김재섭 <한겨레> 기자

 

“구글 본사는 물론이고 구글코리아도 개인정보 및 서비스 이용내역 제3자 제공 현황을 이용자에게 공개하라. 다만, 미국법과 이용약관에 비공개하도록 돼 있는 것은 제외한다.”

 

2017년 2월16일 서울고등법원 민사4부(재판장 배기열)는 국내 구글 이용자들이 구글 본사와 구글코리아를 상대로 제기한 개인정보 및 서비스 이용내역 제3자 제공 현황 공개 요구 소송에 대해 이렇게 판결했다. 2015년 10월16일 이뤄진 1심 판결과 비교하면, 구글과 함께 구글코리아도 공개하도록 주문한 게 다르다.

 

앞서 경제정의실천시민연합·진보네트워크센터·함께하는시민행동·국제앰네스티(한국지부)의 정보인권 보호 활동가 6명은 2014년 7월 이번 소송을 제기했다. 한 달 전인 6월 에드워드 스노든의 폭로로 구글이 이용자 개인정보 및 서비스 이용내역 등을 미국 정보기관에 제공한 사실이 드러나자 자신들과 관련된 정보를 어디에 제공했는지 알려줄 것을 요구했으나 거부당하자 소송을 냈다.

 

한국 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법’(이하 망법)은 이용자 개인정보 및 서비스 이용내역의 제3자 제공 현황 공개를 의무화하고 있다. 당사자가 열람을 요구하면 반드시 응해야 한다. 통신사들이 통신자료(이름·주민등록번호·주소 등)를 정보·수사기관에 제공한 내역 등을 가입자에게 열람시켜주는 게 대표적이다.

 

하지만 구글과 페이스북 등 외국계 인터넷기업들은 그동안 국내 이용자의 개인정보를 수집·보유·활용하면서도 본사가 나라 밖에 있다거나 한국에 물리적 사업장이 없다는 등의 이유로 이를 거부해왔다. 망법의 다른 조항과 다른 법 적용도 사실상 피해왔다. 이에 국내 관련 업체들은 지금도 ‘역차별’ 주장을 펴고 있다.

 

1심은 구글과 구글코리아 가운데 구글에 대해서만 망법에 따라 이용자 개인정보 및 서비스 이용내역 제3자 제공 현황을 당사자에게 공개해야 한다고 판결했다. 하지만 구글은 항고했고, 2심은 구글코리아도 공개해야 한다고 판결했다. 원고들이 소속된 인권·시민단체들은 2심 판결과 관련해 “정보인권 보호와 관련해 매우 중요한 의미를 갖는 판결이다. 기업 이메일 이용자 개인정보 및 서비스 이용내역 제3자 제공 현황 등 1·2심에서 비공개 대상으로 꼽힌 부분에 대해서도 다시 판단을 받아보기 위해 대법원에 상고했다”고 밝혔다.

 

이번 판결은 구글과 페이스북 등처럼 본사가 국외에 있는 기업들도 정보인권 보호와 관련해서는 국내 법을 따라야 한다고 판단했다는 점에서 주목된다. 본사·사업장·서버(정보 저장·관리 컴퓨터)가 국내에 있지 않다는 이유로 이용자들의 개인정보 및 서비스 이용내역 제3자 제공 현황 공개 요구를 거부하는 등 국내 정보인권 보호 법 적용을 기피해온 글로벌 기업들의 행태에 쐐기를 박은 것으로 볼 수 있기 때문이다. 당연히 국내 업체들은 두 손 들어 환영하는 모습이다.

 

 

법원이 비식별 정보의 제3자 제공 현황까지 공개 대상으로 판단한 점도 눈길을 끈다. 비식별 정보란 이름과 주민등록번호 등이 포함돼 있지 않거나 가려져 당장은 누구 것인지 식별되지 않는 정보를 말한다. 하지만 다른 정보와 결합되면 식별이 가능한 정보라는 점에서 따로 비식별 정보라고 한다.

