9월 10일 유엔 인권이사회 아동권리위원회(the Committee on the Rights of the Child, CRC)는 아동매매·성매매 및 아동음란물에 관한 아동권리협약 선택의정서(Optional Protocol on the sale of children, child prostitution and child pornography, OPSC) 지침 최종본(이하 ‘OPSC 지침’)을 공개하고, 9월 26일 공식적으로 공표했다. 이에 사단법인 오픈넷은 공표 전일인 9월 25일 OPSC 지침 중 ‘아동음란물(child pornography)’의 범위를 실제 아동이 등장하지 않는 가상아동음란물로 확대하는 부분에 대한 우려를 표명하는 의견을 CRC에 제출했다.

아동의 권리에 관한 협약(The Convention on the Rights of the Child)은 전 세계 196개 국(2019년 7월 기준)이 비준한 국제협약으로 가장 많은 비준국가를 보유한 국제인권법이다. 우리나라에서는 1991. 12. 20. 발효되었으며, OPSC는 2002. 1. 18. 발효되었다. OPSC 제2조 (c)는 아동음란물을 다음과 같이 정의하고 있다.

“아동음란물”이라 함은 수단을 불문하고 실제 또는 가상의 노골적인 성적 활동에 관련된 아동에 대한 표현 또는 성을 주목적으로 한 아동의 성적 부위에 대한 표현을 말한다.

Child pornography means any representation, by whatever means, of a child engaged in real or simulated explicit sexual activities or any representation of the sexual parts of a child for primarily sexual purposes.

그동안 OPSC는 실존 아동이 등장하는 아동음란물에 적용된다는 점에 대해서 이견이 없었다. 그런데 이번에 제정된 OPSC 지침은 당사국에 다음과 같은 권고를 내렸다.

63. 위원회는 도화 및 가상 표현물을 포함해 실존하지 않는 아동 또는 아동으로 보이는 사람이 노골적인 성적 행위에 연루된 것을 묘사하는 온라인 및 오프라인 자료의 범람과 그러한 자료가 아동의 존엄성과 보호에 미칠 수 있는 심각한 영향에 대해 심히 우려하고 있다. 위원회는 각 당사국이 실존하지 않는 아동 또는 아동으로 보이는 사람에 대한 표현물을 아동성폭력물(아동음란물)과 관련된 국내법에 포함시킬 것을 권장하며, 이러한 표현물이 아동의 성착취 과정에서 이용되는 경우 특히 그러하다.

63. The Committee is deeply concerned about the large amount of online and offline material, including drawings and virtual representations, depicting non-existing children or persons appearing to be children involved in sexually explicit conduct, and about the serious effect that such material can have on children’s right to dignity and protection. The Committee encourages States parties to include in their legal provisions regarding child sexual abuse material (child pornography) representations of non-existing children or of persons appearing to be children, in particular when such representations are used as part of a process to sexually exploit children.

이번에 공표된 OPSC 지침의 아동음란물 관련 조항은 CRC가 올해 3월까지 의견을 받았던 OPSC 지침 초안에서 대폭 수정되었다. CRC가 밝힌 바로는 300건 가까이 접수된 의견 중 200여 건이 아동음란물, 특히 가상아동음란물 조항에 관한 것이었다고 한다. OPSC 지침 초안은 국제 아동권리옹호단체인 ECPAT의 룩셈부르크 지침(Luxembourg Guidelines)을 전적으로 받아들여, 아동음란물의 범위를 사진, 그림, 영상 같은 시각적 자료뿐만 아니라 청각적 자료, 글, 조각, 장난감, 장식품 등 모든 형태로 확대하고, 실존하지 않는 아동이나 아동으로 보이는 사람이 등장하는 가상아동음란물도 아동음란물에 포함시켜 똑같이 형사처벌할 것과 OPSC가 규정하는 처벌의 대상인 소지의 범위를 특정 목적에서 단순 소지로 확대시킬 것을 권고했다. 이에 대해 주로 일본과 미국에서 다수의 반대의견이 접수되었고, 특히 만화가나 만화애호가들의 반발이 심했으며, 주요한 이유는 가상아동음란물은 실존 아동에 대한 성착취가 아니며 표현의 자유를 침해할 수 있다는 것이었다. OPSC 지침 최종본은 이러한 의견들을 반영한 결과물로 보인다. 그럼에도 불구하고 여전히 OPSC 지침은 “실존하지 않는 아동 또는 아동으로 보이는 사람”이 등장하는 경우에도 아동음란물에 관한 법으로 처벌할 것을 권고하고 있어 우려스럽다. 

