정보보호조치의무 미이행 구성요건의 형사책임 성립 요건과 기술적 변화에 따른 법적 해석 및 입증의 한계 doc_id PCY_201612290528252361_1

“정보통신망 이용촉진 및 정보보호 등에 관한 법률” 제28조는 해당 구성요건의 적용 대상을 “정보통신서비스 제공자 등”으로 규정하고 있다. 같은 법 제2조 제1항 제3호는 “정보통신서비스 제공자”란 ｢전기통신사업법｣ 제2조 제8호에 따른 전기통신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다”라고 정의하고 있다. “전기통신사업법”에 따르면 전기통신사업자란 “전기통신설비를 이용하여 타인의 통신을 매개하거나 전기통신설비를 타인의 통신용으로 제공”하는 자를 말한다. 또한 “전기통신서비스 제공자 등”이란 “정보통신망 이용촉진 및 정보보호 등에 관한 법률” 제25조 제1항에 의하여 “정보통신 서비스 제공자와 그로부터 제24조의2 제1항(개인정보 제공 동의)에 따라 이용자의 개인정보를 제공받은 자”를 의미한다. 그러므로 이 규정들을 종합적으로 해석해 보면 “정보통신망 이용촉진 및 정보보호 등에 관한 법률”에 의하여 정보보호조치의무 미이행의 형사책임을 지게 될 자는 전기통신사업을 직접 운영하는 자이거나, 전기통신역무를 이용하여 정보를 제공(또는 매개)하는 자이거나, 그로부터 이용자의 개인정보를 제공받은 자로 한정된다. 또한 “개인정보 보호법” 제29조는 해당 구성요건의 적용 대상을 “개인정보처리자”로 규정하고 있다. 같은 법 제2조 제5호는 “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다”라고 정의하고 있다. 그러므로 통신서비스 제공 또는 개인정보 처리와는 무관하게 시스템의 보안에 관한 부분만을 분리하여 용역을 제공하는 보안업체의 경우 일반적으로 해당 규정들에 의하여 정보보호조치의무를 직접 부담하게 되는 자가 아니며, 따라서 정보보호조치의무 미이행으로 인하여 개인정보가 분실･도난･유출･변조 또는 훼손당한다 하여도 별도의 특별한 사정이 없는 한 해당 구성요건 위반의 정범이 되지 않는 것이 원칙이다. 우리 “형법”은 고의행위를 처벌하는 것을 원칙으로 하고 있으며 , 과실행위는 법률에 특별한 규정이 있는 경우에만 예외적으로 처벌한다. 과실범은 “개별구성 요건에서 인정되는 예외적 현상”이므로, 형법 제13조와 제14조를 종합적으로 해석해 보면 명시적으로 과실범을 처벌한다는 “특별한 규정”이 있지 않은 경우 모든 구성요건은 원칙적으로 고의행위에 대해서만 적용되는 것으로 보아야 한다. 그러므로 과태료 처분 대상 행위에서부터 출발한 정보보호조치의무 미이행 처벌 구성요건처럼 본래 “행정상의 단속을 주안으로 하는 법규라 하더라도 명문규정이 있거나 해석상 과실범도 벌할 뜻이 명확한 경우를 제외하고는 형법의 원칙에 따라 고의가 있어야 벌할 수 있으며,” 따라서 해당 구성요건이 비록 과실범과 친한 진정부작위범 형식으로 규정되어있다 하여도, 행위자의 과실에 대한 명시적인 언급이 없으므로 원칙적으로는 고의범 구성요건으로 보고 이를 해석의 출발점으로 삼는 것이 바람직할 것이다. 따라서 정보통신서비스 제공자 등이나 개인정보처리자인 행위주체는 “대통령령으로 정하여 요구하는 수준의 정보보호조치의무를 충분히 이행하지 않는다”는 사실에 대한 인식과 의욕이 있어야만 한다. 