공표하여야 하며, 처리방침에는 해당 정보의 보관 기간 및 파기지침이 포함되어야 한다.

● 처리자는 산업 내에서 통용되는 합리적인 수준으로 해당 정보를 저장·전송하고 공개되지 않도록 안전하게 보호하여야 한다.

다) 소송 제기 권리(제20조)

● 이 법 위반으로 인해 피해를 입은 사람은 누구나 주 또는 연방법원에 위반한 당사자를 상대로 소송을 제기할 권리를 가진다.

●  승소한 당사자는 처리자가 부주의로 이 법의 규정을 위반한 경우(negligent violations) 1천 달러 또는 실제 손해액 중 더 큰 금액을 배상받을 수 있다.

● 처리자가 고의 또는 과실로 위반한 경우(intentional or reckless violations) 승소한 당사자는 5천 달러 또는 실제 손해액 중 더 큰 금액을 배상받을 수 있다.

● 승소한 당사자는 합리적인 변호사 비용, 소송 비용, 전문가 증인 비용 및 기타 소송 경비도 배상받을 수 있다.

실제로 이러한 조항에 따라 일리노이주에서 이 법 위반을 이유로 제기된 집단 소송이 급증하였으며, 주요 테크기업들이 상당한 금액의 배상금을 지급한 사례가 다수 있다.

【 Illinois Biometric Information Privacy Act 제20조(Right of action) 원문 】

나. 워싱턴주(Washington State) 생체정보 규율체계

1) 생체정보 보호법

워싱턴주에 거주하는 주민들의 생체정보를 보호하기 위하여 2017년 생체정보 보호법을 제정하였다.

가) 정의(RWC 19.375.010)

● 생체인식 식별자(biometric identifier) : 개인의 생리적 특성을 자동 측정하여 생성한 정보로 지문, 성문, 망막, 홍채 또는 특정 개인을 식별하기 위해 사용되는 다른 고유한 생리적 패턴이나 특징과 같은 개인의 생물학적 특성을 자동 측정하여 생성된 데이터를 의미하며, 디지털 사진, 비디오나 오디오 레코딩 또는 그로부터 생성된 데이터, 의료정보는 포함하지 않는다.

● 생체인식 시스템(biometric system) : 생체인식 식별자를 캡처(capture), 처리, 저장하여 하나 이상의 참조(reference)와 비교하여 특정 개인을 매칭할 수 있는 자동화된 식별시스템

● 캡처(Capture) : 개인으로부터 생체인식 식별자를 수집하는 과정

● 등록(Enroll) : 개인의 생체인식 식별자를 캡처하여 원본 출력 이미지로 재구성할 수 없는 참조 템플릿으로 변환하고, 생체인식 식별자를 특정 개인과 일치시키는 데이터베이스에 저장하는 것

나) 식별자의 등록, 공개 및 보유(RCW 19.375.020)

● 정보 주체에게 사전에 고지하고 동의를 받지 않는 한, 개인의 생체인식 식별자를 상업적 목적(commercial purpose)으로 생체인식 시스템에 등록(enroll)할 수 없으며, 제3자에게 판매, 임대, 제공할 수 없다

● 여기서 상업적 목적이란 상품이나 서비스의 마케팅 목적으로 생체인식 식별자를 제3자에게 판매하거나 제공하는 것으로, 보안이나 법 집행을 목적으로 하는 경우는 포함되지 않는다.

● 상업적 목적으로 생체식별자를 수집하고 등록한 자는 권한 없는 자의 접근을 막기 위해 합리적 수준의 보호조치를 취하여야 하며, 필요 이상으로 오래 보유해서는 안 된다.

● 다만, 기업이 보안목적으로 생체식별자를 수집, 캡처 또는 등록하는 경우에는 사전동의나 통지를 요구하지 않는다.

【 Washington Biometric Identifiers(Chapter 19.375 RCW) 주요 조문 】

Chapter 19.375 RCW Biometric Identifiers, https://app.leg.wa.gov/RCW/default.aspx?cite=19.375

원문	번역
RCW 19.375.010 Definitions (정의)
The definitions in this section apply throughout this chapter , unless the context clearly requires otherwise. (1) "Biometric identifier" - data generated by automatic measurements of an individual's biological characteristics, such as a fingerprint, voiceprint, eye retinas, irises, or other unique biological patterns or characteristics that is used to identify a specific individual. "Biometric identifier" does not include a physical or digital photograph, video or audio recording or data generated therefrom, or information collected, used, or stored for health care treatment, payment, or operations under the federal health insurance portability and accountability act of 1996. (2) "Biometric system" - an automated identification system capable of capturing, processing, and storing a biometric identifier, comparing the biometric identifier to one or more references, and matching the biometric identifier to a specific individual. (3) "Capture" - the process of collecting a biometric identifier from an individual. (4) "Commercial purpose" - a purpose in furtherance of the sale or disclosure to a third party of a biometric identifier for the purpose of marketing of goods or services when such goods or services are unrelated to the initial transaction in which a person first gains possession of an individual's biometric identifier. "Commercial purpose" does not include a security or law enforcement purpose. (5) "Enroll" - to capture a biometric identifier of an individual, convert it into a reference template that cannot be reconstructed into the original output image, and store it in a database that matches the biometric identifier to a specific individual.	이 절에 정의된 용어들은 이 장 전체에 적용되며, 문맥상 명백히 달리 요구되지 않는 한 그러하다. (1) "생체식별자"란 지문, 성문, 눈의 망막, 홍채 또는 특정 개인을 식별하는 데 사용되는 기타 고유한 생물학적 패턴이나 특성과 같은 개인의 생물학적 특성을 자동 측정하여 생성된 데이터를 의미한다. "생체식별자"에는 물리적 또는 디지털 사진, 비디오 또는 오디오 녹음이나 그로부터 생성된 데이터, 또는 1996년 연방 건강보험의 이전 및 책임법(Health Insurance Portability and Accountability Act) 하에 수집, 사용 또는 저장된 정보는 포함되지 않는다. (2) "생체 시스템"이란 생체식별자를 캡처, 처리 및 저장하고, 생체식별자를 하나 이상의 참조와 비교하며, 생체식별자를 특정 개인과 일치시키는 자동 식별시스템을 의미한다. (3) "캡처"란 개인으로부터 생체식별자를 수집하는 과정을 의미한다. (4) "상업적 목적"이란 개인의 생체식별자를 처음 소유하게 된 초기 거래와 관련이 없는 상품이나 서비스의 마케팅 목적으로 생체식별자의 판매 또는 제3자에게 공개를 촉진하기 위한 목적을 의미한다. "상업적 목적"에는 보안 또는 법 집행 목적이 포함되지 않는다. (5) "등록"이란 개인의 생체식별자를 캡처하여 원본 출력 이미지로 재구성할 수 없는 참조 템플릿으로 변환하고, 생체식별자를 특정 개인과 일치시키는 데이터베이스에 저장하는 것을 의미한다.
RCW 19.375.020 Enrollment, disclosure, and retention of biometric identifiers (생체인식 식별자의 등록, 공개 및 보유)
(1) A person may not enroll a biometric identifier in a database for a commercial purpose, without first providing notice, obtaining consent, or providing a mechanism to prevent the subsequent use of a biometric identifier for a commercial purpose. (2) Notice is a disclosure, that is not considered affirmative consent, that is given through a procedure reasonably designed to be readily available to affected individuals. (3) Unless consent has been obtained from the individual, a person who has enrolled an individual's biometric identifier may not sell, lease, or otherwise disclose the biometric identifier to another person for a commercial purpose unless the disclosure: (a) Is consistent with subsections (1), (2), and (4) of this section; (b) Is necessary to provide a product or service subscribed to, requested, or expressly authorized by the individual; (c) Is necessary to effect, administer, enforce, or complete a financial transaction that the individual requested, initiated, or authorized, and the third party to whom the biometric identifier is disclosed maintains confidentiality of the biometric identifier and does not further disclose the biometric identifier except as otherwise permitted under this subsection (3); (d) Is required or expressly authorized by a federal or state statute, or court order; (e) Is made to a third party who contractually promises that the biometric identifier will not be further disclosed and will not be enrolled in a database for a commercial purpose inconsistent with the notice and consent described in this subsection (3) and subsections (1) and (2) of this section; or (f) Is made to prepare for litigation or to respond to or participate in judicial process. (4) A person who knowingly possesses a biometric identifier of an individual that has been enrolled for a commercial purpose: (a) Must take reasonable care to guard against unauthorized access to and acquisition of biometric identifiers that are in the possession or under the control of the person; and (b) May retain the biometric identifier no longer than is reasonably necessary to: (i) Comply with a court order, statute, or public records retention schedule specified under federal, state, or local law; (ii) Protect against or prevent actual or potential fraud, criminal activity, claims, security threats, or liability; and (iii) Provide the services for which the biometric identifier was enrolled. (5) A person who enrolls a biometric identifier of an individual for a commercial purpose or obtains a biometric identifier of an individual from a third party for a commercial purpose pursuant to this section may not use or disclose it in a manner that is materially inconsistent with the terms under which the biometric identifier was originally provided without obtaining consent for the new terms of use or disclosure. (6) The limitations on disclosure and retention of biometric identifiers provided in this section do not apply to disclosure or retention of biometric identifiers that have been unenrolled. (7) Nothing in this section requires an entity to provide notice and obtain consent to collect, capture, or enroll a biometric identifier and store it in a biometric system, or otherwise, in furtherance of a security purpose.	(1) 개인은 상업적 목적으로 생체 식별자를 데이터베이스에 등록하기 전에 통지하거나 동의를 얻거나 상업적 목적으로 생체식별자의 후속 사용을 방지할 수 있는 메커니즘을 제공해야 한다. (2) 통지는 영향을 받는 개인들이 쉽게 접근할 수 있도록 합리적으로 설계된 절차를 통해 제공되는 것으로, 명시적 동의로 간주하지 않는다. (3) 개인으로부터 동의를 얻지 않은 경우, 개인의 생체식별자를 등록한 사람은 상업적 목적으로 생체식별자를 다른 사람에게 판매, 임대 또는 기타 방식으로 공개할 수 없다. 단, 공개가 다음 조건을 충족하는 경우는 제외된다.: (a) 이 절의 (1), (2) 및 (4)항과 일치하는 경우; (b) 개인이 구독, 요청 또는 명시적으로 승인한 제품이나 서비스를 제공하는 데 필요한 경우; (c) 개인이 요청, 시작 또는 승인한 금융 거래를 수행, 관리, 집행 또는 완료하는 데 필요하며, 생체식별자가 공개된 제3자가 생체식별자의 기밀성을 유지하고 이 절의 (3)항에서 달리 허용되지 않는 한 추가 공개를 하지 않는 경우; (d) 연방 또는 주 법령이나 법원 명령에 따라 요구되거나 명시적으로 승인된 경우; (e) 생체식별자가 추가로 공개되지 않으며 이 절의 (1) 및 (2)항에 설명된 통지 및 동의와 일치하지 않는 상업적 목적으로 데이터베이스에 등록되지 않을 것을 계약적으로 약속하는 제3자에게 공개되는 경우; (f) 소송 준비 또는 사법 절차에 대응하거나 참여하기 위해 공개되는 경우. (4) 상업적 목적으로 등록된 개인의 생체식별자를 알면서 소유하는 사람은: (a) 소유하거나 통제하고 있는 생체식별자에 대한 무단 접근 및 획득을 방지하기 위해 합리적인 주의를 기울여야 하며; (b) 다음과 같은 합리적으로 필요한 기간 동안 생체식별자를 보유할 수 있다: (i) 법원 명령, 법령 또는 연방, 주 또는 지역 법에 따라 지정된 공공 기록 보존 일정에 따르기 위해; (ii) 실제 또는 잠재적 사기, 범죄 활동, 청구, 보안 위협 또는 책임을 방지하기 위해; (iii) 생체식별자가 등록된 서비스를 제공하기 위해. (5) 상업적 목적으로 개인의 생체식별자를 등록하거나 이 절에 따라 제3자로부터 상업적 목적으로 개인의 생체식별자를 취득한 사람은 원래 제공된 조건과 실질적으로 일치하지 않는 방식으로 이를 사용하거나 공개할 수 없으며, 새로운 사용 또는 공개 조건에 대한 동의를 얻지 않고는 사용할 수 없다. (6) 이 절에 제공된 생체식별자의 공개 및 보유 제한은 등록 해제된 생체식별자의 공개 또는 보유에는 적용되지 않는다. (7) 이 절의 어떤 내용도 보안목적을 위해 생체식별자를 수집, 캡처 또는 등록하고 이를 생체 시스템에 저장하거나 기타 방식으로 저장하는 경우에는 통지나 동의를 요구하지 않는다.
RCW 19.375.020 Exclusions(적용배제)
(1) Nothing in this chapter applies in any manner to a financial institution or an affiliate of a financial institution that is subject to Title V of the federal Gramm-Leach-Bliley act of 1999 and the rules promulgated thereunder. (2) Nothing in this chapter applies to activities subject to Title V of the federal health insurance privacy and portability act of 1996 and the rules promulgated thereunder. (3) Nothing in this chapter expands or limits the authority of a law enforcement officer acting within the scope of his or her authority including, but not limited to, the authority of a state law enforcement officer in executing lawful searches and seizures.	(1) 이 장의 내용은 1999년 연방 그램-리치-블라일리 법(Gramm-Leach-Bliley Act) V조 및 그에 따라 제정된 규칙의 적용을 받는 금융기관 또는 금융기관의 계열사에 어떠한 방식으로도 적용되지 않는다. (2) 이 장의 내용은 1996년 연방 건강 보험 이동성 및 책임법(Health Insurance Portability and Accountability Act) V조 및 그에 따라 제정된 규칙의 적용을 받는 활동에 적용되지 않는다. (3) 이 장의 내용은 법 집행관이 그의 권한 범위 내에서 행동하는 권한을 확대하거나 제한하지 않는다. 여기에는 합법적인 수색 및 압수를 집행하는 주 법 집행관의 권한이 포함되지만 이에 국한되지 않는다.

2) 안면인식 기술 규제 법률

워싱턴주는 2020년 안면인식 기술 규제 법률(Facial Recognition, Chapter 43.386 RCW)을 제정하였는데, 동 법은 안면인식 기술을 사용하거나 사용할 계획인 정부 기관(state 및 local agency)을 규율하는 것으로 민간기업에는 적용하지 않는다. 워싱턴주 및 지역기관은 지속적인 감시 또는 추적 목적이나 실시간 또는 실시간에 가까운 식별을 위해 안면인식 기술을 사용하는 것을 제한하고 있으며, 다만 실종이나 사망자 식별, 법원의 별도 승인이 있는 경우에는 이 규정을 적용하지 않는다.

가) 정의(Sec. 2)

● 안면인식 서비스 : 안면 특징을 분석하고 주 또는 지방정부 기관이 정지 이미지나 비디오 이미지에서 개인을 식별, 확인 또는 지속적으로 추적하는 데 사용하는 기술로 다음은 미포함한다.

(i) 전자 장치에 대한 접근 권한을 부여하거나 거부하기 위해 안면 특징을 분석하는 것

(ii) 녹음된 내용을 편집하여 법 집행 기관 외부로 공개하거나 배포하기 위해 자동 또는 반자동 프로세스를 사용하는 것(단, 이 과정에서 생체 데이터 또는 감시 정보를 생성하거나 보유하지 않는 경우)

●  안면 템플릿 : 안면인식 서비스가 개인의 하나 이상의 이미지로부터 추출한 기계 해석 가능한 안면 특징 패턴

●  식별 : 주 또는 지방정부 기관이 안면인식 서비스를 사용하여 알 수 없는 개인을 안면인식 서비스에서 사용되는 갤러리에 참조된 신원을 통해 등록된 개인과 일치 여부를 결정하는 것

나) 준수 사향(Sec. 3)

● 안면인식 서비스를 개발, 조달 또는 사용하기 전에 주 또는 지방정부 기관은 해당 서비스에 대해 명확하고 이해하기 쉬운 설명이 포함된 책임 보고서를 작성해야 한다.

● 최종 책임 보고서는 2년마다 갱신되고 입법 당국에 제출되어야 하며, 최종 채택된 책임 보고서는 안면인식 서비스의 운영 사용 90일 전 공공에 명확하게 알리고 기관의 웹사이트에 게시하여야 한다.

【 책임 보고서 포함 내용 】

안면인식 규제법률 원문 참조(Chapter 43.386 RCW Facial Recognition), https://app.leg.wa.gov/RCW/default.aspx?cite=43.386&full=true,

(a)	(i) 안면인식 서비스, 공급업체, 버전의 이름; (ii) 일반적인 기능 및 한계, 기관의 제안된 사용 범위를 벗어난 합리적으로 예측 가능한 기능 포함;
(b)	(i) 기술이 사용하는 데이터 입력 유형; (ii) 해당 데이터가 생성, 수집 및 처리되는 방식; (iii) 시스템이 합리적으로 생성할 가능성이 있는 데이터 유형;
(c)	(i) 안면인식 서비스의 목적 및 제안된 사용, 이를 위해 내리거나 지원할 결정; (ii) 최종 결정 시스템인지 지원 결정 시스템인지 여부; (iii) 의도된 이점, 해당 이점을 증명하는 데이터 또는 연구 포함;
(d)	다음 프로토콜을 포함한 명확한 사용 및 데이터 관리 정책, (i) 안면인식 서비스가 배포 또는 사용될 시기와 주체, 기술이 배포되는 시기, 장소 및 방식 결정 요인 등 관련 정보 (ii) 특정 목적을 위해 필요한 추가 데이터의 비의도적 수집을 최소화하는 조치; (iii) 데이터 무결성 및 보유 정책, 데이터 삭제 절차 등 (iv) 안면인식 서비스 사용을 규제하는 추가 규칙 및 각 사용 전에 필요한 절차 (v) 안면인식 서비스에 적용되는 데이터 보안 조치, 데이터 공유 시 규칙 및 절차 (vi) RCW 19.255 장에 따른 보안 침해 통지 요구사항 및 RCW 42.56.590에 따른 보안 침해 통지 요구사항 충족 계획 (vii) 안면인식 서비스 또는 데이터에 접근하는 모든 직원의 교육 절차 및 정책 준수 보장 방법
(e)	기관의 주기적으로 운영 테스트를 수행하는 절차
(f)	오인식률, 보호된 하위 인구 집단에 대한 잠재적 영향 및 오류율 해결 방법
(g)	안면인식 서비스의 시민 권리와 자유에 대한 잠재적 영향, 프라이버시 및 소외된 커뮤니티에 대한 영향 및 이를 완화하기 위한 구체적인 조치

다. 메인주(Maine State) 생체정보 규율체계

메인주는 2021년 민간기업을 대상으로 하는 생체정보 보호법을 제정하였는데, 일리노이주 생체정보 보호법과 유사하게 생체정보식별자를 정의하고, 생체정보를 수집, 이용하는 경우 사전 고지 및 동의 의무 부여, 처리방침의 수립 및 안전조치 의무 등이 규정되어 있다. 다만, 일리노이주 법과 다르게 동 법을 위반한 당사자를 대상으로 개인이 소송을 제기할 수는 없도록 하고 있다. 이에 대해 일리노이주 법률과 같이 개인의 손해배상 제기 소송이 가능하도록 하는 수정법안이 지속해서 발의되고 있는 상황이다.

“Could the right to sue remake US biometrics privacy lawsuits?”(2023.12.25.) https://www.biometricupdate.com/202312/could-the-right-to-sue-remake-us-biometrics-privacy-lawsuits

【 Maine Privacy of Biometric Identifiers (Chapter 1057) 주요 조문 】

https://www.mainelegislature.org/legis/bills/getPDF.asp?paper=HP1094&item=1&snum=131#:~:text=A%20processor%20may%20not%20sell,legally%20possesses%20the%20biometric%20identifiers.

원문	번역
§9601. Definitions(정의)
"Biometric identifier" means information generated by measurements of an individual's unique biological characteristics, including a voiceprint or imagery of the iris, retina, fingerprint, face or hand, that can be used to identify that individual. "Biometric identifier" does not include: A. A writing sample or written signature; B. A photograph or video, except for measurable biological characteristics that can be generated or captured from a photograph or video; C. A biological sample used for valid scientific testing or screening; D. Demographic information; E. A tattoo description or a physical description, such as height, weight, hair color or eye color; F. A donated organ, tissue or other body part, blood or serum stored on behalf of a recipient or potential recipient of a living or cadaveric transplant and obtained or stored by a federally designated organ procurement organization; G. Health care information, as defined in Title 22, section 1711-C, subsection 1, paragraph E, obtained for health care, as defined in Title 22, section 1711-C, subsection 29 1, paragraph C; H. An x-ray, computed tomography, magnetic resonance imaging, positron emission tomography, mammography or other image or film of the human anatomy used to diagnose or treat an illness or other medical condition or to further validate scientific testing or screening; or I. Information collected, used or disclosed for human subject research	"생체 인식 식별자"란 개인의 독특한 생물학적 특성의 측정을 통해 생성된 정보로, 음성 인식 또는 홍채, 망막, 지문, 얼굴 또는 손의 이미지를 포함하여 개인을 식별하는 데 사용할 수 있는 것을 의미한다. "생체 인식 식별자"는 다음을 포함하지 않는다: A. 필기 샘플 또는 서명; B. 사진 또는 비디오(사진 또는 비디오에서 생성되거나 캡처될 수 있는 측정 가능한 생물학적 특성 제외); C. 유효한 과학적 테스트 또는 선별을 위해 사용되는 생물학적 샘플; D. 인구통계학적 정보; E. 문신 설명 또는 키, 몸무게, 머리 색깔 또는 눈 색깔과 같은 신체 설명; F. 연방 지정 장기 조달 조직에 의해 수혜자 또는 잠재 수혜자의 생존 또는 사체 이식의 위해 얻거나 저장된 기증된 장기, 조직 또는 기타 신체 부위, 혈액 또는 혈청; G. Title 22, section 1711-C, subsection 1, paragraph E에 정의된 대로 의료정보로, Title 22, section 1711-C, subsection 29, paragraph C에 정의된 대로 의료 목적을 위해 얻어진 정보; H. 질병이나 기타 의학적 상태를 진단하거나 치료하거나 과학적 테스트 또는 선별을 추가로 확인하는 데 사용되는 X선, 컴퓨터 단층촬영, 자기 공명 영상, 양전자 방출 단층촬영, 유방 촬영술 또는 기타 인체의 이미지 또는 필름; I. 인체 연구를 위해 수집, 사용 또는 공개된 정보.
§9607. Prohibitions (금지)
1. Collection, storage or dissemination without consent. A private entity may not collect, store, purchase, receive through trade or otherwise obtain, use, disclose, transfer or otherwise disseminate an individual's biometric identifier unless the private entity first: A. Informs the individual in writing that a biometric identifier is being collected, stored, purchased, received through trade or otherwise obtained, used, disclosed, transferred or otherwise disseminated; B. Informs the individual in writing of the specific purpose and length of time for which a biometric identifier is being collected, stored, purchased, received through trade or otherwise obtained, used, disclosed, transferred or otherwise disseminated; and C. Receives affirmative written consent from the individual. This subsection does not apply to a disclosure of a biometric identifier if the disclosure completes a financial transaction requested or authorized by the individual, is required by state or federal law or is required pursuant to a valid warrant or subpoena issued by a court of competent jurisdiction. 2. Sale, lease or trade prohibited. A private entity that collects a biometric identifier may not: A. Sell, lease or trade that biometric identifier; or B. Permit an entity to which the private entity transfers, shares or provides a biometric identifier to sell, lease or trade that biometric identifier	1. 동의 없이 수집, 저장 또는 배포 금지. 민간기업은 다음을 수행하지 않고는 개인의 생체인식 식별자를 수집, 저장, 구매, 무역을 통한 수령 또는 기타 방법으로 획득, 사용, 공개, 이전 또는 기타 방법으로 배포할 수 없다: A. 생체인식 식별자가 수집, 저장, 구매, 무역을 통한 수령 또는 기타 방법으로 획득, 사용, 공개, 이전 또는 기타 방법으로 배포되고 있음을 서면으로 개인에게 알린다.; B. 생체인식 식별자가 수집, 저장, 구매, 무역을 통한 수령 또는 기타 방법으로 획득, 사용, 공개, 이전 또는 기타 방법으로 배포되는 특정 목적과 기간을 서면으로 개인에게 알린다; 그리고 C. 개인으로부터 명시적인 서면 동의를 받는다. 이 하위 조항은 생체인식 식별자의 공개가 개인이 요청하거나 승인한 금융 거래를 완료하거나, 주 또는 연방법에 따라 요구되거나, 관할권을 가진 법원이 발행한 유효한 영장 또는 소환장에 의해 요구되는 경우에는 적용되지 않는다. 2. 판매, 임대 또는 무역 금지. 생체인식 식별자를 수집하는 민간기업은: A. 해당 생체인식 식별자를 판매, 임대 또는 무역할 수 없으며; B. 민간기업이 생체인식 식별자를 이전, 공유 또는 제공하는 주체가 해당 생체인식 식별자를 판매, 임대 또는 무역하도록 허용할 수 없다.

