통신사기피해환급법 개정방안에 관한 연구 : 제21대 국회에 계류 중인 10개 법률안을 중심으로

주문호(Joo, Moon-Ho),권헌영(Kwon, Hun-Yeong),김기범(Kim, Gi-Bum) 한국형사정책학회 2021 刑事政策 Vol.33 No.2

전기통신금융사기 범죄 피해는 지속 증가하고 있으며, 그 피해액은 2020년에 역대 최대인 7천억원에 육박하는 등 심각한 사회문제가 되고 있다. 전기통신금융사기범죄 피해자에 대한 구제를 위해 2011년 제정된 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」은 새로운 범죄 기법 출현에 따른 법률적·정책적 사후 대응의 한계를 극복하기 위해 그동안 총 6차례의 개정을 거쳐왔으며 현재 제21대 국회에는 총 10건의 개정법률안이 제출되어 계류 중이다. 이에 본고는 해당 개정안들을 전기통신금융사기 처벌 범위와 법정형, 금융회사의 책임 및 의무, 전기통신금융사기 대응 거버넌스 체계를 중심으로 검토하여, 총 세 가지 입법방향을 제시하였다. 첫째, 전기통신금융사기 법정형 처벌을 강화하고 새로운 범죄 대응을 위해 전기통신금융사기의 적용범위를 확대하여야 한다. 둘째, 금융회사의 전기통신금융사기 예방책임 강화가 필요하다. 셋째, 전기통신금융사기대응위원회를 신설하여 거버넌스 체계를 확립해야 한다. 전기통신금융사기 근절을 위해 국회에서 조속히 관련 입법이 이루어지기를 촉구한다. Telecommunication-based financial fraud crimes continue to increase, and the amount of damage reached an all-time high of KRW 700 billion in 2020. This is becoming a serious social problem. The 「Special Act on the Prevention of Loss caused by Telecommunications-Based Financial Fraud and Refund for Loss」, enacted in 2011 to provide relief to victims of telecommunication-based financial fraud crimes, has A total of six amendments have been made, and a total of 10 amendments have been submitted to the 21st National Assembly and are pending. Accordingly, this paper reviewed the amendments focusing on the scope of punishment for telecommunication-based financial fraud, legal punishment, responsibility and obligations of financial companies, and the governance system for responding to telecommunication-based financial fraud, and suggested three legislative directions. First, the statutory punishment for telecommunication-based financial fraud should be strengthened and the scope of application of telecommunication-based financial fraud should be expanded to respond to new crimes. Second, it is necessary to strengthen the responsibility of financial companies to prevent telecommunication financial fraud. Third, a new telecommunication- based financial fraud response committee should be established to establish a governance system. We urge the National Assembly to promptly enact relevant legislation to eradicate telecommunication financial fraud.

디지털 소멸 기술을 통한 잊힐 권리의 보장 가능성 연구

주문호(Moon-ho Joo),임종인(Jong-in Lim) 한국정보보호학회 2016 정보보호학회논문지 Vol.26 No.2

데이터의 영구 보관과 자유로운 복제 및 유통이 가능한 현대 디지털 사회의 특징으로 인하여 인터넷은 모든 것을 기억하는 세상으로 발전했다. 때문에 영원히 잊히지 않는 데이터들로 인해 피해를 입는 사례가 증가하였고, 인간의 본성인 ‘망각’을 인터넷상에 적용시키자는 소위 ‘잊힐 권리’를 요구하는 움직임이 많아지고 있다. 그러나 인터넷 사용자들이 보장받길 원하는 다양한 측면에 있어서의 더욱 높은 수준의 잊힐 권리는 다른 기본권과의 충돌 등 여러 가지 문제들에 막혀 법리적인 접근만으로 더 이상의 의미 있는 진전을 이루기 힘든 상황에 처해져 있는 실정이다. 반면 잊힐 권리를 보장받기 원하는 개인들의 요구들은 휘발성 SNS, 디지털 에이징 시스템(Digital Aging System) 등의 디지털 소멸 기술의 발전을 촉구시켰다. 디지털 정보에 소멸 기한을 설정하여 망각의 개념을 도입한 디지털 소멸기술은 인터넷상의 잊힐 권리 보장 확대에 있어 새로운 해결 방향을 제시해줄 수 있을 것으로 생각된다. 본 연구에서는 다양한 영역의 잊힐 권리에 대해 세부 범위를 설정하고, 국내에서 잊힐 권리 어느 정도의 수준으로 보장되고 있는지 분석하며, 분석된 범위들에 대해 디지털 소멸 기술을 통한 잊힐 권리 보장 가능성을 제시한다. As data can be permanently stored and freely distributed, in modern society, the Internet became a world that remembers everything forever. Because of that, there has been increasing the number of accident with never-forgetting data and, as a result, a movement has been emerged to apply a notion of ‘oblivion’ to internet world. The movement is called ‘The right to be forgotten.’ However, ‘The right to be forgotten’ in a higher level which internet users want to be guaranteed is very limited in the juridical approach because of the confliction with the other basic rights and problems. On the other hand, the requests of individuals to guarantee ‘The right to be forgotten’ has been urged digital extinction technology, such as volatile SNS, Digital Aging System, to be developed. With introduction of oblivion, digital extinction technology with setting expire date on digital information can present a new solution on assuring ‘The right to be forgotten.’ This research establishes the detail scope of, analyzes the level of assurance of, and, through digital extinction technology with the established scope, suggest the potential assurance of the ‘The right to be forgotten’.

