지문·홍채 등 신원확인 용도로 널리 쓰이는 '바이오정보'를 보호하기 위한 6대 원칙이 포함된 정부 가이드라인이 나왔다. 지문·홍채 등 원본 정보를 처리한 후에는 원칙적으로 파기토록 하고, 모든 구간에서 바이오정보를 암호화해 전송하고 보관토록 명시했다.
방송통신위원회과 한국인터넷진흥원(KISA)은 지문·홍채 등 바이오정보가 스마트폰 잠금해제, AI 음성비서 등으로 활용이 증가함에 따라 '바이오정보 보호 가이드라인'을 마련해 시행한다고 12일 밝혔다.
바이오정보는 신원확인 용도로 널리 쓰이고 있으나 유출 시 변경이 어려워 지속적으로 악용될 수 있고, 인종·병력 등 부가적인 정보가 추출될 우려도 있어 보호의 필요성이 큰 개인정보이다. 그동안 바이오정보는 현행 정보통신망법상 개인정보 관련 법령 및 고시에 따라 일반 개인정보로서 보호되고 있었으나 암호화 저장 이외에는 명시적 규정이 부재했다.
우선 가이드라인은 바이오정보 개념을 '지문, 홍채, 음성, 필적 등 개인의 신체적·행동적 특성에 관한 정보로서 개인을 인증 또는 식별하기 위해 기술적으로 처리되는 개인정보'로 명확히 규정했다. 기술적 처리란 센서 입력장치 등을 통해 이미지 등 원본 정보를 수집·입력하고 해당 원본 정보로부터 특징점을 추출하는 등 개인을 인증 또는 식별하기 위해 전자적으로 처리되는 전 과정을 말한다.
가이드라인 적용 대상 사업자에는 바이오정보를 직접 처리하는 정보통신서비스 제공자뿐만 아니라 바이오정보를 직접 처리하지 않지만 인증결과 값 등을 전송받는 사업자, 스마트폰 등 기기 제조업자, 바이오정보가 활용되는 앱 개발자 등도 포함된다. 가이드라인은 이들이 지켜야 할 일반적 '6대 원칙'으로 '비례성', '수집·이용 제한', '목적 제한', '통제권 보장', '투명성', '바이오정보 보호 중심 설계 및 운영' 등을 제시했다.
수집·입력 단계에서는 실리콘 인공지문 등 위·변조된 바이오정보가 처리되지 않도록 적절한 보안조치를 취하고, 바이오정보가 암호화 저장되기 전까지 유출되지 않도록 전송구간을 암호화해야 한다. 저장·이용 단계에서는 원본정보와 특징정보 모두 안전한 알고리즘으로 암호화해 저장해야 한다. 또 바이오정보를 서버로 전송하는 경우 유출 피해 범위가 커질 수 있으므로 기기 내 안전한 영역에서 처리하는 방식을 우선적으로 고려해야 한다.
파기 단계에서 원본정보는 특징정보 생성 시 그 목적이 달성된 것으로 볼 수 있으므로 지체 없이 파기토록 했다. 예외적으로 이용자의 별도 동의를 받아 원본정보를 이용하는 경우 해당 이용자의 다른 개인정보와 분리해 별도로 저장·관리토록 권고했다.
이효성 방통위 위원장은 "가이드라인을 통해 국민이 안심하고 지문, 홍채 등을 활용한 서비스를 이용할 수 있는 토대가 마련되길 바란다"고 말했다. 이경탁기자 kt87@dt.co.kr
방송통신위원회과 한국인터넷진흥원(KISA)은 지문·홍채 등 바이오정보가 스마트폰 잠금해제, AI 음성비서 등으로 활용이 증가함에 따라 '바이오정보 보호 가이드라인'을 마련해 시행한다고 12일 밝혔다.
바이오정보는 신원확인 용도로 널리 쓰이고 있으나 유출 시 변경이 어려워 지속적으로 악용될 수 있고, 인종·병력 등 부가적인 정보가 추출될 우려도 있어 보호의 필요성이 큰 개인정보이다. 그동안 바이오정보는 현행 정보통신망법상 개인정보 관련 법령 및 고시에 따라 일반 개인정보로서 보호되고 있었으나 암호화 저장 이외에는 명시적 규정이 부재했다.
우선 가이드라인은 바이오정보 개념을 '지문, 홍채, 음성, 필적 등 개인의 신체적·행동적 특성에 관한 정보로서 개인을 인증 또는 식별하기 위해 기술적으로 처리되는 개인정보'로 명확히 규정했다. 기술적 처리란 센서 입력장치 등을 통해 이미지 등 원본 정보를 수집·입력하고 해당 원본 정보로부터 특징점을 추출하는 등 개인을 인증 또는 식별하기 위해 전자적으로 처리되는 전 과정을 말한다.
가이드라인 적용 대상 사업자에는 바이오정보를 직접 처리하는 정보통신서비스 제공자뿐만 아니라 바이오정보를 직접 처리하지 않지만 인증결과 값 등을 전송받는 사업자, 스마트폰 등 기기 제조업자, 바이오정보가 활용되는 앱 개발자 등도 포함된다. 가이드라인은 이들이 지켜야 할 일반적 '6대 원칙'으로 '비례성', '수집·이용 제한', '목적 제한', '통제권 보장', '투명성', '바이오정보 보호 중심 설계 및 운영' 등을 제시했다.
수집·입력 단계에서는 실리콘 인공지문 등 위·변조된 바이오정보가 처리되지 않도록 적절한 보안조치를 취하고, 바이오정보가 암호화 저장되기 전까지 유출되지 않도록 전송구간을 암호화해야 한다. 저장·이용 단계에서는 원본정보와 특징정보 모두 안전한 알고리즘으로 암호화해 저장해야 한다. 또 바이오정보를 서버로 전송하는 경우 유출 피해 범위가 커질 수 있으므로 기기 내 안전한 영역에서 처리하는 방식을 우선적으로 고려해야 한다.
파기 단계에서 원본정보는 특징정보 생성 시 그 목적이 달성된 것으로 볼 수 있으므로 지체 없이 파기토록 했다. 예외적으로 이용자의 별도 동의를 받아 원본정보를 이용하는 경우 해당 이용자의 다른 개인정보와 분리해 별도로 저장·관리토록 권고했다.
이효성 방통위 위원장은 "가이드라인을 통해 국민이 안심하고 지문, 홍채 등을 활용한 서비스를 이용할 수 있는 토대가 마련되길 바란다"고 말했다. 이경탁기자 kt87@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
