유럽, 스마트 안경의 녹화 표시와 개인정보 보호 강화 촉구

일반 안경처럼 보이는 기기의 새로운 쟁점

유럽개인정보보호이사회 EDPB는 스마트 안경의 개인정보 보호 문제를 다룬 초기 입장문을 채택했다. EDPB에 따르면 이 기기는 일반 안경처럼 보이지만 카메라와 마이크를 탑재하고 인터넷에 연결될 수 있다. 따라서 주변 사람은 자신이 촬영되거나 음성이 수집되고 있다는 사실을 알아차리지 못할 수 있다. 위원회는 이런 특성이 개인의 권리와 자유에 중요한 질문을 제기한다고 설명했다.

EDPB는 스마트 안경을 금지하자고 요구하지 않았다. 대신 사용자, 제조사, 연결 애플리케이션이나 서비스 제공자가 각자의 책임을 져야 한다는 방향을 제시했다. 이 기기는 소통, 보조 기능, 혁신에 새로운 기회를 제공할 수 있지만, 그 사용 방식이 불투명하면 개인정보 보호 위험도 커진다는 것이 위원회의 판단이다.

Next가 소개한 EDPB의 입장에 따르면, 특히 조용하고 눈에 잘 띄지 않는 기기는 주변인이 데이터 처리 사실, 처리 주체, 처리 목적을 파악하기 어렵게 만든다. 촬영 장치가 일반 안경테에 자연스럽게 들어가면, 기존의 카메라처럼 명확한 경고를 기대하기 어렵다. 유럽 규제 당국이 투명성을 핵심 과제로 제시한 이유다.

직장과 민감한 장소에서 커지는 우려

EDPB는 병원, 학교, 직장 같은 민감한 환경에서 위험이 더 커질 수 있다고 밝혔다. 아동은 스마트 안경을 사용하거나 촬영 대상이 될 때 특히 취약할 수 있다고 위원회는 지적했다. Next가 전한 내용에는 의료기관, 탈의실, 수영장, 해변, 화장실, 미성년자가 있는 장소도 특별한 주의가 필요한 맥락으로 언급된다.

직장에서는 문제가 개인정보에만 머물지 않는다. EDPB는 스마트 안경의 사용이 직원 감시에 대한 우려와 조직 정보의 기밀성에 관한 우려를 제기할 수 있다고 설명했다. 여기에는 영업 비밀과 지식재산이 포함될 수 있다. 업무 공간에서 영상이나 소리가 녹화되면 직원, 방문객, 거래 상대방은 자신들의 행동이나 발언이 어떤 방식으로 기록되는지 알기 어려울 수 있다.

Financial Times가 스마트 안경을 인사 관리와 데이터 보호의 위험으로 다뤘다는 사실은, 이 문제가 단순한 소비자 기기 논쟁을 넘어 기업 운영의 문제로 옮겨가고 있음을 보여준다. 다만 EDPB의 공식 입장문은 특정 기업의 위법 행위를 판단한 문서가 아니다. 위원회는 기술의 확산에 대비해 사용자와 사업자가 준수해야 할 개인정보 보호 원칙을 사전에 정리한 것이다.

사용자에게 적용될 수 있는 책임

EDPB에 따르면 스마트 안경 사용자가 개인정보 처리의 책임자가 되는지는 사용 방식에 따라 달라진다. 예를 들어 사진이나 영상을 공개 소셜미디어 계정에 공유하거나, 공식적·직업적·정치적 활동의 일부로 기기를 사용한다면 사용자는 개인정보 처리 책임자로 간주될 수 있다.

반대로 가족이나 친구의 사진을 공유하거나, 사적 맥락에서 개인 번역 목적으로 기기를 사용하는 경우는 순수한 개인 활동으로 볼 수 있다. 이 경우에는 이른바 가정 활동 예외에 따라 GDPR이 적용되지 않을 수 있다. 그러나 EDPB는 GDPR이 적용되지 않는 상황이라도 형사법, 민사법, 노동법 또는 분야별 규칙이 적용될 수 있다고 명시했다.

