[Tech Legal Insights] 자율주행 영상정보 규제 완화와 기업의 대응 방안: 개정 자율주행자동차법 및 하위규정을 중심으로

1. 개요

자율주행 기술의 고도화를 위해서는 방대한 양의 주행 영상 데이터 확보가 필수적이지만, 영상에 포함된 개인정보는 현행법상 엄격한 보호 대상으로, 기술 개발의 큰 제약으로 작용해 왔습니다. 이러한 딜레마를 해소하고 관련 산업의 발전을 지원하기 위해, 최근 「자율주행자동차 상용화 촉진 및 지원에 관한 법률」(이하 ‘자율주행자동차법’) 및 그 하위법령이 개정되었습니다.

이번 개정은 자율주행 기술 개발 목적에 한하여, 개인을 식별할 수 있는 영상정보를 가명·익명처리 없이 수집·이용할 수 있도록 허용하여 규제를 완화하였습니다. 그러나 동시에, 정보 유출을 방지하기 위한 엄격한 안전성 확보 조치 의무와 이를 위반할 경우의 무거운 과태료 규정을 신설하여 기업들의 철저한 법규 준수를 요구하고 있습니다.

따라서 영상정보를 취득하여 자율주행 기술 등 개발 업무에 활용하는 관련 업계에서는 이번 개정 법령의 내용을 정확히 숙지하고, 이에 부합하는 컴플라이언스 체계를 구축해야 합니다. 본 TLI에서는 개정 법령의 주요 내용과 기업의 구체적인 대응 방안을 상세히 안내하고자 합니다.

2. 주요 개정 내용

가. 영상정보 처리에 관한 특례 신설 (자율주행자동차법 제20조의2)

(허용) 자율주행 기술 개발을 위해 임시운행허가를 받은 자는 개인을 알아볼 수 있는 영상정보를 별도의 가명·익명처리 없이 원본 그대로 수집하고 이용할 수 있습니다(자율주행자동차법 제20조의2 제1항).
(금지) 다만, 이렇게 수집한 영상정보를 특정 개인을 식별하려는 목적으로 이용하거나, 기술 개발 외 다른 용도로 활용·제공하는 행위는 엄격히 금지됩니다(자율주행자동차법 제20조의2 제2항).

나. 안전성 확보 조치 의무 부과 (자율주행자동차법 제20조의2 제3항, 동법 시행령 제16조의2)
영상정보 처리 특례를 적용받는 대신, 자율주행자동차제작자등은 정보의 분실·도난·유출 등을 방지하기 위해 다음을 포함한 기술적·관리적·물리적 조치를 의무적으로 이행해야 합니다(자율주행자동차법 시행령 제16조의2).

영상정보의 안전한 처리를 위한 내부 관리계획의 수립·시행 및 점검
영상정보에 대한 접근 권한을 제한하기 위한 조치
영상정보에 대한 접근을 통제하기 위한 조치
영상정보를 안전하게 저장·전송하기 위한 조치 (암호화 등)
영상정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조·변조 방지를 위한 조치
그 밖에 영상정보의 안전성을 확보하기 위하여 필요한 조치

다. 영상정보 파기 의무 (자율주행자동차법 제20조의2 제4항, 동법 시행령 제16조의3)
기술 개발 목적을 달성한 영상정보는 지체 없이 파기해야 하며, 파기 방법 또한 구체적으로 규정되었습니다(자율주행자동차법 시행령 제16조의3).

전자적 파일 형태: 복원이 불가능한 방법으로 영구 삭제
기록물, 인쇄물 등: 파쇄 또는 소각

3. 안전성 확보 조치의 구체적 기준 (국토교통부 고시)

최근 제정된 「자율주행자동차 영상정보의 안전성 확보 조치안」 고시(이하 ‘안전조치 고시’)는 기업이 준수해야 할 구체적인 의무사항을 상세히 규정하고 있어 주목해야 합니다.

