소프트웨어 라이선스 감사(software license compliance audit). 기업에서 소프트웨어 관리 업무를 하는 사람이라면 누구나 들어보았을 말인 이 소프트웨어 라이선스 감사 때문에 최근 들어 소프트웨어 제공회사와 소프트웨어 이용회사 사이의 분쟁이 심각해지고 있다. 소프트웨어 라이선스 감사란 통상 소프트웨어 이용 약관에 포함되는데, 소프트웨어 제공회사로부터 라이선스 권리를 취득한 소프트웨어 이용회사에 대해, 그 소프트웨어 이용회사가 법령상·약관상 의무나 라이선스 범위를 준수(compliance)했는지 알아보기 위해 소프트웨어 제공회사가 직접 또는 원격으로 소프트웨어 이용회사 PC 등을 조사하는 것을 말한다. 미국의 경우, 소프트웨어 라이선스 감사는 10년 정도의 역사를 가지고 지속적으로 증가추세에 있다. 가트너(Gartner) 보고서에 의하면, 2011년 기준으로 전체 기업의 61% 이상이 감사를 받았으며, 감사를 가장 많이 한 소프트웨어는 아이비엠(IBM), 어도비(Adobe), 마이크로소프트(Microsoft), 오라클(Oracle)의 순서로 나타났다. 우리나라의 경우 미국만큼은 아니지만 역시 증가추세에 있으며, 이 과정에서 많은 법률적 쟁점이 발생하는바, 이에 대해 4부에 걸쳐 알아보기로 한다. ◆ 감사의 유형 소프트웨어 라이선스 감사는 4가지 유형으로 나타난다. 소프트웨어 이용회사가 미리 정해진 방법으로 감사를 한 다음에 소프트웨어 제공회사에 그 결과를 제공하는 자체 감사(self-audit), 제3자가 소프트웨어 이용회사를 감사한 다음에 그 결과를 소프트웨어 제공회사에 제공하는 제3자 감사(independent audit), 소프트웨어 제공회사가 직접 소프트웨어 이용회사를 감사하는 제공자 감사(publisher-staffed audit), 소프트웨어 관리툴인 SAM(Software Asset Management)을 이용하는 SAM 감사. 우리나라의 경우, 소프트웨어 제공회사가 통상 컨설팅 회사에 위임해 컨설팅회사가 감사를 하고, 그 결과를 소프트웨어 회사에게 제공하는 제3자 감사(independent audit)가 가장 빈번하다. 이 때 컨설팅 회사는 소프트웨어 이용회사 및 감사결과에 대해 비밀유지의무를 부담해야 한다. 이러한 제3자 감사에서 발생하는 가장 중요한 법적 문제는 바로 제3자에게 감사비용을 누가, 언제, 얼마나 지급해야 하는가이다. 이 문제는 매우 중요한 문제이므로 마지막에 다루기로 한다. ◆ 감사의 방법 소프트웨어 라이선스 감사는 소프트웨어 제공회사들의 협회나 위탁단체에 의해 이루어지기도 한다. 이른바 위탁감사라 할 수 있다. 우리나라에서는 한국소프트웨어저작권협회(SPC)가 행하는 게 일반적이다. 미국의 경우는 Business Software Alliance(BSA), Software Information Industry Association(SIIA), 영국의 경우는 Federation Against Software Theft(FAST)라는 단체가 유명하다. 감사는 전문적인 감사자들이 신뢰성 있는 감사툴을 작동함으로써 행해져야 한다. 감사툴은 홀로(stand-alone) 또는 네트워크 기반(network) 형식으로 작동하면서, 저작권법 또는 라이선스 계약 위반 사실을 감지해 보고서를 만들어낸다. 많은 감사 PC가 있는 경우에는 일부 PC를 샘플링해 감사를 행하기도 하고, 민감한 시스템을 사용하는 소프트웨어 이용회사에 대해는 먼저 테스트를 거친 다음에 본격적인 감사 절차에 나아가야 한다. 이러한 감사툴 사용에서 문제되는 것은, 예전에 불법소프트웨어를 사용하다가 이를 지우고 정품을 구입한 다음에 깔아서 사용하고 있는데, 감사툴이 예전의 불법소프트웨어 또는 크랙버전을 감지하는 경우이다. 이 경우, 논란이 있기는 하지만 저작권법 위반이 될 소지가 있기 때문에, 소프트웨어 이용회사는 레지스트리까지 완전히 말소함으로써 이러한 논란을 미리 없애는 조치를 취해야 한다. 각 소프트웨어의 언인스톨(Uninstall) 프로그램을 이용해 설치했던 소프트웨어를 말소하면 레지스트리까지 말소되기는 하지만, 감사를 대비하기 위해서는 컴퓨터의 레지스트리를 다시 한 번 점검해야 할 것이다. 참고로 우리나라의 한국소프트웨어저작권협회(SPC)는 크랙프로그램이라도 이미 언인스톨(Uninstall) 및 레지스트리 정리를 한 경우에는 법적 문제를 삼지 않는다고 홈페이지에 공지하고 있다(samdb.or.kr/Faq/ 참조). 만일 레지스트리 정리가 어렵다면, 하드디스크를 포맷하고 정품프로그램을 설치하는 게 좋다. <2부에 계속> * 법무법인 민후 김경환 대표변호사 작성, 전자신문(2013. 5. 28.), 디지털타임스(2014. 1. 4.), 마이크로소프트웨어, 디지털데일리(2014. 3. 19.) 기고.

우리시대 혁신의 주역이자 미래 산업의 선두주자라 할 수 있는 소프트웨어(SW)! 그 역사는 얼마 되지는 않았지만 디지털ㆍ스마트시대를 대표하면서 급성장한 산업임에 틀림없다. 소프트웨어 산업의 급성장은 소프트웨어의 저변확대와 다수의 이용자 확보에 기인하고 있지만, 또 하나의 성장 원동력을 꼽으라면 그것은 저작권이다. 저작권은 오랫동안 소프트웨어 기업을 저작권 해적으로부터 지켜주는 수호천사 역할을 잘 수행해 오면서, 소프트웨어 기업에게 부(富)를 가져다주었다. 그러나 저작권의 일천한 역사 탓인지, 저작권은 소프트웨어 기업의 이용자에 대한 갑(甲)의 횡포ㆍ갈취 수단으로 악용되기도 하였으며, 심지어 이용자와의 계약을 흔들어 깨는 수단으로도 쓰이고 있다. 이런 상태가 지속되면 그 누구도 행복해질 수 없다. 모두가 행복해지는 소프트웨어 권리자와 소프트웨어 이용자 사이의 균형점은 어디일까? 최근의 몇 가지 소프트웨어 저작권 이슈를 살펴보면서, 이 물음에 대한 최선의 답을 찾아보기로 한다. 먼저 저작권 단속에 대하여 논하면, 저작권 단속은 불법소프트웨어 사용 근절을 위하여 반드시 필요하다. 하지만 불법소프트웨어를 사용하게 하는 함정을 파놓고 기다리다가 누군가 실수로 함정에 빠지면, 그 사람에게 저작권 형사고소를 거론하면서 터무니없는 거액의 구매비용을 요구하는 경우가 적지 않다. 예컨대 수년 동안 무료로 운영하던 소프트웨어를 갑자기 충분한 고지를 하지 않고 유료로 전환하면서 저작권 단속을 시작하고, 저작권 단속에 걸려 실수를 인정하고 유료 구매를 하겠다는 사람에게 원가격의 100배가 넘는 터무니없는 거액을 부르면서 구매하지 않으면 형사고소 하겠다고 협박하는 경우, 이러한 저작권 단속은 정당한가? 실수로 저작권 침해를 한 사람은 단 한 번의 실수로, 원가격보다 100배가 넘는 거액을 권리자에게 지불하여야 하는가? 함정을 파놓고 함정에 빠지기만 기다리는 소프트웨어 권리자에게 저작권이라는 무기는 흉기임에 틀림없다. 저작권은 반드시 정의로운 권리이어야 하기에, 이러한 횡포나 갈취까지 협조해서는 아니 될 것이다. 다음으로 요즘 기업들이 가장 힘들어하는 라이선스 감사에 대하여 논해보고자 한다. 저작권 단속은 라이선스권자가 아닌 사람에게 행하는 것인 반면에 라이선스 감사는 적법한 라이선스권자에게 행하는 것이다. 따라서 그 목적도 저작권 침해 단속이 아니고, 컴플라이언스 조사이다. 하지만 우리나라에서 행해지고 있는 라이선스 감사는 어떠한가? 권리자가 시키는 그대로 감사에 응하지 않으면 라이선스를 철회하겠다고 으름장 놓으면서, 비싼 라이선스 비용을 지불하여 소프트웨어를 구매한 이용기업을 잠재적 범죄자로 취급하고 심히 부당하게 다루고 있다. 외국에서의 감사와는 전혀 다르게 또 하나의 단속 수단으로 이용되고 있는 것이다. 행여 작은 하나라도 컴플라이언스 위반이 있으면, 수백만ㆍ수천만 원의 비싼 감사 비용을 이용기업에게 떠넘기면서 불필요한 라이선스 강제구매까지도 서슴지 않고 강요하고, 만일 자기들의 뜻에 따르지 않는다면 형사고소 하겠다는 등의 협박도 하고 있다. 비싼 돈 주고 라이선스 구매를 하게 되면, 오히려 불법소프트웨어 사용자보다 열악한 지위에 놓이게 된다고 생각하는 사람도 있다. 이런 사람에게는 라이선스 감사가 조폭보다도 무서운 존재로 인식될 수밖에 없다. 소프트웨어 권리자는 라이선스 구매자에 대한 합법적인 대우를 해 주어야 할 것이기에, 감사 과정에서 저작권이 적법한 라이선스권자를 학대하고 갈취하는 수단으로 사용되어서는 아니 될 것이다. 마지막으로, 라이선스 정책의 일방적 변경에 대하여 논해본다. 라이선스는 저작권 이용에 대한 계약이고, 이 계약은 특별한 사정의 변경이 없는 한 권리자나 이용자 모두 준수하여야 한다. 하지만 소프트웨어 이용 계약은 특별한 사정변경이 없음에도 여타의 계약보다 변경이 잦고, 그 변경 과정에서 기득권의 보호도 제대로 해 주지 않는다. 심지어는 이전보다 불리하게 변경되면서 추가비용을 요구하는 경우도 있다. 대단히 불공정한 처사이다. 계약이 있으면, 그 계약 내에서 저작권이 행사되는 것이 원칙이다. 저작권이 기존의 계약을 깨면서 부당한 이익을 챙기는 수단으로 악용되어서는 아니 될 것이다. 이용자 없이는 소프트웨어 기업의 성장이나 소프트웨어 기술의 혁신은 존재하지 않는다. 저작권이 이용자에게 부당한 요구를 관철하는 수단으로 악용된다면 저작권에 대한 반감이 생길 것이고, 결국 소프트웨어에 대한 저작권에 의한 보호 수준은 낮아질 수밖에 없다. 적절하게 잘 사용되는 저작권이, 이용자의 충분한 신뢰를 얻게 하여, 결국 소프트웨어 산업의 혁신과 미래를 밝힐 것이라는 점을 믿어 의심치 않는다. * 법무법인 민후 김경환 대표변호사 작성, 월간저작권문화(2013년 10월호) 기고.

