우리 저작권법은

미국 저작권법의 정보매개자면책조항을 온전히 도입하였는가?

-망법 임시조치제도 “개정안의 개정” 필요성

오픈넷은 지난 5월 28일에 방송통신위원회, 저작권위원회 후원으로 박주선 의원, 염동열 의원, 유승희 의원, 국회입법조사처, 언론법학회, 인터넷법학회, 하버드대학교 버크맨센터(Harvard University Berkman Center for Internet and Society), 고려대학교 법학연구원, 서울대학교 기술과법센터와 공동주최로 정보매개자책임에 대한 국제세미나를 개최하였다.

이 세미나에서는, 제1세션의 나오코 미즈코시 변호사의 일본 정보매개자책임법에 대한 소개와 제3세션의 에릭 골드만 교수의 미국 저작권법(DMCA)의 대응조항들에 대한 소개, 그리고 동 세션에서의 박경신 교수, 최경수 저작권위원회 선임연구위원의 질의응답을 통해 다음 쟁점이 다루어졌다. 즉, “외국의 정보매개자규제들은 권리침해신고가 된 정보에 대해 정보매개자들에게 삭제차단의무를 지우는가? 우리나라 저작권법은 어떠한가?”이다. 우리는 한미FTA상의 의무에 따라 이루어진 2011년 법개정을 통해 저작권법 제102조/103조가 미국의 세이프하버제도를 온전히 도입한 것으로 인식해 왔었다.

우선 각국의 법조문을 정리해보자면 다음과 같다.

1)2)3)4)

위의 표를 통해서 보면, 우리나라가 102조를 통해 다른 나라의 정보매개자면책조항을 온전하게 도입하려 했다는 것에는 의문이 없다.
문제는 103조1항과 2항의 존재이다. 위에서 보다시피 다른 나라의 법은 모두 1개의 조항 또는 문장으로 이루어진 반면 우리나라는 102조 외에도 103조가 존재한다. 103조 1항과 2항은 침해신고가 있으면 즉시 삭제할 의무를 부과하고 있는데 위의 표에서 보여지듯이 다른 어느 나라 법에도 이에 대응될 만한 내용을 가진 조항은 없다. 다른 나라의 법들은 102조처럼 모든 신고된 게시물에 대해 삭제차단을 하기만 하면 과거 침해물의 제공에 대한 책임을 면해줌으로써 그렇게 신고에 대응할 “동기”를 부여하는 것에 그치고 있는 반면, 우리나라의 법은 103조가 별도로 존재하면서 정보매개자에게 모든 신고된 게시물을 삭제차단할 “의무”를 부과하고 있다.
“의무”와 “동기”의 차이는 크다. “동기”만이 부여된 상태에서는 정보매개자는 자신이 판단하기에 합법적인 게시물에 대해서는 삭제차단을 하지 않을 자유가 있다. 정보매개자에게 침해여부를 정확히 판단할 의무를 부과하는 것이 아니라 “정보매개자가 원한다면” 게시물을 유지할 권한을 부여한다. 이에 반해, “의무”가 부과된 상태에서는 정보매개자는 자신이 보기에 아무리 침해여지가 없는 게시물이라도 반드시 삭제차단해야 한다.
이러한 “요청부 삭제차단의무”가 발생시킬 위험은 명약관화하다. 저작권침해가 아닌 경우에도 누군가 침해신고를 했다는 이유만으로 정보매개자들이 삭제차단을 해야 한다면 인터넷은 합법적인 콘텐츠도 누군가의 자의적인 개입에 따라 검열되는 공간이 될 것이다. 이를 아는 권리자들은 더욱더 적극적인 침해신고를 하게 될 터이고 정보매개자는 이를 충실히 이행할 수 밖에 없어 인터넷에서의 사적 검열은 더욱 강화될 것이다.
제103조 제5항의 책임면제 문구는 사실 별다른 의미가 없다. 이미 103조1항과 2항에서 요청부 삭제차단의무를 부과한 이상 103조5항이 책임을 면제하든 하지 않든 정보매개자들은 103조1항/2항상의 요청부 삭제차단을 이행할 것이기 때문이다.
혹자는 103조1항/2항 위반에 대한 벌칙조항이 존재하지 않는 한 요청부 삭제차단의무를 부과하였다고 해서 정보매개자의 행동에 큰 영향을 미치지 않을 것이라고 주장하지만 이는 정보매개자들의 입장을 고려하지 않은 판단이다. 정보매개자들은 정보를 삭제하거나 차단할 강력한 동기를 가지고 있지만 침해신고에 맞서서 그 정보를 유지할 동기는 거의 없다. 103조1항/2항 만으로도 합법적인 콘텐츠를 충실히 삭제차단하도록 만들 것이다. 또 103조1항/2항 위반에 대한 민사책임 역시 같은 효과를 낼 것이다. 특히 아무리 합법적인 게시물이라고 할지라도 요청부 삭제차단을 하지 않은 정보매개자에 대해 103조1항/2항 위반에 대한 민사소송이 제기될 경우 법원에서는 게시물의 합법성 여부와 관계없이 손해배상을 부과할 가능성도 있다.

더욱 심각한 문제는, ‘저작권법은 2011년 법개정을 통해 미국의 선진적인 세이프하버 조항을 온전히 도입하였다’는 오해 때문에 103조1항/2항의 요청부 삭제차단의무가 명예훼손, 사생활침해 등의 다른 법제에도 복제되었다는 것이다. 즉 정보통신망법 제44조의25)인데 정보매개자에게 침해신고가 된 게시물은 합법이라 하더라도 임시조치를 취해야 할 의무를 부과한다(헌법재판소 2012.5.31. 결정 2010헌마88). 이렇게 되면 인터넷공간은 저작권뿐만 아니라 명예훼손이나 사생활침해를 빌미로 한 부당한 삭제차단 요청에 의해서도 검열된다. 특히 망법의 경우에는 저작권법 제도의 근간인 제102조에 대응되는 면책조항도 없는 상태여서 더욱 심각하다.

