21세기의 원유, 정보산업의 빅쟁이라고 불리는 빅데이터가 새로운 미래를 열 것이라는 전망이 가득한 시대에 살고 있는 우리에게 개인정보의 활용은 피할 수 없는 과제라는 생각이 들게 한다. 하지만 개인정보의 활용 과정에서 동전의 양면처럼 따라오는 빅브라더의 출현 우려, 개인정보 및 프라이버시 보호의 가치도 결코 무시할 수 없다. 개인정보의 활용 및 보호, 이 둘의 관계를 어떻게 파악하는가에 따라서 한 나라의 개인정보보호 정책이 결정된다. 개인정보의 활용을 중시하게 되면 개인정보의 보호를 약하게 하여야 한다는 편견이 있는데, 개인정보의 보호를 전제하지 않은 개인정보의 활용을 하게 되면, 프라이버시 침해를 당한 소비자는 결국 자신의 개인정보를 공꽁 숨기는 사태가 발생할 수 밖에 없을 것이기에 이는 분명 잘못된 생각이며, 개인정보보호만을 강조한 나머지 개인정보 활용의 길을 전부 봉쇄하는 '정보 쇄국정책' 역시 다른 나라와의 경쟁에서 뒤쳐지고 종국에는 낙후된 문명을 가져오는 한 원인이 될 것이기 때문에 이 역시 잘못된 생각이다. 개인정보의 활용과 보호, 이 둘 중 어느 하나도 경시해서는 안 되는 것이며, 따라서 개인정보보호 법령의 진정한 과제는 '하나의 법령으로 개인정보의 보호와 활용의 두 마리 토끼를 모두 잡을 수 있을까'라 할 수 있다. 어떻게 하면 개인정보보호 법령의 영원한 숙제인 이 둘의 과제를 달성할 수 있을까에 대하여 제안을 해 보고자 한다. 개인정보보호라는 목적 하에 만들어진 현행 개인정보보호 법령은 개인정보 활용에 도달하는 경로에 높은 고개를 만들어 놓고, 그 고개를 넘은 경우에만 활용이라는 목적지에 도달하게 하고 있다. 개인정보의 중요성, 개인정보보호의 필요성 및 소비자의 신뢰를 고려하건대 이러한 고개를 높게 하는 것이 반드시 비판받을 것은 아니다. 하지만 고개가 하나이고 오직 그 하나의 고개를 통해서만 목적을 달성할 수 있다면 큰 문제가 발생한다. 예컨대 서울 강남에서 강북으로 가는 다리를 모두 막아 놓고 한남대교만 통과하여 이동하라는 지시가 있다면, 강서·잠실 등에 사는 사람들은 얼마나 많은 고생을 하겠는가? 강서·잠실 등에 사는 사람들이 그 지시를 잘 따르겠는가? 개인정보를 활용하는 사업자의 상황은 수천가지 유형으로 나눌 수 있다. 제각기 다른 상황에 처한 사업자에게 오직 하나의 길을 이용하여 개인정보를 활용하게 한다면 중도에 포기하는 사업자도 있을 수 있고, 도달했다 하더라도 과도한 규제비용 때문에 곤란을 겪는 사업자도 생길 수 있다. 경직된 법조문은 준법을 더 어렵게 하는 것이다. 한강의 다리를 여러 개 개방하여 강남 어느 지역이건 강북으로 이동할 수 있도록 해 주는 것이 필요하며, 여러 상황의 사업자를 고려하여 하나 또는 소수의 고개에서 탈피하여 여러 개의 고개를 만들어 줄 필요가 있다. 이렇게 하는 것이 오히려 준법을 촉진하는 요소가 될 것이며 종국적으로 정보주체인 소비자를 보호하는 길이 된다. 현행 개인정보보호 법령은 다른 나라보다 엄격한 수준의 개인정보보호 수준(높은 고개)을 요구하고 있기 때문에 엄격한 체제를 유지하고 있는데다가 여러 개의 고개를 허용하지 않기 때문에 지나치게 경직되어 있다. 이러한 엄격·경직의 법체계에서 탈피하여 엄격·유연의 법체계로 옮기게 되었을 때, 즉 높은 고개를 하나만 만들지 말고 여러 개를 만들어 각각의 사업자가 그 상황에 맞게 이용할 수 있게 할 때, 오히려 현실적인 개인정보보호 수준은 향상될 것이며, 사업자의 규제비용이 줄어들 수 있고, 개인정보의 활용을 촉진시켜 소비자의 편익과 관련산업 발전을 가져올 수 있으며, 개인정보를 제공하는 소비자의 신뢰도 고양될 수 있을 것이다. 아래에서는 대표적인 엄격·경직의 법체계에 대한 예를 들고, 그 예에 대한 해결책을 제시하고자 한다. 첫째 예는 '개인정보의 국외 이전'이다. 우리나라의 개인정보 국외이전에 대한 입법태도는 대단히 경직되어 있다. 우리나라 기업이 외국으로 개인정보를 이전시키려면 반드시 동의를 얻어야 하며, 동의 외에 다른 절차로는 개인정보의 국외이전을 할 수 없게 규정되어 있기 때문이다(정보통신망법 제63조, 개인정보보호법 제17조). 기업의 상황에 상관없이, 이전 목적에 상관없이 일단 수집한 개인정보를 국외에 이전하려면 오직 정보주체의 동의를 얻어야만 가능하게 되어 있는데, 기업은 개인정보의 국외 이전을 꼭 해야만 하는 상황임에도 불구하고 정보주체의 동의를 다시 얻는 게 불가능하므로 이를 포기하는 기업이 매우 많다. 동의만을 규정한 경직성에서 벗어나 유연하게 동의와 유사한 보호 수준의 다른 절차를 만들어 놓으면 좋지 않을까? 개인정보보호가 매우 엄격하다고 알려진 EU법은 정보주체의 동의뿐만 아니라 ① BCRs(Binding Corporate Rules), EU집행위원회가 채택한 표준데이터보호조항, EU 집행위원회가 유효하다고 인정하고 감독기관이 채택한 표준데이터보호조항, 감독기관이 승인한 표준계약조항 중 하나를 만족시킨 경우, ② 적절수준의 판정(Adequacy Decision)을 받은 경우, ③ 국외이전이 계약이행에 필요한 경우, ④정보주체의 이익을 위하여 필요한 경우, ⑤ EU의회에서 승인한 경우, ⑥ 세이프하버 약정에 의한 경우 등에도 개인정보의 국외 이전을 허용하거나 허용할 예정이다. 이처럼 EU의 기업은 자신의 상황에 맞는 절차를 골라 개인정보의 국외 이전이라는 원하는 목적을 달성할 수 있지만, 우리나라 기업은 상황에 무관하게 오직 동의를 얻어야만 개인정보 국외 이전이라는 목적을 달성할 수 있다. 개인정보 국외이전 시 개인정보보호의 과제는 반드시 동의를 거치게 하여야만 달성되는 것일까? 둘째 예는 이미 공개된 정보도 활용할 수 없도록 하는 문제점이다. 법인의 대표자나 이사의 이름·주소, 공공기관의 업무담당자·전화번호, 특정 부동산의 소유자의 정보 등은 공시의 원리에 의하여 이미 대중들에게 알려진 개인정보이다. 하지만 이런 정보들이 개인정보호호법 해석 측면에서 보면 '개인정보'가 아니라고 단정할 수 없기 때문에, 이러한 정보들의 활용에 있어 소극적일 수 밖에 없는 것이 기업이나 공공기관의 태도이다. 개인정보보호의 과잉 현상 때문에 장관 이름을 활용하는 데에도 조심하게 되는 것이 우리의 실정이다. 모든 개인정보를 보호해야 한다는 것은 잘못된 생각이다. 보호해야 할 개인정보가 있는가하면, 공개·공시해야 할 개인정보가 별도로 존재한다. 대통령의 이름이나 장관 이름마저도 보호의 필요성 때문에 동의를 얻고 활용하는 것이 알권리, 정보의 자유, 언론의 자유, 표현의 자유 등이 보장된 민주주의 사회에서 바람직한 현상인가? 이런 현상은 개인정보보호 법령의 경직성으로 말미암은 것이다. 참고로 캐나다의 개인정보보호법은 조직 구성원의 이름·주소·전화번호 등은 개인정보에서 제외하고 있으며, 캐나다의 프라이버시보호법은 개인의 공공기관 재직 경력 등을 개인정보에서 제외하고 있다. 이러한 태도는 개인정보의 범위에 대한 유연한 접근이라 할 수 있지만, 우리 개인정보보호법은 시작부터 경직되어 있는 것이 문제점이라 아니할 수 없다. 셋째 예는 '개인정보의 목적 외 이용·제공'이다. 현행 개인정보보호법 해석상 수집시 동의를 받은 범위에서만 개인정보를 활용할 수 있고, 사후에 추가적인 목적이 생기거나 제공 필요성이 있더라도 따로 동의를 얻어 새로 개인정보를 수집하게 하고 있다. 때문에 기업은 이미 수집한 수 천만개의 개인정보를 놔두고, 별도로 동의 절차를 얻어 수집을 시작할 수 밖에 없다. 하지만 이러한 경직된 절차가 있어야만 개인정보보호 목적을 달성할 수 있고, 다른 절차가 있으면 개인정보보호 목적은 달성할 수 없는 것인가? 예컨대 개인정보보호 위원회나 주무기관이 심의를 하여 목적 외 이용이나 제공을 허용해주면 절대 안 되는 것인가? 현재 공공기관은 개인정보보호위원회의 심의ㆍ의결을 얻어 개인정보의 목적외 이용이나 제공을 할 수 있다. 반면 사기업은 현실적으로 개인정보의 목적외 이용이나 제공을 할 수 있는 방법이 없다. 개인정보보호위원회의 심의ㆍ의결을 사기업에게 확대하고, 주무기관의 심사 절차도 추가하여 경직성에서 탈피할 필요성이 있다고 본다. 그리고 이러한 목적외 이용이나 제공 사실을 사후적으로 개인정보 주체에게 통지하여 추적권을 보장하여 주면 보호와 활용의 균형점을 찾을 수 있을 것이다. 개인정보보호의 수준은 일부 공무원의 머릿속에서 관념적으로 결정되어야 하는 것은 아니고 개인정보를 제공하는 정보주체의 의사에 따라 현실적으로 결정되어야 한다. 특정 목적외 이용이나 제공에 대하여 누가 보아도 정보주체가 동의할 내용으로 보이지만, 법령이 정보주체의 그러한 의사를 무시하고 처음부터 정보주체로부터 다시 동의를 얻어 개인정보를 수집하라고 강요하는 것이 합당한가에 대하여 생각해 볼 문제이다. 기존의 대부분의 규제 법령은 규제 목적을 설정한 다음 규제 수단을 획일화하거나 제한함으로써 손쉽게 규제 목적을 달성하려고 하였다.국민들의 의사나 사업자의 불편은 고려하지 않은 원시적인 접근을 하였던 것이다. 하나의 규제 목적이 반드시 하나의 규제 수단으로만 달성될 수 있는 것은 아니다. 오히려 국민들의 의사를 고려하되, 규제 수단을 다양화하고 유연화 함으로써 사업자의 준법 의욕을 올려주면서 규제 비용을 줄여주는 것이 더 실효성 있는 법령이라 본다. 개인정보보호 법령의 경직된 태도는 IT산업·정보산업의 발전 속도나 시대적 상황에 맞지 않는 점이 너무나 많고 앞으로도 부조리한 상황은 늘어날 수밖에 없다. 경직을 버리고 유연으로써 개인정보보호의 목적을 달성한다면 분명 개인정보의 활용과 보호의 두 마리 토끼를 잡을 수 있을 것이라 확신한다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2014. 7. 23.) 기고.

금년 2월에 들어선 새정부의 정책이 하나하나 가시적으로 보여지고 계획ㆍ실행되어져 가고 있다. 창조경제, 국민행복, 공공정보 공개 및 공유(정부3.0), 개인맞춤형 정보제공 및 복지서비스 등이 새정부 정책의 키워드라 할 수 있다. 새정부 정책을 간단하게 정리하면, 데이터를 공개하고 활용함으로써 창조경제 달성에 기여하는 정보통신산업을 진흥시키고 더불어 개인맞춤형 서비스를 제공하여 결국 국민의 행복을 증진시키겠다는 것이다. 그렇다면 이러한 새정부 정책에서 개인정보보호는 어디에 위치하고 있는가 또는 어디에 위치해야 하는가에 대하여 궁금하지 않을 수 없다. 이에 새정부 정책에 개인정보보호라는 가치가 어떻게 작용할 수 있는지, 개인정보보호라는 가치는 새정부 정책에 어떻게 기여를 할 수 있는지, 새정부의 개인정보보호정책은 어떠해야 하는지에 대하여 살펴보고자 한다. 첫째, 단언컨대 개인정보보호 없이는 국민행복이 이루어질 수 없다. 국민의 데이터를 남이 가지고 있고, 그들이 국민의 개인정보를 이용하여 국민의 재산을 편취하며, 국민들이 매일매일 스팸이나 광고에 시달리면서 불안에 떨고 있다면, 최고의 ICT 인프라를 갖추고 최고의 ICT 서비스를 제공받는다고 하여 행복해 지는 것은 아닐 것이다. 과거 우리는 환경이나 인권을 고려하지 않고 ‘개발’의 기치 아래 앞만 보고 달려왔다. 그 때에는 그럴 수밖에 없었다고 하지만, 그 이후 환경이나 인권 때문에 막대한 사회적 비용을 지출하면서 심각한 사회적 갈등에 시달려야만 했다. 하지만 지금은 예전과는 상황이 많이 바뀌었다. IT 및 데이터 산업은 이러한 잘못을 반복하지 않아야 할 것이다. 과거와 달리 우리는 정보산업발전ㆍ데이터이용촉진과 개인정보보호ㆍ프라이버시보호의 두 마리 토끼를 모두 잡을 수 있는 능력이 있고, 그러한 환경도 갖추어져 있기도 하다. 의식만 전환되기만 하면 물리적으로 불가능할 일은 아니다. 둘째, 개인정보보호ㆍ프라이버시보호라는 것을 IT 산업발전을 역행하는 것이라 생각해서는 아니 된다. IT 기업이 고속도로를 달리는 자동차라면, 개인정보보호ㆍ프라이버시보호는 고속도로 옆에 설치된 가드레일이자 가로등에 해당한다.고속도로를 달리는 자동차가 속도를 올리면서 안전하게 달리고, 고속도로 옆을 벗어나 민가에 해를 끼치지 않기 위해서는 튼튼하고 명확한 가드레일과 알맞은 밝기의 가로등은 필수이다. 새정부 정책은 공공기관의 데이터를 공개ㆍ공유(정부3.0)하면서, 데이터 산업, IT 산업 및 빅데이터 산업을 활성화시키겠다는 것이다. 이러한 정책은 굉장히 고무적인 현상이며, 선진국의 길로 가는 우리나라에서 반드시 필요한 정책이라 생각한다. 하지만 이 정책에서 개인정보보호ㆍ프라이버시보호를 고려하지 않는 것은 가드레일이나 가로등이 설치되지 않은 안전하지 않은 고속도로에 고속으로 운행하는 자동차를 내모는 것과 같다. 성장ㆍ발전하면서 여러 가지 비즈니스모델을 시도ㆍ활용하는 IT 기업에게, 명확한 개인정보보호ㆍ프라이버시보호 기준을 제시하는 것이 반드시 필요하며, 이러한 명확한 기준이 선행되어야만 기업은 헛수고를 하지 않을 것이며, 국민들도 안심하고 자신의 개인정보를 기꺼이 내놓을 것이다. 명확하고 제대로 된 개인정보보호ㆍ프라이버시보호 기준은 기업에게는 경쟁력이 될 것이며, 국민들에게는 신뢰가 될 것이다. 셋째, 개인정보보호ㆍ프라이버시보호에도 IT 기술이 필요한바, 이러한 기술도 IT 산업의 일종으로 이해하여야 한다. 인류는 급격한 산업화 과정에서 지구를 지키고 지속가능한 발전을 하기 위하여 환경보호라는 가치를 고려하지 않을 수 없었고, 지속가능한 성장을 위하여 반드시 달성되어야 하는 환경보호의 가치는 결국 기술적 도움으로 지켜내었던 것을 기억하여야 한다. 정보산업의 발전도 마찬가지이다. 개인정보보호ㆍ프라이버시보호를 고려하지 않은 IT 산업의 발전만을 고려하는 정책은 지속가능한 발전을 이루지 못할 것이다. 나아가 개인정보보호ㆍ프라이버시보호라는 것도 상당부분 기술적인 지원에 의하여 해결될 것인바, 개인정보보호ㆍ프라이버시보호의 기술도 국가가 진흥을 장려해야 하는 IT 기술의 일종으로 포함시키는 인식의 전환이 필요하다. 개인정보보호ㆍ프라이버시보호 산업도 키워야 할 중요한 산업 분야이고, 이 산업이 창조경제에 크게 기여하고 있으며 많은 일자리도 창출해 낼 수 있다. 넷째, 새정부는 데이터기술을 활용하여 국민에게 개인맞춤형 서비스를 제공하고자 한다. 새정부가 추구하는 개인맞춤형 서비스라 함은 그 안에 개인정보 처리가 당연히 내포되어 있는 것이다. 하지만 새정부가 추구하는 개인맞춤형 서비스가 현행 개인정보보호법제에서 제대로 위법을 저지르지 않고 운영될 수 있는지는 의문이다. 낙후된 개인정보보호법제 때문에 기업들은 개인정보 운용에 관하여 많은 시도를 포기하였는데, 새정부는 위법을 저지르지 않고 예외적으로 그 그물망을 뚫고 제대로 시도하여 성공할 수 있을지 지켜볼 사안인 것 같다. 기술발전, 경제발전 그리고 글로벌 추세에 맞지 않은 개인정보보호법제 때문에, 실제로는 정보주체의 보호도 제대로 달성하지 못하면서 개인정보의 이용촉진까지도 달성 못하는 애매한 사태가 발생하고 있다. 빅데이터 운영 및 개인맞춤형 서비스의 기획에 앞서 우선 개인정보보호 법제 정비부터 해야 하는 것이 순서인 듯 하다. 이상 새정부 정책에 있어 개인정보보호의 지위와 관계를 살펴보았다. 새정부의 정책을 시행함에 있어, 선행하여 해결되어야 하고 업데이트하여 풀어야 할 개인정보보호 과제가 산적되어 있다. 개인정보보호. 새정부의 목표를 달성함에 있어 반드시 지켜야 할 가치이면서 풀어야 할 열쇠라는 점을 잊지 말아야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 7. 23.), 리걸인사이트(2016. 2. 25.) 기고.