⑦ 빅데이터에 관하여 많은 논란이 있었던 한 해였다. 연초에 제정된 빅데이터 개인정보 가이드라인은 상위법령에 근거가 없다는 이유로 1년을 표류하다가 연말에서야 비로소 방송통신위원회에서 통과되었다. 비식별화 처리를 원칙으로 하고 있는 빅데이터 개인정보 가이드라인이 빅데이터의 개념조차 제대로 정립이 안 된 우리나라에서 얼마나 큰 기여를 할 지 지켜볼 일이다. ⑧ 일년 내내 전자금융사기가 끊이지 않았다. 재작년에 시작된 파밍ㆍ메모리해킹과 같은 악성프로그램을 이용한 공격 때문에 피해자들은 늘어만 가고, 소액이지만 스미싱 공격을 당하지 않은 사람이 없을 정도로 각종 사회공학적 해킹이 창궐했던 한 해였다. 금년에도 이러한 추세는 달라지지 않을 것이다. 하지만 은행으로부터 보상을 받은 사람은 0.01%도 되지 않는 것 같다. 급기야 금융당국은 은행에 대하여도 FDS(Fraud Detection System) 설치를 강권하기에 이르렀고 은행들은 하나 둘씩 FDS 시스템을 설치하고 있다. FDS 시스템이 도입되지 않더라도 IP 분석이나 통제로 피해의 상당 부분을 막을 수 있었는데, 은행권의 그러한 노력이 아쉬웠다. ⑨ ICT 올림픽으로 불리는 ITU 전권회의가 부산에서 성공적으로 개최되었다. 우리나라는 사물인터넷(IoT)ㆍICT 융합 등 의제 채택을 주도했고 한국인 최초로 ITU 고위직(표준화총국장)이 당선되었으며 1989년 이후 7회 연속 ITU 이사국 진출에 성공했다. ICT 외교 무대에서 우리나라의 위상을 자리매김하였다는 평가를 받았다. ⑩ ICT 기업에도 변동이 있었다. 다음과 카카오의 합병으로 1조원대 인터넷 기업이 출연하였고, 삼성 SDS는 올해 최대의 IPO로 꼽히면서 38만원의 시초가를 형성하였다. 반면 팬텍과 모뉴엘은 법정관리가 시작되었다. 창조경제의 핵심은 ICT이라고 한다. 2014년과 달리 2015년에는 그야말로 핵심 역할을 할 수 있도록 정부와 기업이 함께 힘을 합쳐야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2015. 1. 13.) 기고.

'잊혀질 권리'와 관련하여 세계적으로 가장 유명한 사람은 막스 모슬리와 마리오 코스테하 곤잘레스이다. 막스 모슬리는 F1 그랑프리의 대부라고 불리는 사람인데, 누군가가 찍은 나치복 차림의 가학적 성행위 동영상이 유포되는 바람에 그 동영상과 이미지를 제거하고자 각국의 구글을 상대로 수년째 '이미지 검색 필터링'에 관한 소송을 진행 중이다. 이런 노력 덕분인지 2013년 11월 프랑스 법원으로부터 '이미지 검색 필터링'에 대한 승소판결을 받았다. 마리오 코스테하 곤잘레스는 2014년 5월 13일에 있었던 유럽사법재판소(ECJ)의 재판 결과 때문에 유명해졌는데, 유럽사법재판소는 구글에게 곤잘레스에 관하여 현재 부적절하다고 판단되는 과거의 재산강제매각 기사에 대한 검색 결과를 제거하라고 명령함으로써 '잊혀질 권리'를 명시적으로 인정하였다. 두 사람은 구글을 상대로 '잊혀질 권리'를 주장하여 승소한 사람이지만, 차이점이 있다면 모슬리는 '이미지'에 대한 '필터링'을 인용받은 반면 곤잘레스는 '검색결과'에 대한 '삭제'를 인용받았다는 것이다. 두 사람은 힘든 소송을 하고 있지만 역사적으로 길이 남을 기념비적인 일을 하고 있으며, 이들로 인해 모호했던 '잊혀질 권리'에 대한 개념 정립이나 한계 설정 등이 가시화되고 있고, 이들의 노고는 수억 명에게 혜택을 줄 것으로 보인다. 특히 곤잘레스의 판결에서 인정된 잊혀질 권리의 근거 조문이, 향후 시행될 General Data Protection Regulation의 잊혀질 권리 명문 규정이 아니라 현재 시행중인 Directive 95/46/EC의 정정권과 처리반대권이라는 점에서 유사한 조문을 가진 우리나라의 개인정보보호법 해석에 시사하는 바가 매우 크다. 인터넷에서 우리는 어떤 자화상을 가질 것인가의 문제인 잊혀질 권리. 우리도 이제 단순한 찬반논쟁에서 벗어나 심도있는 연구와 축적을 통해 수백, 수천만 명의 모슬리와 곤잘레스에게 법적 구제의 손길을 내밀어야 하지 않을까. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 5. 19.), 블로그(2014. 7. 23.) 기고.

