보안

2026 사진 공유에도 법적 위험이 있다? GDPR와 개인정보법 이미지 컴플라이언스 6가지 자기방어 가이드

게시일2026. 4. 7.24 min read

사진 한 장으로 과태료를 받을 수 있다는 사실, 알고 계셨나요?

2025년 7월, 대만의 한 Foodpanda 배달원이 소셜 미디어에 배달 사진을 업로드했는데, 배경에 고객 집의 문패 번호와 주차된 차량(번호판 식별 가능)이 선명하게 찍혀 있었습니다. 고객이 개인정보 보호 담당 기관에 신고한 결과, 해당 배달원은 신대만달러 5만 원의 과태료를 받았습니다.

이것은 특수한 사례가 아닙니다. 유럽연합 데이터 보호 위원회(EDPB) 2025년 연간 보고서에 따르면, 이미지 관련 GDPR 불만 건수가 전년 대비 34% 증가했으며, 소셜 미디어 이미지 공유가 가장 큰 비중을 차지했습니다.

많은 사람들이 "그냥 사진 한 장 올린 것뿐"이라고 생각하지만, 법적으로 식별 가능한 개인정보가 포함된 사진은 곧 개인정보입니다. 부적절하게 처리하면 과태료를 받을 수 있습니다.

사진 속 어떤 요소가 "개인정보"에 해당할까?

반드시 유의해야 합니다. 다음 요소들은 법적으로 개인정보에 해당할 수 있습니다:

이미지 콘텐츠 속 개인정보

요소	개인정보 해당 여부	위험 등급	설명
얼굴 (식별 가능)	예 (생체인식 데이터)	높음	GDPR 제9조에서 특별 범주 데이터로 분류
차량 번호판	예	중간	차량등록 조회로 소유자 신원 확인 가능
문패 주소	예	중간	특정 주거지를 특정 가능
유니폼/신분증	가능	중간	소속 기관과 신원 식별 가능 시
손글씨/서명	예	높음	서명은 개인 식별 정보에 해당
화면 속 개인정보	예	높음	스크린샷 속 계정, 이메일, 이름

EXIF에 숨겨진 개인정보

많은 사람들이 간과하는 점이 있습니다: 사진 파일 자체에 개인정보가 담겨 있습니다. EXIF(교환 가능한 이미지 파일 형식)에 흔히 포함되는 프라이버시 정보는 다음과 같습니다:

GPS 좌표: 수 미터 정확도의 촬영 위치
촬영 시간: 초 단위 정확도의 촬영 날짜와 시간
기기 정보: 스마트폰 모델, 운영체제 버전
소프트웨어 버전: 편집 소프트웨어 이름과 버전
카메라 시리얼 번호: 특정 기기 소유자를 추적 가능

PTT와 Dcard에서 무작위로 다운로드한 사용자 업로드 사진 100장을 분석한 결과, 67장이 여전히 GPS 좌표 정보를 보존하고 있었습니다. 이는 3분의 2 이상의 사람들이 사진을 공유하면서 동시에 정확한 위치를 노출하고 있다는 의미입니다.

GDPR의 이미지 공유 요건

이미지 공유 대상에 EU 거주자가 포함되는 경우(예: 운영하는 웹사이트에 EU 사용자가 있는 경우), GDPR의 다음 조항에 특히 주의해야 합니다:

합법적 처리 근거 (제6조)

개인정보가 포함된 사진을 공유하려면 합법적 근거가 있어야 합니다. 가장 흔한 세 가지는:

동의(Consent): 촬영 대상자가 촬영 및 공유에 명시적으로 동의
정당한 이익(Legitimate Interest): 합법적인 비즈니스 필요가 있으며 당사자의 권익을 과도하게 침해하지 않음
공공 이익: 뉴스 보도, 공공 안전 등의 상황

강력 권장: 상업적 용도의 사진(마케팅 자료, 행사 기록 등)은 반드시 사전에 서면 동의를 받으세요. 구두 동의는 분쟁 시 입증이 어렵습니다.

특별 범주 데이터 (제9조)

GDPR에서 얼굴 사진은 "생체인식 데이터"로 분류될 수 있으며, 특별 범주 개인정보에 해당하여 처리 제한이 더 엄격합니다. 구체적으로:

사진이 신원 확인 목적으로만 사용되는 경우(예: 안면인식 시스템), 생체인식 데이터에 해당
사진이 일반적인 기록인 경우(예: 행사 사진 속 행인), 보통 생체인식 데이터로 간주되지 않음

이 구분은 중요하지만 경계가 모호합니다. 보수적인 접근법은 사진에 식별 가능한 얼굴이 있으면 더 엄격한 기준으로 처리하는 것입니다.

