국회의원 박선숙 보도자료 2018년10월11일(목)
주 제	2018년도 과학기술정보방송통위원회 국정감사 : 방송통신위원회 「자동차 디지털운행 정보 수집의 쟁점 및 개선방향 검토보고서」 발표 “현대·기아자동차의 부당한 개인정보 수집과 손 놓은 방통위”
문 의	Tel:784-2390, 2391 / Fax:788-0139 김형민 보좌관

‘위치정보로 취급하는 자동차 디지털 운행정보’

- 현대·기아차, 판매 차량에 회사 명의로 부착한 단말기로 정보수집

- ‘위치정보’ 명목으로 운전자 운전습관 포함된 차량운행정보도 수집

- 방통위 제출 약관 범위 벗어난 운행정보도 정보제공동의서에 포함

- 기아차, 위치정보사업자 허가 없이 자체 단말기로 정보수집 의혹

- 차량운행 데이터 수집·처리 및 보안 관련 법제도 정비가 시급

□ 국회 과학기술정보방송통신위원회 소속 박선숙 의원은 10월11일 「자동차 디지털운행 정보 수집의 쟁점 및 개선방향 검토보고서(이하 보고서)」 발표

ㅇ 박선숙 의원은 이 보고서에서 ‘현대자동차와 기아자동차가 차량 운행데이터를 어떻게 수집하고 있는가’를 분석한 결과 다음과 같은 문제점을 지적

- 현대자동차와 기아자동차는 ‘회사 명의로 개통된 통신망’이 연결된 단말기를 판매하는 자동차에 부착하여 사용자의 위치 및 운행정보를 수집하고 있는 바, 이 사실을 운전자에게 정확히 고지하지 않고 있음.

- 서비스 이용자의 차량에 설치한 단말기는 운전자의 ‘과거 현재의 위치정보’ 뿐만 아니라, 운전자의 운전습관을 포함한 ‘운행정보’까지 현대자동차로 전송하고 있어 과잉 정보 수집에 해당됨.

- 내 차에 설치된 ‘자동차 회사 명의로 통신망이 개통된 단말기’는 운전자의 서비스 이용과 무관하게 ‘정기적 혹은 간헐적’으로, 즉 상시적으로 자동차 운행 정보를 자동차 회사에 전송하고 있음.

- 더욱이 기아자동차는 위치정보사업자 허가도 받지 않은 채, 차량에 설치된 단말기를 통해 ‘UVO’ 서비스를 위한 위치·운행정보를 수집하고 있어, 불법 정보 수집 의혹이 있음.

ㅇ 박선숙 의원은 “방송통신위원회는 이런 문제점을 명백하게 밝혀야 함은 물론,「위치정보사업자 이용약관」을 부실하게 심사한 데 대해 책임을 통감해야 한다”고 지적.

□ 박 의원은 보고서의 결론에서 “자동차 디지털운행 데이터는 차량 구매자 또는 운전자의 소유이기 때문에, 자동차 회사가 이 데이터를 수집하기 위해서는 소비자가 어떤 정보를 제공하는지 ‘알고 동의할 권리’를 침해하지 않도록 정보 제공 동의를 제대로 받아야 하고, 자동차 회사가 제공받은 데이터를 제3자에게 무제한 제공하지 않도록 제한하는 한편, 수집한 데이터에 대한 보안을 강화하는 등의 제도 개선을 추진할 것”을 약속했음.

자동차 디지털운행 정보 수집의 쟁점 및 개선방향 검토보고서

2018. 10. 11

과학기술정보방송통신위원회

박 선 숙 위원

□ 문제의식 : ‘자동차 디지털운행기록장치 데이터의 의미와 정보 수집 방법 검토’

〇 요즘 출시되는 자동차는 내비게이션을 통해 사용자의 위치 기록은 물론,,「디지털운행기록장치」*를 의무 장착하여, ‘차량 속도와 RPM, 브레이크 사용기록, 운전시간 등 각종 차량 운행 데이터’를 초단위로 저장함.

* DTG(Digital Tacho Graph) : 자동차 운행정보를 기록하는 기기로  차량 속도와 RPM, 브레이크 사용기록, 위치정보, 운전시간 등 각종 차량 운행 데이터를 초단위로 저장

- 국토교통부는 운행기록장치(Tachograph) 중 ‘디지털운행기록장치’ 기준을 “자동차의 속도·RPM·브레이크·GPS를 통한 위치·방위각·가속도·주행거리 및 교통사고 상황 등을 자동적으로 전자식 기억장치에 기록하는 장치”로 정의.

- 급발진이나 자동차 사고 원인 조사를 위해 출시되는 모든 자동차에는 「사고기록장치」* 가 장착되어 있음

* EDR(Event Date Recorder) : 자동차 사고기록장치로 운전자의 가속페달, 조향장치 조작 RPM, 속도 안전벨트 작용여부 등 사고 전 5초 동안 0.5초 단위로 기록)

〇 이와 동시에 자동차 전자장치가 스마트폰과 연동되어 원격제어와 원격점검 등이 가능해졌고, 이러한 자동차운행 관련 엄청난 양의 데이터를 실시간으로 주고받는 무인자율주행자동차 도입도 눈앞에 두고 있음.