우리나라는 2011년 9월 15일 아동·청소년의 성보호에 관한 법률(이하 ‘아청법’)을 개정하여, 아동·청소년이용음란물(이하 ‘아동음란물’)의 범위를 “아동·청소년이 등장하여” 성적 행위를 하는 내용을 표현하는 것에서 “아동·청소년 또는 아동·청소년으로 인식될 수 있는 사람이나 표현물이 등장하여” 성적 행위를 하는 내용을 표현하는 것으로 확대했다. 그 여파로 불과 1년 뒤인 2012년에 아동음란물 관련 아청법 위반(당시 제8조) 사건 접수 건수가 2011년 100건에서 2012년 2,224건으로 무려 22배나 증가했는데, 이는 갑자기 아동음란물이 늘어났기 때문이 아니라 만화, 애니메이션, 또는 성인배우가 교복을 입고 연기하는 소위 교복물까지 아동음란물로 단속했기 때문이다. 이러한 부작용을 시정하기 위해 불과 1년 뒤인 2012년 12월 18일 아청법상 아동음란물의 정의는 “아동·청소년 또는 아동·청소년으로 명백하게 인식될 수 있는 사람이나 표현물이 등장”하는 것으로 축소되었다. 그렇지만 여전히 가상아동음란물에 대한 기소가 이어져, 만화, 애니메이션, 성인 교복물 등에 대해 아청법 위반 무죄를 선고하거나 위헌제청을 하는 법원이 나오기 시작했다. 그리고 2015년 헌법재판소는 구 아청법 위헌법률심판 사건에서 “‘아동·청소년으로 인식될 수 있는 사람’은 일반인의 입장에서 실제 아동·청소년으로 오인하기에 충분할 정도의 사람이 등장하는 경우를 의미”한다고 합헌 해석을 하였다(2015. 6. 25. 2013헌가17·24, 2013헌바85(병합)).

실존 아동이 등장하는 아동음란물의 경우 제작 과정에서 해당 아동에 대한 성폭력과 성착취가 이루어진 것이므로 당연히 다른 아동성범죄의 경우와 같이 강력하게 처벌해야 한다. 또한 실존 아동의 사진으로 만드는 등 실제 아동으로 오인하기에 충분할 정도의 사람이 등장하는 아동음란물의 경우 실존 아동의 인격과 프라이버시가 침해되기 때문에 아동성범죄에 해당한다. 그러나 만화, 애니메이션, 성인 배우를 사용한 가상아동음란물의 경우에는 피해 아동이 존재하지 않으므로 아동성범죄와 동일하게 처벌해서는 안 되고 일반 음란물의 기준으로 처벌해야 한다는 것이 오픈넷의 입장이다. 오픈넷은 CRC에 제출한 의견서에서 국내에서 2011년 아동음란물의 정의를 실존 아동이 등장하지 않는 가상아동음란물으로 확대한 이후 발생한 문제점을 지적하고, 이러한 내용을 CRC가 OPSC 지침의 적용시 참고할 것을 요청했다. 

