 TH.jpg)
보호받을 권리, 기록되는 일상... 영상정보 시대의 법과 제도
[보안뉴스 엄호식 기자] 누군가의 눈길을 의식하지 않아도, 우리는 이미 수많은 카메라 속을 지나치고 있다. 자율주행차, 드론, 배달 로봇은 이동하며 실시간으로 세상을 기록하고, 도시의 일상은 ‘데이터’로 바뀌어 저장되는데, 그 속에는 예상치 못한 순간, 우리의 모습도 함께 담겨 있을 수 있다.
그렇다면 누가 이 영상들을 보고, 어떻게 관리하며, 언제까지 보관할까? 기술은 발전했지만, 개인영상정보 보호에 대한 해답은 여전히 논의의 대상이며 꾸준하게 진화하고 있다. 개인정보보호법 안에서의 개인영상정보 보호는 어떻게 발전하고 있으며 어떤 노력이 펼쳐지고 있는지 살펴보자.
개인정보보호법의 제정과 영상정보 규제의 출발
개인영상정보 보호의 역사는 대한민국의 개인정보보호법 제정과 함께 시작됐다. 우리나라의 개인정보보호법은 2003년 입법 논의가 시작됐으며, 8~9년여가 흐른 2011년 3월 제298회 국회 제2차 본회의에서 ‘개인정보보호법’이 통과하고 3월 29일 공포(公布)됐다. 그리고 공포 6개월 후인 9월 30일 본격 시행됐다.
개인정보보호법은 빠르게 성장한 정보화 사회의 그림자로 드러난 개인정보 침해 위험을 확인하고, 법적 규제의 사각지대를 해소할 수 있게 됐다는 점에서 매우 중요한 의미를 지녔으며, 특히 CCTV를 포함한 개인영상정보처리기기까지 규제대상에 포함했다. 이에 이전에는 정보통신망법 등 일부 법률에 따라 제한적으로 규율됐지만, 개인정보보호법이 시행되면서 거의 모든 공공기관과 민간기업이 개인영상정보를 포함한 개인정보 보호 책임을 지게 됐다.
예를 들어 CCTV를 임의로 조작하거나 목적 외 장소를 촬영하는 행위도 법적으로 금지됐고, 영상정보의 보유 기간이나, 접근 권한, 파기 절차 등도 명확하게 규정됐다. 또한 대통령 소속의 개인정보보호위원회가 설치돼 정책을 심의하고 감독하는 체계가 마련되고 영상정보 보호에 대한 교육과 홍보도 강화됐다.
CCTV 운영과 관련된 주요 규정은 개인정보 보호와 공익 목적의 균형을 중심으로 구성돼 있다. 첫 번째로 범죄 예방이나 시설 안전, 화재 예방 등 공익 목적에만 설치할 수 있으며, 설치 전에는 이해관계자의 의견 수렴이 필요할 수 있다. 두 번째로 촬영 범위와 시간, 책임자 연락처 등을 포함한 안내판을 눈에 잘 띄는 곳에 설치해야 한다. 세 번째로 촬영 범위 및 기능의 제한이다. 이는 목적 외 장소에 대해서는 촬영하면 안 되고, 확대나 회전 기능은 목적 범위 내에서만 사용할 수 있으며, 녹음 기능도 원칙적으로 금지돼 있다는 것이다.
네 번째로 영상의 보관은 일반적으로 30~90일 이내로 제한되며 접근 권한은 지정된 최소 인원에게만 부여되며 접근 기록도 관리해야 한다. 다섯 번째로 본인의 영상정보에 대해 열람과 삭제를 요청할 수 있으며, 이때에는 신속한 확인과 조치가 이루어져야 한다. 마지막으로 영상정보는 암호화와 접근 통제 등 기술적·관리적 보호조치를 통해 안전하게 관리해야 하며 정기적인 점검과 교육도 진행돼야 한다고 명시하고 있다.
5차 개정 영상정보처리기기 가이드라인: 공공과 민간의 차이
고정형 영상정보처리기기의 설치와 운영은 개인정보 보호법 제25조, 같은 법 시행령 제22호부터 제27조까지 및 ‘표준 개인정보 보호지침’ 제3장의 내용을 설명한 가이드라인을 기초로 한다.
공공기관과 민간 분야로 구분된 ‘고정형 영상정보처리기기 설치·운영 가이드라인’은 2012년 3월 5일 제정하고, 2012년 12월 1일 1차 개정, 2015년 1월 12일 2차, 2020년 12월 30일 3차, 2021년 4월 14일 4차 개정한 바 있으며, 2023년 9월 15일 시행된 ‘개인정보 보호법’ 개정 사항을 반영해 2024년 1월 19일부터 5차 개정본을 시행하고 있다.
그리고 5차 개정본에서는 공공기관과 민간 분야의 역할과 책임에 대해 △설치 목적의 법적 근거와 △의견 수렴 절차 △운영·관리 방침 수립 △점검 및 감독 △영상정보 보유 및 파기 등의 내용에서 차이점을 명확하게 구분하고 있다.
우리와 다른 그들, 엄격한 유럽과 자율규제 미국
그렇다면 해외 주요 국가들은 개인영상정보 보호와 관련해 어떤 특징을 가지고 있을까? 글로벌 개인정보보호법 법제의 표준으로 우리나라 법 제도의 정비에도 주요한 참고 기준이 된 GDPR을 시행하고 있는 유럽연합(EU)은 CCTV 설치 시 명확한 목적과 최소한의 범위만 허용되며 사전 고지와 정보 주체의 권리 보장이 필수다. 특히, 영상정보의 보관기간과 접근 권한, 파기 절차 등이 법적으로 명확하게 규정돼 있다.
유럽연합의 GDPR처럼 연방 차원의 통일된 법이 없는 미국은 주 단위 법률이 중심이며 그중 가장 강력하고 대표적인 법이 바로 캘리포니아 소비자 개인정보 보호법(CCPA)이다. 또한 영상정보는 일반적으로 사생활 침해 여부에 따라 보호 수준이 달라지는 데 일반적으로 공공장소에서의 CCTV 촬영은 허용되지만, 녹음이 되거나 화장실 또는 탈의실 등 민감한 장소에서는 법적으로 문제가 될 수 있다. 그리고 영상정보가 얼굴 인식 등 생체 정보와 결합할 경우, 민감 정보로 간주돼 더 강한 보호를 받는다.
미국은 시장 자율성과 기업의 책임을 강조하는 경향이 강하며, 특히 빅테크 기업들은 자체적인 프라이버시 정책과 투명성 보고서를 통해 대응하고 있지만, 최근에는 자율규제만으로는 부족하다는 비판도 커지고 있다. 이 외에도 최근에는 AI 감시 기술, 특히 얼굴인식과 자동화된 의사결정, 감시 드론 등에 대한 규제 필요성도 높아지고 있다.
일본도 개인정보보호법(APPI : Act on the Protection of Personal Information)을 준수하고 있으며, 영상정보도 개인정보로 분류해 사전 동의와 목적 명시가 중요하다. 미국과 마찬가지로 공공장소에서의 촬영은 비교적 유연하지만, 화장실이나 탈의실 등 민감한 장소는 엄격하게 제한된다. 특히 2022년 개정된 APPI에는 제3자 제공 시 기록 보관 의무와 자동화된 의사 결정에 대한 설명 요구권 등도 포함돼 있다. 일본 역시 AI 감시 기술과 관련해 윤리적 가이드라인을 마련하고 있지만, 법적 구속력보다는 행정 지침과 자율 규제 유도에 가까운 형태인 것으로 알려졌다.
