자율주행자동차에서의 개인정보 수집·이용에 관한 연구 = A Study on the Collection and Use of Personal Information in Autonomous Vehicles

다국어 초록 (Multilingual Abstract)

Over the last decade, a significant emphasis has been placed on the development of autonomous vehicles. The innovative technologies in autonomous vehicles significantly benefit society by reducing the number of accidents, congestion, and various social and environmental issues. As a result, the Korean government aims to set the year 2027 as the target year for full commercial
autonomous vehicles, and Korean automobile manufacturers are actively planning the launch of level 3 autonomous vehicles.

As the rapid development of digital, communication and AI technology provides autonomous vehicles with the ability to create, collect, analyze, transfer, and use data, attention is now turning towards the potential privacy and data breach concerns that may arise in an autonomous driving environment.

The core autonomous vehicle technologies and functions are based on the acquisition and meticulous interpretation of an extensive swath of driving environment and personal data to enable the proper driving and control of the vehicle. The collection of such data encompasses specific data about a driver's behaviour, location, habits, and even comprehensive information on unrelated individuals, especially categorical identification of vulnerable road users, pedestrians, and the collection of facial recognition.

The collection and use of data by autonomous vehicles are seen as inevitable by some, while others argue that strict regulations must be established to protect people's privacy. Many developed countries and key industry stakeholders have dedicated efforts to set privacy and data protection standards to address potential ethical, legal and technical challenges. However, devising regulations that effectively balance innovation with privacy protection is
challenging.

In Korea, mobile video devices installed in autonomous vehicles are the most likely technology to create privacy and data breach issues. The type of data generated by mobile video devices requires the collection of pedestrian behaviors, facial recognition, random objects, roads, and vehicle exterior environment to enable proper driving and control of the vehicle in different types of conditions, environments and situations.

Historically, South Korea imposed strict laws relating to privacy and the collection of personal data and information. Accordingly, there were no specific legislative frameworks to address the privacy issues and allow the use of mobile video devices for autonomous vehicles.

However, on 15 September 2023, an amendment of the Personal Information Protection Act introduced a distinct definition for "mobile video devices," categorically encompassing autonomous vehicles. Under specific conditions, the statute permits the recording of visual imagery involving persons or objects in public spaces via mobile video devices, even without the subject’s consent, provided such recording serves a business related purpose, and the act of
recording is unequivocally communicated.

Despite this, the practical execution of satisfying legal requirements still poses many challenges. The conspicuous placement of notification signs or the utilization of LED and flashlight indicators on the surface of autonomous vehicles has practical constraints. Moreover, even when these indications are observed, pedestrians and bystanders may lack the perceptual awareness to understand and recognize the actual recording.

Furthermore, while the law governing the operation of mobile video processing devices permits recording under defined conditions, the law still requires adherence to the principle of prior consent for the use of personal information. The principle of prior consent raises questions about the effectiveness of the new regulation in developing fully autonomous vehicles in Korea without violating privacy laws and regulations.

This research proposes two simultaneous strategies. In the short term, the government should issue temporary special permits for personal information collection and encourage various stakeholders to achieve fully autonomous vehicles. In the long term, the research recommends amending the Personal Information Protection Act to introduce new mechanisms like personal information processing privacy policy certification and privacy impact assessments to protect personal information collected from diverse groups of individuals. Finally, regulatory bodies
should develop strict guidelines to enhance security on the relevant technology to strengthen data protection in autonomous vehicles.

This research aims to provide solutions to the Korean autonomous vehicle industry with actionable solutions aiming to strike an optimal balance between privacy protection amidst the active development of fully autonomous vehicles in Korea.

국문 초록 (Abstract)

