주요내용 대규모 전자적 침해행위에 대한 국가차원의 종합적이고 체계적인 대응을 위해 미래창조과학부장관 소속으로 국가정보통신기반보호센터를 둠(안 제4조의2 신설). 관리기관에 대한 주요정보통신기반시설보호대책 이행 여부를 확인하거나 관리기관에 기술적 지원 등을 하는 주체를

Transcription

1 LAW & CASE 인터넷 법제동향 국내 입법 동향 1. 입법 동향 1 정보통신기반 보호법 일부개정법률안 (정청래 의원 대표발의, 국회제출) 소관부처 : 미래창조과학부 제안이유 과거에 발생한 인터넷 대란(2003년 1월 25일)과 같은 전국적인 규모의 국가 주요정보통신망 마비사태 및 해외로부터 조직적인 대규모 전자적 침해행위로 인한 국가기밀 및 첨단기술의 유출 등 국가와 사회 전반에 중대한 영향을 미칠 수 있는 대규모 침해사고가 발생할 가능성이 날로 증대하고 있음. 그러나 현행법상으로는 대규모 침해사고에 대한 대응에 있어 공공분야는 국가정보원이, 민간분야는 미래창조과학부로 이원화되어 있어 체계적인 대응에 한계를 지니고 있으며, 특히 국회의 통제가 제대로 이루어지지 않는 국가정보원이 업무를 담당하고 있음으로 인해 사찰 위험까지 대두되고 있는 실정임. 이에 미래창조과학부와 국가정보원으로 이원화되어 있는 대응체계를 미래창조과학부로 일원화하고 주요정보통신기반시설의 보호 체계를 강화하는 등 대규모 침해사고 발생 시 보다 신속하고 적극적인 대응시스템을 구축함으로써 국가의 안전과 국민생활의 안정을 보장하려는 것임. 92 Internet & Security Focus 월호

2 주요내용 대규모 전자적 침해행위에 대한 국가차원의 종합적이고 체계적인 대응을 위해 미래창조과학부장관 소속으로 국가정보통신기반보호센터를 둠(안 제4조의2 신설). 관리기관에 대한 주요정보통신기반시설보호대책 이행 여부를 확인하거나 관리기관에 기술적 지원 등을 하는 주체를 미래창조과학부장관과 국가정보원장등에서 미래창조과학부장관으로 일원화하도록 함(안 제5조의2제7조 및 제8조의2). 관리기관의 장은 대규모 전자적 침해사고로부터 정보통신기반시설을 보호하고 신속 정확하게 대응하기 위해 대규모 침해사고 대응대책을 수립 시행하도록 함(안 제11조의2 신설). 관리기관의 장은 대규모 전자적 침해사고에 즉시 대응조치를 할 수 있는 기구로서 보안관제센터를 설치 운영하도록 함(안 제11조의3 신설). 미래창조과학부장관은 대규모 침해사고에 체계적 효율적으로 대응하기 위하여 대규모 침해사고 대응훈련을 실시하도록 함(안 제11조의4 신설). 미래창조과학부장관은 침해사고에 따른 파급영향과 피해규모 등을 고려하여 수준별 경고를 발령할 수 있도록 함(안 제11조의5 신설). 관리기관의 장은 전자적 침해행위가 발생한 경우 그 원인과 피해내용 등에 관하여 신속히 사고조사를 실시하도록 함(안 제14조의2 신설). 국방분야의 주요정보통신기반 보호의 이행 여부, 경보발령, 사고조사 등에 대하여는 국방부장관이 업무를 수행할 수 있도록 특례를 둠(안 제27조의3 신설). 출처 : 국회 ( Internet & Security Focus 월호 93

3 2 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안 (송인춘 의원 대표 발의, 국회제출) 소관부처 : 미래창조과학부 제안이유 및 주요내용 이용자가 사망한 경우 정보통신서비스 제공자등이 수집한 이용자의 개인정보에 대하여 관련 규정이 미비하여 이용자의 사망에 따른 개인정보의 이용 및 처리에 대한 논란이 제기되고 있는 실정임. 이에 이용자는 자신의 사망 이후 개인정보의 처리방법을 지정할 수 있도록 하고, 정보통신서비스 제공자등이 개인정보를 이용하려고 수집하는 경우에는 이용자의 사망에 따른 개인정보 처리방법에 대한 이용자 본인의 의사를 확인하도록 하여 이용자의 개인정보자기결정권을 보장하고자 함(안 제30조의3 신설). 출처 : 국회 ( 94 Internet & Security Focus 월호

4 3 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안 (김동완 의원 대표발의, 국회제출) 소관부처 : 미래창조과학부 제안이유 최근 사회적 이슈가 된 리틀 싸이 의 경우에서와 같이 인터넷상의 악성댓글 등 사이버 폭력으로 인한 정신적 피해 사례가 심각한 수준에 이르고 있는 실정임. 특히, 청소년을 상대로 악성댓글을 게재하여 모욕하는 행위는 청소년의 인격권을 침해할 뿐만 아니라 피해청소년에게 정신적인 상처와 심리적 충격을 가함으로 인해 건전한 정서 발달을 저해할 우려가 있음. 주요내용 정보통신망을 통하여 다른 사람을 모욕하는 행위를 금지하도록 규정하고 이를 위반한 자에 대하여는 처벌할 수 있도록 하되, 특히 성인이 청소년을 상대로 모욕한 경우에는 가중처벌할 수 있도록 함으로써 정보통신망에 대한 건전하고 안전한 이용 환경을 조성하도록 하려는 것임(안 제44조의7제1항제2호의2 및 제70조제3항 제4항 신설). 출처 : 국회 ( Internet & Security Focus 월호 95

5 4 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안 (장병완 의원 대표발의, 국회제출) 소관부처 : 미래창조과학부 제안이유 현재 모바일 소액결제의 경우 그 이용 한도액과 관련하여 대부분의 이동통신사들은 가입 초기에는 3만원으로 결제한도를 설정하지만 이후 계속 한도를 높여 30만원까지 올리고 있는 상황임. 그러나 이동통신사에게 소액결제 이용 한도액에 대해서는 고지의무가 없기 때문에 이용자가 이를 잘 알기 어려운 측면이 있어 소액결제 사기로 인한 피해가 확대되고 있음. 주요내용 이에 통신과금서비스제공자인 이동통신사로 하여금 재화등의 판매 제공의 대가를 청구할 때 통신과금서비스 이용 한도액을 함께 고지하도록 하여 이용자의 피해확대를 방지하려는 것임(안 제58조제1항제5호 신설). 출처 : 국회 ( 96 Internet & Security Focus 월호

6 5 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안 (김을동 의원 대표발의, 국회제출) 소관부처 : 미래창조과학부 제안이유 한국인터넷진흥원은 공공기관의 운영에 관한 법률 제5조제3항제2호나목에 따른 위탁집행형 준정부기관으로 구분되어, 인터넷 도메인등록, 인터넷 프로토콜(IP)주소 할당, 정보보호시스템 평가, 정보보호 관리체계의 인증 등과 같은 사업을 수행하고 있으며, 이들 사업의 수행으로 수입금이 발생하고 있으나 수입금의 처리방식에 대하여는 법적 근거규정이 없음. 주요내용 한국인터넷진흥원이 사업을 수행하는 데 필요한 경비는 정부의 출연금, 제52조제3항 각 호의 사업수행에 따른 수입금, 그 밖에 인터넷진흥원의 운영에 따른 수입금을 재원으로 충당하도록 규정함(안 제52조제4항). 출처 : 국회 ( Internet & Security Focus 월호 97

7 해외 입법 동향 1. 입법 동향 1 EU 집행위원회, 정보통신망에서 개인정보 유출시 통지 조치에 관한 규칙 (regulations) 공포( ) 개관 EU 집행위원회는 전기통신사업자와 인터넷서비스제공자가 데이터의 분실 및 절도, 그 밖의 개인관련 고객정보가 침해된 경우 취하여야 할 조치들을 규정한 새로운 규칙(regulations)을 제정하여 공포하였다( ). - 이 규칙은 개인정보의 처리와 전자적 통신에서 프라이버시의 보호에 관한 유럽연합 의회 및 이사회의 지침 2002/58/EC(전자적 프라이버시 지침) 1) 에 근거한 것이다. - 또한 이 규칙은 EU의 지침과는 달리 회원국의 별도의 입법 전환절차 없이 부터 각 회원국에 적용된다. 규칙의 근거는 유럽연합 기능조약과 전자적 통신에 있어서 개인관련 정보의 처리와 프라이버시의 보호에 관한 유럽연합 의회 및 이사회 지침 2002/58/EC(전자적 통신을 위한 데이터보호지침) 중 특히 지침 제4조제5항 2) 이다. 입법이유 (규정 상호간의 조화) EU 지침 2002/58/EC 는 EU내에서 기본권과 자유권(freedom)의 동등한 수준의 보호를 보장하기 위하여 필요한 회원국의 규정 상호간의 조화(harmonisation)를 예정하고 있다. 특히 전자적 통신 영역에서 개인관련 정보의 처리와 1) 이 지침은 두 번 개정되었다(Directive 2006/24/EC of the European Parliament and of the Council of 15 March 2006, Directive 2009/136/EC of the European Parliament and of the Council of 25 November 2009). 2) 동 지침 제4조 5항은 제2항, 제3항, 제4항에 규정된 조치들이 통일적으로 적용되는 것을 보장하기 위해서 집행위원회 는 ENISA와 제29조 작업반(EU 정보보호작업반), EU 개인정보보호위원회의 청문을 거쳐서 이 조항에 기술된 정보의 통지의 상황, 형식 및 절차와 관련한 기술적 이행조치를 공포할 수 있다. 이 조치를 공포하는 경우 집행위원회는 이 조항 의 수행을 위해서 가장 잘 이용할 수 있는 기술적 및 경제적 수단을 통지하기 위해서 모든 중요한 이해단체들을 고려하 여야 한다 규정하고 있다. 98 Internet & Security Focus 월호

