저작권 침해를 바라보는 새로운 프레임

박지환(오픈넷 변호사)

남의 물건을 훔쳤는데 형사처벌은 당연한 것?

[질문] 비영리단체가 블로그 글에서 시사, 보도 목적으로 저화질의 ‘섬네일(thumbnail)’ 사진 이미지를 이용(복제)하였는데, 해당 사진의 저작권자가 복제권 침해를 이유로 비영리단체 담당자를 형사 고소하였다면 저작권법 위반으로 형사처벌 받아야 하나?

저작권을 소유권과 유사하게 이해한다면 아래와 같은 대답이 주로 나올 것으로 예상된다.

“처벌되어야 한다. 남의 물건을 훔쳤는데 형사처벌하는 것은 당연한 것 아닌가?”

 

그러나 위 질문의 답은 놀랍게도 아래와 같다.

[답] 실제 수사기관은 저작권법 상 공정이용에 해당할 수 있어 저작권 침해를 인정하기 어렵다고 판단하고 불기소처분함

(위 사례에 대해서는 링크 참조)

1. 저작권에 대한 프레임 – “소유권과 구별되는 개념”

저작권법 제35조의3은 저작물의 통상적인 이용방법과 충돌하지 아니하고 저작자의 정당한 이익을 부당하게 해하지 아니하는 경우에는 보도, 비평, 교육, 연구 등을 위하여 저작물을 이용(복제 등)할 수 있다며 저작물의 공정한 이용을 허용하고 있다. 만약 저작권을 소유권에 비유한다면 남의 저작물을 자유롭게 이용하도록 하는 저작권법의 공정이용 조항은 온전히 이해하기 어렵다.

저작권법이 보호하는 것은 인간의 사상과 감정의 ‘표현’이다. 그렇지만 내가 남의 표현을 그대로 복제한다고 해서 그 표현이 사라지거나 줄어들지 않는다. 소유권과의 차이가 극명히 드러나는 지점이다. 또한 위 사례에서 소개된 ‘공정이용’ 조항에서 드러나듯 저작권 제도는 사회적 맥락에서 저작권자와 저작물 이용자의 권리를 조화롭게 추구하고 있다. 소유권이 소유권자의 절대적인 권리만을 추구하는 것과 다른 점이다.

따라서 소유권의 개념에 기대어 저작권 침해행위를 물건을 훔치는 행위에 비유하는 것은 저작권의 배타적 요소만을 지나치게 부각하는 것으로 지양해야 한다.

2. 형사처벌에 대한 프레임 – “모든 재산상 이익의 침해에 형법이 항상 개입해야 하는 것은 아니다.”

우리 형법은 재산상의 이익의 침해에 대해서 다른 불법요소(강도, 사기, 배임 등)가 고려되는 경우가 아니면 민사상 손해배상의 문제로 남겨두고 개입하지 않는 것을 원칙으로 하고 있다. 따라서 단순히 ‘정당한 대가를 지불하지 않고 지적재산권을 이용’했다는 것만으로 손쉽게 가벌성을 인정해서는 안된다.

-전현욱, “지적재산권과 형법정책”, 경원법학 제3권 제2호(2010.8.)

[질문]의 사례에서 비영리단체의 행위로 인해 저작권자에게 재산상 이익의 침해가 발생했다고 하더라도 이는 정당한 대가를 지불하도록 하는 민사상 손해배상으로 해결 가능하다. 또한 형법이 개입하기 전에 민사적 방법으로 우선 해결되도록 하는 것이 앞서 언급한 우리 형법의 원칙에도 부합한다.

지적재산권 보호가 중요하지 않다는 이야기가 아니다. 현행 저작권법처럼 사안의 경중을 따지지 않고 모든 저작권 침해를 형사 처벌하는 것이 불변의 진리이거나 당연한 명제가 아니라는 것이다.

저작권의 재산권적인 성격이 사회적 합의에 의해 획득되었듯이, 저작권 침해의 형사 처벌 역시 사회적 합의의 결과일 뿐이다. 사회적 합의는 존중되어야 하지만 새로운 합의에 의해 변경이 가능한 부분이기도 하다.

저작권 합의금 장사 문제 해결의 ‘골든타임’ – 새로운 프레임에 대한 이해로부터

소유권과 관련된 ‘도둑’ 비유는 더 이상 저작권 침해 형사처벌을 논의하는 주된 프레임이 되어서는 안 된다. 또한 모든 재산상 이익의 침해에 대해 형법이 반드시 개입해야 한다는 생각도 불변의 진리가 아니다. 이 두 가지 프레임에서 벗어나야만 비로소 저작권 침해 형사처벌의 개선을 위한 생산적인 논의가 가능하다.

