주민등록번호는 공비침투사건을 계기로 1968년 11월부터 간첩식별 목적 등으로 도입되었다. 처음에는 지금과 달리 12자리였으나 1975년 13자리로 바뀌면서 생년월일, 성별, 출생등록지의 정보가 포함되었다. 이번 카드사 개인정보 유출로 인하여 주민등록번호를 비롯한 개인정보 관리체계를 정비하고자 하는 노력이 있다. 특히 대통령은 주민등록번호의 대체수단을 검토하라고 지시하였다. 우리나라 주민등록번호는 다른 나라의 식별번호와 다른 특징을 가지고 있는데, 첫째, 생년월일, 성별, 출생등록지의 개인정보를 담고 있고, 둘째, 신원확인 뿐만 아니라 광범위한 목적으로 사용되고 있으며, 셋째, 변경이 사실상 불가능하다. 외국의 식별번호는 이와 달리 대체로 개인정보를 담지 않은 무작위의 번호로 구성되어 있고, 투표·사회보장·행정업무 등으로 그 사용목적이 제한되어 있으며, 주기적으로 재발급 받거나 또는 도용시 변경이 가능하다. 해커들이나 범죄자들이 우리의 주민등록번호를 탐내고 거래하려 하는 것은 이러한 주민등록번호의 특징과 연관되어 있다. 미국의 경우 사회보장번호(SSN)의 용도가 확대되자 탈취나 도용 사례가 증가했다고 한다. 주민등록번호는 그 자체로 많은 개인정보를 포함하고 있으며,한번 취득으로 신분도용, 은행거래, 휴대폰개통, 취업 등 광범위하게 이용할 수 있기에 해커나 범죄자들 입장에서 보면 더할 나위 없이 유용한 정보인 것이다. 피해자들은 자신의 주민등록번호가 도용되었다고 하더라도 변경이 불가능하므로 그 피해를 죽을 때까지 감수하면서 살아야 한다. 실제 네이트 사건 이후 주민등록번호 변경의 행정소송이 제기된 적이 있지만 법원에 의하여 기각되었다. 주민등록번호는 장점이 없는 것은 아니다. 인명구조나 신원파악에 매우 유용하다. 하지만 그 폐해도 만만치 않은바, 개인정보를 담지 않은 대체수단 강구에 신경을 써야 하겠고, 사용목적도 공공기관용으로만 제한할 필요성도 크다. 특히 주민등록번호 변경 가능성도 긍정적으로 검토해 보아야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 2. 10.), 블로그(2014. 2. 25.) 기고.

이 글에서는 IP 주소의 식별성을 부정하는 대표적 판례를 소개한다. 2008년 9월 독일 뮌헨 법원은 IP 주소를 안다고 할지라도 이것으로 개인을 알아내기 위해서는 추가적으로 불법이 매개돼야 하므로 IP 주소를 개인정보라고 할 수 없다고 판시했다. 2010년 4월 Irish High Court는 EMI Records v. Eircom Ltd 사건에서 저작권 단속을 위해 음반회사가 수집한 IP 주소 정보는 개인정보에 해당하지 않는다고 판시했으며, 2009년 1월 프랑스의 Supreme Court는 SACEM v. Cyrille Saminadin 사건에서 IP 주소는 개인정보가 아니라는 취지로 판시했다. 이번에는 미국으로 눈을 돌려보자. 미국 NIST(National Institute of Standards and Technology)의 2010년도 발간자료에 따르면 IP 주소, MAC 주소 또는 지속적으로 특정 개인 등과 연결돼 있는 고정주소는 식별정보로 볼 수 있다는 기준을 제시했다. 그러나 미국 법원은 대체로 IP 주소가 식별정보가 아니라고 판시한 경우가 많다. 2011년 5월 일리노이 지방법원은 VPR Internationale v. Does 1-1017 사건에서 IP 주소는 식별정보에 해당하지 않는다고 판시했고, 2009년 7월 워싱턴 서부지방법원은 Johnson v. Microsoft Corp. 사건에서 IP 주소는 식별정보를 구성하지 않는다고 봤다. 반면 뉴저지 대법원은 2008년경 State v. Reid 사건에서 IP 주소라고 해서 프라이버시 보호 대상에서 벗어나는 것은 아니라고 판시한 바 있다. 한편 아시아에서 홍콩 개인정보 당국은 2007년경에 IP 주소는 특정 기계나 디바이스에 할당된 것이지 개인에 관한 정보는 아니므로 식별정보로 볼 수 없다는 결론을 내린 바 있다. 우리나라에서도 IP 주소에 관한 사건이 있었다. 2011년 11월 접속 IP 주소를 수집하는 모바일 애플리케이션을 만들어 배포한 사건인데, 서울중앙지방검찰청은 ‘같은 AP(Access Point) 사용대역 내에서는 복수의 모바일 기기 이용자가 동일 IP 주소로 접속하고 있으며, 유동 IP 주소의 경우에는 시간대별로 IP 주소가 변동될 수 있으므로 본 사안에서 IP 주소는 개인정보로 볼 수 없다’는 취지의 결정을 내린 바 있다. IP 주소 식별성에 관한 최근 동향 최근의 IP 주소 식별정보성에 대한 결론은 상황에 따라 달라질 수 있다고 보는 의견이 많다. 기본적으로 IP 주소는 디바이스나 기계에 관한 정보이지 PC 이용자 등에 대한 정보는 아니며, 대부분의 PC나 모바일 기기가 유동 IP 주소를 할당받아 사용하기 때문에 IP 주소를 알았다고 해서 사용자를 특정할 수 있는 것은 아니라고 본다. 또 하나의 PC를 여러 사람이 사용하는 경우 IP 주소를 파악한다고 할지라도 특정 개인과 연관시키기 곤란하므로 기본적으로 IP 주소는 식별정보가 아니라고 보고 있다. 다만 고정 IP를 사용하는 PC가 있고, 해당 PC를 특정 개인이 또는 각자의 아이디로 특정할 수 있는 소규모 집단이 지속적으로 사용했다면 이 경우에는 IP 주소를 식별정보로 볼 수 있다. 영국의 ICO(Information Commissioner’s Office)도 같은 입장을 취하고 있다. 지금까지 IP 주소의 식별성에 관한 논쟁에 대해 살펴봤다. IP 주소만 이러한 논쟁에 휩싸여 있는 것은 아니다. 이메일 주소에 대해서도 비식별정보로 본 판례가 있는가 하면, 식별정보로 본 판례가 존재한다. 마지막으로 개발사가 IP 주소 수집에 관한 문제점을 올바로 인식하는 것이 반드시 필요하다고 생각한다. 그리고 이러한 문제를 불식시킬 근본적인 방법은 사전에 동의를 얻는 것이다. 개인정보 침해 문제 때문에 품질 좋은 프로그램의 가치가 떨어지지 않도록 개발사들이 스스로 주의를 기울여야 한다. <끝> * 법무법인 민후 김경환 대표변호사 작성, 마이크로소프트웨어, 디지털데일리(2014. 4. 4.) 기고.

상편에 이어 하편에서도 공개된 개인정보의 법적 취급 방안에 대해 알아보자. 먼저 공중의 영역에 속하는 개인정보의 판단기준을 살펴보기로 하겠다. 서울중앙지방법원은 2014년 11월 4일 항소심 2013나49885 판결에서, 공개된 개인정보 중 동의 없이 수집할 수 있는 개인정보를 판단하는 기준에 대해 다음과 같이 판시했다. 즉, 1) 비영리목적으로 수집하는 경우, 공개된 자료의 성질이나 공개 당시의 상황에 비춰 정보주체의 동의의사가 인정되는 범위에서 적법하고, 동의의사를 벗어난 경우는 원칙적으로 위법하지만, 다만 이 경우에도 공적인 존재나 공적인 개인정보 내용인 경우에는 적법하며, 2) 영리목적으로 수집하는 경우, ① 언론 고유의 목적을 달성하기 위해 수집하는 경우는 적법하고 ② 단순 영리 목적으로 수집하는 경우는 설령 정보주체가 공적인 존재라 하더라도 위법하다고 판시했다. 위 판결은 결과적으로 공개된 개인정보 중 공중의 영역에 속하는 개인정보와 그렇지 않은 단순한 공개된 개인정보를 구분하는 기준을 제시한 것인데, 1) 비영리 목적과 2) 영리 목적으로 나누고, 다시 영리 목적은 ① 언론 고유의 목적과 ② 단순 영리 목적으로 나누어, 1) 중 일정한 경우와 2)-①은 ‘공중의 영역에 속하는 개인정보’로 볼 수 있고, 2)-②는 ‘그렇지 않은 단순한 공개된 개인정보’로 본 것이다. 방송통신위원회의 빅데이터 가이드라인(안)도 공중의 영역에 속하는 개인정보와 그렇지 않은 단순한 공개된 개인정보를 구별하는 기준을 제시하고 있다. 빅데이터 가이드라인(안) 제3조 제1항 단서는 “개인정보가 포함된 공개된 정보의 경우, 해당정보의 공개를 허용한 정보주체의 동의의사나 해당 홈페이지에 표시된 내용에 비추어 사회통념상 동의의사가 있었다고 인정되는 범위 내에서만 수집 이용이 가능하다.”고 규정하고 있는바, ‘정보주체의 사회통념상 동의의사’를 기준으로 공중의 영역에 속하는 개인정보와 그렇지 않은 단순한 공개된 개인정보를 나누는 시도를 하고 있다. 서울중앙지방법원 2013나49885 판결이나 빅데이터 가이드라인은 위와 같이 공개된 개인정보 중에서 공중의 영역에 속하는 개인정보가 존재한다는 점을 인정하고 있다는 점에서는 진일보했지만, 그 기준은 둘 다 문제점을 내포하고 있다. 먼저, 서울중앙지방법원 2013나49885 판결이 제시한 기준의 경우, 첫째, 개인정보보호의 근거는 개인정보 자기결정권이고 개인정보 자기결정권은 정보주체의 의사에 의해 개인정보의 처리가 결정된다는 것인데, 위 판결은 정보주체의 의사보다는 오히려 수집자의 의도를 기준으로 판단하고 있다. 즉, 수집자의 의도를 기준으로 비영리 목적과 영리 목적으로 구분하고, 영리 목적은 원칙적으로 위법하다고 봤다. 개인정보 자기결정권의 인정 취지상 정보주체의 의사를 기준으로 판단해야 하는데 수집자의 의도를 기준으로 판단하고 있는바, 본말이 바뀐 것이 아닌가 하는 생각이 든다. 둘째, 수집자의 의도를 기준으로 비영리 목적과 영리 목적으로 구분하고 영리 목적은 원칙적으로 위법하다고 했는데, 실제로 정보주체가 그렇게 생각하는지 의문이다. 나아가 비영리 목적과 영리 목적으로 나누어 규율을 하는 개인정보보호 법령이나 조문이 없음에도 불구하고 어떠한 법적 근거로 비영리 목적과 영리 목적으로 기준을 나누었는지도 의문이 있다. 또한 실제 사례에서 비영리 목적과 영리 목적을 정확히 구분할 방법이 있을지도 의문이다. 셋째, 공적인 존재라면 비영리 목적에 대해는 동의 범위를 초과해도 적법하고 영리 목적이라면 설령 공적인 존재라도 위법하다고 보았는데, 정보주체의 명시적인 동의 범위가 있음에도 정보주체가 공적인 존재이기 때문에 그러한 동의 범위를 무시해도 된다고 보는 것은 정보주체의 의사를 무시한 처사라 판단된다. 이 역시 수집자 중심의 사고를 반영한 것이라 할 수 있다. 넷째, 언론기관의 고유목적 달성을 위한 개인정보 수집은 개인정보보호법의 적용대상 자체가 아님에도 불구하고(개인정보보호법 제58조 제1항 제4호), 위 판결이 언론 고유의 목적을 달성하기 위해 수집하는 경우는 적법하다고 굳이 판시할 필요가 있나 하는 생각도 든다. 다섯째, 위 판결은 정보주체나 수집자 그 누구에게도 도움이 되지 않는다. 