국정원이 해킹팀으로부터 사들인 스파이웨어(RCS)를 불특정 다수 국민의 스마트폰에 감염시키면 어떤 일이 생길까? 상상하기도 싫지만, 스파이웨어에 감염된 국민이 직접 대응할 수 있는 방법은 많지 않다. 왜? 국정원은 사실상 국내 백신 업체의 ‘갑’ 노릇을 한다. 이런 현실에서 국내 백신 업체들이 국정원이 이용하는 스파이웨어를 감지하는 전용 백신을 개발할 수 있을까? 새정치민주연합의 안철수 국회의원이 안랩을 포함한 10여 개 국내 보안업체에게 도움을 요청했으나 업체들이 이 요청에 적극 나서지 않는다는 말이 벌써부터 들리고 있다.
이에 시민이 자발적으로 참여하는 ‘국민 백신 프로젝트’가 발족했다. 그리고 어제(2015년 7월 30일) 국회 의원회관에서 발표회를 개최했다. 국민 백신 프로젝트를 주도한 남희섭 오픈넷 이사에게 국민 백신 프로젝트의 이모저모와 향후 계획을 물었다.
남희섭 오픈넷 이사 일문일답
– 이왕에 엠네스트 주도로 ‘디텍트’가 개발됐다. ‘국민 백신’과 디텍트의 차이점은.
디텍트는 PC용인데, 국민 백신은 안드로이드 모바일에 주안점을 두고 프로젝트를 진행하고 있다.
– 모바일 중심이라고 했는데, 특히 안드로이드가 주력인 이유는?
개발자의 증언에 의하면 안드로이드폰이 잘 감염된다고 한다. 아이폰은 애플이 직접 패치를 내놓으면 이용자가 바로 업데이트를 할 수 있으나 안드로이드폰은 구글이 패치를 내놓아도 제조사까지 전달되서 실제 이용자의 스마트폰에 적용되기까지 시간이 걸리기 때문에 보안에 취약성이 있다는 설명이었다. 더불어 우리나라 모바일 사용자의 압도적 다수가 안드로이드폰 이용자기이도 하다.
– 국민 백신은 의미 있는 프로젝트다. 하지만 지속 가능성을 담보할 수 있을지는 걱정이다. 해킹과 백신은 ‘창과 방패’, ‘톰과 제리’의 게임이라서 지속성을 담보하지 못하면 큰 의미가 없지 않나.
당연히 걱정하는 부분이다. 큰 백신 개발업체라면, 상시 인력이 그때그때 바로바로 업데이트할 수 있겠지만, 국민 백신 프로젝트는 참여 개발 인력이 충분하다고 볼 수는 없다.
– 어떻게 이런 난제를 극복할 생각인가.
국민 백신은 ‘오픈소스’로 개발하고 있다. 프로그램 코드를 공개하는 것이다. 현재 개발인력도 최선을 다하겠지만, 국민 백신 프로젝트의 취지에 공감하는 개발자들이 업데이트에 참여할 것으로 기대한다. 이런 참여가 임계점을 넘으면. 지속 가능성을 담보할 수 있으리라 생각한다.
– 기존 보안업체에 협조를 요청했나. 상호 사전 협의가 있었는지 궁금하다.
처음에 프로젝트를 구상할 때 기존 업체의 참여를 전혀 기대할 수 없는 상황이었다. 이제는 널리 알려진 사실이지만, 사실상 국정원이 보안 업체의 ‘갑’ 노릇을 하는 상황이다. 익명을 전제로 보안업체의 분위기를 전한 한 개발자는 이렇게까지 말했다.
“민감한 사안이다. 밥줄 잘린다. 전용 백신 개발 가능성은 전혀 없다.”
기존 보안업체가 전용 백신을 개발한다는 것은 전혀 기대할 수 없는 상황이라고 판단하고, 국민 백신 개발에 착수했다.
– 현재 확보한 개발 인력은 어느 정도인가.
현재 엔진을 만드는 사람 4명이다. 여기에 해외 ‘화이트해커’ 그룹도 참여하고 있다.
– 향후 개발 계획은?
원래는 발표회에서 베타 버전을 발표하고, 다음 주(2015년 8월 첫째 주) 정식 발표하려고 했다. 하지만 일정이 생각보다 좀 늦어지고 있다. 내부적으로 테스트한 뒤에 다음 주 베타 버전을 발표할 계획이다.
– 어떤 방식으로 배포할 계획인지.
우선 안드로이드 모바일 사용자에게는 구글 플레이 스토어에 국민 백신 앱을 업로딩하면 간단하다. PC용으로도 개발할 계획이다.
– PC용은 어떤 방식으로 배포되는가.
안드로이드용은 배포 플랫폼이 있어서 걱정이 없는데, PC용은 홈페이지에 올리면 해커들에게 공격 받을 가능성이 크다고 한다. 그래서 PC용 버전 배포방식을 고민하고 있다. P2P 방식으로 배포하는 것까지 포함해서 현재 논의 중이다.
– 끝으로 당부하고 싶은 말이 있다면.
자기 정보 인권을 스스로 지켜야 한다. 직접 스스로 자신의 권리를 지키는 행동을 해보는 체험이 중요하다. 하지만 해킹이나 감시, 감청 등의 정보 인권 침해에 평범한 개인이 할 수 있는 일은 별로 없다. IT 영역의 전문지식을 모든 국민이 가질 수는 없는 노릇이고, 그럴 필요도 없다.
하지만 선의의 전문가들이 참여하는 국민 백신과 같은 프로젝트에 참여하는 것으로도 충분히 스스로 자기 권리를 지키는 구체적인 ‘행동’에 참여하는 일이다. 이런 체험을 통해 스스로 권리를 자신이 지킨다는 걸 체감할 수 있다면 좋겠다.
참고로 사단법인 오픈넷, 진보네트워크센터, P2P재단코리아준비위원회가 현재 개발 중인 ‘오픈 백신’은 설치된 해킹 프로그램을 치료하는 프로그램은 아니다. 치료보다는 해킹 프로그램의 설치 여부를 진단하는 것이 목표다. (편집자)
2015년 11월 4일, 검찰은 이석우 전 다음카카오 대표를 아동·청소년의성보호에관한법률(이하 아청법) 위반 혐의로 기소했습니다. 검찰은 기소 사유로 이 전 대표가 카카오 대표로 재직할 당시 온라인서비스 제공자로서 아동음란물을 발견하기 위한 기술적 조치를 하지 않아 지난해 6월 14일부터 8월 12일까지 ‘카카오그룹’에서 약 7,115명에게 아동음란물이 배포됐다고 밝혔습니다.
카카오 “기술적 조치 했다” vs. 검찰 “조치가 부족하다”
카카오 측은 “음란물 유통을 막기 위해 사업자로서 가능한 모든 기술적 조치를 취했고, 성인 키워드를 금칙어로 설정, 해당 단어를 포함한 그룹방 이름이나 파일을 공유할 수 없도록 사전적 조치를 취하고 있다”며 검찰의 기소에 반박했으나, 11월 10일 수원지검 성남지청은 보도자료를 내고 이 전 대표는 아동·청소년의성보호에관한법률 제17조 제1항과 시행령 제3조에 의거 온라인서비스제공자로서 아동·청소년이용음란물을 발견하기 위한 조치를 하지 않았다고 밝혔습니다.
아청법 제17조(온라인서비스제공자의 의무) 중
① 자신이 관리하는 정보통신망에서 아동·청소년이용음란물을 발견하기 위하여 대통령령으로 정하는 조치를 취하지 아니하거나 발견된 아동·청소년이용음란물을 즉시 삭제하고, 전송을 방지 또는 중단하는 기술적인 조치를 취하지 아니한 온라인서비스제공자는 3년 이하의 징역 또는 2천만 원 이하의 벌금에 처한다. 다만, 온라인서비스제공자가 정보통신망에서 아동·청소년이용음란물을 발견하기 위하여 상당한 주의를 게을리하지 아니하였거나 발견된 아동·청소년이용음란물의 전송을 방지하거나 중단시키고자 하였으나 기술적으로 현저히 곤란한 경우에는 그러하지 아니하다.