또한, 메인주는 공공기관(공립학교 포함) 및 직원들을 대상으로 하는 안면 감시 시스템(Facial Surveillance Systems)의 사용을 규제하는 법을 제정하였다. 동 법률에서는 공공기관 또는 공무원은 안면인식 감시시스템(facial surveillance system)으로부터 추출된 정보를 취득, 보유, 접근, 요청, 이용할 수 없으며, 공공기관 또는 공무원을 대신하여 안면인식 시스템 추출 정보를 취득, 보관, 사용할 목적으로 제3자와 계약을 체결해서는 안 된다고 규정하고 있다.

An Act to Increase Privacy and Security by Regulating the Use of Facial Surveillance Systems by Departments, Public Employees and Public Officials

다만, 중대범죄 조사과정, 사망자나 실종자 신원 확인을 위해서 안면인식 감시시스템 검색 결과를 사용하거나 주/지방 교도소 내에서 감시를 위해 홍채분석을 사용하는 경우 등은 예외적으로 허용하고 있으며, 동 법을 위반한 공무원은 정직, 해고 등 징계를 받을 수 있고, 피해를 입은 시민은 해당 공무원을 사적으로 제소할 수 있도록 규정하고 있다.

【 Maine Facial Surveillance(Chapter 701 §6001) 주요 조문 】

https://legislature.maine.gov/statutes/25/title25sec6001.html

원문	번역
Definitions
D. "Facial surveillance" means an automated or semi-automated process that assists in identifying or verifying an individual, or in capturing information about an individual, based on the physical characteristics of an individual's face.	"얼굴 감시"란 개인의 얼굴의 신체적 특성에 따라 개인을 식별 또는 검증하거나 개인에 대한 정보를 포착하는 데 도움을 주는 자동화 또는 반자동화 과정을 말한다.
2. Use of facial surveillance by department, public employee or public official
A. Except as provided in paragraphs B and D, a department, public employee or public official may not: (1) Obtain, retain, possess, access, request or use a facial surveillance system or information derived from a search of a facial surveillance system; (2) Enter into an agreement with a 3rd party for the purpose of obtaining, retaining, possessing, accessing or using, by or on behalf of a department, public employee or public official, a facial surveillance system or information derived from a search of a facial surveillance system; or (3) Issue a permit or enter into any other agreement that authorizes a 3rd party to obtain, retain, possess, access or use a facial surveillance system or information derived from a search of a facial surveillance system.	A. 다음의 B 및 D 항에 명시된 경우를 제외하고, 부서, 공무원 또는 공직자는 다음을 수행할 수 없다: (1) 얼굴 인식 시스템이나 얼굴 인식 시스템 검색에서 파생된 정보를 획득, 보유, 소유, 접근, 요청 또는 사용할 수 없다; (2) 부서, 공무원 또는 공직자가 얼굴 인식 시스템이나 얼굴 인식 시스템 검색에서 파생된 정보를 획득, 보유, 소유, 접근 또는 사용하기 위해 제3자와 계약을 체결할 수 없다; 또는 (3) 제3자가 얼굴 인식 시스템이나 얼굴 인식 시스템 검색에서 파생된 정보를 획득, 보유, 소유, 접근 또는 사용하도록 허가하는 허가증을 발급하거나 기타 계약을 체결할 수 없다.
B. Notwithstanding the provisions of paragraph A, a department, public employee or public official may request a search of a facial surveillance system as provided in paragraph C and may obtain, retain, possess, access or use the results of a search of a facial surveillance system, as provided in paragraph C, for the purposes of: (1) Investigating a serious crime, when there is probable cause to believe that an unidentified individual in an image has committed the serious crime; (2) Assisting in the identification of a person who is deceased or believed to be deceased; (3) Assisting in the identification of a missing or endangered person; or (4) Performing a duty authorized under paragraph D, subparagraph (1), if the Bureau of Motor Vehicles or a public employee or public official of the Bureau of Motor Vehicles makes the request for the search of the facial surveillance system.	B. A항의 규정에도 불구하고, 부서, 공무원 또는 공직자는 C항에 명시된 대로 얼굴 인식 시스템 검색을 요청할 수 있으며, C항에 명시된 대로 다음 목적을 위해 얼굴 인식 시스템 검색 결과를 획득, 보유, 소유, 접근 또는 사용할 수 있다: (1) 심각한 범죄를 조사할 때, 이미지 속에 있는 신원이 확인되지 않은 개인이 심각한 범죄를 저질렀을 가능성이 있을 경우; (2) 사망했거나 사망한 것으로 추정되는 사람의 신원 확인을 돕기 위해; (3) 실종자나 위험에 처한 사람의 신원 확인을 돕기 위해; 또는 (4) D항의 소항 (1)에 따라 권한이 부여된 의무를 수행하기 위해, 차량국이나 차량국의 공무원 또는 공직자가 얼굴 인식 시스템 검색을 요청하는 경우.
D. Nothing in paragraph A prohibits a department, public employee or public official from: (1) Obtaining, maintaining or using a facial surveillance system or the results of a search of a facial surveillance system within the Bureau of Motor Vehicles in accordance with Title 29-A, section 1401, subsection 9 or for the purposes of fraud prevention or investigation; (2) Using facial surveillance technology that analyzes the eye's iris in a regional jail or county jail; (3) Using evidence that has been generated from a search of a facial surveillance system that is related to an investigation of a specific crime (4) Obtaining or possessing for evidentiary purposes an electronic device, including, but not limited to, a cellular telephone, tablet or computer, that performs facial surveillance for the sole purpose of user authentication; (5) Using social media or communications software or applications for communicating with the public as long as such use does not include the affirmative use of facial surveillance; (7) Performing duties required by the National Child Search Assistance Act of 1990, 34 United States Code, Sections 41307 and 41308 (2021); or (8) Using facial surveillance on an electronic device, including, but not limited to, a cellular telephone, tablet or computer, owned by the public employee or public official for that person's personal use for the sole purpose of user authentication of that person.	D. A항의 내용에도 불구하고, 부서, 공무원 또는 공직자는 다음과 같은 경우 얼굴 인식 시스템이나 얼굴 인식 시스템 검색 결과를 획득, 유지 또는 사용할 수 있다: (1) 타이틀 29-A, 섹션 1401, 하위 섹션 9에 따라 차량국 내에서 사기 방지 또는 조사를 목적으로 얼굴 인식 시스템이나 얼굴 인식 시스템 검색 결과를 획득, 유지 또는 사용할 수 있다. (2) 지역 교도소나 카운티 교도소에서 눈의 홍채를 분석하는 얼굴 인식 기술을 사용할 수 있다. (3) 특정 범죄 조사와 관련된 얼굴 인식 시스템 검색 결과에서 생성된 증거를 사용할 수 있다. (4) 사용자 인증의 유일한 목적으로 얼굴 인식을 수행하는 셀룰러 전화, 태블릿 또는 컴퓨터 등 전자 기기를 증거 목적을 위해 획득 또는 소유할 수 있다. (5) 얼굴 인식의 적극적인 사용을 포함하지 않는 한, 대중과의 의사소통을 위해 소셜 미디어나 통신 소프트웨어 또는 애플리케이션을 사용할 수 있다. (7) 1990년 국가 아동 수색 지원법 (National Child Search Assistance Act of 1990), 34 미국 코드, 섹션 41307 및 41308 (2021)에 따른 의무를 수행할 수 있다. (8) 공무원 또는 공직자가 본인의 개인적인 사용자 인증을 위해 그 사람이 소유한 셀룰러 전화, 태블릿 또는 컴퓨터와 같은 전자 기기에서 얼굴 인식을 사용할 수 있다.
3. Enforcement
The following provisions apply to a violation of this section by a department or a public employee or public official acting in the performance of their official duties. A. Facial surveillance data collected or derived in violation of this section: (1) Must be considered unlawfully obtained and, except as otherwise provided by law, must be deleted upon discovery; and (2) Is inadmissible in evidence in any proceeding in or before any public official, department, regulatory body or authority. B. A person injured or aggrieved by a violation of this section may bring an action in a court in this State against the department, public employee or public official having possession, custody or control of facial surveillance data in violation of this section and may seek injunctive or declaratory relief or a writ of mandamus. C. A public employee or public official who, in the performance of their official duties, violates this section may be subject to disciplinary action, including, but not limited to, retraining, suspension or termination, subject to the requirements of due process and of any applicable collective bargaining agreement. D. Nothing in this subsection limits the rights under state or federal law of a person injured or aggrieved by a violation of this section.	다음 조항들은 공식 업무 수행 중인 부서나 공무원, 또는 공직자가 이 섹션을 위반했을 경우에 적용된다. A. 이 섹션을 위반하여 수집되거나 파생된 얼굴 인식 데이터: (1) 불법적으로 획득된 것으로 간주하며, 법에서 달리 규정하지 않는 한 발견 시 삭제되어야 한다. (2) 모든 공직자, 부서, 규제 기관 또는 권한 앞에서 어떠한 절차에서도 증거로 사용할 수 없다. B. 이 섹션의 위반으로 인해 부상당하거나 피해를 입은 사람은 이 주의 법원에 위반된 얼굴 인식 데이터를 소유, 관리 또는 통제하는 부서, 공무원 또는 공직자를 상대로 소송을 제기할 수 있으며, 금지명령이나 선언적 구제, 또는 집행명령을 요청할 수 있다. C. 공식 업무 수행 중에 이 섹션을 위반한 공무원 또는 공직자는 재훈련, 정직 또는 해고를 포함한 징계 조치를 받을 수 있으며, 이는 적법 절차와 관련된 모든 해당 단체 교섭 협정의 요구사항을 준수해야 한다. D. 이 하위 섹션의 어떠한 내용도 이 섹션의 위반으로 인해 부상당하거나 피해를 입은 사람의 주 또는 연방법에 따른 권리를 제한하지 않는다.

라. 텍사스주(Texas)

텍사스주는 2009년 일리노이주에 이어 두 번째로 생체정보 보호법을 제정하였다. 텍사스주 법은 먼저 제정된 일리노이주와 유사하게 기업이 생체정보를 수집, 저장 또는 사용하는 경우 사용 목적을 명확히 밝히고 당사자의 명시적인 동의를 얻도록 규정하고 있다.

또한, 수집 목적이 달성된 후 또는 수집 시점으로부터 최대 1년 동안만 보유할 수 있으며 보유 기간이 만료되면 안전하게 파기해야 한다. 생체정보의 판매, 임대, 교환 등 상업적인 거래는 금지되며, 법 위반에 대해 민사 소송을 통해 손해배상 청구가 가능하다. 다만 일리노이주와는 달리 소송은 주 법무장관이 제기할 수 있도록 규정하고 있다. 특이한 점은 텍사스주는 개인이 사망하거나 실종된 경우의 식별 목적으로 공개에 동의한 경우, 생체인식 식별자의 판매, 임대, 제공 등을 허용하고 있다(Sec. 503.001 (c)-(1)-(A))

【 Texas Biometric Identifiers(Chapter 503) 주요 조문 】

텍사스주 생체정보 보호법 원문, https://statutes.capitol.texas.gov/Docs/BC/htm/BC.503.htm#:~:text=503.001.,of%20hand%20or%20face%20geometry.&text=(2)%20receives%20the%20individual%27s%20consent%20to%20capture%20the%20biometric%20identifier.

원문	번역
Sec. 503.001 CAPTURE OR USE OF BIOMETRIC IDENTIFIER (생체인식 식별자의 수집 또는 사용)
(a) In this section, "biometric identifier" means a retina or iris scan, fingerprint, voiceprint, or record of hand or face geometry.	(a) 이 섹션에서 "생체인식 식별자"란 망막 또는 홍채 스캔, 지문, 음성 인식, 손 또는 얼굴의 형상을 기록한 것을 의미한다.
(b) A person may not capture a biometric identifier of an individual for a commercial purpose unless the person: (1) informs the individual before capturing the biometric identifier; and (2) receives the individual's consent to capture the biometric identifier.	(b) 상업적 목적으로 개인의 생체인식 식별자를 수집하려는 사람은: (1) 생체인식 식별자를 수집하기 전에 개인에게 알리고; (2) 개인의 동의를 받아야 한다.
(c) A person who possesses a biometric identifier of an individual that is captured for a commercial purpose: (1) may not sell, lease, or otherwise disclose the biometric identifier to another person unless: (A) the individual consents to the disclosure for identification purposes in the event of the individual's disappearance or death; (B) the disclosure completes a financial transaction that the individual requested or authorized; (C) the disclosure is required or permitted by a federal statute or by a state statute other than Chapter 552, Government Code; or (D) the disclosure is made by or to a law enforcement agency for a law enforcement purpose in response to a warrant; (2) shall store, transmit, and protect from disclosure the biometric identifier using reasonable care and in a manner that is the same as or more protective than the manner in which the person stores, transmits, and protects any other confidential information the person possesses; and (3) shall destroy the biometric identifier within a reasonable time, but not later than the first anniversary of the date the purpose for collecting the identifier expires, except as provided by Subsection (c-1). (c-1) If a biometric identifier of an individual captured for a commercial purpose is used in connection with an instrument or document that is required by another law to be maintained for a period longer than the period prescribed by Subsection (c)(3), the person who possesses the biometric identifier shall destroy the biometric identifier within a reasonable time, but not later than the first anniversary of the date the instrument or document is no longer required to be maintained by law.	(c) 상업적 목적으로 수집된 개인의 생체 인식 식별자를 보유한 사람은: (1) 다음의 경우를 제외하고 생체인식 식별자를 다른 사람에게 판매, 임대 또는 기타 방식으로 공개해서는 안 된다: (A) 개인이 실종되거나 사망한 경우 식별 목적으로 공개에 동의한 경우; (B) 개인이 요청하거나 승인한 금융 거래를 완료하기 위해 공개하는 경우; (C) 연방 법령 또는 주 법령(정부 코드 제 552장을 제외한)에 의해 공개가 요구되거나 허용되는 경우; 또는 (D) 영장에 대한 응답으로 법 집행 목적으로 법 집행 기관에 의해 공개되는 경우; (2) 합리적인 주의를 기울여 생체인식 식별자를 저장, 전송 및 보호해야 하며, 그 사람이 보유한 다른 기밀 정보를 저장, 전송 및 보호하는 방식과 같거나 더 보호적인 방식으로 이를 수행해야 한다; 그리고 (3) 수집 목적이 만료된 날로부터 합리적인 시간 내에, 그러나 만료일로부터 늦어도 1년 이내에 생체인식 식별자를 파기해야 한다. 단, 섹션 (c-1)에 명시된 경우는 예외이다. (c-1) 다른 법률에 따라 더 오랜 기간 동안 유지해야 하는 문서나 서류와 관련하여 상업적 목적으로 수집된 개인의 생체인식 식별자가 사용되는 경우, 해당 생체인식 식별자를 보유한 사람은 법률에 의해 문서나 서류를 더 이상 유지할 필요가 없는 날로부터 늦어도 첫 번째 기념일 전까지 생체인식 식별자를 합리적인 시간 내에 파기해야 한다.
(d) A person who violates this section is subject to a civil penalty of not more than $25,000 for each violation. The attorney general may bring an action to recover the civil penalty.	(d) 이 섹션을 위반한 사람은 위반 건당 최대 $25,000의 민사 벌금에 처할 수 있다. 법무 장관은 민사 벌금을 회수하기 위한 소송을 제기할 수 있다.

이러한 텍사스주 생체정보 보호법에 근거하여 2022년 10월 텍사스주 법무장관이 구글에 대해 이용자의 동의없이 수백만 명의 텍사스 주민들의 목소리와 얼굴 등 생체 데이터를 불법으로 수집한 혐의로 소송을 제기하였다. 텍사스주는 사진의 얼굴을 인식하여 유사도를 검색해주는 Google Photos, 방문객이 집에 찾아 왔을 때 얼굴을 인식한 후 경고 기능을 제공하는 Google’s Nest, 목소리를 기반으로 하는 비서 기능 Google Assistant 등이 생체 데이터를 무단으로 수집하였다고 주장하였다.

연합뉴스, 美 텍사스주, 구글 대상 소송제기...동의 없이 생체 데이터 수집(2022.10.21.), https://www.yna.co.kr/view/AKR20221021003500091?input=1195m

마. 캘리포니아·콜로라도·버지니아주

캘리포니아주, 콜로라도주, 버지니아주 등은 별도의 생체정보 보호법률을 제정하지는 않았으나, 프라이버시 보호법 등에 생체정보 활용을 규율하는 내용을 포함하여 운영하고 있다.

1) 캘리포니아주(California)

캘리포니아주는 2023년부터 시행되고 있는 프라이버시 권리법(California Privacy Rights Act, CPRA)에서 민감정보(sensitive personal information) 개념을 도입하고, 민감정보에 소비자의 유전자 정보(genetic data)와 개인 식별을 목적으로 하는 생체인식정보(biometric information)를 포함하였으며, 이러한 민감정보에 대한 이용이나 공개를 제한할 수 있도록 규정하고 있다.

California Privacy Rights Act of 2020 원문 참조, https://thecpra.org/

구체적으로 기업이 소비자의 민감정보를 수집, 처리하는 것은 상품이나 서비스 제공에 필요한 경우로 제한하고, 소비자가 자신의 민감정보의 이용 및 공개 여부를 사전에 선택(opt-in)할 수 있도록 하였으며, 기업은 이러한 소비자 권리에 대해 사전에 통지하여야 한다. 동 법률은 캘리포니아에서 영업하면서 캘리포니아 거주자의 개인 데이터를 이용하는 영리기업에 적용되는 것으로, 소규모 사업자가 아닌 연 매출 2,500만$ 이상이거나 개인정보를 10만 건 이상 보유하고 있는 기업에 적용된다. CPRA를 집행할 새로운 규제 기관으로 개인정보 보호 감독기구(California Privacy Protection Agency) 설립 근거도 마련되었는데, 미국 최초의 소비자 프라이버시 관련 독립기구라는 점에서 의미가 있다.

2) 콜로라도주(Colorado)

콜로라도의 경우 2021년 개인정보 보호법(Colorado Privacy Act)을 제정하였는데, 민감정보(sensitive data)로 개인 식별 목적으로 처리될 수 있는 유전 또는 생체정보를 포함하고 있으며, 사업자는 소비자의 동의 없이 민감정보를 처리할 수 없도록 규정하고 있다.

Colorado Privacy Act 원문, https://coag.gov/app/uploads/2022/01/SB-21-190-CPA_Final.pdf

콜로라도주 개인정보 보호법이 캘리포니아주 CPRA와 다른 점은 적용대상을 콜로라도 거주민을  대상으로 영업을 하는 사업자 중 1년 동안 10만 명 이상의 소비자 개인정보를 처리하거나 25,000명 이상의 소비자 개인정보를 처리하면서 개인정보를 판매(sale)하여 수익을 얻는 사업자로 규정하고 있어 사업자의 매출액 규모가 별도로 없는 점에서 차이가 있다. 또한, 특이한 점은 콜로라도주는 2024년 4월 17일 이 법률을 개정하여 개인의 뇌파와 같은 신경 데이터(neural data)를 민감정보(sensitve data)에 추가하여 보호 대상에 포함시킨 최초의 주가 되었다.

Reuters, “First law protecting consumers’ brainwaves signed by Colorado governor”, https://www.reuters.com/technology/first-law-protecting-consumers-brainwaves-signed-by-colorado-governor-2024-04-18/

【 개정 Colorado Privacy Act(‘24.4.17) 주요 내용 】

원문	번역
6-1-1303. Definitions 정의 * 개정으로 추가된 사항
“biological data” means data generated by the technological processing, measurement, or analysis of an individual’s biological, genetic, physiological, or neural properties, compositions, or activities or of an individual’s body or bodily functions, which data could be used, singly or in combination with other personal data, for identification purposes. “biological data” includes neural data.	“생물학적 데이터”는 개인의 생물학적, 유전적, 생리학적, 또는 신경학적 특성, 구성 또는 활동이나 개인의 신체 또는 신체 기능에 대한 기술적 처리, 측정 또는 분석을 통해 생성된 데이터를 의미하며, 이러한 데이터는 단독으로 또는 다른 개인 데이터와 결합하여 식별 목적으로 사용할 수 있다. “생물학적 데이터”에는 신경 데이터가 포함된다.
“neural data” means information that is generated by the measurement of the activity of an individual’s central or peripheral nervous systems and that can be processed by or with the assistance of a device.	“신경 데이터”는 개인의 중추 또는 말초 신경계의 활동을 측정하여 생성된 정보로, 장치에 의해 또는 장치의 도움으로 처리될 수 있는 정보를 의미한다.
"Sensitive data" means: (d) biological data	민감데이터는 다음을 의미한다: (d) 생물학적 데이터

3) 버지니아주(Virginia)

버지니아주의 경우 별도의 생체정보 보호를 위한 독립 법률을 운영하고 있지는 않으나, 2021년 버지니아 소비자보호법(Virginia Consumer Data Protection Act)을 제정하고 동 법에 생체정보에 관한 내용을 포함하고 있다.

