International Workshop

개인정보보호 제도의 개선을 위한	한․독 국제 심포지엄

Korean-German Joint Workshop on

Personal Information Protection

일 시	2004년 11월 1일 (월) 오후 2~6시

장 소	한국여성개발원 국제회의장

주 최	참여연대, 프리드리히 에베르트 재단 주한협력사무소, 민주사회정책연구원

Date	1st November 2004

Venue	Korean Women's Development Institute, Seoul, Korea (www.kwdi.re.kr)

Organizer  PSPD  People's Solidarity for Participatory Democracy (www.peoplepowr21.org)

FES     Friedrich-Ebert-Stiftung (www.fes.or.kr)

IDSP Institute for Democratical Society Policy
◈ 순서 ◈

인사말 (14:00~14:20)

박상증 / 참여연대 대표

Peter Gey / 프리드리히 에베르트 재단 주한협력사무소 한국소장

1부 (14:20~15:50)

독일과 한국의 프라이버시보호제도 및 감독기구

사회  임규철 / 독일 개인정보보호법 전공

발표

• 독일의 개인정보 보호법

알렉산더 로스나겔 Prof. Rossnagel / 독일 카셀대학 법학 교수

• 한국의 프라이버시보호제도 및 감독기구의 현황과 과제

한상희 / 건국대 법학과 교수

토론

• 박병섭 / 상지대 법학과 교수

• 이은우 / 변호사, 민주사회를 위한 변호사 모임

- 중간 휴식 20분 -

2부(16:10~18:00)

독일과 한국의 프라이버시보호 관련 사례발표-구체적 사건과 운동경험

사회  한 준  / 연세대 사회학과 교수, 참여연대 정책위 부위원장

발표

• 독일 개인정보 보호제도의 경험과 실례

Mr. Jan Moeller 얀 묄러 / 변호사, 슐레스비히 홀슈타인 주(州) 개인정보보호 독립센터

• 한국의 프라이버시 관련 사건과 운동

홍성태 / 상지대 교양과 교수, 참여연대 정책위원장

토론

• 한국 개인정보 보호운동의 경험

박준우 / 함께하는 시민행동 개인정보보호팀장

• Private/Public의 접선에 주목하는 진보적 미디어문화운동의 배치

전규찬 / 한국예술종합학교 영상원 교수, 문화연대 매체문화위원장

종합토론

참석자 전원

◈ Program ◈

Session 1 14:20~16:30

Personal Information Protection System in Germany and Korea and supervisory organisation

•Moderator : Dr. Im, Kyu-Chyul

•Presentation 1 (14:20~14:50)

German Personnal information Protection Law and System

- Professor Alexander Rossnagel (Kassel University)

•Presentation 2 (14:50~15:20)

Conditions and problems of Personal Information Protection System and Supervisory organisation in Korea Modern instruments of data protection

- Prof. Han, Sang-hee (Faculty of Law, Konkuk University)

•Panel Discussion (15:20~15:50)

- Prof. Park, Byungs-seup (Faculty of Law, Sangji University)

- Mr. Lee, Eun-woo(Attorney at Law)-        -

Coffee/Tee break 20 min.

Session 2 16:10~18:00

Examples and experiences regarding issues of Personal Information Protection in Germany and Korea

•Moderator : Prof. Han, Jun (Socialogy, Yonsei University)

•Presentation 3 (16:10~16:40)

German Case Studies

-Mr. Jan Moeller (Unabhaengies Landeszentrum fuer Datenschutz in Schleswig-Holstein)

•Presentation 4 (16:40~17:10)

Korean Case Studies

-Dr. Hong, Sung-tae (Sang-ji University)

•Panel Disscussion (17:10~17:40)

-Mr. Park, Jun-woo (Activist of Citizen's Action Network)

-Mr. Chun, Gyu-chan (Korea National University of Arts)

Wrap-up Discussion(17:40~18:00)

◈ 자료집 목차 ◈

1부

발제1 독일의 개인정보 보호법 / 알렉산더 로스나겔 ‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥ 1

발제2 한국의 프라이버시보호제도 및 감독기구의 현황과 과제 / 한상희 ‥‥‥‥‥‥‥‥‥ 11

토론1 박병섭

토론2 한국의 개인정보 보호 감독기구가 할 일 / 이은우 ‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥ 32

2부

발제1 독일 개인정보 보호제도의 경험과 실례 / 얀 묄러 ‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥ 33

발제2 한국의 프라이버시 관련 사건과 운동 / 홍성태 ‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥ 46

토론1 한국 개인정보 보호운동의 경험 / 박준우  ‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥ 54

토론2 Private/Public의 접선에 주목하는 진보적 미디어문화운동의 배치 / 전규찬 ‥‥‥‥ 60

독일어 발제문

(한국어 발제문은 요약문을 번역하였습니다)

1. Datenschutzrecht in Deutschland / Prof. Dr. Alexander Roßnagel ‥‥‥‥‥‥‥‥‥‥ 63

2. Datenschutzmaßnahmen in Korea: Lage und Aussicht / Han, Sang-hee ‥‥‥‥‥‥‥ 74

3. Prazisfaelle and Erfahrungen zum deutschen Datenschutzrecht / RA Jan Moeller  ‥‥ 79

4. Schutz der Privatsphäre: Verstöße und Gegenmaßnahmen in Korea / Hong, Sung-tae ‥ 89

1부 발제문

독일의 개인정보 보호법

알렉산더 로스나겔 / 독일 카셀대학 법학 교수

1. 1971년 독일연방 헤센(Hessen) 주(州)가 세계 최초로 개인정보 보호법을 제정, 발효한 것에 우리는 큰 자부심을 가지고 있습니다. 그 후로 몇 년 동안 다른 주들도 이 예를 따랐고 1978년에는 독일연방 차원에서 개인정보 보호법이 제정되기에 이르렀습니다. 단, 지역법이 각 주의 공적부문만을 그 대상으로 하는 반면, 연방법은 공적부문뿐 아니라 사적부문 전역에 걸쳐 그 유효성을 갖는다는 사실이 다릅니다.

2. 개인정보보호법(이하정보보호법)의 법적근거 및 보호대상은 정보의 자기결정 (informationelle Selbstbestimmung)에 대한 기본권입니다. 이 권리는 헌법에 명시된 것이 아니라 헌법재판소의 판결에 따른 것입니다. 1983년 독일 연방헌법 재판소는 정보사회를 살아가는 개인의 자유로운 인성발현에 대한 기본권과 인간 존엄성(기본법 제1조)의 구체화를 근거로 상기(上記) 권리의 존재를 인정한 바 있습니다.

이러한 자유로운 인성발현권을 보호하기 위해 기본법은 근본적으로 “개인은 본인과 관련된 정보의 제공, 이용을 스스로 결정할 권리 (독일 연방헌법 기본권)” 를 갖는다고 인정하고 있습니다.

이 기본법은 두 가지 목적을 갖습니다. 첫째, 이 권리를 침해 당한 당해인은 이를 방어 및 보호의 법적 근거로 이용할 수 있습니다. 당해인 이야말로 자신의 개인정보에 대한 이용 결정 우선권을 가져야 하기 때문입니다. 정보주체는 이러한 정보 자기결정권을 통해 자기발전 및 인성실현의 방향을 스스로 결정할 수 있어야 합니다. 둘째, 이 기본법은 자유민주적 의사소통의 기반이 됩니다. 원래 자기결정권이란 “국민의 행동, 참여능력에 근거한 자유민주적 공동체 운용의 기본 전제 조건입니다 (독일 연방헌법 기본권)”. 이러한 자기결정권의 하나인 정보 자기결정권은 따라서 정보교환과 의사결정의 자결성을 추구하는 의사소통 체계 구축을 그 목표로 하고 있습니다.

정보주체의 의사에 반(反)하는 정보처리는 모두 이 기본권을 침해하는 행위입니다. 그러나 이 기본권에도 제한이 있습니다. 이러한 정보이용도 입법자가 법에 근거하여 이를 허가하거나 혹은 정보주체가 이에 동의했을 때는 가능합니다. 단, 이 경우 해당 법과 정보주체의 동의에는 해당 정보의 종류, 범위와 그 이용 목적이 정확히 명시되어야 합니다. 이렇듯 엄격한 허가제를 통해 정보 이용 허가의 범위가 제한될 수 있는 것입니다.

이러한 정보 자기결정권도 개인관련 정보에 대한 소유권으로까지 확대 해석될 수 없습니다. 이는 자유민주사회 운용의 전제 조건이므로 가격에 따라 결정되는 자의적 통상행위의 대상이 될 수 없습니다. 이러한 법 해석의 오류는 개인관련 정보 성격을 나타내는 다연계적 현실모델(mehrrelationales Modell der Wirklichkeit)에도 부합되지 않습니다. 예를 들어 한 개인의 건강관리 기록은 해당 환자나 의사의 소유물로 인정될 수 없는 것이지요. 또 이 기록 작성자나 현실모델 객체만의 소유물 역시도 될 수 없습니다. 중요한 것은 누가 어떤 상황에서 이렇듯 다연계적 성격을 지닌 정보의 현실모델을 운용할 권리가 있는가 하는 것입니다. 이러한 원칙은 자유로운 의사소통을 막는 것이 아니라 정보주체의 결정권을 인정함으로써 오히려 이를 가능케 해야 합니다. 단, 일반 혹은 특정 개인의 이해가 더 중하다는 것이 법적으로 인정될 때에 한해 정보주체의 의사에 반(反)하는 정보이용도 가능합니다.

3. 정보 자기결정권의 실현을 위해 독일 정보보호법, 특히 연방차원의 보호법은 다음과 같은 법적 보호장치를 갖추고 있습니다.

a) 개인정보 보호규정(Datenschutzregelungen)은 개인관련 정보의 수집, 처리, 이용의 경우에만 유효한데 여기서 개인관련 정보란 특정 개인, 혹은 추가적 명시를 통해 특정될 수 있는 개인에 대한 정보를 일컫습니다. 이 보호규정은 해당 책임기관에 적용되지요. 여기서 책임기관이란 개인정보의 수집, 처리, 이용을 직간접적으로 관장하는 기관을 말합니다.

b) 개인정보처리는 입법자나 정보주체가 정보처리의 범위와 목적에 동의했을 때라야 가능합니다. 정보주체는 동의이전에 이 정보처리에 관해 사전통보를 받아야 하며 자율적 의사에 따라 특정 형태로 동의를 해야 합니다. 여기서 특정 형태란 일반적으로 자필 서명이나 혹은 법적으로 유효한 전자 서명의 형태를 말합니다.

c) 정보주체가 정보처리의 합법성을 검토하고 이에 합당한 권리를 행사할 수 있기 위해서는 정보처리가 투명성을 갖추어야 합니다. 이러한 투명성이 없을 때 정보주체인 개인은 사실상 아무런 권리를 보장 받을 수 없는 것이지요. 따라서 정보는 원칙적으로 정보주체 자신을 거쳐 수집되어야 합니다. 정보주체는 사전에 정보수집 사실을 알고 있어야 하고 정보가 재처리 될 경우 이를 통보 받을 수 있어야 하며 책임기관에 대해 열람 청구권을 갖습니다.

d) 법적 허가나 정보주체의 동의가 있을 경우라도 정보는 명시된 특정 목적을 위해서만 이용 가능합니다. 다시 말해 개인정보 수집, 처리, 이용은 이 목적에만 제한되어 있는 것이지요. 목적 변경 시에는 그에 따른 재차 허가가 필요합니다. 정보주체는 자신의 정보를 개인의 사회적 상황과 역할에 맞게 조정할 수 있어야 합니다. 이러한 목적구속성(Zweckbindung)이야말로 정보의 합법적 권력분립을 가능케 하는 것입니다. 즉, 권리가 없는 자에 대해 정보의 흐름을 막아 이를 보호하는 것 입니다. 훗날 사용을 위한 사전 정보처리나 포괄적 개인 프로필 작성을 위한 정보처리 역시 금지되어 있습니다.

e) 모든 종류의 개인정보 처리는 법적으로 인정된 특정 목적 위해서만 가능합니다. 다시 말해 이 목적을 달성하기 위해 반드시 필요한 만큼만의 정보만이 처리 가능하다는 것입니다. 또한 정보처리는 그 목적 달성에 필요한 기간으로 제한됩니다. 이는 정보가 이 목적을 달성하는데 반드시 필요한 기간에 한해서만 처리 가능하며 그 후 삭제되어야 한다는 의미입니다.

f) 정보 자기결정권은 정보주체가 공동결정권을 갖고 정보처리에 영향력을 행사할 수 있을 때라야만 실현 가능합니다. 이러한 이유로 정보보호법에는 당해인의 규제 및 공동 결정권이 명시되어 있습니다. 정보주체는 해당 정보의 정정, 유통금지, 삭제에 대해 열람 청구권, 교정권뿐 아니라 행정심판 청구권까지도 갖습니다. 정보주체가 개인정보의 불법적 혹은 부적절한 처리로 인해 물질적 피해를 입었을 경우 손해배상을 청구할 수 있습니다.

g) 공적부문에서는 각 연방 주나 국가에서 임명한 공공 개인정보보호 관리인이, 비공적 부문에서는 각 연방 주에서 지정한 규제관청이 정보보호법 관철의 책임을 맡고 있습니다. 이 규제관청은 정보처리기관의 책임감 증진을 위해 각 기관마다 해당 기관, 혹은 관청 소속의 정보보호 관리인을 임명합니다. 이는 공공 기관에서는 정보처리가 완전 자동화 되었을 경우, 비 공공기관에서는 최소 5명 이상이 자동화된 정보처리 시스템을 관장하고 있을 경우에 해당됩니다. 정보보호 관리인은 해당 기관 혹은 관청 내의 정보보호법 준수를 책임지나 특정 정보보호 제도를 스스로 규정할 권리는 없습니다. 단지 해당 기관장이나 사업장에게 이 사실을 보고할 권리만을 가지고 있지요. 정보보호 관리인은 자율성 확보를 위해 기관, 혹은 관청 내의 지시, 명령에 구애 받지 않으며 그의 업무수행으로 인해 불이익을 받는 일이 없어야 합니다.

요약해서 말하자면 개인정보 보호란 정보처리자의 독점적 정보이용이란 의미의 보호가 아니라 사회의 원활한 의사소통을 위한 것입니다. 전자는 정보의 안보문제에 해당되는 사안이지요. 개인정보 보호는 누가 어떤 종류의 개인정보를 가지고 어떠한 사회 커뮤니케이션 상황에서 사용할 수 있어야 하는가를 결정하는 문제인 것입니다. 이 문제는 정보주체자의 정보 자기결정권 원칙에 따라 법적으로 또 실질적으로 해결되어야 합니다. 이럴 때라야만 그 사회의 자유, 민주 원칙이 실현될 수 있는 것이지요. 이는 다음과 같이 요약할 수 있습니다. 모든 종류의 개인정보 처리에 있어 투명성, 목적구속성, 필연성, 공동결정권과 규제성이 보장되어야 한다고 말입니다.

4. 1995년 유럽 개인정보 보호지침(Europäische Datenschutzrichtlinie)이 발효되었습니다. 25개 유럽연합 회원국의 국내법도 이에 따르도록 되어있지요. 이러한 유럽법은 그 내용에 있어 앞서 설명한 독일 정보보호법의 영향을 크게 받아 그 보호원칙으로 투명성, 목적구속성, 필연성, 공동결정권과 규제성을 내세우고 있습니다. 따라서 독일은 타 회원국에 비해 이 법안을 국내에 적용시키는데 있어 큰 무리가 없었습니다.

그러나 이 유럽 정보보호법이 다른 회원국의 법안을 부분 수용한 것도 사실입니다. 이에 따른 독일법 상의 가장 큰 변화라면 보호가치가 높은 정보에 대한 특별보호안의 도입일 것입니다. 1983년 독일연방 헌법재판소는 개인정보를 보호하는데 있어 중요한 것은 그 내용이 아닌 이용상황이라고 판결한 바 있습니다. 이에 반해 유럽 법안은 특정 내용의 정보, 즉, 건강기록, 성생활, 인종, 민족 출신정보나 정치, 종교, 철학적 사상 및 신조, 혹은 특정 노동단체 소속 여부 등의 정보를 특별한 보호가치가 있다고 규정하고 있습니다. 따라서 상기(上記) 정보의 수집, 이용은 사전에 정보주체에게 통보되어야 하며 별도의 동의를 전제로 해야 합니다.

또 하나의 주요 변경사항은 유럽연합 비회원국에게 개인정보유통을 금지하는 조항입니다. 이들 국가에 유럽연합국에 상응하는 개인정보 보호수준이 마련되어있지 않을 경우에 말입니다. 수많은 국제 협력분야, 다국적 기업의 경우, 혹은 정보처리 업무를 제3국에서 해결하고 있는 사업체, 기관의 경우가 여기에 해당됩니다. 이들 비회원국가들은 유럽 정보네트워크에서 소외시킨다는 EU의 위협에 수준 높은 정보보호법을 제정했고 많은 기업들도 관련 행동윤리강령(Code of Conduct)을 도입, 이를 전세계 지부에까지 적용시키기에 이르렀습니다.

5. 특히 최근 인터넷 정보처리가 이슈화되면서 기술분야가 개인정보 보호에 차지하는 역할이 부각되고 있습니다. 첫째, 신기술 개발에 따라 정보유출의 위험은 높아지고 이 위험성 역시 기술발전에 따라 끊임없이 변화하고 있는 반면, 입법체계는 이 속도를 따라갈 수 없습니다. 둘째, 인터넷 시스템이 세계적으로 운용됨에 따라 국가, 국내법의 한계가 드러나고 있습니다. 외국에서 인터넷을 통해 활동하는 정보 처리자에게 국내 정보보호법은 아무런 영향력 행사를 할 수 없기 때문입니다.

지속적 기술개발과 정보처리의 세계화라는 이중고에 직면한 정보보호법은 신기술을 활용한 보호방식으로 정보주체의 권리를 수호하고자 합니다. 이는 특히 인터넷을 이용한 전자서비스 분야에서 실행되는 방식으로 부분적으로는 이미 연방법에도 도입된 바 있습니다. 이 방식에는 두 가지 장점이 있습니다: 첫째, 정보보호 기술은 정보보호법과는 달리 전세계적으로 통용가능하며 해당 기술을 관장하는 기업체는 입법기관과는 달리 신속하고 지속적으로 자기변화가 가능합니다. 또한 기술을 활용한 보호는 법적 보호보다 훨씬 효율적입니다. 기술적으로 방지될 수 있는 사항은 법으로 금지시킬 필요가 없는 것은 물론이요 법적 행동규정은 어길 수 있으나 기술을 활용한 방지시스템은 그럴 수 없다는 장점 또한 가지고 있습니다. 이러한 정보보호 기술은 규제와 처벌을 불필요하게 하는 것입니다.

이러한 기술적 보호방식 중 가장 효율적인 것은 자가보호입니다. 즉, 정보주체가 스스로 정보 자기결정권을 수호할 수 있는 기술적 장치를 보유하는 것이지요. 이러한 자가보호에는 전자서명, 익명, 가명사용, 정보의 암호화 등 여러 가지 기술방식이 있습니다. 여기에는 두 가지 장점이 있습니다: 첫째, 정보주체는 스스로의 이익이 걸린 만큼 지속적으로 배우고 변화에 적응할 것입니다. 따라서 가능하다면 정보주체 자신으로 하여금 스스로에게 중요한 정보를 언제, 어디서나 보호할 수 있도록 하는 것이 포괄적 법체계를 통해 보호를 강요하는 것보다 효율적인 것이지요. 이러한 방식은 전세계적으로 통용될 수 있다는 장점 또한 가지고 있습니다. 자가보호 기술은 전세계 네트워크망에서 일어나는 모든 정보교환에 원칙적으로 이용될 수 있으며 전세계적으로 통용되는 WWW 콘소시엄의 "개인정보 보호 표준기술 플랫폼(Platform for Privacy Preference 이하 P3P)"이 이에 길잡이가 될 수 있습니다.

또 다른 기술적 보호방식으로는 시스템 통합적 정보보호입니다. 이는 필요 시 가능한 적은 양의 정보만을 수집, 처리, 이용토록 하는 보호장치입니다. 독일 정보보호법은 정보 책임기관으로 하여금 통합적 시스템 구축을 통해 불필요한 개인정보의 수집, 이용을 사전에 방지토록 하고 있으며 정보 이용자의 자기결정권을 보장하도록 하고 있습니다. 이가 제도적으로 불가능할 경우에는 정보를 되도록 빠른 시일 내 처리하고 가능한 신속하게 소거되도록 하거나 개인정보 자체를 익명, 가명화하도록 규정하고 있습니다.

시스템 통합적 정보보호 방식은 정보처리량 감축뿐 아니라 수많은 정보보호법적 목적 달성에도 이용될 수 있습니다. 독일 정보보호법에서는 이러한 시스템 통합적 방식의 일환으로 정보보호 저촉성이 우려되는 세가지 기술제도, 즉, 자동 결정 시스템, 비디오 감시 시스템, 이동성 정보 저장, 처리도구를 규제할 수 있는 세가지 규정(독일 연방 정보보호법 §§ 6a, 6b, 6c)을 새로이 제정했습니다.

6. 정보보호의 또 다른 방식은 시장경제의 원칙을 도용하는 것입니다. 이 방식이 최초로 도입된 것은 1997년의 미디어관련 국가협약(Mediendienstestaatsvertrag)으로 이 협약에 따라 미디어 업체들은 자율적으로 정보보호 감독시스템을 도입한 바 있습니다. 이 방식은 이제 독일연방 정보보호법에도 채택되었지요. 단, 이 양 규정은 구체적 시행법안을 전제로하고 있으나 이는 아직까지 마련되고 있지 않습니다. 정보처리에 대한 감독시스템과 정보보호법안에 따른 제품의 인증제도를 도입, 실행하고 있는 곳은 지금까지 슐레스비히 홀슈타인(Schleswig-Holstein)주(州) 하나뿐입니다.

상기 방식은 시장경제 원칙을 정보보호체계에 활용하는 것으로 정보처리기관이나 제품 생산자가 정보보호법 기준에 맞는 시스템을 갖추거나 이 법에 상응하는 제품을 생산할 경우, 객관적 평가자가 법에 명시된 방식과 기준에 따라 이 시스템 혹은 제품의 정보보호 친화성을 검토, 인증해주는 제도입니다. 이들은 이 공적 인증제도를 이용, 상품광고를 할 수 있으며 이를 통해 타제품에 대한 경쟁력을 얻을 수 있는 것입니다. 이는 여타 기관, 생산자 역시 이러한 모범을 따라 정보보호법에 부합하는 시스템, 제품을 마련, 생산하도록 하는 자극제의 의미도 갖습니다.

7. 독일은 정보보호법을 최초로 도입한 국가란 사실에 자부심을 갖고 있는 반면, 최초 국가로서의 단점 역시 감수해야 합니다. 현 독일연방 정보보호법의 기본안, 구조, 제도는 70년대에 마련된 것으로 당시에는 기술적, 경제적 상황이 오늘날과는 크게 달랐습니다. 이 법은 그 이후 수 차례 개정되었고 최근 2001년 5월에는 신규 제정된 유럽 공동체 개인정보 보호지침에 맞추어 재 개정된 바 있습니다. 그러나 독일 정보보호법은 아직도 전분야에 걸쳐 포괄적으로 현대화될 필요성이 있습니다.

여기에는 두 가지 이유가 있습니다. 첫째, 독일 정보보호법은 지나치게 규정이 많고 이해가 어렵습니다. 독일연방헌법재판소는 1983년 인구조사판결(Volkszählungsurteil)을 통해 정보 자기결정권에 대한 침해를 규정함에 있어 정보사용 목적을 세분, 명시해야 한다고 판결했는데 이 판시의 의도는 좋았으나 결과적으로 반대의 효과를 가져왔습니다. 명확하며 누구나 이해할 수 있는 법률 대신, 오늘날 1000여 개에 달하는 정보보호법안이 연방과 각 주에서 정보보호체계를 관장하고 있어 통일성 없고 부분적으로는 모순적이기까지 한 규정을 낳고 있습니다.

법개정 필요성의 두 번째 이유는 현행법이 최신 정보처리 관행과 그에 따른 위험성을 충분히 반영하지 못하기 때문입니다. 독일 정보보호법은 사적부문보다는 공적부문에 더 중점을 두고 있고 아직까지 이 법의 행정적 운용만을 고집하고 있습니다. 그러나 오늘날 정보처리 기술은 개인, 사기업의 경쟁력과도 관련되어 있습니다. 확실한 정보보호를 보장하는 기업만이 고객의 신용을 얻을 수 있고 이를 통해 전자 상거래나 전자 행정업무도 원활히 이룰 수 있기 때문입니다.

따라서 독일 연방정부는 현행 정보보호법의 내용을 포괄적으로 현대화한다는 목표 하에 베를린 시(市) 정보보호 책임자 가르스트카(Garstka)씨와 정보공학자 피츠만(Pfitzmann)씨 그리고 법학자인 저로 하여금 법제 현대화의 기본안과 구체적 안건을 제시하는 보고서를 제출하도록 하였습니다. 2001년 말 제출된 이 보고서의 핵심 사안을 강연 마지막에 요약해 소개해 드리고자 합니다.

8. 새로운 정보보호법은 간단하고 이해가 쉬워야 합니다. 또한 현재, 미래의 변화와 그에 따른 위험성에 대응할 수 있어야 합니다. 첫번째 목적을 달성하기 위해서는 정보주체의 자기 결정권이 강화되어야 하며 정보처리자의 자가규제 가능성이 개선되어야 합니다. 두 번 째 목적 달성을 위해서는 무엇보다 정보처리의 투명성이 제고되어야 하며 정보의 자가보호와 시스템 통합적 보호가 일관적으로 이루어져야 합니다. 또한 기술적 방식, 시장경쟁의 힘을 보다 적극적으로 활용해야 합니다. 이를 위해서는 구체적으로 다음과 같은 사안들이 실현되어야 합니다.

a) 무엇보다 새로운 정보보호법을 적용범위가 넓은 일반법에 포함시켜 이를 분야별 특수 정보보호법보다 우선시해야 합니다. 이러한 일반법은 일반적 규정을, 특수법은 개별상황에 따른 예외만을 규정하도록 합니다. 이를 통해 현행 정보보호법의 많은 부분은 불필요해 집니다. 정보 자기결정권 침해위험의 관점에서 볼 때 현행법은 지나치게 세분화 되어있는 감이 없지 않습니다. 예를 들어 공적, 사적부문의 분류, 수동, 자동 정보처리의 분류, 자연인과 법인의 분류 등이 그렇습니다. 물론 신법 적용에 있어 상황에 따라 상기 분류가 필요할 때에는 예외적 구분을 해주어야 겠지요

b) 미래의 정보보호는 무엇보다 정보주체 자신의 규제와 영향력을 보장하는 규정을 통해 이루어져야 합니다.

이를 위해서는 첫째, 투명성 제고가 전제 되어야 합니다. 이는 해당 기관이 당사의 정보처리관행을 누구나 볼 수 있는 약관 형태로 열람함으로써 이루어질 수 있습니다. 이러한 약관이 인터넷에 공개될 경우, 전세계적 정보보호 기준인 P3P를 이용, 정보 처리자와 정보주체 사이의 관련 의사소통이 자동적으로 이루어질 수 있습니다. 이러한 투명성은 정보이용기간 내내 보장되어야 하며 특히 사용목적 변경이나 제3 자에게 정보제공을 할 경우, 정보주체는 이메일로 이 사실을 통보 아야 합니다.

둘째, 정보처리 결정의 우선권은 정보주체에게 있어야 합니다. 사적 부문에서는 소위 "원칙에 따른 선택(Opt-in-Prinzip)"이 보장되어야 하는데 이는 다시 말해 정보처리에 있어 사전 동의나 계약, 혹은 계약에 준하는 신뢰관계가 전제되어야 한다는 것입니다. 정보주체의 동의 없이 정보처리가 이루어지는 경우는 이가 정보주체나 정보처리자의 권리, 혹은 제3자의 권리 보호를 위해서이거나 또는 특정 법 의무 수행에 필요할 경우로만 제한됩니다. 반면에 공적부문에서는 정보주체의 동의가 그다지 중요시 되지 않습니다. 여기서는 해당기관이 법 의무를 수행하는데 있어 필요한 경우, 정보처리는 가능합니다. 반대로 정보주체가 동의한다 하더라도 법으로 금지된 정보의 처리는 이루어질 수 없습니다.

개인정보 처리는 원칙적으로 정보 자기결정권에 대한 침해 행위이므로 반드시 필요한 만큼만 이루어져야 합니다. 이 원칙을 일관적으로 실현하기 위해서는 후발적으로 정보처리 과정에만 이 원칙을 적용하는 것이 아니라 사전에 되도록 가능한 한 적은 양의 개인정보를 요구하는 시스템을 구축해야 합니다. 사실적 개인정보 없이도 정보처리는 가능합니다. 정보주체는 익명이나 가명을 사용할 수 있지요. 이 중에서도 가명 사용은 전자 상거래(E-Commerce)나 전자 정부 업무(E-Government)에 있어 흥미로운 대안이 될 수 있는데 이는 실명과 익명의 장점을 골고루 갖추고있기 때문이지요. 평상시, 즉, 법안 준수 시에는 정보 사용자의 정체가 드러나지 않다가 예외 시, 즉, 범법 시에는 그의 가명은 실명으로 대치될 수 있습니다.

개인정보처리는 정보주체의 동의와 법적 허가에 명시된 특정 목적에 한해서만 가능한데 이러한 목적 구속성은 시스템 통합적 정보보호 방식을 통해 실현될 수 있습니다: 이러한 통합적 시스템 관리는 목적에 상응하는 정보처리만을 허용하는 제도적 장치를 가능케 하기 때문입니다.

c) 정보처리기관의 기존 의무는 하나의 정보보호 관리시스템으로 통합, 발전되어야 합니다. 정보보호 책임자의 임용, 정보보호기관의 설립 계획, 정보보호 및 안보 초안작업 등이 이러한 관리시스템에서 이루어져야 할 주요 임무입니다.

d) 정보보호는 법적 허가와 금지, 그에 따른 규제책에만 의지해서는 안됩니다. 시장경쟁 원칙의 힘을 효율적으로 활용하기 위해서는 정보보호 감독과 정보보호법 준수 제품의 인증제도가 자율적으로 이루어져야 합니다. 이와 같은 제품의 검사필증과 인증제도를 통해 생산자는 고객의 신뢰를 얻을 수 있어야 하며 이들 제품은 국가차원의 물품구입에 있어서도 우선적으로 선정되어야 합니다.

e) 입법기관의 부담을 덜고 규정을 개별상황에 맞게 조정하기 위해서는 사적부문의 각 기업과 기관에 자가규제책을 마련할 권리가 주어져야 합니다. 물론 이러한 자가규제에는 법적 틀이 주어져 공정한 제도, 상호이해 충돌방지, 공공이익 보호와 민주적 준법성이 보장되어야 합니다. 각 정보보호 책임기관은 이러한 자가규제의 결과를 실행 정보보호법과 비교, 검토해 그 부합성 여부를 결정해야 합니다.

f) 정보 자기결정권은 정보주체가 공동결정권을 갖고 정보처리에 영향력을 행사할 수 있을 때라야만 실현 가능합니다.