아청법 시행령 제3조(아동ㆍ청소년이용음란물 발견을 위한 조치) 중
① 법 제17조 제1항 본문에서 “대통령령으로 정하는 조치”란 다음 각 호의 모든 조치를 말한다. 다만, 다른 법률에서 정한 조치를 함으로써 아동ㆍ청소년이용음란물을 발견할 수 있는 경우에는 다음 각 호에 해당하는 조치의 전부 또는 일부를 하지 아니할 수 있다.1. 이용자가 아동ㆍ청소년이용음란물로 의심되는 온라인 자료를 발견하는 경우 온라인서비스제공자에게 상시적으로 신고할 수 있도록 하는 조치2. 온라인 자료의 특징 또는 명칭을 분석하여 기술적으로 아동ㆍ청소년이용음란물로 인식되는 자료를 찾아내도록 하는 조치② 온라인서비스제공자는 아동ㆍ청소년이용음란물로 판단하기 어려운 온라인 자료에 대해서는 「방송통신위원회의 설치 및 운영에 관한 법률」 제18조에 따른 방송통신심의위원회에 심의를 요청할 수 있다.③ 여성가족부장관은 온라인서비스제공자가 아동ㆍ청소년이용음란물을 발견하고 삭제 등의 조치를 하는 데 필요한 행정적 지원을 할 수 있으며, 이를 위하여 온라인서비스제공자, 관계기관 및 관련단체와 협력체계를 구축할 수 있다.
검찰은 카카오 측이 먼저 아동·청소년이용음란물에 대한 상시적 신고 기능을 제대로 갖추지 않았다고 했습니다. 그 이유는 음란물을 신고하려면 5단계나 거쳐야 하므로 접근성이 현저히 떨어진다는 것입니다. 신고를 위해 들어가야 하는 메뉴 순서는 다음과 같습니다.
설정 → 도움말 → 문의하기 → 그룹생성오류 → 유해게시물신고
그리고 두 번째 근거로 금지어(금칙어) 등을 통한 아동·청소년이용음란물 필터링 기능을 도입하지 않았다고 했는데요, 카카오의 다른 서비스인 ‘카카오스토리’에는 이용자 본인을 소개하는 프로필에 음란물을 상징하는 단어를 금지어로 등록했고, 카테고리를 등록할 때 사용하는 단어에도 금지어 사용 불가 기능이 존재했지만 ‘카카오그룹’은 없어 그런 기능이 없어 유포 방지 조치를 취하지 않은 것으로 판단한 것입니다. 즉, 필터링 의무를 다하지 않았다는 것입니다.
아청법 시행령의 제3조 제1항 중 제1호가 상시적 신고 기능, 제2호가 필터링 조치를 뜻합니다.
카카오는 정말 필터링 조치를 허술하게 했나
현재 널리 사용되고 있는 필터링 기술은 데이터베이스(DB) 필터링과 키워드 필터링 정도가 있습니다. 아동음란물뿐만 아니라 저작물, 일반 음란물 필터링도 마찬가지입니다.
그런데 DB 필터링은 아동음란물로 판단된 자료에서 추출한 URL, 해시값, DNA 등의 DB를 기반으로 필터링하는 것입니다. 즉, 이미 유통되고 있는 아동음란물을 찾아내서 분석하지 않으면 DB를 만들 수가 없습니다. 따라서 매일 새로 쏟아지는 아동음란물을 걸러낼 수 없다는 한계가 있습니다.
그리고 아동음란물의 “소지”도 처벌하는 아청법을 엄격하게 해석하자면 목적이 어떻든지 간에 사업자들은 DB의 소지만으로 처벌받을 수 있는 위험이 있습니다. 정부나 수사기관에서 필터링의 기반이 되는 DB를 제공하면 사업자들이 협조하기가 편하겠지만, 여성가족부나 방송통신심의위원회는 별도의 아동음란물 DB를 가지고 있지 않습니다. 현재 사업자들은 민간 필터링 업체에 의존하고 있습니다.
또한, 키워드 또는 금칙어 필터링은 키워드를 조금이라도 바꾸면 무용지물이 되는 데다가 아동음란물에만 국한된 키워드가 매우 한정적이라서 실효성이 별로 없습니다. 예컨대 “로리”라든지 “교복” 같은 키워드가 사용되었다고 해서 꼭 아동음란물이라고 보기는 어려울 것입니다. 현재로써는 컴퓨터가 아동음란물을 자동으로 걸러내는 기술은 없다고 볼 수 있습니다. 웹하드 업체 등 사업자들은 최선을 다해 필터링하고 있지만, 아동음란물이 발견되기만 하면 필터링 조치를 제대로 취하지 못한 것이 되어 처벌을 받고 있다고 호소합니다.
사기업이 이용자의 모든 자료를 들여다봐야 한다고?
결국, 카카오와 같은 온라인서비스제공자가 아동음란물을 완벽하게 필터링할 수 있는 최후의 수단은 이용자가 공유하는 모든 이미지와 동영상을 육안으로 직접 확인하는 것입니다. 하지만 이 방법은 카카오그룹과 같은 폐쇄형 소셜미디어(SNS)에서는 이용자의 통신 내용을 들여다보는 것이라는 점에서 “감청”과 다를 것이 없습니다. 사인에 의한 감청은 통신비밀보호법 위반입니다. 설령 카카오에 이러한 권리를 허용한다 하더라도 극소수의 범죄자를 찾아내기 위해 모든 이용자의 헌법상의 기본권(사생활의 비밀)을 침해하는 결과가 초래됩니다.
만약 육안으로 모니터링을 하는 것이 타당하다 하더라도, 아동음란물은 법적인 개념이고 음란물인지 아닌지는 맥락으로 판단해야 하므로 여기에도 한계가 있습니다. 물론 누가 봐도 명백한 아동 포르노가 있겠지만, 예컨대 교복물이나 애니메이션의 경우 계속 논란이 되고 있습니다.
아청법 제2조(정의) 중
“아동·청소년이용음란물”이란 아동·청소년 또는 아동·청소년으로 명백하게 인식될 수 있는 사람이나 표현물이 등장하여 제4호의 어느 하나에 해당하는 행위를 하거나 그 밖의 성적 행위를 하는 내용을 표현하는 것으로서 필름·비디오물·게임물 또는 컴퓨터나 그 밖의 통신매체를 통한 화상·영상 등의 형태로 된 것을 말한다.
오픈넷이 제기한 아청법 헌법소원에서 헌법재판소는 2015년 6월 25일 5:4의 결정으로 해당 정의 규정이 헌법에 위반되지 않는다고 판단했습니다.
“아동·청소년으로 인식될 수 있는 사람”은 일반인의 입장에서 외모, 신원, 제작 동기와 경위 등을 종합하여 볼 때, 실제 아동·청소년으로 오인하기에 충분할 정도의 사람이 등장하는 경우를 의미함을 알 수 있고, “아동·청소년으로 인식될 수 있는 표현물” 부분도 전체적으로 표현물을 등장시켜 각종 성적 행위를 표현한 매체물의 제작 동기와 경위, 표현된 성적 행위의 수준, 전체적인 배경이나 줄거리, 음란성 등을 종합하여 판단할 때 아동·청소년을 상대로 한 비정상적 성적 충동을 일으키기에 충분한 행위를 담고 있어 아동·청소년을 대상으로 한 성범죄를 유발할 우려가 있는 수준의 것에 한정된다고 볼 수 있으며, 기타 법관의 양식이나 조리에 따른 보충적인 해석에 의하여 판단 기준이 구체화되어 해결될 수 있으므로, 명확성 원칙에 위반된다고 할 수 없다.
그러나 어떤 표현물이 성범죄를 유발할 우려가 있는 수준인지에 대한 명확한 기준은 없다고 하겠습니다. 성인교복물이나 애니메이션의 경우 법원에서 무죄 판결을 받기도 했지만, 사업자나 이용자의 입장에서 판단하기가 어렵고 형사처벌을 받을 수 있으므로 이렇게 조금이라도 의심이 있는 경우에는 아동음란물로 판단하고 삭제를 하게 됩니다.
과도한 필터링 의무 부과, 국제적인 흐름에 역행한다
아청법상 필터링 의무는 이런 기술적 또는 현실적인 한계가 있을 뿐만 아니라, 더 중요하게는 정보매개자에게 불법정보에 대해 일반적인 감시 의무를 부과하는 것을 금지하는 국제적 흐름에 역행한다는 문제가 있습니다.