이 법은 버지니아주에 위치한 비즈니스 또는 제품과 서비스를 제공하는 비즈니스 중, 1) 연간 10만 명 이상의 버지니아 주민의 데이터를 처리하거나, 2) 연간 25,000명 이상의 주민 데이터를 처리하면서 데이터 판매를 통해 총 수익의 50% 이상을 창출하는 비즈니스에 적용되는 것으로, 생체정보, 인종 또는 민족 정보, 건강 정보 등 민감한 데이터를 처리하기 위해서는 소비자의 명시적 동의를 얻도록 하고 있다.

【 Virginia Consumer Protection Act(Chapter 52) 주요 내용 】

버지니아 소비자보호법 원문 참조, https://lis.virginia.gov/cgi-bin/legp604.exe?211+ful+SB1392ES1

§59.1-571 민감정보 정의

민감 정보(sensitive data)에는 인종 또는 민족 출신, 종교적 신념, 정신적 또는 신체적 건강 진단, 성적 지향 또는 시민권 또는 이민 상태를 밝히는 개인 데이터; 자연인을 고유하게 식별하기 위한 목적으로 유전 또는 생체 데이터를 처리하는 것; 알려진 어린이로부터 수집된 개인 데이터; 또는 정밀한 위치 데이터가 포함된다.

§59.1-574 민감 정보 처리

컨트롤러는 소비자의 동의를 얻지 않고는 소비자에 관한 민감한 데이터를 처리할 수 없으며, 알려진 어린이에 관한 민감한 데이터를 처리하는 경우에는 연방 아동 온라인 프라이버시 보호법(Children's Online Privacy Protection Act, 15 U.S.C. § 6501 et seq.)에 따라 처리해야 한다

바. 뉴욕시 Biometric Identifier Information Law (New York City Administrative Code Title 22: Economic Affairs Chapter 12)

뉴욕시는 2021년 생체정보 보호법을 제정하였는데, 고객의 생체인식 식별자 정보(biometric identifier information)를 수집, 보유, 변환, 저장 또는 공유하는 모든 상업 시설에 적용되며, 사업자는 모든 고객 입구 근처에 쉽고 간단한 언어로 명확하고 눈에 띄는 표지판을 설치하여 해당 내용을 공개 및 고지하도록 하고 있으며, 소비자의 생체 데이터를 판매, 임대 또는 이익을 얻는 것을 금지하고 있다.

이 법은 위반행위로 피해를 입은 개인의 제소를 허용하고 있으며, 규정을 위반하고 부주의한 위반에 대해 각 $500, 고의적이거나 무분별한 위반에 대해서는 $5,000, 변호사 비용 및 기타 관련 비용 및 비용, 금지 명령을 포함한 다른 형태의 구제를 받을 수 있다. 일리노이주를 제외한 미국의 다른 주들이 생체정보 보호법에 개별 소송 제기권을 두고 있지 않다는 점과 차이가 있다.

다만, 그러나 상업 시설은 위반 사항을 시정하기 위해 30일의 시정기간이 부여되고, 위반 혐의가 있는 자가 시정하고 이를 명시적으로 피해를 입은 소비자에게 제공하고 더 이상의 위반이 없는 경우 책임을 면할 수 있는 기회를 제공한다.

【 뉴욕시 Biometric Identifier Information Law 주요 조문 】

뉴욕시 생체정보 보호법 원문, https://codelibrary.amlegal.com/codes/newyorkcity/latest/NYCadmin/0-0-0-42626

원문	번역
§22-1201 Definitions (정의)
The term "biometric identifier information" means a physiological or biological characteristic that is used by or on behalf of a commercial establishment, singly or in combination, to identify, or assist in identifying, an individual, including, but not limited to: (i) a retina or iris scan, (ii) a fingerprint or voiceprint, (iii) a scan of hand or face geometry, or any other identifying characteristic.	"생체 식별자 정보"란 상업 기관이 단독으로 또는 결합하여 개인을 식별하거나 식별을 돕기 위해 사용하는 생리적 또는 생물학적 특성을 의미하며, 다음을 포함하되 이에 국한되지 않는다: (i) 망막 또는 홍채 스캔, (ii) 지문 또는 성문, (iii) 손이나 얼굴의 형상 스캔, 또는 기타 식별 가능한 특성.
§22-1202 Collection, use, and retention of biometric identifier information (생체인식 식별자 정보의 수집, 이용 및 보유)
a. Any commercial establishment that collects, retains, converts, stores or shares biometric identifier information of customers must disclose such collection, retention, conversion, storage or sharing, as applicable, by placing a clear and conspicuous sign near all of the commercial establishment's customer entrances notifying customers in plain, simple language, in a form and manner prescribed by the commissioner of consumer and worker protection by rule, that customers' biometric identifier information is being collected, retained, converted, stored or shared, as applicable. b. It shall be unlawful to sell, lease, trade, share in exchange for anything of value or otherwise profit from the transaction of biometric identifier information.	a. 고객의 생체 식별자 정보를 수집, 보관, 변환, 저장 또는 공유하는 모든 상업 기관은 해당 수집, 보관, 변환, 저장 또는 공유에 대해 상업 기관의 모든 고객 출입구 근처에 고객에게 생체식별자 정보가 수집, 보관, 변환, 저장 또는 공유되고 있음을 명확하고 눈에 잘 띄는 표지판을 통해 알리고, 소비자 및 근로자 보호 위원회가 규정한 형식과 방식으로 평이하고 간단한 언어로 고객에게 통지해야 한다. b. 생체식별자 정보를 판매, 임대, 거래, 가치 있는 것과의 교환을 위해 공유하거나, 기타 방법으로 이 정보를 통해 이익을 얻는 것은 금한다.
§22-1203 Private right of action (소 제기 권리)
A person who is aggrieved by a violation of this chapter may commence an action in a court of competent jurisdiction on his or her own behalf against an offending party. At least 30 days prior to initiating any action against a commercial establishment for a violation of subdivision a of section 22-1202, the aggrieved person shall provide written notice to the commercial establishment setting forth such person's allegation. If, within 30 days, the commercial establishment cures the violation and provides the aggrieved person an express written statement that the violation has been cured and that no further violations shall occur, no action may be initiated against the commercial establishment for such violation. If a commercial establishment continues to violate subdivision a of section 22-1202, the aggrieved person may initiate an action against such establishment. No prior written notice is required for actions alleging a violation of subdivision b of section 22-1202. A prevailing party may recover: 1. For each violation of subdivision a of section 22-1202, damages of $500; 2. For each negligent violation of subdivision b of section 22-1202, damages of $500; 3. For each intentional or reckless violation of subdivision b of section 22-1202, damages of $5,000; 4. Reasonable attorneys' fees and costs, including expert witness fees and other litigation expenses; and 5. Other relief, including an injunction, as the court may deem appropriate.	본 장의 위반으로 인해 피해를 입은 사람은 위반 당사자를 상대로 자신의 명의로 관할 법원에 소송을 제기할 수 있다. §22-1202 a항을 위반한 상업 기관에 대해 소송을 제기하기 최소 30일 전에, 피해자는 해당 상업 기관에 서면으로 위반 사항을 통지해야 한다. 상업 기관이 30일 이내에 위반을 시정하고, 피해자에게 위반이 시정되었으며 더 이상의 위반이 없을 것이라는 명시적인 서면 진술을 제공하는 경우, 해당 위반에 대해 상업 기관에 소송을 제기할 수 없다. 상업 기관이 계속해서 §22-1202 a항을 위반하는 경우, 피해자는 해당 기관에 대해 소송을 제기할 수 있다. §22-1202 b항 위반을 주장하는 소송에는 사전 서면 통지가 필요하지 않다. 승소한 당사자는 다음을 회수할 수 있다: 1. §22-1202 a항의 각 위반에 대해 $500의 손해배상금. 2. §22-1202 b항의 각 과실 위반에 대해 $500의 손해배상금. 3. §22-1202 b항의 각 고의적 또는 무모한 위반에 대해 $5,000의 손해배상금. 4. 합리적인 변호사 수임료와 비용, 전문가 증인 수수료 및 기타 소송 비용. 5. 법원이 적절하다고 판단하는 기타 구제 조치를 포함하여 금지명령.
§22-1204 Applicability (적용)
a. Nothing in this chapter shall apply to the collection, storage, sharing or use of biometric identifier information by government agencies, employees or agents. b. The disclosure required by subdivision a of section 22-1202 shall not apply to: 1. Financial institutions. 2. Biometric identifier information collected through photographs or video recordings, if: (i) the images or videos collected are not analyzed by software or applications that identify, or that assist with the identification of, individuals based on physiological or biological characteristics, and (ii) the images or video are not shared with, sold or leased to third-parties other than law enforcement agencies.	a. 이 장의 어떠한 내용도 정부 기관, 직원 또는 대리인이 생체 식별자 정보를 수집, 저장, 공유 또는 사용하는 것에는 적용되지 않는다. b. §22-1202 a항에서 요구하는 공개 의무는 다음에 적용되지 않는다: 1. 금융 기관. 2. 사진이나 비디오 녹화를 통해 수집된 생체식별자 정보, 단 다음 조건을 충족하는 경우: (i) 수집된 이미지나 비디오가 생리학적 또는 생물학적 특성에 기반하여 개인을 식별하거나 식별을 돕는 소프트웨어나 애플리케이션에 의해 분석되지 않는 경우. (ii) 이미지나 비디오가 법 집행 기관 외의 제3자와 공유되거나, 판매되거나, 임대되지 않는 경우.

2. 미국 연방 생체정보 보호 체계

미국 연방 차원에서도 생체정보 활용 확산 및 이에 대한 우려 증가로 생체정보 이용을 규제하는 법안들이 발의되어 왔는데, 주로 연방 법 집행 기관들을 대상으로 하고 있으며 현재까지 통과된 법안은 없다.

【 미국 연방 차원의 안면인식 입법 현황 】

한국인터넷진흥원, 안면인식 기술 제재 관련 정책 추진 및 분석과 평가(2023 개인정보 보호 월간동향분석 VOL 5), https://www.kisa.or.kr/20202/form?postSeq=267&page=5

법안명	의회	주요 내용	발의 시점
S.681 - Facial Recognition and Biometric Technology Moratorium Act of 2023	상원	연방기관의 안면인식 기술 및 생체인식 기술사용 금지	‘23.3
H.R.9061 - Facial Recognition Act of 2022	하원	연방 법 집행 기관의 안면인식 기술 사용 금지(엄격한 제한 조건 하 사용)	‘22.9
H.R.1163 - Federal Police Camera and Accountability Act	하원	연방 법 집행 기관이 신체 카메라 녹음 영상에 대해 안면인식 사용을 금지	‘21.4
S.4400 – National Biometric Information Privacy Act of 2020	상원	생체정보 수집을 위해 정보주체 유효한 동의요건 명시, 정보주체 알권리 보장	‘20.8
S.3284 - Ethical Use of Facial Recognition Act	상원	연방 법 집행 기관이 안면인식 검색을 실행하기 위해 법원의 영장을 발부받도록 요구	‘20.2
H.R.4021 - FACE Protection Act of 2019	하원		‘19.7
S.2878 - Facial Recognition Technology Warrant Act of 2019	상원	연방 법 집행 기관이 지속적인 감시를 수행하기 위해 안면인식 기술을 이용하는 경우 법원의 영장을 발부받도록 요구	‘19.11

출처 : 개인정보보호 월간동향분석(인터넷진흥원, ’23.5월)

연방 차원의 규제법안 중 가장 최근에 발의된 법안인 “Facial Recognition and Biometric Technology Moratorium Act of 2023”은 연방기관의 얼굴 인식 및 생체인식 기술사용을 금지하는 법안으로 상원의원 Edward J. Markey(D-Mass)이 주도하였다. 법안 발의 배경으로 생체인식 기술이 감시 도구로 사용되면서 심각한 사생활 및 시민의 자유를 침해하고 기술의 부정확성으로 차별을 야기하고 있다고 지적하면서, 의회의 법률에 근거하지 않는 한 연방기관의 안면인식 기술 사용을 금지하고, 음성 인식, 걸음걸이 인식 및 기타 불변의 신체적 특성 인식을 포함한 기타 생체인식 기술사용을 금지하도록 규정하였다.

또한, 안면인식 및 생체인식 기술사용을 자체적으로 중단한 지방 및 주 기관에 대해 연방보조금을 지급하고, 생체인식 감시시스템을 위한 연방 자금 사용 금지, 동 법을 위반하여 수집된 생체인식 정보를 사법 절차에 사용하는 것을 금지하였으며, 개인의 소송권을 제공하도록 하였다. 다만 2023년 3월 의회에 제출되어 사법위원회(Committee on the Judiciary)에 회부된 이후 논의가 진행되지 않고 있는 상황이다.

미국 의회 발의법안 진행상황 참조, https://www.congress.gov/bill/118th-congress/senate-bill/681#:~:text=Introduced%20in%20Senate%20(03%2F07%2F2023)&text=This%20bill%20imposes%20limits%20on,state%2C%20and%20local%20government%20entities.

【 Facial Recognition and Biometric Technology Moratorium Act of 2023 】

https://www.congress.gov/118/bills/s681/BILLS-118s681is.pdf

원문	번역
Sec. 1. Short title (법률의 약칭)
This Act may be cited as the ‘‘Facial Recognition and Biometric Technology Moratorium Act of 2023’’.	이 법은 "2023년 얼굴 인식 및 생체인식 기술 모라토리엄 법"으로 칭할 수 있다.
Sec. 2. Definitions(정의)
(1) BIOMETRIC SURVEILLANCE SYSTEM – The term “biometric Surveillance system” means any computer software that performs facial recognition or other remote bio metric recognition in real time or on a recording or photograph. (3) FACIAL RECOGNITION – The term “facial recognition”’ means an automated or semi-automated process that- (A) assists in identifying an individual capturing information about an individual or otherwise generating or assisting in generating surveillance information about an individual based on the physical characteristics of the individaul’s face; or (B) logs characteristics of an individual’s face, head or body to infer emotion, associations, activities, or the location of an individual. (6) OTHER REMOTE BIOMETRIC RECOGNITION – The term “other remote biometric recognition”- (A) means an automated or semi-automated process that - (i) assists in identifying an individual capturing information about an individual or otherwise generating or assisting in generating surveillance information about an individual based on the characteristics of the individual’s gait or other immutable characteristic ascertained from a distance; (ii) uses voice recognition technology; or (iii) logs such characteristics to infer emotion, associations, activities or the location of an individual; and (B) does not include identification based on fingerprints or palm prints. (7) VOICE RECOGNITION TECHNOLOGY – The term “voice recognition technology” means the automated or semi-automated process that assists in identifying or verifying an individual based on the characteristics of an individual’s voice	(1) 생체인식 감시시스템 - "생체인식 감시시스템"이란 실시간으로 또는 녹화된 영상이나 사진에서 얼굴 인식 또는 기타 원격 생체인식을 수행하는 모든 컴퓨터 소프트웨어를 의미한다. (3) 얼굴 인식 - "얼굴 인식"이란 다음을 포함한 자동 또는 반자동 프로세스를 의미한다: (A) 개인의 신원을 확인하거나 개인에 대한 정보를 수집하거나, 개인의 얼굴 신체적 특성을 기반으로 개인에 대한 감시 정보를 생성하거나 생성하는 것을 지원하는 프로세스; 또는 (B) 개인의 얼굴, 머리, 또는 신체의 특징을 기록하여 감정, 연관성, 활동 또는 개인의 위치를 추론하는 프로세스. (6) 기타 원격 생체 인식 - "기타 원격 생체 인식"이란 다음을 포함한다: (A) 자동 또는 반자동 프로세스로서, (i) 개인의 걸음걸이 또는 거리에서 확인된 기타 불변의 특성을 기반으로 개인의 신원을 확인하거나 개인에 대한 정보를 수집하거나, 개인에 대한 감시 정보를 생성하거나 생성하는 것을 지원하는 경우; (ii) 음성 인식 기술을 사용하는 경우; (iii) 감정, 연관성, 활동 또는 개인의 위치를 추론하기 위해 이러한 특성을 기록하는 경우; (B) 지문 또는 손바닥 인식을 기반으로 한 식별은 포함되지 않는다. (7) 음성 인식 기술 - "음성 인식 기술"이란 개인의 음성 특성을 기반으로 개인의 신원을 확인하거나 검증하는 자동 또는 반자동 프로세스를 의미한다.
Sec. 3. Prohibition on Federal Government Use of Biometric Surveillance (연방기관의 생체인식 감시기술 사용 금지)
(a) IN GENERAL.—Except as provided in subsection (b), it shall be unlawful for any Federal agency or Federal official, in an official capacity, to acquire, possess, access, or use in the United States— (1) any biometric surveillance system; or (2) information derived from a biometric surveillance system operated by another entity. (b) EXCEPTION.—The prohibition set forth in subsection (a) does not apply to activities explicitly authorized by an Act of Congress that describes, with particularity— (1) the entities permitted to use the biometric surveillance system, the specific type of biometric authorized, the purposes for such use, and any prohibited uses; (2) standards for use and management of information derived from the biometric surveillance system, including data retention, sharing, access, and audit trails; (3) auditing requirements to ensure the accuracy of biometric surveillance system technologies, standards for minimum accuracy rates, and accuracy rates by gender, skin color, and age; (4) rigorous protections for due process, privacy, free speech and association, and racial, gender, and religious equity; and (5) mechanisms to ensure compliance with the provisions of the Act. (c) JUDICIAL INVESTIGATIONS AND PROCEEDINGS.— (1) ADMISSIBILITY.—Except in a judicial investigation or proceeding alleging a violation of this section, information obtained in violation of this section is not admissible by the Federal Government in any criminal, civil, administrative, or other investigation or proceeding. (2) CAUSE OF ACTION.— (A) IN GENERAL.—A violation of this section constitutes an injury to any individual aggrieved by a violation of this Act. (B) RIGHT TO SUE.—An individual described in subparagraph (A) may institute proceedings against the Federal Government whose official is alleged to have violated this section for the relief described in subparagraph (D) in any court of competent jurisdiction. (C) ENFORCEMENT BY STATE ATTORNEYS GENERAL.—The chief law enforcement officer of a State, or any other State officer authorized by law to bring actions on behalf of the residents of a State, may bring a civil action, as parens patriae, on behalf of the residents of that State in an appropriate district court of the United States to enforce this Act, whenever the chief law enforcement officer or other State officer has reason to believe that the interests of the residents of the State have been or are being threatened or adversely affected by a violation of this Act. (D) RELIEF.—In a civil action brought under subparagraph (B) in which the plaintiff prevails, the court may award— (i) actual damages; (ii) punitive damages; (iii) reasonable attorneys’ fees and costs; and (iv) any other relief, including injunctive relief, that the court determines to be appropriate. (d) CIVIL PENALTIES.—Any Federal official who is found to have violated this section may be subject to retraining, suspension, termination, or any other penalty, as determined in an appropriate tribunal, subject to applicable due process requirements. (e) FEDERAL FUNDING.— (1) IN GENERAL.—No Federal funds may be obligated or expended by a Federal law enforcement agency for the purchase or use of a biometric surveillance system. (2) UNALLOCATED FUNDS.—No Federal agency may use any unallocated funds appropriated to the agency for the purchase or use of a biometric surveillance system.	(a) 일반 원칙. — (b) 항에 명시된 경우를 제외하고, 미국 내에서 어떤 연방 기관이나 연방 공무원도 공식 직무 수행 중 다음을 취득, 소유, 접근 또는 사용할 수 없다: (1) 어떠한 생체 인식 감시 시스템. (2) 다른 기관이 운영하는 생체 인식 감시 시스템에서 파생된 정보. (b) 예외. — (a) 항에 명시된 금지는 다음을 구체적으로 설명하는 연방 법률에 의해 명시적으로 허가된 활동에는 적용되지 않는다: (1) 생체 인식 감시 시스템을 사용할 수 있는 기관, 허가된 특정 생체 인식 유형, 그러한 사용의 목적 및 금지된 사용. (2) 데이터 보유, 공유, 접근 및 감사 추적을 포함한 생체 인식 감시 시스템에서 파생된 정보의 사용 및 관리 표준. (3) 생체 인식 감시 시스템 기술의 정확성을 보장하기 위한 감사 요구사항, 최소 정확도 기준 및 성별, 피부색 및 연령별 정확도 기준. (4) 적법 절차, 프라이버시, 자유 발언 및 결사의 자유, 인종, 성별 및 종교적 형평성에 대한 엄격한 보호. (5) 법의 조항 준수를 보장하는 메커니즘. (c) 사법 조사 및 절차. (1) 증거 능력. — 이 조항 위반을 주장하는 사법 조사나 절차를 제외하고, 이 조항을 위반하여 얻어진 정보는 연방 정부가 어떤 형사, 민사, 행정 또는 기타 조사나 절차에서 증거로 사용할 수 없다. (2) 소송 원인. (A) 일반 원칙. — 이 조항 위반은 이 법의 위반으로 피해를 입은 개인에게 상해를 초래합니다. (B) 소송 권리. — (A) 항에 설명된 개인은 이 조항을 위반했다고 주장되는 연방 공무원을 상대로 관할 법원에서 구제를 요구하는 소송을 제기할 수 있다. (C) 주 법무장관에 의한 집행. — 주 법의 최고 집행 책임자나 주 주민을 대신하여 소송을 제기할 법적 권한이 있는 다른 주 공무원은 이 법의 위반으로 인해 주 주민의 이익이 위협받거나 불리한 영향을 받고 있다고 믿을 만한 이유가 있을 때, 미국의 적절한 지방법원에서 주 주민을 대신하여 이 법을 집행하기 위해 민사 소송을 제기할 수 있다. (D) 구제. — (B) 항에 따른 민사 소송에서 원고가 승소한 경우, 법원은 다음을 지급할 수 있다: (i) 실제 손해 배상. (ii) 징벌적 손해 배상. (iii) 합리적인 변호사 비용 및 소송 비용. (iv) 법원이 적절하다고 판단하는 기타 구제 조치를 포함하여 금지명령. (d) 민사 처벌. — 이 조항을 위반한 연방 공무원은 적절한 법원에서 정한 적절한 적법 절차 요구사항에 따라 재교육, 정직, 해고 또는 기타 처벌을 받을 수 있다. (e) 연방 자금. (1) 일반 원칙. — 어떤 연방 법 집행 기관도 생체 인식 감시 시스템 구매나 사용을 위해 연방 자금을 지출하거나 사용할 수 없다. (2) 미배정 자금. — 어떤 연방 기관도 미배정 자금을 생체 인식 감시 시스템 구매나 사용을 위해 사용할 수 없다.

