이 글에서는 IP 주소의 식별성을 부정하는 대표적 판례를 소개한다.
2008년 9월 독일 뮌헨 법원은 IP 주소를 안다고 할지라도 이것으로 개인을 알아내기 위해서는 추가적으로 불법이 매개돼야 하므로 IP 주소를 개인정보라고 할 수 없다고 판시했다.
2010년 4월 Irish High Court는 EMI Records v. Eircom Ltd 사건에서 저작권 단속을 위해 음반회사가 수집한 IP 주소 정보는 개인정보에 해당하지 않는다고 판시했으며, 2009년 1월 프랑스의 Supreme Court는 SACEM v. Cyrille Saminadin 사건에서 IP 주소는 개인정보가 아니라는 취지로 판시했다.
이번에는 미국으로 눈을 돌려보자. 미국 NIST(National Institute of Standards and Technology)의 2010년도 발간자료에 따르면 IP 주소, MAC 주소 또는 지속적으로 특정 개인 등과 연결돼 있는 고정주소는 식별정보로 볼 수 있다는 기준을 제시했다.
그러나 미국 법원은 대체로 IP 주소가 식별정보가 아니라고 판시한 경우가 많다. 2011년 5월 일리노이 지방법원은 VPR Internationale v. Does 1-1017 사건에서 IP 주소는 식별정보에 해당하지 않는다고 판시했고, 2009년 7월 워싱턴 서부지방법원은 Johnson v. Microsoft Corp. 사건에서 IP 주소는 식별정보를 구성하지 않는다고 봤다.
반면 뉴저지 대법원은 2008년경 State v. Reid 사건에서 IP 주소라고 해서 프라이버시 보호 대상에서 벗어나는 것은 아니라고 판시한 바 있다.
한편 아시아에서 홍콩 개인정보 당국은 2007년경에 IP 주소는 특정 기계나 디바이스에 할당된 것이지 개인에 관한 정보는 아니므로 식별정보로 볼 수 없다는 결론을 내린 바 있다.
우리나라에서도 IP 주소에 관한 사건이 있었다. 2011년 11월 접속 IP 주소를 수집하는 모바일 애플리케이션을 만들어 배포한 사건인데, 서울중앙지방검찰청은 ‘같은 AP(Access Point) 사용대역 내에서는 복수의 모바일 기기 이용자가 동일 IP 주소로 접속하고 있으며, 유동 IP 주소의 경우에는 시간대별로 IP 주소가 변동될 수 있으므로 본 사안에서 IP 주소는 개인정보로 볼 수 없다’는 취지의 결정을 내린 바 있다.
IP 주소 식별성에 관한 최근 동향
최근의 IP 주소 식별정보성에 대한 결론은 상황에 따라 달라질 수 있다고 보는 의견이 많다.
기본적으로 IP 주소는 디바이스나 기계에 관한 정보이지 PC 이용자 등에 대한 정보는 아니며, 대부분의 PC나 모바일 기기가 유동 IP 주소를 할당받아 사용하기 때문에 IP 주소를 알았다고 해서 사용자를 특정할 수 있는 것은 아니라고 본다.
또 하나의 PC를 여러 사람이 사용하는 경우 IP 주소를 파악한다고 할지라도 특정 개인과 연관시키기 곤란하므로 기본적으로 IP 주소는 식별정보가 아니라고 보고 있다.
다만 고정 IP를 사용하는 PC가 있고, 해당 PC를 특정 개인이 또는 각자의 아이디로 특정할 수 있는 소규모 집단이 지속적으로 사용했다면 이 경우에는 IP 주소를 식별정보로 볼 수 있다. 영국의 ICO(Information Commissioner’s Office)도 같은 입장을 취하고 있다.
지금까지 IP 주소의 식별성에 관한 논쟁에 대해 살펴봤다. IP 주소만 이러한 논쟁에 휩싸여 있는 것은 아니다. 이메일 주소에 대해서도 비식별정보로 본 판례가 있는가 하면, 식별정보로 본 판례가 존재한다.
마지막으로 개발사가 IP 주소 수집에 관한 문제점을 올바로 인식하는 것이 반드시 필요하다고 생각한다. 그리고 이러한 문제를 불식시킬 근본적인 방법은 사전에 동의를 얻는 것이다.
개인정보 침해 문제 때문에 품질 좋은 프로그램의 가치가 떨어지지 않도록 개발사들이 스스로 주의를 기울여야 한다.
<끝>
* 법무법인 민후 김경환 대표변호사 작성, 마이크로소프트웨어, 디지털데일리(2014. 4. 4.) 기고.
