오픈넷과 협력하는 고려대 한국인터넷투명성보고팀은 지난 6월 캐나다 토론토대학교 산하 시티즌랩에서 주최한 워크샵 프로그램인 Citizen Lab Summer Institute에 참가하였다. 본 워크샵에서는 캐나다, 미국, 영국, 홍콩, 대만, 한국, 콜롬비아, 등 각국의 인터넷 인권 관련 시민단체 및 학계 등의 다양한 분야의 전문가들이 모여 인터넷 인권 관련 이슈를 논의하였다.
이번 워크샵에서는 특히 통신 감시, 검열 현황에 대한 ‘투명성보고’ 연구를 집중적으로 다루는 패널 세션 및 그룹회의가 구성되어, 투명성보고의 최신 경향 및 투명성보고가 앞으로 나아가야 할 방향에 대하여 논의하였다.
첫 날 ‘공공과 기업의 투명성’이라는 주제의 세션에서는, 캐나다 프라이버시 위원회(Privacy Commissioner of Canada)의 Chris Prince의 사회로, Teksavvy의 Bram Abramson, 홍콩 투명성보고의 Jennifer Zhang, Access에서 기업 투명성보고를 분석하는 Peter Micek, 그리고 한국 투명성보고서의 손지원 연구원이 패널로 참여하여, 각자의 경험을 바탕으로 각국의 투명성보고의 경향, 투명성보고를 촉진, 발전시키는 방법 및 한계 등에 대하여 의견을 발표하였다.
손지원 연구원은, 온라인 메신저 대량 감시 사태가 이슈화되자, 국내 네이버, 다음의 양대 사업자들이 경쟁적으로 투명성보고서를 발간하기에 이르른 한국의 최근 상황 및 한국 정부의 투명성 및 공개 수준에 대하여 설명하였다. 이를 바탕으로, 국가 단위의 투명성보고를 촉진하기 위하여는 입법으로 의무화하는 것이 가장 중요하고, 기업의 투명성보고를 촉진하기 위하여는 대중의 관심을 끌 수 있는 사안을 발굴하여 이슈화하는 것이 중요하다고 밝혔다. 또한 투명성보고의 궁극적 목적은 대중의 역감시를 가능하게 하고, 정부 및 기업이 과도하게 통신을 검열, 감시하는 관행을 억제시키는 것이기 때문에, 단순히 수치를 중립적으로 제공하기보다 대중의 관심을 끌 수 있는 개별 사안에 대한 이슈화 및 비평들의 역할도 필요하다는 의견을 제시하였다.
이어진 2일 간은 소규모 그룹회의를 통하여 워크샵 참여자들의 투명성보고의 발전 방향에 대한 구체적이고 심층적인 의견교환이 이루어졌다.
‘주요 투명성보고 데이터의 세팅 및 접근, 구조 (Structure of, and Access to, Primary Transparency Datasets)’를 주제로 이루어진 회의에서는, 최근 공개되고 있는 정부 및 기업의 데이터의 종류와 그 근거 규정, 그 한계와 보충되어야 할 항목들에 대한 논의가 이루어졌다.
특히, 접근 부분에 관해서는 투명성보고서를 공개하고 있는 경우에도, 정부와 기업 모두 데이터 혹은 투명성보고서를 쉽게 찾을 수 없도록 하고 있어, 적극적으로, 접근하기 쉬운 방법으로 제공되고 있는 것으로 보이지 않는다는 점이 지적되었다. 또한 기업 보고서의 경우, 텍스트나 표 시트가 아닌 이미지 등으로의 제공은 오히려 데이터를 활용, 분석하는 데에 있어 복사, 붙이기 등의 작업을 어렵게 한다는 문제점이 있으므로, 이를 용이하게 하는 방향으로 데이터가 공개되어야 한다는 의견도 있었다.
