오픈넷 포럼 “빅데이터와 사물인터넷 시대, 비식별화 정보는 개인정보인가?” 개최

2016. 3. 21.(월) 저녁 7시 30분 ~ 9시 30분

스타트업얼라이언스 앤스페이스

빅데이터와 사물인터넷 시대에 개인정보는 어떻게 보호되어야 할까요?

방송통신위원회는 2016년 업무계획에서 빅데이터 시대를 대비하여 비식별화와 익명화 조치 근거를 만들어 선사용-후동의(opt-out) 방식의 개인정보 활용 산업을 활성화하겠다고 밝힌 바 있습니다. 이 같은 움직임은 이익형량의 고려가 부족한 사전 동의(opt-in) 방식의 현행 개인정보보호 법령이 기업들의 개인정보를 활용한 서비스를 부당하게 제한하고 있다는 인식에 근거하고 있습니다.

그러나 비식별화 및 익명화 처리에 대한 이해와 방법론이 불분명한 상황에서 옵트아웃 제도의 도입은 개인정보 자기결정권을 사실상 무력화시킬 수 있다는 우려와 비판의 목소리가 큽니다. 논의의 전제인 사전동의 방식의 개인정보 보호 효과에서부터 비식별화와 익명화의 개념정의, 국내외 개인정보보호 법령의 해석 등 많은 부분에서 주장이 엇갈리고 있는 것도 사실입니다.

이번 3월 정기 오픈넷 포럼에서는 개인정보 분야의 전문가들을 모시고 개인정보 비식별화/익명화 및 옵트아웃 정책을 둘러싼 각 계의 주장을 정리해보고 개인정보 보호에 대한 합리적 정책 방향을 모색하고자 합니다.

개인정보 분야에 관심 있는 여러분들의 많은 참석 부탁드립니다. 참가신청은 오픈넷 홈페이지(http://opennet.or.kr/11312)에서 하실 수 있습니다.

<행사 안내>

일 시: 2016. 3. 21.(월) 저녁 7시 30분 ~ 9시 30분

장 소: 스타트업얼라이언스 앤스페이스

(서울시 강남구 테헤란로 423, 현대타워 7층/선릉역 10번 출구에서 직진, 3분거리)

발 제

심 우 민 국회입법조사처 입법조사관

토 론

박 경 신 고려대학교 법학전문대학원 교수, 오픈넷 이사

전 응 준 법무법인 유미 변호사

이 영 환 건국대학교 정보통신대학원 교수

문의: 오픈넷 사무국 02-581-1643, [email protected]

통신자료 제공과 관련된 대법원의 메시지를 정확하게 읽어야

오늘 대법원 민사4부는, 이동통신사나 포털 등과 같은 전기통신사업자들이 수사기관에게 이용자 신원정보를 제공해온 관행에 대하여, 전기통신사업자들은 전기통신사업법 제83조 제3항(구 전기통신사업법 제54조 제3항) 상의 통신자료제공 요청을 받을 때 그 요청을 실질적으로 심사할 의무를 ‘일반적으로’ 가지고 있지 않다고 판시하였다. 그 취지로는 수사기관의 권한 남용에 대한 통제는 국가나 해당 수사기관에 대하여 직접 이루어져 하는 것이지 통신자료제공 요청의 적절성에 대한 판단의 부담을 사인에게 전가할 수 없다는 것이다.

이 사건은 공인인 유인촌 당시 문화부 장관이 ‘연아 회피 동영상’ 게시물을 인터넷에 게시한 네티즌들을 명예훼손으로 형사고소하였고, 사건 담당 경찰서장이 이 사건을 수사하기 위하여 이 게시물을 매개한 포털에게 성명, 주민등록번호, 주소, 전화번호, 아이디 등 이용자에 관한 통신자료를 요청하였고 해당 포털이 수사기관에 통신자료를 제공함으로써 불거진 사건이다. 이후 명예훼손으로 형사고소당하고 또한 자신의 통신자료가 포털에 의해 수사기관에 제공된 이용자는 포털을 상대로 손해배상을 구하는 민사소송을 제기하였다. 제2심을 담당한 서울고등법원은2012. 10. 18. 손해배상을 인정함으로써, 2012년 10월의 서울고등법원 판결 이전까지 전기통신사업자가 거의 모든 통신자료제공요청에 대하여 아무런 심사 없이 기계적으로 제공해온 관행에 경종을 울렸었다. 하지만 대법원은 포털의 손해배상책임을 인정하지 않는 취지의 판결을 내린 것이다.

