Offcanvas

보안 / 비즈니스|경제 / 애플리케이션

강은성의 보안 아키텍트ㅣ개인위치정보 이용 사업자가 알아야 할 위치정보법

2022.01.11 강은성  |  CIO KR
지난 1999년 SKT에서 처음 시작한 ‘친구 찾기’ 서비스를 기억하는 독자가 있을 것이다. 위치 기반 서비스(Location-Based Service; LBS)의 시초가 되는 서비스다. 당시 이동통신 이용자의 증가세가 주춤하면서 새로운 킬러 서비스가 나와야 한다는 의견이 있었고, 그중 하나가 바로 위치기반 서비스였다. 이후 2003년 1월 정보통신부가 ‘위치기반서비스(LBS)산업 육성계획(안)’을 발표하면서 이것이 하나의 산업으로 인식되기 시작했다. 

하지만 위치정보 사업과 위치정보 산업이 본격적으로 자리 잡은 것은 2009년 11월 애플의 아이폰이 국내에 출시되면서부터다. GPS를 기본 탑재한 스마트폰이 나오면서 개인의 위치정보를 기반으로 한 서비스가 폭발적으로 늘어났고, 지금은 개인 위치를 기반으로 한 모바일앱은 스마트폰에서 가장 많이 사용하는 서비스 중 하나가 됐다. 

‘위치정보의 보호 및 이용 등에 관한 법률’(위치정보법)은 위치정보 산업이 채 자리 잡기도 전인 2005년 1월에 제정됐다. 그만큼 정부에서 위치정보 산업에 관심이 많았다고 할 수 있다. 
 
방송통신위원회, 한국인터넷진흥원, 「위치정보의 보호 및 이용 등에 관한 법률 해설서」, 2010.1.

위치정보법의 규율을 받는 사업자는 크게 위치정보를 수집하는 ‘위치정보 사업자'와 그것을 기반으로 위치기반 서비스를 제공하는 ‘위치기반서비스 사업자'로 구분된다. 전자의 대표가 이동통신사업자라고 한다면, 후자에는 길찾기, 날씨, 광고 등 개인위치정보를 활용해 서비스를 제공하는 많은 사업자가 있다. 이렇게 개인위치정보 기반의 사업을 하는 사업자가 2,000개가 넘는다. 

개인위치정보는 사람의 안전에 영향을 미치는 매우 중요한 정보이므로 ‘개인위치정보 사업자’는 방송통신위원회의 허가를 받아야 한다(2022.4.20부터 등록제로 바뀜). ‘사물위치정보 사업자’와 ‘개인위치기반서비스 사업자’는 신고만 하면 된다. 관련 서식과 정보는 방송통신위원회가 운영하는 ‘위치정보지원센터’ 사이트를 찾아보는 것이 가장 빠르다.

위치정보법의 조문 중 보안과 관련이 깊은 것은 ‘제3장 위치정보의 보호’다. 
 
[표] 위치정보법 제3장 위치정보의 보호

각 조의 제목만 훑어봐도 어떤 내용인지 짐작할 수 있다. 눈에 띄게 다른 것은 제26조(8세 이하의 아동 등의 보호를 위한 위치정보 이용) 정도다. 개인정보보호법에서는 만 14세 미만의 어린이에 대해 법정 대리인의 권리를 인정했는데, 위치정보법에서는 이에 추가하여 8세 이하의 아동, 피성년후견인, 중증 정신적 장애인의 대해서 ‘보호의무자’가 대신 개인위치정보의 수집, 이용, 제공에 동의할 수 있는 권한을 인정했다. 해당 개인의 안전을 위해 필요한 조치라고 본 것이다.

‘위치정보의 관리적·기술적 보호조치 권고’(방송통신위원회, 한국인터넷진흥원, 2015.11.)는 개인정보보호법의 ‘개인정보의 기술적·관리적 보호조치 기준’이나 ‘개인정보의 안전성 확보조치 기준’(이상 개인정보보호위원회 고시)처럼 위치정보의 보호를 위한 사업자의 구체적인 의무사항을 담고 있다. 

‘권고’는 목적(제1조), 위치정보관리책임자의 지정(제2조) 등 모두 10개 조로 구성돼 있다. ‘권고’의 제목처럼 내용도 개인정보 안전조치에 관한 고시들과 비슷하다. ‘해설서’에서는 ‘권고’의 법적 성격을 다음과 같이 규정해 놓았다.
 
이 권고는 위치정보법 제16조 및 같은 법 시행령 제20조의 관리적·기술적 보호조치 의무를 토대로 제정되었으나 직접적인 법적 구속력이나 강제력이 있는 것은 아니다.
그러나, 이 권고는 위치정보법에서 요구하고 있는 관리적·기술적 보호조치에 대한 구체적인 기준을 제시함으로써 위치정보사업자 등이 관련 법령을 해석·적용함에 있어 오해의 소지를 없애고 관리적·기술적 보호조치를 자발적으로 준수할 수 있도록 지원하기 위해 제정된 것이므로 행정지도의 성격을 갖는다고 볼 수 있다.
또한, 권고의 규정에 위반할 경우에는 법률에 근거한 형사처벌이 부과될 수도 있다는 예고(豫告)적 성격을 가진다.

법적 구속력이 없다고 하면서도 위반하면 형사처벌이 부과될 수도 있다고 하는 것은 다른 해설서에서 찾아보기 어렵다. 별로 적절해 보이지도 않는다. 법적 의무사항을 규정하려면 그것의 형식도 법적 효력이 있는 법령이나 이에 근거를 둔 고시로 만드는 것이 바람직하다. 

예를 들어 ‘권고’ 제2조의 위치정보관리책임자 지정 의무는 위치정보법이나 그 시행령에 규정되어 있지 않은데, 느닷없이 ‘권고’에서 의무로 규정한다. 개인정보보호책임자(개인정보보호법), 정보보호최고책임자(정보통신망법, 전자금융거래법), 정보보호책임자(정보통신기반보호법) 등 정보보안 관련 주요 책임자를 모두 관련 법률에서 규정한 것과 대조된다. 

예전에 정보보호산업법 제13조(정보보호 공시)에 근거를 둔 ‘정보보호 공시제도’에서 사업자의 주요 의무사항을 ‘정보보호 공시 가이드라인’에 규정했다가 ‘정보보호 공시에 관한 고시’(과학기술정보통신부 고시, 2020.1.)를 제정하여 대체한 적이 있다(정보보호산업 진흥과 정보보호 공시제도(2017.8.21)). 

개정된 지 만 6년이 지난 ‘권고’의 내용에 개정 소요가 있는지 살펴볼 필요도 있을 것이다. 참고로 위치정보법과 ‘권고’에 대한 상세한 설명은 졸저 「팀장부터 CEO까지 읽어야 할 기업 정보보안 가이드」(한빛미디어, 2022.1.) 제5장을 참고하기 바란다.

* 강은성 대표는 국내 최대 보안기업의 연구소장과 인터넷 포털회사의 최고보안책임자(CSO)를 역임한 정보보호 및 개인정보보호 전문가다. 현재는 이화여대 사이버보안학과 산학협력중점교수로 있다. 저서로 「IT시큐리티」(한울, 2009)와 「CxO가 알아야 할 정보보안」(한빛미디어, 2015)이 있다. ciokr@idg.co.kr 

 
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.