보안취약점 이용 온라인수색과 국가의 기본권 보호의무
Online Search Using Security Vulnerability and State's Duty to Protect Citizens' Fundamental Rights
0
조회
0
다운로드
10
인용
0
참고문헌
키워드
초록
온라인수색은 기본적으로 정보기술시스템에 대한 접근을 전제로 한다. 다양한 접근방법이 있지만 보안취약점을 이용한 방법이 가장 선호되고 있다. 위험방지경찰이 보안취약점을 알고 있지만 이를 제작자에게 신고하지 않고 유지하는 경우 제삼자가 이 보안취약점을 이용할 수 있다. 경찰의 보안취약점 유지는 온라인수색을 수행하기 위한 것이다. 이에 대해 제삼자가 보안취약점을 이용하여 개인의 시스템에 접근하는 것은 개인의 기본권을 침해하는 것으로써 국가는 이러한 침해에 대해 보호조치를 해야 한다. 따라서 경찰이 온라인수색을 위해서 보안취약점을 유지하는 공익과 제삼자의 침해로부터 보호해야 하는 국가의 기본권 보호의무 사이에 목적 충돌이 발생한다. 이러한 목적 충돌은 정보기술시스템에 접근하기 위해서 보안취약점을 이용하게 될 온라인수색이나 암호통신감청을 도입하기 위해서 반드시 검토되어야 할 헌법과 형사소송법의 중요한 내용이다. 최근 독일 연방헌법재판소는 위험방지를 위한 온라인수색과 암호통신감청을 규정한 일부 주(州) 경찰법에 대한 헌법소원에서 이러한 목적 충돌 문제를 다루었다. 연방헌법재판소는 이러한 목적 충돌 사이에 이익형량을 인정하였다. 연방헌법재판소는 이러한 이익형량 이전에 국가기관이 보안취약점을 제작자에게 신고하는 등 보안취약점을 보호할 입법적 조치를 요구하고 있다. 만일 이러한 입법적 조치가 충분하지 않는 경우 국가는 기본권 보호의무를 위반하게 된다. 연방헌법재판소는 위험방지를 위한 바덴-뷔르텐베르크 주 경찰법의 암호통신감청과 관련하여 국가는 자신의 기본권 보호의무를 충족하고 있다고 판단하였다. 이러한 헌법재판소의 판단은 범죄수사를 위한 독일 형사소송법의 온라인수색과 관련된 규정에 적용할 수 있다. 하지만 한국의 법적 상황은 보안취약점의 이용과 관련하여 발생하는 목적 충돌의 문제를 해결하기에는 충분하지 않은 것으로 보인다. 우리 헌법재판소는 국가의 기본권 보호의무를 헌법 제10조 제2문에서 도출하고 있지만, 기본권 보호의무의 적용범위를 사인인 제삼자에 의한 개인의 생명이나 신체의 훼손으로 제한하고 있다. 따라서 극히 예외적인 상황에서만 기본권 보호의무가 적용될 수 있다. 그러한 예외상황을 인정하더라도 국가기관의 보안취약점의 신고의무 등이 결여되어 있어서 국가의 기본권 보호의무가 충분하지 않다. 따라서 독일 연방헌법재판소의 판례와 보안취약점과 관련한 입법적 조치들은 우리 입법자가 온라인수색을 도입할 때 참고할 수 있는 시사점을 제공하고 있다. 예를 들면 국가의 기본권 보호의무의 적용 범위를 확대할 필요가 있고, 기본권 보호의무의 이행과 관련하여 온라인수색 규정 자체에 보호조치가 규정되어야 할 것이다. 또한 온라인수색과 같이 새로운 수사기법의 도입 시 개인정보보호를 위한 영향평가제도가 도입되어야 하고 나아가서 보안취약점의 발견 시 국가기관의 신고의무도 도입되어야 할 것이다.
