<기업 자문 사례>

시선추적(eye tracking)을 위한 카메라 설치가 유발할 수 있는 개인정보보호법상 쟁점

* 위 의뢰인의 경우 개인정보보호법 제2조 제5호에서 규정하는 ‘개인정보처리자’에 해당할 수 있으며 다음과 같은 법적 쟁점이 발생할 수 있습니다.

<법적 쟁점>

가. 시선정보 수집 관련 개인정보자기결정권 침해 및 개인정보보호법 위반 여부

개인정보자기결정권이란 헌법 제10조의 인간의 존엄과 가치, 행복추구권과 헌법 제17조의 사생활의 비밀과 자유에서 도출되는 기본권으로서 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 정보주체가 스스로 결정할 수 있는 권리입니다. 개인정보자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 인격주체성을 특징짓는 사항으로서 개인의 동일성을 식별할 수 있게 하는 일체의 정보를 의미합니다. 개인정보보호법 제2조 제1호 역시 ‘개인정보’에 대한 정의를 규정하며 특히 나목은 “해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다”고 규정하고 있습니다.

개인정보보호법 제23조 및 동법 시행령 제18조는 아래와 같이 민감정보의 처리 제한을 규정하고 있습니다.

개인정보보호법 제23조(민감정보의 처리 제한) ① 개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. <개정 2016. 3. 29.> 1. 정보주체에게 제15조제2항(개인정보의 수집×이용) 각 호 또는 제17조제2항(개인정보 제공) 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우 ② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다. <신설 2016. 3. 29.> 개인정보보호법 시행령 제18조(민감정보의 범위) 법 제23조제1항 각 호 외의 부분 본문에서 “대통령령으로 정하는 정보”란 다음 각 호의 어느 하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의 어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016. 9. 29., 2020. 8. 4.> 1. 유전자검사 등의 결과로 얻어진 유전정보 2. 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보 3. 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보 4. 인종이나 민족에 관한 정보

또한 개인정보보호위원회가 2021. 9. 개정발간한 ‘생체정보 보호 가이드라인’에서 ‘생체정보’란 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 (1) 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 (2) 특정 개인을 인증·식별하거나 (3) 개인에 관한 특징(연령·성별·감정 등)을 알아보기 위해 (4) 일정한 기술적 수단을 통해 처리되는 정보라고 규정하고 있습니다.

시선정보의 경우 비록 직접적으로 개인을 식별하지 않는다고 하여도 개인정보보호법 시행령 제18조 제3호에서 규정하는 ‘개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보’ 또는 위 생체정보 보호 가이드라인에서 규정하는 생체정보에 해당할 수 있습니다. 즉, 카메라를 설치하여 위와 같은 정보를 수집할 경우 수집대상 개인이 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 정보주체가 스스로 결정할 수 있는 권리(개인정보자기결정권)을 침해할 소지가 있습니다.

따라서 개인정보보호법 제23조 제1항 단서 각호에 따라 (1) 정보주체의 동의가 있거나 (2) 법령상 허용되는지 여부를 검토해야 하고 생체정보 보호 가이드라인을 준수해야 합니다.

나. 카메라 설치 관련 개인정보보호법 위반 여부

개인정보보호법 제25조는 영상정보처리기기의 공개된 장소 및 사생활 침해 우려가 있는 장소에서의 설치×운영을 원칙적으로 금지하고, 설치 목적 외 임의조작과 녹음을 금지하고 있습니다. 다만 관련 법령에 영상정보처리기기의 설치 및 운영을 예외적으로 허용하는 규정이 있으므로 귀하의 경우 예외사유에 해당하는지 검토할 필요가 있습니다.

* 위 영문 개인정보보호Privacy Notice 살펴본 사안과 쟁점에 국한하여 의뢰인의 업무 판단 및 처리에 도움을 드리기 위한 목적으로 직접 작성 하였으므로 다른 용도 또는 의뢰인 이외의 제3자가 사용할 수 없으며, 본 이용약관을 이용하고자 하실 때에는 반드시 본 법률사무소의 동의를 받으시기 바랍니다.