질문 요지

얼굴 정보(사람의 얼굴을 나타내는 사진·영상·측정값 등)가 개인정보 보호법상 “민감정보(민감한 개인정보)”에 해당하는지 여부를 예시와 법적 해석을 통해 정리합니다. 결론과 실무적 유의사항도 덧붙여, 기관이나 개인이 얼굴 정보를 어떻게 다뤄야 하는지 이해할 수 있도록 설명드립니다.

예시: 얼굴 정보의 유형과 사례

– 사진·동영상 원본
– 스마트폰으로 촬영한 인물사진(셀카 포함)
– CCTV에 촬영된 영상의 특정 인물 장면
– 신분증·여권에 부착된 얼굴 사진
– 생체(바이오메트릭) 데이터로 전환된 정보
– 얼굴의 3차원 좌표(3D 맵)
– 얼굴 특징점을 수치화한 템플릿(얼굴 인식용 feature vector, faceprint)
– 얼굴 인식 알고리즘이 생성하는 식별자(예: 얼굴 임베딩)
– 비식별·집계된 얼굴 정보
– 얼굴을 흐리게 처리하거나(블러) 특징을 제거해 개인 식별이 불가능하게 한 이미지
– 통계 목적의 집계 데이터(연령대·성별 분포 등)로 개인을 식별할 수 없는 경우
– 실생활 사례
– 출입통제 시스템에서 얼굴인식으로 신원확인 시 생성되는 얼굴 템플릿
– 공공장소 CCTV에서 범죄 예방 목적으로 사람 흐름 분석(익명화 여부가 쟁점)
– 모바일 앱에서 로그인 편의를 위해 얼굴 인증을 저장·처리하는 경우

분석: 얼굴 정보가 민감정보에 해당하는지에 대한 법적 해석

– 민감정보의 개념과 얼굴 정보의 관계
– 최근 개정된 개인정보보호법(개인정보보호법)은 유전정보·생체정보 등을 민감정보 범주에 포함시키는 등 민감정보의 범위를 확대하였습니다. 특히 “생체정보”는 개인을 식별하는 데 사용될 수 있는 신체적·행동적 특성을 전자적 형태로 변환한 정보를 의미하므로, 얼굴의 수치화된 템플릿·얼굴 임베딩 등은 생체정보에 해당할 가능성이 높습니다.
– 사진 자체(원본 이미지)의 법적 지위
– 단순한 사진이라도 그 사진을 통해 특정 개인을 식별할 수 있다면 개인정보에 해당합니다. 얼굴 사진이 식별 가능성을 가지는 경우(예: 해상도가 높아 개인을 인지할 수 있는 경우)에는 개인정보로 보호되며, 처리 목적·방법에 따라 민감정보로 평가될 여지가 있습니다.
– 반면에 철저히 익명화되어 개인 식별이 불가능한 상태(되돌리기 불가능한 비식별화)를 입증할 수 있으면 민감정보 해당 여부에서 벗어날 수 있습니다.
– 얼굴 템플릿·얼굴 임베딩 등은 민감정보 가능성 큼
– 얼굴인식 시스템이 생성하는 템플릿은 개인을 식별·추적하는 데 직접 사용되므로 대부분의 경우 생체정보로 보아 민감정보 처리 제한의 대상이 됩니다.
– 처리 목적과 맥락의 중요성
– 동일한 얼굴 이미지라도 처리 목적(식별·인증 vs. 표현·미적 목적)과 보관·활용 방식에 따라 규율 수준이 달라질 수 있습니다. 예컨대, 연구 목적으로 철저히 익명화된 집계 분석이라면 규제 부담이 경감될 수 있습니다.
– 판례·행정해석 경향
– 개인정보보호위원회 및 판결은 얼굴을 통해 개인을 식별할 수 있는 정보는 생체정보로 취급되며, 민감정보에 준하는 높은 보호 수준을 적용하는 경향이 있습니다. 따라서 얼굴 정보를 식별·인증 목적 등으로 처리할 경우 엄격한 법적 요구사항을 충족해야 합니다.