개인정보 활용의 대표적인 예는 빅데이터 또는 빅데이터 분석일 것인데, 엄격한 개인정보보호 법령 때문에 우리나라의 빅데이터 구현이 어렵다는 언론 기사가 자주 등장하고 있다. 더불어 개인정보보호 법령이 원활한 개인정보 활용을 막고 있고, 그 때문에 제4차 산업혁명의 동참도 그 만큼 늦추어지고 있다는 말도 자주 나오는 불만이다. 언론기사나 불만 등의 내용을 간단하게 요약하면, 개인정보 법령 때문에 데이터 활용이나 개인정보의 활용이 어렵기 때문에, 그 원인인 개인정보 법령의 개선이 필요하다는 취지다. 이 말에 100% 공감한다. 빅데이터에 막대한 예산을 쏟아 부어도 개인정보 법령이 개선되지 않으면 그 효과는 크지 않기 때문이다. 연혁적으로 보면, 빅데이터 활성화는 2013년부터 국가적으로 추진했던 과제다. 예컨대 2013년부터 방송통신위원회는 빅데이터 가이드라인 제정 작업을 시작했다. 그 후 매년 열린 수십번의 세미나나 토론에서는 시대에 맞지 않은 개인정보 법령을 개선하여 빅데이터 활성화의 길을 열어야 한다는 말이 반복적으로 나오고 있지만, 실제 입법으로 이어지지는 못하고 있다. 5년 이상이나 빅데이터 활성화를 위한 개인정보 법령 개선 요구가 있었지만 가시적인 성과가 없는 상황이다. 가트너사의 미래기술(emerging technology)의 하이퍼 사이클의 변화 추이를 보면, 2015년에 하이퍼 사이클에서 빅데이터가 사라진 것을 알 수 있다. 그 이유는 빅데이터 또는 빅데이터 분석이 우리 생활에서 일반화(prevalent)되었기 때문이라 것이다. 기술적 동향이 이렇게 변화하였음에도 불구하고 개인정보 법령의 개선은 요원해 보이는 게 현재의 상황이다. 만일 빅데이터가 아닌 특정 개인정보 규제 필요성이 대한 논의가 2013년부터 나왔다면 1~2년 안에 또는 그 이전에 국회 본회의까지 통과했을 것인데, 빅데이터는 규제가 아니라서 그런지 터널의 끝은 보이지 않은 상황이다. (참고로 빅데이터는 개인정보 활용적 측면을 기본적으로 가지고 있지만 정보주체의 처리 반대나 알고리즘 개입 등의 규제도 수반되는 게 일반적이다. 빅데이터에 있어 이런 양면적 측면이 있다는 것에 대한 이해도 부족한 게 현실의 상황이다) 유럽연합 일반 개인정보 보호 규정(EU GDPR)이나 일본은 이미 빅데이터 입법을 마치고 파생 입법까지 만들어 시행하고 있는 상황인데도, 패스트 팔로워 정책을 취하는 우리나라에서 유독 개인정보 활용은 진척이 없는 형편이다. 만일 규제 입법이 EU GDPR이나 일본에 등장했다면 이 역시 1~2년 안에 또는 그 이전에 쉽게 국회 본회의까지 통과했을 것이다. 왜 이렇게 개인정보 활용 이슈는 터널 속에서 헤매고 있을까? 그 주된 원인은 개인정보 활용을 추진할 정부 조직이 없기 때문이라 본다. 현재 개인정보 영역은 개인정보보호법, 정보통신망법, 신용정보보호법으로 3분되어 있고, 각 법령의 담당은 행정안전부, 방송통신위원회, 금융위원회가 맡고 있다. 하지만 행정안전부나 방송통신위원회 등의 개인정보 관련 조직을 유심히 살펴보면, 개인정보 '보호' 조직만 존재하지 '활용' 조직은 존재하지 않음을 알 수 있다. 예컨대 행정안전부는 개인정보보호정책관과 그 하부에 개인정보보호정책과, 정보기반보호정책과, 개인정보보호협력과, 개인정보안전과가 있지만, 조직의 명칭에서 알 수 있듯이 전부가 기본적으로 '보호' 조직이지 '활용' 조직은 아니다. 또 다른 예로 방송통신위원회는 이용자정책국과 그 하부에 개인정보보호윤리과와 개인정보침해조사과가 있지만, 이 역시 명칭에서부터 전부가 기본적으로 '보호' 조직이지 '활용' 조직은 아니다. 개인정보보호법, 정보통신망법, 신용정보보호법에 대한 규범적인 관할권을 가진 정부조직 중에서 활용 조직은 없고 오직 보호 조직만 존재한다. 물론 보호 조직이라도 활용의 업무를 하지 않는 것은 아니지만, 태생적인 한계가 있어서인지 극히 원활하지 못한 게 지금까지의 상황이다. 종합해 우리나라에서 빅데이터 등 개인정보 활용이 되지 않은 주된 이유는, 이를 추진할 정부 조직이 없기 때문인바, 지금이라도 활용을 전담할 정부 조직 신설이 필요하다고 본다. 예를 들어, 행정안전부의 개인정보보호정책관을 개인정보정책관으로 명칭을 바꾸고, 활용 조직인 '개인정보안전활용과'를 신설한다면 빅데이터 등 개인정보 활용에 탄력을 받을 것으로 본다. 또 다른 예로, 방송통신위원회의 개인정보보호윤리과·개인정보침해조사과 외에 활용 조직인 '개인정보혁신활용과'를 신설한다면 온라인 영역에서의 개인정보 활용에 큰 추진엔진이 될 것이다. 개인정보 보호와 활용의 조화는 개인정보 정책의 가장 중요한 숙제이며 가장 오래된 숙제이자 가장 어려운 난제다. 조직적으로 양 날개를 보유하게끔 하거나 수레의 양 바퀴를 갖춘다면 앞으로 전진하지 못하고 같은 동선을 계속 맴맴 선회하는 극히 비정상적인 상황은 금방 타개될 것이며, 개인정보 정책의 가장 중요한 숙제를 현명하게 풀어가는 데 큰 힘이 될 것이다. * 법무법인 민후 김경환 대표변호사 작성, IT조선(2017. 10. 13.) 기고.

2013년 계사년(癸巳年)이 밝았다. 글로벌 경기 악화로 시작된 2012년은, 치열한 대통령선거로 마무리되었기에 그 어느 해보다 다사다난(多事多難)했던 한 해로 기억되고 있다. 정보보안 분야에서는 APT 공격, 전자금융 사기, 모바일 악성프로그램, 핵티비즘 등이 이슈화되었고, 내년에도 이러한 경향은 유지될 것으로 보인다. 한편 정보보호법 분야에서도 예전에 비하여 개인정보에 관한 판례가 많이 축적되는 상황인데, 2012년에 나왔던 판결 중에서 중요한 판결 내용에 대하여 살펴보기로 한다. 1. 싸이월드 미니홈피 방문자 추적 프로그램 사건 (대법원 2012. 1. 12. 선고 2010도2212 판결) [사건개요] 피고인들은 싸이월드 가입자 미니홈피의 방문자를 추적해 주는 사이트를 운영하면서 유료회원들의 미니홈피에 설치되어 해당 미니홈피 방문자의 정보를 유출할 수 있도록 하는 프로그램을 유포하였고, 이에 검사는 정보통신망법 위반을 이유로 기소함. [판결내용] ○ 방문자 추적프로그램은 그 설치 후에도 싸이월드 미니홈피의 운용이나 이용이 정상적으로 이루어지고, 이 추적프로그램으로 인하여 싸이월드 서버의 접속을 지연시키는 등 정보통신시스템의 운용을 방해하지 않으므로 정보통신망법 제48조 제2항의 ‘악성프로그램’에는 해당하지 않지만, ○ 유료회원 미니홈피 방문자의 싸이월드 고유 아이디, 방문 일시, 접속 IP, 이름 등은 싸이월드에서 제공하지 않는 정보로서 그 일반회원들은 알 수 없는 것이고, 단순한 방문자의 확인 차원을 넘어선 개인적인 신상정보에 해당하는 것으로서 이용자의 비밀로 볼 수 있어 정보통신망법 제49조 비밀누설죄에 해당한다. (일부 유죄) [판결해설] 정보통신망법 제48조 제2항의 ‘악성프로그램’과 제49조의 ‘비밀’에 대한 개념을 다시 한 번 정리함 2. 교인 명단 업로드 사건 (대법원 2012. 12. 13. 선고 2010도10576 판결) [사건개요] 피고인은 자신이 운영하는 인터넷 카페에 개인정보가 담겨 있는 교인명단을 업로드 하여 다른 회원이 받아보게 하였는바, 검사는 정보통신망법 위반을 이유로 기소함. [판결내용] 정보통신망법 제49조(비밀누설)에서, ‘정보통신망에 의하여 처리#8228;보관 또는 전송되는 타인의 비밀 누설’이란 타인의 비밀에 관한 일체의 누설행위를 의미하는 것이 아니라, 정보통신망에 의하여 처리#8228;보관 또는 전송되는 타인의 비밀을 정보통신망에 침입하는 등의 부정한 수단 또는 방법으로 취득한 사람이나, 그 비밀이 위와 같은 방법으로 취득된 것임을 알고 있는 사람이 그 비밀을 아직 알지 못하는 타인에게 이를 알려주는 행위만을 의미하는 것으로 제한하여 해석함이 타당한바, 부정한 수단 또는 방법으로 교인명단을 취득하였다는 사실을 입증하지 못하는 한 정보통신망법 제49조 위반에 해당할 수 없다. [판결해설] 정보통신망법 제49조(비밀누설) 위반 행위가 되기 위해서는, 부정한 수단 또는 방법에 의한 비밀 취득이 수반되어야 함을 명시적으로 밝힌 판결임. 3. GS칼텍스 개인정보 유출 사건 (대법원 2012. 12. 26. 선고 2011다59834 판결) [사건개요] GS칼텍스의 회원을 관리하는 GS넥스테이션 직원이던 정씨는 2008년 7월 회사 서버에 접속해 보너스카드 회원 1151만여명의 이름, 주민번호 등 회원정보를 사무용 컴퓨터에 내려받은 뒤 DVD에 복사해 집단소송을 의뢰받은 변호사 등 몇몇 지인에게 건넸는바, 이에 GS칼텍스 회원들이 개인정보를 허술하게 관리한 GS칼텍스 등을 상대로 손해배상을 청구함. [판결내용] 개인정보가 담긴 CD 등이 집단소송을 위한 사전작업으로 언론관계자 등에게 유출됐지만 언론보도 직후 개인정보가 저장된 저장매체 등을 소지하고 있던 사건 관련자들로부터 모두 압수ㆍ임의제출되거나 폐기되었는바, 개인정보 유출로 인해 회원들에게 신원확인ㆍ명의도용이나 추가적인 개인정보 유출 등 후속 피해가 발생했다고 볼만한 상황이 발견되지 않는 점 등을 고려하면 위자료로 배상할 만한 정신적 손해가 발생했다고 볼 수 없다. (원고 패소) [판결해설] 개인정보가 담긴 CD 등이 외부로 빠져나가기 이전에 전부 회수된 경우라면 정신적 피해가 발생했다고 볼 수 없다는 의미의 판결임 4. ‘회피연아’ 판결 (서울고등법원 2012. 10. 18. 선고 2011나19012 판결, 상고심 계속 중) [사안개요] 차모씨는 인터넷 검색을 하다가 밴쿠버 동계올림픽 선수단 귀국 당시 김연아 선수가 유인촌 장관을 회피하는 듯한 장면을 편집한 사진이 게시되어 있는 것을 발견하고 이를 네이버 카페에 올렸으나, 유인촌 장관은 차모씨를 명예훼손 혐의로 고소하였고, 이에 서울종로경찰서장이 포털업체인 네이버로부터 ‘ID, 이름, 주민번호, 이메일, 휴대폰 번호, 가입일자’ 등 차모씨의 인적사항을 제공받자, 차모씨가 자신의 개인정보를 제공했다는 이유로 네이버에 위자료 청구를 함 [판결내용] 네이버의 개인정보 제공으로 인하여 차모씨의 개인정보자기결정권 및 익명표현의 자유가 침해된 것이고, 정보통신사업자가 수사기관이 요청한 이용자의 개인정보를 제공할 때 침해되는 법익 상호 간의 이익 형량을 통한 위법성의 정도, 사안의 중대성과 긴급성 등을 종합적으로 고려해 개인정보를 제공할 것인지 여부 및 어느 범위까지의 개인정보를 제공할 것인지에 관해 실체적으로 충분히 심사해야 할 의무가 있으며, 수사기관이 포털 등에 개인정보를 요구할 때에는 원칙적으로 법원으로부터 영장을 발부받아야 한다. (원고 승소) [판결해설] 이 판결은 프라이버시 보호 및 개인정보보호 원칙을 천명하고, 표현의 자유를 소중히 했으며, 종래 수사관행에 제동을 걸면서 헌법상 보장된 영장주의 원칙을 다시 한 번 확인한 판결임 5. SK 컴즈 개인정보 유출 사건 (서울중앙지방법원 2012. 