IoT 시대개인정보 보호의새로운 패러다임- 개인정보 복지 국가를 엽니다 -

(Privacy Welfare)

2015. 5. 27.

구태언 변호사

IoT시대개인화 서비스의 범람

IoT 시대 : 개인정보를 활용하는 O2O 시대

2015-05-27 워크샵 3

사물간 연결사회

개인정보의방대한 집적이용

O2O 심화IoT의 발달로 초래된

O2O 촉진연결된 사물을 통한

온라인 업체들의 공습을 통한 전통적 산업의 온라인화

언론음악

자동차

의료

금융

IoT 기술의 발전

전통산업의온라인서비스화

출판,게임

숙박

운송

우편

워크샵 42015-05-27

핀테크 스타트업으로부터 공격 받는 은행

Traditional banks are under attack from a number of emerging specialist startups. Here are the FinTech startups unbundling banking.

워크샵 52015-05-27

글로벌기업의 탄생을 막는 3중 규제

개인정보보호규제

전통적금융규제

전통적온라인규제

- 개인정보보호법, 정보통신망법

- 위치정보법

- 신용정보법 등

- 전자금융거래법, 전자금융감독규정

- 금융기관검사제재시행세칙

- 금융지주회사법, 은행법, 대부업법,

- 자본시장법, 유사수신행위법 등

- 정보통신망법

- 전자상거래법

- 통신비밀보호법 등

Ex. Opt-in 기반 영리성광고 전송 금지,

전자상거래 정보 처리 규제

Ex. 고객 기반 확충 곤란,Big Data를 통한 신용도 평가

등 신규 모델 창출 불가

워크샵 62015-05-27

IoT시대개인정보자기결정권6대 위협요소

개인정보의 바다, 사물인터넷

사물인터넷(IoT)과 연결된 물건들로부터 발생된 정보는개인을 식별할 수 있으므로 개인정보에 해당될 수 있다.

- Article 29 Data Protection Working Party, “Opinion 8/2014 on the RecentDevelopments on the Internet of Things,” 2014. 9. 16.

음성

영상

IoT센서

분석 개인정보

워크샵 82015-05-27

위협 1 : Privacy Divide

쉬고 있는 할머니:비밀번호 미설정으로 인해해커들이 쉽게 찾아내고인터넷에 실시간으로 중계함

정보기술 취약계층(장애인, 노약자, 문맹자 등)에 대한 사생활 보안위협

• 웹카메라 등 정보기기의 비밀번호를 설정할 줄 모르는 고령자 또는 아동의 사생활 침해 문제

• 해킹으로 무단 수집된 “영국의 웹캠 채널에는 500여 가정에 설치된 유아감시용 카메라를 비롯해사무실이나 헬스클럽, 상점과 주점 등의 감시카메라 등이 포함된 것으로 파악됐다.” (연합뉴스, ‘전

세계 웹캠 영상 무단 유출 러시아 사이트 적발’<BBC> `14. 11. 20.

워크샵 92015-05-27

위협 2 : Consent Phishing

고객님은 동의를 거부할 권리가 있습니다.다만, 서비스 제공을 위한 필수사항이므로, 거부시 해당 서비스 이용이 불가능합니다.

형해화 된 동의 클릭

• 사물 인터넷 장비의 이용자들은 해당 장비가 어떠한 개인정보를 처리하는지 자체를 인지하기 어렵고, 설사 동의서를 읽거나 “동의”에 클릭한다고 해도 실질적으로 그 내용을 읽고 이해하고 동의하는 실질적 동의가 어려운 상황이 발생 (아이뉴스24, "서비스 약관동의, 고객의 선택권은 있었나? -정보수집

동의 거부시 서비스 이용 못하는 실태 개선돼야-", 2013. 3. 21.)

워크샵 102015-05-27

위협 3 : Invisible Big Data

대부분의 사물인터넷 기기 관리 앱이 5개 내지 10개 가까이 되는 제3서비스를 이용하고

있어, “앱이 서드파티(Third party) 서비스를 이용할 때 사용자 활동 정보가 예상치 않게

노출될 위험이 있어 주의를 요한다. 이 외에 사람의 실수나 사회공학적 방식으로, 또는 부

주의한 데이터 취급으로 개인 정보가 의도치 않게 유출될 가능성이 있다.” (MK뉴스, 「시만

텍, “사물인터넷(IoT) 기반 자가 측정 활동에 대한 보안 강화 시급”」, 2014. 8. 6.)