8 관련한 프라이버시와 사생활의 비밀을 보장하기 위하여 그리고 이러한 정보와 전자적 통신기기 및 전자적 통신서비스의 자유로운 유통을 보장하기 위하여 조화가 필요하다. (통신서비스 제공자의 의무) EU 지침 2002/58/EC 제4조에 의하면 전자적 통신서비스 제공자(ISP)는 개인정보의 침해 3) 를 지체없이 회원국의 관할 관청에 통지하여야 하고 특정한 사례의 경우에 있어서는 통신가입자(subscriber)와 관련 개인들에게도 이를 통지하여야 할 의무가 있다 고 규정하고 있다. - 동 지침 제4조 제2항, 제3항, 제4항에 규정(참조조문)된 조치들의 통일적인 적용을 보장하기 위해서 집행위원회는 동 지침 제4조 제5항에서 언급한 조항에 기술된 정보와 통지의 상황, 형식 그리고 절차와 관련한 기술적 이행조치를 공포할 권한을 가진다. 참조조문 : 지침 2002/58/EC 제4조 2 통신망에 대한 보안이 침해될 특별한 위험이 있는 경우에는 공중 이용 전자적 통신서비스 제공자는 통신가입 자에게 그러한 위험에 관하여 통지하여야 하고, 그 위험이 제공자가 취할 수 있는 조치의 범위를 넘어서는 경 우에는 예상되는 비용을 포함하여 가능한 조치를 알려주어야 한다. 3 개인정보가 침해된 경우에 제공자(ISP)는 지체없이 개인정보의 침해를 회원국의 관할 관청에 통지하여야 한다. 개인정보침해가 통신가입자나 개인의 정보나 프라이버시에 불리한 영향을 끼칠 수 있는 경우에는 이들에 게도 지체없이 통지하여야 한다. 통신가입자나 관련 개인에게 하는 개인정보침해의 통지는 제공자가 적절한 기술적 보호조치를 수행하였 고, 그러한 조치들이 보안 침해와 관련한 데이터에 적용되었다는 것을 관할 관청에 충분하게 설명하였다 면 필요하지 않다. 그러한 기술적 보호 조치들은 접근권한이 없는 자에게 읽을 수 없는 데이터이어야 한다. 통신가입자나 관련 개인에게 통지하여야 하는 제공자의 의무와 상관없이 관할 관청은 제공자가 가입자 및 개인에게 개인정보의 침해를 통지하지 아니한 경우, 침해의 개연성이 있는 불리한 영향을 고려한 후 제공 자에게 통지를 요청할 수 있다. 통신가입자나 관련 개인에게 통지하여야 하는 제공자의 의무와 상관없이 관할 관청은 제공자가 가입자 및 개인에게 개인정보의 침해를 통지하지 아니한 경우, 침해의 개연성이 있는 불리한 영향을 고려한 후 제공 자에게 통지를 요청할 수 있다. 통신가입자나 관련 개인에게 통지하여야 하는 제공자의 의무와 상관없이 관할 관청은 제공자가 가입자 및 개인에게 개인정보의 침해를 통지하지 아니한 경우, 침해의 개연성이 있는 불리한 영향을 고려한 후 제공 자에게 통지를 요청할 수 있다. 3) 개인정보의 침해는 EU 지침 2002/58/EC 제2(i)조에서 보안침해(breach of security) 로 규정되어 있다. 이 보안침해 는 전자적 통신서비스의 제공과 관련하여 EU내에서 전달되거나 저장되거나 그 밖의 다른 방법으로 처리되는 개인정보 를 우연히 또는 부당하게 폐기, 분실, 변경, 권한 없이 전달 또는 접근을 하게 한다. Internet & Security Focus 월호 99

9 가입자 및 개인에게 통지를 함에 있어서 적어도 개인정보의 침해의 종류와 그 침해에 그 밖의 정보가 포함 되어 있는 경우에는 연락처가 언급되어야 하고 개인정보침해의 가능한 불리한 영향을 저지할 조치가 추천 되어야 한다. 관할 관청에 통지를 하는 경우에는 추가로 개인정보의 침해의 결과와 제공자가 침해에 대해 서 제한 조치나 취한 조치를 설명하여야 한다. 4 제5항에 의한 기술적 이행조치를 유보하는 경우에는 관할 관청은 가이드라인을 채택하고 경우에 따라서는 통 지의 형식과 절차와 관련하여 제공자의 입장에서 개인정보의 침해에 관한 통지가 필요한 경우에는 지시를 한 다. 관할 관청은 제공자가 이 항에 따른 통지의무를 수행하였는지를 감시할 상황에 있어야 하며, 감시할 상황 이 아니라면 적합한 제재를 가하여야 한다. 제공자는 개인정보의 침해의 목록을 운영하는데 여기에는 침해의 상황, 이의 영향 그리고 취해진 협력조치 에 관한 정보들이 포함되어야 한다. 이 경우 이 정보들은 관할 관청이 제3항의 규정들의 준수를 심사할 정 도로 충분해야 한다. 이 목록은 오로지 이러한 목적을 위해서 필요한 정보만을 포함하여야 한다. 5 제2항, 제3항, 제4항에 규정된 조치들이 통일적으로 적용되는 것을 보장하기 위해서 집행위원회는 ENISA와 제 29조 작업반, EU 개인정보보호위원회의 청문을 거쳐서 이 조항에 기술된 정보의 통지의 상황, 형식 및 절차와 관련한 기술적 이행조치를 공포할 수 있다. 이 조치를 공포하는 경우 집행위원회는 이 조항의 수행을 위해서 가 장 잘 이용할 수 있는 기술적 및 경제적 수단을 통지하기 위해서 모든 중요한 이해단체들을 고려하여야 한다. 주요내용 규칙의 적용범위(제1조) - 이 규칙은 개인정보가 침해된 경우 공중 이용 전자적 통신서비스 제공자(이하 제공자, 즉 ISP) 가 이를 통지하는 데에 적용된다. 회원국의 관할 관청에 하여야 하는 통지(제2조) - 제공자는 개인정보가 침해된 경우 이를 회원국의 관할 관청에 통지 하여야 한다(제2조 제1항). 4) - 제공자가 개인정보의 침해로 되는 보안상의 침해의 발생을 충분히 인식하였다면 그 즉시 개인정보의 침해로 본다(제2조 제2항). 5) - 제공자가 사후조사에도 불구하고 1차 통지 후 3일 이내에 이러한 모든 정보를 진술할 수 없다면, 제공자는 언급한 기간 내에 자신이 보유하고 있는 모든 정보를 관할 관청에 전달하여야 하고, 4) 제공자는 개인정보가 침해된 경우 침해를 확인한 후 24시간 이내에 이것이 가능한 한 회원국의 관할 관청에 통지하여야 한다. 또한 제공자는 관할 관청에 통지를 함에 있어서 부록 Ⅰ에 열거한 정보를 제공하여야 한다. 5) 부록 Ⅰ에 상술된 모든 정보가 존재하지 않고 개인정보의 침해의 조사가 더 이상 필요하지 않는 경우에는 제공자는 우선 침해를 확인한 후 24시간 이내에 회원국의 관할 관청에 1차 통지를 할 수 있다. 관할 관청에 행하는 1차 통지는 부록 Ⅰ 제1편에 기술된 정보를 포함하여야 한다. 그런 다음 제공자는 가능한 한 3일 이내에 1차 통지 후 관할 관청에 2차 통지 를 하여야 한다. 2차 통지는 부록 Ⅰ 제2편에 기술된 정보를 포함하여야 하고 이미 이전에 제공한 정보를 경우에 따라서 갱신하여야 한다. 100 Internet & Security Focus 월호

10 자신에게 남아있는 정보를 늦게 통지한 이유를 설명하여야 한다. 제공자는 남아있는 정보를 가능한 한 신속하게 관할기관에 전달하고 사전에 전달한 정보를 갱신하여야 한다(제2조 제3항). - 회원국의 관할관청은 관할 회원국에 영업소를 두고 있는 모든 제공자에게 개인정보의 침해를 통지하기 위한 안전한 전자적 수단, 이에 대한 접근 절차에 관한 정보, 이를 이용하기 위한 수단을 제공하여야 한다. 필요한 경우 위원회는 이 규칙의 적용을 원활히 하기 위하여 관할 회원국과 함께 회의를 소집하여야 한다.(제2조 제4항). - 개인정보의 침해가 침해의 통지를 받은 회원국이 아닌 다른 회원국의 통신가입자나 개인과 관련되는 경우에는 관할 관청은 회원국의 다른 관청에 통지하여야 한다(제2조 제4항). - 이 규정을 원활하게 적용하기 위하여 집행위원회는 회원국의 관할 관청의 목록을 작성하고 각 담당자를 운영한다(제2조 제5항). 참조: 부록Ⅰ <회원국의 관할 관청에 하여야 하는 통지 내용> 제1편 - 제공자의 정보 1. 제공자의 성명 2. 개인정보보호위원회의 성명과 연락정보 또는 그 밖의 정보 담당자. 3. 첫 번째 또는 두 번째 통지가 문제되는 경우 이에 관한 정보. - 개인정보의 침해에 관한 첫 번째 정보(경우에 따라서는 이후 통지에서 보충되어야 함). 4. 개인정보 유출의 날짜와 시간(알려진 경우 필요하다면 추정될 수 있어야) 및 유출의 확인 5. 개인정보 침해의 상황(예를 들어 분실, 절도, 복제) 6. 해당 개인정보의 종류와 내용 7. 제공자가 해당 개인정보와 관련하여 행한 (또는 행할) 기술적 조직적 조치들. 8. 다른 제공자를 통한 관련 서비스의 제공(해당되는 경우). 제2편 - 개인정보의 침해에 관한 그 밖의 정보 9. 개인정보의 침해를 야기한 유출사고의 요약(침해의 물리적 위치와 해당 데이터 저장매체의 정보를 포함). 10. 통신가입자 및 관련 개인의 수 11. 통신가입자 및 관련 개인에게 미치는 가능한 결과 및 가능한 역효과 12. 제공자가 가능한 역효과를 줄이기 위해서 행한 기술적 조직적 조치들. Internet & Security Focus 월호 101

11 - 통신가입자 및 관련 개인에게 추가로 하여야 하는 통지. 13. 통지의 내용 14. 사용된 통신수단 15. 통지된 통신가입자 및 관련 개인의 수. - 가능한 국경을 초월한 문제 16. 다른 회원국에 있는 통신가입자 및 관련 개인과 관련된 개인정보의 침해 17. 다른 회원국의 관할 관청에 대한 통지 통신가입자 또는 개인의 통지(제3조) - 개인정보의 침해에 의해 통신가입자나 개인의 개인정보 또는 이들의 프라이버시가 침해되는 경우 제공자는 통신가입자나 해당 개인에게 침해를 통지하여야 한다(제3조 제1항). - 개인정보의 침해에 의해 통신가입자나 개인의 개인정보 또는 프라이버시가 침해되었는지의 개연성은 특히 다음의 상황을 고려하여 판단된다(제3조 제2항). 6) - 통신가입자나 개인에게 하는 통지는 개인정보의 침해를 확인한 후 지체없이 행해져야 한다. 통지는 회원국의 관할 관청에 하는 개인정보의 침해의 통지에 종속되어서는 아니 된다(제3조 제3항). - 통신가입자나 개인에게 하는 통지에서 제공자는 부록 Ⅱ에 언급된 정보를 진술하여야 한다. 통신가입자나 개인에게 하는 제공자의 통지는 명확하고 이해하기 쉬운 표현으로 하여야 한다. 제공자는 이 통지를 새로운 또는 부가 서비스를 위한 판매촉진이나 광고를 위한 기회로 활용해서는 아니 된다(제3조 제4항). 부록 Ⅱ 통신가입자 또는 개인에게 하는 통지의 내용 1. 제공자의 성명 2. 개인정보보호위원회의 성명 및 연락정보 또는 그 밖의 정보 담당자의 성명 및 연락 정보 3. 개인정보의 침해를 야기한 유출사고의 요약 4. 유출사고로 추정되는 날짜 6) 제3조 제2항 각호는 다음과 같이 규정하고 있다. a) 해당 개인정보의 종류와 내용. 특히 이것이 금융 정보이거나, 지침 95/46/EC 제8조 제1항에 의한 데이터의 범주이거나 위치데이터, 인터넷 프로토콜 데이터, 웹브라우저의 이력, 전자우편 데이터, 개별 통신 접속의 목록이 관련되는 경우. b) 해당 통신가입자 또는 개인의 개인정보의 침해 결과의 개연성. 특히 그 침해가 ID 절도 또는 사기, 물리적 손상, 심리적 고통, 경멸, 명 성의 손상의 결과를 야기할 수 있는 경우. c) 개인정보의 침해의 상황. 특히 데이터가 도난당했거나 이 데이터가 권한 없는 제3자가 소지하고 있다는 것을 제공자가 알고 있는 경우. 102 Internet & Security Focus 월호

