개통령이라 불리는 강형욱 훈련사의 회사 <보듬컴퍼니>에서 있었던 사건이 화제가 되고 있습니다. 강형욱 대표는 논란이 불거진 지 일주일 만에 유튜브에 해명 영상을 올렸습니다. 강 대표는 각종 폭언 논란과 폐쇄회로텔레비전(CCTV) 감시 등 자신을 향해 제기된 직장 내 갑질 의혹 대부분이 사실이 아니거나 오해에서 비롯됐다고 해명하는 등의 이야기를 했는데요. 그 중에 보안/전자증거와 관련해서 주목할만한 건이 있었습니다. 바로 사내 메신저입니다.

​대표나 경영진이 손쉽게 열람 가능한 사내 메신저

해명 영상과 보도에 따르면 강 대표 부부는 직원들에게 사내 메신저 사용을 강요하고, 직원들의 동의 없이 메신저로 주고받은 내용을 감시했다는 의혹에 대해선 일부 인정했지만 고의가 아니라는 취지로 해명, 사내 메신저는 업무 편의를 위해 도입한 것이고, 메신저의 관리자 감시 기능은 유료 버전을 이용하게 되면서 자동으로 추가된 것이라 했는데요. 보듬컴퍼니 이사이자 강형욱 훈련사의 아내인 수전 엘더 이사는 "(직원들의 대와 내용 중에) 아들 이름이 있었다. 

이제 막 태어난 6∼7개월짜리 아들에 대한 조롱(이었다)"며 "슈돌(슈퍼맨이 돌아왔다)에 나가는 것을 가지고 아들을 앞세워 돈을 번다 이런 얘기였다. (이런 내용들에) 눈이 뒤집혀 양심의 가책을 느끼면서도 손을 놓을 수 없었다"며 직원들이 사내 메신저로 주고받은 대화를 불가피하게 볼 수밖에 없었다고 말했습니다. 

수전 엘더 이사 측은 직원들의 대화 중 특정 커뮤니티에서 사용하는 혐오 단어를 사용하며 타 직원을 조롱하는 내용들도 있었다고 했는데요. 가장 문제가 됐던 직원 3명 가운데 1명은 바로 퇴사했으며, 다른 이들도 큰 갈등 없이 퇴사했다고 말하기도 했습니다.

​사내 메신저로 인한 징계가 가능할까?

과연 사내 메신저를 오사용했다고 징계하는 것은 위법일까요? DM(Direct Message) 기능 등을 이용한 내용은 관리자가 볼 수 없을까요? 해당 내용을 수집하는 것은 어떤 기술적 문제가 있으며 어떤 절차를 통해서 가능한 것일까요? 

지난 2011년 7월, 넷플릭스는 동료에 대한 비난 메시지를 메신저 앱 <슬랙(Slack)>의 단체 채널(대화방)이 아닌 개인 채널에 올렸다는 이유로 마케팅 임원 3명을 해고한 바 있습니다. 테드 사란도스 넷플릭스 공동 CEO는 링크드인 게시물을 통해 그 내용이 단순한 동료 험담이 아니라, 해당 동료가 발표를 하는 도중에도 험담을 나누는 등 "몇 달 동안 지속적으로 동료들에 대한 개인적인 비판을 올렸다"고 했는데요. 대표는 평소에 회사가 슬랙이나 이메일을 모니터링하지는 않지만, 해당 채널은 완전히 사적인 것이 아니고, 채널이 열려 있기에 누구나 들어갈 수 있었다"고 덧붙이기도 했습니다. 사례가 있었다는거죠.

​기업 보안의 관점에서 사내 메신저 추적과 감시 

흔히들 직장인들은 회사 내에서의 소통, 특히 사내 메신저 사용을 하면서 비밀이 보장된다고 생각합니다. 회사 컴퓨터로 사적인 채팅이나 이메일, 화상회의를 하더라도 사측에서 이를 보지 않고 볼 수 없을 것이라고 지레짐작하는거죠. 

하지만 사측이 직원의 직장 내 온라인 커뮤니케이션을 추적할 수 있는 기술은 엄연히 존재합니다. 다만 이를 활용하는 수준에 대해 회사가 밝히지 않을 뿐이죠. 어떤 장비를, 혹은 어떤 프로그램을 사용하든 상관없이 회사는 사용자의 메신저 대화나 웹 사이트 방문 등 모든 활동을 추적할 수 있습니다.

물론 기업이 내부 커뮤니케이션을 추적할 만한 정당한 이유가 없는 것은 아닙니다. 오히려 추적이 힘들고 개인정보 보호 이슈가 많은 개인용 메신저 대신 보다 추적과 관리가 용이한 기업용 메신저를 사용하는 쪽으로 선회하고 있는 상황이죠. 수많은 침해, 유출 사고들이 발생하면서 GDPR을 비롯, 기업에는 더 많은 정보보호규제가 요구되고 있기 때문입니다. 