〇 디지털운행 정보는 자율주행자동차 개발은 물론이고, 부품개발 및 부품별 규격기준 개선 등을 위해 매우 유용한 자료로 활용될 수 있는 빅데이터의 기능과 역할을 하게 됨.

〇 ‘디지털운행기록장치’에 저장되는 차량 운행정보는 단순히 자동차 상태만이 아니라, 운전자의 운전 습관이나 행동에 관한 정보에 해당되며, 디지털운행기록장치의 정보는 ‘운전자 개인의 행동일지’에 해당되는 새로운 의미의 ‘개인정보’라 할 수 있음.

- 문제는 이러한 정보가 제3자에게 제공되는 상황이 확대되고 있음에도 불구하고, 이같은 정보의 수집 및 처리 그리고 보안과 관련된 제도 정비는 매우 더디게 진행된다는 것.

〇 개인의 ‘디지털운행기록저장장치’에 기록된 데이터는 단순히 ‘위치정보’의 영역으로 취급할 수 없는 개인 정보의 일종임에도, 현재 자동차 회사는 「위치정보 보호 및 이용 등에 관한 법률(이하 ‘위치정보법’)」을 근거로 운전자 개인과 차량의 운행정보를 수집하고 있음.

〇 「위치정보법」에 근거하여 자동차회사가 디지털운행정보를 수집하고 있는상황에서 발생하는 문제는 무엇인지, 또 앞으로 자동차 디지털운행 데이터를 올바르게 수집하고 활용하기 위한 선결조건은 무엇인지를 점검하는 것이 이 보고서의 목적임.

〇 여기에서는 「위치정보법」에 따라 자동차 회사가 디지털 운행정보를 현재 어떻게 수집하고 있는지에 대해, 현대·기아 자동차의 사례를 통해 문제점과 개선방향을 검토하고자 함.

〇 자동차 디지털운행 데이터는 분명 차량 구매자 또는 운전자의 소유이기 때문에, 자동차 회사가 이 데이터를 수집하기 위해서는 운전자에게 정보 제공 동의를 제대로 받아야 하며, 또 자동차 회사는 제공받은 데이터를 제3자에게 제공하는 문제와 데이터 유출을 막는 보안에 유의해야 한다는 것은 지극히 당연함.

이에 대한 대안은 무엇인지 보고서 결론에서 제시함

□  「위치정보법」에 의해 디지털운행정보 수집에서 드러난 문제 상황(요약)

〇 최근 출시된 현대자동차와 기아자동차 약 30만대의 소유주는 회사 측이 제공하는 ‘주차위치 확인, 도난차량 추적, 원격제어 등’의 서비스에 가입하고 있음.

〇 운전자는 주차위치 확인, 도난 추적 등의 서비스를 이용할 때, 운전자의 스마트폰에 설치한 어플리케이션을 통해 이용하기 때문에, 내 차 내비게이션의 모든 정보와 차량에 설치된 「디지털운행기록장치」의 운행정보가 자동차 회사로 전송되고 있다는 사실을 제대로 인지하지 못하고 있는 실정.

〇 현대자동차는 ‘블루링크, 제네시스 케넉티드’(현대자동차), ‘UVO’(기아자동차)의 서비스를 제공하면서 운전자의 개인의 위치정보를 수집하고 있음. 현대자동차가 정보를 수집하는 방법을 「위치사업자 이용약관」과 「위치기반사업자 이용 약관」그리고 가입신청 시 작성하는 「개인 정보 활용 동의서」등을 통해 확인한 결과,

- 첫째, 차량에 장착된 ‘자동차 회사의 명의로 개통된 통신망’이 연결된 ‘단말기’를 통해,

- 둘째, 운전자의 ‘위치정보’뿐 아니라 ‘운행정보’까지

- 셋째, ‘정기적 혹은 간헐적’으로 수신하고 있는 것으로 확인됨.

〇 첫째, 단말기의 기능과 관련하여 서비스 가입자가 자신의 자동차에 설치된 단말기로 회사가 정보를 수집하고 있다는 사실을 제대로 알고 있는지 의문임. 특히 자동차 회사가 자신이 구매한 자동차에 ‘위치정보와 운행정보’를 실시간 수집할 수 있는 장치를 부착했다는 사실을 제대로 전달받았는지 여부에 대한 실태 조사가 필요함.