정보주체는 자신의 의사를 무시당하면서 자신의 개인정보를 내어놓아야 될 수도 있다는 위험성이 있기에 개인정보보호 취지에도 역행하고 있고, 수집자는 그 기준이 너무 복잡해 공중의 영역에 속하는 개인정보가 무엇인지 어떻게 이를 선별해 수집할 수 있는지도 막막할 뿐이다. 그 누구에게도 도움이 되지 않는 기준은 없는 것만 못하다. 이처럼 서울중앙지방법원 2013나49885 판결은 무게 중심이 정보주체보다는 수집자에 쏠려 있고 일부 내용은 개인정보보호법령의 법리에 반하는 내용도 포함하고 있다는 문제점이 있다. 다음으로, 빅데이터 가이드라인의 기준은 ‘정보주체의 사회통념상 동의의사’인바, 일단 무게 중심이 수집자가 아닌 정보주체에 있다는 점에서는 개인정보 자기결정권의 취지에 부합한다고 볼 수 있다. 하지만 사회통념의 실체가 모호하다는 비판이 가능하다. 공개된 개인정보 중에서 무엇이 공중의 영역에 속하는 개인정보인지는 더 검토하고 연구할 내용이지만, 그 중심은 정보주체의 동의의사를 추적하는 데 있어야 할 것이다. ◆ 마치면서 (개인정보 개념의 개선) 공중의 영역에 속하는 개인정보는 현행법 해석상 충분히 도출이 가능하다고 본다. 하지만 이는 개인정보보호법령에서 기초이자 매우 중요한 전제라 할 수 있기에, 사회적 합의를 거쳐 입법에 명시적으로 반영하는 것이 더 타당하다. 그러기 위해서는 개인정보의 개념에 대한 인식의 전환이 있어야 할 것이다. 즉 현행법 체계는 ‘개인정보의 개념 = 개인정보의 보호범위’로 설정돼 있는데, 이를 2단계로 변경해 1단계로 ‘개인정보의 개념’을 정의하고, 2단계로서 ‘개인정보의 보호범위’를 설정해, 보호받아야 하는 개인정보와 그렇지 않은 개인정보로 나누는 것이 필요하다고 본다. 즉 ‘개인정보의 개념 = 개인정보의 보호범위’가 아닌 ‘개인정보의 개념 > 개인정보의 보호범위’가 되도록 규정해야 한다. 이런 2단계 개념설정에 따르면, 공중의 영역에 속하는 개인정보는 개인정보의 개념에는 포함되나 개인정보의 보호범위에서는 제외되거나 또는 보호의 수준을 달리 하는 계층적인 보호가 가능해질 것이다. <끝> * 법무법인 민후 김경환 대표변호사 작성, 디지털데일리(2014. 11. 19.) 기고.

우리법의 개인정보 개념은 해석하기에 따라 그 개념이 무제한 넓어질 수 있다. 이런 상황에서 우리나라 개인정보보호 법령은 식별 정보이기만 하면 예외 없이 모두 법의 규율을 받도록 하고 있다. 하지만 개인정보 중에는 일부 '공중의 영역에 속하는 개인정보(publicly available personal information)'가 존재한다. 즉 개인정보이지만 국민의 알권리 보호나 공시의 원칙 발현 목적상 모든 국민이 정보주체의 동의 없이 또는 제한 없이 접근해야 하는 개인정보가 분명히 존재한다. 고위 공무원의 직무상 개인정보나 등기·등록부에 게재된 개인정보가 그러한 예이다. '공중의 영역에 속하는 개인정보'의 중요성은 '공개된 개인정보'에서 특히 부각된다. 최근 서울중앙지방법원(2013나49885 판결)은 공개된 개인정보 중 동의 없이 수집할 수 있는 개인정보를 정하는 기준에 대해, 1) 비영리목적으로 수집하는 경우, 공개된 자료의 성질이나 공개 당시의 상황에 비춰 정보주체의 동의 의사가 인정되는 범위에서 적법하고, 동의 의사를 벗어난 경우는 원칙적으로 위법하지만, 다만 이 경우에도 공적인 존재나 공적인 개인정보 내용인 경우에는 적법하며, 2) 영리 목적으로 수집하는 경우, ① 언론 고유의 목적을 달성하기 위해 수집하는 경우는 적법하고 ② 단순 영리 목적으로 수집하는 경우는 설령 정보주체가 공적인 존재라 하더라도 위법하다고 판시했다. 개인적으로는 위 판결이 제시한 기준에 대하여 찬성하지 않는다. 다만 위 판결에서 '공중의 영역에 속하는 개인정보'라는 표현을 쓰지는 않았지만, 공개된 개인정보 중에서 동의를 받지 않고 활용할 수 있는 영역을 설정했다는 것에서 '공중의 영역에 속하는 개인정보'에 대하여 단서를 제공한 점은 높이 평가할 수 있다. 개인정보자기결정권도 중요한 기본권이지만, 그 때문에 알권리나 공시의 원칙 등이 훼손되지 않도록 '공중의 영역에 속하는 개인정보' 등의 범위를 적절하게 정하는 노력이 매우 절실한 때이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 12. 2.) 기고.

전통적으로 개인정보는 서면으로 수집한다. 예컨대 핸드폰 개통을 할 때 서면에 개인정보를 적어 대리점 등에 제출하는 방식으로 개인정보를 수집한다. 이러한 오픈라인 방식에서는 개인정보가 담긴 서면을 기업담당자에게 건네는 순간 기업 입장에서는 개인정보를 수집하게 된다. 이 경우 수집은 기업 담당자가 건네받는 순간으로 보면 될 듯하다. 하지만 온라인에서는 개인정보의 수집이 웹페이지 입력부터 시작되는데 웹페이지에 개인정보를 입력하고 동의 버튼을 누르는 순간 입력된 개인정보는 서버의 메모리에 일시적으로 저장되었다가 서버의 하드디스크(DB)에 영구적으로 저장된다. 그렇다면 이 경우 1)입력을 마친 순간, 2)동의 버튼을 누른 순간, 3)메모리에 일시적으로 저장하는 순간, 4)하드디스크(DB)에 영구적으로 저장되는 순간 중에서 언제를 수집으로 보아야 하는가? 이 문제는 오프라인 방식의 수집과 온라인 방식의 수집이 다른 방식으로 이루어지기 때문에 발생하는 문제이다[사례 A]. 생각하건대, 오프라인적으로 보면 수집이란 ‘정보주체의 개인정보를 수집자가 최초 취득했을 때(수집자의 측면) 또는 수집자의 지배영역에 정보주체의 개인정보가 최초 도달했을 때(개인정보의 측면)’를 가리키는 것으로 보는 것이 타당할 듯하다. 이것을 온라인 상황에 대입해 보면, 온라인에서의 개인정보 수집은 ‘정보주체의 개인정보를 수집자가 최초 저장했을 때(수집자의 측면) 또는 수집자의 지배영역에 정보주체의 개인정보가 최초 생성되었을 때(개인정보의 측면)’를 가리킨다고 보아야 한다. 정보주체와 수집자 사이에 중간 영역에 있는 경우를 수집으로 보는 것은 규범적으로 타당하지 않고 이런 경우까지 수집자에게 과도한 책임을 부담시키는 것은 부당하기 때문에 최초 취득시(=최초 도달시) 또는 최초 저장시(=최초 생성시)로 보아야 한다. 위 사례에서 1)과 2)의 단계에서는 아직 개인정보가 수집자의 영역에서 저장이나 생성되었다고 보기는 어려울 것 같다. 4)는 수집자 영역에서의 저장이나 생성에 이르렀다고 볼 수 있지만, 문제는 3)의 경우인데 일시적 저장도 저장이라고 볼 수 있고 이 상태라도 수집자의 의도에 따라 데이터 처리가 가능하다기 때문에 3)의 상태도 수집자 영역에서의 저장이나 생성에 이르렀다고 볼 수 있는바 이 경우도 수집이 이루어진 것으로 봄이 타당할 듯하다. 이번에는 다른 예를 들어보자. 예컨대 비식별화 목적을 가진 수집자가 공개된 개인정보를 크롤링(Crawling)한 다음 메모리에 일시적 저장을 하고, 즉시 비식별화 처리를 해 비식별화가 완료된 상태에서 하드디스크(DB)에 영구적 저장했다면 이 경우에도 일시적 저장의 상태를 수집으로 보아야 하는가?[사례 B] 만일 일시적 저장을 수집으로 본다면 수집 이후 비식별화가 일어난 것이고, 반대로 영구적 저장을 수집으로 본다면 비식별화된 이후 수집이 일어나는 것이다. 전자로 보면 정보주체의 동의를 얻어야 하고, 후자로 보면 정보주체의 동의를 얻지 않아도 된다. 결론부터 이야기하면, 사례 A와 달리 사례 B의 경우는 일시적 저장이 아닌 그 다음 단계인 영구적 저장 단계를 수집으로 보아야 한다. 그 이유는 이러하다. 첫째, 일시적 저장 단계를 수집으로 보게 되면 비식별화된 정보의 수집 자체를 막는 결과가 된다. 수집자는 비식별화된 정보를 수집하는 경우에도 항상 정보주체의 동의를 받아야 하는 결과가 되는 바, 비식별화된 정보의 수집과 식별정보의 수집 사이에 전혀 차이가 없게 된다. 결국 비식별화 처리된 정보의 수집이라는 것이 공학적으로나 규범적으로도 의미가 없게 되는 현상이 발생하게 된다. 둘째, B의 경우 일시적 저장에서의 데이터 처리는 오로지 비식별화 처리인바, 통상적인 A의 경우와 달리 정보주체의 개인정보자기결정권이 침해될 여지가 전혀 없다. 통상적인 A의 경우는 일시적 저장 상태에서 식별정보의 처리가 가능하고 예상 가능하지만, B의 경우에는 이러한 처리가 불가능하고 예상 가능하지도 않다는 점에서 근본적인 차이가 있다. 다시 말하면 B의 경우는 A의 경우와 달리 일시적 저장이 독립적인 경제적 가치가 없다. 셋째, 수집자의 의도를 봐도 명백하다. 통상적인 A의 경우는 식별정보를 수집하겠다는 의도가 명백하지만, 비식별화 목적의 B의 경우는 수집자에게 식별정보를 수집하겠다는 의도가 전혀 없다. 단지 컴퓨터 데이터 처리과정에서 불가피하게 발생하는 일시적 저장 과정 때문에 식별정보가 수집자의 지배 영역에 일시적으로 저장되는 것이다. 이처럼 A의 경우와 B의 경우는 수집자의 의도에 있어 근본적인 차이가 있다. 이처럼 A의 경우와 B의 경우는 유사하게 과정을 밟지만 이는 컴퓨터의 데이터 처리 과정에서 불가피하게 발생하는 과정이 유사해서 그렇게 보이는 것이고 규범적으로는 명확하게 달리 취급해야 형평의 원칙에 부합하는 것이다. 정리하면, 원칙적으로 개인정보의 일시적 저장은 수집으로 볼 수 있지만, 예외적으로 ‘오로지’ 비식별화 등의 목적으로 ‘짧은 시간’에 휘발성 매체에 개인정보가 일시적으로 저장되는 경우는 수집으로 보아서는 안 된다는 것이다. ‘오로지’ 비식별화 등의 목적인 경우는 일시적 저장시가 아닌 영구적 저장시가 수집에 해당한다는 것이다. 여기서 ‘오로지’라는 요건이 들어간 것은 비식별화 등의 목적 외에 다른 목적이 혼합되어 있는 경우는 예외사유로 보기 어렵다는 것이고, ‘짧은 시간’의 요건이 들어간 것은 시간적 한계를 설정함으로써 일시적 저장으로 인한 개인정보 오·남용을 막아보자는 취지이다. 예외적인 경우를 아예 수집의 개념에 포섭시키지 않든지 또는 수집의 개념에는 포섭하되, 면책되는 경우로 보든지 무방하지만 어쨌든 이를 결과적으로 본래 의미의 수집으로 포섭하는 것은 부당한 결과를 가져올 수 있기 때문에 주의해야 한다. 일시적 저장이라는 것은 컴퓨터 데이터 처리 기술이 일반화됨에 따라 발생한 불가피한 기술적 현상이다. 때문에 이를 규범적으로 이해할 때는 수집의 전체 과정을 고찰하여 사회통념에 맞추어 판단해야 할 것이다. 이런 의미에서 ‘오로지’ 비식별화 등의 목적으로 ‘짧은 시간’에 휘발성 매체에 개인정보가 일시적으로 저장되는 경우는 수집으로 포섭하지 않는 것이 적절하다고 본다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2014. 12. 10.), 블로그(2014. 12. 11.) 기고.