형사 고소를 활용한 저작권 합의금 장사가 다시 엄중한 사회 문제가 되었고, 경미한 저작권 침해를 비범죄화하는 ‘저작권법 개정안’이 국회 법제사법위원회에 계류되어 있는 2015년은 저작권 합의금 장사 문제를 해결할 수 있는 ‘골든타임’이다. 저작권 침해 형사처벌을 이해하는 새로운 프레임이 절실하게 요구되는 시점이다.

* 오픈넷은 총 5회에 걸쳐 과도한 저작권 합의금 요구 사례 및 입법적 해결 방안에 대한 글을 연재합니다. 위 글은 허핑턴포스트에도 동시 연재하고 있습니다. http://www.huffingtonpost.kr/open-net/story_b_7610090.html?utm_hp_ref=kr-society

고개 숙인 철구형: 우리 시대의 ‘교무실’ 방심위

글| 민노씨(슬로우뉴스 편집장)

박신서 방심위 상임위원은 “지상파 방송사처럼 사회적 책임감은 느끼라는 것은 아니지만, 내 동생이나 내 조카가 봤다면 어떻게 생각했는가”라며 “BJ라는 말에 브로드캐스팅(방송)이 들어갔으니 상당한 책임감을 갖고 가야 한다”고 지적했다.

아프리카TV 내 BJ등급 2위 ‘철구형’이 고개를 숙이며 “앞으로 직업정신을 갖고 조심히 하겠습니다”고 말했다. 직전 통신소위 모니터로 ‘철구형’의 욕설 방송 장면이 나온 직후였다. 자리에 앉은 방심위원들은 이맛살을 찌푸렸다.

박 위원은 “모니터링은 직접 하나, 본인은 어떤가”라고 물었다. 철구형은 “직원 수는 3명”이라며 “조금 창피하다”고 말끝을 흐렸다.

(…중략…)

30여분간의 의견진술 시간이 끝나고 아프리카TV 관계자들과 BJ들이 퇴장했다. 위원중 한 명이 “저렇게 예쁜 아가씨가 왜 저렇게 욕을 해?”라고 들리게 말했다. 굳었던 젊은 BJ들의 표정이 풀어졌다.

-이데일리, 아프리카TV 인기 BJ 6명 방심위 출두..사회적 책임↑ 실감 (김유성 기자, 2016년 2월 4일)

아프리카TV 인기 BJ 6명이 ‘교무실’에 끌려갔다. 무슨 일이냐고?

2016년 2월 4일 방송통신심의위원회(이하 ‘방심위’) 제11차 통신심의소위원회 임시회의가 열였다. 의견 진술자로 아프리카TV 관계자 4명과 BJ 6명이 참석했다. 장낙인 소위원장이 “위원회 역사상 의견진술 하시는 분이 10명 오신 것은 처음인 것 같고 앞으로도 없어야 한다”고 말한 것처럼, 10명이 의견을 진술하는 것은 이례적인 일이다.

 [제11차 통신심의소위원회 임시회의 회의발언내용] 중에서

위에 인용한 기사를 작성한 김유성 이데일리 기자는 공개회의에 방청자로 참여해 그날의 회의 모습을 아주 정밀하게 묘사한다. 기사에는 심의위원의 표정(“이맛살을 찌푸렸다”)과 진술자의 말투(“철구형은……말끝을 흐렸다”)까지 묘사된다. 이 묘사도 기자 개인의 주관적인 관찰에 불과하지만, 표현이 정제된 공개 회의록에서는 느낄 수 없는 현장의 느낌이 잘 살아 있다.

방심위가 뭐길래?  

우선, 방심위가 뭘 하는 곳인지 짚고 가자. 방심위는 말 그대로 방송과 통신(인터넷) 콘텐츠를 심의하는 기구다. 방심위는 법에서 금지한 ‘불법 정보’와 법으로 금지되지 않았더라도 사회 통념상 문제되는 ‘유해정보’를 심의해 이를 규제한다.

방통위(방송통신위원회)와 매우 긴밀한 관계지만, 방송광고정책, 편성평가정책, 방송채널정책과 방송용 주파수 관리 등의 업무를 총괄하는 중앙행정기구인 방통위와는 그 성격이 다르다. 거칠게 구분하면, 방심위는 민간독립기구로서 방송과 통신을 심의하고, 방통위는 행정기구로서 해당 심의내용이 제대로 구현되도록 이를 집행하는 역할을 한다.

하지만 우리 판례는 방심위의 법적 성격을 행정기관으로 본다. 따라서 방심위는 국가 심의기구, 좀 더 비판적으로 보면 국가 검열기구의 성격을 가진다. 판례는 방심위가 내리는 시정요구 결정도 행정처분으로 본다. 명시적으로 시정요구에 따를 의무는 규정되어 있지 않지만, 사실상의 강제력을 행사하고 있다는 것이다.

