누군가 당신의 휴대폰 위치정보, 신용카드 사용정보, 주변 CCTV 영상정보까지 모조리 가지고 있다면 어떻게 될까? 아마도 당신의 일거수일투족을 거의 완벽하게 감시할 수 있고, 추적할 수 있고, 나아가 통제할 수 있다는 의미가 된다.

첫째, 휴대폰 위치정보는 당신이 언제, 어디서, 누구와 함께했고, 얼마 동안 머물렀는지를 알려준다. 둘째, 신용카드 사용정보 역시 당신이 언제 어디에 있었는지를 더욱 구체화시켜 준다.셋째, CCTV 영상정보까지 있다면 위 두 가지 정보로도 알 수 없었던 당신의 구체적인 행동, 접촉한 사람들의 정보까지도 알 수 있게 된다. 즉, 한 개인에 대한 위 3가지 정보가 결합되면 그의 일상을 완벽히 파악할 수 있는 완성된 정보가 만들어지는 것이다.
 
현재 대한민국에서 국민 한 사람 한 사람의 위와 같은 정보를 다 가질 수 있는 권한을 가진 곳이 있다. 바로 코로나 방역 당국이다. 그것도 법에 의해 합법적으로 부여된 권한이다.

지난 5월 이태원 클럽발 집단감염이 발생했을 때 방역 당국은 이 권한을 가지고 문제가 된 장소에서 30분 이상 머물렀던 1만905명의 이름과 전화번호를 확보할 수 있었다. 경찰청, 이동통신사, 신용카드사에서 제공받은 정보로 방역당국이 이태원에 머물렀던 사람들을 추적한 과정은 매우 정밀했다.

이동통신사는 기지국 접속 데이터를 바탕으로 사용자의 위치를 특정할 수 있는 정보를 제공했다. 한국은 지난해 기준 스마트폰 보급률 전 세계 1위(95%)다. 스마트기기는 전원이 꺼져 있지만 않으면 기지국과 끊임없이 신호를 주고받는다. 휴대폰을 사용하지 않더라도 메신저 수신, 소프트웨어 업그레이드 때문에 근처 기지국과 계속 연결이 되는 것이다. 이통사는 코로나 감염자가 다녀간 이태원의 5개 클럽 등 문제가 된 장소 인근의 5G와 LTE 기지국 접속 데이터를 뽑았다. 보통 무선 기지국 반경은 500m~2km까지지만 서울 도심인 이태원은 수백 미터에 불과했다. 기지국이 다른 곳보다 훨씬 촘촘해 골목 단위까지 사용자의 위치를 추적할 수 있었다.

여기에 ‘인빌딩 기지국(실내에 설치된 소형기지국)’ 정보까지 추리면 해당 인원이 몇 시 몇 분에 어디에 있었는지까지 특정할 수 있다. 이통사들은 기지국 접속기록 가운데 동네 주민과 차량으로 이동한 인원을 제외하고 30분 이상 체류한 사람들의 명단만 별도로 추렸다. 경찰은 이에 더해 폐쇄회로TV(CCTV)를 분석한 정보와 신용카드 결제 정보까지 결합시켰다. 이런 다양한 정보의 결합과 교차분석을 통해 방역당국이 원했던 명단이 확보될 수 있었던 것이다.

여기서 한번 생각하고 넘어가자. 우리는 이 모든 과정을 감염병 확산 방지와 추적을 위한 매우 효율적인 시스템으로 받아들여야 할까? 만약 이 정보를 분석하고 추적한 사람의 목적이 그런 공익적인 것이 아니라면 어떻게 되는가? 이런 정보를 들여다보는 자가 N번방 사건과 같은 ‘디지털 성착취범’이라면?

국민 모두의 사생활 통제가 가능한 정보를 영장 없이도 확보할 수 있다는 것은 무시무시한 권한이다. 현재 방역당국은 이런 권한을 가지고 자유롭게 개인정보를 관련 기관에 요구하고 있고, 요청을 받은 기관은 무조건 응하고 있다. 이렇게 얻은 정보를 방역당국만 보유하는 것도 아니다. ‘방역’의 목적을 위해 지방자치단체나, 의료기관, 기타 행정기관에 제공할 수도 있다. 즉 민감한 개인정보에 접근할 수 있는 사람들이 너무 많은 것이다.

