주요 콘텐츠로 건너뛰기

스노든을 사면하라: 워싱턴포스트에 대한 입장

지역

스노든을 사면하라: 워싱턴포스트에 대한 입장

익명 (미확인) | 월, 2016/09/26- 18:36
국제앰네스티와 화상 인터뷰 중인 에드워드 스노든 ⓒ Rudi Netto

국제앰네스티와 화상 인터뷰 중인 에드워드 스노든 ⓒ Rudi Netto

배경

에드워드 스노든은 국가안보국(NSA)의 전 직원으로서, 2013년 미국 NSA의 대규모 감시 프로그램을 사회에 폭로했다. 그는 NSA가 PRISM이라는 프로그램을 통해 미국인 수백만 명의 이메일을 수집하고 전화를 엿듣고 있음을 알렸고, 당시 NSA가 각국 정상들까지 도청하고 있음이 밝혀지면서 전 세계적인 파장이 일어났다. 당시 스노든과 함께 안보라는 이름으로 자행되는 국가기관의 무차별적인 정보 수집의 문제와 민간인의 사생활 침해를 폭로한 가디언과 워싱턴 포스트는 퓰리처상을 수상했다.
그런데 최근 스노든의 문제가 또다시 화제에 올랐다. 러시아 망명 중인 스노든이 오바마 대통령에게 사면을 요구하자, 그와 함께 했던 워싱턴포스트가 사설을 통해 돌연 스노든을 사면해서는 안 된다고 반박한 것이다.
취재원이었던 스노든을 보호하기는 커녕, 사면을 반대하는 워싱턴포스트의 주장은 다음과 같다.

  • NSA의 PRISM 프로그램은 ‘해외’ 감시 프로그램으로, 이는 미국 국내법상 합법적이다.
  • NSA의 NSA ‘해외’ 감시활동은 미국 자국민들의 사생활 침해와는 무관하다.
  • 스노든의 폭로는 국가 안보에 막대한 피해를 끼쳤다.

국제앰네스티는 에드워드 스노든의 사면을 촉구하며, 워싱턴포스트의 위와 같은 주장에 다음과 같이 반박한다.

조슈아 프랑코(Joshua Franco), 기술과 인권 조사관 및 자문위원

3년 전, 에드워드 스노든(Edward Snowden) 미국 정부의 불법 집단감시 프로그램 관련 보도의 제보자임이 처음 밝혀졌을 당시 “대중의 관심이 내게 쏠리기를 원하지 않는다. 나에 대한 이야기보다는 미국 정부가 벌이고 있는 일이 더 화제가 되기를 바란다”고 밝혔다.

그로부터 3년이 지나고 미국시민자유연합(ACLU), 휴먼라이츠워치(Human Rights Watch), 국제앰네스티 등의 시민사회단체가 스노든 사면 캠페인을 벌이고 있는 지금, 스노든이 우려한 대로 될 위험은 그 어느 때보다 높아 보인다. 워싱턴포스트는 최근 사설을 통해(또한 잭 골드스미스 하버드대 교수 역시 유사한 글을 통해) 스노든의 사면 반대를 주장했다. 공익제보자의 사면을 반대함으로써 이들은 위험하면서 또한 잘못되게도 스노든이 폭로한 인권침해의 심각성을 축소시키는 것도 무릅쓰고 있다.

이들의 주장은 일부 잘못된 전제를 바탕으로 한 것으로, 이에 대한 정정이 필요하다.

전제 1: 미국 외의 사람들에게는 사생활이 없나?

이들의 주장은 미국 외의 사람들에게는 사생활의 권리가 없다는 전제를 바탕으로 하고 있다. 이는 잘못된 것이다.

워싱턴포스트는 (사생활 침해 우려가 제기될 가능성에 대해 마지못해 인정했으나) 미국 애국법(PATRIOT ACT) 215항에 따른 휴대전화 메타데이터 수집 프로그램 등은 PRISM과 같은 “해외” 프로그램과 구별하고, 이러한 ‘해외’ 프로그램은 “명백히 합법이며 사생활에 대한 확실한 위협은 아니다”라고 주장했다.

골드스미스 교수 역시 이러한 견해에 찬성하며 다음과 같이 인용했다. “문제는 [스노든이] 폭로한 것이 [애국법 215항 감시 프로그램] 그 이상의 방대한 내용으로, 미국인이 아닌 해외의 외국인들에 대한 정보까지 포함되어 있다. 이러한 프로그램은 대체로 변화가 없었고, 미국인들은 이에 별 관심이 없다.” 골드스미스 교수는 국내 감시 프로그램에는 개선과 투명성 강화가 필요하다고 주장하면서도 해외 감시 프로그램은 “명백한 합법”이라고 거듭 언급하며, 두 프로그램에 분명한 차이가 존재한다고 보는 듯했다.

미국의 감시 프로그램에 반대하는 입장이 보편적인 다른 국가들의 입장에서, 이러한 전제는 받아들이기 어렵다. 이러한 감시 프로그램이 미국 국내법에 따라(현재 진행중인 소송과 관련이 있다고 보기 어려운 조항이지만) “명백한 합법”이라 하더라도, 그 법률이 국제법상 의무를 다하고 있는가에 대한 해답은 될 수 없다. 미국이 당사국인 수많은 국제인권조약 중에서도 국가의 인권적 의무를 물리적인 국경 내로 한한다는 내용의 면책조항은 존재하지 않는다. 유엔 인권고등판무관과 인권 및 대테러에 관한 특별조사관이 밝힌 바와 마찬가지로, 국가는 자국내에서와 마찬가지로 해외에서도 감시 활동을 수행하는 과정에서 인권을 존중해야 할 의무가 있다. 이러한 논의가 생경하게 느껴진다면, 외국 정부가 당신의 개인적인 통신기록을 송두리째 가져간다고 할 때 어떤 기분일지 생각해 보라.

전제 2: ‘해외’ 감시 활동은 미국인들과는 무관한 일인가?

워싱턴포스트와 골드스미스 교수는 ‘해외’ 감시활동은 미국인에게 영향을 미치지 않는다고 봤다. 이 역시 잘못된 전제다.

골드스미스 교수는 미국 헌법이 해외 감시활동 폭로를 정당화하는 데 사용된 것에 당혹감을 표했다. 예를 들어, 골드스미스 교수는 (아마도 수사적인 표현으로) “[스노든의] 헌법 선서만으로 국가보안국(NSA)의 사이버 공격에 자동으로 대응하는 몬스터마인드(MonsterMind) 개발을 폭로한 것을 정당화할 수 있는가[?]”라며 의문을 표했다. 이러한 질문에 대해 스노든은 “[몬스터마인드는] 수정헌법 제4조를 위반하며 정당한 사유 또는 부정행위 의혹조차 없이도 영장 없이 개인의 통신기록을 수집한다. 그 대상과 시기에도 예외가 없다”고 답변했는데, 골드스미스 교수가 이를 인정하지 않은 것은 이상한 일이다.

스노든이 폭로한, 또는 골드스미스 교수가 인용한 모든 프로그램의 기술적인 세부사항을 논하지 않더라도, 이러한 반응은 숙고해볼 만하다. 인터넷의 세계적이고 상호 연결된 속성을 고려했을 때, 많은 경우 국내와 해외 감시활동을 분리하는 것이 전혀 불가능하다는 것을 분명히 보여주고 있다.

215항 휴대전화 메타데이터 수집 프로그램이 NSA의 프로그램 중 미국인에게 영향을 미치는 유일한 프로그램이며, 그 외에는 “오직” 다른 국가들만을 대상으로 한다고 생각하는 것이 마음은 편할지 모르나, 이러한 구별이 법적으로 의미가 있다고 하더라도 전혀 사실이 아니다.

수정 해외정보감시법(FISA) 702항을 보자. 프리즘(PRISM), 업스트림(UPSTREM)과 같이 사기업 서버와 광케이블에서 막대한 데이터를 수집하는 집단감시 프로그램의 법적 근거로 이용되는 조항이다. 이 프로그램들은 단 한 번의 조작으로 수만 명의 정보를 수집할 수 있어 대상을 전혀 “특정”하지 않으며, 미국인들 역시 영향을 받는다. 뉴욕대 법대 브레넌센터 역시 다음과 같이 지적했다.

“[미국] 정부는 FISA 702항이 해외 외국인만을 대상으로 하고 있다고 거듭 주장하고 있다. 이러한 발언은 외국인들의 통신 기록만을 감시하거나 수집한다는 잘못된 인식을 조장한다. 실제로 그 대상과 대화하거나 대상에 대해 대화한 사람은 누구나 감시 대상이 된다.”

또한, 행정명령 12333으로 승인된 수많은, 대체로 알려지지 않은 프로그램들 역시 해외에서만 사용될 목적으로 개발되었지만 미국인들의 사생활에도 막대한 영향을 끼치고 있다.

이러한 프로그램이 미국인들의 일부 정보 역시 수집하도록 허용하고 있기 때문이기도 하지만, 인터넷의 성질 때문이기도 하다. 외국을 경유하는 웹사이트에 로그인하거나, 해외 서비스일 수도 있는 “클라우드”에 정보를 저장할 경우 당신이 미국 한복판의 소파에서 꼼짝도 하지 않았더라도 이러한 “해외” 통신 감시의 대상이 될 수 있다. 오늘날처럼 상호 연결된 세계에서 미국인만을 제외하고 집단 감시를 한다는 것은 절대 불가능한 일이다.

