가디언은 정부 문서를 통해 영국이 일반적인 출입국 단속에 안면인식을 활용하는 프로그램을 개발하고 있다고 보도했다. 해당 보도는 이를 안면인식 기술이 동원된 사상 최대 규모의 출입국 단속이라고 묘사했다. 영국의 안면인식 출입국 단속은 새로운 발상은 아니지만, 이번 문서들은 지금까지 알려진 표적형 활용보다 더 광범위하고 일상적인 역할을 시사한다.

이 글에서는 보도된 내용, 생체 데이터가 처음 수집된 목적을 넘어 사용될 수 있는 경위, 그리고 영국 데이터 보호법이 제공하는 것과 제공하지 않는 것을 살펴본다. 이는 가디언이 정리한 문서 요약에 근거한다. 해당 보도 외에 프로그램의 세부 내용은 확인되지 않았다.

문서가 드러내는 출입국 프로그램의 실체

가디언의 요약에 따르면, 문서는 정부가 일반적인 출입국 단속에 안면인식을 활용하는 프로그램을 개발 중임을 보여준다. "일반적"이라는 말이 핵심이다. 이전 보도는 특정 작전에 초점을 맞췄다. 이번 보도는 해당 기술이 일상적인 단속 업무에 내장되고 있음을 시사한다.

검색 결과에서 드러난 보도 일부에 따르면, 이 기술은 "불법으로 영국에 재입국하려는 사람"을 식별하고 추방 조치 대상자를 겨냥하는 데 사용될 것이라고 한다. 우리는 기저 문서를 확인하지 못했기에 실무적 세부 사항은 불분명하다. 카메라 설치 위치, 어떤 감시 목록이 사용될지, 이미지 보관 기간, 그리고 일치 판정을 누가 검토할지 등이다.

이전 계획에 대한 배경은 2026년 영국 안면인식 출입국 단속 계획과 출입국 안면인식의 민사 사건으로의 확대에 대한 우리의 보도를 참고하기 바란다.

생체 데이터가 원래 목적을 넘어 재사용되는 방식

얼굴 이미지는 비밀번호와 같지 않다. 바꿀 수 없고, 본인의 관여 없이 멀리서 수집될 수 있다. 그래서 재사용 문제가 핵심이 된다.

이미지와 생체 템플릿은 여러 곳에서 나올 수 있다. 여권 및 비자 신청, 국경 검문, 경찰 구금 기록, 실시간 카메라 피드가 모두 잠재적 출처다. 감시 목록은 이들 중 여러 곳에서 조합될 수 있다. 디지털 권리 단체가 제기하는 우려는 "기능 확장(function creep)"이다. 즉, 좁은 이유로 수집된 데이터가 인프라가 구축되면 더 넓은 업무를 위한 자원이 된다는 것이다.

재사용이 일어나고 있는지 보여주는 데 도움이 되는 세 가지 질문이 있다:

  • 출처: 감시 목록의 이미지는 어디서 왔으며, 사람들은 이런 방식으로 사용될 수 있다고 통지받았는가?
  • 범위: 감시 목록은 특정 이유로 수배된 사람만을 대상으로 하는가, 아니면 광범위한 인구를 대상으로 하는가?
  • 보존: 일치하지 않은 채 스캔된 사람들의 얼굴은 어떻게 되는가?

마지막 지점이 중요한 이유는 실시간 안면인식이 수배 대상자만이 아니라 카메라를 지나는 모든 사람을 스캔하는 방식으로 작동하기 때문이다. 일치 판정이 나지 않더라도 그러한 스캔은 개인 데이터다.

영국 데이터 보호법이 다루는 것과 다루지 않는 것

영국 GDPR과 2018년 데이터 보호법은 개인을 식별하는 데 사용되는 생체 데이터에 적용된다. 해당 목적으로 사용되는 생체 데이터는 더 엄격한 조건이 따르는 개인 데이터의 특수 범주로 취급된다. 핵심 원칙에는 목적 제한(한 목적으로 수집된 데이터는 양립할 수 없는 방식으로 사용되어서는 안 됨), 데이터 최소화, 책임성이 포함된다. 고위험 처리를 수행하는 조직은 일반적으로 먼저 데이터 보호 영향 평가를 완료해야 한다.

