구글과 페이스북이 당신의 개인 정보를 유출한다면?

[좌담회] 프랑스 전 간부 "테러와의 전쟁이 아니라 정치·경제 스파이 활동"

구글, 페이스북, 마이크로소프트, 야후, 애플….

한국의 인터넷 사용자라면 누구나 한 번쯤은 이용했을 법한 서비스 기업들이 미국 정보기관에 개인 정보를 넘겼다. 지난 6월 에드워드 스노든이 폭로한 사건의 핵심이다. 미국의 감시·감청 대상 38개국 주미 대사관에는 유럽이나 아랍 국가뿐만 아니라 미국의 최우방국이라 불리는 한국, 일본도 포함돼 있다. 감시 대상을 인터넷으로 넓혀 보면, 누가 어떤 신상을 털렸는지조차 가늠할 수 없다.

국내도 사정은 다르지 않다. 인터넷 사용자들은 정치적·상업적 이유로 다양한 개인 정보를 유출당하고 있다. '신상 조회'의 주체가 개인이 아니라 국가기관이라면 피해 규모는 더 광범위해진다. 유승희 의원은 경찰·검찰·국정원 등 권력기관이 지난 5년간 무려 1억2300만 건의 개인 정보를 조회했다고 밝혔다.

스노든의 폭로를 계기로 다국적 기업과 국가기관이 결합해 광범위한 감시를 벌여온 데 대한 대응책 또한 활발하게 논의되고 있다. 유럽은 개인 정보 보호를 위한 규제를 만들고 있으며, 세계 시민단체들도 거세게 저항하고 있다.

<프레시안>은 '프라이버시 워킹 그룹 코리아'와 함께 지난 9일 국회에서 '미국 정보기관의 인터넷 감시 사건에 대한 좌담회'를 진행했다. 장여경 진보네트워크센터 활동가, 국회 미래창조과학방송통신위원회 소속 유승희 의원, 유럽에서 30년간 개인 정보 보호 운동을 해온 마리 조지 전 프랑스 개인정보보호위원회 간부가 대담을 나눴다. 사회는 법무법인 나눔의 김보라미 변호사가 맡았다.

마리 조지 전 간부는 미국의 광범위한 개인 정보 수집이 이번이 처음이 아니라고 지적했다. 9.11 사건 이후 미국이 '테러와의 전쟁'을 근거로 전 세계 항공사로부터 승객들의 사소한 정보를 수집했던 사례를 예로 들며 그는 "미국이 말하는 테러와의 전쟁이란 사실 정치·경제적인 스파이 활동에 불과했다"고 말했다.

장여경 활동가는 "최근 내란 음모 사건에서 국정원이 휴대전화와 공중전화를 감청했다고 했는데, 정부가 제출했던 통계에서 휴대전화 감청은 0건이었다"며 "국회에 제출한 통계는 통신사를 통해 집계된 것이라서 '직접 감청' 통계는 포함되지 않기 때문"이라고 꼬집었다.

장 활동가는 "기초적인 개인 정보 수집 통계 실태는 정부가 국회에 투명하고 확실하게 보고해야 한다"며 "더 나아가 정보기관의 인터넷 감시에 대해 법적 통제를 강화해야 한다"고 주장했다. 마리 조지 간부는 유럽의 입법례와 국제적 대안을 소개하기도 했다. 다음은 좌담 전문이다. <편집자>

▲ 왼쪽부터 장여경 진보네트워크센터 활동가, 김보라미 변호사, 유승희 의원, 마리 조지 전 간부. ⓒ프레시안

구글·페이스북·MS·애플, 개인 정보 국가기관에 넘긴다?

김보라미 : 에드워드 스노든이 미국 정보기관이 세계 시민 정보를 모았다고 폭로했다. 이 문제에 한국이 왜 관심을 가져야 할까?

