PIPEDA가 신분증 검증에 의미하는 것

비즈니스에서 운전면허증이나 여권 사진을 수집한다면, 법적 성명 전체, 생년월일, 문서 번호, 사진, 때로는 주소까지 가장 민감한 개인 정보를 수집하는 셈이에요. 캐나다에서는 연방법인 Personal Information Protection and Electronic Documents Act(PIPEDA)가 민간 부문 조직의 해당 정보 처리를 규율해요. 이 글에서는 PIPEDA의 10가지 공정 정보 원칙이 신원 인증을 운영하는 비즈니스에 실제로 무엇을 뜻하는지, 그리고 ShieldID 같은 제품에서 어디에 나타나는지 살펴봐요.

이 내용은 법률 자문이 아닙니다. PIPEDA는 업종, 지역(주), 데이터를 어떻게 다루는지에 따라 다르게 적용되며, 퀘벡에는 그 위에 더해지는 더 엄격한 자체 제도가 있습니다. 구체적인 의무에 대해서는 직접 법률 전문가와 상담하시기 바랍니다. 아래는 원칙 자체를 쉬운 말로 정리한 안내입니다.

실무에서 보는 10가지 원칙

PIPEDA는 캐나다 표준 협회(CSA)의 모범 개인정보 보호 규약에서 가져와 법률 별표 1에 명시된 10가지 원칙을 중심으로 구성되어 있습니다. 이는 각각 따로 확인하고 넘어가는 열 개의 항목이 아니라, 개인정보가 필요하다고 판단한 순간부터 폐기하는 순간까지의 하나의 전체 수명 주기를 설명합니다.

• 책임성: 조직 내 한 명의 담당자 또는 한 개의 역할이 개인정보 보호 준수에 책임을 지며, 신분증 이미지를 제3자 검증 업체에 넘겨도 이 책임은 사라지지 않습니다. 데이터에 일어나는 일에 대한 책임은 계속 귀사에 있으며, 그래서 해당 업체와의 계약이 중요합니다.
• 목적의 명시: 신분증이 왜 필요한지를 수집하기 전에 밝혀야 합니다. “임대 신청에서 사기를 줄이기 위해 신원을 확인합니다”는 목적이 됩니다. “나중에 필요할 수도 있습니다”는 목적이 될 수 없습니다.
• 동의: 검증이 이루어지기 전에, 무엇이 왜 수집되는지를 본인이 이해하고 이에 동의해야 합니다. 특정 목적에 대한 동의는 이후의 다른 목적까지 포함하지 않습니다.
• 수집 제한: 명시한 목적에 필요한 것만 수집합니다. 어떤 사람이 18세 이상이고 온타리오에 거주한다는 사실만 확인하면 된다면, 전체 문서 번호를 무기한 보관할 필요가 없습니다.
• 사용, 제공 및 보관 제한: 밝힌 목적에만 데이터를 사용하고, 동의나 법적 권한 없이 다른 사람에게 넘기지 않으며, 목적에 필요한 기간 동안만 보관한 뒤 폐기합니다.
• 정확성: 개인정보는 목적에 필요한 만큼 정확하고, 완전하며, 최신이어야 합니다. 단일 통과/실패 점수보다 필드별 판정이 더 중요한 이유 중 하나입니다. 시스템이 어떤 데이터에 확신이 있고 어떤 데이터에는 없는지를 정확히 볼 수 있기 때문입니다.
• 보호 조치: 데이터의 민감도에 맞는 보안으로 보호합니다. 암호화, 접근 통제, 그리고 누가 언제 열람할 수 있는지에 대한 제한이 이에 해당합니다.
• 공개성: 아무도 읽지 않는 최종 사용자 라이선스 계약(EULA) 속에 묻어 두지 말고, 개인정보 보호 관행을 쉬운 말로 공개합니다.
• 개인 접근: 요청이 있으면 해당 개인에 대해 어떤 개인정보를 보유하고 있고 어떻게 사용되었는지 알려 주며, 잘못된 내용은 정정합니다.
• 준수에 대한 이의 제기: 사람들이 불만을 제기할 수 있는 방법을 제공하고, 그 불만을 조사하고 대응하는 절차를 갖춥니다.

