지문날인반대연대·진보네트워크센터

참여연대·함께하는시민행동

수 신	각 언론사
참 조	사회·정보통신·NGO 담당 부서
발 신	지문날인반대연대 등 4개 시민사회단체
제 목	4개 시민사회단체, 위치정보법에 대한 공동 의견 제출
담 당	오병일 (진보네트워크센터, 02-774-4551) 박준우 (함께하는시민행동, 02-921-4709)
분 량	총 10 매
날 짜	2004. 12. 2.

4개 시민사회단체, 위치정보법에 대한 공동 의견 제출

위치정보 고유의 기술적·컨텐츠적 특성 고려한 법률 필요

중복 규제 막기 위해 개인정보보호기본법 제정 후로 연기해야

1. 현재 국회 과학기술정보통신위원회에는 지난 9월 22일 정부가 제출한 위치정보의이용및보호에관한법률안이 상정되어 있습니다. 이 법안에 대해 4개 시민사회단체들이 공동으로 의견을 제출했으니 보도에 참조하여 주시면 감사하겠습니다.

2. 4개 단체들은 이 법안이 위치정보 산업의 존재 및 활성화를 전제로 하고 있으며, 사업자에 대한 규제를 통해 위치정보 보호를 달성하고자 하며, GPS 및 이동전화 기지국을 통한 위치정보 수집에 편향된 보호 조항들을 채택하고 있다고 지적했습니다. 그 결과 사업자 이외의 자에 의해 수집되는 정보나 또다른 기술적 방식에 의해 수집되는 정보에 대해 충분한 보호 조치를 제시하지 못하는 등, 위치정보의 오·남용에 대한 근본적 대책이 되기에는 많은 한계를 노출하고 있다고 평가했습니다.

3. 이어 법안의 구체적 문제점으로 아래의 아홉 가지 사항을 지적했습니다.

1) 위치정보사업자 및 위치기반서비스제공자 이외의 자(예 : 공공기관, 고용주, 비영리단체 등)가 수집하는 위치정보에 대해서는 적절한 보호수단을 제공하지 않는다.

2) 서적이나 음반 등 사생활에 영향을 미칠 수 있는 물품 및 향후 기술 발전에 따라 능동형 RFID가 부착된 물품의 위치정보에 대해서는 적절한 보호수단을 제공하지 않는다.

3) 단말기의 실제 소지자와 법적 소유자가 다른 경우에 실제 소지자의 위치정보에 대해서는 적절한 보호수단을 제공하지 않는다.

4) GPS 및 기지국을 통한 위치정보 수집에 편향되어 있어, 후불형 교통카드나 RFID 등 다른 형태로 수집되는 위치정보에 대해서는 적절한 보호수단을 제공하지 않는다.

5) 위치기반서비스사업자가 정보주체의 동의 사실을 조작하여 위치정보사업자에게 정보제공을 허위로 요청하는 것을 예방할 수단을 제공하지 않는다.

6) 위치정보에 대한 등급제를 실시할 수 있도록 되어 있으나, 이 제도가 위치정보의 보호를 위해서 기능하지 않는다.

7) 위치기반서비스사업자들에 대해 위치정보사업자들보다 완화된 규제를 적용하고 있으나 합리적인 이유가 없다.

8) 모든 권한이 정보통신부 장관에게 지나치게 집중되어 있다.

9) 사회적 논의를 통해 신중하게 추진되어야 할 사업 영역을 섣불리 합법화하는 효과를 낳는다.

4. 이에 따라 의견서의 결론부에서 다음과 같이 제안하고 있습니다.

1) 위치정보사업법의 성격을 제외하고, 위치정보 고유의 기술적·컨텐츠적 특성에 입각한 위치정보보호법을 제정해야 한다.

2) 단말기에서부터 위치정보주체의 자기정보통제권이 보장되어야 한다.

3) 법안의 중복 및 향후 이중·삼중 규제의 가능성을 막기 위해서는 개인정보보호기본법이 제정된 후에 재추진하는 것이 바람직하다.

