휴대전화를 개통하려는 사람이 신분증뿐 아니라 자신의 얼굴도 카메라 앞에 보여줘야 한다면 질문은 단순하지 않다. 명의를 도용한 대포폰을 줄여 보이스피싱 피해를 막겠다는 목적에는 공익이 있다. 동시에 얼굴에서 추출한 특징값은 비밀번호처럼 문제가 생겼을 때 새것으로 바꾸기 어려운 생체인식정보다. 범죄 예방이라는 목적이 중요하다고 해서 수단의 법적 근거, 선택권, 정확도와 보관 조건이 저절로 충족되는 것은 아니다.
2026년 5월 개인정보보호위원회는 이 제도를 없애라는 판결이나 전면 금지 명령을 내린 것이 아니라 과학기술정보통신부에 개선권고를 의결했다. 당시 확인된 제도는 신분증 사진과 현장에서 촬영한 실제 얼굴에서 안면특징점을 추출해 동일인 여부를 판별하는 시범운영이었다. 개인정보위는 정식 시행 전 필요성·실효성·적절성·비례성을 충분히 검토하고 개인정보 보호 중심으로 설계하라고 권고했다.[1]
이 구분이 중요하다. “정부가 안면인증을 불법으로 확정했다”거나 “법원이 금지했다”는 설명은 공식 발표의 범위를 넘어선다. 반대로 “보이스피싱 방지 목적이니 이미 적법성과 효과가 증명됐다”는 설명도 성립하지 않는다. 현재 필요한 일은 찬반을 먼저 고르는 것이 아니라 서로 다른 쟁점을 분리해 공개적으로 검증하는 것이다.
먼저 무엇을 하고 있는지 정확히 부르자
일상어로는 얼굴 사진, 얼굴 영상, 안면정보, 안면특징값을 모두 “얼굴 데이터”라고 부르기 쉽다. 그러나 개인정보 위험을 따질 때는 처리 흐름을 나눠야 한다. 개통 창구가 신분증 사진을 읽는 단계, 이용자의 얼굴을 실시간 촬영하는 단계, 두 이미지에서 비교용 특징값을 만드는 단계, 일치 여부를 통신사에 반환하는 단계, 원본과 중간 산출물을 파기하는 단계는 각각 다른 데이터와 책임 주체를 갖는다.
개인정보위는 안면인증을 위탁받은 수탁사의 시스템에서 최소 정보만 처리하고, 대조 뒤 원본 사진과 안면정보를 저장하지 말고 즉시 파기하도록 통신사가 관리·감독해야 한다고 권고했다.[1] 개인정보위가 별도로 공개한 현행 생체정보 보호 안내서는 생체인식정보를 안전하게 처리할 때 필요한 점검 사항을 안내하는 문서다.[2] 안내서가 있다는 사실 자체가 특정 사업의 적법성을 자동 승인하는 것은 아니지만, “촬영만 잠깐 하니 개인정보 문제가 없다”는 식의 단순화가 곤란하다는 점은 분명하다.
공식 자료 어디에도 이 시범사업이 전 국민의 얼굴을 한곳에 모으는 국가 얼굴 데이터베이스라고 적혀 있지 않다. 실제 유출이 확인됐다는 발표도 없다. 따라서 그런 주장을 사실처럼 확대해서는 안 된다. 다만 중앙 데이터베이스가 아니고 유출 사실이 확인되지 않았다는 것과, 처리 구조·접근권한·파기 증거를 검증할 필요가 없다는 것은 전혀 다른 말이다.
질문 1: 목적은 어디까지인가
정책 목적은 “안전 강화”처럼 넓게 쓰기보다 측정할 수 있게 좁혀야 한다. 휴대전화 개통 안면인증의 직접 목적이 신분증 도용을 이용한 부정개통 차단인지, 명의대여까지 억제하려는 것인지, 이후 보이스피싱 피해액 감소까지 책임지는지 구분해야 한다. 안면 대조는 신분증 사진과 신청자가 다른 경우를 찾는 데는 관련성이 있을 수 있지만, 본인이 대가를 받고 자기 얼굴로 개통하는 명의대여까지 같은 방식으로 잡는다고 미리 가정할 수는 없다.