2019년 10월 11일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

[관련 글]
[캠페인] 아동청소년성보호법 소송지원과 법개정을 위한 캠페인
아청법 표준변론요지서(파일첨부)
아동청소년의 성보호에 관한 법률 수사 매뉴얼 (최종수정 13.06.25.)
당신이 아청법에 관해 알아야 할 다섯 가지 (슬로우뉴스 2015.07.07.)
[보도자료] 오픈넷 긴급특강 – 아청법 합헌 결정에 부쳐 (2015.07.06.)
[논평] 헌법재판소의 아청법 제2조 제5호 합헌결정에 대한 오픈넷의 논평 (2015.06.25.)
[논평] 성인교복물 및 애니메이션에 대한 법원의 아청법 무죄 판단을 환영한다.(2014.09.30.)
[논평] “애니메이션에 아청법이 적용되는 경우 위헌”이라는 수원지방법원 안산지원의 결정을 환영한다. (2013.08.20.)
[논평] 수원지방법원의 성인교복물 아청법 무죄 판결을 환영한다. (2013.06.27.)
[논평] 법원의 아청법 위헌법률심판 제청을 환영한다. (2013.05.30.)
[오픈블로그] 아동·청소년이용음란물 관련사건 1년 만에 22배 늘었다. (2013.03.29.)
[오픈블로그] 아청법 개정안, 실존하는 아동·청소년의 표현물인 경우에만 처벌 (2013.03.06.)
[보도자료] 사단법인 오픈넷, 아동∙청소년성보호법 과도한 적용에 헌법소원 제기 (2013.03.14.)  

사단법인 오픈넷은 2019. 11. 18. 게임산업진흥법 일부개정법률안(조승래의원 대표발의, 의안번호: 2022418)에 대하여 찬성의견을 국회에 제출했다. 위 개정안은 아직 의학적 뒷받침이 부족한 ‘게임중독’이라는 용어를 삭제, ‘게임과몰입’으로 용어를 정비해 게임 사용의 위축효과를 줄이고, 청소년이용불가 게임물 이용자의 회원가입 시에만 본인인증을 하도록 하여 게임물 이용자 전반의 익명표현의 자유를 보호할 수 있도록 한다. 또한 게임물이 등급거부대상 게임물 등이라도 사안이 경미한 경우 자체등급분류사업자가 이를 시정할 수 있도록 하여 침익적이지 않은 방법으로 문제해결의 기회를 부여한다. 이와 같이 위 개정안은 현행 게임산업진흥법상의 위헌성을 감소시키고 표현의 자유를 보다 보호할 수 있을 것으로 보인다.

문의: 오픈넷 사무국 02-581-1643, [email protected]

『게임산업진흥법 일부개정법률안』에 대한 의견서

1. 개정안의 요지

게임산업진흥에 관한 법률 일부개정법률안(조승래의원 대표발의, 의안번호: 2022418)은 ① 게임과몰입·중독을 게임과몰입으로 정비하고, ② 청소년이용불가 게임물 이용자의 회원가입 시에만 본인인증을 거치도록 하며, ③ 자체등급분류한 게임물이 등급거부대상 게임물등에 해당 된다고 판단하는 경우 위원회는 자체등급분류사업자에게 지체없이 통보하고 그 등급분류의 시정·보완을 요구할 수 있도록 하는 내용임.

2. 현행 규정의 문제점

① 게임중독이 질병으로 분류되어야 하는지에 대한 의학계의 결론이 내려지지 않았음에도 현행법은 ‘게임중독’이라는 용어를 사용하여 게임사용의 위축효과를 가져오고 있음. 이와 더불어 최근 세계보건기구(WHO)의 게임중독(gaming disorder) 질병코드 등록으로 인하여 게임을 통한 표현의 자유 실현에 보다 큰 위축효과가 우려됨.

② 현행법은 이용자가 게임을 이용하기 위해서 회원가입을 하게 될 경우 실명·연령 확인 및 범용 공인인증서, 아이핀(I-pin), 휴대폰 등 제한된 인증수단만을 이용한 본인인증을 거치도록 의무화하고 있어 익명으로 게임을 할 수 없도록 하여 익명 표현의 자유를 침해하고, 게임업체와 사용자들의 인증기술 선택권을 박탈하며, 모든 게임 사용자의 정보 수집을 강제하여 과도한 개인정보수집 및 이에 따른 개인정보보호의 문제가 있음.