단순히 요청 건수, 제공 건수만 공개하는 것은 질적 평가를 불가능하게 한다는 것이 공통된 의견이었다. 따라서 1. 요청 형식 (공식/비공식, 긴급/일반, 영장유무), 2. 제공 사항 (통신내용/통신기록/신원정보), 3. 목적 및 근거 규정 (죄명 등), 4. 요청 기관명, 5. 관련 서비스 유형 (메일, 메신저, 동영상, 게임 등), 6. 사후 기소율, 유죄판결율 등과 같은 구체적 데이터 항목이 공개될 필요가 있다는 의견이 오갔다. 또한 특히 기업 보고서의 경우에는, 기업이 이용자의 권리를 잘 보장하고 있는지를 평가하여야 하므로, 제공 근거규정에 대하여 단순히 법률만을 인용할 것이 아니라, 각사의 정책에 따른 구체적인 검토, 제공 기준을 공개하고, 구글이 하고 있는 것과 같이 특히 문제될 수 있는 사안에서 제공을 거절 사례와 그 이유를 서술하는 방식의 항목이 필요하다는 의견이 있었다.
각 기업의 투명성보고서를 비교, 분석하는 작업을 하는 연구자들의 입장에서는, 나라별로 제도가 다르고, 또한 기업별로 공개 항목도 달라 연구에 상당한 고충이 따르고, 또한 더 나은 투명성보고 관행을 수립하기 위하여 투명성보고서의 표준화 작업이 필요하다는 데에 입을 모았다.
‘주요 데이터 수집 및 게시 방법론(Methods of Gathering and Presenting Primary Data)’을 주제로 한 회의에서는, 각 연구자들이 어떻게 데이터들을 수집하고, 종합하여 일반에게 게시하고 있는지, 효율적인 투명성보고를 위하여 중점을 두어야 할 것이 무엇인지를 논의하였다.
각 국가 내에서 이루어지는 감시, 검열 현황을 관리하는 중앙화된 시스템이 없는 경우에는, 개별 기관마다 따로 정보공개청구를 하여야 하고, 국가 전체적으로 이루어지는 현황을 파악할 수 없다는 한계가 있었고, 또한 이러한 관리와 공개를 의무화하는 근거규정이 없는 이상, 개별 기관들도 공개요청에 불응하는 경우가 많기 때문에, 입법으로 중앙화된 관리와 공개를 의무화하는 것이 가장 효율적인 정책 전략임이 시사되었다. 스노든 사태 이후, 각국 정부의 투명성보고 책임에 대하여 관심이 집중되고 있고, 앞으로 APEC, OECD 등 국제회의에서도 정부의 투명성보고가 주요한 이슈가 될 것이라는 예측도 있었다.
투명성보고서를 발간하는 기업이 늘어남에 따라, 더 나은 투명성보고 관행을 촉진하기 위하여, 각 기업의 투명성보고 수준을 평가하고 순위를 매기는 시민단체의 활동도 있었다. 이러한 활동은 각 사업자들이 모범적인 사례를 따르도록 유인할 수 있다는 면에서 고무적이라는 평가가 일반적이었다.
국가별 투명성보고서의 리스팅 작업과 투명성 수준에 대한 평가 작업에 대한 논의도 오갔다. 비록 공개되고 있다고 하더라도 언어와 제도가 달라서 분석에 어려움이 따를 것으로 예상되지만, 감시, 검열 현황을 공개하지 않고 있거나, 혹은 공개 수준이 낮은 국가들에게 다른 국가의 공개 사례를 근거로 제시하는 것만으로도 공개 요청에 있어 중요한 자료가 될 수 있으므로, 참여자들이 함께 이러한 작업에 힘쓰기로 하였다.