※ 붙  임 : 위치정보의이용및보호등에관한법률(안)에 대한 4개 시민사회단체들의 공동 의견 1부. <끝>

2004년 12월 2일

지문날인반대연대·진보네트워크센터

참여연대·함께하는시민행동

위치정보의이용및보호에관한법률(안)에 대한

4개 시민사회단체들의 공동 의견

정부가 지난 9월 22일에 제출한 위치정보의이용및보호에관한법률 제정안이 현재 국회 과학기술정보통신위원회에 상정되어 있습니다. 다양한 분야에서 위치정보의 수집과 활용이 날로 증가하는 시점인만큼 적절한 보호 법률이 필요한 것은 사실입니다.

그러나, 현재 제안된 법안은 위치정보 산업의 존재 및 활성화를 전제로, 사업자에 대한 규제를 통해 위치정보를 달성하고자 하는 법입니다. 또한 GPS 및 이동전화 기지국에 의한 위치정보 수집에 편향된 보호 조항들을 채택하고 있습니다. 그 결과 사업자 이외의 자에 의해 수집되는 정보나 또다른 기술적 방식에 의해 수집되는 정보에 대해 충분한 보호 조치를 제시하지 못하는 등, 위치정보의 오·남용에 대한 근본적 대책이 되기에는 많은 한계를 노출하고 있습니다.

이에 정보인권 보호를 위해 활동해온 4개 시민사회단체들이 아래와 같은 내용으로 법안에 대한 의견을 제출합니다.

1. 법안은 위치정보사업자 및 위치기반서비스제공자(이하 위치정보사업자등) 이외의 위치정보 수집자에 의해 수집된 위치정보에 대해 적절한 보호를 제공하지 않고 있습니다.

법안은 위치정보를 □이동성이 있는 물건 또는 개인이 특정한 시간에 존재하거나 존재하였던 장소에 관한 정보□로, 개인위치정보를 □특정 개인의 위치정보□ 규정하고 있습니다. (제2조 제1호 및 제2호) 한편 이들 정보에 관한 구체적 보호조항은 제3장(위치정보의 보호)에서 규정하고 있는데, 이 때 일반적인 위치정보에 대한 보호조항은 제1절(통칙)에서, 개인위치정보에 대한 보호조항은 제2절(개인위치정보의 보호) 및 제3절(개인위치정보주체 등의 권리)에서 규정하고 있습니다. 제1절(통칙)의 경우 정보주체의 동의권이나 고지받을 권리, 기술적·관리적 대책 정도만을 규정하고 있으며, 파기 의무, 목적명확화의 원칙, 열람·정정·삭제청구권, 이용 및 제3자 제공에 대한 제한 등 OECD 개인정보 보호원칙이 규정하고 있는 대부분의 보호 조항은 제2절 및 제3절에서 규정하고 있습니다.

그런데 제2절은 보호 의무를 준수해야할 주체를 위치정보사업자등으로 제한하고 있습니다. 제3절에 규정된 권리의 청구 대상 역시 위치정보사업자등으로 제한되어 있습니다. 따라서 위치정보사업자등에 포함되지 않으면서도 위치정보를 대량으로 수집하고 활용하는 위치정보 수집자들은 동의 혹은 고지 의무와 기술적·관리적 조치 의무를 제외하면 별다른 의무를 지니지 않게 됩니다.

문제는 위치정보사업자등에 포함되지 않는 위치정보 수집자들이 실제로 더욱 민감한 개인위치정보를 수집하는 경우나 유출 및 오·남용 가능성이 더 심각한 경우가 많다는 점입니다. 위치정보사업자등에 포함되지 않는 위치정보 수집자로는 1) 법률에 따라 일반 시민들을 대상으로 하는 공공기관의 위치정보 수집, 2) 직원들을 대상으로 하는 고용주의 위치정보 수집, 3) 회원들을 대상으로 하는 비영리단체 등의 위치정보 수집, 4) 순수한 개인 대 개인의 정보 수집으로 구분해볼 수 있습니다. 이 중 1)과 2)의 경우는 위치정보주체와 수집자 사이의 관계가 매우 불평등하여 정보주체의 동의권이 온전하게 실현되기 어렵습니다. 따라서 수집된 개인위치정보의 유출 및 오·남용의 가능성이 위치정보사업자등에 의해 수집되는 경우보다도 더 크다고 하겠습니다. 또한 2)에 의해 수집되는 개인위치정보의 경우 인사고과 등과 직접 연계될 수 있으며, 최근 삼성 SDI의 예에서 보듯이 노동조합 활동을 탄압하는 데 사용될 수도 있는 매우 민감한 정보입니다.