11. 23. 선고 2011가합90267 판결, 피고 SK 컴즈 외 피고 부분은 생략함, 항소심 계속 중) [사건개요] 중국 거주 해커가 국내 보안업체의 업데이트 서버의 ISAPI 필터를 조작하여 무료 공개용 프로그램을 사용하는 SK 컴즈 직원의 업데이트 과정에서, 정상 업데이트 서버가 아닌 업데이트 서버에서 악성 프로그램(ALAd.dll)을 다운로드받게 한 다음, 키로깅 및 원격접속 프로그램을 통하여 SK 컴즈 DB 서버에 있는 3,500여만명의 개인정보를 빼내가자, SK 컴즈 이용자들이 SK 컴즈 등을 상대로 손해배상청구를 함 [판결내용] ○ SK 컴즈 직원의 무료 공개용 프로그램 이용과 이 사건 해킹 사고ㆍ손해발생 사이에 인과관계가 존재하지 않고, ○ 백신소프트웨어 운용, 불법 접근 탐지ㆍ방지를 위한 시스템 설치 및 운용, 망분리 조치, 공인인증서 등 추가적인 인증수단 적용 조치 등과 관련하여 SK 컴즈가 정보통신망법 등 관련 법령에서 요구하는 기술적ㆍ관리적 보호조치를 이행하지 않았다고 보기는 어려우며, ○ 피고 SK 컴즈가 사용한 MD5 방식이 구식이어서 상대적으로 해독 가능성이 크더라도 이러한 사정만으로 암호화 기술 사용 관련 기술적ㆍ관리적 보호조치를 위반한 것으로 보기 어렵다. (원고 패소) [판결해설] 해킹사고에 대한 정보통신망서비스제공자의 기술적ㆍ관리적 보호조치에 대하여 판시하고 있으나, 동일한 사안에 대하여 2012년 4월에 있었던 구미시군법원의 판결, 2012년 5월에 있었던 부산지방법원의 판결과 반대되는 결론을 낸 것임 6. 주민센터 직원의 개인정보 유출 사건 (서울중앙지방법원 2012. 11. 7. 선고 2012고합243-1 판결) [사건개요] 피고인은 주민센터에서 평소 알고 지내던 심부름센터 업주에게 타인의 세대별 주민등록자료를 열람, 발급해줄 것을 약속한 다음, 주민센터에 발령받으면서 부여받은 ID와 비밀번호로 전산정보시스템에 접속하여 열람한 개인정보(주민등록주소지 등)를 위 업주에게 알려주어 개인정보를 누설함 [판결내용] 폐지된 공공기관의 개인정보보호에 관한 법률 제11조에 따르면, 개인정보의 처리를 행하는 공공기관의 직원이나 직원이었던 자 또는 공공기관으로부터 개인정보의 처리업무를 위탁받아 그 업무에 종사하거나 종사하였던 자는 직무상 알게 된 개인정보를 누설 또는 권한 없이 처리하거나 타인의 이용에 제공하는 등 부당한 목적으로 사용하여서는 아니 된다. (유죄 인정) [판결해설] 지금은 개인정보보호법이 적용되는 사안인바, 위법한 개인정보 누설에 대하여 징역 6월, 집행유예 1년의 중형에 처해진 사안임 7. 채권추심 및 신용정보회사의 개인정보 침해 사건 (수원지방법원 2012. 6. 21. 선고 2011노5174 판결) [사건개요] 채권추심 및 신용정보회사의 직원들이 국민건강보험공단 전산망에 접속하여 채무자들의 직장보험 가입여부 등을 조회하는 방식으로, 정보통신망을 통하여 처리, 보관되는 총 29,741건의 타인의 개인정보를 유출한 사안에서, 검사는 직원들의 관리감독자인 채권추심 및 신용정보회사에 대하여 양벌규정인 정보통신망법 제75조에 의하여 기소를 함. 이에 피고인인 채권추심 및 신용정보회사는 직원들이 피고인의 피용자가 아니고, 피고인은 직원들에 대하여 관리감독의무를 다하였으므로 면책된다고 주장함 [판결내용] ○ ‘법인의 사용인’에는 법인과 정식 고용계약이 체결되어 근무하는 자뿐만 아니라 그 법인의 업무를 직접 또는 간접으로 수행하면서 법인의 통제·감독 하에 있는 자도 포함되므로 직원들이 피용자가 아니라 할 수 없고, ○ 직원들이 USB를 통하여 개인정보를 외부로 가지고 나갈 수 있었고, 공단 사이트 접속 가능 ID와 비밀번호를 직원들이 서로 공유하였으며, 이메일로 개인정보가 저장된 파일을 유출할 수 있었고, 정보보호 교육이 형식적으로 이루어진 점 등에 비추어 피고인이 관리감독의무를 제대로 했다고 볼 수 없다. (유죄 인정) [판결해설] 정보통신망법상의 양벌규정에서 법인 등의 종업원에 대한 관리감독의무를 어느 정도 해야 하는지에 대하여 일응 기준을 제시한 판결임 8. 새누리당 당원명부 유출 사건 (수원지방법원 2012. 8. 29. 선고 2012고합599 판결 등) [사건개요] 새누리당 당직자인 L씨는 4ㆍ11 총선을 앞두고 문자발송업체 L대표에게 새누리당 당원명부(220만명)를 유출하였고, 한편 선거컨설팅을 하는 K씨는 L대표에게 전화하여 L씨로부터 소개받았다며 창원 등 경남 지역의 당원 명부를 요구한 다음, 이 당원 명부를 선거운동에 활용하였는바, 검사는 L씨 등에 대하여 개인정보보호법 위반죄 등으로 기소함 [판결내용] 피고인은 당원명부가 유출될 경우 정치적으로 악용될 수 있고 개인의 사생활이 침해된다는 것을 잘 알 수 있는 위치에 있었음에도 문자발송업체 대표로부터 금품을 받고 당원의 개인정보가 담긴 당원명부를 유출한 혐의가 인정된다. 피고인의 범행이 선거에 큰 영향을 끼치지 않았지만 사익을 위해 선거 공정성과 투명성, 정당의 정치적 자유는 물론 당원의 자기결정권과 사생활을 침해했으므로 실형 선고가 불가피하다. (유죄 인정) [판결해설] 당직자 등은 개인정보 유출을 이유로 하여 개인정보보호법에 의하여 처벌된 사안이나, 새누리당은 개인정보보호법상의 면책 규정(제58조)에 의하여 형사책임을 면함 9. 인터넷 실명제 위헌 결정 (헌법재판소 2012. 8. 23. 선고 2010헌마47,252 전원재판부) [사건개요] 청구인은 인터넷 사이트인 ‘유튜브(kr.youtube.com)’, ‘오마이뉴스(ohmynews.com)’, ‘와이티엔(ytn.co.kr)’의 게시판에 익명으로 댓글 등을 게시하려고 하였으나, 위 게시판의 운영자가 게시자 본인임을 확인하는 절차를 거쳐야만 게시판에 댓글 등을 게시할 수 있도록 조치를 취하자, 정보통신서비스제공자에게 본인확인 조치 의무를 부과하고 있는 정보통신망법 제44조의5 제1항 제2호에 대한 헌법소원 심판을 청구함. [결정내용] 위 조항은 인터넷 이용자의 표현의 자유나 개인정보자기결정권을 제약하지 않는 다른 수단에 의해서도 충분히 달성할 수 있음에도, 인터넷의 특성을 고려하지 아니한 채 필요한 범위를 넘는 과도한 기본권 제한을 하고 있으며, 게시판 이용자의 표현의 자유를 사전에 제한하여 의사표현 자체를 위축시킴으로써 자유로운 여론의 형성을 방해하므로 과잉금지원칙에 위배하여 인터넷게시판 이용자의 표현의 자유, 개인정보자기결정권 및 인터넷게시판을 운영하는 정보통신서비스 제공자의 언론의 자유를 침해를 침해한다. (위헌 결정) [결정해설] 인터넷 공간의 특수성을 고려하고 게시판 이용자의 표현의 자유를 중시하여, 본인확인제를 규정하고 있는 정보통신망 관련 규정을 위헌선언함으로써, 장래 익명에 의한 게시글 의사표현을 가능하게 한 결정임 10. 정보통신망법상 차단조치(임시조치) 위헌 사건 (헌법재판소 2012. 5. 31. 선고 2010헌마88 전원재판부) [사건개요] 청구인은 변호사로서, 다음의 인터넷 카페에 회원으로 가입하여, 위 카페의 자유게시판에 “이○헌의 구도의 과정, ○○와 선불교”라는 글을 게시하였는데, 다음은 게시물에 명예를 훼손하는 내용이 포함되어 있으므로 이 사건 게시물을 삭제해 달라는 요청을 받고, 같은 날부터 30일간 이 사건 게시물에 대한 접근을 임시적으로 차단하는 조치를 한바, 청구인은 임시조치의 근거가 된 정보통신망법 제44조의2 제2항이 청구인의 표현의 자유를 침해한다고 주장하면서 헌법소원 심판을 청구함 [결정내용] 타인의 명예나 권리를 표현의 자유가 갖는 구체적 한계로까지 규정하여 보호하고 있는 헌법 제21조 제4항의 취지 등에 비추어 볼 때, 사생활 침해, 명예훼손 등 타인의 권리를 침해할 만한 정보가 무분별하게 유통됨으로써 타인의 인격적 법익 기타 권리에 대한 침해가 돌이킬 수 없는 상황에 이르게 될 가능성을 미연에 차단하려는 공익은 매우 절실한 반면, 정보통신망법 제44조의2 제2항으로 말미암아 침해되는 정보게재자의 사익은 그리 크지 않다. (합헌 결정) [결정해설] 인터넷상의 명예훼손이 있게 되면 빠른 전파가능성으로 말미암아 사후적인 손해배상이나 형사처벌로는 회복하기 힘들 정도의 인격 파괴가 이루어질 수도 있다는 점, 반면 임시조치가 단기간(30일) 동안 이루어진다는 점을 고려한 판결임 이상 2012년에 있었던 정보보호법 분야 10개의 판례를 소개하였다. 개인정보와 관련된 사건이 8건이고, 나머지 2건이 인터넷 표현의 자유와 관련되어 있다. 개인정보에 관한 8건 사례 중 해킹 방법에 의하여 개인정보가 유출된 사례가 2건이고, 5건은 인적 관리 미비로 인하여 발생한 사건이다. 나머지 1건은 개인정보 제공에 관한 판례이다. 이 밖에 넥슨 해킹 사건에서, 검찰은 “해킹 경로를 알지 못하고 업체 과실을 따질만한 증거가 불충분하며, 얼마만큼의 보안장치를 구비해야 책임이 면제되는지 법령에 명확하지 않다”는 이유로 무혐의 처분을 하였다. 반면 방송통신위원회는, 879만명의 개인정보를 유출한 KT에 대하여 개인정보를 제3자에 제공할 때 제공항목을 모두 명확하게 알리지 않고 동의받은 점, 이용자 개인정보와 인증정보를 송수신할 때 대리점 PC와 가상사설망(VPN)이 연결되는 구간에서 일부이기는 하나 실사용자의 주민번호를 암호화하지 않은 점을 이유로 행정적 조치를 취하였다. 그리고 422만명의 개인정보를 유출한 EBS에 대하여도 탈퇴한 회원의 정보를 파기하지 않은 점, 홈페이지에 접속하는 회원에게 안전한 인증 수단을 적용하는 데 미흡한 점, 홈페이지 회원의 비밀번호를 암호화하지 않은 점을 이유로 역시 행정적 조치를 취하였다. 2013년에도 개인정보에 관한 판례가 주류를 이룰 것으로 보인다. 2012년의 판례를 반면교사(反面敎師)로 삼아, 개인정보처리자는 해킹에 대한 대비뿐만 아니라, 내부 직원에 대한 관리도 철저히 하여야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2013. 1. 3.), 보안뉴스(2013. 1. 7.), 로앤비(2013. 1. 17.) 기고.