국제기준에 맞추기 위해서는 우선 저작권법의 개정이 필요하다. 이는 별로 어렵지 아니하다. 예를 들어, 제103조 제1항/2항이 의무부과조항이 아니라 제102조의 면책을 받기 위한 필요한 절차를 정한 조항이 되도록 다음과 같이 개정하는 것이다. 아마도 2011년 법개정을 할 때 제103조제1항/2항을 그대로 둔 이유도 이런 취지였을 것이다.

둘째 망법도 역시 개정이 필요하다. 마침 국회에서 정부발의안이 논의되고 있는데 주무부처인 방송통신위원회의 입법취지가 ‘선진적인 세이프하버를 도입한 저작권법’처럼 복원권을 보장하는 제도를 만들려고 한 것이었다면 우선 저작권법과 같이 “제대로 된” 책임제한 조항을 만들 필요가 있다. 즉 저작권법 102조와 유사한 책임제한 조항을 만들어 과거에 제공했던 컨텐츠에 대해서 권리침해신고가 들어오면 즉시 내리기만 한다면 면책된다는 조항을 두는 것이다. 이 역시 어렵지 아니하다. 예를 들자면, 아래 표에서 방통위 안에서 일부만 수정하면 된다.

외국의 정보매개자규제를 정확히 벤치마킹하여 저작권법과 망법을 만들기 위해서는 위에서 언급한 것 외에도 다른 이슈들이나 수정사안들이 있을 것이나 최소한 위와 같이 면책조항의 완성은 반드시 이루어져야 할 것이다.

2015년 6월 3일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

————————–

1) 特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律

法令番号：平成十三年法律第百三十七号            改正：    辞書バージョン:2.0 翻訳日:平成21年4月1日

Act on the Limitation of Liability for Damages of Specified Telecommunications Service Providers and the Right to Demand Disclosure of Identification Information of the Senders

Law number:Act No. 137 of 2001       Amendment :        Dictionary Ver : 2.0              Translation date : April 1, 2009

（損害賠償責任の制限）

(Limitation of Liability for Damages)

第三条　特定電気通信による情報の流通により他人の権利が侵害されたときは、当該特定電気通信の用に供される特定電気通信設備を用いる特定電気通信役務提供者（以下この項において「関係役務提供者」という。）は、これによって生じた損害については、権利を侵害した情報の不特定の者に対する送信を防止する措置を講ずることが技術的に可能な場合であって、次の各号のいずれかに該当するときでなければ、賠償の責めに任じない。ただし、当該関係役務提供者が当該権利を侵害した情報の発信者である場合は、この限りでない。

Article 3　(1)　When any right of others is infringed by information distribution via specified telecommunications, the specified telecommunications service provider who uses specified telecommunications facilities for said specified telecommunications (hereinafter in this paragraph referred to as a “relevant service provider”) shall not be liable for any loss incurred from such infringement, unless where it is technically possible to take measures for preventing such information from being transmitted to unspecified persons and such event of infringement falls under any of the following items. However, where said relevant service provider is the sender of said information infringing rights, this shall not apply.

一　当該関係役務提供者が当該特定電気通信による情報の流通によって他人の権利が侵害されていることを知っていたとき。

(i)　In cases where said relevant service provider knew that the infringement of the rights of others was caused by information distribution via said specified telecommunications.

二　当該関係役務提供者が、当該特定電気通信による情報の流通を知っていた場合であって、当該特定電気通信による情報の流通によって他人の権利が侵害されていることを知ることができたと認めるに足りる相当の理由があるとき。

(ii)　In cases where said relevant service provider had knowledge of information distribution by said specified telecommunications, and where there is a reasonable ground to find that said relevant service provider could know the infringement of the rights of others was caused by the information distribution via said specified telecommunications.

２　特定電気通信役務提供者は、特定電気通信による情報の送信を防止する措置を講じた場合において、当該措置により送信を防止された情報の発信者に生じた損害については、当該措置が当該情報の不特定の者に対する送信を防止するために必要な限度において行われたものである場合であって、次の各号のいずれかに該当するときは、賠償の責めに任じない。

2) United States Code, Title 17

§ 512. Limitations on liability relating to material online

(c) Information Residing on Systems or Networks at Direction of Users.—

(1) In general. — A service provider shall not be liable for monetary relief, or, except as provided in subsection (j), for injunctive or other equitable relief, for infringement of copyright by reason of the storage at the direction of a user of material that resides on a system or network controlled or operated by or for the service provider, if the service provider -

(A)(i) does not have actual knowledge that the material or an activity using the material on the system or network is infringing;

(ii) in the absence of such actual knowledge, is not aware of facts or circumstances from which infringing activity is apparent; or

(iii) upon obtaining such knowledge or awareness, acts expeditiously to remove, or disable access to, the material;

(B) does not receive a financial benefit directly attributable to the infringing activity, in a case in which the service provider has the right and ability to control such activity; and

(C) upon notification of claimed infringement as described in paragraph (3), responds expeditiously to remove, or disable access to, the material that is claimed to be infringing or to be the subject of infringing activity.