전체적으로 투명성보고 관련 논의에 있어서 연구자들이 가장 신경쓰는 부분은, 투명성보고서가 사회에 메세지를 던질 수 있는, 중요한 자료가 될 수 있는가였다. 이를 위해서는 더 구체적인 내용에 대한 투명성이 필요한데, 아직 정부도, 사업자도, 통신 감시, 검열 행태에 대하여 대중이 정확한 평가를 내릴 수 있을 정도의 데이터는 제공하지 않고 있다. 더 나은 투명성을 확보하기까지는 상당한 시간과 노력이 필요할 것으로 보이고, 투명성보고만으로 정부나 기업의 행태가 가시적으로 변화하지는 않겠지만, 포기할 수는 없는 영역인 것이다. 이번 워크샵은 이러한 장기적인 주제에 대하여 각국, 각계의 연구자들이 머리를 맞대고 발전방향을 모색하고 국제적인 모범 기준을 세우는 지속적인 연대활동의 중요성을 일깨워주는 소중한 시간이었다.
- 김가연 변호사 발표 내용:
KELLY KIM: This discussion on the right to be forgotten is very important especially in Korea, as the Korean Communication Commission, which is FCC of Korea, is considering adopting a right-to-be-forgotten law since the ECJ decision Google Spain came out. It hasn’t been particularly successful yet, but we are worried that we might become the first country to have the right to be forgotten statute, on top of rigorous online censorship carried out by an administrative agency called the Korea Communications Standard Commission which is taking many lawful contents down whenever it’s “necessary for nurturing sound communication ethics.” a standard as vague and amorphous as the standards used by the Google Spain decision: ‘excessive’, ‘obsolete’, ‘irrelevant’.
Data Protection law in general defines “personal Information” as information related to a living individual and gives the data subject the power to control his or her personal data. A tenet that “one owns data about him or her (and therefore should have control over that data)” sounds good but is not always sustainable and compatible with respect for others’ freedom of thoughts and expressions. For example, “Kelly Kim is a lawyer” is data about me that is known to many already. And the question is, when and under what grounds can I control this perfectly lawful data about myself, that resides in other people’s heads, that is non-defamatory and non-privacy-infringing?
Well, the Google Spain case was one answer to that Question, which we consider more or less lousy. One reason is that the information deindexed, which was a hyperlink, was already publicly available data, which was published in the newspaper. So applying data protection law on such information is against its original purpose, because the data protection law was meant to protect data that are not publicly available and thus within the privacy area. We wanted to protect privacy through a data protection law. We should not protect people’s desire to wipe out unfavorable or embarrassing information about themselves.
Let me give you an example on how the right to be forgotten can be abused.
Korea became independent of a 36-year Japanese colonial rule in 1948. Many Korean people collaborated with the colonial administration and exploited their fellow Koreans.The issue is current because, unlike Germany or France, there has been no government-sponsored efforts to indict and bring to justice those collaborators who number in tens of thousands. And many were not public figures during the colonial periods and they have never been. Some of them were the officers or civic servants who carried out the military logistics and tactics of the Japanese invasion through Asia, which reached as far as Myanmar. And now there is an NGO-led effort to keep the encyclopedia of these Korean collaborators. Of course, the collaborators and the descendants are contesting these efforts. So, in this case, if the right to be forgotten law in the sense of Google Spain is in place, any links to the encyclopedia or the entries themselves may be required to be taken down for the reason that their past wrongdoings are now obsolete because it was more than half a century ago.
So we should stop talking data ownership and start talking about privacy. And the right to be forgotten should not be applied to data that are publicly available, although it’s about an individual. Thanks.
참여세션 2: WS60 ICT 기업의 디지털 인권 순위 측정(Benchmarking ICT companies on Digital Rights)
- 김가연 변호사 발표 내용:
KELLY KIM: This discussion on right to be forgotten or the right to be de-indexed is important for Korea as Korean government and the Korean Communication Commission, which is the U.S.’s FCC of Korea is considering adopting a right-to-be-forgotten law since the ECJ decision Google Spain came out. However, it hasn’t been particularly successful yet because right to be forgotten in a broad sense is very widely recognized in Korea already.