•다른 상황에서도 그렇지만 특히 인터넷 상에서 국가와 법은 국민의 정보 자기결정권을 제한적으로 밖에 보호할 수 없으므로 국민 자신에게 프라이버시 강화기술 (privacy enhancing technologies)을 이용해 스스로를 보호할 권리를 인정해야 합니다.

•모든 사람은 저장형태의 본인정보에 대해 포괄적 무상(無償) 열람 청구권을 인정 받아야 합니다.

•모든 사람은 사(社) 내, 혹은 관청 내 정보보호 책임자에게 행정쟁송권을 신청할 수 있습니다. 해당 책임자는 침해기관과 피해자 사이에서 물질적 손해배상으로 이를 해결하도록 중재하며 1개월 내에 이 중재 건에 대해 행정쟁송의 원인을 포함한 보고서를 서면으로 작성, 제출해야 합니다.

•정정, 유통금지, 삭제권에 대한 조항은 그대로 유지하되 정보의 익명화와 가명화 권리에 대한 조항은 보완될 필요성이 있습니다.

•정보처리기관은 스스로의 책임이 없는 오류에 대해서도 배상을 보장해야 합니다. 이러한 직접적 책임은 해당 정보처리기관이 공적 정보보호 감독시스템에 속해 있을 경우에만 면할 수 있으며 이 경우 배상보장은 일반법에 따릅니다.

g) 효과적 정보보호 규제는 다음 세가지 원칙을 기반으로 이루어져야 합니다. 첫째, 독립적 국가 기관에 의한 통합적 규제가 필요합니다. 둘째, 사(社) 내, 기관 내 명령체계에 구애 받지 않고 직무수행에 따른 해고 위험도 없는 정보보호 책임자가 각 기업과 기관을 자가 규제해야 합니다. 셋째, 사회 감시 체제 내에서 경쟁사나 경쟁기관 사이의 정보보호법 위반신고가 가능해야 합니다.

9. 상기 정보보호법 현대화 안건들은 2001년 9.11. 테러사건에 따른 미국 내 법안 개정과 시기를 같이 해 발표되었습니다. 9.11.테러로 미국에서는 안보기관과 비밀요원들의 권한과 권리가 크게 강화되었습니다. 그러나 이를 통해 정보보호법의 현대화가 백지화 된 것은 아닙니다. 오히려 그 반대입니다. 이는 정보보호법 규제의 반대급부로 그 어느 시기보다 더 중요합니다. 안보법안의 확대와 정보보호법의 현대화, 이 양 안건은 현재 정치권에서 더 많은 영향력을 획득하기 위해 서로 경쟁하고 있습니다. 현재 정보보호법 현대화를 일거에 실행하기에는 정치권에서의 지원이 충분치 못한 듯 합니다. 그러나 이를 여러 단계에 거쳐 점진적으로 실현해 나갈만한 희망은 분명히 있습니다.

1부 발제문

한국의 프라이버시보호제도 및 감독기구의 현황과 과제

한상희 / 건국대 법학과 교수

1. 감시와 감시의 감시

정보화가 사회구조의 변화에 어떠한 영향을 미치고 있는가는 보는 관점에 따라 다를 수가 있다. 더우기 그것이 미래에 어떠한 결과를 야기할 것인가에 대하여는 더욱 다양한 논의가 제시될 수 있다. 하지만, 그럼에도 불구하고 적어도 현상으로서 또는 예측가능한 변화수준이라는 점에서 정보화의 사회구조적 영향을 서술할 수는 있을 것이다. 왜냐하면 정보화는 미래학자들이 주장하듯 자유와 자기지배, 자기실현의 기회가 넘치는 찬란한 미래를 약속하고 있기도 하지만, 그와 동시에 기술회의자들이 말하듯, 기존의 권력관계가 그대로 관철되거나 강화되는 계기로서 작용하기도 한다. 그것은, 그 동안 소수의 정치적·경제적 권력엘리뜨의 수중에 장악되어 있던 정보에 일반인들이 접근할 수 있는 통로를 제공하는 한편, 그것은 그 정보네트워크를 따라서 기존의 권력집단들이 자신들의 권력을 강화할 수 있는 가장 효율적이고 능동적인 메카니즘을 구축할 수 있도록 하고 이를 통하여 개인의 일상생활을 항시적으로 감시·감독할 수 있는 터전을 제공한다. 또는 정치경제학적 수준에서 본다면, 경제적 이윤추구의 동기에 굴복하여 삶의 폭을 획일화하고 편협한 것으로 만들어 버릴 가능성 또한 가지고 있다.

바로 이 점에서 오늘날과 같은 정보화사회에서 급격한 성장세를 보이고 있는 정보권력(그것은 국가일수도, 민간기업일수도 있다)의 문제는 그 감시에 대응하는 일종의 대항감시의 체제를 어떻게 online상으로나 offline상으로 구축할 수 있을 것인가, 혹은 정보권력에 의한 중앙집중적감시로 인하여 발생하는 권력의 집중가능성은 어떻게 제어할 수 있을 것인가? 그리고 그것을 뒷받침하는 헌법적 요청은 어떻게 구성될 수 있을 것인가 하는 실천적 문제들을 제기한다. 나아가 감시를 정당화시키고, 또 현실적으로도 정당하게 요청되고 있는 치안목적이나 질서유지목적, 또는 안보와 복지의 요청들, 혹은 시장논리의 요청들을 훼손하지 않으면서 감시가 야기하는 오·남용의 폐해를 어떻게 차단할 수 있을 것인가의 문제가 중요하게 제기된다.

하지만, 정보화사회에서 법이 관여할 수 있는 것은 그 실체의 문제보다는 오히려 정보기술과 사회, 국가를 연결지우고 체계화하는 일련의 구조형성(architecturing)의 부분이다. 이 정보기술이 어떠한 과정과 절차에 의하여, 어떠한 목적으로 이용될 수 있으며, 그에 관하여는 어떠한 법적 관계들이 구축될 수 있을 것인가가 주된 관심이라는 것이다. 감시에 관한 법적 대응의 문제 역시 마찬가지의 맥락에서 거론될 수 있다. 감시기술의 통제, 또는 감시방법의 규율과 같은 실체문제보다는 오히려 감시와 관련한 정책의 결정과정, 감시결과의 활용을 위한 일련의 절차, 감시결과에 대한 법적 효과의 부여, 그리고 이 모든 것에 대한 공개와 국민적 참여의 가능성 등의 문제가 중요하다는 것이다.

오늘날의 개인정보의 수집·처리를 중심으로 하는 개인감시의 핵심은 다양한 데이터베이스와 감시장치들이 서로 결합되면서 가상적 인간을 구축하게 만든다는 점에 있다. 문제는 이들 데이터베이스 하나하나 또는 감시장치 하나하나에서 연유하는 권력현상이 아니라, 이 미시적 권력들이 네트워크를 따라서 하나의 중앙에 집중됨으로써 보다 커다란 권력을 만들어낸다는 점에 있다. 개인정보보호의 문제는 따라서 양면성을 가진다. 그것은 개인의 자기결정권(헌법 제10조, 제16조)의 연장에서 도출되는 자기정보통제의 권리라는 주관적 공권으로서의 측면뿐 아니라 그 개인정보의 결합을 통하여 구축되는 거대한 권력들-국가권력 혹은 경제권력에 대한 시민의 저항 내지는 통제의 모티프로서의 의미 또한 가지는 것이다.

정보화사회 혹은 정보국가의 시대에서 대항감시의 문제는 여기서 가능해진다. 즉, 구체적인 데이터베이스의 구축이나 관리, 활용에 대한 시민들의 감시나 행정절차적 통제도 필요하지만, 그 무엇보다도 중요한 것은 이러한 데이터베이스간의 정보나 자료의 이동에 대한 통제의 필요성이다. 특히 각 데이터베이스들이 서로 만나는 점 또는 네트워크가 교차하는 점 - 노드를 어떻게 장악하는가가 곧 정보사회에서의 권력을 결정하는 계기를 이룬다. 국가부문에 있어서의 주민등록데이터베이스와 건강보험데이터베이스, 그리고 민간부문에 있어서의 신용정보데이터베이스가 결합될 때-보건복지부가 추진하고 있는 전자건강보험증 구상은 바로 이러한 결합을 지향한다- 국가는 국민 개개인에 대한 완벽한 프로파일을 구축할 수 있게 된다. 도로상의 교통감시카메라가 신용정보테이터베이스와 결합되면, 개개의 차량소유자들이 주말을 어디서 어떻게 보내었는지 파악된다. 위성항법장치(Global Positioning System: GPS)와 자동차등록데이터베이스의 결합만으로도 우리는 어떠한 사람이 지금 현재 어디에 있는지 알 수 있는 시대에 살고 있는 것이다. 그래서 이 글은 현재 우리나라에서의 개인정보보호의 현황과 문제점을 지적하는 가운데 이러한 역감시-대항감시의 가능성을 제시하는 구조로서의 개인정보보호제도의 바람직한 모습을 검토해 보고자 한다. 이를 위하여 이 글은 최근 제시된 두 개의 개인정보보호정책안-현재 정부부분에서 개인정보보호정책에 관한 대안을 마련하고 있는 정부혁신지방분권위원회의 한 포럼에 제출된 발제문과 민주노동당안-을 소개하면서 그 보완점의 제시를 중심으로 서술해 나갈 것이다.

이인호·권헌영, 개인정보보호를 위한 통합감독기구의 설립방안, 개인정보보보정책포럼, 2004.6.24.

이은우, 개인정보보호기본법(안)의 주요골자, 개인정보보호기본법 제정을 위한 입법공청회, 2004, 9, 24. 물론 정부혁신위원회의 안이나 민주노동당의 안은 아직은 공식적으로 정리된 것이 아니고 검토를 위한 연구자 개인적인 제안의 수준에 머물러 있다. 이 글은 단순히 편의를 위하여 정부혁신위원회안 혹은 민주노동당안으로 표기하는 것이다.

2. 개인정보와 감시, 그 세 단면

2.1. 국가감시 - 민주주의의 재구조화문제

국가감시(state surveillance)는 이러한 정보권력의 문제에서 가장 핵심적인 지위를 차지한다. 그것은 Giddens가 말하듯 근대국가의 관료제적 특성에서 연유하는 필연적 현상이자, 동시에 나찌나 스탈린정권처럼 전체주의적 국민관리의 수단 혹은 세계대전 당시나 냉전기의 전투 혹은 경쟁를 위한 첩보전에서 더 나아가 국가내부의 위험인자(안보위험인자 혹은 질서위험인자)를 적발하고 처리하기 위한 수단으로 기능하기도 한다. 또는 오늘날 자유민주주의를 주창하는 국가에 있어서도 각종의 행정효율성 내지는 복지서비스의 실효성을 확보하기 위한 수단으로 구축되기도 한다. 하지만, 문제는 이러한 국가감시가 양면성을 가지고 있다는 점이다. 그것은 안보와 질서, 행정의 효율성이라는 점에서는 正의 기능을 수행하기도 하지만, 역으로 감시의 대상인 국민들의 입장에서보면 단순한 사생활의 침해라는 수준을 넘어서서, 권력의 일방향적 흐름에 의한, 자기지배원리의 현저한 왜곡현상이 수반되기도 한다. 제반의 국가과정에 적극적으로 참여하는 능동적 시민으로서의 국민이 아니라, 국가는 자신이 수집, 관리하는 정보에 의하여 실제의 생활과는 괴리된 프로파일을 만들고 이에 따라 그 국가작용의 내용과 형식, 절차를 결정함으로써 사회내에는 현실의 시민이 아닌 가상적 시민(virtual citizen)만이 존재하고 되고 여기서 파생되는 시민의 소외현상은 민주주의의 가장 본질적인 내용까지 침해하게 되는 극단적 상황까지도 예견할 수 있게 하는 것이다. 바로 이 점에서 국가감시의 문제를 단순히 개인정보에 대한 자기통제·관리권의 맥락에서만 파악하고 있는 우리 (헌)법학계의 입장은 문제를 안고 있다. 국가감시의 문제는 개인적 기본권의 문제이자 동시에 민주주의 그 자체의 문제인 것이다.

참고로 참여연대의 자료에 의하면 다음과 같은 사례들이 국가감시의 경우에 해당한다.

○ 행자부 및 보건복지부의 전자주민카드 및 전자건강카드도입 반대

○ 병무청의 산업기능요원 희망자의 개인신상이 인터넷 사이트에 노출된 사건에 대한 대응

○ 주민등록번호일치로 인한 신용불량자 등재로 인한 피해 국가 상대 손해배상청구소송

○ 전과기록오류로 인한 선거권 침해 국가상대 손해배상청구소송

○ 검찰의 민간인 불법사찰에 대한 국가상대손해배상소송

○ 보건복지부의 보험개발원에 개인질병정보제공 반대

○ 보건복지부의 개인정보의 민간보험회사판매반대

○ 검찰, 보건복지부, 사회복지단체 등이 추진한 미아찾기 유전자정보은행 설립계획 반대운동

○ 대한적십자사의 불법적인 혈액 판매 및 그로 인한 유전정보 유출 가능성에 대한 비판

○ 서울의대(국립대학) 법의학교수에 의한 의뢰자 동의 없는 유전자샘플 사용규제

2.2. 소비자감시 - 이중실패의 현장

정보통신기술의 발전은, 유연전문화의 추세와 더불어 개별적인 소비자에 반응적인(responsive) 시장을 구축함으로써, 시민사회에서 운영되는 생활의 다양한 양식들로부터 형성되는 개별적·구체적 수요를 경제가 포섭하고 그에 상응하는 재화와 용역을 산출하도록 하는 유기적인 시장관계를 형성할 수 있다는 점에서 장점을 가진다. 한마디로 소비자가 시장을 통제할 수 있는, 그래서 시민사회와 경제가 각각의 영역에서 자율성을 획득하고 그것을 바탕으로 상호 연계될 수 있는 틀이 구축될 수 있는 것이다.

실제 정보의 다양화, 대량화의 경향은 소비자인 대중에게는 일면으로는 난삽한 광고의 폭력일 수도 있지만, 타면으로는 개개의 소비자들이 자신의 구미와 취향에 맞는 상품의 선택권, 즉 정보의 해석 및 의미부여의 능력을 고양시킨다는 의미와도 상통한다. 개인이 정보의 선택자가 됨으로써 일종의 개성에 입각한 구매행위를 촉발하는 것이다. 이 점에서 국가규제철폐 내지 완화의 논의들은 단순히 그것이 외부비용의 축소를 통한 기업의 자본축적능력의 향상만을 도모하는 것은 아니다. 그 논의들은 두 가지의 측면에서, 즉 첫째, 급변하는 수요자의 취향이나 국제산업구조개편의 추세에 민감하게 대응함으로써 기업들의 이윤율을 확보할 수 있는 제도적-보다 정확히는 비제도적 장치들을 마련한다는 의미와, 둘째, 그러한 탄력적이고 반응적인(responsive) 기업활동을 통하여 간접적으로는 수요자들의 인격을 실현할 수 있는 기회를 보다 확대한다는 의미에서 나름의 헌법적 타당성을 가진다고도 할 것이다.

특히 이 후자는 넓은 의미의 소비자주권론과 상통한다. 그것은 소비자가 대량생산이나 대량소비의 패러다임에 의한 경제운용체제속에서 더 이상 표준화된 취향을 강요당하지 아니하고 역으로 자신의 개별적이고 특수한 취향을 생산자에 강제함으로써 그 생산물-상품을 통하여 자신의 인격을 실현할 수 있는 기회를 추구할 수 있도록 한다는 점에서 가장 직접적인 방법으로 헌법을 실현하는 의미를 지닌다. 이에 관하여는 후술한다.

하지만, 이렇게 규제완화를 통한 자율적 시장의 조성이라는 이념은 경우에 따라서는 기업의 이윤추구활동을 통하여 시민사회나 개인의 사적 생활이 장악될 수도 있다는 점에서 문제를 야기한다. 유기적 시장의 구조 자체가 기업들로 하여금 개개인들의 취향이나 생활양식을 구획하고 구분함으로써 소비시장을 특정하기 위하여 끊임없이 소비자들을 감시하고 정보를 수집하도록 유도하는, 일종의 감시체제를 형성하게 만들기 때문이다. R. Whitaker가 “분산된, 그러나 동의에 의한 판옵티콘(decedntered, consensual panopticon)”이라고 명명한 다차원적 감시구조는 소비자들에 대한 정보를 끊임없이 수집하고 분석하며, 그것을 다시 하나의 상품으로 가공하여 유통하는, 그럼으로써 생활세계가 다시 경제에 의하여 종속되고 또 가공되는 포디즘적 역기능이 야기되고 있는 것이다. 뿐만 아니라, 정보통신서비스나 콘텐츠 자체가 상품화되고 이것이 다시 거대기업이나 초국가기업에 의하여 독점적으로 유통되면서 개인의 자아실현을 위한 공간으로 구축될 수도 있는 사이버공간 자체가 경제권력에 의하여 왜곡되는 현상 또한 무시할 수 없다.

R. Whitaker, The End of Privacy(Melbourne: Scribe Publications, 2000), p.137은 그 구획과 구분의 결과로서 일부의 사람은 국가가 아니라 바로 시민사회(여기서는 경제를 의미한다)에 의하여 완전한 시민권을 부여받지 못하게 되는 상태가 야기될 수도 있다고 한다.

ibid., p.139

특히 신자유주의가 하나의 추세로서 국가영역을 압박하게 되자, 국가는 자신이 장악하고 있던 정보화의 기반시설이나 그 운영을 민영화하는 정책을 취하면서 정보통신서비스에 대한 종래의 국가독점의 정책들을 서서히 포기하고 있는 국면은 이러한 추세를 더욱 강화하기도 하다. 이미 자유주의적 시장정책에 길들여져 있는 미국의 경우는 두 말 할 것도 없고, 벤처산업의 육성이라는 명목으로 정보통신서비스산업의 대부분을 민간부문에 일임하고 있는 우리나라의 경우에도 한국통신 등 이동통신산업이나 전화통신산업들을 하나 둘씩 민영화하고 있다. 뿐만 아니라, 종래 국가중심으로 이루어져 왔던 경제운용체제가 국가규제완화 내지 철폐라는 이름으로 자율적 시장중심의 경제체제로 변화해가고 있다. 이러한 추세는 정보통신서비스산업이 고도의 기술집약적인 것이며, 따라서 시장을 통하여 확보될 수 있는 전문성과 창의성이 그 산업의 성패를 좌우할 만큼 중요한 요소로 등장하고 있다는 인식을 바탕으로 한다. 또한 그것은 정보화의 진행에 따른 시장의 유동성으로 인하여 생산기술과 수요에 관한 정보 자체가 기술의 본질적 요소이며, 보기 나름으로는 이 정보가 기술을 조직하고 종적, 횡적으로 구조화시킨다고 하는 산업합리화의 요청-유연전문화의 논의는 이의 대표적인 예이다-도 작용한다.

기업활동에 관한 행정규제를 완화함으로써 원활한 기업활동을 도모하고 국민경제의 건전한 발전에 기여함을 목적으로 제정·공포된 기업활동규제완화에관한특별조치법(1995.4.10 제정, 1997.4.10 공포, 법률제05328호)은 이의 대표적인 예로서, 창업 및 공장설립, 의무고용, 수출입, 검사, 진입제한 등에 관한 규제의 완화를 규정하고 이를 집행하기 위한 기업활동규제심의위원회를 두고 있다.

여기서 정보사회의 딜렘마가 나타난다. 국가의 민영화, 규제완화를 통한 시장의 자유화조치는 시장에 의한 시민사회의 지배로 이어지며, 역으로 국가개입의 강화는 시장의 유연성을 저해함으로써 소비자의 요구에 반응하는 시장을 형성하지 못하도록 한다. 또는 국가가 시민사회의 자유를 강화하는 방향으로 나아가면 시장은 이에 편승하여 정보나 콘텐츠의 상업화를 도모하며, 역으로 그 시민사회에 대한 통제를 강화하면 정보시장에 대한 수요를 위축시키는 결과를 야기한다. 관점을 바꾸어 시민사회의 측면에서도 마찬가지이다. 시민사회가 국가에 대하여 그 자유를 소리높여 주장하면 이 과정에서 상업화된 정보상품이 시민사회를 지배하게 된다. 역으로 시민사회가 국가에 대하여 정보상품의 통제를 요청하면 그것은 다시 콘텐츠(그것이 상품이건 아니면 개개인의 비영리적 자기표현이건 관계없이)에 대한 국가의 지배현상을 야기하게 된다. 한편으로는, 국가는 그 감시의 체계를 강화하기 위하여 경제영역에서 확보한 정보에 대한 끝없는 수요를 느끼고 상호 협력하는 구조를 형성하고자 한다. 기업들은 이에 편승하여 자신의 감시체제를 정당화하는 한편 그 침투성을 끝없이 강화한다.

참여연대에서 지적한 예는 다음과 같다.

○ 삼성생명 개인신용정보 불법유출에 대한 고발 및 손해배상소송

○ KTF의 고객 개인정보 무단 이용을 통한 매직엔 부가서비스 부당가입 행위 고발 및 손해배상소송

○ KT의 고객 개인정보 무단 이용을 통한 정액요금제 서비스 부당가입 행위 고발

2.3. 작업장감시 - 인간성의 회복을 향하여

벤담이 창안하고, 조지 오웰의 소설 ｢1984년｣에서 가상적인 형태로나마 실천되었고, 푸코가 그토록 경계하였던 판옵티콘-원형감옥은 더 이상 국가의 전유물이 아니다. 밀레니움의 전환기를 거치면서 급속도로 발전하는 기술은 항시적, 전방위적, 그리고 편재적 감시체제를 국가의 손으로부터 약간의 비용부담의 의지가 있기만 하다면 그 어떤 자의 손에도 쥐어줄 수 있도록 하였다. 전사회적인 수준으로 감시‘권력’이 확산되는 현상을 초래하고 있는 것이다. 그래서 R. Whitaker가 말하는 ｢감시국가에서부터 감시사회로｣의 전이가 의미를 가지게 된다. 그는 감시사회를 말하면서 주로 기업에 의한 소비자 감시 즉, 고객서비스라는 이름으로 주어지는 각종의 혜택을 미끼로 소비자정보를 수집하고 이를 바탕으로 혜택을 받을 자를 선별하면서 위험인물이나 (소비자로서의) 자격미달자를 배제시키는 데이터감시를 중심을 설명한다. 그가 말하는 참여적 판옵티콘(participatory panopticon)-피감시자의 자발적 혹은 추정적 동의에 의한 감시체제-는 이를 지칭하면서, 기업이 이윤추구의 목적을 위하여 일종의 마케팅전략의 일환으로 전방위적 감시의 망을 구축하는 가운데, 사람들은 시민(citizen)이 아니라 소비자(consumer)로 전락하게 됨을 비판하고 있다.

이에 관하여는 R. Whitaker, The End of Privacy(Melbourne: Scribe Publications, 2000) 참조.

하지만, 작업장 감시의 체제는 보편적 의미에서의 감시사회와는 그 성격을 달리 한다. 감시사회의 주요현상으로서의 참여적 판옵티콘이 최소한 외관상으로도 쌍방향적 형태를 띠고 있음에 비하여 작업장 감시의 경우는 국가감시와 마찬가지로 일방향성을 띠고 있기 때문이다. 즉, 전자처럼 유혹과 동의의 형식을 띠면서 소비자들이 자발적으로 감시에 응하는 한편 그로부터 일정한 혜택을 수령하는 구조가 아니라, ｢고용계약｣에 의하여 일정한 지위를 획득한 자-노동자-에 대하여 감시자-관리자, 사용자-가 일방적으로 그 행동이나 성과, 성품등을 감시하고 이에 대하여 노동자는 복종해야 되는, 바로 이 점에서 국가감시의 틀과 조금도 다를 것이 없는 구조를 띤다. 바로 이 점에서 작업장 감시는 국가감시의 적자인 셈이다.

그러나 문제는 여기에서 나온다. 그 감시의 구조와 효과는 국가감시와 거의 동일함에도 불구하고 그 감시의 관계가 설정되는 계기와 영역에 있어서는 전통적으로 별개의 개념화작업을 통하여 논의되고 있다. 국가감시의 경우에는 소위 ｢공적 영역｣이라는 관념 속에서 국가권력으로부터의 자유라고 하는 고래의 인권관념과 더불어 정치과정·통치과정의 민주화의 요청이 적용되고 있는 반면, 작업장 감시의 경우에는 첫째, 감시의 전제가 되는 고용계약 자체가 ｢사적 영역｣으로 획정되면서 그것이 쌍방간의 합의에 의하여 형성되는 것으로 간주되고 있다는 점에서, 그리고 둘째, 재산권의 비인격화현상과 대응하여 노동자의 인권 또한 하나의 상품 내지는 재산권으로서 이전의 대상이 되는 동시에 그에 대한 지배권이 사용자에게 이전되는 형식으로 개념화되고 있다는 점에서 문제가 발생하게 된다. 국민국가와 국민의 관계에서 통상적으로 실시되는 감시는 그 자체 권력성이 인정되면서 ｢공법적｣ 규제의 대상이 되는 반면, 사용자의 노동자에 대한 감시는 고용관계 내지는 임노동관계에 선행하는 고용계약과 그 전제로서의 사적 재산의 절대라는 관념에 의거하여 ｢사법적｣ 규율의 대상에 머무를 뿐, 그로 인하여 발생하는 노동자의 프라이버시의 권리에 대한 제한 내지는 프라이버시의 물화·상품화현상에 대하여는 전혀 속수무책인 것이다.

다만 이 글의 분석대상이 개인의 일신과 독립되어 처리되는 ‘정보’의 문제를 중심으로 하는 것인 만큼 작업장감시의 문제는 별도로 논하지는 않는다.

3. 개인정보보호제도의 현황과 문제점

3.1. 현재의 제도

우리나라에서의 개인정보보호체계는 원칙적으로 공공/민간부분의 이원적 구획 아래, 공공부문에 대하여는 행정자치부를 중심으로 하는 형식적 통제를, 그리고 민간부분에 대하여는 정보통신부의 시정명령권을 중심으로 하는 국가감독의 체제를 확보하고 있다. 이를 잘 보여주는 아래의 그림과 표들은, 한국정보보호진흥원의 ｢2003 개인정보보호백서｣과, 정부혁신위원회안에서 인용한 것이다.

먼저 위의 그림은 우리나라에서의 개인정보관련 법제의 구조를 도해한 것으로 공공/민간부분의 이원적 개인정보법제의 현황을 잘 보여준다. 여기서 우리나라의 경우 ｢공공기관의개인정보보호에관한법률｣과 ｢정보통신망이용촉진및정보보호등에관한법률｣은 공공/민간부분의 각각에 대한 기본법으로서의 지위를 가지고 있으며, 기타 각 세부영역별로 그에 특유한 법제를 구성하고 있음을 알 수 있다. 다만 특별법에 해당하는 각 법령들은 거의 대부분 개인정보보호를 위한 것이라기 보다는 관련 부문에서 필요한 개인정보를 수집·처리·관리함에 필요한 수권적 조항들을 제시하고 있다고 보는 것이 보다 정확할 것이다.

<공공부문 개인정보보호기구 현황>

기관명	근거법률	관할범위	주요 기능
개인정보보호심의위원회	공공기관의개인정보보호에관한법률	공공기관이 보유하는 개인정보	- 정책 및 제도개선 사항 심의 - 공공기관간 의견조정 사항 심의 - 법령 등의 정비, 개선 사항 심의
행정자치부	"	"	- 개인정보파일 보유 공공기관 접수․공고 - 의견제시 및 권고
국민고충처리위원회	민원사무처리에 관한법률	행정기관관련 민원사무 일반	- 민원사항 안내 및 상담 - 고충민원의 조사․처리 - 위법․부당한 처분 등에 대한 시정조치 의 권고 - 행정 제도 및 운영의 개선에 대한 권고 또는 의견표명
인권위원회	국가인권위원회법	인권침해 일반	- 법령․제도․정책․관행의 조사 ․연구 - 개선권고 및 의견표명 - 침해구제 - 지침의 제시 및 권고

공공부문의 경우 중앙행정기관, 지방자치단체, 각급 학교 및 투자기관 등 4,373개의 기관이 8,421개에 달하는 개인정보파일을 보유하고 있다. 이에 대하여 개인정보보호심의위원회는 국무총리 소속으로 개인정보보호와 관련한 정책 및 제도의 개선, 공공기관간의 개인정보에 관한 이견의 조정 등에 관한 심의권을 가지며, 행정자치부는 정보화총괄담당관실을 중심으로 개인정보파일을 보유하고 있는 공공기관으로부터 그 파일의 존재 및 내용에 관한 자료를 수집하고 이를 공고하는 업무를 수행한다. 그 외 국민고충처리위원회나 인권위원회 혹은 개인정보에 관한 처분에 대한 불복의 수단으로서의 행정심판 내지 행정소송을 담당하는 행정심판위원회나 행정법원은 주로 사후적 측면에서의 개인정보 구제의 역을 담당하고 있다.

<민간부문 개인정보보호기구 현황>

기관명	근거법률	관할범위	주요 기능
개인정보분쟁 조정위원회	정보통신망이용촉진및정보보호등에관한법률	개인정보침해 일반	- 분쟁조정 신청․접수 - 사실조사 및 청문 - 합의권고 - 분쟁조정 - 위법사실통보 등
개인정보침해 신고센터	상동	- 정보통신서비스 -호텔,항공사,학원 등	- 상담 및 고충처리 - 교육․홍보 - 기술적 자문 등
정보통신부	상동		- 법률 제․개정 및 기준제정 - 시정 권고 및 명령 - 과태료부과 등
금감위․금융감독원	신용정보의이용및보호에관한법률	금융거래	- 상담 및 피해구제 - 시정 권고 및 명령 - 기준제정 등
전자거래분쟁 조정위원회	전자거래기본법	전자거래	- 상담 및 피해구제
소비자보호원	소비자보호법	소비자거래	- 상담 및 피해구제
소비자단체	상동	소비자거래	- 상담 및 합의권고

민간부분에서의 개인정보보호 시스템은 위의 표에서 잘 정리되고 있다. 가장 중심적인 보호기관은 개인정보분쟁조정위원회 및 개인정보침해신고센터로서 전자의 경우에는 개인정보와 관련한 분쟁의 조정역에 집중되어 있으며, 후자의 경우에는 정보통신부장관의 시정권고·명령권을 배경으로 개인정보침해에 대한 각종의 상담 및 민원사항의 사실상의 처리를 주된 업무로 삼고 있다.

아래의 표는 개인정보침해신고센터에 접수된 2003년 한 해 동안의 사건통계이다.