회사의 임직원이 회사의 소중한 영업비밀을 직무발명으로서 자신의 이름으로 출원하여 공개시켰다면, 임직원에게 영업비밀침해죄가 성립할까? 이런 경우가 있을까 하고 의문을 제기할 수 있지만, 실제 영업비밀 소송에서 발생했던 사실이고, 겪은 적도 있다. 우선 간단하게 직무발명에 대하여 살펴보고자 한다. 직무발명이란 임직원이 회사의 업무에 관하여 발명을 한 경우를 가리킨다. 따라서 임직원이라도 회사의 업무 외의 내용에 대하여 발명을 한 경우에는 직무발명으로 보지 않는다. 직무발명이 회사의 임직원에 의하여 이루어진 경우의 그 권리 귀속 및 법적 취급은 두 가지 경우로 나누어 이해해야 한다(발명진흥법 참조) 첫째, 임직원의 직무발명에 대하여 회사가 권리를 가진다는 내용의 직무발명의 예약승계약정이 없는 경우에는, 우선 발명을 한 임직원에게 직무발명의 권리가 귀속된다. 이 경우 발명을 한 임직원은 지체 없이 회사에게 문서로써 승계 여부를 통지하여야 한다. 직무발명의 귀속은 전적으로 임직원의 의사에 달려 있다. ① 임직원으로부터 통지를 받은 회사와 임직원 사이에 쌍방의 동의에 의하여 회사로 직무발명을 승계하기로 하는 합의가 성립하게 되면, 이 계약에 의하여 직무발명은 회사에 귀속되고 임직원은 회사에 대하여 직무발명 보상금을 청구할 수 있는 권리가 생긴다. ② 임직원으로부터 통지를 받은 회사와 임직원 사이에 회사로 직무발명을 승계하는 것에 대하여 일방이라도 반대하여 합의가 성립하지 않으면, 직무발명은 최종적으로 임직원에게 귀속되고 회사는 무상의 통상실시권을 가지게 된다. 둘째, 직무발명의 승계약정이 미리 마련된 경우에도 임직원은 발명 즉시 문서로써 회사에게 발명사실을 통지해 주어야 하고, 임직원의 통지에 대하여 회사는 4개월 안에 승계 여부를 결정하여 문서로써 통지해 주어야 한다. ① 회사가 4개월 안에 승계의 의사를 통지한 경우, 직무발명은 승계의사를 통지한 때로부터 회사에 귀속한다. 이 경우 임직원은 회사에 대하여 직무발명 보상금을 청구할 수 있는 권리가 생긴다. ② 회사가 불승계 의사를 통지한 경우, 직무발명은 임직원에게 귀속되고, 회사는 무상의 통상실시권을 가진다. ③ 회사가 승계통지를 하지 않거나 4개월을 경과하여 한 경우 회사가 직무발명에 대한 권리승계를 포기한 것으로 보므로, 직무발명은 임직원에게 귀속되고, 회사는 임직원의 동의 없이는 무상의 통상실시권을 가지지 못한다. 본론으로 돌아가서, 직무발명을 행한 임직원이 직접 또는 제3자를 통하여 그 직무발명을 특허로 출원하여 공개해 버린 경우에 대하여 설명하고자 한다(대법원 2012. 11. 15. 선고 2012도6676 판결 참조). 첫째, 직무발명의 예약승계약정이 마련되어 있고 특허출원이 회사가 임직원의 직무발명에 대한 승계의사를 통지하기 이전에 특허출원이 이루어진 경우, 직무발명은 회사가 승계의사를 통지한 때로부터 승계된다고 보므로 특허출원 당시에는 아직 직무발명이 임직원에게 귀속된 상태이다. 따라서 임직원에 대하여는 영업비밀누설죄로 처벌할 수 없다. 다만 임직원이 직무발명을 완성하고도 그 사실을 회사에게 알리지 않은 채 그 발명을 특허로 출원하였다면 이는 임무위배행위에 해당하므로 업무상배임죄로는 처벌할 수 있다. 한편 임직원이 출원한 발명의 내용에 직무발명 외의 회사의 영업비밀이 일부라도 포함된 경우에는 그 범위에 한하여 영업비밀누설죄로 처벌할 수 있다. 둘째, 직무발명의 예약승계약정이 마련되어 있고 회사가 임직원의 직무발명 승계의사를 밝힌 이후에 특허출원이 있는 경우, 직무발명은 이미 회사에게 귀속된 상태이므로, 임직원에 대하여 영업비밀누설죄와 업무상 배임죄를 적용할 수 있을 것이다. 셋째, 직무발명의 승계약정이 없는 경우는 결론이 단순하지 않다. 일단 임직원이 회사에 대하여 통지를 하였는지 여부도 범죄 성립에 영향을 주고, 회사와 임직원 중 누구에게 직무발명이 귀속되었는지에 따라 범죄 성립의 결론이 달라질 수 있다. 만일 직무발명이 임직원에게 귀속된 상태라면, 임직원에 대하여는 영업비밀누설죄가 성립할 수 없을 것이고, 반대로 직무발명이 회사에 귀속된 상태라면, 임직원에 대하여는 영업비밀누설죄가 성립할 수 있을 것이다. 넷째, 회사가 직무발명을 출원할 때까지 임직원은 그 발명의 내용에 관한 비밀을 유지하여야 할 의무(발명진흥법 제19조)를 부담하므로, 임의로 직무발명을 출원한 임직원에 대하여 직무발명공개죄(제58조)를 적용할 수 있다. 다만 회사가 직무발명을 승계하지 않기로 확정된 경우에는 위 범죄가 성립하지 않는다. 이 직무발명공개죄가 성립하기 위하여는 특허를 출원한 임직원에게 부정한 이익을 얻거나 회사에 손해를 가할 목적이 인정되어야 하고, 절차적으로 친고죄이므로 회사의 고소가 있어야 검사가 공소를 제기할 수 있다. 통상 이러한 공방은 회사가 임직원에 대하여 영업비밀누설을 주장하는 경우에, 임직원이 자신의 무죄를 입증하기 위하여 직무발명 출원을 거론하는 경우 발생하는 현상이다. 임직원의 특허출원에 대하여 회사가 영업비밀을 지키기 위해서는, 회사는 직무발명규정이나 사규, 근무규정을 마련하고, 임직원의 승계 여부 통지에 관하여 시간을 끌지 말고 조속하게 승계 여부를 문서통지로 확정하는 것이 바람직하다고 본다. * 법무법인 민후 김경환 대표변호사 작성, 전자신문(2013. 7. 10.), 디지털타임스(2014. 1. 4.) 기고.

가구 브랜드인 A(이하 'A 브랜드')는 언론사 기자들에게 자사에서 금번 새로 출시하는 신제품을 무상으로 제공하고자 한다. A사는, 자신들이 기자들에게 자사 제품을 무상으로 제공하는 것은 기자들에게 기자 작성을 청탁하기 위함이 아니라 신제품에 대한 반응을 조사하기 위함이라고 하는데, 이러한 경우도 부정청탁 및 금품등 수수의 금지에 관한 법률(이하 '청탁금지법')에 위반하는 것일까? 2016년부터 시행된 청탁금지법은 언론사의 임직원을 '공직자등'에 포함된다고 규정하고(제2조 제2호 라목), 이러한 '공직자등'은 직무와 관련하여 대가성 여부 및 금액 여하를 불문하고 금품등을 받으면 안 되며, 누구든지 공직자등에게 수수 금지 금품등을 제공하거나 그 제공의 약속 또는 의사표시를 해서는 안 된다는 점을 규정하는 한편(제8조 제2항 및 제5항), 제8조 제3항 제1호 내지 제8호에서 예외 조항을 마련하고 있다. 부정청탁 및 금품등 수수의 금지에 관한 법률 제8조(금품등의 수수 금지) ③ 제10조의 외부강의등에 관한 사례금 또는 다음 각 호의 어느 하나에 해당하는 금품등의 경우에는 제1항 또는 제2항에서 수수를 금지하는 금품등에 해당하지 아니한다. 1. 공공기관이 소속 공직자등이나 파견 공직자등에게 지급하거나 상급 공직자등이 위로ㆍ격려ㆍ포상 등의 목적으로 하급 공직자등에게 제공하는 금품등 2. 원활한 직무수행 또는 사교ㆍ의례 또는 부조의 목적으로 제공되는 음식물ㆍ경조사비ㆍ선물 등으로서 대통령령으로 정하는 가액 범위 안의 금품등 3. 사적 거래(증여는 제외한다)로 인한 채무의 이행 등 정당한 권원(권원)에 의하여 제공되는 금품등 4. 공직자등의 친족(「민법」 제777조에 따른 친족을 말한다)이 제공하는 금품등 5. 공직자등과 관련된 직원상조회ㆍ동호인회ㆍ동창회ㆍ향우회ㆍ친목회ㆍ종교단체ㆍ사회단체 등이 정하는 기준에 따라 구성원에게 제공하는 금품등 및 그 소속 구성원 등 공직자등과 특별히 장기적ㆍ지속적인 친분관계를 맺고 있는 자가 질병ㆍ재난 등으로 어려운 처지에 있는 공직자등에게 제공하는 금품등 6. 공직자등의 직무와 관련된 공식적인 행사에서 주최자가 참석자에게 통상적인 범위에서 일률적으로 제공하는 교통, 숙박, 음식물 등의 금품등 7. 불특정 다수인에게 배포하기 위한 기념품 또는 홍보용품 등이나 경연ㆍ추첨을 통하여 받는 보상 또는 상품 등 8. 그 밖에 다른 법령ㆍ기준 또는 사회상규에 따라 허용되는 금품등 위 A 브랜드 사례와 관련하여는 제2호와 제8호에서 규정하는 예외에 해당하는지 여부가 문제될 수 있을 것이다. 청탁금지법은 원활한 직무수행 또는 사교ㆍ의례 또는 부조의 목적으로 제공되는 5만 원 범위 안의 금품은 청탁금지법에서 수수를 금지하는 금품등에 해당하지 않는다고 규정하는바(청탁금지법 제8조 제3항 제2호, 동법 시행령 제17조 및 [별표 1]), A 브랜드가 기자들에게 제공하는 제품의 가액이 5만 원 이내라면, 이는 청탁금지법 제8조 제3항 제2호의 예외에 해당하여 청탁금지법 위반의 문제가 발생하지 않을 것이다. 부정청탁 및 금품등 수수의 금지에 관한 법률 시행령 제17조(사교·의례 등 목적으로 제공되는 음식물·경조사비 등의 가액 범위) 법 제8조제3항제2호에서 "대통령령으로 정하는 가액 범위"란 별표 1에 따른 금액을 말한다. [별표 1] 음식물ㆍ경조사비ㆍ선물 등의 가액 범위(제17조 관련) 3. 선물: 금전, 유가증권, 제1호의 음식물 및 제2호의 경조사비를 제외한 일체의 물품, 그 밖에 이에 준하는 것은 5만원. (생략) 만약 A 브랜드가 기자들에게 제공하는 제품의 가액이 5만 원을 초과하는 경우라면 청탁금지법 제8조 제3항 제8호에 해당하는지 여부를 추가적으로 살펴보아야 하는데, 국민권익위원회는 "특정 전문 분야 기자는 취재 목적으로 해당 물건의 샘플 등을 제공받아 해당 물건에 대한 기사를 작성하는 것이 고유한 업무이므로, 주최자의 홍보정책에 따라 취재 목적으로 출입하는 기자 본인에게 제공되는 프레스티켓이나 샘플, 해당 물건의 단기 사용 등은 법 제8조 제3항 제8호의 사회상규에 따라 허용된다"는 유권해석을 한 바 있다. 이러한 국민권익위원회 유권해석에 비추어 보았을 때, 가구 브랜드인 A 브랜드가 인테리어, 가구 등 해당 분야 기자들에게 취재 목적으로 자사 제품을 사용하도록 무상 제공하는 경우라면, 이는 청탁금지법 제8조 제3항 제8호의 예외에 해당하여 청탁금지법에 위반되지 않는 것으로 판단될 것이다. 위와 같이 청탁금지법에 위반하지 않으면서도 언론을 통하여 자사 제품을 홍보할 수 있는 방안이 있을 수 있으므로, 스타트업은 위 내용을 참조하여, 청탁금지법에 위반하지 않으면서도 언론을 통하여 자사 제품을 홍보할 수 있는 방안을 마련하길 바란다. * 법무법인 민후 김도윤 변호사 작성, 디지털데일리(2020. 11. 30.) 기고.