3) Directive 2000/31/EC on Certain Legal Aspects of Information Society Services, in particular Electronic Commerce, in the Internal Market

Article 14(1) Member States shall ensure that hosting providers are not liable for the information stored at the request of the recipient, on condition thaton condition that: (a) the provider does not have actual knowledge of illegal activity or information and, as regards claims for damages, is not aware of facts or circumstances from which the illegal activity or information is apparent; or (b) the provider, upon obtaining such knowledge or awareness, acts expeditiously to remove or to disable access to the information.

4) 제102조(온라인서비스제공자의 책임 제한) ① 온라인서비스제공자는 다음 각 호의 행위와 관련하여 저작권, 그 밖에 이 법에 따라 보호되는 권리가 침해되더라도 그 호의 분류에 따라 각 목의 요건을 모두 갖춘 경우에는 그 침해에 대하여 책임을 지지 아니한다. <개정 2011.6.30., 2011.12.2.>

[중략]

3. 복제·전송자의 요청에 따라 저작물등을 온라인서비스제공자의 컴퓨터에 저장하는 행위

가. 제1호 각 목의 요건을 모두 갖춘 경우

나. 온라인서비스제공자가 침해행위를 통제할 권한과 능력이 있을 때에는 그 침해행위로부터 직접적인 금전적 이익을 얻지 아니한 경우

다. 온라인서비스제공자가 침해를 실제로 알게 되거나 제103조제1항에 따른 복제·전송의 중단요구 등을 통하여 침해가 명백하다는 사실 또는 정황을 알게 된 때에 즉시 그 저작물등의 복제·전송을 중단시킨 경우

라. 제103조제4항에 따라 복제·전송의 중단요구 등을 받을 자를 지정하여 공지한 경우 [하략]

제103조(복제ㆍ전송의 중단) ① 온라인서비스제공자(제102조제1항제1호의 경우는 제외한다. 이하 이 조에서 같다)의 서비스를 이용한 저작물등의 복제·전송에 따라 저작권, 그 밖에 이 법에 따라 보호되는 자신의 권리가 침해됨을 주장하는 자(이하 이 조에서 “권리주장자”라 한다)는 그 사실을 소명하여 온라인서비스제공자에게 그 저작물등의 복제·전송을 중단시킬 것을 요구할 수 있다. <개정 2011.6.30.>

② 온라인서비스제공자는 제1항에 따른 복제·전송의 중단요구를 받은 경우에는 즉시 그 저작물등의 복제·전송을 중단시키고 권리주장자에게 그 사실을 통보하여야 한다. 다만, 제102조제1항제3호 및 제4호의 온라인서비스제공자는 그 저작물등의 복제·전송자에게도 이를 통보하여야 한다. <개정 2011.6.30.> [중략]

⑤ 온라인서비스제공자가 제4항에 따른 공지를 하고 제2항과 제3항에 따라 그 저작물등의 복제·전송을 중단시키거나 재개시킨 경우에는 다른 사람에 의한 저작권 그 밖에 이 법에 따라 보호되는 권리의 침해에 대한 온라인서비스제공자의 책임 및 복제·전송자에게 발생하는 손해에 대한 온라인서비스제공자의 책임을 면제한다. 다만, 이 항의 규정은 온라인서비스제공자가 다른 사람에 의한 저작물 등의 복제·전송으로 인하여 그 저작권 그 밖에 이 법에 따라 보호되는 권리가 침해된다는 사실을 안 때부터 제1항에 따른 중단을 요구받기 전까지 발생한 책임에는 적용하지 아니한다. <개정 2011.6.30., 2011.12.2.>

5) 제44조의2(정보의 삭제요청 등) ① 정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우 그 침해를 받은 자는 해당 정보를 취급한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박내용의 게재(이하 “삭제등”이라 한다)를 요청할 수 있다.

② 정보통신서비스 제공자는 제1항에 따른 해당 정보의 삭제등을 요청받으면 지체 없이 삭제·임시조치 등의 필요한 조치를 하고 즉시 신청인 및 정보게재자에게 알려야 한다. 이 경우 정보통신서비스 제공자는 필요한 조치를 한 사실을 해당 게시판에 공시하는 등의 방법으로 이용자가 알 수 있도록 하여야 한다.

③ 정보통신서비스 제공자는 자신이 운영·관리하는 정보통신망에 제42조에 따른 표시방법을 지키지 아니하는 청소년유해매체물이 게재되어 있거나 제42조의2에 따른 청소년 접근을 제한하는 조치 없이 청소년유해매체물을 광고하는 내용이 전시되어 있는 경우에는 지체 없이 그 내용을 삭제하여야 한다.

④ 정보통신서비스 제공자는 제1항에 따른 정보의 삭제요청에도 불구하고 권리의 침해 여부를 판단하기 어렵거나 이해당사자 간에 다툼이 예상되는 경우에는 해당 정보에 대한 접근을 임시적으로 차단하는 조치(이하 “임시조치”라 한다)를 할 수 있다. 이 경우 임시조치의 기간은 30일 이내로 한다.

⑤ 정보통신서비스 제공자는 필요한 조치에 관한 내용·절차 등을 미리 약관에 구체적으로 밝혀야 한다.

⑥ 정보통신서비스 제공자는 자신이 운영·관리하는 정보통신망에 유통되는 정보에 대하여 제2항에 따른 필요한 조치를 하면 이로 인한 배상책임을 줄이거나 면제받을 수 있다.

[전문개정 2008.6.13.]