장여경 : 이번 폭로에서 구글·마이크로소프트·애플·야후·페이스북 등 9개 기업이 미국 국가안보국(NSA)의 감시·감청에 협조했다는 점이 중요하다. 이들 글로벌 인터넷 서비스 기업과 정보기관은 자신들이 외국인으로 분류한 글로벌 인터넷 사용자에 대해 광범위한 정보를 수집했다. 국제적으로 부당한 정보 수집 문제가 제기되는 가운데, 페이스북이나 구글 사용자가 많은 한국도 당사자다.

한국에서도 국가 정보기관의 권력 남용 문제가 심각하게 불거지고 있다. 2009년에는 국정원이 인터넷 전용회선 실시간 감청(패킷 감청) 장비 31대를 보유한 사실이 밝혀졌고, 이와 관련해 헌법 소원이 진행 중이다. 국가 정보기관이 인터넷 회선 전체를 감청하는 것은 위험하다. 한국이 인터넷 회선을 통해 자국민에 대한 정보를 모을 수도 있지만, 반대로 외국의 정보기관들이 한국을 포함한 세계 시민의 정보를 취득할 수도 있다. 그런데 시민에 대한 기존의 법적 보호 틀은 주로 국경 안에서 논의됐다는 한계가 있었다.

김보라미 : 미국이 자국 내 인터넷 서비스 기업(ISP)을 통해서 어느 나라든 감시할 수 있는 상황이지만, 이 문제에 대한 국회의 관심이 크진 않은 것 같다.

유승희 : 민주당이 여당일 당시인 17대 국회에서 나는 과학기술정보통신위원이었다. 임기 말에 국정원이 통신회사의 감청 설비 구비를 의무화하는 법안을 추진하려고 했다. 당시 나는 여당 간사로서 펄쩍 뛰었다. 우리가 다음에 야당이 될 수 있는데, 야당이든 여당이든 위험한 시도라고 봤다. 국정원 관계자가 내게 찾아와서 해당 법안을 통과시켜달라고 강력하게 요구했지만, 야당 의원과 논의해 본회의에서 막았다. 돌이켜 보면 최근 국정원 댓글 사건이 일어났는데, 당시에 그 법안을 막지 않았다면 더 큰 일이 일어날 뻔했다.

프랑스, 불가피한 감청은 공적으로 통제

ⓒ프레시안

김보라미 : 유럽에서는 광범위한 개인 정보 수집 문제를 어떻게 보고 있나?

마리 조지 : 1991년 프랑스는 개인 정보 보호 법률을 채택하면서 국가기관의 감청을 원천 금지하되 예외 사례를 뒀다(수사 과정이나 판사가 영장을 내린 경우 제외). 첫째, 개인이 범죄를 저지르리라는 강력한 확신이 있을 때, 최소한의 시간만 감청한다. 둘째, 독립적인 위원회를 설립해서 이 분야를 관장하고, 실무자가 아니라 총리가 감청 결정 권한을 가진다. 셋째, 투명성을 확보한다.

중요한 것은 공공기구가 감청을 통제한다는 점이다. 연례 보고서에는 감청 요청 횟수, 감청 사유, 승인과 유보 건수, 감청에 대한 통제 등에 대한 세부적인 내용을 보고하도록 돼 있다. 1991년 이후 투명성 조치 때문에 조정이 잘 이뤄졌다. 갑자기 감정 횟수나 승인과 관련한 수치들이 올라가면, 왜 올라갔는지 궁금하지 않겠나.

"테러와의 전쟁이 아니라, 정치·경제적 스파이 활동"

다시 미국 얘기로 돌아가자면, '개인 정보 보호' 문제가 여론화되기 전인 2000년 이전에는 유럽 의회 차원에서 정보 감시 문제에 대한 조사를 많이 했다. 그러나 이러한 문제 제기는 2000년 9. 11사건으로 소강됐다. 2001년 9월 말부터는 미국 의회가 '테러와의 전쟁'을 선언했다. 오바마 대통령까지 현재 국가기관의 개인 정보 수집을 합법이라고 얘기하는 이유다.