긴 방학이 끝나고 새 학기가 시작되면서 어떤 학생들은 새 친구를 만난다는 생각에 설레지만, 어떤 학생들은 집단따돌림, 사이버 불링(Cyber Bullying)으로 괴롭힘을 당할 생각에 밤잠을 설친다고 한다. 명예훼손이나 모욕이 1:1의 다툼이라면, 집단따돌림이나 사이버불링은 다수:1의 다툼이라는 점에서 인격형성 시기의 예민한 청소년이 심리적 부담감을 이겨내기가 결코 쉽지 않다. 미국에서는 2006년경 친구들의 사이버불링으로 자살로 생을 마감한 메간 마이어(Megan Meier) 사건이 유명하다. 이후 '메간 마이어 사이버불링 방지법(Megan Meier Cyber-Bullying Prevention Act)'이 통과될 정도로 파장은 엄청났다. 스마트폰과 SNS 보급의 정점에 있는 우리나라도 사이버불링 문제는 결코 좌시할 수 없는 상황이 되었다. 같은 반 학생을 배척하는 안티카페가 1000개가 넘는다고 하며, 욕설보내기, 메신저를 집단으로 차단하는 것, 음란 사이트에 신상 노출하기, 굴욕적인 합성사진 보내기, 거짓소문 퍼뜨리기 등등 수단과 방법이 다양해지면서 대범해지고 있다. 인터넷에 올린 글이나 사진 등은 순식간에 전교생에 퍼져나가기 때문에 피해자가 손을 쓸 수도 없는 상황이다. 현행 '학교폭력예방 및 대책에 관한 법률'은 사이버불링에 관하여 '인터넷, 휴대전화 등 정보통신기기를 이용하여 학생들이 특정 학생들을 대상으로 지속적, 반복적으로 심리적 공격을 가하거나, 특정 학생과 관련된 개인정보 또는 허위사실을 유포하여 상대방이 고통을 느끼도록 하는 일체의 행위'라고 광범위하게 정의하고 있지만, 가해자가 미성년자이거나 청소년이기에 그 제재수단을 강구하기가 쉽지 않다. 사이버불링은 학교 교사에 대한 사이버불링, 직장에서의 사이버불링으로 번져가기도 한다. 집단적 명예훼손·모욕, 차별, 폭력이라 할 수 있는 사이버불링 현상에 대한 이해 및 그 방지를 위한 진지한 법적 고민이 있어야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 3. 24.) 기고.

지난회에 이어 개정 정보통신망법의 내용을 이어서 알아본다. ◆ 개인정보 누출 신고·통지 제도 강화 개인정보 누출시 기업은 그 사실을 방송통신위원회에 신고해야 하고, 정보주체에게 이를 통지해야 하는데, 구법은 정확한 기한 설정을 하지 않았기에 이에 대해 정확한 법집행에 문제가 있었다. 개정법은 신고·통지 기한을 24시간으로 규정했고, 신고기관도 방송통신위원회뿐만 아니라 한국인터넷진흥원도 추가했다. 다만 정당한 이유가 있는 경우에는 24시간이 지난 이후에 신고·통지를 할 수 있지만, 이럴 경우에 방송통신위원회에 지연사유를 소명해야 한다. 개인정보 누출시 신고나 통지 기한을 설정한 것은 매우 바람직해 보인다. 다만 신고는 그렇다 치지만, 현실적으로 통지를 24시간 안에 하기에는 조금 무리가 생기지 않을까 하는 점이 염려된다. 신고는 24시간, 통지는 48시간 정도로 하는 것이 좀 더 현실적이라 할 수 있을 것이다. ◆ 개인정보 파기방법의 구체화 개인정보보호법과 달리 정보통신망법은 파기의무만을 부과하고 있지, 파기방법에 대해는 침묵하고 있었다. 개정법은 이 점을 감안해 ‘복구·재생할 수 없도록 파기’하라는 파기 방법을 구체적으로 규정하고 있다. 복구·재생할 수 없도록 파기하라는 것은, 단순한 삭제로는 되지 않고 로우레벨 포맷이나 디가우징 정도를 요구하는 것이다. 파기 방법을 명확하게 규정함으로써, 탈법적 파기를 막을 수 있을 것이다. ◆ 법정손해배상제도의 인정 개인정보 유출 등으로 피해를 본 피해자는 기업에 대해 손해배상을 청구할 수 있는데, 이 경우 자신이 손해를 입었다는 사실과 그 손해액을 입증해야 한다. 하지만 현실적으로 구체적인 손해액을 입증하기가 쉽지 않았다. 이런 점을 감안해 또 하나의 옵션을 제공하고 있는데 이게 바로 신설된 법정손해배상 조문이다. 법정손해배상제도는 일부 지적재산권 법률에 도입된 제도인데, 피해자의 손해 입증이 없더라도 법률에 규정된 손해액을 기준으로 배상액을 산정해 주는 제도이다. 한편 법정손해배상제도를 도입한 개정법은 두 가지 제한을 하고 있는데, 첫째, 배상액을 300만원 이하의 범위에서 상당한 금액으로 정해 상한 제한을 하고 있고, 둘째, 적용되는 사유를 모든 법위반 사유가 아니라 개인정보가 분실·도난·누출된 경우로 제한하고 있다. 이 제도의 도입으로 일단 피해자의 권리구제에 새로운 길이 열린 것은 장점으로 볼 수 있다. 다만 현실적으로 지금까지 존재했던 모든 개인정보 유출 소송이 정신적 피해를 원인으로 한 위자료를 청구했는데, 정신적 피해라는 것은 재판에서 손해 사실이나 손해액을 입증할 필요가 없는 영역이라는 점에서, 피해자의 권리구제에 이 제도가 실질적인 기여를 했다고 보기는 어려울 듯하다. 즉 위자료 청구에서는 법정손해배상제도는 무용한데, 기존의 모든 개인정보 유출 소송이 위자료 청구 소송이었다는 것이다. 현실적인 피해자의 권리구제에 도움을 주는 길을 열어주려면, 현재 소송에 임한 피해자들이 가장 어려워하는 부분을 긁어주었어야 하지 않을까. 예컨대 인과관계 입증 전환이라든지, 법위반사실 입증 정도의 약화라든지, 사업자의 입증방해에 대한 강력한 제재 등의 이러한 부분들에 대해 피해자들의 입증상의 이익을 고려하는 것이 절실하다 할 것이다. ◆ 과징금 액수의 상향 조정 개정법은 개인정보보호 규정 위반시에 부과되는 과징금 액수를 상향 조정했다. 구법에서는 관련매출액의 1% 이하이던 것이 관련매출액의 3% 이하로 상향조정됐고, 종래 개인정보 유출시 부과되던 1억원 이하의 정액과징금 제도는 폐지되고, 관련매출액의 3% 이하의 정률과징금 제도로 통일됐다. 과징금의 상향 조정으로 인해 기업의 부담은 커지게 됐고, 특히 개인정보 유출시 정률과징금 부과는 기업의 안일한 대처를 뿌리뽑는데 기여할 것으로 보인다. ◆ 과징금 부과시 인과관계의 불입증 개인정보 유출시 종래 1억원 이하의 과징금이 부과될 수 있는데, 이 때에는 행정청이 기술적 보호조치 위반과 개인정보 유출 사이의 인과관계를 입증해야 했었다. 이러한 규정이 얼핏 보면 법리적으로 부합하게 보이지만, 현실적으로 해킹사고 등에서 인과관계를 입증하기가 쉽지 않아, 많은 대규모 개인정보 유출 사고에서 기업들은 과징금에서 피해갈 수 있었다. 그리고 또 한가지 이렇게 인과관계를 입증하기기 쉽지 않은 이유는, 전통적으로 사용되던 조건설에 기반한 인과관계 존부 판단 방법 때문인데, A를 하지 않으면 B가 발생하지 않아야 한다는 판단방법이 해킹사고에서는 기업에게 매우 유리하게 작용했던 것이다. 위와 같은 현실적 이유·법리적 이유 때문에 발생하는 불합리한 점을 극복하고자 개정법은 종래의 ‘제28조 제1항 제2호부터 제5호까지의 조치를 하지 아니해 이용자의 개인정보를 분실·도난·누출·변조 또는 훼손한 경우’의 조문을 ‘이용자의 개인정보를 분실·도난·누출·변조 또는 훼손한 경우로서 제28조 제1항 제2호부터 제5호까지의 조치를 하지 아니한 경우’로 규정을 변형했고, 이 조문에 따르면 기술적 보호조치 위반 사실과 개인정보 유출 사실만 있으면, 따로 두 사실 사이의 인과관계를 입증하지 않더라도 과징금을 부과할 수 있게 됐다. 개인정보 유출에 대한 과징금 부과시 인과관계를 필요로 하지 않도록 한 것은 법리적인 입장에서만 보면 일부 전문가들로부터 비판받을 수 있지만, 실무적으로 보면 매우 적절하고 타당한 결단으로 볼 수 있을 것이다. ◆ 위탁자에 대한 과징금 규정 신설 개정법은 ‘제25조제4항에 따른 관리·감독을 소홀히 해 수탁자가 제4장의 규정을 위반한 경우’라는 과징금 규정을 신설했다. 구법에서는 관리·감독을 제대로 하지 못한 위탁자를 처벌할 수 있는 규정이 없어서, 많은 기업들이 이러한 맹점을 이용해 개인정보 위탁을 광범위하게 행하고 있었다. 한 마디로 개인정보 위탁으로 많은 책임을 덜 수 있었다. 이러한 불합리한 점을 개선하고 위탁 방편에 의한 책임회피의 탈법적 행위를 방지하고자 개정법은 과감하게 과징금 규정을 도입한 것이다. 다만 위탁에 관해 필요한 여러 조문이 더 도입됐으면 하는 아쉬움이 있다. 예컨대 재위탁 근거 조문, 위탁자의 수탁자·재수탁자 등에 대한 구체적인 관리·감독 방안, 재위탁·재재위탁시 위탁자로부터 동의를 받게 하는 규정 등이 병행됐으면 더 바람직했을 것으로 판단된다. * 법무법인 민후 김경환 대표변호사 작성, 디지털데일리(2014. 5. 23.) 기고.

