개인정보 보호위원회

▶ 캐나다 개인정보 감독기관(OPC)이 공공 및 민간 조직을 대상으로 개인정보보호·전자문서법(PIPEDA)* 및 프라이버시법(Privacy Act)에 근거한 생체 인식정보 처리의 위험을 설명하는 지침 초안을 발표
* Personal Information Protection and Electronic Documents Act

• 기존의 OPC 생체 인식 지침의 ‘11년 발표 이후, 지문, 음성 식별, 안면 인식 및 새로운 유전자 정보 사용 방식 등의 기술이 크게 진화

- 경찰의 안면 인식 기술사용부터 통신사의 동의 없는 음성 인증 프로그램 사용에 이르기까지 생체인식정보가 수사 업무에 더욱 빈번하게 사용

- 생체 인식 기술 분야가 빠른 속도로 성장함에 따라 조직이 개인정보를 보호하는 방식으로 기술을 사용할 수 있도록 지원하는 지침의 필요성이 대두

• OPC는 ▲민간 부문의 개인정보 처리를 규율하는 PIPEDA에 근거한 생체 인식 사용의 위험을 설명하는 지침 초안과 ▲연방 공공부문의 개인정보 처리 방식을 규정하는 프라이버시법에 명시된 생체 인식 사용의 위험을 설명하는 지침 초안을 공개

- 양 지침은 ’생체 인식’을 인간의 특성을 측정할 수 있는 용어로 정량화 시키는 것으로 정의하며, 주로 식별(recognition) 및 구분(categorization) 목적으로 사용됨을 명시

- 생체 인식은 크게 ▲지문과 같은 행태의 생체 인식 ▲키스트로크* 패턴과 같은 행동적 생체 인식 ▲DNA와 같은 생물학적 생체 인식 등 세 가지 분류로 구분
* keystroke: 컴퓨터 키보드에서 어떤 기능을 수행하거나 해제하기 위해 키를 두드리거나 눌러서 작동시키는 행위

- 이 외에도 양 지침은 ▲적절한 생체 인식 사용 목적 설정 ▲정보 주체로부터 구체적인 동의를 얻는방법 ▲개인정보 수집을 최소화하는 조치 ▲생체 인식의 사용, 공개 및 보관 제한 방식 ▲딥페이크, 음성 합성 및 기타 공격에 예방·대응하기 위한 개인정보보호 안전조치 ▲생체 인식 시스템의 위양성* 및 위음성**을 방지하고 정보의 정확성을 보장하는 방법 ▲개인정보보호 및 침해 발생에 대한 책임을입증하는 방법 ▲투명하고 개방적인 개인정보 관리 방법 등의 정보를 제공
* false positive: 생체 인식 시스템이 개인을 타인의 자격 증명 정보(credential)에 잘못 매칭하는 경우
** false negative: 생체 인식 시스템이 개인을 인식하지 못하고 액세스를 차단하는 경우

• 한편 OPC는 양 지침 초안에 대해 ‘24년 1월 12일까지 이해관계자들의 의견을 수렴할 예정

[출처]
• OPC, “Privacy Commissioner seeks input on draft biometrics guidance documents”, 2023.10.11.
• OPC, “Draft Guidance for processing biometrics – for organizations”, 2023.10.11.
• OPC, “Draft Guidance for processing biometrics – for public institutions”, 2023.10.11.


※ 본 번역 요약본의 저작권은 개인정보보호위원회 및 한국인터넷진흥원에 있으며, 본 요약본을 활용하실 경우에는 출처를 반드시 밝혀주시기 바랍니다.