하는 일은 귀여운 마스코트의 모습과는 좀 딴판이다.

왜? 방심위 결정을 거부할 사업자는 대한민국에 거의 존재하지 않으니까. 그래서 방심위 의결을 사업자가 수용하는 비율은 100%에 가깝다(통계로는 97~99%). 이번 사례에 대입하면, 아프리카TV는 6명의 BJ들 계정을 “이용정지”하라는 의결을 현실적으로(사업하는 입장에서) 수용할 수밖에 없고, 그렇게 BJ는 일주일 동안 아프리카 계정의 이용을 정지당했다.

고개 숙인 철구형, “창피합니다” 

나는 기사를 읽으면서 회의록에서 부족했던 퍼즐 조각 하나를 발견하는 느낌이 들었다. ‘그 방의 분위기.’ 위 기사에서 묘사한 방심위 회의실의 분위기는 죄인을 꾸짖거나 선생이 학생을 훈계하는 공간의 느낌이다.

그 ‘죄인’ 혹은 ‘교무실에 끌려간 아이’는 아프리카TV 인기 BJ다. 1인 미디어로 각광받으며 지금까지 그토록 거리낌 없이 농담과 욕설을 쏟아냈던 ‘악동들’이다.

그들 중 한 명은 스스로 만든 방송을 심의위원과 함께 본 뒤에 “창피합니다”라고 고백한다. 또 다른 한 명은 “저는 이제 욕을 하지 않을 겁니다.”라고 다짐한다.

[제11차 통신심의소위원회 임시회의 회의발언내용] 중에서

[제11차 통신심의소위원회 임시회의 회의발언내용] 중에서

그렇게 아프리카 BJ들의 방송은 ‘교화’되고, ‘순화’됐을까. 김유성 기자의 후속 기사를 보면 그런 것 같지는 않다.

• 이데일리 – 반성無 BJ, 여전한 막말..딜레마에 빠진 방심위·업체(김유성 기자, 2016년 2월 14일)

비유하면, 학생(BJ)이 사고를 쳐서 학부모(아프리카TV)와 함께 교무실(방심위)에 끌려갔는데, 학생이 반성하는 척만 하고, 다시 비행(?)을 일삼으니 학부모와 선생이 모두 골치가 아프다는 내용이다.

그런데 궁금한 점. 과연 방심위원은 국민을 혼낼 수 있는 선생인가. 국민은, 심지어 성인이 된 자기 방송을 하는 BJ들은, 언제든 ‘꾸중 듣는 학생’이 되어 자신의 잘못을 ‘고백’해야 하는 존재인가.

Cliff, CC BY

“저렇게 예쁜 아가씨가 왜 저렇게 욕을 해?”

회의록에는 등장하지 않는 건 표정과 말투만은 아니다. 회의록에는 없지만, 김유성 기자의 기사에만 등장하는 어쩌면 가장 중요한 방심위원의 발언은 따로 있다.

“저렇게 예쁜 아가씨가 왜 저렇게 욕을 해?”

한 방심위원이 의견진술자들이 퇴장한 직후에 했다는 말이다. 김유성 기자의 기사에 따르면, 의견진술자들(BJ)이 들리도록 (크게) 말했고, 더 놀라운 건 그렇게 성 차별적 발언을 하자 “굳었던 젊은 BJ들의 표정이 풀어졌다”는 김 기자의 서술이다.

방심위원의 성 차별적 발언에 젊은 BJ들의 표정이 정말 풀어졌는지는 알 수 없다. BJ들은 ‘썩소’를 날렸는데, 김유성 기자가 그걸 “표정이 풀어졌다”고 봤는지도 알 수 없다. 그리고 알 바도 아니다. 중요한 건 방심위원이 의견진술자 중 여성을 대상으로 이런 비상식적인 성 차별 발언을 대놓고 했다는 점에 있다.

상식 있는 사람이라면 이렇게 질문해야 한다. ‘저 심의위원의 몰상식한 발언은 누가 심의해야할까?’ 정말 문제는 버젓이 저런 성 차별적 발언을 하는 이른바 ‘꼰대’가 방심위원이랍시고 자리를 차지하고^[1], 국민을 불러다 공개된 자리에서 ‘성 차별 발언’을 날리고 있다는 사실이다. 그리고 그런 모습을 보면서도 아무렇지 않게, 어떤 문제 제기도 없이, 오히려 “굳었던 젊은 BJ의 표정이 풀어졌다”는 기사가 쓰이고 있다는 사실이다.

국민을 ‘유아’ 취급하는 국가

해법은 뭘까. 전 방심위원을 역임했던 박경신 교수와 오픈넷 손지원 변호사에게 이 문제에 관한 의견을 구했다.

