한국 이통3사 이용자 개인정보 열람청구권 보장 부족한 것으로 나타나

오픈넷 김가연 변호사, 연구의 일환으로 2017년 KT 상대 개인정보 공개청구 소송 제기해 1심 승소, 현재 항소심 진행중

지난 10월 16일 캐나다 토론토 대학교 산하 시티즌랩(Citizen Lab)은 한국, 홍콩, 호주, 인도네시아, 말레이시아 아시아 5개국 Access My Info(AMI) 프로젝트 연구 결과를 발표했다. AMI는 정보통신기업이 이용자에 대한 어떤 정보를, 얼마나, 어떤 목적에 의해 보유하고 있으며, 이러한 내용을 얼마나 공개하는지를 연구하는 프로젝트이다. 사단법인 오픈넷이 참여한 본 연구 결과에서 한국은 연구 대상 국가들 중 가장 강력한 개인정보보호법제를 가지고 있지만, 통신사들은 이용자의 개인정보 열람청구권을 피상적으로만 보장하고 있는 것으로 나타나 제도와 실무 사이의 간극이 큰 것으로 밝혀졌다.

2014년, 시티즌랩과 오픈이펙트(Open Effect)는 민간 기업이 이용자의 개인정보를 어떻게 수집, 보유, 처리, 공개하는지 알아보기 위해 AMI 프로젝트를 시작했다. 연구방법론의 일환으로 일반 대중이 맞춤형 개인정보 열람요청서를 생성할 수 있도록 도와주는 웹 기반 툴을 제공했는데, 이를 이용해 수만 명의 캐나다인들이 통신사에 개인정보 열람요청서를 보냈다. 당시 연구 결과는 기업들 간 대응이 일관되지 않으며, 소비자들이 자신의 개인정보에 접근하는 데 상당한 장벽이 있음을 보여주었다.

캐나다에서의 첫 AMI 프로젝트에 이어, 시티즌랩은 아시아에서 AMI 프로젝트를 진행하기 위한 작업반을 구성했다. 작업반에 한국, 홍콩, 호주, 말레이시아, 인도네시아 5개국의 학자, 변호사, 활동가 및 디자이너가 참여했으며, 한국 연구는 오픈넷이 맡았다. 2016년 1·2차에 걸쳐 진행한 연구에서 밝혀진 것은 이통3사가 모두 온라인 개인정보 열람신청 절차를 제공하고 있기는 하지만, 막상 회신을 받아보면 신청자에 대한 개인정보 자체는 제공하지 않고 KT는 일부 개인정보의 보유 여부만 O, X로 표시해서 제공하고, SKT와 LGU+ 개인정보 처리방침의 사본만 제공하고 있어 이용자의 개인정보 열람청구권을 제대로 보장하고 있지 않다는 것이다.

연구 결과에 기반하여 2016년 10월 오픈넷은 방송통신위원회(이하 “방통위”)에 KT의 부실한 개인정보 열람방식에 대해 진정서를 제출했고, 방통위는 이에 대한 답변으로 2018년 「온라인 개인정보 처리 가이드라인」을 발표하면서 “4. 개인정보 열람·제공 등 요구 운영 기준”에서 “열람·제공 등 요구에 대해 사업자는 개인화 조치된 정보의 형태(성명, 연락처, 로그기록, 쿠키 등)로 이용자가 제공받도록 조치해야 함”을 규정했다. 그렇지만 현재까지 이통3사의 관행은 여전하며, 이는 정보통신망법 제30조 위반으로 과태료 부과의 대상이다. 또한 오픈넷 김가연 변호사는 KT 이용자로서 모든 개인정보를 제공받기 위해 2017년 KT 상대로 개인정보 공개청구 소송을 제기했으며, 2018. 12. 4. 1심 승소 판결을 받고 현재 항소심의 판결을 기다리고 있다.