동 법안 이전에도 연방기관의 안면인식 기술 사용을 제한하는 “2022 안면인식 법안”(Facial Recognition Act of 2022), 연방기관이 안면인식 검색을 수행하기 위해서는 법원의 영장이 필요하도록 규정한 “안면인식의 윤리적 사용 법안”(Ethical Use of Facial Recognition Act) 등이 발의된 바 있으나 회기 종료로 폐기되었다.

【 Ethical Use of Facial Recognition Act(S.5289) 주요 내용 】

Ethical Use of Facial Recognition Act 원문, https://www.congress.gov/bill/117th-congress/senate-bill/5289/text

약칭 (short title)	· 안면인식 기술의 윤리적 사용
문제의식 (findings)	· 안면인식 기술은 그 영향에 대한 적절한 토론이나 고려 없이 미국 전역의 법 집행 기관에 점점 더 많이 사용되고 있음 · 안면인식 기술이 시위·집회에서 사용된 증거가 있으며, 이는 표현의 자유를 위축시킬 수 있음 · 안면 인식 기술이 제1차 수정헌법 관련 활동을 억압하거나, 사생활을 침해하거나, 개인의 시민권 및 시민 자유에 부정적인 영향을 미치지 않도록 할 필요가 있음
주요 내용	· 관계 정부 공무원은 전문위원회가 안면인식 기술 사용에 대한 지침을 수립·시행할 때까지 영장을 받지 않고 안면인식 기술과 관련된 카메라를 설치하거나, 안면인식 기술을 통해 얻은 정보 접근 또는 사용하여 미국 내 개인을 식별할 수 없음
	· 관계 정부 공무원이 이를 위반하여 피해를 입은 사람은 미국 관할 구역 연방법원에 금지 명령 또는 선언적 구제를 청구하는 민사 소송을 제기할 수 있음 · 다른 법률 조항에도 불구하고, 주 또는 지방 정부가 안면 인식 소프트웨어에 투자하거나 안면인식 기술 서비스를 구매하거나 안면인식 기술 시스템에서 사용할 이미지를 획득하는 데 연방 자금을 사용할 수 없음

3. 미국 국토안보부 지침

정부기관인 국토안보부(Department of Homeland Security)에서는 2023년 9월 안면인식 관련 지침(Use of Face Recognition and Face Capture Technologies)을 발표한 바 있다. 국토안보부는 2001년 9.11 테러 이후 미국 내 안보 관련 조직을 통합하여 만들어진 정부 기관으로 테러 및 재난대응, 국경 및 수송 보안 등을 담당하고 있어 안면인식 기술 사용이 많은 기관으로, 관리·감독, 사용승인, 개인정보 보호, 보안, 데이터 공유 등에 관한 정책을 명확히 함으로써 안면인식 기술 사용에 대한 우려를 불식하고 책임과 사용범위를 명시하고자 한 것으로 보인다.

국토안보부 지침 원문 참조, https://www.dhs.gov/sites/default/files/2023-09/23_0913_mgmt_026-11-use-face-recognition-face-capture-technologies.pdf

가. 목적 및 정의

이 지침은 국토안보부(DHS)에 의해 허가된 안면인식(FR) 및 안면캡처(FC) 기술의 사용에 대한 정책 수립을 목적으로 한다. 여기서 안면인식 기술은 신원 확인 또는 식별 목적으로 개인의 얼굴 특징을 사용 가능한 이미지 또는 비디오와 비교하는 기술을 말하며, 식별은 안면인식 등록 데이터베이스를 검색하여 단일 개인 또는 여러 가능한 후보자에 해당할 수 있는 안면인식 참조 식별자를 찾고 반환하는 과정을 말한다. 또한, 안면캡처 기술은 이미지 또는 비디오에서 얼굴을 감지하거나 추출하는 데 사용되는 안면 감지 및 안면 수집 기술의 조합으로 정의된다.

나. 범위

연방, 주, 지방 및 국토안보부(DHS)가 운영하거나 대리하여 운영하는 국제 기관이 사용하는 모든 목적을 위한 FR 및 FC 기술의 사용에 적용되며, (1) 과학기술부 차관(USST)의 감독하에 수행되고 (2) FR 또는 FC 기술의 연구, 개발, 테스트 및 평가에는 적용되지 않는다.

다. 정책

● DHS에서 FR 및 FC 기술은 DHS의 합법적 권한, 관련 법률, 규정 및 DHS 정책에 따라 DHS 임무에만 사용이 승인되며, DHS는 FR 및 FC 기술의 영향을 평가하고 운영 위험을 예상하며, 강력한 리더십 감독과 지속적인 기술 테스트 및 평가를 통해 이를 수행하여야 한다.

● DHS는 프라이버시, 시민권 및 시민 자유를 보호하는 방식을 포함하여 FR 및 FC 기술을 사용해야 하며, 인종, 민족, 국적, 종교, 성별, 성 정체성, 연령, 성적 지향, 의료 상태 또는 장애를 근거로 FR 또는 FC 정보를 수집, 사용, 배포 또는 보유하지 않는다.

● DHS는 헌법상의 권리를 행사하는 개인을 대상으로 프로파일링, 표적화 또는 차별하기 위해 FR 또는 FC 기술을 사용하지 않으며, 체계적이고 무차별적이거나 대규모 모니터링, 감시 또는 추적을 가능하게 하지 않는다.

● FR 및 FC 기술의 운영 전, 그리고 운영 중 최소한 매 3년마다 S&T의 감독하에 독립적으로 테스트 및 평가되도록 보장한다.

● 법집행 관련 조치나 조사에서 신원확인을 위해 FR기술이 사용될 때, 미국 시민에게 옵트아웃 권리를 부여하고, FR 기술은 법 집행 관련 조치의 유일한 근거로 사용될 수 없으며, FR 기술을 사용한 식별의 잠재적 일치 또는 결과는 법 집행 조치 전에 검사관이 수동으로 검토하여야 한다.

Ⅳ. 유럽연합(European Union) 생체정보 보호 규율체계

유럽연합(EU)은 개인의 프라이버시와 데이터 보호를 매우 중요시하며, 생체정보 보호에 대해서도 엄격한 규율체계를 갖추고 있는데, 이러한 규율은 주로 2018년 5월 25일에 발효된 일반 개인정보 보호법((General Data Protection Regulation, GDPR)을 통해 이루어진다. GDPR은 생체정보를 포함한 민감한 개인 데이터를 보호하는 데 중점을 두고 있으며, 개인의 권리 강화와 데이터 처리의 투명성 보장을 목표로 한다. 또한, 금년 상반기 EU 의회 본회의를 통과한 세계 최초 인공지능 규제법안에도 생체인식 시스템에 대한 규제사항을 포함하고 있으며, 이 밖에 EU 이사회 자문위원회나 데이터보호이사회(EDPB)에서도 생체정보 보호를 위한 가이드라인을 통해 개인의 생체정보 보호를 강화하고 데이터 처리의 투명성을 보장하고자 하고 있다.

1. GDPR 내 생체정보 관련 조항

유럽연합에서는 생체정보 활용과 관련된 별도의 독립 법안을 가지고 있지 않기 때문에 원칙적으로 일반 개인정보보호법인 GDPR이 적용되는데, GDPR 제4조(정의) 제14호에서 "생체인식 데이터(biometric data)"를 별도로 정의하고 있으며, 자연인의 신체, 생리적 또는 행동적 특성을 특정 기술적 처리하여 발생하는 개인 데이터로, 얼굴 이미지 또는 지문 데이터와 같이 해당 자연인을 고유하게 식별하거나 확인할 수 있도록 해주는 것을 말한다.

또한, 생체인식 정보의 처리에 관하여는, 제9조제1항에서 인종 또는 민족, 정치적 의견, 종교적 또는 철학적 신념, 노동 조합 가입 여부를 나타내는 개인 데이터, 유전자 데이터, 자연인을 고유하게 식별하기 위한 생체인식 데이터, 건강 데이터 또는 개인의 성생활 또는 성적 취향에 관한 데이터는 특별 범주(special category) 데이터로 분류하고 처리를 금지하고 있다. 다만, 제9조제2항에서 제1항의 처리금지에 대한 예외규정을 두고 있어 생체정보의 처리도 예외적으로 허용하고 있으며, 제4항에서 EU 회원국은 유전자 데이터, 생체인식 데이터 또는 건강 관련 데이터의 처리에 대해 추가 조건 및 제한을 유지하거나 도입할 수 있도록 규정하고 있다.

【 GDPR 제9조제2항 처리금지 예외규정 】

(a)	정보주체가 해당 개인 데이터의 처리에 명시적으로 동의한 경우
(b)	고용, 사회보장 등을 위해 EU 또는 회원국 법에 따라 승인된 경우
(c)	정보주체가 물리적으로나 법적으로 동의를 제공할 수 없는 상태일 때 정보주체나 다른 자연인의 생명을 보호하기 위해 필요한 경우
(d)	정치·철학·종교·노동조합 목적의 협회, 비영리단체 등이 회원 등의 정보를 처리하는 경우로 외부에 정보주체의 동의없이 공개되지 않는 경우
(e)	정보주체가 명백히 공개한 개인데이터
(f)	법원의 사법능력 행사 시
(g)	연합 또는 회원국 법에 기초하여 중요한 공익 추구를 위해 필요한 경우
(h)	직원 업무능력 평가, 의료 진단, 치료 및 사회복지 제공 등을 위해 필요한 경우
(i)	공중보건을 위해 필요한 경우
(j)	과학적 또는 역사적 연구, 또는 통계적 목적을 위해 필요한 경우

2. EU 인공지능법(Artificial Intelligence Act, AI Act)

EU가 2024년 3월 13일(현지시간) 의회 본회의에서 세계 최초로 인공지능 규제법안은 최종 통과시켰다. AI 기술이 급속도로 발전하면서 얻을 수 있는 편리성과 혜택도 많지만, 이에 따른 부작용과 위험성을 줄이기 위한 조치가 필요하다는 요구에 따라 2021년 4월 EU 집행위원회가 AI 법안 초안을 발표하였고, 2023년 6월 유럽의회가 수정안을 채택하였으며 2024년 3월 EU 의회에서 최종 승인됨에 따라 금년 연말부터 단계적으로 시행될 예정이다.

인공지능의 위험도 분류

이 법안에서는 인공지능의 위험도를 (1)허용 불가능한 위험(unacceptable risk), (2)고위험(high risk), (3)제한적 위험((limited risk), (4)최소위험(low and minimal risk)으로 4단계로 나누어 차등적으로 규제하고자 하였으며, 특히 허용될 수 없는 위험을 가진 인공지능에 대해서는 사용을 금지하고, 고위험 AI 시스템은 의무사항을 규정하여 이를 준수토록 하였고, 제한적 위험 AI에 대해서는 투명성을 요구하고, 저위험 AI에는 별도의 의무없이 허용하였다.

【 위험도에 따른 AI 시스템 분류 】

심소연, 규제중심의 유럽연합 인공지능법(EU AI Act), 최신 외국입법정보 2024-04호, 2024.4.16

금지되는 인공지능 시스템

인공지능 법안에서 생체정보 활용과 관련된 내용을 살펴보면, 금지 AI(prohibited AI)로 생체분류(biometric categorisation) 시스템이 포함되어 있는데, 이는 민족, 정치적 견해, 노동조합 가입, 종교 또는 철학적 신념, 성생활 또는 성적 성향과 같은 민감한 속성을 추론하는 생체 분류 시스템을 말하며, 법적으로 획득한 생체 데이터 세트의 라벨링 또는 필터링 또는 법 집행 기관이 생체 데이터를 분류하는 경우는 제외하고 있다. 또한, 인터넷이나 CCTV 영상에서 스크래핑을 통해 안면 이미지를 수집하여 안면인식 데이터베이스를 생성하거나 확장하는 AI 시스템을 금지하고 있다.

특히, 공공장소에서 법 집행을 위해 실시간 원격 생체인식(real time remote biometric identification, RBI) 사용을 금지하되, (1) 실종자, 납치 피해자 및 인신매매를 당한 사람을 찾는 경우, (2) 생명의 중대한 위협을 방지하거나 예상되는 테러공격, (3) 살인, 강간, 무장강도 등 심각한 범죄 용의자 식별 등은 예외로 규정하였다.

AI를 활용한 실시간 원격 생체인식은 이를 사용하지 않을 경우 중대한 피해가 발생할 경우에만 허용되어야 하며, 사용 전에 경찰은 기본적인 권리 영향평가를 완료하고 해당 시스템을 EU 데이터베이스에 등록하여야 하며, 법원 또는 독립 행정기관으로부터 사용 승인을 받도록 하고 있으며 긴급한 경우 승인없이 사용할 수 있으나 24시간 이내 승인요청 하여야 하고, 승인 거부 시 모든 데이터, 결과 및 출력을 삭제하도록 규정하였다.

【 EU AI Act 금지된 AI 시스템(Article 5) 】

EU AI Act 원문 참조, EU AI Act 원문 https://www.europarl.europa.eu/doceo/document/TA-9-2024-0138_EN.html

Article 5 Prohibited AI Practices (금지된 AI 관행)

1. 다음의 AI 관행은 금지된다

(a) 개인이나 그룹의 행동을 실질적으로 왜곡하여 그들이 원하지 않는 결정을 내리게 하여 중요한 피해를 입히는 방식으로, 개인의 의식 너머로 작동하거나 고의적 조작이나 기만적인 기술을 사용하는 AI 시스템을 시장에 내놓거나 서비스에 제공하거나 사용하는 것

(b) 나이, 장애 또는 특정 사회적 또는 경제적 상황으로 인해 취약한 개인이나 특정 그룹의 행동을 실질적으로 왜곡하여 그들 또는 다른 사람에게 중요한 피해를 입히는 방식으로, 이러한 취약성을 악용하는 AI 시스템을 시장에 내놓거나 서비스에 제공하거나 사용하는 것

(c) 개인이나 그룹을 일정 기간 동안 사회적 행동이나 알려진, 추론된 또는 예측된 개인적 또는 성격 특성에 기반하여 평가하거나 분류하는 AI 시스템의 시장 출시, 서비스 투입 또는 사용으로, 사회 평가(소셜 스코어)가 다음 중 하나를 야기하는 경우

(i) 데이터가 원래 생성되거나 수집된 맥락과 관련 없는 사회적 맥락에서 특정 개인 또는 그룹에 대한 불리하거나 불공정한 대우

(ii) 그들의 사회적 행동이나 그 심각성에 비해 정당하지 않거나 과도한 불리한 대우

(d) 자연인이 범죄를 저지를 위험을 평가하거나 예측하기 위해, 개인의 프로파일링 또는 성격 특성 평가에만 기반하여 위험 평가를 하는 AI 시스템을 특정 목적으로 시장에 내놓거나 서비스에 제공하거나 사용하는 것; 이는 이미 범죄 활동과 직접적으로 연결된 객관적이고 검증 가능한 사실에 기반한 인간 평가를 지원하는 AI 시스템에는 적용되지 않는다

(e) 인터넷이나 CCTV 영상을 무차별적으로 수집하여 얼굴 인식 데이터베이스를 생성하거나 확장하는 AI 시스템을 특정 목적으로 시장에 내놓거나 서비스에 제공하거나 사용하는 것

(f) 직장이나 교육 기관에서 자연인의 감정을 추론하기 위한 AI 시스템을 특정 목적으로 시장에 내놓거나 서비스에 제공하거나 사용하는 것. 단, 의료 또는 안전 목적으로 도입되거나 시장에 내놓는 경우는 제외

(g) 생체 데이터를 기반으로 개인의 인종, 정치적 의견, 노동 조합 가입, 종교적 또는 철학적 신념, 성생활 또는 성적 지향을 추론하거나 유추하기 위해 생체 데이터 분류 시스템을 특정 목적으로 시장에 내놓거나 서비스에 제공하거나 사용하는 것; 이는 생체 데이터를 기반으로 법적으로 획득한 생체 데이터셋(예: 이미지)을 라벨링하거나 필터링하는 경우 또는 법 집행 영역에서 생체 데이터를 분류하는 경우는 포함하지 않는다

(h) 법 집행 목적으로 공공장소에서 '실시간' 원격 생체 인식 시스템을 사용하는 것. 단, 다음 목적 중 하나를 달성하기 위해 그러한 사용이 엄격히 필요한 경우는 예외로 한다

(i) 유괴, 인신매매 또는 성적 착취의 특정 피해자 검색, 실종자 검색;

(ii) 자연인의 생명 또는 신체 안전에 대한 특정하고 중대한 위협 또는 진정한 현재의 또는 예측 가능한 테러 공격 위협 방지;

(iii) 범죄 조사 또는 기소를 위해 또는 관련 국가에서 최대 4년 이상의 구금형 또는 구금 명령이 부과되는 범죄에 대한 형사 처벌을 집행하기 위해 범죄를 저지른 것으로 의심되는 사람의 위치 추적 또는 식별;

첫 번째 문단의 (h)항은 법 집행 외의 목적으로 생체 데이터를 처리하는 경우에 대해 EU 규정 2016/679의 제9조에 영향을 미치지 않는다.

2. 공공장소에서 법 집행 목적으로 제1항 첫 번째 문단 (h) 항에 명시된 목적을 위해 '실시간' 원격 생체 인식 시스템을 사용하는 경우, 이는 특정 목표 개인의 신원을 확인하기 위한 목적으로만 사용되어야 하며, 다음 요소들을 고려해야 한다

(a) 시스템 사용의 가능성을 초래한 상황의 성격, 특히 시스템이 사용되지 않았을 경우 초래될 수 있는 피해의 심각성, 가능성 및 규모

(b) 시스템 사용이 관련된 모든 사람들의 권리와 자유에 미치는 영향, 특히 그 영향의 심각성, 가능성 및 규모

또한, 본 조 제1항 첫 번째 문단 (h)항에서 언급된 목적을 위해 공공장소에서 법 집행 목적으로 실시간 원격 생체 인식 시스템을 사용하는 경우, 사용의 시기적, 지리적 및 개인적 제한에 관한 국가 법률에 따라 필요한 비례적인 보호 조치와 조건을 준수해야 한다. 공공장소에서 실시간 원격 생체 인식 시스템의 사용은 법 집행 기관이 제27조에 규정된 기본 권리 영향 평가를 완료하고, 제49조에 따라 EU 데이터베이스에 시스템을 등록한 경우에만 허용된다. 그러나 긴급한 경우에는 EU 데이터베이스에 등록되지 않은 상태에서 시스템 사용을 시작할 수 있으며, 지체 없이 등록을 완료해야 한다.

3. 제1항 첫 번째 문단 (h) 항과 제2항의 목적을 위해, 공공장소에서 법 집행 목적으로 '실시간' 원격 생체 인식 시스템을 사용할 때마다 해당 사용은 사법 기관 또는 사용이 이루어질 회원국에서 구속력 있는 결정을 내리는 독립 행정 기관의 승인을 받아야 하며, 이는 합리적인 요청에 따라 발행되고 제5항에 명시된 국가 법률의 상세 규칙에 따라야 한다. 그러나 긴급 상황에서 적절히 정당화된 경우, 해당 시스템의 사용은 승인 없이 시작될 수 있으며, 그러한 승인은 지체 없이, 최대 24시간 이내에 요청되어야 한다. 승인이 거부된 경우, 사용은 즉시 중단되어야 하며, 사용과 관련된 모든 데이터 및 결과와 출력물은 즉시 폐기되고 삭제되어야 한다.

해당 국가에서 구속력 있는 결정을 내리는 사법 당국 또는 독립 행정 당국은 해당 실시간 원격 생체 인식 시스템의 사용이 요청에 명시된 제1항 첫 번째 문단의 (h) 항에 지정된 목적을 달성하는 데 필요하고 비례적이라는 것을 제시된 객관적인 증거나 명확한 표시를 바탕으로 만족할 때에만 승인한다. 특히, 시간적, 지리적 및 개인적 범위에 있어서 엄격히 필요한 범위에 한정되는 경우에만 승인합니다. 해당 요청에 대한 결정을 내릴 때, 당국은 제2항에 언급된 요소를 고려해야 한다. 실시간 원격 생체 인식 시스템의 출력에만 근거하여 개인에게 불리한 법적 영향을 미치는 결정을 내려서는 안된다.

고위험 인공지능 시스템

고위험 AI 시스템은 안전관련 시스템, 학생 평가 등 교육·직업훈련 시스템, 채용 및 직원관리 시스템 등이 포함되며, 해당 AI 시스템 제공자는 생애주기(lifecycle) 위험관리 시스템을 구축하고, 데이터 품질기준을 충족하고 이를 관리토록 하였으며, 규정 준수를 입증할 기술문서 작성, 사용자에 대한 투명성 및 정보 제공, 사이버보안 달성, 하위 배포자용 사용지침 제공 등의 의무를 부여하였다.

【 EU AI Act 고위험 AI 시스템 제공자의 의무(Article 15, 16) 】

https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52021PC0206&from=EN

Article 15 Accuracy, robustness and cybersecurity (정확성, 견고성, 사이버보안)

1. 고위험 AI 시스템은 적절한 수준의 정확성, 견고성, 사이버 보안을 달성하도록 설계 및 개발되어야 하며, 이러한 측면에서 생애 주기 전반에 걸쳐 일관되게 성능을 발휘해야 한다.

2. 제1항에 명시된 적절한 수준의 정확성 및 견고성, 그리고 기타 관련 성능 지표를 측정하는 기술적 측면을 다루기 위해, 위원회는 측정 및 벤치마킹 기관과 같은 관련 이해관계자 및 조직과 협력하여 벤치마크 및 측정 방법론의 개발을 적절히 장려해야 한다.

3. 고위험 AI 시스템의 정확성 수준과 관련 정확성 지표는 사용 지침서에 명시되어야 한다.

4. 고위험 AI 시스템은 시스템 내 또는 시스템이 작동하는 환경에서 발생할 수 있는 오류, 결함 또는 불일치에 대해 최대한 탄력적으로 설계되어야 하며, 특히 자연인 또는 다른 시스템과의 상호작용으로 인한 경우에 대비해야 한다. 이를 위해 기술적 및 조직적 조치가 취해져야 한다. 고위험 AI 시스템의 견고성은 백업 또는 비상 계획을 포함할 수 있는 기술적 중복 솔루션을 통해 달성할 수 있다. 시장에 출시되거나 서비스에 투입된 후 계속 학습하는 고위험 AI 시스템은 향후 작동을 위해 입력 데이터를 생성할 때 편향된 출력이 영향을 미치지 않도록 가능한 한 위험을 제거하거나 줄이도록 개발되어야 하며, 이러한 피드백 루프가 적절한 완화 조치로 적절히 처리되도록 해야 한다. 고위험 AI 시스템은 권한없는 제3자가 시스템 취약점을 악용하여 시스템의 사용, 출력 또는 성능을 변경하려는 시도에 대해 강인해야 한다. 고위험 AI 시스템의 사이버 보안을 보장하기 위한 기술 솔루션은 관련 상황과 위험에 적절해야 한다.