형사사법공조조약(MLAT) 우회 법개정을 반대하는 이유 | 한국 수사기관이 지메일까지 압수수색 할 수 있게 되나?

글 | 박경신(오픈넷 이사, 고려대 법학전문대학원 교수)

최근 통신 감시와 관련해 미국 내에서 형사사법공조조약(MLAT, Mutual Legal Assistance Treaty) 절차를 우회하는 내용의 법개정 논의가 한창이다. 형사사법공조조약이란 형사 사건의 수사, 기소, 재판, 또는 형의 집행과 관련하여 증거 자료 수집 등에 있어 국가 간의 사법공조를 규정한 조약이다. MLAT 우회 개정 제안자들은 이러한 공조절차를 거칠 것 없이, 외국 정부가 일정 수준의 인권 기준을 준수하고 있다면 미국의 정보매개자들이 그 국가의 수사기관에게 통신 내용을 직접 제공할 수 있어야 한다고 주장한다.

현재 미국 기업이 외국 정부에 직접 넘길 수 있는 정보는 메타데이터나 이용자 신원정보뿐이며, 외국 수사기관이 미국 기업이 가지고 있는 통신 내용의 압수수색을 위해서는 MLAT에 따라 미국 법무부(Department of Justice, DOJ)에 정보제공 공조요청을 해야 한다. 그런데 절차 자체도 시간이 오래 걸릴 뿐만 아니라, 구글, 페이스북, 트위터와 같은 미국 기업들에 대한 요청이 전 세계에서 쏟아지고 있어 적체된 요청 건수가 어마어마한 상황이다. 이러다보니 외국 수사기관들의 불만이 극에 달했고, 이들 나라들 중 몇은 미국 기업들에게 서버를 자국 내에 둘 것을 강요하는 등 압력(소위 “데이터 국지화”)을 가하기 시작했다. 미국 기업들 서버에 직접 압수수색이나 검열을 할 수 있도록 하기 위해서이다. 이에 MLAT을 우회할 수 있도록 미국형사소송법 및 관련 국제협정을 개정해야 한다는 주장이 나오고 있는 것이다. 하지만 “MLAT 우회” 법개정의 득실을 따져볼 필요가 있다.

1. MLAT 공조요청의 처리가 얼마나 시급한가?

현재 적체된 공조요청 중 인권 기준을 준수한 요청이 얼마나 될지 의문이다. 절차상 하자가 없다고 하더라도, 예컨대 해당 국가의 형사법에 미국의 ‘범죄 발생의 개연성(probable cause)’과 비슷한 기준이 있고 이에 따라 공조요청을 했다고 하더라도, 그 요청 자체가 본질적으로 부당할 수 있다. 만약 공조요청이 국제 인권기준에 반하는 허위사실유포죄, 모욕죄, 신성모독죄, 집회시위법위반죄, 국가보안법위반죄와 같은 범죄와 관련된 것이라면 과연 정당한 것일까? 성급히 결론을 내리기 전에, 적체된 공조요청의 일부를 무작위로 조사해 적체량을 정말로 줄여야 할 필요가 있는지를 연구해 볼 필요가 있다.

물론 요청을 적체시키기보다는 아예 거부하더라도 판단을 내려주는 편이 바람직하지만, 어찌되었든 정보제공 요청의 유형 및 본질에 비추어 볼 때 적체량을 줄이는 게 얼마나 시급한지를 판단해봐야 한다는 것이다. 물론 그 중에는 중대한 범죄 수사를 위해 매우 시급히 처리되어야 할 적법한 요청들도 당연히 있을 것이다. 하지만 이런 경우라면 MLAT을 개정하기보다는 DOJ가 요청을 우선적으로 심사해서 처리하는 방안을 고려해볼 수 있다.

2. 어떤 감시 체제에서 통신을 할지에 대한 이용자 선택권을 없애는 것이 바람직한가?

극도로 분산된 국경초월적 통신네트워크인 인터넷은 독재정권 하의 시민들이 정부의 감시와 검열을 피해 자유롭게 통신을 할 수 있는 통로가 되어 왔다. 사실 독재정권뿐만 아니라 각 나라마다 고유한 감시 및 검열 체제를 두고 있기 때문에, 그 동안 사람들은 서버의 위치 등을 고려해 어떤 체제 하에서 통신을 할지 선택할 수 있었다. 한국에서도 이메일 압수수색을 덜 받고 싶은 사람은 지메일을 사용하는 식이다. 특히 미국은 통신 감시에 있어 매우 엄격한 ‘개연성’ 기준을 두고 있기 때문에 미국의 서버가 선호되어 왔다. 그런데 만약 MLAT 절차가 없어져 외국 수사기관이 미국에 있는 서버의 정보를 쉽게 압수할 수 있다면, 미국 서버를 통신 매개체로 적극 이용하고 있는 취약한 개개인의 가장 중요한 선택권을 빼앗는 것이나 마찬가지가 된다.

