20150413 iot 시대 개인정보보호법제 개선 구태언
TRANSCRIPT
IoT 시대개인정보보호를위한개인정보 정의 / 동의제도 / 시정 제도 개선 제안
(2015. 4. 10. CPO Forum PGE 2015 발표 수정)
테크앤로법률사무소 / 서울 종로구 종로 1 교보생명빌딩 15층 / 전화 02-2010-8840 / 팩스 02-2010-8985 / [email protected]
2015. 4. 13. 테크앤로 구태언 변호사
IoT 시대개인정보보호 6대 위협요소
사물인터넷은 그야말로 개인정보의 바다
IoT가 가진 센서에 의해 수집되는 음성 등 데이터, 개인정보의 식별 및 재식별 가능성이 문제
사물인터넷(IoT)과연결된물건들로부터발생된정보는 개인을 식별할 수 있
으므로 개인정보에 해당될 수 있다.
- Article 29 Data Protection Working Party, “Opinion 8/2014 on the on Recent
Developments on the Internet of Things,” 2014. 9. 16,
사물인터넷으로 인한 개인정보보호 위협 요소 1. – Privacy Divide
개인별 능력차에 따른 개인정보 주체의 통제감독권 결여와 정보불균등에 따른 보안위협
웹 카메라 등 IoT의 비밀번호를 설정할 줄 모르는 고령자나 아동의 사생
활이 지나치게 침해되는 문제가 있다.
해킹으로 무단 수집된 “영국의 웹캠 채널은 500여 개로 가정에 설치된 아
기 감시용 카메라를 비롯해 사무실이나 헬스클럽, 상점과 주점 등의 감시
카메라 등이 포함된 것으로 파악됐다.”
- 연합뉴스, “"전 세계 웹캠영상 무단유출 러시아 사이트 적발"< BBC>”, 2014. 11. 20
Mail Online, "How 'home hackers' spy on you and your children... with YOUR webcam: The shocking evidence that shows how private lives are snooped on and streamed live on web", 2014. 9. 20.
사물인터넷으로 인한 개인정보보호 위협 요소 2.
동의서를 읽거나 동의에 클릭한다고 해도 실질적 동의로 보기 어려운 상황발생
사물 인터넷 장비의 이용자들은 해당 장비가 어떠한 개인정보를 처리하
는지 자체를 인지하기 어렵고, 설사 동의서를 읽거나 “동의”에 클릭한다
고 해도 실질적으로 그 내용을 읽고 이해하고 동의하는 실질적 동의가 어
려운 상황이 발생
- 아이뉴스24, "서비스 약관동의, 고객의 선택권은 있었나? -정보수집 동의 거부시
서비스 이용 못하는 실태 개선돼야-", 2013. 3. 21
“고객님은 동의를 거부할 권리가 있습니다(?). 다만,
서비스 제공을 위한 필수사항이므로 거부시 해당
서비스 이용이 불가능합니다.”
사물인터넷으로 인한 개인정보보호 위협 요소 3.
수집목적을 벗어난 사물인터넷 수집 정보 유출 위험 커져
복잡한 사물인터넷을 통해 수집된 개인정보가 원래의 목적을 상실하고 제
3의 목적으로 가공되어 제3자에게 제공될 위험이 더 커짐
대부분의 사물인터넷 기기 관리 앱이 5개 내지 10개 가까이 되는 제3 서
비스를 이용하고 있어, "앱이 서드파티(Third party) 서비스를 이용할 때
사용자 활동 정보가 예상치 않게 노출될 위험이 있어 주의를 요한다. 이
외에 사람의 실수나 사회공학적 방식으로, 또는 부주의한 데이터 취급으
로 개인 정보가 의도치 않게 유출될 가능성이 있다. “
- MK뉴스, "시만텍, “사물인터넷(IoT) 기반 자가 측정 활동에 대한 보안 강
화 시급” ", 2014. 8. 6.
사물인터넷으로 인한 개인정보보호 위협 요소 4.
사용자들의 기기 사용 행태나 습관 등의 모니터링과 유형화에 따른 침해위험 확대
사람들이 사물인터넷 기기를 사용하는 행태나 습관 등을 모니터링하고
데이터 유형화함으로 인해서 발생하는 침해위험의 확대
• 예를 들어 병원에서 개별 의사들의 진단행태나 습관 등을 모니터링
하여 개별 의사들의 진단에 관여할 위험.
