사단법인 오픈넷은 지난 6월 3일 행정예고된 「가명정보의 결합 및 반출 등에 관한 고시(안)」에 대한 의견서를 제출했다. 오픈넷은 지난 4월 논평을 통해 「개인정보 보호법 시행령」에 대하여 다음과 같이 지적한 바 있다. 1. 가명화를 전제로 하여 이루어지는 “과학적 연구”의 연구결과물이 사회 전반에 공유되도록 의무화되어야 하며, 2. 각종 기업들이 연구 등의 목표와 무관하게 가명정보를 이용할 위험에 대비하기 위해서는 현재 법률상 가명화만으로도 정보주체들의 견제 권리(열람권, 정정권, 삭제권, 처리거부권 등)가 제한되도록 한 부분을 보완해야 하며, 3. 프라이버시 침해 위험성을 낮추기 위해 가명정보 결합 절차에 있어서 재식별키와 연구대상 데이터를 하나의 기관이 보유하지 못하도록 해야 한다. 

그러나 이번 고시(안)을 검토한 결과, 재식별키와 연구대상 데이터를 별도의 기관이 보유하도록 한 부분은 반가운 일이나 이와 같은 하위법령의 변경만으로 GDPR의 ‘가명화를 통한 추가이용’ 기준을 실현하려 한 입법취지가 제대로 실현되기 위해서는 갈 길이 멀어 보인다. 고시(안)은 결합전문기관의 ‘과학적 연구’ 여부 판단능력 제고와 관련된 규정 미비, 재식별키 보관기관의 합법성 문제, 가명정보의 결합 및 반출 실적 보고서 공적 통제를 위한 공시 의무화 필요, 가명정보의 결합신청 사후 사전 통제 절차 미비, 반출승인 기준 미비 등 프라이버시를 보호하기 위한 절차가 명확하게 마련되어 있지 못하다. 오픈넷은 한 번 더 아래와 같이 고시(안)의 개선방안에 대하여 의견을 제시한다. 

문의: 오픈넷 박경신 이사 [email protected], 오픈넷 사무국 02-581-1643

「가명정보의 결합 및 반출 등에 관한 고시(안) 」에 대한 의견 

○ 취지 

• 이 고시는 「개인정보 보호법」(이하 “법”이라 한다) 제28조의3과 「개인정보 보호법 시행령」 ( 이하 “영”이라 한다) 제29조의2부터 제29조의4에 따라 결합전문기관 지정 및 가명정보의 결합·반출 등에 관한 기준‧절차 등을 정하는 것을 목적으로 하고 있음. 
• 이에 고시(안) 각 조문을 살펴보고 다음과 같이 검토 의견을 밝힘.

○ 검토 의견 

1. 결합전문기관의 ‘과학적 연구’ 판단능력 제고 규정 미비 

고시(안) 제5조(결합전문기관의 지정 절차) ③ 보호위원회등은 결합전문기관 지정 신청을 받은 경우 지정 기준의 적합 여부를 결합전문기관 지정심사위원회(이하 “지정심사위원회”라 한다)를 구성하여 심사하여야 한다. 이 경우 지정심사위원회는 개인정보 보호 또는 데이터 활용에 관한 학식과 경험이 풍부한 5명의 위원으로 구성한다. 

1) 결합전문기관 지정 기준에 결합 목적, 용도, 결과 및 발표시점 등 공적통제를 위한 기준, 절차 미비 

• 개정법은 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합에 대해 공적 통제의 방식을 선택하였음. 그렇다면 공적 통제의 주체가 될 결합전문기관은 결합이 합법적인지 심사할 필요가 있으며 특히 ‘과학적 연구’가 과학이라는 학술적 관행과 내용을 갖추고 있는지, ‘공익적 기록보존’이 충분히 공익적인지를 심사해야 하며 이를 위해서는 (1) 연구결과 및 기록결과물의 향후 활용 계획 및 (2) 연구결과 및 결과기록의 발표시점 등을 <결합신청서>에 적도록 하여 심사에 반영해야 할 것임. 

• <결합전문기관 지정 기준>에 결합전문기관이 학술적 관행에 따라 연구가 진행되고 연구결과가 공개될지에 대해 심사한다는 내용과 그런 심사를 할 수 있는 인력을 갖춘다는 기준이 명확하게 제시될 필요가 있음.