사람들은 다양한 윤리적 거버넌스 환경 안에서 소통할 수 있기를 원한다. 그 스펙트럼의 한 끝에는 트위터, 페이스북, 지메일 등이 유일하게 안전한 통신수단이기 때문에 이용하고 있는 독재국가나 분쟁지역의 시민들이 있는 것이다. 한국도 예외가 아니다.

참고로 MLAT 체제 개정이 현실화되면 상호적으로 진행될 것이다. 즉 미국정보매개자들이 외국 수사기관의 요청에 직접 응하게 될 뿐 아니라 네이버나 카카오도 미국 수사기관의 요청에 응하게 될 것이다.

3. 통신 감시에 관한 헌법적 대원칙에 비추어 적법한가?

경험칙상 국민의 프라이버시나 통신에 대한 국가적 침해는 해당 국민에 대해 책임을 지는 권한 당국에 의해 심사되어야 한다. 다시 말하면 법관들은 직간접적으로 감시 대상자와 일종의 상호책임성의 관계에 있을 때만 대상자의 프라이버시 침해 허용 여부를 결정할 권한이 있다. 한국에서 벌어지는 압수수색에 대해 유효한 영장을 발부하는 사람은 한국 사람들의 프라이버시 침해에 대해 관심과 배려를 가진 한국의 판사여야 하는 것이지 한국 사람들의 프라이버시 침해에 아무런 관계가 없는 외국 판사일 수는 없는 것이다. 따라서 한국인에 대한 감시·검열 요청은 한국 법원에서 심사해야 하며, 미국인에 대한 요청은 당연히 미국 법원에서 심사해야 한다. 예컨대 미국 서버에 저장된 한국인 이용자의 정보에 대한 감시·검열은 이용자와 서버운영자의 프라이버시를 모두 침해하므로 양쪽 다 영장을 받는 것이 옳고 MLAT은 이러한 정보의 제공요청이 한국과 미국의 사법체계를 모두 거치도록 한다는 점에서 이상적이다. 그런데 MLAT을 우회할 수 있게 되면, 한국 법원이 실리콘밸리에 있는 회사가 보관하고 있는 한국인 이용자의 정보를 한국 수사기관에게 제공할지 여부를 판단할 수 있게 된다(여기에는 다국적 정보매개자가 이용자를 국적에 의해 차별해도 되는지에 관련된 까다로운 의문점들이 산적해있다!). 이를 확대하면, 한국 법원이 애플에게 한국인 피의자가 미국 여행 중 분실한 아이폰의 잠금해제를 직접 명령하는 것이 가능해진다. 반대로는 미국 법원이 네이버가 보관하고 있는 미국인의 정보를 FBI에 넘기라고 직접 명령할 수 있는 것이다. 과연 자국 기업이 외국의 통신감시법을 직접 적용받도록 하는 게 적법하다고 볼 수 있을까?

4. 데이터 국지화 압력을 막을 수 있는가?

MLAT 개정의 가장 중요한 필요성은 외국 정부들의 미국 기업에 대한 데이터 국지화(data localization) 압력을 막는 데 있다고 한다. 하지만 데이터 국지화를 요구하는 국가들은 MLAT 공조요청의 적체현상에 대한 고려를 초월한 목적이 있기 때문에, 공조요청이 신속하게 처리된다고 해서 데이터 국지화를 포기하진 않을 것이다. 지난 2월만 해도 중국은 모든 디지털 콘텐츠의 온라인 출판에 적용되는 네트워크출판서비스관리규정(网络出版服务管理规定)을 공포했다. 출판서비스의 서버 등을 반드시 중국 국내에 설치·운영할 것을 규정한 이 법안의 도입 취지는 명백하게 중국인들이 접하는 콘텐츠에 대한 검열과 감시를 강화하기 위함이다. 그런데 만약 미국이 공조요청을 빨리 처리해줬다면 중국이 이런 법을 제정하지 않았을 것인가?

이런 맥락에서, 데이터 국지화의 흐름을 막기 위한 방안으로서의 MLAT 개정이 얼마나 실현가능성이 있는지 따져보아야 한다. 인권을 유린하는 정부라면 말 그대로 인권 기준 준수 따위에는 전혀 관심이 없을 것이다. 그리고 당연히 적법절차에 따라 증거를 수집해야 한다는 의식도 없을 것이다. 재판 받을 권리조차 제대로 보장하지 않는 나라가 미국 기업이 가지고 있는 증거를 적법하고 신속하게 제공받기 위해 형사법체계를 개선할 리가 없는 것이다. 이러한 이유에서 MLAT 개정을 지지한다면 너무 순진하다고 할 수밖에 없다.