2014년 5월 2일 국회는 19건의 정보통신망법 개정 의안을 통합한 하나의 대안을 통과시켰다. 그간 끊이지 않은 개인정보 유출사고 및 2차 피해로 인해 국민들뿐만 아니라 정부도 노이로제 상태였기에, 이번 개정 방향은 법위반자에 대한 처벌강화, 개인정보보호조치 강화, 손해배상 제도의 보완 등을 통한 권리구제의 강화, 광고정보에 대한 규제 강화 등의 양상을 띠고 있다. 그렇다면 어떤 조문이 어떻게 개정됐고, 그로 인해 어떤 대비를 해야 하는지 살펴보도록 하겠다. ◆ 수집금지 개인정보의 확대 개정법은 수집금지 개인정보의 범위를 확대시켰다. 개인정보는 원칙적으로 수집 가능한 정보와 원칙적으로 수집 불허인 정보로 나눌 수 있는데, 후자에 속하는 것이 정치적 성향 등과 같은 민감정보나 주민번호 등과 같은 고유식별정보이다. 구법은 ‘정보통신서비스 제공자는 사상, 신념, 과거의 병력(病歷) 등 개인의 권리·이익이나 사생활을 뚜렷하게 침해할 우려가 있는 개인정보를 수집해서는 아니 된다’라고 규정해, 사상, 신념, 과거의 병력(病歷) 등의 정보에 대해 원칙적으로 수집금지의 태도였으나, 개정법은 그 범위를 ‘사상, 신념, 가족 및 친인척관계, 학력(學歷)병력(病歷), 기타 사회활동 경력 등’으로 확대시켰다. ‘가족관계, 친인척관계, 학력, 사회활동경력’에 대한 원칙적 수집금지 태도를 명확히 밝힌 것이다. 그간 사생활을 침해하는 정보를 과도하게 수집하는 일부 기업들의 행태를 방지함으로써, 개인정보 수집 과잉의 관행을 시정하는 데 크게 기여할 것으로 보인다. 다만 문제점은, ‘가족관계, 친인척관계, 학력, 사회활동경력’에 관한 정보가 개인정보보호법의 민감정보에 포함될 수 있는지인데, 만일 포함된다면 개인정보보호법과 개정 정보통신망법 사이의 통일성이 유지될 수 있겠지만, 반대로 포함되지 않는다면 통일적이지 않는 태도 때문에 국민들이 혼란에 빠질 수 있을 것이다. 즉 ‘가족관계, 친인척관계, 사회활동경력’에 관한 정보가 개인정보보호법에는 민감정보로 분류되지 않은 정보이어서 원칙적 수집 가능 정보이지만, 정보통신망법에는 원칙적 수집 불허 정보로 분류돼, 혼선을 야기할 수 있다는 의미이다. ◆ 최소정보의 개념 정립 개인정보의 최소수집의 원칙은 오래전부터 매우 중요한 개인정보보호 수칙으로 여겨져 왔다. 하지만 어디까지가 최소수집인지에 대해는 실무적으로 혼란이 많았었다. 이러한 점을 고려해 개정 정보통신망법에서는 ‘필요한 최소한의 개인정보는 해당 서비스의 본질적 기능을 수행하기 위해 반드시 필요한 정보를 말한다’라고 규정해 ‘최소정보’를 개념 정의하고 있다. 즉 ‘해당 서비스의 본질적 기능을 수행하기 위해 반드시 필요한 정보’가 ‘최소정보’인 것이다. ‘최소정보’를 개념 짓는 단어는 ‘본질적’과 ‘반드시 필요한’이다. 해당 서비스에서 본질적 기능을 찾아낸 다음, 그 기능을 수행하기 위해 없어서는 안 될 개인정보를 찾으면 그게 바로 ‘최소정보’라 할 수 있다. 이런 점에서 최소정보의 개념 정의는 타당해 보인다. ◆ 무동의 위탁 사유의 명확화 개인정보의 위탁시 원칙적으로 정보주체의 동의를 받아야 하지만, 예외적인 경우에는 공개나 통지로 동의를 갈음할 수 있다. 그 예외적인 경우가 변경됐다. 구법에서는 ‘정보통신서비스의 제공에 관한 계약을 이행하기 위해 필요한 경우’라고 돼 있었으나, 개정법에서는 ‘정보통신서비스의 제공에 관한 계약을 이행하고 이용자 편의 증진 등을 위해’로 변경됐다. ‘이용자 편의 증진 등’의 요건이 추가된 것이다. ‘정보통신서비스의 제공에 관한 계약을 이행하기 위해 필요한 경우’란 위탁이 계약 이행에서 필수적인 경우를 가리킨다. 예컨대 온라인쇼핑업자가 주문받은 상품을 배송하기 위해서는 택배업체에게 개인정보를 위탁해야 하는데 이러한 택배업체에게의 위탁 등이 여기에 속하는 것이다.인 그러나 이러한 ‘정보통신서비스의 제공에 관한 계약을 이행하기 위해 필요한 경우’는 사업자 편의를 고려해 해석하면 무동의 사유가 넓어지고 그로 인해 정보주체의 이익에 반하는 경우가 있었는바, ‘이용자 편의 증진 등’의 요건을 추가함으로써, 무동의 사유의 범위를 사업자 편의가 아닌 이용자 편의 기준으로 고려해야 한다고 못을 박아 원칙 없는 무동의 사유의 확대 해석을 미연에 방지할 수 있게 됐다. ◆ 영업양수자의 공개·통지 절차 강화 영업양도 등의 사유로 개인정보가 이전되면 영업양도인은 개인정보 이전 사실, 영업양수자의 연락처 등을 공개 또는 통지해야 한다. 한편 구법에 따르면 영업양도 이후 영업양수인은 ‘그 사실’을 영업양도인이 공개 또는 통지하지 않았을 때에 한해, 공개 또는 통지하도록 돼 있는데, 개정법은 공개 또는 통지 사항을 명확하게 정리했고, 2차적인 공개 또는 통지 조치를 삭제했다. 즉 개정법은 영업양수인의 공개 또는 통지 사항을, 영업양수 사실 및 영업양수자등의 성명(법인의 경우에는 법인의 명칭을 말함)ㆍ주소ㆍ전화번호 및 그 밖의 연락처로 명확하게 규정했고, 더불어 영업양도인이 공개 또는 통지 절차를 이행한 경우에는 영업양수인은 그 절차를 이행하지 않아도 된다는 단서 조항을 삭제해, 영업양도인의 절차 이행과 무관하게 영업양수인이 공개 또는 통지 절차 이행을 하도록 의무화했다. <계속> * 법무법인 민후 김경환 대표변호사 작성, 디지털데일리(2014. 5. 23.) 기고.