〇 둘째, 정보의 수집범위와 관련하여, 자동차 회사가 수집하고 있는 정보의 내용을 보면, 서비스 이용자가 생각하는 ‘주차위치나 도난차량 위치 찾기’ 수준을 훨씬 뛰어넘는 것들로, 회사 수집하는 위치정보는 주차 혹은 도난 차량 위치 찾기 서비스에 필요한 ‘지금 현재의 위치’가 아니라, 내비게이션에 기록된 ‘등록 위치, 즐겨찾기, 최근 목적지 등’, ‘과거 현재의 모든 위치정보’까지 포함되며,

- 또한 회사가 수집하는 ‘운행정보’에는 ‘주행일자, 주행거리, 운행시간, 평균 속도, 경제운전 정보 등 운전자의 운전습관’이 포함됨.

〇 셋째,「위치정보사업자 이용약관」에서 ‘정기적, 간헐적’으로 정보를 수집한다는 것은, 이용자가 서비스 이용이 필요할 때 이용자의 요구에 의해 위치정보를 수집하는 것이 아니라 회사가 상시적으로 개인의 위치 및 운행 정보를 수집하고 있음을 의미함.

〇 기아자동차의 경우, ‘위치정보사업자’로서 허가도 받지 않은 채 위치정보를 수집하고 있다는 의혹이 있음.

- 현대자동차는 ‘위치정보사업자’허가를 받고, ‘위치기반서비스사업자’ 신고를 했지만, 기아자동차는 ‘위치정보사업자’ 허가를 받지 않고 ‘위치기반서비스사업자’ 신고만 완료한 상태이기 때문임.

- 문제는 기아자동차가 판매한 자동차에도 ‘위치정보를 전송하는 단말기’가 설치되어 있어, 기아자동차가 허가도 안 받고 ‘위치정보를 전달하는 단말기를 설치하여 위치정보를 수집’한다는 의혹을 피하기 어려움.

□ 현대·기아차의 위치정보 및 위치기반서비스 사업 현황

〇 현대자동차는 ‘위치정보사업자’이자 동시에 ‘위치기반서비스사업자’며, 기아자동차는 ‘위치기반서비스사업자’에 해당됨.

* 현대자동차는 2005.10.28. ‘위치정보사업자’ 허가를 받았고, 같은 시점에 ‘위치기반서비스사업자’ 신고.

〇 위치정보사업자는 ‘위치정보를 수집하여 이를 위치기반서비스사업자에게 제공하는 사업자’며, 위치기반서비스사업자는 ‘위치정보사업자로부터 받은 위치정보를 이용하여 서비스, 예를 들면 친구 찾기, 물류, 차량관제 등의 서비스를 제공하는 사업자’로 스마트폰 앱 개발 운영사 등이 이에 해당됨.

- 위치정보사업자는 방송통신위원회의 ‘허가’를 받아야 하고, 위치기반서비스사업자는 사업자 ‘신고’를 해야 함.

〇 현대자동차와 기아자동차는 ‘텔레매틱스 서비스’라는 ‘블루링크 서비스’와 ‘제네시스 커넥티드 서비스’ 등을 운영하고 있고, 기아자동차는 ‘UVO 서비스’를 운영하고 있음.

- 위 서비스 프로그램은 ‘스마트폰 애플리케이션으로 원격제어와 주차장 위치 찾기’ 등의 서비스를 제공하며, ‘컨시어스’ 옵션을 선택할 경우 단말기를 통해 상담원과 직접 통화로 필요한 정보를 얻을 수 있음.

〇 위치정보사업자는 「이용약관」에 ‘위치정보 수집 방법’을 기재해야 하며, 그 약관을 방송통신위원회에 신고해야 함. 방송통신위원회는 신고된 약관을 심사함.

□ 항목별 현대·기아차의 디지털운행 정보 수집 절차 및 방법의 문제점

1. ‘내 차’에 ‘현대자동차 명의로 통신회선이 개통된 단말기‘가 설치되었다

- 위치정보 수집 장치(단말기) 부착사실을 이용자에게 제대로 공지하고 있나

〇 자동차 회사는 이용자의 위치 및 운행 정보를 ‘단말기’를 통해 수집하는데, 그 단말기는 ‘자동차 회사의 명의로 통신망이 개통된 단말기’임.

※ 현대자동차는 KT와, 기아자동차는 SKT와 데이터 전송 계약 체결

현대자동차 「블루링크 서비스 위치정보사업 이용약관」

제6조(개인위치정보 수집방법)

1. 회사는 GPS와  DR(Dead Reckoning)를 이용해 수집한 위치정보를 블루링크 단말기를 통한 주기적 및 간헐적 무선 전송방식에 따라 수집합니다.

현대자동차 「블루링크 위치기반서비스 이용약관」

제 3조 (서비스 가입)

1. 다음 각 호의 1에 해당하는 방법을 통해 회사가 정한 본 약관에 고객이 동의하고 이용계약을 맺음으로써 서비스 가입의 효력이 발생합니다.

- 차량용 단말장치를 통한 이용계약 : 회사의 명의로 통신망이 개통된 차량용 단말장치를 통한 이용계약

〇 회사 명의로 통신망이 개통되어 있는 단말기는 차종에 따라 기본 옵션인 경우도 있고, 선택 옵션이기도 함.