③ 사행성게임물에 대한 등급분류거부제도가 헌법 제21조 제2항에서 금지하는 ‘사전검열’에 해당하는지에 관한 논란이 있고, 청소년 이용불가 등급 게임물에 대한 자체등급분류 제외는 청소년유해물 매체별 심의형태가 사전심의 또는 사후심의로 달라져 형평성의 문제가 있다는 등의 지적을 받아옴.^[1]

3. 본 개정안은 게임산업진흥에 관한 법률의 위헌성을 감소시키고 표현의 자유를 보다 보호할 수 있도록 하는 내용임

① 본 개정안은 의학적 뒷받침이 부족한 ‘게임중독’이라는 용어를 삭제하고 ‘게임과몰입’이라는 용어만을 사용하여 게임이용에 대한 부정적 평가를 자제하고 게임을 통한 표현의 자유 실현을 정당한 표현의 수단 중 하나로 인정받을 수 있도록 하는 데 기여함.

② 청소년이용불가 게임물 이용자의 회원가입시에만 본인인증을 하도록 하여 게임 이용자의 개인정보를 최소한의 범위에서 수집하고, 전체 게임물 이용자의 실명을 확인하지 않도록 하여 익명표현의 자유를 보호함.

③ 게임물이 등급거부대상 게임물등이라도 사안이 경미한 경우 문화체육관광부장관의 요청 또는 직권으로 등급분류 결정을 하거나 자체등급분류사업자의 등급분류 결정을 취소하기 전에 자체등급분류사업자가 이를 시정할 수 있도록 하여 자체등급분류사업자에게 보다 침익적이지 않은 방법으로 문제해결의 기회를 줌.

본 개정안은 게임산업진흥에 관한 법률의 위헌성을 감소시키고 표현의 자유를 보다 보호할 수 있도록 할 것으로 보임. 

^[1] 문기탁, “게임물 등급분류의 문제점과 법적 과제”, (전북대학교 법학연구소, 법학연구 통권 제54집, 2017).

SKB, 소비자 편익과 국제접속료 부담 모두 개선해주는 해법 거부해

SKB가 방송통신위원회(이하 “방통위”)에 넷플릭스와 “망 이용료” 정산에 대한 재정신청(즉 사인들간의 협상을 정부부처가 중재해달라는 신청)을 했다고 한다. 사단법인 오픈넷은 SKB 이용자들의 넷플릭스 접속속도 저하의 책임은 망사업자에게 있기 때문에 재정신청을 거부해야 한다고 본다. 인터넷 접속속도 개선의 부담을 콘텐츠 제공자에게 부과한다면 그것은 인터넷의 기본구동원리로서의 망중립성을 위반하는 것이며 세계 유일의 갈라파고스 규제를 또 하나 만들어내는 일이 될 것이다.

SKB는 아래 그림과 같이 최소한 100Mbps의 인터넷 접속속도를 이용자들에게 약속하고 있는데 넷플릭스 접속에 있어서는 평균 3.58 Mbps (넷플릭스 ISP 속도 인덱스 https://ispspeedindex.netflix.com/country/south-korea/) 밖에 제공하지 못하고 있다. 

SKB는 이미 넷플릭스를 포함한 세계 대부분의 콘텐츠를 정상적인 속도로 볼 수 있다는 약속을 하고 접속료를 받아왔다. 그렇다면 SKB는 그 접속료 매출을 이용해 전 세계 다른 단말과의 소통이 소비자에게 약속한 속도로 이루어지도록 상위 망사업자와 충분한 용량의 접속을 확보할 의무, 즉 국제망 증설을 할 의무가 있다. 실제로 넷플릭스를 이용하는 사람들의 숫자를 생각한다면 SKB가 ‘넷플릭스까지 감안하여 접속속도를 보장한 것이 아니다’라고 발뺌할 수는 없다. 언론에 따르면 넷플릭스가 올해 두 차례 국제망 증설을 했다고 하면서 더 이상 국제망 증설비용을 감당하기 어렵다고 하는데 위 그림처럼 100Mbps에서 10Gbps의 속도를 소비자들에게 약속한 이상 이러한 증설은 당연한 것이다. 