정보의 오남용, 유출 위험 증대

• 복잡한 사물인터넷을 통해 수집된 개인정보가 원래의 목적을 상실하고 제3의 목적으로 가공되어 제3자에게 제공될 위험이 더 커짐

워크샵 112015-05-27

위협 4 : Perfect Profiling

나를 너무 잘 알고 있는 누군가

사용자들의 기기 사용 행태, 습관 등모니터링 및 유형화로 인한 프로파일링

• 기계에 의하여 ‘완전히 통제’되는 인간

• 기계에 의하여 결정된 인간성으로 ‘영원한 인간 차별’

• ‘마이너리티 리포트’ 문제 발생

Cnet, "Samsung Smart TV raises spying privacy fears," 2015. 2. 9.

워크샵 122015-05-27

위협 5 : Mission Impossible

IoT에서 수집된 비식별정보의 결합으로 개인식별성 획득

• 개개 정보로서는 식별가능성이 떨어지는 빅데이터이지만, 최종적으로 수집된 정보를조합하는 과정에서 모자이크 효과 때문에 익명성, 혹은 비식별성이 계속된다는 보장이 부족함.

• 비식별화는 달성 불가능한 환상

• Netflix 사례

GCN, "Worried about security? Beware the mosaic effect", May 14, 2014.

워크샵 132015-05-27

위협 6 : Insecure Hyper Connectivity

사물인터넷 기기간 자동 교환 정보 폭증에 따른 보안위험 증대

연합뉴스TV, "농협 무단인출 공범조직 잡았지만..유출경로 오리무중", 2015. 4. 2.

• 기기간 자동으로 교환되는 정보가 많아짐에 따라서 보안위험이 매우 크며, 최근의 농협 계좌 유출과 같이 위험요소가 어디에 있는지 자체를 분석하는 것이 어려워지는 문제. (경향신문, “1억대 유출 ‘미궁’… 농협계좌 불안감 확산”, 2014. 11. 24.)

워크샵 142015-05-27

현행정보통신망개인정보보호 취약점

비식별정보도 사실상 개인정보라 정의 – IoT/Big Data 장애

IoT 산업의 싹을 도려내는 개인정보 정의 규정

개인정보보호법 제2조 제1호

• “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

동일 처리자가 결합 대상 정보를 처리하고 있는지 여부를 불문하고‘잠재적 결합가능성’만 있으면 비식별정보도 이미 개인정보라고 정의

정보통신망법 제2조

• “개인정보”란 생존하는 개인에 관한 정보로서 성명·주민등록번호 등에 의하여 특정한 개인을알아볼 수 있는 부호·문자·음성·음향 및 영상 등의 정보(해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우에는 그 정보를 포함한다)를 말한다.

워크샵 162015-05-27

사물의 고유정보도 개인정보라는 판결로 이끔

• IMEI, USIM S/N

- ‘증권통’ 앱 사건 - 관심종목 등록 및 관련 정보 제공 목적으로 수집이용

- 서울중앙지법 - ‘이동통신사업자로부터 가입정보를 입수한다면 쉽게 결합하여 개인을 식별할

수 있으므로 위 정보들이 개인정보라 판결하고 형사처벌

• 휴대전화번호 뒷자리 4개

- ‘개인정보’인 휴대전화 번호의 일부인 이상 생년월일을 추정하는 등으로 나머지 번호를 결합하

면 개인정보가 되므로 경찰관 처벌(휴대전화번호가 개인정보라고 전제하는 것도 역시 마찬가

지 논리)

- 논산지원 ‘도박 신고자 정보 유출사건‘

개인화 서비스 관련 기기정보는 개인정보라는 판결

워크샵 172015-05-27

EU의 개인정보 정의와 비교

• EU는 “개인식별성”이란 (개인정보처리자에 의해) 불합리한 노력이 없어도 구할 수 있는

추가정보가 입수된다면 개인이 ‘이름 등’으로 식별될 수 있는 것으로 정의(EU 개인정

보보호법 핸드북, 2013)

