이통3사 개인정보 열람 실태 연구 참가자를 찾습니다!

오픈넷은 캐나다 토론토대학교의 시티즌랩과 함께 “AMI(Access My Info)” 연구를 진행하고 있습니다. AMI는 통신회사들이 이용자에 대한 어떤 정보를, 얼마나, 어떤 목적에 의해 보유하고 있으며, 이러한 내용을 얼마나 공개하는지를 연구하는 프로젝트입니다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제30조 제2항에 의하면 이용자는 이통사가 가지고 있는 자신의 개인정보에 대한 열람을 요구할 수 있으며, 이통사는 요구에 지체 없이 응해야 합니다. 이통사가 이용자의 열람 요구에 응하지 않을 경우 3천만원 이하의 과태료가 부과될 수 있습니다(제76조 제1항 제5호).

제30조(이용자의 권리 등) ② 이용자는 정보통신서비스 제공자등에 대하여 본인에 관한 다음 각 호의 어느 하나의 사항에 대한 열람이나 제공을 요구할 수 있고 오류가 있는 경우에는 그 정정을 요구할 수 있다.
1. 정보통신서비스 제공자등이 가지고 있는 이용자의 개인정보
2. 정보통신서비스 제공자등이 이용자의 개인정보를 이용하거나 제3자에게 제공한 현황
3. 정보통신서비스 제공자등에게 개인정보 수집·이용·제공 등의 동의를 한 현황
④ 정보통신서비스 제공자등은 제2항에 따라 열람 또는 제공을 요구받으면 지체 없이 필요한 조치를 하여야 한다.

이통 3사의 개인정보취급방침(SKT, KT, LGU+)에 의하면 이통사들은 이용자의 성명, 생년월일, 주민등록번호부터 시작해 계좌정보, 개인위치정보, 수발신내역, 접속 IP 정보 등 매우 다양한 정보를 수집하고 있습니다. 이번 연구는 국내 이통사들이 이용자에 대한 얼마나 많은 정보를 수집하고 보유하고 있으며 이런 정보를 어떻게 활용하고 있는지를 파악할 수 있는 좋은 실험이 될 것입니다.

오픈넷은 아래와 같이 AMI 연구 참가자를 찾고 있으니 많은 관심 바랍니다.

■ 모집대상
◦ SKT, KT, LGU+에 가입되어 있는 이용자 누구나

■ 모집인원
◦ 각 이통사별로 0명
※ 참가자에게는 소정의 연구비가 지급될 예정

■ 모집방법
◦ 1월 24일까지 선착순 마감

■ 참가자 역할
◦ 1월 26-29일 사이에 이용하고 있는 이통사에 개인정보 열람 요청
◦ 이통사로부터 답변 오는대로 오픈넷과 공유

AMI 연구 참가 신청하기>>http://goo.gl/forms/93FeS4sS1Q

문의: 오픈넷 사무국 02-581-1643, [email protected]

법원 따라 엇갈린 판결?

작년 6월 음란 동영상을 파일공유 사이트에 올렸다가 저작권법 위반으로 기소된 40대 회사원에게 벌금 300만원을 확정한 대법원 판결(2011도10872 판결)이 있었다. 당시 메르스가 언론을 도배하다시피 하였지만 음란 동영상에 대한 뜨거운 관심을 반영하듯 이 판결을 소개하는 기사들이 잇따랐다(로이슈 기사, 법률신문 뉴스, 연합뉴스 기사). 대법원 판결로 이제 음란물의 저작권 보호 논쟁은 종지부를 찍는 것 같았다. 하지만 그 후 서울중앙지방법원과 수원지방법원(성남지원)은 음란물에 대한 저작권 주장을 기각했다(MBC 뉴스, 연합뉴스 기사). 이와 달리 부산지방법원은 동일한 음란물 제작사(일본 성인물 제작사 15개와 국내 업체인 ‘티씨알씨앤엠’)의 저작권 주장을 인정했다(JTBC 뉴스, 뉴스타운 기사). 어떻게 된 일일까?