개인정보 열람청구권은 정보주체의 개인정보자기결정권 행사에 있어 가장 중요한 권리이다. 개인정보를 누가, 어떤 목적으로, 얼마나 오랫동안, 어떤 근거로 제3자와 공유하는지에 대해 알지 못한다면, 정보주체는 동의 철회나 정정·삭제 요구 등 다른 권리를 행사할 수 없고 기업이 그들의 정보를 적절하게 처리하고 있는지 평가할 수 없기 때문이다. 2019년 기준 전 세계 134개국이 개인정보보호법을 가지고 있고, 이론상으로는 대부분의 개인정보보호법이 개인정보 열람청구권을 보장하고 있지만, 실무상 기업들이 이러한 요청에 어떻게 대응하는지에 대한 실증적 연구는 찾아보기 어려웠다. 이번 AMI 연구 결과는 아시아·태평양 지역 최초 개인정보 열람청구권에 대한 실증적 연구라는 점에서 매우 큰 의미가 있다고 할 것이다.

“Access My Info – Measuring Data Access Rights Around the World” 연구 보고서(영문)

Access My Info 연구 보고서 요약

• 우리가 인터넷 연결·통신에 사용하는 서비스를 제공하는 기업은 우리의 개인정보를 어떻게 처리하고 있는가?
• 어떤 유형의 정보를 수집하는가?
• 얼마나 오래 정보를 보관하고 있는가?
• 정보를 제3자와 공유하는가?

개인정보를 누가, 어떤 목적으로, 얼마나 오랫동안, 어떤 근거로 제3자와 공유하는지에 대해 알지 못한다면, 소비자는 그들의 권리를 행사할 수 없고 기업이 그들의 정보를 적절하게 처리하고 있는지 평가할 수 없다.

2019년 기준 전 세계 134개국이 개인정보보호법을 가지고 있다. 많은 개인정보보호법제상 주요한 권리는 개인이 자신이 사용하는 제품이나 서비스를 제공하는 기업에게 보내는 서면 요청인 개인정보 열람요청(Data Access Requests, DAR)을 할 수 있다는 것이다. DAR은 기업이 한 사람에 대해 보유하고 있는 모든 정보를 공개할 것을 요구하며, 이는 언제, 어떻게, 누구에게, 그리고 어떤 이유로 그 사람의 개인정보를 공유하거나 공개하는지 그리고 기업의 개인정보보호 관행과 기업에 적용되는 개인정보보호법 준수에 관한 기타 세부사항을 포함한다. 개인정보 열람요청권은 이론상으로는 다수의 개인정보보호법에 포함되어 있지만, 실무상 기업들이 이러한 요청에 어떻게 대응하는지에 대한 실증적 연구는 찾아보기 어렵다.

2014년 시티즌랩(Citizen Lab)과 오픈이펙트(Open Effect)는 민간 기업이 개인의 개인정보를 어떻게 수집, 보유, 처리, 공개하는지 알아보기 위해 개인정보 열람요청과 관련 법, 정책, 기술을 활용하는 연구 프로젝트인 Access My Info(AMI)를 시작했다. 연구방법론에는 일반 대중이 서로 다른 산업에 맞춘 양식을 기반으로 한 개인정보 열람요청서를 생성할 수 있도록 도와주는 웹 기반 툴이 포함되어 있다.

AMI는 캐나다에 처음 적용되었고, 그 결과 수만 명의 캐나다인들이 통신사에 개인정보 열람요청서를 보냈다. 연구 결과는 기업들 간 대응이 일관되지 않으며, 소비자들이 자신의 개인정보에 접근하는 데 상당한 장벽이 있음을 보여주었다.

캐나다에서의 첫 AMI 프로젝트에 이어, 시티즌랩은 AMI 연구를 아시아로 가져와서 해당 지역에서의 DAR에 대한 대응을 비교적으로 측정하기 위한 작업반을 구성했다. 작업반은 다음과 5개국의 학자, 변호사, 활동가 및 디자이너가 참여했다.

