.svg)
AI 솔루션 문의하기
얼굴 정보는 개인정보보호법상 신체적 특징을 통해 특정 개인을 알아볼 목적으로 생성된 정보로 민감정보에 해당합니다. 이름이나 연락처와 달리 한 번 유출되면 바꿀 수 없다는 점에서 훨씬 신중한 관리가 요구됩니다. 전자의무기록 접근을 위한 얼굴본인인증을 도입할 때는 처음부터 수집 범위를 최소한으로 설계하는 원칙이 병원 시스템 구축의 출발점이 되어야 합니다. 진료 기록이라는 가장 민감한 정보를 지키기 위해 도입하는 인증 수단이 오히려 또 다른 민감정보를 필요 이상으로 쌓아 두는 결과를 낳는다면 이는 본래의 취지와 어긋나는 방향입니다.
얼굴본인인증을 위해 반드시 원본 사진을 그대로 저장해야 하는 것은 아닙니다. 촬영된 얼굴에서 인증에 필요한 특징값만 추출해 저장하고 원본 이미지는 인증 절차가 끝나는 즉시 폐기하는 절차를 두면 최소수집 원칙을 기술적으로 구현할 수 있습니다. 특징값만으로는 원본 얼굴을 복원하기 어려워 유출되더라도 피해 범위가 원본 이미지보다 제한적입니다. 이런 방식은 인증 정확도를 유지하면서도 저장하는 데이터의 민감도 자체를 낮출 수 있어 최소수집 원칙을 실제 시스템에 구현하는 가장 현실적인 접근으로 보입니다.
전자의무기록 접근 확인을 위해 수집한 얼굴 정보를 인사평가나 근태관리 같은 다른 목적으로 함께 쓰고 싶은 가능성이 생길 수 있습니다. 개인정보보호법은 이런 목적 외 이용을 원칙적으로 제한하고 있습니다. 얼굴 정보의 수집 목적을 전자의무기록 접근 확인으로 명확히 한정하고 다른 시스템과는 별도로 관리하는 절차가 필요합니다. 목적이 명확할수록 수집하는 정보의 범위도 자연스럽게 좁아집니다. 여러 목적을 한꺼번에 충족시키려는 욕심이 결국 필요 이상의 정보를 끌어모으는 출발점이 되는 경우가 많아 목적을 하나로 좁히는 결정이 최소수집의 가장 근본적인 실천이 됩니다.
부서를 옮기거나 병원을 퇴직한 직원의 얼굴 정보가 시스템에 계속 남아 있으면 그 자체가 불필요한 위험이 될 수 있습니다. 인사 변동이 발생하면 관련 얼굴 정보를 정해진 기간 안에 삭제하도록 인사 시스템과 인증 시스템을 연동하는 절차를 두어야 합니다. 필요 없어진 정보를 계속 쥐고 있는 일은 최소수집 원칙의 정반대 방향입니다. 삭제 기준을 명확한 기간으로 정해 두지 않으면 담당자의 재량에 따라 삭제 시점이 들쭉날쭉해지고 결국 오래된 정보가 이유 없이 쌓이는 결과로 이어집니다.
전자의무기록 시스템 관리자라 해도 등록된 모든 직원의 얼굴 정보를 열람할 필요는 없는 경우가 많습니다. 얼굴 정보에 대한 접근 권한도 업무상 꼭 필요한 최소한의 인원으로 제한하는 절차가 필요합니다. 인증 시스템을 운영하는 사람과 그 정보를 열람할 수 있는 사람의 범위를 다르게 설정해 두면 내부에서 발생할 수 있는 오남용 위험도 함께 줄어듭니다. 시스템 운영과 정보 열람이라는 두 역할을 한 사람이 동시에 맡으면 견제할 방법이 사라지므로 이 둘을 서로 다른 담당자에게 나누어 맡기는 편이 안전합니다.
누가 언제 어떤 기록에 접근했는지 남기는 접근 로그와 그 사람의 얼굴 정보 자체는 성격이 다른 데이터입니다. 접근 로그는 신원을 특정할 수 있는 최소한의 식별값만 남기고 얼굴 원본 데이터는 별도의 위치에 분리해 관리하는 절차를 두면 로그가 유출되더라도 얼굴 정보까지 함께 노출되는 상황을 막을 수 있습니다. 두 데이터를 물리적으로 다른 서버에 나눠 두면 한쪽이 뚫리더라도 나머지 정보까지 한 번에 넘어가는 상황을 막는 효과도 함께 얻을 수 있습니다.
일부 얼굴 인식 기술은 표정이나 시선 방향처럼 인증에 반드시 필요하지 않은 부가 정보까지 함께 분석할 수 있습니다. 전자의무기록 접근 확인이라는 목적에 필요한 최소한의 특징만 추출하고 그 이상의 부가 정보는 수집 대상에서 제외하는 절차가 필요합니다. 기술이 더 많은 것을 분석할 수 있다는 사실이 그것을 모두 수집해도 된다는 근거가 되지는 않습니다. 도입 가능한 기능을 전부 켜 두기보다 실제 인증 목적에 필요한 기능만 선별해 적용하는 태도가 최소수집을 지키는 실무의 출발점입니다.
최소한으로 수집한 정보라도 저장 단계에서 암호화하지 않으면 유출 시 그대로 노출됩니다. 저장되는 특징값과 접근 로그 모두를 암호화하고 암호화 키는 별도로 엄격하게 관리하는 절차를 두면 최소수집 원칙과 함께 저장 단계의 안전성도 함께 확보할 수 있습니다. 암호화 키가 데이터와 같은 곳에 보관되어 있으면 암호화 자체가 무의미해지므로 키는 반드시 별도의 안전한 장소에서 관리해야 합니다.
수집하는 정보를 줄이는 일이 인증의 정확도까지 낮추는 결과로 이어져서는 곤란합니다. 최소한의 정보만으로도 충분한 인증 정확도를 낼 수 있도록 기술을 검증하고 이 검증 결과를 주기적으로 재확인하는 절차가 필요합니다. 최소수집은 정보를 무작정 줄이는 일을 넘어 꼭 필요한 만큼만 정확하게 남기는 일에 가깝습니다. 검증 없이 정보만 줄이면 정확도가 낮아진 인증 시스템이 오히려 잘못된 사람의 접근을 허용하는 새로운 위험을 만들어낼 수 있어 이 균형은 한 번 맞추고 끝나기보다 계속 재확인해야 하는 일입니다.
.svg)
.svg)