침해유형	상담·신고접수(건)
이용자의 동의 없는 개인정보 수집	260
개인정보 수집시 고지 또는 명시의무 불이행	10
과도한 개인정보 수집	38
고지·명시한 범위를 넘어선 이용 또는 제3자 제공	337
개인정보 취급자에 의한 훼손·침해 또는 누설	172
개인정보 처리위탁시 고지의무 불이행	8
영업의 양수 등의 통지의무 불이행	9
개인정보 관리 책임자 미지정	88
기술적·관리적 조치 미비로 인한 개인정보 누출 등	82
수집 또는 제공받은 목적 달성후 개인정보 미파기	122
동의철회·열람 또는 정정요구 불응	795
동의철회·열람·정정을 수집보다 쉽게 해야 할 조치 미이행	229
법정대리인의 동의없는 아동의 개인정보수집	1,195
타인정보의 훼손·침해·도용	8,058
기타	6,374
계	17,777

3.2. 문제점

엄밀히 보아 우리나라와 같이 공사법의 이원주의가 여전히 통용되고 있는 체제에서 공공부문과 민간부문을 분리하여 개인정보보호체계를 달리하고 있음은 그 자체로서 정책적 선택의 문제이지 어떠한 학술이론적 타당성의 문제는 아니다. 특히 2002년 11월 1일자로 공공부문에서 전자정부(egov.go.kr)가 개통되고 이 과정에서 부단한 DB의 연계가 요청되는 경우와, 시장적 경쟁으로 인한 영업기밀의 요청에 의하여 기업별로 분산되는 DB의 경우는 서로 상이한 규율의 대상이 되기에 족하다. 하지만, 그럼에도 불구하고 다음과 같은 이유에서 현재의 개인정보보호시스템은 상당히 치명적인 문제점을 안고 있다.

첫째, 개인정보의 문제는 개인정보가 야기하는 효율성(행정효율성 혹은 경영·경제효율성)과 자기정보통제권의 충돌문제로 나타난다. 그러나 그럼에도 불구하고 이러한 충돌을 권위적으로 혹은 효율적으로 처리하고 해결할 수 있는 ‘심판’기관이 존재하지 않는다. 공공부문의 경우 개인정보보호심의위원회는 그 명칭처럼 정책대안에 대한 심의기능에 국한될 뿐, 구체적인 정보분쟁상황에 대하여는 속수무책일 뿐 아니라, 그나마의 권한조차도 실질적으로 행사함에 족한 인적·물적 시설을 갖추지도 못하고 있다.

이에 가장 중심적인 지위에 있는 행정자치부의 경우는 그 자신이 집행기관으로서 가장 거대한 DB(주민등록DB 등)를 보유·관리하고 있는 당사자적 지위를 가진다는 점에서 이러한 역할을 수행할 수 없는 구조를 가지고 있다. 민간부문 역시 개인정보분쟁조정위원회와 같은 기구가 비사법적 방식으로 개인정보에 관한 분쟁을 처리하고 있고, 정보통신부는 개인정보보호에 대한 일반적 감독기관으로서의 권한을 행사하고는 있어 나름의 구조는 갖추고 있는 셈이다. 하지만, 전자는 당사자주의에 입각하여 당사자간 합의를 전제로 한다는 점에서 포괄적인 감시기능을 바탕으로 적극적이고 능동적인 개인정보보호기구로서 기능할 수 있는 능력을 결여하고 있으며, 후자의 경우 그 감독의 기능에도 불구하고 산업기술관련부처로서의 성격상 개인정보의 권리를 보호하는 측면보다는 그 정보의 생산성과 효율성에 비중을 많이 두는 기능상의 한계를 보이고 있다.

한마디로 우리나라의 개인정보보호체제는 EU지침(Directive 96/45/EC)이 말하는 바와 같은 개인정보보호기구의 감시기능의 확보 및 그 독립성 보장이라는 점에서는 상당히 후진적인 실정이다.

둘째, 공공/민간의 이분법을 바탕으로 개인정보보호기구들이 구성되었다는 점에서 연유하는 것이기도 하겠지만, 개인정보보호의 시스템이 절차와 과정 중심이 아니라 개인정보가 이용되는 영역 및 그 개인정보의 내용을 중심으로 구성됨으로써 정보기술의 변화에 탄력적이지 못할 뿐 아니라, 경직된 예외조항이 대거 허용되는 등 정보보호의 흠결이 나타나게 되는 경우가 적지 않다. 예컨대, 국가안보와 관련된 개인정보의 경우 개인정보보호의 통제시스템에서 벗어나 있게 되는데, 바로 그 예외적 허용이 실체에만 한정되는 것이 아니라, 누가 어떻게 어디서 그 정보를 처리하는가의 절차적 문제나 과정적 문제까지도 이 예외에 휩쓸려 ‘덤’으로 통제권 밖에 놓이게 된다. 그리고 이 과정에서 ‘안보의 이름으로’ 개인정보 남·오용의 사례가 발생하게 되는 것이다.

셋째, 앞서의 문제점과 중복되는 것으로, 정보내용에만 중점을 두고 있다 보니, 최근 활발히 진행되고 있는 DB의 통합·연동이나 연계 등을 규율할 수 있는 가능성이 희박하게 된다. 즉, 구체적인 DB의 보유자, 처리·관리자에 대하여는 통제와 규율이 가능할지라도 두 개 이상의 DB가 연결되는 그 지점에 대한 통제의 문제는 법규율의 관심밖에 놓여 있는 것이다.

넷째, 예의 공공/민간의 이분법적 접근은 엄밀히 보자면 공법/사법의 이분론에 입각한 것이라기 보다는 행정자치부/정보통신부의 기관영역의 문제에서 비롯되었다는 느낌이 강하다. 실제 개인정보보호라는 측면에서 본다면 그 보호원칙이나 분쟁처리의 기준이 이미 통일되어 있으며 정보주체의 입장에서도 그 침해자가 누구인가 보다는 어떠한 정보기본권이 침해되었으며 그 구제의 방법 및 결과가 어떠한 것이 중요하게 취급되어야 한다는 점에서 보면 이렇게 양분법적 접근의 방식은 그리 적절하지 않다. 문제는 이런 양분법을 통해 개인정보보호가 효율적으로 이루어질 수 있다면 별론이되, 현재와 같이 그 어느 쪽도 효율적 보호수단을 제시하지 못하고 있을 뿐 아니라 지나친 영역구획으로 인하여 오히려 보호대상을 한정하는 결과만을 야기하는 상황에서 이렇게 분리하여 혼란만 야기할 필요는 없다 할 것이다.

4. 정보감시에 대한 대안들

4.1. 다시 민주주의로: 시민적 대항감시의 방향

정보화기술(Information Technology)의 급격한 발전과 그 보급의 광역화로 인하여 이 발전의 혜택을 정치사회 내지는 사회적 의사결정의 영역에까지 확장하고자 하는 시도들이 등장하고 있다. 전자정부나 전자민주주의(e-Democracy) 또는 원격민주주의(teledemocracy)의 모색은 바로 이러한 시도의 첨예한 본보기이다. 하지만, 바로 그 정보화기술에서 야기되는 국가감시라고 하는 새로운 헌법적 문제에 대응하여, 국가감시에 대한 대항감시의 메카니즘을 구축하고자 하는 방향성에 대한 논의는 한정되었다. 특히 법의 영역에서는 그것이 기술에 해당하는 일종의 사실상의 문제로서 법적 관심의 대상이 될 수도 없고 또 경직된 법이 관여하기에는 그 성격상 바람직하지도 않다는 논의가 대세를 이루어왔다.

하지만, 정보화사회에서 법이 관여할 수 있는 것은 그 실체의 문제보다는 오히려 정보기술과 사회, 국가를 연결지우고 체계화하는 일련의 구조형성(architecturing)의 부분이다. 이 정보기술이 어떠한 과정과 절차에 의하여, 어떠한 목적으로 이용될 수 있으며, 그에 관하여는 어떠한 법적 관계들이 구축될 수 있을 것인가가 주된 관심이라는 것이다. 감시에 관한 법적 대응의 문제 역시 마찬가지의 맥락에서 거론될 수 있다. 감시기술의 통제, 또는 감시방법의 규율과 같은 실체문제보다는 오히려 감시와 관련한 정책의 결정과정, 감시결과의 활용을 위한 일련의 절차, 감시결과에 대한 법적 효과의 부여, 그리고 이 모든 것에 대한 공개와 국민적 참여의 가능성 등, 감시에 대한 시민들의 대항감시의 가능성을 열어 두어야 한다는 점이 중요하다는 것이다.

이러한 분석틀에 관하여는 L. Lessig, Code: and Other Laws of Cyberspace(New York:Basic Books, 1999), pp.5f. 참조.

오늘날의 감시의 핵심은 다양한 데이터베이스와 감시장치들이 서로 결합되면서 가상적 인간을 구축하게 만든다는 점에 있다. 문제는 이들 데이터베이스 하나하나 또는 감시장치 하나하나에서 연유하는 권력현상이 아니라, 이 미시적 권력들이 네트워크를 따라서 하나의 중앙에 집중됨으로써 보다 커다란 권력을 만들어낸다는 점에 있다. 바로 이 점에서 대항감시의 존재요청을 발견할 수 있다.

분산된 판옵티콘적 권력은 국가를 분권화시킨다. 네트워크화된 세계는 권력이 네트워크화되어 있고 중심적인 네트워크 교차점에 위치하고 있는 노드들에 분산되어 있는 세계이다. (……) 정치권력은, 다수의 네트워크가 만나는 중심적인 교차점에서 형성되는 다수의 노드를 따라 확산되어 있다.

Whittaker, op.cit.

즉, 구체적인 데이터베이스의 구축이나 관리, 활용에 대한 시민들의 감시나 행정절차적 통제도 필요하지만, 그 무엇보다도 중요한 것은 이러한 데이터베이스간의 정보나 자료의 이동이다. 앞서 ｢정보관리, 평가, 정책결정기관의 분산과 분립｣과 ｢정보처리과정의 공개｣의 항목에서 간단히 설명한 바 있지만, 각 데이터베이스들이 서로 만나는 점 또는 네트워크가 교차하는 점 - 노드를 어떻게 장악하는가가 곧 정보사회에서의 권력을 결정하는 계기를 이룬다. 국가부문에 있어서의 주민등록데이터베이스와 건강보험데이터베이스, 그리고 민간부문에 있어서의 신용정보데이터베이스가 결합될 때-보건복지부가 추진하고 있는 전자건강보험증 구상은 바로 이러한 결합을 지향한다- 국가는 국민 개개인에 대한 완벽한 프로파일을 구축할 수 있게 된다. 도로상의 교통감시카메라가 신용정보테이터베이스와 결합되면, 개개의 차량소유자들이 주말을 어디서 어떻게 보내었는지 파악된다. 위성항법장치(Global Positioning System: GPS)와 자동차등록데이터베이스의 결합만으로도 우리는 어떠한 사람이 지금 현재 어디에 있는지 알 수 있는 시대에 살고 있는 것이다.

하지만, 이에 관한 우리 법제상의 유일한 입법이라 할 공공기관의개인정보보호에관한법률에서는 명확하게 규정하고 있는 바는 없다. 이 법률에서는 단순히 개인정보의 제공·이용이라는 용어로서 단순처리하고 있을 뿐, 기관 상호간, 또는 데이터베이스 상호간의 자료이동이나 교차분석, 결합데이터베이스의 구축 등의 사항에 관하여는 명목뿐인 법률사항으로 규정하고 있고(“다른 법률에 의하여 보유기관의 내부에서 이용하거나 보유기관외의 자에게 제공하는 경우”라고 하고 있다) 그나마 당해 법률들도 구체적인 내용은 대통령령으로 위임하고 있어 최소한의 법적 통제가능성마저도 포기하고 있는 실정이다. 물론 이에 대하여는 정보기술의 급격한 발전에 따른 사실관계의 유동성과 행정목적 및 그 실현수단의 탄력성·유연성을 고려할 때 그 실체적 내용까지 엄격하고도 경직된 법률규정으로 묶어둘 수는 없다는 입법기술상의 한계는 분명히 존재한다. 그러나 그렇다고 해서 그러한 연계나 정보교환의 절차 및 이에 대한 감시·통제의 과정까지도 입법기술상의 한계에 봉착하는 것은 아니다. 즉, 다음과 같은 사항들은 얼마든지 입법가능하며 또 개인정보보호 및 국가작용의 통제라는 점에서 요청되는 바이기도 하다.

첫째, 하나의 단위 데이터베이스를 중심으로 정보처리를 하는 경우에;

① 데이터베이스 단위의 목적이나 정보항목, 연관되는 행정업무에 관한 사항을 명기하고,

② 데이터베이스가 복수 또는 계층적으로 이루어져 있을 때에는 그 구조 및 각 데이터베이스 단위의 정보처리방식(예컨대: 알고리즘)과

③ 그 처리결과가 활용되는 업무의 구체적 내역(예컨대 주민등록증발급신청당시 제공하는 십지문은 어디에 제공되어 어떠한 목적으로 어떠한 부서에서 어떠한 방식으로 어떠한 사항의 확인을 위하여 이용된다),

④ 그 데이터베이스의 관리의 책임자 등에 관한 정보는 공개될 수 있어야 한다.

⑤ 아울러, 그리고 데이터베이스의 입출력 기록은 일정기간 보존하고 필요한 경우 공개할 수 있도록 하는 의무규정 역시 필요하다.

둘째, 이와 함께, 데이터베이스의 연계, 병합-또는 다른 기관이 보유하고 있는 개인정보의 이용의 경우에는 보다 강력한 통제 및 감시의 절차가 마련되어야 한다.

동법 시행령 제11조에 의하면 제1항에서 “처리정보를 제공받고자 하는 기관은 이용목적 및 이용하고자 하는 처리정보의 범위를 명시하여 보유기관의 장에게 문서로 요청하여야 한다”고 하고, 제2항에서는 개인정보를 보유하고 있는 기관의 장이 제1항의 규정에 의하여 처리정보를 제공하는 경우에 1. 개인정보화일의 명칭. 2. 제공받는 기관의 명칭, 3. 이용목적, 4. 법령상 제공근거, 5. 제공하는 처리정보의 항목, 6. 제공의 주기, 7. 제공의 형태, 8. 이용기간, 9. 사용목적등 이용제한조건 등의 사항을 처리정보제공대장에 기록·관리할 것을 명기하고 있다. 하지만 이러한 규정만으로는 nod상에 집결되는 권력의 문제를 해결하기에는 역부족이다. 그래서 다음과 같은 사항에 관한 법률적 통제가 요청된다:

① 개인통보제도: 통상적·일상적 업무처리의 경우가 아닌 한 특정한 개인에 관한 정보의 이전이 있는 경우에는 반드시 당해 개인에 통보함으로써 그 개인이 자신의 정보가 어떻게 이용되고 있는지 알 수 있도록 하여야 한다(그 이용이 법률에 의한 경우라도 마찬가지다). 혹은 통보가 불가능한 경우에는 공시절차를 거치도록 한다.

② 업무협의기록의 비치: 보유기관과 이용기관간에 당해 정보항목의 구체적 이용목적, 처리방법, 처리결과에 대한 예상 및 그에 수반되는 효과, 개인정보보호에 관한 조치, 목적달성이후의 정보항목의 처리방법 등에 관하여 구체적으로 협의하고 그 협의내용을 기록, 비치하도록 한다.

③ 정보처리실명제: 보유기관에서 요청받은 정보항목을 가공한 자 및 이용기관에서 그 정보를 처리하는 자의 실명을 밝히고 이를 처리정보제공대장에 명기하도록 한다.

④ 이의제기절차의 확보: 개인정보통제·관리권의 보호라는 맥락에서 이전되는 개인정보의 주체가 그 정보이전에 대하여 이의가 있는 때에는 신속하고도 공정한 심판을 받을 수 있는 기회를 마련하여야 한다.

⑤ 연계에 관한 사항: 데이터베이스를 서로 연계하거나 또는 데이터베이스와 여타의 감시 혹은 자동정보수집장기가 연계되어 있을 때에는 그 사실 및 목적, 데이터베이스의 구조, 데이터의 처리방법 및 연관되는 행정업무의 구체적 내용을 기록·보관하고 또 공개하도록 한다.

⑥ 종합관리시스템의 구축: 효율적인 개인정보보호시스템을 확보할 수 있는 감독기구를 확보, 데이터의 기관간이용에 관한 기본준칙 및 데이터베이스의 구축 및 구성, 연계, 활용 등에 관한 일반 원칙 및 준칙을 확립하는 한편, 구체적인 정보이전/이용에 대하여 감시와 통제의 기능을 수행하도록 한다. 이때, 이 위원회는 보유기관 및 이용기관간의 분쟁이나, 정보이전에 대한 정보주체의 이의제기에 대하여 심판하고, 구체적인 데이터베이스의 구축 및 연계 등에 관한 사전심의 및 그에 관한 의견제시의 권한을 가지는 것으로 하는 것이 바람직하다. 물론 그 위원회의 구성은 시민사회에 가시적이고 책임성있는 형태로 이루어져야 한다.

이러한 대안들은 물론 감시국가의 초권력을 통제하기 위한 가장 기초적이고 부분적인 것에 불과하다. 하지만, 이러한 장치들이 하나씩 마련될 때, 그리고 그것에 대한 시민적 관심과 능동적 대항감시가 이루어질 때, 감시국가의 폐해는 어느 정도 통제될 수 있는 여지가 생겨날 것이다. 즉, 정보권력의 집약지라 할 수 있는 nod의 통제권에 대하여 시민사회가 나름의 개입가능성을 발견해 낼 수 있을 것이라 보는 것이다.

4.2. 감독기구와 관련한 현재의 논점들

이러한 맥락에서 현재 정부혁신지방분권위원회의 개인정보보호정책포럼이라든가 민주노동당 등에서 개인정보보호제도에 관한 일련의 개선방안들을 법안의 형태로까지 제기하고 있음은 의미심장한 일이다. 물론 이 안들은 대부분 그리 무르익은 수준은 아니어서 향후 적지 않은 토론과 교정의 과정을 거쳐야 하겠지만 그럼에도 앞으로 우리나라의 개인정보보호법제가 나아가야 할 방향을 제시한다는 점에서는 상당한 의미를 가지고 있는 것들이다. 이하에서는 이를 중심으로 그 정책방향과 이에 대한 반론 등을 정리하면서 나름의 실천방안들을 제시해 보기로 한다.

가) 통합 v. 분산

주지하듯, 우리나라의 개인정보보호기관은 행정자치부를 중심으로 하는 공공부문과 정보통신부를 중심으로 하는 민간부문으로 이원화되어 있다. 하지만 문제는 이러한 구획이 어떠한 이론적 틀이나 공/사법 이원론적 사항강제에 의하여 이루어졌다기 보다는 행정일반에 대한 규율권을 가지는 행정자치부가 공적 부문에서의 개인정보침해사례를 처리하기 위하여 공공기관의개인정보보호에관한법률을 제정, 그 주관기관으로 자리잡고, 한편으로는 민간부문의 정보화/정보산업화의 권한을 가지고 있던 정보통신부가 민간부문에서 발생하는 개인정보침해사례를 처리하는 과정에서 정보통신망이용촉진및정보보호등에관한법률을 제정, 그 주관기관으로 등장하게 된 것이라고 보는 것이 보다 타당한 분석일 것이다.

그러다 보니, 개인정보보호를 위한 일관된 법원칙이나 집행과정상의 틀이 구축되지 못하고 그때 그때의 수행성에 의하여 개인정보보호행정이 이루어지는 파행성을 보이게 된다. 예컨대, 공공부문의 경우 ‘공익목적’이라는 요청이, 그리고 민간부문의 경우 시장의 자율성과 경제성이라는 요청이 종국적인 목적이 되고 개인정보보호의 문제는 그 수단 내지는 그에 대한 필요악 정도의 종속적인 지위로 전락하게 되는 양상을 보이기도 하는 것이다. 개인정보보호제도를 통합한 체제로 재구성하자는 논의는 바로 이런 맥락에서 타당성을 가지게 된다.

실제 정부혁신위나 민주노동당의 안에서는 개인정보보호기관의 통합을 제시하고 있다. 양자는 개인정보보호의 문제를 현재와 같이 기관 혹은 DB를 중심으로 구성하지 않고 정보주체의 권리를 중심으로 이해하고자 한다는 점에서 커다란 의의를 가진다. 즉, “정보주체는 자신에 관한 정보가 누구에 의해 어떤 목적으로 어떻게 이용되는지를 명확하게 인식하고 그러한 정보처리의 과정에 함께 참여할 수 있어야 한다는 요청”을 개인정보보호의 기본적 틀로 삼고 이 점에서 공공/민간의 구분은 무의미해 질 수 있다는 인식을 제시한다. 그래서 “개인정보 보호의 실효성을 확보하기 위해 영역별 보호에서, 포괄주의 지향”하는 것이다.

하지만 이 경우에도 분리론자들이 주장하듯, 몇 가지의 문제는 여전히 해결되지 않고 있다. 첫째, 양자를 규율하는 법리의 차이에서 도출되는 문제로서, 이 통합기구의 권한행사를 규율하는 통일된 법원칙을 확보하기 어렵다는 난점이 제시된다. 획일성·일방성을 바탕으로 하는 공익목적의 공공부문과 자율성·쌍방성을 기초로 하는 민간부문의 개인정보처리과정을 이 통합기구가 일반적·통일적으로 규율하기 위해서는 나름의 확고한 규율원칙이 법규의 형식으로 정립되어 있을 필요가 있는데, 이를 확보할 수 있는 실체법적 틀이 아직은 구축되어 있지 못하다는 것이 가장 큰 문제로 제기되는 것이다. 둘·째, 이 통합기구가 그때그때 개별·구체적으로는 개인정보의 수집·처리·이용·관리의 과정은 규제할 수 있을 것이다. 하지만, 그 권한행사의 실효성을 담보하기 이해서는 나름의 제재수단을 확보할 수 있어야 할 것인데, 민간부문의 경우 시정명령권이 유효할 수 있지만 공공부문의 경우 행정조직법상 그러한 명령권의 행사가 불가능하다는 데에 또다른 문제가 발생한다. 어떠한 공공기관이 자신의 조직목적을 위해 개인정보를 오용 혹은 남용하는 경우에 이 통합기구가 그것을 유효적절하게 규제할 수 있는 방법이 그리 마땅하지 않다는 것이 문제인 것이다.

나) 독립기구 - 그 지위와 구성

바로 이 점 때문에 이 통합기구의 독립성과 그 정부조직상의 지위의 문제가 발생하게 된다. 개인정보보호에 관한 EU지침(Directive 95/46/EC) 제28조에서는 개인정보의 감시기구는 완전히 독립적으로(with complete independence) 그 기능을 수행할 수 있어야 할 것을 규정하면서 독립기구의 기능적 독립성을 선언하고 있다. 여기서 이 독립성을 확보하기 위한 조직구성, 임명방식, 예결산의 권한 등의 설계가 필요하다. 이를 구체적으로 보면 다음과 같다.

첫째, 독립성 확보의 수단으로 위의 두 안은 모두 이 기구를 대통령 직속의 합의제의결기관으로 하는 안을 제시하고 있다. 물론 논의과정에서 국가인권위원회식의 소속없는 국가기관방식도 제안되기도 하였으나, 그것은 불필요하게 헌법의 틀밖에 기구를 구성하는 것이 되어서 그리 바람직하지 못하다는 의견이 지배적이었다. 다만, 이 기구를 대통령 직속으로 하는 경우 행정수반으로서의 대통령의 지위를 통하여 공공/민간부분 모두에 대하여 유효한 제재권을 행사할 수 있다는 점에서 장점을 가지기는 하지만, 동시에 행정각부를 통할하는 국무총리의 권한(헌법 제86조 제2항)의 밖에 놓인 예외기관이 된다는 점에서 또다른 문제점을 야기한다.

실제 감독기구의 주된 감시·시정·구제의 대상이 행정각부, 지방자치단체, 공공기관 및 민간부문임을 고려한다면 조정과 통할의 권한을 가지는 국무총리소속기관으로 하는 것이 가장 바람직할 것으로 보인다. 물론 이 경우에도 그 독립성 확보는 필수적이다. 다만, 첨언하고 싶은 것은 이 감독기구에 관한 사무지원을 행정자치부나 정보통신부 그 어느 것에 집중시키는 것은 전혀 바람직하지 않다는 점이다. 사무국을 통한 감독기구의 식민화 가능성은 언제나 존재하기 때문이다. 따라서 사무국의 인적·물적시설은 자체적으로 조달하는 것을 원칙으로 하되 파견·행정원조 등의 방식은 가급적 피하여야 한다.

둘째, 조직에 관하여는 두 안 모두 위원회형태의 합의제기관을 제시한다. 독임제의 의사결정장치는 그 효율성의 장점에도 불구하고 고도의 정보능력과 결합할 경우 1인의 의사결정자의 결정에 대한 비판이나 반론의 제기가 상당한 곤란에 처하게 된다. 따라서 비록 약간의 효율성저하를 초래한다 할지라도 합의제의 장치를 마련함으로써 적어도 내부적인 민주적 의사결정절차를 확보할 필요가 있다. 특히 정보화 그 자체에 관한 의사결정에 있어서는 더욱 그러하다. 정보인프라의 구축이나 정보시설의 설치·관리, 특히 각종의 보안장치에 대한 승인이나 관리는 그것만으로도 국내의 모든 정보에 대한 통제력을 행사할 수 있는 만큼 여타의 권력으로부터 상당한 자율성을 확보하고 내부적으로 실질적인 심의와 상호견제가 가능할 수 있는 위원회체계를 도입하는 것이 바람직하다.

셋째, 그 구성에 관하여는 정부혁신위원회의 경우 9인안(3인은 상임위원)과 5인안를 제시하면서 임기와 신분이 보장된 5인안이 적절할 것으로 조심스러운 의견을 밝히고 있다. 그리고 위원의 임명은 대통령이 전원을 임명하되 국회의 동의를 받도록 하고 있다. 이에 대하여 민주노동당의 경우에는 “국회가 선출하는 5인(상임위원 2인을 포함한다)과 대통령이 지명하는 4인을 대통령이 임명”하는 안을 제시한다. 실제 우리나라의 경우 위원회조직은 거의 대부분 국회·대통령·사법부가 ‘나누어먹기’식의 역할분담을 하고 있어 경우에 따라서는 지나치게 정치적인 인사가 위원이 되거나 혹은 위원의 전문성을 담보하지 못하는 경우가 적지 않았다. 이에 두 안은 모두가 이러한 분담식의 위원지명방식을 포기하고 있는 것이다. 그러나 그렇다고 해도 위원의 임명과정에 국회가 적극적으로 참여하는 것이 바람직할 것으로 보인다. 왜냐하면 개인정보보호의 제도는 정보수집·이용자에 대한 감시·통제의 기능에 집중되어 있는 것이며 이 점에서 정부는 그 자체 감시·통제의 대상이 되어야 하기 때문이다. 따라서 민주노동당안이 보다 나은 것으로 보이되, 내부적인 분업제체 등 업무의 효율성 확보를 위해서는 위원장을 포함하는 상임위원이 최소 3명은 되어야 할 것으로 보인다.

다) 권한의 범위

개인정보보호제도는 주로 보호기구의 감시기능과 시정조치기능, 피해자구제장치의 여하에 그 성패가 달려 있다. 이에 EU의 지침에서도 감독기구의 권한을 조사권, 효과적인 개입권한, 그리고 위반행위에 대한 제재권을 중심으로 규율하고 있다. 하지만, 현재 우리나라의 감독기구는 이러한 권한을 거의 갖지 못하고 있어 그 개선이 절실히 요청되며, 위의 두 안 역시 이러한 권한의 실질적 보장에 틀을 맞추고 있다.

첫째, 조사권에 관하여는 두 안 모두 포괄적이고 전면적인 조사권을 부여하도록 한다. 즉, 피해의 진정·신고에 대응하는 개별적·구체적 조사권한 뿐 아니라, 상시적·예방적으로 이루어지는 일반적·포괄적 조사의 권한 또한 감독기구의 업무영역에 포섭하고 있는 것이다. 특히 민주노동당안의 경우 피해구제와 관련하여서도 인권위원회의 예에 따라 직권조사의 가능성을 열어 두고 있다는 점이 특기할 만한다.

문제는 이러한 조사권의 실효성을 확보함에 필요한 강제권을 부여할 것인가이다. 즉, 공공기관이나 민간에 대하여 자료제출 등의 명령을 한 경우 그것을 이행하지 않을 때 어떠한 제재조치가 가능할 것인가가 문제로 될 것인데, 두 안 모두 이 부분에 대하여는 침묵하고 있다. 실제 이 부분은 우리나라의 각종 위원회가 안고 있는 보편적 문제이기도 하며, 바로 그 제재권한의 결여로 인하여 상당히 많은 위원회권한들이 형해화되고 있는 현실이기도 하다. 이 점을 감안, 정당한 사유없이 감사를 거부하거나 자료제출을 해태한 공무원에 대한 징계요구권을 규정한 감사원법 제32조, 감사를 거부하거나 자료의 제출요구를 거부한 자에 대하여 1년이하 징역·500만원 이하 벌금을 규정한 제51조(벌칙) 등과 같은 규정을 두어 조사권을 실효화 할 수 있는 제재권을 확보하는 것이 타당할 것이다.

둘째, 개인정보DB에 대한 통제권에 관하여는 정부혁신위원회안은 구체적인 제안은 않고 “신고나 등록을 하게 하거나 또는 허가를 받도록 하여” 정도로만 표현하고 있을 뿐이며, 민주노동당안에서만 몇 가지 제시되어 있다. 즉, 개인정보DB를 보유하고자 하는 자는 감독기구에 그것을 등록하도록 하며, DB간의 연동인 일반적을 금지하되, 특별한 경우에는 감독기구에 신고함으로써 가능하도록 한다. 그러나 신고제 정도의 틀만 가지고서는 DB에 대한 실효적 통제가 불가능하다. 왜냐하면 신고제는 형식요건에 대한 심사권만을 전제로 하는 것인 만큼, DB자체의 타당성, 적절성과 같은 실질적 심사는 할 수 없기 때문이다. 따라서 앞서 언급한 일반적·보편적 감시의 권한의 연장선에서 DB의 개설·보유·변경 등은 승인(공공기관의 경우)/인가(민간부문의 경우)의 대상으로 하는 것이 바람직할 것이다.

셋째, 시정명령권은 감독기구에 있어서는 가장 핵심적인 권한이 될 것이다. 하지만, 시정명령권과 그에 대한 공정력(우선적 효력)을 인정하고자 하는 정부혁신위원회 안에 비하여 민주노동당안은 단순한 시정권고의 권한에만 한정(안 제50조)하고 있어 일응의 한계를 보이고 있다. 실제, 시정명령권의 경우에도 감독기구가 자신의 지휘·감독하에 있지 않는 국가기관 등 공공기관에 ‘명령’을 할 수 있는가의 법리적 문제를 안고 있기는 하다. 따라서 이 부분은 공공기관에 대하여는 불응하는 공무원에 대한 징계요구권과 결합한 시정요구권을, 그리고 민간부문에 대하여는 시정명령권을 각각 규정하는 것이 바람직할 것이다.

