이제는 중요 정보에 접근할 때 얼굴인식, 지문인식, 홍채인식 등을 통해 접근하곤 합니다. 신시웨이 뉴스룸에서는 ‘세상에 하나뿐인 비밀번호, 생체인식 정보’ 글을 통해 생체인식 정보란 무엇인지, 생체정보의 종류와 함께 개인정보보호위원회에서 공개한 「생체정보 보호 가이드라인」 을 통해 알아보았습니다. 이번 게시글에서는 생체인식정보 활용시 주의해야 할 사항과 해외에서는 어떻게 다루고 있는지를 중심으로 전달드리겠습니다.

생체정보(생체인식정보)란?

생체정보는 일반적인 ‘생체정보’와 특정 개인을 인증, 식별할 목적으로 처리되는 ‘생체인식정보’로 나눌 수 있습니다. 생체인식정보는 다시 ‘생체인식 원본정보’와 원본정보에서 일정한 기술적 수단을 통해 생성되는 ‘생체인식 특징정보’로 분류할 수 있습니다. 생체인식 원본정보와 생체인식 특징정보의 예시는 다음과 같습니다.

[출처: 개인정보보호위원회 ‘생체정보 보호 가이드라인’]

생체인식 사고 사례

스마트폰 등 생체정보 이용 기기의 보급이 보편화되고, 코로나이후로 비대면 서비스의 활용이 증가하면서 다양한 분야에서 생체정보의 이용이 일상화되고 있습니다. 그러나 생체정보가 유출되거나 위·변조되는 사례가 발생하면서 생체정보 활용에 대한 우려가 높아지고 있습니다. 실제로 최근에는 수만건의 생체인식 데이터가 다크웹2에서 유통되고 있다는 내용이 보도되기도 했습니다. 안면인식 데이터뿐만 아니라 지문, 사용자 이름과 비밀번호가 저장되어있는 DB가 암흑의 경로에서 공유되고 있는 셈입니다.

미국에서는 과거 몇 년 동안 여러 대규모 개인정보 유출사고가 발생해 큰 이슈가 되기도 했습니다. 대표적인 사례로 바이오스타 침해사건이 있습니다. 바이오스타 침해사건은 생체인증을 저장하고 있던 서버가 보호되어있지 않고, 데이터 또한 암호화되어있지 않아 백만명의 정보가 고스란히 노출되었던 사건입니다. DB에는 23GB의 안면인식정보, 지문정보, 사용자 이름, 비밀번호가 저장되어있었다고 합니다. 이외에도 삼성전자의 갤럭시S10 지문스캐너 해킹사건이 있었습니다. 갤럭시S10 시리즈에 실리콘 케이스를 끼운 채 지문인식을 시도할 경우 기기에 저장된 지문이 아니더라도 잠금이 해제되어 논란이 있었습니다.

단계별 생체인식정보 보호조치

우리나라는 2017년 바이오정보 보호 가이드라인을 발표했으며, 2021년 9월 8일 생체정보 보호 가이드라인으로 이름을 바꿔 개정하였습니다. 개정된 가이드라인에서는 생체인식정보를 처리하는 개인정보처리자의 의무를 규정하고 있습니다.