바야흐로 자율주행자동차의 시대이다. 정부는 2027년 완전자율주행 상용화를 위해 박차를 가하고 있고, 국내외 자동차 제조사들은 앞 다투어 레벨 3단계 자가용 상용화 계획을 발표하고 있다. 대부분의 교통사고가 운전자의 부주의에 의한 것이라는 연구결과에 비추어 볼 때, 운전자 또는 승객의 조작 없이 자동차 스스로 운행이 가능한 자율주행자동차가 이러한 교통사고로 인한 생명, 신체, 재산 등의 손실의 해결책이자 흐름이다.
자율주행시스템의 가동을 위해서는, 자율주행자동차 기술의 특성상 자율주행시스템의 운전 판단의 기초가 되는 자동차 소유자 또는 운행자는 물론 보행자와 같은 불특정 다수의 위치정보, 노약자 여부 등을 확인하기 위한 안면인식정보 등 광범위한 개인정보 수집과 이를 분석하여 판단을 내리기 위한 개인정보 이용이 필수적이다.
사전 동의 (Opt-in) 원칙 및 2023년 9월 15일부터 시행된 현행 개인정보 보호법에서 자율주행자동차가 해당할 수 있는 ‘이동형 영상정보처리기기’의 경우 (ⅰ) 업무를 목적으로 이동형 영상정보처리기기를 운영하는 경우로서 (ⅱ) 촬영 사실을 명확히 표시하여 정보주체가 촬영 사실을 알 수 있도록 하였음에도 불구하고 촬영 거부 의사를 밝히지 아니한 경우에 공개된 장소에서 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하는 것을 허용한 것은 이처럼 다량의 개인정보 처리가 필수불가결한 자율주행자동차의 경우를 반영하기 위한 방안으로서의 의의가 있다.
다만 실제 이러한 요건을 충족하여 이동형 영상정보처리기기인 자율주행자동차로 개인정보를 촬영하기 위해서는 정보주체가 촬영사실을 알 수 있도록 표시하여야 하는데, 실제 자율주행자동차 표면에 안내문구가 기재된 스티커를 부착하거나 LED 또는 섬광등 불빛 표시를 하기 어렵다는 점, 설령 이러한 표시를 하였다고 하더라도 사후 동의 제도의 한계로서 보행자들이 실제 주행 중인 자율주행자동차들의 촬영 사실 표시 사항을 실질적으로 인지할 수 없는 경우도 있다는 점, 이동형 영상정보처리기기의 운영에 관한 규정은 일정한 경우에 ‘촬영’하는 것을 허용할 뿐이므로 자율주행시스템에서 촬영된 개인정보를 이용하는 데에는 여전히 사전 동의 원칙이 적용되고 그 동의 받은 이용 범위 내에서만 이용이 가능하므로 여전히 자율주행자동차를 통해 개인정보를 처리하는 것에 대한 근거로서의 실효성 문제가 있다.
이에 기존에 사전 동의 (Opt-in) 원칙에서 출발하여 자율주행자동차를 통한 촬영을 일부 사전 동의 없이도 허용하는 기존의 관점에서와 달리, 자율주행기술의 특성상 개인정보의 수집은 필수불가결하다는 점을 인정하고 오히려 이를 통해 처리되는 개인정보의 양이 다량인 점을 고려하여 개인정보를 이용하는 범위와 방법에 대해 명확한 가이드라인을 제시하는 방안이 보다 현실적일 것으로 사료된다.
또한 자율주행자동차를 통해 처리되는 개인정보의 항목과 그 이용 방안에 대해 가장 잘 알고 있는 자율주행자동차 사업자들이 단체를 설립하여 안전하게 개인정보를 처리할 수 있는 기준에 대해 가이드라인 또는 기본 원칙을 만들도록 함으로써 빠르게 변화하는 자율주행기술을 고려한 기준이 반영될 수 있도록 하는 방안도 고려해볼 수 있다. 특히 이러한 방안은 개인정보처리자가 스스로 그 기준을 정하는 과정에서 보다 안전한 개인정보 처리에 관한 사회적 소통의 창구 역할을 할 수 있다는 점에서 기대해볼 만하다.
본 연구를 통해 다양한 센서를 통해 대량의 개인정보를 수집하는 자율주행자동차에서의 개인정보 활용과 개인정보 보호라는 두 법익간의 균형을 찾는 방안을 논의하는 데 의의를 두고자 한다.