Cnet, "Samsung Smart TV raises spying privacy fears," 2015. 2. 9.
사물인터넷으로 인한 개인정보보호 위협 요소 5.
사물인터넷 기기로부터 수집되는 빅 데이터의 비식별성 유지의 어려움
개개 정보로서는 식별가능성이 떨어지는 빅 데이터이지만, 최종적으로
수집된 정보를 조합하는 과정에서 모자이크 효과 때문에 익명성, 혹은 비
식별성이 계속된다는 보장이 부족함.
GCN, "Worried about security? Beware the mosaic effect", May 14, 2014.
사물인터넷으로 인한 개인정보보호 위협 요소 6.
사물인터넷 기기간 자동 교환 정보 폭증에 따른 보안위험 증대
기기간 자동으로 교환되는 정보가 많아짐에 따라서 보안위험이 매우 크
며, 최근의 농협 계좌 유출과 같이 위험요소가 어디에 있는지 자체를 분석
하는 것이 어려워지는 문제.
- 경향신문, “1억대 유출 ‘미궁’… 농협계좌 불안감 확산”, 2014. 11. 24.
연합뉴스TV, "농협 무단인출 공범조직 잡았지만..유출경로 오리무중", 2015. 4. 2.
세계 표준보다 더 넓은 초광폭 개인정보 정의 규정- EU와 비식별화 논의의 전제가 다름 -
비식별정보도 개인정보라고 정의한 개인정보보호법, 정통망법
빅데이터 산업을 가로막는 초광폭 개인정보 정의 규정
정보통신망법 제2조
• "개인정보"란 생존하는 개인에 관한 정보로서 성명·주민등록번호 등에 의하여 특정한 개인을 알아볼 수
있는 부호·문자·음성·음향 및 영상 등의 정보(해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와
쉽게 결합하여 알아볼 수 있는 경우에는 그 정보를 포함한다)를 말한다.
동일 처리자가 결합 대상 정보를 처리하고 있는지 여부를 불문하고 ‘잠재적 결합가능
성’만 있으면 비식별정보도 이미 개인정보라고 정의
개인정보보호법 제2조 제1호
• "개인정보"란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수
있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는
것을 포함한다)를 말한다.
관련 판례
사법부는 입수의 용이성을 불문하고 개인화 서비스 관련 기기정보는 개인정보라는 입장
• IMEI, USIM S/N은 ‘이동통신사업자로부터 가입정보를 입수한다면‘ 개인을 식별할 수 있
으므로 개인정보 -> 정형적 개인정보를 전혀 수집하지 않은 앱사업자 처벌
• ‘증권통’ 앱 사건
• 관심종목 등록 및 관련 정보 제공 목적으로 IMEI, USIM S/N만 수집하였으므로 이
는 오히려 개인정보의 보호와 이용을 조화한 모범사례임에도 형사처벌됨
• 휴대전화번호의 일부인 뒷자리 4개 숫자도 ‘개인정보＇인 휴대전화 번호의 일부인 이상
나머지 번호를 입수해 결합한다면 ‘전화번호＇로 복원될 수 있어 개인정보로 판단 -> 경
찰관 처벌
• 논산지원 ‘도박 신고자 정보 유출사건‘
• 개인정보보호법으로 처벌하지 않더라도 ‘공무상 비밀누설죄＇로 처벌 가능
EU의 개인정보 정의
합리적인 노력으로 입수할 수 있는 정보와 결합가능성이 기준
A person is identifiable if additional information can be obtained without
unreasonable effort, allowing the identification of the data subject by
name and any means. - European Union Agency for Fundamental Rights,
Council of Europe, "Handbook on European data protection law" 2013
EU는 “개인식별성”이란 (개인정보처리자에 의해) 불합리한 노력이 없어도
구할 수 있는 추가정보가 입수된다면 개인이 ‘이름 등’으로 식별될 수 있는 것
으로 정의(EU 개인정보보호법 핸드북, 2013)
=> 개인정보의 동의 없는 제3자 제공을 엄격히 금지하고 있는 우리 법제에서는개인식별을 위한 추가 정보의 수집이 불가능하거나 많은 노력이 든다면(추가수집정보의 결합전) 해당 정보는 개인정보가 아니라고 보아도 무방
초광폭 개인정보 정의로 빅데이터 산업 발전에 지장
개인정보 정의에 개인정보처리자 동일성, 추가 정보 입수 용이성(합리성) 기준이 결여
개인화 서비스에서 수집하는 정보는 거의 개인정보로 평가될 수
있으므로 ‘개인정보 침해 수준＇과 상관 없이 개별적, 구체적, 명
시적, 사전적 개인정보 수집이용제공위탁 고지와 동의 구현해야
기기정보도 개인정보권 침해의 수준에 불구하고 얼마든지 개인정
보로 될 수 있음
개인정보 정의를 글로벌 수준으로 재구성하면 명시적 개인식별이 가능
한 부분을 제외한 나머지 정보를 수집하여 ‘빅데이터 처리＇가능. ‘비식
별화조치＇란 이미 적법하게 개인정보를 수집한 경우에 적용될 원칙
Opt-In 동의제도 딜레마
http://youtu.be/mA_qV8B51xU
Copyright © 마블 엔터테인먼트
추락중! 아이언맨수트 출동
아이언맨 마스크 동작
아이언맨 수트 사용 위한개인정보 동의화면 클릭요청
동의서 내용 읽다가클릭 못해서아이언맨 추락!
