공공 vs 민간: 자동입국 시스템의 생체 정보는 누가 관리해야 할까?

생체정보는 이제 단순한 보안 인증 수단을 넘어, 디지털 사회의 핵심 인프라가 되어가고 있다. 여권 대신 얼굴로 입국 심사를 받고, 지문으로 은행에 로그인하며, 홍채 인식으로 의료정보에 접근하는 시대가 도래한 것이다. 특히 자동입국 시스템, 생체 인증 결제 시스템, 스마트 시티 출입 통제 등 생체정보를 기반으로 한 기술은 점점 더 일상화되고 있으며, 이에 따라 이 정보를 누가, 어떻게 관리하느냐에 대한 논의도 활발해지고 있다.

 

현재 생체정보는 공공기관과 민간기업 모두에 의해 수집·운영·보관되고 있지만, 이 과정에서 개인정보 침해, 데이터 남용, 보안 사고 등의 문제가 반복되면서 ‘관리 주체’를 둘러싼 논쟁이 본격화되고 있다. 공공은 신뢰 기반이라는 점에서 안정성이 있지만, 유연성과 기술 혁신 속도에서는 민간이 유리하다. 반면 민간의 데이터 상업화 우려와 투명성 부족은 큰 부작용으로 보여진다.

이 글에서는 생체정보를 공공이 관리해야 하는지, 민간이 맡아야 하는지에 대해 각각의 장단점과 쟁점들을 비교해보고, 양자 간 균형 있는 협력 모델의 가능성까지 함께 분석해본다.

 

공공기관이 생체정보를 관리해야 하는 이유

공공기관이 생체정보를 관리해야 한다는 주장은 국민 기본권 보장과 공공성 확보를 근거로 한다. 생체정보는 지문, 얼굴, 홍채, 음성, 걸음걸이, 정맥 패턴 등 개인을 유일하게 식별할 수 있는 민감 정보이기 때문에, 국가가 이를 관리함으로써 정보 유출, 상업적 오남용, 감시사회 전락을 막을 수 있다는 논리다.

특히 출입국관리, 범죄 수사, 공공의료, 사회보장 시스템 등 국가 기능에 사용되는 생체정보는 이미 법률에 의해 국가가 관리하게 되어 있으며, 「출입국관리법」, 「주민등록법」, 「범죄수사법」 등 다양한 법령이 생체정보의 수집·보관·이용을 규율하고 있다. 이처럼 법적 근거가 명확한 상태에서 국가가 책임지고 관리하면, 투명성, 안정성, 보안성 측면에서 국민의 신뢰를 확보할 수 있다는 장점이 있다.

또한 공공기관은 정보주체가 자신의 권리를 행사할 수 있도록 구조화된 절차를 보장한다. 예를 들어, 생체정보 수집 동의 거부, 삭제 요청, 열람 요청 등은 개인정보보호위원회를 통해 공식적으로 처리 가능하며, 관련 기관은 법적 책임을 진다. 민간기업과 달리 공공기관은 법적 책임이 국가 단위로 명확히 설정되어 있다는 점도 안정적인 관리 주체로서의 강점이다.

그러나 공공기관이 생체정보를 독점적으로 관리할 경우, 디지털 혁신 속도가 늦고 기술 발전이 느려질 수 있다는 한계가 있다. 또한 공공기관도 해킹 사고나 시스템 장애에 완전히 안전하지 않다는 점에서, 단일 책임 주체로 두는 것이 오히려 리스크가 될 수 있다는 반론도 존재한다.

 

민간기업이 생체정보를 관리할 때의 장점과 우려

민간기업이 생체정보를 관리하는 데에는 기술 혁신과 고객 경험 개선 측면에서의 분명한 장점이 있다. 예를 들어 애플의 Face ID, 삼성의 지문 인식, 구글의 안면 인증 기능 등은 전 세계 수십억 명의 사용자에게 생체 기반 서비스를 제공하고 있으며, 그 기술력과 사용자 친화성은 공공 시스템보다 훨씬 앞서 있는 경우가 많다.

민간 부문은 AI, 클라우드, 보안 알고리즘 등 빠른 기술 변화에 기민하게 대응할 수 있으며, 글로벌 시장을 상대로 대규모 생체정보 처리 플랫폼을 운영하는 경험도 축적되어 있다. 특히 자동입국 시스템과 연동되는 항공사 앱, 여행 플랫폼, 호텔 체크인 시스템 등에서는 민간 기술이 핵심 역할을 하고 있다. 공공기관이 따라오기 어려운 ‘사용자 중심의 효율성’과 ‘서비스 디자인’은 민간의 중요한 장점이다.

그러나 그만큼 데이터 상업화와 사생활 침해에 대한 우려도 크다. 대부분의 민간기업은 수익 모델을 데이터 기반 광고, 개인 맞춤형 마케팅, 소비자 행동 분석에 두고 있다. 생체정보가 이 과정에 활용될 경우, 정보주체의 동의가 불분명하거나, 정보가 제3자에게 판매될 가능성도 존재한다.