국정원 해킹 사태 해결을 위한 토론 및 백신 프로그램 발표회 개최

• 일시: 2015년 7월 30일(목) 오전 10시
• 장소: 국회 의원회관 제1소회의실
• 주최: 사단법인 오픈넷, 이종걸 의원실

취지

국민의 세금으로 운영되는 국가기관인 국가정보원이 스파이웨어를 구매하여 민간인을 사찰했다는 의혹이 해소되지 않고 있습니다. 더구나 국정원의 감시감청은 영장, 대통령 허가,설비도입 보고 등의 절차를 무시하여 통신비밀보호법과 정보통신망법을 위반했다는 비판도 받고 있습니다. 절차 규정을 준수했다 하더라도 개인의 정보기기에 대한 통제권을 잠탈하는 해킹까지 헌법상 허용되는지에 대한 의문이 제기되고 있습니다. 이번 토론회는 이탈리아 해킹팀 자료 유출로 드러난 국정원의 해킹식 감시·감청에 대한 전반적인 법률 문제와 해결 방안을 살펴보고, 해외 민간인 사찰 사례 소개, RCS가 어떻게 작동하여 민간인 사찰에 악용되는지, 이에 대해 외국 특히 유럽연합에서는 어떤 대응을 하고 있는지도 살펴보고자 합니다.

국정원이 배포한 스파이웨어에 감염된 불특정 다수의 국민들은 국정원이나 해킹팀이 아니더라도 제3자에게 사어버 공격을 당할 위험에 놓이게 됩니다. 하지만 국내 백신 업체들은 아무런 대응도 하지 않고 있습니다. 이에 시민들이 자발적으로 참여하는 ‘국민 백신 프로젝트’가 발족하였습니다. 이를 통해 개발한 백신 프로그램의 베타버전을 공개하고 향후 계획에 대해 발표하는 자리를 갖고자 합니다.

순서

• 개회사 및 전체 진행: 남희섭((사)오픈넷 이사)

[제1 세션] 국가기관의 해킹툴 사용의 위법성과 해결 방안(60분)

• 좌장: 이종걸 의원(새정치민주연합 원내대표)
• 발제 1 – 심우민 박사(국회 입법조사처 입법조사관): 국정원의 RCS 사찰과 불법성 검토
• 발제 2 – 박경신 교수(고려대 법학전문대학원, (사)오픈넷 이사): 외국 감청감시의 한계 및 감청감시 입법 제안
• 토론 1 – 김지미 변호사(민주사회를 위한 변호사모임 사무차장): 국정원 어떻게 할 것인가?
• 토론 2 – 국회의원 1인: 국정원의 국민 해킹에 대한 국회의 대응 방안

[제2 세션] 오픈 백신 프로그램 베타버전 발표(30분)

• 취지 설명 및 향후 계획: 남희섭((사)오픈넷 이사)
• RCS 작동원리 및 오픈 백신 프로그램 내용 소개: 개발자(익명)

[제3 세션] 이탈리아 해킹팀의 민간인 사찰 사례 및 외국의 대응(30분)

• RCS의 해외 민간인 사찰 사례: 전자개척자재단(EFF), 시티즌랩(섭외 중)
• 외국의 대응: 이탈리아 의원 또는 유럽의회 의원(섭외 중)
• 종합토론 및 질의응답(30분)

종이호랑이 정보공개법에 처벌 조항을 도입하라

글 | 허광준(오픈넷 정책실장)

한국이 아시아 최초로 정보공개법을 제정한 지 20년이 지났다. 공공기관이 보유하는 정보는 국민의 세금으로 생산되고 축적된다. 이들 정보는 국민의 생명과 재산을 보호하는 국가 기능에 영향을 미치고 또 그 실행 결과이기도 하다. 이러한 각종 정보를 공개해야 한다는 원칙(공공기관의 정보공개에 관한 법률 제3조, 이하 “정보공개법”)은 열린 정부, 투명하고 공정한 사회로 나아가는 중요한 이정표가 아닐 수 없다. 비교적 이르게 도입된 한국의 정보공개법 제1조는 법의 목적으로 △국민의 알권리 보장 △국민의 국정 참여 △국정 운영의 투명성 확보 등을 들고 있다.

그러나 아무리 법과 제도가 좋더라도 실제 현장에서 그 규정을 무시할 여지가 있다면, 좋은 취지는 공염불이 될 가능성이 있다. 그동안 시민사회에서는 일껏 제정된 정보공개법이 그 근본 취지를 제대로 실현하고 있는지에 꾸준히 의문을 제기해 왔다. 국민이 정보공개법에 따라 신청한 정보가 공공기관에 의해 정당한 이유 없이 공개 거부되는 사례가 흔하고, 공공기관 입장에서는 시간만 끌면 정보공개를 하지 않는 것이나 다름없는 효과를 거둘 수 있으며, 국민이 소송을 통해 이에 대응하는 데에 많은 시간과 노력을 들여야 한다는 점 때문이다. 한마디로 공공기관이나 공직자가 정당한 이유 없이 정보공개법을 회피하려고 마음만 먹으면 얼마든지 그럴 수 있다.

국민이 알아야 할 공적 정보가 왜 정부에 의해 닫혀 있는 것일까?

이런 사태가 벌어지는 한 이유는 정보공개법에 처벌 조항이 없다는 것이다. 법의 취지와 내용이 아무리 좋더라도 강제력이 없으면 무용지물이다. 법의 구속력은 이를 강제하는 데서 나온다. 법은 도덕률이 아니기 때문에, 어떠어떠해야 한다는 당위만으로는 존재할 수 없으며 그 실효성을 보장할 수도 없다. 그런데 현행 정보공개법은 그런 꼴을 하고 있다. 정보공개 제도가 그 선진적인 의미를 구현하고 실효를 거두기 위해서는 정부가 행정편의주의, 비밀주의, 보신주의 관행에서 벗어나야 하고 공직자의 의식이 뒷받침되어야 한다. 이런 조건이 갖추어지지 않은 사회에서 처벌 조항조차 없는 정보공개법은 종이호랑이 꼴이 될 수밖에 없다.

