[취재수첩] 기술·법규 모두 뒤처진 얼굴인식 결제
“모두 불안해서 얼굴 인식 결제는 안 하겠다고 합니다.”

서울 광화문 근교 음식점에서 일하는 직원이 기자에게 건넨 말이다. 이 음식점은 올해 초 얼굴 인식 결제 단말기를 도입했지만 고객들이 “내 얼굴 정보가 유출되면 어떡하냐’며 이용을 꺼려 단말기를 계산대 구석으로 치웠다.

똑같은 경험을 하는 곳은 이 음식점뿐만이 아니다. 국내에 얼굴 결제가 가능한 매장은 전체 신용카드 가맹점의 15% 수준으로 늘었지만 국내 카드 결제액에서 차지하는 비중은 한 자릿수에 그친다. 토스와 네이버가 얼굴 결제 기술을 고도화한 단말기를 무료로 뿌려도 여전히 얼굴 정보 유출 우려를 해소하지 못하고 있어서다.

그동안 내로라하는 국내 기업들이 생체인식 기술을 결제 시장에 접목하려고 했으나 대부분 실패로 끝났다. 신한카드는 지난 2월 얼굴 인식 서비스인 ‘신한 페이스페이’를 중단했다. 롯데카드도 6월 손바닥 정맥 인식 결제 서비스인 ‘핸드페이’를 종료했다. 비씨카드가 2017년부터 운영한 목소리 인증 서비스인 ‘보이스페이’ 역시 2020년 사용률 저조 등의 이유로 사라졌다. 모두 ‘내 생체정보가 안전할까’라는 보안 리스크를 해소하지 못한 탓이다.

이미 해외에선 생체정보 해킹 사고가 여러 차례 있었다. 2019년 중국에서는 250만 명의 얼굴 정보가 암호화 없이 그대로 인터넷상에 노출되는 사고가 발생했다. 2024년 엘살바도르에선 해커가 정부 시스템을 공격해 500만 명의 얼굴 정보를 다크웹에 유출하기도 했다.

생체정보를 노린 해킹 기술은 날로 지능화되고 있지만 법규는 걸음마 수준이다. 국내법상 개인 생체정보는 식별 가능한 ‘민감정보’로 분류되지만 생체정보를 위한 별도의 법률 규정은 없다. 범죄 경력, 노조 가입 여부 등 다른 민감정보처럼 수집 전 미리 동의받고 가명 처리하는 수준에 그친다.

이에 반해 해킹사고로 홍역을 치른 중국은 구체적인 규정을 제정해 대응하고 있다. 중국 정부는 2021년 ‘얼굴인식기술 응용 안전관리 규정’을 신설하면서 얼굴 정보의 인터넷 전송 제한 및 정보 익명화, 10만 명 이상 정보 저장 시 당국 신고 등을 의무화했다. 얼굴 인식 기술을 사용하는 기업에 감독·검사를 강화하고 규정 위반 시 형사처벌까지 받는다는 점도 명문화했다.

중국 정부처럼 발 빠르게 움직이지 않는다면 한국은 얼굴 결제 시장에서 뒤처질 수밖에 없다. 여러 기업의 실패에도 불구하고 다시 이 시장에 뛰어든 네이버와 토스가 성공적으로 안착하려면 관련 규정을 촘촘하게 만들어야 한다. 한국 정부의 체계적인 관리와 뒷받침이 필요한 때다.