정부가 출입국 심사에 쓸 ‘인공지능’(AI) 개발 명분으로 약 1억7천만건의 내·외국인 얼굴 사진을 민간 업체에 넘긴 것으로 확인됐다. 생체정보인 얼굴은 개인정보 중에서도 처리 규정이 까다로운 ‘민감 정보’다. 정부는 이 정보를 당사자 동의 없이 민간에 제공한 터라 논란이 예상된다. 나아가 정부는 인천국제공항 입국장에 수백대의 카메라를 설치해 생체정보를 추가로 축적하고 있다. 인공지능 산업 육성을 위해 정부가 무리수를 뒀다는 평가가 나온다.


1억건 이상 얼굴 정보 민간에 넘겨


20일 박주민 더불어민주당 의원이 법무부·과학기술정보통신부에서 받은 자료들을 보면, 두 부처는 지난 2019년 4월 양해각서(MOU)를 맺고 2022년 완료를 목표로 ‘인공지능 식별추적시스템 구축 사업’을 진행하고 있다. 법무부가 출입국 심사 과정에서 확보한 내·외국인의 △안면 이미지 △국적 △성별 △나이 등의 정보를 과기부에 이관하고, 과기부가 이를 민간 업체들에 넘겨 인공지능 기술을 연구하게 하는 사업이다. 여권 스캔 등 없는 출입국자 신원 식별과 위험 상황 사전 탐지 등 출입국심사 고도화를 목적으로 내세웠다. 지난 2019년 6월 정부가 홍남기 부총리 겸 기획재정부 장관 주재로 열린 관계 장관회의 뒤 낸 보도자료에서 해당 사업에 대한 언급은 있었으나, 데이터 수집 범위와 방식, 개발 주체 등 상세 사업 구조가 확인된 것은 이번이 처음이다.

이 사업으로 지난해 민간 업체들이 법무부로부터 받아 쓴 안면 데이터 중 외국인 정보는 1억2000만여건이다. 업체들은 이 중 1억건은 ‘인공지능 학습용’으로, 2000만건은 ‘알고리즘 검증용’으로 썼다. 2018년 기준 법무부는 외국인 9000만여명의 얼굴 사진을 총 2억장 이상 갖고 있는데, 이 중 절반 이상을 학습용으로 쓴 셈이다.

내국인 출입국자들의 얼굴 사진도 ‘인공지능 학습’에 쓰였다. 법무부는 박주민 의원에 보낸 문서에서 “인공지능 식별추적시스템 사업에 (내국인) 5760만여건의 안면 데이터를 사용했다”고 밝혔다. 현행 출입국관리법상 법무부는 입국 심사 때 내국인의 안면 등 생체정보는 수집·저장하지 않지만, 지난 2008년 도입된 자동 출입국심사를 신청한 내국인의 지문·얼굴사진 등은 저장하고 있다. 법무부는 이때 얻은 내국인의 얼굴 사진과 성별·나이 등의 정보를 과기부에 이관했다고 말한다.

똑똑한 인공지능·알고리즘 개발 목적


올해부터는 ‘리얼(real) 데이터’를 얻는다는 명목으로 인천공항 출입국장을 지나는 내·외국인들의 ‘영상’도 수집하고 있는 사실도 확인됐다. 민간 업체로 넘어가는 안면 이미지 정보량은 앞으로 더욱 늘어날 수 있다는 얘기다. 법무부는 지난해에만 인천공항 출입국 심사대 주위에 △안면인식용 고정형 카메라 50대 △4면 전방향 카메라 26대 △회전형 카메라 12대 등 총 88대의 카메라를 설치했다. 올 6월 과기부 산하 정보통신산업진흥원(NIPA)이 작성한 사업제안서에도 100대 이상의 카메라를 출입국 심사장과 심사대 유리 부스에 추가로 설치하겠다는 계획이 담겼다. 사업 기간인 2019∼2022년 동안 매년 100여대, 총 400대의 카메라로 현장 데이터를 확보한다는 게 정부 계획이다.

업체들은 출입국 관리구역 카메라에 찍힌 사람과 기존 법무부에 등록된 내·외국인 데이터를 대조하는 ‘1 대 다수’ 매칭 알고리즘을 개발하고 있다. 입국장에서 ‘이상 행동’을 보이는 사람까지 기존 등록 데이터와 대조해 누구인지 찾는 학습을 한다. 현행 자동출입국심사에서처럼 카메라 앞의 인물이 여권 사진의 인물과 동일한지를 검증하는 ‘1 대 1’ 매칭보다 복잡한 형태다. 사업제안서를 작성한 정보통신산업진흥원(NIPA)은 “출입국자의 얼굴을 위치추적(추적) 및 촬영”하며 “폐회로텔레비전(CCTV)에 촬영된 사진과 기존 데이터베이스(DB) 내 사진 간 비교로 (사진 속 인물이) 등록된 출입국자인지를 확인하고, 촬영된 사진과 동일인물을 찾을 때까지 데이터베이스를 조회한다”고 밝혔다.

“유례없는 규모의 정보인권 침해”


안면 이미지 등은 개인정보 중에서도 개인의 신상을 특정하는 데 쓰일 수 있는 ‘민감 정보’다. 개인정보보호법은 ‘개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정인을 알아볼 목적으로 생성된 정보’ 등을 민감 정보로 규정한다. 민감 정보를 제3자에게 제공하거나 처리하기 위해서는 정보 주체에게 ‘별도 동의’를 받아야 한다.

법무부, 과기부는 이 정보를 ‘원래 주인’ 동의 없이 써왔다. 법무부는 박주민 의원실에 보낸 문서에서 “법무법인으로부터 법률자문을 받는 등 신중한 검토를 거쳐, 이 사업이 출입국 심사라는 정보 수집목적 범위에 해당한다고 판단했다”며 “정보 주체의 동의는 받지 않았다”고 밝혔다.

시민단체 등에선 “유례없는 규모의 정보인권 침해”라는 비판이 나온다. 장여경 정보인권연구소 상임이사는 “출입국 내·외국인의 실제 데이터를 고지나 동의 없이 인공지능 개발 용도로 사용하고 업체에 지원한 사례는 국제적으로도 찾아보기 힘들다. 충격적인 사건”이라고 밝혔다. 박주민 의원은 “인공지능 식별추적시스템은 출입국 심사를 용이하게 하고 공항 내 안전을 유지하는 데 도움이 되는 측면이 있겠지만, 이 사업이 개인의 민감한 정보를 다루면서도 당사자 동의 없이, 특별한 근거 규정 없이 추진된 사업이라면 당장 적법성을 다시 검토해야 한다”라고 말했다.

천호성 기자 rieux@hani.co.kr