[런치리포트]생체정보 보호

한번 털리면 대체 불가…'몸키(key) 보호법' 눈뜨나

홍채인식 등 바이오인증 기술의 보편화가 우리 곁으로 성큼 다가왔다. 삼성전자가 최근 출시한 스마트폰 갤럭시노트7 덕분이다. 보안성도 높고 이용도 편리해 핀테크(Fintech) 등 금융산업의 혁신을 이끌 것이라는 기대감이 높다. 금융거래를 위해 필요한 아이디와 패스워드, 공인인증서, 보안카드, ARS(자동응답전화) 본인확인 등 복잡한 인증 시스템을 홍채나 지문 등 간단한 생체정보 인증으로 대체할 수 있을 것이라는 전망이다. 금융당국 역시 실명확인 합리화 방안을 마련하는 등 바이오인증 기술의 활성화를 적극 수용하고 나섰다.

몸 속 정보가 본인 인증의 열쇠인 '몸키(key)' 시대. 하지만 편리함이 큰 만큼 생체정보가 유출될 경우 피해도 클 수밖에 없다. 휴대전화 번호 주민번호 등 기존의 개인정보는 유출시 다른 번호로 대체하는 등의 보완이 가능하지만 생체정보의 경우 한번 유출되면 대체가 불가능하다. 그만큼 관리가 철저해야하지만 아직까지 개인정보 보호 관련 법에는 생체정보가 빠져있다. 기술의 발전을 법·제도가 따라가지 못하는 대표적 사례다. 20대 국회 들어서야 생체정보 관련 내용을 담고 있는 법률 개정안들이 제출됐다.

◇실패확률 '100만분의 1'…日 카드없는 ATM 8만대나

바이오인증에 사용되는 대표적인 생체정보는 홍채와 지문, 정맥 등이다. 홍채의 경우 본인인증이 실패할 확률이 100만분의 1 수준인 것으로 알려져 있다. 통계학적으로 DNA 분석보다 정확도가 높다는 것이다. 미국과 영국 캐나다 네덜란드 등 선진국에서는 높은 보안성이 요구되는 공항에서 주로 사용된다.

바이오인증 기술을 금융분야에 가장 적극적으로 도입한 나라는 일본이다. 카드나 통장을 대신해 손바닥 정맥을 이용해 현금인출과 송금이 가능하도록 설계된 ATM(은행자동화기기)이 약 8만대 운영중인 것으로 알려져 있다. 지진 쓰나미 등 자연재해가 발생해 카드·통장을 잃어버려도 은행 사용을 가능케하기 위한 것이다.

스마트폰 업체들이 이 시장을 앞다퉈 이끌고 있다. 애플의 경우 아이폰5S에 지문인식 기술 '터치ID'를 탑재한 이후 바이오 인증 기술을 꾸준히 적용하고 있다. 삼성전자 역시 갤럭시 S5에 지문인식 기술을 탑재하는 등 적극적이다. 관련 산업의 경우 2020년 333억 달러(약 36조3000억원)까지 성장할 것이라는 관측도 있다.

◇유출시 대체 불가능…해킹 집중될 가능성도

문제는 생체정보가 유출됐을 경우다. 일반 인증수단들은 사고 발생시 재발급 등이 가능하지만 생체정보는 일단 한번 유출되면 교체가 불가능하다. 정보 유출 우려 때문에 스마트폰 등 사용자가 관리하는 기기에만 생체정보가 저장되는 방식이 사용되지만 이 경우 스마트폰이 해킹의 표적이 될 가능성도 있다.

이에 따라 생체정보를 분산관리하는 방안도 검토되고 있다. 사용자의 생체정보를 분할해 한 조각은 금융기관 서버나 스마트폰 등에 저장하고 나머지 조각은 별도의 인증센터에 보관했다가 바이오인증이 필요한 시점에 두 조각을 결합해 본인인증을 하는 방식이다.

국내 사용자들은 그간 수시로 발생한 개인정보 유출 사고로 생체정보 활용에 민감하다. 그만큼 엄격한 생체정보 관리가 이뤄져야 관련 산업이 발전할 수 있다. 그러나 현행 개인정보보호법에는 생체정보에 대한 별도의 규정이 없는 상황이다. 생체정보를 활용하려면 기존 법률을 '확대' 해석해 적용하는 수밖에 없다.

