안면 데이터·이상행동 데이터 수집 및 보관 등 위헌확인

청 구 인 [별지 1] 청구인 명단과 같음 피청구인 1. 법무부장관(2021헌마1575, 2022헌마1068) 2. 인천공항 출입국·외국인청장(2021헌마1575, 2022헌마1068) 3. 국회의장(2022헌마1068)

청구인들의 심판청구를 모두 각하한다.

1. 사건개요 가. 청구인들의 지위 청구인 박○○, 사○○, 최○○, 홍○○는 대한민국 국민이고, 청구인 사□□는 외국인으로, 2005. 2. 3.부터 2021. 10. 20.까지 사이에 대한민국을 출입국한 기록이 있는 사람들이다. 나. 공통 배경사실 (1) 법무부는 과학기술정보통신부(이하 ‘과기부’라 한다)와 함께 인공지능 식별·추적 시스템의 고도화를 통한 출입국심사 고도화에 기여하기 위한 목적으로 ‘인공지능식별·추적시스템 구축사업’(이하 ‘이 사건 사업’이라 한다)을 추진하면서, 2019. 4. 30. 과기부와 ‘AI식별추적시스템 상호협력 협약’을 체결하고, 인공지능 식별·추적 시스템 구축 실행 계획(안)을 마련하였다. 이 사건 사업의 주요 과제 중 하나는 출입국심사에 최적화된 인공지능을 기반으로 얼굴인식 알고리즘 모델을 개발하는 것이었다. (2) 피청구인 법무부장관(이하 ‘법무부장관’이라 한다)은 2020. 7. 23. 인천공항 출입국·외국인청의 보안·통제구역 안에 기업들이 외부와 차단된 환경에서 데이터 가공·학습·실증 작업을 수행할 수 있는 공간인 실증랩을 개소하였다. 그리고 출입국심사를 통하여 법무부장관이 수집·보유하고 있던 약 3억 2천만 건의 내·외국인의 얼굴사진 중 인공지능 학습에 부적합한 데이터를 제외한 약 1억 7천만 건(내국인 약 5760만 건, 외국인 약 1억 2000만 건)의 얼굴사진(이하 ‘이 사건 안면데이터’라 한다)을 국적·성별·출생연도만 남기고 성명·생년월일·주민등록번호·외국인등록번호·여권번호 등은 삭제하는 방식으로 비식별처리를 하여 위 실증랩 내 학습서버로 전송하였고, 이 사건 사업에 공모한 기업들이 이 사건 안면데이터로 데이터 학습 등을 수행할 수 있도록 하였다. (3) 이 사건 안면데이터가 위와 같이 이전되었음이 2021. 10. 20.경 정보공개청구를 통해 공개되어 사회적 논란이 확산되었고, 이에 따라 2021. 11. 25. 이 사건 사업의 진행이 보류되었다가 2021. 12. 31. 사업이 종료되었다. 이 사건 안면데이터는 2022. 3. 2. 개인정보의 처리 목적을 달성하였음을 이유로(개인정보 보호법 제21조) 파기되었다. 다. 이 사건 심판청구 (1) 2021헌마1575 사건 청구인들은, 법무부장관이 출입국장과 출입국 심사대에서 청구인들의 안면데이터를 수집하고 이를 보관한 행위와 그 데이터를 청구인들의 동의 없이 외부 기업에 위탁하여 처리하게 한 행위가 법률유보원칙 및 과잉금지원칙에 위반되어 청구인들의 개인정보자기결정권 등을 침해한다고 주장하며 2021. 12. 24. 이 사건 헌법소원심판을 청구하였다. (2) 2022헌마1068 사건 청구인들은 법무부장관, 피청구인 인천출입국·외국인청장, 과학기술정보통신부장관(이하 ‘과기부장관’이라 한다)이 이 사건 안면데이터를 학습데이터로 제공하여 이 사건 사업에 참여한 공모기업들로 하여금 처리하도록 한 행위, 출입국심사공무원이 생체정보를 활용할 수 있는 근거 규정인 출입국관리법 조항들, 이 사건 사업에 생체정보를 제공하지 못하도록 하는 입법이나 행정상 조치를 하지 아니한 피청구인 국회의장(이하 ‘국회의장’이라 한다)의 입법부작위 및 과기부장관, 법무부장관, 인천출입국·외국인청장의 행정부작위가 청구인들의 개인정보자기결정권 등을 침해한다고 주장하며 2022. 