넷째, 민주노동당안의 경우 법원 및 헌법재판소에 대하여 개인정보보호와 관련한 소송에서 감독기구가 의견을 제출할 수 있도록 하고(안 제52조), 위원장의 국회·국무회의 출석·의견진술권(안 제33조) 등을 보장하고 있다. 그러나 후술하는 개인정보영향평가제도와 중첩될 가능성도 없지는 않지만, 이러한 권한에 더하여 구체적이고 개별적인 입법과정에 대한 능동적인 의견제출권을 인정할 필요가 있다.

라) 개인정보영향평가제도 도입여부

개인정보영향평가제도의 도입에 관하여는 개인정보제도의 개선을 주장하는 측에서는 거의 이론의 여지 없이 찬성하고 있다. 문제는 이러한 영향평가제도가 환경·교통·재해등에관한영향평가법상의 영향평가제도와 마찬가지로 실질적인 효과를 거둠이 없이 형식적, 요식적 절차로 형해화되는 것을 막을 수 있는 장치의 가능성이다. 대체로 두 안 모두 개인정보영향평가의 실시기관은 감독기구로 하고 있지만, 그 구체적인 업무수행은 거의 대부분 위탁의 방식에 의할 것으로 보이는 바 이 수탁자의 공정성, 독립성, 전문성을 확보할 수 있는 방안이 같이 고려되어야 할 것이다. 이에 감독기구는 영향평가의 구체적인 기준 및 평가방법 등에 대한 지침을 확보할 필요가 있으며, 영향평가과정에서의 공청회의 실시 등 개인정보주체의 참여방안 또한 고려되어야 한다. 뿐만 아니라 이 영향평가를 바탕으로 전술한 승인/인가가 이루어질 수 있도록 하는 장치 또한 확보할 필요가 있다.

마) 구제수단으로서의 집단소송·징벌적 보상제도의 도입여부

정보화사회가 도래하면서 개인정보의 침해사례는 점점더 확대되어가는 경향을 보인다. 특히 개인의 자기정보통제에 관한 의식이 높아짐에 따라 개인정보침해가 커다란 사회문제로 등장하기도 한다. 하지만, 그럼에도 불구하고 정보주체 개개인의 경우로 해체하여 본다면 개인정보침해는 그렇게 큰 일이 아닐 수도 있게 된다. ‘동의에 기반한 판옵티콘’의 현상은 차치하고서라도 우리 법원에서조차 개인정보침해에 대한 손해배상을 몇 십만원 수준에서 결정하는 예가 비일비재하다. 환언하자면, 개인정보의 수집·이용자의 입장에서는 그 개인정보를 활용함으로써 얻는 이익은 막대한 반면, 개개의 정보주체가 체감하는 손해는 아주 미미한 상태가 이루어지는 것이다. 그리고 여기서 개인정보침해의 유혹이 더욱 강하게 발생한다.

이러한 딜렘마를 차단하는 방식 중의 하나가 집단소송제와 징벌적 보상제도이다. 전자는 두 안 모두에서 그 도입을 요구하고 있는 제도로서, 개인정보침해는 정형성을 띠고 대량적으로 이루어지는 것이 거의 대부분이라는 점을 감안할 때, 그리고 그 침해의 피해자가 바로 특정될 수 있다는 점을 감안할 때 가장 효율적인 장치라 할 수 있을 것이다. 반면 징벌적 보상제도는 개별적인 피해자도 가해자에게 유효한 징계를 가할 수 있다는 점에서 이런 유형의 침해에는 유효한 제재장치가 되기도 한다. 하지만, 이는 개인정보보호제도의 문제라기보다는 우리나라의 소송제도 전반과 연관을 가지는 것이라는 점에서 개인정보보호제도의 논의과정에서 상당한 한계를 가지게 된다.

바) 개인에 대한 고유식별자

우리나라에서 개인정보보호의 문제를 논의함에 있어 가장 중요하게 고려하여야 할 것은 개인에 부착된 고유식별자의 문제이다. 1962년 5월 주민등록법이 제정된 이래 모든 국민에게 일률적으로 부과되는 주민등록번호는 오늘날 개인정보의 수집·처리·관리 뿐 아니라 각 DB간의 연동에 있어서도 가장 효율적이고도 효과적인 개인식별자로 기능하고 있다. 세계에 유래가 없는 이 제도로 인하여 공공부문 뿐 아니라 민간부문에서도 별다른 비용이 없이도 다른 DB와 자신의 DB를 결합, 처리할 수 있는 가능성이 열려 있는 것이다.

이에 민주노동당안에서는 “누구든지 공공기관이 개인을 고유하게 식별하기 위해 부여한 식별자(이하 ‘고유식별자’)를 수집하거나 이용 또는 제3자에게 제공해서는 안” 되며 “공공기관은 다른 공공기관이 개인에게 부여한 고유식별자를 그 개인에 대한 고유식별자로 부여해선 안된다”고 하여(안 제12조), 그 무분별한 사용 자체를 금지하고 있다. 이 규정은 주민등록번호를 중심으로 그 번호는 오로지 주민등록DB에서만 사용될 수 있도록 하는 한편 다른 용도로서는 전혀 사용될 수 없도록 하기 위한 목적하에 고안된 것으로 보인다. 실제 이런 식으로 주민등록번호제도를 지워버린다면 그동안 구축된 전자정부 시스템의 상당부분이 장애에 처하게 될 것임은 분명하다. 하지만, 그럼에도 불구하고 전자정부 등 DB의 수정에 소요되는 비용보다는 이 주민등록번호에 의한 개인정보침해로부터 발생하는 사회적 비용이 훨씬 더 많을 것으로 추정될 뿐 아니라, 이러한 경제적 가치 판단 이전에 이렇게 형성되는 감시사회가 초래하는 민주주의의 비용까지 고려한다면 필연적으로 그리고 조속한 시일 내에 교정이 되어야 할 것이라 생각된다.

5. 결론: 정보민주화와 쌍방향적 감시

정보화라는 관념은 그 자체가 완결적인 것이 아니라 현재진행형이며, 따라서 그에 관한 어떠한 현상이나 문제점을 그대로 헌법문제로 옮겨 놓는 것은 상당한 무리가 따른다. 그러나 그럼에도 불구하고 오늘날의 사회가 경험하고 있는 제반의 특성들을 중심으로 그것이 상당한 정도로 진행되었을 때 나타날 수 있는 헌법적 문제들을 예측해 내고 이를 극복하기 위한 나름의 대응방안들을 모색하는 것은 정보화사회의 엄청난 유동성과 탄력성을 감안할 때 너무도 절실한 과제이다.

이상에서 살펴본 것들은 엄밀히 말하자면 정보화사회에서 일어날 수 있는 판옵티콘-원형감옥-적 감시체제의 가장 작은 부분에 불과한 것이다. “Big Brother는 죽었다”라는 말이 나올 정도로 국가적 감시라는 것이 현대 정보화사회에서 차지하는 비중은 상대적으로 축소되고 있다. 즉, 자본주의적 생산양식에서 기업이 소비를 창출하고 그로부터 이윤을 추구하기 위한 전략의 하나로 나타나는 소비자 감시(consumer surveillence)의 문제는 국가감시의 문제가 비교도 되지 않을 만큼 엄청난 속도로 그 진행을 가속화하고 있다. 오히려 국가감시는 이러한 기업감시의 한 부분으로, 또는 그것에 보조하여 그 기업들을 위하여 이루어지는 양상까지도 보인다.

오늘날 감시사회의 도래에 관한 나름의 헌법적 대안들을 모색하여야 하는 또다른 필연적 이유도 여기서 나온다. 국가감시가 요즈음에 오면서 종래의 국가목적-질서유지나 국가안보, 공공복리-의 수준을 넘어서 아웃소싱, 민영화, 비용합리화 등의 명목으로 서서히 자본주의시장경제질서에 편입되어가고 있는 경향을 보이게 되면서 그것은 시민에 대한 정치적 지배의 수준과 더불어 기업에 의한 소비자지배의 양상까지도 부가하게 되는 이중적 문제를 야기하게 될 수 있기 때문이다. 주권자이어야 할 시민은 국가감시를 통하여 단순한 피치자의 지위에 더하여 기업의 소비자지배/조작의 대상으로까지 전락하게 될 가능성이 있는 것이다. 여기서 우리는 한시 바삐, 국가영역에 대한 민주적 참여의 길을 확보하여야 할 시대적 요청에 직면하게 된다. 하지만 이 부분에서 감시의 대항점으로서의 개인정보를 개인적 권리의 문제로만 치환하는 것은 상당한 위험으로 자초할 우려가 있다. 개인정보 자체가 시장에서 교환가능한 상품으로 규정될 수 있기 때문이다. 오히려 경제부문-사적 부문이라는 명분하에서 일상생활의 깊숙한 곳까지 침투해오는 자본권력으로부터 우리의 시민사회공간을 지켜내기 위해서는 그 개인정보의 문제를 사회적 권력-정치권력 및 경제권력-의 문제로 환원할 필요가 있다. 즉 그 문제는 민주주의의 실현이라는 헌법적 요청의 틀 속에서 바라보아야 하며 이 점에서 개인정보는 객관적 질서로서의 민주적 기본질서의 중요요소가 된다고 해야 할 것이다. 그리고 이 점에서 국가는 개인정보의 보호자이자 수호자로서의 역할을 수행하여야 할 의무를 지게 된다. 그것은 경제-시민사회의 대항관계에서 중립적이고 공동선의 대표자로서 국가의 위상을 지켜내어야 하는 절실한 삶의 과제를 안고 있기 때문이다.

1부 토론문

박병섭 / 상지대 법학과 교수

1부 토론문

한국의 개인정보 보호 감독기구가 할 일

이은우 / 법무법인 지평

1. 한국은 정보통신 분야에서 다른 나라보다 앞선 경험을 하고 있다. 그런데 한국의 정부는 정보통신 분야를 국가발전의 성장동력으로 생각하고, 산업화와 연결시켜 사고하는 경향이 있다. 그래서 그 동안 정보통신 분야에서 정부는 사업자의 이익을 옹호하고, 규제완화의 측면에서 접근해 왔다.

2. 한국의 개인정보 보호 감독기구는 지금까지의 법과 제도와 관행을 비판적으로 평가하고 바로잡는 일을 해야 한다. 특히 주민등록제도를 비롯해서, 식별자의 문제를 우선적으로 다루어야 한다. 그리고 주민등록번호의 폐해를 시정해야 한다. 현재는 식별자의 안전성도 심각하게 위협받고 있는 상황이다. 그리고 새롭게 도입되는 여러 기술(위치정보, 생체정보, 유전자 정보, CCTV, RFID 등)과 서비스와 제도에 대하여 검토하고 사회적 합의를 이끌어 내야 한다. 행정기관의 정보이용실태도 상시적으로 모니터링 해야 한다. 그리고 의료정보, 신용정보, 통신사실자료 등과 같은 민감한 정보에 대한 감시를 해야 한다. 그리고 민간영역의 개인정보 보호 실태를 상시적으로 감독할 수 있는 제도적 장치를 마련해야 한다. 데이터베이스 등록제나, 감사보고제도는 그 방법이 될 수 있다. 개인정보사전영향평가제도를 도입하여, 사전감독 기능을 수행할 수 있다.

한국의 개인정보 보호 감독기구는 다양한 지침과 가이드라인을 제시하는 역할을 해야 한다. 이런 지침과 가이드라인을 분쟁과정에서 분쟁조정기관과 법원이 존중하고, 나중에는 법률로 수용해야 한다.

한국의 개인정보 보호 감독기구는 개인정보 침해에 대한 분쟁을 해결해 주는 역할을 맡아야 한다. 분쟁의 조정으로 그치게 할 것인지, 아니면 그 보다 강한 효력을 부여할 것인지를 검토해야 하나, 분쟁의 조정으로 그치는 것보다는 좀 더 강한 효력을 부여하는 것이 좋다.

3. 한국의 개인정보 보호 감독기구는 이런 기능을 수행하기 위해서 다음과 같은 점이 필요하다. 첫째, 강력한 독립성. 둘째, 실질적인 문제해결을 해 줄 수 있는 조사, 분쟁해결 조직. 연구기능. 셋째, 단순한 정책권고를 넘는 지침과 가이드라인의 제정기능.

이런 점을 고려한다면 개인정보 보호 감독기구는 국가인권위원회에 편입시키는 것보다는 행정부에 예속되지 않고, 독립성이 보장되는 독립기구로 구성하는 것이 좋다. 그리고 독립감독기구는 연구, 조사, 행정입법, 분쟁해결 기능을 갖추고 있어야 한다. 개인정보보호분쟁조정위원회의 축적된 역량을 흡수할 필요가 있다.

4. 개인정보보호 감독기구의 성패는 기능과 구성에 달려 있다. 개인정보보호 감독기능을 수행할 수 있는 실질적인 기능이 부여되고, 독립성이 보장되는 구성이 되어야 한다. 개인정보보호 감독기구의 도입으로 개인정보보호에 관하여 새로운 단계로의 진입을 기대해 본다.

2부 발제문

독일 개인정보 보호제도의 경험과 실례(實例)

얀 묄러 / 변호사, 슐레스비히 홀슈타인 주(州) 개인정보보호 독립센터

I. 서문(序文)

오늘날 개인정보보호(이하 정보보호) 정책은 정보통신과 같이 빠르게 발전, 변화하는 생활분야에서 개인의 정보 자기결정권과 인성발현권을 보호하는데 그 목적을 두고 있습니다. 이 목적을 실현하는 방식으로는 법적, 기술적 수단이 있는데 이 과정에서는 우선 다음과 같은 현 추세를 감안해야 합니다.

1. 각 주의 공공기관은 안보를 목적으로 해당 주민과 주방문객의 포괄적 관리, 감독에 관심을 두고 있습니다.

2. 많은 기업들은 고객과 사원에 대해 상세한 프로필 작성을 원합니다. 이를 통해 고객지향적 마케팅을 기획하고 계약작성시 위험도를 판단하며 기업운용방식의 효율성을 극대화할 수 있기 때문이지요.

3. 여러 공공, 사설 기관은 되도록 많은 서비스를 자동운용방식에 통합시키고자 하는데 이를 통해 고객들에게 보다 편리한 서비스를 제공할 수 있을 뿐만 아니라 해당기관도 운용비를 줄일 수 있기 때문입니다.

이러한 현실에서 정보보호목적을 실현하기 위해 개인의 정보자기결정권 보호를 위한 여러 복합적 기술제도가 도입되었으나 일반인이 이를 한 눈에 이해하기는 쉽지 않습니다(투명성 결여).

게다가 정보보호 서비스이용에 필요한 기술(PC, 광역 케이블)은 가격붐을 타고 급속도로 퍼져나가고 있고 사용자는 별반의 사전지식없이 이를 사용하고 있는 실정입니다. 이러한 기술도구들도 우수한 작동기능을 우선시해 제작되기 때문에 사용자 정보보호를 크게 염두에 두지 않지요. 이를 통해 보안장비가 미비한 시스템 수는 늘어나고 사용자의 무지도 심각해지고 있습니다(지식결여). 이러한 시스템의 투명성 결여와 사용자의 지식결여로 인해 일반인들의 정보 자기결정권 자체에 대한 의식조차 부족한 형편입니다.

이번 강연에서 저는 우선 앞서 말씀드린 현 추세를 잘 보여주는 독일의 몇몇 실례(II)를 소개하고자 합니다. 다음으로 기술적 수단(III)과 시장원칙(IV)을 이용한 구체적 정보보호 방식에 대해 간단히 말씀드리겠는데 이는 현대와 같은 기술사회에서도 개인이 정보자기보호권을 수호할 수 있도록 돕는 것을 그 목적으로 하고 있지요. 마지막으로는 개인정보보호법의 구체적 실현을 담당하는 독일 관리, 감독기관(V)과 그들의 활동을 소개해 드리겠습니다.

II. 실례(實例)

1. 정보통신 서비스 및 기술업무에 있어 감시 시스템과 정보의 예비저장

하기(下記) 내용은 슐레스비히 홀슈타인 주 개인정보보호 독립센터(Unabhängiges Landeszentrum für Datenschutz 이하 ULD)의 웹사이트

http://www.datenschutzzentrum.de/material/themen/rotekarte/index.htm 를 요약한 내용으로 자세한 정보를 원하시는 분은 상기(上記) 주소를 참조해주시기 바랍니다.

1996년부터 독일안보기관은 일반 정보통신분야(일반전화, 핸드폰, 문자메시지, 팩스 등)뿐 아니라 인터넷에 있어서도 당장의 사용 목적 없이 정보를 사전 예비저장할 수 있도록 하는 안건의 법적 근거를 마련하고자 노력하고 있습니다. 이는 국가 정보기관이나 형법기관이 유사시 언제나 필요한 정보를 찾아 사용할 수 있도록 하기 위함이지요. 안보기관은 이 안건의 구체적 실현방식을 법으로 명시하는 대신 연방정부의 법규명령을 통해 명문화할 것을 제안하고 있습니다.

그러나 정보통신분야의 현행 규정은 이와는 정반대 양상을 보여주고 있습니다. 현행법은 대금결제를 위해 필요한 정도 외의 모든 정보는 삭제하는 것을 원칙으로 삼고 있습니다. 그런데 사실 인터넷 정보의 대부분은 여전히 무상으로 제공되며 유상 서비스일 경우라도 서비스 결제에 필요한 정보는 극히 일부에 불과합니다. 이러한 현실에서 상기 법을 따르자면 거의 모든 정보는 삭제대상이 되는 셈이죠.

이와는 반대로 저장에 있어서는 서비스 제공자, 사용자 할 것 없이 가능한 한 많은 정보를 저장해 두도록 의무화되어있습니다. 즉, 웹사이트 제공자는 해당 사이트의 방문자 정보를 저장해두어야 하며 액세스 프로그램 제공자는 접속시간 및 사용정보 내용 등에 대한 정보를 저장해야 하는 것입니다. 이 제도가 실행될 경우, 국가는 국민이 어떤 인터넷 사이트에 관심이 있는지, 인터넷에서 무엇을 구입했는지, 누구와 무엇에 대해 채팅을 하고, 혹은 어떤 정보미디어를 선호하는지에 대해 완벽한 정보를 갖게 되는 것입니다.

그러나 이러한 법규정은 연방헌법재판소에서 내세우는 원칙, 즉 불특정 목적을 위한 사전 예비저장은 정당치 못하다는 원칙에 어긋나는 제도입니다. 이러한 예비저장이 실제로 가능해질 경우, 현 세계 어느 곳에서도 유례없는 포괄적 감시체계가 형성될 가능성이 있습니다.

다양한 정보통신분야의 이익단체들은 이러한 정보저장의무의 도입을 거부하고 있는데 이는 대규모 저장에 의한 비용상승이 우려되기 때문입니다. 이 비용부담은 결국 고객이 떠맡을 수 밖에 없고 해당기업은 이를 통해 경쟁에서 불이익을 당할 것을 두려워하고 있는 것이지요.

2004년 5월 정보통신법 개정의 일환으로 제안되었던 예비저장권에 대한 논의는 연방 상원과 하원이 조정위원회에서 독일 내 포괄적 예비저장권을 인정않는 방향으로 합의를 봄으로써 일단락 지어졌습니다. 최근 몇몇 EU 회원국은 EU 차원에서 정보 예비저장을 의무화할 것을 주장하고 있는데 지금까지 독일 상원에서는 이 의견을 받아들이지 않을 것이라는 입장을 밝히고 있습니다.

2. 신분증과 개인의 생물학적 정보

개인의 생물학적 정보 기록 의무에 대한 현행법 내용을 다루고 있는 하기 정보는 ULD의 웹사이트 http://www.datenschutzzentrum.de/material/themen/divers/biometrie ausweis.htm 를 요약한 것으로 자세한 정보를 원하시는 분은 상기 주소를 참조해주시기 바랍니다.

신분증에 개인의 생물학적 특징이 기록될 필요성이 있는가. 이는 현재 독일에서 뿐 아니라 전 세계적으로 화두가 되고 있는 문제입니다. 미국을 위시한 일부 국가들은 입국시 방문자의 생물학적 정보가 담긴 신분증, 예를 들어 여권을 제시할 것을 요구하고 있는데 이 경우 사기업인 공항운영자나 항공사 측도 이 개인정보를 사용할 수 있게 됩니다. 이런 위험성에도 불구, 안보기관은 범죄수사를 위해 개인의 생물학 정보를 사용할 권리를 주장하고 있습니다.

2002년 9월 1일에 발효된 독일 테러방지법은 국가에서 발행한 증빙서류를 가진 사람이면 누구나 이에 기록된 생물학적 정보를 통해 자동적으로 신분증명이 이루어지도록 할 것을 명시하고 있습니다. 이 이외에도 신분증의 컴퓨터 판독을 통해 위조 신분증 사용시 이를 즉시 적발해 낼 수 있도록 하고 있습니다. 이를 위해 해당 정보기관은 개인의 신장, 눈색깔에 대한 정보, 사진, 자필서명 이외에도 구체적 생물학적 정보를 전산 입력, 유사시 신분증 소지자의 진위여부를 밝힐 수 있도록 하고 있습니다.

이 법제에 따르면 신분증에는 사진과 서명이외에도 손가락, 손바닥, 얼굴의 특징도 기록될 수 있으며 이러한 정보는 기타 문자숫자 정보와 마찬가지로 정보안보를 위해 암호화된 형태로 여권에 기재되게 됩니다. 여기서 문자숫자 정보란 여권번호, 성명, 생년월일, 성별, 신장, 눈색깔, 거주지(혹은 주소) 그리고 국적 등의 정보를 말합니다.

이러한 정보의 전산입력에 있어 빠뜨릴 수 없는 것은 신분증에 자동판독이 가능한 바코드를 장착하는 문제인데 이 바코드는 신분증의 종류, 성명, 신분증 번호, 국적, 성별, 생일, 유효기간, 검사번호 이외의 정보는 포함할 수 없도록 되어있습니다. 특히 생물학적 정보는 어떠한 경우에도 이 바코드에 입력되지 않도록 하고 있지요. 입법기관은 이를 통해 생물학적 정보가 자동판독되는 것을 막으려는 그들의 의도를 뚜렷이 한 셈입니다. 입법기관은 바코드를 ′자동판독 부분(zone)′이라 표현함으로써 자동판독이란 개념을 무선 주파수 인식 전자칩 (RFID)등을 이용한 전파기술이 아닌, 카드형태의 신분증과 판독기의 직접적 접촉방식을 통한 것으로 못 박았는데 사실 이러한 전파기술 사용이 법으로 전면금지된 것은 아닙니다. 단지 전파기술로써 신분증 저장정보를 판독하는 것은 정보처리의 투명성 문제로 인해 현행법상 문제의 소지가 있는 것이지요. 이 기술을 사용한다면 신분증 소지자 모르게 정보수집이 가능해지니까요.

독일법은 여권과 기타 신분증에 기록되는 생물학적 특징에 대해서는 전국적 정보관리가 이루어지지 못하도록 명시하고 있습니다. 지역 개인정보에 대한 전국적 통합관리 또한 법으로 금지하고 있지요. 이를 통해 입법기관은 생물학적 개인정보의 중앙관리를 근본적으로 봉쇄한 셈입니다. 단, 외국인 신분증에 한해서는 유사법(類似法)이 존재하지 않습니다.

신분증의 자동판독은 문자숫자 정보에 한해서만 가능하며 생물학적 정보는 판독이 불가능합니다. 공적부문에서는 중앙, 지방 경찰기관, 개별 경찰서만이 이러한 자동판독을 할 수 있으며 국경검문업무에 한해 세관검사관에게도 신분증 자동판독권이 주어집니다. 기타 공공기관은 유사시 신분증의 진위여부를 가리기 위해서만 자동판독을 할 수 있습니다.

비공공기관은 생물학적 정보를 포함한 개인정보를 자동저장할 수도 자동판독할 수도 없게 되어있습니다. 특히 특정 개인정보를 열어보거나 여러 개인정보를 연계처리하기 위해 신분증 번호를 사용하는 것은 법으로 엄격히 금지되어 있습니다. 이를 통해 신분증 번호 하나가 당해인의 인적사항 모두를 수집할 수 있는 열쇠가 되는 것을 막고자 한 것입니다.

독일법은 외국 공공, 비공공기관이 독일 신분증을 사용할 경우에 대해서는 구체적 언급을 하고있지 않습니다. 이는 현재까지 외국에서 독일신분증은 거의 육안으로만 감식되었기 때문인데 이 경우 개인정보 공개는 당해인의 동의 없이는 이루어질 수 없기 때문이지요. 따라서 당해인의 동의없이 이루어지는 비자율적, 즉, 강제적 개인정보 공개가 있었다면 이는 해당국가의 내국법에 따른 것입니다. 자동판독시스템의 도입은 법체계 전반에도 변화를 가져오게 됩니다. 눈으로만 판독 가능했던 기존신분증과는 달리 카드형태의 신분증에서는 신분증 소유자가 절대적 정보소유권을 보장 받을 수 없기 때문이지요. 이는 카드신분증 도입과 함께 허가없이 이루어지는 정보수집을 막기위해 법적, 기술적 예방조치가 이루어져야 함을 의미합니다. 이는 외국기관의 독일 신분증 사용에도 해당됩니다.

3. 탑승객 정보제공

하기 내용은 항공운행정보제공 사건에 대한 ULD의 보고서로 인터넷 개인정보보호 사무소  http://www.datenschutzzentrum.de/feature/detail/?featid=3 의 전문을 요약한 것입니다.  자세한 정보를 원하시는 분은 상기 주소를 참조해주시기 바랍니다.

2003년 3월 5일 미국에서는 모든 입출국 외국 항공기에 대해 해당사의 예약시스템을 미세관청에 공개하도록 하는 법안이 발효되었습니다. 그런데 이 법안이 발효되기 직전, 유럽에서는 EU집행위원회와 미국사이에 사전 협약이 이루어졌음이 알려졌습니다. 정보수집에 있어 미국측에 구체적 조건 결정권을 허가한 이 협약은 유럽공동체 개인정보보호 지침에 명백히 위배되는 것으로 이 지침은 EU정보가 비회원국가에 유통될 경우 EU측이 EU수준에 맞는 정보보호 기준을 요구할 것을 지정하고 있습니다.

미국측은 요구한 정보를 제공치 않을 경우, 착륙허가를 거부하겠다고 나섰고 이에 몇몇 유럽 항공사들은 요구정보제공을 약속했을 뿐 아니라 미세관청이 자체적으로 당사의 예약시스템을 검색할 권리를 부여하겠다는 의사까지 밝혔습니다. 특히 루프트한자 사(社)의 경우 미세관청에 지나치게 많은 권리를 넘겨준 것이 아니냐는 언론의 비난이 있었습니다. 언론보도에 따르면 루프트한자 사는 구형 예약시스템으로 인해 정보수집을 특정 정보로 제한하는 것도, 정보수집에 대한 구체적 기록관리도 하는 것도 기술적으로 불가능한 실정이라고 합니다.

2003년 10월 9일 유럽의회는 EU집행위원회와의 오랜 공방 끝에 다음과 같은 결정을 내렸습니다. 유럽의회는 당시 유리한 상황을 이용, 집행위원회로 하여금 미세관청이 항공관련정보 제공에 있어 EU의 지침을 따르도록 할 것과 기존 협약에 따라 발생된 위법적 현상황을 빠른시일내에 정정해 줄 것을 협상하라고 지시했습니다. 2003년 말 EU집행위원회는 미국측과 재협상끝에 2차 협의문을 제시했는데 미국측은 사실 이 협약을 탑승객정보제공에 대한 법적 근거로 사용하고자 하는 의도였습니다. 유럽의회는 이 2차 협의문도 현행 EU지침에 부합될 수 없다고 판단, 2004년 4월 21일 다수결에 의해 이 안건을 유럽 사법재판소에 회부하기로 결정했습니다.

4. 스코링 (신용득점) 평가제

오늘날 민간경제부문에서는 소위 "스코링(Scoring) 평가제'가 실시되어 정보보호법상의 문제를 야기시키고 있습니다. 이 제도는 특정인의 대출신용도를 통계적 비교자료를 이용, 자동적으로 평가하는 시스템이지요.

여기서 평가과정 자체와 비교목적으로 사용된 통계자료는 해당사의 사업상 비밀로 간주해 공개되지 않는데 이에 따라 피평가인은 자신의 신용등급이 어떠한 자료를 기준으로 평가되었는지를 알 수 없게 됩니다. 그러나 신용평가 결과가 안 좋을 경우, 계약 체결시 불리한 조건을 제시받거나 계약 자체가 무산되는 등 그 영향은 지대하지요.

스코링 평가제는 미래의 일을 사전예측하는 것이고 다양한 상황조건을 일일이 고려, 판단할 수 없기 때문에 현실과 오차가 생기는 것은 당연할 수 밖에 없습니다. 이러한 문제와 앞서 언급한 평가의 투명성 결여 문제로 인해 피평가인은 법적으로 불이익을 당하는 경우가 많습니다. 어떤 자료를 잣대로 자신이 평가되었는지도 모른 채 말입니다.

이러한 평가제도는 사실 독일 개인정보보호법 28조, 29조, 6b 조항에비추어 합법여부를 판단해보아야 하나 이 법조항의 일부는 현실에 적용시키기에는 구체성이 결여되어 있습니다.

그러나 앞으로 스코링 평가제의 투명성 문제는 더욱 커질 것으로 전망됩니다. 왜냐하면 결정시스템의 자동화, 바젤 제2차 협약에 따른 대출신용 안보화의 일환으로 이 스코링 평가제의 민간경제 적용범위는 더욱 넓어질 것이기 때문입니다.

III. 기술적 수단을 이용한 정보보호

1. 정보보호에 기술적 수단이 필요한 이유는?

개인의 정보자기결정권을 실현하기 위해서는 기술적 조건이 갖추어져야 합니다. 이는 특정 제품이나 서비스를 이용할 때 해당 제품의 소프트웨어가 제품의 정보보호법적 이용을 가능케 해주어야 한다는 뜻이지요. 따라서 사용자의 인성발현권을 효과적으로 보호하기 위해서는 애초부터 정보보호를 염두에 둔 기술(praivacy by design)을 개발할 필요가 있습니다. 기술을 보다 정보보호친화적으로 사용하기 위해서는 기계 구성(configuration)자체를 바꾸어 준다던가 혹은 다른 부품, 기능을 추가적으로 사용하는 방식을 이용할 수 있습니다. 이를 통해 정보처리의 투명성과 사용자의 정보결정권도 강화될 수 있지요. 특정 제품, 서비스의 구매자에게 이러한 정보보호 가능성과 수단을 알리는 것이 바로 정보보호 기술담당자가 할 일인 것입니다. 아래의 예는 기술적 정보보호 방식을 보다 자세히 설명해주고 있습니다.