◇생체정보 보호 입법화 움직임…분리 보관이 핵심

생체정보 보호를 위한 입법화 움직임은 20대 국회에 들어서야 본격화됐다. 새누리당 민경욱 의원은 지난 8월10일 생체정보를 보호 대상에 포함하는 내용을 뼈대로 하는 개인정보보호법 개정안을 대표발의했다. 같은당 강효상 의원도 지난 1일 유사한 내용의 개인정보보호법과 정보통신망법 개정안을 제출했다.

개인정보보호법 개정안은 생체정보 관련 규정을 신설해 그간의 개인정보 보호 체계에 생체정보를 포함시키는 내용이다. 생체정보를 저장할 경우 암호화 등 안전조치를 의무화하고 생체정보와 개인정보를 분리 보관케 하는 방안도 포함됐다. 또 생체정보를 이용해 개인을 식별할 수 있는 특징정보를 생성한 다음에는 원본정보를 파기하도록 했다.

정보통신망법 개정안의 경우 포털 등 정보통신 서비스 제공자들이 개인정보보호법 개정안의 의무를 준수케 강제하는 내용이 뼈대다. 그러나 개정안에 생체정보의 특성이 반영이 안됐다는 지적도 나온다. 또 생체정보 단독으로 전자서명 효과가 발휘될 수 있도록 전자서명법의 개정이 필요하다는 목소리도 있다.

개정안을 발의한 강효상 의원실 관계자는 "얼굴·지문·홍채 등의 생체정보는 고유불변하다는 특성과 별도로 휴대할 필요가 없다는 편리성으로 인하여 신원확인 수단으로 활용하는 분야가 확대되고 있는 추세"라며 "생체정보가 유출될 경우 개인의 사생활이 침해되는 등 피해가 막대할 수 있어 법적으로 강하게 보호할 필요가 있다"고 말했다.

달리는 생체인증 멈춰선 정보보호··10년 묵은 가이드라인뿐

홍채나 지문, 음성 등 생체정보를 활용한 개인 식별 시스템은 주민등록번호나 비밀번호와 달리 한번 유출되면 변경할 수 없다는 결정적인 차이점이 있다. 따라서 기존의 개인정보보호법과 별도의 보호조치가 필요하다는 지적이 제기되지만 10년 전 준수 의무가 없는 가이드라인이 만들어진 후 사실상 방치돼왔다.

지난 2007년 정보통신부와 한국정보보호진흥원은 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 등 관계 법령의 개인정보보호 원칙을 토대로 '바이오정보(생체정보) 보호 가이드라인'을 마련했다. 바이오인식 시스템 이용기관들이 생체정보를 처리할 때 자율적으로 해당 정보를 보호할 수 있는 기준을 제공하기 위해 만든 것이다.

이 가이드라인은 지문∙얼굴∙홍채∙정맥∙음성∙서명 등 개인을 식별할 수 있는 신체적 또는 행동적 특징에 관한 정보를 '바이오정보'로 규정하고 △바이오정보의 수집∙이용∙파기 △제공자 등의 권리 △바이오정보의 보호조치 등 준수 사항에 대한 내용을 담았다.

그러나 법률과 달리 적용대상인 바이오인식시스템 이용기관에게 준수의무를 강제하지 않기 때문에 정보보호 조치와 정보유출 시 책임에 대해 내부규정을 마련하거나 유출 즉시 제공자에게 알리는 등 대응 방안을 나열하는 데 그치고 있다.

특히 생체정보가 도난∙멸실∙훼손∙유출 등의 사고가 발생할 경우에도 그 사실을 인지한 즉시 제공자에게 통지해야 하며 제공자가 만18세 미만인 자 등인 때에는 제공자 외에 그의 법정대리인에게 알려야 한다고만 돼 있다.

법률에서는 '정보통신방법' 시행령 제15조 4항에 정보통신서비스 제공자가 보안조치해야 할 개인정보의 범주에 '바이오정보(지문, 홍채, 음성, 필적 등 개인을 식별할 수 있는 신체적 또는 행동적 특징에 관한 정보를 말한다)'를 포함시킨 조항이 유일하다. 이는 네트워크 상에서 생체정보가 송수신될 경우 기술적·관리적으로 보호조치를 해야 하는 의무를 규정하고 있다.

전문가들은 일반적인 개인정보 보호규정으로만 보호되고 있는 생체정보에 대해 독자적이고 개별적인 법안을 제정할 필요성을 제기하고 있다. '주민등록법', '디엔에이 신원확인 정보의 이용 및 보호게 관한 법률'. '전자서명법' 등처럼 '생체정보법'이 제정돼야 한다는 뜻이다.