〇 차량과 운전자의 운행정보를 송신하는 단말기는 ‘내비게이션’에 장착되어 있어, 내비게이션을 옵션으로 선택한 차량은 위치 및 운행 정보를 전송하는 단말기도 함께 장착하게 되는 것임(* 단말기 장착 여부는 차량 룸미러에 블루링크 ‘b’ 버튼이나 ‘UVO’ 버튼으로 확인 가능, 제네시스는 기본으로 장착).

〇 과연 자동차 회사가 자신의 차량에 위치정보 등을 수집할 수 있는 장치를 부착해 놓았다는 사실을 서비스 이용자가 제대로 ‘고지’받고 있는지에 대해서는 정확한 실태조사가 필요함.

〇 다만, 위치정보법 제15조(위치정보의 수집 등의 금지) 제3항은 ‘위치정보를 수집할 수 있는 장치가 부착된 물건을 대여하는 자는 위치정보 수집장치가 부착된 사실을 대여받는 자에게 고지하여야 한다’고 규정하고 있어, 대여가 아닌 판매의 경우에도 ‘고지’의무가 있는지에 대해서는 명확하지 않음.

〇 자동차 렌트업자는 위치정보 수집 장치 부착을 고지해야 하고, 포괄적으로는 대여 시에 준해서 자동차 판매 시에도 위치 정보 수집 장치 부착 고지 의무가 있는 것으로 해석할 수 있으나, 명확한 규정이 없는 것은 법적 미비 상태라 할 수 있음.

2. 법이 허용한 정보 이상의 정보를 수집하는 현대차

- 현대차가 방송통신위원회에 제출한 「이용 약관」보다 더 많은 정보 제공을 요구하는 「개인 정보 활용 동의서」

〇 「위치정보법」을 통해 차량상태와 운전자의 운전습관이 포함된 디지털운행정보를 수집할 수는 없음. 그러나 현대자동차는 법에 규정한 위치정보의 범위를 넘어선 정보를 수집하고 있음.

〇 「위치정보법」은 위치정보를 다음과 같이 정의.

- 법 제2조 제1호 “‘위치정보’라 함은 이동성이 있는 물건 또는 개인이 특정한 시간에 존재하거나 존재하였던 장소에 관한 정보로서 「전기통신사업법」 제2조제2호 및 제3호에 따른 전기통신설비 및 전기통신회선설비를 이용하여 수집된 것을 말한다.”

〇 현대자동차 「블루링크 서비스 위치정보사업 이용약관」도 ‘수집하는 정보’를 ‘GPS와  DR(Dead Reckoning)를 이용해 수집한 위치정보’라고 적시하고 있어, 이 약관만으로는 실제로 현대자동차가 ‘(운행정보가 포함된) 위치정보’를 수집하고 있는지 알 수 없고, 회사가 수집하는 정보의 내용 전체를 알기 위해서는 블루링크 서비스를 가입하면서 작성하는 「개인 정보활용 동의서」를 꼼꼼히 읽어야만 함.

〇 「개인 정보 활용 동의서」상 현대자동차가 ‘필수적’으로 수집하고 ‘이용’할 수 있는 정보는 아래 표에서 보듯이 서비스 이용자가 생각하는 ‘주차위치나 도난차량 위치 찾기’와 같은 단순한 수준이 아님.

〇 현대자동차가 수집하는 정보는 ‘현재와 과거의 모든 위치정보’와 ‘운전자의 운전 습관이 모두 포함된 운행정보’임.

<표 1> 블루링크 「개인정보활용동의서」에 적시된 회사가 ‘필수적’으로 수집하는 정보

〇 「개인 정보 활용 동의서」에 따르면, 현대자동차가 필수적으로 수집하는 정보는 기초적인 개인정보는 물론, ‘개인화 프로파일(사용자 설정값, 내비게이션 설정 정보, 내비게이션 등록위치, 즐겨찾기, 최근 목적지)’등과 같은 모든 위치기록 정보, ‘GPS 정보, 주행일자, 주행거리, 운행시간, 평균 속도, 경제운전 정보 등’ 운행정보 전체임.

〇 운전자는 위치기반서비스를 이용하기 위한 ‘위치정보 제공’에 대해서만 동의했다고 생각하겠지만, 자동차 회사는 디지털 운행기록 장치에 포함된 ‘운행정보’까지 수집하는 것임.

〇 위치정보법 제18조(개인위치정보의 수집) 제3항은 ‘위치정보사업자가 개인위치정보를 수집하는 경우에는 수집목적을 달성하기 위하여 필요한 최소한의 정보를 수집하여야 한다’고 규정하공 있음, 현대자동차는 ‘서비스 제공이라는 수집목적에 필요한 정보 수준을 훨씬 벗어난 더 많은 정보를 수집’하여 법 제18조 제3항을 위반한 것으로 판단됨.

※ 위치정보법 제43조에 따라 2천만 원 이하의 과태료 부과에 해당.