해킹으로 인한 개인정보 유출 소송과 관련한 대표적인 국내 소송은 옥션 사건과 네이트·싸이월드 사건(이하 '네이트 사건')이 있다. 옥션 사건은 2015년에 대법원 판결이 나왔고, 최근 네이트 사건에 대한 대법원 판결도 나와 두 대표적인 사건에 대한 법원의 입장이 정리됐다. 그런데 대법원의 두 판결은, 피해자들인 원고가 패소했다는 점에서 같지만, 법리적으로 보면 전혀 다른 견해를 밝히고 있다. 간단하게 정리하자면, 기업에 유리하게 적용될 수 있었던 옥션 판결이 최근의 네이트 판결로 인해 피해자들에게 매우 유리하게 바뀌었다. 2015년 2월 12일 선고된 대법원 옥션 판결(2013다43994 등)의 핵심 내용은 '정보통신서비스 제공자가 기술적·관리적 보호조치 기준 고시 내용만 준수하면 과실이 없다'는 것이다. 즉 다양하고 수많은 안전성 확보에 관한 보호조치가 있더라도, 기업은 고시만 준수하면 민사적으로도 면책된다. 예를 들어, 매우 기본적이고 상식적인 보호조치로 알려진 '관리용 단말기를 장시간 사용하지 않을 때는 로그아웃 또는 전원을 끄는 조치'라도, 이러한 의무 내용이 고시에 열거되지 않으면, 이러한 조치를 하지 않아 대량의 개인정보 유출 사고가 발생한 경우 이를 행하지 않은 기업에 책임을 물을 수 없다. 옥션 판결은 기업에 부담된 보호조치 의무나 책임을 상당 부분 경감시킬 수 있어, 때에 따라서는 기업 입장에서는 면죄부와 같은 판결이라 할 수 있다. 하지만 옥션 판결의 이러한 입장은 이번 네이트 판결로 대폭 수정됐다. 대법원에 의해 2018년 1월 25일 선고된 네이트 판결(2015다24904 등)의 내용을 요약하면, '정보통신서비스 제공자가 고시에서 정한 보호조치 내용을 다 준수하였다 하더라도, 그 외 마땅히 준수해야 한다고 일반적으로 쉽게 예상할 수 있고 사회통념상으로도 합리적으로 기대 가능한 보호조치를 다하지 않은 경우는 해커의 방조자로서 손해배상 책임이 있다'는 것이다. 이 판결 내용은 향후 해킹 관련 개인정보 유출 소송에서 중차대한 의미를 가진다. 첫째, 방송통신위원회의 개인정보의 기술적·관리적 보호조치 기준에는 '이 고시는 최소한의 기준'이라는 취지의 문구가 나오는데, 그간 그 의미에 대한 법원의 명확한 해석은 없었다. 하지만 네이트 판결은 '최소한의 기준'의 의미에 대해 우선의 기준을 제시하고 있다. 즉 '정보통신서비스 제공자가 마땅히 준수해야 한다고 일반적으로 쉽게 예상할 수 있고 사회통념상으로도 합리적으로 기대 가능한 보호조치'는 고시에 열거되지 않더라도 기업이 그 의무를 다하여야 한다는 것이다. 예를 들면, 대기업은 고시에 열거된 보호조치 내용뿐만 아니라 대기업의 보유 개인정보 개수나 매출 등을 고려하여 일반적으로 쉽게 예상할 수 있고 사회통념상으로도 합리적으로 기대 가능한 보호조치도 취해야 하고, 이를 취하지 않은 경우 해커의 방조자로서 손해배상 책임을 부담할 수 있다. 더불어 대법원은 정보통신서비스 제공자가 정보처리시스템에 접속한 개인정보취급자로 하여금 작업 종료 이후 로그아웃을 하도록 하는 것은 '정보통신서비스 제공자가 마땅히 준수해야 한다고 일반적으로 쉽게 예상할 수 있고 사회통념상으로도 합리적으로 기대 가능한 보호조치'의 예에 해당한다고 판단했다(지금은 해당 내용이 고시에 규정되어 있는데, 네이트·싸이월드 사건 발생 당시에는 고시에 그 내용이 없었다. 그럼에도 불구하고 대법원은 이를 당시 정보통신서비스 제공자가 취했어야 할 보호조치에 해당한다고 판단한 것이다). 둘째, 정보통신서비스 제공자는 해커의 해킹에 도움을 주지 아니할 주의의무가 있다고 명시적으로 판단했다. 그리고 기업이 적절한 보호조치를 취하지 아니하여 개인정보 유출이라는 결과가 발생한다면, 해커의 방조자로서 '공동 불법행위' 책임을 부담하게 된다는 점을 밝혔다. 통상 해킹 소송에서 기업은 피해자적 지위를 강조하지만, 대법원의 네이트 판결은 기업은 해커에 대항해야 할 주의의무가 있고 만일 이를 다하지 못하면 정보주체에 대해 책임을 질 수 있다는 기업의 가해자적 지위를 최초로 강조했다고 평가할 수 있다. 이번 네이트 판결은 옥션 판결을 부정하지는 않았지만, 위와 같은 추가적인 의무를 인정함으로써 결과적으로 옥션 판결의 입장을 뒤집은 판결로 볼 수 있다. 판결로 인해 향후 해킹으로 인한 개인정보 유출 소송에서 피해자는 고시에 국한하지 않은 다양한 주장을 할 수 있는바, 피해자의 지위가 전반적으로 크게 강화됐다. 이런 점에서 네이트 판결은 사실적인 면에서의 패소와는 별개로 법리 면에서 피해자의 승소 판결이라고 할 수 있으며 우리나라 개인정보 유출 사건의 기록에 진하고 큰 획을 그은 중차대한 판결이라고 평가한다. * 법무법인 민후 김경환 대표변호사, IT조선(2018. 2. 3.) 기고.

최근 구글(Google)사는 편리한 맞춤형 서비스 제공을 위하여 2012년 3월 1일부터 유투브(Youtube), 지메일(Gmail) 등 60개 서비스에서 분산 관리했던 개인정보를 하나로 통합해 관리할 것이라고 밝혔지만, EU는 구글에게 불법의 소지가 있다고 지적하고 있고, 우리나라의 방송통신위원회는 개인정보 활용 목적을 이용자에게 충분히 알리고 동의를 얻으라고 구글에 권고까지 했지만 받아들여지지 않았으며, 한국개인정보보호협의회는 구글에게 전면 철회를 요구하는 성명서를 발표하기도 했다. 이런 상황에서 ‘잊혀질 권리’ 등을 내용으로 하는 EU의 강력한 개인정보보호법규의 제안이 있었고, 미국에서는 오바마 대통령이 2012년 2월 23일, 2010년 발표된 상무성 소속 인터넷정책 TF의 그린페이퍼(Green Paper)에 기초하여, 세계 디지털 경제의 성장과 변화를 꾀하면서도 동시에 소비자의 프라이버시 보호를 개선시킬 수 있는 전면적 청사진으로서 ‘온라인 프라이버시의 프레임워크(Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy(이하 ‘프레임워크’라 함))’을 발표하였다. 오바마 대통령은 위 프레임워크의 발표배경을 “미국 소비자들은 그들의 개인정보가 안전하다는 확신을 줄 수 있는 명확한 룰을 더 이상 기다릴 수 없는 실정이고, 더불어 인터넷이 발전함에 따라, 소비자의 개인정보관리에 대한 신뢰는 디지털 경제의 지속적인 성장에 필수적이라 할 것이다.”라고 설명하였다. 위 프레임워크는 네가지 요소로 이루어졌는데, 1) 소비자를 위한 온라인 프라이버시 권리장전의 제정, 2) 인터넷업체 그룹, 소비자 그룹 등의 다양한 이해관계인의 합의로 온라인 프라이버시 권리장전을 근거로 하여 한 실효적인 법규의 제정, 3) 미국 FTC(Federal Trade Commission)의 법집행 강화, 4) 정보장벽을 낮추기 위한 세계 여러 나라와의 프라이버시 기준의 상호운용성 고려가 그것이며, 이 중의 핵심은 ‘온라인 프라이버시 권리장전’ 및 ‘여러 이해관계인의 자발적 합의에 의한 실효적 법규 제정’이다. 그러나 오마바의 ‘온라인 프라이버시 권리장전’은 가이드라인 또는 원칙에 불과하므로 법적인 강제력은 없다. 다만 여러 이해관계자의 합의에 의한 실효적인 법규가 만들어진 이후에는 이를 어긴 기업에 대하여 FTC가 강력한 법적인 제재를 할 수 있다. 이전에도 ‘온라인 프라이버시 권리장전’와 같은 FIPP(Fair Information Practice Priciples)은 다수가 제정된 적이 있었는바, 우선 과거의 FIPP에 대하여 살펴보고, 이를 기초로 오바마의 ‘온라인 프라이버시 권리장전’의 내용 및 우리에게 주는 시사점을 짚어 보기로 하겠다. FIPP란 개인정보의 수집과 통제 등 개인정보 프라이버시 권리에 대한 기본정책방향 또는 원칙을 의미하며, 나중에 이를 기초로 프라이버시에 관한 개별적인 법조항이 구체화된다. 오마바 행정부 역시 입법부를 상대로 위 ‘온라인 프라이버시 권리장전’를 근거로 한 실효적인 법제의 입법을 촉구하였다. 최초의 FIPP는 워터게이트 사건을 계기로 1973년의 미국 보건교육후생부의 자문위원회에서 제정한 ‘Records, Computers and the Rights of Citizens’이다. 줄여서 ‘HEW 원칙’이라고도 하는데, 개인정보수집과정의 투명성ㆍ개인정보에 대한 접근참여 가능ㆍ개인정보의 그 수집목적 외의 사용금지ㆍ개인정보정정가능ㆍ개인정보의 무결성 유지의 5가지로 이루어져 있다. 이러한 원칙하에 1974년 미국의 프라이버시법(Privacy Act, 5 USC sect;552a)이 제정되었다. 이후 1977년 PPSC(Privacy Protection Study Commission) 역시 FIPP 정립에 기여하게 되는데, HEW의 5가지 원칙이 개인정보수집과정 및 보호정책의 투명원칙ㆍ수집된 정보에 대한 개인의 접근참여가능 원칙, 수집된 정보에 대한 개인의 정정가능 원칙, 수집제한의 원칙, 사용제한의 원칙, 공개제한의 원칙, 수집기관의 신뢰성 있는 개인정보 관리 원칙, 수집기관 책임의 원칙의 8가지(밑줄이 추가된 원칙)로 늘어나게 된다. 위 FIPP들을 근거로 1970년 공공신용정보법(Fair Credit Reporting Act), 1978년 금융프라이버시법(Right to Financial Privacy Act), 1986년 전자통신프라이버시법(Electronic Communications Privacy Act), 1988년 비디오프라이버시법(Video Privacy Protection Act), 같은 해 어린이온라인프라이버시법(Children’s Online Privacy Protection Act)의 개별법이 차례차례 제정되었다. 이러한 추세는 유럽으로 전파되어 독일이나 프랑스에도 영향을 미쳤으며, 1980년에는 OECD(Organization for Economic Cooperation and Development) 역시 유사한 8가지의 원칙을 기초로 한 프라이버시 가이드라인(Privacy Guideline)을 발표하게 된다. 8가지 원칙으로는 수집제한의 원칙, 무결성 원칙, 목적특정의 원칙, 이용제한의 원칙, 보안관리의 원칙, 개인정보정책 등의 공개원칙, 정보주체의 참여 원칙, 수집기관 책임의 원칙이 있다. 계속하여 이러한 추세는 유지되어 유럽연합은 1995년 개인정보처리기본규칙(General Rules on the lawfulness of the processing of personael data)을 발표했고, 2004년 APEC(Asia-Pacific Economic Cooperation) 역시 유사한 원칙을 발표하기도 하였다. 이러한 FIPP은 각국의 프라이버시 개별입법에 영향을 주었음을 두말할 필요가 없다. 다시 미국으로 돌아와서, 2000년 FTC는 일반적인 FIPP의 5원칙을 정리하는데, (1) Notice/Awareness(고지와 인식), (2) Choice/Consent(선택과 동의), (3) Access/Participation(접근과 참여), (4) Integrity/Security(무결성과 보안), 및 (5) Enforcement/Redress(법집행과 시정)가 그 내용이다. 2008년 DHS(Privacy Office at the Department of Homeland Security)는 기존의 FIPP들보다는 볼 수 없는 최소수집의 원칙, 정당한 수집이 아닌 적법한 수집의 내용을 담고 있는 FIPP을 발표하였다. 위 FIPP의 원칙은 국토안보법(Homeland Security Act)에 구체화되었다. 오바마 행정부는 개인정보보호에 큰 관심을 보이면서 2011년 National Strategy for Trusted Identities in Cyberspace(NSTIC)을 발표하고, 여기에 FIPP을 담으면서 기존의 FIPP와 달리 정부뿐만 아니라 기업에 의한 개인정보수집에 비중을 두었으나, 이를 구체화할만한 입법에는 성공하지 못하였다. 이런 상황에서 2012년 2월 23일, 오바마는 다시 한 번 FIPP(정확하게는 오바마 행정부의 세 번째 FIPP임)를 발표하게 되었다. 10억명 정도의 이용자를 확보한 것으로 알려진 페이스북(Facebook)의 창업자 주커버그(Zuckerburg)는 프라이버시 시대의 종결을 언급했고, 세계 최대의 검색엔진인 구글은 개인정보관리의 통합을 시도하고 있는 상황에서, 오마바는 역대 대통령 중 가장 강하게 개인정보보호를 외치고 있다. 오바마의 포괄적이고 글로벌한 2012년 FIPP(소비자를 위한 온라인 프라이버시 권리장전)는 수집 및 이용 과정에서 정보주체의 개인정보통제(Individual Control), 프라이버시 및 보안 정책의 공개(Transparency), 개인정보 제공 목적에 부합하는 수집ㆍ이용ㆍ공개(Respect for Context), 개인정보의 적절한 관리(Security), 개인정보의 접근가능 및 정확성 확보(Access and Accuracy), 수집 목적 외 사용금지(Focused Collection), 수집기관의 FIPP 준수 의무(Accountability)의 7가지 원칙으로 이루어져 있다. 핵심은 개인정보에 대한 통제권과 투명성 제고이나, 기존의 FIPP과 비교하여 내용적으로는 새로운 것은 없다. 위 FIPP에 대하여 기업측(DAA, Digital Advertising Alliance)뿐만 아니라 소비자측(CDD, Center of Digital Democracy) 모두 디지털 시대의 소비자 보호에 있어 중요한 발전이라고 환영하고 있다. 다만 CDD는 인터넷기업과의 협상과정에서 합의점을 찾아내기에 쉽지 않을 것이라 전망하면서, 오바마의 권리장전이 미국보다 엄격한 프라이버시 기준을 가지고 있는 EU에의 기업진출을 돕는 숨은 의도가 있는 것은 아닌지 의심을 놓치지 않고 있다. 또한 개인정보전문가 Robert Gellman 박사는 개인정보를 개인정보 주체로부터가 아닌 다른 방법으로 수집하는 것에 대한 규제가 없고, 개인정보 이용시 제공목적에 부합하는 범위를 넓힌 것이 문제라고 지적하였다. 오바마의 발표에 발맞추어 미국의 온라인 광고업계는 이번 FIPP에 따라 웹브라우저상에 ‘DO NOT TRACK(추적 금지, 현재 웹브라우저 Firefox에는 ‘방문자추적중지요청’으로 장착되어 있음)’라는 버튼을 만들어 이를 클릭하면 극히 간단하게 이용자가 기업의 개인정보수집을 차단할 수 있게끔 하겠다고 발표하였다. 실제로 온라인광고업계 단체인 디지털광고연합(DAA)은 구글, 야후, 마이크로소프트, AOL 등 회원사들과 함께 향후 9개월 내에 ‘DO NOT TRACK’ 버튼을 도입한다는 방침이다. 차후에 위 FIPP를 근거로 어떠한 합의가 있을지, 그에 따라서 어떠한 구체적인 법이 들어설지, 그 내용이 어떠할지 계속 주목을 해야 할 것이며, 이제는 우리나라로 눈을 돌려보자. 우리나라의 경우 2011년 9월 30일부터 공공·민간부문 및 온·오프라인을 모두 규율할 수 있는 포괄적인 개인정보보호법이 시행되고 있으며, 이 법에서는 FIPP로서 8개의 개인정보보호원칙(제3조) 및 5개의 정보주체의 권리(제4조)를 열거하고 있다. 하지만 국민의 의식이나 개인정보보호에 대한 집행기관의 의지는 법령의 수준을 따라가지 못하고 있는 실정이다. 결론으로서 실효적인 개인정보보호를 위하여 3가지만 지적하고 싶다. 첫째, 프라이버시나 개인정보보호의 문제는 인간에 대한 진지한 고민이나 철학적 기반이 없이는 속시원한 해결방법이 나올 수 없는 분야이다. 단순히 개인정보를 잘 보호하자는 논의는 무의미할 것인바, 인간행위 및 사고에 대한 철저한 분석을 통하여 근원적이고 체계적인 이론과 실무를 정립해 나가는 것이 필요하다. 둘째, 오바마 대통령이 언급했듯이 개인정보 수집 및 활용에 있어 균형이 중요하다. 개인정보보호의 측면만을 강조하게 되면, 도리어 이용자의 편이, 기업의 성장, 기술의 혁신이 멀어지게 된다. 기술의 발전이나 이용자의 요구, 기업의 비즈니스 모델 등도 종합적으로 고려하여야 할 것이다. 다만 개인정보에 대한 주도권은 개인정보의 취급자가 아니라 제공자 즉 주체에 있어야 할 것이다. 셋째, 개인정보 보호는 국제적 흐름이기는 하나, 그 보호 정도는 지역이나 문화에 따라 상이하다는 점을 주목할 필요가 있다. 국내의 지나치게 엄격한 개인정보 보호정책은 해외자본의 유입에 저해가 될 수 있으며, 반대로 느슨한 개인정보 보호정책은 오히려 기업의 해외 진출에 부담이 될 수 있다. ‘프라이버시 라운드’라는 말에서 파악할 수 있듯이 세계적인 흐름을 읽으면서 개인정보 보호정책을 수립하여야 할 것이다. 우리가 과거보다 개인정보 노출이 심한 세상에 살고 있기는 하지만, 그렇다고 하여 프라이버시의 시대는 사라졌다는 결론을 받아들여서는 아니 될 것이다. 왜냐하면 프라이버시 권리의 근간은 인격권이며, 인격은 인간의 중심이기 때문이다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2012. 3. 10.), 로앤비(2012. 9. 17.) 기고.

