공개된 개인정보 보호체계 미흡

친젠싱 覃建行 <차이신주간> 기자
 

노란색 공구상자에 올라선 작업자가 승강기 위쪽으로 손을 뻗어 바쁘게 움직였다. 바닥에는 공구가 흩어져 있고, 좁은 승강기에는 다른 사람이 들어갈 틈이 없었다. 이 모습을 본 입주민은 늘 타고 다니는 승강기에 무엇을 설치하고 있는지 궁금했다. 입주민이 물어보자 작업자는 “광고를 내보내는 설비다. 단순한 광고판처럼 보이지만 내부에 얼굴인식 기능이 숨어 있다”고 말했다.

2019년 9월 중국 상하이시 창닝구의 아파트 단지에서 있었던 일이다. 일부 아파트 단지가 비용 절약을 위해 광고와 얼굴인식 장비를 교환하는 방법을 선택했다. 비슷한 시기에 난징 중국약학대학 강의실에 얼굴인식 장비가 설치됐다. 출결을 확인하는 기능 외에 졸거나 딴생각을 하는 등 학생의 수업 태도를 인식할 수 있다.

이런 기능은 학생 사생활을 침해하지 않을까? 보안은 믿을 수 있을까? 언론 취재가 이어지자 레이차오즈 교육부 과학기술사 사장은 2019년 9월 초 공개적으로 “개인정보는 물론 생체정보와 관련된 데이터를 적게 수집하는 등 신중하게 처리하고 있다”고 밝혔다.

 

얼마 지나지 않아 항저우의 동물원에서 얼굴인식을 거쳐 입장하도록 강제하자 관람객이 소송을 제기했다. ‘얼굴인식 1호 사건’이라 불리는 이 소송으로 과도한 개인정보 수집과 상업 목적의 오·남용 등 정보 보안과 개인 권리를 둘러싼 논쟁이 시작됐다.   

얼굴인식 결제와 출입관리, 근태관리, 원격카드 결제, 보안, 테러 대비, 스마트커뮤니티, 지하철 교통 등 여러 분야에서 얼굴인식 기술이 쓰였다. 상업화 범위를 넓혀 대중이 보고도 그냥 넘기거나 의식하지 못하는 응용서비스가 급증했다. 회사 출입구에 설치된 얼굴인식 보안 시스템이나 호텔과 대중교통 정류장에 있는 얼굴인식 장비는 이제 익숙하지만 수집한 데이터 활용과 응용 한계를 묻는 사람은 없다. 고객이 쇼핑센터 문을 들어서는 순간부터 고지하지 않은 상황에서 얼굴이 찍힌다. 이 사진은 쇼핑센터가 매출을 올리는 ‘비결’이 되었다. 

얼굴인식 기술이 교실과 승강기 등 새로운 공공장소로 진입하자 대중은 잠재된 위험을 스스로 통제할 수 없다는 경각심을 갖기 시작했다. 자신의 얼굴 정보가 신분증 번호, 구매 습관, 금융대출 등 개인정보와 연결될 수 있기 때문이다.

중국에서는 개인정보 보호 법률이 아직 마련되지 않았다. 개인정보 수집과 사용, 권리침해를 규제하는 조항이 인터넷보안법, 소비자권익보호법, 형법, 민법 총칙 등 여러 법률에 흩어져 있다. 체계적이지 않고 적용하기 어렵다. 보안 전문가와 법률학자는 기술 자체가 위험하진 않지만 법률과 관련 규제가 부족하다며, 법률과 윤리적 규제를 강화해야 한다고 말한다. 정부와 기업, 개인이 모두 얼굴인식 기술을 응용하고 정보를 수집하는 당사자가 될 수 있는 지금 기술 응용 한계는 어디까지일까?

 

얼굴인식 기술이란 사람 얼굴의 특징으로 신원을 식별하는 생체인식 기술이다. 정지됐거나 움직이는 영상을 찍은 뒤 이미 등록된 얼굴 정보와 대조해 신원을 확인한다. 반테러법과 인터넷보안법 등에 따르면, 중국 국민은 숙박과 통행은 물론 단문 메시지 서비스를 이용할 때도 신원 확인이 필요하다. 얼굴인식은 안전하고 편리한 특성 때문에 신원 확인에 널리 쓰인다.

사람 얼굴은 이론적으로 유일성이 있고 신원정보와 결합해 광범위하게 응용할 수 있다고 전문가들은 말한다. 중상산업연구원의 ‘2019년 중국 얼굴인식 산업 시장전망 연구보고서’에 따르면 2018년 중국 시장의 규모가 100억위안(약 1조7천억원)을 넘어섰다. 여러 산업으로 퍼져 2019년에는 120억위안 규모에 이를 것으로 전망했다.