하루에 몇 번이나 비밀번호(password)를 입력하는가? 아침에 사무실에 출근하면서 비밀번호를 입력하고, 윈도 OS를 시작하면서 비밀번호를 입력하며, 이메일 확인하면서 비밀번호를 입력하고, 업무보고를 체크하면서 비밀번호를 입력하며, 휴대폰을 켜면서 비밀번호를 입력하고, 은행결제를 하면서 비밀번호를 입력하고 또 공인인증서 비밀번호를 입력하고 등등. 비밀번호를 몇 자리로 설정하고 있는가? 비밀번호의 복잡도나 수준도 매년 올라가고 있어 이제는 4자리 비밀번호를 찾아보기가 어렵고, 바람직하게는 특수문자를 섞어 10자리는 기본적으로 갖추어야 한다. 심지어 이런 복잡한 비밀번호를 주기적으로 변경하라는 요구까지 받는다. 주기적으로 비밀번호를 바꾸는 것이 보안에 도움이 된다는 사실은 알지만 실제 수십개의 인터넷서비스에 설정된 다양한 비밀번호를 주기적으로 바꾸는 것은 너무나도 어려운 일이다. 그러다가 비밀번호를 망각하는 사태가 발생하면 짜증은 폭발하게 되고 업무 능률은 떨어진다. 새로운 사이트 가입 시 어떻게 비밀번호를 창안하는가? 은행이나 사이트마다 다른 비밀번호를 설정하는 게 바람직하다고 하나 그때그때마다 색다른 비밀번호를 발명하는 것도 쉽지 않은 고통이다. 이러한 현상을 비밀번호 피로(password fatigue)라고 한다. 하지만 이러한 피로와 별개로 비밀번호는 가장 손쉽게 노출이 되고 인증수단으로서 신뢰성이 매우 약해서, 피로가 보안성을 보장해 주지 않는다는 것을 알게 될 때에 좌절은 극에 달할 수밖에 없다. 그러나 혁신은 불편을 제거하고 안전을 제공할 수 있으리라 믿는다. 이른바 비밀번호를 뛰어 넘는(beyond passwords) 인증 혁신이라 할 수 있는 기술들이 속속 등장하는데, 간편결제 핀테크 기술, 생체정보 인증기술, 주문형 비밀번호 등이 그러한 예이다. 하지만 이것도 작위를 요구한다는 점에서 여전히 불편하다. 궁극적으로 부작위 인증 시대가 열리기를 희망한다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2015. 6. 22.) 기고.

최근 이루다 챗봇 사건으로 시끄럽다. 서비스 도중에 이용자의 개인정보가 그대로 노출됐고, 회사 직원들이 이용자의 카톡 대화를 돌려봤다고 한다. 이용자 입장에서는 황당한 이야기가 아닐 수 없다. 왜 이런 황당한 사건이 반복되는 것일까. 사업자가 이용자들이 건네준 개인정보를 자신의 정보로 착각하고 소홀하게 관리하는 것이 주된 이유이고, 이용자는 개인정보를 건네준 직후부터 통제권을 잃고 철저하게 소외되기 때문이다. 예컨대 이용자 정보가 어떻게 처리되고 있는지, 어떻게 서비스에 이용되고 있는지 등에 대한 파악이 불가능하다. 법리로만 보면 개인정보를 건네준 이후 이용자들은 개인정보 처리 방침 등을 통해 정보를 얻고 자신에게 주어진 권리를 행사할 수 있기 때문에 소외됐다고 볼 수는 없다. 그러나 현실은 전혀 그렇지 않다. 법률 내용을 관철할 만한 수단이 존재하지 않기 때문에 이용자들이 주어진 권리 내용을 파악하고, 이를 어떻게 행사하고, 건네준 개인정보가 어떻게 사용되는지 등에 대해 알 수가 없거나 매우 어렵다. 당장 아무 사이트라도 들어가 보면 알겠지만 온라인상으로 권리행사를 할 수 있는 방법을 제공하지 않는 경우가 거의 해당한다. 한 조사자료에 따르면 우리 국민이 가장 많이 사용하는 웹이나 앱 40개 가운데 오직 1개만이 이용자의 권리행사를 충분히 보장하고 있었다. 한편 외국 개인정보 보호 현황을 살펴보면 이용자에게 온라인상 자동화된 방법의 '온라인 도구'를 제공하고, 이를 통해 권리행사를 할 수 있게 하는 등 정보 주체의 개인정보 통제권을 보장하고자 하는 시도가 있다. 예컨대 영국의 경우 아동의 개인정보 보호 권리 행사를 위한 온라인 도구를 의무화하고 있다. 온라인 도구란 온라인에서 간단하고 쉽게 개인정보 보호 권리를 행사할 수 있도록 돕는 메커니즘을 의미한다. 기업은 온라인 도구를 눈에 잘 띄는 위치에 명확하고 쉽게 식별할 수 있는 아이콘이나 기타 접근 경로를 제공해야 한다. 아동에 한정하기는 했지만 개인정보 권리 행사를 위한 온라인 도구 제공을 법으로 명시해서 의무로 도입한 대표 사례다. 그리고 이는 온라인 도구 제공이 이용자의 권리 실질화를 위해 가장 진보한 방안임을 보여 주는 것이기도 하다. 미국의 캘리포니아주 소비자 개인정보보호법의 경우 소비자인 정보 주체가 자신의 개인정보를 제3자에게 판매하는 것을 거부할 수 있는 권리로써 '옵트아웃 권리'를 부여하고, 옵트아웃을 위한 링크 제공을 의무화했다. 일부 권리에 국한되기는 하지만 이용자의 개인정보 보호 권리 행사를 위한 별도의 웹페이지를 제공하고, 그 웹페이지로 이동할 수 있는 링크를 눈에 잘 띄게 제공할 것을 법으로 규정해서 의무화한 사례다. 이용자가 개인정보 처리 방침을 꼼꼼히 읽어 보지 않고도 홈페이지에서 제공하는 링크를 통해 '개인정보 전용 페이지'로 이동하면 개인정보에 관한 모든 정보를 확인할 수 있고, 미리 준비된 빈 칸 양식만 채우면 쉽게 권리 행사를 할 수 있으며, 처리 현황도 확인할 수 있도록 하는 것이 필요해 보인다. 앞으로 개인정보 이동권이 신설될 것으로 전망되는 가운데 이 같은 방식의 전용 페이지가 없다면 개인정보 이동권의 실질 보장은 어려울 것으로 보인다. 이용자들의 불신을 없애고 신뢰를 쌓아 가려면 동의 몇 가지로 해결될 일은 아니다. 정부 규제만으로 개인정보 보호 수준을 올리는 것에는 한계가 있기 때문에 이용자의 통제권 보장을 통해 그 수준을 올리는 것이 적절한 해답이라 생각한다. 자동화 방법을 제공하는 온라인 도구로서 '개인정보 전용 페이지' 도입이 의무화된다면 이용자의 통제나 권리 행사 보장이 실질화됨으로써 개인정보 보호 수준 제고 및 이용자의 불신 제거에 크게 기여할 것으로 보인다. * 법무법인 민후 김경환 대표변호사 작성, 전자신문(2021. 1. 19.) 기고.

