기사 목차 펼치기 / 접기
인공지능(AI)이 한 사람의 얼굴정보를 100만번 불법 처리했다면 한국에서는 100만번의 손해배상 책임이 생길까.
한국 개인정보보호법에는 최근 주목받고 있는 미국 일리노이주의 생체정보보호법(BIPA·Biometric Information Privacy Act)처럼 위반 횟수에 일정액을 곱해 법정손해배상을 누적하는 구조가 없다. 반복 횟수는 손해배상액을 정할 때 고려할 수 있지만 그 자체가 정액배상의 곱셈을 뜻하지는 않는다.
일리노이주는 반대 방향에서 이 문제를 경험했다. 반복적인 지문 스캔마다 청구가 발생할 수 있다는 판결로 잠재 배상액이 폭증하자 2024년 법을 고쳐 일정한 반복 위반의 배상을 한 차례로 제한했다. AI가 얼굴·음성·지문을 대규모로 자동 처리하는 시대에 두 제도는 개인정보 침해의 규모를 어떻게 법적 책임으로 환산할 것인가라는 같은 문제에 서로 다른 답을 내놓고 있다.
얼굴 사진과 얼굴인식정보, 한·미 모두 구별
두 제도는 보호대상에서는 닮은 점이 있다.
한국 개인정보보호법 시행령 제18조는 개인의 신체적·생리적·행동적 특징에 관한 정보 가운데 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보를 민감정보에 포함한다. 따라서 일반적인 얼굴 사진과 얼굴인식 기술로 특정인을 식별하기 위해 생성한 특징정보는 구별할 필요가 있다.
일리노이주도 BIPA 제10조에서 지문, 망막·홍채 스캔, 음성지문(voiceprint), 손이나 얼굴의 기하학적 스캔 등을 생체식별자(biometric identifier)로 규정하면서 일반 사진은 제외한다.
그러나 침해가 발생했을 때 책임을 묻는 방법은 크게 다르다.
일리노이, ‘스캔 횟수’가 거액 배상으로 번졌다
BIPA의 특징은 피해자에게 직접 소송할 권리를 준다는 점이다. BIPA 제20조는 과실 위반에 1000달러(약 140만원), 고의·무모한 위반에 5000달러(약 700만원) 또는 실제 손해 중 더 큰 금액을 인정하고 변호사 비용과 소송비용도 청구할 수 있도록 한다.
자동화된 생체정보 처리가 이 제도의 파괴력을 키웠다.
일리노이주 대법원은 2023년 Cothron v. White Castle System, Inc.에서 동의 없는 생체정보 수집·전송은 스캔이나 전송이 이뤄질 때마다 청구가 발생한다고 판단했다. 직원이 출퇴근하거나 컴퓨터에 접속할 때마다 지문을 찍었다면 그 횟수가 계속 쌓일 수 있다는 의미였다.
주 의회는 이듬해 법을 고쳤다. 현재 BIPA 제20조(b)·(c)는 같은 사람의 동일한 생체정보를 같은 방법으로 반복 수집한 경우 이를 하나의 위반으로 보고 최대 한 차례만 배상받도록 규정한다. 같은 정보를 동일한 수신자에게 같은 방법으로 반복 제공하는 경우에도 비슷한 제한을 적용한다.
연방 제7항소법원은 4월 1일 Clay v. Union Pacific Railroad Co. 판결에서 이 개정 규정을 법 개정 당시 이미 진행 중이던 사건에도 적용했다. 클레이는 자신의 지문이 약 1500차례 수집됐다고 주장했다. 고의 위반에 종전 계산법을 적용하면 한 사람의 청구만으로도 최대 750만달러(약 105억원)에 이를 수 있었다. 제7항소법원은 개정법이 위법행위의 기준을 바꾼 것이 아니라 이용 가능한 배상 범위를 바꾼 구제적(remedial) 변경이라고 판단했다.
결국 일리노이는 ‘위반 횟수’와 ‘배상 횟수’를 분리했다.
한국은 ‘처리 횟수 × 정액 배상’ 공식이 없다
개인정보보호법 제39조는 법 위반으로 손해를 입은 정보주체에게 손해배상청구권을 인정한다. 일정한 고의·중과실 침해에는 가중적 손해배상도 가능하다. 법원이 배상액을 정할 때는 피해 규모와 기업이 얻은 경제적 이익뿐 아니라 위반행위의 기간·횟수 등도 고려한다.