중국은 개인정보보호법(PIPL)을 통해 영상정보를 포함한 모든 개인정보에 대해 국가 안보와 공공질서를 이유로 강력하게 통제하고 있다. 특히 얼굴 인식 등 생체 정보는 민감정보로 분류되며, 데이터 국외 이전 시 정부의 사전 승인이 필요하고, 공공기관에 대한 규제는 상대적으로 약하지만, 민간 기업에 대한 통제가 매우 강하다.
인도네시아는 2022년 개인정보보호법(PDP법) 제정 후 2024년 10월부터 본격 시행에 들어갔다. 주요 내용으로는 영상정보를 포함한 모든 개인정보에 대해 처리 기준을 명시했으며, 유출 시 72시간 이내 통지 의무, 보호책임자(DPO) 지정, 형사처벌 및 과징금 부과 가능성 등 GDPR와 유사한 구조를 갖추고 있다.
2025년, 개인영상정보 보호를 위한 꾸준한 노력과 변화
2011년 개인정보보호법이 국회를 통과하고 시행되면서부터 지금까지 개인영상정보 보호를 위한 노력은 지속되고 있다. 그리고 올해에도 △영상정보처리기기의 설치·운영 등에 관한 법률안 발의와 △영상정보관리사의 국가공인 자격 그리고 △CCTV 설치·운영 행동수칙과 안내 포스터 배포 등으로 이어지고 있다.
영상정보 법제의 새 흐름: 2025년 입법안 분석
올해 3월 초에는 박상혁 의원과 한준호 의원 등 더불어민주당 의원 12명이 ‘영상정보처리기기의 설치·운영 등에 관한 법률 제정안’을 발의했다. 이 법안에는 고정형 영상정보처리기기(CCTV) 뿐만 아니라 드론 등 이동형 영상정보처리기기의 운용도 포함하고 있다. 특히 기존의 ‘개인정보 보호법’으로는 포괄하기 어려웠던 영상정보의 특수성과 기술 발전을 반영해 독립적인 법률 체계를 마련하고자 했다.
이외에도 영상정보 주체의 동의를 받거나 법령상 의무를 준수하기 위해 불가피한 경우 등에는 공개 장소에서 업무를 목적으로 이동형 영상정보처리기기를 운용해 개인영상정보를 촬영할 수 있도록 하는 등의 내용이 포함됐다. 그리고 개인영상정보 처리자가 당초 촬영 목적과 합리적으로 관련된 범위에서 영상정보 주체의 동의 없이 개인영상정보를 이용하거나 제3자에게 제공할 수 있도록 했다.
이 법안은 단순한 개인정보 보호를 넘어 영상정보의 안전한 활용과 국민의 기본권 보호를 동시에 추구하는 방향으로 설계됐으며, ‘영상정보처리기기의 설치·운영 등에 관한 법률 제정안’에 대한 특이점은 다음의 6가지로 정리할 수 있다.
1. 영상정보처리기기의 유형 구분 : CCTV 등 고정형과 드론이나 웨어러블 카메라 등 이동형 영상정보처리기기를 명확하게 구분하고 각각에 대한 설치·운용을 별도로 규정했다.
이에 △고정형 영상정보처리기기는 일정한 공간에 설치돼 사람 또는 사물의 영상 등을 촬영하거나 이를 유·무선망을 통해 전송하는 기기로 대통령령으로 정하는 기기를 뜻하며, △이동형 영상정보처리기기는 사람이 신체에 착용 또는 휴대하거나 이동 가능한 물체에 부착 또는 거치(据置)해 사람 또는 사물의 영상 등을 촬영하거나 이를 유·무선망을 통해 전송하는 기기로 대통령령으로 정하는 기기를 뜻한다.
2. 개인영상정보 보호원칙 명문화 : 영상정보처리자는 목적을 명확히 하고 최소한의 정보만 정당하게 처리해야 한다는 원칙을 법률에 명시했다.
또한 다음 사항에 대해서는 적용의 일부를 제외했다. ①국가안전보장과 관련된 정보 분석을 목적으로 촬영 또는 제공 요청되는 개인영상정보나 언론, 종교단체, 정당이 각각 취재·보도, 선교, 선거 입후보자 추천 등 고유 목적 달성을 위해 촬영·이용하는 개인영상정보는 제2장부터 제7장까지 적용하지 않는다. ②개인영상정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위해 개인영상정보를 처리하는 경우에는 제9조 제1항/제3항, 제12조, 제14조 및 제15조를 적용하지 않는다. ③소상공인이 자신의 영업장소나 사무소에 제6조제1항제2호 및 제3호에 따라 고정형 영상정보처리기기를 설치·운용하는 경우에는 제12조, 제14조 및 제15조를 적용하지 않는다. ④정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조제1항제3호에 따른 정보통신서비스 제공자가 같은 항 제4호에 따른 이용자 또는 다른 정보통신서비스 제공자의 개인영상정보를 매개(媒介)하는 경우에는 제4장, 제6장 및 제7장을 적용하지 않는다.
3. 관제시설에 대한 규제 강화 : 일정 규모 이상의 관제시설은 개인정보보호위원회에 평가 결과를 제출해야 하고, 관제 인력의 자격과 교육도 법으로 규정했다.
관제시설을 운영하는 개인영상정보처리자는 관제시설 운영으로 인해 영상정보주체의 개인영상정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 영상정보처리기기를 관제하는 업무에 종사하는 사람을 교육하고 처리 현황 점검 등 대통령령으로 정하는 바에 따라 개인영상정보가 안전하게 처리되는지 감독해야 한다. 또한 보호위원회는 관제시설 내 개인영상정보의 적정한 처리를 보장하기 위해 관제업무 종사자를 대상으로 하는 교육과정 개발 및 보급 등을 지원해야 한다.
4. IP 카메라 보안 인증 의무화 : 다중이용시설에 설치되는 IP 카메라는 보안 인증을 의무화해 해킹 등 보안 위협에 대응하려는 조치가 포함됐다.
이에 개인영상정보처리자가 네트워크 카메라를 설치하려는 경우, 반드시 보안인증을 받은 제품이어야 하며, 대상 시설과 보안인증에 관한 사항은 대통령령으로 정한다.
5. 영상정보의 활용 기준 마련 : 영상정보를 제3자에게 제공하거나 목적 외로 이용할 수 있는 경우를 구체적으로 규정해, 신산업에서의 활용 가능성을 열어두었다.
이에 개인영상정보처리자는 당초 촬영 목적과 합리적으로 관련된 범위에서 영상정보주체에게 불이익이 발생하는지 여부와 암호화 등 안전성 확보에 필요한 조치를 했는지 여부 등을 고려해 영상정보주체의 동의 없이 개인영상정보를 이용하거나 제3자에게 제공할 수 있도록 하는 한편, 영상정보주체로부터 별도의 동의를 받은 경우 및 다른 법률에 특별한 규정이 있는 경우 등에 해당하고 영상정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없다면 개인영상정보를 목적 외로 이용하거나 제3자에게 제공할 수 있도록 했다.
6. 권리 보장 및 금지행위 명확화 : 정보주체의 열람·정정·삭제 요구권을 보장하고, 부정한 수단으로 영상정보를 수집하거나 유출하는 행위에 대한 형사처벌조항이 포함됐다.
이에 이 법을 위반해 개인영상정보를 이용하거나 제3자에게 제공한 자, 업무상 알게 된 개인영상정보 등을 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자, 다른 사람의 개인영상정보를 이용해 훼손, 변경, 위조, 유출하거나 멸실되게 한 자 등에 대해서는 징역 또는 벌금을 부과할 수 있도록 했다.