정보매개자란 다양한 정의가 있을 수 있지만, OECD 보고서를 보면 “인터넷상 제3자들이 생산한 정보의 공유가 가능한 플랫폼을 제공해주는 자”를 말한다고 하겠습니다. 이 기준에 맞기만 하면 ISP든, 검색엔진이든, SNS든 다 정보매개자가 됩니다. 다만 정보를 편집하거나, 직접 제작하거나 유통하는 경우에는 정보매개자라고 할 수 없습니다.
정보매개자의 책임이란 이러한 정보매개자가 제3자, 즉 이용자들이 유통하는 불법정보에 대해 책임을 져야 하는지의 문제입니다. 불법정보를 게시하거나 직접 유통한 자는 당연히 책임을 져야겠지만, 정보매개자의 서비스가 단순히 불법정보 유통에 사용된 경우에는 달리 봐야 할 것입니다.
예컨대 택배를 통해 마약이나 무기가 거래된 경우 택배사도 같이 처벌해야 할까요? 특별한 사정이 없다면 그래서는 안 될 것입니다. 그런 맥락에서 정보매개자의 책임 제한을 논의하게 됩니다. 현재 책임 제한에는 두 가지 원칙이 있습니다.
첫째, 피난처(세이프 하버; safe harbor)
둘째, 일반적 감시 의무 금지
피난처는 일정한 조건하에서 정보매개자를 제3자가 유통한 정보에 대한 책임으로 면책을 시켜준다는 것인데, 주로 권리자나 이용자에 의한 통지가 있어서 정보매개자가 불법정보에 대해 알게 된 경우에만 책임을 진다는 내용입니다.
즉, 일반적 감시 의무 금지는 말 그대로 정보매개자에게 정보를 일반적으로 감시, 즉 모니터링할 의무를 지워서는 안 된다는 내용입니다. 일반적 감시 의무 금지는 말 그대로 정보매개자에게 정보를 일반적으로 감시, 즉 모니터링할 의무를 지워서는 안 된다는 내용입니다.
왜 정보매개자의 책임을 제한해야 하는가
그럼 왜 정보매개자의 책임을 제한해야 할까요? 나아가 일반적인 감시의무 내지 필터링 의무 부과는 금지되어야 할까요? 그 필요성은 크게 세 가지로 나눌 수 있습니다.
먼저 인터넷의 문명사적 의미입니다. 헌법재판소에 의하면, 인터넷이란 익명 표현을 통해 민주주의 발전의 물적 토대를 제공하며, 사상의 자유시장에 가장 근접한 매체로 가장 참여적인 매체입니다. 즉 인터넷은 개인들이 타인의 허락 없이 공적 소통을 할 자유가 있는 공간으로, 그 특성으로 인하여 인류의 역사를 매우 짧은 시간 안에 완전히 바꾸어 놓았습니다. 누구의 허락도 받지 않고 소통을 할 수 있는 자유가 허락된 공간이 인터넷인 것입니다.
그런데 만약 이런 공간을 제공하는 정보매개자들에게 자신이 알 수 없는 불법행위들에 대해 책임을 지우기 시작한다면, 정보매개자들은 책임을 회피하기 위해 개개인의 소통을 검열하고 제한하거나, 아예 닫아버리게 됩니다. 그럼 결국 문명사적 중요성을 획득한 인터넷의 원천이 파괴될 수 있습니다. 허락받은 소통만이 가능한 공간은 더는 인터넷이 아니게 되는 것입니다.
두 번째 이유는 이용자의 인권 보호를 위해서입니다. 사업자들에 의해 이루어지는 사적 검열은 이용자들의 프라이버시를 침해합니다. 특히 그러한 검열이 카카오톡이나 이번에 문제가 된 카카오그룹 같은 통신 수단에 대해 이루어진다면 앞서 말씀드렸듯이 감청이나 다름이 없습니다.
또한, 이런 검열은 위축 효과를 불러오게 됩니다. 그리고 정보매개자는 조금이라도 문제가 될만한 정보라면 차단하고 삭제해서 책임을 회피하려 할 것입니다. 특히 책임이 클수록, 제한 요건이 불분명할수록 그럴 것입니다. 이는 온라인 표현의 자유를 또한 심각하게 침해하게 됩니다.
마지막으로는 인터넷 산업의 혁신과 발전을 위해서입니다. 필터링 기술이 날로 발전하고 있다고 해도, 아동음란물과 같은 법적 판단이 필요한 정보의 경우 결국은 육안으로 확인하는 수밖에 없습니다. 또한, 모니터링 내지 필터링 시스템을 갖추어야 하는 것은 1인 사업자나 대기업이나 마찬가지인데, 단지 정보매개자라는 이유로 이러한 과도한 부담을 지게 된다면 관련 산업을 위축시킬 뿐만 아니라 진입장벽을 만들게 됩니다.
그래서 국제적인 흐름은 이러한 일반적 감시의무를 금지하고 있습니다. 전 세계의 시민단체가 성안한 정보매개자책임에 관한 마닐라 원칙에서도 “정보를 적극적으로 모니터링할 의무를 부과해서도 안 된다”고 하고 있고, EU의 전자상거래지침, 저작권에만 적용되긴 하지만 미국 디지털 밀레니엄 저작권법 등이 대표적인 예입니다. 그러나 우리나라는 이러한 국제적 흐름에 역행하여 일반적 감시의무를 부과하는 법들이 많습니다.
마닐라 원칙
정보매개자는 제3자의 정보에 대한 책임으로부터 법적으로 보호되어야 한다.
사법당국의 명령 없이 정보 제한을 의무화해서는 안 된다.
정보 제한 요청은 명확하고, 모호하지 않으며, 적법절차를 따라야 한다.
정보 제한 관련 법, 명령 및 관행은 필요성과 비례성의 원칙을 준수해야 한다.
정보 제한 관련 법, 정책 및 관행은 적법절차를 존중해야 한다.
정보 제한 법, 정책 및 관행은 투명성과 책임성을 확립해야 한다.
특히나 아청법 제17조는 정보매개자 책임과 관련하여 전 세계적으로 유례가 없는 내용을 규정하고 있습니다. 물론 아동음란물 규제는 필요하지만, 제작자나 유포자가 아닌 단순한 정보매개자에게 과도한 책임을 지우는 것이 문제입니다. 정보매개자도 기여 정도에 따라 제작자나 유포자, 또는 방조자로 처벌하면 되는데, 사전적인 필터링을 제대로 하지 못했다고 하여 처벌을 하는 것은 어떻게 보면 국가가 해야 할 일을 정보매개자에게 떠넘기는 것이나 마찬가지입니다.
이렇게 정보매개자를 범죄를 막지 못했다는 이유로 범죄자와 동일시하여 과도한 형사책임을 지우는 것은 지양되어야 합니다. 오픈넷은 해당 규정이 최대한 빨리 폐기되어야 한다고 보고 있습니다. 아니면 사업자가 발견한 경우에는 신고 의무를 지우는 정도로 수정되어야 할 것이며, 궁극적으로는 사업자를 아동음란물 단속의 파트너로 보고 자율규제를 장려하고 선진국의 사례처럼 사업자-관계당국-시민사회의 원만한 협조체계를 구축해서 대응해야 할 것입니다.
청소년들을 유해정보로부터 차단한다는 명목으로 사용되고 있는 청소년 스마트폰 관리앱에 대해 많은 사람은 부정적으로 생각하는 것으로 나타났다. 이들은 청소년 관리앱이 청소년의 자율성이나 부모의 선택권을 침해하는 것으로 보았으며, 유해정보 차단 효과도 크지 않다고 대답했다. 이러한 관리앱을 강제하는 일명 ‘청소년 스마트폰 감시법’에 대해서는 폐지되어야 한다는 의견이 압도적이었다.
이 같은 결과는 사단법인 오픈넷이 지난 12월 29일부터 1월 8일까지 트위터와 페이스북 등 SNS 사용자를 대상으로 하여 벌인 설문조사에 참가한 사람 564명의 응답을 분석한 결과 나타난 것이다.