주요국 사이버보안 거버넌스 분석과 정책적 시사점

주문호(Moon-ho Joo),권헌영(Hun-Yeong Kwon),임종인(Jong-in Lim) 한국정보보호학회 2018 정보보호학회논문지 Vol.28 No.5

최근 전 세계적으로 사이버위협이 일상화되었으며, 그 범위 또한 단순한 개인의 장난과 사이버 범죄 수준을 넘어 대규모 범죄조직과 국가 주체가 개입된 사이버 테러 및 전쟁으로 확대되고 있다. 이러한 흐름 속에서 빠르게 국가차원의 대응 전략을 세우지 않는다면 우리나라도 정보통신 강국에서 사이버보안 취약국의 지위로 순식간에 전락할 것이며, 우리의 발달한 정보통신망은 세계가 부러워하는 4차 산업혁명의 기반시설이 아니라 국민 생활에 큰 위협을 가져오는 공격의 매개체가 될 것이다. 국가적 차원에서의 사이버 보안은 민 · 관 · 군 등 다양한 주체들이 참여하여 다양한 분야의 위협정보를 신속히 공유하고 사고 예방을 위한 대비책을 마련하며 유사 시 유기적으로 대응할 수 있을 때 보장될 수 있다. 이러한 점에서 각 부처, 각 주체들의 역할과 책임, 권한이 명확하게 부여되어야 하며, 이를 관리 · 조율하며 소통할 수 있는 체제를 구축하기 위한 효과적인 국가 사이버보안 거버넌스의 수립이 요구된다. 이에 본 연구는 실용적이고 효율적인 차세대 국가 사이버보안 거버넌스의 정립을 위해 최근 국가 사이버보안 전략을 발표하여 사이버보안 거버넌스 체계를 신속히 정비해나가고 있는 미국, 독일, 영국, 일본, 중국 그리고 한국의 사이버보안 전략, 법령, 조직 및 추진 부처별 역할에 대한 분석을 실시한다. 특히 실질적인 거버넌스 구성을 파악하기 위해 국가의 주요 사이버보안 기능 분류 기준을 제안하고, 해당 분류 기준에 따라 국가 사이버보안 기능별 담당기관과 수행 전략을 분석한다. 본 연구는 해당 분석 결과를 바탕으로 국내 사이버보안 거버넌스 개선을 위한 시사점과 개선 방향을 제시하였다. This study analyzes cyber security strategies, laws, organizations, and the roles of the ministries in the US, Germany, UK, Japan, China, and Korea and draws implications for establishing a practical and efficient next generation national cyber security governance. Under this goal, this study analyzes cyber security strategies, laws, organizations, and the roles of the ministries in the US, Germany, UK, Japan, China, and Korea and draws implications for establishing a practical and efficient next generation national cyber security governance. Based on the results of this analysis, this study suggests suggestions and directions for improvement of domestic cyber security governance.

자율무기체계(AWS)의 자율 수준에 대한 윤리적 관점의 평가 필요성에 대한 연구

주문호(Joo Moon Ho),권헌영(Kwon Hun Yeong),황석중(Hwang Seok Joong) 한국IT서비스학회 2017 한국IT서비스학회 학술대회 논문집 Vol.2017 No.1

4차 산업혁명 시대의 도래와 인공지능 관련 기술의 급속한 발전에 따라, 다양한 분야에서 인간의 역할을 대체하고자 하는 인공지능(AI) 로봇이 도입되고 있다. 특히, 국방 분야에서의 정치적·정책적 효용성으로 인해 강대국을 중심으로 기존 무기체계에 인공지능을 접목한 ‘자율무기체계(Autonomous Weapon System)’에 대한 연구가 상당 부분 진전되어가고 있다. 이러한 자율무기의 도입은 궁극적으로 로봇에게 ‘인간 살상’의 선택권을 주는 상황을 초래할수 있기 때문에 국제적으로 이와 관련한 윤리적 문제에 대한 첨예한 논의가 이뤄지고 있는 상황이다. 이에 본 연구는 기존 자율무기체계(AWS)의 자율 수준을 평가하는데 있어 윤리적 관점의 평가기준이 없다는 문제의식에 입각하여, 윤리적 관점의 자율 수준 평가 필요성을 제시하고, 로봇윤리에 대한 다양한 논의의 검토를 통하여 윤리적 관점의 자율 수준 평가를 위한 구체적 요소들을 도출하고자 한다. 또한 이를 통해 향후 자율무기체계 도입에 대한 윤리 연구를 어떤 방향으로 가져가야 할지에 대한 정책적 제언을 제시하고자 한다.