7. 21. 이 사건 헌법소원심판을 청구하였다. 2. 심판대상 가. 2021헌마1575 사건의 청구인들은 법무부장관이 출입국심사 시에 출입국장과 출입국심사대에서 청구인들의 여권사진 및 정지사진을 수집하고 보관한 행위와 이를 청구인들의 동의 없이 기업들에게 이전한 행위에 대하여 심판청구를 하였다. 위 청구인들은 법무부장관의 여권사진 등 수집·보관행위에 대하여는 정지사진 1장 외의 추가 사진촬영은 자의적인 데이터 수집으로 법률유보원칙에 위반되고, 이 사건 안면데이터를 기업이 활용할 수 있는 인공지능 모델 개발을 위한 학습데이터로 수집·보관한 것은 허용되는 민감정보의 처리에 해당하지 않고 그 필요한 사진의 수나 유형에 대해서도 정하지 않은 채 별도의 삭제기간 없이 무차별 수집 후 일부를 선정하였다는 점에서 과잉금지원칙에 반하여 청구인들의 개인정보자기결정권을 침해한다는 취지의 주장을 하고 있다. 법무부장관은 일반적으로 출입국심사에 필요한 경우에는 국민과 외국인의 생체정보를 수집할 수 있는바(출입국관리법 제3조 제3항, 제6조 제4항, 제12조의2 제1항, 제3항), 위와 같은 주장은 결국 출입국심사의 목적에 비추어 과도한 개인정보 수집·보관을 가능하게 함으로써 결과적으로 이 사건 사업을 위한 학습데이터로 활용될 수 있게 하였음을 문제 삼으면서 그 위헌성을 강조하는 취지로 이해할 수 있다. 따라서 이 사건 안면데이터의 수집·보관을 다투는 취지는 그 이전행위를 다투는 취지와 실질적으로 동일하다고 볼 수 있으므로, 법무부장관의 수집·보관행위는 별도의 심판대상으로 삼지 않기로 한다. 나. 2022헌마1068 사건의 청구인들은 법무부장관, 과기부장관, 인천출입국·외국인청장이 이 사건 안면데이터를 기업들에게 이전하여 처리하도록 한 행위, 출입국심사공무원이 생체정보를 활용할 수 있는 근거 규정인 출입국관리법 제3조 제5항, 제6조 제6항, 제12조의2 제5항, 제28조 제6항, 이 사건 사업에 생체정보를 제공하지 못하도록 하는 입법이나 행정상 조치를 하지 아니한 국회의장의 입법부작위 및 과기부장관 등의 행정부작위에 대하여 심판청구를 하였다. 그 중 행정부작위에 관한 주장은 이 사건 안면데이터를 기업들에게 이전함에 있어 보호조치를 하지 아니한 행정부작위가 기본권을 침해한다는 취지인데, 이 역시 이 사건 안면데이터를 학습데이터로 활용할 수 있도록 이전한 행위의 기본권 침해 여부를 다투는 것과 실질적으로 동일하다 할 것이므로, 별도의 심판대상으로 삼지 아니한다. 다. 한편, 헌법재판소는 심판청구서에 기재된 피청구인이나 청구취지에 구애됨이 없이 청구인이 주장하는 침해된 기본권과 침해의 원인이 되는 공권력을 직권 조사하여 피청구인과 심판대상을 확정할 수 있다(헌재 2001. 7. 19. 2000헌마546 참조). (1) 2021헌마1575 사건의 청구인들은 ‘법무부장관’만을 피청구인으로 지정하였고, 2022헌마1068 사건의 청구인들은 이 사건 안면데이터 이전과 관련하여 법무부장관 등과 함께 ‘인천출입국·외국인청장’을 피청구인으로 기재하였다. 