12 5. 제3조 제2항에 언급한 해당 개인정보의 종류와 내용 6. 제3조 제2항에 언급한 통신가입자 또는 개인에 대한 개인정보의 침해의 결과의 개연성 7. 제3조 제2항에 언급한 개인정보의 침해의 상황 8. 개인정보의 침해를 제거하기 위한 제공자의 조치 9. 예상 가능한 부작용을 줄이기 위해 제공자가 권고한 조치 - 통신가입자나 개인에게 하는 개인정보의 침해의 통지가 정상적인 조사를 위태롭게 할 수 있는 예외적인 상황에서는 제공자는 회원국의 관할 관청의 동의를 얻어서 통신가입자나 개인에게 통지를 연기할 수 있다. 회원국의 관할 관청은 이 조에 의한 개인정보의 침해의 통지를 가능하다고 볼 수 있을 때까지 연기할 수 있다(제3조 제5항). - 제공자는 정보의 즉각적인 수령을 보장하고 기술의 수준에 따라 적정하게 확보되는 통신수단으로 통신가입자 또는 개인에게 개인정보의 침해를 통지하여야 한다. 침해에 관한 정보는 오로지 그 침해와 관련되어야 하고 다른 주제에 관한 정보와 관련되어서는 아니 된다(제3조 제6항). 기술적 보호조치(제4조) - 제공자가 적절한 기술적 보호조치를 취하였고 이 조치들이 보안 침해에 의해 관련되는 데 이터에 적용되었다는 것을 관할 당국에 만족하게 증명하였다면, 제3조제1항과 관계없이 제공자는 통신가입자나 개인들에게 이들의 개인정보의 침해를 통지할 필요가 없다. 그러 한 기술적 보호조치는 접근이 허용되지 않는 자에게 데이터가 이해될 수 없도록 하여야 한다(제4조 제1항). - 다음의 경우에는 이해할 수 없는 데이터로 간주한다(제4조 제2항). a) 데이터가 표준 알고리즘으로 안전하게 암호화되어 있고, 복호화에 사용된 키가 어떤 보안침해에도 위태롭게 되지 않고, 데이터의 복호화에 사용된 키가 생성되어서 그 키에 접근이 허용되지 않는 자가 현재 이용가능한 기술적 수단으로 알아낼 수 없는 경우. b) 데이터가 크립토그래픽으로 암호화된 표준 해시 기능으로 산출된 해시 값에 의해서 대체되었고, 데이터의 해 슁에 사용된 키가 보안침해를 통해서 침해되지 않았고, 데이터의 해슁에 사용된 키가 생성되어서 키에 접근 할 권한이 없는 자가 현재 이용가능한 기술적 수단으로 알아낼 수 없는 경우. - 위원회는 제29조 데이터보호작업반(EU 정보보호작업반), EU 통신망 및 정보 안전청 (ENISA), 유럽개인정보보호위원를 통하여 회원국의 관할 관청의 청문에 의해서 현재의 Internet & Security Focus 월호 103

13 실무에 상응하게 제1항에 의한 적절한 기술적 보호조치의 임시 목록을 제정하여 공포할 수 있다(제4조 제3항). 다른 제공자를 통한 급부의 제공(제5조) - 다른 제공자가 통신가입자와 직접 계약관계가 없이 전자적 통신서비스의 일부를 제공하 도록 위탁받은 경우에는 개인정보의 침해의 사례에서 위탁한 제공자에게 즉시 통지하여 야 한다. 보고와 심사(제6조) - 이 규칙의 발효 후 3년 이내에 집행위원회는 이 규칙의 적용에 관한 보고서, 이의 효과 및 제공자, 통신가입자, 개인에 미친 영향에 관한 보고서를 제출하여야 한다. 이 보고서를 근 거로 하여 집행위원회는 이 규칙을 심사한다. 발효 - 이 규칙은 발효된다. 참고자료 information_society/newsroom/cf/dae/document.cfm?action=display&doc_id= Internet & Security Focus 월호

14 2 EU, 공공 정보의 재이용(re-use)에 관한 새로운 지침 발효( ) 개요 공공 정보의 재이용에 관한 새로운 지침(Directive)인 유럽의회 및 이사회 지침 2013/37/EU( ) 7) 이 부터 발효되었고, EU 회원국은 지침의 발효 시점부터 2년 이내에 이 지침을 국내법으로 전환하여야 한다. - 이번에 개정된 지침은 회원국의 공공정보의 재이용에 관한 다양한 규정들을 통일시키고, 디지털 기록물에 대한 접근을 간편하게 하며, 지침의 적용범위를 확대하고 수집한 기록물에 대한 이용료를 제한하기 위한 것이다. 본 지침은 민간 기업이 정부가 소장하고 있는 정보에 접근하여 이를 재이용할 수 있도록 도입한 EU의 첫 제도적 조치였다. 개정이유 (데이터 검색 및 재이용 난점 해결) 회원국의 공공기관이 생산하는 기록물은 학문적으로 유익한 자원의 보고로서 아주 다양하며 엄청난 가치를 지니고 있다. 공공정보가 EU 전체에서 연간 10조 유로에 달하는 경제적 잠재 가치를 가지고 있는 것으로 보고되고 있다. 하지만 EU 집행위원회가 위탁한 연구결과에 따르면 산업계나 시민들은 여전히 이러한 데이터를 검색하거나 재이용하는데 어려움을 겪고 있다고 한다. 이러한 문제를 해결하기 위해서 집행위원회는 새로운 규정을 마련한 것이다. (EU차원의 동일한 규정 마련) 공개 데이터의 촉진 정책 은 공공기관의 정보를 개인적 목적이나 상업적 목적으로 광범위하게 이용할 가능성을 제공하며 재이용은 최소한 법적, 기술적, 재정적 제한이 없이 지원되고 경제계뿐만 아니라 일반 공중을 위해서도 중요한 역할을 할 수 있다. 그러한 정보가 새로운 방식으로 결합하여 이용되고, 경제성장과 사회적 참여를 촉진하는 새로운 디지털화의 발전을 자극하는 경우에는 기록의 재이용이 7) DIRECTIVE 2013/37/EU OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 26 June 2013 amending Directive 2003/98/EC on the re-use of public sector information. Internet & Security Focus 월호 105

15 허용되는지의 여부와 관련하여 EU 차원에서 동일한 요건을 요구한다. 하지만 이것이 회원국의 상이한 법률규정과 절차에 속해 있거나 해당 공공기관에게 속해있는 경우에는 아무 것도 달성될 수 없다. (수집 정보의 질 개선) 공공기관이 보유하고 있는 기록물의 재이용을 허용함으로써 재이용자, 최종이용자, 사회 전체적으로 그리고 많은 경우 공공기관 자체를 위해서도 추가적인 이용을 가능하게 한다. 왜냐하면 그것은 투명성과 법적해명의무를 촉진하고 재이용자와 최종이용자의 반응을 통해 해당 공공기관은 수집한 정보의 질을 개선할 수 있기 때문이다. (기술적 발전에 따른 공공정보 재이용 기회 확대) 공공 부문의 정보의 재이용에 관한 규정을 2003년에 처음으로 도입한 이후 공공기관의 데이터는 물론 전 세계적으로 데이터의 양은 엄청나게 증가하였고 새로운 데이터의 유형도 생성되어 수집되었다. 동시에 데이터의 분석, 이용 및 처리를 위해 투입되는 기술의 지속적인 발전도 인지하여야 한다. 이러한 신속한 기술적 발전은 새로운 서비스를 창출하였고 데이터의 이용, 집적, 결합을 하게 하는 응용기술도 창출할 수 있게 하였다. 하지만 2003년의 규정은 이러한 신속한 변화를 더 이상 감당할 수가 없게 되었다. 그리하여 공공 정보의 재이용으로 발생하는 경제적 사회적 기회를 이용할 수 없는 위험이 존재하게 되었다. - 지침 2003/98/EC는 현재 기록물의 접근이나 재이용의 허용과 관련하여 아무런 의무를 규정하고 있지 않다. 즉 재이용이 허용되는지의 여부에 대한 판단은 회원국이나 관할 공공기관에 속해 있었다. - 따라서 지침 2003/98/EC는 회원국의 규정의 범위 내에서 기록물에 대한 접근이 제한되거나 불가능하지 않는 한, 모든 기록물을 재이용할 수 있도록 모든 회원국에게 명확한 의무를 부과토록 변경되어야 한다. 그러나 이 지침을 통해서 회원국의 접근규정을 확정하거나 이들의 관할을 변경하려는 것이 아니다. 개정내용 대상과 적용범위(제1조) - 제1조는 제2항의 적용 제외사유를 개정하고 있다. 106 Internet & Security Focus 월호

16 1 이 지침은 회원국의 공공기관이 보유하고 있는 기록물의 재이용의 관리와 재이용을 원활하게 하는 실제적 수단을 관리하기 위한 최소 기준을 정한다. 2 이 지침은 적용이 제외되는 6가지 예외를 규정하고 있다. a) 기록의 제공이 회원국의 법률로 확정되거나 다른 구속력이 있는 법률규정에 의해서 확정되는 해당 공공 기관의 공공 위탁에 해당하지 않거나 그러한 법률규정의 흠결로 해당 회원국의 일반적인 행정실무를 통 하여 확정된 공공위탁에 해당하지 않는 경우. 다만, 공공위탁의 범위는 투명하고 정기적으로 심사되어야 함을 전제로 한다. b) 제3자의 지적재산이 되는 기록물 c) 다음의 사유를 포함하여 회원국의 접근규정에 의하여 접근될 수 없는 기록물 - 국가의 안전, 국방, 공공의 안전의 보호, 통계상의 비밀준수, 영업비밀(예를 들어 기업비밀, 업무상 비 밀, 사업비밀 등) ca) 회원국의 접근규정을 통하여 접근이 제한되는 기록물. 시민 또는 기업이 기록물에 접근하기 위해서 특별한 이익을 증명하여야 하는 사례들을 포함한다. cb) 일부의 기록이 오로지 로고, 문장, 표장을 포함하고 있는 경우 cc) 개인정보의 보호를 근거로 회원국의 접근규정에 의하여 접근할 수 없는 기록물이거나 오로지 접근 이 제한되는 기록물, 그리고 이 규정에 의해서 접근될 수 있는 기록물의 일부이지만 이의 재이용이 법률상 개인 정보의 처리와 관련한 자연인의 보호에 관한 권리와 일치하지 않는 개인정보를 포함하 고 있는 경우 d) 공법상의 방송국과 이의 지국 또는 다른 시설 및 이의 지국이 보유하고 있는 기록물과 공공 방송위탁으 로 관리되고 있는 기록물 e) 교육 및 연구기관이 보유하고 있는 기록물 그리고 연구결과의 전달을 목적으로 설립된 시설, 중등학교, 대학교(대학도서관은 제외)가 보유하고 있는 기록물 f) 도서관, 박물관 그리고 기록물 보관소와는 다른 문화적 시설이 보유하고 있는 기록물 개념규정(제2조) - 제2조는 다음의 개념을 추가하고 있다(제2조). 6. 기계가 판독할 수 있는 포맷 이란 소프트웨어의 적용이 구체적인 데이터, 개별적인 사실관계의 설명을 포함하 여, 이들의 내부 구조를 쉽게 식별할 수 있고, 인식할 수 있고 그리고 추출할 수 있는 데이터포맷을 말한다. 7. 공개포맷 이란 플랫폼과 독립해 있고 기록물의 재이용이 방해를 받는 제한이 없이 일반 공중이 접근할 수 있는 데이터포맷을 말한다. 8. 형식적 공개 기준 이란 소프트웨어의 상호호환성을 확보하기 위한 요구사항을 구체적으로 설명하고 있는 서면으로 작성된 기준을 말한다. 9. 대학 이란 학술적 학위를 수여하는 고등교육을 제공하는 공공기관을 말한다. Internet & Security Focus 월호 107

