특허나 디자인 등에는 직무발명 제도가 있다. 이 제도는 특허 등에 기여한 발명자에게 정당한 보상을 제공함으로써 특허발명 등에 대한 인센티브를 이끌고자 하는 제도이다. 직무발명은 직원인 발명자의 당연한 권리로서, 발명자는 직무발명에 대하여 보상금을 청구할 수 있다. 여기서는 실제 직무발명보상금액이 얼마나 되는지 같이 계산해 보고자 한다. 일단 보상금 산정 공식은 상식적이라 할 수 있는데, 아래와 같다. 보상금액 = 직무발명으로 인한 회사의 이익액 X 발명자의 공헌도 X 발명자의 기여율. 우선 '발명자의 기여율'은 여러 발명자가 있는 경우에 의미가 있다. 만일 네 사람이 발명했을 때 특별한 사정이 없으면 각 발명자의 기여율은 25%가 되는 것이다. 다음으로 '발명자의 공헌도'는 직무발명에 관하여 회사의 공헌도를 참고하여 공제하는 것이다. 예컨대 회사가 기존 기술을 제공 또는 연구개발환경, 각종 기자재를 제공하여 발명을 촉진하거나 특허발명 완성 이후 사업화에 기여한 것이 있다면 이 부분은 참고해야 하므로, 이렇게 회사의 공헌도를 공제함으로써 발명자의 공헌도를 결정한다. 그리고 '직무발명으로 인한 회사의 이익액'은 직무발명 특허소송에서 회사가 얻거나 또는 얻을 이익액을 계산하는 것이다. 이게 조금 복잡하다. 직무발명으로 인한 회사의 이익액 = 과거 또는 장래 회사의 매출액 X 직무발명의 기여도 X 가상실시료율 X 독점권 기여율'. ‘과거 또는 장래 회사의 매출액'은 직무발명 특허의 존속기간 동안 회사가 얻거나 또는 얻을 매출액을 의미한다. '직무발명의 기여도'는 매출액 산정의 기초가 되는 제품에서 직무발명이 적용된 부분의 기여도다. 예로 냉장고의 매출액이 1000억원인데, 그중에서 직무발명이 적용된 부분은 전체 냉장고의 10%라면, 직무발명의 기여도는 10%가 되는 것이다. '가상실시료율'이란 제3자에게 실시권을 설정하고 그에 대한 대가로써 실시료를 받을 상황을 가정해 설정한 실시료 요율이다. '독점권 기여율'이란 직무발명을 배타적으로 실시함으로서 얻은 독점적 이익에 직무발명이 얼마나 기여하였는지를 정한 비율이다. 이는 경쟁회사의 대체기술과의 비교, 경쟁회사 대비 매출 증가의 기여 정도, 회사의 시장점유율 등을 기준으로 정한다. 회사 냉장고의 과거 또는 장래 매출액 = 1조원 당해 직무발명인 냉동 장치가 냉장고에서 차지하는 비중 = 20% 가상실시료율 = 2% 독점권 기여율 = 10% 예를 들어 가정적으로 이런 상황이라면, 일단 직무발명으로 인한 회사의 이익액은 4억원이 된다. 회사의 공헌도가 80%라면 발명자의 공헌도 = 20% 발명자가 2명이라면 발명자의 기여율 = 50% 라고 가정하면, 직무발명 보상금은 4000만원이 된다. 따라서 직무발명 사건에서는, 비율 등을 최대한 올려서 보상금을 올리는 작업이 있어야 하고 그에 따라 만족할 만한 결과가 나오기도 하고 그렇지 않은 결과가 나오기도 한다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2018. 8. 8.), IT조선(2018. 12. 27.) 기고.

직무발명 보상금에 대한 관심은 날로 증가하고 있고, 그에 따라 인터넷 검색 등을 통해 직무발명 보상금(특히 실시보상)의 산정방법에 대한 내용에 쉽게 접근할 수 있다. 직무발명 보상금에 대한 관심이 있는 사람이라면 아래와 같은 직무발명 보상금의 산정공식은 이미 접해보았을 것이다. 직무발명 보상금 = ① 사용자 이익액 × ② 발명자 공헌도 × ③ 발명자 기여율 (사용자의 이익액 = Ⓐ 총매출액 × Ⓑ 독점권 기여율 × Ⓒ 가상실시료율) 하지만 위 산정공식이 의미하는 바가 무엇인지 정확히 파악하기란 쉽지 않다. 용어가 생소한데다 판례나 법리 해설 위주의 설명은 비법률가에게 의미가 와 닿지 않기 일쑤다. 이에 이 지면을 기회로 직무발명 보상금의 산정에 대하여 “나름 쉽게” 설명해보고자 한다. 산식을 이루는 각 요소에 대하여 살펴보기 이전에 직무발명 보상금의 의미를 먼저 확인하고자 하는데, 이는 각 요소의 이해에 도움이 될 것이다. 직무발명이란 종업원 등이 그 직무에 관하여 발명한 것이 성질상 사용자 등의 업무 범위에 속하고 그 발명을 하게 된 행위가 종업원등의 현재 또는 과거의 직무에 속하는 발명을 뜻한다(발명진흥법 제2조 제2호). 쉬운 예로 회사의 연구직원이 근무의 결과 고안한 발명을 들 수 있다. 그렇다면 그 연구직원의 발명은 본래 회사의 업무로 예정되어 있는 것이고, 연구직원도 회사의 업무로서 직무상 이를 발명한 것이며, 회사 역시 이를 위하여 연구직원을 채용하고 급여를 지급했을 것이다. 또한 회사는 그 발명을 위하여 프로젝트를 기획하거나, 연구시설 등의 물리적 환경을 제공하거나, 기존 연구결과나 실험결과 등의 노하우를 제공하는 등 다방면의 투자를 하기도 한다. 그렇다면 회사가 그 발명을 실시하는 것은 자연스러운 일로 볼 수 있다. 이에 회사가 “통상의 실시권”을 갖는다는 점은 발명진흥법에도 규정되어 있다(발명진흥법 제10조). 이는 곧 회사의 통상 실시는 회사의 권리이므로 종업원이 그에 대한 보상을 요구할 수 없음을 의미한다고 새길 수 있다. 그렇다면 종업원이 사용자에게 구할 수 있는 직무발명 보상금이란 무엇인가? 통상실시권에 따른 이익은 사용자에게 귀속되므로, 그것이 아닌 이를 초과하는 이익이 바로 직무발명 보상금의 대상이 된다. 즉 단순 실시로 인한 이익이 아닌, 이를 넘어 직무발명의 독점적·배타적 권리에 기하여 사용자가 얻은 이익이 바로 직무발명 보상금의 대상이 되는 사용자의 이익인 것이다(대법원 2009다75178 판결 등 참조). 쉽게 설명하자면 경쟁업체들은 실시하지 못하는 반면 사용자는 이를 독점함으로써 얻게 되는 초과이익을 뜻한다. 종업원의 직무발명 보상금은 이러한 초과이익에 대한 종업원의 공헌을 보상 받는 것이다. 이러한 전제에서 산식을 살펴보면 그 의미를 조금이나마 쉽게 이해할 수 있다. “① 사용자 이익액 × ② 발명자 공헌도 × ③ 발명자 기여율”에서 ① 사용자의 이익액이란 독점적인 초과이익을 뜻한다. 사용자의 통상실시로 인한 이익이 대상이 되지 않는 이유는 살펴본 것과 같다. ② 발명자 공헌도란 그 이익에 기여한 종업원의 공헌 정도를 뜻한다. 앞서 본 것과 같이 회사는 그 직무발명을 위하여 다방면의 투자를 하기도 하며, 또한 독점권의 보장을 위해 특허등록을 하거나 적절한 라이선스 협상을 하는 등의 노력을 기울이기도 한다. 이러한 부분들은 초과이익을 이루는데 들어간 사용자의 공헌이라 볼 수 있으므로, 종업원의 보상금을 산정하는 과정에서는 공제되어야 할 것이다. 이러한 회사의 공헌부분을 공제하는 것이 바로 '발명자 공헌도'이다. ③ 발명자 기여율은 발명자가 여럿인 경우 공동발명자 사이의 지분율로 이해하면 족하다. 직무발명 보상금의 취지를 전제로 보면 ①, ②, ③ 각 요소의 대략적 의미는 이처럼 쉽게 이해가 된다. 그런데 문제가 되는 것은 ① 사용자의 이익의 액수, 즉 초과이익을 과연 “어떻게 계산”하느냐이다. 만약 사용자가 특허권에 기하여 동종사업자에게 실시허락을 하고 로열티(실시료)를 받는 경우가 존재한다면, 그 실시료를 초과이익으로 보는 것은 어렵지 않다. 사용자가 독점권으로 인하여 얻은 이익인 것이 비교적 확실하기 때문이다. 그러나 사용자가 스스로 직무발명을 실시하는 경우, 과연 어디까지가 통상 실시로 인한 이익이고 어디서부터가 초과이익인지 구별해 내기가 쉽지 않다. 이를 구별해 내기 위하여 일반적으로 사용되는 산식이 바로 “Ⓐ 총매출액 × Ⓑ 독점권 기여율 × Ⓒ 가상실시료율”이다. 이 역시 직무발명 보상금의 취지를 고려하여 살펴본다. 먼저 직무발명으로 인하여 사용자가 얻은 총 매출액이 얼마인지 살핀다(Ⓐ 총 매출액). 직무발명으로 인한 매출상승이 존재하더라도 회사의 영업전략 등 여러 사정에 따라 회계상의 영업이익은 그에 미치지 못하는 경우가 있으므로, 수익·비용의 정산 이후에 남는 영업이익 등 회계 상 이익을 보상금의 산정대상으로 삼아서는 안 될 것이다(대법원 2009다75178 판결 등 참조). 따라서 직무발명으로 인한 총 매출액을 산정의 기초로 둔다. 총 매출액에는 통상 실시로 인한 매출이 포함되어 있고, 이 부분은 공제되어야 한다. 이를 공제하기 위하여 독점권에 기한 이익의 비율을 계산해야 하는데, 그것이 바로 “Ⓑ 독점권 기여율”이다. 그 성질상 일관된 기준을 설정하는 것은 불가능에 가깝기 때문에 사실상 직무발명 보상금의 액수를 정하는 것에 핵심적인 요소 중 하나로 작용한다. 판결례를 살펴보면 직무발명이 출원·등록된 이후 매출이 증가한 정도, 시장에서의 지위, 시장점유율, 경쟁제품이나 대체제품의 존재 여부, 직무발명의 기술적 가치, 특허 무효사유의 존재 여부, 사용자의 기술력이나 영업력의 정도 등 독점권에 기여할 수 있는 다양한 요소들을 모두 종합하여 독점권 기여율을 판단하고 있다. 위 과정까지 거치면 직무발명의 독점권으로 인한 매출액이 계산되었을 것이다. 이제 매출액 대비 이익률을 산정하면 최종적인 사용자의 이익이 도출될 것이다. 그 이익률의 산정과정이 바로 “Ⓒ 가상실시료율”을 적용하는 것이다. 과거 라이선스 계약사례가 있는 경우 그것이 참고할만한 기준이 될 수 있을 것이고, 없다면 동일한 기술분야에서 대체로 어느 정도의 실시료율이 적용되는지, 영업이익률은 어떠한지 등의 사정을 종합적으로 고려하여 정하는 수밖에 없을 것이다. 대체로 2~5%의 범위 내에서 정해지는 것으로 보이나 구체적 사안에 따라 달리 결정된다. 직무발명 보상금의 산정방법을 이해하는데 조금이나마 도움이 되었기를 바라본다. * 법무법인 민후 원준성 변호사 작성, 디지털데일리(2023. 2. 6.) 기고.

