- ITㆍ정보ㆍ방송통신
- 인공지능ㆍ자율주행
- 15. 인공지능(AI) 관련 개인정보보호위원회의 심의의결 - 특히 인공지능 학습을 위한 개인정보 활용과 관련하여
- 15.2. 법무부 안면정보 사건(2022. 4. 27.)
15.2.법무부 안면정보 사건(2022. 4. 27.)
법무부 안면정보 사건(2022. 4. 27.)
o 안건번호 : 제2022-007-046호
o 피심인 : 법무부
o 의결연월일 : 2022. 4. 27.
[사실관계]
피심인이 출입국 심사 고도화를 위한 인공지능(AI) 시스템 개발에 내외국인 안면 이미지정보 약(1억 7천만건)을 민간업체에 이전함
[위법성 판단(AI 관련 부분에 한함]
o 출입국 심사시 안면 이미지정보 등 생체정보 본인확인 등 특정 개인을 알아볼 목적으로 이용되는 경우, 민감정보를 처리하는 것으로 볼 수 있는지 - 특정 개인을 알아볼 목적으로 얼굴 사진으로부터 특징점을 추출하는 등 일정한 기술적 수단을 통해 생성된 생체인식 특징정보는 민감정보에 해당된다 → 「생체정보 보호 가이드라인」(2021. 9, 개인정보위)에 따르면 일반적인 , 얼굴 사진은 생체인식 원본정보로서 개인정보이나 그 자체로 민감정보에 해당되지는 않고 , 다만 얼굴 사진으로부터 특징점을 추출하는 등 일정한 기술적 수단을 통해 생성된 정보인 경우 생체인식 특징정보로서 민감정보에 해당되며, 따라서, 피심인이 출입국 안면인식 시스템을 운용하면서 생체인식 특징정보를 처리할 경우 민감정보의 처리라고 볼 수 있음 |
② 안면정보를 출입국심사 AI기술 개발에 이용하는 것의 적법성 여부
1) AI 학습 및 개발에 이용하는 것이 목적범위 이용인지 內 여부
o 「출입국관리법」은 출입국 관리를 통한 안전한 국경관리가 목적( 법 §1) 이며, 정보화 기기를 통한 출입국관리( 같은 법 §3②, §6③)는 효율적인 출입국 관리를 위해 도입된 시스템이다.
- 출입국 심사 과정에서 수집한 안면이미지를 안면인식 AI 개발에 활용하는 것은 , 출입국관리법상의 정보화기기를 통한 출입국 심사(§3 ②·§6 ③) · 고도화를 통해 법의 목적인 '안전한 국경관리' 를 달성코자 하는 것으로 당초 개인정보 수집 이용 · 목적범위에 포함된다고 판단된다.
⇒ 안면 데이터를 출입국 관리시스템 고도화(AI 개발)를 위해 활용하는 것은 효율적 출입국 관리라는 본래 개인정보 수집 목적 범위내에 포함된다.
2) 개인정보의 처리위탁인지 제3자 제공에 해당하는지 여부
o 「개인정보 보호법」 제17조의 ‘개인정보의 제3자 제공’ 은 본래의 개인정보 수집 이용 · 목적의 범위를 넘어 정보를 제공받는 자의 업무처리와 이익을 위해 개인정보가 이전되는 경우를 말하며, 같은 법 제26조의 '개인정보의 처리위탁'은 본래의 개인정보 수집 이용목적과 · 관련된 위탁자 본인의 업무처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다.
o 대법원은 “개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리 감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로, 보호법 제17조에 정한 '제3자' 에 해당하지 않는다”고 판시(대법원 2017. 4. 7. 선고 2016도13263 판결)하고,
- 또한 어떠한 행위가 개인정보의 제공인지 아니면 처리위탁인지는 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리 감독 여부, 정보주체의 개인정보 보호 필요성에 미치는 영향 및 이러한 개인정보를 이용할 필요가 있는 자가 실질적으로 누구인지 등을 종합하여 판단하여야 한다고 판시하고 있다.
o 피심인은 AI 를 활용하여 출입국 심사 등에 대응하고자 하는 목적으로 참여 기업과 계약을 체결하였고, 해당 업체의 연구 개발이 출입국청 내 인공지능 학습통제구역에서 행해지는 등 해당 시스템 개발이 피심인의 관리 감독 하에 이루어졌으며,
- 본 시스템의 경우 ㉠ 출입국 심사대를 통과하는 내국인의 신원을 신속하게 식별할 수 있는 AI식별 시스템 개발을 목적으로 개인정보가 이용되며, ㉡ 이러한 도입의 필요성이 피심인에 있고, ㉢ 참여기업이 지식재산권을 공동 소유하는 것 외에 개인정보 처리에 관한 독자적인 이익을 갖지 않는 것으로 보이며 , ㉣ 위탁받은 범위(AI 알고리즘을 개발하기 위한 범위 내에서만 ) 개인 정보가 처리되는 점 등을 종합적으로 고려할 때 개인정보의 처리위탁이라 할 수 있다.
※ ‘독자적 이익 ’ 주장 관련 검토 o 본 사업 ①기술결과물에 대한 지식재산권은 법무부와 참여기업이 공동으로 소유한다는 점, ② AI알고리즘을 보유한 참여기업이 자체 알고리즘 성능 검증 및 향상을 위해 학습용 데이터를 확보할 경우 소요될 수도 있는 기회비용을 줄일 수 있다는 점, ③ 참여기업이 사업 수행을 통해 AI알고리즘 관련 기술력을 확보할 수 있는 점 등에서 참여기업이 개인정보 처리에 관하여 독자적인 이익을 가지는 것 이라는 의견이 있을 수있으나 , - 본 사업 참여기업은 자체 개발하여 보유하고 있던 알고리즘을 활용하되, 법무부에서 제공받은 학습 데이터를 통해 특정 목적을 위한 기술결과물 (알고리즘 을) 개발한 것이고, - 참여기업이 지식재산권을 법무부와 공동소유하면서 법무부의 동의없이 임의로 알고리즘을 판매하거나 지식재산권을 제3자에게 양도할 수 없도록 제한받는 점, - 사업 AI 수행을 통한 기술력 및 사업처리 노하우 향상의 효과는 일반용역사업의 경우에도 항상 부수적으로 존재한다는 점 등을 고려할 때 , 참여기업이 독자적인 이익을 갖는다고 보기 어렵다는 의견이 있음 |
o 피심인이 출입국 심사 고도화를 목적으로 인공지능 식별 추적시스템 개발 관련 개인정보 처리위탁 계약을 참여기업과 체결한 것은 「개인정보 보호법」 ‘ 제26조의 개인정보 처리위탁'에 해당한다.