전제 3: 정보 유출로 인한 국가 안보의 피해가 막대하다

스노든이 미국으로 돌아와 재판을 받아야 한다고 주장하는 사람들은 미국 간첩법(Espionage Act)이 공익 보호에 관한 내용을 전혀 다루고 있지 않다는 점의 심각성을 축소하려는 경향이 있다. 달리 말해, 정보유출이 인권침해 폭로로 정당화될 수 있느냐는 질문은 누설자가 감옥에서 수십 년을 보낼 것인지의 여부와는 전혀 관련이 없다는 것이다. 첼시 매닝에게 가해진 잔혹한 대우를 고려했을 때, 법적으로 이러한 내용이 누락된 것은 정부의 부정행위를 알고 있더라도 이를 나서서 폭로하기 매우 어렵도록 하는 것이나 다름없다.

워싱턴포스트는 이러한 법적 결함을 인정하면서도, 공익 보호에 대해서는 “법적으로 이를 인정하면서 정보누설자들이 빠져나갈 거대한 허점이 생겨나지 않게 할 방법이 분명치 않다”며 반대하는 주장을 펼쳤다.

이러한 주장은 미국 국경 밖 세계에 관심이 전무함을 또 다시 드러내는 것이다. 실제로 다수의 국가가 바로 이러한 공익 보호를 허용하고 있으며, 처음부터 공익제보자를 처벌하기 위한 근거로 피해 사실의 증명을 요구하는 국가는 더욱 많다. 그렇다고 해서 국가안보에 참담한 결과를 일으켰던 사례는 없는 듯하다. 이보다 더 분명한 확신이 필요하다면, 각국 대표자들이 참여해 세계적인 논의를 거친 후 채택된 ‘국가안보와 정보 접근권에 관한 츠와니 원칙’에서 공익의 보호에 관해 명시한 부분을 참고해 봐도 좋을 것이다. 유럽위원회 의회는 스노든 사건과 관련, 공익제보자 보호를 고려해 츠와니 원칙을 공개적으로 지지하고 나서기도 했다.

워싱턴포스트와 골드스미스 교수 모두 상당한 지면을 할애하며 스노든의 폭로가 국가안보에 끼친 해악이 막대하고, 따라서 사면되어서는 안 된다고 주장했다. 그러나 공익 보호는 정보 유출로 인한 피해가 없다는 것이 아니라, 그로 인해 얻는 긍정적인 효과가 더 클 수 있다는 것이다.

그리고 이 점은 미국법상 공익제보자를 보호하는 조항이 없다는 중요한 문제를 흐리고 있다. 워싱턴포스트와 골드스미스 교수는 스노든의 정보유출로 인한 상대적인 손실과 이익을 자체적으로 평가하고 이를 근거로 사면을 반대하고 있으나, 이러한 논쟁이야말로 법원에서 절대 이루어져서는 안 되는 것이다. 인권침해에 대한 선의의 폭로가 기소의 원인이 되어서도 안 되지만, 만약 기소되었다 하더라도 이러한 보호가 이루어질 수 있어야 하는 것이 무엇보다 중요하다. 그렇지 않을 경우 우리는 “아무런 증거도 공개할 수 없지만 우리를 신뢰하라”는 정부의 주장에 의존할 수밖에 없는 처지에 놓이게 된다. 이에 관해서는 반사적으로 정부를 믿고 싶은 사람들도 있겠지만, 스노든의 폭로가 우리에게 남긴 교훈이 있다면, 그것은 정부의 주장을 입증할 역량이 필요하다는 점일 것이다.

영어전문 보기

Pardon Snowden: A Response to the Washington Post

Joshua Franco (@joshyrama) is a Researcher/Advisor on Technology and Human Rights

Three years ago, when Edward Snowden was first revealed to be the source of news reports about unlawful mass surveillance programs by the US government, he said, “I don’t want public attention because I don’t want the story to be about me. I want it to be about what the US government is doing.”

Now, three years later, in the midst of a campaign by the ACLU, Human Rights Watch, Amnesty International and others to pardon Snowden, that risk appears to be greater than ever. A recent editorial by the Washington Post (and at least one other similar piece by Harvard professor Jack Goldsmith) are arguing against a pardon for Snowden. In doing so, they risk dangerously – and incorrectly – minimizing the gravity of the human rights abuses he revealed in an effort to deny a pardon to the whistleblower himself.

These arguments are based on a few flawed premises that need to be corrected.

Premise 1: There is no privacy overseas
The arguments are based on the premise that people outside the USA have no privacy rights. This is wrong.

The Washington Post distinguishes programs such as the cell phone metadata collection program under Section 215 of the PATRIOT ACT (which it grudgingly admits may have raised privacy concerns) and “overseas” programs such as PRISM, which it contends are “clearly legal, and not clearly threatening to privacy.”

Goldsmith likewise cites approvingly the idea that: “The problem is [Snowden] disclosed vastly more than [Section 215 surveillance], involving foreign intelligence not of Americans but of individuals who aren’t American citizens in other countries. No changes were generally made in those programs and Americans don’t really care.” Indeed, Goldsmith seems to believe there is a clear distinction to be made between domestic spying programs, which he concedes were in need of reform and greater transparency, and overseas spying, which he repeatedly states are “obviously lawful.”

For the rest of the world, where opposition to US spying is widespread, this is a difficult premise to accept. Even if these programs are “obviously lawful” under US law (a proposition that is hard to square with ongoing litigation), that says nothing about the question of whether US law comports with its international legal obligations. Nowhere in the numerous international human rights treaties to which the United States is party is there a get-out clause saying that a state’s human rights obligations end at their physical borders. As the United Nations High Commissioner for Human Rights and the Special Rapporteur on Human Rights and Counter-Terrorism have noted, states have an obligation to respect human rights in their surveillance operations overseas as well as at home. If that argument seems far-fetched to you, think how you would feel about foreign governments scooping up all of your personal communications.

Premise 2: “Overseas” surveillance does not affect Americans

The Post and Prof. Goldsmith believe “overseas” surveillance does not affect Americans. This is also incorrect.

Professor Goldsmith expresses bafflement at how the US Constitution could justify revelations of overseas spying. For example, he asks – presumably rhetorically – “why did [Snowden’s] oath to the Constitution justify disclosure that NSA had developed MonsterMind, a program to respond to cyberattacks automatically [?]” It is odd that he did not see fit to acknowledge Snowden’s answer to this question: “[MonsterMind] means violating the Fourth Amendment, seizing private communications without a warrant, without probable cause or even a suspicion of wrongdoing. For everyone, all the time.”

Without discussing the technical details of all the programs Snowden revealed, or those which Goldsmith cites, I think this response merits some reflection. It illustrates how, given the global and interconnected nature of the internet, there simply is no way to separate domestic and overseas spying in many cases.

It is comforting for people to believe that the Section 215 cell phone metadata program was the only NSA program affecting Americans, and that the other programs affect “only” the rest of the world, but even if this distinction were legally decisive, it is simply not true.

Consider section 702 of the FISA Amendment Act, the law used to justify mass surveillance programs such as PRISM and UPSTREAM that collect massive amounts of data from private company servers and fiber optic cables. These programs are not “targeted” in any meaningful sense – allowing tens of thousands of targets under a single order – and also impact Americans. As the Brennan Center for Justice has pointed out:
“The [US] administration routinely asserts that Section 702 of FISA targets only foreigners overseas. These statements create a false impression that only foreigners’ communications are sought or acquired. In fact, anyone who talks to or about a target is subject to surveillance.”

Moreover, the many – and largely unknown – programs authorized under Executive Order 12333 – also meant to be used only abroad – likely have massive impacts on Americans’ privacy.
Some of this is because the law allows collection of some types of information about Americans under these programs, but it is also due to the nature of the internet. When you log into a website that routes through foreign countries, when you store your information in “cloud” services that may be overseas, you may be subject to the surveillance of these “overseas” communications even without leaving your couch in the middle of the USA. In this interconnected world, it is just not possible to do mass surveillance in a way that leaves Americans unaffected.

Premise 3: A public interest defense would be a blank check for leakers

Those who argue that Snowden should come home to answer for his deeds in court tend to downplay the significance of the fact that the US Espionage Act contains no public interest defense. In other words, the question of whether the leaks were justified as revealing human rights abuses is simply immaterial to whether a leaker spends decades in prison or not. Given the cruel treatment meted out against Chelsea Manning, this omission in law all but guarantees that those who know of government wrongdoing are very unlikely to come forward about it.
The Washington Post admits this legal shortcoming but argue against a public interest defense by saying that “it’s not clear how the law could allow that without creating a huge loophole for leakers.”

This argument again betrays a lack of curiosity about the legal world beyond U.S. borders. Indeed, several countries allow this very defense, and many more require a showing of harm to justify penalizing whistleblowers in the first place, seemingly without disastrous consequences for their national security. And if further clarity is needed, the Washington Post could do worse than to consult the Tshwane Principles on National Security and the Right to Information, drafted after a global consultation that included government representatives, and which explicitly lay out the terms for a public interest defense. The Parliamentary Assembly of the Council of Europeendorsed the Tshwane Principles after considering whistleblower protections in relation to the Snowden case.