5. MLAT 우회 개정에는 프라이버시 옹호자들을 위한 당근이 하나 있긴 하지만…

이 당근은 정보매개자들이 메타데이터를 외국 정부에 자유롭게 넘기지 못하도록 미국법 SCA 2702조를 개정하는 안이다(현재는 메타데이터를 자유롭게 넘기도록 되어 있지만 ‘MLAT 우회’개정이 이루어지면 정보매개자들은 해당 정부가 일정 수준의 국제 인권 기준을 준수하거나 일정한 절차를 거친 요청의 경우에만 메타데이터를 제공할 수 있게 된다. 현재 미국의 메타데이터 관련 규제는 미국 정부에만 적용되고 외국 정부에는 적용되지 않는다).

이 문제는 외국 정부와의 합의로 해결할 것이 아니라 미국 정부가 국내에서 알아서 하면 될 일이다. 참고로 한국의 통신비밀보호법에 의하면 한국의 정보매개자는 통신의 내용이든 메타데이터(통신사실확인자료)든, 한국 법원에서 발부한 영장 제시가 없으면 외국 정부를 포함해 누구에게도 제공해서는 안 된다.

결론적으로, 우리는 현재의 MLAT 제도가 가지고 있는 인권적 가치를 고려해야 한다. 예컨대 독재정권 하에서 고통받는 사람들과 같은 이용자들에게 감시·검열 환경의 선택권을 제공한다는 점, 또 인권 기준에 맞지 않는 요청 또는 범죄가 아닌 사안에 대한 요청을 사실상 저지하는 효과가 있는 점 등이다. 그리고 현재 MLAT이 가진 가치를 MLAT 우회 개정의 덕을 보기 위해 외국 정부가 자국의 실체적 또는 절차적 형사법을 개선할 가능성과 비교해야 할 것이다. 이렇게 따져본다면 MLAT 우회 개정은 잃을 것이 더 많다고 하지 않을 수 없다.

* 위 글은 허핑턴포스트코리아에 기고한 글입니다. (2016.05.12.)

“공인” 인증 강박의 추억 떠올리는 정보보호관리체계(ISMS) 인증

- ‘NH농협’, ‘아시아나 항공’ 등 개인정보유출기업 다수가 ISMS 인증 받아 실효성도 의문

2015년 12월 개정되어 올해 6월 2일부터 시행중인 “개정 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’)”은 ISMS 인증 의무 대상을 의료기관, 학교 등 비영리기관으로 확대하고 과태료 규정을 강화했다. 하지만 ISMS 인증은 전자금융거래법 개정으로 폐지된 공인인증서 강제 사례처럼 정부가 인증한다는 “공인”이라는 꼬리표를 달고 있어 이른바 관치 보안의 폐해를 반복할 우려가 크다. 공인인증서 사용 강제의 폐해를 반면교사로 삼아 정부가 주도하여 인증 자체에 직접 관여하는 정책을 전면 수정해야 한다.

2001년 도입되어 2013년 의무화된 정보보호 관리체계(ISMS, Information Security Management System) 인증 제도는 기업(조직)이 각종 위협으로부터 주요 정보자산을 보호하기 위해 수립ㆍ관리ㆍ운영하는 종합적인 체계의 적합성에 대해 인증을 부여하는 제도로서 한국인터넷진흥원(KISA)이 관리하고 있다. 그동안은 정보통신망서비스 제공사업자(ISP), 집적정보통신시설 사업자(IDC), 그리고 정보통신서비스 제공자 등 주로ICT 기업 중에서 일정 규모(전년도 매출액 100억원 이상 또는 3개월간 일일평균 이용자 수 100만명 이상) 이상의 기업이 의무 대상이었는데, 작년 12월 정보통신망법 개정으로 세입이 1,500억 이상인 의료법상 상급종합병원 및 고등교육법상 재학생수 1만명 이상인 학교로 ISMS 인증 의무 대상이 확대된 것이다. 또한 의무 대상자 중 미인증 사업자에 대한 과태료도 현행 1000만원에서 3000만원으로 상향되었다.

관치 보안의 문제는 이미 오픈넷이 오랫동안 비판해 온 공인인증서 사례에서 여실히 드러났다. 즉, 정부가 “공인”한다는 정부 주도 인증 문제의 핵심은 민간 전문가들이 주도하는 기술이나 인증 제도의 발전을 저해한다는 점이고, 이는 실제 인증되는 내용이나 실질과 무관하게 국가가 인증한다는 취지의 “공인”이라는 어휘 자체에서 그대로 드러난다.

