자율주행 시험차가 내 얼굴을 촬영해도 되나 — 조문은 "익명처리 없이 이용, 5년 뒤 파기"로 답한다
요약 및 결론: 「자율주행자동차 상용화 촉진 및 지원에 관한 법률」 제20조의2 제1항은 「자동차관리법」 제27조 제1항에 따른 자율주행자동차 임시운행허가를 받은 자(조문이 "자율주행자동차제작자등"이라고 부르는 자)가 자율주행시스템의 성능 및 안전성을 향상시키기 위한 목적으로 특정 개인정보가 포함된 영상정보를 촬영하여 수집할 수 있고, 수집한 영상정보를 익명처리 또는 가명처리를 하지 아니하고 이용할 수 있다고 정한다. 같은 조 제2항은 그 대신 특정 개인을 식별하기 위한 목적의 이용과 이 법에서 정하는 목적 외의 이용·제공을 누구에게나 금지하고, 제4항은 수집한 날부터 5년이 지나면 지체 없이 파기하도록 의무를 지운다. 이 조문은 2026년 6월 18일부터 시행 중이다.
자율주행자동차법 제20조의2는 법률 제21482호(2026년 3월 17일 공포)로 신설돼 2026년 6월 18일부터 시행되고 있다. 같은 개정으로 제3조 제3항도 신설돼, 자율주행 영상정보처리기기를 통한 영상정보의 처리는 이 법이 규정한 것을 제외하고 「개인정보 보호법」에 따른다는 연결 고리가 법률에 명시됐다. 시행령(대통령령 제36414호)도 같은 날 시행돼 파기 방법을 제1호·제2호로 나눠 정했다.
자율주행 시험차가 얼굴을 가리지 않고 촬영해도 되나?
법이 정한 요건을 갖춘 경우에 한해 그렇다. 자율주행자동차법 제20조의2 제1항은 “특정 개인정보가 포함된 영상정보를 촬영하여 수집할 수 있으며, 수집한 영상정보를 익명처리 또는 「개인정보 보호법」 제2조제1호의2에 따른 가명처리를 하지 아니하고 이용할 수 있다”고 정한다. 문언의 어미가 “할 수 있다”, 즉 재량이므로 모자이크 처리를 하지 않아도 위법이 되지 않는다는 뜻이지, 처리를 금지한다는 뜻은 아니다.
이 조항은 같은 법 제20조에도 불구하고 적용되는 특례로 설계돼 있다. 조문 자체가 “제20조에도 불구하고”라는 문언을 앞에 두고 있다.
누가 이 특례를 쓸 수 있나?
주체가 조문에 한정돼 있다. 「자동차관리법」 제27조 제1항에 따른 자율주행자동차 임시운행허가를 받은 자이고, 조문은 이들을 “자율주행자동차제작자등”이라고 부른다. 임시운행허가를 받지 않은 차량이나 일반 차량에 달린 카메라는 이 조문의 주체가 아니다.
목적도 한정된다. 조문의 문언은 “자율주행시스템의 성능 및 안전성을 향상시키기 위한 목적”이다. 이 목적을 벗어난 촬영·이용은 제20조의2 제1항이 허용하는 범위 밖이다.
조문은 “얼굴”이나 “차량번호”라고 쓰지 않았다
제20조의2가 쓰는 말은 “특정 개인정보가 포함된 영상정보”다. 조문 어디에도 얼굴, 번호판, 차량번호 같은 예시가 열거돼 있지 않다. 어떤 영상이 여기에 해당하는지는 조문의 이 문언을 기준으로 판단해야 하고, 얼굴이나 번호판이 당연히 포함된다고 단정할 근거는 조문 자체에 없다.
촬영 장치의 범위는 시행령이 정한다. 시행령 제1조의2는 법 제2조 제1항 제12호의 “대통령령으로 정하는 장치”를 “자동차에 부착 또는 거치(据置)하여 영상 등을 촬영하거나 촬영한 영상정보를 수집·저장 또는 전송하는 카메라 등의 장치”라고 정의한다.