개인정보 비식별 조치 가이드라인의 법률적 의미와 쟁점

전승재(Jeon, Seung Jae),주문호(Joo, Moon Ho),권헌영(Kwon, Hun Yeong) 한국정보법학회 2017 정보법학 Vol.20 No.3

The Personal Information Protection Act of Korea includes strict opt-in clause for prior consent thereby forcing personal information processors who collect⋅use⋅provide personal information to third parties(herein after denoted collectively as ‘processing’) to clearly acquire consent from the individuals concerned in advance; at the same time, personal information thusly acquired may only be used within the parameters of the consent given explicitly for processing. However, it is difficult to apply such measures in the big data environment we are facing. As alternative, the concerted effort from 6 government ministries of the Korean government led to the announcement of the ｢Guideline for Personal Information De-identification Measures｣ on June 30, 2016 which allows the use of de-identified personal information for big data analysis and also the establishment of standards for technical⋅managerial measures for data processors. Such efforts are very encouraging in that the institutional foundation that allow big data analysis and exchange of analyzed data is being built. However, despite the establishment of such a guideline, there still exist a number of issues that need legislative⋅policy actions. First, despite the title of the Guideline for Personal Information De-identification Measures, the legal characteristics of this Guideline confers administrative regulatory authority that greatly affects the big data industry and the rights⋅obligations of its practitioners; as such, prior to enactment of this Guideline, appropriate regulatory control procedures such as administrative notice and opinion gathering should have been followed. Second, this Guideline imposes post management responsibilities on de-identified information; the core of this management basically consists of the transferor of personal information to inform and demand the transferee to stop processing of the transferred personal information if there is possibility of re-identification as well as all other measures such as the retrieval⋅deletion of the compromised information. But because such post management responsibilities have been incorporated into this Guideline and enforced on the public without proper delegation from legal regulations, thereby creating a possible conflict with the principle of legal reservation. Third, the enforcement of post management responsibilities above possesses a large likelihood of discouraging the exchange of the result of big data analysis. The burden posed on the transferor of de-identified personal information even after the transfer to monitor possible risks of re-identification means that the transferor is not free from the risk of re-identification of transferred information over which the transferor has no control whatsoever. Therefore, preparing relevant legal regulations to reasonably limit the responsibility of the transferor so long as the transferor has faithfully followed the measures in the Guideline and punishing the perpetrators of the illegal act of re-identification together with the transferee for not preventing such acts is more in line with the efforts to promote the big data industry. Fourth, the Guideline for Personal Information De-identification Measures defines information that have not been properly processed in accordance with the de-identification measures and procedures as ‘personal information’ which leads to the logical conclusion that the act of de-identification may be seen as intrusion on personal information. In such case, a review is needed to determine if such minor negligence should be punished based on the same legal grounds. Fifth, because external experts carry out the evaluation of the appropriateness of the de-identification measures and these experts are legally different entities from the personal information processors, a standard for distributing responsibility of the risk of de-identification is needed. 우리나라 개인정보 보호법은 엄격한 사전동의 방식(Opt-In)을 채택하여, 개인정보처리자는 개인정보를 수집⋅활용⋅제3자 제공(이들을 일괄하여 지칭할 경우 이하 ‘처리’라 한다)함에 있어 사전에 정보주체의 명시적 동의를 받아야 하며, 그 동의 받은 처리목적 범위 내에 한정하여서만 이를 활용할 수 있다. 그러나 이와 같은 규제 방식은 빅데이터 환경에서 그대로 적용되기 어렵다. 대안으로 정부는 6개 부처 합동으로 2016. 6. 30. ｢개인정보 비식별 조치 가이드라인｣을 발표함으로써 비식별화(de-identification)를 거친 개인정보를 빅데이터 분석 용도로 사용할 수 있도록 허용하고 이를 위해 사업자가 취해야 할 기술적⋅관리적 조치의 기준을 마련하기에 이르렀다. 이로 인해 빅데이터 분석 및 분석된 데이터의 교류가 가능해지도록 하는 제도적 기반이 조성되었다는 점은 상당히 고무적이다. 다만, 이번 가이드라인의 제정에도 불구하고 다음과 같은 문제점이 발견되어 입법적⋅정책적 해결을 요한다. 첫째, 개인정보 비식별 조치 가이드라인은 그 명칭에도 불구하고 법적 성질은 행정규칙에 해당하며, 빅데이터 산업의 방향성과 그 종사자들의 권리⋅의무에 지대한 영향을 미친다는 점을 고려할 때 그 제정에 앞서 행정예고 및 사전 의견청취와 같은 규 범통제 절차를 거칠 필요가 있었다. 둘째, 개인정보 비식별 조치 가이드라인은 비식별 정보에 대한 사후관리 의무를 부과하고 있는데, 여기에는 비식별 정보의 양도인이 사후에 재식별 가능성을 발견할 경우 이를 즉시 양수인에게 통지하고 처리 중단 요구 및 해당 정보의 회수⋅파기 등 조 치를 하여야 한다는 내용이 포함되어 있다. 그런데 위와 같은 사후관리 의무는 법률규정의 위임 없이 이번 가이드라인에서 독자적으로 정하여 일반국민에게 부과한 것으로서 법률유보원칙과 조화되기 어려운 측면이 있다. 셋째, 위와 같은 사후관리 의무의 부과는 빅데이터 분석 결과의 교류 자체를 위축시킬 우려가 크다. 비식별 정보의 양도인으로서는 해당 데이터를 양수인에게 전달한 이후에도 출현할 수 있는 재식별 위험을 모니터링하여 이를 양수인에게 알려주어야 하 는 새로운 의무를 부담함으로 인하여, 향후 양도인 자신의 책임 영역 밖에서 언제든지발생할 수 있는 재식별 리스크를 떨치지 못하게 되기 때문이다. 따라서 비식별 정보의 양도인이 가이드라인에 따른 조치를 충실히 수행한 경우 향후 그의 책임 영역 밖에서 발생하는 재식별 행위에 대하여는 그 재식별 행위자 및 재식별을 방지하지 못한 양수인의 책임을 추궁하는 것에 그치고, 양도인의 책임을 합리적인 범위 내로 제한할 수있는 근거규정을 마련하는 것이 빅데이터 산업 활성화 취지에 부합할 것이다. 넷째, 개인정보 비식별 조치 가이드라인은 비식별 조치의무를 ‘불충분’하게 거친 정보의 경우 ‘개인정보’에 해당한다고 보아 그 처리 행위에 대해 개인정보 침해에 관한처벌규정을 그대로 적용하는 논리구조를 취하고 있으나, 고의⋅중과실에 이르지 않고 단순 경과실로 비식별 조치의무를 불이행한 경우에도 동일한 근거규정으로 처벌할 수 있는지 여부에 대하여 검토가 필요하다. 다섯째, 비식별 조치의 적정성 평가를 수행하는 외부위원은 해당 정보의 개인정보처리자와는 별개의 법적 주체이므로, 그러한 외부위원에게 어느 정도의 비식별 위험에 관한 책임을 분배시킬 수 있는지에 관한 기준이 필요하다.