목차 (Table of Contents)

• 국문요약
• 제1장 서론
• 제1절 연구의 목적
• 제2절 연구의 범위 및 방법
• 제2장 자율주행자동차의 기술적 특징과 개인정보가 문제된 배경
• 제1절 자율주행자동차 및 자율주행기술
• Ⅰ. 자율주행자동차의 의미
• Ⅱ. 자율주행기술과 개인정보의 life cycle
• 1. 자율주행기술
• 2. 개인정보의 life cycle 및 각 cycle별 개인정보 문제
• 3. 자율주행자동차에서의 life cycle
• 제2절 불특정 다수로부터의 개인정보 수집・이용 문제
• Ⅰ. 수집 단계에서의 문제점 – 불특정 다수의 개인정보 수집
• Ⅱ. 대내적: 이용 단계에서의 문제점 – 불특정 다수의 개인정보 이용
• 제3장 자율주행자동차를 통한 개인정보 수집・이용에 대한 개인정보 보호법 관련
• 문제점
• 제1절 개인정보의 의미
• Ⅰ. 개인정보 보호법에 따른 개인정보의 의미
• Ⅱ. 자율주행자동차에서 수집・이용되는 개인정보
• 1. 개인정보 보호법상 개인정보에 해당하는 항목
• 2. 자율주행시스템수준별 처리되는 개인정보의 유형
• 제2절 개인정보 보호법에서 정한 개인정보의 수집・이용 근거
• Ⅰ. 사전 동의 (Opt-in) 원칙
• Ⅱ. 사전 동의 원칙의 예외 사유
• Ⅲ. 2023년 9월부터 시행된 개정 개인정보 보호법 – 이동형 영상정보기기에 관한
• 규정
• 1. 신설된 이동형 영상정보처리기기 규정의 배경
• 2. 이동형 영상정보처리기기 운영에 관한 내용 – 예외적 사후 동의 (Opt-out) 제
• 도
• 3. 이동형 영상정보처리기기 운영 규정에 따른 자율주행자동차에서의 개인정보
• 수집
• 제3절 자율주행자동차를 통한 불특정 다수의 개인정보 ‘수집’에서의 개인정보 보호법
• 상 문제점
• Ⅰ. 사전 동의 (Opt-in) 원칙 적용 가부에 대한 검토
• Ⅱ. 사전 동의 원칙의 예외 사유에 해당하는지에 대한 검토
• Ⅲ. 신설된 이동형 영상정보처리기기에 관한 규정에 따른 개인정보 수집 가부에 대
• 한 검토
• 1. 촬영사실 표시 방법의 한계
• 2. 사후 동의 (Opt-out) 제도의 한계
• 제4절 자율주행자동차를 통한 불특정 다수의 개인정보 ‘이용’에서의 개인정보 보호법
• 상 문제점
• Ⅰ. 사전 동의 (Opt-in) 원칙 적용 가부에 대한 검토
• Ⅱ. 사전 동의 (Opt-in) 원칙의 예외 사유에 해당하는지에 대한 검토
• Ⅲ. 신설된 이동형 영상정보처리기기 운영 규정에서의 ‘이용’에 대한 내용 부재
• 제4장 자율주행자동차 관련 프라이버시 이슈에 대한 주요국의 규제현황
• 제1절 유럽
• 제2절 미국
• 제3절 호주
• 제5장 자율주행자동차에서의 불특정 다수의 개인정보 수집・이용에 대한 규제 방
• 안
• 제1절 단기적 방안으로서의 실증특례제도의 활용 방안 소개
• Ⅰ. 실증특례제도의 의의
• Ⅱ. 실증특례 신청 절차 개관
• Ⅲ. 불특정 다수로부터의 동의와 관련하여 실증특례가 지정된 사례
• Ⅳ. 단기적 대안으로서의 가능성
• 제2절 자율주행자동차에서의 불특정 다수의 개인정보 수집・이용 규제의 방향
• Ⅰ. 출발점: 사전 동의 (Opt-in) 원칙의 한계
• Ⅱ. 불특정 다수의 대량 개인정보 이용 중심의 규제 필요성
• 1. 자율주행기술 특성사 필수불가결한 불특정 다수의 대량 개인정보
• 2. 가이드라인을 통한 자율주행자동차 특성에 맞는 개인정보 이용에 대한 기본
• 원칙 명시
• Ⅲ. 자율주행자동차 사업자 협회를 통한 사업자 스스로의 불특정 다수의 대량 개인
• 정보의 악용 방지
• Ⅳ. 기타의 방안: 기존 사전 동의 (Opt-in) 원칙의 보완
• 1. 개인정보 처리방침의 인증제 도입
• 2. 개인정보 영향평가 제도의 확대
• 3. 안전조치 의무의 강화
• 4. 기술적 통제의 필요성
• 제6장 결론
• 참고문헌
• ABSTRACT