현행 전기통신사업법과 그 시행령은 전기통신사업자가 청소년이 사용하는 스마트폰에 유해정보를 차단할 수 있는 앱을 제공하도록 강제하고 있다. 이에 따라 각 이통사는 가입자들에게 ‘T청소년유해차단’(SK텔레콤), ‘올레 자녀폰 안심’(KT), ‘U+ 자녀폰지킴이’(LG유플러스) 등의 이름으로 유해물 차단앱을 제공하고 있다. 같은 목적으로 방송통신위원회가 한국무선인터넷산업연합회(MOIBA)를 통해 개발하고 배포한 무료 앱 ‘스마트보안관’은 보안취약점이 발견되어 서비스가 중단되었지만, ‘사이버안심존’으로 이름만 바뀌어 계속 제공되고 있다.
이 같은 청소년 스마트폰 관리앱의 주요 목표는 유해정보 차단이지만, 오픈넷의 설문조사 응답자들이 청소년 스마트폰 이용과 관련하여 가장 우려한 것은 유해정보가 아니라 스마트폰 중독 현상이었다. 응답자 중 31.4%가 중독 현상을 걱정했으며, 친구들 간의 괴롭힘에 사용될 가능성(27.1%)이 그 뒤를 이었다. 유해정보(18.3%)는 세 번째에 그쳤다.
응답자를 자녀가 있는 사람으로만 한정하였을 때도 결과는 비슷했다. 부모들이 가장 걱정하는 것은 여전히 중독 현상(47.0%)이었으며, 유해정보(22.0%)는 2위였다.
법령에 따라 청소년의 스마트폰에 유해매체물 차단 수단을 강제 설치하도록 한 사실을 아는 사람도 많지 않았다. 전체 응답자 중 3분의 2가 이러한 사실을 모르거나 들어보긴 했지만 내용을 알지 못한다고 대답했다. 자녀를 가진 응답자들도 66.0%가 이러한 강제 규정에 대해 전혀 모르거나 잘 알지 못했다.
청소년의 스마트폰에 관리앱을 강제로 설치하는 방식에 대해 물어본 결과, 응답자의 절대 다수가 부정적인 대답을 내놨다. 강제 설치에 찬성하는 응답자는 12.6%에 지나지 않았으며, 나머지는 ‘설치 자체를 반대한다(38.7%)’ ‘청소년의 자율에 맡겨야 한다(31.9%)’ ‘부모의 선택에 맡겨야 한다(16.8%) 등으로 대답했다.
관리앱의 효과에 대해서도 응답자의 절반 이상이 부정적으로 평가했다. 응답자 59.6%는 효과가 전혀 없거나 별로 없다고 답했으며, 매우 효과적이거나 약간 효과적이라고 대답한 사람은 16.7%에 불과했다. 심지어 자녀의 스마트폰에 관리앱을 설치한 응답자(62명) 중에서도 그 효과에 대해 어느 정도 이상 신뢰하는 사람은 절반을 조금 넘는 수준(51.6%)에 불과했다.
오픈넷은 “해당 설문조사는 자발적 참여로 이루어진 것이긴 하지만, 부모와 청소년을 포함한 이용자 대다수가 감시앱을 원하지 않는다는 점을 잘 보여준다. 부모의 교육권과 자녀의 프라이버시를 침해하는 스마트폰 감시법은 폐지되어야 한다”라고 밝혔다.
오픈넷은 스마트폰 감시법에 대해 헌법소원을 청구해 현재 심리가 진행중이며, 최근 방통위가 제출한 관련법 개정안에 대해서도 반대 의견을 제출한 상태다.
2015년 7월6일 이탈리아 보안업체 ‘해킹팀’의 내부자료가 유출돼 인터넷에 공개된 후 우리나라의 국가정보원도 이 업체로부터 감청프로그램을 구입해 사용했다는 사실이 확인되면서 파장이 확산되고 있습니다. 기술적으로 복잡한 내용도 많고 확인되지 않은 채 유통되는 정보도 많습니다. 이해를 돕기 위해 몇가지 사항에 대해 문답식으로 풀어봤습니다. 앞으로 궁금한 점에 대해 질문을 주시면 취재를 통해 함께 답을 찾아나가도록 하겠습니다.
Q.국정원이 구입, 운용한 해킹팀의 RCS에서 ‘타깃 20개’란 어떤 의미인가? 국정원장은 20명 분의 해킹프로그램이라고 주장한다.
국정원이 이탈리아 해킹팀으로부터 도입해서 운용한 RCS 프로그램의 타깃(target)은 20개다. 이는 동시에 최대한 20개까지 감시가 가능하다는 의미다(해당항목으로 이동).
국정원장의 해명은 해킹을 20명만 할 수 있다는 것처럼 들리지만 실제는 동시에 감시가 가능한 것이 20명이다. 실제 연 감시 대상은 훨씬 많을 수 있다는 것이다.
이탈리아 해킹팀이 나나테크에 보낸 제안서에서 설명하는 타깃에 대한 개념도 그렇다.
예를 들어 모니터링하고 있는 타깃 20개 가운데 더 이상 감시할 필요가 없는 타깃 5개를 삭제하면 새로운 타깃 5개에 추가로 스파이웨어를 설치해 다시 20개까지 모니터링 할 수 있다는 뜻이다. 이렇게 될 경우 국정원이 해킹한 타깃은 모두 25개가 되지만 동시 모니터링 하고 있는 타깃은 20개가 된다.
Q. 동시 감시 대상이 20개라는 것은 예를 들어 국정원이 감시가 필요한 대상 100개를 미리 감염시켜 놓은 뒤에 필요에 따라 감시 대상 20개 안에 넣었다 뺐다 할 수 있다는 것인가?
그렇다고 보기는 힘들다. 국정원 관리자와 해킹팀이 2014년 7월7일 주고받은 메일을 보자. 에이전트는 휴대폰이나 PC 등의 목표물에 설치해 해당 기기에서 정보를 빼내오는 해킹용 스파이웨어를 말한다.
국정원: 우리의 라이선스는 동시에 최대한 20개의 에이전트를 운영하는 것이다. 만약 에이전트 하나를 멈추게 하면 시스템에서 사용되는 에이전트 수에서 제외되는 것인가? (즉, 에이전트를 하나 더 쓸 수 있게 되는 건가?) 해킹팀: 에이전트를 일시적으로 작동 중지시키는 것은 불가능하다. 영원히 멈출 수만 있다. 백도어를 닫아야 새로운 에이전트를 만들어낼 수 있다.
국정원: 메뉴얼 38페이지 ‘RCS 9.3 Technician.pdf’에 있는 “일시적인 에이전트 작동 중지”에 대해 말하는 것이다. 해킹팀: 뭔가 오해가 있었던 모양이다. 메뉴얼에 “에이전트 활동은 모든 모듈을 중지시키고 동기화 상태로만 놓아두면 에이전트를 삭제하지 않고도 일시적으로 멈추어둘 수 있다.”라고 돼 있는 부분은 만약 백도어의 모든 모듈을 중지시키면 에이전트 활동을 일시적으로 멈춰둘 수 있다는 말이다. 그러나 알다시피 그렇더라도 에이전트는 사용 중인 것이고, 동기화 중인 것이고, 시스템은 백도어를 통해 항상 통신을 주고 받고 있는 것이다. 당신의 라이선스 상에 새로운 타깃을 감염시킬수 있는 에이전트 여분이 없으면 백도어 하나를 닫던지(그리고 그 에이전트는 더이상 다시 열 수 없다.) 아니면 우리 판매부서에 연락해야한다.
(※RCS에는 여러 모듈(기능의 작동단위)이 있는데 기능에 따라 CALL 모듈, CHAT 모듈, PHOTO 모듈 등이 있다. CALL 모듈을 작동시키면 CALL을 감시할 수 있고 CHAT 모듈을 작동시키면 CHAT을 가로챌 수 있다.)
간단히 정리하면 예를 들어 타깃 100개를 한꺼번에 해킹해 놓고서 필요한 것들을 골라서 그 때 그 때 20개 안에 넣었다 뺐다 바꿔가면서 감시하는 것은 불가능하다는 말이다.
Q.그렇다면 이미 20개를 가득 채워서 동시에 모니터링을 하고 있는 상태에서 다른 1개의 타깃에 추가로 스파이웨어가 설치된다면 어떤 일이 벌어질까?
실제로 다른 나라의 고객이 해킹딤에 질문했다. 30개 타깃에 대한 라이선스를 갖고 있고 현재 30개를 동시에 감시하고 있는데 만약 3개월 전에 감염파일을 담아 보낸 이메일을 감시 대상이 이제서야 열어서 감염될 경우 어떻게 되냐는 것이다.