오래된 노트북을 바꾸려던 대학생 A씨는 검색사이트를 통해 최신 노트북 가격을 검색하였다. 너무 많은 노트북 종류와 사이트마다 천차만별의 가격에 일단 중간고사 과제부터 마무리하기로 하였다. 과제 준비하기 위해 인터넷에서 자료를 검색하고 있는데, 배너 광고로 최저가 노트북을 판매하는 사이트가 소개된다. 이러한 타깃형 광고 등 맞춤형 광고는 더 이상 놀랍거나 새롭지 않다. 바야흐로 빅데이터의 시대인 것이다. 구글이나 페이스북이 '나' 자신보다 더 '나'를 잘 아는 것 같은 느낌을 들기도 한다. 맞춤형 광고란 소비자의 온라인 검색기록과 웹 사이트 방문 인력, 앱 사용이력, 브라우징 정보 등(이른바 '온라인 행태정보')을 일정 기간 수집해서 만든 행동 프로파일을 바탕으로 개인별로 최적화시킨 광고 방식이다. 최근 빅데이터 분석이나 알고리즘 기술이 급격하게 발전하면서 맞춤형 광고의 새로운 장이 열리게 되었다. 하지만 맞춤형 광고를 위해서는 온라인 행태정보 등의 개인정보 수집이 반드시 선제적으로 필요하므로, 소비자의 개인정보 침해 또는 사생활 침해가 있다는 비판적 여론도 만만치 않다. 이에 대해 최근 구글은 내년부터 쿠키(cookie, 특정 이용자가 방문한 웹사이트의 서버가 이용자의 컴퓨터에 저장하는 임시파일)를 통한 추적기술을 활용하는 개인별 맞춤형 광고를 중단하고, 대신 소비 취향이 비슷한 집단별로 맞춤형 광고를 제공하겠다고 기업 정책을 바꾸기도 하였다. 최근 입법예고된 전자상거래법 개정안에서는 맞춤형 광고를 소비자의 기호, 연령, 성별, 소비습관, 구매내역 등의 특징에 따라 소비자에게 상품이나 서비스의 검색결과를 제공하거나 재화 등을 추천하는 것으로 정의하고, 기업들로 하여금 맞춤형 광고 등을 위한 정보이용시 고지의무를 강화하는 조항을 신설하였다. 맞춤형 광고가 크게 늘어나고 있음에도 불구하고, 소비자는 맞춤형 광고와 일반광고를 구분할 수 없어 합리적 선택을 제약받게 되었다는 문제의식 아래, 맞춤형 광고 제공시 그 사실을 고지하도록 하고 소비자가 맞춤형 광고를 거부할 경우 일반광고를 선택할 수 있도록 하겠다는 것이 입법취지다. 하지만 이미 우리나라에서는 맞춤형 광고에 대하여 「정보통신망 이용촉진 및 정보보호에 관한 법률(이하 정보통신망법)」과 「개인정보보호법」에서 온라인 행태정보 보호에 관한 개략적인 규정을 두고 있었다. 우선 온라인 행태정보 중 쿠키와 같은 인터넷 접속정보파일에 대한 처리방침을 마련하도록 하고, 맞춤형 광고를 위하여 개인정보를 수집·처리하는 경우에는 정보주체의 동의를 받도록 한 것이다. 그리고 온라인 행태정보 보호에 관한 구체적이고 실질적인 방안 마련이 필요하다는 지적에 대하여, 방송통신위원회에서는 2017년 '온라인 맞춤형 광고 개인정보보호 가이드라인'을 제시한 바 있다. 위 가이드라인에서는 온라인 맞춤형 광고 사업자가 행태정보 처리시 준수해야 할 보호 원칙을 제시함과 동시에 개인정보 침해 피해를 최소화하기 위해 취할 수 있는 조치 방법까지 안내하고 있다. 이처럼 맞춤형 광고에 관한 기존 규율이 마련되어 있음에도 불구하고 이번 전자상거래법 개정안은 또 다른 규제를 예고하고 있다. 이뿐만 아니라 개인정보보호위원회에서는 개인정보보호법 개정안을, 공정거래위원회에서는 플랫폼공정화법 제정안을, 방송통신위원회에서는 플랫폼이용자보호법 제정안에 대해 입법 추진 중이다. 각 법률 간의 충돌·모순이 발생하거나 과도한 규제로 인하여 자칫 현재 광고시장과 마케팅 흐름에 역행하는 것은 아닌지 우려가 될 수밖에 없다. 정보주체의 선택권을 보장한다는 명목아래 사업자를 지나치게 규제하는 것이 오히려 산업 전체의 발전을 저해하는 부작용을 낳을 수도 있다. 전자상거래법 개정안의 내용 자체에도 문제점이 다수 발견된다. 우선, 전자상거래법 개정안에서는 맞춤형 광고에 대한 정의를 해두고 있으나, 맞춤형 광고의 진정한 의미를 반영하지 못하고 있다는 의견이 있다. 또한 맞춤형 광고의 규제방식도 옵트인(Opt-in) 방식을 채택하는 것이 적절한지도 의문이다. 마지막으로 광고시장의 변화로 인하여 맞춤형 광고를 일반광고와 구분하는 것 자체가 큰 의미가 없다는 비판의 목소리도 적지 않다. 온라인 광고시장에 적극적으로 활용되고 있는 온라인 행태정보에 대하여 너무 과도한 규제가 가해진다면, 우리 기업의 입지와 발전에 악영향을 미칠 우려가 있다. 따라서 자율규제 원칙 아래에서 기업과 소비자 모두의 이익이 조화롭게 운영될 수 있도록 틀과 방식을 새롭게 정리할 때이다. 무엇보다 아직까지 맞춤형 광고를 위해 수집되는 온라인 행태정보가 무엇인지, 정확한 의미가 제대로 정의내려진 바 없다. 따라서 맞춤형 광고에 대한 규제에 앞서 온라인 행태정보의 의미와 개인정보와의 관계 등에 대한 개념과 범위부터 명확히 할 필요가 있다. * 법무법인 민후 구민정 변호사 작성, 디지털데일리(2021. 5. 6.) 기고.

사람의 세상에서도 평범한 사람과 범죄자가 있듯이, 프로그램 세계도 평범한 프로그램과 악성(malicious) 프로그램으로 구분할 수 있다. 악성 프로그램을 정보통신망법은 '정보통신시스템, 데이터 또는 프로그램 등을 훼손·멸실·변경·위조하거나 그 운용을 방해할 수 있는 프로그램'으로 정의하고 있다. 그런데 문제는 정의 규정의 '운용 방해'가 지나치게 포괄적이고 광범위해서 프로그램 세계에서는 '죄형법정주의'가 적용되지 않는 것과 같은 느낌이 든다는 것이다. 그래서인지 실제 판례를 보면 '훼손·멸실·변경·위조'를 악성 프로그램으로 본 예가 대부분이고, '운용 방해'를 악성프로그램으로 적용한 예는 극히 드물다. 예컨대 법원은 마우스를 클릭하거나 키보드를 누르는 것을 자동화하여 일부러 게임을 지도록 만든 오토 프로그램이 악성 프로그램이 아니라고 판시하였고, 미니홈피 방문자의 정보를 방문자 추적 사이트의 서버로 유출시키는 프로그램 역시 악성 프로그램이 아니라고 판시하였다. 하지만 간혹 수사기관은 '운용 방해'에 집착하곤 한다. 예컨대 과정을 단축시킴으로써 짧은 시간 안에 많은 작업을 할 수 있게 하는 자동화 프로그램은 그 성질상 트래픽이 다소 늘어날 수도 있는데, 이를 두고 시스템에 대한 '운용 방해'의 악성 프로그램으로 보는 경우도 있었다. 약간의 트래픽 증가를 '운용 방해'로 이해한다면, 조금이라도 편리를 도모한 프로그램이 악성 프로그램이 될 여지가 있는데, 이러한 현상은 궁극적으로 소프트웨어에 대한 새로운 시도를 막는 원인이 될 수 있고, 혁신에 대한 저해 요소가 될 수 있다. 더불어 지능형전력망의 구축 및 이용촉진에 관한 법률은 '컴퓨터 바이러스 등 전력망의 안정적인 운영을 방해할 수 있는 프로그램'을 '악성 프로그램'으로 정의하고 있고, 전자금융감독규정, 정보보호 침해사고 대응 지침도 나름대로 '악성 코드'를 정의하고 있다. 악성 프로그램이나 악성 코드는 IT나 정보 보안에서 매우 중요한 개념인 바, 명확한 개념 정의가 선행되어야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 2. 24.) 기고.