- A person is identifiable if additional information can be obtained without

unreasonable effort, allowing the identification of the data subject by name and

any means. - European Union Agency for Fundamental Rights, Council of Europe,

"Handbook on European data protection law" 2013

비식별정보는 합리적인 노력으로 입수할 수 있는 정보와 결합가능성이 기준

합리적인 노력의 의미

워크샵 182015-05-27

일본 개인정보 보호법상 정의와 비교

• “다만, 그 자체로는 개인을 식별할 수 없더라도 다른 정보와 쉽게 조합(照合)하여 개인

을 식별할 수 있는 경우에는 그 정보를 포함한다.”

- 조합은 대조하여 결합한다는 일본어

- 대조할 수 있는 정보를 처리중이거나 입수할 수 있는 개인정보처리자를 전제로 함

- 비식별정보를 개인정보화하는 범위를 합리적으로 제한

우리나라의 ‘쉽게 결합’과 비교

비식별정보의 경우 ‘대조하여 결합할 수 있는 경우’에 개인정보

워크샵 192015-05-27

Opt-In(사전 동의)의환상, 갈수록취약해지는 개인정보권

아이언맨의 추락

주인공 추락 중!아이언맨 수트 발진!

추락 직전에아이언맨 마스크 장착

수트는 개인정보처리시스템개인정보 이용 고지 화면 작렬!

고지서 내용을 읽다가동의 못해 아이언맨 추락!

출처 : http://youtu.be/mA_qV8B51xU Copyright © 마블 엔터테인먼트

워크샵 212015-05-27

IoT시대, 고지 불능 시대

• 사물인터넷 이용자 스스로 해당 장비가 어떠한 개인정보를 처리하는지 인지하기 어렵고,

동의서를 읽거나 “동의”버튼을 클릭한다고 해도 실질적 동의가 되기 어려운 상황이 발

생

고지사항을 보여줄 수 없는 IoT 장비

워크샵 222015-05-27

개인의 역량을 넘어 개인정보보호 복지시대를 열 때

• 사물인터넷 서비스는 이용자의 행태를 관찰하는 사물이 자동으로 정보를 수집하여 처리

하기 때문에 개인의 통제권행사가 곤란

• 현행법상 ‘고지와 동의‘ 원칙을 엄격하게 고수할 경우, 개인의 불편이 극심해 짐은 물론

서비스의 편리성도 함께 떨어지고 결국 동의 남발로 이어져 개인정보보호가 형해화되는

상황이 명백히 예견됨

노약자, 장애인, 문맹자 등 사회적 약자들의 ‘Privacy Divide’개인정보이용 동의제도로 해결 안됨

깨알같은 고지사항. 둔감해지는 보호의식. 습관적인 ‘동의. 동의. 동의…’

워크샵 232015-05-27

동의로 인한 면죄부 - 국가는 개입 곤란

• 우리나라의 개인정보 형식적 동의제도

- 이용자들에게 법정 고지사항을 제시하고, 각 동의항목별로 개별적, 명시적으로 서명(클릭)을

받는 것.

- 동의를 받기만 하면 국가는 개입 곤란

• 이용자들의 불만

- 기업들이 방대한 고지사항을 제시하고 법에 따라 동의를 요구하게 됨

- 이용자들이 서비스 제공을 받기를 희망할 때에는 고지사항의 구체적인 내용에는 관심이 없이

묻지마 동의에 이름

우리나라의 개인정보 형식적 동의제도의 문제점과 이용자들의 불만

워크샵 242015-05-27

사전 동의 제도가 IoT시대에는 생명을 위협할 수도

• 현재에도 전자금융거래를 할 때 결제창에서 4종 동의(약관, 개인정보, 전자금융거래 등)를

매번 눌러야 하는 불편 때문에 자세한 고지사항을 열어서 읽지도 않고 ‘전체동의’버튼

범람

• 현행 법제대로라면 빅 데이터 시대에 등장할 다양한 유형의 기기(자동차, 웨어러블, 스마트

가전)들마다 고지와 동의를 개별적, 구체적, 사전적, 명시적으로 구현해야 함

• 방대한 고지사항을 표현할 수 있다손 치더라도 이용자는 읽을 생각이 없어 ‘전체동의’

버튼을 클릭하여 빅데이터 산업에 면죄부 부여가 일상화될 것

• 누구를 위한 동의창인지? 동의제도는 무력한 개인에게 면죄부 발행을 강요하는 셈.

