청소년 SNS 연령인증 강화, AI 얼굴인식 도입 시 개인정보보호 쟁점 부상

핵심 요약

- 청소년 SNS 규제 강화 논의에서 AI 기반 얼굴인식 등 새로운 연령인증 기술 도입이 검토되고 있으나 개인정보 수집 논란 예상 - 주민등록번호·휴대전화 본인인증 의무화는 과도한 개인정보 수집, 해외 플랫폼 협조 한계, 우회 가입 가능성 등 실효성 문제 존재 - 추천 알고리즘 규제까지 확대되며 청소년 보호와 개인정보보호, 기술적 실현가능성 간 균형점 모색 필요

주요 내용

2026년 현재 청소년의 SNS 이용 규제를 둘러싼 논의가 본격화되면서, 연령 확인을 위한 인증 방식과 개인정보보호 간 충돌이 핵심 쟁점으로 부상하고 있다. 정부와 국회는 청소년 보호를 명분으로 SNS 가입 시 실명 또는 연령 인증을 강화하는 방안을 검토 중이나, 이 과정에서 주민등록번호나 휴대전화 본인인증 의무화는 과도한 개인정보 수집이라는 비판에 직면해 있다.

특히 주목받는 것은 AI 기반 얼굴인식 기술을 활용한 연령 추정 방식이다. 이는 주민등록번호 등 민감정보를 직접 수집하지 않고도 연령대를 파악할 수 있다는 장점이 있으나, 생체정보라는 또 다른 민감정보를 처리한다는 점에서 개인정보보호법상 엄격한 규제 대상이 된다. 개인정보보호법 제23조는 생체인식정보 처리 시 정보주체의 별도 동의를 요구하며, 특히 만 14세 미만 아동의 경우 법정대리인 동의가 필수다. 청소년 보호를 위한 기술이 오히려 청소년의 생체정보를 대규모로 수집·처리하게 되는 역설적 상황이 발생할 수 있다.

해외 플랫폼의 협조 문제도 실효성 측면에서 중요한 변수다. 메타, 틱톡, X(구 트위터) 등 주요 SNS는 해외 사업자로, 국내법 적용과 집행에 한계가 있다. 호주가 2025년 세계 최초로 16세 미만 SNS 금지법을 시행했으나 플랫폼 사업자의 실질적 이행 여부는 여전히 불투명하다. 국내에서도 우회 가입(VPN 사용, 타인 명의 도용 등) 가능성을 차단하기 어렵다는 기술적 한계가 지적되고 있다.

이번 규제 논의는 연령 확인을 넘어 추천 알고리즘 규제까지 확대되고 있다. SNS 플랫폼의 AI 기반 추천 알고리즘이 청소년에게 유해 콘텐츠를 노출시킨다는 우려에서다. 이는 EU의 디지털서비스법(DSA)이나 미국 일부 주의 청소년 온라인 안전법과 궤를 같이하는 흐름으로, 알고리즘의 투명성과 설명가능성, 청소년 대상 프로파일링 금지 등이 쟁점이 될 전망이다.

전문가 시각

ISMS-P 심사 경험상 연령 확인을 위한 개인정보 처리는 '목적의 명확성'과 '최소 수집 원칙' 준수가 핵심이다. AI 얼굴인식을 도입할 경우, 생체정보 처리에 대한 개인정보 영향평가(PIA) 수행은 필수이며, 수집된 얼굴 이미지의 즉시 파기, 연령 추정 결과만 보관하는 등 기술적·관리적 보호조치가 선행되어야 한다. 특히 청소년 본인이 아닌 제3자(부모 등)가 인증하는 경우 본인확인 절차의 정합성 검증이 필요하다. 해외 플랫폼이 국내 개인정보보호법을 준수하지 않을 경우 개인정보보호위원회의 과징금 부과나 시정명령이 가능하나, 실질적 집행력 확보를 위해서는 역외 적용 강화와 국제 공조가 병행되어야 한다.

추천 알고리즘 규제는 AI 거버넌스 관점에서 접근해야 한다. 2024년 제정된 AI기본법(가칭, 2026년 현재 시행 중)은 고위험 AI 시스템에 대한 위험성 평가와 사후관리를 요구하고 있으며, 청소년 대상 추천 알고리즘은 고위험군으로 분류될 가능성이 높다. 사업자는 알고리즘의 편향성 검증, 청소년 유해 콘텐츠 필터링 강화, 추천 기준의 투명한 공개 등을 선제적으로 준비해야 한다. 특히 프로파일링을 통한 개인정보 자동 처리는 개인정보보호법 제37조의2(자동화 평가 거부권) 대상이므로, 청소년 또는 법정대리인에게 거부권 행사 방법을 명확히 고지해야 한다.

CPPG·ISMS-P 연계 포인트

생체인식정보의 법적 보호 (개인정보보호법 제23조) 생체인식정보는 지문, 얼굴, 홍채, 음성 등 개인을 식별할 수 있는 신체적 특징으로, 일반 개인정보보다 엄격한 보호를 받는다. 처리 시 정보주체의 별도 동의가 필요하며, 만 14세 미만은 법정대리인 동意가 필수다. AI 얼굴인식 기반 연령 확인은 생체정보 처리에 해당하므로 개인정보 영향평가(PIA) 수행과 암호화·접근통제 등 안전성 확보조치가 요구된다.

자동화된 결정에 대한 거부권 (개인정보보호법 제37조의2) AI 알고리즘에 의한 자동화된 개인정보 처리(프로파일링, 추천 등)는 정보주체에게 법적·실질적 영향을 미칠 수 있어 거부권을 보장해야 한다. 청소년 대상 콘텐츠 추천 알고리즘은 자동화 평가 대상이며, 사업자는 거부권 행사 방법과 대안적 서비스 이용 수단을 고지해야 한다. ISMS-P 인증 시 자동화 처리 내역 관리와 거부권 행사 프로세스 구현 여부를 점검한다.