그 동안 음란물의 저작권 문제는 형사사건에서 주로 다루어졌다. 민사소송은 작년에 시작되었다. 일본 성인물 제작사들의 일종의 기획소송으로 시작된 민사소송은 현재 3건이 계류 중이다(서울, 성남, 부산). 과거에는 음란 동영상을 파일 공유사이트에 무단으로 올린 개인들을 형사고소했으나 검찰이 불기소 각하 하자, 이번에는 파일공유 사이트 운영자를 상대로 음란 동영상 유통금지를 구하는 가처분 소송을 제기했다. 일본 음란물 제작사가 저작권을 근거로 제기한 첫 민사소송이다. 이들은 대만에 이어 우리나라에서 적극적 소송 전략을 구사하고 있는데, 소송을 주도하고 있는 IIPA(일본 동영상 제작사들이 만든 협회)는 이를 “시장정상화”라고 부른다. 음란물의 무단 공유를 막아 제대로 수익을 내보자는 것이다.

지방법원들이 서로 다른 판단을 내린 이유는 음란물이 저작물인지 아닌지를 다르게 보았기 때문이 아니라 당사자의 대응이 달랐기 때문이다. 부산지방법원이 일본 음란물 제작사의 손을 들어준 것은 파일공유 사이트 운영자가 음란물의 저작권 여부에 대해서는 다투지 않겠다고 하였기 때문이다(이의신청 후에는 다투기 시작했지만 재판부는 결론을 바꾸지 않았다). 반면, 음란물의 저작권 보호를 적극적으로 다투었던 서울중앙지법과 수원지법 사건에서 법원은 비록 음란물도 저작물에 해당할 여지는 있으나 형법상 유통이 금지되는 음란 동영상을 제작한 자에게 적극적인 유통 권한까지 인정할 수 없고 음란물 유통을 통한 경제적 이익의 보전을 목적으로 하는 가처분신청은 인정할 수 없다고 판단했다(3건 모두 항소심이 진행 중이다).

하등의 문학적, 학술적, 예술적 가치가 없으면 저작물이 아니다

그럼 음란물의 저작물성은 일단 인정하고 음란물 저작권자의 권리행사만 제한하는 것이 과연 옳을까? 먼저 “음란”이 도대체 무엇인지 따져보자. 음란의 개념은 사람마다 다르고 시대에 따라 변한다. 포르노, 야동, 성인물, 성적표현물, 도색 잡지 등으로 표현되는 음란의 개념이 이처럼 불명확하다면 음란물을 만들거나 유통하는 자를 형사처벌하기 어렵다. 형벌 법규의 명확성 원칙에 어긋나기 때문이다. 하지만 우리 대법원과 헌법재판소는 형사처벌의 대상이 되는 “음란”의 개념은 명확하다고 수도 없이 확인해주었다. 법원이 제시한 것은 이른바 “엄격한 의미의 음란” 개념이다.

헌법재판소: “음란이란 인간존엄 내지 인간성을 왜곡하는 노골적이고 적나라한 성표현으로서 오로지 성적 흥미에만 호소할 뿐 전체적으로 보아 하등의 문학적, 예술적, 과학적 또는 정치적 가치를 지니지 않은 것” … “일단 표출되면 그 해악이 처음부터 해소될 수 없거나 또는 너무나 심대한 해악을 지닌 음란표현”

대법원: “사회통념상 일반 보통인의 성욕을 자극하여 성적 흥분을 유발하고 정상적인 성적 수치심을 해하여 성적 도의관념에 반하는 것으로서, 표현물을 전체적으로 관찰·평가해 볼 때 단순히 저속하다거나 문란한 느낌을 준다는 정도를 넘어서서 존중·보호되어야 할 인격을 갖춘 존재인 사람의 존엄성과 가치를 심각하게 훼손·왜곡하였다고 평가할 수 있을 정도로 노골적인 방법에 의하여 성적 부위나 행위를 적나라하게 표현 또는 묘사한 것으로서, 사회통념에 비추어 전적으로 또는 지배적으로 성적 흥미에만 호소하고 하등의 문학적·예술적·사상적·과학적·의학적·교육적 가치를 지니지 아니하는 것을 뜻한다고 볼 것”