그런데 고의의 인식대상은 단지 행위와 관련된 객관적 구성요건요소에 그치지 않는다. 결과범의 경우 “행위객체에 대한 행위주체의 구성요건적 행위에 의하여 행위자가 발생시키려고 의도하는 결과” 역시 고의의 인식대상에 포함되어야만 한다. 자신의 행위로 인해 발생하게 될 결과에 대한 인식 없이는 당연히 법익침해의 불법 고의가 성립할 수 없는 것이다. 정보보호조치의무 미이행 처벌 구성요건은 개인정보의 “분실･도난･유출･변조 또는 훼손”이라는 결과발생을 객관적 구성요건 요소로 하고 있다. 하지만 만약 행위자가 미필적으로라도 개인정보의 침해라는 결과를 인식하고 의욕했다고 하면, 현행법상 해당 행위의 불법에 대한 형법적 평가는 단지 정보보호조치의무 미이행의 수준에 그쳐서는 안 되며 의도적인 정보침해행위라는 관점에서 판단되어야 한다. 그러므로 행위자에게 정보침해에 대한 고의가 있는 경우 정보통신서비스 제공자 등이나 개인정보처리자의 정보보호조치의무 미이행은 당연히 별개의 정보침해 구성요건의 정범 또는 최소한 방조범에 해당하게 된다. 만약 정보보호조치의무 미이행 구성요건을 무리하게 고의범으로 해석하려 하면, 필연적으로 사실상 대부분의 정보보호조치의무자들의 구성요건 해당성이 배제될 수밖에 없다. 정보보호조치의무 미이행 처벌 구성요건은 결과범으로 거동범이 아니며, 단지 법령이 정하고 있는 의무를 이행하지 않았다는 것만으로는 부족하고, 과실로 인하여 정보유출의 결과가 발생한 경우에만 성립한다는 것은 이미 앞에서 살펴본 바 있다. 따라서 객관적으로 보호조치의무를 이행하지 않았으며, 법이 요구하는 보호조치의무를 다하지 않았다는 점에 대한 인식과 의욕이 있어야 할 뿐만 아니라, 정보유출의 결과에 대해서는 미필적으로라도 고의가 없어야 하고, 더 나아가 주관적으로 정보유출에 대한 예견가능성과 회피가능성이 있었음에도 주의의무 위반으로 인하여 정보유출의 결과가 발생해야만 정보보호조치의무 미이행 처벌 구성요건의 해당성이 인정된다. 이때 과실과 정보유출 사이에 조건관계조차 성립하지 않는 경우는 인과관계가 당연히 부인될 수밖에 없다. 개인정보가 유출되었으나 법령이 정하고 있는 보호조치의무를 모두 이행했다 하더라도 이를 막을 수 없었던 경우에는 결과는 행위에 객관적으로도 귀속되지 않는다. 하지만 상술한 바와 같이 결과적 가중범이 결과에 대한 무과실 책임을 의미하는 것은 결코 아니므로, 실제로 “결과의 발생을 예견”할 수 있었던 경우에만 성립할 수 있다. 이때 예견가능성은 행위자의 “주관적 예견가능성”을 의미하며 객관적으로 예견할 것을 기대할 수 있었던 경우라 하더라도 구체적인 사건에서 개별적인 행위자에게 이를 예견하고 회피할 능력이 없었던 경우라면 중한 결과에 대한 책임을 행위자에게 주관적으로 귀속시켜서는 안 된다는 것이 전통적인 형법의 책임원칙이다. 따라서 실제 정보보호업무 담당자의 보안관련 기술과 개인적 능력이 충분하지 못하여 객관적으로 요구되는 수준의 주의의무를 준수할 가능성이 없었다면 행위자는, 설령 객관적인 관점에서 구성요건 해당성을 인정할 수 있다 하더라도, 최소한 형사책임에 있어서는 원칙적으로 면책되어야 한다. 행위자에게 과실책임이 있는지 여부를 판단하기 위해서는 정보보호조치의무의 주관적 이행 가능성을 고려해야 하는 것이다. 물론 형사소송법의 일반원칙에 따라 행위자에게 이러한 능력이 있었음에 대한 입증책임은 당연히 검사에게 있는 것으로 보아야 한다. 