영상정보관리사 자격 도입과 정책적 대응
개인정보위는 공공·민간에서 운영 중인 CCTV 영상관제시설 등의 개인영상정보 보호 수준을 강화하고 관련 업무 전문가 양성을 위해 올해부터 ‘영상정보관리사’ 국가공인 자격 제도를 신설했다.
그동안 전국 지방자치단체와 대규모 다중이용시설 등은 범죄예방과 시설안전, 교통단속 등을 목적으로 하는 CCTV 영상관제시설을 구축·운영해 왔으나, 관제업무 수행에 필요한 법적 지식이나 전문기술 등에 대한 기준이 없어 국가 차원의 전문 자격제도가 필요하다는 요구가 제기돼 왔다.
또한 재난 발생 시 신속한 대응이나 실종 아동의 발견 및 구조 등에 있어서 CCTV 영상관제의 중요성이 증가하고 있고, 커넥티드카와 배달로봇, 드론 등과 같이 영상관제가 필요한 서비스가 상용화 단계를 앞두고 있어 공공·민간의 영상정보관리 담당자의 수요는 계속 증가할 것으로 예상된다.
이에 개인정보위는 2021년부터 한국정보통신자격협회가 등록민간자격으로 운영해 온 ‘영상정보관리사’ 자격을 대상으로 서류심사와 현장조사, 교육부 자격정책심의회 심의 등의 절차를 거쳐 국가공인 민간자격으로 승격했고, 올해 3월 제1회 ‘영상정보관리사’ 국가공인 자격시험을 시행했다.
2025년 영상정보관리사 국가공인 자격시험은 4회(3월, 6월, 9월, 11월) 시행할 예정이며, 접수처와 접수 기간, 검정과목, 합격자 발표 등의 구체적인 내용은 한국정보통신자격협회 홈페이지를 통해 확인할 수 있다. 또한 2021~2024년 중 등록 민간자격 취득자에게는 별도의 완화 검정을 실시해 국가공인 자격을 취득할 수 있도록 지원할 계획이다.
개인정보위는 ‘영상정보관리사’ 국가공인 자격 제도 운용과 함께 지난해부터 CCTV 영상관제시설 종사자를 대상으로 실시하고 있는 온오프라인 개인정보보호 교육을 지속해서 실시하는 한편, 지방자치단체 등 관계기관과 협의해 채용이나 승진 시 영상정보관리사 국가공인 자격 취득자를 우대할 방안을 마련해 나갈 예정이다.
일상 속 CCTV 관련 법 위반 예방을 위한 행동수칙 제시
개인정보위는 지난 6월 일상에서 널리 활용되고 있는 CCTV를 설치·운영할 때 주의해야 할 사항을 담은 행동수칙과 안내 포스터를 배포했다.
행동수칙의 내용은 △사생활 침해 우려 장소에 CCTV 설치 금지 △CCTV 운영 시 녹음 및 임의조작 금지 △공개된 장소에 CCTV 설치 시 안내판 부착 △CCTV 영상정보 열람요구 처리 절차 등으로, 이를 CCTV 운영자가 쉽게 이해할 수 있도록 포스터로 시각화했다.
CCTV 관련한 개인정보 침해신고는 비교적 단순한 내용인데도 연간 300건 이상 접수되고 있는 점을 감안해 개인정보위는 CCTV를 운영할 때 반드시 개인정보를 보호해야 한다는 점을 알리기 위해 이번 수칙을 마련한 것이다.
그동안 개인정보위에 접수된 개인정보 침해신고 중 CCTV 관련 신고 건수는 2023년 520건, 2024년 342건이다. 2023년에는 ‘안내판 미설치’가 전체 신고 건의 53.8%(280건)로 제일 많았지만 2024년에는 26.3%(90건)로 대폭 감소했다. 반면 ‘CCTV 개인영상정보 열람 요구’는 2023년 37.5%(195건)에서 2024년 53.5%(183건)로, CCTV 침해신고에서 차지하는 비중이 대폭 커졌다.
CCTV 설치·운영 시 지켜야 할 주요 수칙은 다음과 같다.
① 사생활 공간(비공개 장소) CCTV 설치 금지 : 개인정보 보호법에서는 공개된 장소라고 하더라도 범죄예방, 시설관리, 교통단속 등 허용된 경우에만 고정형 CCTV를 설치·운영할 수 있으며, 목욕실·탈의실 등 사생활 침해가 우려되는 장소에는 CCTV 설치를 금지하고 있다.
② 공개장소에 CCTV 설치 시 안내판 부착 : 공개된 장소에 CCTV를 설치할 때는 CCTV 설치안내판을 함께 부착해야 한다. CCTV를 공개된 장소에 설치하더라도 녹음하거나 다른 곳을 비추는 등 임의로 조작해서는 안 된다.
③ 정보주체의 개인영상정보 열람 요구 시 10일 내 대응 : CCTV에 촬영된 개인이 본인의 개인영상정보 열람을 요구하면, CCTV 운영자(공동주택 관리사무소, 소규모 병의원 등 포함)는 10일 이내에 열람 조치하거나 열람을 거절할 경우에는 거절 사유를 요구 당사자에게 알려야 한다. 이때, 거절 사유로 ‘경찰 입회 필요’나 ‘경찰 신고 필요’ 또는 ‘영상에 타인 포함’ 등은 거절 사유가 될 수 없다. 참고로, 개인영상정보를 열람할 때 타인이 포함된 경우에 모자이크 처리해야 하나, 어려운 경우에는 종이나 포스트잇 등으로 해당 부분을 가림 처리 후 보여주는 것도 가능하다.
[Interview 정종일 개인정보보호위원회 서기관]
‘사각지대 없앤 15년의 여정, 정종일 서기관이 말하는 개인영상정보 보호’
정종일 서기관은 개인보호보호위원회 신기술개인정보과에서 영상정보와 관련한 정책과 제도, 신기술 관련 규제개선 등을 담당하고 있다. 2011년 개인정보보호법이 국회에서 통과하고 시행되면서부터 15년여 동안 개인영상정보 보호와 함께한 그에게 개인영상정보 보호 및 개선 추진 제도 등 궁금한 점을 직접 들어봤다.
오랜 시간 개인영상정보보호 관련 업무를 담당하신 것으로 알고 있습니다. 해당 업무와는 어떻게 인연을 맺게 되셨는지 궁금합니다 우리나라에서 개인정보보호법은 2000년대 초반부터 국회에서 계속 논의됐습니다. 그러던 중 2008년 옥션(1,800만건)과 GS칼텍스(1,100만건) 그리고 2011년 싸이월드(3,500만건)와 넥슨(1,320만건) 등에서 발생한 대규모 개인정보 유출 사고를 계기로 2011년 3월, 국회에서 급하게 개인정보보호법이 통과됐습니다. 이에 정부는 법 제정일인 3월 29일부터 시행일인 9월 30일까지 6개월 동안 하위 법령과 해설서 등의 완료를 목표로 시급히 전담반이 구성됐는데, 당시 저도 차출돼 현재까지 이 업무와 인연을 이어가고 있습니다.
2011년 개인정보 보호법 제정·시행 후 ‘주민등록번호 법정주의 개념 제안 및 법제화’, ‘한-유럽연합(EU) 적정성 결정을 위한 합의 도출 및 아시아태평양 경제협력체(APEC) 국경 간 프라이버스 법 집행 협정 가입’ 등 다양한 활동을 해오셨습니다. 이러한 업무의 원동력은 무엇일까요 우리나라에서 개인정보 보호 제도가 처음 만들어지고 해외 선진국에서 인정할 수 있는 국제적 수준으로 발전해 나가기까지 크게 기여했다는 측면에서 무한한 자부심을 느낍니다. 더불어 저에게도 개인정보보호 업무는 제가 가진 지식과 경험을 바탕으로 국가와 국민에게 기여할 좋은 기회가 되었고, 어려운 일을 하나하나 헤쳐 나갈 때마다 느꼈던 ‘성취감과 보람’이 업무의 원동력이 되었다고 생각합니다.