정말 엄격한 기준이다(하지만 실제로 법원이 음란하다고 판단한 것들을 보면 이 잣대가 현실에서는 느슨하게 적용되는 것은 아닌지 의문이다). 문제는 “음란” 개념을 이렇게 정의하면 음란물은 저작물이 되기 어렵다. 왜냐하면 저작권법은 문화 예술 분야의 창작적 표현을 보호하는 법이기 때문이다. “하등의” 문화적, 예술적 가치가 없는 것이 음란물이라고 정의한 다음, 음란물도 저작물이라고 본다면 논리모순인 셈이다.

음란물의 저작물성을 맨 처음 인정했다고 하는 대법원 판결도 문학, 학술 또는 예술의 범위에 속할 것을 전제로 하고 있다(대법원 1990. 10. 23. 선고 90 다카 8845 판결: “저작권법의 보호대상인 저작물이라 함은 사상 또는 감정을 창작적으로 표현한 것으로서 문학, 학술 또는 예술의 범위에 속하는 것이면 되고, 윤리성 여하는 문제되지 아니하므로, 설사 그 내용 중에 부도덕하거나 위법한 부분이 포함되어 있다 하더라도 저작권법상 저작물로 보호된다”). 아무런 가치도 없는, 심지어 한번 표현되면 그 해악을 해소할 수 없는 표현물까지 보호한다면 저작권법은 저작권법이 아니라 그냥 표현물 보호법으로 전락할 것이다. 음란물 저작권 논쟁을 보면서 필자가 우려하는 것은 바로 저작권 최대주의의 그림자다. 미국에서 특허 대상을 무한정 확대할 당시(생명체와 소프트웨어 대한 특허 확대) 내세운 논리가 바로 “태양 아래 사람이 만든 모든 것이 특허될 수 있다“는 것인데, 저작권도 사람이 표현한 모든 것을 보호한다(또는 보호해야 한다)는 논리가 음란물의 저작권 논쟁에 깔려 있다.

음란물의 저작물성을 찬성하는 사람들은 이 부분을 별로 주목하지 않는다. 저작물의 윤리성 문제 즉, 내용에 대해서는 저작권법이 중립적이어야 한다며 그냥 넘어 간다. 그리고 음란한 표현물의 저작권 보호를 부정하는 것이 곧 음란물에 대한 표현의 자유를 제한할 수 있다고 우려한다. 내용을 따지기 시작하면 복잡한 문제가 생긴다. 며칠 전 검찰이 이적표현물에 대한 저작권 보호를 거부한 적이 있는데, 타인의 명예를 훼손하거나 개인정보를 무단 도용한 표현, 국가의 전복을 꾀하는 선동적인 표현물은 저작권 보호에서 제외해야 하는가? 컴퓨터 프로그램도 저작물인데 그럼 컴퓨터 바이러스나 악성 코드는 저작권 보호를 받을 수 없어야 하나? 하지만 이런 예시와는 달리 “음란”은 이미 우리 법원에서 엄격한 기준을 만들면서 문학, 학술 또는 예술의 대상에서 완전히 제외해 버렸기 때문에, 다른 접근이 필요하다.

우리 법원의 “엄격한 의미의 음란”은 가령 미국의 “음란” 기준(이른바 Miller 기준)과 다르다(미국법원은 1979년 Mitchell 판결부터 음란물도 저작물로 인정하고 있다). Miller 기준은 작품이 전체적으로 “진지한 문학적, 예술적, 정치적 또는 과학적 가치(serious literary, artistic, political, or scientific value)”가 없는 것을 음란으로 본다. 우리 법원의 “하등의 가치가 없는 것“과 미국 법원의 “진지한 가치가 없는 것“만 비교해 봐도, 음란물의 저작권 문제는 최소한 미국과는 다르게 접근해야 한다.