영업비밀 보호 수단으로 가장 강력한 것 중의 하나가 직원의 전직을 원천적으로 봉쇄하는 ‘전직금지가처분’이다. 이는 직원의 전직을 근본적으로 막는 방법으로 영업비밀 정보를 보호한다. 그러나 이를 두고 헌법상 보장되는 직업의 자유를 침해하는 것이 아닌지와 관련해 많은 논의가 있었다. 이번 호에서는 2012년 실제 반도체업체의 사례(서울고법 2012.5.16.자 2011라1853 결정)를 통해 법원은 전직금지가처분 사건에서 무엇을 고려하고 어떤 식으로 판단을 내리는지 알아보기로 한다. 사례의 주인공인 회사는 반도체 집적회로 제조, 반도체 설계, 반도체 레이아웃(LAYOUT) 등을 목적으로 설립된 곳으로, 반도체 기본설계, 제작, 관리 등의 공정을 거쳐 시스템 반도체를 개발해 S전자 등의 용역을 수행하거나 S전자에 납품을 하고 있는 회사다. 신청인은 2008년 5월 15일 광운대학교 산학협력단과 2008년도 고용계약형 소프트웨어 석사과정 지원 사업 협약을 체결해 전문 인력 수급 및 연구를 진행하기로 했다. 광운대학교 임베디드 소프트웨어 공학과 대학원생이던 피신청인은 2008년 10월 2일 위 석사과정 지원 사업 협약에 따라 대학원 과정을 졸업한 후 신청인 회사에 최소 3년 동안 근무하기로 약정했다. 이후 신청인은 피신청인과 2010년 9월 1일 근로계약을 체결했다. 피신청인은 입사한 후 영업비밀 등에 관해 보호계약을 체결했다. 직업선택의 자유 VS. 기업비밀 보호 이 계약에는 ‘피신청인은 피신청인의 업무가 신청인의 영업비밀과 밀접한 관련이 있기 때문에 신청인의 영업비밀보호를 위해 적어도 퇴직일로부터 1년 동안 신청인의 사전 동의 없이 퇴직일에 신청인이 생산하고 있는 제품과 동일·유사 제품 생산 업체를 스스로 창업하거나 이러한 업체에 취업하지 않는다’라는 전직금지약정 내용이 포함돼 있었다. 피신청인은 신청인 회사의 시스템 반도체 회로배치(LAYOUT) 중 ‘BACKEND’ 업무를 담당하던 중 2011년 5월 경 S전자의 2011년도 상반기 신입사원 채용시험에 응시해 합격했다. 이에 피신청인은 2011년 6월 30일 신청인에게 사직서를 제출해 신청인은 2011년 7월 1일 피신청인을 퇴직 처리했다. 그 후 피신청인은 2012년 2월 27일 반도체를 생산하는 S전자에 입사해 현재까지 근무하고 있다. 신청인은 피신청인이 자신의 영업범위와 같거나 유사한 S전자에 취직함으로써 전직금지약정을 위반했다며 전직금지가처분 신청을 제기했다. 이에 신청인은 피신청인이 전직금지약정에서 정한 전직금지기간인 1년 동안은 신청인과 동일·유사 업체로의 전직이 금지되어야 한다고 주장했다. 피신청인은 신청인 회사에 입사한 후, 주로 신입사원 기초교육을 받아 실제 ‘BACKEND’ 업무를 수행한 것은 5개월 정도에 불과하다고 주장했다. 따라서 피신청인은 신청인의 영업비밀을 알 수 있는 업무에 종사하지 않기에 알지 못하고 ‘FRONTEND CHECKLIST’, ‘BACKEND CHECKLIST’ 등 영업비밀을 출력해 소지했거나 유출하지 않았고 말했다. 더불어 그는 신청인이 보유하고 있는 회로배치 기술이 충분히 일반화된 정보여서 보호가치가 있는 사용자의 이익이 아니라고 이야기했으며, 전직금지약정의 대가로 상당한 연봉이나 특별한 대가를 받은 바 없는 점 등을 들어 신청인의 신청이 기각되어야 한다고 주장했다. 즉 피신청인은 이 전직금지약정이 직업선택의 자유와 근로권을 과도하게 제한하는 것이기에 무효라고 주장하는 것이다. 이에 법원은 여섯 가지 부분을 종합적으로 고려해 피고인이 퇴사 후 1년 동안 전직금지 해야 한다고 판결했다. 첫째, 법원은 ‘보호할 가치 있는 사용자의 이익’을 고려했다 이 사건에서 전직금지약정은 피신청인이 퇴직 후 동종·유사 영업 분야에서 일함으로써 근무 중 알게 된 정보를 이용해 신청인에게 손해를 끼치는 행위를 막기 위한 것으로 볼 수 있다. 따라서 기업의 연구개발을 촉진하고 기업 간의 건전한 경쟁 질서를 유지하기 위해 기업이 많은 시간과 비용을 투자해 이루어 낸 연구개발의 성과가 직원의 전직으로 다른 경쟁업체에 함부로 유출되지 않도록 보호한다는 측면에서 그 목적이 정당하다고 볼 수 있다. 피신청인은 신청인의 ‘ASIC’ 팀에서 설계 프로그램 언어를 설계·작성해 이를 변환시키는 코딩작업을 했다. 작업내용을 ‘LAYOUT’ 팀에 넘기면 ‘LAYOUT’ 팀에서 회로배치 업무를 진행해 반도체에 대한 설계를 마치고 S전자에 생산을 주문·위탁한다. 그 중 회로배치 공정은 시행착오가 많아 검토와 보완의 효율성이 중요하다. 특히 ‘FRONTEND CHECKLIST’, ‘BACKEND CHECKLIST’는 수많은 시행착오를 겪으며 신청인이 만든 사실과 피신청인은 각종 사내 교육, 세미나, 간담회, 사내망(Intranet), 개인 컴퓨터에 보관한 컴퓨터 파일 등을 통해 그 내용을 알 수 있는 지위에 있었던 사실을 인정된다. 이처럼 피신청인이 신청인의 회사 소속 근로자로 일하면서 알게 된 정보는 이번 전직금지약정을 통해 유출되지 않도록 보호할 가치 있는 사용자의 이익에 해당한다. 둘째, 법원은 ‘근로자의 퇴직 전 지위와 직무 내용’을 고려했다 피신청인은 산학협력 과정을 통해 광운대학교 임베디드 소프트웨어 공학과 대학원 석사과정을 졸업해 이에 관한 상당한 전문적인 지식이 있다고 판단된다. 또 법원은 피신청인이 입사 후 각종 교육, 세미나, 회의 등에 참가하고 사내망에 있는 각종 자료를 열람하는 등 신청인의 회로배치 업무와 관련된 기술적 정보를 익힐 수 있었으며, 실제 회로배치 업무에 투입돼 약 5개월 동안 ‘BACKEND’ 업무를 수행한 사실이 인정된다고 판단했다. 따라서 피신청인은 보호할 가치가 있는 사용자의 이익에 해를 가할 가능성이 있는 지위와 업무에 종사했다고 볼 수 있다. 셋째, 법원은 ‘전직금지 기간, 지역 및 대상 직종’을 고려했다 전직금지 기간과 지역 및 대상 직종은 근로자에게 과도한 부담이 되지 않고 사용자 이익 보호를 위해 합리적으로 필요한 범위여야 한다. 이에 대한 합리성 여부는 궁극적으로 사용자와 근로자 및 공공 이익의 비교 형량으로 결정되어야 한다. 이 사건은 협약에 따라 신청인이 자금을 지원한 기간, 피신청인이 약정한 의무 근무 기간, ‘FRONTEND CHECKLIST’, ‘BACKEND CHECKLIST’ 등을 만들기 위해 신청인이 투여한 비용과 노력 정도, 신청인이 이 사건 협약으로 지원한 자금 규모, 피신청인이 전문적 지식을 활용해 다른 반도체 업체에 취업할 가능성 등을 종합해 보면, 퇴직일로부터 1년이라는 이 사건의 전직금지약정 기간은 과도하다고 볼 수 없다. 다만 이 사건 전직금지약정은 유사한 제품을 생산하는 업체까지의 취업을 금지하고 있으나, ‘유사한 제품’의 범위가 불명확하므로 대상 직종의 범위를 엄격하게 한정해 해석할 필요가 있다. 넷째, 법원은 ‘근로자에 대한 대가의 제공 유무’를 고려했다 신청인이 협약에 따라 광운대학교 산학협력단에 3,600만 원을 지원했고, 이를 통해 피신청인에게 29,991,000원이 전달된 사실이 인정됐다. 신청인이 피신청인의 고용을 보장해 실제 사원으로 고용했다면 급여와 복지수준에 이견이 있다고 하더라도 전체적으로 1년 동안 전직을 금지하는 대가는 지급된 것으로 볼 수 있다. 다섯째, 법원은 ‘근로자의 퇴직 경위’를 고려했다 사용자 측의 귀책사유로 근로관계가 종료된 것이라면 이 전직금지약정이 유효하다고 보기 힘들겠지만 피신청인이 S전자에 취업하기 위해 신청인과의 3년 의무 근무계약을 위반하고 스스로 퇴직한 것이기에 이번 사건의 전직금지약정은 효력이 없다고 보기 어렵다. 여섯째, 법원은 ‘공공의 이익 및 기타 사정’을 고려했다 전직금지약정이 비록 직업선택의 자유, 근로권을 제한하는 측면이 있다. 그러나 이번 사건은 피신청인이 대학원 졸업 전 취업이 보장된 업체로부터 경제적 지원을 받는 대가로 해당 업체에 일정 기간 근무하기로 스스로 선택한 것이다. 신청인과 같은 중소기업이 우수인력 확보를 위해 산학협력을 체결해 대학원에 연구비를 제공하고 기술적 지원을 했음에도 근로자가 계약기간을 위반하고 더 좋은 조건을 제시하는 다른 경쟁기업으로 쉽게 전직할 수 있도록 허용한다면 사용자, 대학교, 근로자 모두에게 이익이 될 수 있는 산학 협동 과정이 부실하게 될 염려가 있다. 이 사건 협약에 따라 신청인 회사에 고용된 대학원생 중 피신청인을 제외한 나머지 3명은 현재까지 계속 신청인의 회사에 근무하고 있다. 이번 사건은 전직금지약정이 체결된 경우고, 그 기간이 1년이었다. 법원은 최종적으로 ①전직금지약정 자체의 유효성 ②기간의 적절성, ③전직금지의 대상범위를 결정하기 위해 보호할 가치 있는 사용자의 이익, 근로자의 퇴직 전 지위와 직무 내용, 전직금지 기간, 지역 및 대상 직종, 근로자에 대한 대가의 제공 유무, 근로자의 퇴직 경위, 공공의 이익 및 기타 사정의 6가지 요소를 고려했다. 이번 사안은 전직금지약정이 있는 경우지만 전직금지약정이 없는 경우라면 법원의 고려 사유가 더 엄격해 질 수 있다. 그리고 실무적으로 전직금지가처분 신청 이후 법원의 판단 기간이 통상 5개월에서 6개월 정도 소요되기에 퇴사 직후 전직금지가처분 신청을 해야만 가처분 신청의 실효성이 보장될 수 있다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2015. 2. 3.), Security World 2015년 2월호(217호) 기고.

생체실험을 연상시키는 생체정보는 명칭에 대한 거부감에도 불구하고 우리 삶에 이미 가까이 와 있다. 삼성전자는 갤럭시 노트7에 홍채 인식 시스템을 탑재하였고, 금융권은 생체정보를 이용한 금융거래서비스 제공을 시작하며 그 확산에 박차를 가하고 있다. 사실 생체정보란 용어는 일반적인 법적 용어는 아니다. 전자금융거래법에는 접근매체의 한 유형으로 ‘생체정보’란 용어를 쓰고 있지만, 개인정보보호법령 등에서는 ‘바이오정보’라는 표현이 더 많이 쓰이고 있다. 이렇듯 용어조차도 법적으로 정립이 되어 있지 않은 상황이다. 생체정보는 기억이나 보유를 할 필요가 없어 편의성이 극대화되지만 고유성(uniqueness)을 가지고 있고 유출시 심각한 문제를 초래할 수 있다. 때문에 비밀번호, OTP 등과 같은 통상적인 인증수단보다는 훨씬 더 강력한 안전성 확보 수준을 유지하여야 한다. 안전성 확보 수준을 유지하는 방법으로는 기술적인 조치와 규범적인 조치가 있다. 기술적인 조치로 거론되는 것으로는, 생체정보를 서버에 저장하지 않고 단말기에 저장하는 FIDO(Fast Identity Online) 방식이나 금융결제원이 추진하는 '금융권 생체정보 분산관리' 등이 있다. 법적으로 강제되고 있지는 않으나 원본정보를 파기하고 보관하지 않는 조치도 매우 바람직한 기술적 조치로 평가된다. 하지만 규범적 조치에 대하여는 고려가 극히 미미한 상황이다. 규범적 조치에 일부 반산업적 규제가 포함될 수 있지만, 그렇다고 하여 기술적 조치만으로 안전성 확보를 완성할 수 있다고 생각하는 것은 어불성설이다. 규범적 조치의 정비가 시급하다는 전제 하에 몇 가지 고려사항을 제시하고자 한다. 첫째, 용어의 정립이 필요하다. 이미 설명했듯이 금융권에서는 ‘생체정보’란 용어를 사용하고 있다. 전자금융거래법 제2조 제10호에서 이용자의 생체정보를 접근매체의 하나로 칭하고 있기 때문이다. 하지만 비금융권에서는 ‘바이오정보’란 용어가 일반적이다. 행정자치부의 안전성확보조치 기준이나 방송통신위원회의 기술적ㆍ관리적 보호조치 기준이 대표적인 예이다. 다만 한국인터넷진흥원 정보보호산업지원센터에서는 ‘바이오인식정보’라는 용어를 사용하고 있다. 국회 보고서에서는 ‘생체인식정보’라는 용어를 사용하기도 하였다. 용어의 통일이 필요하다. 각 영역에서 같은 대상을 다르게 호칭할 필연적인 이유가 존재하지 않는다. 둘째, 바이오정보와 바이오인식정보의 구별이 필요하다. 이 문제는 첫 번째 쟁점과도 밀접한 관련이 있다. 현재 우리법은 biometrics와 biometric data를 구별하지 않고 있다. 하지만 선진국에서는 이 두 용어를 구별하여 사용하고 있다. 예컨대 미국 NTSC(국가과학기술위원회)에서는 biometrics는 자동인식에 사용될 수 있는 생물학적 또는 행동적 특징이지만, biometric data는 식별 또는 인증 등의 자동인식 과정에서 생성되는 원본정보, 특징정보 등의 모든 형태의 정보로 정의하고 있다. 국제생체인식협회(IBIA)도 마찬가지이다. 또 다른 예로, EU GDPR 제4.14조에서도 데이터처리 과정에서 생성되는 biometric data를 정의하면서, 특징에 해당하는 biometrics와 간접적으로 구별하고 있다. 한 개인의 생체적 특징 자체와 데이터처리 과정에서 생성되는 정보는 구별할 수 있고, 구별하는 것이 타당하다. 하지만 우리 법은 예컨대 아래와 같이 biometrics와 biometric data를 구별하지 않고 단지 생체정보 또는 바이오정보라고 정의하고 있다. 우리법의 생체정보 또는 바이오정보가 biometrics와 biometric data 중 어떤 것을 의미하는지도 알 수 없게 되어 있다. 안전성확보조치 기준 제2조 제16호 “바이오정보”란 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인을 식별할 수 있는 신체적 또는 행동적 특징에 관한 정보로서 그로부터 가공되거나 생성된 정보를 포함한다. biometrics와 biometric data를 구별하는 것이 필요하다. 전자는 특정 개인의 생체적 특징 자체를 말하는 것이라면, 후자는 biometrics의 식별 또는 인증 처리 과정에서 생성되는 정보를 의미하며, 전자는 반드시 식별 또는 인증 절차와 관련이 있는 것은 아니지만, 후자는 식별 또는 인증 절차와 밀접한 관련이 있다. 예컨대 단순한 얼굴사진이 있다면 이는 biometrics에는 해당하지만 biometric data에 해당하지 않는다. 하지만 우리 법에 따르면 얼굴사진은 생체정보 또는 바이오정보에 해당한다. biometrics와 biometric data를 구별하는 것이 타당하다면, 양자를 고려한 명칭 부여를 고려하여야 한다. 양자를 묶어서 생체정보 또는 바이오정보로 통칭하는 것을 피하고, biometrics를 바이오정보라고 칭한다면 biometric data는 바이오인식정보로 칭하는 것도 하나의 방안으로 보인다. 셋째, 생체정보에 대한 보안성 강화가 필요하다. biometrics와 biometric data의 구별은 이 문제 즉 양자의 법적 지위의 차별적 부여와 밀접한 관련이 있다. 현재 우리 법은 생체정보 또는 바이오정보를 일반적인 개인정보와 동등하게 취급하고 있다. 예컨대 개인정보보호법은 ‘주민등록번호 → 민감정보ㆍ고유식별정보 → 일반개인정보ㆍ바이오정보’ 순서로 보호수준을 달리하고 있다. 즉 바이오정보를 민감정보보다도 낮게 취급하고 있으며 주소 등의 일반적인 개인정보와 똑같이 취급하고 있다. 고유성이 있어 일생을 두고 변경이 불가능한 바이오정보를 일반적인 개인정보와 동등하게 취급하고 있고, 민감정보(사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보)보다도 더 낮게 보호하고 있다는 점은 상식적으로 이해가 되지 않는 부분이다. 사실상 이 문제는 biometrics와 biometric data의 구별 불비에도 그 원인이 있다. 단순한 얼굴사진은 전자에 해당하지만, 얼굴정보를 전자적으로 수집하여 식별 또는 인증 과정에 활용하는 경우에는 후자로 취급하여야 함에도 불구하고, biometrics와 biometric data를 구별하지 않은 우리 법에서는 이러한 법적 지위의 차별적 부여를 할 수 없기 때문이다. 결론적으로 biometrics와 biometric data의 구별을 전제로, biometrics는 일반적인 개인정보로 취급하여도 되지만, biometric data는 민감정보 또는 그 이상의 규범적 보호를 취하는 것이 타당하다. 넷째, biometric data에 대한 보안조치의 의무화가 필요하다. 한번 유출되면 치명적인 피해로 이어질 수 있는 biometric data에 대한 보안조치의 상향조정이 요구된다. 현행법과 같이 biometrics와 biometric data를 구별하지 않는 상황이라면 보안조치의 상향화가 많은 문제를 낳을 수 있지만, biometrics와 biometric data를 구별하는 것을 전제로 한다면 후자에 대한 보안조치 상향화는 규제 측면에서 그 부작용을 최소화할 수 있다. biometric data에 대한 보안조치 상향화의 대표적인 예로는 원본정보의 파기, 원본정보ㆍ특징정보의 분리보관 등의 조치가 있을 수 있다. biometric data 이용에 대한 많은 우려가 있지만 보안조치의 규범화는 전혀 진전이 되지 않고 있는 상황이다. 최소한의 보안조치는 규범적으로 구비되어야 할 것이다. 생체정보의 이용확대는 피할 수 없는 추세이며 그로 인한 피해도 피할 수 없을 것이다. 이를 방지하고 그 피해를 최소화하기 위하여, 생체정보의 활용 확산에 따른 규범 정비가 시급하며 최소한의 보안조치 구비도 필수적이다. 개인정보 보호는 기술적으로는 완성할 수 없고, 규범적인 대책도 수반되어야 한다. 생체정보 분야의 규범 선진화를 통한 개인정보 보호가 절실한 상황이다. * 법무법인 민후 김경환 대표변호사 작성, 디지털데일리(2016. 10. 25.), 리걸인사이트(2016. 10. 26.), 블로그(2016. 11. 4.) 기고.