자신이 승소한 민사판결문을 자신의 블로그에 게재한 한 국회의원의 뉴스가 화제가 된 적이 있다. 위 국회의원이 여러 사람 앞에서 아나운서 집단을 모욕했다는 점이 문제가 되어, 피해자 아나운서들이 가해자인 위 국회의원을 상대로 손해배상청구의 소를 제기하였지만, 제1심 법원은 아나운서들의 청구를 기각하였고, 이에 위 국회의원은 자신의 블로그에 승소한 민사판결문을 그대로 올렸으며 그 바람에 판결문에 기재된 많은 원고들의 주소 등이 인터넷 공간에 그대로 노출된 사건이었다. 이렇게 아나운서의 직업을 가진 원고들의 주소가 인터넷 공간에 노출됨으로 인하여 아나운서들이 이후에 극성팬으로부터의 스토킹 등 2차 피해에 시달릴 가능성도 배제할 수 없고, 나아가 주민번호, 전화번호 등과 결합하면 보이스 피싱 등의 피해도 충분히 예상할 수 있는 것이기에 위 국회의원은 아나운서들로부터 많은 비난을 받았었다. 이 문제를 국회의원의 잘못의 측면에서 볼 수도 있지만, 좀 더 근원적으로 문제를 검토해보면 ‘재판서의 상세한 개인정보 기재’ 관행에 있다고 생각한다. 위 판결문을 작성한 민사법원은 「재판서 양식에 관한 예규」에 의하여 주민등록번호, 주소를 기재한 것이며, 실제로 위 예규 제9조를 살펴보면 당사자·피고인의 주민등록번호, 피고인의 직업을 기재하도록 되어 있고, 제10조에 의하면 당사자·피고인의 주소를 기재하도록 되어 있다. 하지만 이러한 관행이 오히려 스토킹, 피싱 등의 범행의 도구로 악용될 수 있으며, 사생활 보호·개인정보에 대한 자기결정권 부여의 헌법적 가치나 개인정보의 최소한의 수집·동의 없는 공개 금지 등의 개인정보보호법의 취지에도 부합하지 않기에, 이제는 판결문 기재에 변화가 있어야 할 것이다. 변화의 당위성을 상세하게 설명하면 다음과 같다. 첫째, 재판서에 기재하는 주민등록번호(이하 ‘연령’ 포함), 직업, 주소가 실무상 반드시 필요한 것이 아니다. 가사재판 등을 제외하고는, 기판력의 범위 결정, 집행절차나 다른 후속절차를 위하여 이러한 개인정보 기재의 필요성이 크지 않다. 나아가 굳이 재판서에 기재하지 않더라도 필요하다면 사후적으로 덧붙이는 방법도 충분히 가능하기 때문이다. 예컨대 강제집행을 위하여 채무자의 주소가 필요하면 집행문 부여시 주소를 기재해 주는 방법을 생각해 볼 수 있다. 따라서 재판서 자체에 주민등록번호, 직업, 주소의 개인정보를 굳이 자세하게 적을 필요는 없다고 본다. 둘째, 디지털 시대를 지나 스마트 시대가 도래하고 인터넷과 스마트폰의 발전으로, 예전과 달리 전자문서화된 판결문이 그 공간을 통하여 순식간에 전파가능하게 되었다는 점을 고려하여야 한다. 개인정보보호에 민감하지 않은 사람이 아무런 생각 없이 인터넷 공간에 판결문을 올릴 경우 또는 누군가 고의로 판결문을 SNS 공간에 올릴 경우, 거기에 적힌 개인정보의 확산만으로도 기본권의 침해가 될 것이며, 나아가 범죄의 수단으로 악용될 가능성이 농후하다. 서두에 언급한 국회의원은 법률가이지만 판결문의 개인정보를 지우지 않고 인터넷 공간에 올려서 더 문제가 되었다. 하물며 비법률가들이 그로 인한 문제점을 인식하지 않고 아무런 생각 없이 판결문을 인터넷 공간에 올릴 가능성은 매우 높다. 특히 형사판결문의 경우에는 인터넷 게시 자체로 명예훼손적 성질을 가지게 될 것이다. 따라서 판결문 자체에 미리 개인정보에 대한 엄격한 보호조치가 반드시 선행되어야 한다. 셋째, 「재판서 양식에 관한 예규」 및 재판서에 개인정보를 자세히 기재하는 관행은 공동선이라 할 수 있는 헌법적 가치에 부합하지 않는다. 개인정보에 대하여 정보의 주체는 자신에 관한 정보를 관리하고 통제할 수 있는 권리를 가지는바, 이를 개인정보에 대한 자기결정권이라 한다. 대법원은 헌법 제10조의 인격권 및 헌법 제17조의 사생활의 비밀과 자유의 한 내용으로서 개인정보에 대한 자기결정권을 다루고 있다(대법원 1998. 7. 24. 선고 96다42789 판결 참조). 즉 개인정보자기결정권은 헌법적 가치로서 재판서 작성의 경우에도 반드시 우선적으로 고려하여야 할 사항인 것이다. 재판서에 적힌 사람들이 원하지 않는데도 그 의사와는 무관하게 개인정보가 노출되고 있으며, 특히 인터넷 공간이 가세된 경우 그 노출 및 기본권 침해의 정도는 가공할 만할 것이다. 그리하여 이미 2006년도에 국가인권위원회는 이러한 관행이 명백한 사생활 침해라며 대법원에 시정을 권고한 적도 있었다. 국가인권위원회의 권고를 개인정보에 대한 관심이 매우 높아진, 개인정보 유출로 인한 각종 사고가 끊이지 않는 현 시점에서 다시 한 번 고민해 볼 필요가 있다고 본다. 넷째, 「재판서 양식에 관한 예규」는 2011년 9월 30일부터 시행된 개인정보보호법의 취지에도 부합하지 않는다. 개인정보호법은 개인정보의 최소한의 수집원칙 그리고 원하지 않는 개인정보의 공개금지원칙 등을 규정하고 있다. 이러한 위 법의 취지를 고려하건대 위 예규에 따른 당사자·피고인의 개인정보 기재는 최대한 자제되어야 할 것이며 원하지 않는 개인정보 공개 역시 충분히 제한되어야 할 것이다. 즉 무엇이 최소한의 개인정보 기재인가를 고려해 보아야 할 것이다. 참고로 민사·가사재판서 작성에 관한 민사소송법 제208조·가사소송법 제39조에는 각 주민등록번호, 주소의 기재에 대하여 정확한 언급이 되어 있지 않고, 다만 형사재판서 작성에 관한 형사소송법 제40조에는 법률에 다른 규정이 없으면 성명, 연령, 직업과 주거를 기재하여야 한다고 되어 있다. 다섯째, 개인정보를 최소한으로 기재하는 것이 장차 예정된 1·2심 판결문 공개 과정에서도 많은 장점을 가져다 줄 것이다. 재판서에 나와 있는 개인정보를 지우고 도형으로 대체하기 위하여 많은 인력과 시간 그리고 혈세가 들어갈 것인바, 미리 어느 정도 불필요한 개인정보 기재를 줄여놓으면, 재판서 공개 과정에서 재판서에 나와 있는 개인정보를 지우고 도형으로 대체하는 데 드는 많은 시간과 노력을 줄여줄 것으로 예상된다. 다만 주민등록번호와 주소를 완전히 제거하였을 경우에 발생할 수 있는 문제점도 예상할 수 있는바, 그 일례로 당사자와 피고인의 특정이 되지 않는 경우, 법원, 후속절차의 관계자와 이해관계인 등에게 실무적 혼란을 줄 수도 있고, 재판서의 기록으로서의 보존적 가치, 문헌적 가치가 감소할 수도 있다. 위와 같은 문제도 보완하면서 개인정보보호라는 헌법적 가치를 충분히 실현하기 위하여 다음의 방법을 제안해 본다. 첫째, 주민등록번호를 적을 때는 ‘751021-1’, ‘451009-2’와 같이 최소한으로 기재하고, 둘째, 주소 역시 마지막 번지수를 지우고 ‘서울 서초구 서초동’, ‘서울 강남구 논현동 에이아파트’와 같이 기재하는 재판서 작성 요령을 제안해 본다. 이 정도 개인정보의 공개이면 재판서가 스토킹, 피싱 등의 범행의 도구로 사용되지 않을 것이며, 더불어 이러한 작은 시도와 배려가 국민의 사법부에 대한 신뢰 고양에도 긍정적으로 작용할 것이다. 마지막으로 덧붙여, 대법원은 「법원 개인정보 보호에 관한 규칙」을 제정하여 2011년 10월 26일부터 시행 중인 것으로 알고 있고, 이후 위 규칙에 따른 「예규」가 제정되어 시행될 것인바, 이 예규에도 사생활의 비밀과 자유 및 개인정보자기결정권 보호의 헌법적 가치가 충분히 반영되길 바란다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2012. 1. 26.), 블로그(2012. 2. 22.) 기고.