그래서 성과지표도 층을 나눠야 한다. 안면 불일치 탐지 건수, 조사 뒤 확인된 실제 부정개통 건수, 정상 신청자를 잘못 거절한 건수, 다른 개통 경로로 이동한 우회율, 개통 후 범죄에 쓰인 회선 수, 최종 보이스피싱 피해 건수·피해액은 서로 다른 값이다. 첫 번째 수치가 늘었다고 마지막 수치까지 개선됐다고 결론 내리면 안 된다.
목적의 정당성과 수단의 효과도 별도다. 보이스피싱 피해를 줄이겠다는 목적에 동의하면서도, 이 수단이 그 목적에 충분히 기여하는지 더 나은 자료를 요구할 수 있다. 반대로 안면인증의 한계를 지적하는 것이 범죄 예방 자체를 반대한다는 뜻도 아니다.
질문 2: 법적 근거는 무엇인가
개인정보위 발표는 안면특징점과 같은 생체인식정보를 개인정보 보호법상 민감정보로 설명하고, 정보주체의 동의 또는 법령상 근거가 있을 때 처리할 수 있다고 밝혔다. 동시에 당시 전기통신사업법 등 관계 법령에서 휴대전화 개통 때 안면정보를 본인인증 수단으로 이용할 수 있는지가 분명하지 않다고 지적했다.[1]
여기서 “동의 화면이 있었다”는 사실만으로 논의를 끝내기는 어렵다. 얼굴 제공을 거절하면 사실상 휴대전화를 개통할 수 없는 구조에서 그 동의가 얼마나 실질적인 선택인지 따져야 하기 때문이다. 개인정보위도 선택권이 보장되지 않은 상태의 동의는 실질적으로 거부하기 어렵다고 보았고, 대체 인증수단을 마련해 선택권을 보장하거나 관계 법령에 명확한 처리 근거를 두라고 권고했다.[1]
그렇다고 이 권고를 법원의 위법 판결로 바꾸어 읽어서도 안 된다. 개선권고는 주무부처가 정식 시행 전에 제도를 고치고 근거와 절차를 명확히 하라는 행정적 판단이다. 향후 법령 정비나 제도 변경이 있다면 그 시점의 공식 문서로 다시 확인해야 한다. 이 글은 개별 사건에 대한 법률 자문이 아니다.
질문 3: 얼굴을 내지 않는 대안이 실제로 가능한가
대체수단은 개인정보처리방침 구석에 적힌 문구가 아니라 현장에서 작동하는 절차여야 한다. 예를 들어 추가 서류 확인, 기존 회선이나 금융수단을 통한 복수 확인, 직원의 강화된 수동 심사, 일정 시간 뒤 개통 같은 방법을 조합할 수 있다. 어떤 방법이 적절한지는 사칭 위험, 접근성, 비용을 함께 시험해야 한다.
대안을 택했다는 이유로 이용자를 사실상 배제하지 않는 것이 중요하다. 대체 절차가 특정 매장에서만 가능하거나 며칠씩 더 걸리고, 온라인 개통에서는 아예 제공되지 않는다면 선택권은 형식에 그친다. 카메라 사용이 어렵거나 얼굴 촬영이 원활하지 않은 사람, 장애인, 고령자, 신분증 사진과 현재 모습의 차이가 큰 사람도 같은 수준으로 개통할 수 있어야 한다.
평가표에는 안면인증 경로와 대체 경로의 완료율, 소요시간, 추가 비용, 재방문율을 나란히 공개할 필요가 있다. 대체수단이 부정개통에 더 취약하다면 그 차이도 숨기지 말고 보완책과 함께 제시해야 한다. 선택권과 범죄 예방을 어느 한쪽의 구호로만 만들지 않는 방법이다.
질문 4: 무엇을 얼마 동안 보관하는가
“저장하지 않는다”는 한 문장만으로는 부족하다. 원본 얼굴 영상, 신분증 이미지, 추출된 특징값, 일치 점수, 성공·실패 결과, 단말기와 접속 로그, 상담 기록마다 보관 이유와 기간이 다를 수 있다. 통신사, 판매점, 인증 수탁사, 클라우드 운영자 가운데 누가 어떤 항목을 보는지도 공개해야 한다.