아프리카 TV, 유튜브, 트위치 등 온라인 플랫폼을 통한 개인들의 인터넷 방송은 이제 기존 방송국의 영상 콘텐츠를 대체하는 수준에 이른 것으로 보인다. 개인 인터넷 방송을 통하여 크리에이터(방송 송출인)은 녹화된 형태로 시청자(방송 수신인)에게 영상을 송신하거나, 실시간으로 시청자들과 댓글로 소통하며 영상을 송신하고 그들과 대화를 이끌어 나간다. 그렇다면 이러한 개인 인터넷 방송을 해당 크리에이터의 허락을 받지 않고 녹음하는 등 그 내용을 지득·체득하는 것은 불법에 해당할까? ◆ 통신비밀보호법과 불법 감청 통신비밀보호법(이하 '통비법'이라 한다) 제2조에 의하면 '전기통신'이란 유선․무선․광선 및 기타의 전자적 방식에 의하여 모든 종류의 음향․문언․부호 또는 영상을 송신하거나 수신하는 것을 말하고(제2호), '감청'이란 전기통신에 대하여 당사자의 동의 없이 전자장치․기계장치 등을 사용하여 통신의 음향․문언․부호․영상을 청취․공독하여 그 내용을 지득 또는 채록하거나 전기통신의 송․수신을 방해하는 것을 말한다(제7호). 그리고 통비법 제3조 제1항은 누구든지 이 법과 형사소송법 또는 군사법원법의 규정에 의하지 아니하고는 우편물의 검열ㆍ전기통신의 감청 또는 통신사실확인자료의 제공을 하거나 공개되지 아니한 타인 간의 대화를 녹음 또는 청취하지 못한다고 규정하여, 전기통신의 감청을 엄격히 제한하고 있다. 위 제3조의 규정에 위반하여 불법 감청 등을 하거나 그 통신의 내용을 공개하거나 누설한 자는 통비법 제16조 제1항에 의거하여 1년 이상 10년 이하의 징역과 5년 이하의 자격정지에 처할 수 있으며, 불법감청에 의하여 지득 또는 채록된 전기통신의 내용은 통비법 제4조에 의거하여 재판 또는 징계절차에서 증거로 사용할 수 없다. 다만 판례는 이때의 ‘전기통신의 감청’을 전기통신에 대하여 그 당사자인 송신인과 수신인이 아닌 제3자가 당사자의 동의를 받지 않고 전자장치 등을 이용하여 통신의 음향·문언·부호·영상을 청취·공독하여 그 내용을 지득 또는 채록하는 등의 행위를 하는 것을 의미한다고 보아, 전기통신 당사자 일방이 상대방과의 송수신 내용을 녹음하는 것은 블법 감청이 되지 않는다고 본다(대법원 2008.10.23. 선고 2008도1237 판결 등 참조). 반면 전기통신의 송신인과 수신인이 아닌 제3자의 경우는 설령 당사자 일방의 동의를 받고 그 통신의 음향․영상을 청취하거나 녹음하였다 하더라도 그 상대방의 동의가 없었던 이상, 사생활 및 통신의 불가침을 국민의 기본권의 하나로 선언하고 있는 헌법규정과 통신비밀의 보호와 통신의 자유 신장을 목적으로 제정된 통신비밀보호법의 취지에 비추어 이는 통신비밀보호법 제3조 제1항 위반이 된다(대법원 2022. 10. 27. 선고 2022도9877 판결, 대법원 2002. 10. 8. 선고 2002도123 판결 등 참조). ◆ 인터넷 개인 방송은 비밀번호 설정 등 전체 공개 여부가 중요 인터넷 개인 방송을 녹음하는 경우에 관하여 최근 대법원은, 인터넷개인방송의 방송자가 비밀번호를 설정하는 등 그 수신 범위를 한정하는 비공개 조치를 취하지 않고 방송을 송출하는 경우, 누구든지 시청하는 것을 포괄적으로 허용하는 의사라고 볼 수 있으므로, 그 시청자는 인터넷개인방송의 당사자인 수신인에 해당하고, 이러한 시청자가 방송 내용을 지득․채록하는 것은 통신비밀보호법에서 정한 감청에 해당하지 않는다고 판시하였다(대법원 2022. 10. 27. 선고 2022도9877 판결). 즉 인터넷 개인 방송자가 방송의 시청자를 특정인으로 제한하지 않은 이상, 해당 인터넷 방송은 누구든지 시청할 수 있는 것이며, 그 시청자는 전기통신의 당사자로서 위 방송을 녹음하더라도 불법감청이 아니라는 것이다. 반면 인터넷개인방송의 방송자가 비밀번호를 설정하는 등으로 비공개 조치를 취한 후 방송을 송출하는 경우에는, 방송자로부터 허가를 받지 못한 사람은 당해 인터넷개인방송의 당사자가 아닌 '제3자'에 해당하고, 이러한 제3자가 비공개 조치가 된 인터넷개인방송을 비정상적인 방법으로 시청․녹화하는 것은 통신비밀보호법상의 감청에 해당할 수 있다고 판시하였다. ◆ 원치 않은 시청자가 방송에 접속해 있다는 걸 알았다면 즉시 방송을 중단하거나 강퇴조치 하여야 다만 대법원은, 방송자가 이와 같은 제3자의 시청․녹화 사실을 알거나 알 수 있었음에도 방송을 중단하거나 그 제3자를 배제하지 않은 채 방송을 계속 진행하는 등 허가받지 아니한 제3자의 시청․녹화를 사실상 승낙․용인한것으로 볼 수 있는 경우에는 불특정인 혹은 다수인을 직ㆍ간접적인 대상으로 하는 인터넷개인방송의 일반적 특성상 그 제3자 역시 인터넷개인방송의 당사자에 포함될 수 있으므로, 이러한 제3자가 방송 내용을 지득ㆍ채록하는 것은 통신비밀보호법에서 정한 감청에 해당하지 않는다고 보았다. 비록 인터넷 개인 방송이 비공개 또는 비밀번호가 설정되어 특정 시청자만이 시청할 수 있는 방식으로 송출되더라도, 그 방송인이 허가되지 않은 시청자의 시청 사실이나 방송 접속사실을 알거나 알 수 있는 상황에서도 방송을 중단하거나 어떠한 조치를 취하지 않은 채 방송을 계속하였다면, 비록 그 시청자가 우회적인 방법 내지는 허용되지 않은 방법으로 개인 방송에 접속하여 그 내용을 녹음하더라도 이를 통비법 위반으로 볼 수는 없다는 것이다. * 법무법인 민후 전수인 변호사 작성, 디지털데일리(2023. 1. 9.) 기고.

최근 수사기관에 타인의 개인정보를 제출한 사안에 관한 두 가지 대법원 판결이 선고됐다. 그동안 고소인 입장 또는 피의자 입장에서 타인의 개인정보를 별다른 검토 없이 수사기관에 제출하는 관행이 있었지만 이러한 관행에 제동을 거는 판결이라 할 수 있다. 첫 대법원 판결(대법원 2022. 11. 10. 선고 2018도1966 판결)은 고소인 A가 조합 퇴사 시 업무상 알게 된 조합장의 개인정보를 형사고발장에 첨부해서 제출한 사안이다. 이 사안에 대해 원심은 고소·고발에 수반해서 수사기관에 개인정보를 알려주는 행위는 개인정보보호법 제59조 제2호(업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위)의 '누설'에 해당하지 않는다고 판시했다. 그 이유에 대해 원심은 수사기관이 개인정보 주체의 사생활을 침해할 개연성이 없기 때문이라고 판시했다. 그러나 대법원 입장은 달랐다. 대법원은 개인정보보호법 제59조 제2호의 '누설'은 아직 개인정보를 알지 못하는 타인에게 알려주는 일체의 행위를 의미하기 때문에 정보 주체의 동의를 받지 않고 고소·고발장에 타인의 개인정보를 첨부해서 개인정보를 제출한 행위는 개인정보보호법 제59조 제2호에 해당한다고 판단했다. (다만 대법원은 이 행위에 위법성 조각사유가 있는지는 별개의 검토가 필요하다고 보았는바, 결국 고소·고발장에 타인의 개인정보를 첨부해 개인정보를 제출한 행위가 개인정보보호법 제59조 제2호에 해당한다는 전제 하에 사회상규 등의 위법성 조각사유가 있는지 여부가 개별 사안별로 중요한 쟁점이 될 것으로 보인다.) 두 번째 대법원 판결(대법원 2022. 10. 27. 선고 2022도9510 판결)은 특정 단체에 소속된 피의자 신분의 B가 타인의 입당원서를 작성자의 동의 없이 임의로 수사기관에 제출한 사안이다. 이 사안에 대해 대법원은, B가 타인의 입당원서를 작성자의 동의없이 임의로 수사기관에 제출한 것은 개인정보보호법 제18조의 개인정보의 목적 외 이용 또는 목적 외 제공이라는 전제 하에, 형사소송법 제199조 제2항(수사에 관하여는 공무소 기타 공사단체에 조회하여 필요한 사항의 보고를 요구할 수 있다)과 같이 수사기관이 공무소 기타 공사단체에 조회하여 필요한 사항의 보고를 요구할 수 있는 포괄적인 규정은 개인정보보호법 제18조 제2항 제2호가 규정한 개인정보의 목적 외 이용·제공 허용사유(다른 법률에 특별한 규정이 있는 경우)에 해당하지 않고, 오히려 B의 행위는 개인정보보호법 제59조 제2호가 금지한 행위이므로, B가 수사기관에 제출한 입당원서는 위법수집증거로서 증거능력이 없다고 판시했다. 대법원 판시 내용에 따르면 수사기관은 형사소송법 제199조 제2항(또는 같은 내용의 경찰관직무집행법 제8조 제1항)에 근거하여 고소인 또는 피의자·참고인 당사자가 아닌 타인의 개인정보를 임의로 받을 수 없다. 그렇다면 특정 당사자로부터 당사자 외 타인의 개인정보를 임의로 받기 위해서는 그 타인, 즉 정보 주체의 동의를 얻거나 법원으로부터 영장을 발부받아 처리하여야 한다. 다만 공공기관은 이러한 제약이 없다. 위 판시는 포괄적인 규정이 개인정보보호법 제18조 제2항 제2호의 사유에 해당하지 않는다는 것인데, 같은 항 제7호는 공공기관에 한하여 '범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우'에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 처리하는 개인정보를 수사기관에 제공할 수 있도록 별도의 법적 근거를 마련해 두고 있기 때문이다. 또한 개인정보처리자나 개인정보취급자(였던 자 포함)에 해당하지 않는 일반 개인의 경우에도 이러한 제약이 없다. 이러한 경우에는 개인정보보호법 자체가 적용되지 않기 때문이다. 따라서 민간기업이나 민간단체 등으로서 개인정보보호법이 적용되는 개인정보처리자 또는 개인정보취급자(이던 자)의 경우에는 앞의 대법원 판결을 유념해서 수사기관에 타인의 개인정보를 제공하거나 수사기관의 타인 개인정보 제출 요청에 대응해야 한다. 구체적인 대응 방안은 다음과 같다. 첫째 수사기관에 타인(이용자, 회원, 임직원 등)의 개인정보를 제출하는 경우에는 법적 근거가 있는지를 따져 보아야 한다. 다만 대법원의 판시 내용에 따르면 형사소송법 제199조 제2항은 이러한 근거가 될 수 없다. 예컨대 전기통신사업법 제83조(대법원 2013다105482 판결 또는 헌법재판소 2022헌마126 결정 참조)나 통신비밀보호법 제13조(헌법재판소 2012헌마191 결정 참조) 등이 이러한 근거가 될 수 있는데, 그러나 대부분의 민간기업이나 민간단체 등의 경우에는 이러한 근거가 없는 게 현실이고, 전기통신사업법 제83조나 통신비밀보호법 제13조 등도 그 대상이 한정적이므로 해당 사업자라고 하더라도 그 대상에 해당하는지에 대한 면밀한 검토가 필요하다. 둘째 타인의 개인정보를 수사기관에 제출하는 법적 근거가 없다면 그 타인, 즉 정보 주체의 동의를 얻어야 한다. 이것도 어려우면 결국 영장에 의하여 타인의 개인정보 확보를 집행해야 한다. 대부분의 경우 정보주체의 동의를 얻기 어려울 것인바, 타인의 개인정보를 마스킹 처리하는 방식도 상황에 따라서는 생각해 볼만하다. 셋째 제출에 관한 명문의 법적 근거, 정보 주체의 동의, 법원이 발부한 영장의 절차가 결여된 상태에서 타인의 개인정보가 제출되면 오히려 제출자가 정보 주체의 개인정보자기결정권을 침해하는 것이 되어 개인정보보호법 제59조 제2호에 의하여 형사처벌되거나 설령 수사기관에 제출되고 유죄 증거로 법정에 제출된다 하더라도 위법수집증거로 증거 능력이 인정받지 못할 수 있다. 다만 개인정보보호법 제59조 제2호 형사처벌과 관련해서는 사안에 따라 위법성 조각 사유를 주장할 여지는 있다. 이상 대법원의 2022년 10월 27일과 11월 10일 2개 판결은 완전히 새로운 내용이라기보다는 개인정보보호법 제18조 제2항 제2호의 적용 범위를 엄격하게 해석하고 개인정보보호법 제59조 제2호의 범위를 명확히 함으로써 고소인이나 피의자 등의 지위에서 행해지는 타인 개인정보의 수사기관 제출에 대하여 적법 절차 또는 분별적인 처리가 달성되어야 함을 확인한 것으로 볼 수 있다. * 법무법인 민후 김경환 변호사 작성, 블로그(2022. 12. 9.), 전자신문(2023. 1. 3.) 기고.

