1. 개요

자율주행 기술의 고도화를 위해서는 방대한 양의 주행 영상 데이터 확보가 필수적이지만, 영상에 포함된 개인정보는 현행법상 엄격한 보호 대상으로, 기술 개발의 큰 제약으로 작용해 왔습니다. 이러한 딜레마를 해소하고 관련 산업의 발전을 지원하기 위해, 최근 「자율주행자동차 상용화 촉진 및 지원에 관한 법률」(이하 ‘자율주행자동차법’) 및 그 하위법령이 개정되었습니다.

이번 개정은 자율주행 기술 개발 목적에 한하여, 개인을 식별할 수 있는 영상정보를 가명·익명처리 없이 수집·이용할 수 있도록 허용하여 규제를 완화하였습니다. 그러나 동시에, 정보 유출을 방지하기 위한 엄격한 안전성 확보 조치 의무와 이를 위반할 경우의 무거운 과태료 규정을 신설하여 기업들의 철저한 법규 준수를 요구하고 있습니다.

따라서 영상정보를 취득하여 자율주행 기술 등 개발 업무에 활용하는 관련 업계에서는 이번 개정 법령의 내용을 정확히 숙지하고, 이에 부합하는 컴플라이언스 체계를 구축해야 합니다. 본 TLI에서는 개정 법령의 주요 내용과 기업의 구체적인 대응 방안을 상세히 안내하고자 합니다.


2. 주요 개정 내용

가. 영상정보 처리에 관한 특례 신설 (자율주행자동차법 제20조의2)

나. 안전성 확보 조치 의무 부과 (자율주행자동차법 제20조의2 제3항, 동법 시행령 제16조의2)
영상정보 처리 특례를 적용받는 대신, 자율주행자동차제작자등은 정보의 분실·도난·유출 등을 방지하기 위해 다음을 포함한 기술적·관리적·물리적 조치를 의무적으로 이행해야 합니다(자율주행자동차법 시행령 제16조의2).

다. 영상정보 파기 의무 (자율주행자동차법 제20조의2 제4항, 동법 시행령 제16조의3)
기술 개발 목적을 달성한 영상정보는 지체 없이 파기해야 하며, 파기 방법 또한 구체적으로 규정되었습니다(자율주행자동차법 시행령 제16조의3).

3. 안전성 확보 조치의 구체적 기준 (국토교통부 고시)
 

 

최근 제정된 「자율주행자동차 영상정보의 안전성 확보 조치안」 고시(이하 ‘안전조치 고시’)는 기업이 준수해야 할 구체적인 의무사항을 상세히 규정하고 있어 주목해야 합니다.
 

4. 위반 시 제재 (과태료)

이번 개정 법령은 안전조치 및 파기 의무 위반에 대해 무거운 과태료를 부과하고 있다는 점에 각별히 유의해야 합니다. 「자율주행자동차법」은 제55조 제1항에서 관련 의무 위반 시 3천만 원 이하의 과태료를 부과하도록 규정을 신설하였고, 이에 따라 개정된 동법 시행령 제39조 및 [별표 5]는 위반 횟수에 따른 구체적인 부과기준을 다음과 같이 정하고 있습니다.
 

- 이는 국토교통부 「자율주행자동차 영상정보의 안전성 확보 조치안」 고시(이하 ‘안전조치 고시’)에서 정한 구체적인 의무를 이행하지 않은 경우를 의미하며, 주요 위반 사례는 다음과 같습니다.

▷ 영상정보 보호 조직 구성, 처리 단계별 관리체계 등을 포함한 내부 관리계획을 수립·시행하지 않은 경우 (안전조치 고시 제3조)
▷ 정보통신망을 통한 송·수신 또는 저장 시 영상정보를 암호화하지 않은 경우 (안전조치 고시 제4조)
▷ 악성프로그램 방지를 위한 보안 프로그램을 설치·운영하지 않거나 업데이트를 소홀히 한 경우 (안전조치 고시 제5조)
▷ 전산실, 자료보관실 등 물리적 보관 장소에 대한 출입통제나 보조저장매체 반출·입 통제 등 물리적 조치를 하지 않은 경우 (안전조치 고시 제7조)
과태료: 1차 위반 600만 원 / 2차 위반 1,200만 원 / 3차 이상 위반 2,400만 원
 

- 이는 기술 개발 목적을 달성하여 불필요해진 영상정보를 복원 불가능한 방법(영구 삭제, 파쇄, 소각 등)으로 지체 없이 파기해야 하는 의무를 위반한 경우를 말합니다 (안전조치 고시 제8조).