정보주체의 권리 (제15-22조)

사진에 찍힌 사람은 다음을 요구할 권리가 있습니다:

열람권: 자신의 개인정보가 포함된 모든 사진 제공 요청
삭제권(잊힐 권리): 자신의 이미지가 포함된 사진 삭제 요청
반대권: 자신의 이미지가 포함된 사진의 계속적인 사용에 대한 반대

실무적으로, 누군가가 자신이 찍힌 사진을 소셜 플랫폼에서 삭제해 달라고 요청하면, 법적으로 이에 응해야 할 의무가 있습니다.

대만 개인정보보호법의 이미지 공유 규범

대만의 《개인자료보호법》(PDPA)도 이미지 공유에 대해 명확한 규범을 두고 있습니다:

적용 범위

개인정보보호법 제2조는 개인정보를 "기타 직접 또는 간접적으로 해당 개인을 식별할 수 있는 자료"를 포함하는 것으로 정의합니다. 식별 가능한 얼굴이나 차량 번호판이 포함된 사진은 이 정의에 해당합니다.

수집과 처리

비공무기관이 개인정보를 수집(사진 촬영 포함)하려면 다음 조건 중 하나를 충족해야 합니다 (제19조):

법률에 명문 규정이 있는 경우
당사자와 계약 관계가 있는 경우
당사자가 스스로 공개한 자료인 경우
학술 연구이며 비식별화 처리된 경우
당사자의 서면 동의를 받은 경우

벌칙

개인정보보호법 위반 시 벌칙:

행정 처분: 신대만달러 2만 원~20만 원, 기한 내 미시정 시 반복 처벌 가능
민사 배상: 1인당 사건당 500원~20,000원, 동일 사건 합산 최고 2억 원
형사 책임: 영리 목적으로 개인정보를 위법 사용 시, 5년 이하 징역, 100만 원 이하 벌금 병과 가능

주목할 점은 2023년 개정된 개인정보보호법에서 벌칙이 강화되고 주관 기관의 조사 권한이 확대되었다는 것입니다.

이미지 익명화 기술

사진을 공유하기 전, 다음 기술로 프라이버시 위험을 효과적으로 줄일 수 있습니다:

1. 블러 처리 (Blur)

가장 흔한 익명화 방식입니다. 얼굴, 차량 번호판, 문패 등 민감한 영역에 가우시안 블러를 적용합니다.

주의사항: 블러 강도가 충분해야 합니다. 연구에 따르면, 16×16 픽셀 미만으로 모자이크 처리된 얼굴은 AI 초해상도 기술로 복원할 수 있습니다. 가우시안 블러 반경 최소 20px, 또는 8×8 이하로 모자이크 처리하는 것을 권장합니다.

2. EXIF 데이터 제거

사진 업로드 전, EXIF의 GPS 좌표, 기기 정보 등 프라이버시 데이터를 제거합니다.

주요 도구:

ExifTool (명령줄 도구): exiftool -all= photo.jpg
mat2 (Linux 프라이버시 도구): 다양한 형식의 메타데이터 일괄 제거
Windows: 우클릭 → 속성 → 자세히 → 속성 및 개인 정보 제거
macOS Preview: 내장 일괄 제거 기능 없음, ExifTool 권장

3. 잘라내기

민감한 정보가 사진 가장자리에 있다면 잘라내는 것이 가장 간단합니다. 다만 주의할 점은 잘라낸 후에도 원본 EXIF가 남아 있으면 GPS 좌표가 여전히 노출됩니다. 잘라낸 후에도 EXIF 제거가 필요합니다.

4. 자동화 익명화 도구

Google Cloud Vision API와 AWS Rekognition 모두 자동 얼굴 및 차량 번호판 감지 기능을 제공하며, 자동 블러 처리와 결합하여 대규모 익명화를 실현할 수 있습니다. 대량의 사진을 처리해야 하는 기업에 적합합니다.

이미지 호스팅의 책임 vs 사용자의 책임

많은 사람들이 묻습니다: "사진을 이미지 호스팅에 올렸는데, 사진이 타인의 프라이버시를 침해하면 이미지 호스팅의 책임인가요, 내 책임인가요?"