돌아보면 2011년에는 미용실 예약이나 도서 대여 혹은 홈페이지 가입 시 대부분 주민등록번호를 기재하는 것이 필수 관행이었습니다. 이에 사회 각계의 반발을 무릅쓰고 공공분야 외 주민등록번호 사용을 전면 금지하는 방안을 제안·추진했습니다.
지금은 사회 전반에 주민등록번호를 함부로 요구하면 안 된다는 인식이 당연한 문화로 정착되었는데, 저의 노력으로 사회 전반의 인식과 문화를 더 좋은 방향으로 개선할 수 있었다는 점에서 성취감과 보람을 느낄 수 있었습니다.
개인정보보호와 개인영상정보보호, 어떤 차이점이 있을까요 개인정보는 보호의 대상으로 엄격한 규율 체계가 적용되며 유출 시 개인의 권리 침해와 직결됩니다. 하지만 영상은 개인정보의 측면도 적용되지만, 특정한 상황이 담긴 기록물이기도 합니다. 그렇기 때문에 사건·사고 발생 시 그 영상을 개인정보라는 차원에서 엄격하게 보호만 하고 아무도 못 보게 한다면 해당 사건·사고는 해결하지 못할 수도 있습니다. 이에 개인영상정보는 개인정보와 달리 일정한 활용을 전제로 해야 한다고 생각합니다.
개인정보의 활용과 보호에 대해 국민들이 가장 오해하는 부분은 무엇인지도 궁금합니다 개인정보의 활용과 보호가 각각의 서로 다른 가치를 가지고 있고 둘 중 어느 하나가 더 중요한 가치를 가지고 있다고 생각하는 것입니다. 개인정보보호는 개인정보를 더 안전하게 활용하기 위한 필요에 의해 생성되는 것이기 때문에 서로 대립하거나 양립하는 것이 아니라 합리적이고 적절한 균형이 필요합니다.
개인정보보호 제도가 일찍 발전한 유럽 국가의 경우, 인종이나 민족에 대한 차별 등의 역사적 맥락을 그 배경으로 해 개인정보 활용보다 보호를 더 중요하게 생각하지만, 우리나라는 정보화 진전에 따른 역기능 해소를 배경으로 해 개인정보의 활용과 보호 모두 중요하게 다루고 있습니다.
따라서 개인정보는 어떤 상황에서도 절대 침해될 수 없는 보호의 대상이 아니라 사회 발전을 위한 핵심 자원으로 안전하게 활용될 수 있도록 합리적이고 적절한 수준으로 보호할 필요가 있습니다.
해외 국가와 비교했을 때 우리나라 개인영상정보 보호 수준은 어떠한가요. 개인영상정보 보호에 대해 어떤 차이가 있는지도 궁금합니다 해외 국가의 개인정보보호법은 서로를 참조해 유사한 형태로 발전하고 있으며 공통으로 개인정보의 범위에 개인을 알아볼 수 있는 영상을 포함하고 있습니다. 그렇기 때문에 유럽이나 미국, 일본 등 주요 국가의 법령이나 가이드라인 등을 기준으로 보면 우리나라의 개인영상정보 보호 수준과 유사합니다. 다만 각 나라의 법률적 배경이나 문화적 차이를 고려할 때 사전적 규제보다는 민간 분야의 자율규제를 중시하는 미국과 같이 국가별 집행 방식에 대한 차이는 있습니다.
CCTV 및 영상정보 수집과 관련해 사생활 침해를 최소화하기 위해 정책의 방향성을 어떻게 잡고 있는지 궁금합니다 개인정보 보호 분야에서 사생활 침해는 매우 민감한 주제이지만 다른 한편으로는 개인의 주관적, 경험적 판단이 필요한 모호한 개념이기도 합니다.
예를 들어, 공원과 같이 공개된 장소에서 불특정인의 영상이 촬영됐다면 이를 사생활 침해라고 단정할 수 없지만, 특정인의 행동이나 일상을 추적·감시할 목적으로 영상이 촬영된 것이라면 이는 심각한 사생활 침해에 해당한다고 볼 여지가 있습니다.
영상 촬영에 있어 사생활 침해를 최소화하기 위해서는 촬영장소의 특성(공개 장소 vs 비공개 장소), 대상(불특정인 vs 특정인), 목적(범죄예방 vs 추적·감시) 그리고 촬영된 영상 내용의 민감성 등 다양한 특성을 고려한 종합적인 규율 체계를 마련한 필요가 있고 특히 영상 관제 업무에 종사하는 사람에 대한 윤리적 기준 정립과 교육과정 개발, 자격제도 도입 등이 필요하다고 생각합니다.
현재 개인정보위가 개인영상정보와 관련해 제도 개선 추진 중인 사항이나 개선돼야 한다고 생각하는 부분은 무엇인가요 지난해 말 기준으로 전국에는 약 2,200만대 이상의 CCTV가 설치·운영되고 있습니다. 또한 자율주행차와 로봇 등 영상처리 기술에 기반한 신제품의 국가 경제의 핵심 동력이 되고 있음을 고려할 때, 신산업 환경에 부합하는 종합적인 규율 체계가 마련돼야 한다고 생각합니다.
특히 현재 총 84개 법령에서 CCTV 설치에 관한 사항을 규정하고 있지만 대부분은 어린이집이나 수술실, 요양기관, 동물보호소 등 특정 장소에 대해 설치하도록 하는 내용만 규율하고 있고, CCTV에 대한 안전기준이나 열람 등의 권리행사 방법에 대해서는 아무런 내용이 없이 혼란이 발생하고 있습니다. 이에 개인정보위는 영상정보 보호 관련 법률 제정을 통해 법적 사각지대를 해소하고 재난이나 사건·사고 상황이 촬영된 CCTV 영상의 경우에는 해당 상황과 관련한 정당한 이해관계자(피해자 및 가족 등)에게도 신속하게 영상을 열람할 수 있도록 개선할 예정입니다.
또한 지자체 CCTV 통합관제센터와 같이 대규모 영상 관제 시설의 경우에는 성폭력 범죄자와 스토킹 범죄자, 아동성범죄자 등이 관제 업무에 종사할 수 없도록 종사자의 자격 기준을 마련하고, 교육과정 개발·보급 등을 지원할 계획입니다.
아울러 지난해 언론을 중심으로 제기된 요가학원과 병원 등에 설치된 IP 카메라의 영상 유출에 대해 공공기관 및 주요 민간 시설에 설치하는 IP 카메라는 보안인증 제품 사용을 의무화하는 내용의 제도 개선을 추진하고 있습니다.
현재 이러한 내용이 포함된 ‘영상정보처리기기의 설치 운영 등에 관한 법률’ 제정안이 국회 정무위원회에 제출돼 있어 개인정보위는 국회 법안 심사 과정에서 동 법률안이 통과될 수 있도록 적극적으로 지원할 계획입니다.
[엄호식 기자(eomhs@boannews.com)]
[보안뉴스 엄호식 기자] 누군가의 눈길을 의식하지 않아도, 우리는 이미 수많은 카메라 속을 지나치고 있다. 자율주행차, 드론, 배달 로봇은 이동하며 실시간으로 세상을 기록하고, 도시의 일상은 ‘데이터’로 바뀌어 저장되는데, 그 속에는 예상치 못한 순간, 우리의 모습도 함께 담겨 있을 수 있다.