개인정보 보호 내지 통신비밀 보호와 관련되는 이 사건에서 대법원의 판결이 던지는 메시지를 곡해해서는 안 되고 정확하게 읽어야 한다.

우선, 대법원이 던진 메시지는 수사기관의 통신자료 제공 요청을 받을 때 그 요청을 ‘실질적’으로 심사할 의무를 전기통신사업자가 ‘일반적으로’ 가지고 있지 않다는 것이다. 이러한 메시지의 이면에는 전기통신사업자에 대해서 실질적 심사에 대한 물리적‧경제적 기대가능성을 인정하기가 쉽지 않다는 점을 고려한 것으로 보인다. 하지만 대법원의 메시지를 실질적 심사의무를 ‘전혀’ 가지고 있지 않다는 의미로 오해해서는 안 된다. 따라서 구 전기통신사업법 제54조 제3항이 규정하고 있는 요건이나 절차 위반 등(예컨대 통신자료 제공요청권자, 통신자료 제공요청서 등의 법정요건과 절차 위반이 있는 경우, 통신자료 제공요청서 자체에 명백한 오류가 있는 경우 등)의 위법성이 명백함에도 불구하고 통신자료를 제공한 경우라든지 혹은 수사기관이 자신의 수사권한을 오‧남용하기 위해 요청하는 것이 객관적으로 명백함에도 불구하고 통신자료를 제공한 경우에는 여전히 전기통신사업자는 수사기관의 통신자료 제공요청을 거부해야 한다. 이러한 경우까지 전기통신사업자에게 면책을 부여한 것으로 곡해해서는 안 된다.

다음으로, 대법원이 던진 메시지는 통신자료 제공제도를 둘러싼 문제점, 예컨대 개인정보자기결정권에 대한 침해 우려, 통신비밀보호라는 헌법적 가치에 대한 위해 등의 문제를 법원이 개입해서 판단할 것이 아니라 입법적으로 해결하라는 취지이다. 그동안 전기통신사업법상의 통신자료 제공제도에 대해서는 헌법상의 기본권인 통신비밀보호와 개인정보자기결정권을 침해하고, 영장주의와 적법절차원칙에 반하는 잘못된 제도라는 주장이 줄기차게 제기되어 왔다. 따라서 이번 대법원 판결을 계기로 하여 국회는 전기통신사업법상의 통신자료 제공제도에 대해서 통신비밀보호법과 마찬가지의 수준으로 영장주의를 적용하고, 적법절차원칙에 부합하는 방향으로 전기통신사업법을 신속하게 개정해야 할 것이다.

특히 대법원은 신원정보의 제공은 프라이버시를 깊게 침해하지 않는 것으로 보았는데, 이용자 신원정보는 특정 익명의 통신을 한 이용자의 신원정보이다. 통신자료제공은 익명의 통신의 내용을 특정인에게 연계시키기 때문에 특정인의 내밀한 통신의 내용을 취득하는 수사 즉 압수수색이나 감청과 효과 면에서 다를 것이 없음을 국회는 직시해야 할 것이다.

마지막으로 전기통신사업자들은 이번 판결을 근거로 잘못된 판단을 내려서는 안 될 것이다. 대법원의 판결이 이렇다고 하더라도 소비자들의 프라이버시를 경시하는 관행에 대해서는 시장에서, 그리고 계속된 법정에서 논란을 계속 낳을 수밖에 없다. 오픈넷은 이 판결과 관계없이 통신사업자들에게 통신자료제공이 되었는지를 확인하는 캠페인을 계속 벌일 것이며 통신자료제공이 확인 되는대로 그것이 올바른 제공이었는지 법정이나 여론 등 공론의 장으로 끌어오는 작업을 계속할 것이다.