행위별로 나누면 조문이 정한 효과는 이렇다
| 어떤 행위 | 적용 조문 | 법정형(조문이 정한 효과) |
|---|---|---|
| 성능·안전성 향상 목적으로 특정 개인정보가 포함된 영상정보를 촬영·수집 | 자율주행자동차법 제20조의2 제1항 | 허용(재량) — “수집할 수 있으며” |
| 수집한 영상정보를 익명처리·가명처리 없이 이용 | 자율주행자동차법 제20조의2 제1항 | 허용(재량) — “이용할 수 있다” |
| 특정 개인을 식별하기 위한 목적으로 이용 | 자율주행자동차법 제20조의2 제2항 | 금지 — “이용하거나 … 아니 된다”(수범자는 “누구든지”) |
| 이 법에서 정하는 목적 외의 용도로 이용·제공 | 자율주행자동차법 제20조의2 제2항 | 금지 — 위와 같음 |
| 분실·도난·유출·변조·훼손 방지를 위한 내부 관리계획 수립, 접속기록 보관 등 조치 | 자율주행자동차법 제20조의2 제3항 | 의무 — “하여야 한다” |
| 수집한 날부터 5년이 지난 영상정보의 파기 | 자율주행자동차법 제20조의2 제4항 | 의무 — “지체 없이 파기하여야 한다” |
| 법 시행 전에 수집한 영상정보의 파기 | 법률 제21482호 부칙 제2조 | 의무 — 시행일부터 5년이 지나면 지체 없이 파기 |
| 전자적 파일 형태 영상정보의 파기 방법 | 시행령 제16조의3 제1항 제1호 | 의무 — 복원이 불가능한 방법으로 영구 삭제 |
| 그 밖의 기록물·인쇄물·서면 등의 파기 방법 | 시행령 제16조의3 제1항 제2호 | 의무 — 파쇄 또는 소각 |
벌칙 조문에 관해서는 부칙 제2조가 “제20조의2제4항 및 제55조제1항제2호의 개정규정”이라고 적어 벌칙 규정도 함께 개정됐음을 보여 준다. 다만 이 글이 대조한 원문 범위에는 제55조 제1항 제2호의 문언이 포함돼 있지 않으므로, 징역·벌금의 구체적 수치는 여기에 적지 않는다.
개인정보 보호법은 배제되나?
배제되지 않는다. 자율주행자동차법 제3조 제3항은 “자율주행 영상정보처리기기를 통한 영상정보의 처리에 관하여 이 법에서 규정한 것을 제외하고는 「개인정보 보호법」에 따른다”고 정한다. 즉 자율주행자동차법이 따로 정한 부분만 특례로 빠지고, 나머지는 「개인정보 보호법」이 그대로 적용된다.
특례의 범위도 조문 문언으로 확인된다. 제20조의2 제1항이 면제하는 것은 익명처리 또는 「개인정보 보호법」 제2조 제1호의2에 따른 가명처리를 거쳐야 한다는 요구이지, 개인정보 보호법 전체가 아니다.
5년은 왜 두 곳에 따로 있나?
기산점이 다른 두 개의 5년이 있기 때문이다. 법 제20조의2 제4항의 5년은 “수집한 날부터”이고, 법률 제21482호 부칙 제2조의 5년은 “이 법 시행일부터”다. 부칙 제2조는 제20조의2 제4항의 개정규정을 이 법 시행 전에 수집한 영상정보에도 적용하도록 하면서, 그 경우의 기산점을 시행일로 옮겨 놓았다.
날짜로 옮기면 이렇다. 법 시행일은 2026년 6월 18일이고, 시행 전에 수집한 영상정보는 그날부터 5년이 지난 2031년 6월 18일에 지체 없이 파기해야 한다. 시행 후에 수집한 영상정보는 각각의 수집일이 기산점이므로 파기 시점이 건별로 달라진다.
시행일 계산의 근거는 부칙 제1조다. “이 법은 공포 후 3개월이 경과한 날부터 시행한다. 다만, 제22조제1항의 개정규정은 공포한 날부터 시행한다.” 2026년 3월 17일 공포이므로 3개월이 경과하는 날의 다음 날인 2026년 6월 18일이 시행일이 되고, 시행령 부칙도 “이 영은 2026년 6월 18일부터 시행한다”로 날짜를 맞췄다.
5년이 지나면 어떻게 파기하나?
파기 방법은 시행령 제16조의3이 정한다. 전자적 파일 형태이면 복원이 불가능한 방법으로 영구 삭제해야 하고, 기술적 특성으로 영구 삭제가 현저히 곤란한 경우에는 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하더라도 더 이상 개인을 알아볼 수 없는 정보로 처리해야 한다. 제1호 외의 기록물·인쇄물·서면, 그 밖의 기록매체이면 파쇄 또는 소각한다.