일례로 유럽연합은 GDPR(General Data Protection Regulation, 유럽 연합 일반 데이터 보호 규칙)을 발효하면서 고객의 개인정보에 대한 강한 보호조치를 걸었지만 반대로 기업에게는 소송 혹은 조사에 성실한 참여를 할 수 있도록 보유하고 있는 정보의 사본을 손쉽게 공개할 수 있도록 하는 제약을 걸어 두었습니다. 또한 기업 비밀의 불건전 행위 혹은 탈취 보고가 있을 경우 내부 감사를 수행하는데 증빙자료로 쓰기 위해서라도 내부 커뮤니케이션 자료들을 모아둘 것을 요구하고 있기도 하죠. 이 커뮤니케이션 자료에는 당연하겠지만 사내 메신저 대화, 전자우편 기록 등이 모두 포함됩니다.

​사내 메신저의 대화 내용도 개인정보 보호의 대상이 될 수 있을까?

국가 핵심 기술과 같이 민감한 데이터를 관리하는 기업 역시 마찬가지입니다. 대표적인 보안 조치사항 중 하나로 ‘사각이 단 한곳도 발생하지 않도록 사무실 내 CCTV를 설치할 것’이 요구되는 등, 컴플라이언스 규제는 더욱 강화되고 있습니다. 실제로 기술, 데이터 유출 사례가 상당 수 발생하면서 의료 기록이나 정부 계약 등 민감한 자료를 다루는 모든 이들은 회사의 사업과 평판 및 자원을 보호하기 위해 적극적으로 모니터링을 할 수 있는 대상이되었습니다.

물론 기업들이 직원들의 직장 내 커뮤니케이션을 면밀히 살펴보는 것을 막기 위한 최소한의 제약은 있습니다. 대표적으로 한국의 정보통신망법 49조가 있죠. 이 조항은 ’누구든지 정보통신망에 의하여 처리, 보관 또는 전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해, 도용 또는 누설하여서는 아니된다고 규정하면서, 이를 위반한 사람을 처벌하고 있습니다. 여기서 쟁점이 되는 것은 사내 메신저 대화내용이 타인의 비밀인지에 대한 유권해석일텐데 . 사용자가 근로자의 대화내용을 회사의 재산권이나 직장 내 감시권 등을 이유로 감시하거나 열람할 수 있을까요?

미국에서는 할 수 있다고 보는 입장에 가깝습니다. 사용자가 근로자의 전자우편을 감시하겠다는 정책을 사전에 공표하여 근로자가 이를 알고 있는 이상은 사내 전자우편에 대한 근로자 프라이버시가 보장되지 않는다는 것입니다. 

프랑스 같은 경우는 반대입니다.예외적으로 정당한 이유가 인정될 때만 직원대표조직과 사전협의를 거쳐 정보 주체에게 개별적으로 통지하는 절차를 거친 후에야 접근할 수 있습니다. 우리나라 법원의 입장은 아직까지 성문화 된 조문으로 명확하게 나와있지는 않지만 '개별적 동의는 물론, 공지 등 필요한 최소한의 조치도 취하지 아니한 채' 감시 프로그램을 사용하였다는 이유로 정보통신망법 제49조 위반을 인정한 판례가 있다는 점에서 양국 중 프랑스 쪽에 조금 더 가깝다는 생각을 해 볼 수 있습니다.

​기업의 근로자 커뮤니케이션 감시의 맹점

하지만 여기에도 맹점이 있습니다. 전 세계 어느 곳에도 사측이 개인에 대해 수집한 자료를 알려야 한다는 법 조항은 없다는 것입니다. 어떤 기업들은 근로자들에게 '직장 내 커뮤니케이션에서 사생활 보장을 기대하지 마라'는 가이드를 제시하기도 하죠. 

유럽연합 연구소의 에이다 폰세 델 카스티요 브뤼셀 주재 선임연구원은 "근로 계약에 서명할 때 사측에선 '당신을 감시합니다'라고 말하지 않는다"며 "직원들은 이에 대한 세세한 내용을 거의 알지 못한다"고 말하기도 했습니다. 사실은 회사 소유 장비로 로그인한 개인 이메일이나 소셜 미디어 계정도 모니터링이 가능한데 말입니다. 

물론 기업들은 단순히 '투덜이 스머프'를 찾아내기 위해 커뮤니케이션 자료를 살펴보는 경우는 거의 없습니다. 대부분은 특정인에 대한 괴롭힘, 차별, 회사를 위험에 빠뜨릴 수 있는 문제가 발생하는 등 내부 감사가 필요해진 상황이 되어서야 증거보존조치(Litigation Hold)를 건 뒤 적법한 절차를 따라 관련 자료를 찾기 시작하죠.

​정보의 중요성은 점차 크게 다가오고 있습니다. 우리는 고객이나 사용자의 개인정보는 보호해야 한다고 쉽게 결과를 내릴 수 있지만 기업 내에서 보유하고 있는 정보의 경우 회사의 재산권이나 감시권이 대립하여 내부통제나 감사를 제대로 수행하지 못하는 경우가 많죠. 이번 사건 역시 제대로 된 증거보존조치나 내부감사의 근거가 없기에 단순히 흠집내기 그 이상 그 이하가 되지 않을 가능성이 큽니다. 전문가의 도움을 통해 적합한 내부감사나 증거보존조치, 혹은 ECA(Early Case Assessment, 초기 사건 평가)를 수행할 필요가 있습니다. 인텔렉추얼데이터는 철저한 보안성 제고를 담보로 한 증거보존조치를 포함하여 내부감사, ECA를 포함한 E-Discovery 작업에 대한 전문성을 가지고 다양한 부분에서 국내 기업들의 사건 해결에 도움을 주고 있습니다.