과태료: 1차 위반 600만 원 / 2차 위반 1,200만 원 / 3차 이상 위반 2,400만 원

 

이는 반복 위반 시 제재가 대폭 가중되는 구조이므로, 기업의 철저한 준법감시 체계 점검이 필수적입니다.


5. 개인정보의 국외 이전 시 유의사항

자율주행 기술 개발이 글로벌 협업을 통해 이루어지는 경우가 많아 수집된 영상정보의 국외 이전(예: 해외 본사, R&D 센터로의 전송) 가능성이 높습니다. 자율주행자동차법은 영상정보의 국외 이전에 관해 별도의 규정을 두고 있지 않으므로, 이 경우에는 일반법인 「개인정보 보호법」이 적용됩니다.

「개인정보 보호법」은 개인정보의 국외 이전을 원칙적으로 금지하면서도, ① 정보주체의 별도 동의, ② 법률·조약 등의 특별 규정, ③ 계약 체결·이행을 위한 처리위탁·보관으로서 처리방침 공개 또는 정보주체에게 고지, ④ 보호위원회가 인정하는 인증 획득, ⑤ 이전 대상 국가가 적정성 결정을 받은 경우 등에 한해 예외를 인정하고 있습니다(개인정보 보호법 제28조의8 제1항).

여기서 주목할 점은, 자율주행 영상정보는 자율주행자동차법 특례에 따라 ‘정보주체의 동의 없이’ 수집되므로, 국외 이전 요건 중 ‘정보주체의 별도 동의’를 근거로 삼기 어렵다는 것입니다. 따라서 기업은 다른 예외 요건을 충족해야 하는 과제를 안게 되며, 특히 글로벌 기업이 내부적으로 데이터를 이전하는 경우라도 법적으로는 ‘국외 이전’에 해당하므로 반드시 적법한 요건을 갖추어야 합니다.

나아가 국외 이전이 허용되더라도 개인정보처리자는 안전성 확보 조치, 고충처리 및 분쟁해결 조치 등을 이전받는 자와의 계약에 반영해야 하며(개인정보 보호법 시행령 제29조의10), 법규 위반이나 정보주체에 대한 피해 발생 우려가 현저할 경우 개인정보보호위원회로부터 국외 이전 중지 명령을 받을 수 있습니다(개인정보 보호법 제28조의9).
 

6. 시사점 및 기업의 대응 방안

이번 법 개정은 자율주행 기술 개발의 핵심인 데이터 활용의 길을 열어준 중요한 진전이지만, 단순한 규제 완화가 아닌, 기업에 더욱 고도화된 개인정보 보호 책임을 부과하는 ‘책임에 기반한 규제 합리화’로 이해할 수 있습니다.

관련 기업들은 막대한 과태료 부과 등 법적 리스크를 최소화하고 안정적인 연구개발 환경을 확보하기 위해, 다음과 같은 컴플라이언스 체계를 시급히 점검하고 보완해야 합니다.

1) 전사적 컴플라이언스 체계 구축

 

 

 

 

 

 

자율주행 영상정보의 활용에 대한 규제가 완화되었지만 그 이면에는 엄중한 법적 책임이 따릅니다.
선제적이고 체계적인 컴플라이언스 시스템 구축이 필수적이고 이는 규제 리스크를 넘어 지속 가능한 기술 혁신을 이루기 위한 핵심 토대가 될 것입니다.
 

 

* * *

법무법인(유) 린 APT(AI, Platform, Technology) 그룹 모빌리티 테크팀은 국내 기업들의 규제 이슈에
전략적인 원스톱(One-Stop) 토탈 솔루션 (Total solution)을 제공하고 있습니다.
상기 내용에 대해 문의사항이 있으시면 언제든지

법무법인(유) 린 APT(AI, Platform, Technology) 그룹 모빌리티 테크팀(Tel. 02-3477-8695)에 문의해 주시기 바랍니다.