실무에서 이것이 의미하는 바에는 한계가 있다. 법 집행 처리는 데이터 보호법의 별도 부분에 따라 다루어지며, 그 자체의 규칙이 있다. 출입국 관리와 같은 사안에는 예외가 적용될 수 있고, 공공 기관은 공적 기능에 연계된 법적 근거에 의존할 수 있다. 다시 말해, 법은 틀을 정하지만 안면인식 사용을 금지하지는 않는다. 특정 배치가 적법한지 여부는 그 필요성, 비례성, 안전장치, 그리고 그 이면의 정책 세부 사항에 달려 있다.

정보위원회(ICO)는 이미 경찰에 이 문제를 압박해 왔다. ICO가 영국 경찰에 안면인식 데이터 거버넌스 개선을 촉구한 우리의 보도는 기술이 일상화됨에 따라 규제 기관이 더 엄격한 통제를 기대하고 있음을 보여준다. 법적 보호의 공백에 대한 더 넓은 시각은 안면인식 프라이버시 법에 관한 CDT 브리핑에 대한 우리의 기사에서 확인할 수 있다.

이것이 당신에게 의미하는 것

영국에 거주하거나, 일하거나, 여행한다면 카메라 앞을 지나가는 것을 거부할 수 없다. 이번 보도는 출입국 단속에 관한 것이지만, 동일한 인프라와 법적 틀은 해당 기술의 다른 용도와 공유된다. 여기서 내려지는 결정은 안면인식이 더 광범위하게 사용되는 방식을 형성할 수 있다.

VPN은 이것으로부터 당신을 보호하지 못한다. VPN은 인터넷 트래픽을 숨길 뿐, 공공장소에서의 당신의 얼굴을 숨기지 않는다. 프라이버시 도구가 카메라 기반 식별을 무력화할 수 있다는 어떠한 주장도 경계하라.

당신에게 있는 것은 자신의 개인 데이터에 대한 법적 권리와, 질문을 통해 기관에 책임을 물을 수 있는 능력이다.

프라이버시를 중시하는 독자가 할 수 있는 일

  • 권리를 알라. 영국 데이터 보호법에 따라 일반적으로 정보주체 접근 요청을 통해 조직이 보유한 개인 데이터가 무엇인지 물을 수 있다. 출입국 맥락에서는 예외가 제공되는 정보를 제한할 수 있다.
  • 정책을 읽어라. 실시간 안면인식을 배치하는 당국은 정책 문서를 공개해야 한다. 감시 목록, 보존, 감독에 관해 무엇이라고 명시하는지 확인하라.
  • 규제 기관을 주시하라. 생체 데이터와 경찰 데이터 거버넌스에 관한 ICO의 지침과 성명은 배치가 충족해야 할 기준을 보여준다.
  • 독립적 감시를 지지하라. 디지털 권리 단체들은 생체 감시를 추적하고 공청회와 법적 조치를 통해 이의를 제기한다. 그들의 활동을 따르는 것은 정보를 얻는 가장 직접적인 방법 중 하나다.
  • 자신의 생체 정보 공유를 제한하라. 선택권이 있는 곳에서는 얼굴을 저장하는 앱과 서비스에 등록하기 전에 생각하라.

결론

가디언의 보도는 영국의 안면인식 출입국 단속이 표적형 사용에서 상시 프로그램으로 이동하고 있음을 시사한다. 법적 틀은 실재하지만 유연하며, 감시 목록, 보존, 감독의 세부 사항이 사람들이 실제로 누리는 보호의 정도를 결정할 것이다. 더 깊이 알아보려면 영국 출입국 안면인식 계획과 ICO의 데이터 거버넌스 지침에 대한 우리의 이전 보도를 읽고, 생체 감시의 전개를 추적하는 디지털 권리 단체들을 계속 주시하라.