그렇다면 누가 이 영상들을 보고, 어떻게 관리하며, 언제까지 보관할까? 기술은 발전했지만, 개인영상정보 보호에 대한 해답은 여전히 논의의 대상이며 꾸준하게 진화하고 있다. 개인정보보호법 안에서의 개인영상정보 보호는 어떻게 발전하고 있으며 어떤 노력이 펼쳐지고 있는지 살펴보자.
[자료: gettyimagesbank]
개인정보보호법의 제정과 영상정보 규제의 출발
개인영상정보 보호의 역사는 대한민국의 개인정보보호법 제정과 함께 시작됐다. 우리나라의 개인정보보호법은 2003년 입법 논의가 시작됐으며, 8~9년여가 흐른 2011년 3월 제298회 국회 제2차 본회의에서 ‘개인정보보호법’이 통과하고 3월 29일 공포(公布)됐다. 그리고 공포 6개월 후인 9월 30일 본격 시행됐다.
개인정보보호법은 빠르게 성장한 정보화 사회의 그림자로 드러난 개인정보 침해 위험을 확인하고, 법적 규제의 사각지대를 해소할 수 있게 됐다는 점에서 매우 중요한 의미를 지녔으며, 특히 CCTV를 포함한 개인영상정보처리기기까지 규제대상에 포함했다. 이에 이전에는 정보통신망법 등 일부 법률에 따라 제한적으로 규율됐지만, 개인정보보호법이 시행되면서 거의 모든 공공기관과 민간기업이 개인영상정보를 포함한 개인정보 보호 책임을 지게 됐다.
예를 들어 CCTV를 임의로 조작하거나 목적 외 장소를 촬영하는 행위도 법적으로 금지됐고, 영상정보의 보유 기간이나, 접근 권한, 파기 절차 등도 명확하게 규정됐다. 또한 대통령 소속의 개인정보보호위원회가 설치돼 정책을 심의하고 감독하는 체계가 마련되고 영상정보 보호에 대한 교육과 홍보도 강화됐다.
CCTV 운영과 관련된 주요 규정은 개인정보 보호와 공익 목적의 균형을 중심으로 구성돼 있다. 첫 번째로 범죄 예방이나 시설 안전, 화재 예방 등 공익 목적에만 설치할 수 있으며, 설치 전에는 이해관계자의 의견 수렴이 필요할 수 있다. 두 번째로 촬영 범위와 시간, 책임자 연락처 등을 포함한 안내판을 눈에 잘 띄는 곳에 설치해야 한다. 세 번째로 촬영 범위 및 기능의 제한이다. 이는 목적 외 장소에 대해서는 촬영하면 안 되고, 확대나 회전 기능은 목적 범위 내에서만 사용할 수 있으며, 녹음 기능도 원칙적으로 금지돼 있다는 것이다.
네 번째로 영상의 보관은 일반적으로 30~90일 이내로 제한되며 접근 권한은 지정된 최소 인원에게만 부여되며 접근 기록도 관리해야 한다. 다섯 번째로 본인의 영상정보에 대해 열람과 삭제를 요청할 수 있으며, 이때에는 신속한 확인과 조치가 이루어져야 한다. 마지막으로 영상정보는 암호화와 접근 통제 등 기술적·관리적 보호조치를 통해 안전하게 관리해야 하며 정기적인 점검과 교육도 진행돼야 한다고 명시하고 있다.
▲영상정보처리기기 설치·운영 가이드라인을 통해 살펴본 공공기관&민간 분야 역할과 책임 [자료: 개인정보보호위원회]
5차 개정 영상정보처리기기 가이드라인: 공공과 민간의 차이
고정형 영상정보처리기기의 설치와 운영은 개인정보 보호법 제25조, 같은 법 시행령 제22호부터 제27조까지 및 ‘표준 개인정보 보호지침’ 제3장의 내용을 설명한 가이드라인을 기초로 한다.
공공기관과 민간 분야로 구분된 ‘고정형 영상정보처리기기 설치·운영 가이드라인’은 2012년 3월 5일 제정하고, 2012년 12월 1일 1차 개정, 2015년 1월 12일 2차, 2020년 12월 30일 3차, 2021년 4월 14일 4차 개정한 바 있으며, 2023년 9월 15일 시행된 ‘개인정보 보호법’ 개정 사항을 반영해 2024년 1월 19일부터 5차 개정본을 시행하고 있다.
그리고 5차 개정본에서는 공공기관과 민간 분야의 역할과 책임에 대해 △설치 목적의 법적 근거와 △의견 수렴 절차 △운영·관리 방침 수립 △점검 및 감독 △영상정보 보유 및 파기 등의 내용에서 차이점을 명확하게 구분하고 있다.
우리와 다른 그들, 엄격한 유럽과 자율규제 미국
그렇다면 해외 주요 국가들은 개인영상정보 보호와 관련해 어떤 특징을 가지고 있을까? 글로벌 개인정보보호법 법제의 표준으로 우리나라 법 제도의 정비에도 주요한 참고 기준이 된 GDPR을 시행하고 있는 유럽연합(EU)은 CCTV 설치 시 명확한 목적과 최소한의 범위만 허용되며 사전 고지와 정보 주체의 권리 보장이 필수다. 특히, 영상정보의 보관기간과 접근 권한, 파기 절차 등이 법적으로 명확하게 규정돼 있다.
유럽연합의 GDPR처럼 연방 차원의 통일된 법이 없는 미국은 주 단위 법률이 중심이며 그중 가장 강력하고 대표적인 법이 바로 캘리포니아 소비자 개인정보 보호법(CCPA)이다. 또한 영상정보는 일반적으로 사생활 침해 여부에 따라 보호 수준이 달라지는 데 일반적으로 공공장소에서의 CCTV 촬영은 허용되지만, 녹음이 되거나 화장실 또는 탈의실 등 민감한 장소에서는 법적으로 문제가 될 수 있다. 그리고 영상정보가 얼굴 인식 등 생체 정보와 결합할 경우, 민감 정보로 간주돼 더 강한 보호를 받는다.
미국은 시장 자율성과 기업의 책임을 강조하는 경향이 강하며, 특히 빅테크 기업들은 자체적인 프라이버시 정책과 투명성 보고서를 통해 대응하고 있지만, 최근에는 자율규제만으로는 부족하다는 비판도 커지고 있다. 이 외에도 최근에는 AI 감시 기술, 특히 얼굴인식과 자동화된 의사결정, 감시 드론 등에 대한 규제 필요성도 높아지고 있다.
일본도 개인정보보호법(APPI : Act on the Protection of Personal Information)을 준수하고 있으며, 영상정보도 개인정보로 분류해 사전 동의와 목적 명시가 중요하다. 미국과 마찬가지로 공공장소에서의 촬영은 비교적 유연하지만, 화장실이나 탈의실 등 민감한 장소는 엄격하게 제한된다. 특히 2022년 개정된 APPI에는 제3자 제공 시 기록 보관 의무와 자동화된 의사 결정에 대한 설명 요구권 등도 포함돼 있다. 일본 역시 AI 감시 기술과 관련해 윤리적 가이드라인을 마련하고 있지만, 법적 구속력보다는 행정 지침과 자율 규제 유도에 가까운 형태인 것으로 알려졌다.