2. 실례(實例) (ULD 프로젝트)

하기 내용은 ULD의 사이트 http://www.datenschutzzentrum.de/projekte/index.htm 을 요약한 내용으로 자세한 정보를 원하시는 분은 상기 주소를 참조해주시기 바랍니다.

a) 익명성이 보장되는 인터넷  AN.ON 프로그램

인터넷을 사용하게 되면 너나할 것 없이 사이버공간에 흔적을 남기게 됩니다. 나중에 이 흔적을 따라가다보면 특정 개인의 인터넷 사용패턴을 쉽게 재구성해 낼 수 있지요. 이러한 정보는 프로그램 제공자(provider)나 인터넷을 함께 사용하는 제3자라면 누구나 볼 수 있도록 공개되어 있기 때문에 인터넷 사용자는 자신의 인터넷 정보를 보다 효과적으로 보호해야 합니다. 여기에는 정보내용의 암호화 이외에도 익명화 수단을 적절히 사용함으로써 링크정보의 유출을 미연에 방지하는 방식도 있는데 이는 불필요한 정보를 줄인다는 의미도 있습니다. 인터넷 상의 익명성이라 함은 자신의 현 대화 파트너와 정보공유를 허가한 제3자를 제외한 모든 이에게 신분이 노출되지 않음을 의미합니다. 이러한 익명성이 보장될 경우 서버 정보에 대한 문의사항 등은 익명으로만 공개되고 이를 통해 심리상담 등 철저한 프라이버시 관리가 필요한 인터넷 상의 대화가 보다 자유롭게 이루어질 수 있게 되는 것이지요.

이러한 인터넷상의 익명성을 보장해줄 수 있는 기술로는 익명화 프로그램이 있습니다. 이는 인터넷상의 정보 발신자와 수신자 사이의 연계를 불분명하게 조작함으로써 양쪽 모두의 신분이 은닉됨은 물론, 제3자도 우연히 보게 된 정보의 발신자와 수신자를 되짚어 찾을 수 없도록 하는 프로그램입니다.

가장 단순한 형태의 익명화 프로그램에는 프록시-서버(Proxy-Server)가 있는데 이는 특정인의 메시지를 발신자 대신 서버에 전달함으로써 발신인의 신분노출을 방지하는 프로그램입니다. 그러나 이 경우 프록시 프로그램의 제공자와 운용자에게는 신분이 노출됩니다. 이러한 프록시-서버보다 더욱 철저한 익명성을 보장하는 프로그램으로는 믹스-네츠(Mix-Netz)가 있습니다. 이 프로그램은 여러 정보 혼합단계를 거치는 과정에서 메시지 자체가 암호화되어 특정 대화를 재구성한다는 것이 거의 불가능에 가깝지요.

이러한 믹스-네츠형의 익명화 프로그램으로는 드레스덴 대학, 레겐스부르크 대학, 베를린 자유 대학과 ULD가 연계, 개발한 AN.ON 프로그램이 있습니다. (http://anon.inf.tu-dresden.de/index_en.html)

AN.ON은 1981년 당시 인터넷의 익명사용을 가능케 한 데이빗 체이엄(David Chaum)의 익명성& 프라이버시(Anonymity & Privacy  이하 JAP) 프로그램을 바탕으로 하고 있습니다. 이 프로그램을 PC에 설치하면 웹브라우저가 설치되기도 전에 프록시가 설치됨으로써 서버에 대한 문의사항 모두를 암호화합니다. 이렇듯 암호화된 메시지는 첫번째 다단계 혼합기를 거쳐 뒤섞인 형태로 전달됩니다. 따라서 해당 프로그램의 제공자조차도 발신자 메시지의 최종 목적지를 알 수 없게 되지요. 이 혼합기는 다양한 발신자로부터 수집해 암호화한 메시지를 마구 섞어 두번째 다단계 혼합기로 보냅니다. 이러한 일련의 과정을 거친 후, 마지막 혼합기에서 최종 수신인의 주소를 인식해 메시지를 전달하게 되는 것이지요. 이와 같은 암호화과정을 거치면 수신자는 물론 발신자의 익명성까지도 보장받을 수 있게 됩니다. 보신 바와 같이 JAP가 보장하는 익명성 수준은 대단히 높아서 단순한 프록시 프로그램의 기능을 크게 능가합니다.

b) 개인 정체성 관리

하기 내용은 ULD의 사이트 http://www.datenschutzzentrum.de/projekte/idmanage/index.htm 을 요약한 내용으로 자세한 정보를 원하시는 분은 상기 주소를 참조해주시기 바랍니다.

인류역사 수천년 동안 인간은 현실을 살아가며 자신의 정체성을 상황에 맞추어 조절, 관리하는 방식을 익혀왔습니다. 어떤 상황에서 어떠한 역할을 하느냐에 따라 사람의 행동은 달라지고 노출하는 정보의 종류도 달라집니다. 같은 사람이라도 직장에서와 집에서의 행동이 다를 수 있는데 예를 들어 집에서는 보통 사적인 얘기를 더 많이 하게 되지요. 사람이라면 누구나 본능적으로 상대방에 따라 자신의 행동을 조절하게 됩니다. 친한 친구에게는 사적인 얘기도 서슴지 않는 반면, 슈퍼마켓 아주머니에게는 물건 구입에 필요한 대화 이외에는 하지 않기 마련인 것처럼 말입니다. 동료라도 입이 가벼운 사람이라면 깊은 대화를 꺼리게 되고 스스로의 프라이버시 보호를 위해 그 사람 앞에서는 되도록 조심스러운 모습을 보이게 되지요.

인터넷상에서는 이와 같은 본능적 정체성 관리가 어렵습니다. 기술적 지원이 없다면 어떤 정보가 어떤 프로그램을 통해 어떤 서버에 수집되는지 알기 힘든 것은 물론, 일단 공개된 개인정보의 양과 정도를 개개 상황에 맞추어 조절한다는 것은 더더욱 어렵습니다. 정보사용자 측에서 개인정보 유통에 있어 각별한 주의를 기울인다 해도 다양한 정보가 다양한 웹사이트를 통해 수집되는 과정에서 사용자가 모르는 새로운 개인정보가 생성될 가능성은 얼마든지 있는 것입니다.

개인의 정체성은 인터넷 커뮤니케이션이 이루어지는 곳이라면 어디나 체계적으로 관리되어야 합니다. 오늘날 수많은 인터넷 사용자가 인터넷 경매 프로그램 이베이(eBay)를 이용하고 있는데 여기에서는 이루어진 구매입 행위마다 판매자에 대한 평가점수가 매겨지고 이에 따라 이베이 사용자는 이베이 내에서 고유의 정체성을 갖게 됩니다. 비슷한 예는 다른 곳에서도 찾아볼 수 있습니다. 인터넷숍에 들어가면 수많은 구매자들이 주소는 공개하는 반면, 생년월일이나 전화번호 등의 구체적 정보는 숨기는 경우를 볼 수 있습니다. 또 이들은 개인자격이냐 회사직원이냐에 따라 인터넷상의 정체성을 달리할 수 있습니다. 숨기고픈 문제를 안고 인터넷 카페를 찾은 사람들은 우선적으로는 익명성을 유지하기를 바라는 반면, 친구들과 이메일을 주고받을 때는 개인정보를 공개할 수도 있는 것입니다.

인터넷이 우리 생활분야 곳곳에 깊이 파고들면 파고들수록 우리의 다양한 인터넷 정체성을 관리하는 것은 더욱 복잡해집니다. 특히 개인의 힘으로 단 일초사이에 숱한 결정이 내려지는 인터넷상의 복잡한 관리체계를 운용한다는 것은 거의 불가능에 가깝습니다. 따라서 전문적 정체성 관리자가 나섬으로써 관리체계를 투명화해야 하는 것입니다. 그 방법은 단순한 패스워드, 액세스 관리에서부터 가명의 상황별 관리와 같은 포괄적 시스템까지 다양합니다. 이러한 관리체계의 궁극적 목적은 정보안보상의 위험없이 인터넷 커뮤니케이션을 개인이 알아보기 쉽도록 단순화하는 것입니다.

이러한 관리체계를 구축하려는 노력은 이미 시작되었습니다. 그러나 사용자가 아무 서버에나 안심하고 정보를 저장할 수 있기 위해서는 서버 제공자를 신뢰할 수 있어야 한다는 문제가 남아있습니다. 따라서 사용자가 본인의 인터넷 정체성을 자체 관리하게 되기까지 갈 길은 아직 멀다 볼 수 있습니다. 그러나 정보 자기결정권은 반드시 수호되어야 하는 권리인 것입니다.

ULD는 이러한 정체성 관리와 관련해 수많은 EU프로젝트에 참여하고 있습니다. 우리의 목표는 실제 정보보호친화적인 정체성 관리시스템을 구축하고 헌법에 부합하는 관리기술을 개발하는 것입니다. 우리는이러한 미래형 정보보호 수단을 통해 독일국민이 언제 어디서나 상황에 맞게 자신감 있는 모습으로 인간관계를 형성할 수 있도록 도와 나갈 것입니다.

c) 정보보호관리의 자동화

하기 내용은 ULD의 사이트 http://www.datenschutzzentrum.de/epal 과

http://www.datenschutzentrum.de/p3p 를 요약한 내용으로 자세한 정보를 원하시는 분은 상기 주소를 참조해주시기 바랍니다.

EPAL, P3P 혹은 동류의 플랫폼을 이용한 정보보호 관리 자동화 시스템은 정보보호 조건을 자동적으로충족시킴으로써 이 시스템을 사용하는 기관내의 정보보호 수준을 한차원 높여주는데 기여하고 있습니다.

기업 프라이버시권한부여 언어(Enterprise Privacy Authorization Language  이하 EPAL)란 특정기업 내 개인정보 보호운용을 포괄적으로 제시, 관장하는 시스템 언어입니다. 간단히 설명하자면 각 기업에서 수집한 개인정보마다 해당 정보의 사용범위, 목적을 지정한 정보를 끼워넣는 원리이지요. 이 EPAL정보는 개인정보가 어떤 목적과 수단으로 사용되어야 하는가를 결정하는 목적으로만 사용되어야 하며 이는 정보처리 소프트웨어의 데이터 모델이나 정보처리자가 가지고 있는 정보권한의 정도와 무관하게 모든 경우에 해당되는 사항입니다.

이러한 EPAL시스템은 기업내 사용 프로그램, 분과, 지사의 경계를 뛰어 넘어 통합적으로 이루어져야 하는데 이 과정에서도 정보 수집, 저장, 처리, 사용의 비(非)중앙관리식 운용원칙은 지켜져야 합니다.

EPAL정보는 컴퓨터에서 이해 가능한 언어로 작성, 관리되어야 하는데 이는 정보제공조건, 특정날짜로 지정된 정보삭제 등과 같은 정보보호 처리과정을 자동화하기 위함입니다.

EPAL의 목적은 사용기업으로 하여금 사(社)내 정보처리과정의 정보보호 친화성을 구체적으로 대외선전에 이용하고 해당사의 정보보호도입, 운용 비용을 절감하며 법제와 현실적용 사이의 차이를 최소화 하도록 하자는 것입니다.

EPAL은 기업이나 공공기관 내 개인정보 처리 시스템을 체계적으로 보여줄 수 있는 언어로 EPAL언어의 수신자는 기업, 공공기관 내 정보보호 관리부가 됩니다.

이러한 EPAL을 보완하는 기술도구로 "개인정보 보호 표준기술 플랫폼(Platform for Privacy Preference 이하 P3P)"이 이미 개발되었습니다. 이는 WWW 콘소시엄 (W3C)에 의해 국제 표준화된 프로그램으로 인터넷상의 정보교환의 장으로 이용되고 있습니다. P3P는 인터넷 사용에 있어 사용자가 자신의 정보가 어떤 웹서비스 제공자나 제3자에게 어떤 목적으로 사용되는지를 한눈에 자동적으로 알아볼 수 있도록 도와줍니다.

P3P는 인터넷 업체의 정보보호 서비스와 인터넷 사용자의 정보보호 욕구를 접목, 형식화한 것으로 이러한 P3P 포맷에 맞는 형식화를 거친 정보는 컴퓨터 언어로 변환됩니다. 이를 통해 특정 인터넷 업체가 사용자의 정보보호 요구에 부합되는 서비스를 제공하는가의 여부는 자동적으로 판명나는 것이지요.

이러한 EPAL, P3P 양 시스템은 서로 보완적으로 사용되어야 합니다. 예를 들어 EPAL정보를 바탕으로 P3P 정보보호문서를 자동작성하려면 P3P기본시스템이 EPAL시스템에 통합, 처리되어야 합니다.

IV. 경쟁력 제고수단으로서의 정보보호

공공기관이나 기업에 있어 정보보호란 단순히 법률수행 이상의 의미가 있습니다. 국민이나 기업의 고객은 이들이 자신의 권리를 보호해주고 상의할 때라야 이들 기관을 신뢰할 수 있으니까요. 그리고 이 신뢰야말로 기업이 고객을 상대로 상업활동하는 데 있어 기본바탕이 되는 것입니다.

그런 의미에서 정보보호 감독시스템이나 정보보호 인증제도는 이러한 신뢰구축에 도움이 되는 제도입니다. ULD는 2002년부터 이 양 제도를 법제도 내에서 운용하고 있지요.

1. 정보보호 친화성 인증제도

하기 내용은 ULD의 사이트 http://www.datenschutzzentrum.de/guetesiegel 를 요약한 내용으로 자세한 정보를 원하시는 분은 상기 주소를 참조해주시기 바랍니다.

슐레스비히 홀슈타인 인증제도는 특정 제품에 대해 그 제품이 공식시험과정을 거쳐 정보보호 및 안보법과의 부합성을 인정받았다는 증표를 발급하는 제도입니다. 이러한 인증은 정보처리과정 같은 시스템 전체나 하드웨어나 소프트웨어 같은 구체적 정보기술제품에 부여되는데 단, 이들 제품이 공공기관 사용에 적합해야 한다는 전제조건이 붙습니다.

이러한 인증필을 받기 위해서 우선 제조업체 혹은 그 지사는 ULD가 지정한 정보보호 전문인이나 전문기관 중 하나를 선정, 이들에게 당사 제품이 법적, 기술적으로 정보보호기준에 부합되는지 여부를 검사 받습니다. 이들 전문인이 검사 결과를 문서로 작성해 ULD로 보내면 ULD는 이 결과를 재검토한 후, 이의사항이 없을 경우 해당 제품에 한해서 인증필을 발부합니다. 그러나 이 인증필은 빠른 정보통신기술의 변화로 인해 2년 동안만 그 유효성을 갖습니다. 2년이 지나면 해당 제품은 신기술에 맞추어 업그레이드된 형태로 간소화된 재차 인증시험을 거쳐야 하지요.

이 인증시험과정의 내용을 살펴보면 검사관은 무엇보다 제품이 정보보호, 안보기준에 부합하는지 여부를 살핍니다. 특히 정보수집 사전방지, 정보감소, 정보안보 및 정정능력, 또한 정보주체의 권리수호에  노력했는가 여부에 중점을 둡니다. ULD는정보통신제품에 대해 법적, 기술적 정보보호 기준을 제시하는 카탈로그를 비치하고 있으며 이 카탈로그는 정기적으로 업데이트됩니다. ULD는 전문인의 보고서 검토시 우선적으로 보고서의 논리성 및 검사방식의 타당성을 살펴봅니다. 여기에 석연치 않은 점이 발견될 경우, 해당제품을 직접 소환, 재검토하기도 합니다.

2. 정보보호 감독제도

하기 내용은 ULD의 사이트 http://www.datenschutzzentrum.de/audit 를 요약한 내용으로 자세한 정보를 원하시는 분은 상기 주소를 참조해주시기 바랍니다.

정보보호 감독제도란 공공기관의 정보보호 컨셉트를 ULD가 공식시험과정을 거쳐 검토하는 제도를 말합니다.

슐레스비히 홀슈타인주의 모든 공공기관은 기관의 정보처리시스템 전체나, 일부, 혹은 개개 정보처리과정에 대해 감독을 신청할 수 있습니다. 그리고 이 감독과정은 ULD가 직접 관장합니다.

감독을 실시하는데 있어 먼저 해당기관과 ULD는 서면협약을 맺습니다. 이를 바탕으로 해당기관은 우선 기관 내 정보보호 현황을 검토하고 적합한 목표를 설정한 후, 이에 맞는 정보보호관리 시스템을 구축, ULD에 감독을 요청합니다. ULD는 이를 검토 후, 이의가 없을 경우 정보보호 감독필을 발부합니다. 이러한 감독필 역시 유효기한이 3년으로 제한되어 있습니다. 그러나 시스템 업그레이드 후 간단한 재검사를 거치면 연장이 가능합니다.

이러한 감독제도는 공공기관이나 기관부서 모두 신청할 수 있으며 공인기관의 검사를 통한 정보보호 상황개선과 수준높은 정보보호기준 유지를 그 목적으로 하고 있습니다.

V. 독일 정보보호 규정의 관리, 감독체계

독일에서는 정보보호 규정에 대한 관리, 감독 책임을 여러 기관이 나누어 맡습니다. 이러한 분담 책임제는 연방제인 독일의 정치구조에 기인하지요. 또한 이들 책임기관을 감독하는데 있어서도 해당기관이 공공기관이냐 아니냐에 따라 부분적으로 상이한 규정을 적용합니다.

주차원에서 공공기관의 정보보호상황을 감독하는 것은 각 주의 해당정보보호 관리인이며 연방차원에서는 연방 정보보호 관리인이 그 책임을 맡습니다.

기업이나 사설단체과 같은 비공적분야의 정보보호 상황관리는 각 주의 비공적분야 담당 감독기관이 맡습니다. 이들의 임무수행은 해당 주의 정보보호 관리인, 내무부, 기타 공적분야 담당기관의 업무와 연계 통합되어 이루어집니다.

특정분야는 책임소재를 달리하기도 합니다. 예를 들어 정보통신법의 관리는 온전히 연방 정보보호 관리인의 책임 하에 있습니다.

ULD는 슐레스비히 홀슈타인주의 정보보호 관리인이 그 운영 책임자입니다. ULD는 앞서 언급한 일련의 책임이외에도 슐레스비히 홀슈타인주의 비공적분야 담당 감독기관 업무까지 맡아하고 있습니다. 또 법학자, 공학자, 사회학자, 경제학자들로 구성된 ULD의 정보보호안보 아이디어 센터(http://www.uld-i.de)는 국민의 정보 자기결정권 수호를 위해 새로운 안건을 고안해내고 있습니다. 앞서 소개해드린 정보보호의 기술적 수단이나, 정보보호 감독, 인증제도 역시 이러한 맥락에서 고안, 추진된 안건입니다.

독일 개인정보보호법은 정보보호 감독기관의 규제와 범칙금 부여이외에도 공공, 비공공기관이 스스로를 자가규제할 것을 정하고 있습니다.

비공공기관의 경우 일정량의 개인정보처리 규모와 정도에 따라 사(社)내 정보보호 관리인을 선정해야 할 의무가 있습니다. 이 관리인은 사내 정보보호관리 시스템을 구축하고 운용해야 하며 또 회사 경영진 및 기타 사원의 정보보호 상담역, 개인정보처리업무 목록관리, 사원들의 정보보호관련 교육, 정보침해 위험성이 높은 신정보처리 시스템의 사전검사, 정보보호규정의 준수여부 정기검사 등의 의무 또한 가지고 있습니다. 이렇게 믿을만한 전문 정보보호 관리인 고용이 의무화됨으로써 각 기업과 단체에는 필요한 정보보호 지식이 전달될 수 있고 기업, 단체인에게는 믿을만한 상담역이 제공되는 셈입니다.

공공기관도 마찬가지로 기관 내 정보보호 관리인을 선정할 수 있습니다.

기관 내 개인이나 단체는 앞서 말씀 드린 공공기관의 연방, 주차원 규제방식 이외에 별도로 정보보호 위법사안을 경쟁법 위반이나 소비자법 위반(이는 특별한 경우에만 해당됩니다) 등의 민법재판 안건으로 법원에 소원할 수 있는 제도적 장치를 가지고 있습니다.

이 모든 관리, 감독기관은 공통적 어려움을 안고 있습니다. 이들의 정보보호법 수호 노력은 적쟎이 피감독 기업, 기관(사기업, 작은 공공기관에서 전 경제계, 정부기관에 이르기까지 다양)의 이해와 충돌한다는 사실입니다. 따라서 관리, 감독 기관이 정보보호법을 효과적으로 수호하기 위해서는 이들의 독립적 지위보장이 불가피 합니다. 기업 내 정보보호 관리인의 경우 최고 경영자의 직하(直下) 위치가 보장됨으로써 정보보호업무로 인한 해고를 막을 수 있는 법적 장치가 되어있습니다. 정보보호 감독기관 역시도 상부기관의 명령체계에 구속받지 않고 결정을 내릴 수 있는 권한을 가져야 합니다. 그래야 정부기관이나 로비단체가 국민 기본권을 침해할 경우, 이를 효과적으로 막을 수 있으니까요. 인사조치나 예산책정 등의 간접적 영향력 행사 역시도 법적으로 방지되어야 합니다.

번역: 정혜연 (한국외국어대학교)

2부 발제문

한국의 프라이버시 관련 사건과 운동

홍성태 / 상지대 교양과 교수, 참여연대 정책위원장

1. 머리말

‘사민권’이라는 낯선 용어로 옮겨지기도 하는 프라이버시권은 근대 사회에 들어와서 새롭게 확립된 기본권으로서 ‘다른 사람의 간섭이나 감시를 받지 않고 나만의 시공간 속에서 독립적으로 살아갈 수 있는 권리’를 뜻한다. 그것은 독립된 인격체로서 나의 온전성을 지키기 위한 기본권이다. 프라이버시권이 지켜지지 않는 사회는 개인으로서 내가 존재하지 않는 비인간적 사회이다.

프라이버시는 단순히 나만의 사생활을 지키려는 것이 아니다. 사람은 누구나 혼자 있을 필요가 있다. 다른 사람이 모르는 자기만의 영역 속에서 우리는 완전한 안식을 찾을 수 있기 때문이다. 그리고 그런 안식 속에서 우리의 인격은 비로소 충분히 성숙할 수 있다. 이처럼 프라이버시는 나의 완전한 안식과 인격의 성숙을 위해 다른 사람의 간섭과 감시로부터 벗어난 나만의 삶을 뜻한다.

근대 사회에 들어와서 새로운 기본권으로 프라이버시권이 중요하게 부각된 이유는 전근대 공동체 사회의 해체에서 비롯된 세가지 변화로 살펴볼 수 있다. 첫째, 공동체 사회가 해체되고 이른바 ‘대중사회’가 만들어지면서 누구나 수많은 사람들과 관계를 맺고 살아가게 되었다. 이렇게 되면서 나도 모르게 수많은 사람의 간섭과 감시를 받을 수 있게 되었다. 이런 상황에서 나만의 독립적 삶을 보호할 필요가 커졌다.

둘째, 공동체의 해체와 함께 형성된 근대 국가는 강력한 감시체계를 확립하여 국민에 대한 일상적 감시를 강화했다. 물론 이러한 감시는 한편으로 국가 권력의 일방적 강화를 가져왔지만, 다른 한편에서 복지와 같은 국가 권력의 의무를 제대로 이행하도록 하기 위한 전제조건이기도 했다. 그러나 어느 경우에나 국가 권력이 국민의 개인정보를 대량으로 수집함으로써 결국 국민에 대한 감시를 강화하게 되었다. 이러한 국가 권력의 강화에 맞서서 국민의 독립적 삶을 보호해야 할 필요가 커졌다.

세째, 공동체의 해체와 대중사회의 등장은 개인주의의 강화로 이어졌다. 공동체 사회에서 개인은 그 자체로 존재이유를 가지지 않는다. 공동체가 개인의 존재이유를 결정하는 것이다. 공동체가 해체되면서 비로소 개인이 사회적 주체로서 역사의 무대에 등장하게 되었다. 개인은 다른 사람으로부터 독립해서 자신만의 삶을 살아갈 권리를 주장했다. 이런 식으로 개인주의는 프라이버시권을 중요한 기본권으로 만들었다.

정보화가 진척되면서 프라이버시의 중요성은 더욱 더 커졌다. 발달한 정보기술을 이용하여 국가 권력은 물론이고 누구라도 다른 사람의 일거수일투족을 모두 감시할 수 있게 되었기 때문이다. 오늘날 우리는 이를테면 ‘트루먼 쇼’ 사회에서 살아가게 되었다. 다시 말해서 오늘날 우리는 독립된 인격체로서 자신의 온전성을 지키고 살아가기가 대단히 어렵게 된 것이다.

이 글에서는 이러한 관점에서 한국의 프라이버시 상황을 살펴보고자 한다. 특히 두 가지에 촛점을 맞추려고 하는 데, 하나는 프라이버시 침해사건이고, 다른 하나는 프라이버시 보호운동이다. 결론에서는 프라이버시 보호제도의 개혁방향을 간략히 제시할 것이다.

2. 프라이버시 침해사건

한국은 박정희 정권의 ‘폭압적 근대화’를 통해 농업 공동체 사회에서 빠르게 공업 대중사회로 바뀌었다. 이 때문에 한국은 아직도 프라이버시에 대한 감각이 전반적으로 낮은 상태이다. 더욱이 박정희 정권의 ‘폭압적 근대화’는 프라이버시권의 요구를 극도로 억압했다. 그 대표적인 예가 출생신고와 함께 부여받는 주민번호제도와 17살이 되면 찍어야 하는 열 손가락 지문제도를 두 축으로 하는 주민등록제도이다.

한국의 정보화는 세계적으로도 대단히 앞서 있다. 그런 만큼 프라이버시 침해의 위험도 대단히 크다. 실제로 정보화의 진척과 함께 한국에서 프라이버시 침해는 일상화하고, 또한 대규모화하고 있다. 정보화의 진척과 함께 한국에서 프라이버시는 사실상 총체적인 위험을 맞게 되었다. 그러나 이에 비해 프라이버시에 관한 감각과 제도는 여전히 크게 뒤쳐져 있는 상태이다. 이런 모순 속에서 각종 프라이버시 침해사건이 속출하고 있다.

각종 프라이버시 침해사건은 침해 주체를 중심으로 크게 세 부류로 나눌 수 있다. 정부, 기업, 개인이 그것이다.

1) 정부의 프라이버시 침해

어느 국가에서나 정부는 가장 강력한 프라이버시 침해사건의 주체가 될 수 있다. 온갖 국민 정보를 체계적으로 수집하여 관리하고 있으며, 모든 국민의 일거수일투족을 감시할 수 있는 능력을 갖추고 있기 때문이다. ꡔ국가의 적ꡕ이라는 영화에서는 미국의 비밀정보기관인 국가안보국(NSA)이 인공위성까지 동원해가며 국민을 감시하는 것을 흥미롭게 보여주었다. 이것이 오늘날 우리의 생생한 현실이다.

그런데 민주화와 정보화가 진척되면서 직접적인 ‘신체 감시’보다는 ‘정보 감시’에 따른 프라이버시 침해가 늘어난다. ‘신체 감시’가 직접적으로 어떤 사람의 일거수일투족을 감시하는 것이라면, ‘정보 감시’는 어떤 사람의 온갖 개인정보를 모아서 그 사람의 삶을 감시하는 것이다. 주민등록 정보, 신용카드 정보, 인터넷 이용 정보, 의료 정보 등 온갖 개인정보를 실시간으로 모아서 어떤 사람의 성향과 특징을 쉽게 파악할 수 있다. ‘정보 감시’는 ‘신체 감시’보다 파악하기가 더 어렵지만 더 포괄적인 감시 방식이다.

최근의 사례로 가장 큰 문제가 되었던 것은 ‘네이스’이다. 네이스는 교육부가 구축하는 ‘국가교육행정시스템’을 뜻하는데, 하나의 서버에 800만명에 이르는 학생들과 교사들의 온갖 정보를 담아 놓고 인터넷을 통해 정보검색 및 제공 서비스를 하는 방식으로 개발되었다. 이에 대해 전교조를 비롯한 시민단체들이 강력하게 반발하여 프라이버시에 민감한 세 개의 영역을 네이스에서 빼기로 했다.

가장 큰 문제는 주민등록제도에 있다. 현행 주민등록제도는 일제의 ‘조선기류령’에 그 뿌리를 두고 있는 것으로 1968년의 1․21사건을 계기로 모든 국민을 국가의 감시를 받도록 하기 위해 만들어졌다. 대한민국 국민은 누구나 출생신고와 함께 고유한 주민등록번호를 부여받게 되며 만 17세가 되면 누구나 열 손가락 지문을 찍어야 한다. 이 강력한 감시제도는 국민의 온갖 개인정보를 통합하는 기반으로 활용되고 있다. 따라서 주민등록번호를 이용한 프라이버시 침해가 갈수록 늘어나게 되었다.

2) 기업의 프라이버시 침해

정부에 이어서 기업은 가장 거대한 프라이버시 침해사건의 주체이다. 정보화와 함께 가장 흔하게 일어나는 기업의 프라이버시 침해사건은 회원가입의 명목으로 개인정보를 수집하고 수집한 개인정보를 각종 경제적 용도로 이용하는 것이다. 가장 흔한 이용방식은 수입한 개인정보를 다른 기업에게 팔거나 스팸메일을 보내는 것이다. 이처럼 기업에 의한 프라이버시 침해사건은 대체로 스팸메일에 관한 규제미비와 밀접한 연관을 맺고 있다.

프라이버시에 대한 무감각은 끔찍한 범죄로 이어지기도 한다. 1994년에 무시무시한 ‘지존파’ 일당이 검거되었다. 1996년에 ‘지존파’를 모방한 ‘막가파’ 일당이 검거되었다. 그런데 ‘막가파’는 ‘지존파’를 모방했을 뿐만 아니라 1200명이 넘는 현대백화점 압구정동점의 고객 명단을 확보해서 범행대상을 저질렀다. 이를테면 ‘막가파’는 ‘정보 범죄’를 저지르기도 했던 것이다. 기업이 마구잡이로 수집하고 유통하는 개인정보는 언제라도 이렇게 끔찍한 범죄로 이어질 수도 있다.

최근에 기업이 저지른 최악의 프라이버시 침해사건은 ‘세계 최고의 기업’을 자랑하는 삼성SDI가 저지른 것으로 추정되고 있다. 2004년 7월에 삼성SDI의 몇몇 노동자들이 다산인권센터, 진보네트워크센터, 참여연대 등과 함께 기자회견을 열었다. 그 내용은 그야말로 엽기적이었다. 누군가 삼성SDI에서 노동조합을 만들기 위해 애쓰고 있는 노동자들의 휴대폰을 이용해서 그들의 위치를 추적하고 감시해왔던 것이다. 그 방법은 이렇다. 대상 노동자들의 휴대폰을 불법복제하고 그것에 대해 다른 휴대폰으로 친구찾기 서비스를 신청하여 대상 노동자들의 위치를 추적하는 것이다. 휴대폰을 불법복제하여 친구찾기 서비스를 신청한 사람은 만약의 경우에 대비하여 심지어 죽은 사람의 이름으로 친구찾기 서비스를 신청하는 ‘유령폰’을 만들기도 했다. 이 사건은 친구찾기 서비스가 심각한 악용의 가능성을 안고 있다는 사실을 증명해주었으며, 노동조합의 설립을 원천적으로 막는 ‘세계 최악의 기업’ 삼성이 반인륜적 방식으로 프라이버시를 침해하고 있을 가능성을 강력하게 시사해주었다.

3) 개인의 프라이버시 침해사건

정보기술의 발달로 개인의 힘이 크게 강화되었다. 이 때문에 개인의 프라이버시 침해사건도 갈수록 늘어나고 있다. 이것은 크게 두가지로 나누어 살펴볼 수 있다.