이런 점을 고려할 때 위치정보사업자등에 대해서만 OECD 수준의 개인정보보호원칙을 적용하는 현 법안은 위치정보를 적절히 보호하고 있다고 보기 어렵습니다.

2. 법안은 사생활에 심각한 영향을 미칠 수 있는 다양한 물품의 위치정보에 대해 적절한 보호를 제공하지 않고 있습니다.

법안이 주로 보호하고자 하는 위치정보는 개인위치정보, 즉 개인이 특정한 시간에 존재하거나 존재하였던 장소에 관한 정보로 국한되어 있습니다. 게다가 앞에서 살펴본 바와 같이, 개인위치정보 역시 위치정보사업자등에 의해 수집되는 경우에 한해서만 OECD 개인정보보호원칙에 부합하는 수준의 보호를 받을 수 있습니다.

그러나, 개인위치정보가 아니더라도 개인 프라이버시에 중대한 의미를 지니는 다양한 종류의 위치정보가 있습니다. 예컨대, 서적이나 음반, 비디오 등의 물품의 위치 정보는 물품 구매자나 대여자의 프라이버시에 치명적 영향을 미칠 수 있습니다. 이는 단순히 사생활에만 영향을 미칠 뿐 아니라 절도 등 보안상의 치명적 결함으로 이어질 수도 있습니다. 향후 RFID 기술의 발전 속도에 따라 물품의 위치정보는 갈수록 중요한 의미를 지니게 될 것입니다. 따라서 개인위치정보의 보호에만 특화되어 있는 현 법안은 위치정보 전반을 보호하기에는 많은 한계가 있습니다.

3. 법안은 단말기의 실제 소지자가 법적 소유자가 서로 다른 경우에 개인위치정보를 보호할 방안을 제공하지 않고 있습니다.

대부분의 경우 위치정보의 수집은 실제로는 이동통신 단말기의 위치를 수집하는 것입니다. 따라서 단말기의 현재 소지자와 법적 소유자가 다른 사람이 될 경우가 발생할 수 있습니다. 그런데 위치추적을 통해 감시나 사생활 추적이 일어난 경우 중 상당수가 현재 소지자와 법적 소유자가 다른 경우에 발생합니다. 예컨대 배우자의 명의로 된 단말기를 사용하거나 직장에서 지급한 단말기를 사용하다가 배우자나 고용주로부터 위치추적을 당하는 경우가 빈번합니다.

따라서 현재 소지자가 법적 소유자가 아닐 경우에도 보호받을 수 있는 방안을 마련해야 합니다. 이러한 조치가 마련되지 않는다면, 특히 경제력이 없는 학생들이나 가정주부들, 직장에서 제공받은 단말기 외에 사적 용도로 사용하기 위한 별도의 단말기를 장만하기 어려운 저소득 노동자 등의 위치정보는 사실상 보호받기 어렵게 됩니다. 그러나 법안은 단말기 소유자가 제3자에게 기를 대여할 때 고지하도록 하는 것(제15조 제3항) 이외에는 구체적인 보호 방안을 마련하지 않고 있습니다.

이 경우 현재 소지자가 직접 단말기를 조작하여 위치정보의 수집을 일시적으로 통제할 수 있도록 하는 것이 가장 손쉬운 해결책입니다. 법안 제24조 제2항은 개인위치정보주체가 위치정보사업자등에 대하여 위치정보의 수집·이용 및 제공의 일시적 중지를 요청할 수 있도록 규정하고 있어, 이같은 가능성을 열어두고 있습니다. 그러나, 위치정보사업자등이 기기의 법적 소유자만을 개인위치정보주체로 인정하는 시스템을 가진 경우 현재 소지자는 일시적 중지권을 행사하지 못하게 될 것입니다.

4. 법안의 여러 보호규정은 이동통신 단말기를 통한 위치정보 수집에 편향된 탓에, RFID나 교통카드 등 다른 형태의 위치정보 수집에 대해서는 적절한 보호를 제공하기 어렵습니다.

