클라우드 컴퓨팅의 활성화를 위한 법적 제문제Ⅰ - 개인정보보호 관련 쟁점 -

2008년을 전후로 인터넷상 허가된 컴퓨팅 자원을 활용할 수 있는 다양한 서비스가 출현하면서, 그 일환으로 클라우드 컴퓨팅 서비스가 개시되었다. 엄밀히 말하면, ‘클라우드’는 인터넷 그 자체를 의미하는 것은 아니고, 온라인상의 컴퓨팅 자원을 의미한다. ‘클라우드 컴퓨팅’이라는 용어는 온라인에서 소프트웨어 및 처리장치를 이용하게 된 새로운 시대의 도래와 지난 20년간의 기존 인터넷상 컴퓨팅을 구분시켜 준다는 점에서 의미가 있다. 미국국립표준기술원(NIST)의 정의에 따르면, 클라우드 컴퓨팅 개념은 “① 최소한의 관리나 서비스 제공자의 작업만으로 신속하게 제공 ․ 배포될 수 있고, ② 요구에 따라 변경될 수 있으며, ③ 컴퓨팅 자원들(네트워크 서버 스토리지 어플리케이션 서비스…)의 공유된 집합에, ④ 언제, 어디서나, 편리하게, 수요에 따라 네트워크를 통해 접속 가능하도록 하는 ⑤ 컴퓨팅 모델”로 이해할 수 있다. 클라우드 컴퓨팅의 종류로는 클라우드 인프라의 위치와 운영 기준에 따른 분류로서 ‘배치모델(Deployment Model)’과 사용자가 클라우드 컴퓨팅 서비스에 접근할 수 있는 형태에 따른 분류로서 ‘서비스 모델(Delivery Model)’로 구분된다. 배치모델은 클라우드의 이용 목적 및 시스템의 위치에 따른 분류로서 Public Cloud, Private Cloud, Hybrid Cloud, Hybrid Cloud, Community Cloud, Community Cloud로 구분할 수 있다. 서비스모델의 경우에는 사용자가 클라우드 컴퓨팅 서비스에 접근할 수 있는 형태에 따른 분류로서 IaaS(Infrastructure as a service), PaaS(Platform as a service), SaaS(Software as a Service)로 구분할 수 있다. 스마트 혁명은 일상생활 전반에 상당한 혁신과 편리성을 가져왔지만, 막대한 규모의 데이터 유통으로 인한 역기능 방지를 위해 개인정보의 보호가 강력히 요구되고 있다. 정보보호의 중요성이 강조되고 있는 사물인터넷(IoT), 클라우드 컴퓨팅(Cloud Computing), 빅데이터(Big Data) 등 인터넷 신산업 분야에서도 개인정보보호를 강화하기 위한 법 제도 차원의 논의가 활발히 전개되고 있다. 특히, 클라우드 컴퓨팅의 경우 IT 자원을 활용하여 개인정보를 저장 유통 보관하는 서비스로서 높은 수준의 보안체계를 갖추고 리스크를 조절할 수 있는 관리 수단을 제공하는 등 정보보안이 매우 중요한 분야이다. 하지만 지나친 정보보호는 데이터 활용을 기반으로 하는 클라우드 서비스를 비롯한 각종 ICT 융합산업의 발전을 저해하는 장애요소로 작용할 수 있다. 또한 산업 발전의 초기 단계에 있는 클라우드 컴퓨팅 분야에서는 오히려 산업 진흥을 저해하고 운신의 폭을 제약하는 일일 수 있다. 최종이용자의 개인정보가 서비스의 대상이 되는 사업의 경우, 정보보호의 규율 강화가 곧바로 영업 활동 제한으로 이어질 수 있기 때문이다. 2011년 제정 시행된 개인정보보호법을 비롯하여 정보통신망법, 위치정보법 등 정보보호에 관한 개별 법률들은 개인정보의 보호 일변도로 법률을 개정하고 제도를 확충해왔다. 