우선 정부가 고도의 전문성이 요구되는 ISMS 인증 제도를 제대로 운영할 수 있는지부터 의문이다. 실제로 2014년 국정감사에서 ISMS 인증을 받은 254개의 기업 중 정보유출 사고가 무려 30개 기업에서 발생하였다는 점이 드러난 바 있고, 여기에는 사회적 파장이 큰 NH농협이나 KT 등 개인정보나 개인신용정보가 다수 집적된 기업이 포함되어 있다. 불과 며칠 전에는 ISMS 인증을 받은 아시아나 항공의 웹사이트에서 이용자들의 개인정보가 무방비로 노출될 수 있는 시스템 오류가 발견되기도 했다. 날로 발전하는 정보통신 환경에서 정보보호체계 내지 보안시스템의 구축은 그 어느 때보다도 중요하지만, ISMS 인증처럼 정부가 최종 인증 권한 자체를 보유하고 운용하는 제도는 부작용이 훨씬 크다. 급변하는 보안 시장과 하루가 다르게 발전하는 기술을 정부와 보수적인 규제가 따라가거나 앞서가기를 바랄 수 없기 때문이다.

한편 금융사가 이용자에게 공인인증서 등의 사용을 강제한 경우 금융사고 발생시 금융사 면책을 용이하게 하는 문제가 있었다. 이와 같이 ISMS 인증을 받았음에도 보안 사고가 발생한 경우, 반대로 정부의 “공인”된 인증을 받았다는 사실만으로 쉽게 면책을 받게 된다면 그 피해가 고스란히 이용자에게 전가될 우려가 있다. 또한 공인인증서 커넥션 처럼 ISMS인증이 ”공인” 인증 체제를 유지하는 이상 담당 부처와 심사기관을 중심으로 하는 카르텔이 형성되어 제도를 더욱 공고히 할 우려도 지우기 어렵다.

이처럼 정부가 최종 인증 권한을 보유하고 내용 심사를 주도하는 이른바 “공인” 인증의 강제는 우리나라에만 존재하는 갈라파고스 규제로, 스타트업이나 중소기업에게는 진입장벽이 될 뿐만 아니라 국내 기업에게만 이중, 삼중의 부담을 안겨 역차별을 초래한다. 미국, 캐나다 등 IT 선진국 중에 국가가 주도하여 보안 인증을 강제하는 나라는 찾기 어려우며, 이들 국가에서는 민간 전문가들이 참여하여 국제적으로 공신력을 획득한 ISO 27001, PCI-DSS 등의 인증을 이용한다. 물론 현 정보통신망법에서 ‘국제표준 정보보호 인증’, 즉 ISO 27001을 받은 경우에는 인증 심사의 “일부”를 생략할 수 있다고 하여 부담을 덜어준 것 같아 보이나, ISMS 인증의 대체를 인정한 게 아니기 때문에 결과적으론 달라진 게 없다. 정부가 주도하는 ISMS 인증이 ISO 27001 보다 특별히 더 우수하다는 점도 밝혀진 바 없으며, 오히려 인증의 품질에 대해 지적하는 목소리도 있다.

더욱이 ISMS 인증은 통상 준비부터 인증까지 약 6개월 이상이 소요되고, 인증 신청을 위해서도 최소 2개월 이상의 운영 기간이 필요하다. 게다가 ISMS 인증 비용만으로도 최소 수천만원에서 수억원이 들어간다. 그런데 해외진출을 꿈꾸는 ICT 기업들은 국내에서만 인정되는 ISMS 인증 보다는 국제적인 보안 인증을 선호할 수밖에 없고, 결국 중복적으로 인증을 받아야 하는 것이 현실이다.

정부 주도의 “공인” 인증 강박의 추억은 공인인증서 사례에서 이미 충분히 경험하지 않았는가? 정부는 인증 권한을 민간 전문가에게 양보하고 사후적 관리자의 역할만 수행하는 민간 주도의 보안 인증 제도로의 개선을 촉구한다.

2016년 7월 19일

사단법인 오픈넷

 * 관련 논평: 개정 전자금융거래법 국회 본회의 통과를 환영하며 금융당국의 기술중립, 사후규제 원칙 구현을 촉구한다.

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

카카오가 페이스북보다 잘한 한 가지

카카오, 페이스북 보다 이용자 권리를 가장 잘 보호하는 기업으로 평가 받아

글 | 김가연(오픈넷 변호사)

지난 11월 3일 월요일, RDR(Ranking Digital Rights) 프로젝트는 2015 기업책임지수(Corporate Accountability Index)를 온라인에 공개했다. 이번에 처음으로 발표된 기업책임지수는 인터넷·통신 기업이 이용자의 표현의 자유와 프라이버시를 보호하기 위해 얼마나 노력하는지를 평가해 객관적인 수치로 보여주고 한 최초의 시도로서 의미가 크다.이번 지수 산정을 위해 전 세계 수십억 명의 디지털라이프에 큰 영향을 미치는 총 16개 기업에 대한 평가가 이루어졌다. 지리적 요소 및 다양성, 이용자 기반, 기업 규모, 시장 점유율 등을 포함한 다양한 요소들에 의해 인터넷 기업 8개사와 통신 기업 8개사가 선정되었다. 인터넷 기업 8개사 중 5개사가 미국 기업이었으며, 그 외의 지역에서는 한국의 카카오, 중국의 텐센트, 러시아의 Mail.ru가 선정되었는데, 카카오가 세계적인 인터넷 기업들과 어깨를 나란히 하게 된 것은 한국의 인터넷 환경에 대한 국제적 관심을 여실히 보여준다.