2. 가명정보의 결합 및 반출 실적 보고서 공적 통제를 위한 공시 의무화 필요 

고시(안) 제6조(결합전문기관의 관리･감독) ① 결합전문기관은 매년 1월 31일까지 다음 각 호의 서류를 작성하여 보호위원회등에게 제출하여야 한다. 
1. 가명정보의 결합 및 반출 실적 보고서 

• 역시 개정법은 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합에 대해 공적 통제의 방식을 선택한 이상 언제 가명화가 이루어져있는지 공시할 필요가 있음. 이렇게 하지 않으면 정보주체는 가명화된 자신의 가명정보가 어떤 목적으로 어떻게 결합되어 활용되는지 알 수 있는 방법이 전무함. 적어도 결합전문기관의 홈페이지 등에 결합과 관련한 최소한의 정보를 공개하여 해당 목적에 맞게 가명정보 결합이 이루어지고 있는지 등에 대해 정보주체들에 의한 감시가 이루어질 수 있게 해야 함. 예를 들어, ‘삼성생명의 고객정보를 SK텔레콤의 고객정보와 결합했다’라는 공지를 하여 각 고객이 원하면 자신의 정보가 결합되었는지 어떤 목적으로 이용되었는지 알 수 있도록 할 필요가 있음.

3. 충분한 가명화에 대한 심사절차 부재 

고시(안) 제8조(가명정보의 결합 신청 등) ① 결합신청자는 [별지 제3호서식]의 결합 신청서와 첨부 서류를 결합전문기관에 제출하여야 한다. 
② 결합전문기관은 제1항에 따른 신청서 및 첨부서류를 확인하고 보완이 필요한 경우 결합신청자에게 보완을 요구하여야 한다. 
③ 결합전문기관은 가명정보의 결합 일정 및 절차 등 결합에 필요한 사항을 결합신청자와 협의하여야 한다. 
④ 결합키관리기관은 결합키 생성에 필요한 사항을 결합신청자와 협의할 수 있다. 

1) 결합 전 가명화가 제대로 이루어졌는지 심사 절차 필요 

• 결합전문기관이 자신이 제공받은 속성정보를 결합하기 전에 가명화가 제대로 되었는지 확인하는 절차가 없음. 물론 개인정보처리자가 스스로 가명정보를 과학적 연구 목적으로 이용하기 전에 가명화를 명확하게 철저하게 해야 하고 그렇지 않은 경우 위반이 발생하므로 스스로 조심할 동기는 있음. 

• 그러나 가명화하여 과학적 연구 목적으로 이용하는 것 전반에 대해서는 공적 통제가 없지만 결합행위에 대해서만큼은 공적 통제가 있는 이상 결합전문기관이 스스로 결합행위를 통해 개인정보를 침해하지 않도록 사전에 가명화가 제대로 이루어졌는지 심사를 할 필요가 있음. 가명화가 제대로 되어 있지 않은 정보를 결합하는 것은 개인정보를 동의 없이 처리하는 것이고 결합전문기관 스스로도 개인정보 보호법을 위반할 수 있음.

• 특히 결합을 통해 재식별위험은 더 높아질 수 있음. 예를 들어 k익명성이 각 3인 정보를 받아서 결합할 경우 k익명성이 2로 줄어들 수 있으므로 그 위험은 더욱 높기 때문에 결합전문기관은 스스로 익명화 정도를 확인할 필요가 있음. 

2) 개인정보처리자, 결합키관리기관, 결합전문기관이 상호 동일하거나 상호소유관계에 있어서는 안 된다는 별도 규정이 필요함 

• ‘개인정보처리’는 여러 가지 행위가 포함되며 서로 다른 개인정보를 결합하여 해당 개인에 대해 더 많은 속성을 알게 하는 행위도 포함됨. 

• 이 ‘결합’ 행위를 2020년 2월 4일 공표된 개정 「개인정보 보호법」은 국가가 정한 전문기관만이 할 수 있도록 하여 공적 통제 하에 두기로 한 것임. 그렇다면 민간에게 공적 통제를 위탁할 때 요구되는 각종 규제가 모두 적용되어야 할 필요가 있음. 예를 들어, 개인정보처리자, 결합키관리기관, 결합전문기관이 상호동일하거나 상호소유관계에 있어서는 안 된다는 별도 규정이 필요함. 