개인주택 내부에 CCTV를 설치할 때도 법령상의 의무를 준수해야 하나요? 개인정보보호법령상의 CCTV 관련 규정은 공개된 장소에서 설치·운영되는 CCTV에 한해 적용되는 바, 개인주택 내부는 공개된 장소가 아니므로 원칙적으로 CCTV에 관한 법령상의 의무 규정이 적용되지 않습니다. 그래서 개인영상정보에 관한 기술적·관리적 보호조치, 안내판 설치, 영상정보처리기기 운영·관리지침 등의 이행의무가 없습니다. 다만, CCTV 각도가 개인주택 외부로 되어있어 외부 통행자의 영상을 수집하는 경우에는 그 범위에서 CCTV에 관한 법령상의 의무 규정이 적용된다. 때문에 CCTV를 설치할 때 외부의 정보가 수집되지 않도록 각도 설정에 특히 유의해야 합니다. 참고로 택시가 아닌 개인자가용 차량 내부의 CCTV도 공개되지 않은 폐쇄된 장소에 설치된 CCTV이기 때문에 개인주택 내부의 CCTV와 마찬가지로 원칙적으로 CCTV에 관한 법령상의 의무가 적용되지 않습니다. 회사 내부의 근로자 모니터링을 위해 CCTV를 설치할 수 있나요? 근로자 참여 및 협력증진에 관한 법률 제20조 제1항 제14호에 의하면, 사업장 내 근로자 감시 설비의 설치에 대해 근로자와 사용자로 구성되는 노사협의회에서 협의할 수 있다고 돼 있기 때문에 회사 내부의 근로자 모니터링이 위법은 아닙니다. 따라서 기업의 사용자는 회사 내부에 근로자 모니터링 목적으로 CCTV를 설치할 수 있습니다. 더불어 CCTV가 설치된 회사 내부가 일반인에게 공개된 장소가 아니라면 개인주택의 경우처럼, CCTV에 관한 법령상의 의무규정이 적용되지 않습니다. 다만, 회사 내부의 근로자 모니터링을 위한 CCTV라도 개인정보를 수집하기 때문에 촬영 범위에 있는 모든 사람들의 동의를 얻어야 하며, 만일 CCTV가 설치된 회사 내부의 장소가 일반인의 출입이 잦은 곳이라면 공개된 장소로 보아야 할 것이므로 CCTV에 관한 법령상의 의무 규정이 적용됩니다. 백화점 매장 안에 여러 대의 CCTV를 운영 중인데, 이 경우 CCTV마다 안내판을 설치해야 하나요? 건물 안에 여러 대의 CCTV를 설치하고 운영하는 경우, 출입구 등 사람들에게 잘 노출되는 곳에 해당 건물 안에 여러 대의 CCTV가 운영되고 있다는 내용으로 안내판을 설치하면 되고, CCTV마다 별도의 안내판을 설치할 필요는 없습니다. 다만, 출입구가 여러 군데에 있어서 사람들의 동선이 일치하지 않은 경우에는 동선을 고려해 출입구마다 별도로 안내판을 설치하는 것이 바람직합니다. 과속 감시 CCTV의 경우에는 안내판이 존재하지 않는데, 이것은 위법이 아닌가요? 공공기관이 원거리 촬영, 과속·신호위반 단속 또는, 교통흐름조사 등의 목적으로 영상정보처리기기를 설치하는 경우로서 개인정보 침해의 우려가 적은 경우 또는, 산불감시용 영상정보처리기기를 설치하는 경우 등 장소적 특성으로 인해 안내판을 설치하는 것이 불가능하거나 안내판을 설치하더라도 정보주체가 쉽게 알아볼 수 없는 경우에는 안내판 설치를 갈음해 영상정보처리기기 운영자의 인터넷 홈페이지에 게재할 수 있습니다. 따라서 과속 감시 CCTV 주위에 안내판이 존재하지 않더라도 인터넷 홈페이지에 안내 내용이 게시된 경우에는 CCTV에 관한 법령 위반이 되지 않습니다. 참고로 인터넷 홈페이지가 없는 경우에는 일반 일간신문, 일반 주간신문 또는, 인터넷 신문에 동일한 내용을 게재할 수도 있습니다. 그리고 군사시설, 국가중요시설, 보안목표시설에는 안내판을 설치하지 않아도 됩니다. CCTV로 녹음도 가능한가요? 택시 내부에 CCTV를 설치하면서 동시에 취객이나 승객과의 요금 분쟁을 미연에 방지하기 위해 녹음기능도 활성화시키는 경우가 있습니다. 하지만 이러한 행위는 법령 위반에 해당합니다. CCTV는 어떠한 경우에도 녹음을 해서는 안 됩니다. 택시 등의 내부에 꼭 녹음을 하고 싶다면, CCTV 영상장치와는 별도의 녹음기 등의 장치를 설치·이용해야 하며, 택시기사 스스로가 대화자인 경우에만 녹음이 가능합니다. 나아가, CCTV 사용에 대해는 반드시 승객들의 시선이 잘 미치는 곳에 미리 공지해야 하며, 불가피하게 별도의 녹음기를 사용해야 할 경우에는 이 또한 미리 공지하는 것이 바람직합니다. 범죄현장이 찍힌 아파트 CCTV 영상자료를 피해주민 또는, 수사기관에게 제공해도 되나요? 아파트 관리소가 CCTV 영상자료를 피해주민에게 제공하는 것은 금지되지만, CCTV 영상자료에 찍힌 정보주체의 동의가 있는 경우에는 가능합니다. 또한, CCTV 영상자료를 수사기관에 제공하는 것은 허용됩니다. 이 경우에도 법원이 발부한 영장이 있어야 하는 것이 원칙입니다. 다만, 정보주체나 제3자의 급박한 생명, 신체, 재산상 이익을 위해 필요한 경우에는 영장이 없이 제공할 수 있는 바, 범죄현장에 관한 것이라면 형사소송법 또는, 경찰관직무집행법상 수사기관의 협조요청만으로도 정보주체의 동의 없이 CCTV 영상자료를 제공할 수 있습니다. CCTV 영상자료를 제3자에게 제공하는 경우에도 사전에 점검해 필요한 최소한의 범위에 한해 제공해야 합니다. 버스 안의 지갑 소매치기를 잡기 위해 피해자에게 CCTV 영상자료의 열람을 허락해도 되나요? 정보주체가 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는, 제3자의 급박한 생명, 신체, 재산의 이익을 위해 필요하다고 인정되는 경우에는 정보주체의 동의 없이 개인영상정보의 열람을 허락할 수 있습니다. 때문에 버스 안의 소매치기를 잡기 위해 피해자에게 CCTV 영상자료를 보여주는 경우는 정보주체가 의사표시를 할 수 없는 상태이거나 주소불명 등으로 사전 동의를 받을 수 없고, 나아가 급박한 재산의 이익을 위해 필요한 경우이므로 정보주체의 동의 없이도 피해자에게 CCTV 영상자료의 열람을 허락해도 됩니다. 다만, 이러한 경우라도 사전에 미리 점검해 필요한 최소한의 범위 내에서만 열람을 허락해야 하고, 불필요한 영상이 노출되지 않도록 주의를 기울일 필요가 있습니다. CCTV 관리 및 영상자료 관리를 위탁했는데, 수탁자의 직원이 이를 유출하였을 경우 위탁자는 법적 책임을 지나요? 개인영상자료의 수집 및 관리를 위탁하는 경우 위탁업무 수행 목적 외의 개인영상정보의 처리금지 등의 사항이 문서로서 작성돼야 하며, 수탁자에 대해 위탁자는 안전처리 여부를 항상 관리·감독해야 합니다. 나아가 수탁자가 위탁받은 업무와 관련해 개인영상정보를 처리하는 과정에서 개인정보보호법령을 위반해 발생한 손해배상책임에 대해는 수탁자를 개인정보처리자의 소속 직원으로 보기 때문에, 수탁자가 잘못한 경우뿐만 아니라 수탁자 아닌 수탁자의 직원이 잘못했다 하더라도 위탁자도 정보주체에 대해 법적 책임을 부담합니다. CCTV 영상자료는 며칠이나 보유하고 있어야 하나요? CCTV를 통해 얻은 개인영상정보는 수집 이후 30일 이내에 파기하거나 삭제해야 합니다. 다만, 법령에 특별한 규정이 있는 경우나 개인영상정보를 수사나 재판 자료로 제공하는 경우, 혹은 기타 정당한 이유가 있는 경우에는 기간을 초과할 수 있습니다. 기타 정당한 이유가 있는 경우로는 CCTV 설치목적 등 설치자의 특성에 따라 CCTV 영상자료 보관목적 달성을 위해 필요한 최소한의 기간이 30일을 초과하는 경우를 들 수 있습니다. 이 경우에는 영상정보처리기기 운영·관리지침에 사전에 이러한 내용이 반영돼 있어야 합니다. 네트워크 카메라를 설치·운영하고 있는 소규모 카페의 주인인데, 이 경우에도 개인영상정보에 대한 안전성 확보조치를 모두 이행해야 하나요? 상시근로자 수가 광업·제조업·건설업 및 운수업의 경우 10인 미만, 그 밖의 업종의 경우 5인 미만인 사업장에 대해는 안전성 확보조치 중에서 내부관리계획 수립의무가 면제됩니다. 따라서 상시근로자수가 5인 미만인 카페라면 내부관리계획의 수립은 하지 않아도 됩니다. 다만, 내부관리계획의 수립의무만이 면제되므로, 개인영상정보 안전성 확보에 관한 접근 통제 및 접근 권한의 제한 조치, 개인영상정보를 안전하게 저장·전송할 수 있는 기술의 적용, 처리기록의 보관 및 위조·변조 방지를 위한 조치 등은 취해야 합니다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 5. 1.), Security World 2013년 5월호(196호) 기고.