이 모든 것을 가능케 하는 것은 ‘감염예방법’으로 불리는 “감영병 예방 및 관리에 관한 법률”이다. 이 법이 지난 메르스 사태 직후인 2016년 12월과 올해 3월, 두 번에 걸쳐 개정되면서 방역당국은 광범위한 개인정보를 수집할 수 있게 되었다. 동법 제76조2의 1항 및 2항에는 방역당국이 요구할 수 있는 정보의 범위를 규정하고 있는데 매우 광범위하다. 주민등록법 상의 인적사항은 기본이고, 의료법 상의 진료기록, 출입국관리기록 등이 포함돼 있다. 여기에 ‘이동경로를 파악하기 위한 정보’를 추가해 신용카드 및 교통카드 사용내역, CCTV 영상정보, 휴대폰 위치정보까지 확보할 수 있도록 보장했다.

예) 감염병 예방 및 관리에 관한 법률 제76조2

① 보건복지부장관 또는 질병관리본부장은 감염병 예방 및 감염 전파의 차단을 위하여 필요한 경우 관계 중앙행정기관(그 소속기관 및 책임운영기관을 포함한다)의 장, 지방자치단체의 장(「지방교육자치에 관한 법률」 제18조에 따른 교육감을 포함한다), 「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관, 의료기관 및 약국, 법인ㆍ단체ㆍ개인에 대하여 감염병환자등 및 감염병의심자에 관한 다음 각 호의 정보 제공을 요청할 수 있으며, 요청을 받은 자는 이에 따라야 한다. <개정 2016. 12. 2., 2020. 3. 4.>

 1. 성명, 「주민등록법」 제7조의2제1항에 따른 주민등록번호, 주소 및 전화번호(휴대전화번호를 포함한다) 등 인적사항
 2. 「의료법」 제17조에 따른 처방전 및 같은 법 제22조에 따른 진료기록부등
 3. 보건복지부장관이 정하는 기간의 출입국관리기록
 4. 그 밖에 이동경로를 파악하기 위하여 대통령령으로 정하는 정보

방역당국이 자료제출을 요구할 수 있는 대상도 중앙행정기관, 지자체, 공공기관에서부터 의료기관, 이동통신사, 신용카드사까지 매우 다양하다. 자료제출을 요구받은 기관들은 무조건 해당 자료를 제출해야 하는 강제규정까지 있다.

이렇다 보니 ‘코로나 방역’을 빌미로 과도한 개인정보 유출 및 사생활 침해를 우려하는 목소리가 나올 수밖에 없다. 이런 문제 제기는 우리나라뿐 아니라 코로나 사태를 경험한 서구 사회에서도 비슷하게 터져 나온다. 디지털 감시체제가 일상화되는 것에 대한 반발이다.

이태원 방문자들의 명단확보와 관련해 민변은 7월30일 ‘감염병예방법’에 대한 헌법소원을 청구했다. 코로나19 대응을 명분으로 휴대전화 기지국 접속정보를 요청하고 수집·처리한 행위가 ‘개인정보자기결정권, 사생활의 비밀과 자유, 통신의 비밀과 자유, 일반적 행동자유권을 침해’하므로 위헌이라는 것이다.

민변은 감염병예방법, 통신비밀보호법 등 어디에도 기지국 정보처리행위를 구체적으로 허용하지 않는다고 지적했다. 즉 법적 근거가 없는 행위가 이루어진 것이며, 이는 “모든 공권력 행사에 의한 기본권의 제한은 법률로써만 가능하다는 법률유보의 원칙”을 위배했다고 주장했다.

또한 “이태원 인근에 감염병 확진자가 발생했다는 사실만으로 해당 지역에 방문한 불특정 다수를 모두 ‘감염병 의심자’로 간주하고 광범위하게 정보를 수집 및 처리한 것은 정당하지 않으며, 통신사가 자동으로 수집하는 ‘기지국 접속기록’까지 처리한 것은 그 자체로 과도한 정보수집으로 중대한 기본권 침해”라고 강조했다.

전문가들은 현재의 감염병예방법 등이 정교하지 못하고 미비점이 많다고 지적한다. 익명을 요구한 고려대 법학전문대학원(로스쿨) 교수는 “현재의 개정 감염병예방법과 시행령 규정에 근거해 개인의 정보를 광범위하게 수집하는 건 추상적이고 불분명하기 때문에 충분히 위헌 소지가 있다”며 “아무리 공익적 목적 위에 서있는 정보수집이라고 할지라도 수집 대상, 공개 범위, 개인정보 사용 후 폐기 문제까지 명확하게 법률로 규정해 국민들의 동의를 구해야 한다”고 했다.