〇 현대자동차가 ‘위치정보사업자’로 허가받고 운전자의 ‘위치정보’가 아닌 ‘운행정보’까지 수집하는 것은 법의 허용범위를 벗어난 것이라 할 수 있음.

- 또한 현대자동차가 방송통신위원회에 제출한 「위치정보 사업자 이용약관」에 따라 수집하는 정보와 실제 「개인 정보 활용 동의서」를 통해 수집하는 정보가 다르며, 「이용 약관」에서 표기한 것 이상의 정보를 수집하고 있음이 분명함.

〇 현대자동차가 위치정보법 제18조제3항을 위반한 점이 분명하고, 방송통신위원회가 현대자동차가 신고한「위치정보사업자 이용약관」을 제대로 심사하지 못한 것도 분명하지만, 더 근본적인 문제는 ‘자동차 운행’과 관련된 ‘개인의 운행정보’를 「위치정보법」에 의거해서 수집하려고 한 것임.

〇 네트워크로 연결된 자동차 및 운전자의 운행정보에 대해서는 개인정보의 일종으로 별도의 정보보호 원칙을 적용할 필요가 있음.

3. 현대차의 ‘사실과 다른 약관 작성’과 방통위의 ‘개념 없는 약관 심사’

〇 위치정보사업자는 ‘약관을 방송통신위원회에 신고’해야 하며, ‘방송통신위원회는 이용약관이 개인위치정보의 보호 등을 침해할 우려가 있다고 판단되는 경우는 위치정보사업자등에게 이용약관의 변경을 명할 수 있음’ 등의 규정을 고려할 때(법 제12조제2항), 방송통신위원회는 현대자동차의 「위치정보사업자 이용약관」에 대한 심사를 제대로 하지 못했음.

〇 나아가 「위치정보사업자 약관」과 「위치기반서비스사업자 약관」의 차이에 주목할 필요가 있음.

〇 ‘원격제어’, ‘안전보안’, ‘차량관리’ 등 블루링크 서비스는 「위치기반서비스 사업자」가 「위치정보사업자」에게 개인정보를 제공받아 서비스를 시행하는 형태며, 「위치정보사업자」는 ‘위치기반서비스 사업자에게 개인정보 제공 조건 등’을 「이용 약관」에 포함하면 됨.

〇 현대자동차는 「위치정보사업자 이용약관」 제7조(위치정보서비스의 내용)에 ‘주차위치 확인, 차량진단 서비스’ 등 「위치기반서비스 사업자」가 시행하는 서비스 내용을 포함.

- 위치정보사업자가 약관에서는 위치기반서비스 사업을 포함한 것이고,

- 위치정보사업자가 위치기반서비스 사업을 할 수는 있지만, 별도의 신청과정을 거쳐야 하며, 「위치정보사업자 약관」과 「위치기반서비스사업자 역관」을 각각 방송통신위원회에 신고해야 함.

〇 위치정보사업자 약관에 위치기반서비스사업 내용을 포함했다는 것은 회사가 얼마나 무성의하게 「위치정보 이용약관」를 작성했음을 보여주며, 한편으로는 방송통신위원회가 이런 내용에 대해 점검하지 않은 상태에서 현대자동차의 「위치정보사업자 이용약관」을 제대로 심사하지 않았다는 것을 알 수 있게 함.

4. 내 허락이 없이도 수시로 전송되는 위치 및 운행정보

〇 현대자동차는 「블루서비스 위치정보사업 이용약관」 제6조 ‘개인위치정보 수집방법’은 현대자동차 명의로 개통된 통신망으로 자동차에 부착된 단말기를 통해 ‘주기적 간헐적 무선 전송방식’으로 정보를 수집함.

현대자동차 「블루 서비스 위치정보사업 이용약관」

제6조(개인위치정보 수집방법)

1. 회사는 GPS와  DR(Dead Reckoning)를 이용해 수집한 위치정보를 블루링크 단말기를 통한 주기적 및 간헐적 무선 전송방식에 따라 수집합니다.

- 제네시스 커넥티드 서비스 약관 역시 “제네시스 커넥티드 서비스 단말기를 통한 주기적 및 간헐적 무선 전송방식에 따라 수집”한다고 적시.

〇 서비스 이용자는 자동차 구입시, 주차위치나 도난차량 위치 찾기 서비스를 신청할 경우 내 차량의 위치정보가 전송된다고 알기 쉽지만, 운전자의 서비스 이용 여부와 무관하게 현대자동차는 내 차량의 위치 및 내 운행 정보를 주기적 혹은 간헐적으로 수집하고 있는 것임.

〇 참고로 현대자동차 측에 따르면, 이렇게 서비스 가입 차량 1대가 회사로 송신하는 운행정보는 하루 평균 50〜100MB 데이터(5∼10MB로 압축하여 처리)에 달함.

* 30만대를 계산하면 데이터 양은 엄청난 규모며, 자동차 회사가 비용 문제 때문에 최소한 데이터만을 전송받고 있다는 주장도 있음.