5. AI 특정 취약점을 해결하기 위한 기술적 솔루션에는 훈련 데이터 세트를 조작하려는 공격(데이터 포이즈닝), 훈련에 사용된 구성 요소를 조작하려는 공격(모델 포이즈닝), AI 모델이 실수를 하도록 설계된 입력(악의적 예시 또는 모델 회피), 기밀성 공격 또는 모델 결함을 방지, 탐지, 대응, 해결 및 제어하기 위한 조치가 포함되어야 한다.

Article 16 Obligations of providers of high-risk AI system

(고위험 AI시스템 제공자의 의무)

고위험 AI 시스템 제공자는 다음을 준수해야 한다

(a) 고위험 AI 시스템이 2절에 명시된 요구 사항을 준수하도록 보장할 것

(b) 고위험 AI 시스템에, 또는 불가능한 경우에는 포장이나 동봉된 문서에, 해당 제공자의 이름, 등록 상호명 또는 등록 상표, 연락 가능한 주소를 명시할 것

(c) 제17조를 준수하는 품질 관리 시스템을 갖출 것

(d) 제18조에 언급된 문서를 보관할 것

(e) 제19조에 언급된 고위험 AI 시스템이 자동으로 생성한 로그를 통제 하에 보관할 것

(f) 고위험 AI 시스템이 시장에 출시되거나 서비스에 투입되기 전에 관련 적합성 평가 절차를 거치도록 할 것 (제43조 참조)

(g) 제47조에 따라 EU 적합성 선언서를 작성할 것

(h) 제48조에 따라 이 규정에 적합함을 나타내기 위해 CE 마크를 고위험 AI 시스템에 부착하거나, 불가능한 경우 포장이나 동봉된 문서에 부착할 것

(i) 제49조(1)에 언급된 등록 의무를 준수할 것

(j) 필요한 시정 조치를 취하고 제20조에 따라 정보를 제공할 것

(k) 국가 권한 있는 기관의 합리적인 요청이 있을 경우, 고위험 AI 시스템이 2절의 요구 사항을 준수함을 증명할 것

(l) 고위험 AI 시스템이 Directive (EU) 2016/2102 및 Directive (EU) 2019/882에 따른 접근성 요구 사항을 준수하도록 할 것

3. 유럽내 생체정보 관련 가이드라인

가. 유럽 이사회 자문위원회 안면인식 가이드라인

Council of Europe, Guidelines in Facial Recognition(2021) https://edoc.coe.int/en/artificial-intelligence/9753-guidelines-on-facial-recognition.html

유럽 이사회 자문위원회는 2021년 1월 안면인식 가이드라인을 발표하였는데, 실시간 안면인식 기술 사용이 정보주체의 권리를 심각하게 침해하고, 개인에 대한 광범위한 감시로 이어져 개인의 사생활 보호권리에 대한 심각한 위험을 초래할 수 있으므로 안면인식 기술 사용에 대한 가이드라인을 통해 인권과 기본권을 강화할 필요가 있다고 밝히고 있다. 가이드라인에서는 (ⅰ) 입법자 및 의사결정자, (ⅱ) 안면인식 기술 개발자, 제조업체 및 서비스 제공자, (ⅲ) 안면인식 기술 사용기관, (ⅳ) 데이터주체 등 총 4개의 범주로 나누어 세부지침을 규정하였다.

● 입법자 및 의사결정자를 위한 지침에서는 안면인식 기술의 개발 및 사용은 관련 법률 및 규정을 준수해야 하는데(합법성), 유럽이사회의 자동화된 개인정보 처리에 관한 개인정보보호협약(Convention 108+) 제6조에 따라 생체 데이터와 같은 특별 범주의 데이터 처리는 적절한 법적 근거가 있는 경우에만 허용되며, 관련된 위험에 적절한 보완조치가 마련되어야 한다고 강조하고 있다. 또한, 감독기관은 안면인식 기술의 개발 및 사용 과정에 반드시 참여해야 하고, 안면인식 시스템은 적절한 인증 절차를 통해 안전성과 신뢰성을 보장받아야 하며, 안면인식 기술 사용과 관련된 개인정보 보호 및 인권 문제에 대한 인식을 높이기 위해 입법자 및 의사결정자들의 노력이 필요하다고 명시하고 있다.

● 안면인식 기술 개발자, 제조업체 및 서비스 제공자를 위한 지침에서는 사용되는 데이터와 알고리즘의 정확성과 품질을 보장하고, 안면인식에 사용되는 도구의 신뢰성과 안전성을 유지해야 하며, 안면인식 기술의 사용과 관련된 책임을 명확히 하고 이를 준수해야 하고, 해당 기술의 잠재적 위험과 윤리적 문제에 대한 인식을 제고해야 한다고 규정하고 있다.

● 안면인식 기술을 사용하는 기관에 대해서는 데이터 처리의 정당성을 확보하고, 사용되는 데이터의 품질을 유지하고, 수집된 데이터의 보안을 철저히 유지해야 하며, 안면 인식 기술의 사용에 대한 윤리적 기준과 가이드라인을 준수해야 한다고 명시하고 있다.

● 끝으로, 데이터 주체는 자신의 개인 데이터에 접근할 권리, 데이터 처리에 대해 알 권리, 부정확한 데이터의 수정 및 삭제를 요구할 권리를 가져야 한다고 명시하였다.

【 유럽 이사회 자문위원회 안면인식 가이드라인 주요 내용 】

구 분	주요 내용
입법자· 의사결정자	ㅇ (합법성) 협약 108+ 제6조 규정과 같이 생체정보 등 특수 범주의 데이터 처리는 적절한 법적 근거 있는 경우에만 허용, 보완적이고 적절한 보호장치가 국내법에 명시되어 있어야 함 - 피부색, 종교적 신념, 건강 상태 등을 알아내는 것을 유일한 목적으로 하는 안면인식 사용은 차별위험을 피하기 위한 법적 안전장치가 제공되지 않는 한 금지되어야 함 - 소셜 미디어 등 인터넷에 업로드된 디지털 이미지나 CCTV에서 캡처된 이미지를 사용하는 것은 데이터 주체가 다른 목적의 이용을 허용하였다고 볼 합리적 근거가 될 수 없음 ㅇ (감독기관의 참여) 안면인식 시스템의 개발·사용에 감독 기관이 필수적 참여하여 기술의 적법성 검토, 필요시 규제 필요 ㅇ (인증) 적절한 인증 절차를 통해 안전성·신뢰성 보장 ㅇ (인식제고) 안면인식 기술 사용과 관련된 개인정보 보호 및 인권 문제에 대한 인식 제고 노력 필요
개발자·제조업체· 서비스 제공자	ㅇ (데이터 및 알고리즘 품질) 다양한 인종, 성별, 나이 등을 포함하는 데이터베이스를 활용하여 알고리즘 신뢰성을 향상시키는 등 안면인식 기술의 데이터·알고리즘의 품질보장 필요 ㅇ (사용된 도구의 신뢰성) 안면인식 기술에 사용되는 도구의 신뢰성과 안전성을 유지해야 함 ㅇ (인식) 안면인식 기술 사용기관이 투명성과 개인정보 보호 준수를 돕기 위해 합리적인 조치를 취해야 함 ㅇ (책임성) 기술설계 시 목적 제한, 데이터 최소화, 보관기간 제한 등 데이터보호 원칙 준수를 위한 조치 취할 필요
사용기관	ㅇ (데이터처리의 적법성 및 데이터 품질) 처리의 투명성과 공정성이 매우 중요, 생체템플릿 및 디지털 이미지가 정확하고 최신 상태로 유지되도록 보장 ㅇ (데이터 보안) 얼굴 인식 데이터와 이미지의 모든 처리 과정에서 보호되고, 위협과 취약점에 대응하여 발전해야 함 ㅇ (책임성) 데이터주체 권리보호 정책, 투명성 보고서 공개, 처리담당자 교육 및 감사, 내부검토위원회 설치 등 조치 고려 ㅇ (윤리적 프레임) 윤리자문위원회 설치, 감사 수행 및 결과 발표 등 고위험에 대응한 윤리적 프레임 제공
데이터주체	ㅇ 협약 108+ 제9조에 규정된 접근권, 이의제기 및 정정권 등이 보장 ㅇ 권리 제한은 기본적인 인권·자유존중, 특정 합법적 목적을 위해 필요하고 비례적 조치일때에만 법률에 의해 가능

나. 유럽연합 EDPB 법집행 영역에서의 안면인식 가이드라인

EDPB, Guidelines 05/2022 on the use of facial recognition technology in the area of law enforcement 원문 https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-052022-use-facial-recognition_en

유럽연합 데이터보호이사회(European Data Protection Board, EDPB)는 2022년 5월 ‘법집행 영역에서의 안면인식 기술 이용에 관한 가이드라인(Guidelines 05/2022 on the use of facial recognition technology in the area of law enforcement)’초안을 공개하고 의견수렴을 거친 수정본을 2023년 4월 최종 채택하였다. EDPB는 법집행 당국이 경찰 감시 목록에 있는 사람들을 검색하거나 공공장소에서 사람들의 움직임을 모니터링하는 등 다양한 목적으로 안면인식 기술을 사용하거나 사용할 계획을 가지고 있고, 법집행 당국이 집행 권한을 가지고 있는 주체인 만큼 법집행 당국의 안면인식 기술 사용이 업무를 효율적으로 수행할 수 있는 장점이 있으나 기본권을 침해할 가능성, 사회적·민주적 안정성에 미칠 수 있는 영향에 주목하였다. EDPB는 이 가이드라인에서 안면인식 기술을 사용하는 법집행 당국과 그 직원들을 대상으로 안면인식 기술의 속성과 법 집행 관점에서 준수하여야 할 법적 프레임워크를 안내하는 것을 목적으로 한다.

1) 안면인식 기술 개관

가이드라인에서 안면인식 기술은 얼굴을 기반으로 개인을 자동으로 인식하여 인증하거나 식별할 수 있는 확률적 기술을 말하며, 생체인식 기술이 지문, 홍채 구조, 음성, 걸음걸이, 혈관 패턴 등 신체적, 생리적 또는 행동적 특성을 정량화하여 개인을 인식하는 데 사용되는 모든 자동화된 프로세스를 포함하고 이러한 특성은 개인의 고유한 식별을 가능하게 하거나 확인하기 때문에 "생체 인식 데이터"로 정의하고 있다. 안면인식은 개인이 자신이 주장하는 사람임을 확인하는 ‘인증(authentication)’기능과 특정 영역, 이미지 또는 데이터베이스 내에서 여러 사람 중에서 특정한 사람을 찾는 것을 목표로 하는 ‘식별(identification)’기능을 수행할 수 있다.

안면인식 기술의 인증 기능은 스마트폰 소유자가 단말기의 잠금기능을 해제하는데 사용되거나, 공공 또는 민간 서비스 신청시 신청자의 신원 확인, 국경 통과 시 신원확인 문서와 저장된 얼굴 비교 등에 사용되고 있다. 또한, 식별 기능은 훨씬 다양한 영역에 적용될 수 있는데, 사진 데이터베이스에서 용의자, 피해자 등의 신원을 검색하거나 공공장소에서 사람들의 움직임을 모니터링하여 범죄자의 안면인식 템플릿과 비교하여 찾아내는 행위 등이 이에 해당한다.

2) EU 기본권 헌장에 따른 준수사항

EU 기본권 헌장(EU Charter of Fundamental Rights) 제7조에는 사생활 및 통신에 대한 존중, 제8조에는 개인 데이터 보호 권리가 명시되어 있는데, 생체인식 데이터의 처리는 이러한 권리를 침해하는 행위가 될 수 있다. 다만, 기본권 헌장 제52조제1항에 기본권과 자유의 행사에 대한 제한은 법률에 근거가 있어야 하고 본질은 존중되어야 한다고 규정하고 있는 바, 법률에 별도의 규정이 있고 목적의 정당성이 인정되며 비례의 원칙에 따라 그 권리는 제한될 수 있다.

3) 법집행지침(Law Enforcement Directive)에 따른 준수사항

https://www.dataprotection.ie/en/organisations/resources-organisations/law-enforcement-directive

법집행지침에 안면인식 기술 사용에 관한 몇 가지 규정이 제시되어 있는데, 제3조제13호(“생체 인식 데이터” 용어), 제4조(개인 데이터 처리 원칙), 제8조(처리의 합법성), 제10조(특수 범주의 개인 데이터 처리) 및 제11조 LED(자동화된 개별 의사결정) 등이 이에 해당한다. 법집행지침 제3조에서는 GDPR 제4조제14호와 동일하게 생체인식 데이터(biometric data)를 정의하고 있고, 제10조에 따르면 생체인식 데이터와 같은 특별범주 데이터의 처리는 데이터 주체의 권리와 자유를 적절히 보호하기 위한 보호장치가 있고 엄격히 필요한 경우에만 제한적으로 허용하고, 데이터 주체 또는 다른 자연인의 중대한 이익을 보호하기 위해 연합 또는 회원국 법에 따라 승인된 경우, 데이터 주체가 명백하게 공개한 데이터와 관련된 경우에만 처리가 허용된다. 여기에서 정보주체가 사진을 공개하였다고 해서 사진으로부터 검색할 수 있는 생체인식 데이터가 정보주체가 명백하게 공개한 데이터로 간주되어서는 안된다고 명시하고 있다.

법집행지침 제11조제3항에서는 특별범주 데이터를 바탕으로 자연인에 대한 차별을 야기하는 프로파일링을 금지하고 있으며, 제13조제1항에서는 정보주체의 권리에 관해 규정하고 있는데, 정보주체에게 제공할 필요가 있는 최소한의 정보를 규정하고 있고, 정보주체의 권리와 정보는 간결하고 쉽게 이해할 수 있으며 접근이 용이한 방식으로 제공되어야 한다.

Ⅴ. 영국(UK)의 생체정보 보호 규율체계

영국은 유럽연합(EU)에서 탈퇴(브렉시트)한 이후 EU의 법률이 더 이상 영국 내에서 적용되지 않게 됨에 따라 법체계를 정비하였다. 이에 EU GDPR의 기본 내용을 그대로 수용하되 브렉시트 상황에 맞게 일부 수정한 영국의 일반 개인정보보호법인 UK GDPR을 발효하였고, 일반 개인정보보호규정(UK GDPR) 및 UK GDPR에 규정되지 않는 내용을 함께 담은 데이터 보호법(Data Protection Act, DPA)를 2018년 5월 발효하였다. DPA는 민간기관과 법집행기관을 제외한 공공기관에 적용되는 일반 개인정보보호 규정(UK GDPR, 2장), 법집행기관(law enforcement)의 개인정보 처리규정(3장), 정보기관(intelligence services)의 개인정보 처리규정(4장), ICO 커미셔너의 역할(5장) 등으로 구성되어 있다.

【 영국 Data Protection Act 구성 】

구분	Title	조문 번호
1장	서문 (Preliminary)	1～3
2장	일반 개인정보보호 규정(General processing) (UK GDPR)	4～28
3장	법집행기관의 개인정보 처리 (Law enforcement processing)	29～81
4장	정보기관의 개인정보 처리 (Intelligence services processing)	82～113
5장	ICO 커미셔너의 역할 (The Information Commissioner)	114～141
6장	시행 (Enforcement)	142～181
7장	보충 및 최종규정 (Supplementary and final provision)	182～215
기타	스케줄 1～21

1. 생체정보 보호 법률

영국은 EU와 마찬가지로 생체정보를 별도로 규율하는 독립 법률이 없고, 민간기관과 법집행기관을 제외한 공공기관에 대해 UK GDPR이 적용되는데, 그 내용은 EU GDPR 내용과 동일하다. 즉, "생체인식 데이터(biometric data)"는 자연인의 신체, 생리적 또는 행동적 특성을 특정 기술적 처리하여 발생하는 개인 데이터로, 얼굴 이미지 또는 지문 데이터와 같이 해당 자연인을 고유하게 식별하거나 확인할 수 있도록 해주는 것을 말하며, 생체인식 데이터는 특별 범주(special category) 데이터로 분류하여 생체정보의 처리를 금지하되, 정보주체의 명백한 동의가 있는 경우 등 10개의 예외규정을 두어 생체정보의 처리를 예외적으로 허용하고 있다.

법집행기관(law enforcement entities)과 정보기관(intelligence services)에 대해서는 생체정보 처리를 “민감정보 처리”(sensitive processing)로 규정하고 정보주체가 그 목적을 위한 처리에 동의한 경우, 처리 권한이 있는 법집행 기관·정보기관이 그 목적 수행을 위해 엄격히 필요한 경우 등에 한해 제한적으로 처리하도록 규정하고 있다.

【 영국 Data Protection Act 2018 주요 조문 】

UK Data Protection Act 원문 https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

Part 3. Law enforcement processing (3장. 법집행기관의 처리)

Article 35. The first data protection principle (35조. 첫 번째 데이터 보호원칙)

(1) 첫 번째 데이터 보호 원칙은 어떠한 법 집행 목적으로든 개인 데이터 처리가 적법하고 공정해야 한다는 것이다.

(2) 법 집행 목적으로 개인 데이터를 처리하는 것은 법에 근거하고 다음 중 하나에 해당하는 경우에만 적법하다

(a) 데이터 주체가 해당 목적을 위한 처리에 동의한 경우, 또는

(b) 처리 권한 있는 기관에 의해 그 목적을 수행하기 위해 필요한 경우.

(3) 또한, 법 집행 목적을 위한 처리가 민감한 처리인 경우, 처리는 제(4)항 및 제(5)항에 명시된 두 경우에만 허용된다.

(4) 첫 번째 경우는 다음과 같다.

(a) 데이터 주체가 제(2)항(a)에서 언급한 대로 법 집행 목적을 위한 처리에 동의한 경우, 그리고

(b) 처리가 이루어질 때 컨트롤러가 적절한 정책 문서를 갖추고 있는        경우(제42조 참조).

(5) 두 번째 경우는 다음과 같다.

(a) 처리가 법 집행 목적을 위해 엄격히 필요한 경우,

(b) 처리가 스케줄 8의 조건 중 하나 이상을 충족하는 경우, 그리고

(c) 처리가 이루어질 때 컨트롤러가 적절한 정책 문서를 갖추고 있는 경우(제42조 참조).

(6) 국무장관은 규정을 통해 스케줄 8을 다음과 같이 수정할 수 있다.

(a) 조건을 추가하는 경우,

(b) 제(6)(a)항에 따라 추가된 조건을 생략하는 경우.

(7) 제(6)항에 따른 규정은 적극적인 결의 절차를 따른다.

(8) 이 섹션에서 "민감한 처리"란 다음을 의미한다.

(a) 인종 또는 민족적 출신, 정치적 견해, 종교적 또는 철학적 신념 또는      노동조합 가입 여부를 드러내는 개인 데이터의 처리,

(b) 유전 데이터 또는 생체 인식 데이터를 개인을 고유하게 식별하기 위한 목적으로 처리하는 경우,

(c) 건강에 관한 데이터의 처리,

(d) 개인의 성생활 또는 성적 지향에 관한 데이터의 처리.

Part 4. Intelligence services processing (4장. 정보기관의 처리)

Article 86. The first data protection principle (86조. 첫 번째 데이터 보호원칙)

(1) 첫 번째 데이터 보호 원칙은 개인 데이터 처리가 다음과 같아야 한다는 것이다.

(a) 합법적일 것,

(b) 공정하고 투명할 것.

(2) 개인 데이터 처리는 다음의 경우에만 합법적이다.

(a) 스케줄 9의 조건 중 하나 이상을 충족하는 경우, 그리고

(b) 민감한 처리를 하는 경우, 스케줄10의 조건 중 하나 이상을 충족하는 경우.

(3) 국무장관은 규정을 통해 스케줄 10을 다음과 같이 수정할 수 있다.

(a) 조건을 추가하는 경우,

(b) 제(3)(a)항에 따라 추가된 조건을 생략하는 경우.

(4) 제(3)항에 따른 규정은 적극적인 결의 절차를 따른다.

(5) 개인 데이터 처리가 공정하고 투명한지 여부를 결정할 때, 데이터가 취득된 방법을 고려해야 한다.

(6) 제(5)항의 목적을 위해, 데이터가 다음의 사람으로부터 취득된 정보로 구성된 경우 공정하고 투명하게 취득된 것으로 간주된다.

(a) 법령에 의해 공급할 권한이 있는 사람,

(b) 법령 또는 영국의 국제 의무에 의해 공급해야 하는 사람.

(7) 이 섹션에서 "민감한 처리"란 다음을 의미한다.

(a) 인종 또는 민족적 출신, 정치적 견해, 종교적 또는 철학적 신념 또는      노동조합 가입 여부를 드러내는 개인 데이터의 처리,

(b) 개인을 고유하게 식별하기 위한 목적으로 유전 데이터를 처리하는 경우

(c) 개인을 고유하게 식별하기 위한 목적으로 생체 인식 데이터를 처리하는 경우

(d) 건강에 관한 데이터의 처리,

(e) 개인의 성생활 또는 성적 지향에 관한 데이터의 처리,

(f) 다음에 관한 개인 데이터의 처리:

(i) 개인의 범죄 또는 의심되는 범죄의 저지,

(ii) 개인이 저지른 범죄 또는 의심되는 범죄에 대한 소송, 해당 소송의 처분 또는 해당 소송에서의 법원의 판결.

2. 정보위원회(ICO) 가이드라인

영국 정보위원회 ICO(Information Commissioner’s Office)는 2024년 3월 생체인식 데이터 사용에 대한 상세한 지침인 생체인식정보 가이드라인(Biometric Data Guidance)을 발표하였는데, 이 지침은 생체 데이터를 사용하는 생체인식 시스템에 영국 데이터보호법(DPA 2018)이 어떻게 적용되는지, 기업이 데이터 보호 규정을 어떻게 준수할 수 있는지에 대해 설명하고 있다.

ICO, Biometric Data Guidance 원문 https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/lawful-basis/biometric-data-guidance-biometric-recognition/

주로 생체인식 시스템을 사용하거나 사용을 고려하고 있는 기업들을 위한 지침이지만, 시스템 공급자, 컨트롤러 또는 프로세서와 같이 이러한 시스템의 사용과 관련된 제3자에게도 관련이 있다. 이 지침에서는 생체인식에 대한 세부 내용을 제시하고, 데이터 보호의무 준수방안, 생체 데이터의 합법적이고 공정한 처리, 데이터 정확성 원칙 적용 방법, 데이터 처리의 투명성 보장 방법, 데이터에 대한 권리요청에 대한 고려사항 및 데이터 보안 유지방법 등을 포함하고 있으며, 법 집행 목적이나 보안 서비스(security services)에 의한 데이터 사용에는 이 지침이 적용되지 않는다.