Privacy Divide도 문제

사물인터넷 기기에 고지창 구현 어렵고, 무의미한 반복적 동의는 면죄부 부여

워크샵 252015-05-27

DDoS – Distributed Denial of Securing privacy

• 개인도 LOSE

- 남발되는 고지와 무의식적 동의의 일상화… 개인정보통제권이란?

- 사전 동의제도의 반작용으로 사후 통제권 확보 어려움

- 정보역량격차에 따른 ‘프라이버시 양극화(Privacy Divide)‘

• 기업도 LOSE

- 사물인터넷, 핀테크 산업 발에 걸림돌

- 선진국에 비해 재미 없고 불편한 서비스 구현으로 연결

- 온라인 프라이버시가 강화된 2000년대 이후 인터넷 대기업 없고, SNS 쇠퇴

• 정부도 LOSE

- 개인이 동의하면 개인정보 이용이 적법해지므로 처리방침의 실질적 점검에 소홀

- 업무에 비해 인력/예산이 과소하고, 사후적 과태료, 과징금을 부과제도가 있으나, 시정명령 등

예방적 시정활동 미흡

사업자는 동의 획득에 집중, 개인은 무의식적으로 동의, 정부는 개입 곤란….

워크샵 262015-05-27

개인정보복지 국가를 향한제안

Privacy not by Consent

• 개인정보인권을 실질적으로 보장하기 위해 패러다임을 바꿔야

- 비식별정보는 개인정보처리자가 ‘정보를 결합하여 개인을 식별할 때’부터 개인정보로 보아 달

라.

- 개별적, 구체적, 사전적 동의가 아니더라도 개인정보보호를 해 달라

- 사소한 잘못이나 미처 생각하지 못한 잘못은 형사처벌보다는 시정명령을 해달라.

- 정부가 개인정보보호표준을 제시하고, 개인정보보호정책을 심사하여 무효화 및 시정권고를 우

선하는 정책으로 전환해 달라.

• 개선방향

- 개인정보 정의 개선 – 동일 개인정보처리자 기준 입수가능성 도입

- 사전동의형(Opt-In)에서 사후통제형(Opt-Out)으로

- 개인해결형에서 시정명령형으로

개인정보 복지국가로 변환

워크샵 282015-05-27

개인정보 정의 규정 개선

• 개인정보란,

- 고유식별정보 등 그 자체로 개인을 식별할 수 있는 정보

• 국가개인식별부호 – 주민등록번호, 운전면허번호, 여권번호 등

- 개별적으로는 비식별정보지만 함께 처리되고 있어 개인을 식별할 수 있는 정보

• 이름, 주소, 전화번호, 신용카드번호, 계좌정보 등이 함께 처리되고 있을 때

• 미국 HIPAA 처럼 16개 정형적 개인정보 예시하는 방안도 고려

- 비식별정보일지라도 동일 개인정보 처리자가 추가 입수할 수 있는 정보를 고려했을 때 개인식별성을 띄는 정보

• 다른 개인정보처리자와 정보 제휴 계약이 체결된 경우

• 서비스 모델에 비추어 사업수행 과정에서 추가 정보 입수가 예정된 경우

• 현행 정의에서 괄호부분을 ‘합리적인 결합가능성’을 반영하여 개정

- 비식별정보는 다른 정보와 결합했을 때 개인정보로 인정(개인정보의 생성 개념 필요)