이럴 경우 31번째 타깃은 대기열(queue)에 위치하게 된다고 해킹팀은 답한다. 살아만 있을 뿐 자료를 빼오는데는 써먹을 수는 없는 상태라는 것이다. 따라서 라이선스 1개를 추가로 구입하거나 아니면 기존에 감시중인 타깃 하나를 제거해야 31번째 타깃의 에이전트가 활성된다는게 해킹팀의 설명이다.(▷관련 메일)
국정원도 비슷한 상황에 처한 적이 있다. 2013년 7월29일에 오간 이메일들(TICKET ID:!SMZ-100-78952)을 보면 “최근 타깃 3개가 감염된 것을 알게 돼서 기존 타깃 3개를 삭제했다. 그런데도 (감염된 타깃이) 대기열에서 시스템으로 들어오지 않고 대시보드에 추가할 수도 없다”면서 “3개의 공간이 있는데도 감염된 에이전트 2개가 20시간째 대기열에 머물러 있다”고 질문한다.
당시 국정원이 문제를 설명하면서 보낸 RCS 콘솔의 스크린샷이다.
▲ 빨간색 사각형이 국정원 직원이 직접 표시한 부분이다. 20개 타깃 가운데 3개의 여유가 있음을 보여준다.
스크린샷 제일 상단에 있는 RCS:DB 항목에서 상태가 ‘2connections’ 라고 돼 있는 부분이 대기열에 있는 타깃 2개를 말하는 것으로 보인다. 에이전트가 17/20로 3개의 여유분이 있으니 바로 시스템과 동기화돼서 감시 가능 상태에 들어와야 하는데 여전히 대기열에 머물러 있는 상황이다.
이 문제는 결국 국정원이 해킹팀의 조언대로 콜렉터를 다시 부팅하면서 해결이 된다.(▷관련 이메일)
Q.그렇다면 국정원이 천 명, 만 명의 타깃을 감염시켜 대기열에 위치시켜 놓은 뒤에, 20개씩 차례대로 동시 감시 대상으로 올리면 이론적으로는 감염시켜놓은 모든 타깃을 숫자 제한없이 감시할 수 있다는 말 아닌가?
이론적으로는 가능하다. 하지만 실제 해킹팀 RCS 운영 상황으로 볼 때 현실적으는 어렵다. 먼저 앞에서 국정원이 언급했던 대시보드가 무엇인지 보자.
▲ 2012년, 다른 나라의 고객이 해킹팀에 보낸 대시보드 스크린샷. 감염된 PC와 휴대폰별로 작동시킬 수 있는 항목이 한 눈에 보인다.
타깃을 대시보드에 추가한다는 것은 기능별로 타깃을 살펴보겠다는 의미다. 사진 왼쪽에 감염된 기기들이 나오고 각각 제공되는 기능이 일목요연하게 표시된다. 휴대폰의 경우 일정,통화,채팅,메모리,이메일,마이크,위치 등에 대한 기능이 제공됨을 알 수 있다.
대시보드에 감염대상을 추가하고 나면 각종 작업을 수행할 수 있다. 다음은 작업 명령을 내리는 화면이다.
감시 중인 스마트폰의 스크린샷을 찍어 전송받을 수도 있고 마이크를 작동시켜 녹음을 할 수 도 있다.
RCS는 이렇게 필요한 타깃의 기기 특성과 운영체제, 사용프로그램에 맞춰 취약점을 공격하고 일단 스파이웨어를 설치한 뒤에는 타깃의 활동 하나 하나를 면밀히 모니터링하는 시스템이다. 목표물의 음성 통화나 채팅, 사진 등을 감시하다가 필요한 때 자료를 빼오는 시스템이다.
또 목표물을 해킹하기 위해서는 취약점 공격에 필요한 URL이나 감염파일이 필요한데, 국정원이 직접 만드는 게 아니라 해킹팀에 요청해서 받아야 한다. 뉴스타파가 분석한 결과 지난 2013년 5월부터 2년 동안 국정원이 해킹팀으로 받은 URL이나 감염파일은 모두 320여 개였다. 이것이 모두 성공했다 하더라도 목표물은 2년 동안 320여 개가 되지만 이 가운데는 한 번 실패했다 다시 요청받은 것도 있어 실제 목표물은 320개 보다 적을 것으로 보인다.
또 국정원은 주로 해킹을 위해 문자나 이메일로 스파이웨어가 심어져 있는 URL을 보내는 방식을 사용했는데 이 경우 URL은 한 개의 목표물만 감염시킬 수 있기 때문에 다수의 목표물에 문자나 이메일을 발송해 다수를 한꺼번에 감염시키는 것이 불가능하다.
이런 여러가지 이유로 동시 감시대상이 20개라 하더라도 사실상 무제한으로 감시할 수 있다는 것은 이론적으로는 가능하지만 RCS의 운영특성으로 볼 때 현실적으로는 설득력이 없어 보인다. 물론 이것은 해킹팀 RCS에 한정된 얘기고, 국정원이 다른 해킹 프로그램들을 운용해 더 많은 목표물을 감시하고 있는지 여부는 현재로선 확인된 바가 없다.
인터넷 시대, 이용자들이 작성한 수많은 정보가 포털 등 인터넷업체나 망사업자들을 통해 매개된다. 이들 이용자가 작성한 정보가 타인의 명예나 저작권을 침해할 때는 소위 “정보매개자들”에게 어떤 책임을 지우는 것이 타당할까?
정보매개자란?
정보매개자란 쉽게 말하면 포털을 포함한 각종 인터넷 서비스를 말한다. 우리는 SK브로드밴드나 LG유플러스와 같은 인터넷망사업자를 통해 인터넷에 연결될 수 있다.
우리는 인터넷망에 연결된 후 네이버나 다음, 구글, 카카오톡, 각종 커뮤니티 등에서 정보를 주고받는다. 블로그 등에 글을 쓰기도 하고, 댓글을 달기도 하고, 채팅하기도 한다. 이렇게 정보를 주고받을 수 있는 서비스를 제공하는 자(기업)를 모두 정보매개자라고 한다.
다른 나라는 어떻게 하나?
표현의 자유가 허락된 개인들끼리 (인터넷에서) 소통을 하다 보면 서로 부딪히는 일들이 생길 수 있다. 저작권 침해와 같은 권리침해 행위들도 존재한다. 그렇다면 이런 일들이 발생할 때 정보매개자를 처벌하는 것이 옳을까? 대부분 나라는 정보매개자 면책조항을 둔다.
불법적인 정보가 정보매개자의 서비스를 통해 유통되더라도
정보매개자가 그 불법성을 인지하지 못했을 때는
정보매개자에게 책임을 묻지 말자
쉬운 예를 들어보자. 한국에서 벌어지는 수많은 범죄 중 칼을 이용한 범죄는 엄청나게 많다. 그렇다고 해도 칼을 이용한 범죄가 벌어질 때마다 해당 칼 제조사는 처벌받지 않는다. 만약 쇠파이프를 가지고 사람을 폭행하는 사람이 있더라도 쇠파이프 제조사는 처벌받지 않는다. 트럭이 추돌사고를 일으켜도 트럭에 문제가 없다면 트럭 제조사는 책임이 없다.
위의 여러 예처럼 정보매개자가 불법성을 인지하지 못한 경우에는 책임을 묻지 말아야 한다. 그래서, 각 나라는 이와 관련하여 면책조항들을 만들어 놓았다. 면책이라서 “세이프하버(피난처라는 의미)”라고 불린다. 이를 비교하면 다음과 같다.
위 표에서 한국의 저작권법 102조를 보면, 우리나라도 다른 나라의 정보매개자면책조항을 온전하게 도입한 것으로 보인다. 문제는 103조 1항과 2항의 존재다. 한국은 정보매개자의 면책조항뿐만 아니라 의무조항까지 존재한다.
즉, 다른 나라의 법은 신고 게시물에 대해 삭제·차단을 하면 정보매개자의 책임을 면해준다. 따라서 정보매개자는 신고에 대응할 “동기”를 부여한다. 하지만 한국은 103조가 별도로 존재함으로써 정보매개자에게 모든 신고 게시물을 삭제·차단할 “의무”를 부과하고 있다.
동기와 의무가 낳는 차이
“동기”와 “의무”의 차이는 크다.