• 개인정보처리자들이 공동출자하여 만든 회사가 결합전문기관지정을 받을 수는 없음. 특히 본인확인기관 지정을 받은 회사들은 엄청나게 많은 정보들을 연계할 수 있기 때문에 결합전문기관 지정에서 배제되어야 할 필요가 있음. 

• 결합키관리기관에게 연계키 생성을 위한 개인식별정보제공이 개인정보 보호법 위반 논란이 제기될 수 있으므로 개인정보 보호법에서 결합키관리기관에 대해 명확한 법적 근거를 마련할 필요가 있음. 이는 결합전문기관은 법률에 정해져 있고 또 원칙적으로 가명화된 속성정보만을 다루므로 개인정보 보호법 위반 상황이 발생하지 않는 것과 비교됨.

4. 반출승인 기준 미비 

고시(안) 제11조(반출승인) ③ 반출심사위원회는 다음 각 호의 사항을 고려하여 반출 심사를 하여야 한다. 
1. 결합 목적과 반출 정보와의 관련성이 있을 것 
2. 반출 정보만으로는 특정 개인을 알아볼 수 없을 것 
3. 반출 정보를 제공받는 자가 특정 개인을 알아보기 위하여 사용할 수 있는 정보가 포함되어 있지 않을 것 
4. 반출 정보에 대해 적절한 안전조치 계획을 수립하였을 것

• 결합정보의 반출은 지극히 예외적 상황에서만 엄격한 기준에 따라 허용되어야 할 것임. 이번 고시(안)은 ‘관련성’이라는 포괄적 기준, ‘특정개인을 알아볼 수 없을 것’이라고만 함으로써 반출을 원하는 기업이 이미 가지고 있는 개인정보와 결합해서 식별가능한 정보로 환원될 가능성이 있는 정보인지 그 자체만으로는 불분명하고 또한 이 같은 기준마저도 고려할 사항으로 제시할 뿐 의무 규정도 아님.

[관련 글]
[논평] 개인정보보호법 가명화 도입, 입법불비부터 선결되어야 GDPR 수준의 정보보호 할 수 있다. (2020.04.06.)

세계 최대 아동성학대와 성착취물 사이트를 운영한 웰컴투비디오(W2V) 운영자인 손정우에 대한 미국 법원의 범인인도요청에 대한민국 법원이 결국 불허 결정을 내렸다. 아동과 여성을 성적으로 학대하고 이를 이용해 금전적인 수익을 노린 이들의 성적 착취 행각에 강도 높은 처벌이 이루어질 수 있도록 아동성학대물과 성표현물을 구분하는 양형기준을 세울 것을 요구해왔던 사단법인 오픈넷은 대한민국 법원의 이와 같은 결정에 깊은 유감을 표명한다. 나아가 한국 사회의 관대한 성범죄 처벌 문화가 하루빨리 해결될 것을 강력히 바라는 바이다. 

30여 개에 달하는 국가가 공조하여 손정우를 잡아들였다는 사실은 이 사이트에서 유통된 성범죄물의 규모를 어림짐작하게 한다. 그럼에도 불구하고 손정우에 대한 18개월의 실형이라는 기존의 국내법상 처벌은 지나치게 관대했다. “미국이나 영국 국적의 피의자들이 받은 형량을 비교해보면, 음란물 유포, 성폭행 혐의 등으로 기소된 영국인 카일 폭스(26)는 징역 22년형을 선고받았고, 아동 음란물 수령 및 돈세탁 혐의를 받는 미국인 니콜라스 스텐겔(45)에게는 징역 15년, 종신보호관찰형이 선고됐다. 특히 미국인인 전 국토안보수사국 요원 리처드 니콜라이 그래코프스키(40)는 영상을 1회 다운로드하고 해당 웹사이트에 1차례 접속한 혐의로 징역 70개월, 보호관찰 10년, 그리고 7명의 피해자에 대한 3만 5000달러 배상을 선고”받았는데, 정작 W2V의 운영자보다 훨씬 무겁게 처벌을 받은 것이다. 미국 측의 범죄인 인도요청에 한국 사회가 큰 기대를 걸었던 이유는 범죄에 비해 납득할 수 없이 가벼웠던 처벌을 보완할 수 있는 처벌이 이루어질 수 있을 것이라는 희망 때문이었다. 