시행령 제16조의3은 방법을 정하는 조문이지 기간을 정하는 조문이 아니다. 기간은 법 제20조의2 제4항(수집한 날부터 5년)과 부칙 제2조(시행일부터 5년)에 있다. 시행령 제16조의3 제2항은 파기에 관한 구체적인 사항을 국토교통부장관이 정하여 고시하도록 위임한다.
안전성 확보 조치는 무엇을 해야 하나?
법 제20조의2 제3항이 항목을 예시한다. 영상정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부 관리계획의 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 기술적 또는 관리적 조치를 하여야 한다. 어미가 “하여야 한다”이므로 재량이 아니라 의무다.
실제 처벌 수위는 어떤가
공표 자료 없음. 제20조의2는 2026년 6월 18일 시행된 신설 조문이고, 국가법령정보센터에서 법령명과 제20조의2, “자율주행자동차제작자등”을 기준으로 확인한 범위에서는 이 규정을 판시한 판례 원문(사건번호·선고일·판시사항을 갖춘 것)이 확인되지 않았다. 별도의 양형기준이나 처분 통계도 이 글이 확인한 범위에서는 공표된 것이 없다.
따라서 이 조문에 관해 현재 확인할 수 있는 것은 법정형이 아니라 조문이 정한 요건과 의무의 구조다. 개별 사안이 위반인지 아닌지는 조문의 주체·목적 요건과 제2항의 금지 문언에 그 사안을 대입해 판단할 문제이며, 이 글은 특정 사안의 판단을 담지 않는다.
관련 법령
제20조의2(영상정보의 처리에 관한 특례) 제1항은 '「자동차관리법」 제27조제1항에 따른 자율주행자동차 임시운행허가를 받은 자(이하 "자율주행자동차제작자등"이라 한다)는 제20조에도 불구하고 자율주행시스템의 성능 및 안전성을 향상시키기 위한 목적으로 특정 개인정보가 포함된 영상정보를 촬영하여 수집할 수 있으며, 수집한 영상정보를 익명처리 또는 「개인정보 보호법」 제2조제1호의2에 따른 가명처리를 하지 아니하고 이용할 수 있다'고 정한다. 어미는 '수집할 수 있으며', '이용할 수 있다'로 모두 재량이고, '하여야 한다'(의무)가 아니다. 조문의 괄호는 (이하 "자율주행자동차제작자등"이라 한다) 형식의 정의 규정이며, 문언에 '이 조에서'나 '이 법에서'라는 범위 표기는 붙어 있지 않다. 요건은 주체와 목적 두 겹으로 걸려 있어, 임시운행허가를 받지 않은 자나 성능ㆍ안전성 향상이 아닌 목적은 이 항이 연 자리가 아니다. 이 항이 면제하는 것은 익명처리 또는 가명처리라는 처리 단계이지 「개인정보 보호법」 전체가 아니다. 조문은 '얼굴'ㆍ'안면'ㆍ'차량번호'ㆍ'번호판'을 열거하지 않고 '특정 개인정보가 포함된 영상정보'라고만 규정한다. 제20조의2는 [본조신설 2026. 3. 17.]로 신설됐고 2026년 6월 18일부터 시행 중이며, 제1항이 '제20조에도 불구하고'로 인용한 제20조의 문언은 확인하지 못했다.
제20조의2 제2항은 '누구든지 제1항에 따라 수집한 영상정보를 특정 개인을 식별하기 위한 목적으로 이용하거나 이 법에서 정하는 목적 외의 용도로 이용ㆍ제공하여서는 아니 된다'고 정한다. 어미가 '아니 된다'인 금지 규정이고, 제1항의 재량과 성격이 다르다. 이 항의 수범자는 제1항과 달리 '자율주행자동차제작자등'으로 한정되지 않고 '누구든지'다. 금지되는 행위는 두 갈래로, 특정 개인을 식별하기 위한 목적의 이용과 이 법에서 정하는 목적 외의 용도로 하는 이용ㆍ제공이다. 항 안에 호와 목은 없다. 제1항이 비식별 처리를 면제했다고 해서 식별 목적의 이용까지 열리는 것이 아니라는 점이 이 항의 문언으로 드러난다. 2026년 6월 18일부터 시행 중이다.