개인정보위 권고의 핵심은 수탁사 안면인증 시스템에서 최소 정보만 처리하고 대조 후 원본 사진과 안면정보를 저장하지 않으며 즉시 파기하도록 관리·감독하라는 것이다.[1] 정책 문서에는 이 원칙을 실제로 확인할 수 있는 증거가 뒤따라야 한다. 파기 요청의 성공 응답만이 아니라 저장소 수명주기 설정, 임시파일과 캐시, 백업 포함 여부, 실패 작업의 잔여물, 수탁사 점검 결과를 확인해야 한다.
부정개통 조사나 분쟁 대응을 위해 일부 로그를 남겨야 한다면 안면 원본과 구분해야 한다. 항목별 목적, 보관기간, 접근권한, 파기 시점을 적고 목적이 끝나면 삭제하는 구조가 필요하다. “향후 서비스 개선”처럼 넓은 2차 이용 목적을 끼워 넣는다면 별도 근거와 필요성을 다시 설명해야 한다.
질문 5: 정확도는 하나의 숫자가 아니다
안면 대조 시스템은 완벽한 예·아니오 기계가 아니다. 설정한 임계값에 따라 타인을 본인으로 잘못 받아들이는 경우와 실제 본인을 타인으로 잘못 거절하는 경우가 달라질 수 있다. 여기에 촬영 조명, 카메라 품질, 신분증 사진의 오래됨, 안경이나 마스크, 얼굴 변화, 네트워크 오류와 재시도 절차가 영향을 줄 수 있다.
따라서 공급사가 제시한 실험실 정확도 하나보다 실제 개통 환경의 운영 지표가 중요하다. 적어도 일치·불일치 판정, 품질 부족으로 인한 재촬영, 시스템 오류, 직원 수동판단으로 넘어간 건을 분리해야 한다. 연령대나 이용 경로별 격차를 확인하되, 이를 측정한다는 이유로 불필요한 민감정보를 새로 모아서는 안 된다.
공개 수준도 신중해야 한다. 공격자가 우회에 활용할 세부 임계값이나 보안 설정까지 모두 공개할 필요는 없다. 하지만 독립적인 평가가 가능하도록 시험 설계, 표본의 범위, 오류 정의, 신뢰구간, 운영 환경과 실험 환경의 차이는 제시할 수 있다. 영업비밀이라는 이유로 정상 이용자가 얼마나 실패하는지까지 감추면 사회적 비용을 평가할 수 없다.
질문 6: 본인거부율과 이의제기 절차는 어떤가
정상 신청자가 잘못 거절되는 본인거부는 단순한 불편이 아니다. 전화번호는 금융, 행정, 취업, 의료와 연결되는 생활 기반이다. 한 번의 실패를 범죄 의심으로 취급하거나 반복 촬영만 요구하면, 기술 오류의 비용을 개인에게 떠넘기게 된다.
본인거부율은 전체 시도 중 실패 비율만 보면 부족하다. 첫 시도 실패 뒤 재촬영으로 성공한 비율, 최종 거부율, 대체수단 전환율, 해결까지 걸린 시간, 판매점별 편차를 함께 봐야 한다. 같은 사람이 여러 번 실패한 기록을 여러 건으로 세면 체감 피해와 통계가 어긋날 수 있으므로 사람 단위와 시도 단위를 구분할 필요도 있다.
이의제기 절차에는 최소한 사람이 재검토하는 경로, 거부 사유의 이해 가능한 안내, 대체 인증으로 즉시 전환, 잘못된 위험표시의 정정이 포함돼야 한다. 고객센터가 알고리즘 결과를 바꿀 권한도 설명도 없이 “다시 촬영하라”고만 한다면 구제수단이라고 보기 어렵다.
질문 7: 부정개통과 보이스피싱을 얼마나 줄였는가
안면인증의 공익성을 가장 강하게 만드는 것은 실제 효과의 증거다. 동시에 가장 조심해서 읽어야 하는 부분도 여기다. 시범운영 전후의 전체 부정개통 건수를 단순 비교하면 다른 정책, 단속 강도, 계절성, 범죄 수법 변화가 섞인다. 안면인증을 적용한 경로와 적용하지 않은 경로, 유사한 위험도를 가진 비교 집단, 도입 전 추세를 함께 봐야 한다.
평가에는 탐지율뿐 아니라 오탐과 우회도 들어가야 한다. 공격자가 온라인에서 오프라인으로, 한 사업자에서 다른 사업자로, 신분증 도용에서 명의대여로 이동했다면 한 창구의 차단 건수만으로 전체 효과를 말하기 어렵다. 차단된 신청 가운데 조사로 실제 부정개통이 확인된 비율과 정상 고객이 잘못 막힌 비율도 함께 공개해야 한다.