법의 목적과 취지를 통찰한 해석론이 필요하다

저작권법은 저작자의 권리 보호뿐만 아니라 저작물의 사회적 이용을 도모하는 것이 목적이다. 하지만 음란물은 이 취지에 맞지 않다. 저작권 제도는 저작물의 사회적 이용을 도모하기 위해 보호기간이 끝나면 저작물을 누구나 자유롭게 이용할 수 있도록 하고, 보호기간이 경과하지 않은 경우에도 권리를 제한한다. 예를 들어 사적이용을 위해서는 권리자의 허락을 받지 않고 저작물을 복제할 수 있고, 시사보도를 위해서는 저작물을 인터넷으로 전송까지 할 수 있으며, 비영리 공연이나 방송에서도 타인의 저작물을 그냥 이용할 수 있다. 이러한 권리제한은 음란 저작물과는 맞지 않다.

음란물에 대해 저작권을 인정하면 음란물의 유통을 막을 수 있다는 주장도 있다. 음란물 저작권자가 무단 유통을 발벗고 나서서 막으면 오히려 음란물을 근절할 수 있지 않느냐는 것이다. 하지만 이 주장은 저작권 보호의 논거와 맞지 않다. 저작권 제도는 과소생산(under-production)과 과다소비(over-consumption) 문제를 해소하려는 것이다. 과소생산과 과다소비가 문제인 이유는 무엇일까? 저작권 제도는 과소생산을 무임승차(free riding) 때문으로 본다. 창작물에 대한 보호가 없으면 적은 비용으로 경쟁자가 무임승차하기 때문에 창작물에 대한 투자가 줄어들고 그래서 사회적으로 필요한 수준 이하로 창작물이 생산되는 과소생산의 문제가 생긴다. 과다소비는 창작물의 공유재적 성격 때문이다. 창작물은 정보재이기 때문에 소비의 비경합성(non-rivality)이란 특징을 갖는다. 소비의 비경합성이란 가령 나의 소비가 다른 사람의 소비와 경합하지 않는다는 말이다. 내가 아이스크림을 먹으면 다른 사람은 먹을 수 없다. 나의 소비가 다른 사람의 소비와 경합한다. 하지만 아이스크림 송(LG전자가 만든 ‘아이스크림 폰’을 광고하면서 김태희가 불렀던 노래)은 내가 부른다고 다른 사람이 못부를 이유가 없다. 서로 경합하지 않는다. 창작물이 이런 식이다. 그래서 창작물은 일단 알려지고 나면 누구나 자유롭게 소비할 수 있는 과다소비가 발생한다. 저작권 제도는 창작자에게 독점배타권을 부여하여 과소생산의 문제와 과다소비 문제를 모두 해소하려고 한다. 그런데 이런 논거는 음란물에는 적용되지 않는다. 음란물은 생산 그 자체를 억제해야하는 것이지 과소생산 문제를 해결할 대상이 아니기 때문이다.

음란물의 저작권 문제는 우리 사회가 저작권 제도를 왜 유지하고 있는지에 관한 근본적인 질문을 던지고 있다. 문학적, 예술적, 학문적 가치가 하나도 없다는 “음란” 개념을 그대로 유지하면서 음란물을 저작권으로 보호하겠다는 법원의 논리모순부터 바로 잡아야 한다.

개인영상정보보호법 제정안은 통제 없는 CCTV 감시국가로 가겠다는 것

- 행정자치부의 개인영상정보보호법 제정안은 원점에서 재검토되어야

- 개인영상정보보호법의 핵심은 “통합관제센터”의 법적 근거 마련
- 통제 없는 전방위적 “통합관제”로 CCTV 감시국가로 가겠다는 것
- 설치 전후 이해당사자 의견수렴, 내부자 통제, 녹음 정보 관리 등 통합관제센터에 대한 독립적 감시, 통제수단 전무 및 영장주의, 통신비밀보호법 우회 우려
- 개인정보보호위원회의 역할 전무 – 제정안과 무관하게 개인정보보호위원회의 통합관제센터 설치 및 운영에 대한 강력한 통제 필요

2016년 12월 29일 오픈넷은 행정자치부가 마련하여 현재 입법예고 중인 개인영상정보보호법 제정안(이하 ”제정안”)에 대하여 아래와 같이 반대의견을 제시한다.