그러나 범죄인 인도조약이 그와 같이 이중처벌의 도구가 되어서는 안 된다. 이에 따라 미국 정부는 한국 정부가 손정우에게 적용하지 않은 범죄수익은닉죄로 인도신청을 하였다. 미국 정부가 새로운 죄목으로라도 손정우를 미국으로 불러 처벌하려 한 것은 국제적인 범죄로 미국 국민에게도 영향을 끼친 범죄임을 고려할 때 충분한 공익적인 이유가 있다. 이런 맥락을 염두에 둔다면 재판부의 이번 결정은 더욱 실망스러운 것일 수밖에 없다. 한국이라는 지역성에 매몰되지 않아야 하는 국제적 규모의 사건임에도 불구하고 사이버 범죄의 특수성에 대한 깊은 고려없이 범인의 소재지가 한국이었다는 근거를 들며 미국 송환을 불허하였다. 국내 W2V 회원들에 대한 수사를 근거로 들어 재판부가 내린 이 결정은 그렇기 때문에 명백히 사건의 규모를 축소시켰다. 

재판부는 손정우를 정당하게 처벌할 수 있도록 미국 송환 불허 결정을 내렸다고 했다. 그러나 이와 같은 재판부의 ‘결단’을 우리 사회가 그리 신뢰하는 것 같지는 않다. 판결 이후 쏟아져 나오는 전문가들의 의견은 재판부에 대한 사회의 불신이 허황된 것만은 아님을 뒷받침한다. 법적 전문가들은 미국의 ‘자금세탁방지법’은 암호화폐에 대해서도 엄격하게 혐의를 적용해 처벌이 가능하지만, 국내법에서는 암호화폐의 가장·은닉(자금세탁)에 대한 공소유지가 어려우며, 관련 법규정이 미비한 상태라 검찰이 기소를 못한 것이라 하였고, 범죄수익을 추징하거나 몰수하는 경우는 많지만 자금세탁은 자금의 은닉을 입증하기 굉장히 까다로울 뿐만 아니라 관련 법조항도 상당히 복잡하다고 한다. 또한 범죄수익 은닉의 규제 및 처벌 등에 관한 법률 개정안이 시행된 지난해 4월부터 이달 4일까지 1년 간 성폭력처벌등에관한특례법 제14조를 위반한 범죄에 대한 범죄수익 몰수와 추징보전 사례는 1건이 유일하다. 무엇보다 국내 사법체계에서 범죄수익은닉 혐의에 대한 법정 최고형이 징역 5년, 벌금 3000만원이라 해외 처벌수위보다 상당히 낮다. 결국 세계의 수많은 아동들에게 피해를 입힌 “세계에서 가장 위험한 아동성범죄자”인 손정우는 한국 사법당국의 섣부른 처리로 가벼운 처벌만 받고 끝나버려 그렇게 많은 나라들의 공조로 이룬 성과를 우리나라가 거의 무산시켜버리는 부끄러운 이력으로 남을 가능성이 높아졌다. 

디지털 성범죄를 관대하게 다룬 결과가 얼마나 끔찍할 수 있을 것인지를 보여주는 사건이 ‘웰컴투비디오’와 ‘n번방’ 사건일 것이다. 우리 사회는 사회적 약자인 여성과 아동을 대상으로 한 성학대물의 배포는 물론이고 이를 통해 금전적인 수익을 갈취하는 것이 심각한 범죄 행위라고 인식해야 한다. 오픈넷은 성학대물의 소지에 대해서도 논의가 시작되어야 한다는 의견을 낸 바도 있다. 오픈넷은 손정우가 정당한 처벌을 받기 바란다는 서울고법 형사20부 강영수 부장판사의 바람과 여성과 아동에게 영구히 피해를 입히는 성학대와 착취물의 근절을 위해 사법 당국이 손정우의 남은 죄를 샅샅이 밝혀 강력하게 처벌할 것을 촉구한다. 

2020년 7월 10일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

[관련 글]
[논평] 관대한 양형 개선과 아청법 개정을 통한 아동음란물 관련 범죄자 엄벌을 촉구한다 (2019.10.28.)  