금융위원회가 2013년 4월 17일, 그 동안 우리나라 국민의 개인정보와 금융거래 데이터가 해외에 유출될 수 있다는 이유로 막아 왔던 외국계 금융회사의 개인ㆍ금융정보의 해외 이전를 허용하는 내용의 ‘금융회사의 정보처리 및 전산설비 위탁에 관한 규정’ 제정안을 입법예고 했다. 우리가 정보의 국외 이전이라고 하면, 통상 정보의 해외로의 ‘제공’을 의미하지만 위 ‘금융회사의 정보처리 및 전산설비 위탁에 관한 규정’ 제정안은 ‘제공’이 아닌 ‘위탁’으로 되어 있다. ‘제공’이란 제공받는 사람의 이익이나 목적을 위하여 개인정보 등이 이전되는 것을 의미하는 반면, ‘위탁’이란 제공하는 사람의 이익이나 목적을 위하여 개인정보 등이 이전되는 것을 의미하는 점에 차이가 있기는 하다. 어쨌든 한-EU FTA(자유무역협정)의 아래 조항 및 한-미 FTA에 따라 진행되는 이번 조치이지만, 자신의 개인ㆍ금융정보가 바다 건너로 이전되는 상황에 대하여 이를 바라보는 국민들은 불편해 하고 있으며, 전산설비 위탁에 대하여 국내 IT 기업 역시 매출 감소로 이어질까 걱정하고 있다. 『ANNEX 7-D, THE ADDITIONAL COMMITMENT ON FINANCIAL SERVICES : 양 당사자는 금융서비스 공급자에 의한 정보의 국경 간 이전의 중요성을 인정한다. 대한민국은 소비자의 민감정보의 보호, 그 민감정보의 무단 재사용의 금지, 그러한 정보의 취급에 관한 금융서비스 공급자의 기록에 접근할 수 있는 금융규제기관의 권한, 기술설비의 위치에 대한 요건과 같은 분야를 다루면서 금융 정보의 국경 간 이전을 허용하는 접근방법을 채택하는 결과를 가져올 대한민국의 규제제도 수정을 수행하겠다는 의사를 표현하였다.』 위 FTA 조항을 근거로 제안된 금융위원회의 ‘금융회사의 정보처리 및 전산설비 위탁에 관한 규정’ 제정안의 해외 위탁에 관한 주요 내용을 살펴보면 다음과 같다. 이 규정에 따르면 국내 금융회사도 해외 위탁이 가능하지만, 여기서는 외국계 금융회사의 해외 위탁에 대하여만 살펴보기로 한다. 국내에 있는 외국계 금융회사는 국외에 개인ㆍ금융정보를 위탁할 수 있되, 이용자 보호 및 감독가능성 확보를 위해 위탁 금융회사의 본점 및 계열사에 한해 위탁을 허용하고 있다. 다만 법령에서 금지하고 있는 경우, 정보관리 실적이 좋지 않은 경우 등은 해외 위탁은 금지한다. 외국에 개인ㆍ금융정보가 존재하는 이상 국내법이 직접 적용되기 곤란한바 이에 대하여는 계약상의 규율을 하고 있다. 예컨대 외국계 금융회사는 정보처리 위탁계약을 체결할 경우 데이터에 대한 접근통제, 전산사고 등에 따른 이용자 피해에 대한 위ㆍ수탁 회사간의 연대책임, 수탁자에 대한 감독당국의 감독ㆍ검사 수용의무, 수탁자의 분쟁해결 과정에서의 재판관할 등을 위탁계약에 반영하여야 한다. 외국계 금융회사는 정보처리 업무의 위탁 사실을 위탁계약 체결 예정일로부터 7영업일 이전에 금융감독원장에게 보고하여야 하되, 이 때 위탁계약서, 업무위탁 운영기준, 준법감시인의 검토의견 등을 첨부하여야 한다. 외국계 금융회사가 국외에 위탁할 수 있는 개인ㆍ금융정보는 금융회사의 업무와 관련이 있는 정보(개인정보, 신용정보 등)이되, 다만 주민등록번호 등의 개인고객의 고유식별정보는 해외로 이전하여서는 아니 된다. 그리고 건강ㆍ성생활 등에 관한 정보, 유전정보, 범죄경력정보 등의 정보주체의 사생활을 현저히 침해할 우려가 있는 개인민감정보의 처리를 위탁할 경우에는 정보주체에게 개별 고지하여야 한다. 외국계 금융회사로부터 정보처리를 위탁받은 자는 정보처리 과정에서 제공받은 정보를 제3자에게 재위탁하거나, 당초 위탁의 범위를 초과하여 다른 목적으로 활용할 수 없다. 다만, 해당 정보 주체의 동의를 얻은 경우는 동의의 범위 내에서 활용할 수 있다. 개인ㆍ금융정보의 위탁이 있다 하더라도 개인정보보호법, 금융실명법, 신용정보법 등 모든 관련법상의 보호조치를 이행하여야 하며, 외국계 금융회사는 위탁 처리되는 정보의 보호를 위한 안전성 확보조치의 구체적 내용을 홈페이지 등을 통해 공시하여야 한다. 더불어 외국계 금융회사는 개인ㆍ금융정보뿐만 아니라 정보처리 관련 설비를 금융위 승인을 얻어 국외의 본점 또는 계열사에 한해 위탁할 수 있으나, 주요 설비에 대해서는 금융당국이 해외 위탁을 제한할 수 있다. 예컨대 금융이용자의 보호 및 금융감독 목적상 필요한 금융거래 관련 원장, 금융이용자에 대한 서비스와 직접적으로 관련이 있는 업무를 처리하는 설비, 국내 외부기관과 연결되어 있어 해외에 두기 부적합한 전산설비, 해외에 두는 경우 금융이용자에 대한 서비스 품질, 보안성 및 재해 복구 시간 등 관련 법령에서 정한 요건을 준수하지 못하게 되는 전산설비 등이 해외 위탁이 제한되는 설비들이다. 금융당국의 몇 가지 감독 규정도 제정되어 있다. 금융감독원장은 당해 금융회사에 대하여 그 내용의 자료보완요구, 변경권고 등 필요한 조치를 취할 수 있으며, 위탁 금융회사 및 해당 업무의 수탁회사는 금융위원회의 자료제출 등 감독 및 검사를 위한 요구에 응하여야 한다. 이 제정안은 각계각층의 충분한 의견을 수렴하는 기간을 가진 후 6월 중 금융위원회 의결을 거쳐 시행될 예정이라고 하는데, 아직까지는 환영보다는 우려가 많다. 특히 400조가 넘는 것으로 추정되는 개인ㆍ금융정보의 해외 이전으로 인하여 국내에 진출한 외국계 은행과 거래하는 국내 기업과 개인들의 개인ㆍ금융정보가 별 제약 없이 외국으로 넘어가게 되고, 그리고 그곳에서 무분별하게 재처리될 수 있다는 우려가 크다고 한다. 더불어 외국에서의 개인ㆍ금융정보의 유출 및 무분별한 이용에 대하여 국내 소비자들이 이를 통제할 수 없는바, 정보주체의 개인ㆍ금융정보의 구제 수단이나 통제수단이 미흡하다는 지적도 있으며, 평상시ㆍ비상시의 금융당국의 실효적인 감독권 행사 방안에 대하여 의문을 제기하는 사람도 있다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 4. 24.), 로앤비(2013. 4. 30.), 블로그(2013. 5. 8.) 기고.

최근 개정된 개인정보보호법과 관련하여 해석이 문제되는 몇 가지 부분이 있다. 이에 핵심 개정내용의 해석에 대하여 EU GDPR을 참조하여 살펴보고자 한다. 개인정보의 경우 처리 단위를 결정하는 것은 개인정보의 항목과 목적범위이다. 따라서 일정한 개인정보의 항목에 대하여 동의 등을 얻더라도 이를 무제한적으로 처리할 수 있는 것은 아니고 목적에 의한 제한(purpose limitation)을 받게 된다. 예컨대 A 개인정보를 a 목적으로 처리하는 경우와 A 개인정보를 b 목적으로 처리하는 것은 별개로 봐야 하고, 따라서 전자에 대하여 정보주체로부터 동의를 받았다고 하여 후자에 대한 처리는 허용되지 않는다. 이 중 개인정보 항목 부분은 비교적 명확해서 논란의 여지는 매우 적으나, 목적 또는 목적제한성의 경우 그 범위와 의미를 획정하는 것은 매우 중요하지만 쉽지 않다. 특히 기존 개인정보보호법은 목적 내 범위와 목적 외 범위로만 구별되어 비교적 단순했던 반면, 개정 개인정보보호법은 제15조 제3항 등에 '당초 수집 목적과 합리적으로 관련된 범위'라는 중간영역을 등장시켰는바, 목적범위를 획정하고 목적제한성을 이해하는 것이 매우 복잡해졌다. 여기에 새로 도입된 가명정보의 경우 '통계작성, 과학적 연구, 공익적 기록보존 등의 목적'의 경우에는 동의 없이 처리할 수 있다고 규정하고 있어서(제28조의2) 검토할 부분이 많이 늘었다. 이에 목적에 대한 개정 개인정보보호법 이해를 목표로 목적 또는 목적제한성에 대하여 살펴보고자 한다. 일단 개정 개인정보보호법에서 나온 내용들의 관계를 표로 정리하면 아래와 같다. 위 표를 보건대 개정 개인정보보호법은 목적 내 처리와 목적 외 처리의 이분법적 분류가 아니라 중간영역(당초 목적과 합리적으로 관련된 범위, 통계작성 목적 등)을 설정하면서 개인정보의 활용을 지원하고 있다. 이에 아래 순서대로 기존의 목적 내 처리와 목적 외 처리의 구별을 응용하여 새롭게 설정된 '중간영역'에 대한 내용을 획정하고자 한다. 1) 수집 개인정보 항목과 목적과의 관계 수집 개인정보 항목과 목적과의 관계는 '최소 수집의 원칙'이 적용된다. 즉 개인정보를 수집하는 경우 '목적에 필요한 최소한의 개인정보'를 수집해야 한다. 주의할 점은 최소 수집의 원칙이란 목적범위를 제한하는 것이 아니고 단지 목적이 정해진 상황에서 수집 개인정보 항목을 필요한 최소한의 범위로 정하라는 의미일 뿐이다. 더불어 중간영역이라는 것은 개인정보의 항목과 무관한 것이고, 목적과 관련이 있다는 점도 주의할 필요가 있다. 2) 목적 내 처리와 목적 외 처리의 구별 기존 개인정보보호법 체제에서 목적 내 처리와 목적 외 처리의 구별은 어떻게 하는지이다. 대법원은 SKT의 부활충전 사건에서, 서비스 이용계약의 핵심적인 내용에 따른 이용자들의 의사, 이용자들이 당연히 예상할 수 있는 범위인지 여부, 이용자들에게 불측의 손해가 입게 되는지 등을 고려하여 판단하였다. 예를 들어서 이용자들이 당연히 예상할 수 없는 범위의 처리이면 목적 외 처리에 해당하는 것이다. 3) 중간영역의 지위 중간영역 즉 합리적으로 관련된 범위(이하 ‘합리적 관련 범위’), 통계작성 목적 등이 목적 내 처리인가 아니면 목적 외 처리인가에 대하여 먼저 판별할 필요가 있는데, 중간영역이 목적 내 처리라면 굳이 입법까지 도입할 필요성이 없었을 것이다. 중간영역은 기존 개인정보보호법에 따르면 목적 외 처리 영역에 있었던 것으로 봄이 타당하고, 따라서 목적 외 처리였던 중간영역을 왜, 무슨 근거로 목적 내 처리와 유사하게 처리해야 하는지에 대한 물음에 답을 제시하는 것이 중요하다. 4) 중간영역의 존재 아유 왜 목적 외 처리 영역에서 중간영역을 분리하여 목적 내 처리와 유사하게 취급해야 하는가? 중간영역에 대한 논의는 EU GDPR의 추가처리(further processing)에서 근원한 것이기에, 이 부분은 EU GDPR에 대한 논의를 살펴보는 게 적절할 것으로 보인다. EU GDPR은 목적 제한성에 대하여 두 가지의 내용이 포함되어 있다고 설명하는데, 그 두 가지는 첫째, ‘목적의 특정성’으로서 수집시 목적은 특정되고 명시되어야 하며 정당해야 한다는 것이고, 둘째, ‘목적의 호환성’으로서 당초 목적과 호환가능(compatible)하지 않으면 추가처리는 허용되지 않는다는 것이다. EU GDPR은 목적 제한성을 추가처리까지 포함하여 설명하고 있다. ‘마케팅 목적’이나 ‘IT 보안 목적’, ‘연구 목적’ 등의 기재를 특정되지 않은 목적 기재로 파악하는 EU GDPR 체제에서 목적 특정성의 엄격성을 목적 호환성으로 완화하는 것으로 보인다. 이는 그간 우리법이 목적제한성에 대하여 첫째의 개념만 강조했고 둘째에 대하여는 논의가 없었던 것과 대조되며, 그 결과 우리 기업들은 아예 처리 목적을 다소 넓게 적는 경향이 생겼다고 보인다. 추가처리가 허용되어야 하는 이유에 대하여, 영국 개인정보보호당국인 ICO는 처리 목적이 시간의 경과로 변할 수 있고, 수집 초기에 예상할 수 없는 새로운 목적으로 처리해야 하는 상황이 올 수 있기 때문에, 추가처리는 금지되지 않는다고 설명하고 있다. 추가처리의 목적은 당초 목적과 비교하여 변경된 목적일 수도 있고, 부가된 목적일 수도 있다고 한다(추가목적 = 변경목적 + 부가목적). 예를 들어서 공공기관의 업무처리 목적으로 개인정보를 수집했는데, 공공기관에 새로운 업무가 부가되었고 호환가능한 목적인 경우 이는 추가처리가 허용되는 경우이다. 5) EU GDPR에서 추가처리가 허용되는 경우 EU GDPR은 추가처리가 허용되는 경우를 둘로 나누어서 설명하고 있다. 첫째, 동의 기반으로 개인정보를 수집한 경우는 새로운 동의를 받아야만 추가처리가 허용되고, 둘째, 동의 이외의 기반으로 개인정보를 수집한 경우에는 '호환가능한(compatible)' 경우에만 추가처리가 허용된다. 동의 이외의 기반으로는 계약, 법적 의무 준수, 긴급한 경우, 공적 업무 수행, 정당한 사유가 있는 경우를 의미한다. 