법정손해배상도 있다. 개인정보보호법 제39조의2는 개인정보가 유출되는 등 일정한 경우 실제 손해액을 입증하는 대신 300만원 이하의 상당한 금액을 손해액으로 청구할 수 있도록 한다.
그러나 이 300만원은 위법한 개인정보 처리 한 번마다 발생하는 정액 배상금이 아니다. 따라서 AI가 한 사람의 얼굴인식정보를 위법하게 100만번 처리했다고 해서 ‘100만회 × 300만원 = 3조원’으로 배상액을 계산하지 않는다.
한국에서 반복 횟수는 배상액을 계속 곱하는 단위라기보다 위반의 심각성과 책임 규모를 판단하는 요소에 가깝다.
집행 방식도 다르다. BIPA에서는 피해자의 직접 소송과 법정손해배상이 강력한 집행수단이다. 한국에서는 개인의 민사상 손해배상과 함께 개인정보보호위원회의 조사·시정명령·과징금 등 행정집행이 중요한 역할을 한다.
한국은 이 행정제재를 강화하고 있다. 3월 개정된 개인정보보호법은 9월 11일부터 일정한 중대·반복 위반에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 이 역시 처리 횟수에 정액을 곱하는 방식은 아니다.
AI 시대, 무엇을 ‘침해의 크기’로 볼 것인가
이 차이는 AI에서 더 중요해진다.
지문 근태시스템에서는 사람이 지문을 몇 번 찍었는지 비교적 쉽게 셀 수 있다. AI에서는 하나의 얼굴·음성정보가 특징값 생성, 저장, 가공, 학습과 추론 등 여러 처리과정을 자동으로 거칠 수 있다.
컴퓨터가 같은 사람의 생체정보를 100만번 처리했다는 사실을 곧바로 100만개의 독립적인 피해로 볼 것인지는 별개의 문제다.
일리노이는 반복적인 자동처리가 법정손해배상을 계속 불리는 문제를 먼저 경험했고 결국 배상 횟수를 제한했다. 한국은 애초 처리 횟수를 정액배상의 승수로 삼지 않고, 피해 규모와 위반 기간·횟수 등을 민사책임과 행정책임을 정하는 요소로 사용한다.
두 제도의 차이는 결국 하나의 질문으로 모인다.
AI 시대 개인정보 침해의 크기를 데이터가 처리된 ‘횟수’로 측정할 것인가, 피해를 입은 ‘사람 수’로 측정할 것인가, 아니면 데이터 처리 시스템이 만들어낸 피해 전체로 평가할 것인가.
일리노이 BIPA와 한국 개인정보보호법은 이 질문에 서로 다른 책임 모델을 보여주고 있다.
Q&A 5개
Q1. 한국에서 얼굴 사진은 모두 민감정보인가.
아니다. 개인정보보호법 시행령은 개인의 신체적·생리적·행동적 특징에 관한 정보 가운데 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보를 민감정보에 포함한다. 따라서 일반적인 얼굴 사진과 개인 식별을 위해 기술적으로 생성된 얼굴 특징정보를 구별해야 한다.
Q2. 얼굴인식정보를 100만번 불법 처리하면 300만원을 100만번 받을 수 있나.
그런 구조가 아니다. 개인정보보호법의 300만원 이하 법정손해배상은 일정한 개인정보 유출 등에 관한 제도이며, 모든 개인정보보호법 위반에 대해 ‘위반 횟수 × 300만원’을 지급하는 제도가 아니다.
Q3. 그러면 반복적인 개인정보 처리는 책임에 영향을 주지 않나.
영향을 줄 수 있다. 손해배상액 판단에서 위반행위의 기간·횟수 등이 고려되고, 개인정보위 과징금 산정에서도 위반 기간과 횟수가 반영된다.
Q4. 9월부터 무엇이 달라지나.
9월 11일부터 반복적이거나 중대한 개인정보보호법 위반에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 제도가 시행된다. 고의·중과실에 따른 일정한 반복 위반이나 1000만명 이상 규모의 피해 등이 대상이다.
Q5. 한국 개인정보보호법은 BIPA보다 약한 법인가.
단순 비교하기 어렵다. BIPA는 개인소송과 정액 법정손해배상이 강력한 반면 한국은 개인정보위의 조사·과징금·시정명령 등 공적 집행의 비중이 크다. 두 제도가 개인정보 침해를 억제하는 방식 자체가 다르다.