〇 이 데이터를 전송받기 위해 현대자동차는 KT와 계약을 맺고 ‘회사 명의로 통신망을 개통한 단말기’를 자동차에 부착하고, 정보를 수집하고 있음.

4-1. 수시로 전송되는 위치 및 운행정보와 관련된 추가 논점

〇 주기적 및 간헐적 무선 전송방식으로 수집한다는 말은 ‘개인정보를 자동으로 수집하는 장치’가 자동차에 설치되었음을 의미하며,

- 현대자동차가 이 장치를 통해 ‘상시적으로 내 위치 및 운행 정보’를 수집하고 있음을 의미함.

〇 약관이 제시하는 정보 수집방법은 현대자동차가 ‘개인정보를 자동으로 수집하는 장치’를 이용자 개인의 자동차에 부착하여 운영하고 있음을 의미.

〇 그런데 제니시스 케넥티드 「개인정보처리방침」제10조 ‘개인정보를 자동으로 수집하는 장치의 설치·운영 및 그 거부에 관한 사항’에서는 “회사는 개인정보를 자동으로 수집하는 장치를 운영하지 않습니다”고 적시.

〇 ‘개인정보를 자동으로 수집하는 장치를 운영하지 않는다’는 「개인정보처리방침」제10조 내용은, 「제네시스 커넥티드 서비스 위치정보사업 이용약관」 제6조 1호 ‘회사는 GPS와  DR(Dead Reckoning)를 이용해 수집한 위치정보를 제네시스 커넥티드 서비스 단말기를 통한 주기적 및 간헐적 무선 전송방식에 따라 수집합니다’라는 내용과 상충됨.

〇 어느 쪽이 사실인가? 「개인정보처리방침」제7조 회사가 처리하는 개인정보 항목에서 필수항목으로 ‘운행정보: GPS 정보, 주행일자, 주행거리, 운행시간, 평균 속도, 경제운전 정보 등 서비스 제공에 필요한 운행정보’를 열거한 것으로 볼 때, 「제네시스 커넥티드 서비스 위치정보사업 이용약관」에 따라 정보를 ‘주기적 및 간헐적’으로 수집하고 있다고 봐야 함.

〇 따라서 ‘개인정보를 자동으로 수집하는 장치를 운영하지 않는다’는 내용은 현대자동차가 ‘차량과 운전자의 운행정보’는 ‘개인정보’로 취급하지 않는다는 의미일 수도 있음.

5. 수집하는 정보의 양과 규모를 알 수 없는 현대자동차의 「위치정보사업자 약관」과 「개인정보 활용 동의서」

〇 현대자동차의 경우 「위치정보사업자 이용약관」만으로는 회사가 수집하는 ‘정보’의 범위와 내용을 전혀 알 수 없음.

- 이용약관에는 ‘회사는 GPS와  DR(Dead Reckoning)를 이용해 수집한 위치정보’라고만 기재.

- 이용약관은 단순한 위치정보만 수집하지만, 앞서 보았듯이 서비스 가입을 신청할 때 작성하는 「개인 정보 활용 동의서」는 ‘현재와 과거의 위치정보’와 ‘운전자의 운전습관이 포함된 운행정보’ 등을 수집하고 있음.

〇 또 다른 문제는 「개인 정보 활용 동의서」를 보더라도 회사가 수집하는 정보 전체를 알 수 없다는 것임.

- 「개인 정보 활용 동의서」는 모든 위치 정보(내비게이션 설정 정보, 등록 위치, 즐겨찾기, 최근 목적지 등)뿐 아니라 운행정보(주일일자 주행거리 운행시간 평균 속도 경제운전 정보 등)도 수집한다고 되어 있지만,

- “※ 자세한 운행정보 수집항목은 현대자동차 홈페이지의 블루링크 개인정보처리방침을 확인하시기 바라며…”고 적시하고 있음.

〇 현대자동차 홈페이지에서 「블루링크 개인정보처리방침」 전문(全文)을 찾기는 불가능에 가깝고, 다만 부분적인 ‘개인정보처리방침 개정’ 사항만 ‘공지’ 란에서 확인 가능(‘제네시스 커넥티드 서비스 사이트’에서는 ‘개인정보처리방침’ 전문을 볼 수 있음).

〇 현대자동차가 수집하는 정보가 무엇인지 알기 위해서는 「이용약관」 → 「개인 정보 활용 동의서」→ 「블루링크 개인정보처리방침」를 찾아가야 하지만, 「블루링크 개인정보처리방침」 전문 찾기는 매우 어려움.

6. 기아자동차, 허가 없이 정보 수집 의혹

〇 기아자동차는 ‘위치정보사업’ 허가를 받은 바 없고, ‘위치기반서비스 사업자’로 2013.6.12.에 신고.

- 방송통신위원회가 요약한 제공 서비스 내용은 ‘유저의 사진을 동영상으로 제작하여 공유’한다는 것임.