제정안의 핵심은 “통합관제센터” 법적 근거 마련

현재 제정안은 제정이유를 “모든 영상정보처리기기로부터 국민의 권리와 이익을 보장”하는 것으로 설명하고 있고 행정차치부가 이 부분만을 강조하고 있어 일반 시민들은 제정안이 “드론”이나 “블랙박스”등 이동형 영상정보처리기기로부터 개인정보자기결정권 보호를 강화하는 법안으로 오해하기 쉽다.

그러나 제정안의 핵심은 현재 개인정보보호법 위반 논란이 끊이지 않는 “통합관제센터” 설치 및 운영에 구체적인 법적 근거를 마련하기 위한 것임에도 이에 대한 논의가 전혀 이루어지지 않고 있다는 데에 문제의 심각성이 있다.

지난 2016년 12월 21일(수) 행정자치부가 주관한 입법 공청회에서 오픈넷은 제정안의 통합관제센터 부분은 CCTV를 이용한 전방위적 감시체제를 합법화시킬 우려가 크다는 의견을 피력한 바 있으며, 같은 취지로 입법예고에 대한 의견서를 제출할 예정이다.

통제 없는 전방위적 “통합관제”로 CCTV 감시국가로 가겠다는 것

제정안은 개인정보보호법에 없는 개인(영상)정보의 “통합관제”라는 개념을 창설하면서 다른 목적으로 수집되는 영상정보를 수집된 목적 외로 활용하는 행위에 법적인 근거를 부여하고 있다. 이는 정의조항 그 자체로 개인정보보호원칙 중 “목적구속성”원칙을 심각하게 훼손할 우려가 크며, 제정안의 허술한 내부 통제 규정과 맞물려 수사기관 등에 의한 CCTV 감시를 묵인하는 수단으로 악용될 소지가 매우 크다.

현재 조례에 의해 지방자치단체가 설치, 운영 중인 통합관제센터는 상당수 경찰과 민간단체가 법적 근거 없이 상시 관제하고 있어 개인정보보호법 위반 논란이 끊이지 않고 있다. (참고: 어디서든 긴장해라, CCTV가 지켜보니까, http://www.bloter.net/archives/186509) 그러나 제정안 제17조 제2항에 따르면 지방자치단체가 통합관제의 주체에 수사기관을 명시적으로 포함하는 운영계획을 행정자치부에 신고하기만 하면 지방자치단체와 무관한 경찰이 상주하는 형태의 통합관제 역시 법적인 근거를 손쉽게 획득할 수 있게 된다.

또한 이 “통합관제”의 범위에 설사 일시적으로만 가능한 형태라 하더라도 수사기관 등에 CCTV를 이용한 개인영상정보를 실시간 제공하는 행위가 포함되거나 이 같은 내용이 지방자치단체의 운영계획에 명시적으로 포함된다면 경찰관의 상주 없이도 수사기관 등에 의한 상시적 원격 감시로 악용될 우려가 크다.

더욱이 제정안 제10조 제1항에 따르면, 영상정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 그 수집 이용 목적을 달성하기 위해 불가피한 경우에 개인정보를 제3자에게 제공할 수 있어 개인(영상)정보의 제3자 제공의 요건을 개인정보보호법보다 완화하고 있어 통합관제센터에서 수집된 CCTV 영상이 별다른 통제 없이 수사기관에 실시간 또는 사후 제공될 이루어질 가능성이 매우 높다.