Abstract
Online search (Online-Durchsuchung) basically presupposes access to information technology system. There are various ways to access information technology systems, but the most preferred is the approach using security vulnerabilities (especially Zero Day Exploit). If the police maintains a security vulnerability that they know of without reporting it to the manufacturer, a conflict of purpose arises between the duty to protect the system from intrusion by a third party and the duty to perform Online serach. Recently, the German Federal Constitutional Court (BVerfG) dealt with this conflict of purposes in a constitutional complaint against the State Police Act, which stipulates encrypted communication interception (telecommunication surveillance at the source or Quellen TKÜ) and online search for risk prevention. BVerfG has balanced the interests between these conflicts of purpose. BVerfG is demanding legislative measures to protect security vulnerabilities, such as reporting security vulnerabilities to manufacturers by state agencies before such balancing conflicting interests. If these legislative measures are insufficient, the state will violate its duty to protect fundamental rights. BVerfG judged that the state fulfills his duty to protect the basic rights in relation to the encrypted communication interception of the Baden-Würtenberg State Police Act (PolG BW). The judgment of BVerfG can be applied to the provisions of the German Criminal Procedure Act (StPO) related to online searches. However, it is judged that the legal situation in Korea is not sufficient to resolve the problem of conflicts of purpose that occur in relation to the use of security vulnerabilities. Although the Constitutional Court of Korea derives the state's duty to protect fundamental rights from the second sentence of Article 10 of the Constitution, it limits the scope of application of the duty to protect fundamental rights to personal life or bodily harm by a private third party. Therefore, the duty to protect basic rights can only be applied in extremely exceptional circumstances. Even if such an exception is acknowledged, the duty to protect the basic rights of the state is not sufficient because the duty to report security vulnerabilities of state institutions is lacking. Therefore, the judgement of BVerfG and german legislative measures related to security vulnerabilities provide implications that Korean legislators can consider when introducing online search. For example, for the duty to protect basic rights of the state, the scope of the duty to protect fundamental rights needs to be expanded, and protective measures should be stipulated in the online search regulations themselves in relation to the fulfillment of the duty to protect fundamental rights. When a new investigative technique is introduced, such as online search, an impact assessment system for personal information protection should be introduced, and furthermore, when a security vulnerability is discovered, the duty of reporting by the state agency should be introduced.
참고문헌 (36)
- 김연희, "온라인 수색 도입을 위한 문제점과 방안에 관한 소고", 법학연구, 64, pp.285~322 (2020), 부설법학연구소