예를 들어, 법정손해배상제도, 주민등록번호의 수집 금지 원칙, 개인정보유출 통지제도 등을 추가적으로 도입하면서, 개인정보의 수집, 이용, 제공, 관리 등이 더욱 어렵게 되었다. 하지만 IoT, 빅데이터, 클라우드 등의 인터넷 신산업들은 개인정보의 활용이 없이는 서비스 개시가 어렵다는 점에서 개인정보의 ‘보호’와 ‘활용’의 측면이 상충된다. 정보보호에 대한 엄격한 법 제도 규율은 신생기업들에게는 시장에 대한 진입장벽으로 작용하게 될 것이고, 이러한 엄격한 규제환경에서는 국내 기업이 Facebook, Twitter 등과 같이 글로벌 기업으로 성장하기 어렵게 된다. 현재 국내법상 클라우드 컴퓨팅을 직접 규율하는 법률은 없지만, 클라우드 컴퓨팅 사업자는 정보통신망, 시스템 등을 사용하는 정보통신서비스 제공자로서 정보통신망법이 적용된다. 동법에서는 “개인정보의 이용제한(제24조), 개인정보의 제공 동의등(제24조의2), 개인정보의 취급위탁(제25조), 개인정보의 누출등의 통지 신고(제27조의3), 개인정보의 누설금지(제28조의2), 개인정보의 파기(제29조) 등” 클라우드 컴퓨팅의 서비스에 적용될 수 있는 정보보호 관련 조항들을 명문으로 규정하고 있다. 동법에서 특별히 규율하고 있지 않는 사항은 개인정보에 관한 일반법으로서 개인정보보호법이 적용된다. 다만, 정보통신망법이 정보통신서비스 제공자를 대상으로 하는 반면, 개인정보보호법은 공공 민간분야의 모든 개인정보처리자를 적용대상으로 한다는 점에서 차이가 있다. 그밖에 해당 서비스가 개인위치정보를 활용하거나 위치정보사업자 위치기반사업자가 서비스를 제공하는 경우에는 위치정보보호법이 적용된다. 독일의 경우에도 클라우드 제공자의 거주지가 EU 내에 존재하고 당해 정보가 EU 내에서 처리되는 경우에 한하여 정보보호의 주체로서 보호받을 수 있다. 예컨대, 미국에 주된 사무소를 두고 있는 클라우드 제공사업자는 독일에 클라우드 컴퓨팅 제공 사업지를 두고 있다고 하더라도 미국의 정보보호법제가 적용된다. 독일 연방정보보호법은 정보의 국외 이전은 특별히 정당성을 요구하고 있으며, 이에 따라 정보의 수취인은 적절한 정보보호 수준을 담보하여야 한다. 독일 연방정보보호법은 안전하지 않은 제3국의 서비스제공자는 제3자로 간주하여(연방정보보호법 제3조 제8항 제3문), 이러한 제3자의 경우에는 이에 상응하는 동의가 존재하는 경우에만 허용된다. 이와 같이 자국 내 영역에 법 적용이 미치는 속지주의의 원칙을 적용하므로 해외로 이전 되는 개인정보의 경우에는 해외법제의 정보보호 정도에 따라 보호받지 못하는 법적 불안정성이 발생한다. 따라서 이러한 해외 이전 정보에 대한 보호 미비는 자국 이익을 심각하게 침해할 수 있으며, 정보 침해자의 우회적인 침해양태를 유발할 수 있다. 전 세계적으로 상당한 규모의 이용자를 확보하고 있는 MS(Azure), 아마존 웹서비스(AWS), 구글(Docs)등 해외 서비스를 이용할 경우, 클라우드 사업자가 해외에 관련 서버 또는 전산센터를 두고 있어 사실상 국내법의 적용이 어렵게 된다. 이러한 현실적 한계가 노정됨에 따라 정보 유출 사건이 해외에서 발생할 경우 국내 이용자들의 개인정보가 침해될 수 있다는 우려가 발생한다. 