Next가 전한 해설도 사용 목적이 엄격히 개인적인 범위를 넘어서면 사용자가 GDPR 의무를 질 수 있다고 설명한다. 개인정보 처리는 유효한 법적 근거에 기초해야 하며, 초상권이 관련된 경우 동의가 중요한 문제가 될 수 있다. 하지만 주변 사람이 누가, 언제, 무엇을 기록하는지 알기 어려운 기기에서는 동의를 얻고 충분히 알리는 일이 실제로 쉽지 않다.

LED 하나로는 충분하지 않다는 판단

EDPB는 제조사가 제품 설계와 개발 단계부터 다양한 투명성 장치를 결합해야 한다고 권고했다. 예시로는 밝은 LED 표시등, 음향 신호, 음성 활성화 신호, 개인정보 친화적인 스마트폰 근접 알림, 일반 안경과 구별되는 고유한 디자인이 제시됐다. 목적은 주변 사람이 촬영이나 사진 촬영이 진행되고 있음을 명확히 알 수 있게 하는 것이다.

위원회는 이런 경고가 신뢰할 수 있고, 무시하기 어렵고, 최신 상태로 유지돼야 한다고 강조했다. Next가 소개한 EDPB의 분석에 따르면 작은 LED는 시각장애가 있는 사람에게 감지하기 어렵거나 불가능할 수 있다. 햇빛 반사나 단순한 빛의 반짝임으로 오인될 가능성도 있다. 따라서 단일 표시등만으로 충분한 투명성을 확보했다고 보기 어렵다는 취지다.

제조사가 검토할 수 있는 조치는 다음과 같다.

• 영상이나 음성의 지속적 녹화를 제한하는 조치
• 필요하지 않은 영구 저장을 기본적으로 비활성화하는 설정
• 주변인의 얼굴을 흐리게 하거나 익명화하는 기능
• 가능한 경우 기기 안에서 직접 처리하는 방식
• 민감한 장소에서의 지리적 사용 제한과 분명한 경고 수단

제조사와 서비스 제공자의 독립된 의무

EDPB는 제조사나 연결 서비스 제공자가 자신의 개인정보 보호 의무를 사용자에게 넘길 수 없다고 밝혔다. 이들은 개인정보 보호법을 준수해야 하며, 새로운 데이터 처리가 최초 수집 목적과 양립할 수 있도록 해야 한다. 즉, 사용자가 기기를 착용했다는 사실만으로 제품을 설계하거나 서비스를 제공하는 사업자의 책임이 사라지는 것은 아니다.

위원회는 업계 공통 표준과 대중 인식 제고도 권장했다. 사람들은 언제 스마트 안경이 사용되는지, 서로 다른 상황에서 어떤 개인정보 처리가 이뤄질 수 있는지 이해할 수 있어야 한다. EDPB는 규칙의 존재만큼이나 비사용자가 실제 환경에서 장치를 알아보고 경고를 이해할 수 있는지가 중요하다고 본다.

EDPB가 공개한 관련 보고서는 외부 계약자가 지원전문가풀 프로그램의 맥락에서 작성한 문서다. EDPB는 그 보고서의 견해가 반드시 위원회의 공식 입장을 반영하는 것은 아니라고 밝혔다. 다만 보고서는 스마트 안경이 때때로 대인 감시와 증거 처리의 도구가 될 수 있으며, 기기를 효과적으로 사용하는 능력의 차이가 사용자와 촬영 대상자 사이의 권력 불균형을 만들 수 있다고 다뤘다.

기업과 조직에 필요한 변화

한국어를 사용하는 지역의 기업과 조직도 스마트 안경을 단순한 개인 전자기기로만 취급하기 어렵게 됐다. EDPB의 입장문은 직장에서의 사용이 직원 감시와 기밀 정보 보호 문제를 일으킬 수 있다고 분명히 지적한다. 따라서 조직은 업무 공간에서 촬영·녹음 기능이 있는 안경의 사용 상황을 검토하고, 민감한 정보가 다뤄지는 장소에서 필요한 안내와 내부 절차를 정비할 필요가 있다. 핵심은 기기를 일률적으로 금지하는 것이 아니라, 누가 어떤 목적으로 기록하는지 주변인이 알 수 있도록 하고 개인정보와 조직 정보를 함께 보호하는 것이다.