클라우드 서비스와 개인정보보호 (Cloud Service and Protection of Personal Data)

서지정보

· 발행기관 : 한국정보법학회
· 수록지 정보 : 정보법학 / 16권 / 3호 / 151 ~ 173페이지
· 저자명 : 김기창

초록

클라우드 컴퓨팅 기술은 최종 이용자 뿐 아니라, 사업자들에게도 여러 장점들이 있기 때문에 앞으로 더욱 많은 서비스들이 클라우드 컴퓨팅 기술을 이용하여 제공될 것으로 예상할 수 있다. 최종 이용자나 사업자가 클라우드 서비스를 이용할 경우, 종래자신이 물리적으로 통제할 수 있던 저장 설비에 데이터가 저장되었던 것과는 달리,이용자의 데이터가 사업자 자신의 클라우드 저장 설비 또는 그 사업자에게 클라우드서비스를 제공하는 자의 저장 설비에 보관되며, 물리적/지리적으로 어디에 위치한 데이터 센터에 해당 정보가 저장되는지는 기술적으로 무의미 해진다.
이 논문은 클라우드 서비스를 두가지로 나누어 고찰한다. 최종 이용자들이 자신의사적 데이터를 저장, 접근, 편집, 재생하는데 사용되는 ‘개인용 클라우드’와 사업자가필요로 하는 전산 설비를 서비스로서 제공하는 ‘서비스 클라우드’가 그것이다. 개인용 클라우드의 경우, 클라우드 서비스의 특성에도 불구하고 개인정보 보호와 관련된문제들은 별로 새로울 것이 없다는 점을 설명한다. 개인정보와 사적정보는 분명히 구분되는 개념이며, 최종 이용자가 클라우드에 보관하는 정보는 사적 정보일 뿐, 개인정보는 아니다.
한편, 서비스 클라우드의 경우, 개인정보의 ‘국외 이전’이 문제될 수 있다. 본 논문은 개인정보의 ‘국외 제3자 제공’과 ‘국외 이전’을 구분하고자 한다. 개인정보의 ‘제3자 제공’은 제공받는 자(국내의 제3자 이건, 국외의 제3자 이건)가 그 개인정보를 일정한 범위에서 ‘이용’할 수 있음을 전제로 하는 개념임에 반해, ‘국외 이전’은 제3자가‘이용’할 수 있는지 없는지와 무관하므로 국외 제3자 제공 뿐 아니라, 국외에 위치한클라우드 저장 설비에 개인정보가 저장되는 경우까지를 포함하는 개념이다. 서비스제공자가 국내 고객의 개인정보를 국외에 위치한 데이터 센터에 저장하게 될 경우,국내 고객의 개인정보가 국외로 ‘이전’되는 것은 맞지만, 국외의 제3자에게 ‘제공’되는 것은 아니다. 서비스 클라우드 제공자가 서비스 클라우드 이용자(서비스 클라우드를 이용하여 자신의 전산 자원을 확보하고 자신의 최종 고객을 상대로 사업을 펴는자)로부터 최종 이용자들의 개인정보 처리를 위탁받았다고 파악할 근거도 없다.
하지만, 클라우드 서비스는 서비스 제공자 또는 서비스 클라우드 제공자가 최종 이용자의 개인정보뿐 아니라 사적정보까지 사법 당국에 제출하게 될 ‘현실적’ 가능성을높이는 것이므로, 개인의 자유와 사생활 보호를 위하여 보다 면밀한 검토가 필요한것은 사실이다.

영어초록

Cloud computing technology offers many advantages for both end-users and service providers. It is expected that an increasing number of services would be using cloud computing technology. If end-users or service providers use cloud service, user data will be stored in data centres operated by cloud service providers. This is a significant change compared to the conventional manner of storing one’s data on a device controlled by end-users or service providers themselves (rather than cloud service providers). The cloud computing makes geographical or physical location of the storage facilities technically irrelevant.
This paper examines issues relating cloud computing by distinguishing ‘personal cloud’and ‘service cloud’. Personal cloud is a service which enables end-users to store private data in the cloud storage and to access, retrieve, edit or play them. Service cloud enables service providers to obtain computing resources ‘as a service’ so that they can provide service to their customers using the computing resources which are extensible or scalable depending on the level of demand. In the case of personal cloud, the issues relating to protection of personal data are not different from conventional service models. Users’private data must be distinguished from users’ personal data. ‘Private data’ would include all sorts of information (not necessarily personal data) which is under the user’s control.
Personal cloud provider should not be required to sift through users’ ‘private data’ stored in the personal cloud to determine which of those data are ‘personal data’. The protection of ‘personal data’ would be applicable only to the ‘subscriber information’.
Service cloud, on the other hand, poses complex issues relating to ‘overseas transfer’ of personal data. This paper proposes a distinction between ‘supplying personal data to a third party located overseas’ and ‘transfer of personal data overseas’. ‘Supplying personal data to a third party’ means that the recipient (whether located within the country or out of the country) is provided with the data so that it can use them for a given purpose. ‘Overseas transfer’ of personal data, on the other hand, means not only ‘supply of personal data to an overseas recipient’ but also storing personal data at overseas data centres operated by cloud service provider who has no right to ‘use’ such personal data. Where a service provider stores personal data of domestic users at overseas data centres operated by a cloud provider (such as Amazon), it is true that domestic users’ personal data are ‘transferred overseas’. But it is wrong to say that those data are ‘supplied to a third party’ as the cloud provider is not allowed to use such data. Nor is it possible to argue that the overseas cloud provider is ‘entrusted with the processing of personal data’ by the service cloud users (service providers who use service cloud to obtain computing resources to do their business vis-a-vis end-users).
However, increasing popularity of cloud computing and storage of ‘private data’ in data centres operated by cloud providers would tend to increase the likelihood of ‘voluntary cooperation’ of cloud providers to the demand of law enforcement agencies even if the demand is not adequately supported by proper judicial mandate. A more careful study is needed to ensure more robust protection of individual’s freedom and privacy in connection with the use of cloud service.

참고자료

· 없음