유네스코(UNESCO)는 올해 5월 AI 윤리 권고 제1차 초안을 작성하여 7월에 이해관계자 의견수렴 과정을 거쳤다. 7월말까지 일반 대중을 대상으로 한 온라인 의견수렴, 국가별 및 지역별 화상 회의, 공개 워크숍이 진행되었으며, 유네스코 한국위원회는 7월 17일 국내 이해관계자 회의, 7월 23일-24일 양일간 대한민국 정부와 유네스코 공동 주관으로 아태지역 화상 회의를 진행했다. 사단법인 오픈넷은 시민사회 이해관계자로 국내 회의와 아태지역 회의를 모두 참여해 시민사회의 입장을 전달하고, 회의에서 발언한 내용을 바탕으로 AI 윤리 권고 초안에 대한 서면 의견을 유네스코에 제출했다. 의견수렴 과정에서 수렴된 다양한 관점들은 초안을 작성한 AI 윤리 국제전문가그룹(Ad Hoc Expert Group, ADEG)이 8-9월에 초안을 수정하는 데 반영될 계획이다. 

문의: 오픈넷 사무국 02-581-1643, [email protected]

사단법인 오픈넷은 2020. 9. 7. 부가통신사업자에 불법촬영물등 유통방지 조치의무 및 기술적·관리적 조치의무를 지우는 전기통신사업법, 일명 ‘n번방 방지법’에 대한 시행령 개정령안에 대해 정부에 의견을 제출했다. 의견의 요지는 다음과 같다.

개정령안 제30조의5 제3항 및 제4항에서는 정보통신망법상 임시조치 제도와 유사한 차단조치 제도를 도입하고 있는데, 표현의 자유 침해 우려가 있으므로 정보게시자에게 차단조치에 대한 이의제기권을 부여해야 한다. 그리고 개정령안 제30조의6의 모법인 전기통신사업법 제22조의5 제2항은 “전기통신역무의 종류, 사업 규모 등을 고려하여 대통령령으로 정하는 부가통신사업자”가 불법촬영물등의 유통을 방지하기 위해 “대통령령으로 정하는 기술적·관리적 조치”를 할 의무를 지우고 있는데, 이는 헌법상 원칙인 죄형법정주의와 포괄위임금지원칙에 명백히 위배되는 조항이다. 따라서 개정령안 제30조의6에서 “조치의무사업자”의 범위와 “기술적·관리적 조치”를 구체적이고 제한적으로 규정한 것은 적절하지만, 이러한 내용을 모법에서 어느 정도 예측할 수 있도록 규정하지 않는 이상 모법의 위헌성이 치유될 수 없다.

문의: 오픈넷 사무국 02-581-1643, [email protected]

『전기통신사업법 시행령』 일부개정령안에 대한 의견서

1. 제30조의5 “차단조치등”에 대한 의견

• 개정령안 제30조의5 제3항 및 제4항은 조치의무사업자가 불법촬영물등에 해당하는지 여부를 판단하기 어려운 경우 임시적으로 해당 정보를 차단하거나 삭제하는 조치(“차단조치등”)를 할 수 있다고 하고 있음. 이는 정보통신망법 제44조의2 제2항 및 제4항에서 규정하고 있는 “임시조치” 제도와 유사함
  • 개정령안 제30조의5 제3항은 차단조치등을 “할 수 있다”고 하여 마치 조치의무사업자에게 차단 여부에 대해 선택권이 있는 것으로 보이나, 법 제22조의5 제1항에 따른 유통방지에 필요한 조치를 취하지 아니한 자는 3년 이하의 징역 또는 1억원 이하의 벌금에 처해지고 2천만원 이하의 과태료가 부과될 수 있다는 점에서 의무조항임

• 신고, 삭제요청에도 불구하고 불법촬영물등에 해당하는지 여부가 불분명한 표현물은 불법촬영물등이 아닌 합법 정보일 가능성이 높은데 이러한 정보도 사업자가 의무적으로 차단하도록 하고 있어 과도한 표현물 규제로 인한 표현의 자유 침해 우려가 있음. 이러한 우려를 완화시키기 위해서는 정보게시자에게 차단조치에 대한 이의제기권을 보장해야 함 

2. 제30조의6에 대한 의견

가. 전제: 모법인 전기통신사업법 제22조의5 제2항의 위헌성

• 개정령안 제30조의6의 모법인 전기통신사업법 제22조의5 제2항은 “전기통신역무의 종류, 사업 규모 등을 고려하여 대통령령으로 정하는 부가통신사업자”가 불법촬영물등의 유통을 방지하기 위해 “대통령령으로 정하는 기술적·관리적 조치”를 할 의무를 지우고 있음. 이러한 조치를 하지 않는 사업자는 법 제95조의2에 따라 3년 이하의 징역 또는 1억원 이하의 벌금에 처해지고 법 제104조 제1항에 따라 5천만원 이하의 과태료가 부과됨