더불어 추가처리가 허용되는 경우라도 개인정보처리방침에 필수적으로 기재해서 공개해야 한다. 결국 EU GDPR에서 논의의 중심은 '호환가능'을 어떻게 판단할 것인가인데, EU GDPR은 아래 5가지를 고려해야 한다고 밝히고 있다. - 당초목적과 추가목적 사이의 실질적인 관련성 - 최초 수집시의 정황 (특히 정보주체와의 관계 및 정보주체의 합리적인 기대) - 민감정보 등 개인정보의 성질 - 추가처리로 인하여 정보주체에게 발생할 수 있는 결과 - 암호화 또는 가명처리 등 적절한 보호조치 다만, 공익달성 목적, 과학적 또는 역사적 연구 목적, 통계 목적의 경우는 적절한 보호조치가 있다는 전제 하에 당초 목적과 호환가능하다고 본다 예를 들어서, 추가 목적이 당초 목적과 매우 상이하거나 기대하기 어려운 경우, 정보주체에게 부정적인 영향을 주는 경우 등은 호완가능하지 않고, 추가처리로 인하여 정보주체가 차별 등의 불이익을 보는 경우 역시 호환가능하지 않다. 6) 개정 개인정보보호법과 EU GDPR의 차이점 개정 개인정보보호법의 중간영역은 EU GDPR의 추가처리의 영향을 받은 것으로 보이나, 실제 내용을 보면 큰 차이점을 보이고 있다. 첫째, 개정 개인정보보호법에 따르면 당초 수집 목적과 합리적으로 관련된 범위라면 정보주체의 동의 없이 처리할 수 있다(제15조 제3항, 제17조 제4항). 즉 EU GDPR의 추가처리는 정보주체의 동의를 얻어 수집한 경우에는 새로운 동의를 얻어야 추가처리가 가능하지만, 개정 개인정보보호법의 합리적 관련 범위의 경우는 정보주체의 동의를 얻어 수집한 경우에도 적용된다. 이 범위에서 EU GDPR의 적용범위가 개정 개인정보보호법의 적용범위가 좁다고 볼 수 있다. 둘째, 처리의 범위에 있어, 개정 개인정보보호법의 당초 수집 목적과 합리적으로 관련된 범위의 경우는 이용과 제공의 경우만 가능하지만, EU GDPR의 경우는 모든 처리에 있어 추가처리가 허용된다. 이 범위에서 EU GDPR의 적용범위가 개정 개인정보보호법의 적용범위가 넓다고 볼 수 있다. 셋째, 판단요소에 있어, 개정 개인정보보호법은 정보주체에 대한 불이익, 암호화 등 안전성 확보조치 등을 고려한 반면, EU GDPR은 위 5가지 요소를 고려한다. 다만 최근 개인정보보호법 시행령으로 아래 4가지 요건을 '모두' 충족한 경우에만 합리적 관련 범위로 인정한다고 발표한 바 있다. - 개인정보의 추가적인 이용, 제공 목적이 당초 수집 목적과 상당한 관련성이 있을 것 - 개인정보를 수집한 정황과 처리 관행에 비추어 볼 때 추가적인 이용, 제공이 예측 가능할 것 - 개인정보의 추가적인 이용, 제공이 정보주체 또는 제3자의 이익을 부당하게 침해하지 않을 것 - 가명처리를 하여도 추가적인 이용, 제공 목적을 달성할 수 있는 경우에는 가명처리를 할 것 7) 개정 개인정보보호법의 '합리적 관련 범위'의 해석 이상 살펴본 내용을 기초로 개정 개인정보보호법의 '당초 수집 목적과 합리적으로 관련된 범위'에 대해 합리적인 해석을 해 보고자 한다. 첫째, 정보주체와의 계약 또는 약관이 있었던 경우(제15조 제1항 제1호, 제4호), 계약 내용이나 수집시 상황을 기초로 하여 변경 또는 추가가 예상되는 목적 범위로서 정보주체에게 강요나 불이익이 되지 않는 경우를 의미한다고 보인다. 둘째, 법령이 있었던 경우(제15조 제1항 제1호, 제2호, 제3호), 법령 내용을 기초로 하여 변경 또는 추가가 예상되는 목적 범위로서 정보주체에게 강요나 불이익이 되지 않는 경우를 의미한다고 보인다. 셋째, 계약, 약관이나 법령이 없는 경우(제15조 제1항 제4호, 제5호), 수집시 상황을 기초로 하여 변경 또는 추가가 예상되는 목적 범위로서 정보주체에게 강요나 불이익이 되지 않는 경우를 의미하다고 보인다. 넷째, 가명처리 또는 암호화 등의 안전조치를 취한 상태에서 통계작성, 과학적 연구, 공익적 기록보전 등의 목적의 처리는 합리적 관련성이 있는 것으로 본다. 이는 빅데이터나 오픈데이터 활용과 관련이 있다. 8) '합리적 관련 범위'인지의 판단 순서 1단계로서, 당초 목적을 획정해야 한다. 당초 목적에 대하여 동의서나 개인정보처리방침이 있는 경우는 그에 기초하여 정하되, 당초 목적이 자의적으로 넓게 기재되어 있는 경우는 실제 처리 상황도 같이 고려하여 정해야 한다. 2단계로서, 추가 목적을 획정해야 한다. 추가 목적을 획정할 때 역시 자의적이거나 지나치게 좁게 획정해서는 아니될 것이다. 3단계로서, 계약이나 약관, 법령 등 중에서 어떤 환경에서 수집되었는지 확인하여야 한다. 4단계로서, 계약이나 약관, 법령, 상황 등을 분석해서 추가 목적이 당초 목적과 관련성이 있는지, 추가 목적으로의 변경이나 추가가 예상되지는 확인해야 한다. 5단계로서, 추가 목적으로 인하여 정보주체에게 강요가 되거나 불이익이 되는지 확인해야 한다. 9) 시행령의 개선 방향 공개된 개인정보보호법 시행령은 아래 4가지 모두를 판단요소로 제시하였는바, 몇 가지 아쉬운 점을 적어보고자 한다. - 개인정보의 추가적인 이용, 제공 목적이 당초 수집 목적과 상당한 관련성이 있을 것 - 개인정보를 수집한 정황과 처리 관행에 비추어 볼 때 추가적인 이용, 제공이 예측 가능할 것 - 개인정보의 추가적인 이용, 제공이 정보주체 또는 제3자의 이익을 부당하게 침해하지 않을 것 - 가명처리를 하여도 추가적인 이용, 제공 목적을 달성할 수 있는 경우에는 가명처리를 할 것 첫째, 1번째 요소인 '상당한' 부분은 모호하기 그지 없고 필요한지도 의문이다. 모호한 단어는 기업들의 활용을 꺼리게 하고 결국 개정 개인정보보호법 제15조 제3항 등을 사문화시킬 수 있다. ‘합리적’이라는 추상적인 법률용어를 시행령으로 구체화하였다고 보기 어렵고 시행령으로 인하여 오히려 더 모호해졌다가 평가된다. 삭제함이 타당하다. 둘째, 2번째 요소에서, 누구의 입장에서 예측 가능한지 구체적으로 적는게 바람직하다. 개인정보처리자인지 아니면 정보주체인지, 아니면 둘 다인지 명확하게 밝혀야만 그 의미를 파악할 수 있을 것이기 때문이다. 실무에서 매우 중요한 요소로 작용할 것으로 예상되는데, 예측의 주체에 대하여 명확하게 기재되어 있지 않으면 필경 큰 논란이 예상된다. 셋째, 2번째 요소에서, 수집한 정황이 아니라 수집시 정황이 적절해 보인다. 개인정보를 수집한 정황만 따질 게 아니라 수집할 때의 계약관계, 법령, 사실적인 상황 등을 종합적으로 따지는 게 그 취지에 부합한다. 넷째, 3번째 요소에서, 법률에서는 '정보주체에게 불이익이 발생하는지 여부'라고 규정되어 있는데, 시행령에서 제3자의 이익까지 추가하여 고려하라고 하는 것이 타당한지도 의문이다. 합리적 관련 범위는 초기 수집시 적용되는 게 아니라 수집 이후 사정변경이 발생시 판단되는 것이라는 점을 감안해야 할 것이다. 다섯째, 4번째 요소는 불필요해 보인다. 개정 개인정보보호법 제15조 제3항 등은 규제를 풀어주는 취지인데, 여기에 4번째 요소가 들어가는 것은 맥락에 맞지 않아 보이고 불필요한 논란만 생산할 뿐이다. 합리적 관련 범위는 초기 수집시 적용되는 게 아니라 수집 이후 사정변경이 발생시 판단되는 것이라는 점을 매우 충분히 고려해야 할 것이다. 여섯째, 4가지 요소를 ‘모두’ 갖추는 것으로 규정한 것이 적절한지 의문이다. 일단 4번째 요소를 제외하고, 나머지 3가지 요소는 종합적으로 고려하여 판단하더라도 충분할 것으로 보인다. 일곱째, 절차적으로 '당초 수집 목적과 합리적으로 관련된 범위'에 대하여는 개인정보 처리 이전에 개인정보처리방침에 이를 기재하여 공개하게 하는 것이 타당하다. 목적 특정성을 엄격하게 유지하면서 합리적 관련 범위를 통하여 이를 완화해가는 것이 개인정보처리자나 정보주체에게 바람직한 법 적용으로 판단되는데, 시행령은 목적 특정성이 완화된 현실에서 오히려 합리적 관련 범위를 엄격하게 적용하는 시도로 보인다. 법률 조문의 사문화가 우려되는바, 입법 취지부터 고민하는 것이 타당하다고 본다. * 법무법인 민후 김경환 대표변호사 작성, 디지털데일리(2020. 5. 13.) 기고.

웹사이트 또는 모바일 앱을 통하여 재화 또는 용역을 판매·제공하는 스타트업이 많아지고 있다. 이와 같은 사업자는 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법')상 "정보통신서비스 제공자"에 해당하는데, 개인정보보호법은 정보통신서비스 제공자에게 서비스 이용자의 개인정보를 이용·수집하는 것과 관련하여 몇 가지 의무를 부여하고 있다. 이용자의 개인정보를 수집·이용하기 전에 이용자에게 개인정보의 수집·이용 목적, 수집하는 개인정보의 항목, 개인정보의 보유·이용 기간을 알리고 동의를 받아야 한다거나 개인정보처리방침을 수립·공개하여야 한다는 것 등이 그것이다. 그 외에도 개인정보보호법은 정보통신서비스 제공자에게 ▲정보통신서비스를 1년의 기간동안 이용하지 않는 이용자의 개인정보를 해당 기간 경과 후 즉시 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장·관리하여야 하는 의무, ▲서비스 미이용 기간 만료 30일 전까지 개인정보가 파기되는 사실, ▲기간 만료일 및 파기되는 개인정보의 항목, 개인정보가 분리되어 저장·관리되는 사실, ▲기간 만료일 및 분리·저장되어 관리되는 개인정보의 항목을 전자우편 등 방법으로 이용자에게 알려야 하는 의무를 부여하고 있다. 이는 이른바 '개인정보 유효기간제'로 일컬어지는데, 기존에는 정보통신망법에 규정되어 있었으나 2020년 정보통신망법에서 개인정보 보호에 관련한 규정을 삭제하고 이를 개인정보보호법상 특례로 규정하면서, 현재는 개인정보보호법에 규정되어 있다. 2012년 정보통신망법에 '개인정보 유효기간제'를 신설하였을 때에는 서비스 미이용 기간을 3년으로 규정하였으나, 2015년부터 위 기간을 1년으로 단축하였다. 서비스 미이용 기간이 1년으로 단축되면서 정보통신서비스 제공자에게 다소 부담이 되는 측면이 발생하였다. 그러나 개인정보보호법 제39조의6 제1항은 단서에서 1년이라는 기간을 다른 법령 또는 이용자의 요청에 따라 달리 정할 수 있다는 점도 규정하였는바, 이하에서는 단서 조항에 관하여 살펴보겠다. 먼저 다른 법령에서 달리 정하고 있는 경우로는, ▲통신비밀보호법에서 통신사실확인자료의 보존기간을 3개월로 정하고 있는 것, ▲신용정보보호법에서 신용정보 업무처리에 관한 기록의 보존기간을 3년으로 정하고 있는 것, ▲전자상거래법에서 소비자의 불만 또는 분쟁처리에 관한 기록을 3년, 계약 또는 청약철회 등에 관한 기록 및 대금 결제 및 재화 등의 공급에 관한 기록을 5년 동안 보존하여야 한다고 정하고 있는 경우가 이에 해당한다. 또한 이용자의 요청에 따라 서비스 미이용 기간을 달리 정할 수도 있다. 즉 이용자의 요청으로 서비스 미이용 기간을 1년 이상으로 정한다면 정보통신서비스 제공자는 이용자가 1년 동안 서비스를 이용하지 않았다 하더라도 그 이용자의 개인정보를 파기하는 등의 조치를 취하지 않아도 되는 것이다. 이때 주의하여야 할 점은 개인정보보호법 제39조의6 제1항 단서가 "이용자의 요청에 따라 달리 정한 경우"라고 하고 있다는 점에 비추어, 정보통신서비스 제공자가 아닌 이용자가 그 기간을 요청하도록 방법을 마련하여야 한다는 점이다. 방송통신위원회가 발행한 ‘개정 「정보통신망법」 중 개인정보보호 규정 안내서’는 서비스 미이용 기간을 1년 이상으로 달리 정하기 위하여 이용자가 요청할 수 있도록 하는 절차를 아래와 같이 마련하도록 예시하고 있다. 정보통신서비스 제공자는 위 예시를 참고하여 이용자가 서비스 미이용 기간을 1년보다 장기간으로 요청할 수 있도록 하는 절차를 마련함으로써, 이용자가 군입대를 하거나 입원하는 등의 사유로 장기간 해당 정보통신서비스를 이용할 수 없는 경우에도 1년마다 개인정보를 파기하거나 분리저장·관리하는 등의 조치를 취하여야 한다거나 서비스 미이용 기간 만료 전 이용자에게 고지하여야 하는 부담을 줄이는 것을 모색할 수 있는 것이다. * 법무법인 민후 김도윤 변호사 작성, 디지털데일리(2020. 10. 15.) 기고.

