사실관계
미국 기업 Clearview AI는 소셜미디어와 공개 웹사이트에서 가져온 30억 장이 넘는 이미지로 데이터베이스를 구축하고 이를 바탕으로 얼굴인식 도구를 만들었다. 이용자가 얼굴 사진을 올리면 도구는 인터넷에서 수집된 같은 사람의 다른 이미지를 찾아 그 이미지가 게시된 위치의 링크와 함께 보여 준다. Clearview는 2019년 10월부터 2020년 3월까지 호주 일부 경찰에 도구를 시험 사용하게 했고, 경찰은 호주에 있는 사람들의 이미지로 검색했다. OAIC는 영국 정보위원회(ICO)와 공동으로 조사했다. 호주 정보커미셔너 앤절린 포크(Angelene Falk)는 2021년 10월 14일 결정을 내렸고, 결정은 2021년 11월 3일 발표되었다.
Commissioner initiated investigation into Clearview AI, Inc. (Privacy) 사건의 쟁점은 무엇이었나요?
Clearview는 자신이 처리한 정보가 개인정보가 아니며, 미국 기업이므로 1988년 프라이버시법(Privacy Act 1988)의 관할 밖에 있다고 주장했다. 또 조사가 시작된 직후 호주 법집행기관에 대한 서비스 제공을 중단했다고 밝혔다. 커미셔너가 판단할 문제는 호주에 사무소가 없고 인터넷에서 이미지를 모으는 외국 기업에도 이 법이 적용되는지, 얼굴 이미지와 이를 바탕으로 만든 생체 템플릿이 개인정보이자 민감정보인지, 그리고 동의나 고지 없이 이를 수집한 것이 호주 프라이버시 원칙(APP)에 부합하는지였다.
호주 정보위원회(OAIC)의 판단은 무엇이었나요?
커미셔너는 Clearview가 프라이버시법을 위반했다고 판단했다. 인정된 위반은 동의 없는 민감정보 수집(APP 3.3), 부당한 수단에 의한 개인정보 수집, 정보주체에게 수집 사실을 알리기 위한 합리적 조치의 불이행, 제공한 정보의 정확성을 확보하기 위한 합리적 조치의 불이행, 그리고 APP 준수를 위한 관행·절차·체계를 갖추지 않은 것(APP 1.2)이다. 커미셔너는 이러한 민감정보의 은밀한 수집이 '불합리하게 침해적이고 부당하다'고 보았고, 생체 신원정보는 '재발급하거나 취소할 수 없다'는 점을 지적했다. Clearview에는 호주에 있는 개인의 얼굴 이미지와 생체 템플릿 수집을 중단하고 이미 수집한 정보를 파기하라는 명령이 내려졌다.
Commissioner initiated investigation into Clearview AI, Inc. (Privacy) 결정은 왜 중요한가요?
이 결정의 핵심 쟁점은 호주와의 연결성이었다. 행정항소심판소(AAT)는 2023년 5월 Clearview의 웹 크롤러가 호주에 있는 서버에 이미지를 요청한 것만으로 호주에서 사업을 영위한 것으로 볼 수 있다고 판단했다. 반면 호주인의 이미지라도 해외 서버에서 수집한 것은 이 연결성 판단에 포함하지 않았다. 이 기준에 따르면 호주에 사무소나 매출이 없더라도 호주에서 호스팅되는 콘텐츠를 수집하는 외국 AI 개발자에게 이 법이 적용될 수 있다. 당시 커미셔너는 직접 과징금을 부과할 권한이 없었고, 이 사건에서 법원에 제재금을 청구하지도 않았다.
관련 절차
Clearview는 2021년 11월 3일 AAT에 심사를 청구했다. AAT는 2023년 5월 8일 Clearview AI Inc and Australian Information Commissioner [2023] AATA 1069 결정에서 APP 1.2와 APP 3.3 위반은 인정했으나 함께 심리한 다른 원칙(APP 3.5, 5.1) 위반은 인정하지 않았고, 구제 조치는 별도 심리에서 정하기로 했다. Clearview는 구제 명령이 내려지기 전인 2023년 8월 심사 청구를 철회했다. 프라이버시 커미셔너 칼리 카인드는 2024년 8월 21일 추가 조치를 하지 않기로 하면서 2021년 결정은 여전히 유효하다고 밝혔다. 영국의 병행 사건은 별도 항목에서 다룬다.