'테러와의 전쟁'의 일환으로 2003년 미국은 항공사에 출발 72시간 이전의 모든 탑승객의 정보를 달라고 했다, 만약 정보를 제공하지 않으면 미국으로 가는 모든 항공사들의 착륙을 허용하지 않았다.

미국은 항공기의 안전을 위해서라고 했지만, 항공기 안전과는 상관없는 고객 정보를 수집했다. 항공사가 미국에 제공한 정보에는 승객들의 이름, 예약 기록, 지불 수단, 건강 상태 등이 들어갔다. 외국의 고위층 사업가가 여행을 떠난다면, 미국 정부는 (마음만 먹으면) 이 사업가에게 얼마든지 스파이를 붙일 수 있다. 테러리스트와 맞서는 데 항공권 요금 정보나 사업가 개인에 대한 정보가 필요할까? 미국은 항공사가 누구를 통해 항공권을 전해줬는지도 보고하게 했는데, 이는 강제적인 정보 수집 활동이나 마찬가지다.

이뿐만이 아니다. 2004년 <워싱턴 포스트>는 벨기에 정보회사인 '스위프트'가 은행 거래 내역을 모았으며, 백업된 정보 사본이 미국에 있음을 밝혔다. 또 2011년 '국제 개인 정보 감독 기구 회의'에서 미국시민권연맹(ACLU)은 모든 인터넷을 통한 의사소통이 미국을 거친다고 밝혔다. 스노든은 유럽연합 본부와 워싱턴 주재 한국 대사관 등 38개 주미대사관들이 정치적으로 미국의 스파이 활동의 대상이 된다고 발표했다.

내가 생각하는 가장 큰 문제는 다음과 같다. "미국이 말하는 테러와의 전쟁이란 사실 정치·경제적인 스파이 활동에 불과했다." 이는 국제법에 대한 도전이자 프라이버시권에 대한 침해이기도 하다. 우리는 사적인 정보를 개인의 동의 없이 다른 곳에 넘기면 처벌받는데, 국가라면 (처벌 없이) 스파이 활동을 할 수 있다.

국가가 개인 활동을 침해할 권리가 애초에 없다는 측면에서 접근해야 한다. 기업이 정보를 제공할 의무도 없다. 그런데도 미국 정부는 직접 서비스 사업자와 (개인 정보 수집에 대한)협약을 맺고, 그 운영자가 속한 정부와의 국제 관계는 전혀 신경 쓰지 않는다.

한국 개인 정보 수집 실태, 국회도 모른다

김보라미 : 기업이 정부에 정보를 주거나, 정부가 개인을 감시하는 문제를 어떻게 해결해야 하나?

ⓒ프레시안

장여경 : 먼저 실태를 파악해야 한다. 구글, 야후, 페이스북 등은 국내 이용자도 많이 쓰는 서비스다. 구글이 서버를 미국에 두고, 한국에서 활동하는 한국 시민들의 정보를 자국에 제공한 내용을 밝혀야 한다. 당사자는 통보받을 권리가 있다. 국회도 그런 요구를 할 수 있어야 한다. 그리고 이런 국제적 감시에 어떻게 대응할지에 대해서 한국 국회와 정부가 국제적 논의에 참여해야 한다.

국내적으로는 정보기관 감독 문제가 여전히 남는다. 국회에 얼마나 많은 감청이 이뤄졌는지 1년에 두 번 보고하게 돼 있는데, 그 통계가 정확하지 않다. 최근 내란 음모 사건에서 정보기관이 휴대전화와 공중전화를 감청했다고 하는데, 정부가 제출했던 통계에서 휴대전화 감청은 0건이었다.