현재 넷플릭스는 SKB에 “망 이용료”를 한 푼도 내고 있지 않은데 이것은 당연한 일이다. 왜냐하면 인터넷은 전 세계의 모든 단말들이 “착신지를 향해 옆으로 전달”한다는 약속을 중심으로 묶여있는 연합체를 말하는 것으로서 중간의 게이트 키퍼 없는 any-to-any 정보전달이 가능하도록 하기 위해서는 각자의 정보전달에 아무런 금전적·비금전적 조건을 부과하지 않아야 한다는 조건으로 만들어진 통신체계이기 때문이다. 이에 따라 금전적 조건, 즉 정보전달료라는 것이 존재하지 않으며 이런 의미로 쓰이는 “망 이용대가”라는 말도 우리나라 언론과 정부 외에는 세계 어디에도 쓰이지 않는 말이다. 이런 약속 덕분에 전 세계의 각 단말들은 인터넷에 참여하고 싶다면 기존에 인터넷에 참여하는 단말 또는 단말그룹 1개(보통은 자신 지역의 망사업자)에 물리적 접속비용인 “접속료”를 내고 접속만 하면 전 세계의 단말들과 소통할 수 있다. 이 상황에서 망사업자가 넷플릭스나 다른 어떤 콘텐츠 제공자에게 별도의 “망 이용료”를 내라는 것은 인터넷상의 보편적(any-to-any) 표현의 자유를 보호해왔던 망중립성을 훼손하는 처사이다. 

게다가 넷플릭스는 각 지역의 넷플릭스 이용자들이 자주 보는 콘텐츠를 저장한 캐시서버를 무료로 그 지역의 망사업자에게 제공하여 그 지역의 이용자들이 더 가깝게 그러므로 더 빠르게 넷플릭스 콘텐츠를 접할 수 있게 하고 있다. 이렇게 하면 그 지역의 망사업자들이 상위 망사업자에게 내야 하는 접속료(transit fee라고 부름)를 절감해주기까지 한다. 이미 LGU+는 넷플릭스의 해법을 받아들여 국제망접속료도 줄이고 서비스 품질도 개선하였다. 더욱더 넷플릭스에게 별도의 “망 이용료”를 요구할 수 없다.

그러나 놀랍게도 SKB는 무료 캐시서버의 제공을 거부하고 있다. 언론에 따르면 SKB는 “캐시서버는 국내망 증설 비용은 전혀 줄이지 못하기 때문에 망 이용대가 문제의 근본 해결책이 될 수 없다”고 하고 있다. SKB는 국제망 증설부담이 힘겹다면서 이를 해소해주는 캐시서버는 거부하고 엉뚱하게 그 이유로 ‘국내망 증설비용’과 ‘망 이용대가’를 들고 있다. 인터넷의 구동원리에 따르면 망사업자는 ‘국내망 증설비용’이나 ‘망 이용대가’를 자신과 접속하지도 않는 콘텐츠 제공자에게 부담지울 수 없다. 

SKB는 캐시서버를 호스트하는 대신 돈을 받겠다는 주장을 하는 듯하다. 페이스북과 KT가 그런 계약을 한 것처럼 알려져 있는데 그 내용은 확실하지 않다. 그러나 정부가 망사업자들 사이에 발신자종량제를 강요하여 망사업자들이 그 부담을 콘텐츠 제공자에게 전가할 수밖에 없도록 만들어놓고 콘텐츠 제공자가 그런 제안을 거부했다고 해서 징계를 내리는 상황에서 제대로 된 캐시서버 접속료계약이 이루어질 수 있다고 보기 어렵다.

인터넷은 누구나 인터넷에 콘텐츠를 띄우면 전 세계 누구나 받아갈 수 있게 함으로써 인류 문명의 새 지평을 열었다. 게시자가 콘텐츠를 받아가는 사람들 숫자가 많을수록 ‘망 이용대가’ 같은 것을 망사업자들에게 내야 했다면 인터넷은 전혀 확산되지 못했을 것이다. SKB는 하나로망 등 군소망들을 흡수하며 태동한 망사업자로서 원래부터 국제접속을 위한 상위 망사업자와의 연결이 약했다. 이제 SKB는 고객에게 원활한 인터넷접속서비스를 판매했으니 이에 대해 책임을 질 차례이며 방통위가 개입하여 콘텐츠 제공자에게 접속속도에 대해 책임을 물려서는 안 될 것이다.  