지난 12월 19일 대선 결과 전자공학과 출신의 박근혜 후보가 당선되자 ICT 분야에서는 이전 정부와는 달리 적극적인 투자와 관련부처 확대를 기대하고 있고, 실제로 박근혜 당선자의 대선 공약도 이 기대와 방향을 같이하고 있다. 자원이 빈약한 우리나라의 상황에서 ICT 산업발전이야말로 국가경쟁력을 제고시키고 실업률을 감소시키며 나아가 선진국으로의 큰 성장동력이 될 수 있다는 점에서 극히 바람직한 방향이라 본다. ICT 산업의 발전이란 인터넷, 데이터, 방송, 통신, 콘텐츠, 산업기술, 솔루션 등의 여러 분야의 성장을 의미하지만, 개인정보의 측면에서 보면 구글이나 페이스북, 아마존 등과 같은 인터넷 기업의 등장을 의미하기도 한다. 구글이나 페이스북, 아마존 등의 인터넷 기업은 개인정보 및 빅데이터를 활용해 세계 일류기업이 됐는바, 이제 개인정보는 단순히 인격권을 구성하는 한 요소에 머무르는 것이 아니라 중요한 기업자산이자 주요한 고부가가치 데이터인 것이다. 같은 맥락에서, 균형적이고 바람직한 개인정보보호는 단순히 프라이버시 극대화를 추구하는 것이 아니라, 개인정보를 보다 안전하게 활용할 수 있는 가이드라인을 제시하고 이를 준수할 수 있게끔 이루어져야 하는 것이다. 한마디로 이제는 개인정보보호가 개인정보의 활용 억제가 아니라 개인정보의 ‘합헌적인’ 활용 ‘촉진’에 초점이 맞춰져야 한다. 한편, 2013년 출범할 새정부는 개인정보보호위원회의 역할에 대해 축소 내지 부처에의 흡수를 예고하고 있는바, 개인정보보호위원회의 업무가 여러 부처의 개인정보보호업무와 중복된다는 것이 그 주요한 이유다. (참고로 현재 개인정보보호위원회는 대통령 소속으로서, 개인정보보호 업무에 관한 정책심의·의결 권한만 있고, 정책수립 및 집행은 없으며, 분쟁 조정 기능도 가지고 있지 않다) 새정부의 개인정보보호위원회에 대한 관점이 근거가 없는 것은 아니나, 그렇다고 해 현실부합적이거나 미래지향적인 것도 아니다. ICT 산업 발전과 국민의 프라이버시 보호라는 두 마리 토끼를 잡기 위해서는 개인정보보호위원회의 역할에 대한 이해와 재정립이 필수적이기 때문이다. 그 이유를 세 가지 측면에서 설명해 보고자 한다. 우선 첫째로, 개인정보보호위원회의 존재목적에 대해 논하고자 한다. 일부에서는 개인정보보호위원회에 국가인권위원회의 개인정보보호 소관업무를 기대하고 있다. 이런 입장에서 보면 오직 개인정보를 잘 보존하고 프라이버시를 최대한 보장하는 것이 개인정보보호위원회의 역할이라고 생각하게 된다. 그러나 이런 관점은 개인정보보호의 한쪽 측면만을 강조한 것으로서 바람직하지도 않고 현실적이지도 않다. 바람직한 개인정보보호의 목적이 합헌적인 개인정보의 활용에 있어야 한다면, 응당 개인정보보호위원회의 존재목적은 개인정보의 활용 억제가 아닌, 합헌적인 개인정보 활용 방법의 제시 및 감독에 있는 것이다. 실제로 선진국의 개인정보감독기구는 개인정보의 보호를 단순한 ‘보호’ 내지 ‘활용 억제’로 보지 않고, 합헌적 활용, 안전한 활용의 관점에서 보고 있으며, 기업의 개인정보 처리 억제 업무보다는 어떻게 하면 기업이 개인정보를 합헌적으로 안전하게 활용할 수 있는지에 대한 가이드라인 제시에 초점을 맞추고 있다. 정리하면, 개인정보보호위원회란 ICT 산업의 발전을 억제하고 기업의 개인정보 활용에 트집을 잡는 기관이 아니며, 오히려 바람직한 개인정보 활용의 길을 밝히며, 정보주체의 신뢰 및 개인정보 활용에 있어 소비자ㆍ기업 사이의 균형설정에 기여하면서, 지속가능하고 안정적인 ICT 산업의 발전을 도모해 낼 수 있는 기관이라는 것이다. 새정부의 ICT 산업 부흥정책에 반드시 필요한 기관인 것이다. 둘째로, 박근혜 당선자 측은 각 부처의 개인정보보호업무와 개인정보보호위원회의 업무가 중첩된다고 파악하고 있으나 이는 지나치게 형식적인 고찰이라 생각된다. 개인정보보호 업무에 대해 대부분의 부처에서 다루고 있기는 하지만, 각 부처의 존재 목적이 다른바, 개인정보에 대한 입장은 같을 수 없고, 개인정보보호 및 활용의 목적 역시 같을 수 없으며, 관심 있는 개인정보의 범위 역시 같을 수 없다. 실제로 어떤 부처는 개인정보의 활용에 관심이 있고, 어떤 부처는 개인정보에 관한 규제에 관심이 있으며, 어떤 부처는 개인정보의 관리에 관심이 있으며, 어떤 부처는 공공기관의 개인정보에만 관심이 있다. 나아가 개인정보보호위원회를 축소하고 각 부처에 개인정보보호 업무를 배포하는 경우, 통일적이고 체계적인 개인정보보호 업무가 이루어질 수 없을 것이며, 충돌하는 개인정보보호 업무에 대한 입장과 이견에 대해 조정해주고 합의점을 찾아줄 전문적인 기관이 없게 될 수 있다. 개인정보보호 업무는 융합 업무로서 법, 정책, IT, 정보보안에 대한 전문성이 있을 때에 비로소 제대로 수행할 수 있는 업무라는 점도 고려돼야 할 것이다. 셋째로, 개인정보보호 업무는 주권이 미치는 한 국가만의 문제가 아니라 세계 각국의 공조가 필요하면서도 반대로 외국의 규제에 대응해야 하는 업무이며, 현재의 문제가 아니라 기술발전 및 IT 환경 변화에 따라 신속하게 대응해야 하는 장래의 업무이고, 개인의 프라이버시에만 관련된 업무가 아니라 국가안보와도 밀접한 관련이 있는 업무라는 점이 고려돼야 한다. 클라우드 환경의 실현, SNS의 발전, 빅데이터 시대의 도래에 따라 대규모의 개인정보가 국경이라는 경계 없이 이전하고 있고 이용자의 국적과 다른 국적의 기업에 의해 개인정보가 활용되고 있는바, 세계 각국은 개인정보보호에 대해 공조하면서 또는 자국의 산업발전을 위해 외국 기업에 대한 경계와 규제를 늦추지 않고 있다. 실제로 EU는 미국 인터넷 기업에 의한 국부유출을 우려하고 있기에 구글이나 페이스북에 대한 규제에 신경을 곤두세우고 있다. 이런 글로벌적인 환경에서, 개인정보에 대한 입장이 다른 각 부처가 외국의 단일화된 창구와 교섭을 한다면 어떤 결론이 나오더라도 우리에게 불리할 수밖에 없게 될 것이며, 각종 국제조직이나 국제회의에서 일관성 있고 전체이익을 대변하면서도 심오한 의견을 제시하지 못해 국내 기업의 해외 진출에 큰 힘이 되지 못할 수 있다. 개인정보보호 업무는 새로운 기술 및 기업 환경에 끊임없이 대응해야 하는 업무이다. 클라우드 환경이 나오면 그에 맞는 개인정보보호 방안을 논의해야 하며, 빅데이터 환경이 도래하면 그에 부합하는 프레임워크가 필요한 영역이다. 얼굴인식이라는 기술이 나오면 그 기술이 개인정보보호에 어떠한 영향을 줄 것인지를 분석해 합헌적인 기술 활용에 대해 가이드라인을 정해주어야 하며, 새로운 개인정보 활용 비즈니스 모델이 나오면 개인정보보호 관점에서 허용될 수 있는지를 논의해야 한다. 전문성뿐만 아니라 시의적절한 관심과 참견이 필요한 업무인데, 각 부처가 중복으로 관여한다면 행정효율성이 떨어질 수밖에 없고, 각 부처가 서로 자기 영역이 아니라고 미룬다면 개인정보보호의 사각지대가 생길 수밖에 없게 된다. 전문성이 없는 부처가 이를 관장한다면 비현실적인 결론이 나올 수도 있는 것이다. 개인정보보호 업무는 개인의 프라이버시 보호라는 측면만 있지 않다. 우리는 그간 수많은 대량 해킹 사건을 겪으면서, 우리나라 국민 대다수의 개인정보는 외국에 존재할 것이며 누군가에 의해 활용될 수 있다는 생각을 갖고 있고 실제로 그러한 현상이 보이고 있다. 개인정보 유출은 개인의 재산에 손해를 줄 수 있고, 그 개인에게 스팸이나 TM 전화에 의한 정신적 피곤함을 줄 수 있지만, 정보의 축적과 정보융합의 기술 발전, 데이터 사이언스의 발전으로 인해 얼마든지 외국 정부에 의해 악용돼, 궁극적으로 국가안보에도 영향을 줄 수 있는 것이다. 사이버국방이나 국가안보 측면에서의 개인정보보호의 중요성을 간과해서는 아니 될 것이다. 그동안 짧은 기간이지만 개인정보보호위원회는 많은 실적을 내었으며, 특히 국민의 개인정보 인식 제고에 크게 기여해 왔고, 개인정보보호 업무를 하는 여러 기관을 통합하는 직무를 성공적으로 실행해 왔다. 앞으로, 전문성 제고나 독립적인 업무 수행을 위한 제도 정비 등이 보완된다면 모범적인 개인정보보호 감독기구로서 정착할 수 있을 것으로 예상된다. 또한 개인정보보호위원회의 성공적이고 균형적인 개인정보보호 업무의 수행이 있을 때에 비로소 ICT 산업 발전과 프라이버시 보호라는 두 마리 토끼를 잡을 수 있으며, 지속가능한 ICT 산업 발전이 있을 것이라고 확신한다. * 법무법인 민후 김경환 대표변호사 작성, 디지털데일리(2013. 1. 9.) 기고.

기업의 개인정보보호법을 위반한 행위로 인하여 정보주체에게 손해가 발생한 경우, 정보주체는 기업을 상대로 민사상 손해배상청구를 해 자신이 입은 손해를 보전받을 수 있다. 이렇듯 정보주체가 기업을 상대로 손해배상청구를 할 수 있는 근거 조문은 개인정보보호법 제39조(또는 정보통신망법 제32조, 신용정보법 제43조)인데, 개인정보보호법 제39조는 아래와 같이 규정되어 있다. 「제39조(손해배상책임) ①정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. ②개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리 하지 아니한 경우에는 개인정보의 분실·도난·유출·변조 또는 훼손으로 인한 손해배상책임을 감경 받을 수 있다.」 위 규정에 대해 일반적으로 입증책임을 전환함으로써 피해를 입은 정보주체에게 신속·공정한 피해구제를 받을 권리를 실질적으로 보장하고 있다고 설명되고 있다. 과연 그러할까? 이 규정이 현실적으로 소송에서 피해자인 원고들에게 도움이 되는 규정일까? 이에 대해 자세하게 살펴보기로 한다. 제1항은 입증책임의 전환규정인가? 개인정보보호법 제39조 제1항의 본문은 ‘법위반사실’과 ‘손해발생’에 대해 규정하고 있고, 단서는 ‘고의·과실’에 대해 규정하고 있다. 입증책임의 분배는, 피해자인 정보주체가 위 세 가지 중 ‘법위반사실’과 ‘손해발생’에 대하여 입증하도록 되어 있고(본문), 기업이 위 세 가지 중 자신의 ‘고의·과실’ 없음에 대해 입증하도록 되어 있다(단서). 그런데 개인정보 유출사고 소송과정을 살펴보면, 입증활동의 핵심은 위 세 가지 중 ‘법위반 사실’에 있다. 예컨대 해킹사고의 경우 피해자인 원고는 기업이 기술적·관리적 보호조치 의무를 위반했는지, 예컨대 접근제한 조치를 제대로 했는지, 암호화 조치를 제대로 했는지, 악성프로그램 방지 조치를 제대로 했는지 등을 스스로 입증해야 하는 것이다. 위 세 가지 중 ‘손해발생’은 유출 자체로 인한 정신적 손해를 청구하는 경우에는 아예 문제되지 아니하고(뒤에서 검토함), 기업의 ‘고의·과실’ 없음의 입증이란 ‘법을 위반했으나 고의·과실은 없다는 사실’을 입증하라는 것을 의미하는데, 이 부분이 소송에서 현실적으로 문제되는 경우는 전혀 없고, 실제로 이런 상황은 존재하기 힘들다. 결국 입증의 핵심은 ‘법위반 사실’이다. 정리하면, 예컨대 해킹사고에 의한 개인정보 유출의 경우, 원고는 피고기업이 기술적·관리적 보호조치 의무를 다하지 못했음을 입증해야만 원하는 손해배상을 받게 되는 것이다. 그러나 ‘기술적·관리적 보호조치’라는 것이 일반인이 접근하기 어려운 전문적인 내용으로 가득 차 있고, ‘기술적·관리적 보호조치 위반’이라는 것은 소송과정에서 피고 기업이 자신이 소지한 증거자료를 충분히 자발적으로 제출해 주지 아니하면 전혀 입증할 수 없기 때문에, 원고가 ‘법위반 사실’ 입증에 성공하기는 하늘의 별따기만큼 어렵게 되어 있다. 사정이 이러한데도, 개인정보보호법 제39조 제1항이 ‘입증책임을 전환함으로써 피해를 입은 정보주체에게 신속·공정한 피해구제를 받을 권리를 실질적으로 보장하고 있다’고 할 수 있는가? 접근하기도 쉽지 않고 내용 자체도 극히 어려우며 손해배상소송에서 가장 핵심적인 ‘법위반사실’을 피해자인 원고에게 입증부담시켜 놓고, 실제 소송에서 전혀 문제된 적도 없고 그러한 경우를 상상하기도 어려운 ‘법을 위반했는데 고의·과실이 없는 경우’를 피고기업에게 입증토록 한 조치가, 과연 진정으로 피해를 입은 정보주체에게 신속·공정한 피해구제를 받을 권리를 실질적으로 보장하는 조치인가? 개인정보보호법 제39조 제1항을 근거로 소송을 하게 되면, 피해자인 원고가 소송진행면에서 또는 입증부담 측면에서 이익을 볼 것은 전혀 없다. 민법 제750조의 일반불법행위책임 규정으로 소송할 때와 다르지 않다. 제39조 제1항이 진정으로 입증책임을 전환시켜 피해자인 정보주체에게 입증상의 부담을 덜어주려면 아래 정보통신망법 제60조 제1항의 ‘통신과금서비스제공자의 손해배상책임’과 같은 형식처럼 되어 있어야 한다. 「제60조(손해배상 등) ①통신과금서비스제공자는 통신과금서비스를 제공함에 있어서 통신과금서비스이용자에게 손해가 발생한 경우에 그 손해를 배상하여야 한다. 다만, 그 손해의 발생이 통신과금서비스이용자의 고의 또는 중과실로 인한 경우에는 그러하지 아니하다.」 위 정보통신망법 제60조 제1항의 규정에 따르면, 피해자인 원고는 ‘손배발생’만 입증하면 되고 피고기업이 ‘고의·중과실 없음’을 입증하도록 되어 있다. 개인정보보호법 제39조 제1항이 원고에게 ‘법위반사실’과 ‘손해발생’까지 입증토록 하는 점과는 확연히 구별된다. 정보통신망법 제60조 제1항처럼 규정되어 있지 않은 현재의 개인정보 손해배상 규정인 개인정보보호법 제39조 제1항에 의하면, 실제 소송과정에서 피해자인 원고는 아무런 이익을 얻지 못한다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 5. 22.) 기고.