대부분의 병원·의료기관은 의료정보시스템(HIS, Hospital Information System)을 갖추어 처방전달(OCS), 임상병리정보처리(LIS), 영상저장전달(PACS), 전자의무기록(EMR), 원무관리, 일반관리, 경영정보관리 등을 하고 있다. 의료정보시스템 중에서 핵심은 의사 진료처방을 자동으로 각 부서에 전달해주는 처방전달시스템(OCS:Order Communication System), 진료처방을 이용해 각종 검사장비의 검사결과를 자동으로 입력하고 통보해 주는 임상병리정보시스템(LIS:Laboratory Information System), 방사선 촬영 영상 및 판독결과를 입력하고 통보해 주는 의료영상저장전달시스템(PACS: Picture Archiving and Communication System), 이 과정에서 생성되는 각종 의무기록들을 전자해 보관했다가 필요 시 열람할 수 있도록 지원하는 전자의무기록(EMR:Electronic Medical Record)이라 할 수 있다. 이제는 모바일시스템까지 등장하면서 그야말로 차트와 필름이 없는 전자화된 디지털병원, 스마트병원 체제가 완성되어 가고 있다. 병원·의료기관의 정보화, 개방화로 인해 진료환경은 급속도로 나아지고 있으나, 민감한 진료정보, 건강정보가 순식간에 내부 직원에 의해 또는 외부 해커에 의하여 유출될 수 있다는 문제점도 발생하고 있으며, 실제로 이러한 사고가 일어나고 있어 병원·의료기관을 이용하는 개인들을 불안하게 하고 있다. 실제로 미국 보건당국의 통계자료에 따르면, 2009년 이후부터 서터메디컬재단 및 서터피지션 서비스 이용 고객의 환자 의료정보 유출을 포함해 미국 내에서 587건의 유출사건이 일어나 2,200만명의 피해자가 발생했다고 한다. 이에 진료정보나 병원·의료기관에서 취급하는 개인정보에 대하여 정보보호 측면에서 살펴보면서, 제대로 된 진료·개인정보의 이용과 보호 방향을 33개의 문답의 형태로 검토하고자 한다. <총설> Q 1. 진료정보는 어떤 정보를 의미하는가? 진료정보란 진료과정·건강검진과정에서 얻은 환자 개인의 신체상황, 상병·치료, 과거병력, 가족병력 등의 진료기록으로서, 다른 사람과 구별할 수 있는 개인정보가 포함된 정보를 개인진료정보라고 한다. 진료정보는 개인정보의 한 유형으로서 예컨대, 진료기록부, 수술기록부, 조산기록부, 간호기록부, 환자명부 등이 여기에 해당한다. 구별해야 할 개념으로서, 의료정보란 진료정보의 개념에 더하여 국가·보건의료분야 종사자들이 필요로 하는 의학지식을 포함하는 개념이며, 건강정보란 진료정보와 같은 의미로 사용되기도 하지만 질병·진단·치료·재활·출산·사망 및 건강증진 등 보건의료에 관한 지식 또는 부호·숫자·문자·음성·음향·영상 등으로 표현된 모든 종류의 자료란 의미로 사용되기도 한다. 후자로 사용되는 경우 보건의료정보라고 칭하고 있다. 예컨대 같은 맥박수 정보라도 의사나 의료기관이 진료과정에서 수집한 정보라면 진료정보가 되고 스스로 수집하여 보관하고 있는 정보는 건강정보라 할 수 있다. 넓은 개념 순서대로 정리하면, 의료정보, 건강정보(= 보건의료정보), 개인정보, 진료정보(= 개인진료정보)가 된다. 이 중에서 개인에 관한 정보로서 성명·주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보라는 개인정보의 정의에 부합하는 정보를 우리가 개인정보라 칭하므로, 개인정보는 건강정보보다는 작고, 진료정보보다는 큰 개념이다. 다만 이 글에서는 편의상, 형태와 무관하게 진료과정·건강검진과정에서 얻은 환자 개인의 신체상황, 상병·치료, 과거병력, 가족병력 등의 정보를 진료정보라 하고, 진료정보에 포함되지 않은 개인정보를 진료정보와 구별하여 개인정보라 부르도록 한다. Q 2. 진료정보는 어떤 특징이 있는가? 진료정보는 의사뿐만 아니라 보조기관인 간호사나 약사, 사무직원 등에 의해서도 수집된다. 수집된 진료정보는 건강보험제도에 따라 진료의 적절성 심사나 진료비 산정을 위하여 건강보험기관이나 건강보험심사평가원에 유통되고 있다. 즉, 병원이나 의료기관에 수집된 채로 보관되는 것이 아니라 불가피하게 유통될 수밖에 없는 특징이 있다. 진료정보에는 개개인의 정신상태나 신체상태에 관한 치명적이고 민감한 정보가 포함되어 있다. 따라서 다른 사람에게 알려진 경우에는 그 어떤 형태의 개인정보보다도 치명적인 악영향을 가져올 수 있다. 나아가 최근의 진료정보의 전자화, 통합화 경향으로 유출의 위험성 및 유출의 피해가 커져가고 있는 실정이다. Q 3. 진료·개인정보에 관한 법은 어떤 것이 있는가? 진료정보에 관한 대표적인 법률로는 의료법이 있다. 의료법 제17조, 제18조는 진단서·검안서·증명서 또는 처방전에 관하여, 제21조 내지 제23조는 진료기록에 관하여 언급하고 있다. 그 밖에 보건의료기본법, 국민건강보험법, 응급의료법, 정신보건법 등이 있다. 진료정보도 개인정보의 일종으로서 민감정보에 속하므로, 위 법에서 언급되지 않은 사항에 대하여는 일반법인 개인정보보호법이 적용된다. 개인정보에 관한 대표적인 법률로는 개인정보보호법이 있다. 다만 정보통신망을 이용해 진료상담을 하거나 원격의료(의료인이 의료인을 상대로 하는 것으로서 의료인이 환자를 상대로 하는 원격진료와는 구별됨)를 하는 경우에는 그 범위 안에서 정보통신망법이 적용될 수 있다. <수집> Q 4. 진료ㆍ개인정보를 수집하는 경우, 정보주체의 동의를 얻어야 하는가? 진료정보를 진료 목적으로 수집하는 경우, 의료법 시행령 제14조에 의하여 법령상 수집할 수 있으므로 환자의 동의를 받지 않고 수집할 수 있다. 예컨대 진료목적으로, ①진료를 받은 자의 주소·성명·주민등록번호·병력(病歷) 및 가족력(家族歷) ②주된 증상, 진단 결과, 진료경과 및 예견 ③치료 내용(주사·투약·처치 등) ④진료 일시분(日時分) 등의 정보를 수집할 때 환자의 동의를 얻지 않아도 된다. 따라서 개인정보 수집·이용 동의서를 받을 필요가 없다. 그러나 진료정보라도 진료목적이 아니라 연구·분석, 공중보건, 진료비 지불, 공급자 인증, 마케팅, 설문조사 등의 목적으로 수집하는 경우(예컨대 병원소식, 백신접종 홍보 등) 또는 홍보나 홈페이지 관리, 만족도 관리 등을 위해 개인정보를 수집하는 경우 등은 반드시 정보주체의 동의를 얻고 수집해야 한다. 이 경우 ①개인정보의 수집·이용 목적, ②수집하려는 개인정보 항목, ③개인정보의 보유 및 이용기간, ④동의를 거부할 권리가 있다는 사실과 그에 따른 불이익을 알리고 동의를 받아야 한다. Q 5. 홈페이지상에서 진료상담을 하는 경우, 정보주체의 동의를 얻어야 하는가? 현행법상 홈페이지상에서 정보통신망을 이용하여 진료상담을 하는 것은 진료행위로 보지 않는다. 따라서 의료법 시행령 제14조가 적용되는 사안은 아니고 개인정보보호법이 적용된다. 홈페이지상에서 환자의 진료정보나 개인정보를 수집하여 상담하는 서비스를 제공하는 경우, 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우에 해당한다고 볼 여지도 있으나, 상담과정에서 민감정보의 수집이나 처리가 수반될 수밖에 없으므로 반드시 정보주체의 동의를 얻어야 한다. Q 6. 진료정보를 수집하는 경우, 최소수집의 원칙이 적용되는가? 진료정보도 개인정보의 일종이므로 최소수집의 원칙이 적용된다고 보아야 한다. 다만 의사나 의료기관에 의하여 행하여지는 의료행위는 고도로 전문적이고 재량이 많이 포함되는 것이기에 최소수집의 원칙을 엄격하게 적용할 수 없고, 진료행위의 성질에 비추어 합목적적으로 판단해야 할 것이다. 예컨대 정신과 진료 중에 의사가 환자의 학력, 직업, 결혼 유무, 종교, 가족관계, 학창시절의 범죄경력, 성폭행 당한 경험 등을 폭넓게 수집하는 것이 허용될 수도 있다. <이용> Q 7. 수집한 진료정보의 구체적인 이용범위는 어떠한가? 진료목적으로 수집한 진료정보는 진료의 목적으로만 이용가능하고, 그 외 목적으로는 이용할 수 없다. 다만 별도의 동의를 얻으면 이용가능하다. 진료목적 범위 밖이란 연구·분석, 공중보건, 진료비 지불, 공급자 인증, 마케팅, 설문조사, 홍보나 홈페이지 관리, 만족도 관리 등의 목적인 경우를 의미한다. 진료목적 범위 내의 이용에 대하여 구체적으로 살펴보면 아래와 같다. ① 진료업무 수행을 위한 이용, 예컨대 진료예약, 진단, 검사, 치료 등의 업무에는 동의 없이 이용할 수 있다. ② 진료업무에 부수적으로 수반되는 업무수행을 위한 이용, 예컨대 진료비 수납, 예약확인 전화나 문자발송, 진단ㆍ검사결과의 통보의 경우는 동의 없이 이용할 수 있다. ③ 진료와 관련되는 진료행위에 해당하는 예방접종을 위한 안내는 진료목적 내의 이용이므로 동의 없이 이용할 수 있으나, 진료와 관련이 없는 예방접종 안내의 경우는 홍보나 마케팅을 위한 목적으로서 별도의 동의를 얻지 않고서는 이용할 수 없다. ④ 불가피하게 병원이 이전하거나 휴업 또는 진료시간이 바뀐 경우에 취하는 연락은 진료목적 범위 내의 행위로 보아야 할 것이다. Q 8. 수집한 진료정보를 통계·학술·연구 목적으로 이용하는 것은 허용되는가? 진료정보를 그대로 활용하는 경우에는 허용되지 않는다. 특정 개인을 알아볼 수 없는 형태로 가공해야 한다. 진료정보를 가공해 특정 개인을 알아볼 수 없는 상태, 즉 비식별화 과정을 거친 다음에 비로소 통계·학술·연구 목적으로 이용할 수 있다. 다만 이 경우라도 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 경우는 허용되지 않는다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 6. 27.) 기고.

1. 반대 약정이 없는 한 보수지급이 원칙임​ 대법원 1969. 2. 4. 선고 68다2220 판결 주주총회의 결의에 의하여 회사의 상임이사에 선임되어 그 임무에 종사한 경우에 있어 이사회의 결정에 의하여 보수를 받은 때에는 특단의 사유가 없는 한 명시이든 묵시이든 보수지급의 특약이 있었다고 인정함이 상당할 것이며 정관이나 주주총회의 결의에 의한 보수액의 정함이 없었다 하여 그것만으로 보수특약이 전연 없었다고 단정할 수 없다.​ 2. 보수의 개념은 회사가 이사의 직무수행에 대한 대가로서 지급하는 일체의 것이고, 상여금, 퇴직금, 성과급 등의 명칭을 불문한다. 대법원 2020. 4. 9. 선고 2018다290436 판결 ‘이사의 보수’에는 월급, 상여금 등 명칭을 불문하고 이사의 직무수행에 대한 보상으로 지급되는 대가가 모두 포함되고, 회사가 성과급, 특별성과급 등의 명칭으로 경영성과에 따라 지급하는 금원이나 성과 달성을 위한 동기를 부여할 목적으로 지급하는 금원도 마찬가지이다. 3. 이사로서의 실질적인 업무를 수행하지 않고 다만 이사로 등기만 되어 있는 이른바 명목상 이사도 보수를 청구할 수 있다.​ 대법원 2015. 7. 23. 선고 2014다236311 판결 법적으로는 주식회사 이사·감사의 지위를 갖지만 회사와의 명시적 또는 묵시적 약정에 따라 이사·감사로서의 실질적인 직무를 수행하지 않는 이른바 명목상 이사·감사도 법인인 회사의 기관으로서 회사가 사회적 실체로서 성립하고 활동하는 데 필요한 기초를 제공함과 아울러 상법이 정한 권한과 의무를 갖고 의무 위반에 따른 책임을 부담하는 것은 일반적인 이사·감사와 다를 바 없으므로, 과다한 보수에 대한 사법적 통제의 문제는 별론으로 하더라도, 오로지 보수의 지급이라는 형식으로 회사의 자금을 개인에게 지급하기 위한 방편으로 이사·감사로 선임한 것이라는 등의 특별한 사정이 없는 한, 회사에 대하여 상법 제388조, 제415조에 따라 정관의 규정 또는 주주총회의 결의에 의하여 결정된 보수의 청구권을 갖는다.​ 4. 보수의 결정 절차 : 주주총회의 결의로 하고, 이는 강행규정이라서 변경이 불가하다. 대법원 2020. 4. 9. 선고 2018다290436 판결 이사가 자신의 보수와 관련하여 개인적 이익을 도모하는 폐해를 방지하여 회사와 주주 및 회사채권자의 이익을 보호하기 위한 강행규정이다. ​5. 이사 보수 결정의 위임 : 포괄적인 위임은 불가​ 대법원 2020. 6. 4 선고 2016다241515, 241522 판결 상법 제361조는 “주주총회는 본법 또는 정관에 정하는 사항에 한하여 결의할 수 있다.”라고 규정하고 있는데, 이러한 주주총회 결의사항은 반드시 주주총회가 정해야 하고 정관이나 주주총회의 결의에 의하더라도 이를 다른 기관이나 제3자에게 위임하지 못한다. 따라서 정관 또는 주주총회에서 임원의 보수 총액 내지 한도액만을 정하고 개별 이사에 대한 지급액 등 구체적인 사항을 이사회에 위임하는 것은 가능하지만, 이사의 보수에 관한 사항을 이사회에 포괄적으로 위임하는 것은 허용되지 아니한다. 그리고 주주총회에서 이사의 보수에 관한 구체적 사항을 이사회에 위임한 경우에도 이를 주주총회에서 직접 정하는 것도 상법이 규정한 권한의 범위에 속하는 것으로서 가능하다.​ 6. 적법하게 결정된 보수액의 변경은 불가하다.​ 대법원 1977. 11. 22. 선고 77다1742 판결 이사의 퇴직위로금은 상법 388조에 규정된 보수에 포함된다 할 것이므로 위 법조에 근거하여 정관이나 주주총회결의로 그 액이 결정되었다면 주주총회에서 퇴임한 특정이사에 대하여 그 퇴직위로금을 박탈하거나 이를 감액하는 결의를 하였다 하여도 그 효력이 없다. 7. 과다 보수 책정의 경우 : 반환청구가 가능함​ 대법원 2015. 9. 10. 선고 2015다213308 판결 다만 이사·감사의 소극적인 직무 수행에 대하여 보수청구권이 인정된다 하더라도, 이사·감사의 보수는 직무 수행에 대한 보상으로 지급되는 대가로서 이사·감사가 회사에 대하여 제공하는 반대급부와 지급받는 보수 사이에는 합리적 비례관계가 유지되어야 하므로 보수가 합리적인 수준을 벗어나서 현저히 균형성을 잃을 정도로 과다하거나, 오로지 보수의 지급이라는 형식으로 회사의 자금을 개인에게 지급하기 위한 방편으로 이사·감사로 선임하였다는 등의 특별한 사정이 있는 경우에는 보수청구권의 일부 또는 전부에 대한 행사가 제한되고 회사는 합리적이라고 인정되는 범위를 초과하여 지급된 보수의 반환을 구할 수 있다. 이때 보수청구권의 제한 여부와 제한 범위는, 소극적으로 직무를 수행하는 이사·감사가 제공하는 급부의 내용 또는 직무 수행의 정도, 지급받는 보수의 액수와 회사의 재무상태, 실질적인 직무를 수행하는 이사 등의 보수와의 차이, 소극적으로 직무를 수행하는 이사·감사를 선임한 목적과 선임 및 자격 유지의 필요성 등 변론에 나타난 여러 사정을 종합적으로 고려하여 판단하여야 한다. 8. 해임된 이사의 보수청구권​ 서울고등법원 1990. 7. 6. 선고 89나46297 판결 이사가 주주총회의 결의로 임기만료 전에 해임된 경우 그로 인하여 입게되는 손해는 이사로서 잔여임기 동안 재직하여 얻을 수 있는 상법 제388조 소정의 보수상당액인 정기적 급여와 상여금 및 퇴직금이라 할 것이고, 이사해임에 관한 상법 제385조 제1항의 규정은 주주총회에 대하여 사유여하를 막론하고 이사를 해임할 수 있는 권한을 부여하는 것으로서 그에 따른 주주총회의 이사해임은 불법행위를 구성하지 아니하는 것이므로 임기만료 전에 해임된 이사가 그로 인하여 정신적 고통을 받았다 하더라도 위자료는 청구할 수 없다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2021. 2. 26.) 기고.