ShieldID 내부에서는 어떻게 적용되는가

이 원칙 중 일부는 검증 플랫폼이 단순히 약속하는 데 그치지 않고 구체적으로 제시할 수 있어야 하는 것들에 직접 대응합니다. 수집과 보관의 제한이 가장 분명한 예입니다. ShieldID는 결정에 필요한 필드(이름, 생년월일, 문서 번호, 주소, 얼굴 대조용 사진)를 추출하고, 신분증 이미지는 짧은 타이머(기본 7일)에 따라 자동으로 삭제합니다. 검증 기록(검사가 이루어졌다는 사실과 그 결과)은 이미지보다 오래 남지만, 이미지 자체가 무기한 남아 있지는 않습니다.

보호 조치는 암호화로 나타납니다. 생년월일은 평문이 아니라 암호화되어 저장되고, 신분증 이미지는 AES-256-GCM으로 저장 시 암호화됩니다. 책임성과 공개성은 Activity Ledger에 나타납니다. 이는 데이터베이스가 강제하는 Trust Ledger의 추가 전용 기록입니다. 신원 검증 자체는 검증 완료 또는 실패의 정확히 두 가지 항목만 기록하며, 독립형 ShieldID API 계정을 위한 더 폭넓은 원장 항목은 곧 제공될 예정입니다. 항목은 추가만 가능하고 수정이나 삭제는 할 수 없으므로, 개인정보 보호 책임자나 결정에 이의를 제기하는 사람이 업체의 말이 아니라 구체적인 근거를 제시할 수 있습니다.

ShieldID가 무엇을 주장하지 않는지 정확히 짚는 것이 중요합니다. 저희는 PIPEDA 인증을 보유하고 있지 않습니다. 어떤 업체도 보유할 수 있는 그런 인증은 존재하지 않기 때문입니다. PIPEDA는 배지를 발급하는 표준 기관이 아니라 법률입니다. 정확한 표현은 ShieldID가 PIPEDA에 부합하도록 설계되었다는 것입니다. 캐나다 내 호스팅, 최소 수집, 자동 삭제 타이머, 감사 가능한 기록은 통제 수단일 뿐 준수를 보장하는 것은 아닙니다. 귀 조직의 제품 사용 전반이 PIPEDA를 준수하는지는 귀 조직이, 필요한 경우 자체 법률 전문가와 함께 판단할 문제이며, 도구가 대신 판단해 드릴 수는 없습니다.

퀘벡의 Law 25

퀘벡에서 사업을 운영하신다면 PIPEDA만 적용되는 것이 아닙니다. 퀘벡의 Law 25(개인정보 보호에 관한 법 규정을 현대화하기 위한 법률)는 민간 부문 조직에 대해 일반적으로 더 엄격한 자체 요건을 정하고 있으며, 동의, 침해 통지, 일부 프로젝트에 대한 개인정보 영향 평가, 그리고 특히 생체 정보에 관한 규칙을 포함합니다. 얼굴 대조와 라이브니스 탐지는 생체 정보를 처리하며, 이는 Law 25가 가장 주의 깊게 다루는 범주입니다. 신청자가 퀘벡에 있다면 PIPEDA를 상한이 아니라 최소 기준으로 보시고, 연방 규정에만 의존하기 전에 퀘벡 관련 자문을 받으시기 바랍니다.

PIPEDA가 요구하지 않는 것

법이 규정하지 않는 내용을 아는 것도 도움이 됩니다. PIPEDA는 보관 기간을 일 단위로 정해 두지 않습니다. “필요한 기간 동안”이라고만 하고, 구체적인 기간은 귀사와 처리 목적에 맡깁니다. 특정 암호화 알고리즘이나 특정 호스팅 국가도 의무화하지 않습니다. 데이터 거주지는 여러 합리적인 보호 조치 중 하나일 뿐, 대부분의 조직에 그 자체로 법적 요건은 아닙니다. 또한 공급업체가 특정 보안 인증을 보유하도록 요구하지도 않습니다. 그렇다고 이러한 선택이 중요하지 않다는 뜻은 아닙니다. 이는 조직이 원칙을 충족하기 위해 도입하는 통제 수단일 뿐, PIPEDA가 대신 확인해 주는 항목이 아닙니다.

한마디로 요약하면 이렇습니다. 무엇을 왜 수집하는지 파악하고, 최소한만 수집하고, 안전하게 보호하고, 필요한 기간 동안만 보관하고, 그 과정을 증명할 수 있어야 합니다. 검증 플랫폼은 짧은 보관 타이머, 기본 암호화, 검색 가능한 기록처럼 이 각각을 더 쉽게 만들어 줄 수 있습니다. 하지만 책임은 사용하는 도구가 아니라 정보를 수집하는 조직에 있습니다.