이렇게 선정된 16개 기업들은 헌신(Commitment), 표현의 자유(Freedom of expression), 프라이버시(Privacy) 세 개의 분야에 걸친 31개의 지표에 의해 평가되었다. 동 지표들은 국제인권법 체계와 프라이버시 및 표현의 자유에 관한 최신 국제 원칙들을 바탕으로 만들어졌으며, 각 지표는 다시 100여개의 세부 평가요소로 나뉘어 각 지표의 모든 세부 평가요소를 만족시켜야만 해당 지표에 대해 만점(full credit)을 주는 방식으로 매우 까다롭게 심사가 이루어졌다.

RDR에 의하면, 상당수의 기업이 이용자의 권리에 영향을 미치는 자사 정책에 대해 투명하게 공개하지 않았다. 또한 높은 순위를 차지한 기업들조차도 일부 지표에서는 아예 점수를 받지 못했으며, 이사급(board) 전반에서 이용자의 표현의 자유와 프라이버시의 보호에 대한 고려를 대외적으로 언급하는 경우가 거의 없는 것으로 나타났다. 총 득점 가능한 점수 중 최소 50% 이상을 득점한 기업은 6개사 밖에 없었고, 최고 점수는 겨우 65%로 우수하다고 하기 어려우며, 거의 반 이상의 기업이 25% 이하의 점수를 받아 이용자의 권리를 거의 고려하지 않고 있음이 드러났다.

인터넷 기업 중에서는 구글(65%), 통신사 중에서는 영국 회사인 보다폰(54%)이 가장 높은 점수를 받았다. 카카오는 47%를 받아 인터넷 기업 중에서는 트위터(50%) 다음으로 5위, 전체 16개사 중에서는 7위를 해, 미국(구글, 야후, 마이크로소프트, 트위터, AT&T)과 영국(보다폰) 기업을 제외하면 이용자 권리를 가장 잘 보호하는 기업으로 평가받았다. 카카오의 경우 다음 한메일, 다음 검색, 카카오톡 세 가지 서비스에 대해 평가가 이루어졌는데, 전반적으로 프라이버시(42%, 16개사 중 7위) 보다 표현의 자유(59%, 16개사 중 2위) 보호 점수가 월등하게 높았다. 또한 비서구권 기업 중에서 표현의 자유 및 프라이버시에 대한 헌신 정도와 정보 공개 수준이 눈에 띄게 높았고, 31개의 지표 중 8개의 지표(F2, F3, F4, F8, P2, P3, P4, P13)에서는 전체 1위를 차지했다.

이렇게 카카오가 전반적으로 선전할 수 있었던 이유는 올해 1월부터 발표한 투명성 보고서의 힘이 컸다고 보인다. RDR은 “한국의 인터넷은 지난 10월 발표된 프리덤하우스의 2015년 인터넷 자유 지수에서 ‘부분적 자유(partly free)’로 분류되었지만, 강한 시민사회와 활발한 언론, 그리고 경쟁적인 정치 체계로 인해 국민이 특히 감시 분야에 있어 정부와 기업의 보다 높은 투명성을 요구”하게 되었다고 평가했다.

RDR 프로젝트의 총괄책임자인 레베카 맥키넌(Rebecca McKinnon)은 “순위를 전반적으로 보면 승자는 없는 게 분명하다”면서, “우리의 희망은 이 지수가 기업 투명성을 높이는 계기가 되어 결과적으로 이용자들이 충분한 정보를 바탕으로 서비스를 선택할 수 있도록 힘을 실어주는 것”이라고 프로젝트의 취지를 설명했다. 또한 지난 11월 9일 있었던 IGF 2015 RDR 세션에서는 카카오에 대해 “매우 잘 하고 있다”고 언급하면서, 앞으로 카카오와 같이 국제적으로는 잘 알려지지 않지만 영향력 있는 기업들을 더 많이 포함시킬 계획이라고 밝혔다.

이번 연구에는 오픈넷의 김가연 변호사가 객원연구원으로 참여했다.

* 위 글은 씨넷코리아에 기고한 글입니다. (2015.11.25.)