실무적 유의사항(조치 권고)

– 데이터 수집 단계
– 명확하고 충분한 고지 및 사전 동의: 얼굴 정보를 수집·처리할 때에는 처리 목적, 보관기간, 제3자 제공 여부 등을 구체적으로 고지하고 명시적 동의를 받아야 합니다.
– 최소수집 원칙 적용: 처리 목적에 필요한 최소한의 얼굴 데이터만 수집합니다(예: 인증을 위해 템플릿만 저장하고 원본 이미지는 즉시 삭제).
– 저장·처리·전송 단계
– 암호화·접근통제: 얼굴 템플릿·이미지 등 민감정보로 볼 수 있는 데이터는 암호화하고 권한 있는 사람만 접근하도록 합니다.
– 익명화·가명화 우선 적용: 연구나 통계 등 식별 불필요한 목적이라면 비식별화(또는 가명화)를 적극 적용합니다.
– 보유기간 최소화: 목적 달성 후 즉시 파기하거나 보관기간을 최소화합니다.
– 내부 관리와 책임
– 개인정보 영향평가(PIA) 수행: 얼굴 정보를 대규모로 처리하거나 민감도가 높은 경우 사전 영향평가를 실시하여 위험을 식별·완화합니다.
– 책임자 지정 및 교육: 개인정보 보호책임자를 지정하고 담당자에게 관련 법규와 기술적 보호조치를 교육합니다.
– 제3자 제공·국외 이전
– 제3자 제공 시 별도의 동의 필요: 민감정보로 보이는 얼굴 자료를 제3자에게 제공할 때는 원칙적으로 명시적 동의가 필요합니다.
– 국외 이전 시 보호 수준 확인: 해외로 이전하는 경우 상대국의 보호수준과 추가적 안전조치를 검토합니다.

결론

– 요약 결론
– 일반적으로 얼굴 정보 중에서도 ‘개인을 식별할 수 있는’ 사진·영상 및 특히 얼굴을 수치화한 템플릿(얼굴 임베딩 등)은 생체정보로서 민감정보에 해당할 가능성이 높습니다. 따라서 개인정보보호법상 민감정보 처리 제한 규정이 적용되어 엄격한 동의·안전조치·목적 제한 등이 요구됩니다.
– 반면, 완전한 비식별화(식별 불가능)를 객관적으로 입증할 수 있는 경우에는 민감정보 범주에서 제외될 수 있으나, 익명화의 적정성은 신중히 검토해야 합니다.
– 실무적 결론
– 얼굴 정보를 다루는 기관·기업은 초기 설계 단계부터 개인정보 보호 관점을 반영하고, 명확한 고지·명시적 동의, 가명화·암호화, 보관기간 최소화, 개인정보 영향평가 등 법적·기술적 안전조치를 충실히 이행해야 합니다.
– 권고
– 구체적 사례에 따라 적용되는 규범과 요구사항이 달라질 수 있으므로, 얼굴 정보를 본격적으로 수집·처리하기 전에는 개인정보보호 관련 내부 검토 및(필요 시) 법률 자문을 받으시길 권고드립니다.

관련조문(참고)

– 개인정보보호법 제2조(정의) — 개인정보·민감정보(민감한 개인정보), 생체정보 등의 개념 정의를 포함하여 개인정보의 범주와 용어를 규정합니다. (관련 정의는 법령의 최신 본문을 확인하시기 바랍니다.)
– 개인정보보호법 제23조(민감정보의 처리 제한) — 민감정보는 원칙적으로 처리하지 못하며, 예외적으로 법령상 근거가 있거나 정보주체가 별도로 명시적 동의를 한 경우 등에 한해 처리할 수 있음을 규정합니다.
– 개인정보보호법 제24조(고유식별정보의 처리 제한) — 주민등록번호 등 고유식별정보의 처리에 대한 제한 및 예외를 규정합니다. 얼굴 정보를 통해 개인을 고유하게 식별하는 경우 유사한 엄격한 규제가 적용될 수 있습니다.
– 개인정보보호위원회 고시·행정해석 — 얼굴정보·생체정보의 처리에 관한 구체적 가이드라인 및 기술적·관리적 보호조치(예: 비식별화 방법, 영향평가 기준 등)를 제공하고 있으므로, 관련 고시·가이드라인을 참고하시기 바랍니다.

(참고) 위 관련조문은 법령 개정 등에 따라 내용과 조문번호가 변경될 수 있으니, 최신 법령 원문과 개인정보보호위원회의 가이드라인을 함께 확인하시기 바랍니다.