ICO는 이 지침을 발표한 날 레저센터 회사인 Serco Leisurer가 영국 38개 시설에서 2천명이 넘는 직원들의 생체정보를 불법적으로 처리하였다면서 생체인식시스템의 사용 중지를 명하였다. 지문인식 검사(fingerprint scanning)를 요구받은 회사 직원들은 생체인식 데이터 수집에 대한 대체수단을 제시받지 못했고, 회사는 신분증 제시 등과 같이 덜 침입적인 출근 모니터링 수단이 있음에도 지문인식이 필요한 정당성을 입증하지 못했다고 밝혔다. ICO는 Serco Leisurer가 직장에서의 권력 불균형으로 직원들이 생체 데이터를 제공할 수 밖에 없다고 느끼게 만들었고, 직원 출근을 모니터링하기 위해 생체인식 기술을 도입하기 전에 위험을 충분히 고려하지 않았으며, 직원들의 프라이버시보다 비즈니스 이익을 우선시하였다고 지적하였다.

BBC 뉴스 “Leisure firm told scanning staff faces is illegal” https://www.bbc.com/news/technology-68374258

Ⅵ. 아시아 국가의 생체정보 보호 규율체계

1. 중국

가. 개인정보 보호법

중국은 최근까지 개인정보 보호를 위한 독립 법률이 없었으나, 지속적으로 필요성이 제기되면서 2020년 10월 전국 인민대표대회에서 개인정보보호법(Personal Information Protection Law, PIPL) 초안을 발표하였고, 의견수렴을 거쳐 2021년 8월 최종 승인, 11월부터 본격 시행되었다. 이 법은 중국 최초의 포괄적인 개인정보 보호 법률로 글로벌 인터넷 기업 등 민간기업에 대한 규율을 주된 목적으로 하며, 기존 법규에서 정의하고 있는 개인정보의 범위를 확대하고 처리목적 등을 명확히 규정하고 있다. 중국의 개인정보 보호법에서 생체정보 관련 규정은 제2절에 별도로 마련된 ‘민감 개인정보 처리 규칙’에서 찾아볼 수 있다.

중국 개인정보보호법 한글번역본(외교부 제공), https://overseas.mofa.go.kr/cn-ko/brd/m_23085/down.do?brd_id=14419&seq=1344196&data_tp=A&file_seq=1

1) 민감 개인정보의 정의(제28조)

이 법에서 민감 개인정보란 일단 유출되거나 불법적으로 사용되면 자연인의 인격존엄성을 침해하거나 인신, 재산 안전을 해칠 수 있는 개인정보를 의미하며, 여기에는 생물학적 식별, 종교 신앙, 특정 신분, 의료 건강, 금융 계좌, 행적 등 정보, 만 14세 미만 미성년자의 개인정보가 포함된다.

2) 민감 개인정보의 처리(제29조~제32조)

● 개인정보처리자에게 특정한 목적과 충분한 필요성이 있는 경우에 한해 엄격한 보호조치를 취하면서 민감 개인정보를 처리할 수 있다.

● 민감 개인정보를 처리하는 경우 정보 주체인 개인으로부터 별도로 동의를 받아야 하고, 개인에게 민감 개인정보 처리 필요성 및 개인에게 미치는 영향을 고지해야 한다.

● 개인정보처리자는 만 14세 미만 미성년자의 개인정보를 처리하는 경우에는 미성년자 부모 또는 기타 보호자의 동의를 얻어야 하고, 별도의 개인정보 처리규칙을 마련하여야 한다.

나. 안면인식 기술 적용 안전관리 규정

최근 중국 텐진시에서는 지하철 안면인식 승차시스템을 본격 운영하기 시작하였는데, 앱을 통해 본인의 얼굴을 등록해 놓고 승객이 개찰구 모니터에 얼굴을 대면 승차권이 자동 결제되어 문이 열리고 지하철 승차가 가능한 시스템이다. 이처럼 중국에서는 건물 출입, 교통위반 감시 등 생활 곳곳에서 안면인식 기술 사용이 급속도로 확산되고 있다. 앞서 인용한 바와 같이 영국 보안업체 Comparitech 조사보고서에서도 전세계 96개국의 생체정보 수입 및 활용 정도를 비교, 분석한 결과 중국이 1위를 차지한 바 있다.

한겨레, “중국지하철 ‘안면인식 결제’...일부 공중화장실 이용 때도”(2024.5.29.) https://www.hani.co.kr/arti/international/international_general/1142558.html

동 보고서 p.11-12 참조, Comparitech, Facial recognition technology(FRT): Which countries use it? (2022.1.24.), https://www.comparitech.com/blog/vpn-privacy/facial-recognition-statistics/

이러한 생체인식 기술의 광범위한 사용에 대한 사회적 우려를 불식하고자 2023년 8월 중국 사이버공간관리국(Cyberspace Administration of China, CAC)은 “안면인식 기술 적용 안전관리 규정”초안을 발표하고 의견수렴을 시작하였다. 이 규정 초안에 따르면, 민간 영역에서 안면 인식 기술을 사용하려면 특정한 목적과 충분한 필요성이 있어야 하며, 엄격한 보호조치가 적용되어야 한다고 명시하고 있다.

이상우. (2023). 중국의 안면인식 기술 입법동향과 시사점 - 안면인식 기술응용 안전관리규정 의견수렴안을 중심으로 -. 법학연구, 26(4), 191-227

또한, 정보주체의 동의를 얻거나 국가 안보를 목적으로 하지 않는 한 안면인식 기술 사용을 금지하고, 안면인식 기술을 대체할 수 있는 비(非)생체 인증방식을 우선 사용하도록 명시하였다. 아울러, 호텔, 화장실, 탈의실 등 사생활 침해우려가 있는 장소에서의 안면인식 기술이나 영상 수집장치 설치를 금지하고, 공항, 역사, 경기장, 박물관 등 공공장소에서도 법적으로 필요한 경우가 아니라면 안면인식 기술 적용이 제한되며, 안면인식 기술을 사용하는 경우 눈에 잘 띄는 안내판을 설치하도록 규정하였다.

● 적용범위(제2조) : 중국 역내에서 안면인식 기술을 사용하여 안면인식 데이터를 처리하고 상폼 또는 서비스를 제공하는 경우에 적용

● 기본 원칙(제3~4조) : 안면인식 기술 사용 시 공공 질서를 따르고 개인정보 보호를 위한 의무를 이행하며, 국가안전을 위협하는 행위를 금지한다. 또한 비생물학적 식별기술이 존재하는 경우 반드시 비생물학적 식별기술 방안을 우선적으로 사용하여야 한다.

● 개별 동의(제5조) : 안면인식 정보를 처리할 때 반드시 개인의 개별적인 동의를 얻거나 법에 따른 서면동의를 받아야 한다.

● 기기의 설치 및 운영(제6~10조) : 사생활 침해 장소에 안면인식 기능이 있는 기기 설치를 제한하고, 안면인식 정보가 수집되고 있음을 알려주는 안내판을 설치하여야 하며, 해당 기기를 설치하는 기관에서는 엄격한 보호조치를 적용하여야 한다.

● 처리 제한(제11조) : 국가 및 공공안전, 자연인의 생명, 안전, 재산 보호가 필요한 경우, 개인의 별도 동의를 받은 경우를 제외하고는 안면인식 기술을 사용하여 민감 개인정보를 분석하면 안된다.

● 영향 평가(제15조) : 안면인식 데이터 처리 시 사전에 개인정보 보호를 위한 영향평가를 수행하여야 한다.

2. 일본

일본은 2015년 개정된 개인정보보호법(Act on the Protection of Personal Information, APPI)에서 개인정보의 정의를 변경하여 개인식별코드가 포함된 것을 개인정보로 명확히 하였는데, 여기서 개인식별코드는 특정 개인 신체의 일부 특징을 컴퓨터의 용도에 이용하기 위하여 변환한 문자, 번호, 기호 및 그 밖의 코드로서, 해당 특정 개인을 식별할 수 있는 것을 말한다.

【 일본 개인정보보호법 중 개인식별부호 정의 】

일본 개인정보보호법 원문 https://elaws.e-gov.go.jp/document?lawid=415AC0000000057

원문	번역
第二条. 定義 (2조. 정의)
第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。 一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。） 二 個人識別符号が含まれるもの ２ この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。 一 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの 二 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの	(1) 이 법에서 "개인정보"란 생존하는 개인에 관한 정보로서 다음 각 호에 해당하는 것을 말한다: (i) 이름, 생년월일 또는 기타 기술 등 (문서, 그림 또는 전자기록(전자적, 자기적 또는 다른 방식으로 인식할 수 없는 형태로 보관된 기록; 이하 동일)의 형태로 음성, 동작 또는 기 타 방법을 사용하여 기재, 기록 또 는 기타 방법으로 표현된 모든 사항 을 의미하며, 여기에는 제18조 제2 항에서도 동일하게 적용됨)을 포함 하여 특정 개인을 식별할 수 있는 정보(다른 정보와 쉽게 대조할 수 있어 특정 개인을 식별할 수 있는 것도 포함됨) (ii) 개인 식별 코드를 포함하는 정보 (2) 이 법에서 "개인 식별 코드"란 내각령에 의해 규정된 문자, 문자, 숫자, 기호 또는 기타 코드로서 다음 각 호에 해당하는 것을 말한다. (i) 특정 개인의 신체 일부 특징이 컴 퓨터 사용을 위해 변환된 문자, 문 자, 숫자, 기호 또는 기타 코드로 특정 개인을 식별할 수 있는 것 (ii) 개인에게 제공되는 서비스의 이용 또는 개인에게 판매되는 상품의 구 매와 관련하여 할당된 문자, 문자, 숫자, 기호 또는 기타 코드로, 특정 사용자 또는 구매자, 발행 대상자 를 식별할 수 있도록 다른 방식으 로 할당되거나 기재되거나 전자적 으로 기록된 카드 또는 기타 문서 에 기재된 코드

개인정보보호법 시행령 제1조제1호 및 시행규칙 제2조에서는 개인식별코드를 구체화하여 설명하고 있는데, DNA, 얼굴, 홍채, 성문, 걷는 모습, 손가락 정맥, 지문 등 특정 개인의 신체 일부 특징을 컴퓨터 사용을 목적으로 변환한 코드로 규정하고 있다.

【 일본 개인정보보호법 하위 법령】

시행령 제1조 (개인식별코드)	제1조 개인정보보호에 관한 법률(이하 "법"이라 한다) 제2조 제2항에 언급된 내각령에 규정된 문자, 숫자, 기호 및 기타 코드는 다음과 같다. (i) 전자 컴퓨터에서 사용하기 위해 다음 중 하나의 물리적 특성에서 변환된 문자, 숫자, 기호 또는 기타 코드로, 개인 정보 보호 위원회의 규정에서 특정 개인을 식별하기에 충분하다고 규정하는 기준을 충족하는 것. (a) 세포에서 채취한 디옥시리보핵산(DNA라고도 함)을 구성하는 염기의 서열 (b) 얼굴의 골격과 피부의 색, 눈, 코, 입 및 기타 얼굴 부위의 위치와 모양에 의해 결정되는 외모. (c) 홍채 표면의 릴리프에 의해 형성된 선형 패턴 (d) 발성 중 성대의 진동, 성문의 개폐, 성도의 모양과 변화 (e) 걸을 때의 자세와 팔의 움직임, 보폭 및 기타 형태의 보행 (f) 손바닥, 손등 또는 손가락의 피하 정맥의 가지와 끝점에 의해 결정되는 정맥의 모양. (g) 지문 또는 손바닥 지문
시행규칙 제2조	제2조 개인정보보호법 시행령 제1조 제1항에서 정하는 기준은 특정 개인을 식별할 수 있는 수준을 확보할 수 있도록 적절한 방법에 의해 전자컴퓨터의 사용에 적합한 범위로 전환한다.

개인정보의 처리에 있어서 우리나라는 개인정보 수집 및 이용 시 동의를 기본으로 하지만, 일본은 ‘요배려 개인정보’를 수집하는 경우에만 명시적으로 동의를 받도록 규정하고 있으며, 제3자 제공의 경우에는 우리와 같이 사전 동의를 원칙으로 한다. 일본 개인정보보호위원회 유권해석에 따르면, 방범 목적을 위해 취득한 카메라 영상이나 이로부터 획득한 안면인식 데이터를 마케팅 등의 상업 목적으로 이용하려고 하는 경우에는 미리 본인의 동의를 얻을 필요가 있다고 설명하고 있다.

「個人情報の保護に関する法律についてのガイドライン」 に関するＱ＆Ａ, https://www.ppc.go.jp/personalinfo/faq/APPI_QA/#q1-12

3. 싱가포르

싱가포르는 2012년 개인정보보호법(Personal Data Protection Act, PDPA)을 제정, 시행하고 있는데, 해당 정보 자체만으로 또는 다른 정보와 함께 특정 개인을 식별할 수 있는 정보를 개인정보로 정의하고, 기업이 개인정보를 처리하려면 정보주체에게 그 목적을 알리고 동의를 얻어야 하며, 이는 철회될 수 있고 동의가 철회된 경우 해당 데이터의 수집, 사용 또는 공개를 중단하도록 규정하고 있다. 다만, 정보주체의 이익(개인의 생명, 안전을 위협하는 비상 상황)이나 공공의 이익을 위해 필요한 경우, 개인정보의 처리가 기업 또는 다른 사람의 정당한 이익을 위해 필요한 경우에는 동의없이 개인정보를 처리할 수 있다고 명시하고 있다.

정당한 이익의 경우에는 기업이 영향평가(DPIA)를 수행하고 부정적 영향을 줄이기 위한 조치를 취하고 개인에게 합리적인 정보를 제공하도록 규정하고 있다. 싱가포르는 2020년 PDPA를 개정하여 개인정보 침해사고 발생 시 컨트롤러의 통지의무를 도입하고, 위반행위에 대한 처벌을 강화하는 등의 내용을 추가하였다.

싱가포르 개인정보보호위원회(Personal Data Protection Commission, PDPC)는 2022년 5월 “보안 시스템에서의 생체인식 정보 사용지침(Guide on responsible use of biometric data in security applications)”을 발표하였는데, 보안 모니터링을 위한 CCTV, 출입 통제용 안면 인식 또는 지문 인식 시스템 등의 사용이 급증하면서 데이터 오용과 관련된 사건 또한 증가하고 있어 보안 목적의 생체인식 시스템을 사용하는 법인, 건물 소유주, 보안 서비스 회사 등이 생체인식 시스템을 책임감 있게 사용하고 개인의 생체 데이터를 보호할 수 있도록 하는 것을 목적으로 하고 개인용 또는 가정용 보안시스템이나 생체인식 시스템에는 적용되지 않는다.

Guide on responsible use of biometric data in security applications, https://www.pdpc.gov.sg/help-and-resources/2022/05/guide-on-the-responsible-use-of-biometric-data-in-security-applications

이 가이드라인에서 생체인식 데이터는 개인의 생리학적, 생물학적 또는 행동적 특성과 관련된 데이터인 생체샘플 또는 생체샘플의 기술적 처리를 통해 생성된 생체 템플릿으로 정의하고, 생체인식 시스템을 사용하는 기관이 생체인식 정보의 수명주기(life cycle) 동안의 모든 단계(수집-이용-저장-파기)에서 지켜야 할 개인정보 보호 원칙을 명시하고 있다.

주요 내용을 살펴보면, 수집 시 예외가 적용되지 않는 한 생체 데이터 수집에 대해 개인의 동의를 얻어야 하고, 가능한 한 빨리 생체 샘플을 생체 템플릿으로 처리하고 인식에만 생체 템플릿을 사용하며, 가능한 한 생체 샘플을 처리 후 신속히 폐기하고, 생체 템플릿만을 저장하여 시스템에 저장되는 개인 데이터를 최소화하도록 명시하고 있다. 이때 생체 템플릿을 개인의 식별 정보와 연결하지 않도록 별도의 조치를 취해야 하며, 생체 데이터가 더 이상 필요하지 않은 경우, 해당 항목을 시스템에서 영구적으로 삭제하도록 규정하고 있다.

【 생체샘플 종류 및 생체템플릿 생성과정 】

‘Guide on responsible use of biometric data in security applications’ p6

< 생체 샘플 >

< 생체 템플릿 생성 >

【 싱가포르 생체인식 시스템의 각 단계별 개인정보 보호 원칙 】

단계	원문	번역
수집	For security cameras: • Provide proper notification to individuals and ensure appropriate placements of the cameras.	보안 카메라의 경우: • 개인에게 적절한 통지를 제공하고 카메라를 적절한 위치에 배치한다.
	For biometric recognition systems: • Obtain consent from individuals for collection of biometric data unless an exception applies. • Ensure the system is protected from tampering or man-in-the middle attacks	생체 인식 시스템의 경우: • 예외가 적용되지 않는 한 생체 데이터 수집에 대해 개인의 동의를 얻는다 • 시스템이 변조되거나 중간자 공격으로부터 보호되도록 한다.
처리/사용	For security cameras: • Limit access to the biometric sample (e.g. video recordings of identifiable individuals).	보안 카메라의 경우: • 생체 샘플(예: 식별 가능한 개인의 비디오 녹화)에 대한 접근을 제한한다.
	For biometric recognition systems: • Where possible, process biometric samples to biometric templates as soon as practicable, and use only the biometric template for recognition. <Example> Use only the biometric template to perform recognition of ticket holders for re-entry to places of interest, without identifying the individuals. • Prevent decrypted biometric templates from persisting in the system by carrying out matching processes for biometric templates in temporary storage (e.g. Virtual memory or Random Access Memory)	생체 인식 시스템의 경우: • 가능한 한 빨리 생체 샘플을 생체 템플릿으로 처리하고 인식에만 생체 템플릿을 사용한다. <예시> 개인을 식별하지 않고, 티켓 소지자의 재입장을 위해 생체 템플릿만을 사용하여 인식을 수행한다 • 매칭 과정을 일시적 저장소(예: 가상 메모리 또는 랜덤 액세스 메모리)에서 수행하여, 복호화된 생체 템플릿이 시스템에 지속적으로 남지 않도록 한다.
저장	For security cameras: • Manage access to the storage databases.	보안 카메라의 경우: • 저장 데이터베이스에 대한 접근을 관리한다.
	For biometric recognition systems: • Where possible, minimise the personal data stored in the system by storing only the biometric templates and discarding the biometric samples as soon as practicable. <Example> The enrolment process for a facial recognition system may entail collecting a profile photo from visitors. Organisations are encouraged to process the photos into biometric templates as soon as possible and discard the photos from storage. • Prevent the linking of biometric templates to identifying information of individuals by adopting the following measures where relevant: • As good practice, encrypt biometric templates and link the data only to Universally Unique Identifiers (UUIDs) or hashes of identifiers. For additional safeguards of access to sensitive applications, consider using different encryption keys for the biometric templates used by the different applications. • Where technically feasible, consider segregating the storage of different types of data. For example, biometric data with links to UUIDs should be stored in a database different from the mapping table of UUID or hashes to individual identifiers or records. • Implement relevant safeguards to protect the database: • Encrypt the biometric templates and samples (good practice). • Introduce a salt when encrypting (good practice). • Implement a strong key management system to protect encryption and decryption keys. • Implement access control measures and logs to prevent unauthorised access, and assign access rights for each database.	생체 인식 시스템의 경우: • 가능한 한 생체 샘플을 처리 후 신속히 폐기하고, 생체 템플릿만을 저장하여 시스템에 저장되는 개인 데이터를 최소화한다. <예시> 얼굴 인식 시스템의 등록 과정에서 방문객의 프로필 사진을 수집할 수 있다. 조직은 가능한 한 빨리 사진을 생체 템플릿으로 처리하고, 저장소에서 사진을 삭제하는 것이 좋다. • 생체 템플릿을 개인의 식별 정보와 연결하지 않도록 다음과 같은 조치를 취한다: • 모범 사례로서 생체 템플릿을 암호화하고 데이터를 범용 고유 식별자(UUID) 또는 식별자의 해시 값에만 연결한다. 민감한 애플리케이션에 대한 접근을 추가로 보호하기 위해 각기 다른 애플리케이션에서 사용하는 생체 템플릿에 대해 다른 암호화 키를 사용하는 것을 고려하여야 한다. • 기술적으로 가능한 경우, 다양한 유형의 데이터 저장소를 분리하는 것을 고려해야 한다. 예를 들어, UUID와 연결된 생체 데이터는 UUID 또는 해시 값을 개인 식별자 또는 기록과 매핑하는 테이블과 다른 데이터베이스에 저장해야 한다. • 데이터베이스를 보호하기 위한 관련 방어책을 구현한다: • 생체 템플릿과 샘플을 암호화한다 (모범 사례). • 암호화 시 솔트를 도입한다 (모범 사례). • 암호화 및 복호화 키를 보호하기 위한 강력한 키 관리 시스템을 구현한다. • 무단 접근을 방지하기 위해 접근 제어 조치와 로그를 구현하고, 각 데이터베이스에 대한 접근 권한을 할당한다.
파기	• When biometric data (i.e. biometric samples and templates) are no longer required, ensure that the corresponding entries are permanently deleted from the system. <Example> When staff leave the organisation, merely revoking their access in the facial recognition system is insufficient. The biometric samples and templates should be permanently deleted from the system too. • When the system storing the biometric samples and templates is decommissioned, use appropriate means to ensure that the data is permanently deleted or destroyed. <Example> Perform physical disposal of hard disks or other known methods of destruction of storage media (e.g. degaussing and incinerating) when secure erasure of personal data stored on the electronic media is not possible.	• 생체 데이터(즉, 생체 샘플 및 템플릿)가 더 이상 필요하지 않은 경우, 해당 항목을 시스템에서 영구적으로 삭제한다. <예시> 직원이 조직을 떠날 때 얼굴 인식 시스템에서 접근 권한을 취소하는 것만으로는 충분하지 않으며, 생체 샘플과 템플릿도 시스템에서 영구적으로 삭제해야 한다. • 생체 샘플과 템플릿을 저장하는 시스템이 폐기될 때, 적절한 수단을 사용하여 데이터를 영구적으로 삭제하거나 파기해아 한다. <예시> 전자 매체에 저장된 개인 데이터를 안전하게 삭제할 수 없는 경우, 하드 디스크의 물리적 폐기 또는 저장 매체의 소각 및 소거 등 알려진 방법을 사용하여 데이터를 파기한다.

이 밖에도 싱가포르는 사진, 비디오, CCTV 사용에 대한 별도 지침(Advisory guidelines on the PDPA for selected topics : Chapter 4)을 마련하여 이를 공개하고 있다.

https://www.pdpc.gov.sg/guidelines-and-consultation/2020/02/advisory-guidelines-on-the-personal-data-protection-act-for-selected-topics

또한, 2023년 9월 싱가포르 의회는 2024년부터 창이공항을 이용하는 여행객은 여권 제시없이 홍채, 얼굴, 지문 등 생체인식만으로 출국수속 가능하도록 하는 내용의 출입국관리법 개정안을 통과시켰다. 싱가포르 정보통신부에 따르면, 수화물 위탁부터 출입국 관리, 탑승까지 출국과정의 다양한 단계에서 인증을 위해 생체인식을 사용할 것이라고 밝혔는데, 의회에서는 개인정보 유출, 기술적 결함에 따른 혼란 등에 대한 우려를 일부 의원들이 표출하기도 하였다.