“동기”만 부여된 상태라면 정보매개자가 스스로 판단하여 합법적인 게시물은 놔두고 불법적인 게시물만 차단할 자유가 존재한다. 정보매개자에게 불법과 합법을 판단할 의무가 주어지지 않았으므로 “정보매개자가 원한다면” 어떤 게시물은 유지할 수 있는 것이다.
반면 삭제·차단이 “의무”라면 정보매개자는 자신의 판단과는 관계없이, 자신이 보기에 아무리 합법적인 게시물이라 하더라도 어쩔 수 없이 삭제·차단을 해야 한다. 의무이기 때문이다.
실제로 저작권 침해가 아닌 경우에도 누군가 침해신고를 했다면, 정보매개자는 삭제차단을 해야만 한다. (인터넷 이용자들에게 욕을 먹거나 음모론의 대상이 되는 건 덤이다) “의무조항”이니 피할 방법이 없는 것이다. 이렇게 되면 각종 권리자들은 더욱 적극적인 침해신고를 하게 되고 정보매개자는 이를 그대로 따를 수밖에 없다.
더 큰 문제: “신고시 삭제 의무”가 다른 법에서도 도입
더욱 심각한 문제는 “저작권법은 2011년 법 개정을 통해 미국의 선진적인 세이프하버 조항을 완전히 도입했다”는 오해다.
결국, 저작권법의 “요청하면 반드시 삭제·차단할 의무”가 명예훼손이나 사생활침해 등 다른 법제에도 복제됐다. 대표적인 것이 정보통신망법 제44조의 2인데 침해신고가 된 게시물은 아무리 합법이라 하더라도 정보매개자는 임시로 삭제 및 차단을 해야 할 의무가 있게 되었다.
헌법재판소는 그런 조항이 합헌이라고 판결까지 내려줬다(2010헌마88. 헌법재판소 2012.5.31. 결정). 말이 “임시”이지 복원을 요구하는 조항이 없으니 대부분 정보매개자들은 게시물에 당했다고 눈에 불을 켜고 있는 사람이 있는 상황에서 다시 복원할 용기가 없다. 결국 이렇게 되면 저작권뿐만 아니라 명예훼손이나 사생활침해를 빌미로 무분별하고도 부당한 삭제가 가능해진다.
실제로 돈을 내고 제공받은 서비스의 질이 나쁘다고 평가한 글들이 차단당하거나 정당한 의혹을 제기하는 글들이 임시조치에 취해지는 건 어제오늘의 일이 아니다. 특히 정보통신망법의 경우 저작권법 제도의 근간인 제102조, 즉 면책조항도 없다는 점은 더욱 심각하다. 즉, 정보통신망법이 저작권법에 불필요하게 포함된 “의무조항”만 도입하면서 정보통신망법은 “세이프하버”와는 거리가 먼, 가장 후진적인 정보매개자 책임 규제가 되어버렸다.
이렇게 되면 인터넷에서 사적 검열이 강화되는 효과가 생긴다. 내가 무슨 말을 하려고 해도 상대방이 “포털은 저 글을 삭제해야 한다.”고 신고를 하면 포털을 비롯한 정보매개자는 꼼짝없이 삭제할 수밖에 없다.
혹자는 삭제·차단을 하지 않아도 벌칙조항이 존재하지 않으니 위 조항들이 정보매개자들에게 큰 영향을 미치지 않을 것이라 주장하기도 한다. 하지만 정보매개자 입장에서 살펴보자. 요청시 반드시 삭제해야 하는 의무가 있는 정보매개자가 삭제 요청에 맞서서 해당 정보를 지키기 위해 노력할 필요가 있을까? 그냥 법을 따르는 게 모든 면에서 속 편한 일이니 그냥 삭제해 버리면 그만이다. 기업 입장에서 긁어부스럼을 만들 이유가 전혀 없다.
그 결과물들이 이런 거다.
쥬얼리 성형외과 사례
인터넷상 사적 검열 효과를 가장 극명하게 보여준 사례는 쥬얼리 성형외과 사례라고 할 수 있다. 2014년 12월 쥬얼리 성형외과는 직원들이 올린 ‘수술실 생일파티 인증 사진’으로 큰 논란을 일으켰다.
해당 사진은 인터넷의 다양한 공간으로 퍼졌다. 많은 언론과 블로거는 ‘수술실 생일파티 사진’이라는 사실 자료를 바탕으로 글을 쓰기 시작했다. 쥬얼리 성형외과 측은 홈페이지에 사과문을 올리면서도 한편으로는 쥬얼리 성형외과를 비판하는 블로그 게시물에 대해 임시조치 요청을 했고, 그렇게 쥬얼리 성형외과에 관한 비판글은 하나둘씩 블라인드되었다.
‘아이엠피터’(사진)는 널리 알려진 1인 정치 미디어다. 본인이 직접 이야기하는 것처럼 ‘다음’이라는 포털서비스를 통해 많은 독자를 만나왔고, 대중적 인지도를 확보하는데 포털도 큰 역할을 했음을 부정할 수 없다. 그런 그가 왜 포털을 떠나 독립 사이트를 마련했을까? (아이엠피터는 2016년 1월 1일부터 ‘티스토리’ 플랫폼을 떠나 워드프레스에 기반한 독립형 서비스로 주된 근거지를 옮겼다.)
직접 아이엠피터의 말을 들어보자.
[‘아이엠피터’ 일문일답]
– 아이엠피터에 올라온 정치 비평이 꾸준히 임시조치당해왔는데.
한마디로 폭력이다. 일단 한 대 때리고 보는 것 같다. 문제가 생기면 서로 대화를 통해 해결해야 하는데, 일단 한 대 때린 뒤에 ‘네가 잘못한 게 없는지 증명해 봐’라고 한다.
– 절차상 일방적으로 희생을 강요한다?
그렇다. 삭제된 사람이 정보매개자(포털)에 이의 제기하지 않으면 일단 30일 동안 블라인드(차단) 효과가 생긴다. 이런 과정은 심적 부담을 주는 동시에 신고당한 입장에서는 아주 귀찮은 일이다.
– 신고자에 대해선.
신고자들은 자신을 피해자라고 주장하지만, 나로선 그들이 피해자가 아닌 가해자로 느껴질 수밖에 없다.
– 임시조치 때문에 활동의 근거지를 포털에서 독립 사이트로 옮겼는데.
포털은 우선 임시조치한다. 그리고 그 뒤에 따로 신고당한 사람(글쓴이)는 구제절차를 밟을 수 있다. 반면에 독립 사이트는 포털과 같은 ‘우선 임시조치’가 현실적으로 어렵다. 그래서 옮겼다.
– 순서가 중요하다는 건가.
그렇다. 옳다 그르다의 가치평가 이전에 절차, 즉 시스템의 문제라고 본다. 먼저 콘텐츠를 차단하고 보는 현재의 시스템은 아주 문제가 많다.
– 임시조치, 무엇이 문제라고 보나.
임시조치는 현실적으로 헌법상 평등권에 반한다. 글쓴이와 신고자, 각각의 권리를 공정하게 존중해야 하는데 한 사람(신고자) 이야기만 듣고 처벌하는 것과 마찬가지이기 때문이다. 이건 마치 (무죄추정의 원칙이 아니라) 유죄추정의 원칙과도 같다.
일단 임시조치로 차단하기보다 좀 더 엄격하게 판단해 명예훼손 등으로 엄벌하거나 민사상 손해를 무겁게 무는 방식이 바람직하다고 본다.
– 형사법상 명예훼손이나 모욕죄에 관해선 이 역시도 표현의 자유를 억압하므로 폐지하자는 의견도 많은데.
공인과 공적 사안에 관한 표현의 자유는 더 널리 확보되어야 한다고 본다. 하지만 공적인 사안이 아니고, 공인이 아닌 개개인의 명예는 더 보호될 필요가 있다고 본다.
– 끝으로 한마디.
최근 분위기가 공적인 사안에 대한 의혹 제기도 스스로 경계하게 하는, 일종의 자기 검열 분위기가 너무 강하다. 글을 쓸 때 옳고 그름만에 얽매여서 자유를 망각하지는 말되, 방종은 경계하면 좋겠다.
개정이 필요하다
국제 수준에 맞추기 위해서는 우선 저작권법의 개정이 필요하다. 가장 쉬운 방법은 의무조항을 면책조항으로 변경하는 것이다.