현행 개인정보보호법 제39조 규정을 보면 다음과 같다. 「제39조(손해배상책임) ①정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. ②개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리하지 아니한 경우에는 개인정보의 분실·도난·유출·변조 또는 훼손으로 인한 손해배상책임을 감경 받을 수 있다.」 제1항과 제2항의 관계 이처럼 개인정보보호법 제39조 제1항에 의하면, 기업이 ‘개인정보보호법을 위반’하여야만 피해자인 원고가 손해배상을 받을 수 있다. 하지만 ‘개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리 하지 아니한 경우에는 개인정보의 분실·도난·유출·변조 또는 훼손으로 인한 손해배상책임을 감경받을 수 있다’라고 되어 있는 제39조 제2항에 따르면, 기업이 ‘개인정보보호법에 따른 의무를 준수’했다 하더라도 손해배상책임이 ‘면제’되는 것이 아니라 ‘감경’되는 것이므로, 결국 피해자인 원고에게 손해배상책임 자체는 이행하여야만 한다. 간략하게 정리하면, 기업이 ‘개인정보보호법을 위반’하면 피해자인 원고는 제1항에 의하여 손해배상을 받을 수 있고. 기업이 ‘개인정보보호법에 따른 의무를 준수’하였다면 피해자인 원고는 제2항에 의하여 감경된 손해배상을 받을 수 있는 것이다. 기업이 개인정보보호법을 위반했건 반대로 개인정보보호법을 준수하였건 상관없이 기업에게는 손해배상 의무가 생기는 것이다. 원고가 제1항과 제2항을 모두 청구원인 근거로 삼아 손해배상을 청구하게 되면 기업은 손해배상 의무에서 벗어날 수가 없게 되어 있다. 나아가, 제1항에 따르면 ‘법위반사실’은 피해자인 원고가 입증하도록 되어 있는데 제2항에 따르면 ‘법을 준수한 사실 및 일반적 주의의무를 위반하지 아니한 사실’은 기업이 입증하도록 되어 있어 사실상 거의 동일한 사실에 대한 입증책임을 제1항과 제2항이 반대로 규정하고 있다. 개인정보보호법을 아래와 같이 개정해야 입증책임의 전환 효과도 발생하고 제1항과 제2항의 관계가 정립될 것으로 보인다. 「제39조(손해배상책임) ①개인정보처리자는 정보주체의 개인정보를 처리함에 있어서 정보주체에게 손해가 발생한 경우에 그 손해를 배상해야 한다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. ②개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리 하지 아니한 경우에는 개인정보의 분실·도난·유출·변조 또는 훼손으로 인한 손해배상책임을 감경받을 수 있다.」 고시가 민사책임을 제한할 수 있는가? 원고는 피고기업의 ‘법위반 사실’을 입증해야 하고, 특히 해킹사고에 의한 개인정보 유출 사건의 경우에는 원고가 피고기업의 법위반사실과 관련하여 안전행정부 고시인 ‘개인정보의 안전성 확보조치 기준’ 위반을 입증해야 한다. 위 고시는 정보통신망법에 따른 방통위 고시인 ‘개인정보의 기술적·관리적 보호조치 기준’과 사실상 내용이 동일하다. 다만 그 해설서는 방통위의 ‘개인정보의 기술적·관리적 보호조치 기준’에 대한 해설서가 보다 내용면에서 자세하므로 아래에서는 방통위 고시의 해설서를 참조하여 설명하기로 한다. ‘개인정보의 기술적·관리적 보호조치 기준’의 해설서에 따르면, ‘개인정보의 기술적·관리적 보호조치 기준’의 성격에 관해 형사적·행정적 책임 부과를 염두에 두고 만든, 기업이 반드시 준수해야 하는 최소한의 기준으로 보고 있다. 즉 ‘개인정보의 기술적·관리적 보호조치 기준’을 준수하면 형사적·행정적 책임을 면제받을 수 있다는 의미이다. 그런데 피고기업이 ‘개인정보의 기술적·관리적 보호조치 기준’만 준수하면, 피고기업의 형사적·행정적 책임은 별론으로 하고, 민사적 책임으로서의 손해배상 책임도 면제되는가? 그렇지 않다. ‘개인정보의 기술적·관리적 보호조치 기준’만 준수하면 민사책임까지 면제된다고 보아야 할 법적인 근거가 전혀 없다. 오히려, 개인정보보호법 제39조 제2항은 ‘개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리 하지 아니한 경우에는 개인정보의 분실·도난·유출·변조 또는 훼손으로 인한 손해배상책임을 감경받을 수 있다’라고 되어 있는바, 이 규정에 따르면 기업은 ‘개인정보보호법에 따른 의무’ 준수 외에 ‘상당한 주의·감독 의무’까지 준수했을 때, 민사책임을 ‘면제’도 아니고 겨우 ‘감경’만 받을 수 있게 되어 있다. 여기서 ‘상당한 주의·감독 의무’라는 것은 ‘개인정보보호법에 따른 의무’ 외에 신의칙상 또는 사회생활상 발생하는 일반적인 주의의무를 의미하는 바, 결론적으로 기업은 ‘개인정보의 기술적·관리적 보호조치 기준’를 준수했다고 하여 완전히 민사책임이 면제되는 것은 아니고, 나아가 ‘개인정보의 기술적·관리적 보호조치 기준’의 준수에 더하여 ‘상당한 주의·감독 의무’까지도 어기지 않았다는 점을 입증해야만 민사책임의 부담을 줄일 수 있다. 결론적으로, ‘개인정보의 기술적·관리적 보호조치 기준’의 준수가 있다 하더라도, 피고기업의 형사적·행정적 책임은 별론으로 하고, 민사적 책임으로서 손해배상책임이 면제되는 것은 아니라고 보아야 할 것이다. 이러한 점은 고시에 명확히 기술되는 것이 바람직하다. 고시만 ‘형식적’으로 지키면 법적 책임이 면제되는가? ‘개인정보의 기술적·관리적 보호조치 기준’은 내부관리계획의 수립·시행, 접근통제, 접속기록의 위·변조방지, 개인정보의 암호화, 악성프로그램 방지, 출력·복사시 보호조치, 개인정보 표시 제한 보호조치를 기업의 기술적·관리적 보호조치 의무로 규정하고 있다. 여기서 문제점은, 기업이 예컨대 접근통제 시스템을 구축만 해놓고 제대로 이 시스템을 운용하지 않은 경우에 위 ‘개인정보의 기술적·관리적 보호조치 기준’을 준수하였으므로 법적 책임이 면제된다고 보아야 하는가, 또는 기업이 개인정보의 암호화 조치를 취했는데, 암호화 조치가 구식으로서 누구나 풀 수 있는 경우에 위 ‘개인정보의 기술적·관리적 보호조치 기준’을 준수했으므로 법적 책임이 면제된다고 보아야 하는가이다. 시스템만 갖추어 놓고 그 기능을 살리지 않은 경우, 암호화 조치를 취하였으나 누구나 그 암호화를 풀 수 있는 경우까지 형식적으로 판단해서 ‘개인정보의 기술적·관리적 보호조치 기준’을 준수했다고 볼 수는 없을 것이다. 시스템을 갖추어 놓고 그 기능을 제대로 살려서 접근통제를 효율적으로 했을 때, 그리고 암호화 조치를 기술발전 수준에 맞추어 업데이트를 했을 때에 비로소 ‘개인정보의 기술적·관리적 보호조치 기준’를 준수했다고 판단해야 할 것이다. 형식적으로 ‘개인정보의 기술적·관리적 보호조치 기준’를 준수했다고 판단해서는 안 된다. 실질적으로 ‘개인정보의 기술적·관리적 보호조치 기준’를 준수했는지 여부를 판단하는 것이 중요한 것이다. 이러한 점에 대하여는 고시의 보완이 이루어져야 할 것으로 본다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 5. 28.) 기고.

