"지문 인식기에, 지문 '막' 찍으면 큰일 난다"

생체정보 관리 '엉망'…가이드라인 '유명무실'

연세대학교 2학년인 K씨. 그는 시험 기간 학교 도서관을 자주 이용한다. 연세대학교 도서관 열람실의 좌석 표를 받으려면 지문 인식기로 자리를 배정받아야 한다. 처음 학교에 입학했을 때는 지문 인식으로 도서관을 출입하는 것이 신기했으나 이제는 인식기에 손가락을 댈 때마다 의심이 든다. '수백 번 찍은 내 지문 정보, 혹시 다른 사람한테 유출되는 것은 아닐까?'

K씨는 도서관에 지문 인식기가 도입되면서 한 번도 동의서 같은 것을 요구 받아 본 적이 없다. 하지만 이렇게 동의를 안 받고 지문 인식기를 사용하는 것은 명백히 2005년 12월 정보통신부가 마련한 '생체정보 가이드라인'을 위반한 것이다. 지문, 홍채, 정맥 등 개인 식별에 이용되는 생체정보를 보호하기 위한 이 가이드라인에 따르면 각 기관은 생체정보 인식 시스템을 도입할 때는 꼭 동의서를 받도록 돼 있다.

이 가이드라인은 생체 정보 수집과 활용이 개인의 인권을 침해할 수 있다는 우려와 이에 대한 대책 마련의 요구가 높아지자 2005년 정통부가 관련업체, 시민단체와 함께 공청회를 거쳐 마련한 지침이다. 하지만 7개월이 지난 지금 이 가이드라인은 완전히 잊힌 듯하다. 심지어 정통부조차 가이드라인이 잘 지켜지고 있는지에 대한 기초적인 현황조차 파악하지 않고 있는 것으로 드러났다.

'생체정보'와 '생체정보 인식시스템'?

'생체정보'란 지문, 얼굴, 홍채, 정맥, 음성, 서명 등 개인을 식별할 수 있는 신체적 또는 행동적 특징에 관한 정보를 말한다. 생체정보는 개인의 '대체될 수 없는 정보'로서 중요한 가치를 가질 뿐만 아니라 다른 정보와 결합해 유출될 경우 개인의 프라이버시가 심각하게 침해될 수 있기 때문에 인권침해 논란이 끊이지 않아 왔다.

'생체정보 인식시스템'은 이같은 생체정보를 이용하여 개인을 식별하는 시스템을 말한다. 관련 산업은 연평균 45%의 성장이 예견될 정도로 급성장을 하고 있으며 2007년 시장 규모는 업계 추산 세계 37억 달러, 국내는 1500억 원으로 전망된다. 특히 국내의 관련 산업 경쟁력은 세계적 수준으로 알려져 있다.

생체정보 제공자 동의서 받는 곳 한 군데도 없어

참여연대는 지난 3~4월 지문 인식기, 정맥 인식기 등 생체정보 인식 시스템을 사용 중인 전국 16곳 공공기관, 교육기관에 '생체정보 가이드라인' 준수 여부를 물었다. 대부분의 기관은 이 가이드라인의 존재 여부도 몰랐을 뿐만 아니라, 실제 내용 면에서도 가이드라인은 제대로 준수되지 않고 있었다.

특히 가이드라인 제정 당시 핵심 사항이었던 '생체정보 수집 전 제공자의 동의를 구해야 한다'는 항목을 지키는 곳은 한 군데도 없었다. 가이드라인은 생체정보를 수집하거나 이용할 때 수집 목적과 보유 기간을 분명히 알린 뒤 대상자에게 동의 과정을 거치도록 했다. 16곳 중 인하대학교, 한국공항공사, 특허청 등 3곳은 서약서나 동의서를 받고 있으나 정작 생체정보에 대한 내용이 빠져 있어 구색 맞추기에 불과한 것으로 나타났다.

생체정보의 안전한 취급을 위해 내부 규정, 침해 대응 지침, 관리 책임자 선정 등의 조치를 취한 곳도 16곳 중 한국공항공사 1곳뿐이었다. 가이드라인은 '생체정보의 안전한 취급을 위한 내부규정, 침해 대응 지침 등을 마련하고 관리 책임자를 선정할 것'을 명시하고 있다.

심지어 서울시 동대문구청과 마포구청은 각각 지문 인식기, 정맥 인식기를 더 이상 사용하지 않으면서도 지문, 정맥 자료를 삭제하지 않고 보유하고 있는 것으로 확인됐다. 가이드라인은 '생체정보 보유가 필요하지 않은 경우 파기할 것'을 명시하고 있다. 한편 지문 인식기를 사용하고 있는 연세대 원주 캠퍼스와 경희대 수원 캠퍼스는 가이드라인 준수 여부를 묻는 질문에 대해 답변을 거부했다.

정통부 "가이드라인 있지만, 지켜지고 있는지는 몰라"

▲ 서울 김포국제공항 국내선 청사에 근무 중인 한 직원이 공항 내부 출입문에 설치된 지문인식 시스템을 이용해 출입을 승인받고 있다. ⓒ연합뉴스

더 큰 문제는 가이드라인을 제정한 정통부가 준수 여부에 대한 실태 파악조차 못 하고 있는 실정이라는 점이다. 정통부는 생체정보 인식 시스템을 도입한 기관, 기업의 명단이나 보급 대수, 종류 등 관련 실태를 전혀 파악하고 있지 못한 것으로 확인됐다.

참여연대가 지난 3월 관련 사항을 정보공개 청구했을 때 정통부는 "따로 정통부에서 관리하는 자료는 없고 업계에서 작성한 자료만 갖고 있으나 업계에서 기업 비밀에 해당하는 사항이기 때문에 공개 불가 방침을 밝혔다"고 해명해 빈축을 사기도 했다. 정통부 개인정보보호팀 관계자도 "정통부에서 따로 관리하고 있는 자료는 없다"며 이런 사실을 인정했다.

이런 태도는 2005년 말 가이드라인을 제정할 당시 정통부가 보였던 태도와는 전혀 딴판이다. 당시 정통부는 "다른 나라의 사례를 보면 시민단체가 아닌 정부 차원에서 이런 가이드라인을 제정한 것은 처음"이라며 선진적 정책이란 점을 강조했다. 심지어 가이드라인이 시행되던 첫날에는 관련업체들을 불러 '준수 선서식'을 갖는 등 정책 홍보에 적극적인 모습을 보였었다.

정통부 관계자는 "현재 가이드라인 준수 여부에 대한 실태 조사 계획을 수립하고 있다"며 "조만간 조사에 착수할 예정"이라고 뒤늦게야 대책 마련에 나섰다. 그는 "생체정보 보호와 시장 상황을 함께 고려해서 구체적인 계획을 수립해야 했기 때문에 시간이 걸렸다"고 덧붙였다.

한편 참여연대는 "실태 조사도 중요하지만 보다 근본적으로 가이드라인은 법적 구속력이 없기 때문에 생체정보 보호에는 한계가 있다"며 "생체정보를 포함해 민감한 개인정보를 보호하기 위해서는 관련법이 제정되어야 할 것"이라고 강조했다. 현재 개인정보 보호를 위해 마련된 '개인정보보호법'은 국회에서 2년째 잠자고 있는 중이다.