그리고 정보통신망법도 개정이 필요하다. 정보통신망법에는 아예 세이프하버와 같은 면책조항이 없는데, 저작권법 102조와 유사한 책임제한 조항을 만들면 된다. 즉, 콘텐츠에 대해 권리침해 신고가 들어왔을 때 그 게시물을 내리기만 하면 몰랐던 게시물에 대해서는 면책된다는 조항을 두는 것이다. 이 또한 어렵지 않은 일이다.
외국의 정보매개자 규제를 도입하려면 정확하게 벤치마킹을 해야 할 것이다. 이외에도 다른 수정사항들이 존재할 수 있으나 최소한 이 정도의 면책조항 정도는 만들어야 한다고 본다. 칼을 판다고 칼로 인한 모든 범죄에 대해 책임을 지라는 이상한 논리는 이제 그만 사라지는 것이 옳지 않을까.
경찰, 협박죄로 혐의 변경 + 압수수색영장 (1월 25일): 경찰은 (검찰을 통해) 혐의를 ‘모욕죄’에서 ‘협박죄’로 변경하고, 법원에서 압수수색영장을 발부받았다. (참고 기사)
페북, 게시자 IP 전달 (1월 25일~2월 16일 사이): 경찰은 협박죄 혐의로 법원에서 발부받은 압수수색 영장을 페이스북 본사에 보내 협조를 요청했고, 페이스북 측은 경찰에 해당 게시물 게시자의 IP를 경찰에 전달했다.
경찰, 게시자 긴급체포 (2월 16일): 페이스북으로부터 게시자 IP 전달받은 경찰은 청주로 수사팀을 급파, 해당 게시물을 올린 ‘ㄱ 씨’ 검거.
경찰, 하루 만에 게시자 석방 (2월 17일): 경찰은 피의자가 1) 전과 없는 대학생이고, 2) 총기 사진은 인터넷에서 구한 것이라는 이유로 하루 만에 피의자를 석방했다. 1개월여에 걸친 ‘체포 작전’의 끝은 허무했다. 경향신문은 “청와대 공격글을 올린 20대 남성이 한때 새누리당 당원으로 활동했던 것으로 뒤늦게 확인됐다”고 보도했다. (참고 기사)
‘체포 작전’ 벌일 만큼 위험하고 급박했나
1. 해당 페북 게시물에 관한 판단
페이스북에 ‘청와대를 공격’하겠다는 글과 함께 ‘사제 총기’ 사진이 올라갔다. 어떻게 대응해야 할까? 있을 수 있는 가장 중한 가능성을 고려해야 마땅하다.
그렇다면 이 게시물은 국가원수에 대한 테러 실행 모의인가? 그렇지 않다. 경찰이 직접 밝힌 것처럼 ‘사제 총기’ 사진은 가짜로 판명됐고, 경찰 스스로 테러 모의가 아닌 ‘모욕죄’ 입건을 검토하겠다고 밝혔다. 테러가 실제로 발행할 가능성(현존 위험)은 없었다고 판단할 수 있다.
경찰이 수사를 통해 새로운 사실을 밝히지 않는 한 이 사안은 ‘욕설’과 ‘가짜 총기’ 사진이 담긴 ‘모욕죄 가능성’ 있는 게시물이다.
2. 신원 파악 실패와 압수수색영장
우선 경찰(검찰)은 게시물을 올린 게시자 신원을 파악하는 데 실패했다. 그리고 특별한 사실관계 변화는 없다. 하지만 경찰은 검찰을 통해 혐의 내용을 모욕죄에서 협박죄로 변경해 법원에 ‘압수수색영장’을 청구했고, 법원은 이를 발부했다. 언론은 이런 일련의 상황 변화를 ‘게시자 검거를 위한 경찰의 무리수(과잉 충성)’라고 해석(추정)한다. 이 의심은 혐의 내용의 변화가 없다는 점에서 합리적이다.
3. 페북 본사(미국)의 영장 집행 협조
다시 확인하자. 이 사안은 테러의 실질적인 가능성이 없는 ‘모욕죄’ 사안이다. 이를 확인해 준 건 다름 아닌 경찰이다. 하지만 모욕죄의 용의자 신원을 확보하지도 못한 채,새로운 사실관계가 추가됨이 없이 혐의 사실은 모욕죄보다 그 죄질과 처벌 수위가 한 단계 높은 ‘협박죄’로 바뀌었고, 법원은 압수수색 영장을 내줬다.
그리고 경찰은 페북 본사에 용의자 신원정보을 확인하기 위해 IP(인터넷주소)를 알려달라고 요청한다(왜냐하면 한국에는 페이스북 서버가 존재하지 않으므로). 그리고 페북은 이 요청에 협조했다. 페북 측에 문의한 결과, 이는 사실로 확인됐다.
“이 사건 영장에 협조한 바 있는가”라고 페북 측에 묻자, 담당자는 “법률팀에서 사안을 검토해 협조할 만한 사인이라고 판단하면 협조한다”고 밝혔다. 더불어 “이런 영장 협조는 한국이 최초이거나 특별한 것은 아니며, 각국의 영장 협조 사실에 관한 통계를 게시판을 통해 공개한다”고 말했다. 페북의 영장 협조에 관해 좀 더 살펴보자.
2015년 상반기 동안 페북, 애플, 구글에 대한민국 정부가 개인정보를 요청한 건 수와 각 기업이 이 요청에 협조한 비율은 다음과 같다.
페북: 총요청 수 25, 사용자/계정 요청 수 24, 제공 비율 28%
애플: 총요청 수 17, 사용자/계정 요청 수 57, 제공 비율 41%
구글: 총요청 수 306, 사용자/계정 요청 수 3417, 제공 비율 36%
계정을 기준으로 하면 한국 정부가 구글에 요청한 개인정보(3,417건)가 압도적으로 높고, 각 기업이 정보를 제공 비율로 보면, 애플 > 구글 > 페북 순이다.
주의할 점은 페북과 구글 그리고 애플은 그 서비스의 성질과 특성이 서로 다르다는 점이다. 따라서 일률적으로 어떤 기업이 더 한국 정부에 협조적이라거나 또는 그 반대라고 판단하기는 어려울 것으로 보인다. 다만, 3사 모두 한국 정부의 수사 협조 요청에 각자의 기준으로 대응(협조)하고 있다는 점은 확실하다.
대통령 죽이겠다는데 그럼 가만히 있나?
다시 사건으로 돌아와 보자. 프라이버시와 표현의 자유는 일정한 조건에서 제한될 수 있다. 일률적으로 무조건 압수수색영장 협조를 거부하라고 주장하는 것은, 무조건 협조하라고 말하는 것만큼이나 설득력이 없다. 중요한 것은 이 사건을 둘러싼 한국 사회의 시대적 흐름 속에서 사건을 구체적이고, 다각도에서 해석하고, 그 안에 담긴 의미를 끌어내는 관점과 철학이다.
이 사건은 본질에서 (가장 대표적인 공인이라고 할 수 있는) 대통령에 대한 테러나 살해 모의가 아니라 ‘모욕’이 문제된 사안이다. 거듭 강조하지만, 이는 경찰이 직접 확인해 준 바이며, 또 달리 판단할만한 새로운 사실도 없다.
특히 페이스북은 최근 우리나라가 대통령의 평판을 보호하기 위해 국가기관이 제기한 여러 명예훼손 민형사소송 때문에 프리덤하우스의 연례조사에서 OECD국가들 중에서 드물게 ’부분적 자유’국으로 분류되고 있다는 점을 감안하여 이용자 표현의 자유에 대해 더욱 신경을 써야 한다.
내 보기에 오픈넷 성명서에서 주목해야 하는 문구는 둘이다. 하나는 “대통령의 평판”, 그리고 나머지 하나는 “국가기관이 제기한”.
박 대통령 자신이 국무회의에서 “대통령에 대한 모독적 발언이 도를 넘고 있다”고 말했고, 검찰은 그 ‘시그널’을 바로 접수했다. 둘의 ‘호흡’을 만족스럽게 바라보는 국민도 있을 수 있다. ‘감히 어떻게 대통령에게’라고 생각하는 국민, 분명히 많을 거다. 그분들 생각, 나는 진심으로 존중한다. 다만, 그 국민 중에서 나는 빼주시라.