개인정보 유출이 곧 손해인가? 개인정보 유출로 인한 피해는 개인정보 유출 자체로 인한 개인정보 자기결정권 침해(1차적 피해)와 유출된 개인정보의 TM, 보이스피싱, 스팸 등의 불법이용으로 인한 피해(2차적 피해)로 나눌 수 있다. 피해자인 정보주체가 개인정보보호법 제39조에 근거하여 손해배상을 받으려면, 1차적 피해만 입증하면 되는가 아니면 2차적 피해까지 입증하여야만 손해배상을 받을 수 있을까? 피해자인 정보주체는 1차적 피해만 입증하면 손해배상을 받을 수 있고, 추가 손해(=2차적 피해)까지 배상받으려는 의도가 아닌 경우에는 2차적 피해는 주장조차 하지 않은 상태이기 때문에 당연히 입증할 필요가 없다. 지금까지 우리나라에서 존재했던 모든 개인정보 유출 소송에서 2차적 피해를 주장했던 원고는 없다. 모든 피해자 원고는 1차적 피해로서 정신적 손해배상(위자료)을 청구했지, 2차적 피해를 주장하지는 않았다. 따라서 ‘개인정보 유출이 곧 손해인가’의 주제는 1차적 피해로 한정된다. 본론으로 넘어가서, 개인정보 유출만 입증하면 곧 손해입증에 성공한 것인가? 아니면 개인정보 유출 이외에 별도의 입증을 하여야만 손해입증에 성공한 것인가? 이 문제에 대하여 법원의 입장은 두 가지 분류로 나누어진다. 첫째로, GS칼텍스 사건에서 담당재판부는 “개인정보가 외부로 누출됨으로써 원고들의 개인정보가 불특정 다수에게 공개되어 이를 열람할 수 있는 상태 또는 원고들의 의사에 반하여 원고들의 개인정보가 수집·이용될 수 있는 상태에 이르러 원고들의 개인정보 자기결정권이 침해되었다거나 침해될 상당한 위험이 발생하였다는 점이 인정되어야 한다고 할 것이다”라고 판시했다. 나아가 “정○○ 등으로부터 저장매체 등은 모두 조기에 압수되거나 폐기된 점, 기자들이 소지하던 저장매체도 모두 회수된 점, 정○○ 등이 빼낸 고객정보가 다른 경로로 누출된 흔적이 발견되지 아니한 점 등에 비추어 보면, 원고들의 개인정보가 누출됨으로써 불법행위자인 정○○ 등 이외의 불특정 다수에게 공개되어 이를 열람할 수 있는 상태 또는 원고들의 의사에 반하여 원고들의 개인정보가 수집·이용될 수 있는 상태에 이르러 원고들의 개인정보자기결정권이 침해되었거나 침해될 상당한 위험성이 발생해 원고들에게 정신적 손해가 발생했다는 점을 인정하기 어렵다”고 판시했다. 즉, 개인정보의 유출뿐만 아니라 그 유출된 개인정보가 ‘불법행위자 이외’의 불특정 다수에게 공개되어 열람 또는 수집·이용될 수 있는 상태까지 입증해야만 손해를 인정할 수 있는 바, 개인정보가 유출됐다 하더라도 불법행위자 외에 불특정 다수에게까지 이르기 전에 회수되었다면 손해를 인정할 수 없다는 것이다. 둘째로, 국민은행 사건에서 담당재판부는 “피고(국민은행)가 원고들의 성명, 주민등록번호, 이메일 주소 등을 누출함에 따라 원고들은 자신들의 위와 같은 개인정보를 제3자가 알게 되거나 이를 도용 또는 악용할지도 모를 위험에 노출되었다 할 것이므로, 이 사건 사고로 인해 원고들이 정신적 고통을 받았을 것임은 경험칙상 인정할 수 있다”고 판시했다. 나아가 “비록 피고가 신속하게, 전송된 이메일의 회수라는 사후조치를 취하여 결과적으로 원고들의 성명, 주민등록번호 및 이메일 주소가 악용 또는 도용됐다는 사실이 없는 것으로 판명되다 하더라도, 이러한 사정들은 위자료 액수의 산정 과정에서 참작할 요소에 불과할 뿐, 이를 이유로 인격권을 침해받은 원고들에게 정신적 손해가 발생하지 않는다고 볼 수는 없다 할 것이다”라고 판시했다. 위 사건은 불법행위자가 유출한 개인정보를 불특정 다수가 열람하기 전에 미리 회수를 마친 사안인 바, 정리하면, 개인정보가 일단 유출된 이후 사후조치를 통하여 회수되었다고 하더라도, 손해배상의무가 없다고는 할 수 없고, 다만 사후조치 부분은 위자료 산정에 참작될 뿐이라는 것이다. 즉 개인정보가 유출된 이후 사후에 회수되었다고 하더라도 손해배상 의무가 없는 것은 아니라는 것이다. 한편, 서울대학교 김재형 교수는 GS칼텍스 사건의 판시에 대하여 “우리 민법에서는 다른 나라와는 달리 정신적 손해에 대한 위자료를 쉽게 인정하고 있는데다가 위자료의 산정단계에서도 법원의 폭넓은 재량을 인정하고 있다. 개인정보가 한정된 범위에서 유출된 경우에 피해자들의 정신적 손해 자체가 발생하지 않았다고 볼 수 있는지는 의문이다. 자신도 모르는 사이에 사진이 찍힌 것만으로도 정신적 손해를 인정할 수도 있기 때문이다”라고 하면서 “주민등록번호와 같은 정보가 이메일과 함께 범죄를 저지르려는 사람의 손에 들어갔다면 그 자체로 손해가 발생했다고 볼 여지가 있다. 손해 자체를 부정하는 방법으로 해결하는 것보다는 손해억지의무 또는 손해경감의무를 이행했다고 보아 손해배상책임을 감면하는 방법으로 해결하는 것이 바람직하다”라고 평석을 한 바 있다(법률신문 2013. 2. 28.). 우리나라 손해배상 제도에 따르면 미국의 손해배상 제도와 달리 현실적 손해(actual damage)까지 입증하지 않아도 된다는 점을 고려하면, 일단 기업의 지배영역·통제권을 벗어나거나 불법행위자 손에 들어갔다면 이미 유출에 해당하고, 유출의 개념을 불법행위자 이외의 제3자의 손에 들어간 경우로 제한할 근거는 없으며, 이렇게 유출의 개념을 설정하면 불법행위자가 개인정보를 직접 이용한 경우는 고려하지 못할 수 있는 바, 유출 이후의 사후조치는 손해경감의무로 처리하는 게 법리상 깔끔하고 타당해 보인다. 필자는 김재형 교수의 견해에 동의한다. 이상 우리나라 개인정보보호법에 규정되어 있는 손해배상제도에 대하여 몇 가지 문제점과 그 개선방안에 대하여 살펴보았다. 민사적 손해배상제도가 정보주체의 피해구제 제도에 있어 핵심이라 할 수 있다. 이러한 점을 고려하여 문제점을 수정하고 법조문을 개선시켜 정보주체에게 필요한 실질적인 피해구제 제도가 정착되기를 기원한다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 6. 4.) 기고.

개인정보보호라고 하면 무슨 생각이 떠오를까? 개인들 입장에서는 잦은 유출 사고나 불안감이라는 단어가 떠오를 것이고, 기업 입장에서는 규제, 비용이나 부담이라는 단어가 떠오를 것이다. 즉 개인정보를 맡긴 개인들은 유출되지 않은 안전한 개인정보보호 시스템을 원하는데, 개인정보를 관리하는 기업들은 이게 부담이기 때문에 규제비용지출로 연결된다고 생각하는 것이다. 서로 상반된 입장에서 바라보기 때문에, 타협이 쉽지 않은 것이 개인정보보호이다. 하지만 최근 개인정보보호라는 것이 기업 입장에서 단순히 규제나 비용, 부담의 문제만이 아니라 기업의 수익과 소비자의 신뢰와 직접 연결된다는 사례가 다수 등장하였다. 특히 1월달에 있었던 신용정보 유출 사고 때문에 카드회사의 매출이 떨어지는 사태가 발생하였고, 어떤 통신사는 잦은 개인정보 유출로 인하여 소비자의 신뢰를 상실한 적도 있다. 이로 인하여 기업들은 더 이상 개인정보보호를 미루거나 비용 측면에서 접근해서는 아니된다는 각성을 하게 된 중요한 사건들이었다. 그러나 시간이 쌓이면 망각이 있는 법. 세월호 사태, 지방선거 등에 사회적 관심이 넘어간 탓에 개인정보보호의 이슈는 잊혀져가고 있고, 기업들의 태도나 개인정보보호 개선 동력도 많이 달라지고 느슨해져 가고 있는 듯하여 안타까운 마음이 크다. 개인정보보호나 소비자 구제를 위한 개정 법률들은 정부나 국회에서 스톱 상태이고, 기업들은 시간을 끌면서 규제 폭풍이 지나가기만을 기다리고만 있다. 예컨대 갖가지 개인정보 보호 조치나 정책이 거론되었지만 실제로 시행되거나 시행 예정인 것은 많지 않고, 징벌적 손해배상 제도의 도입은 처음의 취지와는 사뭇 후퇴하여 입법되었고 그나마 입법 자체의 진행이 더딘 상태이고, 복잡하고 난해한 개인정보보호 법령간의 통일성을 기하겠다는 정부의 조치는 결과물이 나오지 않고 있으며, 일부 금융기관들은 주민등록번호의 암호화에 들어가는 비용 문제를 거론하면서 스스로의 일정에 법시행을 연기하려 하고 있다. `사이버 세월호 참사`를 반복하지 않으려면 절대 그 위험성을 잊지 말고 이번 기회에 철저히 개선해야 한다 1월달의 신용정보 유출 사고는 개인정보 보호 역사에 있어 세월호 참사와 다를 바 없다. 결코 가벼이 봐서는 아니 되는 사태이며, 평범한 사고로 치부해서는 아닌 되는 중대한 사고이다. 최근 국회에서 징벌적 손해배상과 같은 소비자에게 실질적 도움이 되는 법률 개정안이 논의됐으나, 결국 `기업(금융사)에게 너무 큰 부담이 된다'는 이유로 법률 처리가 보류됐다. 아직도 정보보호에 있어 가장 중요한 주체인 소비자를 제외하고 기업과, 당국의 편의만 가지고 제도개선을 논의하고 있는 상황이다. 피해자가 보상을 받기 위해서는 개인정보보호화 관련된 여러가지 법을 직접 찾아서 적용하고 피해를 입은 관련성을 입증해야 하지만 일반인이 이 절차를 진행하기는 어렵다. 정보보호를 위한 제도개선은 정보 주체를 보호하기 위한 것이 첫 출발점이 되어야 한다. 세월호 참사를 기점으로 더 이상의 유사한 상황의 희생자가 발생하지 않도록 국가안전시스템을 개조하는 것에 총력이 기울여야 할 것이지만, 더불어 개인정보의 안전도 공을 들여 완성시켜야 하는 필수적인 정책 과제인 것이다. 정부나 국회는 초심을 잃지 않고 진행하려 했던 개인정보보호 법령을 완수하여야 할 것이며, 기업들은 개인정보보호에 대한 인식전환을 통해서 부족한 관리체계나 기술적 시스템을 보완하여야 할 것이며, 국민들은 이러한 진행이 잘 완수되는지 감시의 끈을 놓아서는 아니 될 것이다. 개인정보보호, 결코 미뤄서도 아니 되고 부족한 채로 방치해서도 아니 되는, 우리 사회의 필수적인 `신뢰' 조건이다. * 법무법인 민후 김경환 대표변호사 작성, 디지털타임스(2014. 6. 11.) 기고.