Firstly, we already have a law under which an individual can compel intermediaries to take down information that is allegedly defamatory or infringing on privacy. And what makes this law similar to the right to be forgotten is that information is required to be taken down simply upon allegation short of any proof of infringement. So every year, more than 200,000 postings are being taken down by the intermediaries, simply for a reason that that data subjects do not like the postings about them. Marianne just mentioned stats from Google that last year like 228,000 requests were received. So you can tell how bad the situation is in Korea. and that means we have that many individual cases that year.
Secondly, we also have an administrative agency called the Korea Communications Standard Commission, which exercises rigorous online censorship. Korea Communications Standard Commission is empowered by the law to make takedown requests on even lawful contents, whenever it is “necessary for nurturing sound communication ethics.” Any lawful content can be taken down by the Korea Communications Standard Commission if it violates the standard. This is a standard as vague and amorphous as the standards used by the Google Spain decision: which are ‘excessive’, ‘obsolete’, ‘irrelevant’.
Thirdly, we have criminal defamation law that punishes even non-privacy infringing, truthful statements, which allows a data subject not only to request takedown but also to criminally punish others for saying bad but true statements about him or her.
And fourthly and finally, you also have data protection law that may or may not give a data subject a blanket authority to demand data erasure about him or her. Well, apparently there aren’t many such requests made, so we don’t have a court case yet.
I just want to underline that if we limit right to be forgotten only to de-indexing from the search, okay, we don’t have any case yet. However, we don’t need a such right in Korea because there are many legal tools that I just illustrated that are used to expunge online information that you don’t like.
So we want to protect privacy through data protection law. We should not protect people’s desire to wipe out unfavorable or embarrassing information about themselves. Think about a word where only favorable or delightful information about a person lasts. I don’t want to live in that world. Thank you.
○ 11월 12일 목요일(Day 3)
참여세션: WS169 인터넷 관측소 설립: 접근법과 도전(Building Internet Observatories: approaches and challenges)
- 주최:
Diego R. Canabarro / Carlos Affonso de Souza – Brazilian Internet Observatory, Multistakeholder Initiative
- 김가연 변호사 발표 내용:
KELLY KIM: Open Net is a Civil Society Organization fighting for digital rights in Korea. We are supporting the Korea Internet Transparency Report project, which is very well staffed as we have one full‑time lawyer. The methodology of the project is, we gather all legally available data on government requests related to internet transparency, which are online censorship and surveillance. And then we analyse the data and present observations and findings in accessible form and you will find them on the website. PDF version of our report is also available.
And the sources of the data are varied from government to private companies. And the aim of the project is: promoting civic awareness of online censorship and surveillance carried out by the government; promoting transparency reporting of both the government and private companies; and raising issues and making the public aware of the problems associated with the government’s practices and policies of Internet censorship and surveillance, and in the end, bring about changes.
So the project launched last year. And interestingly, two major Internet companies in Korea, which are Daumkakao and Naver, started to publish transparency reports in few months. So we considered it a great achievement and we also proposed a Bill together with National Assembly members mandating Government’s transparency reporting on mass surveillance.
And also we are involved in Stanford’s WILmap project in building South Korea page. And the map has been very useful in our advocacy for fixing intermediary regime in Korea. I must say we have been integrating the data and observations with our actions in promoting user rights on the Internet very effectively. Thank you.
○ 11월 13일 금요일
참여 세션: WS 242 정보매개자 책임에 관한 마닐라원칙(The Manila Principles on Intermediary Liability)
방송통신위원회는 2016년 업무계획에서 빅데이터 시대를 대비하여 비식별화와 익명화 조치 근거를 만들어 선사용-후동의(opt-out) 방식의 개인정보 활용 산업을 활성화하겠다고 밝힌 바 있습니다. 이 같은 움직임은 이익형량의 고려가 부족한 사전 동의(opt-in) 방식의 현행 개인정보보호 법령이 기업들의 개인정보를 활용한 서비스를 부당하게 제한하고 있다는 인식에 근거하고 있습니다.