사례: 세월호 참사 당시 청와대 문서 공개 신청

세월호 사건 당시 정부의 늦장 대응과 대통령의 행적은 큰 논란 거리가 되어 왔다. 당시의 상황이 실제로 어떻게 전개되었는가는 3백 명 이상이 숨진 참사의 한 원인을 밝힌다는 의미와, 국가의 긴급 상황 대응 시스템을 따지고 점검할 수 있다는 의미에서 아주 중요한 일이며 국민의 큰 관심사가 아닐 수 없다.

그러나 정부는 이러한 일과 관련한 내용을 극구 공개하지 않으려 했고, 결국 성공했다. 녹색당이 세월호 당일 청와대 비서실 등에서 어떤 보고와 지시가 이루어졌는지를 밝혀달라고 신청한 정보공개 청구는 정부에 의해 거부되었다. 구제 절차로 법에 보장된 데 따라 제기한 행정소송에서도 청와대는 다양한 꼼수를 동원하며 시간 끌기에 나섰으며, 법원은 이를 용인하거나 방치했다.

정보공개 신청이 이루어진 것은 세월호 참사가 있은 지 넉 달 만인 2014년 8월 18일이다. 공개거부 결정에 따라 행정소송을 제기한 것은 10월 10일이다. 정부의 시간 끌기로 지지부진하던 재판은 1년 5개월이 지난 2016년 3월에야 선고가 내려졌다.

정보공개법은 제기된 정보공개 신청을 처리하는 각 단계에서 시한을 규정해 두고 있지만, 이 시한을 어기더라도 불이익이나 처벌은 없다. 미국식 재판 진행 방식인 ‘인 카메라(in camera) 심리’를 위해 법원은 공개대상 문서를 재판부에 비공개 심사케 할 것을 명령했지만, 청와대는 이를 묵살했다. 역시 강제력은 가해지지 않았다. 이렇게 문서 보유측이 정보공개법이 규정한 과정과 절차에 비협조적인데도, 재판 결과는 세월호 관련 보고서 등 주요 문서 공개신청에 대해 원고 패소였다(원고 일부 승소). 정보를 공개할 경우 “대통령의 직무수행에 현저한 지장이 초래된다”라는 것이 이유였다. 정보공개법에서 규정한 ‘비공개 대상 정보’에 이런 항목은 없다. 세월호 사건이 벌어진 지 2년도 넘었으나 재판은 지금도 진행 중이다.

• 참고 기사 – 한겨레, 청와대-사법부가 세월호 정보공개를 막는 방법

비슷한 내용에 대해 참여연대와 한겨레가 제기한 정보공개 신청에 대해서도 청와대는 ‘공개대상 정보 중에 국가안보 등에 관한 사항이 포함되어 있어 공개될 경우 국가의 중대한 이익을 현저히 해할 우려가 있으며, 대통령 개인에 관한 사항이 포함되어 있어 사생활의 비밀을 침해할 우려가 있다’는 이유를 들어 비공개 결정을 내렸다.

한마디로 정보공개법이 있더라도 담당 공직자나 부처가 정당하지 않은 이유로 공개를 얼마든지 거부할 수 있으며, 법원이 정보공개법의 정신인 국정 운영의 투명성이나 국민의 알권리를 적극 옹호하러 나서지 않는 한, 이러한 부당한 거부는 별다른 규제나 처벌 없이 그대로 통용되는 것이다.

처벌 조항 삽입 시도가 있긴 있었다

우리나라 정보공개법에 처벌 조항을 넣으려는 시도가 없었던 것은 아니다. 2007년 참여정부 당시 언론 관련 정책을 조정하여 기자실 폐쇄와 ‘취재지원 시스템 선진화 방안’을 추진하면서, 이로 인해 생긴 정보 수집의 공백을 메우기 위해 정보공개법 개정을 도모한 바 있다. 행정자치부 및 법제처, 학계, 언론계, 시민단체 등 각계각층으로 구성된 ‘정보공개강화 태스크포스’는 오랜 논의를 거친 끝에 정보공개법 개정안을 만들어 냈다.

이 개정안은 당시는 물론이고 지금 기준으로 보더라도 상당히 전향적인 방안을 담고 있었다. 정보공개심의회에 외부 전문가를 절반 이상 위촉하도록 했고, 여기서 행정심판 기능을 담당하여 공개 신청 처리를 신속하고 공정하게 진행하도록 했다.

가장 획기적인 것은 처벌 조항을 도입한 것이다. 법 제29조를 신설해, 공직자가 정보를 위변조하거나 허위 내용을 공개할 경우, 또 정보를 은닉할 목적으로 비공개할 경우 금고 또는 벌금 1천만 원 이하의 처벌을 받도록 했다. 이 처벌 조항은 개정안 입안 과정에서 정부와 시민단체, 언론이 가장 크게 대립한 사안이었다.

그러나 이렇게 사회 각 분야가 총의를 모아 마련한 개정안에 대해 정부 각 부처는 다양한 이유를 들어 반발하였으며, 언론계와 시민사회의 적극적인 지지에도 불구하고 결국 시간이 지나면서 흐지부지되고 말았다.

정보공개 관련 내부 징계 방안

2007년 개정안 중 처벌 조항에 대해 정부 각 부처는 다양한 반대 의견을 내놨다. 국정원이나 국방부는 ‘실무자의 업무 수행을 위축시킨다’고 주장했고, 서울시 등 지자체는 ‘악의적 논쟁을 일으킬 소지가 있다’고 주장했다. 노동부는 ‘공개 거부에 대해 징계 요구나 감사로도 통제할 수 있다’고 주장했다.