생체정보가 다른 개인정보들과 달리 변경이 불가한 개인 고유의 정보라는 특수성을 반영할 필요가 있기 때문이다. 또한 스마트 기기 발전과 보급으로 생체정보 활용 범위가 대폭 확대되면서 단순히 개인 식별 이상의 정보 가치를 갖게 돼 이에 대한 법적 보호가 보다 절실해졌다.

심우민 국회 입법조사처 조사관은 '스마트 시대의 생체정보 보호를 위한 입법과제' 보고서에서 "생체정보 활용 기기와 서비스 설계단계에서부터 프라이버시 보호의 문제를 고려하도록 유도할 수 있도록 입법화 할 필요가 있다"고 지적했다.

특히 "현행 개인정보 보호법제의 규율대상을 개인정보 처리자 또는 정보통신 서비스 제공자 등으로 규정하고 있다는 점에서 기기 제조자의 행위유도 방안을 고민할 필요가 있다"고 주장했다.

EU, 생체정보는 물론 유전·건강정보도 법적 보호

국내는 물론 해외에서도 공공 및 민간부문의 생체인식기술 수요가 늘면서 개인 생체정보 보호에 대한 관심이 매우 높다. 주민번호 등 일반 인증수단과 달리 생체정보는 그 특성상 한번 유출되면 영구적으로 악용될 가능성이 커서다. 이에 유럽연합(EU), 호주 등지에서는 이미 생체정보 보호를 위한 제도적 장치를 만들어 엄격히 규제하고 있다.

7일 새누리당 강효상 의원실 및 한국은행에 따르면 국내 생체인식 시장은 아직 걸음마 단계이지만 해외에선 이미 출입국심사, 출입통제, 행정, 사회복지, 의료, 정보통신 등 광범위한 분야에서 활용되고 있다.

프랑스는 지난 2012년 3월 개인의 키, 눈동자 색깔, 얼굴사진, 지문정보가 내장된 생체인식 신분증 발급을 위한 ‘신원보호법’을 제정한 상태다. 미국 상원도 지문 등 생체인식 정보를 내장한 신분증 도입을 검토 중이다.

인도 정부는 12억명 전 국민에게 지문, 홍채, 얼굴사진 정보를 담은 신분증을 발급하는 ‘아드하르(Aadhaar)’ 프로젝트를 2010년 11월부터 추진하고 있다. 인도 정부는 이 생체인식 신분증을 금융, 보건, 교육, 주택 등 여러 서비스에 활용할 방침이다.

생체인식기술 상용화의 선두주자 격인 일본은 금융권 특히 자동입출금기(ATM)에 생체인식기술을 활발하게 적용 중이다. 주로 손바닥이나 손가락 정맥을 인증수단으로 사용하는데 손바닥 정맥 기반의 ATM만 약 8만대가 운영 중이다.

국내의 경우 지난해 말 금융실명법과 전자금융거래법상에서 비대면 실명확인이 허용되면서 다양한 비대면 금융거래 및 인터넷전문은행 설립 기반이 마련됐다. 이에 국내 주요은행들도 생체인식기술을 활용한 금융거래시스템을 잇따라 도입하는 등 관련 산업이 빠르게 활성화될 전망이다.

생체인식기술은 월등한 편의성에도 불구하고 개인정보 침해, 범죄노출 등 여러 문제점을 안고 있다. 개인의 고유한 생체정보가 개인 소유 기기 이외의 장소에 보관될 경우 정보유출 위험성이 높고, 유출될 정보는 범죄에 악용될 소지가 크다는 지적이다.

국내외에서 생체정보 보호에 대한 제도적 장치 마련을 요구하는 목소리가 커지는 이유다. 생체정보를 별도로 규정한 대표적 입법사례로는 유럽연합(EU)이 지난 4월 제정한 '개인정보보호규칙(GDPR)'이 꼽힌다. 유럽연합 소속 국가들이 개인정보보호의 범주에 생체정보를 포함시켜 체계적으로 보호·관리할 수 있도록 한 것. 특히 GDPR은 생체정보 외에 유전정보, 건강 관련 정보까지 세분화해 관리하도록 규정돼 있다.

새누리당 강효상 의원이 최근 발의한 ‘개인정보보호법’ 개정안도 유럽연합의 GDPR을 벤치마킹한 것이다. 강효상 의원은 “유럽연합의 GDPR은 생체정보를 별도로 규정하고 있는 대표적인 입법사례로 가장 권위적인 제도”라며 “국내도 핀테크 도입 등으로 생체정보 활용도가 갈수록 높아질 것으로 예상되는 만큼 법적 인프라를 갖춰야 한다”고 밝혔다.