[공동 논평]
‘챗봇 이루다’ 증거인멸 방지 위한
일시 처리정지 요청 거부한 개보위 유감
-개인정보 침해라고 판단할 상당한 근거 있으면 시정조치 가능함에도 개보위는 ‘위법 확인’ 안되었다며 회피
-국민의 개인정보보호 역할과 책임 제대로 하지 못해
1. 참여연대, 진보네트워크센터, 민변 디지털정보위원회는 지난 2월 18일과 3월 16일 두차례에 걸쳐 ‘챗봇 이루다’의 개발사 (주)스캐터랩이 자사의 또다른 서비스 <연애의 과학> 앱 이용자의 개인정보를 수년간 무단으로 수집⋅활용한 사실에 대해 개인정보보호위원회(이하 개보위)에 권리 침해 신고를 하는 동시에 (주)스캐터랩이 관련 데이터를 삭제하는 등 증거인멸을 시도할 수 있으므로 개인정보보호법 제64조 제1항 제2호에 따라 이용자들의 개인정보 처리 행위 중 폐기를 일시정지하도록 하고, 제3호에 따라 이용자들의 개인정보 보호 및 증거보전을 위해 피신고인이 데이터를 삭제하는 행위를 중지하도록 요청하였다. 그러나 개보위는 3월 10일과 4월 2일, (주)스캐터랩의 법 위반 사실이 확인되어야 시정조치를 할 수 있으며, 현재 조사가 진행 중이라 즉시 처리정지 등 시정조치를 할 수 없다고 회신해 왔다. 개보위의 이 같은 답변은 개인정보보호법 제64조의 입법취지를 제대로 이해하지 못한 것이며, 더 나아가 국민의 개인정보 보호라는 행정청으로서 의무를 제대로 자각하지 못한 것으로 심히 유감이다. 이래서야 일반 국민이 권리 침해를 당했을 때 관리감독기관이 구제해 줄 것이란 신뢰를 가질 수 있겠는가?
2. 시민사회단체들의 시정조치 요구는 개보위가 조사를 진행하는 중에 (주)스캐터랩이 이용자의 요청이라는 명분으로 개인정보보호법 위반 사실을 은폐하거나 데이터 삭제 등의 증거인멸 시도를 할 가능성이 있기 때문이었다. 개인정보보호법 제64조에 따르면 개인정보가 침해되었다고 판단할 상당한 근거가 있고, 이를 방치할 경우 회복하기 어려운 피해가 발생할 우려가 있다고 인정되면 법을 위반한 자에게 개인정보 침해행위의 중지와 개인정보 처리의 일시적인 정지 등의 조치를 명할 수 있다. 즉 위 조항에 따랐을 때, (주)스캐터랩에게 증거를 인멸하는 등 회복할 수 없는 권리침해를 할 상당한 근거가 존재한다면, 개인정보보호위가 추가 피해를 막기 위해 직권으로 개인정보 처리의 일시적인 정지를 명할 수 있다. 그러나 개보위는 (주)스캐터랩은 개인정보보호법 제64조가 규정하는 ‘법을 위반한 자’라는 점이 확정되지 않았다는 이유로 시정조치를 하지 않은 것이다. 이러한 개보위의 입장은 개인정보호법 제64조가 규정하는 ‘법을 위반한 자’를 지극히 소극적으로 해석한 것으로 부당하다. 개보위의 소극적 해석에 따르면 개보위의 조사가 끝날 때까지 피해를 방지하기 위한 시정조치는 전혀 이루어질 수 없기 때문이다.
3. 개인정보보호법 제64조는 발생하는 추가 피해를 시급히 방지하기 위해 마련된 조항이다. 이렇나 입법취지를 고려한다면, 개인정보보호법을 위반한 사실관계가 어느정도 확인된다면 개보위가 시정조치를 발동할 수 있어야 한다. 그리고 무엇보다 (주)스캐터랩이 개인정보보호법을 위반하여 개인정보를 활용한 것은 언론보도 또는 스스로 공개한 사실만으로도 명백하다. ‘챗봇 이루다’ 사건의 경우, (주)스캐터랩은 스스로 인정하였듯이 △개인정보 수집·이용에 대한 동의 규정을 위반하였으며(개인정보보호법 제39조의3 제1항 및 동법 제22조), △선택동의 항목에 해당하는 ‘신규서비스 개발 및 마케팅, 광고 활용’을 가입자들에게 어떠한 설명도 없이 수집하였다(동법 제39조의3 제3항). 또한, △연인과의 사적이고 은밀한 대화인 민감정보를 별도의 동의 없이 사용하였고(동법 제23조 위반), △또 다른 서비스인 <연애의 과학> 앱 가입 당시 개인정보 이용에 대해 명시적으로 안내하지 않았으며, 선택동의로 받아야 할 신규서비스 이용에 관해서도 필수동의와 함께 포괄적으로 동의 받고 민감정보도 별도 처리하지 않은 채 신규 서비스 이루다의 학습데이터로 이용하여 거짓이나 부정한 방법으로 개인정보를 취득하였다고 볼 수 있다(동법 제59조 위반). (주)스캐터랩이 ‘챗봇 이루다’ 개발 과정에서 개인정보 보호법의 다수 조항을 위반하여 개인정보가 침해되었다고 판단할 상당한 근거가 있다고 보는 것이 합리적일 것이다. 사정이 이럼에도 개보위가 관련한 조사가 진행 중이며 아직 법 위반 사실이 확인되지 않았다는 이유로 시정조치를 할 수 없다고 판단한 것은 개인정보보호법 제64조를 효력없는 조항으로 만드는 것이자, 개보위에 기대하는 국민의 개인정보보호 역할과 책임을 회피, 방기하는 것이다.
4. 실제로 (주)스캐터랩은 이용자들의 정보를 신청에 한해 삭제하는 등 조치를 취하겠다는 공식 입장을 밝혔고, 손해배상 소송을 진행하는 이용자들은 증거확보 등을 위해 증거보전신청을 하였다. 그리고 법원은 이들이 주장한대로 대화내용 삭제 등을 통해 증거의 은폐 또는 폐기될 위험성이 있다고 판단하여 증거보전신청을 받아들였다. 개보위가 권리침해를 막아달라며 시민사회단체가 요청한 시정조치를 법조항 취지를 고려하지 않은 해석과 사실관계의 오인으로 회피하는 것은 결국, (주)스캐터랩의 증거인멸 등의 시도가 일어나도 법원의 증거보전 절차에 의존할 수밖에 없다는 의미이다. 이 경우 손해배상소송을 전제로 한 증거보전신청을 하지 않은 피해자들은 증거 인멸, 은폐 등의 상황을 막을 도리가 없게 된다. 개보위의 소극적 해석에 따라 조사가 완결된 후, 또한 위법이 확정되지 않는 경우 시정명령이 발동될 수 없다면, 개인정보보호법 제64조 등이 규정하는 국민의 개인정보 보호를 위한 시정조치들은 무의미할 수밖에 없고, 개보위 역시 그 기능을 제대로 하지 못 한다는 평가를 피할 수 없을 것이다. 끝.
2021년 4월 12일
민주사회를위한변호사모임 디지털정보위원회, 진보네트워크센터, 참여연대