중국은 개인정보보호법(PIPL)을 통해 영상정보를 포함한 모든 개인정보에 대해 국가 안보와 공공질서를 이유로 강력하게 통제하고 있다. 특히 얼굴 인식 등 생체 정보는 민감정보로 분류되며, 데이터 국외 이전 시 정부의 사전 승인이 필요하고, 공공기관에 대한 규제는 상대적으로 약하지만, 민간 기업에 대한 통제가 매우 강하다.
인도네시아는 2022년 개인정보보호법(PDP법) 제정 후 2024년 10월부터 본격 시행에 들어갔다. 주요 내용으로는 영상정보를 포함한 모든 개인정보에 대해 처리 기준을 명시했으며, 유출 시 72시간 이내 통지 의무, 보호책임자(DPO) 지정, 형사처벌 및 과징금 부과 가능성 등 GDPR와 유사한 구조를 갖추고 있다.
▲국가별 영상정보 및 개인정보 보호 법제 비교 [자료: 보안뉴스 정리]
2025년, 개인영상정보 보호를 위한 꾸준한 노력과 변화
2011년 개인정보보호법이 국회를 통과하고 시행되면서부터 지금까지 개인영상정보 보호를 위한 노력은 지속되고 있다. 그리고 올해에도 △영상정보처리기기의 설치·운영 등에 관한 법률안 발의와 △영상정보관리사의 국가공인 자격 그리고 △CCTV 설치·운영 행동수칙과 안내 포스터 배포 등으로 이어지고 있다.
영상정보 법제의 새 흐름: 2025년 입법안 분석
올해 3월 초에는 박상혁 의원과 한준호 의원 등 더불어민주당 의원 12명이 ‘영상정보처리기기의 설치·운영 등에 관한 법률 제정안’을 발의했다. 이 법안에는 고정형 영상정보처리기기(CCTV) 뿐만 아니라 드론 등 이동형 영상정보처리기기의 운용도 포함하고 있다. 특히 기존의 ‘개인정보 보호법’으로는 포괄하기 어려웠던 영상정보의 특수성과 기술 발전을 반영해 독립적인 법률 체계를 마련하고자 했다.
이외에도 영상정보 주체의 동의를 받거나 법령상 의무를 준수하기 위해 불가피한 경우 등에는 공개 장소에서 업무를 목적으로 이동형 영상정보처리기기를 운용해 개인영상정보를 촬영할 수 있도록 하는 등의 내용이 포함됐다. 그리고 개인영상정보 처리자가 당초 촬영 목적과 합리적으로 관련된 범위에서 영상정보 주체의 동의 없이 개인영상정보를 이용하거나 제3자에게 제공할 수 있도록 했다.
이 법안은 단순한 개인정보 보호를 넘어 영상정보의 안전한 활용과 국민의 기본권 보호를 동시에 추구하는 방향으로 설계됐으며, ‘영상정보처리기기의 설치·운영 등에 관한 법률 제정안’에 대한 특이점은 다음의 6가지로 정리할 수 있다.
1. 영상정보처리기기의 유형 구분 : CCTV 등 고정형과 드론이나 웨어러블 카메라 등 이동형 영상정보처리기기를 명확하게 구분하고 각각에 대한 설치·운용을 별도로 규정했다.
이에 △고정형 영상정보처리기기는 일정한 공간에 설치돼 사람 또는 사물의 영상 등을 촬영하거나 이를 유·무선망을 통해 전송하는 기기로 대통령령으로 정하는 기기를 뜻하며, △이동형 영상정보처리기기는 사람이 신체에 착용 또는 휴대하거나 이동 가능한 물체에 부착 또는 거치(据置)해 사람 또는 사물의 영상 등을 촬영하거나 이를 유·무선망을 통해 전송하는 기기로 대통령령으로 정하는 기기를 뜻한다.
2. 개인영상정보 보호원칙 명문화 : 영상정보처리자는 목적을 명확히 하고 최소한의 정보만 정당하게 처리해야 한다는 원칙을 법률에 명시했다.
또한 다음 사항에 대해서는 적용의 일부를 제외했다. ①국가안전보장과 관련된 정보 분석을 목적으로 촬영 또는 제공 요청되는 개인영상정보나 언론, 종교단체, 정당이 각각 취재·보도, 선교, 선거 입후보자 추천 등 고유 목적 달성을 위해 촬영·이용하는 개인영상정보는 제2장부터 제7장까지 적용하지 않는다. ②개인영상정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위해 개인영상정보를 처리하는 경우에는 제9조 제1항/제3항, 제12조, 제14조 및 제15조를 적용하지 않는다. ③소상공인이 자신의 영업장소나 사무소에 제6조제1항제2호 및 제3호에 따라 고정형 영상정보처리기기를 설치·운용하는 경우에는 제12조, 제14조 및 제15조를 적용하지 않는다. ④정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조제1항제3호에 따른 정보통신서비스 제공자가 같은 항 제4호에 따른 이용자 또는 다른 정보통신서비스 제공자의 개인영상정보를 매개(媒介)하는 경우에는 제4장, 제6장 및 제7장을 적용하지 않는다.
3. 관제시설에 대한 규제 강화 : 일정 규모 이상의 관제시설은 개인정보보호위원회에 평가 결과를 제출해야 하고, 관제 인력의 자격과 교육도 법으로 규정했다.
관제시설을 운영하는 개인영상정보처리자는 관제시설 운영으로 인해 영상정보주체의 개인영상정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 영상정보처리기기를 관제하는 업무에 종사하는 사람을 교육하고 처리 현황 점검 등 대통령령으로 정하는 바에 따라 개인영상정보가 안전하게 처리되는지 감독해야 한다. 또한 보호위원회는 관제시설 내 개인영상정보의 적정한 처리를 보장하기 위해 관제업무 종사자를 대상으로 하는 교육과정 개발 및 보급 등을 지원해야 한다.
4. IP 카메라 보안 인증 의무화 : 다중이용시설에 설치되는 IP 카메라는 보안 인증을 의무화해 해킹 등 보안 위협에 대응하려는 조치가 포함됐다.
이에 개인영상정보처리자가 네트워크 카메라를 설치하려는 경우, 반드시 보안인증을 받은 제품이어야 하며, 대상 시설과 보안인증에 관한 사항은 대통령령으로 정한다.
5. 영상정보의 활용 기준 마련 : 영상정보를 제3자에게 제공하거나 목적 외로 이용할 수 있는 경우를 구체적으로 규정해, 신산업에서의 활용 가능성을 열어두었다.
이에 개인영상정보처리자는 당초 촬영 목적과 합리적으로 관련된 범위에서 영상정보주체에게 불이익이 발생하는지 여부와 암호화 등 안전성 확보에 필요한 조치를 했는지 여부 등을 고려해 영상정보주체의 동의 없이 개인영상정보를 이용하거나 제3자에게 제공할 수 있도록 하는 한편, 영상정보주체로부터 별도의 동의를 받은 경우 및 다른 법률에 특별한 규정이 있는 경우 등에 해당하고 영상정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없다면 개인영상정보를 목적 외로 이용하거나 제3자에게 제공할 수 있도록 했다.
6. 권리 보장 및 금지행위 명확화 : 정보주체의 열람·정정·삭제 요구권을 보장하고, 부정한 수단으로 영상정보를 수집하거나 유출하는 행위에 대한 형사처벌조항이 포함됐다.
이에 이 법을 위반해 개인영상정보를 이용하거나 제3자에게 제공한 자, 업무상 알게 된 개인영상정보 등을 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자, 다른 사람의 개인영상정보를 이용해 훼손, 변경, 위조, 유출하거나 멸실되게 한 자 등에 대해서는 징역 또는 벌금을 부과할 수 있도록 했다.