• 법 제22조의5 제2항은 헌법상 원칙인 죄형법정주의와 포괄위임금지원칙에 명백히 위배됨
  • “법률이 없으면 범죄도 없고 형벌도 없다”라는 말로 표현되는 죄형법정주의는 이미 제정된 정의로운 법률에 의하지 아니하고는 처벌되지 아니한다는 원칙으로서 이는 무엇이 처벌될 행위인가를 국민이 예측가능한 형식으로 정해야 한다는 법치국가 형법의 기본원칙임
  • 한편 헌법 제75조는 대통령령에 의한 위임 입법을 허용하고 있지만, 위임을 하는 경우에도 법률에 이미 대통령령으로 규정될 내용 및 범위의 기본사항이 구체적으로 규정되어 있어서 누구라도 당해 법률로부터 대통령령에 규정될 내용의 대강을 예측할 수 있어야 하며, 특히 처벌법규를 위임할 때는 처벌대상인 행위가 어떠한 것일 것이라고 이를 예측할 수 있을 정도로 구체적으로 정하고 형벌의 종류 및 그 상한과 폭을 명백히 규정하여야 함
  • 그런데 “종류, 사업 규모 등을 고려하여 대통령령으로 정하는 부가통신사업자”와 “대통령령으로 정하는 기술적·관리적 조치”라는 문언만 봐서는 어떤 부가통신사업자가 어떤 조치를 취해야 하는지 전혀 예측을 할 수 없음. 즉 처벌 규정의 수범자와 처벌 대상인 행위의 내용을 전혀 알 수 없게 포괄위임을 하고 있어 죄형법정주의와 포괄위임금지 원칙 위반임

• 모법 제22조의5 제2항이 헌법상 원칙인 죄형법정주의와 포괄위임금지원칙에 명백히 위배되어 위헌이기 때문에 그 시행령도 당연히 위헌이라는 점을 전제로, 개정령안 제30조의6의 세부 내용에 대해 아래와 같이 의견을 제시함 

나. “조치의무사업자” 범위에 대한 의견

• 개정령안 제30조의6 제1항은 “조치의무사업자”를 웹하드사업자 및 일반에게 공개된 형태로 부호ㆍ문자ㆍ음성ㆍ음향ㆍ화상ㆍ동영상 등의 정보가 불특정 다수의 이용자에 의해 유통되는 부가통신서비스를 기본적인 대상으로 하면서 일정규모 이상의 부가통신사업자 또는 소규모 사업자라 할지라도 방심위로부터 불법촬영물등의 삭제요구를 받은 사업자를 포함하도록 하고 있음

• 조치의무사업자에 텔레그램이나 카카오톡과 같은 비공개 대화방 서비스도 포함된다면 이는 통신비밀의 침해이자 공개되지 않은 타인간의 대화의 녹음 또는 청취를 금지하는 통신비밀보호법 위반임. 다만 개정령안은 이러한 지적을 고려하여 “일반에게 공개된 형태”가 아닌 비공개 대화방 서비스는 제외한 것으로 보임. 또한 대상자와 그 서비스를 지정하도록 함으로써 사업자가 제공하는 모든 서비스에 대해 조치의무를 부과하는 것이 아니라 서비스별로 조치의무 부과 여부를 달리할 수 있는 것으로 보임. 또한 방통위가 대상자를 지정하는 경우에도, 불법촬영물등의 유통가능성, 일반인에 의한 불법촬영물등의 접근 가능성 및 서비스의 목적‧유형을 고려하도록 하여 불필요하게 수범자의 범위를 확대하지 않도록 하고 있음

• 개정령안에서 “조치의무사업자”의 범위를 위와 같이 제한적으로 규정한 것은 적절하다고 보이나, 이러한 내용을 모법에서 어느 정도 예측할 수 있도록 규정해야 가.에서 언급한 위헌성을 치유할 수 있을 것임