그러나 비식별화 및 익명화 처리에 대한 이해와 방법론이 불분명한 상황에서 옵트아웃 제도의 도입은 개인정보 자기결정권을 사실상 무력화시킬 수 있다는 우려와 비판의 목소리가 큽니다. 논의의 전제인 사전동의 방식의 개인정보 보호 효과에서부터 비식별화와 익명화의 개념정의, 국내외 개인정보보호 법령의 해석 등 많은 부분에서 주장이 엇갈리고 있는 것도 사실입니다.
이번 3월 정기 오픈넷 포럼에서는 개인정보 분야의 전문가들을 모시고 개인정보 비식별화/익명화 및 옵트아웃 정책을 둘러싼 각 계의 주장을 정리해보고 개인정보 보호에 대한 합리적 정책 방향을 모색하고자 합니다.
제안합니다. 이미 야당에 의해 예고된 필리버스터의 종료 전에, 국회에 모입시다. 장내에서 필리버스터를 했던 국회의원들, 장외에서 필리버스터를 했던 시민들이 만나야 합니다. 우리가 했던 일들에 대해, 우리가 지켜내고자 했으나 지켜낼 수 없었던 것들에 대해 진단하고 평가하고 새로운 전망을 찾기 전에 이렇게 마무리되어서는 안됩니다. 우리의 상황을 냉정하게 진단하고, 비판할 것은 매섭게 비판하고, 앞으로 어떻게 싸워야 우리의 자유와 권리와 존엄을 되찾을지 얼굴을 맞대고 얘기해야 합니다. 오후 4시 국회에서 모입시다.
사단법인 오픈넷은 8월 30일 화요일, 청소년과 청소년의 부모를 대리하여 청소년의 스마트폰에 차단수단을 강제설치하도록 하고 있는 전기통신사업법 조항(일명 “청소년 스마트폰 감시법”)에 대해 헌법소원을 청구했다.
작년 4월 16일부터 시행된 전기통신사업법 제32조의7은 이통사가 청소년과 전기통신서비스 제공에 관한 계약을 체결하는 경우 청소년유해매체물 및 음란정보에 대한 차단수단을 제공하여야 한다고 하고 있으며, 동 법 시행령 제37조의8는 이통사가 계약 체결 시 차단수단의 종류와 내용 등을 고지하고 차단수단을 설치하도록 강제하고 있고, 계약 체결 후에는 차단수단이 삭제되거나 차단수단이 15일 이상 작동하지 아니할 경우 법정대리인에게 통지하도록 하고 있다. 차단수단이라 함은 스마트폰 애플리케이션을 말하는데, 현재 총 19개의 앱이 유통되고 있다.
청소년 스마트폰 감시법은 유해정보로부터 청소년을 보호하자는 좋은 취지로 도입되었으나, 문제는 이통사가 청소년이나 부모의 의사와 상관없이 차단수단을 의무적으로 설치해야 하며, 차단수단의 삭제 또는 비활성화 여부를 확인해서 부모에게 통지해야 한다는 것이다. 이 과정에서 이통사는 차단수단을 통해 청소년이 스마트폰으로 어떤 정보를 검색하고 접근하는지에 대한 정보를 수집하고, 차단수단의 작동 여부를 확인하기 위해 청소년의 스마트폰을 상시 감시해야만 한다.
또한 현재 시중에 나와 있는 차단 앱 중 다수는 유해정보 차단을 넘어 스마트폰 사용 모니터링, 위치 조회 등 청소년의 사생활을 과도하게 침해하고 개인정보를 수집하는 기능들을 갖추고 있다. 이렇게 감시 내지 모니터링 기능을 갖춘 앱은 보안이 취약한 경우가 많아 해커들의 표적이 되며, 청소년을 개인정보 유출, 해킹 등의 보안 위험에 노출시킨다. 특히 정부가 개발, 보급한 “스마트보안관”은 무려 26건의 보안 취약점을 갖고 있음이 시티즌랩의 보고서에 의해 밝혀져 큰 파장을 불러일으켰다.