동의만 받으면 만사 OK인데, 어떻게 동의를 받지???
수 많은 장비들이 고지사항을 보여줄 수 없다…… 동의하다가 안전사고날 수도...
사물인터넷 이용자 스스로 해당 장비가 어떠한 개인정보를 처리하는지 인지하기
어렵고, 동의서를 읽거나 “동의”버튼을 클릭한다고 해도 실질적 동의가 되기
어려운 상황이 발생함
그럼, 홈페이지에 와서 읽고 동의하세요… 법이 그러니까…
깨알같은 고지사항. 둔감해지는 보호의식. 습관적인 ‘동의. 동의. 동의…’
사물인터넷 서비스는 이용자의 행태를 관찰하는 사물이
자동으로 정보를 수집하여 처리하기 때문에 개인의 통제권행사가 곤란
현행법상 ‘고지와 동의‘ 원칙을 엄격하게 고수할 경우, 개인의 불편이 극심해 짐은
물론 서비스의 편리성도 함께 떨어지고 결국 동의 남발로 이어져
개인정보보호가 형해화되는 상황이 명백히 예견됨
1
2
고령자 등 사회적 약자들의 ‘Privacy Divide’ 는
개인의 Opt-in 동의제도로 해결 안됨
3
동의해야 이용할 수 있어 동의했더니, 다 내 책임이야…
○ 우리나라의 개인정보 형식적 동의제도
- 이용자들에게 법정 고지사항을 제시하고, 각 동의항목별로 개별적,
명시적으로 서명(클릭)을 받는 것.
○ 이용자들의 불만
- 기업들이 방대한 고지사항을 제시하고 법에 따라 동의를 요구하게 됨.
- 이용자들이 서비스 제공을 받기를 희망할 때에는 고지사항의 구체적인
내용에는 관심이 없이 묻지마 동의에 이름.
- 결국 동의제도가 형해화 되고 있음.
우리나라의 개인정보 형식적 동의제도의 문제점과 이용자들의 불만
IoT 시대 개별적,구체적,사전적,명시적 고지 + 동의 → 매우 불편&위험
사물인터넷 기기에 동의창을 달라!? 개인정보 수집, 이용을 매번 알리라?!
현재에도 전자금융거래를 할 때 결제창에서 4종 동의(약관, 개인정보, 전자
금융거래 등)를 매번 눌러야 하는 불편 때문에 자세한 고지사항을 열어서 읽
지도 않고 ‘전체동의＇버튼 범람
현행 법제대로라면 빅 데이터 시대에 등장할 다양한 유형의 기기(자동차, 웨
어러블, 스마트 가전)들마다 고지와 동의를 개별적, 구체적, 사전적, 명시적
으로 구현해야 함
방대한 고지사항을 표현할 수 있다손 치더라도 이용자는 읽을 생각이 없어
‘전체동의’ 버튼을 클릭하여 빅데이터 산업에 면죄부 부여가 일상화될 것
누구를 위한 동의창인지? 동의제도는 무력한 개인에게 면죄부 발행을 강요
하는 셈. Privacy Divide도 문제
Opt-In 동의는 All Loser 초래
개인도 LOSE남발되는 고지와 무의식적 동의의 일상화… 개인정보통제권이란?