제20조의2 제3항은 '제1항에 따라 영상정보를 수집하는 자율주행자동차제작자등은 해당 정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획의 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적 또는 관리적 조치를 하여야 한다'고 정한다. 어미가 '하여야 한다'이므로 재량이 아니라 의무다. 막아야 할 사태로 분실ㆍ도난ㆍ유출ㆍ변조ㆍ훼손 다섯 가지가 문언에 열거돼 있고, 조치의 예시로 내부 관리계획의 수립과 접속기록 보관이 들어 있다. 다만 '등'과 '대통령령으로 정하는 바에 따라'라는 문언이 붙어 있어 구체적 항목은 하위 법령에 넘어간다. 이 항이 위임한 대통령령 조문의 내용은 확인하지 못했다. 항 안에 호와 목은 없으며, 2026년 6월 18일부터 시행 중이다.
제20조의2 제4항은 '제1항에 따라 영상정보를 수집한 자율주행자동차제작자등은 수집한 날부터 5년이 지나면 특정 개인정보가 포함된 영상정보를 대통령령으로 정하는 바에 따라 지체 없이 파기하여야 한다'고 정한다. 어미가 '하여야 한다'이므로 의무이고, 기산점은 문언 그대로 '수집한 날부터'다. 따라서 시행일 이후에 수집한 영상정보는 각 영상마다 수집일이 따로 계산된다. 파기의 방법은 이 항이 직접 정하지 않고 '대통령령으로 정하는 바에 따라'로 위임돼 있으므로, 기한은 이 항에, 방법은 시행령에 나뉘어 있다. 대상은 '특정 개인정보가 포함된 영상정보'이고, 조문은 얼굴이나 차량번호 같은 예시를 들지 않는다. 항 안에 호와 목은 없다. 이 항은 2026년 6월 18일부터 시행 중이며, 법률 제21482호 부칙 제2조가 시행 전 수집분에 대해 기산점을 따로 정한다.
제3조 제3항은 '자율주행 영상정보처리기기를 통한 영상정보의 처리에 관하여 이 법에서 규정한 것을 제외하고는 「개인정보 보호법」에 따른다'고 정한다. 연혁 표기는 <신설 2026. 3. 17.>이고, 어미는 '따른다'로 의무ㆍ재량 표현이 아니다. 제3조는 전체 3개 항으로 되어 있고 제3항에는 호와 목이 없다. 핵심은 '이 법에서 규정한 것을 제외하고는'이라는 단서이며, 이 법이 따로 정한 부분만 특례로 빠지고 나머지에는 「개인정보 보호법」이 그대로 적용된다는 뜻이다. 그러므로 자율주행 영상정보에 개인정보 보호법이 전면 배제된다고 읽으면 문언과 어긋난다. 이 항이 말하는 '자율주행 영상정보처리기기'의 범위는 시행령 제1조의2가 정하는데, 같은 조문은 법 제2조제1항제12호의 '대통령령으로 정하는 장치'를 '자동차에 부착 또는 거치(据置)하여 영상 등을 촬영하거나 촬영한 영상정보를 수집ㆍ저장 또는 전송하는 카메라 등의 장치'로 정의한다. 다만 법 제2조제1항제12호 자체의 문언은 확인하지 못했다. 제3조 제3항은 2026년 6월 18일부터 시행 중이다.
부칙 제2조(영상정보 파기에 관한 적용례 및 경과조치)는 '제20조의2제4항 및 제55조제1항제2호의 개정규정은 이 법 시행 전에 수집한 영상정보에 대해서도 적용한다. 이 경우 자율주행자동차제작자등은 제20조의2제4항의 개정규정에도 불구하고 이 법 시행일부터 5년이 지나면 이 법 시행 전에 수집한 영상정보를 지체 없이 파기하여야 한다'고 정한다. 두 문장이 하는 일이 다르다. 앞 문장은 적용례로 새 규정을 시행 전 수집분에까지 미치게 하고, 뒤 문장은 경과조치로 그 경우의 기산점을 '수집한 날'이 아니라 '이 법 시행일'로 갈음한다. 같은 5년이지만 본칙 제20조의2 제4항의 기산점(수집한 날부터)과 부칙의 기산점(이 법 시행일부터)이 서로 다르므로, 5년을 한 자리로만 적으면 시점이 어긋난다. 부칙 제1조(시행일)는 '이 법은 공포 후 3개월이 경과한 날부터 시행한다. 다만, 제22조제1항의 개정규정은 공포한 날부터 시행한다'로 정하고, 단서의 대상은 제22조제1항뿐이어서 제3조 제3항과 제20조의2에는 본문의 시행일이 적용된다. 공포일이 2026년 3월 17일이므로 시행일은 2026년 6월 18일이고, 시행 전 수집분의 파기 기준일은 그로부터 5년이 지난 2031년 6월 18일이 된다. 부칙이 함께 든 제55조제1항제2호의 개정규정은 부칙 문언에 그렇게 적혀 있다는 사실만 확인했다.