연합뉴스 “싱가포르 창이공항, 생체인식으로 출국 수속..여권 불필요”(2023.9.19.) https://www.yna.co.kr/view/AKR20230919145000076?input=1195m

Ⅶ. 국내 생체정보 보호 법체계 분석

국내에서는 현재 생체정보 보호를 위한 별도 법률은 없으며, 일반법인 개인정보보호법 규정을 적용하고 있는데, 법률에서 생체정보라는 용어를 명시적으로 사용하고 있지는 않다. 다만, 개인정보보호법 제23조 민감정보의 처리에 대한 규정에서 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보와 함께 “그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보”를 “민감정보”로 규정하고, 개인정보 보호법 시행령 제18조(민감정보의 범위) 제3호에서 “개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보”를 규정하고 있고, 이는 생체정보를 의미하는 것으로 이해되고 있다.

민감정보에 해당하는 경우에는 원칙적으로 처리가 금지되고, 예외적으로 민감정보의 처리에 대해 정보주체의 별도 동의를 얻거나, 법령에서 민감정보의 처리를 허용하는 경우에만 가능하도록 규정하고 있다. 이러한 제한은 공공부문과 민간부문에 동일하게 적용되는데, 공공기관은 출입국관리, 범죄수사, 본인확인 등 기관의 소관업무 수행을 목적으로 개별 법령에 근거하여 생체정보를 처리하는 반면, 민간기관은 근로자나 고객(사용자)의 본인확인 또는 인증을 목적으로 정보주체의 동의에 기반하여 생체정보를 처리하는 경우가 대다수이다.

【 개인정보 보호법 및 시행령 】

개인정보 보호법	개인정보 보호법 시행령
제23조(민감정보의 처리 제한) ①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. <개정 2016. 3. 29.> 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우 ② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다. <신설 2016. 3. 29.> ③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다. <신설 2023. 3. 14.>	제18조(민감정보의 범위) 법 제23조제1항 각 호 외의 부분 본문에서 “대통령령으로 정하는 정보”란 다음 각 호의 어느 하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의 어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016. 9. 29., 2020. 8. 4.> 1. 유전자검사 등의 결과로 얻어진 유전정보 2. 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보 3. 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보 4. 인종이나 민족에 관한 정보

개인정보보호법 및 시행령에서는 “생체정보” 또는 “생체인식정보”라는 용어가 등장하지 않으나, 개인정보보호위원회 고시인 「개인정보의 안전성 확보조치 기준」 (개인정보보호위원회고시 제2023-6호)에는 정의 규정을 두고 있는데, 제2조(정의) 제9호에서 “생체정보”를 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 인증ㆍ식별하거나 개인에 관한 특징을 알아보기 위해 일정한 기술적 수단을 통해 처리되는 정보로, 제10호에서 “생체인식정보”를 생체정보 중 특정 개인을 인증 또는 식별할 목적으로 일정한 기술적 수단을 통해 처리되는 정보로 정의하고 있다.

또한, 개인정보보호위원회(PIPC)가 2021년 9월 발표한 “생체정보 보호 가이드라인”에서는 생체정보를 ‘일반적인 생체정보’와 ‘생체인식정보’로 구분하고, 특정 개인을 인증·식별하기 위한 목적으로 처리되는 ‘생체인식정보’와 인증·식별 목적이 아닌, 개인에 관한 특징을 알아보기 위해 처리되는 ‘일반적인 생체정보’로 나누어 설명하고 있고, 이 중 생체인식정보가 민감정보로 분류되어 처리가 제한된다. 또한, 생체인식정보는 개인을 인증하거나 식별할 목적으로 입력장치 등을 통해 수집 및 입력되는 ‘생체인식 원본정보’와 이로부터 특징점을 추출하는 등 일정한 기술적인 수단을 통해 생성되는 ‘생체인식 특징정보’로 구분하고 특징정보가 개인정보보호법상 민감정보에 해당한다고 설명하고 있다.

개인정보보호위원회, 생체정보 보호 가이드라인(2021.9) https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=7529

【 생체정보 개념 및 구분 】

개인정보보호위원회, 생체정보 보호 가이드라인, 2021, p6

출처 : 개인정보보호위원회 생체정보 보호 가이드라인

이 가이드라인에서는 비례성, 적법성, 목적제한, 투명성, 안전성, 통제권보장을 생체인식정보 보호 6대 원칙으로 정하고 있으며, 기획·설계 단계, 수집단계, 이용·제공 단계, 보관·파기 단계, 상시 점검 등 각 단계별로 보호조치를 규정하고 있다. 또한, 생체인식정보 활용 서비스를 기획하고 설계하는 단계에서부터 개인정보보호 중심 설계(Privacy by Design) 원칙을 적용하고 이용자가 해당 정보 제공을 원치 않는 상황에 대비하여 다른 대체 수단을 마련하도록 하고 있으며, 수집 단계에서는 생체인식정보를 전송할 때 해킹 등으로 인해 외부에 해당정보가 유출 또는 위·변조되지 않도록 암호화 조치를 취해야 하며, 보관 시 원본정보와 분리보관하도록 규정하고 있다.

출처 : 개인정보보호위원회 생체정보 보호 가이드라인

앞서 개인정보 보호법에 따라 민감정보인 생체정보를 처리하기 위해서는 정보주체의 동의를 얻거나 개별 법령에 처리 근거가 있어야 한다고 설명한 바 있는데, 출입국 심사, 수사 등을 수행하는 국가기관의 경우 개별 법령에 생체정보 처리 근거를 가지고 있는 경우가 다수 있다.

예를 들어, ‘출입국관리법’ 제3조에 법무부 장관은 출국심사에 필요한 경우에는 국민의 생체정보를 수집하거나 관계 행정기관이 보유하고 있는 국민의 생체정보의 제출을 요청할 수 있다고 명시되어 있고, ‘형의 집행 및 수용자의 처우에 관한 법률’ 제19조에서는 교정시설의 장은 신입자 및 다른 교정시설로부터 이송되어 온 사람에 대하여 다른 사람과 식별을 위해 필요한  한도에서 사진촬영, 지문채취 등의 조치를 하여야 한다고 규정하고 있다.

【 개별 법령 상의 생체정보 처리 근거 예시 】

법령	해당 기관	조문 내용
출입국관리법	법무부장관	제3조(국민의 출국) ③ 법무부장관은 출국심사에 필요한 경우에는 국민의 생체정보를 수집하거나 관계 행정기관이 보유하고 있는 국민의 생체정보의 제출을 요청할 수 있다. ⑤ 출입국관리공무원은 제3항에 따라 수집하거나 제출받은 생체정보를 출국심사에 활용할 수 있다. ⑥ 법무부장관은 제3항에 따라 수집하거나 제출받은 생체정보를 「개인정보 보호법」에 따라 처리한다.
형의 실효 등에 관한 법률 및 시행령	경찰청장	법률 제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다. 4. “수사자료표”란 수사기관이 피의자의 지문을 채취하고 피의자의 인적사항과 죄명 등을 기재한 표(전산입력되어 관리되거나 자기테이프, 마이크로필름, 그 밖에 이와 유사한 매체에 기록ㆍ저장된 표를 포함한다)로서 경찰청에서 관리하는 것을 말한다.
		시행령 제2조(수사자료표의 작성 등) ④ 수사자료표를 작성하는 경우 지문을 채취할 피의자의 범위와 그 밖에 필요한 사항은 법무부령으로 정한다.
형의 집행 및 수용자의 처우에 관한 법률	교정시설의 장	제19조(사진촬영 등) ① 소장은 신입자 및 다른 교정시설로부터 이송되어 온 사람에 대하여 다른 사람과의 식별을 위하여 필요한 한도에서 사진촬영, 지문채취, 수용자 번호지정, 그 밖에 대통령령으로 정하는 조치를 하여야 한다. ② 소장은 수용목적상 필요하면 수용 중인 사람에 대하여도 제1항의 조치를 할 수 있다.
실종아동등의 보호 및 지원에 관한 법률	경찰청장	제7조의2(실종아동등의 조기발견을 위한 사전신고증 발급 등) ① 경찰청장은 실종아동등의 조속한 발견과 복귀를 위하여 아동등의 보호자가 신청하는 경우 아동등의 지문 및 얼굴 등에 관한 정보(이하 “지문등정보”라 한다)를 제8조의2에 따른 정보시스템에 등록하고 아동등의 보호자에게 사전신고증을 발급할 수 있다. ③ 경찰청장은 제1항에 따라 등록된 지문등정보를 데이터베이스로 구축ㆍ운영할 수 있다.
		제7조의3(실종아동등의 지문등정보의 등록ㆍ관리) ① 경찰청장은 보호시설의 입소자 중 보호자가 확인되지 아니한 아동등으로부터 서면동의를 받아 아동등의 지문등정보를 등록ㆍ관리할 수 있다. 이 경우 해당 아동등이 미성년자ㆍ심신상실자 또는 심신미약자인 때에는 본인 외에 법정대리인의 동의를 받아야 한다. 다만, 심신상실ㆍ심신미약 또는 의사무능력 등의 사유로 본인의 동의를 얻을 수 없는 때에는 본인의 동의를 생략할 수 있다.

앞서 우리의 현행 개인정보보호법 법률과 시행령에는 생체정보를 명시적으로 정의하거나 생체정보의 처리를 별도로 규정하고 있지 않다는 것을 확인한 바 있다. 최근 생체정보 인식 기술의 활용 영역이 점차 확대됨에 따라 국회에서는 개인정보보호법을 개정하여 생체정보의 정의 및 처리제한 규정을 보다 명확히 하여 생체정보를 두텁게 보고하고자 하는 입법 시도가 활발해 지고 있다. 21대 국회(2020년 5월 ~ 2024년 5월)에서 양정숙 의원은 제23조의2(안면인식정보의 처리 제한) 규정을 신설하여 안면인식정보에 대한 정의와 처리 제한에 관한 사항을 법률에 규정하는 내용의 개인정보보호법 개정안을 대표 발의하였고, 황희 의원은 제23조 민감정보의 처리 제한 규정에서 ‘지문·얼굴·홍채 및 손바닥 정맥 등 개인을 식별할 수 있는 신체적 특징에 관한 정보’를 민감정보의 범위에 명시적으로 포함시키는 개정안을 제안한 바 있으나, 이러한 개정안들은 21대 국회 임기만료로 처리되지 못하고 폐기되었다.

【 21대 국회 개인정보보호법 개정안(의원발의) 주요 내용 】

대표 발의자 (발의 시기)	현행	개정안 주요 조문
양정숙 의원 (‘23.4.19)	<신 설>	제23조의2(안면인식정보의 처리 제한) ① 개인정보처리자는 골격분석, 3차원 측정 등의 기술을 활용하여 얼굴 형태 등을 인식ㆍ저장함으로써 생성된 개인을 알아볼 수 있는 신체적 특징에 관한 정보로서 대통령령으로 정하는 정보(이하 “안면인식정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 안면인식정보의 처리를 요구하거나 허용하는 경우 ② 개인정보처리자가 제1항 각 호에 따라 안면인식정보를 처리하는 경우에는 그 안면인식정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다. ③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 안면인식정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 안면인식정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다.
	제64조의2(과징금의 부과) ① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 1. ∼ 3. (생 략) <신 설>	제64조의2(과징금의 부과) ① ------------------------------------------------------------------------------------------------------------------------------------------------------------.------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------. 1. ∼ 3. (현행과 같음) 4. 제23조의2제1항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 정보주체의 동의를 받지 아니하고 안면인식정보를 처리한 경우
	제71조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다. 1. ∼ 4의6. (생 략) <신 설>	제71조(벌칙) -----------------------------------------------------------------------------------------------------------. 1. ∼ 4의6. (현행과 같음) 5. 제23조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 안면인식정보를 처리한 자
황희의원 (‘23.9.27)	제23조(민감정보의 처리 제한) ① 개인정보처리자는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보“라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.	제23조(민감정보의 처리 제한) ① -----------------------------------------------------------------------------------------------------성생활, 지문·얼굴·홍채 및 손바닥 정맥 등 개인을 식별할 수 있는 신체적 특징---------------------------------------------------------------------------------------------------------------------------------------------.
박진의원 (‘23.2.20)	제23조(민감정보의 처리 제한) ① 개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보“라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우 <신 설>	제23조(민감정보의 처리 제한) ① -----------------다음 각 호의 어느 하나에 해당하는----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------. <단서 삭제> 1. 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보 2. 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보 3. 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보 ② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 민감정보를 처리할 수 있다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

Ⅷ. 주요국 생체정보 활용 관련 소송 및 처분 사례

전 세계적으로 안면인식 등 생체인식 기술 활용 범위가 넓어짐에 따라 프라이버시 침해 논란 또한 증가하고 있으며, 이에 각국에서는 관련 소송 제기 및 각국 개인정보 보호 당국의 처분도 잇따르고 있다. 이에 생체정보 활용과 관련한 각국의 제소 및 주요 처분 사례를 통해 주요 이슈 및 시사점을 면밀히 살펴보고자 한다.

1. Clearview AI　처분 사례

클리어뷰 AI는 미국에 본사를 둔 인공지능 기반의 얼굴인식 기술을 제공하는 스타트업으로, 사진을 통해 인물을 식별하여 온라인에 공개된 해당 인물의 정보를 찾아주는 얼굴(안면) 인식 서비스를 제공하였다. 이 서비스를 위해 클리어뷰 AI는 페이스북, 인스타그램 등과 같은 소셜 네트워크 서비스, 동영상 배포 플랫폼을 포함한 다수의 웹사이트에서 비공개된 사진을 제외한 개인 얼굴 사진이나 영상 이미지를 추출하여 데이터베이스를 구축하였고, 이 데이터베이스에 대한 접근 권한을 판매하였는데, 전 세계적으로 100억건 이상의 얼굴 이미지를 보유하고 있는 것으로 알려졌다.

이미지 검색을 통해 특정인에 대해 알아보기 위한 일반 고객뿐만 아니라 범죄 용의자 파악 등을 위해 전세계 사법기관에서도 이용해 온 것으로 알려졌다. 미국에도 클리어뷰 AI를 사용하는 연방 법집행 기관이 다수 있었는데, 미국의 회계감사원(Government Accountability Office)이 2021년 7월에 발표한 자료에 따르면 미국 내 42개 연방기관 중 FBI, 이민세관단속국(U.S. Immigration and Customs Enforcement) 등 10개 기관이 클리어뷰 AI를 사용한 것으로 조사된 바 있다.

US Government Accountability Office “Facial Recognition Technology: Federal Law Enforcement Agencies Should Have Better Awareness of Systems Used By Employees”(GAO-21-105309) https://www.gao.gov/products/gao-21-105309#:~:text=Recommendations,generally%20concurred%20with%20the%20recommendations

예를 들어, 클리어뷰 AI 계정을 가진 법 집행관이 컴퓨터나 스마트폰을 사용하여 미확인 개인의 얼굴 사진을 클리어뷰 AI의 얼굴인식 시스템에 업로드하면, 이 시스템은 데이터베이스 검색을 통해 미확인 개인과 유사한 특성을 가진 인물의 이미지 목록과 해당 이미지가 얻어진 사이트(예:페이스북) 링크를 보여주고 해당 사이트 검색을 통해 미확인 개인에 대한 정보를 얻을 수 있도록 도와주는 방식이다. 이런 클리어뷰 AI의 강력한 검색엔진은 그 성능에도 불구하고 개인의 동의 없이 대량의 얼굴 데이터를 수집하고 사용함으로써 사생활 침해 우려가 제기되었고, 사용자들이 자신의 데이터에 접근하거나 삭제할 권리를 행사하기 어려우며, 데이터 처리의 법적 근거가 부족하다는 측면에서 문제가 되었다.

클리어뷰 AI의 비즈니스 모델은 전 세계 인구를 대상으로 얼굴 이미지를 수집하는 특성 상 유럽 권역 내 거주자 데이터가 포함될 수 밖에 없고, 유럽연합에서는 개인정보 보호법이 가장 엄격하게 적용되고 있는 만큼 유럽 각국의 시민단체 또는 정보 주체 등이 해당국 개인정보 보호 당국에 개인정보 침해 관련 민원을 다수 제기하였다. 이에 이탈리아, 영국, 프랑스 등 유럽 각국 개인정보 감독기구는 클리어뷰 AI의 GDPR 위반여부에 대해 조사 후 각각 판단하여 처분하게 되었다.

프랑스 CNIL(개인정보 감독기구)은 2022년 10월 클리어뷰 AI가 정보주체의 동의없이 개인 얼굴정보를 수집하였고(GDPR 제6조 위반), 정보주체의 정보 열람권 및 삭제권 행사를 방해하거나 소홀히 했으며(GDPR 제12조, 제15조, 제17조 위반), 감독 당국과의 협력이 부족(GDPR 제31조 위반)하였다고 판단하고, 2천만 유로의 과징금과 함께 프랑스 영토 내 거주민에 대한 개인 얼굴정보 수집 및 사용 중단, 수집된 정보의 삭제 명령을 내린 바 있다.

영국의 정보 위원회(ICO) 역시 적법한 데이터 처리의 원칙 위반(GDPR 제6조), 데이터 주체의 권리(데이터 접근 및 삭제권) 미준수(GDPR 제12조, 제15조, 제17조)하였다고 판단하고 750만 파운드의 벌금을 부과하였다. 이탈리아와 그리스 개인정보 감독기구도 클리어뷰 AI에 대해 유사한 처분을 내렸는데, 공통적으로 클리어뷰 AI가 정보주체에게 자신의 얼굴 이미지의 처리를 알리지 않았고, 정보주체는 본인이 공개한 정보라 할지라도 자신의 정보가 이러한 방식으로 처리될 것이라는 것을 합리적으로 기대하거나 예상할 수 없었기 때문에 해당 개인정보 처리가 적법하지 못하다고 판단하였고, 정보주체에 대한 정보제공 의무를 소홀히 하여 투명성 원칙을 위반하였다고 판단하였다.

UK ICO 보도자료 https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2022/05/ico-fines-facial-recognition-database-company-clearview-ai-inc/

한국인터넷진흥원, Clearview AI 관련 유럽 개인정보 감독기구 행정처분 주요 내용, 22년 개인정보보호 월간동향보고서 8월호 https://www.kisa.or.kr/20202/form?postSeq=258&page=6

2. 미국 일리노이주 소송 및 판결 사례

앞서 Ⅲ장(미국의 생체정보 보호 규율체계)에서 살펴본 바와 같이 현재 미국에서 생체정보 활용을 별도 법으로 규제하는 주는 일리노이주, 워싱턴주, 텍사스주 등이 있으나, 법규 위반 행위에 대해 일리노이주가 거의 유일하게 정보 주체인 개인이 직접 소송을 제기할 수 있도록 허용하고 있고, 다른 주의 경우는 보통 주 법무장관에게 소송 권한을 부여하고 있다. 기업들 입장에서는 후자를 더 선호하는데, 법무장관은 선출직이기 때문에 소송에 소극적이거나 패소 시 영향을 줄이기 위해 선별적으로 사건을 처리할 가능성이 있다고 판단하고 있다. 개인의 소송권을 부여하는 일리노이주 생체정보보호법(BIPA)은 2008년 제정되어 적용된지 20년 이상 되었고, 엄격한 규율을 적용하고 있는 만큼 일리노이주에서 비즈니스를 하는 많은 기업들이 생체정보보호법 위반으로 제소되거나 보상금 지급에 합의한 경우가 다수 있다.

가. 페이스북(Facebook)

가장 대표적인 사례는 2015년 일리노이주 주민3명이 페이스북을 상대로 제기한 집단소송으로 페이스북이 도입한 얼굴 인식-태그 기능이 일리노이주 BIPA를 위반하였다는 내용이다. 소장에 따르면 페이스북은 2010년 사진과 동영상 속 얼굴을 자동으로 인식하여 태그를 제안하는 기능을 도입하였는데, 이는 기업이 안면, 지문 등 생체정보를 수집하는 경우 정보주체에게 수집 목적 및 보관기간 등을 안내하고 사전에 동의를 얻도록 규정하고 있는 일리노이주 BIPA 규정을 페이스북이 위반하였다고 적시하고 있다.

이에 대해 페이스북은 해당 기능에 대한 정보가 웹사이트에 기재되어 있고, 사용자가 해당 기능을 직접 해제할 수 있다고 주장하였으나, 7년간의 소송 끝에 2021년 페이스북이 일리노이주 사용자들에게 6억 5천만 달러의 합의금을 지급하기로 한 바 있다.

연합뉴스 “美일리노이 페이스북 이용자 160만명 인당 48만원 수령”(2022.3.19.) https://www.yna.co.kr/view/AKR20220319019300009

나. 구글포토(Google Photos)

2016년 구글포토(Google Photos) 앱의 얼굴 인식 및 유사도별 분류 기능이 일리노이주 BIPA를 위반하였다며 앱 사용자들이 구글을 상대로 집단 소송을 제기한 바 있는데, 이에 대해 2022년 구글은 해당 기능이 도입된 2015년부터 7년간 구글포토 앱상의 사진에 나온 일리노이주 주민들을 대상으로 1억달러를 배상하기로 합의하였고, 판결 이후 일리노이주 사용자들에게는 옵트인(opt-in) 메시지를 통해 생체정보 수집에 동의를 얻어야 하며, 수집에 동의하지 않는 사용자의 정보는 삭제하기로 하였다.

연합뉴스 “美일리노이 생체정보보호법 위력,,,구글도 1천200억원 배상 합의”(2022.4.29.) https://www.yna.co.kr/view/AKR20220429007000009

다. 화이트캐슬(White Castle)

최근 일리노이주 BIPA 위반에 따른 배상금 금액 산정에 있어 의미있는 대법원 판결이 있었다. White Castle이라는 미국 오하이오주 콜럼버스에 본사를 둔 패스트푸드 체인점이 직원들의 출퇴근 관리 및 급여 시스템 접근을 위해 지문 인식 시스템을 도입하는 과정에서 일리노이주 BIPA 요구사항을 준수하지 않았다고 당시 White Castle의 매니저였던 Latrina Cothron이 2019년 소송을 제기하였다.

Reuters “White Castle could face multibillion-dollar judgement in Illinois privacy lawsuit”(2024.2.18.) https://www.reuters.com/legal/white-castle-could-face-multibillion-dollar-judgment-illinois-privacy-lawsuit-2023-02-17/

BIPA에 따르면 생체 데이터를 수집하기 전, 명시적인 서면 동의를 받아야 하며, 데이터 사용 및 보관에 대한 정보를 제공해야 하나, 원고는 자신의 지문 데이터가 사전 동의없이 수집되었고, 제3자 벤더에게 전달되었다고 주장하였다. 일리노이주 대법원까지 올라간 이 사건은 피해액의 산정에 있어 매번의 지문 스캔과 데이터 전송이 각각 독립적인 위반 행위로 간주된다고 2023년 2월 대법원이 판단함에 따라 직원들의 출퇴근 기록을 위해 동의를 받지 않은 지문 스캔 및 전송이 매일 일어나면서 피해액이 최대 170억 달러에 달하게 되었다.