첫째, 크래킹이다. 크래킹과 해킹을 구분할 필요가 있는데, 해킹이 순전히 기술개발의 목적으로 전산망의 보안체계를 뚫는 것을 뜻한다면, 크래킹은 경제적 목적을 비롯한 다른 목적으로 그렇게 하는 것을 뜻한다. 크래커는 보통 경제적 목적으로 각종 전산망을 공격한다. 이렇게 해서 손에 넣은 온갖 정보를 팔아서 막대한 돈을 손에 넣는 것이다. 이러한 크래커들은 활개를 치고 있는 반면에 정부나 기업의 개인정보관리방식은 대단히 허술하다. 이 때문에 수십만명, 심지어 수백만명의 개인정보를 빼내서 팔아먹는 사건이 계속해서 일어나고 있다. 이렇게 유출된 개인정보는 기업의 장사수단으로 이용되는 경우가 대부분이지만, 때로는 악랄한 범죄의 도구로 이용되기도 한다.

둘째, 인격 파괴이다. 몰래카메라와 인터넷을 합치면 최악의 프라이버시 침해사건이 일어날 수 있다. 1999년 초에 일어난 ‘O양 비디오’ 사건과 2000년 말에 일어난 ‘B양 비디오’ 사건이 그 대표적인 예이다. 둘 다 상대 남자가 섹스행위를 찍은 비디오 테이프를 인터넷 방송국에 판 사건이다. 두 사건, 특히 ‘O양 비디오’ 사건의 영향은 엄청났다. 이 사건으로 인터넷 이용자의 수가 급증했다고 할 정도이다. 그러나 노골적인 섹스장면이 전세계에 공개됨으로써 두 여성의 인격은 말 그대로 파괴되고 말았다.

3. 프라이버시 보호운동

정보화와 함께 한국의 프라이버시는 총체적인 위기를 맞게 되었다. 공동체 사회의 관습이 아직도 많이 남아 있어 프라이버시에 대한 감각이 높지 않은 데다가, 군사독재가 심어 놓은 국가주의도 프라이버시에 대한 감각이 커지는 것을 막았는 데, 이런 상황에서 프라이버시를 훨씬 더 심하게 위협할 수 있는 각종 정보기술이 빠르게 보급되었기 때문이다. 정부는 이런 상황에 제대로 대응하지 못하고 오히려 방치하거나 악화시키기도 했다.

그렇다고 희망이 없는 것은 아니다. 1990년대 중반부터 정보화의 진척을 배경으로 프라이버시 보호운동이 치열하게 펼쳐지기 시작했다. 이러한 시민사회의 대응이야말로 가장 큰 희망이다. 여러 주체들이 다양한 내용으로 펼치고 있는 프라이버시 보호운동의 성과로 한국 사회에서 프라이버시에 관한 감각을 높이고 관련 제도를 개혁할 있는 길이 열리게 되었다.

1) 정보사회운동과 프라이버시 보호

1990년대 중반 이후 나타난 새로운 프라이버시 보호운동은 사실 ‘정보사회운동’이라고 부를 수 있는 더 큰 사회운동의 한 축이라고 할 수 있다. 정보사회운동은 정보화에 따라 새롭게 나타난 사회문제에 대응하여 더욱 안전하고 풍요로운 정보사회를 만들기 위한 사회운동이다. 이 운동은 크게 보아서 규율권력에 맞선 표현의 자유 옹호운동, 감시권력에 맞선 프라이버시 보호운동, 지적재산권의 강화에 맞선 정보공유운동, 정보불평등의 심화에 맞선 정보평등운동으로 나눌 수 있다.

이런 정보사회운동 중에서 가장 먼저 시작된 것은 검열권력에 맞선 표현의 자유 옹호운동이었다. 한국에서 표현의 자유는 크게 두 가지 이유로 제약된다. 첫째, 정치적 이유로서 주로 국가보안법이라는 독재악법을 통해 이루어진다. 둘째, 윤리적 이유로서 정보통신윤리위원회를 내세워 성적 표현물을 규제하는 것이 대표적인 예이다. 그런데 이에 맞서서 펼친 ‘검열반대운동’은 표현의 자유 옹호운동이자 프라이버시 보호운동이기도 했다. 강력한 검열을 위해서는 이용자의 개인정보를 광범위하게 수집하고 추적해야 하기 때문이다. 따라서 프라이버시 보호운동도 정보사회운동의 초기부터 중요한 위치를 차지하고 있었다고 할 수 있다.

1990년대 중반 이후 정보화에 따른 개인정보 보호의 중요성에 대한 사회적 인식은 여러 계기를 통해 계속 높아졌다. 프라이버시 보호운동은 이런 상황을 배경으로 펼쳐지기 시작했다. ‘막가파’ 사건에 이은 백화점 여자화장실 몰래카메라 사건, ‘O양 비디오’ 사건, 각종 크래킹 사건 등이 이어지면서 사회적으로 개인정보 보호와 프라이버시 보호의 중요성에 관한 인식이 크게 높아졌다. 그러나 제도의 개선은 좀처럼 이루어지지 않았다.

법과 제도의 개혁을 목표로 하는 프라이버시 보호운동이 크게 일어나게 된 직접적 계기는 2000년 7월에 발표된 정보통신부의 ‘정보통신망 이용촉진 및 개인정보 보호에 관한 법률(안)’이었다. 이 법률안은 개인정보 보호를 핵심내용으로 제시하고 있었지만, 실제 내용은 오히려 개인정보의 이용을 촉진하는 것이었다. 가장 문제가 된 것은 두 가지였다. 첫째, 미성년자를 대상으로 한 개인정보의 수집과 이용을 쉽게 해서 기업의 미성년 대상 영업을 쉽게 하고자 했다. 둘째, 인터넷 내용등급제를 실시하여 인터넷에 대한 ‘사건검열’과 이용자의 프라이버시 침해를 합법화하고자 했다. 이 때문에 인터넷검열반대운동과 프라이버시 보호운동이 크게 일어나게 되었다.

2) 주요 단체와 활동

프라이버시 보호운동을 벌이는 단체는 적지 않다. 그러나 정보화와 관련된 프라이버시 보호운동을 지속적으로 펼치고 있는 단체는 드물다.

가장 널리 알려진 단체로는 진보네트워크센터(www.jinbo.net)를 들 수 있다. 이 단체는 프라이버시 보호운동만이 아니라 정보사회와 관련된 모든 사안을 다루는 한국의 대표적인 정보사회운동단체이다.

프라이버시 보호운동에 촛점을 맞춘 정보사회운동단체로는 함께하는 시민행동의 시민프라이버시센터(www.privacy.or.kr)를 들 수 있다. 이 센터는 프라이버시 보호에 촛점을 맞추어 여러 정보를 모으고 활동을 펼치고 훌륭한 홈페이지를 운영하고 있다.

다산인권센터(www.rights.or.kr)는 ‘인권에는 양보가 있을 수 없습니다’라는 말을 모토로 내걸고 있는 인권운동단체인데, 정보화에 따른 새로운 인권문제에도 큰 관심을 기울이고 많은 활동을 펼치고 있다. 최근에 이 센터는 삼성SDI의 위치추적 의혹을 파헤치는 데 주력하고 있다.

지문날인반대연대(www.finger.or.kr)는 박정희가 도입한 강력한 국민통제수단인 현행 주민등록제도의 문제를 바로잡기 위해 가장 오래 전부터 가장 강력하게 활동해오고 있는 중요한 정보사회운동단체이다.

참여연대 시민권리국도 2000년대에 들어와 새롭게 정보화에 따른 프라이버시 보호의 중요성에 촛점을 맞추고 여러 활동을 펼치고 있다.

또한 중요한 사안의 경우에는 여러 단체들이 힘을 모아 공동으로 대응한다. 프라이버시 보호와 관련해서 만들어진 연대체의 대표적인 예로는 네이스를 막기 위해 만들어진 ‘프라이버시 보호-NEIS 폐기 연석회의’, 프라이버시 보호 기본법을 만들기 위한 ‘프라이버시법 제정을 위한 연석회의’를 들 수 있다.

연대체는 사안이 있을 때마다 만들어진다. 어떤 연대체는 곧 해체되기도 하고, 다른 연대체는 몇 년씩 지속되기도 한다.

프라이버시 보호운동이 벌이는 활동은 크게 세가지로 나누어 볼 수 있다. 첫째, 감시활동이다. 특히 정부와 기업을 대상으로 프라이버시 침해의 문제를 일상적으로 감시한다. 문제를 바로잡기 위해서는 소송을 벌여야 하는 경우가 많다. 이런 감시활동의 성과는 적지 않다.

둘째, 감시활동을 벌이는 동시에 그것을 넘어서기 위한 법과 제도의 개혁활동을 벌인다. 기존의 법과 제도가 너무나 미비하기에 너무나 많은 프라이버시 침해사건이 아무렇지도 않게 저질러지고 있다. 정부는 보호법을 만든다고 하면서 이용법을 만들거나, 심지어 부서간의 관할권 싸움을 벌이느라고 제대로 된 입법을 하지 않고 있다. 이와 관련해서 가장 중요한 활동사례로 ‘프라이버시법 제정을 위한 연석회의’의 성과를 들 수 있다. 2002년부터 모임을 시작한 ‘연석회의’는 프라이버시보호기본법안을 만드는 데 초점을 맞추고 활동해왔다. 그 결과 2004년 여름에 법안을 마무리하고 본격적인 입법운동을 벌이기 시작했다.

셋째, 한국의 프라이버시 상황이 대단히 열악한 까닭은 법과 제도의 미비가 가장 중요한 원인이지만, 가장 깊은 원인은 공동체 사회와 군사독재에서 비롯된 프라이버시에 대한 낮은 감각이다. 자기가 떳떳하다면 실명을 쓰는 것이 옳지 않느냐면서 사실상 ‘사전검열’에 해당하는 ‘인터넷 실명제’를 강요하거나, 간첩이 아니라면 주민등록증을 못 보여줄 이유가 없지 않냐며 명백히 불법인 불심검문을 행하는 것은 그 좋은 예이다.

4. 맺음말

프라이버시는 개인이 자신의 인격을 온전히 지키고 독립적 존재로 살아가는 것을 뜻한다. 정보화는 ‘개인의 종말’이라는 진단이 나올 정도로 프라이버시를 위태롭게 하고 있다.

특히 한국에서 프라이버시권의 강화는 대단히 시급한 과제이다. 프라이버시에 대한 감각이 아직도 대단히 낮은 상태에서 프라이버시의 침해를 크게 확대할 수 있는 정보화가 빠르게 진척되었기 때문이다. 프라이버시의 보호는 크게 두가지 정책방향으로 이루어질 수 있다.

첫째, 무엇보다 법과 제도를 강화하는 것이 중요하다. 예컨대 개인정보의 무단이용은 물론이고 무단수집 자체를 프라이버시에 대한 중대한 위협으로 간주해서 엄벌에 처해야 한다. 나아가 기존의 처벌조항을 강화하는 것을 넘어서 프라이버시보호관 제도와 같은 새로운 제도를 하루빨리 실행해야 한다. 독일에서 가장 발달된 이 제도는 세계적으로 확산되는 추세에 있다. 이 제도의 장점은 가장 중대한 프라이버시 침해의 주체인 정부와 기업으로 하여금 사전에 프라이버시 침해의 문제를 최소화할 수 있다는 데에 있다. 이런 점에서 프라이버시보호관 제도는 ‘안전한 선진정보사회’를 만들기 위해 가장 필수적인 제도이다.

둘째, 프라이버시 보호의 중요성을 널리 알리고, 또한 그 침해가 대단히 수치스러운 범죄행위라는 사실을 널리 알려야 한다. 이렇게 해서 프라이버시에 대한 사회적 인식과 감각의 수준을 크게 개선하고 향상해야 한다. 이를 위해 기능교육과 소양교육이 균형을 이루도록 정보화교육의 내용을 크게 보완해야 한다. 소양교육은 케케묵은 윤리교육보다는 프라이버시 침해의 범죄성을 알리는 법학 교육과 프라이버시 보호의 중요성을 깨닫게 하는 사회학 교육에 촛점을 맞춰야 한다. 뻔한 윤리교육으로 사람들을 길들이려 하는 소양교육은 실패할 수밖에 없다.

프라이버시 침해의 문제는 사후대책이 소용없는 경우가 많다. ‘O양 비디오’ 사건이 단적인 예이다. 어떤 보상과 규제로도 이미 일어난 프라이버시 침해의 결과를 되돌이킬 수 없다. 문제는 그 결과가 치명적인 상태에 이르기도 한다는 점이다. 프라이버시 침해는 단순히 어떤 사람을 귀찮게 하는 것이 아니라 그 사람의 인격을 무시하는 것이며, 나아가 그 사람의 존엄성은 물론이거니와 생명권 자체를 위협하는 것이다.

따라서 프라이버시 침해의 문제를 막기 위해서는 법과 제도의 발본적 개혁을 통한 사전예방의 방향으로 나아가야 한다. 이를 위한 비용은 선진정보사회를 만들기 위해 필수적인 투자이다. 이런 투자를 하지 않고 선진정보사회를 만들겠다는 것은 그야말로 ‘도둑놈 심보’라고 하지 않을 수 없다. 올바른 투자 없이 올바른 결과가 이루어질 수는 없다. 프라이버시보호 기본법의 제정, 프라이버시 보호관 제도의 신설로 ‘선진정보사회’를 향해 한 걸음 더 나아갈 수 있게 될 것이다.

2부 토론문

한국 개인정보 보호운동의 경험

박준우 / 함께하는 시민행동 개인정보보호팀장

Park, Joon Woo / Citizens' Action Network, Team Cordiantor of Personal Information

발표자께서 프라이버시 침해 사건과 프라이버시 보호 운동을 중심으로 한국의 상황을 잘 소개해주셨다. 그러므로, 좀 더 세부적인 문제에 집중해서 토론을 하려 한다. 개인정보 보호운동에 참여하고 있는 활동가로서 한국 개인정보 보호운동의 경험을 소개하고 최근의 변화 양상을 짚어보려 한다.

1. 윤석양 이병의 보안사 사건

한국은 1960년대부터 90년대 초반까지 군부를 기반으로 한 권위주의 정권이 지배하고 있었다. 어느 나라에서나 마찬가지이듯이, 이들 정권을 유지하는 주요 기제 중 하나는 정보기구의 활동이었다. 중앙정보부에서 국가안전기획부로 이어지는 국가정보기구는 물론, 보안사령부-기무사령부로 이어지는 군 정보기구 역시 민주화 운동을 탄압하는 억압적 국가기구의 상징이었다. 그러나, 1987년 6월항쟁의 결과로 권위주의 정권의 사회 통제 능력이 일정 정도 후퇴하고 민주화가 진전되었다. 이 때 행해진 여러 조치 중 하나로 군의 정치개입 중단을 들 수 있다.

그러나, 역시 군부 출신인 노태우 대통령은 이러한 약속을 충실히 이행하지 않았으며, 민주화를 요구하는 사회운동이 계속되었다. 그 과정에서 드러난 사건이 보안사 민간인 사찰 사건이었다. 1990년 10월 4일 윤석양씨(당시 육군 이병)가 보안사령부의 민간인 정치 사찰 자료를 폭로했는데, 윤석양씨의 양심선언에 따르면 당시 보안사령부는 야당 및 재야 사회운동의 주요 인사들을 중심으로 각계 인사 1,300여명의 가족사항, 학력과 경력, 정당 및 사회 활동 등을 체계적으로 수집했다. 이는 군이 여전히 정치에 개입하고 있음을 확인하는 계기가 되어 큰 충격을 안겼다. 그러나, 국방부는 “윤 이병이 공개한 문건은 보안사에서 전시나 비상시에 대비하여 적 또는 불순세력으로부터 요인들을 보호․차단하기 위해 작성한 신상자료로서 정치적 목적의 대민사찰과는 무관한 것”이라는 어이없는 해명으로 국민들의 분노를 샀으며, 항의시위와 집회가 계속되었다. 특히 10월 14일 보라매공원 집회에는 약 20만의 시민들이 모이기도 했다.

한편 노무현 현 대통령을 비롯하여 당시 사찰대상 인사 145명이 국가를 상대로 피해배상을 청구하기도 했다. 이 재판은 결국 1998년 7월 24일 대법원에서 원고 승소 판결로 막을 내렸다. 이 때 대법원은 “헌법 제10조와 17조는 개인의 사생활이 타인으로부터 침해되거나 함부로 공개되지 아니할 소극적 권리는 물론, 오늘날 고도로 정보화된 현대 사회에서 자신에 대한 정보를 자율적으로 통제할 수 있는 적극적인 권리까지도 보장하려는 데 그 취지가 있는 것으로 해석된다”는 판례를 남겼는데, 이 판례는 우리 사회에서 자기정보통제권을 공식적으로 인정한 최초의 판례이다.

그런데, 사건이 발생한 당시에는 개인정보 보호라는 문제의식은 없었으며, 그보다는 억압적 국가기구에 대한 저항의 성격이 강했다. 이후로도 한국에서 주요한 개인정보 보호운동은 주로 국가 감시에 대한 저항이자 민주주의 운동으로서의 성격이 강하게 나타나게 된다.

2. 최초의 개인정보 보호운동 - 전자주민카드 반대운동

한국에서 최초로 개인정보 보호를 내건 운동으로는 전자주민카드 반대운동을 들 수 있다. 발표문에 한국의 주민등록제도의 문제점이 상세히 소개되어 있는데, 이 주민등록제도를 상징하는 것이 바로 전국민에게 강제발급되는 주민등록증이다. 이 신분증에는 주민등록번호와 지문을 비롯한 주요 신상정보가 기재되어 있었다. 이런 상황에서 정부가 단순한 주민등록증보다 훨씬 많은 개인정보를 축적하고 확인할 수 있게 하는 전자주민카드를 도입하려 하자 상당한 반발에 부딪힌 것이다. 1996년 주요 시민사회단체들이 망라된 <통합전자주민카드 시행 반대와 프라이버시권 보호를 위한 시민사회단체 공동대책위원회>가 형성되어 반대 운동을 펼쳤고, 결국 2년여만에 도입 계획이 철회되었다.

사실 주민등록증에 기록된 정보는 10여가지에 불과했지만 주민등록번호와 지문이 포함되어 있다는 점에서 개인정보 침해의 상징이었다. 그런데, 실제 주민등록법에 따라 관리되는 주민정보는 약 140여가지에 달했다. 전자주민카드는 이 140여개 정보를 모두 담아낼 수 있을 뿐 아니라, 더욱 확장될 가능성이 높았다.

이 운동은 한국 시민사회가 개인정보자기결정권(혹은 자기통제권)이라는 새로운 권리 의식에 눈뜨게 되었다는 점에서 매우 중요한 운동이었다. 이는 공대위가 개인정보보호기본법의 제정과 독립적 감독기구의 설치를 주요 요구사항을 내걸었다는 점에서 드러난다. 그러나, 개인정보 자기결정권에 대한 의식을 가진 것은 운동의 지도부에 국한되었으며, 이 운동의 실제 배경은 전통적인 억압적 국가 통제에 대한 반감이었다고 보는 것이 적합할 것이다.

한국에서 주민등록증은 불심검문이라는 제도와 결합되면서 독특한 사회 통제 수단이 되었다. 불심검문은 사법경찰관이 지나가는 행인들 중 수상하다고 판단되는 사람의 신분을 임의로 확인할 수 있도록 하는 제도인데, 실제로는 대규모 집회나 시위에 참석하려는 사람들을 대상으로 주로 실시되면서 사회운동을 탄압하는 대표적 수단 중 하나로 인식되었다. 그런데, 이전에는 주민등록법에서 모든 국민이 주민등록증을 소지할 의무를 부여했었고, 이 규정이 없어진 이후에도 한국에서 주민등록증이 워낙 광범위하게 사용되다보니 대부분의 사람들이 주민등록증을 늘 지참할 수밖에 없었다. 당연히 불심검문 때 주로 신원확인수단으로 사용된 것도 주민등록증이었다. 이러한 일상적 경험이 오히려 이 운동의 진정한 배경이었다고 생각된다.

3. 전자주민카드 반대운동 이후 - 지문전산화 반대운동 / 전자건강카드 반대운동

1999년에 전자주민카드의 도입이 좌절되자, 정부는 당시의 종이 신분증을 플라스틱 신분증으로 바꾸는 작업에 착수하면서, 전 국민의 얼굴 사진 및 지문을 전산 처리가 가능한 방식으로 다시 수집하기 시작했다. 전자주민카드 반대 운동을 주도했던 시민사회단체들은 이것이 사실상 전자주민카드와 다르지 않은 결과를 가져올 것이라고 판단하여 지문날인 거부 운동에 나섰다. 그러나, 정부는 읍․면․동사무소는 물론 통․반장까지 말단 행정조직을 총동원하여, 사업 시작 반 년만에 전 국민의 90% 이상의 화상 및 지문을 전산화하는데 성공했다. 이 과정에서 지문날인을 거부하는 사람은 물론 단순히 지문 날인을 미루고 있던 사람들조차, ‘빨갱이’로 불리거나 법적 근거도 없는 행정 처벌의 위협을 받는 등 각종 협박의 대상이 되었다.

반면, 2001년에 의료보험증을 스마트카드로 교체하려는 전자건강카드 도입 계획은 전자주민카드의 부활이라는 반발에 부딪쳐 좌절되었다. 또, 이 무렵 미아찾기를 위한 유전자정보 DB와 성범죄자에 대한 유전자정보 DB를 구축하려는 시도가 있었으나 역시 참여연대 시민과학센터를 중심으로 한 주요 시민사회단체들의 반발에 부딪혀 좌절되었다. 특히 전자건강카드 및 성범죄자 유전자 DB의 경우 보건의료운동 단체와 여성운동 단체들이 반대 운동에 참여하면서 구축 계획이 비교적 쉽게 좌절되었다. 반면, 미아찾기 유전자 DB의 경우 실종자 가족 단체와 반대운동 단체들 사이의 대립이 형성되었으며, 올 해 초 경찰청에서 다시 이 문제를 끄집어내면서 동일한 경험이 반복되고 있다.

4. 민간 영역으로의 개인정보 보호운동의 확대

기본권으로서의 개인정보자기결정권에 대한 의식이 일반 시민들 사이에 싹트기 시작한 것은 인터넷 사용이 보편화된 2000년대 이후였다. 특히 2001～2002년에 걸쳐 스팸메일 및 불법적 텔레마케팅이 확산되면서 개인정보자기통제권의 필요성이 강조되기 시작했다. 이 무렵 여러 시민사회단체들 역시 기존의 국가 차원의 개인정보 수집 이외에 기업의 소비자 정보 수집에 대한 감시 운동을 전개해왔다. 1999년 함께하는 시민행동은 민간 영역에 적용될 수 있는 개인정보 보호법을 제정해야 한다고 주장했으며, 2000년부터 주요 인터넷 기업들의 잘못된 개인정보 관행들을 바꾸기 위한 운동에 돌입한다. 이는 YMCA, 참여연대 등 여러 시민사회단체들로 확산되어 신용카드사, 유․무선 통신회사 등의 불법적 개인정보 유출 및 제3자 공유 등에 대한 고발․소송 등으로 이어졌다. 또한 최근 신용카드사들의 불법 채권 추심으로 인해 당사자와 가족들에게 발생하는 프라이버시 문제들에 대해서도 관심이 확대되고 있다.

한국은 1994년에 공공기관의개인정보보호에관한법률이 제정되었으나, 민간 영역의 개인정보 보호를 다루는 법률은 존재하지 않았다. 2001년에 정보통신망이용촉진및정보보호등에관한법률에 개인정보 보호에 관한 내용이 신설되면서 민간 영역 중 유․무선통신사와 인터넷 기업들에 관련된 개인정보를 다룰 수 있게 되었다.

한편 작업장에서의 전자적 노동 감시에 대한 문제의식도 발전했다. 이는 주로 노무관리와 연관되면서 이슈화가 이루어졌는데, 특히 CCTV를 통해 집중적으로 이슈화되었다. 1997～99년에 걸쳐 차내에 설치된 CCTV를 철거할 것을 요구한 버스노동자들의 노동쟁의가 몇몇 사업장에서 발생했으며, 이에 부응하여 진보네트워크센터를 중심으로 하는 진보적 사회운동가들과 연구자들이 처음으로 작업장 감시에 대한 실사 및 연구 결과들을 내놓기도 했다. 2001년 가을 전북의 (주)대용에서는 CCTV를 통한 작업장 감시 및 노조 활동 감시에 대항하여 최초로 파업이 발생했으며 이후 여러 사업장에서 CCTV 철거 투쟁이 계속되고 있다.

2002년 민주노총, 진보네트워크센터 등을 중심으로 노동자감시근절을위한연대모임이 구성되면서 CCTV 이외에도 인터넷 사용 모니터링, E-mail 감청, ERP(전사적 자원관리) 등 작업장과 관련된 다양한 정보시스템의 노동 감시 문제에 대한 조사와 대책을 내놓기 시작했다. 그 결과 전북대병원에서는 ERP 도입 반대가 파업의 이슈가 되었으며, 민주노총은 교사들의 메신저 사용을 비롯한 컴퓨터 사용을 감시한 몇몇 학교의 교장과 재단 관계자들을 고발하기도 했다. 또, 2002년 (주)스카이라이프에서 회사 간부가 부하 직원의 메일을 강제로 열람했다가 통신비밀보호법으로 구속되었으며, 최근에는 발표문에서 소개되었듯이 노조탄압 수단으로 위치추적을 이용한 삼성SDI의 사례가 문제가 되고 있다.

5. 개인정보 보호운동의 성격 변화

기본권으로서의 개인정보자기결정권에 대한 문제의식이 사회운동 전반으로 확산된 것은, 발표문에서 소개된 2003년 NEIS(전국단위 교육행정시스템) 반대 운동이었다고 볼 수 있다. NEIS는 전국 초․중등학교 학생들의 성적 및 건강, 생활기록, 교사들의 업무 및 인사기록 등 주요 개인정보를 하나의 행정정보시스템으로 통합하려는 계획이었는데, 전국교직원노동조합과 개인정보보호운동단체 및 교육운동 단체들의 반발에 부딪쳐 계획이 일부 수정되었다. 이 운동의 성공 역시 한국 사회의 독특한 경험과 관련되었다는 점에서 이전의 주요 운동 사례들과 유사한 성격을 갖는다. 식민지 및 군부 권위주의 시대의 경험이 반영된 한국의 초․중등학교의 교실은 매우 억압적인 분위기를 띠고 있었다. 많은 교사들이 학생의 성적 및 가정형편을 마구잡이로 공개하고 이에 따라 학생들에 대한 차별 대우를 하곤 했으며, 심지어 공개적인 소지품 검사와 두발, 복장 검사 등 반인권적 행위가 일상적으로 이루어지는 등 학생인권이라는 것을 찾아보기 어려웠다. 이런 경험이 NEIS에 대한 광범위한 반발의 배경이었다.

그런데, 이 운동의 전개과정에서 기존의 개인정보보호운동이 가졌던 문제의식과는 약간 다른 문제의식을 하나 나타났다. NEIS 반대의 근거는 크게 두 가지였는데, 하나는 개인정보를 집적하는 시스템이라는 점이었지만, 다른 하나는 교육을 획일화하는 시스템이라는 점이었다.  이 시스템은 교육행정가들이 원하는 기준에 따라 정보를 수집하므로, 결국 전국의 학생들을 일렬로 줄세우는 결과를 가져올 것이라는 점이 문제가 되었다. NEIS에 축적되는 개인정보 이외의 정보들도 마찬가지이다. 주어진 기준에 따라 교사의 교안부터 학교의 모든 업무가 동일한 기준에 따라 입력되므로, 교사나 학교에서 창의적으로 개발한 새로운 과목의 교안들은 입력될 곳이 없다. 우리 헌법에 보장된 교원의 전문성과 자주성, 교육 자치의 이념들이나 요즘 주목받고 있는 대안학교들의 운영 방식 역시 이 시스템에서 설 자리가 없다.

즉, 사회적 소수자들을 배제하는 체계로서의 개인정보 수집에 대한 문제의식이 나타난 것이다. 실제 운동 전개 과정에서는 개인정보의 집적․유출만이 주로 논의되면서, 획일성에 대한 문제의식이 거의 반영되지 않았지만, 최근 이러한 문제의식이 확산될 징조가 엿보인다. 한 장애인운동 활동가는 “장애인에게 있어 자립생활 실현을 위한 자기정보결정권은 우선 ‘자기 장애’와 관련되는 ‘모든’ 정보를 제공받을 수 있어야 하는 것이다. 당사자에 의해서 자신의 장애에 관한 정보가 만들어져야 하며, 잘못된 정보에 대하여 수정을 요구하면 이에 대한 시정이 절대적으로 보장되어야 한다”고 선언한 바 있으며, 또 한 여성활동가는 “나를 스스로 규정하고 그에 따라 불려주고 보여질 수 있는 권리, 그것이 나의 프라이버시권이다. 나는 국가에 의해 ‘2’로 규정된 생물학적 성별에 갇히기를 원하지 않는다”고 이야기한다. 이러한 변화된 사고가 아직 활발한 운동으로 연결되고 있는 것은 아니지만, 몇몇 단초가 나타나고 있다.

김광이 장애인차별금지법제정추진연대 팀장, ｢나는 나, 자립생활과 자기정보결정권｣, ꡔ월간 네트워커ꡕ 2004년 1월호(진보네트워크센터 발간)

페이퍼문(언니네 운영위원), ｢여성의 프라이버시권과 신분등록제도｣, ꡔ월간 네트워커ꡕ 2004년 3월호.

그 한 예로 호적법 개정과 관련된 논의를 들 수 있다. 주민으로서의 신분등록제도인 주민등록제도와 달리, 호적은 개인의 가족 관계를 등록하는 제도이다. 그런데, 전통적인 호적 제도는 친아버지를 중심으로 가계를 파악하도록 되어 있어 가부장적이라는 비판을 받아 왔으며, 최근 개정이 논의되고 있다. 이에 따라 호적 자체도 새로운 신분등록부로 대체되어야 하는데, 이와 관련하여 기존에 많이 논의되어왔던 것이 가족부 제도와 1인1적제이다. 가족부는 부부와 미혼자녀를 기본으로 하는 핵가족(혹은 기본가족) 구성원의 주민등록번호, 생년월일, 성별, 혼인일 등을 기록하는 제도이다. 한편 최근 법무부와 여성단체들이 제기한 1인1적제는 출생, 사망, 결혼, 배우자, 가족사항 등을 담은 기록을 개개인별로 제시하는 것이다.

그런데, 목적별신분등록제실현을위한연대라는 단체에 참여하고 있는 몇몇 인권활동가들이 최근 이 두 안을 모두 비판하고 나섰다. 두 안 모두 남녀가 부모로 존재하는 가족 형태만을 '국가 공인 정상 가족'으로 규정하고, 고아, 한부모 가족, 비혼모/부, 비혈연 공동체, 독신가구, 동성간/이성간 동거 등 다른 다양한 형태의 가족은 비정상 가족으로 규정하는 결과를 낳게 된다는 것이다. 또한 가족부나 기존 1인1적제의 신분등록표에서 가족 형태를 그대로 보여줌으로써, 이른바 비정상 가족들이 현존하는 편견과 차별에 그대로 노출되도록 만드는 것이기도 하다.