또한 민간기업은 파산, 인수합병, 경영진 변경 등에 따라 데이터의 보존 정책이 바뀔 수 있고, 보안 사고 발생 시 책임 소재가 불명확한 경우가 많다. 실제로 2021년 미국의 한 민간 생체 인증 업체에서 얼굴 인식 데이터가 유출된 사건은, 기업의 보안 인식이 아직 공공 수준에 미치지 못함을 보여주었다. 결국 민간이 단독으로 생체정보를 관리하는 체계는 위험을 내포하고 있으며, 적어도 법적 감시와 규제는 필수적이라는 점이 강조된다.

 

공공과 민간의 협업: 분리형 모델 vs 공동 운영 모델

현재 많은 국가들은 공공과 민간이 각각의 장점을 살리는 ‘분리형 관리 모델’ 또는 ‘공동 운영 모델’을 선택하고 있다.

분리형 모델은 공공이 생체정보의 수집과 저장을 전담하고, 민간은 수집된 데이터를 암호화된 상태에서 제한된 용도로만 활용하는 구조다. 예를 들어 자동입국 시스템에서는 출입국관리청이 생체정보를 관리하지만, 항공사는 해당 정보를 일회성 인증 용도로 접근할 수 있는 구조가 이에 해당된다. 이 방식은 보안성과 신뢰는 공공이 책임지고, 기술과 서비스는 민간이 제공하는 균형 잡힌 구조다.

반면 공동 운영 모델은 공공기관과 민간기업이 하나의 플랫폼을 통해 생체정보를 공동으로 수집·관리하는 구조다. 예를 들어 인천공항공사와 민간 보안 기업, 항공사, 출입국 당국이 AI 기반 생체 인증 게이트를 함께 운영하며, 데이터 서버와 알고리즘은 공공-민간 공동 계약 형태로 구성된다. 이 경우 시스템 개발과 유지보수는 민간이 담당하고, 법적 권한과 데이터 통제는 공공이 주도하는 혼합형 모델이다.

공동 운영 모델은 기술 발전과 서비스 속도 측면에서 매우 유리하지만, 데이터 책임의 경계가 불분명해지는 단점도 존재한다. 실제로 문제 발생 시 ‘누가 생체정보 유출에 책임이 있는가’를 놓고 공공과 민간이 책임을 전가하는 사례가 발생할 수 있으며, 정보주체의 권리 행사 창구가 복잡해질 수 있다.

따라서 가장 이상적인 구조는 생체정보의 수집·보관은 공공이 독점하고, 민간은 암호화된 데이터에만 조건부 접근하는 구조이며, 이를 위해선 법률적 기준, 기술적 표준, 기관 간 협약 시스템이 함께 정비되어야 한다.

 

생체정보의 미래를 위한 제도적 정비 방향

생체정보는 시간이 갈수록 더 다양한 분야에서 활용될 것이며, 그에 따라 관리 주체에 대한 논의는 더욱 복잡해질 수밖에 없다. 앞으로는 단순한 입국 심사뿐만 아니라, 디지털 의료, 스마트시티 보안, 온라인 금융 인증, AI 감정 분석 등에서도 생체정보가 핵심 자원이 될 것이다. 이런 상황에서 국가와 기업은 지금보다 훨씬 더 정교한 협력 구조와 법적 안전망을 갖춰야 한다.

첫째, 생체정보 전담 관리법 제정이 필요하다. 현재는 개인정보보호법, 출입국관리법, 위치정보법 등 여러 법률에 분산되어 있어, 관리 주체가 혼란스러운 상태다. ‘생체정보 기본법’ 혹은 ‘디지털 생체정보 보호법’과 같은 전담법을 통해 수집 기준, 보관 주체, 제공 조건, 삭제 권리 등을 명문화할 필요가 있다.

둘째, 민간기업의 생체정보 처리 행위에 대한 실시간 감시체계와 인증제도 도입이 필요하다. 예를 들어 공인 생체인식 데이터 관리기관 인증제도를 통해, 일정 수준 이상의 기술력과 보안성을 갖춘 기업만 생체정보를 처리할 수 있도록 해야 한다. 이 제도는 이미 유럽과 미국 일부 주에서 논의 중이다.

셋째, 사용자의 실질적인 선택권 확보도 중요하다. 사용자가 언제든지 자신의 생체정보 제공을 거부하거나 삭제 요청을 할 수 있어야 하며, 그 과정이 법적으로 보장되어야 한다. 민간기업에 대한 과징금, 법적 책임 강화 등은 단순한 위협이 아니라, 책임 있는 생체정보 생태계를 만드는 장치가 되어야 한다.

마지막으로 공공과 민간이 상생하는 구조를 위해서는 국민의 신뢰를 기반으로 한 정보 거버넌스 체계가 필수다. 생체정보는 기술의 문제이기 전에 ‘신뢰의 문제’이기 때문이다. 누가 데이터를 수집하든, 사용자가 믿을 수 있는 구조를 만드는 것이 생체정보 사회로 가는 핵심 열쇠가 될 것이다.