 

구글은 재판 과정에서 비식별 정보는 망법에서 제3자 제공 현황 공개 대상으로 꼽는 개인정보에 해당하지 않는다고 주장했으나 받아들여지지 않았다. 비식별 정보도 개인정보에 해당한다고 판단한 것이다. 앞서 대통령 직속 개인정보보호위원회도 2017년 1월 비식별 조치를 해도 다른 정보와 결합됐을 때 개인이 식별된다면 여전히 개인정보라는 취지의 결정을 내린 바 있다.

 

이 부분은 국내 정보기술 업체들도 당혹스러워한다. 새로운 먹거리로 꼽아 투자에 나선 ‘빅데이터’ 사업이 제약받을 수 있기 때문이다. 빅데이터 사업이란 고객·이용자의 개인정보와 서비스 이용내역 가운데 마케팅 등에 필요한 것들을 뽑아내 직접 활용하거나 원하는 기업에 파는 것이다. KT·SK텔레콤·LG유플러스 같은 통신사, 롯데백화점·신세계백화점·이마트·홈플러스 같은 대형 유통업체, 대한항공·아시아나 같은 항공사, SK이노베이션·GS 같은 정유사, 네이버·카카오 같은 포털사 등 고객·이용자 정보를 많이 수집해 갖고 있는 업체들이 앞다퉈 나서고 있다.

 

이들은 그동안 고객·이용자 개인정보를 ‘비식별 처리’해 활용하면 법에 위반되지 않는다고 주장해왔다. 정부도 이들 편을 들고 있다. 2016년 6월 ‘개인정보 비식별 조치 가이드라인’을 제정해, 비식별 조처를 해서 활용하면 괜찮다고 길을 터줬다. 창조경제 활성화 및 서비스산업 육성을 위해 필요하다는 이유를 댔다. 기업들이 미르·K스포츠 재단에 거액을 출연하는 대가로 빅데이터 규제 완화를 요구한 것 아니냐는 의문도 제기됐다.

 

이에 맞서 정보인권 보호 활동을 펴는 인권·시민단체들은 “비식별 조처로는 부족하고 익명화를 해야 한다”고 주장하지만, 정부와 기업들은 귓등으로 흘리고 있다. 비식별 조처란 개인정보와 서비스 이용내역 등에서 이름·주민등록번호·주소 등을 가려 누구 것인지 알아볼 수 없게 하는 것이다. 하지만 다른 정보와 결합하면 누구 것인지 식별할 수 있는 상태로 바뀔 수 있다. 반면 익명화는 정보를 완전히 새로운 형태로 재가공하는 것이다. 당연히 다른 정보와 결합돼도 누구 것인지 알아볼 수 없다.

 

장여경 진보네트워크센터 활동가는 “기업들이 비식별 조처를 해서 제3자에게 판매하거나 마케팅에 활용하는 정보 가운데 상당수는 다른 정보와 결합되는 즉시 개인 식별이 가능한 상태로 바뀌는 것으로 알려졌다. 이번 판결로 고객·이용자 개인정보를 익명화하지 않고 비식별 조처만 해서 제3자에게 제공하거나 판매하는 게 개인정보 침해에 해당한다는 게 분명해졌다”고 말했다.

 

이에 따라 비실명화와 익명화 가운데 어느 쪽이 맞냐는 해묵은 논쟁이 재연될 가능성이 커졌다. 사실 이번 소송은 2심 판결이 나고 한참이 지날 때까지도 세상의 주목을 받지 못했다. ‘박근혜·최순실 게이트’에 밀려 관심을 끌지 못하다가 <한겨레> 단독 보도로 비로소 세상에 알려졌다. 의미와 파장을 분석하는 다른 언론들의 후속 보도가 이어지자, 미래창조과학부와 방송통신위원회가 “법원 판결과 개인정보 비식별 조처 가이드라인의 취지가 다르지 않다”는 설명자료를 내놓기도 했다. 공론화를 서둘러 막았다고 볼 수도 있다. 비실명화 논란 측면에서도 대법원의 최종 판결은 주목된다.

 

탄핵·대선 정국 상황에서도 이번 소송이 주목받는 이유 중에는 원고가 정보인권 보호 운동을 벌이는 인권·시민단체 활동가고, 피고가 세계 최대 인터넷 서비스 업체인 구글이란 점도 있다.