한국의 정보기관은 국회에 제출하는 통계와는 별도로 스스로 직접 장비를 개발하고 감청할 수 있다. 국회 제출한 통계는 통신사를 통해 집계된 것이라서 직접 감청 통계는 포함되지 않는다. 게다가 인터넷 전용회선 실시간 감청(패킷 감청)에 대한 재판에서 국정원은 G메일을 감청한다고 설명했는데, G메일은 암호화돼 감청하기 어려운 것으로 알고 있다. 정보기관이 하는 주장의 사실 여부를 확인할 수 없다.

투명성 확보 차원에서라도 기초적인 통계나 실태는 국회에 확실히 보고돼야 한다. 더 나아가서는 정보기관의 인터넷 감시에 대해 법적인 통제를 강화해야 한다.

유럽연합은 개인 정보 보호 규정 개혁 중

김보라미 : 개인 정보 보호를 위해 국제적으로는 어떤 움직임이 일고 있나?

마리 조지 : 지우마 호세프 브라질 대통령이 지난 9월 24일 유엔총회 기조연설에서 "미국의 스파이 활동은 브라질에 대한 주권 침해이자 국제법 위반"이라고 비판했다. 호세프 대통령은 새천년개발목표(MDG)에서 IT 발전과 관련한 초안을 제안할 예정인데, 여기서 인터넷의 안전한 사용과 개인 정보 보호를 위한 글로벌 거버넌스를 구축하겠다고 밝혔다. 잘한 행동이다.

2012년부터 유럽 의회는 개인 정보 보호에 대한 규정을 개혁하는 입법 절차를 밟고 있다. SNS 같은 새로운 기술이 출현한 만큼, 기존 지침을 업데이트해야 한다. 우리는 "민주주의 원칙 아래서, 비례적으로, 필요한 만큼만 제한한다"는 원칙을 만들었다. 오는 10월 21일 유럽의회에 상정될 '개인 정보 보호 규칙' 안에는 "기업이 제3국에 정보를 전송할 때, 그 국가가 당사자의 승인을 받아야 한다"는 규정이 들어가리라고 예상한다. 그리고 유럽에는 지역을 넘어 인권 문제를 다루는 '유럽 인권 재판소'가 있는데, 이러한 법원이 있다면 국가 간 문제도 다룰 수 있다. 유엔 인권 이사회에도 이 의제를 상정할 수 있다.

프랑스와 독일에서는 클라우드 서비스와 관련해 정보 보호 논의가 일어나고 있다. 사용자간 정보를 주고받기 전에 중간에 암호화하는 정책이 중요하다. 법적 대응책도 만들어야 한다. 유럽 의회에서는 이와 관련한 보고서가 지난 9월에 나왔으며, 조만간 권고가 나올 예정이다.

MB 정부 5년, 통신 감시 47배 증가

김보라미 : 국회나 정부 차원에서는 개인 정보를 보호하기 위해 무엇을 할 수 있나?

ⓒ프레시안

유승희 : 지난 이명박 정부 5년 동안 통신 감시가 47배 폭증했다는 사실을 지난 국정감사 때 발표했다. 통신 사실 조회가 2007년에 79만건에서 2011년 3730만건으로 47배 폭증했다. 국가 권력에 의한 개인 정보의 침해가 심각하다. 결국 민주주의에 대한 기본적인 침해다.

이명박 정부 당시 인터넷 감시가 심해졌기에 사람들이 구글로 이동해 개인 정보를 보호받으려고 했다. 그런데 스노든 사건을 통해서 보니 인터넷에 안전지대가 없다는 사실을 통감했다. 테러리즘을 극복한다는 미명하에 국경을 넘어 정보가 수집되는 현실을 보면, 인권 문제는 국경 없이 세계가 같이 연대해서 대처해야 할 것 같다.

마리 조지 : 각국이 할 일 많다. 정보를 통제하고, 개인 정보 보호 독립 기구를 만들어야 하며, 의회에 대한 보고 체계를 만들어야 한다. 지역, 국가, 세계의 연대가 각 단계마다 잘 이뤄졌으면 한다.