Both the Washington Post and Professor Goldsmith devote a good deal of space to arguing that the harm Snowden’s revelations did to national security was significant, and that he should thus not be pardoned. But the public interest defense is not about arguing that a leak did no harm, but rather that it could be outweighed by its good.

And this belies the very problem with the lack of whistleblower protections in US law. The Post and Goldsmith base their opposition to a pardon on their own assessment of the relative harm and benefit of Snowden’s leaks, but this is exactly the debate that a US court would not be allowed to have. Good faith revelations of human rights abuses should not lead to prosecution, but if they do, it is essential that this defense be available. In its absence, we are left having to depend on the government’s argument of “trust us, but we can’t show you any evidence.” Some people may instinctively want to trust the government on this, but if Snowden’s leaks havetaught us anything, it should be that we need to be able to verify the government’s claims.


시민들의 의견

댓글 달기

Plain text

  • 웹 페이지 주소 및 이메일 주소는 자동으로 링크로 전환됩니다.
  • 줄과 단락은 자동으로 분리됩니다.
  • 사용할 수 있는 HTML 태그: <a href hreflang> <em> <strong> <cite> <blockquote cite> <code> <ul type> <ol start type> <li> <dl> <dt> <dd>
이미지
무제한 수의 파일을 이 필드에 업로드할 수 있습니다.
50 MB 한계입니다.
허용된 유형: png gif jpg jpeg.
Enter the YouTube URL. Valid URL formats include: http://www.youtube.com/watch?v=1SqBdS0XkV4 and http://youtu.be/1SqBdS0XkV4.
CAPTCHA
스펨 사용자 차단 질문

유엔 의사·표현의 자유 특별보고관의

통신자료 제공 제도 반대의견서를 환영한다

표현의 자유 특보 데이비드 케이, 통신자료 제공 헌법소원에 대해 의견서 제출

“국가기관의 무영장 이용자 정보 취득은 익명 표현 및 통신의 자유 침해”

 

6월 8일 유엔(UN) 의사 ·표현의 자유 특별보고관 데이비드 케이(David Kaye)는 현재 진행중인 통신자료 제공 제도에 대한 헌법소원과 관련해, 이 제도가 국가기관이 영장 없이 이용자의 정보를 취득하게 함으로써 익명 표현 및 통신의 자유 침해한다는 내용의 제3자 의견서를 헌법재판소에 제출했다.

<데이비드 케이, 유엔 표현의 자유 특별보고관>

통신자료 제공 제도란 수사기관 등이 전기통신사업자에게 이용자의 성명, 주민등록번호, 주소, 전화번호 등 통신자료의 제공을 요청할 수 있다고 규정한 전기통신사업법 제83조 제3항 및 제4항을 말한다. 이 제도는 수사기관이 압수수색 영장을 받지 않고도 이용자의 개인정보를 무단으로 취득할 수 있게 하고 있어 헌법상 영장주의 원칙의 우회 수단으로 남용되어 왔다. 2016 5월 18일 시민 500명은 해당 전기통신사업법 조항들에 대해 헌법소원을 청구했으며, 이에 대해 지난 4월 19일 국제적 인권단체인 아티클19(ARTICLE19)과 프라이버시인터내셔널(PRIVACY INTERNATIONAL)이 먼저 제3자 의견서를 제출했고, 이번에 유엔 특별보고관이 세 번째로 의견서를 제출한 것이다.

사단법인 오픈넷은 2016년 3월에 샌프란시스코에서 열린 라이츠콘(RightsCon)에서 케이 특별보고관을 초청하여 무영장 통신자료 제공의 문제점에 대한 패널토론 세션을 개최한 바 있다. 또한 오픈넷은 2017 3월에 이루어진 아티클19의 세계 표현의 자유와 프라이버시 원칙의 발표에 자문단체로 참여하였다. 이 원칙은 표현의 자유와 프라이버시가 상호 지지적인 관계임을 천명하고 있다. 오픈넷은 2015년초부터 프라이버시인터내셔널과 통신자료제공제도의 문제점에 관한 UN기관 제출 문서에 공동작업을 한 바 있다.

헌법소원에 제출된 세 의견서 모두 한국에서 통신 감시가 광범위하게 이루어지고 있음에 우려를 표하면서, 통신자료 제공 제도가 명백한 국제인권법 위반이라는 점에 목소리를 같이 하고 있다. 구체적으로 아티클19의 의견서는 ‘통신자료 제공 관련 조항은 요청 이유에 대한 명확성이 결여되어 있고 영장이나 정보 주체에 대한 통지 등 아무런 절차적 제약이 없기 때문에 필요성과 비례성이 충족되지 않아 인권침해’라는 점을 강조하고 있고, 프라이버시인터내셔널의 의견서는 ‘익명성도 개인신상정보에 대한 일종의 프라이버시권이기 때문에 단 한 명에 대한 익명성 침해라도 다른 프라이버시권 침해과 마찬가지로 법원 등 독립적인 기관의 명령이 필요하다’는 점을 강조하고 있다.

데이비드 케이 특별보고관은 ‘시민적·정치적 권리에 관한 국제규약(이하 “자유권 규약”)’ 제19조 제2항이 익명 표현 및 통신의 자유를 보장하고 있음을 지적하고, 제19조 제2항 및 제3항에 따라 자유권 규약의 당사국인 대한민국은 국가기관이 이용자 정보를 취득할 때 익명 표현 및 통신의 자유를 과도하게 침해하지 않도록 보장해야 함을 분명히 했다. 결론적으로는 ‘국가기관이 영장 제시 없이 이용자 정보를 취득할 수 있게 하는 통신자료 제공 제도는 자유권 규약으로 인한 대한민국의 의무와 국제적인 합의에 위반하여 익명 표현과 통신의 자유를 침해하고 있을 뿐만 아니라 국민 1인당 정보 요청 건수가 다른 나라에 비해 이례적으로 높은 현실은 표현의 자유에 대한 위험을 악화시킨다’고 하면서, 헌법재판소가 이러한 우려를 신중하게 고려해 판단할 것을 촉구했다.

오픈넷은 2015년 1월부터 참여연대와 함께 이통사 통신자료 제공 알권리 찾기 캠페인을 진행했으며, 2016년 6월에는 시민 22명을 대리하여 국정원 등 수사기관을 상대로 위법한 통신자료 취득에 대해 국가배상 청구 소송을 제기했다. 이러한 시민사회의 노력의 결과로 통신자료 제공 건수는 감소하는 추세다. 6월 5일 미래부가 발표한 2016년 하반기 통신자료 등 현황자료를 보면 통신자료 제공은 전화번호수 기준으로 알 권리 찾기 캠페인이 시작된 2015년 상반기를 기점으로 소폭이지만 지속적으로 감소하고 있다.

 

2015년

2016년

상반기

하반기

상반기

하반기

전화번호수

5,901,664

4,675,415

4,480,266

3,792,238

문서수

560,027

564,847

574,769

534,845

문서1건당 전화번호수

10.5

8.3

7.8

7.1

현재 국회에는 통신자료 제공 제도 개선을 위한 다수의 통신비밀보호법과 전기통신사업법 개정안이 발의되어 있다. 오픈넷은 2014년 12월 민주당 정청래 전 의원과 함께 통신자료 제공 폐지를 포함한 사이버사찰방지법을 발의하기도 했다. 그러나 언제쯤 관련 논의가 시작되고 입법이 이루어질지는 기약이 없는 상황이다.

하지만 아직도 연간 800여만 명에 달하는 시민들의 개인정보가 제공되고 있다는 것은 심각한 문제이다. 2016년 한 해 국민 6명당 1건의 통신자료 제공이 있었던 것인데, 의견서에서도 지적된 바와 같이 유사한 제도가 있는 다른 나라들과 비교했을 때 압도적으로 높은 비율이다.

위헌임이 명백한 제도에 대한 가장 궁극적인 해법은 제도 자체의 폐기이다. 헌법재판소는 국제인권법과 헌법에 위배되는 통신자료 제공 제도에 대해 과감하게 위헌결정을 내리기 바란다.

 

2017년 6월 13일

사단법인 오픈넷

 

첨부. 미래부 보도자료-16년 하반기 통신자료 및 통신사실확인자료 제공 등 현황

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

[관련 글]

화, 2017/06/13- 15:53
210
0

오픈넷, 시티즌랩과 함께

청소년 스마트폰 감시 앱에 대한 보안감사 보고서 발표

 

한국시간으로 9월 11일 저녁 9시, 사단법인 오픈넷은 캐나다 토론토 대학교 시티즌랩과 함께 한국의 청소년 스마트폰 감시 앱에 대한 보안감사 보고서를 발표했다. 보고서는 감시 앱들이 심각한 프라이버시 및 보안 문제를 갖고 있음을 드러냈다.

