공공기관내 개인영상정보, 어떻게 관리되고 있나?

국토부·경찰청 등 공공기관 개인영상정보 보호관리 실태 진단

[보안뉴스 김경애] 개인정보보호법이 지난 2011년 9월부터 시행되고 있지만 잇따른 개인정보 유출사건으로 인해 개인정보보호의 정착을 위해서는 아직 갈 길이 멀다는 지적이 제기되고 있다.

특히, 공공기관에서 운영하고 있는 CCTV 등을 통해 축적되는 개인영상정보가 제대로 관리하고 있는지에 대한 관심이 높아지고 있다. 공공기관에서의 CCTV는 범죄예방, 교통위반 단속, 재난관리, 매장관리 등 다양한 목적으로 사회 각 분야에서 설치·운영되고 있다.

그러나 영상정보처리장치를 사용해 타인의 모습이나 이동경로, 행위 등을 본인의 의사와 무관하게 관찰하고 녹화함으로써 사생활을 감시받게 된다는 우려가 높아지고 있고, 이에 따른 프라이버시 침해 가능성도 대두되고 있다.

그렇다면 공공기관이 운영하고 있는 CCTV의 개인영상정보보호 관리체계는 어떨까? 이와 관련해 국토교통부, 경찰청, 한국토지주택공사, 인천국제공항공사 등의 공공기관이 영상정보관리실태에 대해 공개하고, 이에 따른 대응방안을 제시했다.

▲ 국토교통부-소속·산하기관 CCTV 개인영상정보 보호실태

국토교통부는 부산·대전지방국토관리청, 포항지방해양항만청, 한강홍수통제소, 부산지방항공청, 중앙해양안전심판원, 중앙토지수용위원회 등 23개 소속기관 관할의 CCTV 1,200여대와 대한지적공사, 한국토지주택공사, 한국감정원 등 15개 산하 공사·공단에 20,500여대의 관리현황에 대해 자체적으로 개인정보보호 실태 점검을 실시했다고 밝혔다. 점검기간은 2012년 3월부터 11월까지로 소속·산하 15개 기관에 설치된 CCTV 관리체계와 물리적 보호조치에 대해 점검했다.

점검분야는 개인영상정보의 처리에 관한 업무를 총괄해서 책임질 책임자 지정과 안내판 설치, 영상정보관리, 위탁 관리·감독 등의 사항이다. 점검결과 국토부는 대부분의 기관이 CCTV 운영을 위한 관리적 조치인 운영·관리방침 수립 및 시행과 관련해서는 양호했으나 영상정보처리기기 관리서버의 비밀번호 미설정 등 기술적 조치의 일부 개선이 필요하다고 밝혔다.

이에 대한 향후 조치계획으로 국토부는 개인정보보호 종합지원시스템에 CCTV 운영현황 등록을 유도하고, 오는 11월까지 각 기관별로 영상정보처리기기 운영·관리 방침 공개 및 이행여부 등에 대한 점검을 실시할 것이라고 밝혔다. 또한, 직원교육을 강화하고 관리자 인식제고에 힘쓰겠다고 덧붙였다.

▲ 경찰청-수배차량 검색 위한 내부통제 시스템 구축사례

경찰청은 CCTV의 관리현황과 관련해 수배차량 검색체계인 내부통제시스템 구축사례를 소개했다. 경찰은 안정적인 치안력 확보와 차량범죄에 적극적인 대응을 위해 수배차량 내부통제 시스템을 도입했다. 이와 관련해 차량 방범용 CCTV는 지자체에서 설치하고, 현재 경찰서별로 사후수사 자료로 활용하고 있다. CCTV는 총 3,136개소(5,640대)를 시스템으로 연계해 수배 차량을 자동검색하고 신속하게 지령을 내릴 수 있도록 하는 시스템이 운영되고 있다.

그러나 경찰청은 기존 차량방범용 CCTV의 개인영상정보에 대한 허술한 운영관리로 심각한 사회문제가 발생할 수 있다는 우려로 인해 인가된 사용자(수사관)에 대한 행위 통제가 필요하다고 밝혔다.

이를테면 CCTV업체가 영세하여 접근로그 보관이 미흡하고, IP 통합이 되어 있지 않아 접근권한 관리 등의 보안정책 수립이 곤란하거나 타임서버가 없어 통과차량 수집시간이 불일치해 디지털 포렌식 수사에 제약이 될 수 있다는 것이다.

관제센터에 설치 운영중인 차량방범용 CCTV는 범죄와 관련 없는 모든 통과차량을 모니터에 표출하고 저장한 뒤, 사후수사 목적으로 사용된다. 그러나 사후수사 시 수사관들이 범죄와 관련 없는 차량영상도 검색해 개인영상정보 보호가 제대로 이뤄지지 않을 가능성도 있다는 얘기다.

이와 관련해 경찰청은 오남용 방지대책을 기술적 대책과 제도적 대책을 구분해 제시했다. 기술적 대책으로는 전국 방범용 CCTV 통합 IP를 설계하고, 인터넷으로 설치된 차량방범용 CCTV는 전용회선으로 교체해야 한다고 강조했다. 또한, 오남용 및 유출 방지를 위해 내부통제 시스템을 도입해야 한다고 제시했다.