(내부 관리계획) 영상정보 보호 조직 구성, 처리 단계별 관리체계, 비인가자 출입 통제, 유출사고 대응 계획, 취급자 교육 및 감독, 연구 목적 외 활용 및 제3자 제공 금지 등의 사항을 포함하여 내부 관리계획을 수립·시행해야 합니다(안전조치 고시 제3조).
(암호화) 정보통신망을 통해 영상정보를 송·수신하는 경우 안전한 암호 알고리즘으로 암호화해야 하며, 저장 시에도 비밀번호 설정 등 보안조치를 해야 합니다(안전조치 고시 제4조).
(악성프로그램 방지) 보안 프로그램을 설치·운영하고, 일 1회 이상 업데이트하여 최신 상태를 유지해야 합니다(안전조치 고시 제5조).
(클라우드 서비스 이용) 클라우드 서비스 이용 시 「개인정보 보호법」 제26조 제1항에 따른 문서 관리가 필요하며, 접속자를 최소화하고 VPN, VDI 등 보호조치를 적용해야 합니다(안전조치 고시 제6조).
(물리적 조치) 전산실, 자료보관실 등 물리적 보관 장소를 별도로 두고 출입을 통제하며, 영상정보가 포함된 보조저장매체는 잠금장치가 있는 안전한 장소에 보관하고 반출·입 통제 대책을 마련해야 합니다(안전조치 고시 제7조).
(영상정보 파기) 고시에서는 완전파괴(소각·파쇄), 전용 소자장비 이용, 덮어쓰기 등 구체적인 파기 방법을 명시하고 있습니다(안전조치 고시 제8조).

4. 위반 시 제재 (과태료)

이번 개정 법령은 안전조치 및 파기 의무 위반에 대해 무거운 과태료를 부과하고 있다는 점에 각별히 유의해야 합니다. 「자율주행자동차법」은 제55조 제1항에서 관련 의무 위반 시 3천만 원 이하의 과태료를 부과하도록 규정을 신설하였고, 이에 따라 개정된 동법 시행령 제39조 및 [별표 5]는 위반 횟수에 따른 구체적인 부과기준을 다음과 같이 정하고 있습니다.

법 제20조의2 제3항을 위반하여 안전성 확보에 필요한 기술적·관리적 조치를 하지 않은 경우

- 이는 국토교통부 「자율주행자동차 영상정보의 안전성 확보 조치안」 고시(이하 ‘안전조치 고시’)에서 정한 구체적인 의무를 이행하지 않은 경우를 의미하며, 주요 위반 사례는 다음과 같습니다.

▷ 영상정보 보호 조직 구성, 처리 단계별 관리체계 등을 포함한 내부 관리계획을 수립·시행하지 않은 경우 (안전조치 고시 제3조)
▷ 정보통신망을 통한 송·수신 또는 저장 시 영상정보를 암호화하지 않은 경우 (안전조치 고시 제4조)
▷ 악성프로그램 방지를 위한 보안 프로그램을 설치·운영하지 않거나 업데이트를 소홀히 한 경우 (안전조치 고시 제5조)
▷ 전산실, 자료보관실 등 물리적 보관 장소에 대한 출입통제나 보조저장매체 반출·입 통제 등 물리적 조치를 하지 않은 경우 (안전조치 고시 제7조)
과태료: 1차 위반 600만 원 / 2차 위반 1,200만 원 / 3차 이상 위반 2,400만 원

법 제20조의2 제4항을 위반하여 특정 개인정보가 포함된 영상정보를 파기하지 않은 경우

- 이는 기술 개발 목적을 달성하여 불필요해진 영상정보를 복원 불가능한 방법(영구 삭제, 파쇄, 소각 등)으로 지체 없이 파기해야 하는 의무를 위반한 경우를 말합니다 (안전조치 고시 제8조).

과태료: 1차 위반 600만 원 / 2차 위반 1,200만 원 / 3차 이상 위반 2,400만 원

이는 반복 위반 시 제재가 대폭 가중되는 구조이므로, 기업의 철저한 준법감시 체계 점검이 필수적입니다.

5. 개인정보의 국외 이전 시 유의사항

자율주행 기술 개발이 글로벌 협업을 통해 이루어지는 경우가 많아 수집된 영상정보의 국외 이전(예: 해외 본사, R&D 센터로의 전송) 가능성이 높습니다. 자율주행자동차법은 영상정보의 국외 이전에 관해 별도의 규정을 두고 있지 않으므로, 이 경우에는 일반법인 「개인정보 보호법」이 적용됩니다.

「개인정보 보호법」은 개인정보의 국외 이전을 원칙적으로 금지하면서도, ① 정보주체의 별도 동의, ② 법률·조약 등의 특별 규정, ③ 계약 체결·이행을 위한 처리위탁·보관으로서 처리방침 공개 또는 정보주체에게 고지, ④ 보호위원회가 인정하는 인증 획득, ⑤ 이전 대상 국가가 적정성 결정을 받은 경우 등에 한해 예외를 인정하고 있습니다(개인정보 보호법 제28조의8 제1항).