2015년 4월 16일부터 시행된 개정 전기통신사업법 제32조의7 및 전기통신사업법 시행령 제37조의8은 이통사가 청소년과 전기통신서비스 제공에 관한 계약을 체결하는 경우 유해정보에 대한 차단수단을 제공할 것을 강제하고 있다. 일명 ‘청소년 스마트폰 감시법’에 의하면 이통사는 청소년의 스마트폰에 유해매체물 차단 앱을 설치해야 하며, 설치 후에는 앱이 삭제되지 않도록 지속적으로 모니터링을 해야 한다.이렇게 감시 앱의 설치를 강제하는 법은 세계 최초이다. 오픈넷은 스마트폰 감시법의 청소년 프라이버시와 부모 교육권 침해 문제를 지속적으로 지적해왔으며 작년 8월에는 스마트폰 감시법에 대해 헌법소원을 청구한 바 있다.

오픈넷, 시티즌랩, 독일의 보안감사 전문회사 큐어53(Cure53)이 공동 작업한 이번 보고서에 의하면, 유해정보로부터의 청소년을 보호한다는 명분으로 개발된 감시 앱들이 오히려 청소년들을 보안 위험에 노출시키는 것으로 드러났다. 보안감사 대상 앱인 ‘사이버안심존’과 ‘스마트안심드림’은 (사)한국무선인터넷산업연합회((MOIBA)가 방송통신위원회의 지원을 받아 개발, 배포중인 앱이다.

2015년 시티즌랩과 큐어53은 역시 MOIBA에서 개발한 유해정보 차단 앱인 ‘스마트보안관’에 대한 보안감사를 실시하여 이용자로부터 민감한 정보를 수집하고 이용자 계정을 탈취하며 서비스를 방해하는데 악용될 수 있는 26건의 보안 취약점을 찾아냈다. 이후 MOIBA는 스마트보안관 서비스를 중단했지만, 여전히 사이버안심존과 스마트안심드림을 배포하고 있다. 연구진은 이번 보안감사를 통해 해당 감시 앱들이 프라이버시나 보안을 고려하여 개발되지 않았음을 보여주는 심각한 보안 취약점을 발견했다.

사이버안심존은 부모가 원격으로 콘텐츠를 차단하고 자녀가 사용하는 모바일 앱을 모니터링하고 관리할 수 있게 해주는 앱이다. 그런데 분석을 통해 사이버안심존이 실제로는 이름만 바꾼 스마트보안관으로, 동일한 코드를 사용하고, 2015년 보안감사에서 밝혀진 보안 문제 중 다수를 여전히 갖고 있음이 드러났다. 스마트보안관 보안감사 보고서를 발표하기 전 연구진은 ‘책임있는 공개(responsible disclosure)’ 절차에 따라 MOIBA에게 취약점을 고지해 수정하도록 노력했는데, 수정은커녕 문제가 있는 앱을 이름만 바꿔 다시 출시한 것은 매우 무책임한 태도가 아닐 수 없다.

스마트안심드림은 부모가 자녀의 메신저와 인터넷 검색 기록을 모니터링해서 왕따의 징후를 발견하고 자녀의 고민을 알 수 있게 해주는 앱이다. 연구진은 분석에서 저장된 메시지 및 검색 기록에 대한 무단 액세스를 허용하는 심각한 보안 취약점이 발견했다. 이번 보고서 발표 전 MOIBA에게 취약점을 고지했으며 다행히 MOIBA는 바로 취약점을 대부분 수정한 업데이트를 발표했다.

보호가 필요한 아동과 청소년이 무조건 사용해야 하는 앱에 대해서는 더욱 엄격한 보안 기준이 적용되어야 한다. 하지만 전반적으로 MOIBA가 청소년 감시 앱 개발에 있어 보안을 최우선으로 두고 있는 것으로 보이지 않는다. 지금이라도 방통위는 사이버안심존의 보안 문제에 대해 조치를 취하고, 이통사 앱 등 다른 감시 앱에 대해서도 철저한 보안 감사를 거쳐야 할 것이다.

물론 우리의 청소년들을 온라인에서 범람하는 유해매체물과 음란물로부터 보호해야 한다는 점에 대해서는 논란의 여지가 없다. 하지만 국가는 국민들의 가정의 영역을 존중해야 하며 부모의 역할을 대신하려고 해서는 안 된다. 특히 국가가 사회의 취약한 집단에게 특정의 보호조치를 강제하고자 할 때에는 그러한 보호조치가 진정으로 필요한 것인지 내지 안전한지에 대한 철저한 검증이 있어야 할 것이다.

정부는 2016년 12월 부모의 거부권(opt-out)을 인정하는 전기통신사업법 개정안을 제출했다. 잘못을 인정하고 개선을 하려는 정부의 노력은 바람직하지만, 전 세계 유일무이 감시 앱 강제법인 청소년 스마트폰 감시법은 궁극적으로 폐지되어야 한다.

2017년 9월 12일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

[관련 글]

화, 2017/09/12- 11:23
302
0

알권리와 잊힐 권리

현재 우리는 ‘정보 공유를 통한 해방’ 운동과 ‘정보 통제를 통한 존엄성 보호’ 운동이 여러 지점에서 충돌하는 중요한 시기에 와 있다.

글 | 박경신(고려대 법학전문대학원 교수, 오픈넷 이사)

 

정보는 누군가에게 해방의 도구로 인식된다. 누군가에게는 위협의 원인으로서 통제 대상으로도 인식된다. 정보의 공유나 검색은 그 자체가 표현의 자유에서 ‘표현’에 해당되는 행위이며 알권리의 행사이다. 우리는 표현의 자유와 알권리를 통해 민주주의를 지키고 시장경제를 영위한다. 정부, 기업, 일부 범죄자들에게 우리 삶이 지배당하지 않으려면 이들을 끊임없이 비판하고 감시할 수 있어야 한다. 그래야 평등한 세상을 이룰 수 있다.

그런데 내 의사에 반해 정부나 기업 또는 타인이 나에 대한 정보 등을 취득하거나 유통시킬 때 혹자들은 그것만으로도 사생활을 침해당한다고 느낀다. 개인정보보호법 등을 통해 정부나 기업이 우리에 대해 정보를 축적하지 못하도록 막아서 사생활을 지키고 인간으로서 존엄성을 보장받으려 한다.

2017년 현재 우리는 ‘정보 공유를 통한 해방’ 운동과 ‘정보 통제를 통한 존엄성 보호’ 운동이 여러 지점에서 충돌하는 중요한 시기에 와 있다.

잊힐 권리가 대표적이다. 유럽에서는 허위도 아니고 은밀하지도 않고 합법적으로 온·오프라인에 공개된 자신에 대한 정보를 인터넷 검색에서 배제하자는 법제화 운동이 일고 있다. 정보 통제를 통한 존엄성 보호 운동이라고 볼 수 있지만 정보 공유를 억제하는 측면도 있다. 그래서 투명 사회를 통한 민주주의와 정의 실현에 아직도 목말라 있는 아시아와 라틴아메리카의 인권운동가들은 유럽발 법제화 운동에 분노한다. 비식별화 논란도 마찬가지이다. 빅데이터와 인공지능은 인류와 사회에 대한 더욱 정확하고 심오한 통찰을 할 수 있게 한다. 자원 분배와 분쟁 해결을 더욱 정의롭고 효율적으로 할 수 있는 가능성도 제시한다. 다른 한편 개인에 대한 은밀한 금융·보건 등의 정보가 자신의 의사에 반하게 이용될 수 있다는 두려움도 준다. 인권운동가들은 ‘디지털 팬옵티콘’ 등의 구호를 내세우며 안티-빅데이터 전선을 형성하고 있다.

국가 간 정보 이동과 정보 국지화를 둘러싼 논란도 있다. 전 세계에 널리 펼쳐진 인터넷망에 각종 정보와 전산 자원을 보관하는 클라우드는 자국 정부의 검열과 감시를 피해 정보를 수집하고 공유할 수 있는 해방적 도구이다. 재스민 혁명을 떠올려도 되지만 우리나라에서 정부의 SNS 감시 검열 사례가 발견될 때마다 이루어지는 ‘사이버 망명’을 떠올려보라. 또 중국이 자국민에 대한 감시 검열을 강화하기 위해 자국민이 이용하는 온라인 서비스는 모두 자국 내에 서버를 둘 것을 요구하는 광경을 보라. 그 정보에 거론된 사람들 처지에서는 자신에 대한 정보가 물리적으로 어디에 존재하는지, 법적으로 어느 국가의 지배력 아래 놓여 있는지 모른다는 것은 두려운 일이기도 하다.

‘4차 산업혁명’ 시대의 성패 가름할 척도

우리는 ‘정보 공유를 통한 해방’과 ‘정보 통제를 통한 존엄성 보호’라는 두 마리 토끼를 다 잡기 위해 노력해야 한다. 이러한 노력의 성패는 이른바 ‘4차 산업혁명’ 시대의 성패를 가름한다고 해도 과언이 아니다. 인류는 여러 가지 실험을 거쳐왔고 인류 역사는 반드시 점진적으로 발전하지 않았다. 예를 들어 공산주의는 사유재산을 통해 획득하게 되는 잉여 생산력이 경제적 불평등을 심화해 개인들 사이의 착취로 귀결되는 과정을 차단하려고 했다. 이를 위해 불평등이나 착취를 완화하려는 중용적인 시도를 포기하고 과감하게 사유재산 자체를 폐지했다. 결국 동료에 의한 착취를 막기 위해 국가에 의한 착취를 제도화하는 패착을 반복했다. 또 자본주의와의 체제 대결에 동반된 살육과 파괴를 거듭 감수한 끝에야 포기되었다.