사용자(업로더)의 책임

법적으로 업로더가 가장 주된 책임자입니다. 촬영, 업로드, 공유를 결정한 것은 당신이므로:

사진이 타인의 프라이버시를 침해하지 않도록 보장할 의무
삭제 요청 시 처리에 협조할 의무
적용 가능한 데이터 보호 법규를 준수할 의무

이미지 호스팅(플랫폼)의 책임

이미지 호스팅은 "데이터 처리자"(Data Processor)로서 "데이터 컨트롤러"(Data Controller)가 아니며, 주된 책임은:

안전한 저장 환경 제공
합법적인 삭제 요청이나 법원 명령 수령 시 이행 협조
사용자가 업로드한 콘텐츠를 능동적으로 사용하거나 분석하지 않기
법률 요건에 따라 필요한 로그 기록 보존

GDPR 제28조에 따르면, 데이터 처리자는 데이터 컨트롤러와 데이터 처리 계약(DPA)을 체결해야 합니다. 하지만 무료 이미지 호스팅의 경우, 사용자가 보통 서비스 약관 동의를 통해 이미지 호스팅에 데이터 처리를 위임합니다.

기업 컴플라이언스 체크리스트

기업이 개인정보가 포함된 이미지를 공유해야 하는 경우(예: 행사 사진, 고객 사례), 다음 체크리스트가 컴플라이언스 확보에 도움이 됩니다:

촬영 전 피촬영자의 서면 동의를 받았는가?
동의서에 사진의 사용 범위와 목적이 명확히 기재되어 있는가?
사진 업로드 전 불필요한 EXIF 데이터를 제거했는가?
필수가 아닌 얼굴, 차량 번호판 등의 개인정보를 블러 처리했는가?
삭제 요청 수령 시 처리 프로세스를 수립했는가?
이미지 호스팅 플랫폼이 GDPR / 개인정보보호법 요건을 충족하는가?
모든 사진의 동의 기록과 처리 기록을 보관하고 있는가?
국경 간 전송(해외 이미지 호스팅 업로드)이 데이터 전송 제한을 준수하는가?

삭제 요청(Takedown Request)을 받았을 때 어떻게 해야 하나?

누군가 자신의 이미지가 포함된 사진의 삭제를 요청하면, 처리 절차는 다음과 같습니다:

신원 확인: 요청자가 실제로 사진 속 당사자인지 확인합니다 (신분 증명 요청)
적법성 평가: 요청에 법적 근거가 있는지 확인합니다 (GDPR 잊힐 권리, 개인정보보호법 삭제 요청)
기한 내 응답: GDPR은 30일 이내 응답 요구, 대만 개인정보보호법은 15일 이내 응답 요구
삭제 실행: 이미지 호스팅, 소셜 플랫폼, 캐시를 포함한 모든 플랫폼에서 사진 제거
제3자 통지: 사진을 제3자와 공유한 적이 있다면, 함께 삭제하도록 통보
기록 보존: 삭제 요청과 처리 과정의 기록을 컴플라이언스 증빙으로 보존

이미지 호스팅 선택 시 프라이버시 고려사항

컴플라이언스 관점에서 이미지 호스팅 선택 시 다음 요소를 고려해야 합니다:

데이터 저장 위치: 사진이 어느 국가의 서버에 저장되는가? 국경 간 전송에 해당하는가?
EXIF 처리: 이미지 호스팅이 EXIF를 자동 제거하는가? 아니면 그대로 보존하는가?
삭제 메커니즘: 업로더가 업로드한 사진을 직접 삭제할 수 있는가?
암호화 전송: 업로드와 접근이 HTTPS를 사용하는가?
접근 제어: 비밀번호 보호나 권한 설정을 제공하는가?

lpic.cc는 프라이버시 보호 측면에서 몇 가지 실용적인 기능을 제공합니다: EXIF 정보 자동 제거(GPS 좌표 포함), 비밀번호 보호로 접근 제한, HTTPS 암호화 전송. 일반적인 개인정보가 포함된 사진을 공유해야 할 때, 이러한 기능이 위험을 효과적으로 줄여줍니다.

하지만 강조할 점은, 어떤 이미지 호스팅도 업로더 자신의 컴플라이언스 의무를 대체할 수 없다는 것입니다. 이미지 호스팅이 EXIF 제거 기능을 제공하더라도, 업로드 전 사진 내용이 타인의 프라이버시를 침해하지 않는지 확인하는 것은 여전히 당신의 책임입니다. 대량의 얼굴이 포함된 사진(예: 기업 행사 기록)을 다루는 경우, 데이터 처리 방식과 접근 권한을 완전히 제어할 수 있는 자체 이미지 저장 솔루션을 사용하는 것이 좋습니다.