금년 1월, 신용정보 유출 사태 이후 법령 개선의 요구 때문에 개인정보보호 업무를 하는 안전행정부, 방송통신위원회, 금융위원회는 소관 개인정보보호법, 정보통신망법, 신용정보법에 대한 개정 작업에 들어갔고, 현재 각 법률에 대한 개정안이 속속 나오고 있다. 당시 정보주체나 피해자의 권리 구제가 미흡하다는 지적이 있었고, 그래서인지 각 법률의 개정안은 개인정보 손해배상 제도에 대하여 새로운 시도를 하고 있다. 기존의 개인정보 손해배상 제도는 각 법률 모두 고의·과실에 대한 입증책임만 기업에게 전환된 형태이고, 때문에 정보주체는 법위반사실과 손해, 그리고 인과관계까지 입증해야 했다. 이는 민법 제750조보다 피해자에게 유리하게 되어 있기는 하나 실제 소송에서 피해자들이 이기는 경우는 거의 찾아볼 수 없었다. 새로운 시도는 법정손해배상제도의 인정, 징벌적 손해배상제도의 도입, 간접사실에 의한 손해배상액 인정으로 요약할 수 있다. 정보통신망법은 개인정보가 분실·도난·유츌된 경우에 한하여 300만원 이하의 범위에서 법정손해배상을 인정하는 제도가 추가되었고, 더불어 변론 전체의 취지와 증거조사의 결과를 고려하여 손해액을 인정할 수 있는 간접사실에 의한 손해배상액 인정도 추가되었다. 국회 정무위를 통과할 예정인 신용정보법(안)은 고의 또는 중대한 과실로 이 법을 위반하여 신용정보가 누설되거나 분실·도난·누출·변조 또는 훼손된 경우에는 해당 신용정보주체에 대하여 그 손해의 3배를 넘지 아니하는 범위에서 배상할 책임이 있다는 조문을 신설하였는바, 이 조문이 바로 징벌적 손해배상 제도이다. 법정손해배상제도나 간접사실에 의한 손해배상액 인정은 기존에 저작권법 등에서 존재한 조문의 변형이라 큰 파장은 없었으나, 기존 법체계에서 찾아보기 어려운 징벌적 손해배상 제도는 국회 통과부터 진통을 겪고 있다. 새로운 손해배상 제도들은 그 동안의 정보주체의 열악한 지위를 반영하는 것인바, 필경 시도만으로도 큰 변화를 가져올 것으로 보인다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2014. 7. 14.), 블로그(2014. 7. 23.) 기고.

금년 1월에 발생했던 신용정보 유출 사건에서 볼 수 있듯이, 개인정보 보호라는 것은 단순히 한 개인의 프라이버시 보호나 개인정보자기결정권을 보호하는 것에 그치는 것이 아니다. 신용정보를 활용하다가 어이없는 관리로 1억개 이상의 신용정보를 유출시킨 카드 3사는 매출 실적의 악화를 겪고 있으며, 잦은 개인정보 유출사고를 냈던 한 통신사 역시 고객 이탈현상을 겪고 있다. 개인정보 보호는 고객의 신뢰를 의미한다. 개인정보를 활용하는 기업이 보유하고 있는 개인정보를 제대로 관리하지 못하여 잦은 사고를 내는 경우 고객의 신뢰는 바닥으로 내려가고 결국 기업의 불신으로 이어질 수밖에 없다. 결국 개인정보 보호라는 것은 경제성장의 전제가 되는 것이다. 미국의 오바마 대통령 역시 2012년 '온라인 프라이버시에 대한 프레임워크'에서 '소비자의 개인정보 관리에 대한 신뢰는 디지털 경제의 지속적인 성장에 필수적"이라고 밝힌 바 있다. 개인정보 보호는 단순히 인권 보호의 문제가 아니라 기업의 생존이 걸린 문제임에도 불구하고 우리나라의 개인정보 보호 현황은 매우 암울하다. SK컴즈의 3,500만명, 넥슨의 1,320만명, KT의 870만명, EBS의 400만명, 국민·롯데·농협카드의 1억 400만명, KT의 1,200만명 등등. 국민의 개인정보 보호에 대한 요구나 인식은 높아져만 가는데, 현실은 왜 그렇지 않을까? 그 원인으로는 주무기관의 느슨한 법집행, 각 주무기관 사이의 비형평적인 규제, 책임을 지지 않아도 되는 풍토, 피해자에게 배상하지 않아도 되는 기존 관행 등이 있지만, 근본적인 원인은 '복잡하고 준수하기 어려운 개인정보보호 법체계'에 있다. 위 표에서 볼 수 있듯이 개인정보에 대하여 감독기구 별로 여러 개의 법령을 관리하고 있고, 그 법들이 복잡하게 얽혀있다 보니, 금융기관 개인정보에 관하여 신용정보보호법, 전자금융거래법, 정보통신망법, 개인정보보호법의 4개의 법률을 지켜야 고, 대통령령, 부령, 고시까지 고려하면 30개의 법령을 준수하여야만 하는 게 현실이다. 개인정보보호 법령이 이렇게 복잡하게 얽혀 있는 이유는, 우리나라 법령의 대부분이 통일적인 체계에 의하여 만들어지거나 유지되는 것이 아니기 때문이다. 어떤 현상이 발생하면 여러 개의 관련 부처나 감독기구는 필요에 따라 법령을 만들다 보니, 유사한 법령이 여러 개 중복되어 존재하고 있고, 그 내용이 통일되어 있지도 않다. 이렇게 국민들이나 사업자들과 같은 법령 수요자는 제쳐두고 법령 공급자 입장에서 제정된 법령의 수범을 강요받다 보니, 국민들이나 사업자들은 법령 창조나 준수과정에서 소외될 수밖에 없으며, 사업자는 법 준수의 강한 의지가 있어도 이를 제대로 현실화시키지 못하는 실정이다. 복잡한 개인정보 보호 법체계때문에 수범자뿐만 아니라 감독기구까지도 그 내용에 대하여 극심한 혼란을 겪고 있으며, 여러가지 문제점을 발생시키고 있다. 예컨대, 일부 금융기관은 금융위원회 소관 법령만 지키면 되고 안전행정부 소관의 개인정보보호법을 지킬 필요가 없으며 따라서 주민등록번호의 암호화 의무는 없다고 주장하고 있고, 기업들이 사업운영시 온라인적 방법과 오프라인적 방법을 동시에 동원하여 개인정보를 수집하는 경우 온라인 고객용 DB는 정보통신망법을 적용하고 오프라인 고객용 DB는 개인정보보호법을 적용하여 법적용을 따로따로 하여야 하는가의 문제도 발생하고 있으며, 기업들 입장에서는 두 DB를 따로따로 관리하여야 하는가의 문제도 발생하고 있고, 개인정보보호법에는 개인정보 위탁시 문서로써 위탁을 하도록 하지만 정보통신망법은 이러한 규정이 없는바, 만일 정보통신사업자가 문서로써 위탁을 하지 않을 경우 방송통신위원회는 이를 처벌할 수 있을까에 대하여 전문가들의 견해가 갈리고 있다. 나아가 복잡한 여러 개의 규제적인 개인정보 보호 법령은 중복규제 문제를 필수적으로 안고 있다. 중복규제는 법의 실효성을 낮추고 기업의 비용을 증가시키는 주요 원인이 됨에도, 사업자들은 같은 사항이라도 유사한 여러 법령에 노출되어 그 법령을 모두 검토하고 지켜야 하는바, 기업의 규제 준수 비용은 올라감에도 불구하고 어떤 법을 준수하여야 하는지, 어디까지 준수하여야 하는지에 대하여 정확한 판단이 어려운 게 현실이다. 더 큰 문제는, 각 사업자에 대한 책임이나 제재가 통일적이지 않아, 아래 표에서 볼 수 있듯이 같은 위반사항이라도 동일한 사고에 대하여 정보통신망법이 적용되는 정보통신서비스제공자는 과징금 제재를 받을 수 있는 반면, 금융회사는 1천만 원 이하의 과태료에 처해지는 불공평한 상황이 발생한다는 것이다. 실제 사례 중에 실수로 카페탈퇴자에 대하여 이메일을 발송한 카페장에게는 700만 원의 과태료 처분이 나온 반면, 수백만 명의 개인정보를 유출한 금융기관에게는 600만원의 과태료 처분이 나온 적도 존재하였다. 나아가 현재의 복잡한 법체계는 피해구제에 방해 요소가 되고 있다. 예컨대 신용정보회사가 주민등록번호를 암호화하지 않고 유출한 경우, 주민등록번호 암호화 부분은 개인정보보호법 제39조를 청구권원으로 하고, 주민등록번호 유출 부분은 신용정보보호법 제43조를 청구권원으로 하여야 하는가의 해석 문제가 발생하는바, 피해자들은 관련 조항을 전부 챙겨야만 그나마 받은 피해를 주장이라도 할 수 있는 실정이다. 이러한 문제를 해결하기 위한 최선책은 분산된 여러 개의 개인정보 보호 법령을 국민과 사업자 입장을 고려하여 최대한 하나로 통합하는 것이다. 통합법의 형태는 여러가지 선택이 가능할 것이지만, 하나의 통합법을 통하여 통일적으로 법적용을 하면, 규제가 단순화·일원화됨으로 인하여 분리감독 체제시 우려될 수 있는 규제의 분화 현상이 발생하지 않을 것이며, 모든 수범자는 '개인정보'에 관하여 하나의 법률만 지키면되므로 중복규제는 없어지고, 규제도 불공평하지 않으며, 법 적용상의 혼란이나 피해구제의 난점도 발생하지 않을 것이고, 통합법으로 인하여 각 주무기관 사이의 규제 정도나 전문성 등이 비교 가능할 것인바, 각 주무기관 사이의 선의의 경쟁이 유도되어 개인정보보호 발전에 기여할 것이다. <이 글은 2014. 3. 새누리당 강은희 의원 주최로 열린 개인정보보호 세미나에서 발표한 '개인정보보호법제 통합 및 정부조직 개선방향'의 내용을 재구성한 것입니다.> * 법무법인 민후 김경환 대표변호사 작성, 블로그(2014. 7. 23.) 기고.