• 홍콩: Lokman Tsui 교수(홍콩중문대), Stuart Hargraves 교수(홍콩중문대), 키보드전선(Keyboard Frontline, 시민사회단체), 인미디어(InMedia, 미디어 그룹), Jason Lee 디자이너
• 대한민국: 김가연 변호사(오픈넷), 박경신 교수(고려대)
• 호주: Adam Molnar 교수(워털루대/디킨대)
• 인도네시아: Sinta Dewi Rosadi 교수(파드자드자란대)
• 말레이시아: Sonny Zulhuda 교수(말레이시아 국제이슬람대)

각 파트너는 각국의 통신사와 ISP에게 개인정보 열람요청서를 보내 고객에 대해 수집하는 정보의 유형, 보유 기간, 제3자와 공유 여부를 잘 알아보고자 했다. 또한 파트너들은 기업들이 요청에 답변하는 방법 즉, 요청의 이행에 얼마나 걸리는지, 요청자의 입장에서 노력이 얼마나 필요한지, 수수료를 청구하는지 또는 어떻게 청구하는지 등도 알아보고자 했다.

각 국가가 고유한 법과 맥락을 가지고 있는 반면, 우리는 이를 관통하는 일반적인 패턴을 발견했다.

아시아의 개인정보보호법제는 역동적: 아시아는 특히 이 연구를 실시하기에 흥미로운 지역이다. 왜냐하면 강력한 개인정보보호법을 가진 국가들과 개인정보보호법이 없거나 제정하는 단계에 있는 국가들을 포함하고 있기 때문이다. 모든 국가의 공통점은 개인정보보호의 요소가 유동적이거나 논쟁의 대상이라는 점이다.

한국은 이 지역에서 가장 강력한 개인정보보호법을 가지고 있지만, AMI 프로젝트를 통해 통신사들이 개인정보 열람요청을 피상적으로 준수하고 있음이 밝혀졌다. 이통3사는 온라인 개인정보 열람신청 절차를 가지고 있었지만, 개인정보 열람신청에 대한 답변으로 KT는 일부 개인정보의 보유 여부 목록만을 제공하고, SKT와 LGU+는 개인정보는 제공하지 않고 개인정보 처리방침의 사본만 제공했다. 이에 대해 AMI 파트너인 오픈넷은 불완전한 답변을 한 KT를 상대로 개인정보 공개청구 소송을 제기했다.

홍콩과 호주에서는 개인정보의 정의에 대한 논쟁을 불러일으켰다. 홍콩의 통신사와 ISP는 인터넷 프로토콜(IP) 주소와 지리적 위치(geolocation) 기록은 개인정보가 아니므로 사용자에게 제공할 필요가 없다고 주장한다. 현재 호주에서 IP 주소는 개인정보의 법적 정의에 포함되지 않는다.

개인정보보호법이 없거나 도입 중인 국가에서는 다른 문제에 직면했다. 말레이시아는 개인정보보호법을 제정했지만 강력하게 집행되지 않고 있다. 인도네시아는 개인정보보호법 초안을 만들었지만 아직 법률로 통과되지 않았다. 결과적으로 두 국가 모두에서 DAR은 기업들로부터 제한적인 회신을 받았다.

각국 통신사의 답변은 요청 사항과 일치하지 않았으며, 법적 요구 사항과 일치하지 않는 경우도 있었음: 전반적으로 통신사의 답변은 불완전했으며, 법적 요구 사항에 따르지 않는 경우도 있었다. 그리고 일반적으로 각국의 통신사들이 개인정보 열람요청을 제대로 처리하기에 충분한 절차를 아직 갖추지 못했다는 것이 확인되었다. 이러한 결과는 법률의 문언만을 검토하는 게 아니라 법률이 현실에서 어떻게 기능하는지 측정하는 것의 중요성을 보여준다.

본 보고서는 일련의 사례 연구로서 아시아 각국에 대한 연구 결과를 제공한다. 또한 비교를 위해 캐나다 연구 결과의 요약(최초의 AMI 시행 국가)을 포함시켰다.

2019년 11월 29일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

[관련 글]
[논평] 오픈넷, KT 상대 개인정보 공개 청구 소송 1심 승소 (2019.01.17.)
[2차 모집] 이통3사 개인정보 열람 실태 연구에 참여해주세요! (2016.08.11.)
이통3사 개인정보 열람 실태 연구 참가자를 찾습니다. (2016.01.18.) 