위치정보의 수집은 이동통신 단말기를 통해서만 이루어지는 것은 아닙니다. 예컨대 지하철을 타기 위해 후불식 교통카드를 이용하는 경우, 출발지와 도착지에 관한 개인위치정보가 수집됩니다. 또한 RFID 기술에 의해서도 위치정보가 수집될 수 있습니다. 그러나 이 법안은 GPS 및 기지국에 의한 위치정보 수집을 중심으로 규율 방식을 논의하고 있어, 다른 형태의 위치정보 수집에 대해서는 적절한 보호를 제공하기 어렵습니다.

예컨대, 위에서 언급한 법안 제24조 제2항은 개인위치정보주체가 위치정보사업자등에 대하여 위치정보의 수집·이용 및 제공의 일시적 중지를 요청할 수 있도록 기술적 수단을 갖출 것을 규정하고 있습니다. 이 조항은 휴대폰이나 PDA 등의 이동통신 단말기에는 무리없이 적용될 수 있을 것입니다만, RFID나 후불식 교통카드와 관련된 경우에는 적용할 수 없는 조항입니다.

5. 법안은 개인위치정보주체의 동의 사실이 조작되거나 허위 사실에 의한 위치정보 제공 요청을 예방할 대책을 마련하지 않고 있습니다.

개인정보의 수집 및 이용에 관한 동의는 정보주체로부터 직접 동의를 받는 것을 원칙으로 해야 합니다. 당연히 제3자 제공에 대한 동의 역시 정보주체로부터 직접 받아야 할 것입니다. 그러나 법안은 개인위치정보주체의 동의를 받은 위치기반서비스사업자가 위치정보사업자에게 정보제공을 요청할 경우 거절할 수 없도록 함으로써(제20조 제2항), 위치정보주체의 동의 사실을 위치정보사업자가 직접 확인할 의무를 면제해주고 있습니다.

게다가 위치정보주체의 편의를 위해 간접적인 동의 방식을 인정한다 하더라도, 위치기반서비스사업자가 개인위치정보주체로부터 동의를 받았다는 사실을 어떻게 입증할 것인지에 대해서도 별다른 규정이 없습니다. 따라서 동의 사실의 조작 혹은 허위 사실에 의한 위치정보 제공 요청이 남발될 우려가 있습니다.

6. 위치정보 등급지정이 위치정보의 보호를 위한 목적으로 사용될 수 있도록 관련 조항을 보완해야 합니다.

법안은 위치정보의 등급을 지정할 수 있도록 되어 있습니다. (제35조) 그런데 법안의 조문 및 지난 2002년 개최된 공청회 자료의 설명에 비추어볼 때, 각각의 위치정보 수집 목적에 요구되는 위치정확도의 최소 기준을 설정하는 것이 등급제 실시의 목적이라고 판단됩니다.

법안 제18조 제3항에서는 수집목적을 달성하기 위하여 필요한 최소한의 정보만을 수집하도록 규정하고 있습니다. 위치정보의 등급제는 이 조항을 구체적으로 실현하는 방식으로, 즉 서비스 목적에 필요한 정도 이상으로 정확하게 정보를 수집하는 행위를 제한하기 위한 목적으로 시행되어야 합니다. 이같은 내용이 제35조에 명문화되지 않으면 등급 지정의 목적 중 하나인 개인위치정보의 효과적인 보호를 달성할 수 없을 것으로 보입니다.

7. 주요 위치기반서비스사업자들에 대해서는 위치정보사업자 못지 않은 강도 높은 인·허가 제도가 도입되어야 합니다.

법안은 위치정보사업자에 대해서는 허가 제도를, 위치기반서비스사업자에 대해서는 신고 제도를 규정하고 있습니다. 그런데, 위치정보가 그 자체로 매우 민감한 정보임을 고려할 때 단순한 신고만으로 위치기반서비스사업을 실시할 수 있게 하는 것은 문제가 있습니다. 어떤 면에서는 위치기반서비스사업이 위치정보사업보다 더욱 위험할 수 있습니다. 현재 위치기반서비스사업은 초기 단계이며 앞으로 사회적 문제를 야기하는 방향의 사업들이 속속 출현할 가능성도 배제할 수 없기 때문입니다. 이런 상황에서 위치기반서비스사업에 대해 완화된 규제를 적용한 것은 위치기반서비스사업의 진흥이라는 법안의 목적을 드러낸 것이 아닌가 생각됩니다.