청소년 스마트폰 감시법은 이통사가 청소년의 스마트폰에 차단수단을 의무적으로 설치하고 청소년이 어떤 정보를 검색하고 접근하는지를 상시 감시하게 하여 스마트폰을 사용하는 청소년의 사생활의 비밀과 자유를 침해하고, 청소년과 법정대리인의 개인정보를 수집, 보관, 이용하기 때문에 개인정보자기결정권도 침해한다. 또한 차단수단에 의해 유해정보뿐만 아니라 합법적이고 교육적인 정보도 차단되어 청소년의 알 권리를 침해하며, 차단수단 설치 여부에 대해 청소년 및 법정대리인의 선택권을 인정하지 않아 부모의 자녀교육권을 침해한다.
또한 법률에서는 음란물에 대한 “차단수단을 제공해야 한다”고 하고 있는데, “제공”을 어떻게 해야 하는 것인지 명확하지 않다. 게다가 청소년보호법상의 절차에 따라 사전적으로 규정되는 청소년유해매체물과 달리 음란물은 그러한 절차가 없는데도 사업자가 사전적인 조치인 “차단수단”을 제공하라고 하여 포괄위임금지원칙에 반한다. 그리고 해당 시행령은 제공만 하라는 모법과 달리 청소년의 스마트폰에 대한 365일 24시간 상시적인 감시를 요구하고 있어 법률이 위임한 한계를 일탈하고 있다. 특히 개인의 분신과도 같은, 개인의 공사생활에 대한 정보가 담겨있는 기기에 대해 상시적인 감시를 요구하는 것을 입법자가 의도했다고 보기 어렵다.
이렇게 전 세계적으로 유례가 없는 감시 앱 강제설치법은 “청소년 보호라는 명분에 치우쳐” 국가가 청소년의 스마트폰 사용까지 챙기고 간섭하는 것을 허용하는 “전근대적이고 국가주의적일 뿐만 아니라 행정편의주의적인 발상에 기대고 있는 것”이다(헌재 2014. 4. 24. 2011헌마659 등). 헌법재판소의 현명한 판단을 기대한다.
최근 이른바 한국NFC 사태로 본인확인기관 제도에 대한 논란이 뜨겁습니다. 이 문제의 핵심은 정보통신망법의 본인확인기관 제도에 있습니다. 자세히 들여다보면 본인확인기관이 주민등록번호 대체수단을 개발하라는 도입취지와 달리 국가후견주의적 사업으로 기능하는 것이 아닌지에 대한 근본적인 질문을 마주하게 됩니다.
정보통신망법상 본인확인기관은 예외적으로 주민등록번호 수집 권한이 있고 또한 본인확인을 요구하는 수많은 법령들이 본인확인기관이 제공하는 본인확인 서비스를 이용하도록 하고 있어 시장에서 이동통신사들이 제공하는 SMS 방식의 본인확인 서비스는 이미 독점적인 지위를 유지하고 있습니다. 최명길 의원실이 방송통신위원회로부터 제공받은 자료에 따르면 이동통신 3사는 작년 한 해에만 본인인증 서비스에서 258억 원 정도의 수익을 올린 것으로 보도되기도 했습니다.
본인확인기관의 개인정보보호 미비 논란, SMS 방식의 보안 취약성 논란 등은 차치하더라도, 2016년 현재 과연 국가가 계속 본인확인기관을 지정할 필요가 있을까요? 사업자들이 영위하는 사업 특성에 맞게 적당한 기술과 방법을 통해 본인확인을 하고, 그 미비점은 사후에 규율하는 것이 타당한 규제 방법이 아닐까요?
이번 오픈넷 포럼에서는 이와 같은 문제의식에서 본인확인기관 제도에 대한 바람직한 규제 개선 방향을 모색하기 위해 다양한 의견을 청취하려고 합니다. 관심 있는 많은 분들의 참여를 바랍니다.
시민들의 의견
댓글 달기