설치 전후 의견수렴, 내부자 통제, 녹음 정보 관리 등 통합관제센터에 대한 독립적 감시, 통제수단 전무 및 영장주의, 통신비밀보호법 우회 우려

(1) 개인정보보호법이 정보주체의 사전 동의 없이 CCTV에 의한 개인정보를 수집할 수 있는 가장 큰 근거는 대부분 공고로 대체되고 있긴 하나 CCTV 설치 전에 설치 지역 주민들에게 의견을 수렴하는 절차를 두고 있기 때문이다(개인정보보호법 제25조 제3항). 통합관제센터 설치는 개별관제시설설치보다 더 기본권 침해 가능성이 높음에도 제정안에는 통합관제센터 설치에 대한 사전 의견수렴이나 운영에 대한 사후 청문절차가 전무하다.

통합관제센터를 설치하기 위해서는 행정자치부장관에게 운영계획을 “신고” 후 (제정안 제17조 제2항), 지방자치단체 스스로 의뢰하여 수행되는 “개인영상정보 영향평가”만 거치면 되기 때문이다(제정안 제18조 제1항). 통합관제센터에 의한 개인정보자기결정권 침해 우려는 CCTV의 개별관제보다 더욱 큰데도 통합관제센터 설치와 운영에 개인정보주체의 의사는 철저하게 배제되어 있는 것이며, 개인정보보호위원회 역시 어떠한 역할도 수행하지 못한다.

(2) 제정안은 통합관제센터 운영 통제 조항에 대한 원칙을 전혀 정한 바 없이 모두 행정자치부 고시로 정하도록 하고 있어(제정안 제17조 제5항) 의회유보원칙 위반 소지가 크며, 통합관제센터 운영에 대해서는 행정자치부장관의 실태조사(제정안 제20조) 외에는 독립적 정기적으로 감시, 통제할 방법이 전무하다. 실태조사 실시 여부는 오로지 행정자치부장관이 결정하며, 실태조사에 개인정보보호위원회나 이해당사자가 참여할 방법도 없다.

종사자의 내부통제도 허술하긴 마찬가지다. 전과 유무 정도의 소극적 자격 제한 외에 행정자치부장관이 정한 교육만 받으면 되는데, 영국의 경우 CCTV 관제업무 종사를 위해서 엄격한 자격제도(보안산업국SIA라이선스)를 운영하는 것과 비교된다.

(3) 한편 현재 개인정보보호법이 CCTV에 의한 녹음과 설치목적 외 임의조작을 전면 금지하고 있는 것(개인정보보호법 제25조 제5항)에 비하여 제정안은 CCTV를 이용한 녹음은 물론 설치 목적과 다르게 임의로 조작하거나 다른 곳을 비추는 등 목적 외의 용도로 운영할 수 있어 주의를 요한다. (제정안 제8조)

해당 조문은 예외적인 경우에만 녹음 및 임의조작을 허용하고 있지만 이를 통해 가중될 사생활의 비밀 침해 위험을 고려하면 이렇게 간단히 처리할 일이 아니다.

녹음은 영상의 촬영과 달리 사람의 생각이 음성으로 표출되는 것을 직접 포착하기 때문에 프라이버시 침해의 위험이 크고 CCTV의 임의조작이나 다른 곳을 비추는 행위 역시 그러하고 두 가지가 결부되면 더욱 큰 문제이다. 이는 CCTV 규제에 슬쩍 끼워서 다룰 문제가 아니라 가중된 위험을 본격적으로 고려한 별도의 입법이 필요하다. 예컨대 법안에는 녹음과 임의조작 방식 등 구체적인 운영 방법에 대해 아무런 제한 규정이 없어 CCTV가 일반적으로 누구나 들을 수 있는 범위를 넘어서는 은밀한 대화까지 녹음하는 기능을 갖출 경우 영장주의나 통신비밀보호법을 우회하여 상시적 감시와 감청을 하는 수단으로 악용될 소지마저 있다. 녹음과 목적 외 임의조작을 허용하는 제정안 제8조는 독소 조항이며 반드시 폐기되어야 한다.