따라서 위치기반서비스사업에 대해서만 규제 강도를 낮추는 것은 적절하지 않습니다. 적어도 보유한 위치정보의 위치정확도가 매우 높거나 서비스 가입자의 숫자가 매우 많은 위치기반서비스사업자에 대해서는 위치정보사업자 못지 않은 강도 높은 규제가 필요할 것입니다. 이들 사업자들에 대해서는 위치정보사업자와 마찬가지로 허가제를 도입하거나, 만일 그것이 다소 과도한 규제라면 최소한 현재 도입이 논의되고 있는 개인정보 사전영향평가제도를 적용하는 것도 고려해볼 수 있을 것입니다.

8. 법안은 위치정보의 활성화와 사업자에 대한 진입·퇴출, 위치정보의 보호에 관한 모든 권한을 정보통신부 장관에게 집중시키고 있습니다.

법안은 시행령 마련에서부터 사업자의 허가 및 허가취소, 사업폐지·정지명령권, 기술적·관리적 대책에 대한 고시 및 지침 마련, 등급제 시행 권한, 재정 및 조정권한, 표준화 추진 권한, 위치정보기반협의회의 구성 등의 모든 권한을 정보통신부 장관에게 집중시키고 있다. 그러나, 정보통신부가 기본적으로 위치정보 산업의 발전을 지향하는 부처인만큼 위치정보 산업의 발전과 위치정보 보호 사이의 균형감각을 놓칠 우려가 있습니다. 따라서, 위치정보 보호를 위한 정책 수립 및 감독·조정 기능 등은 별도의 전담기구를 통해 이루어지는 것이 타당할 것입니다.

9. 위치기반서비스사업의 사회적 필요성과 윤리적 정당성에 대한 근본적 재검토가 필요합니다.

근본적으로 위치정보를 이윤 창출의 수단으로 삼는 것의 사회적 필요성과 윤리적 정당성에 대해 재검토할 필요가 있습니다. 사실 위치정보의 상업적 활용에는 크게 다음의 네 가지 영역이 있을 수 있습니다.

1) 택배나 기타 물류 산업에서 이용되듯이 당사자가 자신의 현재 위치와 무관한 소유물의 위치를 수집하는 경우

2) 이동전화 이용, 차량 네비게이션 등의 경우처럼 서비스를 제공받기 위해 당사자가 사업자에게 자신의 위치를 제공하는 경우

3) 제3자가 물건 소유주의 현재 위치와 무관한 물품의 위치를 수집하는 경우

4) 친구찾기 서비스에서처럼 정보주체의 위치 정보를 가족이나 직원 등 제3자에게 제공하는 경우

1)과 2)의 경우는 자기자신이 원하는 서비스를 제공받기 위해 서비스 사업자에게 정보를 제공하는 것이므로, 개인정보 침해의 가능성이 낮으며 사업자 규제만으로도 비교적 용이하게 보호 목적을 달성할 수 있습니다. 반면 3)과 4)의 경우는 제3자 제공이 서비스의 본질적 목적이므로, 개인정보 침해의 가능성이 매우 높으며 사업자 규제만으로 보호 목적을 달성하기 어렵다는 문제가 있습니다. 그러나 이 법안은 앞서 살펴보았듯이 사업자 규제를 중심으로 하는 법안이어서 3)과 4)에 관련된 위치정보를 보호하는 데는 한계가 많습니다.

게다가 4)의 경우는 현재까지 발생한 대다수 위치정보 침해 사건이 이 경우에 발생하고 있다는 점에서, 사업 활성화에 매우 신중해야 합니다. 그런 의미에서 이 법안은 폭넓은 사회적 논의를 거칠 필요가 있는 사업 영역을 섣불리 합법화해줄 우려가 있습니다.