제도적 대책으로는 범죄차량자동검색시스템 운영지침을 수립하고, 모든 조회 및 검색은 경찰관서장의 승인 후 실시해야 하며, 조회기록은 5년간 보존해야 한다고 밝혔다.

이렇듯 합리적인 수배차량 검색체계 운영을 바탕으로 수사목적 및 개인정보 보호의 공존이 이뤄져야 한다고 강조했다. 수배차량 검색체계 운영관리 업무의 대국민적 신뢰도를 확보해야 한다는 자체적인 진단을 내린 셈이다.

신뢰도 확보를 위해서는 외부 비인가자에 의한 개인영상정보 유출사고 방지대책을 수립하고, 내부 인가자에 의한 개인영상정보 오남용 관리 환경을 조성해야 한다고 밝혔다. 또한, 정보보안을 위해 전용단말기, 전용 폐쇄망 운영, 방화벽 등 기술적 조치를 취하고, 효과적인 운영관리를 위해 수배차량 검색체계 접속 및 조회, 열람 권한을 정비하는 관리적 조치도 함께 이뤄져야 한다고 강조했다.

▲ 한국도로공사-고속도로 CCTV 운영현황

한국도로공사는 고속도로의 돌발 및 정체, 소통상황 등에 대한 영상정보를 실시간으로 수집해 교통상황관리 및 대국민 교통정보서비스를 제공하고 있다고 밝혔다. 고속도로의 CCTV 설치현황은 본선용 1,593여대, 터널용 2,203여대 등이다.

한국도로공사는 교통흐름을 확인하기 위해 설치한 교통관리용 CCTV는 개인정보와 관련된 사항은 수집하지 않고 있다고 밝혔다. CCTV 교통정보 수집시스템에 대해서는 외부 접근제한을 위해 교통센터 출입통제 및 서버실 제한구역을 설정하고, CCTV망을 독립된 자가통신망으로 구성하고 있다고 전했다. 또한, 방화벽을 설치· 운영하고, 서버 및 운영 PC에 ID, 패스워드를 설정하고 있다.

지난해부터는 국정원 보안인증프로그램을 설치해 외부접근에 대한 보안·통제를 강화하고 있으며, CCTV 운영과 관련한 보안교육을 실시하고 있다고 설명했다. 이와 함께 향후 정부차원의 내부통제 시스템에 대한 구체적인 가이드라인이 확립되면 현재 시스템을 면밀히 진단하여 시스템 보완에 적극 나설 계획이라고 밝혔다.

▲ 한국토지주택공사-LH 개인영상정보 보호시스템

한국토지주택공사는 LH 개인영상정보보호 시스템에 대해 소개했다. 현재 CCTV는 LH 본사 사옥 및 지역본부 사옥 등 14개소, 총 763대가 설치돼 있다고 밝혔다. CCTV 시스템은 외부 인터넷망과 단절해 내부망으로만 운영하고 있고, CCTV 모니터링은 통제구역인 방재실에서 수행하고 있다고 설명했다.

CCTV 운영 및 관리현황에 대해 한국토지주택공사는 ‘임대주택 CCTV 운영·관리지침’ 제정에 따른 영상정보에 대한 접근권한으로 관리책임자, 안전관리자, 공사 임대 자산관리부장·관리책임 등으로 영상정보 접근권한을 구분하고 있다.

또한, LH 개인영상정보 보호시스템 관리실태에 대한 정기적·비정기적인 점검과 내부관리자의 교육훈련을 실시하고 있다. 이 결과 현재 LH에서 관리 중인 아파트에서 개인영상정보 유출 및 오·남용 사고 발생사례는 없었다는 게 LH 측의 설명이다.

그러나 시스템 도입시 막대한 예산이 추가로 소요된다는 점과 CCTV 관리자 불신에 따른 사기 저하 가능성을 우려했다.

향후 조치사항으로 한국토지주택공사는 기존 설비의 노후화 및 취약성 여부와 함께 개인정보관리상태에 대한 점검을 강화할 계획이다. 또한, 방재실 내부 감시용 CCTV를 추가 설치할 계획이라고 덧붙였다.

▲ 인천국제공항공사-개인영상정보 내부통제시스템 운영 현황

인천국제공항공사는 개인영상정보 보호와 관련해 지난 2008년부터 영상기록관리 시스템(IRMS)을 도입·운영하고 있다. 영상기록관리 시스템은 개인영상정보 관리 기능을 수행하는 시스템으로, 영상관리, DB관리, 제공관리, 로그관리, 운영자 관리 기능 등으로 운영되고 있다. 이를 바탕으로 CCTV 영상데이터를 암호화해 저장하고 인가된 운영자에 의해 조회 및 반출 등의 내부통제 관리기능을 수행하고 있다. 또한, 영상정보에 대한 접근은 영상기록관리 시스템을 통해서만 가능하고, 이외의 접근은 자동 통제하고 있어 위·변조가 불가능하다는 게 공사 측의 설명이다.

향후 추진방향으로 인천국제공항공사는 영상정보에 대한 통제 및 관리능력 향상을 위해 개인영상정보보호관리 시스템(VPMS) 도입 여부를 검토하고 있는 것으로 알려졌다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)