*이 글은 2020.1.16에 진행되었던 이재웅 박경신 대담https://opennet.or.kr/17287에서 박경신의 답변을 정리한 것입니다. 1차로 “타다는 공유경제여야만 영업이 허용되는가?”https://opennet.or.kr/17523에 이어 2번째 글입니다. 이후로는 3차로 “타다금지법 말고 AB5법을 통과시켜라!” https://opennet.or.kr/17529를 읽으시면 됩니다.

5) 공유경제라는 새로운 산업적 흐름에 대해 정부는 법적으로 원천 금지 혹은 패널티를 물리는 방식의 강경한 태도로 일관하고 있습니다. 이와 같은 대응 방식에 대해 어떻게 평가하고 계신지요?

타다금지법에 앞서서 우버금지법이 있었고 카풀금지법이 있었다. 우선 우버금지법부터 논의를 해보자. 우버를 허용하지 않은 정당한 이유가 있을 수도 있다고 본다. 바로 택시를 면허제로 만든 이유다. 하지만 과연 그런 이유로 우버금지법이 통과되었는가를 살펴볼 필요가 있다. 규제라는 것이 시장실패를 막기 위해서 만드는 건데 택시면허제는 5가지 시장실패에 대응하기 위해 만들어졌다고 본다. 즉 숫자제한, 요금제한, 고객안전, 기사보호, 승차거부금지이다. .

  숫자제한은 교통혼잡을 줄이고 특히 손님을 받기 위해 자동차들끼리 경합을 벌일 때 발생할 수 있는 물리적 위험 때문이다. 그런데 우버 등을 이용하면 원거리에서 거래가 끝나 있기 때문에 물리적 위험의 문제가 없어진다. 

  요금제한 역시 길거리에 서 있는 소비자가 협상을 제대로 할 수 없어서인데 역시 원거리에서 다양한 앱, 다양한 가격 중에서 선택을 하기 때문에 요금제한도 불필요해진다. 

  고객안전은 모든 운송수단의 경우에도 똑같이 적용된다. 보험은 개인소유자도 똑같이 들도록 요구할 수 있고 어차피 우리나라의 경우 의무보험을 들도록 되어 있다. 운전자 신원체크도 택시와 똑같이 하면 되는 문제이다. 면허제로 반드시 할 필요는 없다. 사후규제로 해도 된다. 

  기사보호 역시 운전시간을 얼마 이상 하지 못하게 하는 등의 규제가 가능하며 더욱 중요한 것은 반드시 면허제로 할 이유가 없다. 사후규제로 해도 된다. 

  승차거부는 도리어 우버가 유리한 면이 있다. 

  돈 받고 다른 사람을 실어날라주는 행위를 면허제로 하는 것이 불변의 진리가 아니다. 우버금지법은 면허제를 이유로 그 면허제의 필요성을 완화할 수 있는 정보기술을 금지하였다. 우버금지법의 문제는 개별 알선행위를 처벌하는 방식으로 입법되면서 플랫폼을 전면적으로 불법화했다는 것이다. 사회적 해악이 분명한 행위의 알선과 그렇지 않은 행위의 알선은 다르다. 면허없이 하는 것이 불법이라 할지라도, 개별 알선행위까지 처벌하는 것은 과도하다. 법에 알선행위를 직접 처벌하는 조항은 그리 많지 않다. 알선행위 자체가 처벌대상이 아니었다면 유상여객운수가 불법이더라도 우버는 존재할 수 있었다. 예를 들어 우버가 돈을 받지 않는 상황도 생각할 수 있었다. 또는 우버가 택시도 참여하는 일반앱이 되는 것도 생각할 수 있다. 이 경우 우버는 정보가 오고가는 플랫폼이지 불법행위의 방조범이 되지 않을 수도 있었다. 그러나 알선행위 자체를 처벌하는 법이 들어오면서 모든 가능성이 닫혔다. 결국 유상여객운송 면허제를 통해 정보기술이 면허제를 우회할 수 있는 가능성이 닫혀버렸다. 그렇게 까지 할 이유는 무엇이었을까? 결국 우버금지법은 택시산업 보호 외에는 정당화되기 어려운 법이라고 본다. 