개인정보보호위원회의 역할 전무 – 제정안과 무관하게 개인정보보호위원회의 통합관제센터 설치 및 운영에 대한 강력한 통제 필요

무엇보다 제정안은 행정자치부에 통합관제센터와 관련된 모든 권한을 부여하고 있어 현재 그 중요성에 비하여 역할을 제대로 수행하고 있지 못한 개인정보보호위원회(이하 “위원회”)의 위상을 더욱 위축시킬 우려가 있다. 또한 제정안은 위원회가 2015년 의뢰한 연구용역이 개인영상정보보호법과 같은 특별법 제정은 불필요하다는 결론을 낸 것과는 상충되는 것이어서 제정안을 만들 때 과연 개인정보보호위원회가 참여했는지조차 의문이다.

통합관제센터가 이미 전국적으로 설치되어 있어 이에 대한 법적 근거를 마련하는 것이 필요하다고 하더라도, 제정안과 같이 행정자치부의 통제 하에 법적 근거만을 마련하는 형태의 법안은 허술한 통제 하에 CCTV에 의한 감시국가로 가겠다는 것과 다름아니며, 만약 이 같은 법안이 반드시 필요하다고 하더라도 그 설치와 운영에 대한 관리감독 주체는 독립적 위원회 조직인 개인정보보호위원회가 되어야 한다.

2016년 12월 29일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

‘국민 백신’에 관해 알고 싶은 두세 가지 것들

글 | 민노씨(슬로우뉴스 편집장)

“자기 권리를 스스로 지키는 체험이 되길 바란다.” (남희섭 오픈넷 이사)

국정원이 해킹팀으로부터 사들인 스파이웨어(RCS)를 불특정 다수 국민의 스마트폰에 감염시키면 어떤 일이 생길까? 상상하기도 싫지만, 스파이웨어에 감염된 국민이 직접 대응할 수 있는 방법은 많지 않다. 왜? 국정원은 사실상 국내 백신 업체의 ‘갑’ 노릇을 한다. 이런 현실에서 국내 백신 업체들이 국정원이 이용하는 스파이웨어를 감지하는 전용 백신을 개발할 수 있을까? 새정치민주연합의 안철수 국회의원이 안랩을 포함한 10여 개 국내 보안업체에게 도움을 요청했으나 업체들이 이 요청에 적극 나서지 않는다는 말이 벌써부터 들리고 있다.

• 한겨레 – 보안제품 인증해주고 뒤로는 ‘보안 뚫기’…어이없는 국정원
• 뉴시스 – 안철수, 국내 백신 업체에 SOS 요청

해킹팀의 스파이웨어에 대응해 엠네스티가 주도해 스파이웨어 감지 프로그램인 ‘디텍트’를 개발했고, 이를 발표했다. 하지만 디텍트는 PC에 기반한 프로그램이라 모바일 기기에는 적용하기 어렵다.

• 슬로우뉴스 – 스파이웨어 탐지 프로그램 디텍트(DETEKT) 사용법

이에 시민이 자발적으로 참여하는 ‘국민 백신 프로젝트’가 발족했다. 그리고 어제(2015년 7월 30일) 국회 의원회관에서 발표회를 개최했다. 국민 백신 프로젝트를 주도한 남희섭 오픈넷 이사에게 국민 백신 프로젝트의 이모저모와 향후 계획을 물었다.

남희섭 오픈넷 이사 일문일답

– 이왕에 엠네스트 주도로 ‘디텍트’가 개발됐다. ‘국민 백신’과 디텍트의 차이점은.

디텍트는 PC용인데, 국민 백신은 안드로이드 모바일에 주안점을 두고 프로젝트를 진행하고 있다.

– 모바일 중심이라고 했는데, 특히 안드로이드가 주력인 이유는?

