[기업법률가이드] 이동형 영상정보처리기와 개인정보 보호

표경민<법무법인 디엘지변호사>

작년 9월부터 시행된 개정 개인정보보호법에 따라 자율주행차·로봇 등과 같은 이동형 영상정보처리기기 운영자는 공개된 장소에서 사람이나 사물 영상을 촬영할 수 있는 법적 근거를 확보했다. 그러나 실제 운영에선 여러 의문점이 제기돼 왔다. 특히 영상 촬영의 적법 근거를 마련하기 위한 요건, 촬영한 영상을 AI서비스 개발에 이용하기 위한 가명처리 수준 및 영상 안전관리 방안 등에 관한 가이드라인이 필요하다는 의견이 많았다.

이에 개인정보보호위원회는 '가명정보처리 가이드라인'을 대폭 개정했다. 영상·이미지 등 비정형 데이터의 가명처리 방법을 제시한 것. 기업들은 개인정보보호위가 최근 배포한 '이동형 영상정보처리기기를 위한 개인영상정보 보호활용 안내서'에 따라 이동형 영상정보처리기기의 운영을 위한 법 준수 권고사항을 구체적으로 파악할 수 있게 됐다.

안내서는 이동형 영상정보처리기기를 통한 개인영상정보의 처리를 △기획 및 설계 △촬영(수집)△이용 및 제공△보관 및 파기 등 총 네 단계로 나눴다.

우선 기획 및 설계 단계에선 개인영상정보를 처리할 수 있는 법적 근거를 검토한다. 처리 목적 달성에 필요한 개인영상정보 범위를 명확히 설정해야 한다. 자율주행차를 통한 영상정보 수집은 정보주체의 동의 등 개인정보 수집이용의 일반 요건을 갖출 수 없다. 이에 개인정보보호법 제25조의2 제1항 제2호에 따른 법적 근거를 주장해야 한다. 적법한 촬영이 이뤄진것으로 보려면 정보주체의 사전적·사후적 권리행사를 보장해야 한다. 사전적 권리행사는 불빛이나 소리, 안내판 등으로 촬영 사실을 알려, 촬영거부의사를 표시할 기회를 주는 것이다. 사후적 권리행사는 촬영 후에도 영상 열람이나 처리정지, 삭제를 요구할 수 있도록 보장하는 것이다.

촬영 단계에선 촬영 사실을 명확히 표시해야 할 것이 요구된다. 정보주체가 촬영 사실을 정확히 인지했는지 확인하는 추가 조치까지 할 의무는 없다. 또 이동형 영상정보처리기기 운영자는 정보주체의 영상정보 삭제 등 옵트아웃(Opt-out)권리 행사를 보장해야 한다. 하지만 현실적으로 특정 정보주체가 촬영된 시점이나 해당 정보주체 형태를 사후적으로 식별하기 쉽지 않을 수 있다. 반드시 필요한 영상을 제외한 나머지 영상은 즉시 삭제하고, 적절한 가명처리를 통해 옵트아웃 권리 행사 가능성을 최소화해야 한다.

이용 및 제공 단계에선 영상정보 이용 및 제공이 가능한 법적 근거를 살펴볼 필요가 있다. 개인정보 이용을 위해선 정보주체의 동의가 있거나, 법률에 특별한 규정이 있는 경우, 정보주체와 체결한 계약이행을 위해 정보주체의 요청이 있는 경우 등을 근거로 고려할 수 있다. 다만 서비스 개발 또는 기술 연구를 목적으로 영상정보를 원본 그대로 이용하려면 이 같은 근거를 적용할 수 없다. 당초 수집한 목적과 합리적으로 관련된 범위 내에서 동의없이 추가 이용 또는 제공이 가능한지 여부를 검토해야 한다. AI 학습용으로 영상정보를 활용하는 것은 정보주체가 예측할 수 없으므로 이용할 수 없다.

마지막으로 보관 및 파기단계에선 영상정보의 보호책임자를 지정하고 운영관리체계를 마련해야 한다.

표경민<법무법인 디엘지변호사>