주말에 집에서 전화로 짜장면이나 치킨, 피자를 시켜 먹다 보면 불가피하게 중국집이나 치킨집, 피자집에 전화번호, 주소 등의 개인정보를 제공하게 된다. 개인정보를 제공하는 것까지는 문제가 없지만, 그 다음에 전화를 하게 되면 중국집이나 치킨집, 피자집이 전화 건 사람을 먼저 알아보고 친절하게 주소까지 알고 있다고 말해 준다. 며칠 후에는 이벤트 행사가 있으니 응모하라는 광고성 문자도 날아온다. 일부 주문자들은 매우 불쾌해하기도 하고 짜증을 내기도 한다. 그렇다면 중국집이나 치킨집, 피자집의 이러한 행위가 적법한지 궁금해질 수밖에 없는데, 동네에서 가장 쉽게 볼 수 있는 치킨집을 예로 들어 설명해 보기로 한다. 치킨집을 운영하는 A는 치킨 주문을 위해 전화를 건 B로부터 B의 전화번호, 주소 등 개인정보를 수집한 다음 주문정보도 같이 기록해 두었다. 이 상황에서 발생할 수 있는 개인정보보호의 이슈에 관하여 정리해 본다. ▲ 적용법령 직접 치킨을 배달하면서 치킨집을 운영하는 A를 정보통신망서비스 제공자라 하기는 곤란하고, A가 수집한 B의 전화번호나 주소가 B의 신용정보에 해당한다고 보기는 어려우므로 개인정보보호법에 의하여 각 사항을 결정하면 된다. ▲ 정보주체의 동의 A가 B의 전화번호나 주소를 수집하는 경우, A는 B의 동의를 얻어야 하는가? B가 제공한 전화번호나 주소는 A가 치킨을 배달하는 데 필수적인 정보로 볼 수 있다. 개인정보보호법은 ‘정보주체와의 계약의 체결 및 이행을 위해 불가피하게 필요한 경우’에 대하여 동의를 받지 않아도 된다고 규정하고 있는 바, A는 B의 전화번호나 주소의 수집을 위해 동의를 받을 필요는 없다. A가 B의 이름을 물어보는 경우에 B는 이름까지 제공해야 하는가? 치킨의 배달에는 원칙적으로 주문자의 성명이 불필요할 것인 바 필수정보가 아니므로 B는 이름을 제공할 필요가 없고, A 역시 B가 이름을 제공하지 않았다고 하여 치킨 배달을 거부해서는 아니된다. 그렇다면 A는 언제까지 B의 전화번호나 주소를 저장하고 있다가 파기해야 하는가? 법을 엄격하게 해석해 보면, 치킨 배달이 종료한 때에 A의 개인정보 처리 목적이 달성되어 그 개인정보가 불필요하게 되었으므로, A는 ‘지체 없이’ 그 개인정보를 파기해야 한다. 그렇기에 그 다음에 치킨 배달 주문 전화를 할 때에 치킨집 주인 A는 주문자의 전화번호나 주소를 알고 있어서는 안 된다. 하지만 배달완료와 동시에 전화번호나 주소 정보를 지체 없이 파기하는 치킨집 주인은 거의 없는 것이 현실이다. 나아가 A의 매장 안에서 치킨을 먹는 C에게 판촉을 위해 멤버십 운영에 필요하다는 명목으로 이름, 전화번호를 묻거나 수집하는 경우에는 C의 동의를 얻어야 하며, 동의를 받을 때에는 개인정보의 수집·이용 목적, 개인정보의 항목, 개인정보의 보유 및 이용기간 등에 대해 알려야 한다. 불가피하게 A가 C의 고유식별정보인 주민등록번호를 수집해야 하는 경우, A는 반드시 다른 항목과 구별하여 C에게 ‘별도의 동의’를 얻어야 한다. 한편, A가 B나 C의 ‘주문정보(예컨대 양념치킨 1마리 등)’를 수집하여 저장하는 경우에도 B나 C의 동의를 얻어야 하는가? 주문정보는 B나 C가 제공한 정보가 아니라 생성된 정보이고, 식별성도 약하기 때문에 원칙적으로 B나 C의 동의를 받을 필요는 없어 보인다. ▲ 수집한 개인정보의 마케팅 활용 A가 마케팅 활용이나 이벤트 홍보 등을 위하여 B나 C에게 문자 등을 보낼 수 있는가? B와 C의 경우를 나누어 파악해야 한다. B의 경우, A가 개인정보를 수집하는 목적은 배달 목적이지 마케팅이나 홍보 목적은 아니므로, A는 B에게 ‘별도의 동의’를 얻지 않고서는 B의 개인정보를 마케팅 활용이나 이벤트 홍보 등에 사용할 수 없다. C의 경우, A가 개인정보를 수집하는 목적으로 마케팅이나 홍보 목적까지 명기하여 동시에 동의를 얻었다면, A는 C의 별도의 동의를 얻지 않고도 C의 개인정보를 마케팅 활용이나 이벤트 홍보 등에 사용할 수 있다. 다만 A는 C로부터 동의를 받을 때에 개인정보의 마케팅 활용이나 홍보 등의 사용을 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다. ▲ 제3자에 의한 마케팅 활용 A가 B나 C의 개인정보를 제3자에게 제공하여 마케팅이나 홍보 등의 목적으로 활용하게 할 수 있는가? B의 경우, 그 수집목적을 벗어나므로 A는 ‘별도의 동의’를 얻어야만 제3자에게 개인정보를 제공할 수 있다. C의 경우, A가 개인정보를 제3자에게 제공하여 마케팅이나 홍보 목적까지 활용한다고 명기하고 동시에 동의를 받았다면, A는 C의 별도의 동의를 얻지 않고도 제3자에게 제공하여 C의 개인정보를 마케팅 활용이나 이벤트 홍보 등에 사용할 수 있다. 처음 동의를 받은 범위를 초과하여 개인정보를 제3자에게 제공하거나 이용하는 경우는 C에게 또 다시 ‘별도의 동의’를 얻어야 한다. 정보주체의 동의를 얻을 때에는, 개인정보를 제공받는 자, 개인정보를 제공받는 자의 개인정보 이용목적, 제공하는 개인정보의 항목, 개인정보를 제공받는 자의 개인정보 보유 및 이용기간, 동의를 거부할 권리가 있다는 사실을 정보주체에게 알려야 한다. 지금까지 치킨집에서 발생할 수 있는 개인정보보호 이슈를 살펴보았다. 치킨집 사장이 설령 법대를 졸업했다 할지라도 위와 같은 상황별 결론을 법령 문언만으로 알아내기에는 지나치게 어렵게 되어 있다. 이에 국민의 눈높이에 맞는 더 많은 홍보와 교육자료가 있어야 할 것으로 보인다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 4. 17.) 기고.

이번에는 Q&A로 풀어본 병원에서의 진료·개인정보보호, 마지막 순서로 진료정보나 병원·의료기관에서 취급하는 개인정보의 유출통지, 유출시 손해배상 책임, 영상정보처리기기, 향후 과제 등에 살펴보기로 한다. <유출통지> Q 23. 진료ㆍ개인정보가 유출됐을 때, 병원이 취해야 하는 조치는? 진료·개인정보가 유출됐을 때, 병원에게는 두 가지의 의무가 발생한다. 정보주체에 대한 통지의무와 안전행정부, 한국인터넷진흥원(KISA), 한국정보화진흥원(NIA)에의 신고의무가 그것이다. 먼저 통지의무에 관하여 살펴보면, 진료·개인정보가 유출된 즉시 병원은 정보주체에게 지체 없이 개별적으로 통지해야 하고, 이 경우 통지의 방법은 서면, 전자우편, 팩스, 전화, 문자전송 등의 방법을 활용할 수 있다. 정당한 사유가 없는 한 5일 이내에 통지해야 하며, 통지의 내용에는 ①유출된 진료·개인정보 항목 ②유출된 시점 및 경위 ③유출로 인한 피해를 최소화하기 위해 정보주체가 할 수 있는 방법 등에 관한 정보 ④병원의 대응조치 및 피해 구제절차 ⑤피해 발생시 신고 등을 접수할 수 있는 담당부서 및 연락처가 포함되어 있어야 한다. 한편, 1만명 이상의 개인정보가 유출되면 5일 이내에 안전행정부나 한국정보화진흥원, 한국인터넷진흥원에도 신고해야 한다. 다만 이 경우 정보주체에의 개별 통지에 그쳐서는 아니 되고, 홈페이지에 유출통지 내용(위 5개 항목)을 7일 이상 게시해야 한다. Q 24. 진료·개인정보가 유출됐을 때, 정보를 유출당한 환자가 취할 수 있는 절차는 어떤 것이 있는가? 진료·개인정보가 유출된 피해자의 경우는, ①한국인터넷진흥원의 개인정보침해신고센터(☏118, privacy.kisa.or.kr)에 신고할 수도 있고 ②병원과 분쟁이 있는 경우 분쟁조정위원회에 분쟁조정을 신청하여 조정을 받을 수도 있다. 분쟁조정으로 인하여 손해배상도 받을 수 있다. 조정은 자발적인 합의를 전제로 하므로, 일방이 불복하여 소송을 제기하게 되면 분쟁조정은 성립하지 않게 된다. <유출시 손해배상책임> Q 25. 진료·개인정보를 유출당한 피해자는 병원으로부터 손해배상도 받을 수 있는가? 진료·개인정보가 유출된 피해자는 개인정보보호법 제39조에 의하여, 병원에 대하여 손해배상청구를 할 수 있다. 이 경우 피해자인 원고는 병원의 의료법이나 개인정보보호법 위반 사실에 대하여 입증해야 한다. 그 밖에 진료·개인정보 유출에 대하여 책임이 있는 병원은 행정상 과태료, 형사적 처벌도 받을 수 있는 바, 피해자는 병원에 대하여 행정상 신고 또는 형사상 고소의 조치를 취할 수 있다. <영상정보처리기기> Q 26. 병원 내부의 근로자 모니터링을 위하여 CCTV를 설치할 수 있는가? 근로자참여 및 협력증진에 관한 법률 제20조 제1항 제14호에 의하면, 사업장 내 근로자 감시 설비의 설치에 대하여 근로자와 사용자로 구성되는 노사협의회에서 협의할 수 있다고 되어 있는 바, 회사 내부의 근로자 모니터링이 위법은 아니다. 따라서 병원의 사용자는 병원 내부에 근로자 모니터링 목적으로 CCTV를 설치할 수 있다. 더불어 CCTV가 설치된 회사 내부가 일반인에게 공개된 장소가 아니라면 개인주택의 경우처럼, CCTV에 관한 법령상의 의무 규정이 적용되지 않는다. 다만 병원 내부의 근로자 모니터링을 위한 CCTV라도 개인정보를 수집하고 있으므로 촬영범위에 있는 모든 사람들의 동의를 얻어야 하며, 만일 CCTV가 설치된 병원 내부의 장소가 일반인의 출입이 잦은 곳이라면 공개된 장소로 보아야 할 것이므로 CCTV에 관한 법령상의 의무 규정이 적용된다. Q 27. 대형병원 안에 여러 대의 CCTV를 운영 중인데, 이 경우 CCTV마다 안내판을 설치해야 하는가? 건물 안에 여러 대의 CCTV를 설치하고 운영하는 경우, 출입구 등 사람들에게 잘 노출되는 곳에 해당 건물 안에 여러 대의 CCTV가 운영되고 있다는 내용으로 안내판을 설치하면 되고, CCTV마다 별도의 안내판을 설치할 필요는 없다. 다만 출입구가 여러 군데에 있어서 사람들의 동선이 일치하지 않은 경우에는 동선을 고려하여 출입구마다 별도로 안내판을 설치하는 것이 바람직하다. Q 28. CCTV로 녹음도 가능한가? 택시 등 내부에 CCTV를 설치하면서 동시에 취객이나 승객과의 요금 분쟁을 미연에 방지하기 위하여 녹음기능도 활성화시키는 경우가 있다. 하지만 이러한 행위는 법령 위반에 해당한다. CCTV는 어떠한 경우에도 녹음을 해서는 안 된다. 택시 등의 내부에 꼭 녹음을 하고 싶다면, CCTV 영상장치와는 별도의 녹음기 등의 장치를 설치·이용해야 할 것이며 택시기사 스스로가 대화자인 경우에만 녹음이 가능하다. 나아가, CCTV 사용에 대하여는 반드시 승객들의 시선이 잘 미치는 곳에 미리 공지해야 하며, 불가피하게 별도의 녹음기를 사용해 할 경우에는 이 또한 미리 공지하는 것이 바람직하다. Q 29. 범죄현장이 찍힌 병원 CCTV 영상자료를 피해환자 또는 수사기관에게 제공해도 되는가? 병원이 CCTV 영상자료를 피해환자에게 제공하는 것은 금지된다. 다만 CCTV 영상자료에 찍힌 정보주체의 동의가 있는 경우에는 가능하다. CCTV 영상자료를 수사기관에 제공하는 것은 허용된다. 다만 이 경우에도 법원이 발부한 영장이 있어야 하는 것이 원칙이다. 그러나 정보주체 또는 제3자의 급박한 생명, 신체, 재산상 이익을 위해 필요한 경우에는 영장 없이 제공할 수 있는 바, 범죄현장에 관한 것이라면 형사소송법 또는 경찰관직무집행법상 수사기관의 협조요청만으로도 정보주체의 동의 없이 CCTV 영상자료를 제공할 수 있다. CCTV 영상자료를 제3자에게 제공하는 경우에도 사전에 점검하여 필요한 최소한의 범위에 한하여 제공해야 한다. Q 30. 병원 안의 지갑 소매치기를 잡기 위하여 피해자에게 CCTV 영상자료의 열람을 허락해도 되는가? 정보주체가 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우에는 정보주체의 동의 없이 개인영상정보의 열람을 허락할 수 있다. 병원 안의 소매치기를 잡기 위하여 피해자에게 CCTV 영상자료를 보여주는 경우는 정보주체가 의사표시를 할 수 없는 상태이거나 주소불명 등으로 사전 동의를 받을 수 없고 나아가 급박한 재산의 이익을 위하여 필요한 경우이므로 정보주체의 동의 없이도 피해자에게 CCTV 영상자료의 열람을 허락해도 된다. 다만 이러한 경우라도 사전에 미리 점검하여 필요한 최소한의 범위 내에서만 열람을 허락해야 하고, 불필요한 영상이 노출되지 않도록 주의를 기울일 필요가 있다. Q 31. CCTV 영상자료는 며칠이나 보유하고 있어야 하는가? CCTV를 통하여 얻은 개인영상정보는 수집 이후 30일 이내에 파기하거나 삭제해야 한다. 다만 법령에 특별한 규정이 있는 경우, 개인영상정보를 수사나 재판 자료로 제공하는 경우, 기타 정당한 이유가 있는 경우에는 기간을 초과할 수 있다. 기타 정당한 이유가 있는 경우로는 CCTV 설치목적 등 설치자의 특성에 따라 CCTV 영상자료 보관 목적 달성을 위해 필요한 최소한의 기간이 30일을 초과하는 경우를 들 수 있다. 이 경우에는 영상정보처리기기 운영·관리지침에 사전에 이러한 내용이 반영되어 있어야 한다. Q 32. IP를 활용한 네트워크 카메라를 설치·운영하고 있는 소규모 병원의 운영자인데, 이 경우에도 개인영상정보에 대한 안전성 확보조치를 모두 이행해야 하는가? 상시근로자 수가 광업·제조업·건설업 및 운수업의 경우 10인 미만, 그 밖의 업종의 경우 5인 미만인 사업장에 대하여는 안전성 확보조치 중에서 내부관리계획 수립 의무가 면제된다. 따라서 상시근로자수가 5인 미만인 병원이라면 내부관리계획의 수립은 하지 않아도 된다. 다만, 내부관리계획의 수립의무만이 면제되므로, 개인영상정보 안전성 확보에 관한 접근 통제 및 접근권한의 제한 조치, 개인영상정보를 안전하게 저장·전송할 수 있는 기술의 적용, 처리기록의 보관 및 위·변조 방지를 위한 조치 등은 취하여야 한다. <향후 과제> Q 33. 향후 진료정보에 관한 과제는 무엇이 있을까? 3가지가 중요과제라 생각한다. 현재 진료정보에 관한 과제는 2가지가 중요하게 거론된다. 첫째가 원격진료이고, 둘째가 빅데이터다. 원격진료란 ICT기술을 이용해 의사가 원거리에서 환자기록, 의료영상 등 각종 정보를 확인하고 진단, 처방하는 것을 말한다. 빅데이터란 기존의 분석도구 및 관리체계로는 감당할 수 없는 엄청난 양의 데이터를 말하며 이러한 데이터로부터 가치를 추출하고 결과를 분석하는 기술을 통칭한다. 원격진료, 빅데이터 모두 진료정보의 이용촉진과 관련되어 있다. 진료정보의 이용촉진으로 인하여 더 나은 보건의료 환경을 만들어갈 수 있으리라는 믿음에 기초한 것이고, 또 그렇게 되리라고 믿어 의심치 않는다. 그러나 이용촉진의 축이 높아지면, 정보보호의 축도 높아져야 한다. 관리적·기술적인 진료정보의 보호조치에 대해서도 긴장을 놓지 말아야 하는데, 세 번째 과제가 바로 진료정보의 보호 및 보안이라 할 수 있다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 7. 8.) 기고.