그런데 기록에 의하면, ‘인천공항 출입국·외국인청’이 공모기업과 처리업무위탁계약을 체결하고 처리위탁 사실을 공개하지 아니하여 개인정보보호위원회로부터 과태료를 부과받았으며, 소관 보안시설 내에 실증랩을 구축하였으므로(개인정보보호위원회 심의·의결 안건번호 제2022-007-046호), 법무부장관과 함께 ‘인천공항 출입국·외국인청장’(이하 ‘인천공항출입국청장’이라 한다)을 이 사건 안면데이터를 이전한 행위의 주체로서 피청구인에 포함시킨다. (2) 2022헌마1068 사건의 청구인들은 과기부장관을 상대로도 이 사건 안면데이터의 이전행위를 다투고 있으나, 과기부장관은 이 사건 사업의 방향 제시 및 관련 예산 확보 등을 담당하면서 이전행위에는 직접 관여하지 않은 것으로 보이므로, 이전행위와 관련한 부분의 피청구인에서 과기부장관은 제외하기로 한다. 라. 그렇다면 이 사건의 심판대상은 ① 법무부장관과 인천공항출입국청장이 출입국심사 시 수집·보관한 청구인들의 여권사진 및 무인심사대에서 촬영한 얼굴 사진들을 제3자에게 이 사건 사업의 학습데이터로 이전하여 처리하도록 한 행위(이하 ‘이 사건 이전행위’라 한다), ② 출입국관리법(2020. 6. 9. 법률 제17365호로 개정된 것) 제3조 제5항, 제6조 제6항, 제12조의2 제5항, 제28조 제6항(이하 ‘이 사건 법률조항들’이라 한다), ③ 국회의장이 안면데이터 등 생체정보를 인공지능 알고리즘 학습 목적으로 처리하는 것을 금지하는 입법을 하지 아니한 입법부작위(이하 ‘이 사건 입법부작위’라 한다)가 청구인들의 기본권을 침해하였는지 여부이다. 심판대상조항은 다음과 같고, 관련조항은 [별지 2]와 같다. [심판대상조항] 출입국관리법(2020. 6. 9. 법률 제17365호로 개정된 것) 제3조(국민의 출국) ⑤ 출입국관리공무원은 제3항에 따라 수집하거나 제출받은 생체정보를 출국심사에 활용할 수 있다. 제6조(국민의 입국) ⑥ 출입국관리공무원은 제4항에 따라 수집하거나 제출받은 생체정보를 입국심사에 활용할 수 있다. 제12조의2(입국 시 생체정보의 제공 등) ⑤ 출입국관리공무원은 제1항 또는 제3항에 따라 제공 또는 제출받은 생체정보를 입국심사에 활용할 수 있다. 제28조(출국심사) ⑥ 출입국관리공무원은 제12조의2 제1항 또는 제3항에 따라 제공 또는 제출받은 생체정보를 출국심사에 활용할 수 있다. 3. 청구인들의 주장 가. 이 사건 이전행위 (1) 이 사건 사업은 종료되었으나, 2020년 사업 공모안내서 및 인공지능 실증랩 고도화 및 취득·관제시스템 구축 용역제안요청서에서 사업기간의 연장 가능성 또는 추가적인 용역 발주를 통해 인천공항을 이용하는 사람들의 안면데이터 등을 수집할 계획이 있었던 것으로 보이는바, 이 사건 이전행위는 반복될 수 있다. 이 사건 이전행위와 같이 공공기관이 보유한 생체정보 등 개인정보를 법률상 근거나 정보주체의 동의 없이 알고리즘 학습 목적으로 활용할 수 있는지에 관한 헌법적 판단이 없었으므로, 심판의 이익이 인정된다. (2) 이 사건 이전행위는 기업이 독자적 이익을 보유할 수 있으므로 ‘처리위탁’이 아닌 ‘제3자 제공’에 해당하고, 출입국심사 업무와 무관하게 민감정보인 이 사건 안면데이터를 정보주체의 동의를 받지 않고 이전한 것이므로 ‘개인정보 보호법’ 제23조 제1항에 위반되며, 법률에 근거가 없는 행위로서 법률유보원칙에 위반된다. (3) 이 사건 이전행위는 국민 개개인의 얼굴을 실시간으로 추적할 수 있게 하여 사생활을 침해하고, 민감정보의 성격을 고려하여 경쟁력 있는 1개 업체만 경쟁입찰방식으로 선정하고, 접근횟수를 최소화하였어야 하나, 법무부장관은 공모방식으로 사업을 진행하여 17개나 되는 기업들에게 한 기업 당 수천 회에 걸쳐 이 사건 안면데이터에 접근을 허용하였다. 