대한상공회의소와 법무법인 광장은 지난 2일 ‘클라우드 어떻게 도입할 것인가’를 주제로 세미나를 개최했다.   ©중기이코노미

대한상공회의소와 법무법인 광장이 지난 2일 공동 개최한 ‘클라우드 어떻게 도입할 것인가’를 주제로 한 세미나에서 법무법인 광장의 맹정환 변호사는 “현재까지 마련된 시행령안 내용 중에서 특히 사업자들은 이용자 정보보호 관련 조항을 잘 살펴봐야 한다. 사업자에게 부담이 될 수 있는 내용이 포함됐지만, 이를 통해 이용자들에게 신뢰를 얻어 시장을 키울 수도 있다는 시각으로 접근해야 할 것”이라고 말했다.

클라우드 발전법에 따르면, 클라우드 컴퓨팅은 집적·공유된 정보통신기기, 정보통신설비, 소프트웨어 등 정보통신자원을 이용자의 요구나 수요 변화에 따라 정보통신망을 통해 신축적으로 이용할 수 있도록 하는 정보처리체계다.

쉽게 말해 이용자의 모든 정보를 인터넷 상의 서버에 저장하고, 언제 어디서든 IT기기를 통해 이 정보를 이용할 수 있는 서비스다. 하드웨어, 소프트웨어 등 IT자원을 직접 구축하지 않고, 인터넷에 연결된 가상공간에서 필요한 만큼 빌려쓰고 사용료를 내는 방식이기 때문에 컴퓨터 시스템 유지·보수에 소요되는 비용과 인력 등을 절감할 수 있다.

물론 간과할 수 없는 문제점도 존재한다. 서버가 해킹당하면 이용자의 개인정보가 유출될 수 있고, 서버에 장애가 발생할 경우 이용자는 원하는 시점에 원하는 방식으로 시스템을 이용할 수 없게 된다.

우리나라는 클라우드 컴퓨팅 산업 육성을 위해 세계 최초로 클라우드 발전법을 제정했다. 2009년 12월 처음으로 클라우드 컴퓨팅 활성화 종합계획을 발표하고, 다음해 3월 방통위에서 클라우드법안 제정위원회 운영을 시작했다. 2013년 10월 관련 법률안이 국회에 제출됐지만 이용자 보호 등에 대한 규정이 미흡하다는 평가를 받아 1년 반 이상 국회에 계류 중이었다. 이후 관련 부분을 보완, 지난 3월 국회 본회의에서 의결돼 5월 시행령안을 입법예고했다.

SW산업 및 클라우드 산업 전망

단위:억달러 <자료=클라우드, 어떻게 도입할 것인가 세미나 자료집>   ©중기이코노미

이날 세미나에서 맹 변호사는 “당초 보안이나 서비스 중단 등의 품질에 대해서 이용자의 권리를 보호하는 내용이 미약하다는 논란이 많았다”고 평가했다. 이에 따라 침해사고, 이용자 정보 유출, 사전 예고 없이 서비스 중단이 발생할 경우 이용자에게 관련 내용을 직접 통지해야 하는 의무를 규정하게 됐다는 것이다. ‘침해사고’란 컴퓨터 바이러스, 메일폭탄 등의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격해 발생한 사태를 말한다.

이러한 상황이 발생할 경우, 사업자는 이용자에게 ▲사고 내용 ▲사고 원인 ▲피해 확산방지 조치 현황 ▲이용자의 피해예방 또는 확산방지 방법 ▲담당부서 및 연락처 등을 바로 통지해야 한다. 통지는 전화, 휴대전화, 우편, 전자우편, 문자메시지, 인터넷 홈페이지 게시 등의 방법 중 하나 이상을 실시해야 한다. 다만, 인터넷 홈페이지에 게시할 경우에는 15일 이상 공개해야 한다.

특히 이용자 정보가 유출됐을 경우에는 이용자에게 통지해야 하는 것은 물론, 주무부처인 미래창조과학부에 ▲유출된 이용자 정보의 항목 ▲유출된 시점과 경위 ▲피해 확산방지 조치 현황 등을 즉시 신고해야 한다. 클라우드 컴퓨팅의 경우, 이용자 정보의 범위가 개인정보로 한정되지 않고 이용자가 클라우드에 저장한 모든 정보에 해당되기 때문에 사업자의 부담이 클 수 있다. 맹 변호사는 “이용자가 클라우드에 저장했던 정보 중 하나라도 유출되면 신고하도록 이용자 보호 범위를 확대했다”고 설명했다.

서비스 중단의 경우 연속으로 10분 이상 중단 되거나, 24시간 내에 2회 이상 중단되고 그 시간이 합쳐서 15분 이상일 경우 이용자에게 즉시 통지하도록 규정하고 있다. 이러한 세 가지 규정 중 하나라도 위반할 경우 과태료 1000만원이 부과된다.

그는 “서비스중단 조항은 아직까지 모호한 부분이 있다. 기술적으로 접근했을 때 중단의 범위가 명확하지 않기 때문이다. 앞으로 이 조항에 있어서 변경사항이 있을 수 있으니 지속적으로 주시해야할 것”이라고 당부했다.

또한 이용자는 사업자에게 이용자 정보가 저장돼 있는 국가의 명칭을 알려줄 것을 요구할 수 있다. 이에 응하지 않을 경우에 대한 벌칙은 아직 마련되지 않은 상황이다.

이외에 사업자는 이용자와 계약이 종료된 이후에는 이용자 정보를 반환하고 파기해야 한다. 특히 사업자의 규정 위반으로 이용자가 손해를 입었을 경우 이용자는 손해배상을 청구할 수 있다. 만일 사업자가 면책을 받기 원한다면, 사업자는 직접 무과실을 입증해야 한다. 맹 변호사는 “사업자가 스스로 고의 또는 과실이 없다는 것을 입증하는 것은 기술적으로 상당히 힘든 문제”라고 덧붙였다.

<저작권자 ⓒ 중기이코노미. 무단전재 및 재배포 금지>