구글의 알파고가 바둑 게임에서 이세돌을 이겼다. 작은 승리이지만 언론은 인공지능을 찬양하고 상대적으로 인간을 비하하기 시작하였다. 알파고의 능력에 대하여는 평가받아야 마땅하지만, 인간을 비하하는 것은 전혀 별개의 문제라는 생각이 든다. 오히려 이번 알파고의 승리로 인하여 다가올 포스트휴먼 사회에 대비하여 인간 존엄에 대한 진지한 성찰과 자리매김이 있어야 할 것이다. 기술문명의 혜택은 오래 전부터 받아왔다. 단적인 예로 대학 시절 그래프까지 그려주던 샤프의 공학계산기를 사서 가슴이 뿌듯했던 생각이 난다. 첨단의 샤프 공학계산기가 아닌 단순한 계산기라도 몇 시간 걸릴 수 있는 연산을 짧은 시간에 그것도 정확히 처리하는 것은 모두가 다 아는 이야기이다. 기계의 연산능력은 수십년 전에 이미 인간을 뛰어넘었고 모두가 다 아는 사실이다. 이번 알파고는 샤프 공학계산기의 연장선상에 있다고 본다. 지나친 알파고에 대한 칭송은 무엇인가 본질을 벗어났다는 생각이 든다는 뜻이다. 결론을 먼저 이야기하면 인간은 인공지능 이상이다. 알파고가 이겼다고 하여 인간이 소프트웨어보다 저능하다고 단정짓는 것은 계산기가 인간보다 뛰어나다는 말과 차이가 없다. 인간이 가지는 능력, 특히 판단력은 단순한 연산능력에 비할 것은 아니다. 알파고는 경험을 학습하고 연산을 잘하여 이세돌을 이겼지만 세상은 그리 단순하지 않다는 것은 세상 안의 구성원인 우리들이 언제나 누구나 체험하는 현상이다. 기계나 SW의 한 단면을 보면서 인간을 비하하는 것은 어리석은 것이다. 기계나 SW는 신의 피조물인 인간을 뛰어넘을 수 없다. 또한 그렇게 되어서는 아니되는 것이다. 한국에도 포스트휴먼 사회가 도래할 것이고, 그 도래의 단서가 된 날이 바로 알파고가 이세돌을 이긴 3월 9일이다. 포스트휴먼 시대에서의 인간은 발전하는 기술문명에 대하여 도취하지 말아야 하고 감정이입하지 말아야 한다. 오히려 냉철한 관찰자로서 어떻게 이 문명을 조정하고 이 문명을 받아들여야 하는지 고민해야 한다. 왜나하면 기술문명은 인간의 피조물이고, 인간이 바로 기술문명의 운용자이기 때문이다. 오히려 인간은 칭찬받아야 한다. 왜냐하면 인간이 위대한 기술문명을 만들었기 때문이다. 더불어 고민을 해야 한다. 기술의 힘이 강해질수록 더욱 더 ‘인간은 무엇인가’, ‘인간은 어떤 식으로 위대한 기술문명을 받아들여야 하는가’ 등에 대하여 고민을 해야 한다. 그렇게 하지 않으면 다가올 포스트휴먼 사회에서 인간은 존재하지 않을 것이기 때문이다. 알파고는 대단하고 앞으로 더 대단한 놈이 나올 것이다. 하지만 알파고에 대한 인간의 철학적 지위는 알파고의 능력과 전혀 별개로 보아야 한다. 인간보다 계산을 잘하는 샤프 계산기를 숭상하지 말아야 하는 것과 같은 원리이다. 인간의 존엄에 대하여 고민하면서 다가올 포스트휴먼 사회를 준비하여야 한다. 그것만이 미래를 준비하고 알파고를 다스리는 길이라 생각한다. * 법무법인 민후 김경환 대표변호사 작성, 블로그(2016. 3. 10.) 기고.

라틴어 접두사인 '포스트(post)'는 한 단어로 번역하기가 쉽지 않다. 이 단어를 '이후'의 의미로 사용하는 경우도 있고 '초월'의 의미로 쓸 때도 있으며, '반대(anti)'의 의미로 쓰는 경우도 있다. 때문에 우리에게 매우 익숙한 용어인 '포스트모더니즘'도 우리말로 번역하는 대신 그 자체로 사용하는 게 통상적이다. 그러나 어떤 의미로 사용하든 '포스트'를 붙일 때에는, 기존의 그 무엇에 대한 위기감과 그 무엇의 범주에 속하지 않는 '포스트 무엇'에 대한 막연한 기대감 및 불안감이 내재돼 있는 것이 일반적이다. 언제부터인가 하이픈(-)을 빼고 하나의 단어로 사용되기 시작한 '포스트휴먼(posthuman)'이라는 단어에도 휴먼에 대한 위기감, 포스트휴먼에 대한 기대감과 불안감이 서려 있다. 포스트휴먼이란 인간의 정신적, 신체적 한계를 뛰어넘는 존재로서, 사이보그, 로봇, 개량인간 등을 포함하는 포괄적인 개념이며, 포스트휴먼 사회는 휴먼과 포스트휴먼이 공존하는 사회이다. 포스트휴먼 사회는 언제 도래할까. 미국의 미래학자 레이 커즈와일은 2045년을 기술적 특이점(technological singularity)으로 예상하면서, 이때가 되면 인공지능이 인간지능을 초월하게 됨으로써 기술발전의 속도는 걷잡을수 없이 빨라질 것이라고 보았다. 이 시기와 맞물려 또는 이미 그 전부터 포스트휴먼 사회는 도래하고 있을지도 모른다. 포스트휴먼 사회의 핵심문제는 인간과 포스트휴먼의 관계이다. 평등한 공존이어야 하는지 아니면 지배-피지배 관계이어야 하는지 고민을 해 보아야 한다. 개념적으로 이미 포스트휴먼은 인간보다 뛰어난 존재이기 때문에 인간이 포스트휴먼을 지배하는게 현실적으로 가능할지도 문제이다. 가장 중요한 점은 포스트휴먼 사회가 도래해도 인간은 여전히 살아가야 하고 인간의 존엄성은 유지되어야 한다는 것이다. 정신적, 신체적으로 열위에 있는 인간이 어떻게 주체성과 존엄성을 유지할 수 있는지 철학적 모색부터 법적 구상까지 해 보아야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2015. 8. 3.), 블로그(2015. 8. 11.) 기고.

영화 어벤져스에는 여러 가지 유형의 영웅들이 나온다. 천재적인 두뇌와 재능으로 세계 최강의 무기업체를 이끄는 '아이언맨', 아스가르드의 왕 오딘의 아들 '토르', 실험 중 감마선에 노출된 이후 분노를 통제할 수 없는 상태가 되면 나오는 녹색 괴물 '헐크', 최고의 전사를 양성하는 슈퍼 솔져 프로젝트에 선발되어 인간의 한계를 초월한 신체 능력을 얻게 된 '캡틴 아메리카', 고도로 숙련된 무술 실력과 함께 특별히 고안한 맞춤형 무기까지 장착한 '블랙 위도우' 등등. 어벤져스 영웅들은 우리 인류의 미래와 밀접한 관련이 있다. 인류는 끊임없이 자신의 물리적 능력을 성장시키고자 노력하고 있었고, 이러한 결과는 총, 탱크, 미사일뿐만 아니라 자동차, 스마트폰 등으로 투영되어 있다고 할 수 있다. 인류는 물리적 능력뿐만 아니라 지적 능력을 키우고자 전자계산기, 컴퓨터 등을 개발해 왔다. 그런데 그 발전의 방향은 어디일까? 그 답은 어벤져스 영웅들에게 있다. 신체에 착용하는 로봇을 이용하거나 로봇을 조종하여 자신의 물리적 · 지적 능력을 향상시킨 영웅이 아이언맨인 반면, 직접 자신을 극단적으로 변형시켜서 능력을 향상시킨 영웅이 바로 헐크와 캡틴 아메리카이고, 훈련을 통하여 능력을 향상시킨 영웅이 바로 블랙 위도우이다. 인류 문명의 개선은 4가지 방향으로 전개될 것으로 보인다. 즉 로봇 등의 기계를 착용하여 능력을 개선시키는 연구, 조종하는 로봇 등 기계를 통하여 능력을 극대화시키는 연구, 화학 물질 투여나 수술 등을 통하여 신체의 한계를 깨는 연구, 인간의 잠재된 능력을 훈련을 통하여 개선시키는 연구가 그것이다. 예를 들면, 웨어러블 기기가 첫번째의 예이고, 드론이 두번째의 예이며, 라식이 세번째의 예이고, 태권도가 네번째 예이다. 어떤 연구가 인류 문명에 가장 긍정적 영향을 줄지는 지켜볼 일이지만, 신체적 능력 조작에 만족하지 않고 누군가는 긍정적으로든 부정적으로든 도덕적 능력을 조작하려는 시도도 하지 않을까. * 법무법인 민후 김경환 대표변호사 작성, 법률신문(2015. 6. 8.), 블로그(2015. 6. 9.) 기고.

'영화 '어벤져스'를 보면 여러 수퍼히어로들이 등장한다. 화학적 작용으로 신체 능력을 올린 캡틴 아메리카와 헐크, 에너지를 신체에 보유하면서 기계적 작용으로 신체 능력을 극대화한 아이언맨 등등. 그 중에서도 가장 눈에 띄는 존재는 악당인 '울트론'이다. 울트론이 눈에 띄는 이유는 인류의 미래를 가장 잘 보여주고 있기 때문이다. 영화 속 울트론은 인간의 정신적, 신체적 한계를 뛰어넘는 존재다. 울트론과 같은 사이보그, 로봇, 개량인간 등을 포함하는 개념이 바로 포스트휴먼이며, 포스트휴먼 사회는 사람과 사람을 뛰어넘는 '기술'이 공존하는 사회를 말한다. 현대 정보통신기술과 생명과학기술, 인공지능기술의 발달은 가깝게는 드론, IoT, 웨어러블기기, 자율주행자동차, 군용 로봇, 로봇기자, 각종 산업로봇 등을 등장시켜 인간의 노동력과 능력을 로봇들이 대신하도록 하고 있고 인간의 삶 전반을 근본적으로 변화시키고 있다. 이러한 과학기술의 발달은 그리 멀지 않은 미래에 생명의 탄생과 유지 및 종결 방식에도 지속적으로 개입할 것으로 보이며 인간은 로봇과 사이보그를 거쳐 자기산출능력을 갖춘 유사인간 종(posthomo sapiens)까지 마주하게 될 수도 있다. 굳이 울트론을 예로 들지 않아도 가까이에는 킬러 로봇이 등장해 인류의 생명을 위협하고 있고, 기자 로봇이나 각종 산업 로봇 등은 인류의 일자리를 위태롭게 하고 있다. 포스트휴먼의 갑작스러운 등장에 인간의 혼란은 켜져 갈 수밖에 없다. 사회 구조의 변화나 정부 정책의 개선이 요구되는 부분도 있다. 예컨대 한 국가 또는 한 가구의 로봇의 보유수가 군사력이나 부(富)의 중요한 척도가 될 수 있으며, 현재 짜 놓은 공적 연금 제도 등은 노동환경이 급변하게 될 포스트휴먼 사회에서 무용하게 될 수도 있다. 근본적으로 철학적인 기초 연구가 선행돼야 하지만, 법적으로도 대비해야 할 일이 적지 않다. 대표적으로 킬러 로봇에 대한 국제적 협력 관계가 빈번한바 우리의 목소리를 내서 국제 규범 형성에 적극적으로 참여함과 동시에 국내 정책에 이를 반영해야 할 것이며, 자율자동차 사고가 발생할 때, 군사 로봇이 아군을 적군으로 오인하여 사살한 때 등의 경우에 그 법적 책임을 누가 부담하는지에 대한 검토도 이뤄져야 한다. 더 근본적인 논의로서, 포스트휴먼과 인간과의 관계를 어떻게 설정할 것인지, 인간과 지능적으로 유사하지만 몸체로는 인간과 유사하지 않은 인공지능 로봇에 대해 그에 합당한 법적 지위를 보장해 줘야 하는지, 법적 지위를 인정한다면 몸체를 교체해 가면서 반영구적으로 살아갈 수 있는 정보 중심의 로봇의 사망 시기를 언제로 볼 것인지 등에 대해서도 검토해야 한다. 그러나 이에 대한 사회적·법적 대비는 아직 거의 이뤄지지 못한 실정이다. 공무원연금개혁에서 반드시 수반돼야 할 30년 후 노동환경에 대한 예측, 드론산업 관련법, IoT 관련법, 자율주행자동차의 사고책임, 킬러로봇 개발 규제, 로봇스파이 대응 등 당장 눈앞에 다가온 과제도 산적한 상태인데, 이러한 포스트휴먼시대의 문제를 총괄적으로 연구하는 학회는 아직 국내에 존재하지 않는다. 이미 다가오고 있는 포스트휴먼사회에 대해 철학적으로 탐구하여 '인간'과 '생명'과 '의사소통'에 대한 근본적 성찰을 하고 이를 바탕으로 각종 관련 법제도, 정책 등의 개발과 운용은 어떤 식으로 이뤄져야 하는지 등에 대한 현실적인 입법 제안 등이 필요한 이유다. 단순한 법제도 차원의 논의만으로는 인간의 삶뿐만이 아니라 인간의 개념 자체를 뒤흔들 수 있는 포스트휴먼사회의 문제를 모두 담을 수 없기에 모든 유관 분야의 학자 및 전문가들의 연구와 소통이 필요하다. 포스트휴먼 시대 도래에 따른 사회적 비용은 그 준비 여부에 따라 결정될 것이다. 철학적·법적으로 그리고 기술적으로 적극 준비해 성큼성큼 다가오는 포스트휴먼 시대에 적응할 수 있는, 나아가 세계 여론이나 법제도를 리딩할 수 있는 지혜가 매우 필요한 때가 바로 지금임을 명심해야 할 것이다. * 법무법인 민후 김경환 대표변호사 작성, 디지털타임스(2015. 9. 22.) 기고.