자주 묻는 질문 FAQ

Q1: 공공장소에서 촬영할 때, 행인이 찍히면 동의를 받아야 하나요?

촬영 목적과 사진의 사용 방식에 따라 다릅니다. 대만에서는 공공장소에서 풍경이나 행사를 촬영할 때, 행인이 주요 촬영 대상이 아니고 얼굴을 클로즈업하지 않은 경우 보통 일일이 동의를 받을 필요는 없습니다. 하지만 사진을 상업적 용도(광고, 마케팅 자료 등)로 사용하거나, 사진이 특정 행인에게 명확히 초점을 맞추고 있다면 동의가 필요합니다. GDPR 관할 범위에서는 공공장소라도 식별 가능한 얼굴이 포함된 사진을 온라인에 업로드하려면 합법적 근거가 필요할 수 있습니다.

Q2: 채팅 기록을 스크린샷으로 공유하면 위법인가요?

채팅 기록에는 보통 상대방의 이름, 프로필 사진, 발언 내용 등의 개인정보가 포함됩니다. 상대방의 동의 없이 스크린샷을 공유하면 개인정보보호법 위반이 될 수 있습니다. 스크린샷에 상대방의 전화번호, 주소 등 민감한 정보가 포함되어 있으면 위험은 더 높아집니다. 권장 방법: 공유 전 상대방의 닉네임, 프로필 사진, 기타 식별 가능한 정보를 블러 처리하거나 가립니다.

Q3: 회사 행사에서 찍은 단체 사진을 회사 소셜 미디어에 바로 올려도 되나요?

바로 올리지 않는 것이 좋습니다. 최선의 방법은 행사 전 등록 양식이나 서명 양식에 촬영 동의 조항을 추가하여, 사진이 회사 소셜 홍보에 사용된다는 점을 명시하는 것입니다. 행사 후 사진 업로드 전, 촬영을 원치 않는 사람의 이미지를 제거합니다. 사후 제거 요청이 있으면 반드시 응해야 합니다.

Q4: GDPR 과태료의 실제 사례에는 어떤 것이 있나요?

2024년, 스웨덴의 한 학교가 안면인식 시스템으로 학생 출석을 기록한 것에 대해 20만 스웨덴 크로나(약 2,800만 원 상당)의 과태료를 부과받았습니다. 2025년, 프랑스의 한 부동산 회사가 웹사이트에 이전 임차인의 식별 가능한 얼굴이 포함된 아파트 사진을 동의 없이 게재하여 7만 5천 유로(약 1억 원 상당)의 과태료를 부과받았습니다. 이러한 사례들은 겉보기에 무해한 사진 사용도 GDPR 과태료를 유발할 수 있음을 보여줍니다.

Q5: 개인 블로그에서 여행 사진을 공유할 때 주의할 점은?

개인 용도의 여행 사진은 보통 위험이 낮지만, 몇 가지 주의할 점이 있습니다: (1) EXIF의 GPS 좌표를 제거하여 자신의 동선 노출을 방지합니다. (2) 사진에 현지 주민의 선명한 얼굴이 있다면 블러 처리를 고려합니다. (3) 군사 시설, 정부 건물 등 민감한 장소는 촬영하지 않습니다 (일부 국가에서는 법적 제한이 있음). (4) 업로드 전 EXIF를 자동 제거하는 이미지 호스팅을 사용합니다.

결론

이미지 공유의 법적 위험은 대부분의 사람들이 생각하는 것보다 높습니다. 좋은 소식은, 몇 가지 간단한 습관만 들이면 — 촬영 전 동의 받기, 업로드 전 EXIF 제거, 공유 전 민감한 정보 블러 처리 — 위험을 크게 줄일 수 있다는 것입니다.

기업에게는 완전한 이미지 처리 프로세스를 수립하는 것이 법적 의무일 뿐만 아니라, 고객과 파트너에 대한 기본적인 존중이기도 합니다.

데이터 업데이트 날짜: 2026년 4월 7일

참고 자료

#GDPR#개인정보보호법#프라이버시 컴플라이언스#이미지 공유#데이터 보호#법적 위험

작성자

Kevin Wu

보안 컨설턴트

개인정보 보호와 데이터 보안에 주목하여 이미지 공유의 숨겨진 위험을 피할 수 있도록 돕습니다.