2019년 11월 27일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

한국 이통3사 이용자 개인정보 열람청구권 보장 부족한 것으로 나타나

오픈넷 김가연 변호사, 연구의 일환으로 2017년 KT 상대 개인정보 공개청구 소송 제기해 1심 승소, 현재 항소심 진행중

지난 10월 16일 캐나다 토론토 대학교 산하 시티즌랩(Citizen Lab)은 한국, 홍콩, 호주, 인도네시아, 말레이시아 아시아 5개국 Access My Info(AMI) 프로젝트 연구 결과를 발표했다. AMI는 정보통신기업이 이용자에 대한 어떤 정보를, 얼마나, 어떤 목적에 의해 보유하고 있으며, 이러한 내용을 얼마나 공개하는지를 연구하는 프로젝트이다. 사단법인 오픈넷이 참여한 본 연구 결과에서 한국은 연구 대상 국가들 중 가장 강력한 개인정보보호법제를 가지고 있지만, 통신사들은 이용자의 개인정보 열람청구권을 피상적으로만 보장하고 있는 것으로 나타나 제도와 실무 사이의 간극이 큰 것으로 밝혀졌다.

2014년, 시티즌랩과 오픈이펙트(Open Effect)는 민간 기업이 이용자의 개인정보를 어떻게 수집, 보유, 처리, 공개하는지 알아보기 위해 AMI 프로젝트를 시작했다. 연구방법론의 일환으로 일반 대중이 맞춤형 개인정보 열람요청서를 생성할 수 있도록 도와주는 웹 기반 툴을 제공했는데, 이를 이용해 수만 명의 캐나다인들이 통신사에 개인정보 열람요청서를 보냈다. 당시 연구 결과는 기업들 간 대응이 일관되지 않으며, 소비자들이 자신의 개인정보에 접근하는 데 상당한 장벽이 있음을 보여주었다.

캐나다에서의 첫 AMI 프로젝트에 이어, 시티즌랩은 아시아에서 AMI 프로젝트를 진행하기 위한 작업반을 구성했다. 작업반에 한국, 홍콩, 호주, 말레이시아, 인도네시아 5개국의 학자, 변호사, 활동가 및 디자이너가 참여했으며, 한국 연구는 오픈넷이 맡았다. 2016년 1·2차에 걸쳐 진행한 연구에서 밝혀진 것은 이통3사가 모두 온라인 개인정보 열람신청 절차를 제공하고 있기는 하지만, 막상 회신을 받아보면 신청자에 대한 개인정보 자체는 제공하지 않고 KT는 일부 개인정보의 보유 여부만 O, X로 표시해서 제공하고, SKT와 LGU+ 개인정보 처리방침의 사본만 제공하고 있어 이용자의 개인정보 열람청구권을 제대로 보장하고 있지 않다는 것이다.

연구 결과에 기반하여 2016년 10월 오픈넷은 방송통신위원회(이하 “방통위”)에 KT의 부실한 개인정보 열람방식에 대해 진정서를 제출했고, 방통위는 이에 대한 답변으로 2018년 「온라인 개인정보 처리 가이드라인」을 발표하면서 “4. 개인정보 열람·제공 등 요구 운영 기준”에서 “열람·제공 등 요구에 대해 사업자는 개인화 조치된 정보의 형태(성명, 연락처, 로그기록, 쿠키 등)로 이용자가 제공받도록 조치해야 함”을 규정했다. 그렇지만 현재까지 이통3사의 관행은 여전하며, 이는 정보통신망법 제30조 위반으로 과태료 부과의 대상이다. 또한 오픈넷 김가연 변호사는 KT 이용자로서 모든 개인정보를 제공받기 위해 2017년 KT 상대로 개인정보 공개청구 소송을 제기했으며, 2018. 12. 4. 1심 승소 판결을 받고 현재 항소심의 판결을 기다리고 있다.