실제로 정보공개와 관련하여 내부 규정에 징계 기준을 마련하고 이를 운영하는 공공기관들이 존재한다. 두 군데만 살펴보면 다음과 같다.

그러나 이러한 규정이 있다는 것과 이에 따라 징계가 내려진다는 것은 다른 문제다. 게다가 이러한 징계 조항이 존재한다는 것은, 거꾸로 보면 행정심판이나 행정소송으로 정보공개 판결이 내려젔음에도 일선 공공기관에서는 이를 제대로 따르지 않는다는 반증이기도 하다. 법의 불이행을 각 기관이 내부 징계로 강제하는 것의 유효성도 따져볼 일이 아닐 수 없다.

미국의 정보공개법 관련 처벌

우리보다 앞서거나 뒤처져서 정보공개법을 제정한 선진국들의 법안에는 처벌 조항이 없는 것으로 흔히 알려져 왔다. 이들 국가들은 대개 소송을 통해 정보공개를 둘러싼 갈등을 해소하려 하고 있고, 이는 우리나라와 비슷하다. 즉, [시민의 정보공개 청구 → 공공기관의 거부 → 행정 소송] 의 방식으로 불복과 재신청 과정을 보장하고 있는 것이다.

그러나 드물긴 하지만 공공정보나 공공회의를 공개하지 않을 경우 공직자를 형사 처벌하는 경우가 아주 없는 것은 아니다.

미국의 정보공개법은 연방법과 주법으로 나뉜다. FOIA(Freedom of Information Act)로 불리는 미국 정보공개법은 흔히 특정한 연방법을 말하는 것으로 이해하지만, 각 주 역시 나름의 정보공개 법안을 갖고 있다. 미국의 정보공개법은 넓은 범위에서 볼 때 이렇게 연방법과 주법을 모두 통칭한다. 연방법은 연방기관과 그 공직자를 대상으로 하는 것이지만, 주법들은 주정부 등 지방단위 기관과 그 공직자를 대상으로 하기 때문에 똑같이 중요하다.

정보공개 청구가 거부되었을 때, 연방 차원에서 가장 흔한 대응은 정부기관과 공직자를 상대로 하여 민사소송을 제기하는 것이다. 이 경우 막대한 소송 비용이 소요되며, 원고(정보공개 청구자)가 가 승소하였을 때는 피고(공직자)는 해당 정보를 공개함은 물론 소송 비용까지 지불해야 한다. 이렇게 막대한 소송 비용을 뒤집어 쓰는 것은 정부 입장에서 볼 때 상당한 부담이 되며, 이 때문에 공공기관에서 정보공개를 거부하는 일은 큰 재정적 위험 부담이 된다. 물론 정보공개 책임자인 개별 공무원에 대해 징계도 부과할 수 있다. 그러나 법률상 형사처벌의 수준에 이르는 것은 아니다.

하지만 주법으로 가면 이야기가 달라진다. 미국 많은 주는 연방 FOIA의 경우와 마찬가지로 민사소송을 제기함으로써 정부의 비공개 결정에 대응하도록 하고 있다. 역시 소송 비용이 정보공개 압력이 되는 셈이다. 한편, 소송 비용이 높다는 것은 원고(정보공개 신청자)에게도 부담이 된다. 따라서 플로리다를 비롯한 몇몇 주는 정보공개 관련 민사소송이 개시되면 소송 비용을 피소된 정부 기관이 자동으로 부담하도록 하고 있기도 하다. 다양한 방식으로 소송 비용이 정보를 공개하는 강력한 동기가 되도록 한 셈이다.

Dan4th Nicholas, “Justice sends mixed messages”, CC BY

이에 더하여 정보공개법을 어긴 공직자에 대해 형사 처벌도 가능하도록 하고 있다. 25개 이상의 주에서 민형사상 벌금 처벌 조항을 두고 있다. 벌금액은 100~1,000 달러 수준으로 다양하다. 또 7개 주에서는 정보공개법을 어긴 공직자에 대해 구류나 징역 등 신체형도 부과할 수 있다. 그 기간은 30일(아칸소)에서 1년(오클라호마, 플로리다)까지 역시 다양하다. 정보공개법 관련 교육 이수 명령을 내리기도 한다. 정보공개법의 한 분야라 할 수 있는 공공회의 공개 의무(open meeting laws)와 관련해서 42개 주는 정부가 회의 내용을 공개하지 않으면 회의 결정 사항을 무효화하는 법안이 존재하기도 한다.

그러나 이같은 형사처벌 규정에도 불구하고 실제로 주 검찰이 기소를 하러 나서는 경우는 드물고, 연방법의 경우와 마찬가지로 민사소송 제기가 흔한 형태로 나타난다. 이것은 민사소송을 제기하는 것만으로도 강력한 구제 효과가 나타나기 때문인 것으로 보인다.

정보공개를 거부한 공직자가 형사처벌된 사례

1) 1986년 오클라호마 시의원 멜빈 믹스는 공공 회의를 비공개로 진행하고 그 의사록을 공개하지 않은 혐의로 1일 구류에 처해졌다. 이는 미국에서도 정보공개법과 관련해 형사 처벌을 한 최초의 사례다. 구금 일자가 짧은 것은, 당사자가 처벌을 받게 되자 의사록을 뒤늦게 서둘러 공개했기 때문이며, 이 같은 사정은 아래에서도 비슷하다.