따라서 이 사건 이전행위는 과잉금지원칙에 반하여 청구인들의 개인정보자기결정권, 인격권, 행복추구권을 침해한다. (4) 이 사건 이전행위는 청구인들에게 어떠한 고지 없이 정보주체의 의견과 관계없이 이루어졌으므로 적법절차원칙에 위반된다(2022헌마1068). 나. 이 사건 법률조항들(2022헌마1068) (1) 이 사건 법률조항들에서 ‘출국심사 또는 입국심사에 생체정보를 활용’하는 부분은 ‘출국심사 또는 입국심사에 직접적으로 활용’되는 것을 의미하는데, 피청구인들은 ‘출국심사 또는 입국심사와 관련된 사업 일체에서의 생체정보 활용’으로 광범위하게 해석하여 정보주체가 이를 예측하기 어려우므로, 명확성원칙에 위반된다. (2) 이 사건 법률조항들은 민감정보에 대한 정보주체의 권리를 보장하지 않고, 정보주체의 고지권, 동의권, 이의제기권 등 수단을 도입하지 아니하여 과잉금지원칙에 위반되고, 광범위한 생체정보의 활용을 허용하면서도 사전영향평가, 침해요인 검토, 정보주체의 의견 청취 등 기본권 보호조치를 규정하지 않고 있으므로, 국가의 기본권보호의무도 이행하지 못하였다. 다. 이 사건 입법부작위(2022헌마1068) 국회의장은 입법을 통하여 이 사건 이전행위와 같은 인공지능 알고리즘 학습 목적 생체정보의 처리를 금지하거나, 정보주체 보호조치를 취하였어야 함에도 이를 이행하지 않았으므로, 청구인들의 개인정보자기결정권 등을 침해한다. 4. 판단 가. 이 사건 이전행위에 대한 판단 (1) 권리보호이익의 소멸 헌법소원은 국민의 기본권침해를 구제하는 제도이므로 헌법소원심판청구가 적법하려면 심판청구 당시는 물론 결정 당시에도 권리보호이익이 있어야 한다(헌재 2008. 7. 31. 2004헌마1010등; 헌재 2016. 5. 26. 2013헌마879 참조). 이 사건 안면데이터를 학습데이터로 활용하는 이 사건 사업은 2021. 12. 31. 종료되었고, 이 사건 안면데이터도 2022. 3. 2. 파기되었으므로, 이 사건 이전행위를 다투는 심판청구가 인용된다고 하더라도 청구인들의 권리구제에는 도움이 되지 않는다. 따라서 이 사건 이전행위에 대한 심판청구는 권리보호이익이 소멸하였다. (2) 예외적 심판의 이익의 유무 (가) 헌법소원 제도는 개인의 주관적 권리구제뿐만 아니라 헌법질서를 보장하는 기능도 가지고 있으므로, 헌법소원심판청구가 청구인들의 주관적 권리구제에는 도움이 되지 않는다 하더라도 그러한 침해행위가 앞으로도 반복될 위험이 있거나, 당해 분쟁의 해결이 헌법질서의 수호·유지를 위하여 긴요한 사항이어서 헌법적으로 그 해명이 중대한 의미를 지니고 있는 경우에는 심판청구의 이익을 인정할 수 있으므로(헌재 2015. 7. 30. 2012헌마610 참조), 이 사건 이전행위에 대한 심판청구에 위와 같이 예외적으로 심판의 이익이 인정될 수 있는지 본다. (나) 이 사건 사업은 언론 보도와 시민사회의 문제 제기로 사회적 논란이 확산되는 과정에서 중단된 후 이미 종료되었고, 법무부장관 역시 의견서와 사실조회 회신을 통하여 동일하거나 유사한 형태의 사업을 재개할 계획이 없음을 밝히고 있다. 