또, 최근에는 주민등록번호의 성별구분 폐지가 주장된 바 있다. 한국의 주민등록번호는 생년월일, 그리고 성별과 출신지역을 조합하는 평생불변의 전국민 고유식별번호여서 그 자체로도 매우 인권침해의 소지가 크다. 그런데, 최근 몇몇 시민사회단체들이 이 번호의 성별구분을 폐지해달라고 국가인권위원회에 진정한 것이다. 이들은 주민등록번호가 남성과 여성이라는 두 성 정체성만을 강요하고 있으며, 그것도 본인의 의사에 따른 것이 아니라 성기의 형태에 따라 결정되는데다, 남성이 1이고 여성이 2인 것까지, 철저하게 가부장적인 번호체계라고 지적했다. 이제 막 시작된 탓에 이 활동들에 대해 구체적으로 평가하기는 어렵지만, 기존의 개인정보보호운동이 담아내지 않았던 새로운 문제의식을 확인할 수 있는 계기임은 분명하다.

2부 토론문

Private/Public의 접선에 주목하는 진보적 미디어문화운동의 배치

전규찬 / 한국예술종합학교 영상원 교수, 문화연대 매체문화위원장

문화연대를 비롯해서 참여연대, 진보네트워크센터, 지문날인반대연대 등으로 구성된 ‘프라이버시법 제정을 위한 연석회의’는 국정감사에서 확인된 개인정보 유출 문제에 관해 재차 심각한 우려를 표시했다. 법제도적인 보호 장치 없이 구축되고 있는 데이터베이스, 공공장소에 마구잡이로 설치된 폐쇄회로TV, 그리고 주민등록번호 등의 문제를 다룰 개인정보보호위원회의 설립과 개인정보보호기본법 제정을 강력하게 촉구한 것이다. 자본과 국가로부터 개인의 사적 권리를 보호하는 것은 식민화된 생활세계를 회복하는 실천, 억압된 공공영역을 회복하는 운동은 상호 밀접하게 연관되어 있다. 인권은 개인적인 동시에 사회적이고, 사적이면서 또한 공적인 문제이다.

지하철 넘쳐나는 TV스크린과 광고지를 통해 쏟아지는 선전물들은 개인의 평안뿐만 아니라 공적 공간의 희생을 강요한다. 에스컬레이터 타고 올라갈 때 줌-인하듯 다가오는 CCTV 카메라를 응시할 때 (혹은 응시 당할 때)마다 그 불쾌감도 참을 수 없다. 그래서 손가락으로 FUC YOU!라고 욕한다. 그래도 승객의 안전을 위해 감수해야 할 침범의 장치라고 치자. 그렇지만 강남 곳곳에 설치된 것 카메라들도 반드시 공익을 위한 사적 이익의 불가피한 희생이라고 볼 수 있을까? 오히려 그보다는 개인자산보호라는 계급적 이해관계가 배후에 도사리고 있으며, 결국 소수의 사적 이익을 위해 프라이버시가 침해되고 결국은 공공의 장소/공간으로서 거리까지도 봉쇄되고 있는 게 아닌가? 그래서 교통과 흐름, 채움의 거리가 불행하게도 단절과 구획, 비움의 지대로 변모하고 있는 것은 아닌가?

지난 촛불시위를 마치고 밤늦게 기차에서 내려 집으로 돌아가고 있을 때였다. 부안 집회에서 산 ‘핵 없는 세상’이라는 노란 벙거지 모자를 쓰고, ‘탄핵반대’를 가슴에 달고 걸어가는데 누군가가 따라왔다. 어둠 속 언뜻 보이는 얼룩무늬 군복 차림의 청년이 대뜸 내지르는 것은 ‘당신이 수상해 보인다’는 섬뜩한 고발이었다. 당신의 정체가 무엇인지 말해라고 다그친다. 가방 속에 뭐가 들어있는지, 손에 들고 있는 책은 어떤 내용인지 심문한다. 과연 술 취한 청년에 의한 재수 없는 봉변이라고 하고 말 것인가? 그러기에 이 개인 정체와 신체를 향한 테러는 너무나 구조화되어 있다. 어느 곳에서든지 의심의 시선, 감시의 폭력은 상시적으로 작동한다. 경찰에 의해, ‘법질서’와 ‘안전’의 이름으로 훨씬 더 합법적이고 체계적인 방식으로 이루어진다. 보드리야르가 말한 가시성의 과잉 상태, 즉 ‘외설’의 천국이다.

말해줘, 말해줘! 보여줘, 보여줘! 협조하지 않으면 강제로라도 들여다 볼 꺼야! 그래서 외대 앞 지하철을 내릴 때 내게 다가온 두 경찰관이 ‘잠시 검문 있으니 협조해 달라’고 한다. 왜 하필 ‘나’란 말인가? 이웃에 아무런 해 미치지 않고 걷는 ‘나’를 왜 ‘그들’은 정지시킬 권리가 있는가? 이유는 간단하다. 당신이 ‘이상’해 보이기 때문이다. 당신이 ‘부자연스러워’ 보이기 때문이다. 곰곰이 생각해보라. 그 두 경찰이 현장에 나오기 전에 뭐라고 교육 받았겠는가? ‘수상쩍어 보이는 놈, 이상해 보이는 놈, 부자연스러워 보이는 놈’들을 찍으라. 바로 그 순전한 추측의 게임에 나/개인/우리는 재수 없게 걸려든 것인가? 그렇기 때문에 ‘나 혼자’ 검문을 거부하고 분통 터뜨리고 끝낼 일인가? SF가 아닌 바로 이 시대 현실 속 ‘ID 경찰’의 ‘나’에 대한 검문에 의해 희생되는 명백히 공적인 공간의 희생은 어떻게 처리할 것인가? ‘private’에 대한 앎의 권력의지는 'public'의 종말을 수반한다.

‘public’과 ‘public'은 언뜻 생각되듯 둘이 아닌 한 몸이다. 밀접히 접합되어 있는 사회적 문제이다. 따라서 ‘진보적’이라 이름 붙여진 운동단체들이 개인의 자유, 사생활, 프라이버시 문제에 관심을 갖고 이를 사회적인 층위로 끌어올려 급진적으로 풀이하고자 노력하는 모습은 크게 바람직하다. 진보적, 급진적 민주주의 운동이 보다 실천적으로 주목해야 할 대목이 바로 이 사적/공적 부문의 상호연관성이며, 인권의 문제는 바로 그 결정적 사안이다. 사적인 문제를 공적으로 접근하는 관점의 마련은 최근 보수진영의 두드러지는 ‘사적 부문’에 대한 관심에 비춰볼 때 특히 운동적으로 시급하다. 실제 보수신문들이 프라이버시 문제에 기울이는 관심은 매우 흥미롭다. <세계신문>이 시리즈물로 연재했을 뿐 아니라, <동아일보>도 최근 몇 차례 프라이버시 문제를 다루었다. ‘프라이버시의 종말?...무인감시장치 어디까지 왔나’는 보도는 그 대표적 예가 된다. 빅브라더의 출현 가능성을 경고하면서, 막연하긴 하지만 “우리가 모르는 사이 얼굴 사진이 찍히고 신원조회가 이루어지는 사회가 다가오지 않도록 제도적인 규제 장치가 마련돼야 할 시점”이라고 결론 맺는다.

헷갈린다. 명백히 ‘보수지’로 분류되는 신문이 개인의 자유 보호를 위한 사회적 장치 필요성을 강조하고 있다. 분명 리버럴리즘의 얼굴이다. ‘리버럴’의 배움을 통해 기존의 이념 경직성에서 벗어나고자하는 성찰의 제스처인가? 그렇다면 응당 인권에의 관심은 국가보안법의 거부로 이어져야 할 것이다. ‘국가의 안보’와 ‘국민의 이익’, ‘전체의 질서’를 위해 개인이 지닌 사상과 표현의 자유는 희생될 수 있다는 논리와 리버럴리즘은 결코 양립할 수 없기 때문이다. 이들 신문에 그런 일관성을 기대하기는 현재로서 한참 무리다. 국보법 반대에 대한 반대라는 점에서 한점 보수의 양보를 기대하기 어렵다. 결국 리버럴리즘을 신자유주의로 전유하고, 시장으로 해소된 리버럴의 가치를 보수적 이념과 접합시키려는 조직화된 작전 전개 과정에서 빚어진 우발적 사건이 아니었을까? 개별 기자가 지닌 리버럴적 태도를 신문의 논조로 설명하고 싶은 의도는 없다.

그렇지만 분명한 것은 보수지의 ‘프라이버시’ 등 ‘사적인 문제’에 대한 관심이 지독히 높다는 점이다. 개인의 자유를 신자유주의로 풀이해, 궁극적으로는 보수적으로 말아먹자고 하는 전략은 아닌지 의심된다. 성매매특별법에 관한 보수 신문들의 반응을 봐도 이런 의심은 더욱 확고해진다. <조선일보>와 <동아일보>는 성매매특별법에 대해 오히려 반대하는 입장을 취했다. 인권 즉 소비자 즉 남성 성 구매자의 ‘인권’을 침해한다는 논리를 노골적으로 내세웠다. 전통적인 성 가족 이데올로기에서 한발 물러나 남성중심 시장 이데올로기와 조화시키고자 하는 것이다. 그래서 대표적인 가족주의자인 강지원 변호사와 한경연 규제연구센터 소장이 “법규제 논쟁보다 일그러진 성문화 자성부터”라는 제목 아래 좌담을 펼친다. 시장과 전통, 자유와 보수의 기찬 결합이다. 시장과 전체는 서로의 생존을 위해 화해해야 한다. 그리고 이 둘 사이 동거 관계를 마련하는 게 또한 보수 매체 스스로의 생존을 위해 필수적임을 이들 신문은 잘 알 고 있다.

바로 이렇게 프라이버시, 인권, 사적인 문제에 대한 신자유주의의 얼굴을 한 보수진영의 공세가 집요하다. 매우 적극적이며, 헷갈린다. 많은 사람들에게 매력적으로 보인다. 심지어 진보적, 급진적 관점과 차이나지 않아 보이기까지 한다. 그러나 신자유주의/보수주의의 ‘private'에 대한 관심은 말 그대로 'private'인 차원에 그친다. 사적인 것과 공적인 것 사이의 연관성을 철저히 무시하며, 둘 사이를 이간질하고자 한다. 공적인 것에 의한 사적인 것의 희생이라는 논리를 슬그머니 내세우며, 사적인 것의 보호를 위한 시장의 역할을 슬쩍 끼워 넣는다. ’사적인‘ 문제를 결코 해결해 주지 않는다는 점에서 이런 시각이 지니는 한계는 뚜렷하다. 그럼에도 불구하고 'private/privacy'를 둘러싼 담론 다툼이 앞으로 만만치 않음은 틀림없는 사실로 남는다. 프라이버시의 문제에 대한 진보적 미디어/정보/문화운동의 재배치가 필요하다. 어떻게 보수/신자유주의의 이데올로기 공세를 막아내면서 동시에 ’사적인‘ 문제를 공적인 사안으로 급진화할 것인지, 이론과 담론의 배치에 관한 보다 많은 관심이 요구된다.

’private/privacy'에 대한 관심 자체가 곧 진보를 뜻하지 않는다. 사태를 어떻게 접근하고 해석하고 풀고자 하는지에 따라 보수와 리버럴, 신자유주의와 보수적 관점은 갈라진다. 'private/public'의 접합 양상에 주목하는, ‘private/market’의 근친적 관계를 탈구시키는 보다 정밀한 전략 계발이 급진적 리버럴/진보적 운동 세력의 과제로 남는다.

Datenschutzrecht in Deutschland

Vortrag für den Korean-German Joint Workshop on Privacy Protection

der People's Solidarity for Participatory Democracy und der Friedrich-Ebert-Stiftung

am 1.11.1004 in Seoul

von Prof. Dr. Alexander Roßnagel, Universität Kassel

1. Deutschland ist stolz darauf, dass im Bundesland Hessen bereits 1971 das erste Datenschutzgesetz der Welt in Kraft getreten ist. In den folgenden Jahren folgten die Datenschutzgesetze der anderen Bundesländer und 1978 das Datenschutzgesetz des Bundes. Während die Landesdatenschutzgesetze nur den öffentlichen Bereich in dem jeweiligen Land regeln, gilt das Bundesdatenschutzgesetz für den öffentlichen Bereich des Bundes und den gesamten privaten Bereich.

2. Normativer Ausgangspunkt und Schutzgegenstand des Datenschutzrechts ist das Grundrecht auf informationelle Selbstbestimmung.  Dieses steht als solches nicht in der Verfassung. Es wurde aber 1983 in einem grundlegenden Urteil des Bundesverfassungsgerichts als Konkretisierung der Menschenwürde (Art. 1 GG) und des Grundrechts der freien Entfaltung der Persönlichkeit  in der Informationsgesellschaft anerkannt.

Um die freie Entfaltung der Persönlichkeit zu schützen, gewährleistet 'das Grundrecht ... die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen" (BVerfG).

Dieses Grundrecht hat zwei Zielsetzungen. Zum einen bietet es ein Abwehr- oder Schutzrecht der betroffenen Person gegen Beeinträchtigungen dieser Befugnis. Sie soll den Entscheidungsvorrang über die Verwendung der sie betreffenden Daten haben. Dadurch soll die informationelle Selbstbestimmung die selbstbestimmte Entwicklung und Entfaltung des Einzelnen ermöglichen. Zum anderen ist dieses Grundrecht die Grundlage einer freien und demokratischen Kommunikationsverfassung. Selbstbestimmung ist 'eine elementare Funktionsbedingung eines freiheitlich demokratischen Gemeinwesens", das 'auf Handlungs- und Mitwirkungsfähigkeit seiner Bürger begründet" ist (BVerfG). Informationelle Selbstbestimmung zielt somit auf eine Kommunikationsordnung, die einen selbstbestimmten Informationsaustausch und eine freie demokratische Willensbildung ermöglicht.

Jede Datenverarbeitung gegen den Willen der betroffenen Person ist ein Eingriff in dieses Grundrecht. Allerdings ist dieses Grundrecht nicht grenzenlos. Eingriffe sind dann zulässig, wenn entweder der Gesetzgeber sie durch Gesetz oder die betroffene Person sie durch Einwilligung erlaubt hat. Sowohl das Gesetz als auch die Einwilligung müssen die zulässige Datenverarbeitung präzis beschreiben und vor allem ihren Zweck bestimmen. Durch die Bestimmtheit der Erlaubnis wird der Umfang der zulässigen Datenverarbeitung begrenzt.

Informationelle Selbstbestimmung begründet kein eigentumsähnliches Herrschaftsrecht über personenbezogene Daten. Sie ist als Funktionsvoraussetzung einer freien und demokratischen Gesellschaft nicht in das  vom richtigen Preis abhängige  Belieben des Individuums als Händler seiner Daten gestellt. Ein solches Missverständnis würde auch dem Charakter personenbezogener Daten als mehrrelationales Modell der Wirklichkeit nicht gerecht. So können etwa Gesundheitsdaten nicht als 'Eigentum" des Patienten oder des Arztes anerkannt werden. Eine ausschließliche Zuordnung zu einem  dem Autor oder dem Objekt des Wirklichkeitsmodells  ist nicht möglich. Vielmehr ist eine Informations- und Kommunikationsordnung gefragt, die bestimmt, wer in welcher Beziehung befugt ist, mit dem Modell in einer bestimmten Weise umzugehen. Diese Ordnung soll Kommunikation nicht unterbinden, sondern  allerdings  selbstbestimmt  ermöglichen. Soweit überwiegende Allgemein- oder Individualinteressen gesetzlich anerkannt sind, ist auch eine Datenverarbeitung gegen den Willen der betroffenen Person möglich.

3. Um informationelle Selbstbestimmung wirksam werden zu lassen, verfolgt das Datenschutzrecht, insbesondere das Bundesdatenschutzgesetz, das folgende normative Schutzprogramm:

a) Die Datenschutzregelungen gelten nur für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten. Personenbezogene Daten sind Informationen über eine bestimmte oder mit Zusatzwissen bestimmbare Person. Die Datenschutzregelungen richten sich an die verantwortliche Stelle. Verantwortliche Stelle ist diejenige Stelle, die die Erhebung, Verarbeitung und Nutzung personenbezogener Daten selbst vornimmt oder vornehmen lässt.

b) Die Verarbeitung personenbezogener Daten ist nur zulässig, wenn der Gesetzgeber oder die betroffene Person sie hinsichtlich Umfang und Zweck gebilligt haben. Die betroffene Person muss hierüber vor der Einwilligung unterrichtet worden sein. Sie muss die Einwilligung freiwillig und in einer bestimmten Form abgeben. Diese Form ist im Regelfall die Schriftform mit eigenhändiger Unterschrift oder die elektronische Form mit qualifizierter elektronischer Signatur.

c) Die betroffene Person kann nur überprüfen, ob die Datenverarbeitung rechtmäßig ist, und ihre Rechte wahrnehmen, wenn die Datenverarbeitung ihr gegenüber transparent ist. Ohne Transparenz wird die betroffene Person faktisch rechtlos gestellt. Daher sind die Daten grundsätzlich bei der betroffenen Person zu erheben. Diese ist vor der Erhebung zu unterrichten, bei einer neuen Speicherung zu benachrichtigen und hat gegenüber der verantwortlichen Stelle Auskunftsrechte.

d) Das Gesetz oder die Einwilligung erlauben die Datenverwendung nur zu einem bestimmten Zweck. Die Zulässigkeit der Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten ist auf diesen Zweck begrenzt. Eine Zweckänderung bedarf einer eigenen Erlaubnis. Die betroffene Person soll in der Lage sein, die sie betreffenden Daten entsprechend ihrer sozialen Rolle im jeweiligen sozialen Kontext selbst zu steuern. Infolge dieser Zweckbindung sind eine informationelle Gewaltenteilung zu gewährleisten, die Daten gegenüber Unberechtigten abzuschotten und ein Zugriffsschutz zu gewährleisten. Eine Datenverarbeitung auf Vorrat und die Bildung umfassender Profile sind verboten.

e) Jede Verarbeitung personenbezogener Daten ist nur zulässig, soweit sie erforderlich ist, um den zulässigen Zweck zu erreichen: Es dürfen nur die Daten verarbeitet werden, die für das Erreichen des Zwecks unabdingbar sind. Die Datenverarbeitung ist auf die Phasen zu beschränken, die für das Erreichen des Zwecks notwendig sind. Die Datenverarbeitung darf nur in dem Zeitraum erfolgen, in dem sie zur Zweckerreichung notwendig ist. Danach sind die Daten zu löschen.

f) Informationelle Selbstbestimmung ist nur möglich, wenn die betroffenen Personen auch Mitwirkungsmöglichkeiten haben und die Datenverarbeitung beeinflussen können. Daher sieht das Datenschutzrecht Kontroll- und Mitwirkungsmöglichkeiten vor. Die betroffene Person hat Auskunftsrechte, Korrekturrechte hinsichtlich Berichtigung, Sperrung und Löschung sowie das Recht zum Widerspruch. Sie kann Schadensersatz einfordern, wenn sie durch eine unzulässige oder unrichtige Verarbeitung personenbezogener Daten einen Vermögensschaden erleidet.

g) Zur Durchsetzung des Datenschutzes im öffentlichen Bereich ist im Bund und in jeden Land ein öffentlicher Datenschutzbeauftragter zuständig und für den nicht öffentlichen Bereich eine Kontrollbehörde in jedem Bundesland. Zur Gewährleistung der Verantwortlichkeit einer verantwortlichen Stelle hat diese einen betrieblichen oder behördlichen Datenschutzbeauftragten zu ernennen. Dies gilt für öffentliche Stellen bei einer automatisierten Verarbeitung  personenbezogener Daten und für nicht öffentliche Stellen, wenn mit der automatisierten Datenverarbeitung mindestens fünf Mitarbeiter beschäftigt sind. Der interne Datenschutzbeauftragte hat für die Einhaltung des Datenschutzrechts im jeweiligen Betrieb oder der jeweiligen Behörde zu sorgen. Er hat allerdings kein Recht, Datenschutzmaßnahmen anzuordnen, sondern nur das Recht, dem Behördenleiter oder dem Verantwortlichen in der Geschäftsführung unmittelbar zu berichten. Er ist bei seiner Tätigkeit zu unterstützen, nicht an Weisungen gebunden und darf wegen dieser Tätigkeit nicht benachteiligt werden.

h) Zusammenfassend ist festzuhalten, dass es beim Datenschutz nicht um den Schutz der Daten im Sinn der ausschließlichen Verfügung über die Daten durch den Datenverarbeiter geht dies betrifft Fragen der Datensicherheit, sondern letztlich um die Kommunikationsverfassung der Gesellschaft. Es geht um die Frage, wer über welche personenbezogenen Daten verfügen und diese in gesellschaftlicher Kommunikation verwenden können soll. Diese Frage muss normativ und faktisch vom Prinzip der informationellen Selbstbestimmung der betroffenen Person her beantwortet werden, wenn Freiheit und Demokratie in der Gesellschaft wirklich sein sollen. Die Antwort ist dahingehend zu operationalisieren, dass die beschriebenen Funktionen der Transparenz, Zweckbindung, Erforderlichkeit, Mitwirkung und Kontrolle bei allen Formen der Verarbeitung personenbezogener Daten gewährleistet werden müssen.

4. Seit 1995 gilt in Europa die Europäische Datenschutzrichtlinie. Ihr müssen alle Datenschutzgesetze der 25 Mitgliedstaaten der Europäischen Union entsprechen. Sie wurde in ihrem Inhalt stark durch das geschilderte Schutzprogramm des deutschen Datenschutzrechts beeinflusst. Sie fordert ebenfalls die Geltung der Grundsätze der Transparenz, Zweckbindung, Erforderlichkeit, Mitwirkung und Kontrolle. Daher waren nur relativ wenige Veränderungen notwendig, um diese Richtlinie in Deutschland umzusetzen.

Sie hat aber auch Ansätze aus anderen Mitgliedstaaten aufgenommen. Die wichtigste Neuerung für das deutsche Datenschutzrecht dürfte die Einführung eines besonderen Schutzes für besonders schützenswerte Daten sein. Das Bundesverfassungsgericht hatte 1983 festgestellt, dass die datenschutzrechtliche Bedeutung personenbezogener Daten nicht von ihrem Inhalt, sondern vom Kontext ihrer Verwendung abhängt. Im Gegensatz dazu fordert die Datenschutzrichtlinie, bestimmte Daten, nämlich Daten über die Gesundheit und das Sexualleben, die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen und Gewerkschaftszugehörigkeit in besonderer Weise zu schützen. Dies erfolgt dadurch, dass über deren Erhebung, Verarbeitung oder Nutzung besonders unterrichtet werden muss und diese in der Regel eine besondere Einwilligung der betroffenen Person voraussetzen.

Eine weitere wichtige Neuerung war das Verbot, personenbezogene Daten in Staaten außerhalb der Europäischen Union zu übermitteln, wenn diese kein angemessenes Datenschutzniveau gewährleisten. Dies betrifft viele international operierende Branchen, internationale Konzerne und die Auslagerung von Dienstleistungen der Datenverarbeitung in Drittländer. Die Drohung, von den europäischen Informationsflüssen abgeschnitten zu werden, hat viele Staaten veranlasst, sich anspruchsvolle Datenschutzgesetz zu geben, und viele Konzerne gezwungen, einen konzernweiten Code of Conduct zu etablieren, der für die Niederlassungen in allen Ländern gilt.

5. Insbesondere durch die Diskussion über die Datenverarbeitung im Internet wurde in Deutschland die hohe Bedeutung eines Datenschutzes durch Technik erkannt. Zum einen bringt die neue Technik ein hohes Gefährdungspotential, das sich durch den technischen Fortschritt dauernd verändert, ohne dass der Gesetzgeber dem nachzukommen vermag. Zum anderen zeigt der globale Charakter des Internet die Grenzen des Nationalstaats und nationalen Rechts auf. Gegenüber Datenverarbeitern, die über das Internet vom Ausland aus agieren, ist nationales Datenschutzrecht machtlos.

Angesichts der doppelten Herausforderung permanenter technischer Erneuerungen und globaler Datenverarbeitung versuchen neue Regelungen des Datenschutzrechts, der betroffenen Person dadurch Schutz zu bieten, dass der Datenschutz in die Technik integriert ist. Diese finden sich insbesondere in dem für Internetdienste geltenden Teledienstedatenschutzgesetz, zum Teil auch im allgemeinen Bundesdatenschutzgesetz. Dieser Weg bietet zwei Vorteile: Datenschutztechniken sind - im Gegensatz zu Datenschutzrecht - weltweit wirksam und Technikunternehmen sind - im Gegensatz zu Gesetzgebern - sehr schnell lernende Systeme. Außerdem ist technischer Datenschutz viel effektiver als rein rechtlicher Datenschutz. Was technisch verhindert wird oder unterbunden werden kann, muss nicht mehr verboten werden. Gegen Verhaltensregeln kann verstoßen werden, gegen technische Begrenzungen eines Techniksystems nicht. Datenschutztechnik kann Kontrollen und Strafen überflüssig machen.

Die erste Ausprägung des Datenschutzes durch Technik ist der Selbstdatenschutz. Dem Betroffenen sollen eigene Instrumente in die Hand gegeben werden, seine informationelle Selbstbestimmung selbst zu schützen. Selbstdatenschutz kann durch technische Möglichkeiten der digitalen Signatur, des anonymen und pseudonymen Handelns, der Verschlüsselung und viele weitere technische Hilfsmittel verbessert werden. Dieser Ansatz verspricht zwei Vorteile: Die Betroffenen sind aus Eigeninteresse ebenfalls ständig lernende und sehr rasch reagierende Systeme. Daher ist es - wo dies möglich erscheint - sinnvoller, sie in die Lage zu versetzen, den ihnen jeweils wichtig erscheinenden Selbstschutz jederzeit realisieren zu können,als sie durch flächendeckende Vorgaben zwangsweise zu beglücken. Außerdem wirkt auch dieser Ansatz weltweit: Die Selbstschutztechniken können grundsätzlich bei allen Kontakten in globalen Netzen Anwendung finden. Hier könnte auch der Datenschutzstandard P3P des WWW-Konsortiums helfen.

Eine andere Ausprägung des Datenschutzes durch Technik ist der Systemdatenschutz. Er soll vor allem erreichen, dass so wenig personenbezogene Daten wie möglich erhoben, verarbeitet und genutzt werden. Daher fordert das deutsche Datenschutzrecht von der verantwortlichen Stelle, durch die Gestaltung der Systemstrukturen, in denen personenbezogene Daten erhoben und verarbeitet werden können, die Erhebung und Verwendung personenbezogener Daten zu vermeiden und die Selbstbestimmung der Nutzer sicherzustellen. Ist dies unmöglich, ist die Verarbeitung personenbezogener Daten zeitlich möglichst kurz zu halten und sind die personenbezogenen Daten möglichst früh zu löschen, zu anonymisieren oder zu pseudonymisieren.

Systemdatenschutz ist nicht nur ein Mittel zur Durchsetzung des Ziels der Dateneinsparung, sondern kann zur Umsetzung vieler datenschutzrechtlicher Ziele eingesetzt werden. Zu erwähnen sind drei neue Regelungen im Bundesdatenschutzgesetz (§§ 6a, 6b und 6c), die besondere Gestaltungs- und Nutzungsanforderungen an drei problematische Techniken stellen, nämlich an automatisierte Entscheidungsverfahren, Videoüberwachungssysteme und mobile personenbezogene Speicher- und Verarbeitungsmedien.

6. Ein weiterer neuer Ansatz, Datenschutz zu gewährleisten, sind marktwirtschaftliche Instrumente. Hier war der Mediendienstestaatsvertrag von 1997 Vorreiter, der für Mediendienste ein freiwilliges Datenschutz-Audit eingeführt hat. Dies ist inzwischen auch vom Bundesdatenschutzgesetz übernommen worden. Beide Regelungen setzen allerdings Ausführungsregelungen voraus, die bislang noch fehlen. Ein funktionierendes System eines Datenschutz-Audits für Datenverarbeitungssysteme und einer Zertifizierung für datenschutzgerechte Produkte kennt bisher nur das Land Schleswig-Holstein.

Die solchen Instrumenten zugrunde liegende Idee ist, marktwirtschaftliche Mechanismen für den Datenschutz wirken zu lassen. Eine verantwortliche Stelle, die in ihren Systemen Datenschutz gewährleistet, und ein Hersteller, der datenschutzgerechte Produkte anbietet, können sich von einem neutralen Prüfer in einem gesetzlich geregelten Verfahren und nach gesetzlich vorgegebenen Kriterien die Datenschutzfreundlichkeit ihrer Verfahren oder Produkte bestätigen lassen und damit werben.Sie sollen dadurch einen Wettbewerbsvorteil erlangen, der im Wettbewerb auch andere Stellen und Hersteller veranlassen soll, ebenfalls datenschutzgerechte Verfahren zu wählen und Produkte anzubieten.

7. Deutschland ist stolz darauf der Erste gewesen zu sein, der Datenschutzregeln einführte. Vorreiter zu sein, hat aber auch Nachteile. Konzeption, Struktur und Instrumente des Bundesdatenschutzgesetzes stammen aus den 70er Jahren, also aus anderen technischen und wirtschaftlichen Verhältnissen. Es wurde zwar mehrfach novelliert, zuletzt durch die Anpassung an die Datenschutzrichtlinie der Europäischen Gemeinschaft im Mai 2001. Dennoch ist eine umfassende Modernisierung des gesamten deutschen Datenschutzrechts notwendig.

Dieser Bedarf zur Modernisierung ergibt sich vor allem aus zwei Gründen: Das deutsche Datenschutzrecht ist überreguliert und schwer verständlich. Das Bundesverfassungsgericht hat in seinem Urteil zur Volkszählung 1983 bestimmt, dass für jeden Eingriff in die informationelle Selbstbestimmung der Gesetzgeber den Verwendungszweck bereichsspezifisch und präzise bestimmen muss. Dies war gut gemeint, bewirkte jedoch das Gegenteil des Gewollten. Statt klarer, für den Bürger verständlicher Gesetze, regeln heute etwa 1000 Gesetze in Bund und Ländern den Datenschutz. Diese vielen Gesetz führen zu uneinheitlichen und widersprüchlichen Regelungen.

Der zweite Grund für eine Novellierung ist die mangelnde Orientierung an den Risiken modernster Datenverarbeitung. Das Datenschutzrecht ist stärker auf den öffentlichen als den privaten Bereich gerichtet und noch zu stark auf einen administrativen Vollzug fixiert. Datenschutz ist inzwischen aber auch ein Wettbewerbsfaktor. Nur ein wirksamer Datenschutz ermöglicht es, das Vertrauen der Bürger und Kunden zu gewinnen, das nötig ist, um die Hoffnungen, die mit elektronischem Handel und elektronischer Verwaltung verbunden sind, erfüllen zu können.