특히 테러방지법 제9조제3항도 “국정원장이 개인정보처리자에게 개인정보 제공을 요구할 수 있다”라고 되어 있어 임의수사처럼 되어 있는데, 오픈넷은 이 조항이 우리나라 사업자들이 관의 ‘합법적’ 요구는 무조건 들어주어 왔던 관행과 결합한다면 엄청난 프라이버시 침해를 발생시킬 수 있음을 지적한 바 있다. (관련 논평: http://opennet.or.kr/11217) 테러방지법은 특히 통신의 내용에 대한 제공요청도 포함하고 국정원장이 요청건수를 공개할 필요도 없기 때문에 그 위험은 매우 크다. 이런 위험으로 번지지 않도록 아무런 검토 없이 개인정보를 제공하는 관행은 중단해야 한다.

2016년 3월 11일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

대한민국의 많은 법률들은 시민들의 권리와 안전한 생활을 위협하는 법률 위반행위에 대해 공표의 의무를 명시하고 있는데요, 이러한 정보들이 얼마나 잘 공표되고 있는지 정보공개센터에서 확인해봤습니다.

14개 법률의 공표의무사항들을 검토하고 각 부처의 홈페이지에 들어가 보니, 행정처분이 얼마나 있었는지에 따라, 법적 공표 기간에 따라, 혹은 소관 업무나 사이트가 어떻게 분리되어 있는지에 따라 공표된 정보를 확인할 수 있는 방법도, 난이도도 큰 차이가 있었습니다.

하지만 위반 행위자와 사항들이 알기 쉽게 정리되고, 쉽게 열람할 수 있는 부처는 거의 없었고, 대부분의 공표정보들은 세부내용을 보기도 전에 정보에 접근하는 것 자체에 모든 에너지를 쏟아야 하는 상황이 반복되었습니다.

공표정보의 링크가 메인 페이지에 떡하니 게시되어 있음에도 정보에 접근할 수 없는 경우도 있었는데요, <농수산물의 원산지 표시에 관한 법률>에 따라 공표되야 하는 원산지 표시 위반 업체와 처분 현황은 그 정보가 게시되어 있는 ‘농림축산식품부(mafra.go.kr)’, ‘국립농산물품질관리원(nags.go.kr)’ 두 부처의 사이트 모두에서 열람이 불가능했습니다.

2023 참여연대 자원활동가를 모집합니다

[신청] 2023 참여연대 자원활동가를 모집합니다

The post 모집 appeared first on 참여연대.

개인정보 중 가장 치명적인 개인 ’의료’ 정보

대표적인 게 보이스피싱이죠. 환자들은 질병을 가지고 있잖아요. 가족한테 이 환자가 응급상황이 발생해서 빨리 입금해야 한다고 범죄자가 거짓말을 했을 때, 그 범죄자가 환자의 개인정보를 가지고 있으면… 누가 그 개인정보를 알 거라고 생각하겠어요. 그러니까 선뜻 믿고 돈을 송금하는 일이 충분히 생길 수 있죠.

갑상선암을 앓고 있는 환자단체연합회 안기종 대표의 말입니다. 기법이 날로 진화하는 보이스피싱과 개인 질병 정보가 결합한다면? 훨씬 심각한 범죄가 일어날 수도 있다는 이야기입니다.

개인 의료정보에는 이름이나 주민등록번호 등 기초적인 개인정보에 더해, 개인의 병력이나 처방약 등에 관한 정보까지 담겨 있습니다. 전문가들은 개인 질병 정보가 원치 않게 공개될 경우 질병을 가진 사람이 각종 사회적 차별을 받을 수 있고, 상업적으로 활용되면 보험 가입이 거부되거나 각종 표적 마케팅에 노출되는 등의 부작용이 생길 수 있다고 지적합니다. <건강과 대안>이상윤 연구위원(의사)의 말을 들어볼겠습니다.