  카풀금지법과 타다금지법은 우버금지법을 상수로 놓고 보면 당연한 것처럼 보인다. 우버금지법이 존재하는 이상 카풀도 타다도 편법이라고 공격을 당할 수 밖에 없는 상황이다. 카풀은 결국 출퇴근 시간을 변질시켰다는 비판, 실제 목적이 렌터카 사업은 아니지 않냐는 공격을 당할 수 밖에 없다. 하지만 불법이 아닌 이상 명백하지 않다면 처벌하지 않는 것이 옳다. 마이너리티 리포트도 아니고 국회가 생각하지 못한 의도를 마음에 품었다고 행동이 불법이 되는 것은 아니다. 현재 대리기사들이 뻔히 활동하는 상황에 자신이 10인승차이든 5인승 차이든 차를 빌렸다가 대리기사를 부르는 것(관광지에서 술을 많이 마시면 자주 볼 수 있는 광경이다)과 타다와 무엇이 다른가? 

  하지만 그마저도 불법으로 규정하겠다는 취지로 법을 통과시키려고 하는 것인데 결국 우버금지법의 금지범위를 완벽하게 메꾸겠다는 것으로 이해된다. 결국은 유상운송면허제에 대한 논의를 할 수 밖에 없다.  

  특히 이런 식으로 특정기업의 영업을 중단하기 위해서 법을 통과시키는 것은 위헌적 요소가 있다. 11인승이상 승합차에 운전자를 알선할 수 있다는 법이 정당하다면, 승차지를 항만, 공항으로 한정하는 것은 타당성은 무엇인가? 항만, 공항을 다른 것과 다르게 취급하는 이유는 무엇인가? 물론 경제규제는 표현규제와 달리 느슨하게 헌법심사를 받기 때문에 위헌이 나올 가능성은 높지 않다. 그러나 결국 이 차이를 정당화하는 개념은 관광일텐데 관광을 어떻게 정의할 것인가? 무엇이 관광인가? 광화문에 사는 사람이 홍대에 밥을 먹으러 가면 관광이 아닌가? 결국 헌법적으로 정의하기 어려운 법익을 기준으로 만들어지는 법이 된다.  

6) 오픈넷에서 12월에 했던 공유경제 국제컨퍼런스에 참여했던 그레고리 스태판 교수는 단기적으로 틀림없이 공유경제 활동에 참여하는 노동자들의 처우는 열악해진다고 주장했습니다. 타다에 대해 비판적인 시선이나 우려의 의견을 보내고 있는 많은 사람들 역시 타다 드라이버의 처우를 가장 중요하게 생각하고 있습니다. 노동자들의 처우 문제에 대해서는 어떤 대책이 필요하다고 보시는지요? 국가적인 차원의 해법과 개벌 기업들의 차원의 해법 모두를 말씀해주시면 좋겠습니다.

  산업별로 대책은 달라야 한다고 본다. 기억들 하시는지 모르겠지만 과로로 운전석에 죽는 택시기사들이 나올 정도로 노동자처우가 열악했다. 사납금을 불법화하고 월급제로 바꾸라고 했지만 현재 유명무실한 법이다. 법이 올해 1월에 통과 되었지만 편법과 유예로 점철되어 있다. 

  여기에 대한 대책이 없는 상황에서 우버가 나오자 당연히 택시기사들의 처우는 더욱 열악해졌다. 여기에 대한 국가의 대처는 무엇이어야 하는가. 택시의 노동강도는 가장 밑바닥이라고 할 수 있다. 비교를 하자면 폐지줍기를 하고 있었는데 폐지를 잘 줍는 기계가 나타나서 할아버지 할머니들이 폐지를 줍지 못하게 된다면 어떻게 해야 할까? 폐지줍는 기계를 금지해서 할아버지 할머니들이 폐지를 계속 주을 수 있게 해주는 것이 맞을까? 아니면 폐지줍는 기계를 통해 경제의 효율성을 높여서 그 과실을 할아버지 할머니 보호에 쓰는 것이 맞을까? 국가는 무엇을 해야 할까? 우선 택시기사들의 처우를 해결했어야 한다고 본다. 그런 다음에 우버가 택시기사들의 처우를 악화하는지 논의할 수 있다. 사실 회사택시하시는 분들은 하루 일하고 내는 사납금과 우버에게 내는 수수료 중 어느게 더 많았나? 회사택시들을 보호하기위해 우버를 금지한 것은 매우 잘못된 일이었다고 본다.  