일리노이 대법원은 White Castle 사건을 판결하면서 BIPA 규정에 따라 피해액을 산정할 때 반복된 횟수를 기준으로 하면 피해액이 기하급수적으로 늘어날 수 있는 점을 들어 개정 필요성을 지적하였고, 이에 따라 2024년 5월 일리노이 주의회가 피해액 산정 방식을 변경하여 지문과 같은 생체 데이터에 대해 각각의 스캔을 여러 번의 위반행위가 일어난 것으로 보지 않고 최초 수집을 단일 위반으로 간주하는 생체정보보호법 개정안은 통과시켰다.

개정 BIPA https://www.ilga.gov/legislation/BillStatus.asp?DocNum=2979&GAID=17&DocTypeID=SB&LegId=152094&SessionID=112&GA=103

라. 최근 소송 제기 사례

BIPA 위반에 대한 소송은 2015년 시작된 이후 연방법원에 약 600건의 소송이 제기되었고, 주 법원에서도 많은 소송이 제기되어 왔다. 블룸버그 데이터에 따르면 2020년 연방법원에 약 90건의 BIPA 소송이 제기되었고, 2021년부터 작년까지 해마다 약 80건 내외의 소송이 제기된 것으로 나타났다. BIPA 소송은 크게 고용(employment) 관련 소송과 소비자(consumer) 관련 소송으로 나뉠수 있는데, 2024년 1분기 고용관련 소송은 6건으로, 이 중 네 건은 지문 인식 시간 기록 장치의 사용과 관련이 있었고, 나머지 두 건은 직원 얼굴 스캔 수집을 다투는 소송이었다. 소비자 관련 소송 건수는 2024년 1분기 7건으로 이러한 소비자 소송 중 많은 부분이 데이팅 앱의 생체 정보 사용에 대한 문제 제기와 관련되어 있었다.

https://news.bloomberglaw.com/ip-law/analysis-federal-bipa-complaints-in-q1-drop-to-four-year-low-1

【 BIPA 위반 관련 연방 소송 제기 현황 】

출처 : Bloomberg Law

금년들어 제기된 소송을 살펴보면, 지난 3월에는 미국 미네소타에 본사를 두고 있는 대형 소매업체(retailer)인 Target이 소비자들의 서면 동의없이 안면인식 정보와 같은 생체데이터를 불법적으로 수집하고 저장하였다는 이유로 집단 소송이 제기되었다. 일리노이주 한 여성이 제기한 소송으로 소장에 따르면 Target이 도난 방지 차원에서 매장 전체에 최고급 안면인식 기능을 갖추고 있으나, Target은 매장에 들어가기 전에 이 사실을 고객에게 알리지 않았으며, 고객의 생체 인식 데이터를 수집하기 전에 동의를 얻지도 않는다고 주장하였다.

4월에는 前 아마존(Amazon) 창고 직원이었던 리사 존슨(Lisa Johnson)은 Amazon.com Services LLC를 상대로 집단 소송을 제기하였는데, 회사가 출근 및 퇴근 절차 동안 직원 신분증을 위해 얼굴 스캔을 수집하고 사용함으로써 일리노이주 BIPA 위반했다고 주장하였다. 원고는 아마존이 자신의 생체 정보를 수집하기 전에 사전 동의를 얻지 못했고, 그러한 데이터의 보존 및 파기 일정을 설명하는 공개적으로 이용 가능한 서면 정책을 제공하지 않았으며, 자신의 정보를 제3자 신원 확인 서비스와 공유했다고 주장하였다.

또한, 미국 금융서비스 회사 Global Payments Inc.와 자회사 Xenial, Inc.가 동의 없이 불법적으로 직원 지문 스캔을 수집, 저장 및 공유한 혐의로 제소되었는데, 식품 서비스 산업에 관리 솔루션과 소프트웨어를 제공하는 플랫폼인 Global Payments and Xenial이 직원들이 고객의 식품 주문을 입력하거나 입출고를 원할 때마다 생체 인식이 가능한 POS(Point-of-Sale) 터미널에서 직원들의 지문을 스캔하도록 요구하였다. 그러나 이 과정에서 직원들에게 생체 정보 데이터 수집, 저장 및 배포하기 전에 통지하거나 사전 동의를 얻지 못하였으므로 일리노이주 BIPA 규정 위반이라고 주장하였다. BIPA 위반 행위로 인해 피해를 입은 개인은 고의적이거나 과실 위반에 대해 5,000달러, 부주의로 인한 모든 위반에 대해 1,000달러의 손해배상금을 청구할 수 있으며, 변호사 비용 등도 요구할 수 있다.

미국에 진출한 한국기업들도 예외일 수 없다. 2024년 초 현대자동차그룹 계열사인 현대 트랜시스(Transys)의 미국 일리노이주 공장에서 근무했던 직원들이 회사가 직원들의 출퇴근 기록을 관리하는 지문인식 시스템을 도입하여 직원들의 지문 데이터를 수집하고 저장하는 과정에서 BIPA가 요구하는 사전동의 절차를 제대로 이행하지 않았다고 주장하면서 소송을 제기한 바 있다.

앞서 살펴본 손해배상 및 다수의 소송 사례들을 통해 알 수 있듯이 일리노이 BIPA는 매우 강력한 생체정보 보호 법률로 자리잡았고, 기업들이 생체정보를 수집할 때 사전 동의와 데이터 보호 정책을 엄격하게 준수해야 하며, 그렇지 않을 경우 기업들이 막대한 법적, 재정적 위험에 직면할 수 있음을 알 수 있다.

3. 국내 처분 사례

개인정보보호위원회는 2021년 8월 페이스북의 불법 얼굴인식 정보 생성 및 수집에 대해 과징금 64억4천만원의 부과를 결정하였다. 페이스북은 2018년 4월에서 2019년 9월까지 약 1년 5개월간 이용자의 동의를 받지 않고 얼굴인식 템플릿을 생성하고 수집하였는데, 해당 기간동안 수집된 한국인 이용자의 얼굴인식 정보는 약 20만명에 해당하고, 그 과정에서 정보 주체인 사용자의 동의를 제대로 받지 않은 것으로 나타났다.

페이스북은 2018년 4월 ‘데이터 정책’을 수정하면서 얼굴인식 기능이 활성화될 수 있다는 내용을 명시하였는데, 이 기능이 활성화되어 있으면 이용자가 자신의 프로필에 등록한 사진이나 영상 등을 바탕으로 템플릿을 생성하고 이를 토대로 페이스북에 게재되는 사진 속 인물에 이용자가 포함되어 있는지 식별하여 이름이 자동으로 표시되도록 하였다.

개인정보보호위원회에 따르면 페이스북은 데이터정책에 얼굴인식 기능에 대해 기재하였으나 이용자가 가입하기 전에 얼굴인식 기능을 비활성화할 수 없고 얼굴인식 사용에 동의하는 것이 기본 설정으로 적용되어 있으며, 가입 후 설정 변경없이 프로필에 얼굴 이미지를 등록하면 추가적인 동의 절차 없이 얼굴 정보가 수집되도록 하였다. 이는 이용자의 동의를 받지 않고 얼굴인식 정보를 수집한 것으로 과징금 부과와 함께 동의없이 수집된 얼굴정보를 파기하거나 이용자로부터 별도의 동의를 받도록 시정명령을 내린 바 있다.

개인정보보호위원회 보도자료(2021.8.25.) https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7497

지디넷 기사 https://zdnet.co.kr/view/?no=20210825165112

【 페이스북 데이터정책 중 일부 내용 】

Ⅸ. 평가 및 정책 제언

앞서 우리나라뿐만 아니라 미국, EU, 아시아 국가 등 세계 각국에서 생체정보를 보호하기 위한 자국의 규율체계를 어떻게 구성하고 운영하고 있는지 살펴보았다. 우리나라의 경우 현행 개인정보 보호법 및 동법 시행령에서 생체정보나 생체인식정보를 명시적으로 정의하고 있지 않으며, 개인정보 보호법 시행령 제18조 제3조에서 “개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보”로 표현하면서 민감정보의 범위에 포함시키고 민감정보의 처리를 일반 개인정보와 구분하여 별도로 규정하고 있다.

다만, 2020년 ‘개인정보의 기술적·관리적 보호조치 기준’(2023년 9월 폐지) 고시와 2021년 9월 발표한 ‘생체정보 보호 가이드라인’에서는 개인정보 보호법에서 명시적으로 정의하지 않은 생체정보 및 생체인식정보에 대한 정의를 규정하고 있다. 개인정보 보호에 관한 일반법인 개인정보 보호법에서는 생체정보 개념에 대한 명시적인 표현이 없으나, 출입국관리법 등과 같은 다른 일반법에서는 생체정보라는 용어를 정의하고 사용하는 경우를 확인할 수 있었다.

개인정보 보호법 시행령 제48조의2(개인정보의 안전성 확보 조치에 관한 특례)가 삭제됨에 따라 ‘개인정보의 기술적·관리적 보호조치 기준’ 고시는 폐지되고 ‘개인정보의 안전성 확보조치 기준’(개인정보보호위원회고시 제2023-6호)로 통합

미국은 연방 차원의 통합된 개인정보 보호법이 존재하지 않으며, 주별로 다양한 규제가 존재하는데, 생체정보 보호와 관련해서는 일리노이주 생체정보 보호법(BIPA)이 대표적이다. BIPA는 생체정보의 수집, 사용, 저장 등에 대한 명확한 규제를 제공하며, 위반 시 개인이 직접 소송을 제기할 수 있는 권리를 보장하고 있어 생체정보 보호에 있어 강력한 수단이 되고 있다.

유럽연합은 일반 개인정보 보호법(GDPR)을 통해 통합된 개인정보 보호 체계를 운영하는데, GDPR은 생체정보를 민감정보로 간주하여 특별한 보호가 필요하다고 규정하며 생체정보의 수집 및 처리 시 명확한 동의를 받아야 하며, 데이터 주체의 권리 보호를 위해 데이터 이동권, 삭제권 등의 권리를 보장한다.

또한, 이와 별도로 최근 EU 의회 본회의를 최종 통과한 인공지능법에서 생체정보 보호와 관련하여 강화된 규정을 포함하고 있는데 AI 시스템이 생체정보를 수집, 저장, 처리하는 경우, 해당 시스템은 엄격한 요건을 충족해야 한다. 구체적으로 생체정보 처리를 위해서는 데이터 주체의 명확한 동의를 반드시 받아야 하고, 데이터 주체가 이해할 수 있는 방식으로 정보가 제공되어야 하며, AI 시스템이 생체정보를 활용할 때, 데이터 보호 영향 평가(DPIA)를 실시하여 잠재적 위험을 사전에 평가하고 필요한 보호 조치를 취해야 한다. 또한, 공공장소에서 실시간 생체인식을 통한 개인 식별은 엄격히 제한하고 있는데, 특별한 예외 상황(예: 범죄 수사 등)을 제외하고는 사용이 금지된다.

이 밖에 중국은 개인정보 보호법이 최근 강화되어 생체정보 보호에 대한 규제를 강화하고 있는데, 생체정보의 수집 시 명확한 동의를 받아야 하며, 엄격한 보안 조치를 취해야 한다. 다만, 중국의 규제는 민간기업에 주로 적용되는 것으로 국가 안보와 관련한 국가기관의 처리는 별도로 다룬다는 점이 특징이다.

이러한 해외 규율체계와의 비교 분석을 통해 다음과 같은 시사점을 발견할 수 있었다. 우선, 우리나라가 이미 개인정보 보호법을 통해 생체정보 보호를 규제하고 있다고 볼 수는 있으나, 현행 법률에 생체정보에 대한 명시적인 규정이 없는 반면, 개별법에는 각기 다른 용어를 사용하고 별도의 정의 규정을 두고 있다는 점에서 수범자들의 혼란을 야기할 수 있다. 따라서, 규율의 체계적인 측면에서 생체정보 보호에 관한 규정을 보다 명확히 하여 법적 일관성 및 예측 가능성을 높일 필요가 있으며, 이 과정에서 개인정보 보호법을 일부 개정하는 것도 가능하나 미국 일리노이주 BIPA와 같이 생체정보 보호를 위한 독립된 법률을 제정하여 명확한 법적 규제와 감독을 강화하는 방안도 참고할 필요가 있다. 특히, 생체정보의 오남용을 방지하기 위한 사전 예방적 조치와 위반 시 강력한 처벌 규정이 필요하다.

또한, 규율의 내용적인 측면에 있어 EU 인공지능법에서 강화된 생체정보 보호 규정은 한국이 참고할 만한 여러 시사점을 제공한다. 인공지능 기술과 결합된 생체정보는 이전보다 발달된 식별기술을 통해 대규모 감시와 추적이 가능해지도록 하는 만큼 한국도 생체정보를 처리하는 AI 시스템에 대해서는 엄격한 요건을 부과하고, 생체정보를 처리하는 모든 과정에서 데이터 주체의 명확한 동의를 받도록 해야 하며, 동의 과정에서 제공되는 정보가 데이터 주체가 쉽게 이해할 수 있도록 투명하게 제공되어야 한다.

또한, 현재는 일정 규모 이상의 개인정보를 처리하는 공공기관의 개인정보 처리시스템에 대해서만 의무화하고 있는 개인정보 영향평가 제도를 개선하여 AI 시스템의 생체정보 활용 시 이를 의무화하여 잠재적 위험을 사전에 평가하고 필요한 보호 조치를 취하도록 하는 방안도 검토해 볼 필요가 있다. 이를 통해 데이터의 자유로운 이동으로 더 이상 물리적인 국경이 무의미해진 데이터 시대에 국제적인 규범과 조화를 이루는 방향으로 법제도를 발전시킬 수 있을 것이다.

개인정보 보호법(법률 제19234호, 2023.3.14.,일부개정) 제33조(개인정보 영향평가)

이 밖에도 공공장소에서의 실시간 생체인식 시스템 사용을 제한하는 규정을 도입하여, 프라이버시 침해 및 오남용 가능성을 줄이는 것을 제안해 본다. 특별한 예외 상황을 제외하고는 사용을 금지하는 방향으로 법제화를 추진하여 공권력에 의한 무분별한 생체인식 시스템 사용에 제한을 둠으로써 시민의 프라이버시 보호를 강화하고, 공공 안전과 개인의 권리 사이의 균형을 맞추는 데 도움이 될 것으로 기대한다.

끝으로, 기술의 발전으로 생체정보의 활용 범위가 확대되고 있는 만큼 생체정보 보호를 위한 규율을 지속적으로 개선하고 강화해 나가는 것이 필요하다. 이를 통해 개인의 생체정보가 안전하게 보호될 수 있도록 지속적인 노력이 요구된다.

수집자료 및 참고문헌

< 국 내 >

●  강은수, 생체정보의 안전한 활용을 위한 입법 과제, 이슈와 논점, 제2131호, 국회입법조사처, 2023.

●  고학수, 임용, 박상철(2021), 유럽연합 인공지능법안의 개요 및 대응방안, DAIG 2021년 제2호

● 김정임, 안면인식정보 보호에 관한 미국 입법례, 최신 외국입법정보, 2021-30호(통권 제179호), 국회도서관, 2021.

●  이권일 (2020). 생체인식정보의 보호와 활용에 대한 헌법적 고찰- 개인정보보호법 시행령 개정령안에 대한 분석을 겸하여 -. 법학연구, 61(2), 49 – 77.

●  이권일 (2024). 유럽 AI법에 따른 생체정보의 활용과 보호에 관한 고찰. 법학논고, 85, 57 – 82.

●  이상경 (2018). 생체인식정보의 활용과 개인정보보호에 관한 비교법적 고찰 ― 미국의 법제를 중심으로 ―. 서울법학, 26(3), 103 - 148.

●  이상우 (2021). 중국 개인정보 보호체계에 관한 연구 - 신(新)개인정보보호법의 주요내용 -. 중국법연구, 45, 333-361.

●  이상우. (2023). 중국의 안면인식 기술 입법동향과 시사점 - 안면인식 기술응용 안전관리규정 의견수렴안을 중심으로 -. 법학연구, 26(4), 191-227.

●  한국인터넷진흥원, “안면인식기술 제재관련 정책 추진 및 분석과 평가”, (2023년 개인정보보호 월간동향분석), (제5호), (한국인터넷진흥원), 2023. 5.

●  한국인터넷진흥원, “Clearview AI 관련 유럽 개인정보 감독기구 행정처분 주요 내용”, (2022년 개인정보보호 월간동향분석), (제8호), (한국인터넷진흥원), 2022. 8.

●  개인정보보호위원회, “생체정보 보호 가이드라인”, 2021.9

●  개인정보보호위원회 보도자료, “개인정보위, 개인정보보호 법규 위반 해외기업에 과징금”(2021.8.25.) https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7497

●  연합뉴스 “美일리노이 페이스북 이용자 160만명 인당 48만원 수령”(2022.3.19.), https://www.yna.co.kr/view/AKR20220319019300009

●  연합뉴스 “美일리노이 생체정보보호법 위력,,,구글도 1천200억원 배상 합의”(2022.4.29.), https://www.yna.co.kr/view/AKR20220429007000009

●  연합뉴스, “美텍사스주, 구글 대상 소송제기...동의 없이 생체데이터 수집”(2022.10.21.), https://www.yna.co.kr/view/AKR20221021003500091?input=1195m

●  연합뉴스 “싱가포르 창이공항, 생체인식으로 출국 수속..여권 불필요”(2023.9.19.) https://www.yna.co.kr/view/AKR20230919145000076?input=1195m

●  한겨레, “중국지하철 ‘안면인식 결제’...일부 공중화장실 이용  때도”(2024.5.29.) https://www.hani.co.kr/arti/international/international_general/1142558.html

< 해 외 >

●  US Government Accountability Office, Facial Recognition Technology: Federal Law Enforcement Agencies Should Have Better Awareness of Systems Used By Employees, 2021, https://www.gao.gov/products/gao-21-105309#:~:text=Recommendations,generally%20concurred%20with%20the%20recommendations.

●  US Government Accountability Office, Facial Recognition Technology: Federal Law Enforcement Agency Efforts Related to Civil Rights and Training, 2024, https://www.gao.gov/products/gao-24-107372

●  Electronic Privacy Information Center, The State of Privacy: How State “Privacy” Laws Fail to Protect Privacy and What They Can Do Better, 2024, https://www.gao.gov/products/gao-24-107372

●  Comparitech, Facial recognition around the world, 2022, https://www.comparitech.com/blog/vpn-privacy/facial-recognition-statistics/

●  Comparitech, CCTV surveillance in the most populated cities in the United States, 2024, https://www.comparitech.com/blog/vpn-privacy/us-surveillance-camera-statistics/

●  Precedence Research, Biometric Technology Market, 2023,  https://www.precedenceresearch.com/biometric-technology-market

●  Illinois Biometric Information Protection Law, https://www.ilga.gov/legislation/ilcs/ilcs3.Asp?ActID=3004&ChapterID=57

●  Washington 생체정보보호법, https://app.leg.wa.gov/RCW/default.aspx?cite=19.375&full=true#:~:text=RCW%2019.375.020-,Enrollment%2C%20disclosure%2C%20and%20retention%20of%20biometric%20identifiers.,identifier%20for%20a%20commercial%20purpose.

●  Washington 안면인식 규제법, https://app.leg.wa.gov/RCW/default.aspx?cite=43.386&full=true

●  Maine 생체정보보호법, https://trackbill.com/bill/maine-legislative-document-1945-an-act-to-regulate-the-use-of-biometric-identifiers/2204732/

●  Maine 안면인식 규제법, https://legislature.maine.gov/statutes/25/title25sec6001.html

●  Texas 생체정보보호법, https://statutes.capitol.texas.gov/Docs/BC/htm/BC.503.htm#:~:text=503.001.,of%20hand%20or%20face%20geometry.&text=(2)%20receives%20the%20individual%27s%20consent%20to%20capture%20the%20biometric%20identifier.

●  New York City 생체정보보호법, https://codelibrary.amlegal.com/codes/newyorkcity/latest/NYCadmin/0-0-0-131254

●  California Privacy Rights Act, https://thecpra.org/

●  Virginia Consumer Data Protection Act, https://lis.virginia.gov/cgi-bin/legp604.exe?211+ful+SB1392ES1

●  Facial Recognition and Biometric Technology Moratorium of 2023, https://www.congress.gov/118/bills/s681/BILLS-118s681is.pdf

●  US Department of Homeland Security, Use of Face Recognition and Face Capture Technologies, https://www.dhs.gov/sites/default/files/2023-09/23_0913_mgmt_026-11-use-face-recognition-face-capture-technologies.pdf

●  EU AI Act, https://www.europarl.europa.eu/doceo/document/TA-9-2024-0138-FNL-COR01_EN.pdf

●  Council of Europe, Guidelines in Facial Recognition, https://edoc.coe.int/en/artificial-intelligence/9753-guidelines-on-facial-recognition.html

●  EDPB, Guidelines 05/2022 on the use of facial recognition technology in the area of law enforcement, https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052022-use-facial-recognition-technology-area_en

●  UK DPA, https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

●  ICO, Biometric Data Guidance, https://ico.org.uk/for-organisations/uk-gdpr-guidance

●  중국 개인정보보호법(한글번역본), https://overseas.mofa.go.kr/cn-ko/brd/m_23085/down.do?brd_id=14419&seq=1344196&data_tp=A&file_seq=1

●  Japan, Act on the Protection of Personal Information, https://elaws.e-gov.go.jp/document?lawid=415AC0000000057

●  Singapore PDPC, Personal Data Protection Act, https://www.pdpc.gov.sg/-/media/files/pdpc/pdf-files/advisory-guidelines/ag-on-selected-topics/advisory-guidelines-on-the-pdpa-for-selected-topics-(revised-may-2024).pdf

●  Singapore, Guide on the Responsible Use of Biometric Data in Security Applications, https://www.pdpc.gov.sg/help-and-resources/2022/05/guide-on-the-responsible-use-of-biometric-data-in-security-applications

●  ICO press release, https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2022/05/ico-fines-facial-recognition-database-company-clearview-ai-inc/

●   Reuters, “White Castle could face multibillion-dollar judgement in Illinois privacy lawsuit”(2024.2.18.), https://www.reuters.com/legal/white-castle-could-face-multibillion-dollar-judg

●  BBC, “Leisure firm told scanning staff faces is illegal”(24.2.23), https://www.bbc.com/news/technology-68374258

●  Washingtonpost, “Lawmakers unveil sprawling plan to expand online privacy protections”(2024.4.7.), https://www.washingtonpost.com/technology/2024/04/07/congress-privacy-deal-cantwell-rodgers/

●  Reuters, “First law protecting consumers’ brainwaves signed by Colorado governor”(2024.4.18.), https://www.reuters.com/technology/first-law-protecting-consumers-brainwaves-signed-by-colorado-governor-2024-04-18/