정보를 둘러싼 논의도 중용의 묘를 찾기 위한 노력을 거듭해야 한다. 경제 발전을 위해서라면 개인의 은밀한 정보를 마음대로 이용해도 좋다는 자세는 배격되어야 한다. “기업 좋은 일”은 무조건 반대하는 것도 정보기술을 통해 민주주의와 정의를 일상화하고 산업화하는 기회를 상실할 수 있다. 필자는 표현의 자유와 프라이버시를 통해 우리가 보호하고자 하는 가치가 무엇이었는지 다시 살펴봄으로써 중용의 묘를 발견할 수 있다고 생각한다.

 

* 위 글은 시사IN(제528호)에 게재된 글입니다. (2017.11.03.)

월, 2017/11/13- 10:45
218
0

오픈넷, 시티즌랩과 함께 KT와 LGU+ 스마트폰 감시 앱의 취약점 밝혀

– 4차에 걸친 청소년 스마트폰 감시 앱 보안감사 보고서를 통해 총 5개 감시 앱의 취약점 공개

– 청소년 보호를 위한 수단이 오히려 청소년을 위험에 처하게 함이 드러나

 

한국 시간으로 11월 27일 저녁, 사단법인 오픈넷은 캐나다 토론토 대학교 시티즌랩과 함께 KT와 LGU+의 스마트폰 감시 앱인 ‘KT 자녀폰 안심’과 ‘U+ 자녀폰 지킴이’에 대한 보안감사 보고서를 발표했다. 한국의 청소년 스마트폰 감시 앱에 대한 4차 보고서인 이번 보고서에서는 앞서 세 건의 보고서와 마찬가지로 감시 앱들이 보안에 매우 취약함을 밝혀냈다.

2015년 4월 16일부터 시행된 개정 전기통신사업법 제32조의7 및 전기통신사업법 시행령 제37조의8은 이통사가 청소년과 전기통신서비스 제공에 관한 계약을 체결하는 경우 유해정보에 대한 차단수단을 제공할 것을 강제하고 있다. 일명 ‘청소년스마트폰 감시법’에 의하면 이통사는 청소년의 스마트폰에 유해매체물 차단 앱을 설치해야 하며, 설치 후에는 앱이 삭제되지 않도록 지속적으로 모니터링을 해야 한다. 이렇게 부모의 동의도 필요 없이 감시 앱의 설치를 강제하는 법은 세계 최초이다. 오픈넷은 스마트폰 감시법의 청소년 프라이버시와 부모 교육권 침해 문제를 지속적으로 지적해왔으며 작년 8월에는 스마트폰 감시법에 대해 헌법소원을 청구한 바 있다.

오픈넷, 시티즌랩, 독일의 보안감사 전문회사 큐어53(Cure53)이 공동 작업한 이번 보고서는 우리나라 주요 이통사인 KT와 LGU+의 감시 앱인 U+ 자녀폰 지킴이와 KT 자녀폰 안심을 대상으로 했다. 두 앱 모두 플랜티넷이라는 유해콘텐츠 차단서비스 전문 회사가 개발했는데, 코드가 거의 동일하며 둘 다 이용자의 개인정보가 저장된 서버에 무단 접근을 가능하게 하는 치명적인 보안 결점이 있었다.

보안감사를 주도한 큐어53의 Fabian Faessler 연구원은 “우리가 발견한 취약점에 의해 개인정보가 유출되는 건 시간문제일 뿐이다. 앱에 저장된 개인정보를 포함한 내부 데이터에의 접근을 가능하게 하기 때문이다”라고 말했다.

연구진은 취약점을 발견한 후 각 회사에 보안감사 결과를 고지하려 했으나, 회사들이 감사 결과를 인정하고 취약점을 수정하게 만드는 데 큰 어려움을 겪었다. 아무런 회신을 주지 않은 LGU+를 상대로는 한국인터넷진흥원(KISA)의 S/W 신규 취약점 신고 제도를 활용하는 등 1년 넘게 다각도로 노력한 끝에 두 앱의 취약점이 수정되어 마침내 본 보고서를 발표할 수 있게 되었다.*

시티즌랩의 Masashi Crete-Nishihata 연구팀장은 “플랜티넷, LGU+, 그리고 KT에게 취약점을 알리는 과정에서의 실망스러운 경험은 회사들이 이용자 보호에 더 적극적이고 책임감있게 나서야 함을 명백히 보여준다”고 설명했다.

이로써 4차에 걸친 보안감사 보고서를 통해 연구진은 스마트보안관, 사이버안심존, 스마트안심드림, KT 자녀폰 안심, U+ 자녀폰 지킴이 총 5개의 청소년 스마트폰 감시 앱을 분석했고 모든 앱에서 치명적인 보안 문제들을 발견했다. 이는 애초에 감시 앱들이 보안이나 프라이버시를 전혀 염두에 두지 않고 설계되었으며, 단순히 한 개발자나 판매자에 국한되는 문제가 아니라 한국의 감시 앱 산업 전반에 구조적인 보안 문제가 있음을 보여주는 것이다.

청소년들을 온라인에서 범람하는 유해매체물과 음란물로부터 보호해야 한다는 점에 대해서는 논란의 여지가 없으나, 국가가 청소년처럼 사회의 취약한 집단에게 특정의 보호조치를 강제하고자 할 때에는 그러한 보호조치가 진정으로 필요한 것인지 내지 안전한지에 대한 철저한 검증이 있어야 할 것이다. 그런 점에서 청소년 스마트폰 감시법은 처음부터 잘못 끼운 단추이다.

오픈넷이 트위터와 페이스북 등 SNS 사용자를 대상으로 하여 벌인 설문조사 결과에 의하면 청소년 스마트폰 감시 앱에 대해 부모와 자녀 다수가 부정적으로 생각하는 것으로 나타났다. 응답자들은 청소년 관리앱이 청소년의 자율성이나 부모의 선택권을 침해하는 것으로 보았으며, 유해정보 차단 효과도 크지 않다고 대답했다. 이러한 앱을 강제하는 ‘청소년 스마트폰 감시법’에 대해서는 폐지되어야 한다는 의견이 압도적이었다.

정부는 2016년 12월 부모의 거부권(opt-out)을 인정하는 전기통신사업법 개정안을 제출했다. 하지만 이 개정안에는 청소년을 보안 위협에 노출시키는 감시 앱 자체의 위험성은 전혀 반영되어 있지 않다. 전 세계 유일무이 감시 앱 강제법인 청소년 스마트폰 감시법을 폐지하고 부모와 자녀 간의 대화와 이해 그리고 충분한 정보를 바탕으로 이용자들이 자율적으로 감시 앱 설치 여부를 결정할 수 있도록 하는 게 가장 바람직한 개선책일 것이다.

2017년 11월 29일

사단법인 오픈넷

 

* 취약점 공개 타임라인

일자

비고

2016. 9. 2.

KT첫번째 취약점 고지 이메일 발송

2016. 9. 2.

LGU+첫번째 취약점 고지 이메일 발송

2016. 9. 9.

KT & 플랜티넷에 팔로우업 이메일 발송(답장 x)

2016. 9. 9.

LGU+ & 플랜티넷에 팔로우업 이메일 발송(답장 x)

2016. 10. 21.

LGU+ & 플랜티넷에 다시 팔로우업 이메일 발송(답장 x)

2016. 10. 21.

LGU+ 앱 업데이트 2.1.1

2016. 10. 26.

LGU+ 고객센터 상담원 통화

2016. 10. 26.

KT 고객센터 상담원 통화

2016. 10. 26.

LGU+ & 플랜티넷에 팔로우업 이메일 발송(답장 x)

2016. 10. 26.

플랜티넷으로부터 이메일 답장 받음

2016. 10. 26.

플랜티넷 이메일에 대해 회답함

2016. 11. 7.

플랜티넷에 팔로우업 이메일 발송(답장 x)

2016. 11. 13.

KT 자녀폰 안심 업데이트 2.01.11

2016. 11. 18.

플랜티넷에 팔로우업 이메일 발송(답장 x)

2016. 11. 30.

플랜티넷에 팔로우업 이메일 발송(답장 x)

2017. 1. 20.

LGU+ & 플랜티넷에 팔로우업 이메일 발송(답장 x)

2017. 2. 1.

플랜티넷과 통화

2017. 2. 17.

LGU+ & 플랜티넷에 U+ 자녀폰 지킴이 업데이트 버전에 대한 새 취약점 고지 이메일 발송(답장 x)

2017. 2. 23.

LGU+ & 플랜티넷에 새 취약점 고지에 대한 팔로우업 이메일 발송(답장 x)

2017. 7. 7.

KISA U+ 자녀폰 지킴이 취약점 신고

2017. 9. 4.

KISA에서 U+ 자녀폰 지킴이 업데이트에 대해 통지

 

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

[관련 글]

수, 2017/11/29- 13:50
249
0

저작권 단속을 명분으로 한

표현의 자유와 프라이버시권 침해를 우려한다.