17 일반 원칙(제3조) - 대학도서관, 박물관 그리고 기록물 저장소를 포함한 도서관이 지적재산권을 보유하고 있는 기록물에 대해서는 회원국은, 이 기록물의 재이용이 허용되는 경우, 이 기록물이 제3장 8) 과 제4장 9) 의 요건에 따라서 상업적 그리고 비상업적 목적을 위하여 재이용될 수 있도록 확보하여야 한다. 제3조 1 제2항을 유보로 회원국은 이 지침 제1항에 의해 적용될 수 있는 기록물이 제3장과 제4장의 요건에 따라서 상업적 비상업적으로 재이용될 수 있다. 재이용의 신청 처리에 관한 요건(제4조) - 제4조는 제3항과 제4항을 개정하고 있다. 제4조 1 공공기관은 가능하고 적절한 경우 전자적 수단을 통해서 재이용의 신청을 처리하여 신청인이 기록물을 재 이용하도록 하고, 라이선스가 필요한 경우에는 기록물의 접근 요청을 처리하기 위해 정해진 기간에 일치 하게 합리적인 시간 내에 라이선스를 제공하여야 한다. 2 기록물을 적시에 제공하는 기간이나 그 밖의 규정이 없는 경우에는 공공기간은 신청인의 요청을 처리하고 재이용을 위한 기록물을 제공하여야 하며, 라이선스가 필요한 경우 이의 수령 후 20일이 경과하지 않는 범 위 내에서 신청인에게 라이선스를 제공하여야 한다. 이 기간은 포괄적이고 복잡한 요청인 경우 20일을 더 연장할 수 있다. 이러한 경우 신청인은 처음 요청 이후 3주 이내에 처리에 시간이 더 필요한 지에 대해서 통 지를 받아야 한다. 3 요청을 거부하는 결정을 한 경우 공공기관은 해당 회원국의 접근체제에 관한 규정이나 이 지침, 특히 제1조 제2항 a 내지 cc 또는 제3조에 의해서 공포된 국내의 규정들에 근거해서 신청자에게 거부 사유를 통지하여 야 한다. 제1조 제2항 b를 근거로 거부된 경우 공공기관은 권리보유자인 자연인이나 법인에게 이것이 인 정되어 있는 한, 지시하거나 그 대신에 공공기관이 해당 기록물을 보유하도록 한 허가자에게 지시한다. 대 학도서관, 박물관 그리고 기록물 보관소를 포함한 도서관은 그러한 지시의무가 요구되지 않는다. 4 신청자가 재이용 결정에 불복하는 경우 그 결정은 신청자의 법적 구제수단에 대하여 언급하여야 한다. 법 적 구제는 예를 들어 회원국의 경쟁관청(공정거래위원회), 기록물의 접근을 관할하는 관청, 결정이 해당 공공기관에 구속력을 가지게 하는 사법기관과 같이 전문지식을 갖춘 독립된 심사기관에 의한 심사의 가능 성이 포함되어야 한다. 8) 재이용의 요건을 표제로 하고 있는 제3장은 이용가능한 포맷(제5조), 요금의 기본원칙(제6조), 투명성(제7조), 이용허락(제 8조), 실제적 보호조치(제9조)로 구성되어 있다. 9) 비차별과 공정거래를 표제로 하고 있는 제4장은 재이용 범주의 비차별(제10조), 기록물의 재이용에 대한 배타적 합의의 금 지(제11조)로 구성되어 있다. 108 Internet & Security Focus 월호

18 이용가능한 포맷(제5조) - 제5조은 다음과 같이 변경되었다. 제5조 1 공공기관은 자신의 기록물을 현존하는 포맷이나 언어로 이용할 수 있도록 하여야 하고, 가능하고 적절한 경우 공개적이고 기계가 읽을 수 있는 포맷으로 메타데이터와 함께 이용할 수 있어야 한다. 포맷이나 메타 데이터는 가능한 한 형식적인 공개 기준에 따라야 한다. 2 공공기관은 제1항을 준수하기 위해서 기록물을 새로이 생산하거나 규정에 맞게 조정하거나 추출하는 것 이 단순한 처리를 넘어서 상당한 비용과 관련되는 경우에는 이렇게 할 의무가 없다. 3 공공기관은 이 지침을 근거로 특정한 유형의 기록물을 사설 또는 공공 부문의 조직이 재이용한다는 관점 에서 이러한 기록물의 생산과 저장을 지속적으로 할 필요는 없다. 이용료의 산정 기준(제6조) - 제6조는 다음과 같이 변경되었다. 제6조 1 기록물의 재이용을 위해서 이용료를 징수하는 경우 이 이용료는 재생산, 제공 그리고 재처리를 통하여 야 기되는 한계비용으로 제한한다. 2 제1항은 다음 경우에는 적용되지 않는다. a) 공공기관이 자신의 직무 수행과 관련한 비용의 실질적인 부분을 보상하기 위해서 수입을 창출하는 경우. b) 예외적인 경우로서 해당 공공기관이 기록물의 수집, 생산, 재생산 그리고 처리와 관련한 비용의 본질적 인 부분을 보상하기 위하여 충분히 수입을 목적으로 하여야 하는 기록물. 이러한 요청은 회원국의 법률 이나 구속력이 있는 다른 법률규정에 확정되어 있어야 한다. 그러한 규정이 없는 경우 각 회원국의 일반 적인 행정실무에 일치하도록 이 요청이 확정되어야 한다. c) 대학도서관, 박물관, 기록물 저장소를 포함한 도서관. 3 제2항 a와b 에 언급된 사례에서는 해당 공공기관들은 회원국이 정한 객관적이고 투명하고 사후심사가 가 능한 기준에 따라서 전체이용료를 산정한다. 적정한 정산기간 내에서 기록물의 재이용을 제공하고 허용하 여 얻은 이 기관의 전체수입은 투자에 대한 합리적인 보상을 포함하여 수집, 생산, 재생산 그리고 처리에 소요된 비용을 초과해서는 아니된다. 이용료는 해당 공공기관에게 적용되는 회계의 기본원칙을 준수하여 산정되어야 한다. 4 제2항 c)에 언급한 공공기관이 이용료를 징수하는 경우에는 적정한 정산기간 내에 기록물의 재이용의 제 공과 허용으로 얻은 전체 수입은 투자에 대한 합리적인 보상을 포함하여 기록물의 수집, 생산, 재생산, 처 리, 보존 그리고 권리설명에 소요되는 비용을 초과해서는 안된다. 이용료는 해당 공공기관에 적용되는 회 계의 기본원칙을 준수하여 산정되어야 한다. Internet & Security Focus 월호 109

19 투명성(제7조) - 제7조는 다음과 같이 변경되었다. 제7조 1 공공기관이 보유하고 있는 기록물의 재이용에 대한 기본이용료의 경우에는 적절한 조건, 이용료의 실제 액수, 이용료의 산정의 근거가 사전에 확정되어 있어야 하고, 가능하고 적절한 경우 전자적 형식으로 공개 되어야 한다. 2 제1항에 언급되지 아니한 재이용에 대한 이용료의 경우에는 공공기관은 어떠한 요소가 이 이용료의 산정 에 있어서 고려되는지를 미리 알려야 한다. 요청이 있는 경우 해당 공공기관은 특별한 재이용 요청과 관련 하여 이 이용료가 산정된 방식도 제공하여야 한다. 3 제6조 제2항 b에 언급한 요건은 미리 확정되어야 있어야 한다. 가능하고 적절한 경우 이것은 전자적 형식 으로 공개되어야 한다. 4 공공기관은 기록물의 재이용을 신청한 자가 기록물과 관련한 결정이나 절차와 관련하여 이용가능한 법적 구제를 통지받을 수 있도록 보장하여야 한다. 이용허락(제8조) - 제8조는 제1항을 개정하고 있다. 제8조 1 공공기관은 아무런 조건없이 기록물의 재이용을 허용할 수 있고 경우에 따라서는 라이선스와 관련하여 조 건을 부과할 수 있다. 이 조건은 재이용의 가능성을 불필요하게 제한해서는 아니 되며 경쟁을 방해해서도 아니된다. 2 회원국에서 라이선스가 이용되고 있는 경우 회원국은 공공기관의 기록물을 재이용하기 위해서 특별한 라 이선스 신청에 충족될 수 있는 표준라이선스가 디지털 형태로 이용될 수 있고 전자적으로 처리될 수 있도 록 확보하여야 한다. 회원국은 모든 공공기관이 표준 라이선스를 이용하도록 권장하여야 한다. 실제적 조치(제9조) - 제9조는 다음과 같이 개정되었다. 제9조 회원국은 재이용할 수 있는 기록물의 검색을 수월하게 하기 위해서 예를 들어 가능하고 적절한 경우 온라인으 로 이용할 수 있고 기기가 읽을 수 있는 형식으로 관련 메타데이터를 가진 중요한 기록물의 소장목록과 이를 연결한 인터넷 포털과 같은 실제적 조치를 취한다. 회원국은 교차언어검색시스템에 의해서 기록물이 검색될 수 있는 조치를 취하여야 한다. 110 Internet & Security Focus 월호

20 차별금지(제10조) 제10조 1 기록물의 재이용을 위한 요건은 재이용과 비교할 수 있는 범주에 대해서 차별해서는 아니된다. 2 기록물이 공공기관의 업무 범위를 벗어나는 상업적 활동을 위해서 공공기관에 의해서 재이용되는 경우에 는 이들의 활동에 대해서 다른 이용자와 같이 동일한 이용료와 그 밖의 조건들이 적용되어야 한다. 기록물의 재이용에 대한 배타적 합의의 금지(제11조) - 제11조는 다음과 같이 개정되었다. 제11조 1 비록 하나 또는 다수의 시장참가자가 이미 이들 기록물을 기초로 하여 부가가치를 창출하고 있다고 하더라 도 기록물의 재이용은 모든 잠재적 시장참가자들에게 공개되어야 한다. 기록물을 보유하고 있는 공공기관 과 제3자 사이의 계약이나 다른 합의는 배타적 권리를 보장하지 않는다. 2 하지만 공익적 서비스를 제공함에 있어서 배타적 권리가 필요한 경우에는 그러한 배타적 권리를 보장하는 이유의 합리성이 정기적으로 심사되어야 하고 적어도 3년마다 심사되어야 한다. 이 항은 문화 기록물의 디 지털화에는 적용되지 않는다. 2a항 : 문화적 기록물의 디지털화에 대한 배타적 권리가 관련되는 경우에는 제1항과 관계없이 배타적 기 간은 일반적으로 최고 10년 동안 보장될 수 있다. 이것이 10년 이상 보장되는 경우에는 보장 기간은 11 년의 해당연도에, 경우에 따라서는, 7년마다 심사되어야 한다. 앞서 언급한 배타적 권리를 인정하는 합의는 투명하여야 하고 공개되어야 한다. 앞서 언급한 배타적 권리의 경우 해당 공공기관은 합의와 관련하여 디지털화된 문화적 기록물의 복제 본을 이용료 없이 이용할 수 있다. 이 목제복은 배타적 권리가 인정되는 기간까지 재이용할 수 있다. 참고자료 Internet & Security Focus 월호 111