개발자의 증언에 의하면 안드로이드폰이 잘 감염된다고 한다. 아이폰은 애플이 직접 패치를 내놓으면 이용자가 바로 업데이트를 할 수 있으나 안드로이드폰은 구글이 패치를 내놓아도 제조사까지 전달되서 실제 이용자의 스마트폰에 적용되기까지 시간이 걸리기 때문에 보안에 취약성이 있다는 설명이었다. 더불어 우리나라 모바일 사용자의 압도적 다수가 안드로이드폰 이용자기이도 하다.

– 국민 백신은 의미 있는 프로젝트다. 하지만 지속 가능성을 담보할 수 있을지는 걱정이다. 해킹과 백신은 ‘창과 방패’, ‘톰과 제리’의 게임이라서 지속성을 담보하지 못하면 큰 의미가 없지 않나.

당연히 걱정하는 부분이다. 큰 백신 개발업체라면, 상시 인력이 그때그때 바로바로 업데이트할 수 있겠지만, 국민 백신 프로젝트는 참여 개발 인력이 충분하다고 볼 수는 없다.

– 어떻게 이런 난제를 극복할 생각인가.

국민 백신은 ‘오픈소스’로 개발하고 있다. 프로그램 코드를 공개하는 것이다. 현재 개발인력도 최선을 다하겠지만, 국민 백신 프로젝트의 취지에 공감하는 개발자들이 업데이트에 참여할 것으로 기대한다. 이런 참여가 임계점을 넘으면. 지속 가능성을 담보할 수 있으리라 생각한다.

– 기존 보안업체에 협조를 요청했나. 상호 사전 협의가 있었는지 궁금하다.

처음에 프로젝트를 구상할 때 기존 업체의 참여를 전혀 기대할 수 없는 상황이었다. 이제는 널리 알려진 사실이지만, 사실상 국정원이 보안 업체의 ‘갑’ 노릇을 하는 상황이다. 익명을 전제로 보안업체의 분위기를 전한 한 개발자는 이렇게까지 말했다.

“민감한 사안이다. 밥줄 잘린다. 전용 백신 개발 가능성은 전혀 없다.”

기존 보안업체가 전용 백신을 개발한다는 것은 전혀 기대할 수 없는 상황이라고 판단하고, 국민 백신 개발에 착수했다.

– 현재 확보한 개발 인력은 어느 정도인가.

현재 엔진을 만드는 사람 4명이다. 여기에 해외 ‘화이트해커’ 그룹도 참여하고 있다.

– 향후 개발 계획은?

원래는 발표회에서 베타 버전을 발표하고, 다음 주(2015년 8월 첫째 주) 정식 발표하려고 했다. 하지만 일정이 생각보다 좀 늦어지고 있다. 내부적으로 테스트한 뒤에 다음 주 베타 버전을 발표할 계획이다.

– 어떤 방식으로 배포할 계획인지.

우선 안드로이드 모바일 사용자에게는 구글 플레이 스토어에 국민 백신 앱을 업로딩하면 간단하다. PC용으로도 개발할 계획이다.

– PC용은 어떤 방식으로 배포되는가.

안드로이드용은 배포 플랫폼이 있어서 걱정이 없는데, PC용은 홈페이지에 올리면 해커들에게 공격 받을 가능성이 크다고 한다. 그래서 PC용 버전 배포방식을 고민하고 있다. P2P 방식으로 배포하는 것까지 포함해서 현재 논의 중이다.

– 끝으로 당부하고 싶은 말이 있다면.

자기 정보 인권을 스스로 지켜야 한다. 직접 스스로 자신의 권리를 지키는 행동을 해보는 체험이 중요하다. 하지만 해킹이나 감시, 감청 등의 정보 인권 침해에 평범한 개인이 할 수 있는 일은 별로 없다. IT 영역의 전문지식을 모든 국민이 가질 수는 없는 노릇이고, 그럴 필요도 없다.

하지만 선의의 전문가들이 참여하는 국민 백신과 같은 프로젝트에 참여하는 것으로도 충분히 스스로 자기 권리를 지키는 구체적인 ‘행동’에 참여하는 일이다. 이런 체험을 통해 스스로 권리를 자신이 지킨다는 걸 체감할 수 있다면 좋겠다.