 

지난 5월 2일, 문화체육관광부, 방송통신위원회, 경찰청 등은 공동으로 ‘불법유통 해외사이트 집중 단속’ 계획을 발표하였다. 이 계획에는 불법 해외사이트에 대한 집중 단속 및 처벌, 저작권 캠페인 실시 및 확산, 저작권법 개정, 불법 해외사이트의 접속차단 실효성 강화 등이 포함되어 있다. 그러나 정부가 발표한 계획안은 이용자의 표현의 자유를 제한하고 감시를 강화하는 등 기본권 침해가 우려된다. 이에 정부 계획안에 대한 시민사회의 입장을 다음과 같이 밝힌다.

 

표현의 자유 침해하는 해외 사이트 접속 차단

문화체육관광부는 사이트 접속 차단을 신속하게 하기 위해 방송통신심의위원회의 심의 없이 저작권보호심의위원회의 심의만으로 차단할 수 있게 하겠다고 한다. 또한 불법복제물 링크 사이트를 운영하는 것도 단속하고 처벌할 수 있도록 저작권법에 근거를 마련하겠다고 한다. 이와 관련한 저작권법 개정안이 이미 국회 교육문화체육관광위원회(이하 “교문위”)의 대안으로 상임위를 통과하여 법사위에 계류되어 있다. 그러나 이 대안은 4차 산업혁명 시대에 역행하는 많은 독소조항을 포함하고 있어 시민사회는 이에 대해 반대하는 입장을 표명한 바 있다.[1]

시민사회의 입장에서 이미 지적한 바와 같이, 교문위 대안은 미국에서 표현의 자유 침해 논란에 휩싸여 결국 폐기된 SOPA(Stop Online Piracy Act), PIPA(Protect IP Act) 법안보다 더 강력한 것인데, 저작권 침해물뿐만 아니라 침해물과 관련된 정보까지 대상으로 하기 때문이다. 또한 사법적 판단도 없이 침해 관련 정보를 게시한 사이트에 대한 접속을 문체부 장관과 한국저작권보호원이 차단할 수 있도록 하는 것은 정부의 검열로서 이용자의 정보접근권과 표현의 자유 등 정보기본권을 중대하게 위협한다. 특히 한국저작권보호원은 원래 저작권자 단체들이 만든 사조직인 저작권보호센터를 국민의 세금으로 운영하도록 2016년에 법정화한 것으로, 보호원에게 사이트 접속 차단 권한을 주면 저작물의 보호와 이용의 균형을 추구해야 하는 저작권 제도의 근간이 무너질 수 있다.

인터넷 상의 링크를 규제하겠다는 발상도 위험하다. 링크는 인터넷이 제 역할을 하기 위한 기본적인 기능인데, 이를 규제하겠다는 것은 인터넷의 연결성, 역동성, 혁신을 저해할 수 있다. 또한 이용자들이 다양한 맥락에서 링크를 할 수 있는 바 링크에 대한 규제는 이용자의 표현의 자유를 위협한다.

 

저작권 단속을 명분으로 한 이용자 감시 우려

문화체육관광부는 해외 사이트 접속 차단의 실효성을 높이기 위해 DNS 차단방식을 적용하고 SNI(Server Name Indication) 필드 차단방식을 개발하겠다고 밝혔다.

DNS 차단방식은 이미 문화체육관광부도 보도자료에서 인정한 것처럼 ‘과차단’의 위험이 있다. 불법 여부를 막론하고 특정 도메인 하의 모든 콘텐츠가 차단되기 때문이다. ‘제한적으로 시행’한다고 하지만, 합법적인 콘텐츠까지 차단될 위험성을 배제하기 힘들다.

보안 프로토콜(https)을 사용하는 사이트 차단을 위한 SNI 필드 차단방식의 개발은 더욱 위험하다. 암호화되지 않은 SNI 필드는 일종의 보안 허점이라고 볼 수 있는데, 이러한 보안 허점을 정부 규제에 활용하는 것이 적절한지 의문이다. 보안 프로토콜은 저작권 침해 등 불법적 목적을 위해서 존재하는 것이 아니라, 원하지 않는 외부의 감시나 위협으로부터 자신의 프라이버시를 보호하고자 하는 목적에서 도입된 것이기 때문이다.

사실 이 보안허점을 해결하기 위한 패치가 나오고 있는 상황이기 때문에 실효성도 없을 것이다. 문제는 정부의 안이한 인식이다. 보안 프로토콜이 일부 불법적인 목적을 위해 사용이 된다고 하여 이용자의 보안 프로토콜 이용을 무력화하고자 하는 것인가. 저작권 보호를 명분으로 이용자에 대한 감시 수단을 개발하고자 하는가. SNI 필드를 통한 차단을 위해서는 패킷의 콘텐츠 부분에 대한 모니터링이 필요하며, 이는 불법 감청이 될 수 있다. 이러한 기술이 개발된다면, 향후 언제라도 비단 불법 사이트 차단 목적으로만 활용될 것이라는 보장이 없다.

불법 저작물 단속이라는 명분이 모든 수단을 합리화하는 것은 아니다. 특히 국민의 인권 보장을 표방하고 있는 정부라면, 저작권 단속 과정에서 또 다른 기본권 침해가 없는지 세심하게 살펴야 할 것이다.

[1] 4차 산업혁명이라면서 시대에 역행하는 저작권법 개정안을 내놓은 정부와 국회

 

2018년 5월 16일

사단법인 오픈넷, 정보공유연대 IPLeft, 진보네트워크센터

 

문의: 오픈넷 사무국 02-581-1643, [email protected]

수, 2018/05/16- 14:12
217
0

수사기관의 무분별한 통신수사 남용에 대한 헌법불합치 결정을 환영한다

시대적 요청에 역행하는 대법원은 반성해야

 

6 28일 헌법재판소는 실시간 위치추적과 기지국 수사 남용의 근거가 되어 왔던 통신비밀보호법 제13조가 헌법에 위반된다고 하면서, 2020. 3. 31.까지 개정할 것을 명하는 헌법불합치 결정을 내렸다. 사단법인 오픈넷은 수사기관의 무분별한 통신수사 남용 관행에 제동을 건 이번 헌법불합치 결정을 크게 환영하며, 이러한 시대적 흐름에 역행하는 최근 대법원의 통신자료 제공요청서 제출명령 재항고 기각 결정에 대해 유감을 표시하는 바이다.

현행 통신비밀보호법 제13조는 검사 또는 사법경찰관이 수사를 위하여 필요한 경우 이통사 등 전기통신사업자에게 기지국이나 휴대폰의 실시간 위치추적자료 등을 포함하는 통신사실 확인자료를 요청할 수 있게 하고 있다. 헌재는 동 조항이 정보주체의 개인정보자기결정권과 통신의 자유를 과잉금지 원칙에 반하여 침해하고 있다고 판단했다. 그 이유로는① 수사기관은 위치정보 추적자료를 통해 특정 시간대 정보주체의 위치 및 이동상황에 대한 정보를 취득할 수 있으므로, 위치정보 추적자료는 충분한 보호가 필요한 민감한 정보에 해당되는 점, ② 그럼에도 이 사건 요청조항은 수사기관의 광범위한 위치정보 추적자료 제공요청을 허용하여 정보주체의 기본권을 과도하게 제한하고 있는 점, ③ 위치정보 추적자료의 제공요청과 관련하여서는 실시간 위치추적 또는 불특정 다수에 대한 위치추적의 경우 보충성 요건을 추가하거나, 대상범죄의 경중에 따라 보충성 요건을 차등적으로 적용함으로써 수사에 지장을 초래하지 않으면서도 정보주체의 기본권을 덜 침해하는 수단이 존재하는 점, ④ 수사기관의 위치정보 추적자료 제공요청에 대해 법원의 허가를 거치도록 규정하고 있으나수사의 필요성만을 그 요건으로 하고 있어 절차적 통제마저도 제대로 이루어지기 어려운 현실인 점등을 들었다.

헌재는 또한 통신사실 확인자료 제공의 통지에 대해 규정하고 있는 제13조의3에 대해서도 수사가 장기간 진행되거나 기소중지결정이 있는 경우에는 정보주체에게 통지할 의무를 규정하지 아니하고, 그 밖의 경우에 그 제공사유가 통지되지 아니하며, 수사목적을 달성한 이후 해당 자료가 파기되었는지 여부도 확인할 수 없게 되어 있어, 정보주체로서는 위치정보 추적자료와 관련된 수사기관의 권한 남용에 대해 적절한 대응을 할 수 없게 되어 있어 헌법상 적법절차 원칙에 위배된다고 판단했다. 이 조항에 대해서도 헌법불합치 결정을 내리고 2020. 3. 31.까지 개정을 명하였다. 이와 관련하여 오픈넷은 감청 및 통신사실확인자료 취득에 대한 당사자 통지가 기소 이후 시점 등으로 지연되는 현행 조항을 개정하는 안을 국회에 제출한 바 있다.

이번 결정의 가장 중요한 의의는 통신사실 확인자료가 충분한 보호가 필요한 민감한 정보에 해당됨을 명확히 한 부분이다. 스마트폰 등으로 이동통신이나 인터넷을 이용할 때 당연히 발생하는 통신사실 확인자료는 과거에는 통신내용보다는 덜 민감한 정보로 상대적으로 보호를 적게 받는 것이 당연시 되어 왔다. 하지만 정보통신사회에서 실시간 위치정보 등 통신사실 확인자료는 제3자에 의하여 광범위하게 수집·보관·처리·이용되고 있으며 다른 정보와의 결합 및 분석을 통해 한 개인을 프로파일링하고 통신내용에서 보다 더 많은 사실들을 알아내는 것이 가능해졌다. 이런 현실에서 비내용적 통신정보에 대한 보호 강화는 시대적 요청이었다.