IoT 산업을 저해하는 개인정보 정의 합리화

워크샵 292015-05-27

사전동의형에서 사후통제형으로

• 기업들이 개인정보 처리방침을 이용자에게 고지하도록 하고, 세분화된 ‘개인정보 이용

설정(Configuration)’ 기능을 도입을 의무화하고

• 이용자는 개인정보 처리방침에 포괄적으로 동의하고 서비스를 이용하며, 개인정보의 처

리방침에 부분적으로 동의하지 않는 경우에 개인화 설정 페이지에서 이를 Opt-Out

• 정부는 기업의 개인정보 처리방침이 적합한지 심사하여 시정명령

포괄동의 및 사후통제형(Opt-out)으로 전환

워크샵 302015-05-27

개인해결(형사처벌)형에서 시정명령형으로

• 현재 법제는 개인의 동의 위반 = 불법 => 과태료, 형사벌, 민사배상

• 형사(행정)처벌형의 문제점

- 사소한 문제의 발생 시에도 고소, 고발만 있으면 경찰이 개입하여 과거의 불법을 처벌

- 글로벌표준과 다른 초광폭 개인정보 정의로 금지의 범위가 부정확

- 죄형법정주의에 비추어 위헌 논란까지 제기될 가능성

- 기업의 임직원은 개인정보 침해를 이유로 고소하면 담당 임직원만 처벌

• 법정손해배상 제도 등 개인손해 보상을 위한 제도는 이미 상당 수준 도입

• 시정명령을 통해 교육형 후견자로서 정부가 기능하는 것이 바람직

- 정부가 바람직하지 않은 개인정보처리에 대해 심사후 시정명령

- 시정명령 불응에 대해서는 형사처벌

- 보안표준은 민간 표준에 맡기고 ‘원칙적 보안수준 달성’ 규정으로 전환

• 최근 대법원 판례의 입장 반영(‘고시 규정’을 준수하였다면 법률상 책임 없다고 판시)

워크샵 312015-05-27

벌칙의 축소 및 시정명령의 선행 – 행정질서벌 및 명령불이행죄 신설

정보통신망 개인정보보호개정안 예시

정보통신망법 제4장(개인정보보호) 개선안

다른 정보와 쉽게 결합

정의 불합리한 노력을 들이지 않고도 다른 정보를 활용하여(2)

중복규제 정보통신서비스에서의 개인정보 보호에 관하여는 정보통신망법만 적용(5)

비식별화 개인정보를 개인이 알아볼 수 없도록 조치한 경우, 본 법 및 개인정보 보호법 적용 제외(22③)

생성 특정개인을 식별할 의도로 동의 없이 개인정보 아닌 정보를 활용하여 개인정보 생성 금지(22의2)

동의간주 개인정보 취급방침에 동의 사항 공개하고 고지시 동의 간주동의하지 않을 때는 언제든지 이용 중지 요구 가능정보통신서비스 제공자는 편리하게 이용 중지 요구할 수 있도록 조치

(22, 25①31①, 63②)

일괄동의 ‘수집동의’와 ‘제3자 제공 또는 위탁동의’ 구분 의무 삭제로 일괄 동의 가능(24의2③)

경제적 기술적 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우 동의 없이 목적 외 이용

목적 외 이용 개인정보 취급방침에 그 목적을 공개한 경우 동의 없이 목적 외 이용 가능(22②)

취급방침 이용자의 서비스 이용 전 취급방침 및 그 변경사항 고지 의무 신설방송통신위원회의 개인정보 취급방침 조사의무 신설

(27의2①④)

대통령령으로 정하는 기준에 따라 각 호의 기술적 관리적 조치 의무 + 기술적 관리적 보호조치에 관한 고시

보호조치 대통령령으로 정하는 기준, 각 호, 기술적 관리적 보호조치에 관한 고시 모두 폐지(28①,령15)

벌칙 동의 위반한 수집·이용·제공·위탁에 관한 형사처벌 폐지개인정보 유출로 인한 정보통신서비스제공자 형사처벌 폐지

동의 위반한 수집·이용·제공·위탁에 관한 형사처벌, 개인정보 유출로 인한 정보통신서비스제공자 형사처벌

시정조치불응죄

시정조치를 정당한 사유 없이 따르지 않은 자 형사처벌 신설(73 9호)

워크샵 332015-05-27