드론 관련 법률은 항공안전법, 항공사업법, 일명 드론법이라 할 수 있는 드론 활용의 촉진 및 기반조성에 관한 법률 3가지가 있다. 중요 조문 위주로 살펴보고자 한다.​ <드론법> 1) 드론의 정의 : 초경량비행장치 중 무인비행장치 + 무인항공기 *항공기, 경량항공기, 초경량비행장치​ 2) 드론사용사업자 : 타인의 수요에 맞추어 드론을 사용하여 유상으로 운송, 농약살포, 사진촬영 등의 업무를 수행할 목적으로 초경량비행장치사용사업을 영위하는 자 *타인의 수요에 맞추어야 하므로 자기 자신을 위한 사용은 해당 없음 <항공안전법> 1) 드론 신고 : 드론 소유자 또는 사용권자는 12kg 초과의 경우는 국토교통부 장관에게 초경량비행장치의 종류, 용도, 소유자의 성명, 개인정보 수집 가능 여부 등을 신고하여야 함 --> 신고번호 발급함 *다만 사업용 드론의 경우는 12kg 이하라도 신고하여야 함 2) 안전성 인증 : 25kg을 초과하는 경우 기술상 기준에 적합하다는 안전성 인증을 받아야 함 ​3) 조종자 증명 : 12kg 초과의 경우 조종자 증명을 받아야 함 * 취미 등 개인적인 용도로 사용하는 드론과 사업용 드론 중 12kg 미만인 경우는 조종자 증명 불요 4) 비행승인 : 자체 무게가 12kg 이하인 드론은 비행승인 불요 그러나 비행장 주변 관제권, 비행금지구역, 고도 150m 이상 등의 공역은 무게에 상관없이 승인 필요 (*승인을 받으면 비행이 가능하다는 점이 중요함) 5) 조종자 준수사항 - 사고시 보고의무 - 프라이버시 침해 금지 의무 - 야간 비행 금지 - 음주 비행 금지 - 육안으로 식별할 수 없는 상태의 비행 금지 <항공사업법> 1) 사업의 유형 : 초경량비행장치 대여사업, 초경량비행장치 사용사업 2) 초경량비행장치 대여사업 - 국토교통부 장관에게 등록 의무 - 초경량비행장치마다 보험 가입 의무 ​ 3) 초경량비행장치 사용사업 - 국토교통부 장관에게 등록 의무 - 최소자본금 3,000만원, 디만 최대이륙중량이 25kg 이하인 무인비행장치를 이용하는 경우는 예외 - 보험가입의무 4) 초경량비행장치 스포츠레저사업 - 정의 : 타인의 수요에 맞추어 유상으로 초경량비행장치를 항공레저스포츠를 위하여 대여하는 서비스 - 국토교통부 장관에게 등록 의무 - 최소자본금 3,000만원 - 보험가입의무 5) 위 3개 사업 외에는 초경량비행장치의 영리 목적 사용금지 ​ * 법무법인 민후 김경환 대표변호사 작성, 블로그(2020. 5. 3.) 기고.

국가 데이터 정책은 두 가지를 지향한다. 데이터 공유와 데이터 소유다. 데이터 공유와 데이터 소유란 반대 개념이다. 데이터 공유가 데이터를 여러 사람이 많이 활용할 수 있는 상태를 의미한다면 데이터 소유는 데이터의 생성이나 가치 형성에 기여한 사람에게 권리와 이익을 부여하는 것을 뜻한다. 데이터 공유를 강화하는 법률로는 공공데이터법 등이 있다. 데이터 소유를 강화하는 법률로는 부정경쟁방지법 또는 저작권법 등이 존재한다. 현재 상황을 볼 때 공공데이터의 경우 공유를 강화하는 체계, 민간데이터의 경우 소유를 강화하는 체계가 각각 갖춰져 있다. 그러나 민간데이터의 경우도 데이터 공유를 촉진할 필요도 있고, 이것이 국가 데이터 정책의 과제가 돼야 한다. 그러나 이러한 정책 방향을 실현하기 위해서는 매우 섬세한 접근이 필요하다. 자칫 무리한 공유 체계를 고집하게 되면 자유시장경제 질서를 침해하는 사태가 발생할 수 있기 때문이다. 민간데이터의 공유 체계를 강화하려면 몇 가지 전제가 있어야 한다. 첫째 해당 데이터의 공익성이나 공공성이 큰 경우에는 공유 체계를 강화할 명분이 있어야 한다. 둘째 해당 데이터의 공익성이나 공공성이 없더라도 데이터 공유로 얻는 이익이 큰 경우에는 공유 체계를 강화할 수 있어야 한다. 관련해서 중요한 쟁점이자 불법과 합법의 경계에 있는 것이 바로 공개데이터의 크롤링 사안이다. 공개데이터란 일반 공중이 누구든지 추가적인 기술적 조치 등이 없이 접근하고 열람할 수 있는 상태의 데이터를 의미한다. 크롤링이란 주로 공개데이터를 소프트웨어로 활용하는 등의 기계적인 방법으로 가져와서 데이터를 추출하는 행위를 의미한다. 공개데이터의 크롤링 사건은 2013년 리그베다위키 vs 엔하위키미러 사건에서 시작된다. 엔하위키미러는 리그베다위키의 동의 없이 리그베다위키의 데이터베이스(DB)를 통째로 옮기는 방법, 즉 미러링해서 서비스했다. 이러한 행위에 대해 법원은 데이터베이스권 침해 또는 부정경쟁행위로써 위법하다고 판단했다. 그 이후 잡코리아 vs 사람인 사건의 경우도 사람인이 잡코리아의 채용정보를 동의 없이 크롤링해서 서비스한 사건이다. 법원은 이러한 행위에 대해서도 데이터베이스권 침해 또는 부정경쟁행위로써 위법하다고 판단했다. 야놀자 vs 여기어때 사건의 경우는 공개데이터 이상의 크롤링한 사건이다. 이 역시 데이터베이스권 침해 또는 부정경쟁행위로써 위법하다는 판단을 받았다. 다만 형사 항소심에서는 형사적 관점을 반영해 무죄를 선고했고, 이는 현재 대법원에 계류돼 있다. 이들 세 사건의 경우 큰 범주에서는 크롤링 사건으로 볼 수 있지만 좀 더 세밀하게 들여다보면 동일한 사안은 아니라는 점을 알 수 있다. 즉 크롤링도 일의적인 것이 아니고 다양한 형태가 존재할 수 있다는 것이다. 리그베다위키 vs 엔하위키미러 사건의 경우에는 미러링이라는 방법, 잡코리아 vs 사람인 사건의 경우는 전형적인 크롤링 방법이 각각 사용됐다. 그러나 야놀자 vs 여기어때 사건의 경우는 일정한 조치를 해서 공개데이터 이상의 크롤링이 있은 사안으로, 일정한 조치가 취해졌다는 점에서 엄밀히 말하면 공개데이터 사안이 아니기에 본 논의에서 제외해야 한다고 본다. 최근 언론에 자주 나오는 사건이 있고, 자주 문의되는 사안이 또 있다. 그것이 바로 네이버 vs 다윈중개 사건이 있다. 이 사건은 다윈중개가 네이버의 부동산 매물정보를 부동산 매물정보의 링크 표시 목적으로 가져오긴 하지만 이용자는 링크를 타고 네이버 사이트에서 부동산 매물정보를 볼 수 있도록 하고 있다는 점에서 앞의 세 사건과는 전혀 다른 양상을 띠고 있어 이들 세 개의 크롤링 사안과 단순 비교하기에는 무리가 있다. 이 사건은 현재 법원에 묶여 있다. 참고로 이들 네 사건 모두에 대하여 필자는 관여했거나 관여하고 있고, 다음 주에는 공개 세미나에서 이와 관련된 발표도 할 예정이다. 이들 사건의 공통적인 쟁점은 공개데이터에 대한 법적 기준이 무엇이냐에 관한 것이다. 이와 관련해서 공개된 개인정보에 관해 대법원은 공개된 개인정보의 공공성·공익성, 공개된 개인정보에 관한 정보 주체의 공적인 존재성, 처리로 얻을 수 있는 공익성 등을 기초로 공개된 개인정보에 대한 처리에서 동의 의무를 면제해 줬다. 이들 사안은 공개된 개인정보 영역이 아니라 공개데이터 영역에서 데이터 공유와 데이터 소유의 경계선을 찾아가는 과정이라 할 수 있고, 사회적 합의에 도달하는 과정이라 할 수도 있다. 개인적으로는 '공유 vs 소유(재산권)'가 대립하는 공개데이터에서는 '공유 vs 개인정보자기결정권(인격권)'이 대립하는 공개된 개인정보보다는 완화된 기준이 적용돼야 하지 않을까 생각한다. * 법무법인 민후 김경환 변호사 작성, 전자신문(2022. 5. 3.) 기고.

