[시큐리티 Q&A] CCTV 영상 관리의 중요성!

CCTV의 최소 보관기간은 어떻게 되나요? 그리고 음성이 지원되는 CCTV를 사용하면 안 된다는 얘기를 들었는데, 그 이유는 무엇인지 궁금합니다.

[

보안뉴스 원병철 기자] 공공장소의 CCTV 영상 저장자료는 최대 1개월을 초과하면 안되며, 1개월을 저장주기로 사용해야 합니다. 그리고 음성은 절대 녹음해서는 안됩니다. 이러한 내용은 영상정보처리기기 운영지침에 명시되어 있습니다.

제25조(영상정보처리기기의 설치·운영 제한)
①누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 영상정보처리기기를 설치·운영하여서는 아니 된다.
1.법령에서 구체적으로 허용하고 있는 경우
2.범죄의 예방 및 수사를 위하여 필요한 경우
3.시설안전 및 화재 예방을 위하여 필요한 경우
4.교통단속을 위하여 필요한 경우
5.교통정보의 수집·분석 및 제공을 위하여 필요한 경우
⑤영상정보처리기기 운영자는 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다.

CCTV의 보관기간은 표준 개인정보 보호지침 제41조 보관 및 파기에 관련 기준이 제시하고 있습니다.

제41조(보관 및 파기)
① 영상정보처리기기운영자는 수집한 개인영상정보를 영상정보처리기기 운영·관리 방침에 명시한 보관 기간이 만료한 때에는 지체 없이 파기하여야 한다. 다만, 다른 법령에 특별한 규정이 있는 경우에는 그러하지 아니하다.
② 영상정보처리기기운영자가 그 사정에 따라 보유 목적의 달성을 위한 최소한의 기간을 산정하기 곤란한 때에는 보관 기간을 개인영상정보 수집 후 30일 이내로 한다.

또한, 음성의 경우에는 개인정보보호법 제25조 제5항에 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다라고 규정하고 있으며, 민간분야 영상정보처리기기 설치/운영 가이드라인에도 임의조작녹음 금지를 가이드하고 있습니다.
[여동균 이글루시큐리티 보안관제 팀장(ydk0034@naver.com)]
　
CCTV에 의해 수집된 개인영상정보는 다른 법령에서 규정하고 있지 않는 한 최소 1개월(30일) 이상 관리/보관하며 기술적인 방법으로 영구 삭제해야 합니다. 또한 통신비밀보호법 제3조 및 14조에 의하면 ‘타인간의 대화를 녹음, 청취, 전자/기계적 수단을 이용하여 청취할 수 없다’라고 규정이 되어 있습니다.
[한국산업기술보호협회 중소기업기술지킴센터]

CCTV 관련 법령에서는 영상정보에 대한 접근통제, 권한관리 등과 정보주체에 제공시 무관한 사람에 대해 모자이크 처리를 하라고 합니다. 국내 CCTV 업계에서는 그와 관련한 기술적인 보호조치에 대한 내용도 잘 모르고, 그런 기술적인 보호조치가 구현되는 DVR 장비도 없다면서 추가로 개발해야 한다고 하는데요. 어떻게 대응해야 할까요?
　
CCTV 영상 중에 정보주체에 제공시 무관한 사람에 대해 모자이크 처리 같은 걸 하라고 하는데, 현재는 그런 기술적인 DVR 장비가 있는지 다시 확인을 해봐야겠습니다. 단지, 그런 기술적인 보호조치가 안된다면, CCTV에 촬영된 소수 인원이라면 그들에게 영상을 제공하는 이유와 목적을 밝히고 동의를 받는다면 문제가 없겠습니다.

하지만 매번 그렇게 하기는 어려울 것으로 판단되며, 그 기능이 안된다고 즉시 개발해야 한다는 것은 현실적으로 어려운 것 같습니다. CCTV녹화 자료가 공개적으로 방송되거나, 개인사생활 침해가 우려될 경우에는 동영상 편집 프로그램을 사용해 불필요한 사람들은 모자이크 처리를 해야 하겠습니다.
[박종문 한국정보보호심사원협회 부회장(kaos99kr@gmail.com)]
　
해당 내용은 CCTV 영상정보의 무단 유출 및 공개 금지[법 제 18조]에 의해 타인의 영상은 모자이크 처리하여 식별 불가능 한 상태로, 최소한의 정보만을 제공해야 된다라는 것이 명시 되어있습니다. 따라서 내부 환경 및 업무 프로세스를 검토 하셔서 꼭 필요하시다면 추가로 개발해야 합니다.
[한국산업기술보호협회 중소기업기술지킴센터]
　
CCTV 영상을 외부로 반출하기 위해서는 영상 내 사생활 침해 소지가 있는 내용들은(사람 얼굴, 차량 번호 등) 마스킹 처리 되어 사람의 눈으로 식별할 수 없어야 합니다. 이러한 과정에서 기술적으로 가장 어려운 점은 초당 30 프레임의 영상에서 모든 사생활 영역을 하나도 빠짐없이 자동으로 검출해야 한다는 것입니다. 현재 반자동(자동으로 사생활 영역을 검출하고, 미검출된 영역이나 잘못 검출된 영역은 사람이 수동으로 조정)으로 사생활 영역을 마스킹하는 솔루션은 국내에서도 이미 출시되어 있으니, 이를 자사의 차별화된 서비스로 활용하는 비즈니스 전략을 수립할 필요가 있습니다.
[김건우 한국전자통신연구원(kimgw@etri.re.kr)]
[원병철 기자(boanone@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)