우리나라 보험회사는 질병이 있는 사람은 보험 가입 잘 안 해주죠. 고혈압이 있으면 보험료를 더 높여서 받거나 건강 문제가 있으면 아예 보험 가입을 안 해주기도 합니다. 개인 의료정보가 오픈돼서 보험사가 어떤 사람의 병력을 알게 되면 굉장히 높은 보험료를 청구하거나 아예 보험 가입을 거부할 근거가 될 수 있습니다.

“보관이 아니라 ‘쓰루’(Through,통과)였다”

그래서 개인 질병 정보는 겹겹이 보호받고 있습니다. 의료법에서는 의료행위 당사자가 아닌 제3자가 환자기록을 열람할 수 있게 해서는 안 된다고 못박고 있고, 개인정보보호법에서는 환자 동의 없이 진단 및 처방 정보가 유통되지 못하게 막고 있습니다. 유출될 경우 큰 위험성이 있기 때문에 규제가 많을 수 밖에 없습니다.

하지만 법에 나온 것처럼 개인의 질병 정보가 잘 보호받고 있을까? 작년 6월 뉴스타파는 SK텔레콤이 개인 질병 정보를 수집한 뒤 약국에 판매하고 있다는 의혹을 단독으로 보도했습니다. 당시 SKT측은 뉴스타파에 보낸 설명서를 통해 현재 개인정보를 수집하고 있지 않으며, 서버로 전송된 자료는 7일 이내에 자동으로 삭제된다고 말했습니다. 뉴스타파의 의혹 제기가 근거 없다는 주장이었습니다.

하지만 보도 1년여가 지난 7월 23일, 검찰과 정부가 함께 꾸린 개인정보범죄 정부합동수사단은 뉴스타파 보도와 일치하는 수사 결과를 발표했습니다. SK텔레콤이 2011년부터 약 3년간 모두 7802만건의 환자 개인 정보를 무단 수집한 뒤 약국에 팔았다는 내용이었습니다. 환자의 개인 정보는 건당 50원에 거래됐고, SK텔레콤은 36억 원 가량의 불법 수익을 올린 혐의를 받고 있습니다.

하지만 여전히 SK텔레콤은 문제가 없다는 입장입니다. SK텔레콤 관계자는 검찰 수사 결과에 불만을 표시하며, 의료법 위반 여부도 아직 다퉈볼 여지가 있는데 검찰이 다른 개인정보 판매 업체들과 묶어서 함께 발표하는 바람에 기업 이미지 손상을 입었다는 것입니다. 또한 SK텔레콤 서버에 환자 개인 의료 정보가 거쳐갔던 것은 사실이지만 “보관이 아니라 쓰루(through, 통과)였다”면서 개인정보의 무단 수집은 없었다는 종전의 입장을 되풀이했습니다.

활용 가치가 높은 환자 개인 정보를 SKT는 정말 ‘통과’만 시켰을까? 확실한 검증을 위해서는 서버를 들여다보는 수밖에 없습니다. 1년여 전 취재 당시 SKT는 뉴스타파 취재진의 공개 검증 요청을 처음에 수용했다가, 취재진이 보안 전문가와 동행해 서버를 검증하겠다고 하자 납득하기 어려운 이유를 들어 안되겠다며 말을 바꿨습니다.내부 보안규정상 검증이 어렵다는 말이었습니다. 하지만 처음 검증 요청을 했을 때 SK텔레콤 같은 IT 대기업에서 내부의 기본적 보안 규정조차 검토해보지 않고 공개 검증 요청에 응했다는 것은 납득하기 어렵습니다. 전문가가 가서 제대로 들여다 보면 불법적인 환자 정보 수집 등이 드러날 가능성이 있어서 검증 요청을 거부한 것일 수 있습니다.이번 검찰의 수사 결과 발표로 판단해 보면 그렇습니다.