대중은 이미 얼굴인식을 통한 호텔, 공항, 기차역의 신원 확인이나 대학, 아파트단지, 기업의 출입통제를 자연스럽게 받아들인다. 2018년부터 얼굴인식이 주요 결제 방식이 됐다. 병원에서 접수번호를 파는 브로커가 활개를 치자 베이징시 위생건강위원회는 2019년 2월까지 브로커 2100여 명의 정보를 관내 대형병원 얼굴인식 시스템에 입력했다고 밝혔다. 상하이시 위생건강위원회는 푸단대학 부속 암병원이 최근 특진 예약을 위한 얼굴인식 시스템을 도입했다고 공개했다. 얼굴인식 기술 보급은 정부의 적극적인 지원과 관계있다. 상하이 뤄마화원 주민위원회 간사는 “승강기에 얼굴인식 장비를 설치하는 건 시의 스마트시티 추진 등에 관한 규획과 지침에 부합한다”고 말했다.

 

얼굴인식 카메라가 사람과 함께 있는 시간이 길어질수록 알고리즘이 사람 행동을 더 많이 분석했고, 불안과 우려도 따라왔다. 대중이 참여할 수 있는 응용서비스로 얼굴인식 장비가 학교와 교실에 들어가면서 일어난 논란이 사회적 주목을 받았다. 안후이성 마안산시 제2중고등학교 학생들은 사회관계망서비스(SNS)를 통해 교실에 얼굴인식 장비가 설치된다는 소식을 알았다. “오늘 학교에 ‘모니터링 기자재’라고 쓰인 상자를 보게 될 것입니다. 수업 중 국기 옆에 낯선 물건이 있더라도 당황하지 마세요, 얼굴인식 시스템입니다.” 

교실 앞쪽에 하얀색 거치대와 카메라로 구성된 장비가 설치됐고, 교실 문 앞에 설치된 모니터와 연동됐다. 학생들은 이 장비를 ‘톈옌시스템’(天眼系統)이라고 불렀다. 2018년 5월 항저우 제11중고등학교에 ‘스마트교실 행동관리시스템’을 설치했을 때 언론에서 붙인 이름이다. 

마안산 제2중고등학교 학생들은 뉴스에 보도된 것과 똑같이 생긴 감시카메라를 발견했다. 일부 학생은 학교에서 동의를 받지 않고 얼굴인식 기능을 갖춘 카메라를 설치해 사생활을 침해했다고 생각했다. 종이와 테이프로 카메라를 가리거나 엽기적 표정을 짓거나 손가락 욕을 하고 찍은 사진을 SNS에 올리는 방식으로 항의했다.

이 학교에서 학생교장비서를 맡은 학생은 수업 시작 20분이 지나면 카메라가 모든 학생 사진을 찍었다며, 입학 때 등록한 신분증 사진과 대조해 학생이 교실에 있는지를 확인했다고 말했다. 카메라가 찍은 사진을 교실 문에 설치된 모니터에서 볼 수 있었다. 확인하지 못한 학생이 있으면 그 학생 신분증 사진에 ‘미인식’이란 표시가 붙었다.

“회전 카메라가 30초마다 학급 모습을 스캔했다. 수업이 끝나면 모니터에 졸거나, 몰래 스마트폰을 만지거나, 책을 읽고 수업을 듣고 글씨를 쓴 행동의 횟수가 나왔다.” 이런 상황을 학생들이 비판하자, 학교는 이동식 수업 출석을 확인하고 교사 강의를 평가하기 위한 것이지, 학생 개인 데이터를 수집하지 않는다고 답변했다. 순조롭게 운영되면 학기 말에 빅데이터를 이용한 학습 보고서를 학급 담임에게 전달해 학생 학습 진도를 조정하는 데 도움을 줄 것이라고 했다.

마안산 제2중고등학교는 지금까지 이 시스템을 적용하지 못했다. 이동식 수업을 하지 않았다. 대다수 학급 모니터가 꺼져 있고, 수업 때 찍은 학생 사진이 나오지 않았다. “졸업생이 가장 큰 목소리를 냈다. 그들은 이렇게 사생활을 침해하는 조처가 있어서는 안 된다고 생각했다.” 이 학교 학생이 말했다. 교학처 직원은 모니터가 꺼져 있지만 시스템은 계속 작동한다고 설명했다. 그러나 학생 행동을 인식하는 기능을 많이 쓰지 않는다며 “그 기능을 쓰려면 시스템을 확장해야 하기 때문”이라고 말했다.

중국약학대학의 얼굴인식 사건이 여론의 관심을 받자, 학교 쪽은 공안부서와 법무부서에 문의한 결과 교실은 공공장소이므로 사생활 침해에 해당하지 않는다는 답변을 받았다고 밝혔다.