전동킥보드, 전동휠 등 전기 등을 동력으로 하는 1인용 이동수단을 개인형 이동장치라 하는데, 퍼스널 모빌리티라고도 부른다. 개정 도로교통법이 2020. 12. 10. 부터 시행될 예정이며, 이와 관련하여 국토교통부는 입법 추진 중인 「개인형 이동수단의 관리 및 이용활성화에 관한 법률(PM법)」 을 발의한 상태이다. 1. 정의 도로교통법 제2조 19의2 "개인형 이동장치'란 원동기장치자전거 중 시속 25킬로미터 이상으로 운행할 경우 전동기가 작동하지 아니하고 차체 중량이 30킬로그램 미만인 것으로서 행정안전부령으로 정하는 것을 말한다. ​ 개정법에서는 개인형 이동장치로 분류되나, 현재는 원동기장치자전거로 분류되고 있다. 2. 통행방법 : 자전거도로 개정법에 따르면, 자전거도로가 있는 곳에는 자전거도로로 통행하고, 자전거도로가 없는 경우에는 도로 우측 가장자리에 붙어서 통행하여야 한다. 제13조의2(자전거등의 통행방법의 특례) ① 자전거등의 운전자는 자전거도로(제15조제1항에 따라 자전거만 통행할 수 있도록 설치된 전용차로를 포함한다. 이하 이 조에서 같다)가 따로 있는 곳에서는 그 자전거도로로 통행하여야 한다. ② 자전거등의 운전자는 자전거도로가 설치되지 아니한 곳에서는 도로 우측 가장자리에 붙어서 통행하여야 한다. 3. 운전자격 개정법에 따르면 운전면허 발급대상에서 제외하였으나, 현재는 만 16세 이상 원동기장치자전거 면허 보유자만이 운행할 수 있다. 도로교통법 제43조(무면허운전 등의 금지) 누구든지 제80조에 따라 지방경찰청장으로부터 운전면허를 받지 아니하거나 운전면허의 효력이 정지된 경우에는 자동차등(개인형 이동장치는 제외한다)을 운전하여서는 아니 된다. 4. 음주운전​ 자전거 운전자도 음주운전이 금지되므로 당연히 음주운전시 처벌된다. 개정법에 따르더라도 음주운전은 처벌되나, 다만 20만원 이하의 벌금 또는 과료로 경미하게 처벌된다. ​5. 안전기준 ​개인용 이동장치는 낮은 최고속도 때문에 자동차관리법에 따른 안전기준 등이 적용되지 않고, 전기용품 및 생활용품 안전관리법이 적용된다. 전기용품 안전관리법 제15조(안전확인대상제품의 신고 등) ① 안전확인대상제품의 제조업자 또는 수입업자는 안전확인대상제품에 대하여 모델별로 안전확인시험기관으로부터 산업통상자원부령으로 정하는 바에 따라 안전확인시험을 받아, 해당 안전확인대상제품이 제3항에 따른 안전기준에 적합한 것임을 확인한 후 그 사실을 산업통상자원부장관에게 신고하여야 한다. ② 안전확인대상제품의 제조업자 또는 수입업자는 제1항에 따른 안전확인의 신고(이하 "안전확인신고"라 한다)사항을 변경하려는 경우에는 산업통상자원부령으로 정하는 바에 따라 산업통상자원부장관에게 변경신고를 하여야 한다. 다만, 제품의 안전성과 관련이 없는 것으로서 산업통상자원부령으로 정하는 사항을 변경하는 경우에는 그러하지 아니하다. 6. 사고처리 ​ 자배법이 적용된다는 판례로는, ​ 서울남부지방법원 2020. 5. 28 선고 2019고단6197, 2020고단1789 판결 전동킥보드는 손잡이, 안장, 발판 및 2개의 바퀴가 장착되고 리튬-이온전지에 의하여 전원을 공급받는 스트레이트 모터에 의하여 구동되어 육상에서 1인의 사람을 운송하기에 적합하게 제작된 이륜의 용구임을 인정할 수 있는바, 위 인정사실에 의하면, 이 사건 전동킥보드는 자동차관리법의 적용을 받는 자동차(이륜자동차)에 해당한다...중략...따라서 이 사건 전동킥보드는 자동차관리법의 적용을 받는 자동차로서 자동차손해배상보장법 제8조에 따른 의무보험 가입 대상에 해당한다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2020. 11. 16.) 기고.

시작하면서 기업경영에서 디자인이 중요시되고 기업혁신의 중요한 토대가 되고 있다. 단순히 미적 감각을 느끼게 하는 디자인에서 제품 본연의 기능과 가치까지도 담고 있는 디자인까지, 디자인의 힘은 위대하다고 할 수 있다. 그러나 디자인 기술이 발전할수록, 디자인의 비중이 커질수록, 이를 모방하려는 시도도 교묘해지고 빈번해지고 있다. 디자인 표절을 통하여 쉽게 남의 기회에 무임승차하면서 창작자에게 가야할 수익을 가로채는 시도가 많아질수록, 지적재산의 가치와 기능은 감소할 것이며 창작의욕과 필요를 덜 느끼게 될 것이다. 그렇다고 하여 비슷하다고 무조건 표절이라고 보는 것은 오히려 산업발전을 저해할 것이며, 기득권을 보호하는 데 지적재산이 악용되는 대표적인 사례가 될 수 있다. 때문에 적절하고 안정적인 표절 판단기준을 만들고 이를 정확하게 대입하는 것이 디자인 창작을 장려하고 산업발전을 달성하는 데 필수적이다. 이에 그간 우리 판례, 심결례 등을 통하여 확립된 법적인 표절기준 또는 동일유사성 판단기준에 대하여 살펴보고자 한다. 표절의 판단주체 및 판단을 위한 관찰방법 디자인의 표절 여부를 판단하는 주체는 창작자를 기준으로 하여야 하는가? 아니면 일반수요자의 입장에서 판단하여야 하는가? 디자인 제도의 목적이 창작보호라는 측면도 있지만 타인의 부정경쟁 방지의 목적도 있으므로, 이 측면에서 일반수요자를 기준으로 판단하고 있다. 여기서 일반수요자란 현실의 수요자가 아닌 객관적으로 상정하는 평균적ㆍ이성적 수요자를 의미한다. 표절 판단을 위하여 양 디자인을 관찰해야 하는데, 이 때 관찰방법은 어떻게 실행하여야 하는가? 첫째, 시각적으로ㆍ육안으로 관찰하여야 한다. 이 말은 청각이나 촉각 등을 이용해서는 아니 된다는 의미이며, 현미경이나 돋보기 등을 사용해서는 아니 된다는 의미이다. 오로지 육안을 통하여 시각적으로 판단하여야 한다. 둘째, 양 디자인을 동시에 벽에 걸어두고, 뒤로 물러서서 비교하여 보고 잠시 후 다시 위치를 바꾸어 혼동을 일으키는 것인가를 비교하여야 한다. 이를 간접대비관찰이라 한다. 따라서 양 디자인을 격리하여 관찰해서는 아니 되고, 물품의 외관을 직접 서로 대비하여 디자인의 세밀한 부분까지 관찰해서는 아니 된다. 셋째, 물품의 ‘외관’을 중점적으로 관찰하여 판단하여야 한다. 따라서 한 캐릭터가 다양한 동작을 하는 경우 외관이 아닌 표현된 내용에 있어 공통성을 찾아 유사하다고 판단하여서는 아니 된다. 넷째, 디자인은 ‘전체적으로’ 동일한지 유사한지 여부를 판단하여야 한다. 따라서 부분적으로 분석ㆍ관찰하여 유사부분이 있더라도 전체적으로 다른 미감을 주게 되면 유사하다고 볼 수 없다. 반대로 부분적으로 유사하지 않더라도 전체적으로 유사하면 양 디자인이 유사하다고 보아야 한다. 다섯째, 전체적으로 판단하더라도 잘 보이는 요부와 그렇지 않은 부분 중에서 잘 보이는 요부에 큰 비중을 두어 동일유사 여부를 판단하여야 한다(요부관찰). 여기서 요부란 단순히 잘 보이는 것뿐만 아니라 수요자의 주의를 가장 끌기 쉬운 부분을 의미한다. 요부관찰을 위하여는 선행적으로 요부를 확정하여야 한다. 이상의 내용을 정리하면, 요부적인 외관을 기준으로 육안으로써 간접대비의 방법으로 전체적으로 관찰하여야 한다. 동일 여부 판단방법 디자인이 동일하다는 의미는, 양 디자인을 비교할 때 디자인을 구성하고 있는 물품의 형태(형상ㆍ모양ㆍ색채 또는 이들의 결합한 것)가 시각을 통하여 동일한 미감을 일으키는 것을 말한다(대법원 1990. 5. 8. 선고 89후2014 판결). 따라서 동일하다는 것은 물리적으로 동일하다는 의미는 아니고 일반소비자의 입장에서 시각적으로 동일한 미감을 주면 된다. 실제 소송에서 양 디자인이 동일한 예를 거의 없고, 유사성 여부가 관건이 되는 사례가 극히 많다. 오히려 디자인 동일성은 보정 단계에서의 요지변경 문제, 출원분할 문제, 우선권 주장시 동일성 문제 등에서 중요하게 다루어진다. 구체적으로 양 디자인이 동일하려면, 첫째 물품이 동일하여야 한다. 물품의 동일성 여부는 물품의 용도ㆍ기능 등에 비추어 판단한다. 둘째, 형태(형상ㆍ모양ㆍ색채 또는 이들의 결합한 것)가 동일하여야 한다. 다만 극히 미세한 차이만 있더라도 전체적 심미감이 동일한 경우에는 디자인이 동일하다고 볼 수 있다(대법원 2001. 7. 13. 선고 2000후730 판결). 유사 여부 판단방법 디자인이 유사하다는 의미는, 양 디자인을 비교할 때 그 디자인을 구성하는 물품의 형태(형상ㆍ모양ㆍ색채 또는 이들의 결합한 것)이 공통적인 동질성을 가지고 있어 외관상 서로 유사한 미감을 주는 경우이다. 구체적으로 첫째, 물품이 동일하거나 유사하여야 한다. 실무상 동일ㆍ유사를 판단하는 기준은 『디자인보호법 시행규칙 별표4』의 물품구분표이다. 예컨대, 이 물품구분표에 의하여 동일물품으로 구분하고 있는 손목시계, 탁상시계, 벽시계 등은 유사물품에 해당한다. 둘째, 형태가 유사하여야 한다. 따라서 첫째와 둘째를 결합하면, 동일한 물품ㆍ유사한 형태, 유사한 물품ㆍ동일한 형태, 유사한 물품ㆍ유사한 형태가 유사한 디자인에 해당한다. 유사성에 관하여 대법원과 특허법원에 의하여 확립된 기준을 열거하면, ① 동일한 물품에 대한 디자인이 많이 창작되었다면 그 유사의 폭을 좁게 보아야 한다. ② 디자인의 요소가 물품의 기능과 밀접하게 관련이 있어 누가 창작하더라도 유사한 경우에는 유사의 폭을 좁게 보아야 한다. ③ 주의를 끌기 쉬운 요부의 변형 가능성이 적다면 유사의 폭을 좁게 보아야 한다. ④ 디자인의 물품이 기구적으로 한정되어 있어 변화의 여지가 적다면 유사의 폭을 좁게 보아야 한다. 실제적으로 유사성 판단은, ① 물품의 동일ㆍ유사성 판단, ② 양 디자인의 요부 결정, ③ 양 디자인의 공통점과 상이점 결정, ④ 종합적 판단 순서로 이루어진다. 마치면서 지금까지 디자인의 표절이나 동일유사성 판단방법을 살펴보았다. 이론적으로는 위와 같이 정리가 되지만 실제로 어떻게 적용되는지에 대하여 알고 싶다면 많은 심결례와 판례를 살펴보아야 한다. 하지만 그보다 중요한 것은 안정된 판단기준의 정립이라 할 것이므로, 위의 설명을 먼저 이해하는 것이 필요하다. * 법무법인 민후 김경환 대표변호사 작성, 디자인맵(2013. 10. 25.) 기고.

위탁자의 의무와 책임 (2) 개인정보보호법이 적용되는 조직의 경우, 위탁자의 경우 ⑴ 문서 작성 의무(개인정보보호법 제26조 제1항), ⑵ 공개 또는 통지의무(제2, 3항), ⑶ 교육 및 관리ㆍ감독 의무(제4항)를 부담한다. 정보통신망법이 적용되는 조직과의 차이점은, 정보통신망법의 고지ㆍ동의의무 대신에 대폭 감경된 공개의무가 적용되고, 대신 정보통신망법과 달리 문서작성의무 및 교육의무가 추가로 존재한다는 것이다. 위탁자는 위탁시 위탁사실, 위탁업무의 내용과 수탁자를 인터넷, 일간지 등에 공개하여야 한다(공개의무). 다만 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우, 위탁하는 업무의 내용이나 수탁자가 변경된 경우에는 서면, 전자우편, 팩스, 전화, 문자전송 등의 방법으로 통지하여야 한다(통지의무). 위탁자는 반드시 문서로써 위탁하여야 하며, 문서에는 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항, 위탁업무의 목적 및 범위, 재위탁 제한에 관한 사항, 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항, 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항, 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항이 포함되어 있어야 한다. 이 문서는 위탁계약 내용에 포함되어 있을 필요는 없어 보인다. 정보통신망법이 적용되는 조직이 문서를 갖추지 않고 위탁하는 경우에 이를 제재할 수 있을까? 정보통신망법이 적용되는 조직의 경우에는 문서작성의무가 존재하지 않기에 제재할 수 없다는 견해와 정보통신망법에 명시적인 조문이 없다고 하더라도 일반법인 개인정보보호법에 의무 조항이 있는 이상 개인정보보호법 제26조 제1항으로 제재할 수 있다는 견해, 문서 작성의무를 위반한 정보통신망법 적용 조직에 대하여 제재할 수 있되, 행정처분의 근거 조문은 개인정보보호법 제26조 제1항이 아닌 정보통신망법 제25조 제4항의 관리ㆍ감독의무가 되어야 한다는 견해로 갈린다. 위탁자는 수탁자에 대한 교육의무 및 관리ㆍ감독의무도 부담한다. 정보통신망법이 적용되는 조직이 교육의무를 이행하지 않은 경우에 이를 제재할 수 있을까? 문서를 갖추지 않고 위탁하는 경우와 동일한 논의가 가능하다. 교육 및 관리ㆍ감독의무의 내용에 대하여 안전행정부 발간 해설서에는 “위탁자는 수탁자에 대하여 정기적인 교육을 실시하는 외에 수탁자의 개인정보처리 현황 및 실태, 목적외 이용ㆍ제공, 재위탁 여부, 안전성 확보조치 여부 등을 정기적으로 조사ㆍ점검하여야 한다.”라고 규정하고 있다. 하지만 위탁자가 수탁자에 대한 교육이나 관리ㆍ감독을 강요할 수 없는 약자인 경우가 많기에 현실적으로 이 조문의 실효성이 문제되고 있다. 입법론적으로는 위탁시 의무적으로 작성하는 문서에 반드시 포함되어야 할 내용을 위탁자와 수탁자 사이에 작성된 위탁계약서에 의무적으로 포함하게끔 하여 법적으로ㆍ계약적으로 수탁자에 대한 위탁자의 지위를 보장해 주는 것이 이 조문의 실효성을 높이는 하나의 방법이 될 것이다. 정보통신망법이 적용되는 조직이나 개인정보보호법이 적용되는 조직 모두는 위탁자는 수탁자의 정보주체에 대한 손해배상책임과는 별도로, 수탁자 또는 수탁자의 직원의 행위에 대하여 민사적인 사용자책임(민법 제756조)을 부담한다(정보통신망법 제25조 제5항, 개인정보보호법 제26조 제6항). 이 경우 수탁자와 위탁자는 모두 정보주체에 대하여 손해배상책임을 부담할 수 있는데, 양자의 관계는 부진정연대채무의 관계이다. 정보주체에게 손해배상을 해 준 위탁자는 수탁자에게 구상권을 행사할 수 있다. 수탁자의 의무와 책임 수탁자의 가장 중요한 의무는 위탁받은 해당 업무 범위를 초과한 개인정보 이용이나 제3자 제공 금지 의무이다(정보통신망법 제25조 제3항, 개인정보보호법 제26조 제5항). 수탁자의 이 의무 위반시 위탁자는 관리ㆍ감독의무 위반 책임을 부담할 수 있다. 더불어 수탁자는 정보통신서비스 제공자의 의무나 개인정보처리자의 의무를 준수하여야 한다(정보통신망법 제67조 제2항, 개인정보보호법 제26조 제7항). 따라서 수탁자는 보관하고 있는 개인정보에 관하여 물리적ㆍ관리적ㆍ기술적 보호조치를 취하여야 하며, 개인정보취급방침이나 처리방침을 공개하여야 하고, 정보주체의 열람요구에 응하여야 하며, 이용자에게 정기적으로 개인정보이용내역에 관하여 통지를 하여야 한다. 다만 개인정보파일의 등록의무는 존재하지 않는다. 한편 개인정보파일 등록의무뿐만 아니라 손해배상책임인 정보통신망법 제32조, 개인정보보호법 제39조도 수탁자에 대하여 준용되지 않고 있다. 때문에 손해를 입은 정보주체는 수탁자에 대하여 정보통신망법 제32조, 개인정보보호법 제39조가 아닌 일반 불법행위책임(민법 제750조)을 물을 수밖에 없는데, 규범적으로 수탁자의 고의ㆍ과실을 피해자인 정보주체가 입증해야 하는 점에서 정보통신망법 제32조 또는 개인정보보호법 제39조의 적용시보다 불리하다. 더불어 정보주체는 직접 위탁자에 대하여 정보통신망법 제32조, 개인정보보호법 제39조의 기한 손해배상책임을 물을 수 있지만, 위탁한 개인정보의 점유가 수탁자에게 있는 이상 경우에 따라서는 수탁자의 법위반사실뿐만 아니라 위탁자의 관리ㆍ감독상의 법위반사실까지 입증하여야 한다는 점에서 정보주체는 입증상의 상당한 불리함을 안게 된다. 입법론적으로는, 수탁자에게도 정보통신망법 제32조, 개인정보보호법 제39조의 손해배상책임을 물을 수 있도록 하는 것이 타당해 보인다. 재위탁 재제공에 대한 근거 조문이 정보통신망법 제24조의2 제2항 또는 개인정보보호법 제19조에 있는 것과는 별개로, 재위탁에 대한 법령상의 근거 조문은 존재하지 않는다. 다만 개인정보보호법에 관한 보충 규정으로서 이용되고 있는 표준지침 제21조에는 재위탁에 대하여 규정하면서, 정보주체는 수탁자로부터 재수탁자가 재위탁 받은 개인정보 처리 업무를 수행하면서 발생하는 손해에 대한 배상을 청구할 수 있으며, 개인정보 처리 업무의 재위탁에 대해서는 개인정보보호법 제26조를 준용한다고 규정하고 있다. 입법론적으로는 재위탁에 관한 법령상의 명시적인 근거 조문을 정보통신망법 및 개인정보보호법에 신설하면서 동시에 위탁에 관한 준용규정을 마련해 둘 필요가 있다. 결어 개인정보 위탁은 수집시부터 형성되는 엄격한 목적제한성을 탈피하면서 유연성을 제공할 수 있는 가장 좋은 방법으로 꼽히고 있다. 하지만 몇 가지 입법의 결여로 악의적인 탈법행위에 대하여 대처할 수 없는 문제점도 가지고 있다. 개인정보의 활용과 보호를 모두 제고시키기 위해서는, 가장 빈번하게 발생하는 처리현상인 개인정보의 위탁에 있어 입법의 결여 문제를 조속하게 해결할 필요가 있어 보인다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2014. 1. 10.), 블로그(2014. 1. 10.) 기고.

