사실관계
한 은행의 개인 및 기업 고객인 정보주체는 2022년 11월 19일 모바일뱅킹 앱에서 기업 계좌의 비밀번호를 재설정하려 했다. 기업 고객은 신분증 선택지로만 디지털 비밀번호를 만들 수 있었는데, 이 경로에서는 얼굴정보 처리에 대한 동의 화면이 나타났고 동의하지 않으면 처음 화면으로 돌아갔다. 정보주체는 개인정보가 사실상 강제로 처리된다며 위원회에 민원을 제기했다. 은행은 동의하지 않는 고객도 지점이나 텔레뱅킹으로 절차를 마칠 수 있었고, 2022년 12월 2일부터는 기업 고객도 얼굴정보 없이 신용·체크카드로 비밀번호를 만들 수 있게 했다고 소명했다. 또한 2단계 인증을 요구하는 은행 감독 규정을 근거로 들었다.
쟁점
얼굴 특징정보는 튀르키예 개인정보 보호법(법률 제6698호) 제6조의 생체정보로서, 결정 당시 조문에 따르면 법률에 정한 경우가 아니면 정보주체의 명시적 동의 없이 처리할 수 없었다. 위원회가 판단할 문제는 동의하지 않은 고객이 모바일 채널에서 절차를 마칠 수 없었던 사정이 서비스 제공을 동의에 결부시킨 것으로 볼 수 있는지였다. 아울러 은행이 대체 경로를 웹사이트의 다른 곳에만 안내하고, 동의를 거부한 이용자를 아무 설명 없이 첫 화면으로 돌려보낸 것이 고지와 투명성 측면에서 충분한지도 쟁점이었다. 위원회는 2단계 인증을 정한 은행 정보시스템 및 전자금융서비스 규정 제34조도 함께 검토했다.
판단
위원회는 2023년 8월 3일 결정(2023/1310)에서 디지털 비밀번호 발급에 처리되는 얼굴정보는 생체정보로서 민감정보에 해당하므로 은행이 명시적 동의를 받아야 한다고 보았다. 다만 민원 당시에도 지점과 텔레뱅킹으로 같은 절차를 밟을 수 있었고 이 사실이 웹사이트에 안내되어 있었으므로, 서비스를 동의에 결부시켰다는 주장은 받아들이지 않고 은행에 대해 별도 조치를 하지 않기로 했다. 그러나 은행이 동의하지 않은 고객에게 아무런 안내 없이 절차를 종료한 사실은 인정했다. 위원회는 은행에 업무 절차를 점검하고 고객에게 쉽게 이해하고 찾을 수 있는 방식으로 안내하도록 경고했다.
의의
위원회는 동의를 거부한 고객도 다른 경로로 절차를 마칠 수 있었으므로, 비대면 본인확인에 명시적 동의를 받아 얼굴 생체정보를 쓴 것을 서비스 제공을 동의에 결부시킨 것으로 보지 않았다. 대체 경로의 존재 자체는 충분하다고 보았지만, 동의를 거부한 고객을 아무 설명 없이 첫 화면으로 돌려보내고 대체 경로를 웹사이트의 다른 곳에만 안내한 점은 문제로 지적했다. 은행에는 오해를 부를 수 있는 절차를 고객이 쉽게 이해하고 찾을 수 있게 안내하라고 했다. 과징금이나 과태료는 부과되지 않았고 경고에 그쳤다. 결정 요지는 2023년 12월 27일 기관 웹사이트에 공개되었다.
관련 절차
위원회는 사업장 출입 얼굴인식(2022/797)과 근태관리 목적의 생체정보 처리(원칙결정 2026/921)를 별도로 다루었다. 공개된 결정 요지에는 은행명이 나오지 않는다. 이 결정 이후 제6조는 2024년 3월 12일 관보에 공포된 법률 제7499호로 개정되어, 이제는 열거된 일부 경우에 명시적 동의 없이도 민감정보를 처리할 수 있다.