이 같은 문제는 EU 법체계 하에서도 동일하다. ｢EU 개인정보보호지침｣ 은 EU 영역 외에서 정보를 수집, 처리 및 저장하는 것을 원칙적으로 금지하고 있다. 다만, 예외적으로 정보보호수준의 적절성이 확정된 경우에는 정보보호 관련 조항을 적용할 수 있다. 여기에서 개인정보를 국외로 이전하기 위해서는 상대국가의 법이 자국법보다 더 개인정보를 보호하거나 계약 체결에 의해 개인정보보호를 위한 안전장치(Safe Harbor)를 확보해야 한다. EU집행위원회는 캐나다, 스위스, 아르헨티나 등 몇몇 국가들은 적절한 정보보호수준을 확보한 것으로 판단하여 EU 회원국과 동일하게 법적용이 가능하다. 클라우드 서비스를 이용하려는 기업이 클라우드 컴퓨팅 사업자와 IT업무 관련 위탁계약을 체결한 경우, 업무 중에 서비스가 중단되거나 데이터의 유출 및 훼손 등의 손해가 발생할 때 서비스이용기업은 최종이용자인 고객들을 상대로 계약상책임 혹은 불법행위책임을 질 수 있다. 계약에서 서비스이용기업은 위탁자로서 정보통신망법상의 수탁자에 대한 관리 감독 의무를 가진다. 또한 서비스이용기업은 수탁자가 개인정보 취급위탁을 받은 업무와 관련하여 법을 위반하여 이용자에게 손해를 발생시킬 경우 정보통신서비스제공자등의 소속 직원으로 보아 동조상의 책임을 지게 된다. 이와 같은 개인정보 취급에 대한 위탁자의 관리 감독 의무 등의 책임은 클라우드 서비스를 이용하는 기업의 입장에서는 부담으로 작용할 수 있다. 다만, 최근 법개정을 통해 “이용자 편의 증진 등을 위하는 경우”를 조문에 추가하여 해당 경우에는 고지절차 및 동의절차를 생략할 수 있도록 하고 있다. 하지만 클라우드 서비스의 경우, 일반적인 IT업무 위탁계약과는 다르게 위탁자가 도처에 분산되어 있는 서버 및 데이터 센터를 관리 감독하는 것이 현실적으로 어렵다고 보인다. 따라서 클라우드 컴퓨팅의 경우에는 동 조항의 적용을 완화하여 해석하거나, 예외 규정을 추가적으로 제정하는 방안을 고려해 볼 필요가 있다. 따라서 현행 법체계하에서 정보 활용 산업을 활성화기 위한 입법론적 방안으로 정보통신망법 등에서 규정하고 있는 예외 조항”을 근거로 타 법률에 개인정보의 수집 및 활용을 완화하는 관련 조항을 신설하는 방안이 있다. 하지만 정보보호에 대한 규율의 약화는 이용자들의 개인정보자기결정권(데이터 통제권) 침해로 이어질 수 있다는 점에서 정보 유출 및 침해발생 시 강력한 이용자 구제책이 수반되어야 한다. 이를 위해 손해배상청구권, 과징금제도등 개인정보침해에 대한 처벌 규정의 강화를 강구해 볼 만하다. 이를테면, 법정손해배상제도의 도입에서 나아가 징벌적 손해배상제도를 도입하거나, 집단소송제도를 보완하는 것이다. 이러한 손해담보 수단의 보장을 통해 기업의 입장에서는 막대한 손해배상금 및 과징금에 대한 우려로 자율적으로 정보 보호 시스템을 구축할 것이고, 최종이용자인 피해자 입장에서는 징벌적 손해배상을 통해 고의침해를 예방하는 등 손해전보에 대한 구제수단이 확보된다. 이와 같은 법체계로의 전환을 통해 클라우드 컴퓨팅 산업의 활성화를 지원하고, 동시에 이용자의 손해를 강력히 담보하는 것이 가능할 것이다.