이처럼 복잡다단한 단계를 통해 구성요건의 내용을 보충해야 하는 반면, 세부적인 내용을 보충할수록 오히려 불명확해지는 이러한 현상은 바로 기술과 법률의 채워지지 않는 간극으로 인한 것이라고 할 수 있다. 과학은 지속적으로 발전하고 있으며 매 순간 새로운 기술적 수단이 등장한다. 그런데 법규범은 아무리 최신의 기술을 반영하여 입법한다 하더라도, 시간적으로 입법되는 순간의 기술수준에 머물러 있을 수밖에 없으며, 따라서 과학기술영역처럼 지속적으로 변화하는 영역을 규율하는 구성요건의 경우 그 내용을 상세하게 정할수록 더 잦은 개정이 필요하게 된다. 그렇기 때문에 어느 정도는 미래를 향해 열려있는 개념을 사용해야 하며, 이러한 이유로 인하여 특히 과학기술영역에서 백지형법은 입법기술상 불가피한 것이라고 할 수 있다. 그런데 오늘날 정보보안기술은 눈부신 속도로 발전하고 있으며 지금 이 순간에도 새로운 해킹기법과 이를 막기 위한 기술적 조치들이 연구되고 있다. 그런데 정보보안기술의 발전의 속도가 너무 빠르고 그 범위가 너무 넓기 때문에 이 영역을 규율하는 법률은 보다 더 포괄적이 되고, 더욱 더 상세한 보충규범을 필요로 하게 되었다. 지금까지 논의한 바를 요약하면 다음과 같다. 정보보호조치의무 미이행 구성요건은 결과적 가중범과 유사한 구조를 가지는데, 구성요건을 체계적으로 해석해 보면 불법의 실질이 과실로 인한 정보유출 결과발생에 있는 것으로 볼 수 있으므로 결국 과실범의 성격을 갖는 것으로 보아야 한다. 그런데 실무상 해당 구성요건을 적용하기 위해 ① 의무 미이행에 관한 사실상의 고의 및 ② 정보유출에 대한 주의의무 위반, 그리고 ③ 과실과 정보유출 결과의 인과관계를 “합리적 의심”을 배제할 수 있을 정도까지 입증해 내는 것은 현실적으로 매우 어려울 것으로 생각된다. 왜냐하면, 정보보호조치의무의 내용이 본질적으로 기술종속적인 것이어서 의무 미이행 구성요건의 구체적인 내용이 역시 이른바 백지형법의 형식으로 되어있으며, 게다가 내용의 보충 후에도 그리 명확하지 않기 때문에 ① 인식의 객체(고의)가 불분명할 수밖에 없고, 행위자에게 어느 수준까지의 예견과 회피의무를 ② 주관적(과실)으로 기대할 수 있는지를 확인하기 곤란할 뿐만 아니라, ③ 객관적(인과관계)으로 기대해야 하는지도 분명하지 않기 때문이다. 게다가 수시로 새로운 기술이 등장하는 상황에서 행위자에게 항상 기술적으로 가능한 범위 내에서 적극적으로 최선의 보안조치를 확인하여 이행하도록 요구하는 것은 거의 언제나 지나치게 과도한 비용부담을 강요하는 것이 된다. 따라서 법규범은 보안을 위한 수범자에게 무제한의 비용 지출을 강요할 수 없으며, 결국 해설서는 정책적 판단을 통해 현실적으로 가능한 범위에서 의무의 한계를 선언하는 역할을 맡아야 한다. 그렇기 때문에 법규범이 선언한 의무를 모두 준수한다고 해도 형법을 통해 보호하고자 하는 법익, 즉 “정보”는 결코 완전하게 보호될 수 없다는 근본적인 한계를 영원히 해소할 수 없게 된다. 게다가 정책적 판단이라는 것은 결국 누군가의 자의에 의하여 결정된 것일 수밖에 없기 때문에, 법령을 통해 정해진 정보보호조치의무의 구체적인 내용은 정보보안기술의 전문가에게조차 명확하지 않게 된다. 이러한 상황 속에서 만들어진 형사처벌규정의 전제조건인 정보보호조치의무 기준의 예측가능성은 낮을 수밖에 없으며, 핵심형법의 구성요건 요소와는 달리 전문지식에 의한 반론과 이의제기가 가능한 종류의 것이 되어버린다.