생체인식정보 보호원칙과 프라이버시 위험 관리

바꿀 수 없는 인증정보가 만드는 보호 과제

지문, 홍채, 얼굴, 음성, 걸음걸이처럼 개인의 신체적 특징이나 행동 양식으로 개인을 식별하는 정보가 생체인식정보다. 보안 시스템에서 폭넓게 쓰이지만, 비밀번호나 카드와 달리 유출 이후 교체가 어렵다는 점에서 별도의 관리 체계가 필요하다.

생체인식정보에는 다음과 같은 성격이 있다.

• 개인마다 고유하고 타인과 공유되지 않는다. 지문이 유출된 A씨는 지문을 변경할 수 없으므로 평생 해당 인증수단을 사용하지 못할 수 있다.
• 모든 사람이 신체의 일부로 보유하므로 카드나 토큰처럼 분실할 위험은 없다. 손가락과 얼굴은 항상 사용자와 함께 있다.
• 기본적인 특징이 장기간 유지된다. 10년 전에 등록한 홍채 정보로도 현재 인증이 가능하다.
• 물리적 접촉이나 근접만으로 수집될 수 있고, 원격 수집도 가능하다. CCTV의 얼굴 정보나 공개된 사진에서 추출한 홍채 정보가 이에 해당한다.
• 높은 정확도로 개인을 식별한다. 홍채 인식은 쌍둥이도 구분할 수 있으며, 지문 인식에는 99.9% 이상의 정확도를 가진 방식도 있다.

인증을 넘어 넓어지는 활용 범위

생체인식정보는 출입 통제와 모바일 인증뿐 아니라 금융, 의료, 공공 서비스, 스마트 디바이스에서 사용된다.

⤢✕

활용 범위가 커질수록 위험도 함께 커진다. 유출된 생체정보는 일반 비밀번호처럼 바꿀 수 없고, 건강 상태나 인종 같은 부가정보가 드러나 의도하지 않은 정보 노출로 이어질 수 있다.

인식 시스템은 완벽하지 않다. 신체 변화나 환경 요인에 따라 인식률이 달라져 오인식이 발생할 수 있다. 공공장소 CCTV와 얼굴인식 기술이 결합하면 무차별적인 감시와 추적에 이용될 가능성도 생긴다. 수집된 정보를 상업적 목적이나 프로파일링에 쓰는 목적 외 이용 역시 관리 대상이다.

처리 목적과 정보주체의 권리를 함께 설계하기

생체인식정보 처리 시스템은 다음 원칙을 기준으로 설계하고 운영해야 한다.

비례성

수집과 처리는 달성하려는 목적에 비례해야 한다. 단순 출입 통제에 지문만으로 충분하다면 얼굴이나 홍채까지 추가 수집하는 것은 적절하지 않다. 목적에 필요한 최소한의 정보만 다룬다.

적법성

명확한 법적 근거와 정보주체의 명시적 동의가 있어야 하며, 관련 법규와 규제를 따라야 한다. GDPR은 생체인식정보를 특별 범주의 개인정보로 분류해 엄격한 보호를 적용한다.

목적 제한

수집 목적을 구체적으로 밝히고 그 목적 외 사용을 막아야 한다. 목적이 달성되면 즉시 파기한다. 근태관리 목적으로 수집한 지문정보를 마케팅 분석에 활용하는 일은 이 원칙에 맞지 않는다.

투명성

수집 목적, 보관 기간, 처리 방법을 정보주체가 이해하기 쉬운 방식으로 알려야 한다. 시스템 도입 시에는 작동 원리와 데이터 처리 방식, 보관 기간을 상세히 제공한다.

안전성

기술적·관리적 보호조치를 갖추고 암호화, 접근통제, 인증을 적용한다. 정기적인 보안 점검과 취약점 관리도 필요하다. 저장 시에는 템플릿 방식을 활용하고, 원본 데이터는 즉시 파기한 뒤 복원할 수 없는 형태로 변환해 보관한다.