2026년 5월 개인정보위 발표는 제도 실효성을 시행 이후에도 주기적으로 평가·점검하고 이용자 의견을 운영에 반영하라고 권고했다.[1] 이 발표만으로 안면인증이 부정개통이나 보이스피싱을 얼마나 줄였는지는 확정할 수 없다. 그렇다고 효과가 없다고 입증됐다는 뜻도 아니다. 필요한 것은 성공을 선언하거나 실패를 단정하는 일이 아니라, 독립적으로 검토 가능한 지표와 평가 설계를 공개하는 일이다.
공론화는 동의 버튼보다 앞에 있어야 한다
개인정보위는 2026년 8월 개인정보 제도 혁신을 위한 국민제안을 받으면서, 반복되는 형식적 동의가 오히려 실질적 보호와 통제권을 약화할 수 있다는 문제를 제시했다. 접수된 제안은 공개 토론과 세미나를 거쳐 연내 제도 혁신 방향에 반영하겠다고 밝혔다.[3] 휴대전화 개통 안면인증은 바로 이 문제를 구체적으로 묻기 좋은 사례다. 동의 문구를 더 길게 만드는 것보다 거절 가능한 대안과 처리 흐름을 먼저 설계해야 하기 때문이다.
10월에는 행정안전부와 개인정보위가 AI 시대 개인정보의 보호와 활용을 주제로 국민 참가자 200명을 모집해 숙의·토론을 열겠다고 발표했다. 현장 토론 전 온라인 의견도 받는 구조였다.[4] 이런 공론화가 의미 있으려면 참가자에게 “보호냐 활용이냐”라는 추상적 선택지만 줄 것이 아니라, 실제 안면인증의 목적·근거·대안·보관·오류·효과 자료를 제공해야 한다.
정책 신뢰는 모든 위험이 0이라고 말할 때 생기지 않는다. 어떤 위험을 발견했고, 어떤 대안을 비교했으며, 정상 이용자의 불이익을 어떻게 구제하고, 효과가 부족하면 어디까지 축소하거나 중단할지를 미리 밝힐 때 생긴다. 시범사업은 정식 시행을 정당화하는 대기실이 아니라, 시행하지 않거나 더 좁게 시행할 가능성까지 열어 둔 검증 단계여야 한다.
결론: 얼굴을 요구하기 전에 일곱 답을 공개하라
휴대전화 부정개통과 보이스피싱을 줄이는 일은 분명한 공익 과제다. 안면인증도 그 목적에 기여할 가능성이 있는 수단 가운데 하나로 검토할 수 있다. 그러나 공익 목적이 생체정보 처리의 근거와 비례성, 정상 이용자의 접근권, 최소 보관, 정확도 검증을 대신하지는 않는다.
정식 시행을 논하려면 최소한 일곱 질문에 답해야 한다. 정확히 어떤 부정개통을 막으려는가. 민감정보 처리의 명확한 근거는 무엇인가. 얼굴을 제공하지 않는 실질적 대안은 있는가. 어떤 데이터를 누가 얼마나 보관하는가. 실제 환경의 정확도는 어떤가. 정상 신청자의 본인거부와 구제는 어떻게 측정하는가. 마지막으로 부정개통과 보이스피싱 감소에 대한 입증된 순효과는 얼마인가.
개인정보위의 2026년 5월 조치는 법원의 금지 판결이 아니라 이 답들을 갖추라는 개선권고다.[1] 그 경계를 정확히 지키는 것이 논의를 약하게 만들지 않는다. 오히려 범죄 예방의 편익과 생체정보 처리의 비용을 같은 표 위에서 비교하게 한다. 얼굴을 보여줄지 묻기 전에, 제도가 먼저 증거를 보여줘야 한다.
Sources
[1] https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12122 — 개인정보위, 휴대전화 개통 시 안면인증 관련 과기정통부에 개선 권고 [2] https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=10900 — 생체정보 보호 안내서(2024.12.) [3] https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12361 — 인공지능 시대 개인정보 제도 혁신, 국민과 함께 설계한다 [4] https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12550 — 인공지능 시대 안전한 개인정보 보호·활용 방안, 국민 의견 모은다