〇 기아자동차는 ‘유버UVO’서비스를 시행 중인데, 유버서비스를 위한 정보는 판매하는 기아자동차에 설치된 단말기를 통해 수집하고 있으니, 기아자동차가 허가 없이 위치정보를 수집한다는 의혹은 제기됨.

〇 위치정보 사업자가 아닌 기아자동차가 위치기반서비스 사업을 하기 위해 가입자의 위치정보를 제공받기 위해서는 두 가지 방법이 있음.

- 하나, 기아자동차 스스로 위치정보를 수집하는 방법,

- 둘, 다른 위치정보사업자(현대자동차)에게 위치정보를 제공받는 방법임.

- 1번 방식으로 기아차가 정보를 수집했다면, 당연히 기아자동차는 불법으로 정보를 수집한 것임.

〇 한편, 방송통신위원회는 의원실에서 ‘위치정보사업자 허가가 없는 기아자동차가 차량에 설치된 단말기를 통해 위치정보를 수집하는 것’에 대한 적법성을 질문하자,

- “사업계획서에 명시적으로 위치정보를 제공받는 사업자를 적시하지는 않았지만, 기아자동차에 전화로 문의한 결과 현대자동차에게 위치정보를 제공받는다는 설명을 들었다”고 답변.

〇 방송통신위원회는 기아자동차의 해명을 근거로 2번 방식으로 위치정보를 제공받고 있다고 하지만, 이 역시 불법적인 정보 수집에 해당됨. 다만, 이 경우 불법의 주체는 기아자동차가 아니라 현대자동차가 됨.

〇 위치정보사업자인 현대자동차가 위치기반서비스사업자인 기아자동차에게 개인정보를 제공한다는 것은 ‘현대차 자신이 기아차에 설치한 단말기에서 위치정보를 수집하여 다시 기아차에 제공’하는 구조라는 의미임.

- 이런 사업구조가 사실인지 여부는 기아자동차가 제출한 「사업계획서」를 통해 확인할 수 있으나, 방송통신위원회는 사업계획서에 개인정보를 제공받는 위치정보사업자가 특정되지 않았다고만 할 뿐, 영업비밀을 이유로 「사업계획서」 제출을 거부.

〇 현대자동차가 이렇게 기아자동차 단말기를 통해 위치정보를 수집하기 위해서는 위치정보사업자인 현대자동차가 「위치정보사업자 이용약관」의 ‘정보 수집 방법’에 “기아자동차에 설치한 단말기를 통해 위치정보를 수집”한다는 내용을 적시해야 함.

〇 하지만, 이미 검토했듯, 위치정보 사업자인 현대자동차의 「정보사업자 이용약관」은 “회사는 … 위치정보를 블루링크(제네시스 케넥티드 서비스) 단말기를 통한 주기적 및 간헐적 무선 전송방식에 따라 수집합니다”라고 정보 수집 단말기를 특정하여 기재하고 있음.

- 만약 현대자동차가 ‘기아자동차에 설치된 단말기를 통해 위치 정보를 수집 한다’는 정보 수집 방법을 명시하지 않고, 기아자동차에 설치된 단말기를 통해 위치정보를 수집했다면 이는 불법적인 위치정보 수집에 해당됨.

〇 현대자동차의 블루링크와 제네시스 케넥티드 서비스는 KT와 계약을 체결했고, 기아자동차의 UVO 서비스는 SKT와 계약을 체결한 사실을 보더라도, 현대자동차가 기아자동차의 단말기를 통해 위치정보를 수집하고 있다는 주장은 사실에 부합하기 어렵고, 만약 사실이라면 법 제 15조제2항 “누구든지 타인의 정보통신기기를 복제하거나 정보를 도용하는 등의 방법으로 위치정보사업자등을 속여 타인의 개인위치정보를 제공받아서는 아니 된다”는 금지행위에 해당될 수 있음.

〇 즉 현대자동차가 기아자동차에 설치된 단말기를 이용하여 정보를 수집한다면 법 제15조 제2항 위반에 해당하고, 기아자동차가 허가 없이 개인정보를 수집한다면 법 제5조제1항 위반에 해당함.

7. 위치정보 수집과 관련하여 기아자동차 「이용약관」의 문제

〇 기아자동차가 방통위에 신고한 「위치기반서비스사업자 이용약관」과 기아자동차 홈페이지에 게재한 약관은 내용의 차이가 있음.

〇 홈페이지에 게시된  UVO서비스 약관은 기아자동차와 현대자동차를 공히 사업자로 명시한 반면, 방송통신위에 제출한 약관은 기아자동차만 기재.