2) 1988년 디트로이트 시 법무담당관 도널드 페일린은 공공문서에 대한 공개 신청을 거부한 혐의로 4일 구류를 살았다. 그는 이후 문서를 공개하고 석방되었다.

3) 1999년 플로리다 시교육위원 베닛 웹은 공공 정보를 의도적으로 비공개 혐의로 30일 징역 선고받고, 그 중 일주일을 복역했다.

4) 2003년 전 플로리다 주 상원의원이자 당시 군 행정위원회 의장이던 W. D. 칠더스는 지역 재개발과 관련한 회의를 비공개로 연 혐의로 60일 징역에 처해졌고 500달러 벌금이 병과되었다. 게디가 3,600달러에 달하는 소송 비용도 물어냈다.

대법원

강제 없는 의무는 무의미하다. 중요한 국정 사안에 대해 정부가 이해할 수 없는 이유를 들어 국민의 권리인 정당한 정보공개를 거부하고, 이를 엄히 따져야 할 법원이 오히려 방치하는 상황에서, 이미 논의되어 개정안으로 입안된 바 있고 외국에서도 도입하고 있는 처벌 조항을 긍정적으로 검토해 볼 필요가 있다. 실제로 법원이 재판을 통해 공직자에게 형벌을 부과하는 일이 자주 벌어지지 않더라도, 그러한 조항이 존재하는 것만으로도 국민의 정당한 정보공개에 응해야 하는 상당한 압력으로 작용할 것이기 때문이다.

- 이 글은 지난 10월 7일 ‘투명사회를 위한 정보공개센터’ 주최로 열린 토론회 ‘정보공개의 현재와 미래를 말한다’에서 발표한 내용을 정리한 것입니다. (필자)

* 위 글은 슬로우뉴스에 게재하였습니다. (2016.10.27.)

국정원이 민간인 해킹 의혹을 풀 핵심 열쇠인 로그파일 공개를 계속 거부하고 있는 가운데, 보안 전문가들은 국정원 RCS 로그파일이 이미 위변조되었을 가능성도 있다는 견해를 밝혔다. 이에 따라 완전한 의혹 해소를 위해서는 로그파일만이 아니라 국정원 RCS의 운영체제, 즉 하드디스크까지 객관적으로 분석해 원본 파일에 조작이 있었는지 여부를 검증할 필요성이 제기되고 있다.

‘로그파일 공개’는 ‘민간인 해킹 검증’의 핵심

국정원 해킹 의혹의 본질이 국내 민간인에 대한 해킹 여부라는 것은 주지의 사실이다. 이를 판가름할 핵심 정보는 국정원 RCS 서버에 담긴 로그기록 속에 들어 있다.

이미 해킹팀 유출 자료 가운데 지난 5월과 6월 중 국정원이 요청한 악성코드의 활동이 담긴 로그기록이 26건이 확인된 바 있는데, 악성코드의 활동 일시, 접속 아이피, 단말기 모델 및 기종, 설정 언어, 미끼 URL, 감염 성공 여부까지를 확인할 수 있는 형식이었다. 이 가운데 2건은 내국인 해킹이 의심되는 기록이다.

※ 관련 데이터 : 해킹팀 서버 국정원 로그기록

사태 초기 야당은 국정원에 이 로그파일을 제출하라고 요구했다. 대국민 해킹이라는 휘발성 높은 의혹이 일었던 만큼 여당 역시 최대한 국정원이 자료를 공개하도록 협조하겠다는 입장이었다.

▲ 7월 18일 국정원 직원 임 과장 자살 현장

그러나 7월 18일 RCS 운영팀의 일원이었던 국정원 임 모 과장이 유서에 ‘일부 자료를 삭제했다’고 밝히며 스스로 목숨을 끊으면서 분위기가 바뀌었다. 야당이 자살 배경과 경위에 대한 석연치 않은 정황들을 이유로 공세를 강화하자 여당은 입장을 바꾼다. 로그파일 공개는 국가 기밀을 유출하라는 것이고 국가 안보를 무장해제하라는 것이어서, 북한만 이롭게 하는 행위라는 논리로 맞공세를 시작한 것이다.

▲ 7월 27일 국회 정보위원회에 참석한 이병호 국정원장

7월 27일 국정원은 임 과장이 삭제한 자료를 10일 만에 모두 복원했다며 국회 정보위원들에게 보고한다. 모두 51건의 해킹 시도 기록 가운데 대북·대테러 용의자를 대상으로 10건은 성공, 10건은 실패한 자료였으며, 나머지 31건은 내부 실험용 기록이었다는 것이다. 그러면서 이병호 국정원장은 자신의 직을 걸고 국내 사찰은 없었다고 강변했다. 그러나 야당은 국정원이 이른바 ‘셀프 검증’으로 ‘셀프 면죄부’를 발부하고 있다며, 객관적이고 세부적인 자료 제출 없이는 믿을 수 없다고 반발했다.

보안 전문가들의 견해는? “로그파일 이미 위변조됐을 수도”

국정원 해킹 의혹을 둘러싼 이 같은 여야 간 대치 정국을 국내외 보안 전문가들은 어떻게 바라보고 있을까. 뉴스타파가 접촉한 전문가들은 하나같이 의혹을 말끔히 해소하기 위해 필요한 것은 정치적 공방이 아니라 냉정한 기술적 접근이라고 조언했다.

우선 이들은 임 과장의 자료 삭제 문제는 큰 틀에서 볼 때 중요치 않을 수도 있다는 점을 언급했다. 내국인 사찰 여부를 가를 핵심은 어차피 로그파일인데, 해킹팀 자료 유출 이후 이미 20일 이상 흐른 시점에서 임 과장이 아닌 다른 국정원 직원이 로그파일에 손을 댔어도 이상할 것이 없기 때문이라는 것이다.