21 3 독일 연방내무부, 전자정부법(EGovg) 발효( ) 개관 독일 전자정부법(Gesetz zur Förderung der elektronischen Verwaltung, 이하 EGovg)은 시민과 기업이 행정기관과 전자적 통신을 원활하게 하는 것을 목적으로 한다. 따라서 연방, 주, 자치단체는 간편하고 이용자 친화적인 전자 행정 서비스를 제공하여야 하며, 이러한 서비스는 시민들의 생활과 기업의 수요에 중점 사항을 중점적으로 규율하는 전자 행정의 촉진과 관련 규정을 개정하기 위한 법률 10) ( 전자정부법 또는 전자행정촉진법 이라고 함)이 2013년 8월 1일부터 발효되었다. (개정 경과) 연방 내무부는 2012년 3월 5일 이 법률의 전문가초안을 작성하였고, 연방정부는 2012년 9월 19일 이 전문가초안을 정부안으로 결정하였다. 연방상원은 2012년 11월 2일 이 법률안에 대한 입장을 표명하였으며 연방정부는 2012년 11월 14일 이를 연방의회에 제출하였다 년 2월 21일의 연방의회의 법률안 심사에 이어 2013년 3월 20일 전문가공청회가 개최되었으며, 연방하원은 2013년 4월 18일 이 법률안을 의결하고 2013년 6월 7일 연방상원도 이에 동의하여 2013일 7일 31일 연방관보에 게재되었다. (개정 형식) 이 법률은 여러 법률들을 한 번에 제 개정하는 옴니버스형식의 법률이고, 핵심법률은 전자정부법 11) 의 제정이며, 나머지는 데메일법 12) 을 비롯한 27개 관련 법률규정의 개정을 내용으로 하고 있다. 10) Gesetzentwurf des Gesetzes zur Förderung der elektronischen Verwaltung sowie zur Änderung weiterer Vorschriften(E-Government-Gesetz, EGovG). 11) Gesetz zur Förderung der elektronischen Verwaltung 12) D 법은 독일 전자정부의 통신서비스로서 인터넷상에서 시민, 국가기관, 기업 사이에 주고받는 법적 효력이 있는 전 자문서의 교환에 관한 법률을 말함. 자세한 내용은 박희영, 데메일법(D -Gesetz) 제정, 법제처 법제 , 참조. 112 Internet & Security Focus 월호

22 전자정부법 주요 내용 적용범위(Geltungsbereich) - 이 법률은 연방 및 주의 모든 행정기관에 적용되며 공법상의 행정행위나 사법부의 순수한 행정행위에도 적용된다. 이 법률의 적용이 제외되는 경우로는 1 형사소추, 질서위반행위 의 소추, 세무사찰 등, 2 독일 특허청 및 중재소의 절차, 3 일부의 사법복지행정 등을 말 한다(제1조). 행정에의 전자적 접근(Elektronischer Zugang zur Verwaltung)(제2조) - 행정기관은 전자문서의 전달을 위한 접근방법을 제공하여야 한다. 물론 그 전자문서는 인 증된 전자서명을 갖추어야 한다(제2조). 정보통신망을 통한 행정기관 및 이의 절차에 관한 정보 - 행정기관은 정보통신망을 통하여 일반인이 이해할 수 있는 언어로 자신들의 직무, 주소, 업무시간에 관한 정보를 그리고 우편, 전화, 전자우편에 의한 접근가능성에 관한 정보를 제공하여야 한다(제3조). 전자적 지불 가능성(Elektronische Bezahlmöglichkeiten) - 전자적으로 진행되는 행정절차와 관련하여 이용료나 그 밖의 요구사항이 발생하는 경우 에는 행정기관은 이용료의 지불이나 그 밖의 요구사항을 해결하기 위해서 전자거래에서 통상적이고 충분히 보안이 된 지불절차를 제공하여야 한다(제4조). 증명서(Nachweis) - 행정절차가 전자적으로 수행되는 경우 제출하여야 할 증명서는 전자적으로 제출될 수 있 다. 다만 법률에 달리 규정되어 있지 않거나 행정기관이 특정한 절차나 개별적인 경우 원 본의 제출을 요청하지 않아야 한다. 행정기관은 사실관계의 조사를 위하여 어떤 종류의 전자적 제출을 허용할 것인가를 의무재량에 의해서 결정한다(제5조). 전자 문서의 운영(Elektronische Aktenführung) - 연방행정기관은 문서를 전자적으로 운영(führen)한다. 하지만 전자문서의 운영이 장기간 관찰에 의하여 비경제적이라고 판단되는 행정기관에는 적용되지 않는다. 문서가 전자적 으로 운영되는 경우 기술의 수준에 따라 적합한 기술적 조직적 조치를 통하여 합법적인 문 서운영의 기본원칙이 준수되도록 하여야 한다(제6조). Internet & Security Focus 월호 113

23 종이문서의 전환 및 폐기(제7조) 1 연방기관이 문서를 전자적으로 운영하는 한 종이문서 대신에 전자문서로 전달된 것을 보관하여야 한다. 전 자적 문서로 전환함에 있어서 기술의 수준에 의해서 전자문서가 읽혀질 수 있는 경우 종이문서와 형태상 그리고 내용상 일치하도록 하여야 한다. 종이문서를 전자 문서로 전환하는 데 기술적 비용이 비례성을 벗 어날 정도로 요구되는 경우 종이문서의 전자문서로의 전환은 배제될 수 있다(제1항). 2 제1항의 종이문서를 전자문서로 전환한 후 기술적 이유로 보관이 더 이상 필요하지 않거나 전환과정의 질 적인 확보를 위해서 더 이상 필요하지 않는 경우에는 폐기하거나 반환하여야 한다(제2항). 문서의 열람(제8조) 문서의 열람권이 존재하는 경우 문서를 전자적으로 운영하는 연방기관은 다음 각 호를 통하여 문서의 열람을 보장하여야 한다. 1. 문서의 출력 2. 전자문서를 모니터에 재현 3. 전자문서의 전달 4. 문서의 내용에 전자적 접근 허용 행정과정의 최적화 및 절차 상태에 관한 정보 - 연방기관은 통상의 방법을 이용하여 정보기술 시스템을 도입하기 이전에 처음으로 상당부분 전자적으로 지원받는 행정과정을 기록하고, 분석하고 최적화하여야 한다. 이 경우 연방기관은 절차관계자의 이익을 고려하여 절차를 형성하고 절차의 상태와 그 밖의 절차에 대한 정보 및 조회의 시점에 담당자의 연락정보가 전자적인 방식으로 호출될 수 있도록 하여야 한다(제9조). IT 기획위원회의 표준화 결정의 전환 - 연방과 주 사이의 행정의 IT 협력을 위한 기획위원회(IT 기획위원회)의 IT 표준화 결정을 연방행정기관의 내부로 전환하여야 한다(제10조). 공동절차 - 공동절차(Gemeinsame Verfahren)란 연방개인정보보호법상 다수의 책임기관이 데이터베이스에서 또는 데이터베이스로부터 개인정보를 처리할 수 있도록 하는 자동화된 절차를 말한다. 공동절차가 다른 기관의 호출을 할 수 있도록 하여야 한다면 이에 대해서는 연방개인정보보호법 제10조의 호출절차가 적용된다(제11조). 114 Internet & Security Focus 월호

24 데이터 제공의 요청, 법규명령의 제정 권한(Verordnungsermächtigung)(제12조) - 행정기관이 정보통신망을 통해서 이용이익, 특히 정보재이용법(IWG) 13) 에 의한 재이용의 이익이 기대될 수 있는 데이터를 이용하는 경우, 기본적으로 기기가 읽을 수 있는 포맷으로 이용되어야 한다. 포맷에 포함된 데이터가 소프트웨어를 통하여 자동적으로 읽혀지고 처리될 수 있다면 이 포맷은 기기가 읽을 수 있는 포맷에 해당한다(제1항) - 연방정부는 연방상원의 동의를 얻어서 제1항에 의한 데이터의 이용에 관한 규정을 제정할 권한이 있다. 이용규정은 상업적 비상업적 이용을 포함하여야 한다. 이 규정들은 특히 이용의 범위, 이용요건, 보장의 배제, 책임배제를 두어야 한다(제2항). 전자적 양식(Elektronische Formulare) - 법률규정에 의해서 서명란을 둔 특정한 양식을 이용하도록 정해져 있다면 단지 이를 통해서 문서의 형식을 갖추라고 명령하는 것은 효력이 없다. 행정기관에 전자적으로 전송하도록 정해진 형식에는 서명난이 없다(제13조). 토지 등 물리적 위치를 전자 등록부(Elektronisches Register)에 수용 - 국내의 토지와 관련한 정보를 포함하고 있는 전자 등록부가 새로 구축되거나 증보되는 경우 행정기관은 이 등록부에 평야나 건물 또는 법률규정에 정해진 영역에 대한 위치 확인을 연방차원에서 통일적으로 인정하여 이 등록부에 수용하여야 한다. 이 법률에 의한 전자등록부는 연방법의 규정에 근거하여 수집되거나 저장되어 있는 데이터 등록부를 말한다(제14조). 관청의 출판물(제15조) - 누구나 행정기관의 출판물에 적정하게 접근할 수 있어야 한다. 특히 인쇄물을 주문하거나 공공기관에 있는 출판물에 접근할 가능성을 가져야 한다. 출판물을 정기구독하거나 전자적으로 새로운 출판물의 안내를 받을 수 있어야 한다. 오로지 전자적 출판물만이 존재하는 경우에는 정보통신망에서 적합한 방식으로 공개되어야 한다. 출판된 내용이 누구에게나 장기간 접근 가능하여야 하고 내용의 변경이 불가능하여야 한다. 전자형식과 종이형식의 두 가지 출판물이 존재하는 경우 출판자는 어느 형식을 진정한 것으로 간주하는지를 정하여야 한다. 13) 정보재이용법(Gesetz über die Weiterverwendung von Informationen öffentlicher Stellen (Informationsweiterverwend ungsgesetz, IWG)은 제정되었다. 이 법률은 적용범위(제1조), 개념규정(제2조), 청구의 평등(제3조), 문의 의 처리 및 투명성(제4조), 권리보호(제5조), 효력규정(제6조)의 구조로 되어 있다. Internet & Security Focus 월호 115

25 반응 및 평가 특히 이 법률이 수용하고 있는 통신수단인 데메일(D )은 단대단 암호화를 사용하고 있지 않고, 데메일의 경우 암호화는 선택사항이고 그것도 표준이 아니기 때문에 야당, 개인정보보호가, 보안전문가들은 이 법률에 반대하고 있다. 참고자료 Informationsgesellschaft/egovg_verkuendung.pdf? blob=publicationfile 116 Internet & Security Focus 월호