개인정보 열람청구권은 정보주체의 개인정보자기결정권 행사에 있어 가장 중요한 권리이다. 개인정보를 누가, 어떤 목적으로, 얼마나 오랫동안, 어떤 근거로 제3자와 공유하는지에 대해 알지 못한다면, 정보주체는 동의 철회나 정정·삭제 요구 등 다른 권리를 행사할 수 없고 기업이 그들의 정보를 적절하게 처리하고 있는지 평가할 수 없기 때문이다. 2019년 기준 전 세계 134개국이 개인정보보호법을 가지고 있고, 이론상으로는 대부분의 개인정보보호법이 개인정보 열람청구권을 보장하고 있지만, 실무상 기업들이 이러한 요청에 어떻게 대응하는지에 대한 실증적 연구는 찾아보기 어려웠다. 이번 AMI 연구 결과는 아시아·태평양 지역 최초 개인정보 열람청구권에 대한 실증적 연구라는 점에서 매우 큰 의미가 있다고 할 것이다.

“Access My Info – Measuring Data Access Rights Around the World” 연구 보고서(영문)

Access My Info 연구 보고서 요약

• 우리가 인터넷 연결·통신에 사용하는 서비스를 제공하는 기업은 우리의 개인정보를 어떻게 처리하고 있는가?
• 어떤 유형의 정보를 수집하는가?
• 얼마나 오래 정보를 보관하고 있는가?
• 정보를 제3자와 공유하는가?

개인정보를 누가, 어떤 목적으로, 얼마나 오랫동안, 어떤 근거로 제3자와 공유하는지에 대해 알지 못한다면, 소비자는 그들의 권리를 행사할 수 없고 기업이 그들의 정보를 적절하게 처리하고 있는지 평가할 수 없다.

2019년 기준 전 세계 134개국이 개인정보보호법을 가지고 있다. 많은 개인정보보호법제상 주요한 권리는 개인이 자신이 사용하는 제품이나 서비스를 제공하는 기업에게 보내는 서면 요청인 개인정보 열람요청(Data Access Requests, DAR)을 할 수 있다는 것이다. DAR은 기업이 한 사람에 대해 보유하고 있는 모든 정보를 공개할 것을 요구하며, 이는 언제, 어떻게, 누구에게, 그리고 어떤 이유로 그 사람의 개인정보를 공유하거나 공개하는지 그리고 기업의 개인정보보호 관행과 기업에 적용되는 개인정보보호법 준수에 관한 기타 세부사항을 포함한다. 개인정보 열람요청권은 이론상으로는 다수의 개인정보보호법에 포함되어 있지만, 실무상 기업들이 이러한 요청에 어떻게 대응하는지에 대한 실증적 연구는 찾아보기 어렵다.

2014년 시티즌랩(Citizen Lab)과 오픈이펙트(Open Effect)는 민간 기업이 개인의 개인정보를 어떻게 수집, 보유, 처리, 공개하는지 알아보기 위해 개인정보 열람요청과 관련 법, 정책, 기술을 활용하는 연구 프로젝트인 Access My Info(AMI)를 시작했다. 연구방법론에는 일반 대중이 서로 다른 산업에 맞춘 양식을 기반으로 한 개인정보 열람요청서를 생성할 수 있도록 도와주는 웹 기반 툴이 포함되어 있다.

AMI는 캐나다에 처음 적용되었고, 그 결과 수만 명의 캐나다인들이 통신사에 개인정보 열람요청서를 보냈다. 연구 결과는 기업들 간 대응이 일관되지 않으며, 소비자들이 자신의 개인정보에 접근하는 데 상당한 장벽이 있음을 보여주었다.

캐나다에서의 첫 AMI 프로젝트에 이어, 시티즌랩은 AMI 연구를 아시아로 가져와서 해당 지역에서의 DAR에 대한 대응을 비교적으로 측정하기 위한 작업반을 구성했다. 작업반은 다음과 5개국의 학자, 변호사, 활동가 및 디자이너가 참여했다.