▲ 뉴스타파와 빌 마크잭의 화상 인터뷰 장면

이탈리아 해킹팀의 RCS가 전세계 21개국에서 활동하고 있음을 지난해 폭로했던 토론토대학 시티즌랩 연구원 빌 마크잭은 뉴스타파와의 화상 인터뷰에서 “로그파일은 기본적으로 텍스트 파일 형태이므로 누구라도 쉽게 편집과 삭제와 추가 등의 조작이 가능하다”며 “이런 조작이 있었는지를 디지털 포렌식 전문가조차 알 수 없게 수행하는 것도 얼마든지 가능하다”고 밝혔다.

익명을 요구한 한 국내 디지털 포렌식 전문가는 “디지털 포렌식에도 ‘골든타임’이 존재한다”면서 “해킹팀의 자료 유출 직후 국정원 RCS 서버에 담긴 로그파일을 곧바로 확보하지 않은 이상, 지금 와선 그 파일에 이미 어떤 조작이 가해졌는지를 판단하긴 어렵다”고 말했다.

▲ 김진국 플레인비트 대표와의 인터뷰 장면

이런 상태에서는 야당이 요구하는 로그파일이 공개된다 해도 의혹을 해소하기는커녕 되레 논란을 증폭시킬 수 있다는 견해도 있었다. 김진국 플레인비트 대표는 “디지털 자료는 위변조가 너무나 용이하다. 따라서 어떤 디지털 데이터의 ‘원본’이라는 것은 특정 시점에서 데이터의 특정 상태에 관해 이해 당사자 간의 상호 인정이 있을 때, 혹은 객관적 인증 절차(전자지문 등)가 있었을 때 성립하는 개념이다. 바꿔 말하면 이런 절차 없이 제시되는 디지털 자료는 이해 관계에 따라 ‘원본’이라고 주장할 수도 있고 아니라고 주장할 수도 있게 되는 것”이라고 설명했다. 즉 지금 당장 로그파일이 공개됐을 때 문제되는 내용이 없으면 여당은 ‘원본’으로 야당은 ‘조작본’으로 규정할 것이며, 문제되는 내용이 나오면 그 반대 주장이 펼쳐질 것이라는 의미다.

“로그파일 조작 여부 판단 위해 운영체제 전부 들여다 봐야”

전문가들은 이런 문제를 해결하기 위해선 로그파일만이 아니라 파일이 담겨 있던 국정원 RCS 서버의 운영체제를 모두 분석해 위변조 여부부터 판단해야 한다고 조언했다.

▲ 운영체제 검증 개념도 CG

원리는 이렇다. 만약 누군가가 로그파일 일부를 변조했다면 파일을 열고, 내용을 수정하고, 저장하고, 파일을 닫는 일련의 과정을 거쳐야 하는데 각각의 단계마다 디지털 기호 형태의 흔적이 운영체제 어딘가에 남겨진다는 것이다. 혹은 파일을 열지 않은 채로 삭제하려면 이 기능을 수행하는 소프트웨어나 프로그램이 실행되어야 하는데 이 역시 운영체제 어딘가에 흔적을 남긴다. 이런 산재한 정보들을 모두 긁어모아 분석하면, 로그파일이 위변조되기 이전의 원 정보를 복원시킬 수는 없더라도 최소한 조작이 있었다는 사실은 확정할 수 있다는 것이다.

이 파일이 만약에 어떻게 수정이 되거나 사용자가 어떤 행위를 했다, 그러면 그 시스템, 우리가 윈도우즈 컴퓨터라고 하면 컴퓨터 자체, 서버면 서버 자체, 그 디스크 자체가 전체적으로 있으면 그 안에 있는 로그파일에 어떤 임의적인 조작을 가했다 안 했다(를 알 수 습니다.) 사실 이것도 시간이 지나면 밝혀내기가 어렵습니다. 그래도 어느 정도 파일 하나만 보고 판단하는 것보다는 신빙성 있게, 신뢰성 있게 판단할 수 있죠.
– 김진국 플레인비트 대표

포렌식 분석을 제대로 하기 위해선 해킹팀의 소프트웨어가 실행됐던 국정원 컴퓨터의 원본 하드 드라이브를 확보해야 합니다. 만약 국정원이 로그파일만을 제공한다면 그것의 조작 여부를 확인할 확실한 방법은 없다고 봐야 하고요.
– 빌 마크잭 토론토대학 시티즌랩 연구원

국정원, 국민 신뢰 회복할 마지막 기회 잡을 수 있을까

지난 29일 여야는 민간 추천 전문가와 국정원 기술진의 간담회 개최에 조건부 합의했다. 이때 야당은 국정원이 RCS 데이터가 담긴 하드디스크 원본 등 6개 자료가 제출되지 않으면 합의를 파기하겠다는 뜻을 밝혔다. 이는 디지털 보안과 포렌식 전문가들이 제시한 검증 방식의 틀에 부합하는 것이다.

마찬가지로 국정원도 민간인 사찰 의혹을 근본적으로 해소하는 데 필수인 디지털 증거를 제시하는 데 주력할 필요가 있다. 특히 국정원장 직을 걸겠다고 밝힐 정도로 자신이 있다면 전문가들이 인정하는 검증 방법을 마다할 이유가 없을 것이다. 그리고 그 결정은 빠를수록 좋다. 이미 대선 개입과 간첩 증거 조작으로 국민의 신뢰를 잃은 국정원이기에 더더욱 그렇다.