  여기에 문제가 복잡해지는 것이 개인택시사업자들이다. 영업권을 돈주고 산 개인택시사업자들은 이미 투자한 돈이 있기 때문에 어려움이 있다. 이건 골목상권 보호를 위해 대형유통점의 영업일 줄이는 방식으로 대응했어야 한다고 본다.  

  에이비엔비는 어떤가? 실질적으로 규제하지 못하고 있다. 숙박업을 하시는 분들도 참여하고 있고. 실질적으로 규제를 하지 않는 이유는 무엇인가? 숙박업자들은 건물이 있기 때문에 안정적인 분들이기 때문에 보호하지 않는 것이라고 볼 수 있다. 

  물론 그렇다고 신규진입자의 사회적 책임이 없다는 것은 아니다. 그러나 영업을 해야 사회적 책임을 이행할 수 있는 것 아닌가? 국가의 역할이 신규진입자를 금지하는 것이 되어서는 안된다는 얘기다. 국가도 택시기사들에게 좋은 일자리를 주지 못한다면 기업이라도 사회적 책임을 지면서 일거리라도 줄 수 있어야 하지 않나.  영업을 하지 못하는데 어떻게 사회적 책임을 지울 수 있는가? 

해외 전문가 초청 국제 컨퍼런스

“인공지능의 윤리와 데이터 거버넌스-국제적 흐름에서 데이터3법까지”

2020년 1월 20일(월) 10:30-16:30

고려대학교 CJ법학관 리베르타스홀 

(서울시 성북구 안암로 145)

사단법인 오픈넷이 1월 20일(월) 오전 10시 30분부터 고려대학교 CJ법학관 리베르타스홀에서 “인공지능의 윤리와 데이터 거버넌스”를 주제로 국제 컨퍼런스를 개최한다. 이번 세미나는 사단법인 오픈넷, 고려대학교 미국법센터, 인터넷사회연구센터 국제네트워크, 하버드대학교 버크맨클레인센터, 디지털아시아허브가 공동 주최한다.

이번 컨퍼런스의 핵심은 컨퍼런스에서 처음으로 발표되는 하버드대학교 로스쿨 사이버법 클리닉의 제시카 필드 교수가 중요한 AI 윤리 원칙을 매핑하는 백서와 데이터 시각화의 결과물인 “원칙에 입각한 AI 프로젝트(Principled AI Project)”일 것이다. 

또한 데이터 거버넌스와 AI는 물론이고 개인정보보호법과 오픈데이터 이니셔티브가 어떻게 AI의 포용성에 영향을 미치는지에도 초점을 맞출 것이다. 현재진행형으로 발전 중인 AI가 머신러닝의 노선을 따르고 있는 한, 머신러닝을 위해 제공되어야 하는 트레이닝 데이터에 관한 규범은 지속가능하고 공정한 발전에 이바지해야 하는 AI에 지대한 영향을 미칠 것이다. 

특히 1월 9일 통과된 데이터3법(개인정보보호법, 정보통신망법, 신용정보법)이 한국에서의 AI와 데이터 거버넌스에 있어 어떤 영향을 미칠지에 대해서도 논의할 예정이다. 데이터3법은 가명처리를 거친 가명정보를 통계작성, 과학적 연구 등의 목적일 경우 정보주체의 동의 없이 활용할 수 있도록 하는 것이 골자다. 

본 세미나에서는 동시통역이 제공되며, 참가신청은 아래 링크를 통해 할 수 있다. 