'악성프로그램 또는 악성코드(malicious code, malware)'는 해킹이나 정보 유출의 수단으로 활용되기도 하나 최근에는 사생활 모니터링, 광고마케팅, 전자금융사기, 공갈 등의 수단으로 그 영역을 넓혀가고 있다. 하지만 현행 우리 정보통신망법은 악성프로그램에 대하여 '정보통신시스템, 데이터 또는 프로그램 등을 훼손·멸실·변경·위조하거나 그 운용을 방해할 수 있는 프로그램'으로만 정의하고 있어 다양한 영역의 악성프로그램을 포섭하지 못하는 문제점이 있다. 예컨대 사생활을 감시하는 것에 이용되는 '스파이웨어'의 경우는, 정보통신시스템, 데이터 또는 프로그램 등을 훼손·멸실·변경·위조하거나 정보통신시스템, 데이터 또는 프로그램 등의 운용을 방해하는 것은 아니어서 악성프로그램으로 포섭시키지 못하고 있다. 피해자의 사생활이나 개인정보 등이 지속 유출됨에도 불구하고 악성프로그램으로 법률을 적용하지 못하고 있다. 또한 부지불식간에 설치되어 원하는 않는 광고를 보여주면서 컴퓨터 자원을 대량 소비하는 '애드웨어'의 경우는, 이를 두고 정보통신시스템, 데이터 또는 프로그램 등의 운용을 방해했다고 하기도 모호한 점이 있어 악성프로그램으로 포섭시키지 못하고 있다. 공학적으로 '악성프로그램'은 1)컴퓨터 동작을 방해하거나 2)민감정보를 수집하거나 3)사적인 컴퓨터 시스템에 접근하는 것을 포함하고 있다(techterms.com 참조). 하지만 우리 정보통신망법의 '악성프로그램'은 1)만을 대상으로 하고 있고 2)와 3)에 대하여는 침묵하고 있어 정보보안 실무와 부합하지 않는 면이 있다. 이로 인한 분쟁도 야기된다. 예컨대 백신업체가 '공학적으로' 악성프로그램으로 분류하여 차단하는 프로그램이 그 개발업체에게는 '법적으로' 문제가 없다고 여겨지고 또한 자신의 영업에 필수적이라면, 당연히 백신업체와 개발업체 사이에 분쟁이 발생할 수밖에 없다. 또한 우리 정보통신망법의 '악성프로그램'은 정보통신시스템, 데이터 또는 프로그램 등의 운용을 방해하는 프로그램을 악성프로그램으로 분류하고 있는데, 이를 자칫 확대 해석하면 전송량을 증가시키는 프로그램이나 자동화 프로그램까지 마구 포섭시킬 수 있는 문제점이 있다. 즉 '정보통신시스템, 데이터 또는 프로그램 등의 운용을 방해하는 프로그램'은 그 의미가 지나치게 불명확하여 코에 걸면 코걸이, 귀에 걸면 귀걸이 현상이 발생하기도 하는바, 위헌적 요소도 가지고 있다고 판단된다. 운용 방해라는 의미를 정확하게 개념정의하고 그 범위를 구체적으로 정해 주는 것이 바람직하다. 한편 악성프로그램이라는 것이 무조건 불필요하고 위법하다고 단정 지을 수도 없다. 때로는 취약점 분석이나 가상공격 테스트, 정보 제공, 정보 공유 등의 좋은 목적으로 활용되기도 하기 때문이다. 프로그램 자체에 대하여 가치판단을 하는 것이 적절한 악성프로그램도 있지만, 사용 중심으로 가치판단을 하는 것이 적절한 악성프로그램도 존재한다. 이러한 점을 이원적으로 고려해 새로운 입법을 하여야 할 것이다. '악성프로그램'의 개념 정의는 좋은 프로그램과 나쁜 프로그램의 기준을 정하는 것으로서, 정보보안 분야뿐만 아니라 소프트웨어 산업에서도 매우 중요한 업무이다. 시대에 맞지 않고 기술발전을 반영하지 못한 '악성프로그램'의 기준은 인권 보장도 해 주지 못하면서 소프트웨어 산업을 저해시킬 수 있다. 현행 우리 정보통신망법의 '악성프로그램'에 개선의 이유가 충분히 있다는 점은 사실인바, 좀 더 정밀한 개념정의를 새로이 함으로써, 그로 인한 피해발생이나 문제점을 줄여야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 디지털타임스(2014. 7. 20.) 기고.

디지털 인식을 기초로 하는 IT 기술의 발전은 금융 거래 분야에도 변혁을 가져왔기에, 이제는 직접 은행에 줄서서 거래하기보다는 PC나 모바일을 이용하여 클릭 하나로 모든 것을 해결하고 있다. 처음 전자금융거래가 나왔을 때는, 클릭 하나로 거액의 돈이 빠져나가는 현상을 걱정하는 사람들이 많았으나, 이제는 그런 사람들을 찾아보기가 어렵다. 이런 현상에 많이 익숙해지고 적응하게 된 것이다. 정말 편한 세상에 살고 있는 것이다. 그러나 전자금융거래는 신원 확인 과정이 원격으로 이루어지고, 진정거래 여부도 원격으로 이루어지기 때문에 ‘본질적으로’ 금융사기에 취약할 수밖에 없는 구조를 가지고 있다. 인터넷뱅킹,전자금융,온라인온라인 거래가 오프라인 거래보다는 A 아닌 B가 A라고 사칭하기도 쉽다는 의미이다. 실제로 오프라인 거래에서는 B가 A 대신에 거래하기는 어렵지만, 온라인 거래는 상당 부분 명의자 아닌 사람에 의하여 이루어지고 있다. 공인인증서만 있다면, 남편 대신에 아내가, 아버지 대신에 아들이, 동생 대신에 형이 온라인 거래를 하기도 한다. 온라인 거래의 이러한 약점은 금융사기범에게는 호재(好材)가 될 수밖에 없다. 2000년도 중반부터 시작된 피싱(Phising), 요즈음 우리나라에서 문제가 되고 있는 파밍(Pharming), 스미싱(Smishing) 등이 모두 전자금융거래의 신원 확인상의 허구성을 악용한 것이다. 피싱의 역사는 오래 되었다. 피싱이란 개인정보(private data)를 낚는다(fishing)는 의미인데, 1995년도 미국에서 AOL(America Online)의 직원을 가장한 범인이 이용자들에게 계정확인이나 결제정보확인을 위하여 비밀번호가 급하게 필요하다는 메시지를 보낸 사건이 최초로 기록된다. 우리나라에서는 2006년도부터의 피해통계가 존재한다. 피싱의 기법은 여러 가지 있지만, 우리나라에서는 전화 등을 통하여 개인정보ㆍ금융정보를 알아내거나 전화 등으로 가짜사이트에 유도하게 한 다음에 그 가짜사이트에 개인정보ㆍ금융정보를 입력하게 한 다음 이 정보를 이용하여 돈을 인출해 가는 보이스피싱(voice phishing) 기법이 가장 문제가 되었다. 보이스피싱으로 인하여 한 해 1,000억 원 이상의 피해가 발생하였고, 누적 피해금액은 4,000억 원을 넘고 있다. 그나마 2011년 하반기부터 ‘전기통신금융사기 피해금 환급에 관한 특별법’이 제정되어 보이스피싱으로 인한 피해보상에 노력을 보였지만, 이미 범인이 대포통장으로부터 돈을 인출해 간 이후에는 도움이 되지 않는다. 2012년부터 보이스피싱에 의한 피해사례가 줄어들어 잠시 위안을 가지고 있었지만, 훨씬 더 새롭고 강력한 금융사기 기법인 파밍이나 스미싱의 등장으로 전국민이 또 한 번 홍역을 치루고 있다. ① 해커가 악성코드를 배포하면 ② 이에 감염된 PC의 이용자가 금융기관의 정상적인 홈페이지 주소로 접속을 하더라도 해커가 만든 가짜사이트로 이동하게 되며, ③ 해커는 이 가짜사이트에서 이용자에게 보안등급상승 등의 이유로 개인정보와 금융정보를 입력하게 하고, ④ 이후 해커는 이렇게 얻은 정보를 이용하여 돈을 빼내가는 수법이 바로 파밍이다. 파밍의 핵심은 악성코드의 배포와 가짜사이트를 이용한 개인정보 및 금융정보의 탈취이다. 스미싱은 문자 SMS와 피싱의 합성어로서, SMS을 이용하여 개인정보를 빼내간다는 뜻이다. 우선 가해자가 스마트폰으로 보낸 이벤트, 무료쿠폰, 대출, 사진송부 등의 메시지를 피해자가 클릭하는 순간 악성코드가 피해자의 스마트폰에 설치되고, 가해자는 이 악성코드를 이용해서 피해자의 인증정보를 알아낸 다음 피해자 몰래 소액결제를 하는 기법을 말한다. 파밍이나 스미싱의 특징은 악성코드의 배포 즉 ‘해킹’이라는 점이다. 피싱은 ‘사람’이 일을 하는 것이라면, 파밍이나 스미싱은 ‘악성프로그램’이 일을 하는 것이다. 피싱이 가내수공업이면, 파밍이나 스미싱은 산업혁명에 비유할 수 있다. 파밍이나 스미싱은 피싱의 진화된 모습인 것이며, 미국에서는 파밍의 피해 사례가 피싱보다 늦은 2005년도부터 보고되었다. 파밍이나 스미싱의 문제점은, 해킹 방법을 이용하고 있기 때문에 피해자가 의식하지 못한채 개인정보나 금융정보가 빠져나간다는 것, 그리고 파밍의 가짜사이트 주소와 진짜사이트의 도메인 주소가 똑같아서 피해자가 고도의 주의를 하더라도 속아넘어가기 쉽다는 것이다. 파밍의 경우, 우리나라에서는 작년 11월부터 금년 2월까지의 4개월 사이에 323건의 파밍 피해가 발생하였고, 초기이지만 벌써 그 피해액은 약 21억원에 달하고 있다. 급기야 금년 3월 4일에는 금융위, 경찰청, 금감원에서 파밍에 대한 합동 주의 경보를 발령하기도 하였다. 스미싱의 경우도 작년 1월부터 1년동안 접수된 스미싱 피해 건수는 모두 2500여건에 달한다고 한다. 전자금융 거래제도가 위기에 봉착한 것이다. 본인확인절차나 진정거래 여부를 담보할 수 있는 획기적인 방법이 나오지 않는 한 금융사기는 끊기지 않을 것이고, 앞으로는 빼낸 개인정보를 활용한 맞춤형 파밍 기법 등의 초첨단 사기 기법이 나올지도 모르는 일이다. 파밍이나 스미싱과 같은 해킹에 의한 금융사고에 대한 대책이 나오긴 하지만 만족스럽지 못하다. 파밍이나 스미싱의 피해를 줄이기 위해서는 ‘백신프로그램 설치’ 등의 소비자의 철저한 보안이나 고도의 주의도 필요하고, 정부의 홍보나 계몽도 필수적이다. 그러나 그보다 먼저 고려되어야 하는 것으로서 가장 현실적인 방법은 ‘고객 중 피해자는 최초 한 사람이면 족하다’는 사고를 가지고, ① 해킹사고에 대해서는 ‘원칙적으로’ 금융기관이 책임을 부담하는 ‘원칙’을 세우는 것과 ② 금융기관의 정보보안 역량을 보완하고 강화하는 것이 필요하다고 본다. 2015년 7월 이러한 내용을 담은 ‘전자금융거래법’ 개정안이, 정부입법으로 국회에 제안된 적이 있지만 아직 국회를 통과하지 못하고 있다. 이 ‘전자금융거래법’ 개정안의 취지를 법률에 반영시키는 것이 시급하다고 생각한다. 권혁세 전 금융감독원장은 2011년 12월경 “비행기 엔진에 결함이 있을 때는 운항을 중단해야 한다”고 말한 적이 있다. 그 당시 한창 문제가 되었던 보이스피싱과 관련하여 “금융회사가 고객 재산보호에 문제가 있다면 영업을 중단하고서라도 해결하겠다는 의지가 있어야 한다”고 표명한 것이다. 더불어 “특히 전자금융거래가 확대되는 상황에서 현재 시스템이 금융범죄에 악용될 소지가 없는지 꼼꼼히 살펴야 한다”고 말했다. 비행기 승객의 안전이 위협받고 잦은 사고로 승객이 극도로 불안해 있는 현재의 상황에서, 항공회사는 비행기에 결함이 없는지 엔진부터 다시 한 번 철저히 점검해야 할 때가 되었다. 그 어떤 승객도 비행기가 추락하는 것을 원하지 않는다. * 법무법인 민후 김경환 대표변호사 작성, 디지털데일리(2013. 3. 19.), 로앤비(2013. 4. 1.) 리걸인사이트(16. 2. 17.) 기고.