통제권 보장

정보주체는 동의를 철회하거나 정보 삭제와 처리 중지를 요청할 수 있어야 한다. 생체인식 인증을 거부할 때 PIN 코드 같은 대체 인증 방법도 제공해야 한다.

저장 구조와 운영 절차에서 지켜야 할 조치

기술적으로는 원본 생체정보 대신 특징점만 추출한 템플릿을 저장하고, 역변환이 불가능한 일방향 알고리즘을 사용한다. 지문 원본 이미지 대신 특징점 위치만 저장하는 방식이 사례다.

저장과 전송에는 AES-256 등 강력한 암호화 알고리즘을 적용하고, 키 관리 체계도 마련한다. 생체정보와 개인식별정보는 분리해 물리적으로 구분된 저장소에 보관할 수 있다. 예를 들어 홍채 템플릿과 사용자 ID를 별도 데이터베이스에 저장한다.

스푸핑 공격에 대비한 위변조 탐지 역시 필요하다. 지문 센서의 생체 활성 감지 기능처럼 실제 생체와 모조품을 구분하는 기술을 적용한다.

운영 측면에서는 전담 책임자에게 권한을 부여하고 정기 교육과 감사를 수행한다. 생체정보보호책임자(BPO)를 지정해 운영하는 방식이 이에 해당한다. 취약점 분석과 위험평가를 수행해 개선 계획을 이행하고, 연 1회 생체인식시스템 보안 감사를 실시할 수 있다.

사용자에게 생체정보 제공의 위험성과 안전한 사용 방법을 알리고, 신규 시스템 도입 시 교육 프로그램을 운영한다. 유출 사고에 대비한 대응 매뉴얼과 모의훈련도 피해를 줄이기 위한 관리 조치다.

법과 표준이 정하는 보호 기준

국내에서는 개인정보보호법이 생체정보를 민감정보로 분류해 특별히 보호한다. 제23조는 민감정보 처리를 제한하며, 생체정보 처리에는 별도 동의가 필요하다.

개인정보보호위원회의 생체정보 보호 가이드라인은 수집·이용·파기까지 전 생애주기 보호 지침과 기술적 조치를 안내한다. 원본정보를 수집했다면 즉시 특징정보로 변환하고 원본을 파기하는 방식을 권고한다.

국제적으로는 EU GDPR 제9조가 생체정보를 특별 범주 개인정보로 분류하고 원칙적으로 처리를 금지하며 예외적으로 허용한다. 처리에는 명시적 동의가 필요하다. ISO/IEC 24745는 생체정보 보호를 위한 국제표준으로, 저장과 처리의 보안 요구사항을 규정한다. 생체인식시스템 개발 시 준수해야 할 기준이다.

미국 일리노이주의 BIPA(Biometric Information Privacy Act)는 명시적 동의 없는 생체정보 수집을 금지한다. Facebook 얼굴인식 기능과 관련한 BIPA 위반 소송 사례도 있다.

기술 확산과 함께 남는 과제

다중 생체인식은 얼굴인식과 음성인식처럼 둘 이상의 기술을 결합해 인식률과 보안성을 높이는 방식이다. 행동 생체인식은 걸음걸이, 키보드 타이핑 패턴, 서명 등 행동 특성을 활용하며, 스마트폰 사용 패턴 분석을 통한 지속적 인증처럼 비침입적 인증에 쓰일 수 있다.

동형암호와 바이오크립토시스템 같은 생체정보 암호화 기술도 발전하고 있다. 지문 템플릿을 암호화된 상태로 비교하는 방식처럼 원본을 노출하지 않고 인증하는 기술이 대상이다.

기술 발전은 프라이버시 중심 설계(Privacy by Design), 다양한 인종과 연령대에 공평하게 작동하는 알고리즘, 원격 생체인식의 법적 규제라는 과제를 남긴다. 정보주체가 생체정보 활용을 실질적으로 선택할 수 있도록 옵트인·옵트아웃 기능을 의무화하고, 처리 내용을 투명하게 제공하는 체계가 필요하다.