26 4 미국 오리건주, 컴퓨터 사기 및 남용 방지법(Computer Fraud and Abuse Act ; CFAA)을 개정하는 애론법(Aaron s Law) 발의( ) 개관 조 로프그렌(Zoe Lofgren) 미국 캘리포니아주 민주당 대표 및 론 와이든(Ron-Wyden) 오리건주 민주당 상원 의원은 각각 컴퓨터 사기 및 남용 방지법 (이하 CFAA라 한다)의 개정을 위한 수정안을 발의하였다( ). 이 법안은 CFAA 위반으로 기소된 것을 이유로 자살한 애론 스워츠(Aaron Swartz)의 이름을 따 애론법 (Aaron s Law)으로 명명하며 불명확한 용어를 개선하고 지나치게 광범위한 처벌의 범위를 축소하기 위해 입법화 되었다. 애론법 개정안은 하원에 2013년 6월 20일 발의되었고 14), 현재 미국 제113대 하원 법사위(House Judiciary Committee) 산하 범죄테러리즘 국토안보 및 조사 소위원회 15) 에 상정되어 법안 심의 중에 있다. - 이와 관련하여 미국 상원의회에서도 론 와이든 상원의원이 같은 법안인 S Aaron's Law Act of 2013 을 발의하여 상원 법사위에 계류 중에 있다. 개정 경과 (최초 입법 배경) 2013년 1월 애론 스워츠(Aaron Swartz) 16) 는 MIT(Massachusetts Institute of Techonology)의 네트워크에 침입해 JSTOR구독 서비스로부터 수백만 건에 달하는 논문을 다운받은 사실로 기소되자 그 중압감을 이기지 못하고 애론 스워츠는 자신의 뉴욕 아파트에서 26세의 나이로 자살하였다. - 애론 스워츠의 기소 죄목은 컴퓨터침입(computer intrusion), 무선 사기(wire fraud), 컴퓨터 사기(computer fraud), 데이터 절도(data theft) 등으로 이를 기초로 검찰은 애론에게 수십 년의 징역을 구형하였으며 100만 달러에 이르는 벌금도 예상되었다. 14) H.R Aaron's Law Act of ) House Subcommittee on Crime, Terrorism, Homeland Security and Investigations 16) 애론 스워츠(Aaron Swartz)는 RSS 온라인 컨텐츠 신디케이션(RSS online content syndication) 기술의 개발, 크리에이티 브 커먼즈 라이센스(Creative Commons licenses; CCL)의 창안, SOPA와 PIPA 법안에 대항하는 운동을 조직하고 Reddit 의 성공에 결정적인 역할을 수행한 바 있다. Internet & Security Focus 월호 117

27 - 1984년 입법된 CFAA는 본래 War Games 라는 영화에서 컴퓨터를 해킹하여 제3차 세계대전을 발생하게 한다는 스토리를 보고 우려한 의회 의원들이 허가되지 않은 컴퓨터의 접근을 막아 자국의 컴퓨터 및 정보를 보호하고자 한 데서 시작하여 북미항공우주방위사령부(North American Aerospace Defence Command, NORAD)등과 같은 방위기구의 보호를 위해 보다 엄격한 법정형을 두었다. (기존법에 대한 비판) 애론 스워츠의 경우에는 초범인 점을 감안하여 실제로는 약 7년형을 받았을 것으로 예상되나 그렇다 하더라도 미국의 주요 성범죄자들과 가중폭행범들의 복역기간이 평균 5년이라는 점을 미루어볼 때 상당히 중한처벌을 받은 것으로 CFAA의 무분별한 적용이라는 비판이 가해졌다. - 이 외에도 한 여성이 MySpace 社 의 서비스를 이용하면서 약관을 따르지 않은 것이 CFAA의 위반에 해당한다며 검찰이 이를 경범죄로 기소하거나 샌프란시스코의 제9연방순회항소법원 판사가 정부의 CFAA해석에 대해 단순한 웹서핑을 한 미국시민 을 기소대상으로 볼 수 있음을 경계하는 등 CFAA에 사용된 용어의 불명확성 및 적용범위의 광범위성은 꾸준히 논란이 되어왔다. - 지난 10년간 민 형사사건의 판결에서 연방판사가 CFAA를 인용한 횟수는 폭발적으로 증가하고 있는 실정이다. 출처 : CNET, From 'WarGames' to Aaron Swartz: How U.S. anti-hacking law went astray 기사, CNET research 내용 (법 적용범위 축소) 애론법은 미국연방법 Title 18을 수정, 허가(authorization)받지 않은 접근(access) 의 의미 명확화 등을 통한 CFAA의 적용범위 축소를 그 내용으로 한다. 118 Internet & Security Focus 월호

28 - SEC. 1. 은 이 법의 약칭이 2013년 애론법 임을 그 내용으로 한다. - SEC. 2. 은 18 U.S.C. 1030에서의 허가받지 않은 접근(Access without authorization) 의 정 의를 명확히 하고 이에 따라 허가된 접근을 넘어서서 라는 문구는 삭제되고 대신 허가받 지 않은 접근 에 관한 문구들이 새로이 삽입됨을 그 내용으로 한다. SEC U.S.C. 1030에서 말하는 허가받지 않은 접근 이란 허가받지 않은 접근을 위해 기술적 장벽을 회피 (우회)하는 것을 말한다. (a)(2) 일반적으로 허가받지 않은 접근 이란 (A) 보호되고 있는 컴퓨터의 정보를 획득하기 위하여; (B) 그 획 득에 대한 허가가 없는 접근자가; (C) 허가받지 않은 개인들이 그러한 정보를 획득하는 것으로부터 개인들을 배제하고 막기 위해 취해진 하나 또는 그 이상의 기술적 또는 물리적 조치들을 의도적으로 우회하는 경우를 말한다. - SEC. 3. 은 CFAA에서 중복되는 내용의 삭제를 그 내용으로 한다. - SEC. 4. 는 법 위반에 대한 처벌이 범죄에 비례하도록 하는데 예컨대 구성요건 중 재산상의 이익 을 획득한 정보의 시장가치가 $5,000을 넘을 경우로 법의 적용범위를 제한하고 있다. 평가 및 동향 (발의자의 견해) 로프그렌과 와이든은 공동성명에서 애론법은 단순히 애론 슈워츠에 관련 된 것만은 아니다. 법으로 하여금 일반적인 컴퓨터 인터넷 활동이 아닌, 위협적인 해킹에 다 시 그 초점을 맞추게끔 하려는 것이다 라고 하며, (수정안은) 법이 일반적인 온라인 활동과 해로운 공격의 차이를 구별할 수 있도록 명확한 선을 설정할 것 이라고 밝히고 있다. - 또한 애런법을 작성함에 있어... 우리는 의도치 않은 결과를 불러일으킬 수 있는 CFAA의 성급한 수정을 택한 것이 아니라 고 하며 그 대신 숙의하는 과정을 통해 법안에 공을 들 여왔다 며 기술전문가들, 기업들, 시민단체들, 전 현직 정부 관료들, 대중들의 폭넓은 의견을 반영하였음 을 강조하고 있다. (단체의 견해) 로프그렌은 애런 슈워츠가 생을 마감한 직후 이미 지난 1월에 CFAA를 수정 하는 법안의 초안을 공개하였고, 법안의 지지자들이 이를 Reddit에 올려 활발한 의견교환 을 거친 바 있다. - 디지털 권리단체들은 애런 슈워츠에 대한 기소이후 입법자들에게 CFAA의 완화를 줄곧 요 구해온 만큼 법안에 대해 긍정적인 견해이다. - 슈워츠가 공동설립자로 있었던 Demand Progress의 데이빗 시갈(David Segal)은 법안이 Internet & Security Focus 월호 119

29 통과되는 날은 애런이 그가 살아생전 평생 추구해오던 바 모든 사람들의 자유와 권리를 수호하는 일을 그가 죽은 다음에도 계속 실현하는 날이 될 것 이라며 법안을 크게 환영하 고 있다. - 샌프란시스코에 위치한 Electronic Frontier Foundation의 변호사 한니 패쿠리(Hanni Fakhoury)는 "지난 20년 동안 이 법(CFAA)의 적용범위가 갈수록 더 넓어지고, 그 처벌이 갈수록 엄벌주의적(Draconian)이 되어 왔다"면서 "그 결과 확실히 문제가 있다"는 의견을 밝힌 바 있다. - 민주주의와 기술을 위한 센터(The Center for Democracy and Technology; CDT) 역시 법 안을 반기며 단순한 약정 위반은 컴퓨터에 침입하는 것과 다르며, Facebook에서 자기 나 이를 속이는 것이 연방범죄가 되어서는 안된다 는 법안 찬성 입장을 밝히고 있다. - 특히 CDT의 표현의 자유 프로젝트(Free Expression Project) 책임자인 케빈 뱅크스톤 (Kevin Bankston)은 웹사이트의 이용약관(terms of service)이나 고용자의 컴퓨터사용정 책(employer s computer use policy) 위반을 이유로 한 검찰의 기소 시도에 대해 법원이 현명하게 제동을 걸기 시작하였다 며, 애런법은 논란의 여지가 없게 하기 때문에 법원의 결정들이 바로 설 수 있게 만들 것 이라는 견해이다. 참고자료 lofgren%20-% pdf html Internet & Security Focus 월호

30 2. 판례 및 이슈 1 독일 뮌헨지방법원, 온라인 평가포털 운영자는 권리침해자의 정보를 제공할 필요가 없다 고 판결 (LG München I, Urteil vom , 25 O 23782/12) 개관 뮌헨 지방법원은 2013년 7월 29일 온라인 평가포털에서 평가자의 신원에 관한 정보를 제공할 수 없다 고 판결하여 평가자의 익명성을 보장하도록 하였다. 법원의 판결에 따르면 평가자의 신원에 관한 정보제공 청구(ein Anspruch auf Auskunft)는 민법(BGB) 제242조, 텔레디미어법(TMG) 제14조 제2항 또는 연방개인정보보호법(BDSG) 제28조 제2항 제2호에 의해서도 보장되지 않는다고 판결하였다. 사실 관계 (소송 당사자) 원고는 아동 및 청소년 전문병원을 운영하고 있는 의사이며, 피고는 개업의 사들의 정보를 검색하고 이들을 평가할 수 있는 온라인 평가포털 을 운 영하는 자이고, jameda는 현재 독일에서 가장 규모가 큰 의사 추천 및 평가 사이트이다. - 또한 피고의 의사 온라인 평가포털사이트에서는 이용자들이 텍스트 형태로 의사에 대한 평가를 하고 점수를 매길 수 있도록 하고 있다. 2012년 7월 10일 이용자 중 하나가 추천하고 싶지 않는 이란 제목으로 피고가 운영하는 온라인 포털에 종합 점수 5.2를 입력하면서 다음과 같은 평가를 하였다. - 아이들을 데리고 자주 이 병원에 갔지만 유감스럽게도 나는 결코 만족하지 못했다는 사실을 말해야겠다. 이 의사 는 진료를 하면서 상태를 자세하게 조사하지도 않고 짧게 끝내버렸다. 즉 확실히 짧게, 채 5분도 걸리지 않았다. (...) 다른 환자들 앞에서 부모들의 마음을 상하게 하고 매우 건방지다. (...). 그 의사는 실제로 개인병원을 운영하기 이 전에 종합병원에서 일을 좀 더 배워야 한다. 그 의사는 아무 것도 하지 않으면서 항상 매우 스트레스를 받고 있다. - 아이들을 데리고 자주 이 병원에 갔지만 유감스럽게도 나는 결코 만족하지 못했다는 사실을 말해야겠다. 이 의사 는 진료를 하면서 상태를 자세하게 조사하지도 않고 짧게 끝내버렸다. 즉 확실히 짧게, 채 5분도 걸리지 않았다. (...) 다른 환자들 앞에서 부모들의 마음을 상하게 하고 매우 건방지다. (...). 그 의사는 실제로 개인병원을 운영하기 이 전에 종합병원에서 일을 좀 더 배워야 한다. 그 의사는 아무 것도 하지 않으면서 항상 매우 스트레스를 받고 있다. 그의 판단 중 몇 개는 매우 의심이 가기도 한다. 전문의이면서도 말이다. Internet & Security Focus 월호 121