3월 20일경 대통령은 주무장관, 실무진, 60여명의 민간대표들과 함께 무려 430분간 규제개혁에 대한 '끝장토론'을 벌였고, 거기서 나온 52개의 건의 중 41건은 연내에 처리하기로 하였다고 한다. 규제가 풀리는 대상으로는 자동차 튜닝, 푸드트럭 영업, 외국인 고용 신고, 창업자 연대보증, 학교 주변 관광호텔 제한 등이 대표적이다. IT 규제도 일부 풀리는데, 대표적인 것이 바로 공인인증서이다. 당시 중국에서 '천송이 코트'를 사려고 해도 공인인증서나 액티브 X 때문에 온라인 구매가 어렵다는 민간대표의 불만이 언론에 대서특필된 이후의 일이다. 그 외에 청소년의 온라인게임 셧다운 제도, 인터넷의 제한적 본인확인 제도, 공간정보나 지도 외국반출 금지, 휴대폰 보조금 규제, 대기업의 국내 공공 SW사업 참여 제한, SW 개발자 등록 제도, 각종 개인정보보호법령의 중복규정, SW 개발대가 산정 제도 등이 개혁되어야 할 IT 규제로 거론되고 있다. 공익적 차원에서 보면 규제라는 것이 반드시 나쁜 것만은 아닌데, 그동안 우리 사회에서는 무분별하고 체계 없는 규제들이 우후죽순처럼 생겨나기만 하고 정리되질 않아, 규제의 질이 아닌 양 때문에 민간경제가 숨통이 막힐 정도인 것이 문제였다. 게다가 이 규제들이 외국기업에는 적용되지 않아 국내기업은 역차별을 받으면서 힘든 경쟁을 하고 있었다. 이번 규제개혁으로 인하여 기업의 경쟁력이 강화되고 각종 규제 폐지가 IT 기업의 글로벌화에 기여할 것으로 판단되지만, 도리어 규제를 강화해야 할 분야가 있다는 지적도 만만치 않다. 예컨대 IT 하도급의 경우에는 오히려 규제를 강화하여 하도급 부조리를 방지해야 하고, 개인정보보호 조치를 강화해야 한다는 것이다. 각종 규제는 법령으로 구체화되기에, 사실상 그 규제들의 의미를 가장 잘 해석할 수 있는 것은 법조인이다. 이러한 규제개혁의 대세 속에서 법조계가 더 적극적으로 나서서 나쁜 규제와 좋은 규제를 가리는 데에 기여한다면 국민의 삶에 큰 보탬이 될 수 있지 않을까. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 4. 7.) 기고.

전세계 대표 유적지나 서울의 강남 땅을 8만원으로 살 수 있다면(earth2.oi)? 코로나로 인해 모든 문화공연이 취소된 지금, 4600만 명이 모여서 팬사인회를 열고 공연을 할 수 있다면(네이버의 제페토)? 상상 속에서나 가능할 것 같은 이러한 일들은 모두 ‘메타버스’에서 현재 진행 중인 일들이다. ‘메타버스(Metaverse)’란 초월·변화를 뜻하는 메타(Meta)와 우주·세상을 뜻하는 유니버스(universe)를 합친 말로 일종의 가상세계이다. 메타버스 안에서는 인간을 대신하는 아바타가 존재하고, 아바타 간의 교류, 생산활동, 경제활동이 모두 가능하다. 그러다보니 메타버스는 단순한 가상세계만을 의미하는 것을 넘어, 개개의 가상세계가 서로 연결된 상태나 연결된 상태에서 생성되는 콘텐츠 일체를 의미하기도 한다. 다음 세대는 지금보다 훨씬 더 진화된 메타버스에서 살게 될 것이라는 전문가들의 전망도 나오고 있다. 가상세계에 대한 인간의 욕망과 욕구는 더욱 강해질 것이다. 그렇다면 현실 세계의 법률로 가상세계를 규제하는 것은 가능할까? 가상세계, 지식재산권 문제 발생할 수 있어 가상세계와 관련된 법적 쟁점으로 어떤 것들이 있는지부터 살펴보자. 우선 가상세계 자체의 개발과 관련해서는 저작권 및 특허 이슈가 있을 수 있다. 주로 사업자가 가상세계 관련 사업을 영위하는데 따르는 비즈니스 모델(BM)특허 문제나 부정경쟁행위·영업비밀 등의 문제가 발생할 것이 예상된다. 유저들은 가상세계에서 주어진 재화를 이용해 건물을 짓거나 공연을 하는 등 창작활동을 자유롭게 할 수 있고, 해당 창작물은 저작물로 인정받을 수 있는데, 가상세계 속의 아바타의 법적 지위도 문제될 수 있다. 특히 인공지능(AI)을 통해 아바타 스스로가 생산활동을 할 수도 있어, 아바타에게 법인격을 부여할 수 있을지 여부도 문제될 수 있다. 또한 유저들이 스스로 개발한 콘텐츠, 제작 및 사용에 따른 저작권 문제도 발생할 여지도 있다. 나아가 가상세계에서 발생하는 상품 및 상표에 대한 복제행위가 어디까지 지식재산권 침해로 볼 것인지에 대한 통일된 기준이나 법리가 정립되지 않아 이 부분에 대한 논의도 필요하다. 가상세계 속 개인정보 보호 방안 찾아야해 가상세계의 특성상 개인을 식별하고 개인의 정보를 이용한 분석 및 제공이 빈번할 것이다. 지속적으로 유저들의 정보를 처리하기 위해서는 개인정보의 수집·이용·보관이 필연적인데 이에 따른 정보보안 이슈도 대두되고 있다. 시스템 설계 단계부터 개인정보보호법 및 정보통신망법 상의 기준에 준하도록 하는 대책 마련도 필요해 보인다. 관련해 가상세계 유형 중에는 증강현실 등의 기술을 활용하여 현실세계를 투영한 가상세계, 소위 ‘거울세계’가 있다. 특정 아바타의 위치정보도 개인정보와 마찬가지로 보호될 수 있는지, 위치정보의 보호 및 이용 등에 관한 법률의 적용대상을 받는지도 논쟁거리 중 하나다. 메타버스는 소프트웨어, 하드웨어, 데이터, 콘텐츠 등의 요소들이 유기적으로 연계되어, 정보통신기술(ICT)과 제조기술과의 융합을 통해 구현되고 있다. 그렇다보니 위 요소들을 규정하고 있는 여러 법률들이 관계되고 있다. 가상세계 아우를 수 있는 법률 제정 필요 그러나 여전히 ‘가상세계’, ‘가상현실’이라는 의미가 무엇인지, 이에 대한 종합적이고 독립적인 법적 개념이 확립되지 않고, 개별 법령에서 산발적으로 정의하고 있을 뿐이다. 그렇다보니 정부 시책을 수립하고 마련할 때에도 단발적이거나 부분적이라는 한계에 부딪힐 수 있다. 기본적으로 가상세계, 가상세계산업, 가상세계 서비스의 기초적 개념을 형성하고, 구체적인 구성요소와 가상세계의 당사자는 누구인지를 정하는 가상세계산업 관련 법률 제정도 검토할 필요가 있다. 다만 가상·증강현실 기술의 특성상 변화의 방향을 예측하는 것은 어려울 수 있고, 그만큼 기존 법리를 그대로 적용하는 것도 어려울 것이라는 예측도 많다. 따라서 무작정 규제나 제재로 접근하는 것은 오히려 산업 발전을 저해할 수 있다. 일단 기업이나 개인의 자유로운 활동을 보장하는 대신, 다양한 전문가들 간의 담론의 장을 마련하여 문제해결 방안을 논의해야 한다. 메타버스 출연에 발맞춰 산업기술 발전을 저해하지 않으면서 이를 적절하게 관리할 규제방안을 논의할 때이다. * 법무법인 민후 구민정 변호사 작성, 이데일리(2021. 2. 28.) 기고.