영상정보관리사 자격 도입과 정책적 대응
개인정보위는 공공·민간에서 운영 중인 CCTV 영상관제시설 등의 개인영상정보 보호 수준을 강화하고 관련 업무 전문가 양성을 위해 올해부터 ‘영상정보관리사’ 국가공인 자격 제도를 신설했다.
그동안 전국 지방자치단체와 대규모 다중이용시설 등은 범죄예방과 시설안전, 교통단속 등을 목적으로 하는 CCTV 영상관제시설을 구축·운영해 왔으나, 관제업무 수행에 필요한 법적 지식이나 전문기술 등에 대한 기준이 없어 국가 차원의 전문 자격제도가 필요하다는 요구가 제기돼 왔다.
또한 재난 발생 시 신속한 대응이나 실종 아동의 발견 및 구조 등에 있어서 CCTV 영상관제의 중요성이 증가하고 있고, 커넥티드카와 배달로봇, 드론 등과 같이 영상관제가 필요한 서비스가 상용화 단계를 앞두고 있어 공공·민간의 영상정보관리 담당자의 수요는 계속 증가할 것으로 예상된다.
이에 개인정보위는 2021년부터 한국정보통신자격협회가 등록민간자격으로 운영해 온 ‘영상정보관리사’ 자격을 대상으로 서류심사와 현장조사, 교육부 자격정책심의회 심의 등의 절차를 거쳐 국가공인 민간자격으로 승격했고, 올해 3월 제1회 ‘영상정보관리사’ 국가공인 자격시험을 시행했다.
2025년 영상정보관리사 국가공인 자격시험은 4회(3월, 6월, 9월, 11월) 시행할 예정이며, 접수처와 접수 기간, 검정과목, 합격자 발표 등의 구체적인 내용은 한국정보통신자격협회 홈페이지를 통해 확인할 수 있다. 또한 2021~2024년 중 등록 민간자격 취득자에게는 별도의 완화 검정을 실시해 국가공인 자격을 취득할 수 있도록 지원할 계획이다.
개인정보위는 ‘영상정보관리사’ 국가공인 자격 제도 운용과 함께 지난해부터 CCTV 영상관제시설 종사자를 대상으로 실시하고 있는 온오프라인 개인정보보호 교육을 지속해서 실시하는 한편, 지방자치단체 등 관계기관과 협의해 채용이나 승진 시 영상정보관리사 국가공인 자격 취득자를 우대할 방안을 마련해 나갈 예정이다.
일상 속 CCTV 관련 법 위반 예방을 위한 행동수칙 제시
개인정보위는 지난 6월 일상에서 널리 활용되고 있는 CCTV를 설치·운영할 때 주의해야 할 사항을 담은 행동수칙과 안내 포스터를 배포했다.
▲CCTV를 설치·운영할 때 주의해야 할 사항을 담은 행동수칙과 안내 포스터 [자료: 개인정보보호위원회]
행동수칙의 내용은 △사생활 침해 우려 장소에 CCTV 설치 금지 △CCTV 운영 시 녹음 및 임의조작 금지 △공개된 장소에 CCTV 설치 시 안내판 부착 △CCTV 영상정보 열람요구 처리 절차 등으로, 이를 CCTV 운영자가 쉽게 이해할 수 있도록 포스터로 시각화했다.
CCTV 관련한 개인정보 침해신고는 비교적 단순한 내용인데도 연간 300건 이상 접수되고 있는 점을 감안해 개인정보위는 CCTV를 운영할 때 반드시 개인정보를 보호해야 한다는 점을 알리기 위해 이번 수칙을 마련한 것이다.
그동안 개인정보위에 접수된 개인정보 침해신고 중 CCTV 관련 신고 건수는 2023년 520건, 2024년 342건이다. 2023년에는 ‘안내판 미설치’가 전체 신고 건의 53.8%(280건)로 제일 많았지만 2024년에는 26.3%(90건)로 대폭 감소했다. 반면 ‘CCTV 개인영상정보 열람 요구’는 2023년 37.5%(195건)에서 2024년 53.5%(183건)로, CCTV 침해신고에서 차지하는 비중이 대폭 커졌다.
CCTV 설치·운영 시 지켜야 할 주요 수칙은 다음과 같다.
① 사생활 공간(비공개 장소) CCTV 설치 금지 : 개인정보 보호법에서는 공개된 장소라고 하더라도 범죄예방, 시설관리, 교통단속 등 허용된 경우에만 고정형 CCTV를 설치·운영할 수 있으며, 목욕실·탈의실 등 사생활 침해가 우려되는 장소에는 CCTV 설치를 금지하고 있다.
② 공개장소에 CCTV 설치 시 안내판 부착 : 공개된 장소에 CCTV를 설치할 때는 CCTV 설치안내판을 함께 부착해야 한다. CCTV를 공개된 장소에 설치하더라도 녹음하거나 다른 곳을 비추는 등 임의로 조작해서는 안 된다.
③ 정보주체의 개인영상정보 열람 요구 시 10일 내 대응 : CCTV에 촬영된 개인이 본인의 개인영상정보 열람을 요구하면, CCTV 운영자(공동주택 관리사무소, 소규모 병의원 등 포함)는 10일 이내에 열람 조치하거나 열람을 거절할 경우에는 거절 사유를 요구 당사자에게 알려야 한다. 이때, 거절 사유로 ‘경찰 입회 필요’나 ‘경찰 신고 필요’ 또는 ‘영상에 타인 포함’ 등은 거절 사유가 될 수 없다. 참고로, 개인영상정보를 열람할 때 타인이 포함된 경우에 모자이크 처리해야 하나, 어려운 경우에는 종이나 포스트잇 등으로 해당 부분을 가림 처리 후 보여주는 것도 가능하다.
[Interview 정종일 개인정보보호위원회 서기관]
‘사각지대 없앤 15년의 여정, 정종일 서기관이 말하는 개인영상정보 보호’
▲정종일 개인정보보호위원회 서기관 [자료: 보안뉴스]
정종일 서기관은 개인보호보호위원회 신기술개인정보과에서 영상정보와 관련한 정책과 제도, 신기술 관련 규제개선 등을 담당하고 있다. 2011년 개인정보보호법이 국회에서 통과하고 시행되면서부터 15년여 동안 개인영상정보 보호와 함께한 그에게 개인영상정보 보호 및 개선 추진 제도 등 궁금한 점을 직접 들어봤다.
오랜 시간 개인영상정보보호 관련 업무를 담당하신 것으로 알고 있습니다. 해당 업무와는 어떻게 인연을 맺게 되셨는지 궁금합니다 우리나라에서 개인정보보호법은 2000년대 초반부터 국회에서 계속 논의됐습니다. 그러던 중 2008년 옥션(1,800만건)과 GS칼텍스(1,100만건) 그리고 2011년 싸이월드(3,500만건)와 넥슨(1,320만건) 등에서 발생한 대규모 개인정보 유출 사고를 계기로 2011년 3월, 국회에서 급하게 개인정보보호법이 통과됐습니다. 이에 정부는 법 제정일인 3월 29일부터 시행일인 9월 30일까지 6개월 동안 하위 법령과 해설서 등의 완료를 목표로 시급히 전담반이 구성됐는데, 당시 저도 차출돼 현재까지 이 업무와 인연을 이어가고 있습니다.
