쉬운 요약

• 이동통신 가입자 본인확인에 생체인증을 사용할 때 생체정보를 저장·보관·관리하지 못하게 하기 위한 법률 개정안이에요.
• 안면정보처럼 바꾸거나 재발급하기 어려운 정보가 유출될 때 발생할 수 있는 피해를 줄이려 해요.
• 전기통신사업자가 본인확인을 하더라도 생체정보를 계속 쌓아 두지 못하도록 법률에 명확한 제한을 두려는 내용이에요.
• 개인정보 유출 사고가 발생해도 생체정보 자체가 사업자에게 남아 있는 위험을 줄이는 데 초점을 맞춰요.
• 다만 생체정보를 저장하지 않고 본인 여부를 확인하는 기술 방식과 예외가 있는지는 추가로 정해져야 해요.

주요 내용

• 생체정보 저장 금지: 본인확인 수단으로 생체인증을 사용할 때 해당 생체정보를 저장하지 못하도록 해요.
• 보관·관리 제한: 사업자가 생체정보를 별도로 보관하거나 관리하는 것도 금지하려 해요.
• 이동통신 가입 절차 적용: 전기통신역무 제공 계약을 체결하는 과정에서 생체인증을 이용하는 경우를 대상으로 해요.
• 개인정보 자기결정권 보호: 이용자가 자신의 생체정보가 어떻게 처리되는지에 대해 갖는 통제권을 강화하려는 취지예요.
• 유출과 2차 피해 예방: 한 번 유출되면 변경하기 어려운 안면정보 등이 장기간 악용될 위험을 줄이려 해요.

왜 나왔나

발의 당시 제안 이유는 전기통신사업자가 가입 계약을 체결할 때 본인확인을 해야 하고, 그 구체적인 방법은 하위 법령으로 정해져 있다는 점에서 출발했어요. 제안안은 안면인식을 활용한 생체인증이 본인확인 수단으로 시범 도입된 뒤 정식 도입될 예정이라는 상황을 배경으로 들고 있어요. 주민등록번호와 달리 안면정보 같은 생체정보는 유출돼도 바꾸거나 재발급하기 어렵기 때문에 피해가 오래갈 수 있다는 우려도 제시됐어요. 이에 본인확인에 쓰인 생체정보를 사업자가 저장·보관·관리하지 못하도록 법률에 직접 규정하려는 내용이에요.

무엇이 달라지나

1) 본인확인 생체정보 저장 금지

발의 당시 제안안은 전기통신역무 제공 계약을 체결하면서 생체인증으로 본인확인을 하는 경우, 전기통신사업자가 해당 생체정보를 저장·보관·관리하지 않도록 제32조의4제4항을 신설하려는 내용이에요. 현재 시행 중인 제32조의4는 계약 상대방의 동의를 받아 본인 여부를 확인하도록 하고, 본인확인 과정에서 신분증이나 관련 서류를 제시받을 수 있도록 하고 있지만 생체정보의 저장·보관·관리 금지는 확인되지 않아요.

• 생체인증을 이용하더라도 사업자가 이용자의 얼굴 정보 등을 장기간 보유하는 방식은 제한될 수 있어요.
• 본인확인에 필요한 순간에만 정보를 처리하고, 확인이 끝난 뒤에는 남기지 않는 구조가 핵심이 될 수 있어요.
• 저장과 보관뿐 아니라 관리까지 금지 대상에 포함돼 사업자의 내부 처리 방식도 점검 대상이 될 수 있어요.

2) 현행 본인확인 규정과의 연결

현재 시행 조문은 일정한 전기통신사업자가 계약 상대방의 동의를 받아 부정가입방지시스템 등을 이용해 본인 여부를 확인하도록 하고, 본인확인 방법과 관련 사항을 대통령령으로 정하도록 하고 있어요. 제안안은 이 본인확인 절차에 생체인증이 사용될 때 생체정보를 저장·보관·관리하지 못하도록 법률상 제한을 추가하려는 방향이에요.

• 사업자는 본인확인 의무와 생체정보 처리 제한을 함께 준수해야 할 수 있어요.
• 대리점과 판매점을 통한 가입에서도 생체정보가 어디로 전달되고 어떻게 처리되는지 확인할 필요가 있어요.
• 현재 제공된 시행 조문에는 제32조의4제4항에 본인확인 때 고지해야 할 사항이 규정돼 있어, 제안된 항의 위치와 문구는 최종 심사 과정에서 조정될 수 있어요.

누구에게 영향이 있나

• 이동통신 가입자: 생체인증을 선택하거나 이용하게 될 때 자신의 생체정보가 사업자에게 남는 범위가 줄어들 수 있어요.
• 전기통신사업자: 생체인증 시스템의 저장 기능과 내부 접근 권한을 점검하고 법률상 제한에 맞게 운영해야 할 수 있어요.
• 대리점과 판매점: 가입 현장에서 생체인증을 처리하는 경우 생체정보가 자체적으로 저장되거나 다른 곳으로 전달되지 않도록 관리해야 해요.
• 본인확인 시스템 운영자: 저장하지 않고 본인 여부를 확인할 수 있는 기술과 처리 절차를 마련해야 할 수 있어요.
• 과학기술정보통신부: 전기통신사업자의 본인확인과 생체정보 처리 방식이 법률에 맞는지 관리·감독하는 기준을 마련해야 할 수 있어요.

봐야 할 점

• 생체정보를 저장하지 않는 본인확인 방식의 기술적 기준과 점검 방법을 정해야 해요.
• 생체정보 원본뿐 아니라 특징값이나 인증 과정에서 생성되는 중간 정보도 금지 대상에 포함되는지 확인해야 해요.
• 대리점·판매점과 외부 본인확인 시스템 사이에서 정보가 전송되거나 임시 저장되는 경우를 어떻게 볼지 중요해요.
• 본인확인 실패나 분쟁이 발생했을 때 사업자가 어떤 기록으로 절차를 입증할 수 있는지도 살펴봐야 해요.
• 이 법안의 핵심은 생체인증을 허용하더라도 본인확인에 쓰인 생체정보를 사업자가 계속 보유하지 못하게 하려는 데 있어요.