이러한 사정에 비추어 볼 때, 현재까지 드러난 사정만으로는 이 사건 이전행위와 규범적으로 동일하게 평가할 수 있는 행위가 장래에도 구체적으로 반복될 위험성이 있다고 단정하기 어렵다. (다) 한편, 출입국관리법은 출입국심사의 요건과 절차, 생체정보의 수집 및 활용 등에 관하여 규정하고 있고, ‘개인정보 보호법’은 개인정보의 종류 및 그에 따른 수집·이용 요건, 목적 외 사용의 제한, 최소한의 처리 원칙, 보호조치의 이행, 민감정보의 처리 등에 관하여 상세한 규율을 두고 있다. 따라서 이 사건 이전행위의 당부는 우선적으로 위 법률들의 해석과 적용을 통하여 판단될 문제에 해당한다. 또한 이 사건 이전행위는 특정 법률조항 자체가 아니라, 위 법률들을 근거로 하여 개별적이고 구체적인 상황에서 이루어진 행정작용으로서, 그것이 정보주체의 동의 없이 지나치게 광범위하거나 과도하게 행해졌는지 여부는 그 목적이나 이 사건 안면데이터의 범위와 양, 비식별처리 여부 및 그 정도, 공모기업의 선정 방식과 선정된 기업의 수, 인천공항출입국청장이 공모기업과 체결한 개인정보처리위탁 계약의 내용, 기술결과물에 대한 협약 내용, 보안대책의 수립 여부 등 사실적·기술적 요소를 비롯한 여러 구체적 사정을 종합적으로 고려하여 판단할 수밖에 없다. 이와 같이 구체적인 상황 속에서 이루어진 행위에 대한 판단 결과는 기본적으로 당해 사건에 한정하여 의미를 가지게 된다. 즉, 이 사건 이전행위에 대하여 위헌심사를 하더라도 결국 법령의 포섭·적용의 문제로 귀결되거나, 개별적이고 구체적인 당해 사건을 넘어 일반적 의미를 갖기 어렵다고 보이므로, 헌법적 해명의 필요성이 긴절하다고 보기 어렵다. (라) 따라서 이 부분 심판청구에 예외적인 심판의 이익을 인정하기 어렵다. 나. 이 사건 법률조항들에 대한 판단 법령에 대한 헌법소원에 있어서 ‘기본권침해의 직접성’을 요구하는 이유는, 법령은 일반적으로 구체적인 집행행위를 매개로 하여 비로소 기본권을 침해하게 되므로 기본권의 침해를 받은 개인은 먼저 일반 쟁송의 방법으로 집행행위를 대상으로 하여 기본권침해에 대한 구제절차를 밟는 것이 헌법소원의 성격상 요청되기 때문이다. 특히, 법령에 근거한 구체적인 집행행위가 ‘재량행위’인 경우에는 법령은 집행기관에게 기본권침해의 가능성만을 부여할 뿐 법령 스스로가 기본권의 침해행위를 규정하고 행정청이 이에 따르도록 구속하는 것이 아니고, 이때의 기본권의 침해는 집행기관의 의사에 따른 집행행위, 즉 재량권의 행사에 의하여 비로소 이루어지고 현실화되므로 이러한 경우에는 법령에 의한 기본권침해의 직접성이 인정될 여지가 없다(헌재 1998. 4. 30. 97헌마141; 헌재 2003. 7. 24. 2003헌마3 참조). 이 사건 법률조항들은 국민과 외국인이 출입국심사를 받을 때 출입국관리공무원이 생체정보를 활용할 수 있도록 하는 근거조항으로, 반드시 생체정보를 활용하도록 규정하고 있지 않다. 생체정보의 활용으로 인한 기본권 침해는 출입국관리공무원의 재량에 따라 출입국심사에 생체정보를 활용하는 집행행위를 통하여 현실화된다. 이와 같이 이 사건 법률조항들은 생체정보의 활용이라는 집행행위를 예정하고 있으므로, 이 부분 심판청구는 직접성이 인정되지 아니한다. 다. 이 사건 입법부작위에 대한 판단 진정입법부작위가 헌법소원심판의 대상이 되려면, 헌법에서 기본권보장을 위해 법률에 명시적으로 입법위임을 하였음에도 불구하고 입법자가 이를 이행하지 않고 있는 경우 또는 헌법해석상 특정인의 기본권을 보호하기 위한 국가의 입법의무가 발생하였음이 명백함에도 불구하고 입법자가 아무런 입법조치를 취하지 않고 있는 경우이어야 한다(헌재 2006. 