10. 결론

(1) 위치정보사업법의 성격을 제외한 위치정보보호법을 제정해야 합니다. 또 위치정보보호법은 위치정보 고유의 기술적·컨텐츠적 특성에 입각해서 마련되어야 합니다.

이 법안은 위치정보사업법과 위치정보보호법의 성격이 혼재되어 있는 법안입니다. 뿐만 아니라 위치정보를 보호하기 위한 대부분의 규정 역시 사업자 규제 규정입니다.

법안이 위치정보를 보호하기 위해 채택한 대부분의 수단들이 기존의 정보통신망이용촉진및정보보호등에관한법률이나 현재 추진되고 있는 개인정보보호기본법과 큰 차이가 없습니다. 또한 기존 법률들에 규정되지 않은 특별한 보호수단들 역시, 위치정보의 컨텐츠적·기술적 특성을 고려한 규정보다는, 대부분 사업 절차에 대한 규정으로 이루어져 있습니다.

위치정보라고 해서 보호의 기본 원칙이 달라지는 것은 아닙니다. 다만 위치정보의 컨텐츠적, 기술적 특성으로 인해 별도의 보호 수단이 덧붙여질 필요성은 있습니다. 일시적 수집·이용 중지 요청권, 서비스 목적에 필요한 정도 이상으로 정확하게 정보를 수집하는 행위를 제한하기 위한 목적의 등급제 실시, 기기 자체에 위치확인 차단 기능 도입 등이 그 것입니다. 따라서 위치정보보호법은 그 고유의 속성에 부합하는 몇 가지 구체적인 규정만을 별도로 규정하고 나머지는 통신비밀보호법과 향후 제정될 개인정보기본법에 의해 규율되게 하는 것이 타당할 것입니다.

(2) 단말기에서부터 위치정보주체의 자기정보통제권이 보장되어야 합니다.

기술적 특성으로 인해 발생하는 문제에 대해서는 기술적으로 해결하는 것이 가장 효과적입니다. 기술적 특성을 고려할 때 위치정보 수집의 가장 큰 특징은 위치를 확인할 수 있는 이동통신단말기나 칩의 위치정보를 수집한다는 점입니다. 따라서 GPS 칩이 포함된 이동통신 단말기의 경우, 기기 자체에서 GPS 칩의 활성화 여부를 선택할 기능 나아가 위치정확도를 단말기 소지자가 통제할 수 있도록 하는 기능을 제공하도록 의무화해야 합니다. 또한 RFID의 경우 최소한 정보주체가 칩의 활성화 여부를 선택할 권리 및 칩을 제거할 권리를 보장해야 합니다.

또 후불식 교통카드와 같은 형태의 위치정보 수집의 경우에는 최소한 위치정보가 수집되지 않는 대안적 카드를 제공해야 할 것입니다. 물론 이 경우 위치정보 수집을 통해서만 제공받을 수 있는 서비스를 제외하고는 모든 서비스를 동일하게 제공받을 권리가 정보주체에게 보장되어야 합니다.

(3) 개인정보보호기본법이 제정된 후에 재추진하는 것이 바람직합니다.

현행 정보통신망법이용촉진및정보보호등에관한법률 및 법 제정과정에 있는 개인정보보호기본법과의 충돌 문제, 향후 개인정보기본법에 따라 설치될 감독기구와의 권한 중복 문제 및 이로 인해 발생할 이중 규제 문제 등을 고려할 때, 이 법안은 개인정보보호기본법이 제정된 후 기본법과의 충돌 및 중복 요소를 최대한 제거한 후 재추진되는 것이 바람직하다고 생각됩니다.

다만 사회적 필요성이 높은 긴급구조에 관해서는, 현행 통신비밀보호법 및 전기통신사업법을 조속히 개정하는 방향으로 해결하면 될 것입니다.

지문날인반대연대

대표자 윤현식

진보네트워크센터

대표자 이종회

서울 용산구 청파동1가 1-13번지 정봉원빌딩 5층

참여연대

대표자 박상증·최영도·이선종

서울 종로구 안국동 175-3 안국빌딩 신관 3층

함께하는 시민행동

대표자 이필상·지현·윤영진

서울 성북구 삼선동 5가 100-4 시민공간 여울 2층