31 질문에 대해서도 대부분 대답을 하지 않거나 아주 드물게 말할 뿐이다. 신장이 제대로 기능을 하고 있느냐에 대 한 질문에 대해서 의사는 신장은 소변을 걸러내는 역할을 한다고만 대답하였다. 그것은 물론 맞다. 하지만 질문 에 대한 대답은 아니지 않는가? 의사는 또 어린 아이에게 다이어트를 하도록 권했다. 어린 아이에게 다이어트를 권하는 것은 잔인한 것이다. 설명해 보시오, 아이가 배가 고픔에도 불구하고 먹이지 말라는 이유를.... 이제는 다른 아동병원에 다니고 있고 이 병원 의사는 나의 아이도 무척 만족해하고 있다. 요약 : 아이의 건강을 진심으로 생각하고 정확한 정보를 제공받고자 하는 사람에게 이 병원은 절대로 아니다. - 피고는 포털 상의 평가에 포함된 사실의 주장이 부적절함을 이유로 해당 평가를 삭제하였 다. 또한 피고는 금지를 요구하는 가처분 명령의 신청을 받아들이고 평가로 인한 권리가 더 이상 침해되지 않도록 하는 종결의 의사표시(Abschlusserklärung) 를 하였다. 반면 원 고는 포털 상의 평가 글로 인해 자신의 권리가 침해되었고 자신의 병원 운영에 부정적인 영향을 우려하였다. (원고의 주장) 원고는 2012년 7월 10일 서면으로 피고에게 금지청구를 위해 이용자의 접 속데이터에 관한 정보의 제공을 요청하였다. 피고는 정보제공 요청에 불응하고 요청한 정 보를 지금까지 제공하지 않았다. 그 사이에 원고는 누가 분쟁의 대상인 평가를 하였는지를 조사하였다. - 원고는 피고가 정보를 제공하여야 할 의무가 있다고 주장하며, 텔레미디어법 제13조에 규 정된 가능한 익명성의 원칙은 제3자의 권리가 대규모로 침해된 경우에는 제한된다고 주 장하였다. 텔레미디어법 제12조와 제14조는 이러한 청구에 모순되지 않는다고 한다. <참조 법령> 텔레미디어법 - 제13조 제6항 서비스제공자는 이용자가 익명이나 가명으로 텔레미디어를 이용할 수 있도 록 하고 있다. 물론 이것이 기술적으로 가능하고 기대할 수 있어야 한다. 이러한 가능성을 이용자는 통지받아야 한다. - 제12조 서비스제공자는 이 법률이나 명백하게 텔레미디어와 관련이 있는 다른 법률에서 개인정보의 수집이나 이용을 허용하고 있거나 이에 대한 이용자의 동의가 있는 경우 개인 정보를 수집하고 이용할 수 있다. 정보통신망에서의 개인정보의 수집 및 이용에 관한 기본 원칙을 정하고 있다. 122 Internet & Security Focus 월호

32 - 제14조 서비스제공자는 텔레미디어의 이용에 관한 이용자와의 계약체결의 근거, 내용, 변 경을 위하여 필요한 경우 개인정보를 수집하고 이용할 수 있다. 이 규정은 이용자 기본정보 의 수집 및 이용에 관한 규정이다. - 원고는 평가한 자를 조사한 후 본안이 해결된 것으로 진술하였고 피고는 본안의 해결을 반대하였다. (피고의 주장) 피고는 원고가 이유 없는 정보제공을 요청하였다고 주장하며 다음과 같은 이유를 제시하였다. - 먼저 민법 제242조에서 기인하는 정보요청권은 텔레미디어법 제13조와 모순된다고 주장 하였다. 또한 피고 자신은 이용자에게 통지를 하였고, 이용자는 익명으로 평가글을 사이 트에 남겼다고 답변하며 평가자의 동의가 없기 때문에 텔레미디어법 제12조 제2항은 정 보요청에 모순된다고 한다. - 또한 텔레미디어법 제14조 제2항도 원고에게 정보요청권을 부여하지 않으며, 텔레미디어 법의 규정들은 최종적이기 때문에 원고의 정보요청권은 연방개인정보보호법 제28조 제2 항 제2호에서도 도출될 수 없다고 한다. 이어 피고는 원고가 다른 구제 수단으로 구제받을 수 있다고 주장하였다. <참조 법령> 민법 제242조 : 채무자는 신의성실이 거래관행을 고려하여 요구하는 대로 급부를 실행할 의무를 부담한다. 연방개인정보보호법 제28조 제2항 : 제28조는 업무상 목적으로 개인정보를 수집하고 저 장하는 원칙들을 규정하고 있고 제2항에서는 다른 목적을 위하여 수집하고 저장한 개인정 보를 전달하거나 이용하는 것을 허용하고 있다. 연방대법원 판결(판결이유) 원고는 피고에 대해서 정보제공청구권을 가지고 있지 않기 때문에 허용된 소는 이유가 없고 그러므로 본안의 종결(Erledigung der Hauptsache) 17) 이 일어나지 않았다. 17) 독일 민사소송법상으로 소송비용에 관한 문제이다 즉 허용되고 이유가 있는 소가 사후의 일어나는 사건에 의해서 허용되 지 않거나 이유가 없어질 경우에 내려지는 결정을 말한다. 이 결정이 내려지만 소송비용을 지급할 필요가 없다. 본안완료 가 선언되기 위해서는 허용되고 이유가 있는 소여야 하는데. 당해 사건에서는 허용되지만 이유가 없으므로 본안완료가 선 언되지 못한다는 의미이다(편집자 주). Internet & Security Focus 월호 123

33 텔레미디어법 상의 규정 적용 여부 : 긍정 - 이용자에게 내용상의 서비스를 제공하고 통신서비스만을 제공하지 않는 인터넷포럼의 운영자인 피고는 텔레미디어법상 서비스제공자에 해당한다(이에 대해서는 교사평가포털( 운영자에 대한 연방대법원 판결 BGH Urteil vom , VI ZR 196/08 참조) 따라서 텔레미디어법 상의 규정들은 피고에게 적용될 수 있다. - 텔레미디어법 제12조 제2항에 의하면 서비스제공자는 텔레미디어를 제공하기 위하여 수집한 개인정보를 다른 목적을 위해서 이용하는 경우에는 일정한 제한이 따른다. 이러한 제한으로는 이 법률이나 그 밖에 명백하게 텔레미디어와 관련이 있는 법률 규정이 이를 허용하거나 이용자가 동의한 경우에 한해서만 이용할 수 있다 라고 규정하고 있다. 텔레미디어법 제14조 제2항에 따른 정보제공청구권 존재여부 : 부정 - 텔레미디어법 제14조 제2항은 제3자의 정보청구권을 명백히 규정하고 있다. 이 규정에 의하면 서비스제공자는 관할관청의 명령에 의하면 개별적 사례에서 이용자의 기본정보를 제공할 수 있다. 이것은 형사소추 및 각 주의 경찰관청을 통한 위험예방을 위하여, 연방 및 각 주의 헌법보호청이 법률상 직무 수행을 위해서, 연방정보기관, 군사정보정보기관 또는 국제테러의 위험을 방지하기 위한 직무와 관련하여 연방범죄수사청의 법률상 직무를 수행하기 위한 목적을 위해서 또는 지적재산권의 집행을 위해서 필요한 경우에 한한다. - 따라서 원고의 요청은 열거된 사유에 해당하지 않기 때문에 이러한 정보제공청구권의 요건은 존재하지 않는다. 즉, 텔리미디어법 제14조 제2항에 의한 원고의 요청은 존재하지 않는다. - 또한 이 규정의 유추적용은 배제된다. 왜냐하면 명백하게 언급한 적용범위를 넘어서 확대가 되어서는 아니되는 예외규정이 문제되기 때문이다. 이 점은 이 규정의 문언과 텔레미디어법 제12조 제2항의 규정에서 도출된다. 연방개인정보보호법 제28조 제2항에 따른 청구권 존재여부 : 부정 - 원고의 정보청구권은 연방개인정보보호법 제28조 제2항에서도 도출될 수 없다. 왜냐하면 이 규정에서는 명백하게 텔레미디어와 관련이 있는 규정이 아니기 때문이다. 그러한 점에서 텔레미디어법의 규정들은 최종적인 성질을 가진다. - 따라서 원고에게 처리할 결과의 시점에서 정보청구권이 부여되지 않기 때문에 소는 124 Internet & Security Focus 월호

34 본안완료(Erledigung der Hauptsache)의 부재로 기각되어야 한다. 원고가 평가를 통해서 비방을 당했다고 보이는 한, 원고는 검찰의 도움을 받아야 하고 경우에 따라서는 서류열람의 방식으로 원하는 것을 요청하여야 한다. 이러한 방법은 원고에게 맡겨져 있었고 게다가 피고에 대해서 부작위청구권을 가지고 있어서 이를 수행할 수 있었기 때문에, 원고가 법적으로 도움을 받을 수 없는 상태에 있는 것은 아니다. 판결에 대한 평가 이번 뮌헨지방법원의 판결은 현재 독일의 지배적인 판결과 일치한다. 지금까지 드레스덴 고등법원의 판결만이 다른 견해를 견지하고 있다. 이 판결은 자신의 블로그에서 코멘트를 한 자의 정보를 블로거가 제공하여야 할 의무가 있다고 한 것이다(OLG Dresden, Beschluss vom , 4 U 1850/11). 향후 연방대법원의 판결이 주목된다. 참고자료 kein-auskunftsanspruch-auf-identitat-des-verletzers-gegen-betreiber-einerbewertungsplattform/ Internet & Security Focus 월호 125

35 2 미국 전자프라이버시 정보센터(EPIC), 대법원에 국가안보국(NSA)의 전화기록 수집 방지를 위한 탄원서 제출 ( ) 개관 미국 전자 프라이버시 정보센터(The Electronic Privacy Information Center, 이하 EPIC)는 미국 국가안보국(the National Security Agency, 이하 NSA)에서 수백만의 미국인들의 전화기록을 수집하는 것을 막기 위해 대법원((Supreme Court of the United States)에 긴급 탄원서(emergency petition)를 제출하였다( ). 배경 해외정보감독법원(the Foreign Intelligence Surveillance Court, 이하 FISC)은 미국 통신회사 인 버라이즌사(Verizon)에게 NSA에 지역전화를 포함한 미국 내에서 이루어진 전체 전화 통화 기록들을 공개할 것을 명령하는 판결을 내린 바 있다( ). FISC 판결의 내용 - FISC는 버라이즌 社 에게 NSA에게 지역 전화를 포함한 미국 내 통화기록을 제공할 것을 명령하였다. 18) - FISC의 명령은 대화 참여자의 전화번호, 통화 길이, 대화 횟수, 위치정보, 전화카드 번호 및 고유전화 ID와 같은 메타데이터(Metadata) 19) 를 수집할 수 있도록 허가하는 것을 내용으로 한다. - 이러한 메타데이터에는 대화의 실질적인 내용(U.S.C. 2510(8)), 또는 이름, 주소, 재정정보는 포함하지 않는다. 지속적인 FISC의 비공개 판결은 NSA가 데이터의 폭넓은 수집을 할 수 있게 하였으며 최근 前 NSA 직원인 에드워드 스노든(Edward Snowden)에 의해 NSA의 감시사실이 폭로되기도 하였다. - 감시를 위한 요건으로 관련이 있는(relevant)'이란 용어를 재정의한 비공개의 FISC 판결로 인해 NSA는 범죄로 의심받지 않는 경우에도 수백만 미국인의 폰데이터를 수집할 수 있게 되었다 년 중반부터 시작된 비공개 명령에서 법원은 수백만 명의 기록에 대한 전체 데이터베이스에 대한 감시가 허용될 수 있도록 관련이 있는(relevant)'의 해석 범위를 넓히고 있다. 18) 이러한 명령은 U.S.C. 1651와 50 U.S.C. 1803, 1861(f)의 규정에 기초한 것이다. 19) 데이터에 관한 구조화된 데이터로 다른 데이터를 설명해주는 데이터, 이른바 속성정보라고 한다. 126 Internet & Security Focus 월호