** 참가신청하기: https://forms.gle/cZT5xBC9Fviy7QLg9

문의: 오픈넷 사무국 02-581-1643, [email protected]

최근 코로나 바이러스 대응을 위해 감염자의 과거 위치정보를 국가기관이 강제적으로 수집함은 물론 장래의 위치를 감시하기 위해 손목밴드 등의 기기착용을 강제하는 방안이 논의되고 있다. 이미 시민단체들은 이렇게 수집된 정보가 과도하게 일반에게 공개되는 것에 대한 우려를 표명한 바 있다. 사단법인 오픈넷은 이와 별도로 국가기관이 이 정보를 수집하는 단계에 대해서도 프라이버시 보호의 대원칙을 위배할 우려에 주목한다.  

감염자 및 감염의심자의 위치 확인

코로나 바이러스에 대한 대응으로 강제수사와 비슷한 수준의 프라이버시권 제한이 이루어지고 있다. 감염병예방및관리법 제76의2조 제1항과 관련 시행령에 따르면 보건당국은 스스로의 판단에 따라 감염자나 감염의심자의 인적사항, 진료기록, 출입국 기록, 신용카드 및 교통카드의 사용명세 및 CCTV 내역을 제3자에게 요청하여 수집할 수 있고, 동조 제2항에서는 이중 위치정보에 대해서는 보건당국뿐만 아니라 기초 및 광역지자체장도 경찰을 통해 전기통신사업자 및 위치정보사업자로부터 수집할 수 있다. 본인이 감시대상이 될 줄 모르는 상태에서 자유롭게 돌아다닌 행적이 고스란히 국가에 의해 취득된다. 

국가에 의한 프라이버시 침해를 막기 위한 원칙을 따르자면, 사생활의 비밀이라는 기본권도 법률에 의해 강력한 공익적 목표를 위해 제한될 수는 있다.  압수수색도 국민의 생명과 재산을 지키기 위해 필수불가결한 범죄수사라는 공익적 목표 때문 정당화된다. 하지만 ‘죄를 범하였다고 의심할 만한 정황’과 같은 요건이 충족될 때만 가능하며 그 판단 역시 수사의 진전에 이해관계가 없는 공직자, 즉 판사에 의해 영장이라는 사전서면승인절차를 거쳐야만 이루어진다. 

그런데 감염병예방및관리법 하에서 강제적인 정보수집은 정보수집에 이해관계를 가진 보건당국 스스로의 판단 하에 이루어지며, 심지어 위치정보에 대해서는 선출직인 기초지자체장의 판단에 의해서 이루어진다. 이와 같은 판단이 자의적으로 내려지지 않도록 통제할 안전장치가 없다. 국가기관이 정보주체의 의사에 반하게 영장없이 강제적으로 과거의 위치정보를 수집할 수 있는 상시적 법제를 갖춘 나라는 거의 없어 싱가폴 외에는 확인되지 않고 있다. 이스라엘은 전시대응에 준하는 한시적 입법으로 비슷한 정보수집을 하고 있을 뿐이다. 독일의회에서는 비슷한 조항을 논의하다가 프라이버시 침해를 이유로 폐기된 바 있고, 정보의 중앙수집 없이 감염자의 폰에 근접한 폰들에 자동으로 경고신호를 보내주는 방식을 선호하고 있다. 유럽의 국가들은 궁극적으로 피해자라고 볼 수 있는 감염자를 상대로 세밀히 감시하는 것을 인권침해로 간주하여 기피하고 있는 것이다. 특히 우리나라의 경우 첫째, 신용카드 사용명세, 진료기록부, 상세 위치정보(기지국위치정보뿐 아니라 GPS정보까지)에 이를 정도로 세세한 사적인 정보를 수집하고 있고, 둘째, 심지어 감염자가 아닌 감염의심자까지 감시대상에 포함하고 있는데 감염의심자에는 접촉자가 아닌 “접촉의심자”까지 포함하고 있으며, 셋째, 정보수집을 온갖 범죄에 대한 수사 즉 별건수사를 할 수 있는 경찰을 통해 하고 있어 문제이다. 다만 우리나라법의 해당 조항에서 정보수집·제공 사실을 정보주체에게 통지할 의무, 감염병 예방 및 전파 차단의 목표로만 정보가 이용되어야 한다는 목적 제한, 업무 종료시 지체 없이 파기할 의무를 규정한 것은 그나마 다행이다.  

