사실관계
트렌토시는 Fondazione Bruno Kessler를 수탁자로 두고 EU 연구사업인 MARVEL과 PROTECTOR에 참여했다. 두 사업은 군중 밀집, 폭행, 날치기처럼 공공안전에 중요한 사건을 AI로 자동 탐지하는 기술을 개발하는 것이었다. MARVEL에서는 도시 방범용 CCTV 14대에서 309시간 분량의 영상을, 거리에 설치한 마이크 6대에서 85시간 분량의 음성을 수집했다. PROTECTOR에서는 CCTV 4대의 영상과 함께 트위터·유튜브의 종교 관련 혐오 게시물을 수집했고, 개인정보보호청에 따르면 한 트위터 이용자 네트워크의 계정명을 안트베르펜 경찰과 불가리아 내무부에 그대로 공유했다. 시는 데이터를 수집 직후 익명화했다고 주장했다. 개인정보보호청은 언론 보도를 계기로 직권 조사에 착수했다.
Comune di Trento (MARVEL and PROTECTOR projects) 사건의 쟁점은 무엇이었나요?
개인정보보호청은 먼저 얼굴과 번호판을 흐리게 처리하고 화자의 목소리를 변조한 것이 실제로 데이터를 익명화했는지 판단해야 했다. 이어 범죄 관련 정보와 종교적 신념까지 포함된 이 처리에 대해 시가 GDPR 제6조·제9조·제10조와 이탈리아 개인정보보호법(Codice) 제2-ter조·제2-sexies조·제2-octies조에 따른 충분한 법적 근거를 갖추었는지, 그리고 도시안전 법령, 시의 일반적 직무 규정, 학술연구 관련 규정이 그 근거가 될 수 있는지를 검토했다. 정보주체에 대한 고지, 사업 파트너와의 데이터 공유, 개인정보 영향평가가 GDPR에 맞는지도 쟁점이었다.
이탈리아 개인정보보호청(Garante per la protezione dei dati personali)의 판단은 무엇이었나요?
개인정보보호청은 사용된 기법이 익명화에 이르지 못했다고 판단했다. 음성 변조는 대화 내용을 그대로 남겼고, 흐림 처리된 영상 속 사람도 옷차림, 체형, 위치, 카메라 사이의 이동 경로로 식별될 수 있었다. 시가 근거로 든 일반 규정은 명확성과 예측 가능성이 부족했고, 방범용 CCTV를 다른 목적에 쓸 수 없으며, 학술연구는 시의 직무가 아니었다. 고지는 불완전했고 SNS 이용자에게는 아무런 고지도 없었다. 영향평가는 모의 도시환경으로는 왜 안 되는지와 같은 필요성·비례성을 검토하지 않았다. 청은 GDPR 제5조 제1항 (a)호, 제6조, 제9조, 제10조, 제13조, 제14조, 제35조 위반을 인정하고 5만 유로의 과징금, 추가 처리 금지, 데이터 삭제를 명령했다.
Comune di Trento (MARVEL and PROTECTOR projects) 결정은 왜 중요한가요?
이 결정은 공공기관이 AI 모델을 학습시키기 위해 개인정보를 처리하는 경우, 연구나 기술 개발 목적이라는 이유만으로 더 느슨한 법적 근거에 기댈 수 없음을 보여 준다. 개인정보보호청은 유럽인권재판소의 Glukhin 대 러시아 판결과 유럽사법재판소(CJEU) 판례를 근거로 공공장소에서의 행동도 사생활의 범위에 들 수 있다고 강조했다. 흐림 처리나 음성 변조 같은 흔한 기법만으로는 익명화가 되지 않으며, 영향평가를 정보보안 문제로만 한정할 수 없다는 점도 분명히 했다.
관련 절차
개인정보보호청의 보도자료는 2024년 1월 25일에 나왔다. 수탁자 지정과 관련한 GDPR 제28조 위반 혐의는 시의 의견서 제출 후 철회되었다. L'Adige의 2024년 4월 10일 보도에 따르면 시는 개인정보보호법 제166조 제8항에 따른 감경 금액인 2만 5천 유로를 납부했다. 세 번째 사업인 PRECRISIS에서는 아직 개인정보 처리가 없었던 것으로 기록되었다. 공공장소 감시에 관해서는 glukhin-v-russia와 r-thompson-carlo-v-met-police-live-facial-recognition을 참고할 수 있다.