이러한 헌재의 입장과 달리 622일 대법원은 오픈넷이 영장 없이 시민들의 개인정보를 취득한 수사기관을 상대로 진행중인 국가배상 청구 소송에서 수사기관의 통신자료 제공요청서를 제출하라는 서울중앙지방법원의 문서제출명령을 취소하는 재항고 기각 결정을 내렸다. 전기통신사업법 제83조 제3항에서 규정하고 있는 통신자료 제공 제도는 법률상 법원의 통제절차나 통지 조항이 아예 없어 통신사실 확인자료 제공 제도보다 훨씬 위헌적이다. 정보주체는 자신의 개인정보가 수사기관에 왜 제공되었는지 알 길이 전혀 없는 것이다. 최근 수원지방법원 성남지원에서는 KT 이용자에게 KT가 수사기관으로부터 받은 통신자료 제공요청서를 공개하라는 판결을 내리기도 했다. 이런 상황에서 대법원의 재항고 기각 결정은 정보주체의 권리 보호 강화라는 시대적 요청에 역행하는 것으로 비난받아야 마땅하다.

국가의 무분별한 통신수사 남용에 대해 엄중히 경고한 이번 결정이 통신수사 관련 법제 개선 의무를 지고 있는 국회의 조속한 입법 노력을 이끌어내고 현재 진행중인 통신수사 관련 사건에서 법원이 올바른 사법적 판단을 내리는 계기가 되기를 간절히 희망한다.

2018 7 3

사단법인 오픈넷

 

문의오픈넷 02-581-1643, master@opennet.or.kr

화, 2018/07/03- 10:30
161
0

시대에 역행하는 국내 서버 설치 의무 법안을 당장 철회하라!

모든 트래픽의 감시와 검열을 조장하는

변재일 의원의 정보통신망법 개정안에 반대한다

 

최근 더민주당 변재일 의원은 국내 서버 설치를 의무화하는 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(이하 ‘정보통신망법’) 일부개정법률안을 대표발의했다. 본 개정안은 정보통신서비스 제공자 중 일정 기준에 해당하는 자에게 이용자가 정보통신서비스를 안정적으로 이용할 수 있도록 국내에 서버를 설치하는 등 기술적 조치를 할 의무를 지우고, 이를 위반할 경우 방송통신위원회가 해당 정보통신서비스 제공자에게 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있도록 하고 있다. 이러한 국내 서버 설치 의무법은 결국 중국과 러시아 등에서 실시하고 있는 데이터 현지화 또는 국지화(data localization) 제도와 유사하면서도 더 광범위하고 세계적으로도 유례가 없는 ‘트래픽 현지화’ 제도를 창조하는 것으로 문제가 매우 심각하다.

변재일 의원은 제안이유로 “망 사용료 분담과 관련된 분쟁 과정에서, 글로벌 콘텐츠 사업자가 일방적으로 이용자의 콘텐츠에 대한 접속 경로를 변경하여 이용자들이 서비스 속도 저하 등 불편을 겪는 사례가 발생”한 바 있고, “이러한 상황이 심화될 경우 국내 사업자와 글로벌 사업자 간의 역차별 이슈가 지속적으로 제기될 가능성”이 높으므로 글로벌 콘텐츠 사업자에게 국내에 서버를 설치하게 해서 이용자에게 안정적인 서비스를 제공할 수 있도록 해야 한다고 주장하고 있다. 여기서 언급한 사례는 방송통신위원회가 지난 3월 과징금을 부과한 페이스북 접속 경로 임의변경 건인데, 그 대응책으로 페이스북, 구글, 넷플릭스 등과 같은 글로벌 CP(콘텐츠 사업자, Content Providers)들에게 무조건 국내에 서버를 설치하게 하자는 것이다.

그러나 국내에 서버를 설치해야만 이용자에게 안정적인 서비스를 제공할 수 있다는 주장은 근거가 없을 뿐만 아니라 우리나라에만 존재하는 갈라파고스적 규제로써 역차별 해소는커녕 오히려 국내 인터넷 기업들에게만 추가적 부담을 안겨 역차별을 초래할 수 있다. 그리고 무엇보다도 개정안의 더 큰 문제는 데이터 현지화의 도입이다. 데이터 현지화는 글로벌 IT 기업에게 개인정보의 보관·처리를 위한 서버를 반드시 자국 내에 설치하도록, 즉 데이터를 국내에 보관하도록 강제하는 것을 말한다. 데이터 현지화는 국경을 초월한 정보의 자유로운 이동이라는 인터넷의 본질을 정면으로 부정하는 것으로, 온라인에 디지털 장벽을 세워 자유와 개방의 인터넷을 조각내고 파편화시켜버린다. 이로 인해 인터넷 이용자들은 카카오톡 감청 사태 때처럼 현지 정부와 기업의 감시와 검열로부터 사이버 망명을 떠날 수 있는 자유를 빼앗기게 된다.

데이터 현지화는 아주 극소수의 공산주의 국가나 동남아의 일부 국가가 도입한 제도이다. 중국이 소위 만리방화벽(great firewall)이라는 인터넷상 국경을 유지하고 있던 유일한 국가였고, 2017년부터는 네트워크 안전법을 시행해 중국에서 수집된 개인정보를 현지 서버에 저장하도록 의무화하고 수사상 필요시 제공하도록 하고 있다. 그리고 러시아가 2015년부터 연방법에 의해 러시아 국민의 개인정보를 자국 내 데이터 베이스에 저장하도록 하고 있으며(그렇다고 국외 보관이 금지된 것은 아니다), 베트남과 인도네시아에서 콘텐츠 사업자들에게 제한적인 서버 설치 의무를 지우고 있는 정도이다. EU GDPR상의 개인정보의 역외 이전 제한도 일종의 데이터 현지화라고 하지만, 국내 서버 설치 의무와는 차원이 다르다.

그런데 앞서 언급했듯 본 개정안은 단순한 데이터 현지화에서 나아가 광범위한 트랙픽 현지화를 내정하고 있다. 다른 나라의 예에서 보듯 국가안보 등의 목적이나 자국민의 개인정보로 대상을 한정한 것이 아니라, 모든 서비스 제공을 위한 서버를 국내에 두라고 하고 있기 때문이다. 이에 따라 이용자의 개인정보뿐만 아니라 서비스 이용정보를 포함한 모든 정보가 국내 서버에 저장될 것이기 때문에 결국 국가에 의한 감시와 검열이 훨씬 쉬워지게 된다. 감시와 검열을 피해 한메일을 쓰다가 지메일로 옮기거나, 카카오톡을 쓰다가 텔레그램으로 이동할 이유가 없어지는 것이다.

부차적으로는 소비자들의 서비스 선택권에도 큰 영향을 미치게 된다. 한국에 서버를 둘 계획이나 능력이 없는 정보통신서비스 제공자의 경우에는 서비스를 아예 제공하지 않거나 한국 소비자 맞춤형 서비스를 제공하지 않을 것이기 때문이다. 또한 국내 사업자의 경우도 좀 더 값싼 해외 클라우드 컴퓨팅 서비스를 이용하지 못 하게 되고, 스타트업들은 울며 겨자 먹기로 세계적으로 가장 비싼 수준인 우리나라 ISP들의 서비스를 이용할 수밖에 없다. 이러한 제약들은 결국 IT 산업의 혁신 저해로 귀결될 것이다.

이렇게 4차 산업혁명 시대에 역행하는 국내 서버 설치 의무 법안을, 그것도 정보통신부 차관 출신이며 국회 과학기술정보방송통신위원회 소속 변재일 의원이 대표발의했다는 것은 해당 산업에 대한 몰이해와 전문성 부족을 여실히 드러낸다고 하겠다. 변재일 의원은 모든 트래픽의 감시와 검열을 조장하는 정보통신망법 개정안을 당장 철회하라!

2018년 9월 18일

사단법인 오픈넷

문의: 오픈넷 02-581-1643, [email protected]

 

화, 2018/09/18- 13:33
122
0

인터넷의 선물을 걷어차버리나

서버 현지화와 클라우드 이용을 제한하자는 주장은 힘없는 개인들의 정보력·홍보력 확장을 억제하고, 감시와 검열을 피할 수 있는 길을 막자는 것이다.

글 | 박경신 (고려대 법학전문대학원 교수/오픈넷 이사)

 

국민이 애용하는 해외 인터넷 서비스의 서버를 국내에 두도록 해야 한다는 주장이 논의된다. 심지어 클라우드처럼 정보의 국외 이전을 필연적으로 동반하는 기술의 경우, 금융권에서는 아예 기술 전개 자체를 제한하자는 주장도 등장한다. 이유는 명시적인 것과 암묵적인 것 여러 가지가 있다.