- 김희정, "독일연방헌법재판소의 ｢연방기후보호법｣ 위헌결정에 대한 분석과 평가", 헌법학연구, 28(1), pp.525~552 (2022), 한국헌법학회
- 김창섭, "안보위협 최신 암호통신에 관한 대응방안 연구", 국가안보와 전략, 21(3), pp.39~81 (2021), 국가안보전략연구원[DOI]
- 김현철, "국가의 기본권보호의무론의 재정립에 관한 시론", 법학연구, 23(1), pp.65~105 (2020), 법학연구소[DOI]
- 명재진, "IT(정보기술) 기본권의 체계화에 관한 연구", 헌법논총, 20 (2009)
- 박병욱, "경찰상 온라인수색의 법률적 문제 - 2008.02.27 독일연방헌법재판소 판결을 중심으로 -", 경찰법연구, 7(1), pp.82~128 (2009), 한국경찰법학회[DOI]
- 박혜성, "한국 버그 바운티 프로그램의 제도적인 문제점과 해결방안", 한국IT서비스학회지, 18(5), pp.53~70 (2019), 한국IT서비스학회
- 박희영, "국가의 합법적인 해킹행위로서 온라인 수색에 관한 독일 법제 동향", 최신외국법제정보, (1) (2019), 한국법제연구원
- 박희영, "독일 연방헌법재판소의 `정보기술 시스템의 기밀성 및 무결성 보장에 관한 기본권'", 선진상사법률연구, (45), pp.92~123 (2009), 법무부
- 박희영, "수사 목적의 암호통신감청(Quellen TKÜ)의 허용과 한계", 형사정책연구, 29(2), pp.25~60 (2018), 한국형사법무정책연구원
- 박희영, "예방 및 수사목적의 온라인 비밀 수색의 허용과 한계", 원광법학, 28(3), pp.153~186 (2012), 법학연구소
- 박희영, "인공지능 음성비서를 통한 주거감시의 허용과 입법 방향", 형사정책연구, 32(1), pp.33~67 (2021), 한국형사법무정책연구원
- 박희영, "최근 독일 정보기관의 정보수집권 확대와 형사정책적 시사점", 형사정책연구, 32(3), pp.101~142 (2021), 한국형사법무정책연구원
- 박희영, "독일법제동향" (2022), 로앤비
- 박희영, "암호통신감청 및 온라인수색에서 부수처분의 허용과 한계", 형사정책연구, 30(2), pp.113~146 (2019), 한국형사법무정책연구원
- 방승주, "헌법판례 100선" (2012), 법문사
- 신상미, "온라인수색의 법률적 문제점과 허용가능성", 경찰학연구, 20(3), pp.173~200 (2020), 경찰대학
- 오일석, "미국 정보기관 제로데이 취약성 대응 활동의 법정책적 시사점", 미국헌법연구, 30(2), pp.143~185 (2019), 미국헌법학회
- 윤지영, "디지털 성범죄 대응을 위한 수사법제 개선 방안 - 온라인 수색과 잠입수사 법제화를 중심으로 -", 형사정책, 32(2), pp.41~73 (2020), 한국형사정책학회[DOI]
- 이관희, "포트스캔(Portscan) 가벌성에 대한 형사법적 연구", 경찰학연구, 20(1)통권 : 61, pp.201~224 (2020), 경찰대학[DOI]
- 이상학, "국가의 대단위감시에 대한 공법적 쟁점에 관한 고찰 - 유럽에서의 논의와 판례를 토대로 하여 -", 유럽헌법연구, (37), pp.189~228 (2021), 유럽헌법학회[DOI]
- 아동・청소년 성착취 피해예방과 인권적 구제 방안 실태조사 - 디지털 성착취 피해를 중심으로 -”, 국가인권위원회 2021년도 아동인권 증진을 위한 실태조사 연구용역보고서, "최희경", 이화여자대학교 산학협렵단(젠더법학연구소), ~ (2021)
- 허황, "최근 개정된 독일 형사소송법 제100조b의 온라인 수색(Online-Durchsuchung)과 제100조a의 소스통신감청(Quellen-Telekommunikationsüberwachung)에 관한 연구", 형사법의 신동향, (58), pp.94~141 (2018), 대검찰청[DOI]
- Derin, Benjamin, "Der Staat als Manipulant und Saboteur der IT-Sicherheit?,", NJW, pp.1111~1116 (2019)
- Gudermann, Anne, "Die Online-Durchsuchung im Lichte des Verfassungsrechts – Die Zulässigkeit eines informationstechnologischen Instruments moderner Sicherheitspolitik" (2010), Dr. Kovac
- Heinemann, Marcus, "Grundrechtlicher Schutz informationstechnischer Systeme, Unter besonderer Berücksichtigung des Grundrechts auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme" (2015), Duncker & Humblot
- Köhler, Marcus, "StPO, § 100b" (2021)
- Pohl, Hartmut, "Zero-Day and Less-Than-Zero-Day Vulnerabilities and Exploits in Networked Infrastructures", ENISA Quarterly Review, 4(2) (2008)
- Poscher, Ralf, "IT-Sicherheitsrecht, § 7" (2021)
- Riebel, Sandra, "Verdeckte Online-Durchsuchung in der Bundesrepublik Deutschland" (2019), Dr. Kovac
- Roßnagel, Alexander, "Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme und sein Einfluss auf das Privatrecht", NJW, pp.3534~3538 (2008)
- Schliesky, "Schutzpflichten und Drittwirkung im Internet" (2014), Nomos
- Schulz, Gabriel, "Das neue IT-Grundrecht – staatliche Schutzpflicht und Infrastrukturverantwortung", DuD, pp.395~400 (2012)
- Schwichtenberg, Simon, "DS-GVO·BDSG, Kommentar" (2020)
- Stelzer, Julia, "Die repressive Online-Durchsuchung gemäß § 100b StPO" (2021), Dr. Kovac