공개된 개인정보의 활용 및 보호에 관한 법적 쟁점과 입법 동향

김법연(Kim Beop-Yeon),주문호(Joo Moon-Ho) 한국정보보호학회 2021 情報保護學會誌 Vol.31 No.2

공개된 개인정보에 대한 법적 해석에 대하여 많은 논의가 존재한다. 인터넷이나 SNS를 통해 공개한 개인정보에 대해서는 보호할 필요가 없다고 주장하는 견해가 있는 반면 공개가 되었다 하더라도 다른 사람에 의하여 그것을 수집·활용하게 하는 것을 전제로 한 것이 아니기 때문에 여전히 정보주체의 동의가 필요하다는 견해도 존재한다. 개인정보의 가치증대에 따라 공개된 개인정보를 활용하고자 하는 수요는 많아지고 있으나 아직까지 「개인정보보호법」과 관련 법률에서는 이를 명확하게 규정하고 있지 않고 있어 논의는 지속될 것으로 보인다. 이러한 상황속에서 해외의 주요국가들은 이 문제를 어떻게 해결하고 법제도적으로 대응하고 있는지에 대해서 살펴보고, 공개된 개인정보의 법적 취급과 접근방식에 대해 간략하게 제시해보고자 한다.

첨단 과학수사 정책 및 포렌식 기법 종합발전방안 연구(Ⅳ) - 국가안보·국민안전 증진을 위한 유관 법제도 및 정책 평가

김한균(Kim, Han-Kyun),이승현(Lee, Seung-Hyun),이경렬(Lee, Kyung-Lyul),김대원(Kim, Dae-Won),박웅신(Park, Woong-Shin),김기범(Kim, Ki-Beum),권양섭(Kwon, Yangsub),주문호(Joo, Moon-Ho),신수민(Shin, Soo-Min),김면기(Kim, Myeonki),박원규(Par 한국형사법무정책연구원 2021 형사정책연구원 연구총서 Vol.- No.-