사실관계
케이마트 오스트레일리아는 2020년 6월부터 2022년 7월까지 반품 사기를 적발하기 위해 28개 매장에서 얼굴인식 시스템을 운영했다. 카메라는 해당 매장에 들어오거나 반품 카운터를 찾은 모든 사람의 얼굴을 촬영했다. 촬영된 이미지는 생체 템플릿으로 변환되어 부정 반품 혐의자 데이터베이스와 대조되었고, 일치하면 직원에게 알림이 가서 직원이 환불 여부를 정하기 전에 직접 확인하도록 되어 있었다. 고객에게는 이를 알리지도 동의를 받지도 않았다. 케이마트는 관심 대상자와 일치한 이미지만 보관하고 나머지는 삭제했다고 밝혔다. 회사는 OAIC가 조사에 착수한 2022년 7월 시스템 운영을 중단했다.
Commissioner Initiated Investigation into Kmart Australia Limited (Privacy) 사건의 쟁점은 무엇이었나요?
얼굴 이미지와 이로부터 생성된 템플릿은 1988년 프라이버시법(Privacy Act 1988)상 생체정보로서 민감정보에 해당하며, 예외가 없는 한 동의를 받아야만 수집할 수 있다(APP 3.3). 케이마트는 동의를 받지 않았다는 점을 다투지 않았다. 대신 같은 법 제16A조의 '허용되는 일반적 상황' 예외, 즉 위법 행위나 중대한 비위가 의심될 때 적절한 조치를 취하는 데 필요하다고 합리적으로 믿는 경우의 수집에 해당한다고 주장했다. 커미셔너는 이와 함께 케이마트가 수집 사실을 충분히 고지했는지(APP 5), 개인정보 처리방침이 수집하는 정보의 종류와 수집 방법을 밝혔는지(APP 1.3, 1.4)도 판단해야 했다.
호주 정보위원회(OAIC)의 판단은 무엇이었나요?
프라이버시 커미셔너 칼리 카인드(Carly Kind)는 반품 사기가 위법 행위일 수 있고 케이마트가 대응이 필요하다고 실제로 믿었다는 점은 인정했다. 그러나 케이마트가 이 시스템이 필요하다고 합리적으로 믿을 수는 없었다고 판단했다. 구매 증빙 요구, 매장 배치 변경, 직원 교육처럼 덜 침해적인 방법을 충분히 검토하지 않았기 때문이다. 시스템의 효용은 제한적이었고, 적발된 사기 규모도 아무 혐의가 없는 수만 명의 고객이 입은 프라이버시 침해에 비하면 작았다. 커미셔너는 APP 3.3, APP 5.1, APP 1.3 위반을 인정하고, 케이마트에 같은 행위를 반복하지 말 것, 30일 안에 사과문과 상세한 성명을 게시할 것, 보관 중인 정보를 12개월 하루가 지난 뒤 파기할 것을 명했다.
Commissioner Initiated Investigation into Kmart Australia Limited (Privacy) 결정은 왜 중요한가요?
이 결정은 2024년 10월 버닝스(Bunnings) 결정에 이어 OAIC가 소매점 얼굴인식에 관해 내린 두 번째 결정이다. 커미셔너는 두 사건이 상당히 다르며 어느 결정도 이 기술을 금지하지 않는다고 밝혔다. 안전과 사기 예방은 정당한 목적이지만 프라이버시법 준수 의무를 면제해 주지는 않는다는 것이다. 결정에 대한 평석에 따르면 커미셔너는 동의 요건의 예외가 쉽게 인정되지 않는다는 점을 강조했다. 결정은 막아 낸 사기의 가치와 무차별 수집의 규모를 비교하는 비례성 판단에 기초한다. 보도에 따르면 케이마트의 심사 청구는 2026년 2월 버닝스의 사용이 예외에 해당한다고 본 행정심판소에 계류 중이다.
관련 절차
결정일은 2025년 8월 26일이며 OAIC는 2025년 9월 18일 이를 발표했다. 케이마트는 유감을 표시하고 불복 방안을 검토하고 있다고 밝혔다. 랙트레이더(Ragtrader)는 2026년 2월 5일 케이마트가 행정심판소(Administrative Review Tribunal)에 심사를 청구했으며 아직 결정이 나오지 않았다고 보도했다. 이번 조사에서는 청구 사실이나 심판소 결정을 보여 주는 공식 기록을 찾지 못했다. 2024년 10월 버닝스 결정과 이에 대한 2026년 2월 4일 행정심판소 결정은 별도 항목에서 다룬다.