	방통위 제출 「UVO 위치기반서비스 이용약관」	홈페이지에 있는 「UVO 이용약관」
서비스를 제공하는 회사의 범위	제 1조 (목적) 이 약관은 기아자동차주식회사(이하 ‘회사’라 합니다)가 제공하는 UVO 서비스(이하 ‘서비스’라 합니다)를 회사와 이용계약을 체결한 ‘고객’이 이용함에 있어 필요한 회사와 고객 간의 권리 및 의무, 기타 제반사항을 정함을 목적으로 합니다.	제 1 조 (약관의 목적) 이 약관은 계약자(제4조 6항 참조)가 현대자동차주식회사와 기아자동차주식회사(이하 "회사")에서 제공하는 유보 서비스(제 1 장 제4조 1항 참조, 이하 "서비스")의 이용에 관한 일체의 관계에 적용합니다.
회사의 상호	제18조(회사의 상호, 주소, 전화번호) 1. 회사의 상호, 주소, 전화번호는 다음과 같습니다. 상호 : 기아자동차 주소 : 서울특별시 서초구 헌릉로 12(양재동) 전화번호 : 1899-2121	제3조 (약관의 명시와 개정) 회사는 … 명시합니다. 2017년 11월 현재 회사의 상호, 주요 영업소 소재지, 서비스 관리자의 성명 및 연락처는 아래와 같습니다. 상호 : 현대자동차 주식회사, 기아자동차 주식회사 주요 영업소 소재지 : 서울특별시 서초구 헌릉로 12 서비스 관리자 : 1899-2121 tmsmaster@kia.com

〇 현대자동차를 함께 게재한 것은 위치정보 제공과 관련하여 시사하는 바가 있음. 방송통신위원회 제출 약관에서 위치기반서비스 제공 사업자가 ‘두 개의 법인’일 수는 없지만, 홈페이지 공개 약관에서 ‘현대자동차’를 함께 게재한 것은 위치사업자가 아닌 기아자동차가 위치정보를 제공받는 것과 관련되어 있을 것으로 보임.

□ 자동차 디지털운행 정보 수집과 처리에서 제기되는 쟁점

1. 「디지털운행기록장치」에 기록되는 정보의 소유자와 동의절차 등을 분명히 해야 함

〇 당연한 것이지만 차량과 관련된 정보는 차량 구매자의 소유며, 자동차 운행과 관련된 데이터 역시 운전자가 만들어내는 것임.

〇 따라서 차량과 운전자 운행에서 발생한 정보를 수집하기 위해서는 차량소유자와 운전자의 동의가 필요한 것 역시 당연함.

〇 하지만 「위치정보법」에 근거하여, 법에서 규정한 ‘위치정보’의 범위를 넘어서는 운행정보를 수집하는 것은 불법임.

〇 특히 무인 자율주행자동차 운행과 관련, 다수의 쟁점이 발생할 것으로 예상되는 시점에서 이번에 문제가 된 ‘차량운행 및 운전습관 등과 관련된 개인정보’를 관리하는 별도의 규제 틀을 고민할 시점임.

2. 자동차 회사의 보안 문제

〇 차량 및 운전자의 운행정보 데이터가 많아질수록 정보 보안의 문제는 더욱 중요해 짐.

〇 과거와 현재의 위치정보, 운전자의 운전습관을 포함한 운행정보가 차량에 설치된 내비게이션과 디지털운행기록장치 외에 ‘자동차 회사’에도 전송되어 보관하고 있는 점을 고려할 때, 자동차회사의 정보 보안 문제도 심각한 문제임.

〇 ‘차량운행 및 운전습관 등과 관련된 개인정보’에 관한 별도의 체계가 마련되기 전이라도  자동차회사의 ‘보안’ 문제를 강화할 필요가 있음.

3. 새로운 법령은 자동차와 운전자 데이터 보안과 제3자 제공 문제를 구체적으로 규율

〇 현 현대자동차와 기아자동차 「위치기반서비스업자 이용약관」은 긴급출동서비스 제공을 이유로 제3자인 ‘현대하이카 손해사정’에 정보를 제공하고 있음.

〇 그런데 운전자의 운행정보가 부속 신제품 개발은 물론 부속품의 내구성 개선 등 다양한 부품 개발에 도움이 될 수 있는데, 「약관」어디에도 현대자동차 계열 부품사에 관련 정보를 제공한다는 조항은 없음.

- 실제 정보를 제공하지 않는 것인지, 아니면 약관 등에 명시하지 않고 정보를 제공하는 것인지 알 수 없는 상황.

〇 일차적으로는 수직계열화 된 현대자동차의 지배구조를 고려하여 현대자동차가 계열 부품계열사에 관련 정보를 제공하는지 여부를 방송통신위원회가 철저히 조사해야 함.

※ 이차적으로는 「디지털운행기록장치」에 기록되는 정보 수집과 활용을 위한 동의 절차는 기존의 ‘위치정보’법으로는 한계가 있음이 분명.

- 정당한 방법으로 운행정보를 수집·활용하여 산업발전에 기여할 수 있는 ‘차량운행 및 운전습관 등과 관련된 개인정보 수집 및 활용’을 위한 법 체계를 금년 중으로 마련할 예정임 /끝