여기서 주목할 점은, 자율주행 영상정보는 자율주행자동차법 특례에 따라 ‘정보주체의 동의 없이’ 수집되므로, 국외 이전 요건 중 ‘정보주체의 별도 동의’를 근거로 삼기 어렵다는 것입니다. 따라서 기업은 다른 예외 요건을 충족해야 하는 과제를 안게 되며, 특히 글로벌 기업이 내부적으로 데이터를 이전하는 경우라도 법적으로는 ‘국외 이전’에 해당하므로 반드시 적법한 요건을 갖추어야 합니다.

나아가 국외 이전이 허용되더라도 개인정보처리자는 안전성 확보 조치, 고충처리 및 분쟁해결 조치 등을 이전받는 자와의 계약에 반영해야 하며(개인정보 보호법 시행령 제29조의10), 법규 위반이나 정보주체에 대한 피해 발생 우려가 현저할 경우 개인정보보호위원회로부터 국외 이전 중지 명령을 받을 수 있습니다(개인정보 보호법 제28조의9).

6. 시사점 및 기업의 대응 방안

이번 법 개정은 자율주행 기술 개발의 핵심인 데이터 활용의 길을 열어준 중요한 진전이지만, 단순한 규제 완화가 아닌, 기업에 더욱 고도화된 개인정보 보호 책임을 부과하는 ‘책임에 기반한 규제 합리화’로 이해할 수 있습니다.

관련 기업들은 막대한 과태료 부과 등 법적 리스크를 최소화하고 안정적인 연구개발 환경을 확보하기 위해, 다음과 같은 컴플라이언스 체계를 시급히 점검하고 보완해야 합니다.

1) 전사적 컴플라이언스 체계 구축

법무, R&D, IT 보안 부서가 참여하는 영상정보 보호 전담 조직 또는 담당자를 지정하고 명확한 R&R(역할과 책임)을 부여함이 바람직합니다.
국토교통부 고시에서 요구하는 모든 사항을 반영한 상세한 내부 관리계획을 문서화하고, 최고경영진의 승인을 받아 전사적으로 시행할 필요가 있습니다.

2) 기술적·물리적 보안 시스템 강화

영상정보의 수집, 전송, 저장, 이용, 파기 등 전 과정에 걸쳐 암호화 조치를 적용해야 합니다.
서버, 스토리지, 네트워크 장비에 대한 접근 통제 및 권한 관리 시스템을 강화하고, 모든 접속 기록을 안전하게 보관 및 관리해야 합니다.
영상정보 저장 장소에 대한 물리적 보안(시건장치, 출입통제 등)을 강화하고, 관련 기록을 철저히 관리해야 합니다.

3) 데이터 생애주기(Life-cycle) 관리 정책 수립

수집된 영상정보의 이용 목적 달성 시점을 명확히 정의하고, 해당 시점 도달 시 지체 없이 파기하는 절차를 수립해야 합니다.
전자적 파일, 물리적 매체 등 저장 형태에 따른 구체적인 파기 방법과 검증 절차를 마련하고, 파기 이력을 기록·관리해야 합니다.

4) 임직원 교육 및 관리·감독 강화

영상정보를 다루는 모든 임직원(‘영상정보취급자’)을 대상으로 정기적인 개인정보 보호 교육을 시행하고, 보안 서약서를 징구하는 등 관리·감독을 철저히 해야 합니다(안전조치 고시 제3조 제5호).

5) 국외 이전 컴플라이언스 점검

영상정보를 국외 R&D 센터나 본사 등으로 이전할 계획이 있다면, 「개인정보 보호법」상 국외 이전 요건을 충족하는지 사전에 면밀히 검토해야 합니다. 특히 이전받는 자와의 계약에 관련 보호조치를 명시하는 등 적법한 절차를 반드시 마련해야 합니다.

자율주행 영상정보의 활용에 대한 규제가 완화되었지만 그 이면에는 엄중한 법적 책임이 따릅니다.
선제적이고 체계적인 컴플라이언스 시스템 구축이 필수적이고 이는 규제 리스크를 넘어 지속 가능한 기술 혁신을 이루기 위한 핵심 토대가 될 것입니다.

* * *

법무법인(유) 린 APT(AI, Platform, Technology) 그룹 모빌리티 테크팀은 국내 기업들의 규제 이슈에
전략적인 원스톱(One-Stop) 토탈 솔루션 (Total solution)을 제공하고 있습니다.
상기 내용에 대해 문의사항이 있으시면 언제든지

법무법인(유) 린 APT(AI, Platform, Technology) 그룹 모빌리티 테크팀(Tel. 02-3477-8695)에 문의해 주시기 바랍니다.