 

사생활 보호는 얼굴인식 기술을 보급하는 과정에서 가장 많이 부딪히는 문제다. 전문가들은 얼굴인식으로 일어나는 사생활 침해 위험을 관련 알고리즘, 다른 데이터와 묶어서 생각해야 한다고 지적했다. “얼굴인식은 단순히 얼굴 정보를 확보하는 일이 아니다. 얼굴 특징을 식별 요소로 삼아 신원을 인증하고 다른 데이터와 함께 ‘사용자 페르소나(가면)’를 만들어 개인의 정서, 성격, 구매력, 흥미 등의 정보를 얻어낸다. 개인이 공개하길 원치 않는 내용이 있으면 사생활 침해 문제가 된다.” 거신 중국정보통신연구원 보안연구소 연구원이 말했다.  

얼굴 특징 자체는 사생활 정보가 아니다. 하지만 직관적 식별 가능성과 고유성, 불가역성 등으로 여러 위험이 잠재돼 있다. 2018년 5월 실시한 권고 성격의 국가표준인 ‘정보보안기술 개인정보보안규범’은 ‘얼굴인식 특징’을 개인의 민감한 생체인식 정보로 규정했다. “유출이나 불법 제공, 남용으로 신체와 재산의 안전이 위협받을 수 있고 개인의 명예와 신체 건강이 침해당하거나 차별적 대우를 초래할 가능성이 큰 개인정보다.” 

홍채와 지문 등 다른 생체인식 정보보다 얼굴 정보의 특징은 자연성과 비접촉성이다. 거신 연구원은 “얼굴정보를 수집하고 사용할 때 개인이 직접 장비에 접촉하지 않아도 되기 때문에, 개인이 얼굴정보가 수집됐거나 사용된 것을 알지 못할 수 있다”고 말했다.

이런 상황은 공포를 불러온다. “몇 년 전까지만 해도 스스로 얼굴 정보를 통제할 수 있었다. 스마트폰 얼굴인식 결제는 지문 결제에서 방법만 바꾼 것이어서 익숙했다. 내가 자발적으로 제공하고 내 얼굴을 스캔하도록 강제하는 사람이 없다. 얼굴인식이 싫으면 비밀번호를 누르면 그만이다. 하지만 2019년부터 상황이 약간 이상해졌다.” 허옌저 중국전자기술표준화연구원 정보보안연구센터 심사부 기술책임자가 말했다. “얼굴인식 응용이 늘어날수록 대중의 선택권이 줄었다. 보안 등 공공의 이익이나 상업적 목적으로 설치한 얼굴인식 장비를 보이지 않는 곳에 감춘다. 얼굴을 스스로 통제할 수 없게 됐다.”

눈으로 볼 수 있는 상황에서도 선택권은 중요하게 다뤄지지 않았다. 얼굴인식 1호 사건에서 항저우야생동물원은 관람객이 출입구를 통과할 때 지문인식 대신 얼굴인식으로 시스템을 바꾸었다. 연간 회원인 궈빙 저장이공대학교 법정대 부교수는 반드시 얼굴정보를 등록해야 하고 연간 회원권료를 환불해주지 않는다는 이유로 동물원을 고소했다.

“사실상 선택의 여지가 없었고 들어가려면 얼굴을 스캔해야 했다. 개인정보를 고려해 기존에 사용하던 지문인식이나 카드 등 대체 수단을 마련해야 했다.” 허옌저는 일률적으로 얼굴인식 기술을 보급하면 안 되고, 충분히 고지한 상태에서 선택권을 보장해 반감을 줄여야 한다고 지적했다. 논란이 된 사례를 보면 학생이나 주민은 강제로 얼굴 정보를 제공해야 했다.

대중이 인지하지 못한 상태에서 얼굴 정보를 수집하면 더 큰 위험이 따를 수 있다. 고객 통계 서비스를 제공하는 얼굴인식 장비 판매자는 쇼핑센터, 마트, 매장 출입구에 설치한 장비가 모든 고객을 무차별적으로 촬영하고 내장된 알고리즘이 고객의 성별, 나이, 구매 규모, 재방문, 차림새, 습관 등을 분석한다고 말했다. 

그가 제공한 시범 계정으로 시스템을 사용해봤다. 관리자 모드에서 수집한 정보를 분류하고 회원 정보를 입력하며 고객의 소비 습관을 추적한다. 설정이 끝나면 고객이 매장 입구에 들어섰을 때 직원에게 알람이 울린다. 그는 아직 관련 법이나 규정이 없고 정부기관에 신고할 필요도 없다며, 장비를 산 뒤 바로 사용하면 된다고 말했다. “수집한 데이터가 모두 사생활 정보는 아니지만 그래도 왠지 불안하다. 이런 불안감은 정보 비대칭에 원인이 있다. 이렇게 많은 내 정보를 무엇에 쓰려는 것일까? 남용하진 않을까? 내 개인정보는 안전할까? 함부로 쓰지 않는다고 해도 다른 사람이 도용하면 어떻게 될까?” 왕시신 베이징대학 법학원 교수는 “신원을 확인하기 위해 사용하는 얼굴인식 자체는 큰 문제가 없다”며 “대중이 정말 걱정하는 건 데이터의 수집과 전매, 보안 보장, 운영과 감독 문제”라고 말했다.