다. “기술적·관리적 조치”에 대한 의견

• 개정령안 제30조의6 제2항은 조치의무사업자가 취해야 할 기술적·관리적 조치로 1. 불법촬영물등을 상시적으로 신고할 수 있도록 하는 조치, 2. 정보의 명칭 등을 비교하여 이용자의 검색 결과를 제한하는 조치, 3. 정보의 특징 등을 비교하여 이용자의 게재를 제한하는 조치, 4. 불법촬영물등을 게재할 경우 삭제ㆍ접속차단 등의 조치가 취해질 수 있으며, 관련법에 따라 처벌을 받을 수 있다는 내용을 미리 알리는 조치 이상 네 가지를 나열하고 있음. 이 중 1. 상시적 신고 조치와 4. 경고 조치는 이용자나 게시물에 대한 감시·검열 문제가 발생하지 않으나, 2. 검색 결과 제한 조치와 3. 방심위 불법촬영물등 DB에 기반한 필터링 조치는 아래와 같은 문제점이 있음

• 개정령안 제30조의6 제2항 제2호의 검색 결과 제한 조치는 금칙어에 기반한 필터링 일명 키워드 필터링이고, 제3호의 필터링 조치는 해시값/DNA값 필터링임. 키워드 필터링은 정보의 제목이나 파일명 등이 특정 금칙어를 포함하는지를 비교하여 필터링하는 기술이고, 해시값/DNA값 필터링은 동영상의 해시값이나 DNA값 등 특징을 분석하여 만들어진 데이터베이스에 기반한 필터링 기술임
  • 키워드 필터링의 경우 불법촬영물등에만 사용되는 금칙어를 한정하기 쉽지 않고, 청소년유해매체물 금칙어처럼 광범위하게 설정할 경우 합법적인 정보까지 검색 제한이 될 가능성이 높다는 문제가 있음. 해시값/DNA값 필터링은 기존에 존재하는 DB에 기반한 필터링이기 때문에 새로운 불법촬영물등은 필터링이 불가능하다는 문제가 있음
  • 그리고 어떤 방식의 필터링을 적용하든지 간에 사업자가 불법촬영물을 발견하기 위해서는 이용자가 공유하는 정보를 다 들여다봐야 한다는 문제가 있음. 비공개 대화방이 아닌 일반에 공개된 게시판이라도 정보매개자인 플랫폼에 이용자가 올리는 모든 콘텐츠를 일일이 확인하도록 하는 소위 “일반적인 모니터링(general monitoring)” 의무를 부과하는 것은 사적 검열을 강화해 이용자의 표현의 자유를 침해할 수 있기 때문에 정보매개자 책임제한에 대한 국제적 인권 기준에 어긋남

• 다만 개정령안은 제2호 조치의 경우 “법 제22조의5제1항에 따라 신고된 정보”를 바탕으로 금칙어를 설정하도록 제한하고 있고, 검색 결과만 제한할 뿐 게재 제한이 아니어서 정보를 올리기 전 사업자에 의한 사적 검열이 이루어질 우려는 없다고 보임. 제3호 조치의 경우 방심위가 불법촬영물등으로 심의·의결한 정보, 즉 방심위 불법촬영물등 DB에 기반하도록 하고 있어 조치의무사업자의 판단 부담을 최소화하고 있음. 또한 개정령안 제30조의6 제7항에서 방송통신위원회의 행정적 지원 및 협력체계 구축 권한을 부여하고, 규제영향분석서에서는 “과기부 R&D 사업을 통해 사업자들이 영상 필터링 시 활용할 수 있도록「(가칭) 표준 DNA DB」 기술을 개발·보급할 예정”이라고 하여 정부의 역할을 구체적으로 명시한 것은 바람직함

• 결론적으로 개정령안에서 “기술적·관리적 조치”를 구체적이고 제한적으로 규정한 것은 적절하다고 보이나, 나.와 마찬가지로 이러한 내용을 모법에서 어느 정도 예측할 수 있도록 규정해야 가.에서 언급한 위헌성을 치유할 수 있을 것임