의료계의 빅브라더를 꿈꾸는 재벌들

보건의료단체연합 변혜진 기획실장은 SKT와 같은 재벌 대기업이 3년간 36억 원의 이익을 얻기 위해 전자처방전 사업을 시작했겠냐고 반문합니다. 다른 목적이 있었을 것이라는 뜻입니다. 당장 손해를 보고 위법 소지까지 감수하면서 이 사업을 강행했던 이유는 무엇이었을까요? 그 속뜻을 엿볼 수 있는 대목이 여기 있습니다. 전자처방전 사업을 왜 시작했냐고 묻는 뉴스타파의 질문에 SK텔레콤은 이렇게 답했습니다.

정부 정책에 발맞추어 기존 의료산업도 ICT 관점에서 혁신할 수 있는 부분이 있을 수 있다는 가능성의 관점에서 검토하였던 것임

“기존 의료산업도 ICT관점에서 혁신할 수 있는 가능성”이라는 말은 결국 정보통신기술(ICT)기업인 SKT도 기존 의료산업에 뛰어들 사업 기회가 생기고 있으니 앞으로 이 사업을 통해 혁신을, 또 이익을 추구해 보겠다는 뜻으로 읽힙니다.

SKT뿐만 아니라 최근 재벌 대기업들은 너나없이 의료 산업에 뛰어들고 있습니다. SK그룹의 계열사들이 서울대학교 병원과 합작해서 원격의료 산업에 진출하고 ‘헬스케어 ICT 솔루션’이라는 이름의 병원정보시스템을 구축했습니다. 또 삼성전자나 삼성생명 등 삼성그룹의 핵심 계열사들은 자신들의 기존 사업과 의료산업을 면밀하게 연결시키면서 의료 영리화에 앞장서고 있습니다. SK텔레콤의 전자처방전 사업은 대기업들이 구상하는 의료산업의 거대한 청사진 가운데 시작점이었을 가능성이 높습니다. 기업 입장에선 먼저 환자 개인의 정보에 대한 데이터 베이스가 구축돼야 효과적인 사업을 할 수 있기 때문입니다. 보건의료단체연합 변혜진 기획실장도 비슷한 설명을 합니다.

이 사람이 어디가 어떻게 아팠고 무슨 약을 자주 먹고 어느 병원을 자주 가고 어느 것에 관심이 많고 이런 개인 질병정보를 알게 되면, 의료기기 판매나 마케팅에도 굉장히 성공할 수 있거든요. 이런 것들 때문에 대기업들이 개인 질병정보를 원해왔었던 거죠.

개인의 질병 정보를 ‘사업’에 활용한다면 기업으로선 금맥이 될 수 있겠지만 환자 입장에선 개인 정보 유출뿐 아니라 향후 의료 비용의 폭증으로 더 큰 어려움을 겪을 수도 있습니다. 지난해 6월 뉴스타파 제작진을 만난 참여연대 사회복지위원회 이찬진 변호사의 경고는 지금 들어도 울림이 있습니다.

의료정보를 가지고 결국 생명과 직결되는 비즈니스를 할 수 있으면, 그 생명에 관한 위험을 상품화할 수 있을 것이고, 거기서 받아낼 수 있는 이윤은 일반 제조업의 상품하고는 비교할 수 없는 수익이 창출될 가능성이 높죠.

여기까지 살펴보면 SKT의 전자처방전 사업의 속뜻을 충분히 추측해 볼 수 있을 것 같습니다. 지금은 중단됐지만 한때 80% 이상의 병의원에서 자기도 모르게 SKT 서버로 처방전 정보가 전송됐다고 하는데요. 지난 3년간 병원에 한 번이라도 가셨던 분들, 문득 불쾌감이 느껴지지 않으세요? 그래서 제가 직접 제 개인정보가 불법 수집돼서 약국에 판매된 것이 아닌지를 SKT와 정부에 따져 물어 봤습니다. 결과는? 궁금하면 뉴스 영상을 보십시오.