사전 동의제도의 반작용으로 사후 통제권 확보 어려움
정보역량격차에 따른 ‘프라이버시 양극화(Privacy Divide)‘
기업도 LOSE사물인터넷, 핀테크 산업 발에 걸림돌
선진국에 비해 재미 없고 불편한 서비스 구현으로 연결 온라인 프라이버시가 강화된 2000년대 이후 인터넷 대기업 없고, SNS 쇠퇴
정부도 LOSE개인이 동의하면 개인정보 이용이 적법해지므로 처리방침의 실질적
점검에 소홀
업무에 비해 인력/예산이 과소하고, 사후적 과태료, 과징금을 부과제도가 있으나, 시정명령 등 예방적 시정활동 미흡
너무 읽을게 많아서 이해가 어려우니, 시민단체는 이제 고지사항을 ‘요약하라고’
제 안
Privacy not by Consent
모두가 Loser가 되는 상황이 온다면, 패러다임을 바꿔야비식별정보는 개인정보처리자가 ‘정보를 결합하여 개인을 식별할 때’부터 개인정보로
보아 달라.
개별적, 구체적, 사전적 동의가 아니더라도 개인정보보호를 해 달라
사소한 잘못이나 미처 생각하지 못한 잘못은 형사처벌보다는 시정명령을 해달라.
정부가 개인정보보호표준을 제시하고, 개인정보보호정책을 심사하여 무효화 및 시정권고를 우선하는 정책으로 전환해 달라.
개선방향
1. 개인정보 정의 개선 – 동일 개인정보처리자 기준 입수가능성 도입
2. 사전동의형(Opt-In)에서 사후통제형(Opt-Out)으로
3. 개인해결형에서 시정명령형으로
Lose-Lose에서 Win-Win으로 전환
1. 개인정보 정의 규정 개선
개인정보 정의에 개인정보처리자 기준성 도입
개인정보란,
고유식별정보 등 그 자체로 개인을 식별할 수 있는 정보
국가개인식별부호 – 주민등록번호, 운전면허번호, 여권번호 등
개별적으로는 비식별정보지만 함께 처리되고 있어 개인을 식별할 수 있는 정보
이름, 주소, 전화번호, 신용카드번호, 계좌정보 등이 함께 처리되고 있을 때
미국 HIPAA 처럼 16개 정형적 개인정보 예시하는 방안도 고려
비식별정보일지라도 동일 개인정보 처리자가 추가 입수할 수 있는 정보를 고려했을
때 개인식별성을 띄는 정보
다른 개인정보처리자와 정보 제휴 계약이 체결된 경우
서비스 모델에 비추어 사업수행 과정에서 추가 정보 입수가 예정된 경우
현행 정의에서 괄호부분(비식별정보를 결합가능성을 기준으로 개인정
보로 정의한 부분)은 삭제
2. 사전동의형에서 사후통제형으로
포괄동의 및 사후통제형(Opt-out)으로 전환
기업들이 개인정보 처리방침 게시토록 하고,
개인은 개인정보 처리방침에 포괄적으로 동의하고 서비스를 이용하며,
개인에게 세분화된 ‘개인정보 이용 설정(Configuration)’ 기능을 도입을 권장
정부는 표준 개인정보 설정 기준을 발표
3. 개인해결형에서 시정명령형으로
현재 법제는 개인의 동의 위반 = 불법 => 과태료, 형사벌, 민사배상
형사(행정)처벌형의 문제점
사소한 문제의 발생 시에도 고소, 고발만 있으면 경찰이 개입하여 과거의 불법을 처벌
글로벌표준과 다른 초광폭 개인정보 정의로 금지의 범위가 부정확
죄형법정주의에 비추어 위헌 논란까지 제기될 가능성
기업의 임직원은 개인정보 침해를 이유로 고소하면 담당 임직원만 처벌
법정손해배상 제도 등 개인손해 보상을 위한 제도는 이미 상당 수준 도입
시정명령을 통해 교육형 후견자로서 정부가 기능하는 것이 바람직
• 정부가 바람직하지 않은 개인정보처리에 대해 심사후 시정명령
• 시정명령 불응에 대해서는 형사처벌
• 보안표준은 민간 표준에 맡기고 ‘원칙적 보안수준 달성‘ 규정으로 전환
• 최근 대법원 판례의 입장 반영(‘고시 규정＇을 준수하였다면 법률상 책임 없다고 판시)