• 홍콩: Lokman Tsui 교수(홍콩중문대), Stuart Hargraves 교수(홍콩중문대), 키보드전선(Keyboard Frontline, 시민사회단체), 인미디어(InMedia, 미디어 그룹), Jason Lee 디자이너
• 대한민국: 김가연 변호사(오픈넷), 박경신 교수(고려대)
• 호주: Adam Molnar 교수(워털루대/디킨대)
• 인도네시아: Sinta Dewi Rosadi 교수(파드자드자란대)
• 말레이시아: Sonny Zulhuda 교수(말레이시아 국제이슬람대)

각 파트너는 각국의 통신사와 ISP에게 개인정보 열람요청서를 보내 고객에 대해 수집하는 정보의 유형, 보유 기간, 제3자와 공유 여부를 잘 알아보고자 했다. 또한 파트너들은 기업들이 요청에 답변하는 방법 즉, 요청의 이행에 얼마나 걸리는지, 요청자의 입장에서 노력이 얼마나 필요한지, 수수료를 청구하는지 또는 어떻게 청구하는지 등도 알아보고자 했다.

각 국가가 고유한 법과 맥락을 가지고 있는 반면, 우리는 이를 관통하는 일반적인 패턴을 발견했다.

아시아의 개인정보보호법제는 역동적: 아시아는 특히 이 연구를 실시하기에 흥미로운 지역이다. 왜냐하면 강력한 개인정보보호법을 가진 국가들과 개인정보보호법이 없거나 제정하는 단계에 있는 국가들을 포함하고 있기 때문이다. 모든 국가의 공통점은 개인정보보호의 요소가 유동적이거나 논쟁의 대상이라는 점이다.

한국은 이 지역에서 가장 강력한 개인정보보호법을 가지고 있지만, AMI 프로젝트를 통해 통신사들이 개인정보 열람요청을 피상적으로 준수하고 있음이 밝혀졌다. 이통3사는 온라인 개인정보 열람신청 절차를 가지고 있었지만, 개인정보 열람신청에 대한 답변으로 KT는 일부 개인정보의 보유 여부 목록만을 제공하고, SKT와 LGU+는 개인정보는 제공하지 않고 개인정보 처리방침의 사본만 제공했다. 이에 대해 AMI 파트너인 오픈넷은 불완전한 답변을 한 KT를 상대로 개인정보 공개청구 소송을 제기했다.

홍콩과 호주에서는 개인정보의 정의에 대한 논쟁을 불러일으켰다. 홍콩의 통신사와 ISP는 인터넷 프로토콜(IP) 주소와 지리적 위치(geolocation) 기록은 개인정보가 아니므로 사용자에게 제공할 필요가 없다고 주장한다. 현재 호주에서 IP 주소는 개인정보의 법적 정의에 포함되지 않는다.

개인정보보호법이 없거나 도입 중인 국가에서는 다른 문제에 직면했다. 말레이시아는 개인정보보호법을 제정했지만 강력하게 집행되지 않고 있다. 인도네시아는 개인정보보호법 초안을 만들었지만 아직 법률로 통과되지 않았다. 결과적으로 두 국가 모두에서 DAR은 기업들로부터 제한적인 회신을 받았다.

각국 통신사의 답변은 요청 사항과 일치하지 않았으며, 법적 요구 사항과 일치하지 않는 경우도 있었음: 전반적으로 통신사의 답변은 불완전했으며, 법적 요구 사항에 따르지 않는 경우도 있었다. 그리고 일반적으로 각국의 통신사들이 개인정보 열람요청을 제대로 처리하기에 충분한 절차를 아직 갖추지 못했다는 것이 확인되었다. 이러한 결과는 법률의 문언만을 검토하는 게 아니라 법률이 현실에서 어떻게 기능하는지 측정하는 것의 중요성을 보여준다.

본 보고서는 일련의 사례 연구로서 아시아 각국에 대한 연구 결과를 제공한다. 또한 비교를 위해 캐나다 연구 결과의 요약(최초의 AMI 시행 국가)을 포함시켰다.

2019년 11월 29일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

[관련 글]
[논평] 오픈넷, KT 상대 개인정보 공개 청구 소송 1심 승소 (2019.01.17.)
[2차 모집] 이통3사 개인정보 열람 실태 연구에 참여해주세요! (2016.08.11.)
이통3사 개인정보 열람 실태 연구 참가자를 찾습니다. (2016.01.18.)