Daher verfolgt die Bundesregierung das Ziel, das Datenschutzrecht inhaltlich umfassend zu modernisieren. Zur Vorbereitung hat sie den Berliner Datenschutzbeauftragten Garstka, den Informatiker Pfitzmann und mich als Rechtswissenschaftler mit einem Gutachten beauftragt, das hierfür ein Konzept und erste Regelungsvorschläge entwerfen sollte. Das Gutachten wurde Ende 2001 übergeben. Im letzten Teil meines Vortrags will ich einige wichtige Überlegungen aus diesem Gutachten vorstellen.

8. Ein Datenschutzrecht der Zukunft muss einfach und verständlich sein und es muss den gegenwärtigen und künftigen Risiken adäquat begegnen können. Um das erste Ziel zu erreichen, müssen die Selbstbestimmung der betroffenen Person gestärkt und die Selbstregulierung der Datenverarbeiter ermöglicht und verbessert werden. Um das zweite Ziel zu erreichen, muss vor allem die Transparenz der Datenverarbeitung verbessert, müssen Konzepte des Selbstdatenschutzes und des Systemdatenschutzes konsequent umgesetzt werden, muss Datenschutz verstärkt durch Technik gewährleistet werden und müssen endlich die Kräfte des Marktes und des Wettbewerbs genutzt werden. Im Einzelnen bedeutet dies:

a) Ein modernes Datenschutzrecht sollte in einem allgemeinen Gesetz geregelt werden, das bereichsspezifischen Regelungen vorgeht. Dieses allgemeine Gesetz enthält die allgemeinen Regelungen und bereichsspezifische Gesetze sollten nur die jeweils erforderlichen Ausnahmen enthalten. Dadurch können viele Datenschutzgesetze eingespart werden. Vom Risiko der Datenverarbeitung für die informationelle Selbstbestimmung her gesehen sind viele bestehende Differenzierungen überflüssig, wie die Unterscheidungen zwischen öffentlichem und für den privaten Bereich, manueller und automatischer Datenverarbeitung und natürlichen und juristischen Personen. Ihre Beseitigung schließt sachliche Differenzierungen im Einzelfall nicht aus

b) Datenschutz soll künftig vor allem durch Datenverarbeitungsregeln erreicht werden, die eine Kontrolle und Beeinflussung der Datenverarbeitung durch den Betroffenen sicherstellen.

Dies setzt zum einen eine Verbesserung der Transparenz voraus. Diese sollte dadurch unterstütztwerden, dass die verantwortliche Stelle ihre Datenverarbeitungspraxis in einer allgemein zugänglichen Datenschutzerklärung veröffentlicht. Wird sie auf der Website publiziert, ermöglicht dies, den weltweiten Datenschutzstandard 'Plattform for Privacy Preferences (P3P)" für eine automatisierte Datenschutzkommunikation zwischen dem Datenverarbeiter und dem Betroffenen zu nutzen. Transparenz sollte während der gesamten Dauer der Datenverarbeitung herrschen, insbesondere sollte die betroffene Person von Zweckänderungen und Übermittlungen per E-Mail benachrichtigt werden.

Zum anderen sollte die Entscheidung über die Datenverarbeitung vorrangig der Selbstbestimmung der betroffenen Person überlassen werden. Im privaten Bereich soll daher das 'Opt-in-Prinzip" vorherrschen. Das heißt: Die Datenverarbeitung setzt entweder eine vorherige Einwilligung oder als Ersatz einen Vertrag oder ein vertragsähnliches Vertrauensverhältnis voraus. Ohne Einwilligung des Betroffenen soll die Datenverarbeitung nur noch möglich sein, wenn dies zum Schutz oder zur Verfolgung eigener Rechte oder Rechte Dritter, zum Schutz der betroffenen Person selbst oder zur Erfüllung gesetzlicher Verpflichtungen notwendig ist. Im öffentlichen Bereich hat die Einwilligung dagegen geringere Bedeutung. Hier sollte die Datenverarbeitung weiterhin zulässig sein, wenn sie zur Erfüllung einer gesetzlich Aufgabe der Behörde erforderlich ist. Hier kann die Einwilligung nicht Datenverarbeitungen ermöglichen, die durch Gesetz ausgeschlossen sind.

Die Verarbeitung personenbezogener Daten gilt als ein Eingriff in das Recht auf informationelle Selbstbestimmung und darf daher nur im jeweils erforderlichen Umfang erfolgen. Um dieses Prinzip konsequent umzusetzen, darf es nicht nur auf einen vorausgesetzten Datenverarbeitungsprozess angewendet werden. Vielmehr ist zu fordern, dass dieser selbst so organisiert wird, das möglichst wenige personenbezogene Daten entstehen. Datenverarbeitung ohne Personenbezug ist möglich, wenn der Betroffene anonym oder pseudonym handeln kann. Dabei sind für E-Commerce und E-Government vor allem die Möglichkeiten interessant, unter Pseudonym zu handeln. Denn sie ermöglichen einen Kompromiss zwischen Identifizierung und Anonymität. Im Regelfall - bei Erfüllung aller Pflichten - bleibt die Identität des Nutzers verborgen, im Ausnahmefall - bei einem Verstoß gegen Rechtspflichten - besteht eine Möglichkeit, das Pseudonym aufzudecken.

Eine Verarbeitung personenbezogener Daten darf nur zu bestimmten, in der Einwilligung oder der gesetzlichen Erlaubnis ausdrücklich genannten Zwecken erfolgen. Systemdatenschutz soll diese Zweckbindung technisch-organisatorisch unterstützen: Datenverarbeitungsprozesse sollten nur die Maßnahmen zulassen, die dem Zweck der Datenverarbeitung entsprechen.

c) Die bereits bestehenden organisatorischen Verpflichtungen der verantwortlichen Stelle sollen zu einem Datenschutzmanagementsystem zusammengefasst und fortentwickelt werden. Die Bestellung eines Datenschutzbeauftragten, die Erarbeitung eines Plans der Datenschutzorganisation und die Erstellung eines Datenschutz- und Datensicherungskonzepts sind die wesentlichen Bestandteile dieses Systems.

d) Datenschutz kann nicht allein auf rechtliche Gebote und Verbote setzen und sich auf nachträgliche Kontrollen verlassen. Um die Mechanismen des Wettbewerbs wirklich nutzen zu können, müssen die Ansätze zu einem freiwilligen Datenschutz-Audit und einer freiwilligen Produktzertifizierung konsequent umgesetzt werden. Mit dem Auditzeichen und dem Produktzertifikat soll im Wettbewerb um Vertrauen geworben werden können. Zertifizierte Produkte sind bei Beschaffungen durch staatliche Stellen zu bevorzugen.

e) Um den jeweiligen Verhältnissen angepasste Regelungen zu erhalten und den Gesetzgeber zu entlasten, sollte im privaten Bereich den Unternehmen und Verbänden die Möglichkeit zur Selbstregulierung eingeräumt werden. Allerdings muss der Gesetzgeber der Selbstregulierung einen gesetzlichen Rahmen vorgeben, der ein faires Verfahren, einen angemessenen Interessenausgleich, die Berücksichtigung von Gemeinwohlinteressen und eine gewisse demokratische Legitimation gewährleistet. Die Ergebnisse der Selbstregulierung sollten von den Kontrollstellen auf ihre Vereinbarkeit mit dem Datenschutzrecht überprüft und anerkannt werden.

f) Informationelle Selbstbestimmung ist nur möglich, wenn die betroffene Person auch Mitwirkungsmöglichkeiten hat und die Datenverarbeitung beeinflussen kann.

Da Staat und Recht  insbesondere in globalen Netzen  nur begrenzt in der Lage sind, die informationelle Selbstbestimmung ihrer Bürger zu schützen, sollte dem Bürger das Recht eingeräumt werden, sich mit 'privacy enhancing technologies" selbst zu schützen.

Jeder soll das Recht auf umfassende und kostenlose Auskunft zu den über ihn gespeicherten Daten haben.

Jeder kann den betrieblichen oder behördlichen Datenschutzbeauftragten als Beschwerdeinstanz anrufen. Dieser soll auf eine gütliche Lösung zwischen der verantwortlichen Stelle und der betroffenen Person hinwirken und innerhalb eines Monats eine schriftliche und mit Gründen versehene Antwort auf die Beschwerde abgeben.

Die Rechte auf Berichtigung, Sperrung und Löschung sind beizubehalten und um die Rechte auf Anonymisierung oder Pseudonymisierung zu ergänzen.

Datenverarbeiter sollten für fehlerhafte Datenverarbeitung auch ohne Verschulden haften. Diese Gefährdungshaftung sollte nur dann entfallen und an ihre Stelle die allgemeine Verschuldenshaftung treten, wenn die verantwortliche Stelle am Datenschutzaudit teilnimmt.

g) Eine effektive Kontrolle des Datenschutzes muss sich auf drei 'Säulen" stützen. Einmal ist eine einheitliche Kontrolle durch eine unabhängige staatliche Kontrollstelle erforderlich. Sodann ist die interne Kontrolle durch einen weisungsfreien und gegen Kündigung geschützten betrieblichen oder behördlichen Datenschutzbeauftragten notwendig. Und drittens sollten im Rahmen einer gesellschaftlichen Kontrolle Konkurrentenklagen und Verbandsklagen gegen Datenschutzverstöße möglich sein.

9. Diese Vorschläge zur Modernisierung des Datenschutzrechts wurden etwa zur gleichen Zeit vorgestellt wie auch die gesetzgeberischen Reaktionen auf die Terroranschläge vom 11. September 2001. Im ersten Schritt konnten die Ausweitungen der Kompetenzen der Sicherheitsbehörden und Geheimdienste durchgesetzt werden. Damit ist eine Modernisierung des Datenschutzrechts aber nicht obsolet geworden. Im Gegenteil - sie ist als Ausgleich für die dort erfolgten Einschränkungen des Datenschutzes wichtiger denn je. Beide Zielsetzungen weiterer Ausbau der Sicherheitsgesetze und die Modernisierung des Datenschutzrechts  ringen derzeit miteinander um politischen Einfluss. Für eine Modernisierung aus einem Guss scheint momentan die politische Kraft zu fehlen. Es bestehen aber berechtigte Hoffnungen, dass Teile des Modernisierungsprogramms in mehreren Schritten umgesetzt werden können.

Datenschutzmaßnahmen in Korea:

Lage und Aussicht

Han, Sang-hee (Juristische Fakultät der Universität Kunkuk)

1. Kontrolle und Kontrolle der Kontrolle

In diesem Beitrag geht es vor allem um den derzeitigen Stand und die Aussicht der Datenschutzmaßnahmen in Korea. Dabei werden Datenschutzmaßnahmen als ein Mittel angesehen, mit dem die Bürger die Kontrolle durch den Staat selbst bestimmen können.

2. Drei Kontrolltypen

2.1. Bürgerkontrolle durch den Staat  'Umkrempelung" der Demokratie?

• Zum einen hat die staatliche Kontrolle ihre positiven Seiten, z.B. wenn es um die Sicherheit und Ordnung, sowie die Effektivität der Verwaltung geht, zum anderen bringt sie aber auch vielerlei Probleme mit sich, da die Bürger als Betroffene diese Kontrolle als herrschaftlichen Druck empfinden.

• Die Überwachung der Bürger durch den Staat ist nicht nur eine Verletzung des bürgerlichen Grundrechtes, sondern auch eine grundlegende Infragestellung der Demokratie selbst.

2.2.  Marktkontrolle durch den Staat  eine Sackgasse?

• Die Liberalisierung des Marktes durch staatliche Privatisierungs- sowie Deregulierungsmaßnahmen führt oft dazu, dass die Wirtschaft mehr Macht über die Bürger gewinnt.  Eine starke Intervention des Staates dagegen nimmt dem Markt die notwendige Flexibilität, so dass er folglich nicht schnell auf die Forderungen der Verbraucher reagieren kann.

• Wenn der Staat bezüglich des Datenschutzes der Gesellschaft mehr Freiheit zulässt, versucht die Wirtschaft davon zu profitieren, indem sie die Daten und die Informationen einzelner Bürger zu ihrem eigenen Nutzen verwendet. Wenn der Staat aber umgekehrt die Kontrolle über die Gesellschaft erhöht, verkleinert sich der Datenmarkt, was ebenfalls unerfreulich ist.

2.3. Arbeitnehmerkontrolle durch Arbeitgeber  Missachtung des Persönlichkeitsrechts

• Laut dem derzeitigen Gesetz ist die Aufsicht am Arbeitsplatz (durch den Arbeitgeber) berechtigt, um Personen, die durch einen Arbeitsvertrag gebunden sind (Arbeitnehmer), bezüglich ihresVerhaltens sowie Leistungen zu kontrollieren, und die Arbeitnehmer ihrerseits sind verpflichtet, diese Art der Kontrolle zu akzeptieren.

• Auf der Grundlage des Arbeitsvertrages, der das rechtliche Verhältnis zwischen Arbeitnehmer und -geber festlegt, und der Regelungen, welchedie Hoheit einer Person über ihr Privateigentum anerkennen, kann man die Überwachung der Arbeitnehmer durch den Arbeitgeber zwar strafrechtlich verfolgen, aber gegen die Begleiterscheinungen der Überwachung, wie z.B. Verletzung der Privatsphäre oder Missbrauch der Daten, gibt es bisher keine konkreten Maßnahmen.

3. Datenschutzmaßnahmen in Korea

3.1. Datenschutzsystem

• Bei der Datenschutzkontrolle in Korea unterscheidet man zwischen dem öffentlichen und dem privaten Bereich. Im öffentlichen Bereich wird lediglich eine formelle Kontrolle durch das Innenministerium durchgeführt, während im privaten Bereich eine strenge, staatliche Kontrolle durch das Ministerium für Information und Telekommunikation vorgeschrieben ist.

3.2. Probleme

• Der Datenschutz wird zu einem Problem, wenn das Interesse der Politik und der Wirtschaft an personenbezogenen Daten dem Recht der Selbstbestimmung des Einzelnen gegenübersteht. Es fehlt eine neutrale Entscheidungsinstanz, die dieses Problem regeln könnte.

• Der Schutz personenbezogener Daten hängt im koreanischen Rechtssystem lediglich vom Inhalt der Daten und deren Nutzungsbereich ab. Ein solches System kann nicht schnell genug auf die technischen Entwicklungen der heutigen Zeit reagieren und weist daher ernsthafte gesetzliche Lücken auf.

• Da in einem Rechtsstreit der Inhalt der Daten entscheidend ist, ist es schwer, eine Rechtsgrundlage zur Ahndung der Datenverbindung sowie der bereichsübergreifenden Datenbank zu finden.

• Viel zu kleinliche Differenzierungen der Bereiche führen zur Verwirrung der Bürger und zur Zersplitterung der Datenschutzarbeit in den jeweiligen Bereichen.

4. Maßnahmen gegen Datenkontrolle

4.1. Zurück zur Demokratie: Bürgerliche Kontrolle

• In einer Informationsgesellschaft muss die Gesetzgebung vor allem für den systematischen Aufbau einer Gesellschaftsstruktur sorgen, in der die technische Entwicklung den Staat und die Bürger miteinander verbindet.

• Vereinzelt existierende kleine Gruppen können sich durch eine solche Vernetzung leicht zu einer einflussreichen grossen Gruppe zusammenschließen. Es muss eine Kontrollinstanz eingerichtet werden, um solche Zusammenschlüsse systematisch zu beobachten und notfalls einzugreifen.

• Bezüglich Datenübertragung und austausch sowie der Verbindung zwischen verschiedenen Organen oder Datenbanken, existieren derzeit nur sehr abstrakte Rechtsvorschriften. Diese regeln lediglich die Vergabe und die Nutzung der personenbezogenen Daten.

• Die Datenverbindung sowie deren Aufsicht und Kontrolle durch den Staat müssen gesetzlich geregelt werden. Dieser Schritt ist sowohl für den Schutz der Bürger als auch für die Sicherheit des Staates notwendig.

• Um die Entstehung eines übermächtigen Überwachungsstaates zu verhindern, müssen erst grundlegende Maßnahmen ergriffen werden, und das in einer engen Zusammenarbeit mit den Bürgern. Erst dann können verschiedene illegale Überwachungsmöglichkeiten von Grund auf beseitigt werden und die Bürger gewinnen die Macht, diese selbst zu kontrollieren.

4.2. Einrichtung eines neuen Kontrollorgans

A) Mehr Integration

• Aufgrund der dichotomischen Aufteilung der Verantwortungsbereiche (das Innenministerium sowie das Ministerium für Information und Telekommunikation) gibt es keinen einheitlichen Rahmen für die unterschiedlichen Datenschutzregelungen sowie deren Praxis.

• Überflüssige Diffenzierungen der Bereiche müssen wegfallen. Ein bereichübergreifendes  Kontrollorgan muss eingerichtet werden und dieses muss nach einem einheitlichen Rechtsprinzip geleitet werden.

B) Ein unabhängiges Organ - Stellung und Aufbau

• Das neue Kontrollorgan muss als ein vom Premierminister selbst geleitetes Ressort direkt dem Präsidenten unterstellt werden. Innerhalb dieses Organs müssen Datenschutzangelegenheiten durch Diskussionen und darauffolgende Abstimmungen entschieden werden. Außerdem muss ihm ein separates Budget zugeteilt werden, so dass es für sein Personal selbst entscheiden und seine Einrichtungen selbst beschaffen kann.

• Es muss strukturell die Form eines parlamentarischen Ausschusses annehmen.

• Anstatt der bisherigen Aufgabenteilung unter den Abgeordneten müssen loyale und vertrauenswürdige Personen als feste Mitglieder des neuen Kontrollausschusses ernannt werden. Bei der Ernennung muss das Parlament nachhaltig mitwirken können.

C) Rechte und Kompetenzen

• Diesem neuen Kontrollorgan muss ein übergreifendes Recht auf Inspektionen und Untersuchungen zugesprochen werden.

• Die Einrichtung, Nutzung sowie Änderung der Datenbank muss nun vorab von dem neuen Kontrollorgan (bei den öffentlichen Stellen) bestätigt, oder (bei den nicht-öffentlichen Stellen) gemeldet werden. Bisher bestand hier bloße Anmelde- und Berichtspflicht.

• Dem neuen Kontrollorgan muss überdies ein Recht auf Korrektur zugesprochen werden. Bei den öffentlichen Stellen wird es sich hierbei um die Forderung einer Korrektur, verbunden mit einer möglichen Sanktion, handeln, und bei den nicht-öffentlichen Stellen soll es um einen Befehl zur Korrektur gehen.

• Das neue Kontrollorgan muss beim Entwurf sowie Erlass von datenschutzrechtlichen Gesetzen mitsprechen können.

D) Die Einführung eines Systems zur Bewertung des Dateneinflusses

F) Die Möglichkeit der Erhebung einer Sammelklage sowie das Recht auf Schadenersatz

G) Die Verbesserung des Bürgerregistrierungssystems

• In Anbetracht der enormen finanziellen Belastung, die durch die Vergabe sowie die Nutzung der Bürgernummern (flächendeckende Verwaltung sowie Verhinderung von Datenmissbrauch) entsteht, muss das laufende System der Bürgerregistrierung aufs dringendste verbessert werden.

5. Schlussfolgerung  Gegenseitige Kontrolle und informatorische Demokratisierung

• Die staatliche Überwachung ist in einer modernen Informationsgesellschaft weder effektiv noch sinnvoll.

• Die Verbraucherkontrolle durch Unternehmen dagegen gewinnt in einer kapitalistischen Konsumgesellschaft immer mehr an Einfluss.

Um die Bürger also vor der gnadenlosen Invasion des Kapitals zu schützen, muss ihr Datenschutzrecht nicht bloß als ein Rechtsproblem des Einzelnen sondern auch als ein Problem der Machtverteilung innerhalb der Gesellschaft (der politischensowie wirtschaftlichen Macht) angesehen und entsprechend behandelt werden.

• Der Datenschutz als eine rechtliche Ordnung muss im größeren Kontext der Demokratie verstanden werden.

• Der Staat ist verpflichtet, auf der Seite seiner Bürger ihr Datenschutzrecht zu verteidigen. Aber er muss auch als eine neutrale Schlichtungsinstanz im Interessenkonflikt der Unternehmen mit den Privatpersonen auf einen Kompromiss hinwirken.

jan Moeller 1

jan Moeller 2

jan Moeller 3

jan Moeller 4

jan Moeller 5

jan Moeller 6

jan Moeller 7

jan Moeller 8

jan Moeller 9

jan Moeller 10

Schutz der Privatsphäre: Verstöße und Gegenmaßnahmen in Korea

Hong, Sung-tae (Sang-ji Universität)

1. Einleitung

'Recht auf Privatsphäre - etwas befremdlich auch 'Privates Zivilrecht" genannt - ist ein Grundrecht, das erst in der modernen Zeit eingeführt und durchgesetzt wurde. Demzufolge hat jeder Mensch ein Recht darauf, sein eigenes, unabhängiges Leben zu führen - frei von jeglicher Überwachung, oder gar Eingriff in seine Privatsphäre. Nur auf diese Weise ist ein Mensch in der Lage seine freie Persönlichkeit vollständig zu entfalten. Eine Gesellschaft, die dieses Grundrecht nicht anerkennt, kann man daher als unmenschlich bezeichnen, da 'Ich"hier nicht als freie Person existieren kann.

2. Eingriff in die Privatsphäre

Mit der zunehmenden Vernetzung der Gesellschaft ist dieses Grundrecht in Korea immer mehr gefährdet.Das Bewusstsein der Bürger über ihre Rechte und die gesetzlichen Maßnahmen reichen aber noch lange nicht aus, um den Schutz ihrer Privatsphäre zu gewährleisten und Eingriffe zu verhindern.

1) Regierung

Das wachsende Bewusstsein der Bürger über Demokratie erschwert es, einen Menschen ohne bestimmten Grund zu kontrollieren, z.B. eine Leibesvisitation durchzuführen. Andererseits macht es die zunehmende Vernetzung der Gesellschaft einfacher, ihre Daten zu überwachen. Schliesslich sieht man bei der Leibesvisitation nur das, was am Körper des Betroffenen gerade zu sehen ist, während die Datenüberwachung durch die Sammlung privater Informationen einen tiefen Einblick in das Privatleben ermöglicht.

Ein solch schwerer Eingriff in die Privatsphäre wird oft von der Regierung selbst begangen. 'NEIS" ist das Schlagwort für die aktuelle Datenschutzverletzung, die von der Regierung ausgelöst wurde. 'NEIS", oder 'National Education Information System" sollte ein landesweites Forum im Internet werden, auf dem acht Millionen Lehrer und Schüler aus dem ganzen Land ihre Daten und Informationen austauschen. Da dieses Netz, das der gesamten Öffentlichkeit zugänglich ist, auch persönliche Daten enthält, gab es heftigen Protest von verschiedenen Bürgerinitiativen. Drei heikle Datentypen wurden daraufhin aus dem Netz genommen.

Den schwersten Eingriff in die Privatsphäre begeht die Regierung jedoch bei der Registrierung der Bürger. Das derzeitige System der Bürgerregistrierung geht auf die Rechtsvorschrift zur Registrierung der gesamten koreanischen Bevölkerung zurück, die Anfang des 20.Jh. von der japanischen Kolonialmacht erlassen wurde. Dieses indirekte Bürgerüberwachungssystem wurde wieder eingeführt, nachdem es 1968 einer kleinen Gruppe nordkoreanischer Spione gelungen war, in die Residenz des damaligen Präsidenten Park vorzudringen, ohne vorher entdeckt zu werden. Nach diesem System erhält jeder Koreaner gleich nach der Geburt seine eigene Bürgernummer und  ist zudem - sobald er sein 17. Lebensjahr erreicht hat - verpflichtet bei den Behörden desjeweiligen Wohnortes seine Fingerabdrücke zu hinterlassen. Die Daten, die die Bürger dabei abgeben, werden von der Regierung als Grundlage zur übergreifenden Verwaltung der personenbezogenen Daten verwendet. Vor allem die Bürgernummer wird oft als Werkzeug zur Datenschutzverletzung missbraucht.

2) Unternehmen

Private Unternehmen sind nach der Regierung der zweitgrößte 'Täter" bei der Datenschutzverletzung. Dies geschieht am häufigsten, wenn die Unternehmen die Daten ihrer Kunden, die sie bei verschiedenen Verkaufsaktivitäten gewonnen haben, zu anderen geschäftlichen Zwecken verwenden.

Das mangelnde Datenschutzbewusstsein der Unternehmen führt manchmal zu argenVerbrechen. 1996 wurde eine Verbrecherbande festgenommen, die sich 'Mak-ga-pa" also 'Alles-egal-Bande"nannte. Sie wollte die zwei Jahre zuvor inhaftierte 'Ji-jon-pa" ('Wir-sind-die Größten-Bande") nachahmen, und hat über unbestimmte Wege Daten von über 1.200 Kunden des Hyun-dai Kaufhauses in Ab-gu-jeong, einem Nobelviertel von Seoul, erlangt, um diesedann systematisch zu bestehlen.

In jüngster Zeit wurde wieder eine ernsthafte Verletzung der Privatsphäre berichtet. Hinter diesem Datenschutzverstoß der Superlative wird derzeit Samsung SDI vermutet, eine Tochterfirma des globalen Multikonzerns Samsung. Das Unternehmen fertigte von den Handys einiger Mitarbeiter, die eine Gewerkschaft gründen wollen, illegale Kopien an und überwachte sie insgeheim, indem es bei einem Mobilfunkanbieter den sogenannten  'Suche-meine-Freunde"-Service beantragte und sie auf diese Weise über Funk verfolgte. Dieser Skandal zeigte aufs deutlichste, welche gravierenden Folgen dieser Service auf das Datenschutzrecht haben kann. Samsung, das sich gern mit dem Prädikat 'Weltgrößter" schmückt, kann sich dadurch tatsächlich als 'Weltbester"erweisen, wenn es darum geht, die Gründung einer Gewerkschaft derart kategorisch auszuschliessen.

3) Einzelne Personen

Durch die rasante Entwicklung und Verbreitung der Informationstechnik besitzt nun auch ein Einzelner große Macht. Dies ist auch ein Grund, warum immer mehr Datenschutzverstöße durch private Personen begangen werden. Von dieser Art gibt es zwei Typen der Datenschutzverletzung.

Der erste Typ ist das sogenannte 'Cracking", ein Computerdelikt, bei dem ein 'Cracker"auf illegale Weise in ein Computersystem eindringt und ohne Erlaubnis der Betroffenen ihre persönlichen Daten aufnimmt, um diese dann zu wirtschaftlichem Nutzen weiterzuverkaufen. Manchmal werden die Daten sogar zu verbrecherischen Zwecken missbraucht.

Beim zweiten Typ geht es um die Missachtung der Persönlichkeitsrechte. Eine versteckte Kamera und das Internet können zusammen hervorragend der Bloßstellung einzelner Personen dienen. Der Skandal um Fr. O und Fr. B von jeweils Anfang 1999 und Ende 2000, bei dem ihre Sexvideos ohne ihr Wissen ins Internet gestellt wurden, sind repräsentative Beispiele hierfür.

3. Aktivitäten zum Schutz der Privatsphäre

Mitte der 90er Jahre begannen mit der bedrohlichschnellen Verbreitung der neuen Informationstechniken verschiedene Aktivitäten zum Schutz der bürgerlichen Privatsphäre. Diese Bewegung, die von den Bürgern selbst geführt wird, ist die größte Hoffnung auf einen Erfolg.

1) Informationsgesellschaft und Schutz der Privatsphäre

Auslöser für die Gründung verschiedener Bürgerinitiativen war der Erlassdes Gesetzes zur effektiven Nutzung des Informations- und Telekommunikationsnetzes sowie zum Schutz der personenbezogenen Daten vom Juli 2000. Dieses Gesetz sieht zwar den Schutz der personenbezogenen Daten vor, bewirkt jedoch das Gegenteil.

2) Verschiedene Organisationen und ihre Aktivitäten

Zwar gibt es viele datenschutzrechtliche Vereine; in speziellem Bezug auf Information und Telekommunikation sind es jedoch nur wenige, die ihre Aktivitäten konsequent durchführen.

Die bekannteste Organisation heißt 'Jinbo (progressiv) Network Center (www.jinbo.net)". Es ist eine repräsentative Bürgerinitiative, die sich nicht nur für den Schutz der bürgerlichen Privatsphäre sondern auch für die Lösung aller möglichen Probleme, die die Informationsgesellschaft mit sich bringt, einsetzt. 'Citizens Action Network (www.privacy.or.kr)" dagegen ist auf den Schutz der Privatsphäre spezialisiert. 'Human Right Center Dasan (www.rights.or.kr)" interessiert sich hauptsächlich für neue Arten der Menschenrechtsverletzung, die durch die Entwicklung der Informationsgesellschaft entstehen. Diese Organisation ist es auch, welche derzeit den Skandal um Samsung SDI aufzuklären versucht. 'Solidarity against finger print (www.finger.or.kr)", die älteste und zugleich größte Bürgerinitiative in diesem Bereich, kämpft für die Abschaffung des von Präsident Park eingeführten Bürgerregistrierungssystems. 'Citizen's Right Bureau of People's Solidarity for Participatory Democracy", das sich ebenfalls für den Schutz der Privatsphäre einsetzt, verlegte Anfang 2000 seinen Schwerpunkt auf die Probleme, die mit der neuesten technischen Entwicklung zusammenhängen.

Bei einer wichtigen Angelegenheit reagieren diese Organisationen aber auch gemeinsam. Neulich schlossen sie sich z.B. zu einem Joint-Forum zusammen, um gemeinsam gegen die Gründung von NEIS und andere Datenschutzverstöße zu protestieren. Ein ähnliches Forum wurde gegründet, um die Regierung dazu zu bringen,den Schutz der Privatsphäre in das Grundrecht aufzunehmen.

4. Ausblick

Die Verletzung der Privatsphäre stellt eines der dringendsten Probleme dar, die die moderne koreanische Gesellschaft zu lösen hat. Zwei Maßnahmen können hilfreich sein, um dieses Problem zu bewältigen.

Erstens: Gesetze und Maßnahmen müssen verstärkt werden. Nicht nur die Nutzung der persönlichen Daten sondern auch deren Erhebung müssen als schwerer Eingriff in die Privatsphäre betrachtet und entsprechend geahndet werden. Über die Verstärkung der bestehenden Gesetze hinaus müssen möglichst bald konkrete Maßnahmen ergriffen werden, wie z.B. Datenschutzkontrolle durch Datenschutzbeauftragte.

Zweitens: das datenschutzrechtliche Bewusstsein der Bürger muss verstärkt werden. Sie und mit ihnen die ganze Gesellschaft, müssen auf die Bedeutung der Privatsphäre sensibilisiert werden und endlich lernen, den Eingriff in die Privatsphäre als ein schweres Verbrechen anzusehen.

Durch den Erlass des neuen Gesetzes zum Schutz der Privatsphäre und die Einführung der Datenschutzkontrolle können wir Koreaner unserem Ziel 'die ideale Informationsgesellschaft" ein Stück näher kommen.