글로 만든 폭력과 몰상식의 해법
대통령에게 입에 담지 못할 욕설을 하고, 위험천만한 테러를 직접 실행하겠다는 글을 페북에 썼다. 이런 폭력적 행위와 몰상식을 옹호하려는 게 아니다. 비판받아 마땅하다. 하지만 손쉽게 국가의 공권력에 기대어 이를 해결하겠다는 발상은 위험하다.
국가는 공적 폭력(복수)을 독점하고, 대리한다. 그래서 그 공권력은 최후의 수단으로 사용되어야 한다. 그래서 현존하는 명백한 위험이 존재하지 않는 한,말과 글로 만들어진 ‘폭력’과 ‘몰상식’은 우선은 말과 글로 풀어야 마땅하다. 경찰이 긴급체포조를 투입할 일은 아니라는 말이다. 그 체포조 투입이 상식이 되면 우리의 ‘아가리’도 봉인된다.
우리나라 대통령이다. 욕을 해도 칭찬을 해도 우리가 한다. 대통령 욕하라고 권장하는 게 아니다. 하지만 나는 그게 주권자인 국민의 권리라고 생각한다. 욕 안 먹는 대통령이 한 번이라도 있었나. ‘없는 곳에선 나라님도 욕한다’는 속담은 괜히 있는 말이 아니다. 고 김대중 전 대통령이 괜히 “인터넷에 글을 올리고, 하다못해 담벼락을 쳐다보고 욕이라도 할 수 있다”고 시민의 정치 참여를 독려한 게 아니다.
‘대통령 모욕죄’라는 퇴물 – 박경신 교수 일문일답
박경신 고려대 교수(오픈넷 이사, 사진)에게 이번 사건의 의미를 물었다. 박 교수는 페이스북과 같은 글로벌 서비스가 “역외 영장에까지 협조하면서 국제적 기준에서 문제가 많은 우리나라의 인권 침해적 법률 집행을 도와주는 것은 문제”라고 말했다.
이하 박 교수와의 일문일답이다.
-오픈넷에서 이 사건과 관련해 성명서를 냈다. 이 사건에 주목한 이유는 뭔가.
이 사건의 진행 과정은 놀랍다.
한국인이 외국 서버를 쓰는 서비스를 통해 저지르는 범죄를 수사할 때마다 경찰과 검찰은 국내접속자 IP를 확인할 수 없다면서 어려움을 호소했다. (예를 들어, 소라넷의 성폭행 선동글에 대한 수사) 그런데 이 사건은 단 21일말에 뚝딱 해치웠다.
– 21일이 “뚝딱”이라고 할 만큼 짧은가?
그렇다. 통상 제대로 된 절차를 거치려면 1년 이상 걸리기도 한다.
– 제대로 된 절차라면 어떤 걸 말하는 건가.
범죄수사를 위한 국민의 프라이버시 침해는 그 수사기관으로부터 독립적인 공직자 즉 판사가 발부한 영장을 통해서 이루어져야 한다. 이를 영장주의라고 한다. 그런데 여기서 판사가 아무 나라 판사라도 괜찮겠는가?
예를 들어, 다음카카오 서버에 있는 정보를 압수수색하는데 서인도제도의 생소한 나라 판사가 발부한 영장이면 충분한가? 아닐 것이다. 바로 이 원칙을 세우기 위해 만든 게 ‘믈랫’(MLAT; 형사사법공조조약)이다. 한국과 미국 사이에도 체결돼 있다. 즉, 국내 정보를 압수수색하려면 국내 영장이 있어야 하고, 외국 수사기관 요청이 있으면 국내 영장 발부를 위해 상호협조한다는 게 ‘믈랫’의 취지이다.
– 믈랫(MLAT)?
페북, 구글, 애플에 영장을 집행하려면 ‘믈랫’ 절차를 밟아 미국 법원이 발부한 영장이 필요하다. 역으로 한국에 서버가 있는 서비스를 사용하는 미국인에 관해서도 마찬가지다.
문제는 ‘믈랫’ 절차가 미국 기준으로 영장을 발부하다 보니 시간이 오래 걸리고, 거부될 때도 잦다. 1년 이상 걸리기도 한다. 보통 검경이 해외 서버 수사의 어려움을 호소하는 이유도 이 때문이다.
그런데 이번 “파란 기왓집” 건은 통상 1년 걸렸을 절차가 ‘초고속으로’ 21일 만에 영장이 집행됐다.
– 왜 그랬을까?
페북이 ‘믈랫’ 절차를 통한 미국 법원의 영장을 기다리지 않고 자발적으로 정보를 제공했기 때문이다.
– 그럼 페북의 영장 협조는 위법한가.
제공 자체가 위법은 아니다. 미국 통신비밀보호법은 특이하게도 한국 통비법과는 다르게 IP주소나 통신자 신원 등 통신의 내용이 아닌 것에 대해서는 사업자들이 외국 수사기관에 자발적으로 제공할 수 있도록 한다. 하지만 반드시 제공할 의무도 없기 때문에 대부분 사업자가 사안의 경중을 가려 제공하기도 하고 제공하지 않기도 한다.
– 이번 사건의 “빠른 진행이 놀랍다”고 한 건 그런 맥락인가.
그렇다. 성폭행 선동글 수사와 같은 사안에 대해서는 IP 제공이 안 이루어지다가 이번에는 이렇게 빨리 이루어진 것이 눈에 밟힌다.
– 페북의 영장 협조를 비판했다. 하지만 애플이나 구글도 대동소이할 것으로 보인다. 어떻게 보나.
페북, 애플, 구글이 집행하는 여러 역외 영장 중 페북이 집행한 한 개에 관해 우연히 전후 사정이 밝혀져 이번에 의견을 낼 수 있었지만, 나머지 케이스에 관해서는 그 사안의 구체적 사정을 알 수 없어 전반적으로 평가하기는 곤란하다. 다만 마이크로소프트(MS)는 잘하고 있고 본다.
-MS는 잘하고 있다?
MS는 현재 미국 정부와 소송 중이다. 미국 검찰이 아일랜드 서버에 있는 미국 이용자의 정보를 영장 들고 와서 달라고 하니까, MS 측은 이렇게 대응했다:
‘아일랜드에 가서 형사사법공조조약 절차를 밟아라.’
이용자의 프라이버시를 우선하는 자세는 높게 평가할 하다. 하지만 역으로 미국 검찰이 자국민(미국인)을 수사하는데 아일랜드까지 가야 하나, 이런 반박도 있다. 어느 쪽이 절대적으로 옳다고 말할 수는 없다.
다만 중요한 것은 이런 논의가 사회적으로 일어나고, 그것이 매우 필요하다는 점이다. 더불어 현재 법 체계는 그렇게 돼 있다. 적어도 법 제도를 엄격하게, 특히 이용자의 권익을 고려해 적용한다는 점에서 MS의 대응은 평가할 만하다고 본다.
-표현의 자유나 프라이버시가 항상 우선하는 것은 아니지 않나.
프라이버시는 물론 절대적이지 않다. 모든 사안에 대해서 형사사법공조조약 절차를 따르라는 것은 무리일 수 있다. 실현 가능성이 큰 테러나 현재 발생한 납치범 수사 등여러 긴급한 사안이 있을 때는 프라이버시를 제한할 수도 있다고 본다. 법원 절차를 거치지 않더라도 일반 상식으로 개별 사안을 평가할 수 있을 것으로 본다. 재난구조를 위해서도 필요할 수 있다.
하지만 이번 페북 게시물 사건은 긴급한 테러나 재난이 아니다. 우선 모욕죄 자체가, 페북이 스스로 따르겠다고 약속한 국제 인권 기준에 반하는, 폐지되어야 할 범죄 아닌가. 물론 협박죄로 죄목을 바꿨지만, 애초에 모욕죄 수사였다는 것을 경찰 스스로 언론에 밝힌 상태였다.
그런 사안에 대해 경찰이 영장 집행을 요구할 때는 욕설과 비난의 대상이 대표적 공인인 대통령이었다는 점도 고려했어야 할 것으로 본다. 대통령 ‘모욕죄’야말로 ‘국가원수모독죄’와 같이 퇴물 취급받아야 구시대의 유물 아닌가.
[1] 맞춤법상 표기는 ‘기왓집’이 아니라 ‘기와집’이 맞지만, 이 사건의 대상인 게시물의 표기를 따라 ‘기왓집’으로 표기한다.
시민들의 의견
댓글 달기