36 탄원서의 주요 내용(emergency petition) (FISA판결의 무효화 및 직무집행영장 요청) EPIC는 대법원에 버라이즌사가 NSA에게 미국 전역에서 이루어지는 통화 기록을 공개하도록 명령한 FISC의 판결을 무효화해주고 앞으로 이러한 판결을 금지해줄 것을 요구하고 있다. - EPIC의 탄원은 직접적으로 대법원에게 항소하는 것이며, 이는 비공개원칙을 취하고 있는 FISC에 직접 항소할 수 없고 그 이외의 방법으로는 FISC 명령을 무효화 할 수 있는 방법이 없기 때문이다. 20) - 또한 EPIC은 대법원에 FISC의 명령을 검토하기 위한 직무집행영장(writ of mandamus) 21) 을 요청하고 있다. (전화기록 수집에 따른 문제점) EPIC은 탄원서에서 전화의 메타데이터가 직접적으로 각 이용자의 신원과 연결될 수 있고 그들의 계약, 고객, 동료 그리고 물리적 위치를 누설할 수 있다고 주장하고 있다. - EPIC는 그 스스로 역시 버라이즌사의 고객이며 그의 변호사들이 공무원, 국회의원 그리고 기자들과 권리가 있는 비밀 있는 대화를 한다고 주장하면서 EPIC은 보장받아야 하는 변호사와 고객 간의 대화를 추적할 수 있는 기관(NSA, FBI 그리고 다른 정부기관)과 소송이 진행 중에 있다. - EPIC는 자신과 소송이 진행 중인 상대방이 자신의 변호사와 고객 간의 대화를 추적할 수 있다는 점에 대해 문제를 제기하고 있다. 관련 동향 및 반응 (NSA의 반응) 미국 국가정보원장(US Director of National Inteligence) 제임스 클레퍼(James Clapper)는 NSA가 버라이즌 고객들의 통신 데이터를 수집하지만 데이터베이스는 오직 외국 테러리스트 기관과 연관이 있다는 점에 대한 분명한 사실에 기초한 합리적인 의심이 있을 때 의문을 제기할 수 있다고 주장하고 있다. - 이와 더불어 좁은 범위의 정보 수집은 테러와 관련된 대화를 검사하거나 확인하는 능력을 제한할 수 있기 때문에 수집이 광범위할 수밖에 없고 이러한 정보의 획득은 NSA에게 시간이 갈수록 테러활동과 연결고리를 만들어 줄 것이라 주장하고 있다. 20) 해외정보감시법(Foreign Inteligence Surveillance Act(FISA))의 일반 규정들과 FISC 규칙에 의해 FISC 판결에 대해 FISC 나 재심법원(Court of Review)에서 구제를 받을 수 없다. 21) 직무집행영장은 미국의 법원을 통한 구제방법의 하나로, 법원이 하위 국가공무원에 대해 그가 공적임무를 올바로 수행하거 나 재량의 남용을 시정할 것을 지시하는 명령하는 것이다. Internet & Security Focus 월호 127

37 (국제 인권단체 등의 반응) 국제 인권단체인 프라이버시 인터네이셔널(Privacy International)은 영국 정부의 무차별적인 도청과 해저 광섬유 케이블 도청을 통한 막대한 양의 정보 저장 을 중단시키기 위해 노력하고 있어 영국에서도 EPIC의 것과 비슷한 도전(challenge)이 이루어지고 있음을 지적하고 있다. - 또한 미국 시민 자유 연합(The American Civil Liberties Union, ACLU) 등 시민자유단체는 감시 권한에 대한 FISC 법원의 결정을 공개할 것을 요구하는 소송을 제기하는( ) 22) 등 최근 FISC의 비공개 판결과 NSA의 데이터 수집에 대한 도전(challenge)이 이루어지고 있다고 주장하고 있다. 23) 참고자료 &u= &u= percent-in-2013/ 22) 이는 패트리어트 법(Patriot Act)의 Section 215의 의미와 범위 및 합헌성을 다투는 것으로 오바마 행정부는 판결의 비밀 을 들어 이를 방어하였음 23) 이와 같은 도전의 예로 26명의 상원의원이 NSA의 스파이 프로그램 범위에 대한 공식답변(public answers) 을 요구함 ( ) 128 Internet & Security Focus 월호

38 3 프랑스, 문화통신부(Culture and Communication in the government of France) 삼진아웃제 관련 Hadopi법 조항 폐지 발표( ) 개관 프랑스 문화통신부(Culture and Communication in the government of France)의 장관인 오렐리 필리페티(Aurélie Filippetti)는 인터넷 접속을 제한할 수 있는 벌칙을 규정하고 있는 하도피법(Hadopi법) 24) 의 조항을 폐지할 것이라고 발표하였다( ) 배경 및 경과 (하도피법 제정) 프랑스는 인터넷상의 불법 다운로드 혹은 개인 간의 불법 파일전송으로부터 창작물 및 저작권을 보호하기 위한 목적으로 2008년 6월 하도피(Hadopi)법 을 제정하고 인터넷이용자의 불법 다운로드 행위에 대해 3단계의 경고조치 후 법원의 판결 없이 인터넷의 사용을 금지하는 조항을 포함시켰다. 단계별 처벌 적용 1단계 2단계 3단계 경고 이메일의 송부 1단계 후 6개월 이내에 불법행위 반복하는 경우 이메일과 등기 우편으로 경고 편지 송부 계속 불법 다운로드가 있는 경우 벌금과 더불어 해당자의 컴퓨터의 인터넷 접속을 최대 1년까지 차단할 수 있음 25) (하도피법에 대한 비판) 이 법에서 규정한 제재 중 특히 인터넷 접속을 제한하는 삼진아웃제에 대해서는 입법 초기부터 효과가 있을지 여부에 대해 논란이 되어왔고, 실제 2009년 이 법이 제정된 이래 인터넷 접속을 제한하는 벌칙은 오직 한번 이루어진 바 있다. 26) - 또한 지난해 당선된 현 프랑스 대통령 프랑수아 올랑드(François Hollande)는 후보인 24) 프랑스어 Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet(인터넷상의 권리 보호와 작품을 위한 고등기관, 해당 법에 의해 2009년 11월 1일에 구성됨)의 축약어로서, 인터넷상의 저작권 보호와 작품 상영을 위한 최고기관을 말한다. 창작과 인터넷에 관한 법 이라고 불리는 하도피법은 인터넷상의 창작물 불법 다운로드 통제에 관 한 법이자 불법행위를 처벌할 수 있는 최고기관의 성격을 지닌다. 25) 인터넷 차단은 엄격하게 공중 온라인 통신 서비스 접속에만 적용이 되고 전화나 TV 서비스 등 다른 종류의 서비스는 차단되 지 않았다. 26) 이와 관련하여 2012년 9월 동프랑스에서 리한나의(Rihanna)의 곡들을 불법으로 다운받았다는 이유로 3단계 제재 후 유 죄를 선고받았음. 이혼을 앞둔 그의 아내가 자신이 불법 다운받았음을 법정에서 시인했음에도 불구하고 센생드니(Seine- Saint-Denis)주 법원은 그에게 600유로의 벌금과 함께 15일의 오프라인을 부과하여 남자는 Hadopi 체계에 대해 불만을 갖기도 하였다. Internet & Security Focus 월호 129

39 시절부터 Hadopi의 삼진아웃제도를 반대하고 부분적으로 Hadopi법을 정지시키는 캠페인을 벌여왔으며, 그가 대통령이 된 후 Hadopi 기관의 예산은 삭감되었다. 27) 주요 내용 (인터넷 접속 제한 벌칙 폐지) Hadopi의 단계적 제재 절차에 포함된 인터넷 접속 제한의 벌칙을 폐지, 인터넷의 연결을 차단하는 대신 저작권 위반 경고에 따르지 않을 경우 그 위반 정도에 따라 벌금 액수를 올리는 방안이 도입되었다. (위반행위 중심으로 규제 전환) 인터넷의 접속을 차단하는 현실에 부합하지 않는 제재 방식에서 벗어나 새로운 방향의 집행조치를 도입하며 법 적용의 포커스를 개인 이용자들에서 해적행위나 권한 없는 스트리밍 사이트로 전환할 것임을 발표하였다. - 개인에 대한 처벌보다 불법 다운로드를 상업적으로 이용하는 사이트에 대한 처벌방안을 세울 계획이라고 발표하였다. 시사점 (국내의 삼진아웃제도에 관한 전망) 프랑스의 삼진아웃 제도가 폐지됨에 따라 저작권 삼진아웃 제도를 시행하는 국가는 스웨덴과 한국 등이 유일한 경우이다. - 이와 관련하여 국내의 삼진아웃제도에 관해서는 문화체육관광부 장관이 저작권 위원회의 심의를 거쳐 최대 6개월 동안 이용자의 계정 및 게시판의 운영을 정지할 수 있도록 규정하고 있고, 28) 행정부의 명령만으로 인터넷 접속권을 제한할 수 있다는 점에서 특징을 띠고 있다. 따라서 한국의 삼진 아웃 제도 역시 실효성에 대한 의문이 끊임없이 제기되고 있는 실정이며, 향후 프랑스와 같이 삼진 아웃 제도가 폐지될 것인지 주목되고 있다. 27) 2011년 Hadopi의 예산은 1억1400만유로, 2012년 Hadopi의 예산은 1억 300만 유로에서 800만 유로로 축소되었다. 28) 저작권법 제133조의2(정보통신망을 통한 불법복제물등의 삭제명령 등) 2 문화체육관광부장관은 제1항제1호에 따른 경 고를 3회 이상 받은 복제 전송자가 불법복제물등을 전송한 경우에는 위원회의 심의를 거쳐 대통령령으로 정하는 바에 따 라 온라인서비스제공자에게 6개월 이내의 기간을 정하여 해당 복제 전송자의 계정(이메일 전용 계정은 제외하며, 해당 온라인서비스제공자가 부여한 다른 계정을 포함한다. 이하 같다)을 정지할 것을 명할 수 있다. 130 Internet & Security Focus 월호

40 참고문헌 &u= &u= percent-in-2013/ Internet & Security Focus 월호 131

41 참고 웹사이트 1. 국내 웹사이트 [1] 국회( 2. 국외 웹사이트 [1] DF [2] information_society/newsroom/cf/dae/document.cfm?action=display&doc_id=2323 [3] [4] [5] DF [6] Informationsgesellschaft/egovg_verkuendung.pdf? blob=publicationfile [7] [8] lofgren%20-% pdf [9] [10] [11] [12] [13] [14] [15] [16] Internet & Security Focus 월호

42 [17] /868-dni-statement-on-recent-unauthorized-disclosures-of-classifiedinformation [18] [19] [20] /868-dni-statement-on-recent-unauthorized-disclosures-of-classifiedinformation [21] that_nsa_disclose_extent_of_spy_program?source=rss_news_analysis&utm_ source=feedburner&utm_medium=feed&utm_campaign=feed%253a+computerworld%2 52Fs%252Ffeed%252Ftype%252Fnewsanalysis+%2528Computerworld+News+Analys is%2529 [22] [23] [24] 8&u= Publication-du-decret-supprimant-la-peine-complementaire-de-la-suspension-dacces-a-Internet [25] [26] 8&u= [27] [28] Internet & Security Focus 월호 133