2011년 개인정보 보호법 제정·시행 후 ‘주민등록번호 법정주의 개념 제안 및 법제화’, ‘한-유럽연합(EU) 적정성 결정을 위한 합의 도출 및 아시아태평양 경제협력체(APEC) 국경 간 프라이버스 법 집행 협정 가입’ 등 다양한 활동을 해오셨습니다. 이러한 업무의 원동력은 무엇일까요 우리나라에서 개인정보 보호 제도가 처음 만들어지고 해외 선진국에서 인정할 수 있는 국제적 수준으로 발전해 나가기까지 크게 기여했다는 측면에서 무한한 자부심을 느낍니다. 더불어 저에게도 개인정보보호 업무는 제가 가진 지식과 경험을 바탕으로 국가와 국민에게 기여할 좋은 기회가 되었고, 어려운 일을 하나하나 헤쳐 나갈 때마다 느꼈던 ‘성취감과 보람’이 업무의 원동력이 되었다고 생각합니다.
돌아보면 2011년에는 미용실 예약이나 도서 대여 혹은 홈페이지 가입 시 대부분 주민등록번호를 기재하는 것이 필수 관행이었습니다. 이에 사회 각계의 반발을 무릅쓰고 공공분야 외 주민등록번호 사용을 전면 금지하는 방안을 제안·추진했습니다.
지금은 사회 전반에 주민등록번호를 함부로 요구하면 안 된다는 인식이 당연한 문화로 정착되었는데, 저의 노력으로 사회 전반의 인식과 문화를 더 좋은 방향으로 개선할 수 있었다는 점에서 성취감과 보람을 느낄 수 있었습니다.
개인정보보호와 개인영상정보보호, 어떤 차이점이 있을까요 개인정보는 보호의 대상으로 엄격한 규율 체계가 적용되며 유출 시 개인의 권리 침해와 직결됩니다. 하지만 영상은 개인정보의 측면도 적용되지만, 특정한 상황이 담긴 기록물이기도 합니다. 그렇기 때문에 사건·사고 발생 시 그 영상을 개인정보라는 차원에서 엄격하게 보호만 하고 아무도 못 보게 한다면 해당 사건·사고는 해결하지 못할 수도 있습니다. 이에 개인영상정보는 개인정보와 달리 일정한 활용을 전제로 해야 한다고 생각합니다.
개인정보의 활용과 보호에 대해 국민들이 가장 오해하는 부분은 무엇인지도 궁금합니다 개인정보의 활용과 보호가 각각의 서로 다른 가치를 가지고 있고 둘 중 어느 하나가 더 중요한 가치를 가지고 있다고 생각하는 것입니다. 개인정보보호는 개인정보를 더 안전하게 활용하기 위한 필요에 의해 생성되는 것이기 때문에 서로 대립하거나 양립하는 것이 아니라 합리적이고 적절한 균형이 필요합니다.
개인정보보호 제도가 일찍 발전한 유럽 국가의 경우, 인종이나 민족에 대한 차별 등의 역사적 맥락을 그 배경으로 해 개인정보 활용보다 보호를 더 중요하게 생각하지만, 우리나라는 정보화 진전에 따른 역기능 해소를 배경으로 해 개인정보의 활용과 보호 모두 중요하게 다루고 있습니다.
따라서 개인정보는 어떤 상황에서도 절대 침해될 수 없는 보호의 대상이 아니라 사회 발전을 위한 핵심 자원으로 안전하게 활용될 수 있도록 합리적이고 적절한 수준으로 보호할 필요가 있습니다.
해외 국가와 비교했을 때 우리나라 개인영상정보 보호 수준은 어떠한가요. 개인영상정보 보호에 대해 어떤 차이가 있는지도 궁금합니다 해외 국가의 개인정보보호법은 서로를 참조해 유사한 형태로 발전하고 있으며 공통으로 개인정보의 범위에 개인을 알아볼 수 있는 영상을 포함하고 있습니다. 그렇기 때문에 유럽이나 미국, 일본 등 주요 국가의 법령이나 가이드라인 등을 기준으로 보면 우리나라의 개인영상정보 보호 수준과 유사합니다. 다만 각 나라의 법률적 배경이나 문화적 차이를 고려할 때 사전적 규제보다는 민간 분야의 자율규제를 중시하는 미국과 같이 국가별 집행 방식에 대한 차이는 있습니다.
CCTV 및 영상정보 수집과 관련해 사생활 침해를 최소화하기 위해 정책의 방향성을 어떻게 잡고 있는지 궁금합니다 개인정보 보호 분야에서 사생활 침해는 매우 민감한 주제이지만 다른 한편으로는 개인의 주관적, 경험적 판단이 필요한 모호한 개념이기도 합니다.
예를 들어, 공원과 같이 공개된 장소에서 불특정인의 영상이 촬영됐다면 이를 사생활 침해라고 단정할 수 없지만, 특정인의 행동이나 일상을 추적·감시할 목적으로 영상이 촬영된 것이라면 이는 심각한 사생활 침해에 해당한다고 볼 여지가 있습니다.
영상 촬영에 있어 사생활 침해를 최소화하기 위해서는 촬영장소의 특성(공개 장소 vs 비공개 장소), 대상(불특정인 vs 특정인), 목적(범죄예방 vs 추적·감시) 그리고 촬영된 영상 내용의 민감성 등 다양한 특성을 고려한 종합적인 규율 체계를 마련한 필요가 있고 특히 영상 관제 업무에 종사하는 사람에 대한 윤리적 기준 정립과 교육과정 개발, 자격제도 도입 등이 필요하다고 생각합니다.
현재 개인정보위가 개인영상정보와 관련해 제도 개선 추진 중인 사항이나 개선돼야 한다고 생각하는 부분은 무엇인가요 지난해 말 기준으로 전국에는 약 2,200만대 이상의 CCTV가 설치·운영되고 있습니다. 또한 자율주행차와 로봇 등 영상처리 기술에 기반한 신제품의 국가 경제의 핵심 동력이 되고 있음을 고려할 때, 신산업 환경에 부합하는 종합적인 규율 체계가 마련돼야 한다고 생각합니다.
특히 현재 총 84개 법령에서 CCTV 설치에 관한 사항을 규정하고 있지만 대부분은 어린이집이나 수술실, 요양기관, 동물보호소 등 특정 장소에 대해 설치하도록 하는 내용만 규율하고 있고, CCTV에 대한 안전기준이나 열람 등의 권리행사 방법에 대해서는 아무런 내용이 없이 혼란이 발생하고 있습니다. 이에 개인정보위는 영상정보 보호 관련 법률 제정을 통해 법적 사각지대를 해소하고 재난이나 사건·사고 상황이 촬영된 CCTV 영상의 경우에는 해당 상황과 관련한 정당한 이해관계자(피해자 및 가족 등)에게도 신속하게 영상을 열람할 수 있도록 개선할 예정입니다.
또한 지자체 CCTV 통합관제센터와 같이 대규모 영상 관제 시설의 경우에는 성폭력 범죄자와 스토킹 범죄자, 아동성범죄자 등이 관제 업무에 종사할 수 없도록 종사자의 자격 기준을 마련하고, 교육과정 개발·보급 등을 지원할 계획입니다.
아울러 지난해 언론을 중심으로 제기된 요가학원과 병원 등에 설치된 IP 카메라의 영상 유출에 대해 공공기관 및 주요 민간 시설에 설치하는 IP 카메라는 보안인증 제품 사용을 의무화하는 내용의 제도 개선을 추진하고 있습니다.
현재 이러한 내용이 포함된 ‘영상정보처리기기의 설치 운영 등에 관한 법률’ 제정안이 국회 정무위원회에 제출돼 있어 개인정보위는 국회 법안 심사 과정에서 동 법률안이 통과될 수 있도록 적극적으로 지원할 계획입니다.
[엄호식 기자(eomhs@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
엄호식기자 기사보기
[2025-04-07] 