제16조의3(영상정보의 파기방법) 제1항은 '자율주행자동차제작자등은 법 제20조의2제4항에 따라 영상정보를 파기하는 경우에는 다음 각 호의 구분에 따른 방법으로 해야 한다'고 정하고, 제1호는 '전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제. 다만, 기술적 특성으로 영구 삭제가 현저히 곤란한 경우에는 시간ㆍ비용ㆍ기술 등을 합리적으로 고려할 때 다른 정보를 사용하더라도 더 이상 개인을 알아볼 수 없는 정보로 처리해야 한다', 제2호는 '제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각'이다. 조문은 2개 항으로 되어 있고 제1항에 2개 호, 제2항에 호가 없으며 목은 없다. 어미는 제1항 본문과 제1호 단서가 '해야 한다'(의무), 제2항이 '정하여 고시한다'다. 제2항은 '제1항에 따른 영상정보의 파기에 관한 구체적인 사항은 국토교통부장관이 정하여 고시한다'로 구체적 사항을 고시에 다시 위임한다. 제1호 단서도 어미가 '해야 한다'이므로 선택지가 아니라 의무다. 이 조문이 정하는 것은 파기의 방법이지 보관 기간이 아니며, 기간은 법 제20조의2 제4항과 법률 제21482호 부칙 제2조에 있다. [본조신설 2026. 6. 16.]이고 대통령령 제36414호 부칙에 따라 2026년 6월 18일부터 시행 중이다. 국토교통부장관 고시의 내용은 확인하지 못했다.
자주 묻는 질문
자율주행 테스트 차량이 지나가며 제 얼굴을 촬영해도 되나요
「자율주행자동차 상용화 촉진 및 지원에 관한 법률」 제20조의2 제1항은 「자동차관리법」 제27조 제1항에 따른 임시운행허가를 받은 자율주행자동차제작자등이 자율주행시스템의 성능 및 안전성을 향상시키기 위한 목적이면 특정 개인정보가 포함된 영상정보를 촬영하여 수집할 수 있고, 익명처리나 가명처리를 하지 아니하고 이용할 수 있다고 정한다. 다만 같은 조 제2항은 특정 개인을 식별하기 위한 목적의 이용과 목적 외 이용·제공을 누구에게나 금지한다. 조문은 "얼굴"이라는 말을 쓰지 않고 "특정 개인정보가 포함된 영상정보"라고만 규정한다.
자율주행차 카메라 영상에 차량번호가 찍히면 개인정보법 위반인가요
자율주행자동차법 제3조 제3항은 자율주행 영상정보처리기기를 통한 영상정보의 처리에 관하여 이 법에서 규정한 것을 제외하고는 「개인정보 보호법」에 따르도록 정한다. 즉 제20조의2가 특례로 정한 부분(익명처리·가명처리 없이 이용할 수 있다는 점)만 빠지고 나머지는 개인정보 보호법이 적용된다. 조문이 열거하는 대상은 차량번호가 아니라 "특정 개인정보가 포함된 영상정보"이므로, 개별 영상이 여기에 해당하는지는 그 문언을 기준으로 따져야 한다.
자율주행 시험 영상은 몇 년 동안 보관할 수 있나요
자율주행자동차법 제20조의2 제4항은 수집한 날부터 5년이 지나면 특정 개인정보가 포함된 영상정보를 지체 없이 파기하도록 정한다. 법 시행(2026년 6월 18일) 전에 수집한 영상정보는 법률 제21482호 부칙 제2조에 따라 기산점이 달라져, 시행일부터 5년이 지난 2031년 6월 18일에 지체 없이 파기해야 한다. 파기 방법은 시행령 제16조의3이 전자적 파일은 복원 불가능한 영구 삭제, 그 밖의 기록매체는 파쇄 또는 소각으로 정한다.