지금과 같은 전 지구적 위기는 모두에게 처음이며 특히 범죄수사 외의 목적으로 위치정보를 강제수집하는 것이 타당한지, 타당하다면 어떤 기준과 절차를 거쳐야 하는지 국제인권기준은 명백하지 않으며 위와 같은 정보수집을 반대하는 것은 아니다. 한국이 검사를 자신있게 많이 할 수 있었던 것도 위와 같은 제도를 통해 접촉자나 접촉의심자를 다수 찾아낼 수 있었기 때문이기도 한다. 다만 우리나라의 법이 국제적 지평 내에서 어디에 위치하는지를 의식하면서 위 법을 집행하고, 위기상황을 벗어나서 재검토할 것을 요구한다. 

자가격리대상자의 위치감시

정부는 격리대상자의 위치감시를 위해 손목밴드 착용의 강제를 고려하고 있다고 한다. 기존의 자가격리앱은 격리자의 동의에 의해서만 설치되어 설치율이 낮고 폰을 두고 다니거나 위치추적기능을 끌 수 있다는 이유에서다. 

질문에 답이 포함되어 있다고 본다. 자가격리 명령은 감염병예방및관리법 제42조에 따라 이루어지고 이를 어기면 처벌도 된다. 이와 같은 준법의무 외에 자가격리앱이든 위치추적 기기이든 특정 기기나 소프트웨어의 설치를 국민의 신체에 강제하기 위해서는 국민의 대표인 국회가 만든 법적 근거가 필요하다. 하물며 자동차 안전벨트도 이에 대한 구체적인 법률이 있기 때문에 강제될 수 있는 것이다. 과속을 금지하는 도로교통법조항 만을 근거로 속도감시앱을 국민의 자동차에 설치하도록 강제할 수는 없는 것과 마찬가지이다. 자유민주주의 국가에서 법률의 준수는 국민의 윤리적인 책임으로 맡겨져야지 물리적으로 강제한다는 것은 고도의 사회적 동의를 필요로 한다.  

결국 법적 근거가 없기 때문에 자가격리앱의 설치를 격리대상자에게 강제할 수 없었던 것인데 방법이 소프트웨어에서 하드웨어로 즉 손목밴드로 바뀐다고 해서 달라질 것은 없다. 또 설치율 제고가 아니라 탈착방지를 목적으로 하더라도 손목밴드든 뭐든 훼손을 막기 위해서는 어차피 그런 행위를 처벌하는 법률이 필요하기는 마찬가지이고 그런 처벌규정이 없다면 자가격리앱과 똑같은 실효성 문제가 발생한다. 특히 감염자가 아닌 사람에게 접촉이 의심된다는 이유만으로 자가격리 명령이 내려지는 경우 더욱 더 비례성에 어긋난다. 

선거운동기간인 현재 국회를 통해 이와 같은 법적 근거를 마련하는 것은 불가능하고 손목밴드 착용의 강제가 불가능한 이상 정부는 손목밴드 착용 강제 계획을 폐기해야 할 것이다. 이 문제 때문인지 강제가 아니라 동의를 얻어서 시행하겠다는 말도 들리는데 그러면 설치율 제고를 어차피 할 수 없고 탈착이 불가한다면 더욱 설치율은 낮아질 것이다. 

방역격리 명령의 준수를 물리적으로 강제하기 위해 특정기기의 착용을 강제하는 것이 타당한지 국제적인 인권기준 역시 아직 불분명하다. 대한민국은 입국금지와 같은 극단적인 국경통제를 하지 않은 거의 유일한 국가이며 입국자 격리에 대한 감시욕구가 더 강한 것도 사실이다. 그러나 기본권 제한의 대원칙은 지켜져야만 코로나 바이러스 방역을 통해 지키려는 우리 사회의 가치들이 온전히 보호될 것이다. 

2020년 4월 10일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]