재화나 서비스를 제공하는 기업이 개인정보까지 하나하나 관리하기는 쉽지 않기에 개인정보 처리를 위탁하는 경우가 많다. 개인정보 위탁으로 인하여 비용의 절감, 업무 효율화, 서비스 품질 향상을 가져올 수 있기에, 개인정보의 위탁은 개인정보 처리 과정에서 가장 빈번하게 일어나는 현상이지만, 아이러니하게도 법적으로 가장 정리가 필요한 영역 중의 하나이다. 일단 위탁인지 아닌지도 판단이 쉽지 않고, 재위탁이 허용되는지부터 위탁 이후에 개인정보 유출이 발생했을 때 누가 책임을 부담하는지 등등 수많은 질문이 쏟아지는 영역이다. 위탁의 개념 개인정보의 위탁이란 개인정보의 처리를 아웃소싱하는 것이라고 이해하면 된다. 흔히 개인정보의 이용이나 개인정보의 제3자 제공과 많이 혼동되는 경우가 많지만, 개인정보의 이용이란 개인정보처리자의 손을 벗어나지 않는다는 점에서 개인정보의 위탁이나 제3자 제공과는 구별된다. 한 회사의 A 부서에서 수집한 개인정보를 B 부서가 이용하는 경우 이를 제3자 제공으로 잘못 이해하는 경우가 있는데, 개인정보처리자가 회사인 이상 그 안의 부서간의 개인정보 이동은 제3자 제공에 해당하지 않고 이용에 해당한다. 다만 B 부서의 이용이 A 부서의 수집 목적을 벗어나면 목적외 이용이 되어 정보주체로부터 별도의 동의를 얻어야 한다. 위탁은 개인정보처리자의 손을 벗어나는 점에서 제3자 제공과 공통되지만, 개인정보를 건네는 것이 받는 자의 목적을 위한 것이라면 제3자 제공이고, 주는 자의 목적을 위한 것이라면 위탁으로 보아야 한다. 따라서 받는 자의 업무 목적이 주는 자의 업무 목적과 관련성이 없으면 제3자 제공으로, 관련성이 있으면 위탁으로 보아도 된다. 예컨대 A 회사가 수집한 개인정보를 A 회사의 마케팅 목적으로 활용하고자 광고대행사인 B 회사에 넘기는 경우에는 위탁에 해당하고, C 회사의 마케팅 목적으로 C 회사에 넘긴 경우에는 제3자 제공에 해당한다. 특히 ‘수집위탁’이 제3자 제공과 구별이 쉽지 않은데, 수집위탁이란 개인정보 수집 단계를 아웃소싱하는 경우이다. 예를 들어, A 회사의 외부인사 보안을 위하여 B 회사에 외부인사 보안 업무를 위탁하였고, B 회사가 외부인사로부터 개인정보를 수집하여 보안업무를 처리하고 수집한 개인정보를 A 회사에 건네준 경우, B 회사는 자신을 위하여 외부인사의 개인정보를 수집한 것이 아니라 A 회사의 업무목적을 위하여 개인정보를 수집한 것이므로, B 회사가 A 회사에게 수집한 개인정보를 건네는 것은 제3자 제공이 아니라 수집위탁의 사후처리에 해당한다. 백화점ㆍ쇼핑센터나 번화가에 위치한 대리점으로부터 수집한 개인정보를 본점이 건네받아 한꺼번에 관리하는 경우도 있는데, 이 경우도 수집위탁 관계로 볼 수 있다. 그 법적 효과 측면에서 보면, 제3자 제공은 개인정보에 대한 관리감독권 및 책임이 제3자에게 넘어가는 것이고, 반면 위탁은 개인정보에 대한 관리감독권 및 책임이 위탁자에게 남아 있는 점에서 큰 차이를 보인다. 위탁의 유형 위탁이란 개인정보 자체를 위탁하는 경우와 업무를 위탁하면서 개인정보를 부수적으로 건네는 경우로 나눌 수 있는데, 전자를 처리업무 위탁이라 하고, 후자를 취급업무 위탁이라 하며, 우리법은 두 가지 경우를 모두 위탁으로 보고 있다. 예컨대 DB 호스팅 업체에게 개인정보를 수집부터 처리까지 맡겨 관리하는 경우, 개인정보가 담긴 서면이나 하드디스크를 파기 전문업체에게 맡겨 파기시키는 경우에는 개인정보 자체의 처리업무 위탁으로 볼 수 있지만, 주문받은 상품의 배송업무를 위하여 소지하고 있던 주소 등의 개인정보를 택배사에게 넘기는 경우에는 취급업무 위탁으로 볼 수 있다. 마케팅 업무를 위하여 소지한 개인정보를 광고대행사에 넘기는 경우도 취급업무 위탁에 해당한다. 실무적으로 취급업무 위탁이 제3자 제공과 구별이 쉽지 않아 혼동하는 경우가 많다. 외부인사 보안 업무, 마케팅 업무, 홍보 업무, 고객불만처리 업무, 추심 업무, 개인정보의 전산입력 업무, 이벤트 업무, 보너스포인트관리 업무, 택배ㆍ배송 업무, AS 업무, 본인확인 업무, 인증 업무 등을 위하여 개인정보를 수집케 하거나 수집한 개인정보를 건네주는 경우는 제3자 제공이 아니라 취급업무 위탁에 해당하다. 위탁자의 의무와 책임 (1) 위탁이란 위탁자의 목적 달성을 위하여 아웃소싱하는 경우이므로 위탁으로 인하여 위탁자의 정보주체에 대한 의무는 감소하지 않고 오히려 수탁자에 대한 의무가 부가된다. 위탁자의 정보주체에 대한 의무는 위탁하지 않았을 때와 원칙적으로 큰 차이가 없다. 다만 사실적으로 개인정보의 점유가 이전되었기 때문에, 점유를 전제로 하는 일부 의무는 그 적용이 없다. 예컨대 주민등록번호 처리금지 의무의 경우, 위탁자는 개인정보를 점유하고 있지 않음에도 불구하고 주민등록번호 처리를 하지 않을 의무가 존재한다. 반면 개인정보의 기술적 보호조치 의무의 경우, 개인정보를 점유하고 있지 않은 위탁자에게는 그 의무 적용이 되지 않고, 그 대신에 아래에서 설명하는 위탁자의 관리ㆍ감독의무가 적용된다. 정보통신망법이 적용되는 조직의 경우, 위탁자의 경우 ⑴ 고지 및 동의 의무(정보통신망법 제25조 제1항, 예외적으로 제2항의 경우에는 공개ㆍ통지로 족함), ⑵ 수탁자의 관리감독의무(제4항)가 있다. 즉 정보통신서비스 제공자는 이용자에게 위탁사실, 수탁자, 위탁업무의 내용을 알리고 동의를 받아야 한다. 수탁자와 위탁업무의 내용이 변경되는 경우에도 마찬가지이다. 다만 ‘정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 경우’로서 수탁자와 위탁업무의 내용을 공개하거나 전자우편 등으로 통지한 경우에는 동의(고지 포함)를 받지 않아도 된다. 그리고 위탁자는 수탁자가 정보통신망법의 개인정보와 관련된 의무를 위반하지 아니하도록 관리ㆍ감독하여야 한다. 하지만 현실적으로 보면, 위탁자가 수탁자를 관리ㆍ감독하지 못하는 상황이 많이 존재한다. 예컨대 영세한 기업이 대기업 택배업체에 배송을 맡긴 경우이다. 여기서 주의할 점은 위탁자의 관리ㆍ감독의무와 위탁자의 정보주체에 관한 의무와의 관계인데, 위탁자는 정보주체에 관한 의무와 수탁자의 관리ㆍ감독의무를 모두 부담하고, 이 둘의 관계는 어느 하나가 다른 하나를 배척하는 것은 아니라 병존하는 관계이다. 예컨대 수탁자가 파기기한을 어기고 개인정보를 소지하고 있는 경우, 수탁자가 파기의무 위반으로 처벌되는 것은 별론으로 치고(제67조 제2항), 위탁자는 정보주체에 대하여 파기의무 위반의 책임을 지고, 동시에 수탁자의 관리ㆍ감독의무 해태의 책임을 부담한다. 다만 위탁자의 수탁자에 대한 관리ㆍ감독의무 위반이 있더라도 위탁자에 대한 시정조치 외에 위탁자에 대한 과태료 등의 처벌규정은 존재하지 않는바, 수탁자에 대한 처벌규정으로 족하다는 입법적 고려 때문인데, 위탁자에 대한 처벌 규정의 부존재로 위탁자의 수탁자에 대한 관리ㆍ감독 조문의 실효성이 문제되고 있다. 예컨대 수탁자가 개인정보의 관리적ㆍ기술적 보호조치를 제대로 하지 못해 개인정보가 유출된 경우, 수탁자가 행정적ㆍ형사적 책임을 지는 것과 별개로, 위탁자의 관리ㆍ감독의무 해태가 문제되기는 하지만, 앞서 언급한 대로 위탁자에 대한 제재 규정이 없는 관계로 위탁자에게 민사적 책임이 아닌 행정적ㆍ형사적 책임을 부담시킬 수는 없다. 다만 수탁자의 과실에 대하여 실무적으로는 위탁자에게 행정책임을 부담시킨 사례가 있었다고 한다. 입법론적으로는 위탁자와 수탁자의 여러 가지 유형의 관계를 고려하여, 각 관계에 따른 구체적 타당성을 고려한 위탁자의 관리ㆍ감독의무 위반에 대한 행정적ㆍ형사적 제재를 신설함으로써, 책임회피 목적의 무분별한 위탁 현상이나 수탁자 선정시 부주의를 막을 수 있을 것이다. 참고로 수탁자 선정시 주의사항은 개인정보보호법의 보충규정인 표준지침 제19조에 설명이 되어 있는바, 위탁자는 수탁자의 인력과 물적 시설, 재정 부담능력, 기술 보유의 정도, 책임능력 등을 종합적으로 고려하여야 한다고 되어 있다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2014. 1. 3.), 블로그(2014. 1. 7.) 기고.