4. 27. 2005헌마968 참조). 청구인들은 피청구인 국회의장이 청구인들의 안면 이미지정보 등 생체정보 및 개인정보를 인공지능 알고리즘 학습 목적으로 처리하는 것을 금지하는 입법을 하지 아니한 입법부작위가 위헌이라고 주장한다. ‘개인정보 보호법’은 이미 개인정보의 처리 요건 및 절차, 처리가 금지되는 경우 등에 대하여 규정하고 있는바(제15조, 제18조, 제23조 등), 청구인들의 주장은 인공지능 알고리즘 학습 목적으로 이 사건 안면데이터와 같은 개인정보를 이용하지 못하게 금지하는 구체적인 규정이 존재하지 아니하는 것의 위헌성을 다투는 것으로 볼 수 있다. 그런데 이는 진정입법부작위에 대한 심판청구로서 위와 같은 규정을 제정할 작위의무가 헌법 명문으로 규정되어 있지 않고, 헌법 해석상으로도 그와 같은 입법의무가 도출된다고 보기 어렵다. 따라서 이 사건 입법부작위는 헌법소원의 대상이 되는 공권력의 불행사에 해당하지 아니한다. 5. 결론 그렇다면 청구인들의 심판청구는 부적법하므로 이를 모두 각하하기로 하여, 관여 재판관 전원의 일치된 의견으로 주문과 같이 결정한다. 재판관 김상환 김형두 정정미 정형식 김복형 조한창 정계선 마은혁 오영준 [별지 1] 청구인 명단 1. 박○○(2021헌마1575) 2. 사○○(2021헌마1575) 3. 최○○(2021헌마1575) 청구인 1 내지 3의 국선대리인 변호사 김문기 4. 홍○○(2022헌마1068) 5. 사□□(2022헌마1068) 청구인 4, 5의 대리인 법무법인 다산담당변호사 조지훈법무법인 여는담당변호사 권두섭 법무법인 에이프로담당변호사 선수지, 권태윤법무법인 덕수담당변호사 최호웅변호사 서채완법무법인 두율담당변호사 김하나, 김병욱 [별지 2] 관련조항 출입국관리법(2020. 6. 9. 법률 제17365호로 개정된 것) 제3조(국민의 출국) ③ 법무부장관은 출국심사에 필요한 경우에는 국민의 생체정보를 수집하거나 관계 행정기관이 보유하고 있는 국민의 생체정보의 제출을 요청할 수 있다. 제6조(국민의 입국) ④ 법무부장관은 입국심사에 필요한 경우에는 국민의 생체정보를 수집하거나 관계 행정기관이 보유하고 있는 국민의 생체정보의 제출을 요청할 수 있다. 제12조(입국심사) ① 외국인이 입국하려는 경우에는 입국하는 출입국항에서 대통령령으로 정하는 바에 따라 여권과 입국신고서를 출입국관리공무원에게 제출하여 입국심사를 받아야 한다. 제12조의2(입국 시 생체정보의 제공 등) ① 입국하려는 외국인은 제12조에 따라 입국심사를 받을 때 법무부령으로 정하는 방법으로 생체정보를 제공하고 본인임을 확인하는 절차에 응하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 사람은 그러하지 아니하다. (각 호 생략) ② 출입국관리공무원은 외국인이 제1항 본문에 따라 생체정보를 제공하지 아니하는 경우에는 그의 입국을 허가하지 아니할 수 있다. ③ 법무부장관은 입국심사에 필요한 경우에는 관계 행정기관이 보유하고 있는 외국인의 생체정보의 제출을 요청할 수 있다. ⑥ 법무부장관은 제1항 또는 제3항에 따라 제공 또는 제출받은 생체정보를 「개인정보 보호법」에 따라 보유하고 관리한다. 출입국관리법(2010. 5. 14. 법률 제10282호로 개정된 것) 제28조(출국심사) ① 외국인이 출국할 때에는 유효한 여권을 가지고 출국하는 출입국항에서 출입국관리공무원의 출국심사를 받아야 한다.