정혜원 개인정보위 조사총괄과장이 27일 정부 서울청사에서 '출입국관리 AI 식별추적시스템 구축사업 개인정보보호법 위반여부 조사결과'에 대해 브리핑 하고 있다.[사진=개인정보위]
법무부가 출입국 심사 고도화를 위해 추진해온 인공지능(AI) 시스템 구축 사업을 추진하는 과정에서 중앙행정기관 최초로 개인정보보호법을 위반해 과태료 처분을 받는 불명예를 안았다. 내·외국인의 개인정보를 대거 유출했다는 의혹은 법무부가 위탁사업자를 제대로 공개하지 않아 발생한 '해프닝'이었지만, 법 행정 주무부처로서 체면을 세우지 못하게 됐다.
27일 개인정보보호위원회는 정부 서울청사에서 제7회 전체회의를 열고 법무부 인천공항 출입국·외국인청의 개인정보 보호법 위반 행위를 심의하고 그 결과를 발표했다.
개인정보위에 따르면 법무부는 과학기술정보통신부와 함께 출입국 심사 고도화를 위한 'AI 식별추적 시스템 개발사업'을 2019년부터 추진해왔다. 이 사업은 출입국 심사 고도화를 위한 AI 안면인식, CCTV 활용 출입국 심사장 이상행동 추적 등 2개 영역으로 나뉘어 진행됐다.
문제는 법무부가 AI 안면인식 사업시 위탁사업자를 공개하지 않았다는 점이다. 이 상태에서 사업 수탁사는 서울 상암동 실증랩에서 입출력 기능이 없는 단말기로 인천공항 내 학습용 데이터베이스(DB)에 접근했다. 이를 활용해 AI 식별추적 알고리즘을 고도화하는 데에 썼다. 모두 법무부 사업의 일환으로 실시된 정상 수순이었다. 해당 DB에는 법무부가 출입국관리법에 따라 수집한 내국인 5760만건과 외국인 1억2000만건의 개인정보가 포함돼 있었다. 일방향 암호화를 수행한 여권번호, 국적, 생년, 성별, 안면 이미지 등 정보를 모두 아우른다.
이날 개인정보위는 "법무부는 민간업체와 위수탁 계약을 맺은 사실과 해당 수탁사를 홈페이지 등에 공개하지 않았다"며 "이는 보호법 제26조제2항 위반"이라고 밝혔다. 다만, 현재까지 외부로 반출된 개인정보나 AI 알고리즘은 없는 것으로 확인됐다고 덧붙였다.
◆ AI 학습에 '민감정보' 사용…'법적으로 허용 범위' 인정돼
정혜원 개인정보위 조사총괄과장은 브리핑 자리에서 "학습용 DB에서 개인정보나 알고리즘이 반출된 건 없다"면서 "현재 학습용 DB 역시 모두 파기됐다"고 강조했다.
개인정보위는 법무부가 출입국 심사 AI 알고리즘 학습에 활용한 정보는 민감정보지만 출입국관리법에 따라 적법하게 처리된 것으로 판단했다. 출입국관리법상 지문·얼굴·홍채 등 생체정보를 이용한 본인 확인이 가능하도록 법적 근거를 두고 있고, 출입국 심사 시 생체정보 활용이 가능하다고 규정했기에 민감정보 처리 허용으로 해석하는 게 타당하다고 봤다. 또한 법무부가 자체 보유한 안면 정보를 출입국 심사 AI 개발에 활용한 것은 목적 범위 내 이용에 해당한다는 입장이다.
◆ 과태료 절반 감면돼…개인정보위 "빠른 시정조치 등 고려"
개인정보위는 보호법 제75조제4항제5호에 따라 법무부에 과태료 100만원을 부과했다. 같은 법 조항에 따르면 과태료 부과 대상자는 시행령상 보호법 위반 횟수가 3년 내 3번 이상이면 800만원, 처음 위반하면 200만원을 지불해야 한다.
법무부는 학습용 DB 삭제 등의 시정조치를 빠르게 완료해 100만원 감경 조치를 받았다. 개인정보위가 과태료 결정 후속조치로, 납입 고지서를 발송하면 법무부는 과태료를 납부하게 된다.
정 과장은 "법무부가 위반 행위를 시정 완료했고, 학습용 DB를 삭제했으며 위법성 판단을 위한 자료를 적극적으로 제출한 점을 고려해 과태료를 감경했다"고 말했다.