 

그동안 구글은 정보인권을 침해하는 정부 정책에 저항하고, 정보인권 침해를 받는 국내 누리꾼들에게 피난처를 제공하는 구실을 해왔다. 게시판에 글을 올리거나 댓글을 쓸 때 실명을 쓰게 하는 실명확인제를 표현의 자유 침해라며 거부했고, 정보·수사기관의 통신자료 제출 요구에도 개인정보 침해라는 이유로 응하지 않았다. 지금도 구글 ‘지메일’은 정보·수사기관의 도·감청과 압수수색으로부터 가장 안전한 전자우편 서비스로 꼽힌다. 일반 국민은 물론이고 고위 공무원과 국회의원 중에도 지메일을 쓰는 경우가 많다. 구글도 그동안 이를 내세워왔고, 정보인권 보호 활동가들로부터 좋은 평가를 받아왔다.

 

이랬던 구글이 이용자 정보인권 침해 문제로 활동가들과 법적 다툼까지 벌이는 것이다. 이용자들의 정보인권 보장 요구를 거부해 소송까지 당했고, 패소하자 항고와 상고를 이어왔다. 한 시민단체 활동가는 “국가기관의 이용자 정보인권 침해를 막아준 점은 높이 평가하지만, 그렇다고 이용자들의 권리를 침해하는 것까지 용납할 수는 없다”고 말했다.

 

전세계 인터넷 이용자들의 정보인권 보호 측면에서 구글은 ‘수호자’일까, ‘침해자’일까, 아니면 ‘침해 부역자’일까. 그럼 마이크로소프트(MS)는? 애플은? 요즘 들어 인권·사회단체 활동가와 정보기술업 관계자가 사석에서 자주 화두로 삼는 질문이다.

 

이들은 구글이 사이버 공격과 정보인권 침해로부터 인터넷과 이용자들을 보호하기 위해 애쓴다는 말에 “정말로?”라고 반문한다. 각 나라 정부의 국민 정보인권 침해 관행을 차단하기 위해 남다른 노력을 한다는 말에는 “언제까지 그럴 수 있을까”라고 의문을 제기한다. 그렇다고 침해자라고 결론짓지도 않는다. 다만 명분과 관점, 이해관계에 따라 때로는 수호자가 침해자로 둔갑하거나 반대 상황이 발생할 수 있다고 자락을 깐다.

 

실제로 마이크로소프트는 지금은 자사가 수호자를 자처하지만 언젠가 침해자 내지 침해 부역자로 바뀌지 않는다고 장담할 수 없다며 ‘디지털 제네바협약’ 체결을 제안했다. 어떤 경우에도 침해자가 되지 말고, 사이버 공격이 일어날 때 이용자 보호를 최우선으로 삼자는 것이다. 어긴 국가나 기업에 대해서는 국제적 제재를 가하는 처벌 조항도 들어 있다.

 

마이크로소프트는 “시장에서 앞뒤 가리지 않는 경쟁을 하다보면 넘지 않아야 할 선을 넘어 이용자에게 피해를 줄 수 있고, 때로는 국가권력이나 자본의 압력에 밀려 어쩔 수 없이 이용자의 정보인권을 침해할 수 있다는 점을 감안한 것이다. 디지털 제네바협약을 통해 이용자의 신뢰를 확보해야 지속 성장이 가능하다는 점도 고려했다”고 배경을 설명했다.

 

월드와이드웹(WWW)을 창시한 팀 버너스리도 웹 탄생 28주년을 맞아 2017년 3월12일 ‘웹 파운데이션’ 누리집에 글을 올려 “최근 들어 뚜렷해진 세 가지 흐름이 웹의 장점을 위협하고 있다. 첫째는 월드와이드웹 참여자들이 자신의 개인정보에 대한 통제 능력을 잃고 있는 것”이라고 지적했다. 그는 이어 “웹이 인류의 삶에 혜택을 주기 위한 도구로 계속 잠재력을 발휘할 수 있도록 이용자들이 침해에 대항해달라”고 당부했다.