첫째는 해외 인터넷 업체가 국내에 서버를 두지 않으니 개인정보를 침해하거나 불법 표현물을 방치해도 규제하기 어렵다는 것이다. 둘째는 ‘국내에서 돈을 벌어가는 해외 기업에 세금을 부과’하려면 국내·국제 세법에 따라 이들의 ‘사업장’인 서버를 국내에 두도록 해야 한다는 것이다. 셋째는 현재 망 사업자들이 카카오나 네이버에서 엄청난 회선료를 받아가듯 해외 업체한테도 회선료를 ‘망 이용 대가’로 받을 수 있게 된다는 것이다.

중국·러시아 수준의 ‘밀착 규제’ 원하는가 

하나씩 얘기해보자. 첫째, 해외 업체에 대한 규제 권한부터 살펴보면, 필자는 강력한 개인정보보호법이 필요하다고 생각한다. 과거에 진행한 공익 소송 대다수가 개인정보보호권에 근거했다. 그러나 정보의 국외 이전 자체를 금지하거나 기술의 전개 자체를 제한하는 방식은 인권을 침해하는 일이다. 개인정보 보호의 ‘골드 스탠더드’가 되는 유럽연합의 GDPR(General Data Protection Regulation)도 역외 이전 자체를 금지하지 않는다. 정보 보관지의 개인정보보호법제가 적정한지 평가하여 적정성 판단을 받은 국가에 대해서는 정보를 자유롭게 이전하도록 한다. 서버를 국내에만 둬야 한다는 주장과는 큰 거리가 있다.

더욱 중요한 것은 해외 기업에 대한 막강한 규제권을 이미 한국 정부가 가지고 있다는 점이다. 바로 방송통신심의위원회를 통한 차단 권한이다. 이미 수많은 해외 서버가 불법 정보를 국내에 유입한다거나 개인정보를 침해한다는 이유로 차단되었다. 이는 다른 산업을 생각해보면 당연한 이야기다. 예를 들어 중국의 김치 업체가 위생에 문제가 있다고 해도 김치 공장을 국내에 둘 것을 의무화하는가? 그 중국 업체의 김치가 국내에 들어오지 않도록 하면 그만 아닌가? 그 이상의 밀착된 규제를 하고자 하는 러시아나 중국은 서버의 국내 설치를 의무화한다. 우리가 이들 나라를 따라갈 것인가?

구글·페이스북·아마존 같은 초거대 기업들에게 시원하게 돈 좀 받아보자는 것을 말릴 생각은 전혀 없다. 하지만 서버를 국내에 두도록 하는 방식은 인터넷이 인류에게 준 선물, 즉 힘없는 개인들도 막강한 정부와 기업에 맞서 서로 정보를 모으고 나눌 수 있는 정보력과 홍보력, 그리고 감시와 검열을 피해 유통 경로를 정할 수 있는 특권을 걷어차버리는 것이다.

둘째, 해외 기업의 국내 소득 과세 문제를 따져보자. 기업은 전 세계에 재화와 용역을 수출한다. 그런 의미에서 모든 수출 기업은 외국에서 소득을 올린다. 그렇다고 해서 현지 정부에 소득세를 내지는 않는다. 소득세는 소득을 올리기 위한 행위가 어디에서 벌어지는가를 기준으로 과세한다. 이는 국제 세법의 상식이고 이중과세를 방지한다. 구글·페이스북의 국내 소득에 대해 과세하려면 현대, 기아 자동차의 미국 내 소득 과세는 어떻게 할 것인가? 경제협력개발기구(OECD)에서 논의되는 ‘구글세’는 소득에 부과하는 것이 아니라 부가가치세다. 국경이 없는 인터넷의 성격을 전제로 하고 새로운 국제 세법을 만들려는 OECD의 논의가 마무리돼간다. 그 와중에 한국 혼자 소득세를 부과하겠다고 서버 위치를 붙들고 늘어졌을 때의 결과는 뻔하다. 닭 쫓던 개 지붕 쳐다보는 격이 될 것이다.

셋째, ‘망 이용 대가’ 문제다. 망 사업자가 인터넷 접속을 제공하지도 않는 해외 업체에 전화 회사처럼 정보 배달료를 받겠다는 욕심이다. 이는 인터넷의 구동 방식에 완전히 반한다. 해외에는 ‘망 이용 대가’라는 말 자체가 없다. 오직 자신과 직접 접속하는 망 사업자와 받는 접속료가 있을 뿐이다. 세계적으로 유례 없이 유선 85%, 무선 100%를 과점하는 대기업 3사는, 세계적으로 유례 없이 높은 접속료를 국내 인터넷 기업들에게 받는다. 혹시 ‘망 이용 대가론’을 근거로 이렇게 받는다면 접속료부터 낮출 일이다.

 

* 위 글은 시사IN에 기고한 글입니다. (2018.12.14.)

월, 2018/12/17- 10:38
45
0

사단법인 오픈넷은 2019. 2. 1. 아래와 같은 내용으로 정보통신망법 일부개정법률안(전희경의원 대표발의, 의안번호 : 18228)에 대한 반대의견을 국회에 제출했습니다.

『정보통신망법』 일부개정법률안에 대한 의견서

1. 본 개정안의 요지

  • 정보통신망법 일부개정법률안(전희경 의원안, 18228)은 정보통신서비스 제공자로 하여금 자신이 운영·관리하는 정보통신망에 ‘성폭력범죄의 처벌 등에 관한 특례법’ 제14조에 따른 촬영물 또는 복제물(이하 ‘불법촬영물’이라 함)이 게재되어 있는 경우 이를 지체없이 삭제할 의무를 부과하고 있음.

2. 본 개정안의 입법목적은 현행 법제로도 달성 가능함

  • 본 개정안은 정보통신서비스 제공자에게 불법촬영물에 대한 임시조치를 강제하여 불법촬영물의 유포, 확산을 방지하게 하려는 것을 목적으로 하고 있음.
  • 그러나 불법촬영물은 정보통신망법 44조의2 제1항 상의 ‘사생활 침해나 명예훼손 등 타인의 권리를 침해’하는 정보로써 삭제 혹은 임시조치 대상정보이고, 이는 동조 제2항 상 해당 정보의 삭제등을 요청받으면 ‘지체없이 삭제, 임시조치 등의 필요한 조치를 하여야’ 하는 정보에 해당하며 이는 의무규정으로 해석되고 있음.
  • 즉, 현행 규정에 따르더라도 정보통신서비스 제공자는 불법촬영물에 대하여 피해자 등으로부터 삭제요청을 받은 경우에는 이를 삭제 혹은 임시조치할 의무가 있음. 또한 판례에 따라 이러한 요청이나 신고가 있어 정보통신서비스제공자가 불법정보가 유통되고 있음을 구체적으로 인식하고 있었거나 인식할 수 있었음에도 이를 방치한 경우에는 일정한 불법행위책임을 부담하고 있음. (대법원 2009. 4. 16. 선고, 2008다53812, 판결 등)

3. 정보통신서비스 제공자의 인식 여부가 아닌 ‘게재되어 있는 경우’에 삭제 의무를 부과하는 것은 과도함

  • ‘정보통신서비스’의 내용은 매우 다양하며, 불특정 다수의 인터넷 이용자들이 무궁무진한 양의 정보를 시시각각 교환하는 플랫폼임. 이러한 정보통신서비스 내에 불법촬영물 등의 각종 불법정보는 필연적으로 유통되고 있을 수밖에 없음. 따라서 정보통신서비스를 제공하는 사업자에게 서비스 내에 유통되고 있는 모든 정보에 대한 감시 및 삭제 의무를 부담하도록 하는 것은 현실적으로도, 법적으로 부당함. 즉, 적어도 특정한 불법촬영물 정보가 신고 또는 삭제요청이 되어 해당 불법정보의 존재와 위치를 정보통신서비스제공자가 인식한 경우에 한정하여 삭제 의무를 부담하도록 하여야 함.
  • 현행 제44조의2 규정에 따르면 적어도 삭제요청이 있는 경우나 청소년유해매체물로 지정된 정보에 대한 삭제나 임시조치 의무가 발생함. 그러나 본 개정안은 ‘불법촬영물이 특정되어 신고, 삭제요청된 경우’ 혹은 ‘정보통신서비스제공자가 특정 불법촬영물을 인식한 경우’를 넘어, ‘게재되어 있는 경우’에 삭제 의무를 부과하고 있는데, 이는 사실상 선제적으로 서비스 내 정보에 대한 모니터링 의무, 즉 ‘일반적 감시의무’를 부과하는 것과 다름없음.
  • 정보통신서비스제공자에게 일반적 감시의무를 부과하여 모든 이용자들이 교환하는 정보의 내용을 감시·검열하도록 하는 것은 다른 이용자들의 합법적 이용마저 위축시킬 우려가 있기 때문에, 국제사회에서는 금기시 되고 있음. 불법 촬영물 모니터링 의무는 한-EU FTA 제10.66조에서도 금지되고 있으며, 이의 기반이 된 유럽연합의 전자상거래지침(Directive 2000/31/EC)은 모든 불법정보(저작권 침해 정보, 음란 정보, 아동 포르노물)에 대한 일반적 감시의무를 금지하고 있음. 국제인권기구들이 성안한 정보매개자책임에 관한 마닐라 원칙도 정보매개자에 대한 모니터링 의무를 부과해서는 안 된다는 점을 명시하고 있음.
금, 2019/02/08- 17:28
104
0