지난 11월 12일 법무부는 추미애 법무부장관이 “채널A 사건 피의자인 한동훈 법무연수원 연구위원 사례와 같이 피의자가 휴대폰 비밀번호를 악의적으로 숨기고 수사를 방해하는 경우 영국 등 외국 입법례를 참조하여 법원의 명령 등 일정요건 하에 그 이행을 강제하고 불이행시 제재하는 법률 제정을 검토하도록 지시”했다고 밝혔다. 이후 각계 각층의 비판이 쏟아지자 다음날 디지털 증거 압수수색시 협력의무 부과 법안 연구와 관련하여 “자기부죄금지원칙 및 양심의 자유, 사생활 보호와 조화로운 합리적 방안 마련”을 위해 다양한 방안을 검토 중에 있다고 해명하였다. 그러나 피의자에게 비밀번호 공개를 강제하는 방안은 헌법상 보장된 자기부죄금지 원칙, 진술거부권, 방어권을 심각하게 침해한다. 또한 대안으로 검토하고 있다는 제3자에게 협력의무를 부과하는 방안 또한 이용자의 프라이버시를 침해하고 보안 취약화로 인한 보안위험을 증대시키기 때문에 반대한다. 

헌법 제12조 제2항은 누구나 형사상 자기에게 불리한 진술을 강요당하지 아니한다고 하여 자기부죄금지원칙을 밝히고 있다. 이러한 원칙하에 형사소송법은 피의자와 피고인의 진술거부권에 대하여 규정하고 있고, 형법 제155조 또한 “타인의” 형사사건 또는 징계사건에 대한 증거인멸 등만 처벌할 뿐 자신의 범죄는 아예 구성요건에 해당하지 않는 것으로 규정하고 있다. 이는 형사절차에서 피의자와 피고인의 방어권을 실질적으로 보장하기 위한 최소한의 장치이며 고문을 통한 자백강요 등 반인권적 수사로부터 이들의 인권을 보호하라는 헌법적 요청인 것이다. 그런데 국민의 인권과 법치를 수호해야 할 법무부가 본분을 망각하고 헌법적 요청에 정면으로 역행하는 휴대폰 비밀번호 공개강제법의 도입을 검토하고 있는 것에 경악하지 않을 수 없다. 

그렇다고 하여 디지털 증거의 압수수색에 있어 휴대폰 제조사나 통신사 등 제3자에게 복호화 등 협력의무를 부과하는 방안도 매우 신중히 검토되어야 한다. 법무부에서 연구 대상으로 밝힌 영국, 프랑스, 호주, 네덜란드의 입법례가 그러한 의무를 담고 있다. 우리나라에서도 지난 20대 국회에서 김도읍 의원은 정보에 대한 압수수색 영장 집행 과정에서 정보 또는 정보저장매체의 소유자·소지자·관리자에게 협력의무를 부과하고, 이에 응하지 않는 경우 과태료 및 이행강제금을 부과하는 내용의 형사소송법 개정안(의안번호: 2001352)을 대표발의한 바 있다(위 개정안에서는 과태료 및 이행강제금 부과 대상에 피고인은 제외하는 규정을 두었다). 더 거슬러 올라가면 19대 때는 전기통신사업자에게 감청설비 의무를 지우고 불이행시 이행강제금을 부과하는 법안들이 발의되었는데, 이 또한 디지털 증거 수집을 위한 협력의무 부과라는 점에서 결을 같이 한다. 그런데 이렇게 주로 사업자인 제3자에게 디지털 증거의 압수수색에 대한 협력의무를 부과하는 방안은 궁극적으로는 암호화 기술의 무력화가 필요한데, 이는 모든 디지털 기기와 인터넷 이용자의 프라이버시를 침해하며 보안을 취약하게 만들어 해킹 등 보안위험을 증대시키는 결과를 초래함을 상기해야 한다. 나아가 사인(私人)에게 단지 범죄의 개연성만을 근거로 다른 사인 특히 재판을 통해 유죄가 확정되지도 않은 사인의  프라이버시 침해를 대행해달라는 요구는 자유민주주의 원칙에 반한다.   

정보화 시대에 들어서 디지털 범죄뿐만 아니라 모든 범죄의 수사에 있어 디지털 증거의 수집이 더욱 중요해지고 있다. 그런 측면에서 디지털 증거 압수수색 제도의 개선은 필요하다고 보이지만, 비밀번호 공개강제나 사업자의 협력의무 같은 제도의 도입으로 헌법상 원칙에 반하여 국민의 기본권을 침해하는 일은 없어야 한다. 법무부는 휴대폰 비밀번호 공개강제법을 도입하려는 시도를 즉각 중단해야 할 것이다.

2020년 11월 25일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]