한국저작권위원회

저작권 동향 2016년 제24호

2016. 12. 8.

[미국] 접근통제조치의 무력화에 대한 예외로 보안 취약성을 발견하기 위한 역설계 허용

김혜성<*>

미국 저작권법 §1201(a)(1)의 기술적 보호조치 우회 금지에 대한 2015년 면제 규칙 중 하나인 보안 취약성을 발견하기 위한 역설계가 2016년 10월 28일부터 2년간 허용됨.

□ 개관

○ 미국 저작권법 §1201(a)(1)은 저작물의 기술적 보호조치를 우회하지 못하도록 금지하면서 의회 도서관장은 저작권청장의 권고를 받아 3년마다 우회 금지에 대한 제한적인 예외를 도입하여 저작물의 비침해적 이용을 허용할 수 있게 함.

○ 관련 공익 단체를 비롯한 일반 공중이 예외의 도입을 요청하면 저작권청장이 의견 수렴 절차를 진행한 뒤 그 결과에 따라 예외 도입 여부에 대하여 의회 도서관장에게 권고를 하고 의회도서관장은 이에 기초하여 예외 도입 여부를 결정함.

○ 의회 도서관장은 2015년 10월 28일 저작권법 §1201(a)(1)의 기술적 보호조치 우회 금지에 대한 예외를 시행하면서 세 가지 면제 사유에 대하여는 그 예외 시행을 1년 동안 유예함.

○ 이에 따라 1년 동안 그 시행이 유예되었던 개인 소비자의 이용을 위하여 고안된 장비나 기계, 모터가 장착된 육상 운송 수단, 환자에게 이식하기 위하여 고안된 의료 장비의 진단, 수리, 개조와 보안 연구를 위하여 기술적 보호조치 우회할 수 있도록 허용하는 예외가 2016년 10월 28일부터 시행됨.

- 자동차, 판매용 농업 기계와 같은 모터가 장착된 육송 운송 수단의 합법적인 소유자가 육상 운송 수단의 진단, 수리, 개조를 위한 필수적인 과정의 하나로 육상 운송 수단에 설치되어 그 기능을 통제하는 컴퓨터 프로그램의 기술적 보호조치를 우회하는 것

- 오직 선의의 보안 취약성 연구 목적으로 합법적으로 취득한 1) 주로 개인 소비자의 이용을 위하여 고안된 장비나 기계, 2) 모터가 설치된 육상 운송 수단, 3) 전체적 또는 부분적으로 환자에게 이식되기 위하여 고안된 의료 장비나 환자 모니터링 시스템에 설치된 컴퓨터 프로그램의 기술적 보호조치를 우회하는 것

□ 취약성을 발견하기 위한 역설계 허용의 주요 내용

○ 저작권법 §1201(a)(1)에 대한 예외가 도입됨에 따라, 연구자들은 선의로 연구를 수행하여 역설계나 우회를 통하여 보안 취약성을 찾아낼 수 있게 됨.

- 보안 취약성을 파악하고 바로잡기 위하여 컴퓨터 프로그램에 접근하는 것은 (1) 연구가 개인 또는 공중에서 손해를 발생시키지 않을 수 있게 통제되고 있는 환경에서 행해지고 (2) 연구를 통하여 얻은 정보가 저작권 침해가 아니라 해당 컴퓨터 프로그램이 실행되는 장비의 보안과 안전을 증진하기 위하여 이용되는 경우에 선의로 연구를 수행한 것에 해당함.

○ 연구자나 소비자가 컴퓨터 프로그램이 실행되고 있는 합법적으로 취득한 장비 또는 기계에 대하여 오직 선의의 보안 취약성 연구 목적에서 역설계를 하는 저작권법 §1201(a)(1)에 대한 예외로 허용됨.

- 그러나 이러한 행위도 컴퓨터 사기 및 남용에 관한 법(Computer Fraud and Abuse Act)의 제한을 포함한 다른 법률 규정을 위반하는 경우에는 허용되지 않음.

- 역설계가 허용되는 장비 또는 기계로는 주로 개인 소비자의 이용을 위하여 고안된 장비 또는 기계, 육지 운송 수단, 환자에게 이식하기 위하여 고안된 의료 기기가 있음.

○ 저작권자가 게임을 실행하기 위해서 요구되는 외부 컴퓨터 서버에의 접근 제공을 중단한 일정한 경우에 게임 소프트웨어의 기술적 보호조치의 우회가 허용됨.

- 우선 게임 소프트웨어는 완전한 게임의 형태로 합법적으로 취득한 컴퓨터 프로그램 형식의 비디오 게임이어야 함.

- 이용자가 개인 컴퓨터 또는 비디오 게임 콘솔에서 개인적으로 게임을 실행하기 위하여 서버에 대한 접근을 회복하기 위하여 컴퓨터 프로그램의 복제 및 수정을 하려고 비디오 게임에 접근하기 위하여 보호조치를 우회하는 것이어야 함.

○ 일정한 요건을 구비하면 인체에 이식된 의료 기기가 생성한 편집 데이터를 구성하는 어문 저작물에 접근하기 위한 목적에서 기술적 보호조치를 우회할 수 있음.

- 환자가 자신의 의료 기기가 생성한 데이터에 오직 합법적으로 접근하기 위한 목적에서 우회해야 함.

- 우회 행위가 건강보험 양도 및 책임에 관한 법(Health Insurance Portability and Accountability Act), 컴퓨터 사기 및 남용에 관한 법을 비롯한 관련 법률 규정을 위반하지 않아야 함.

□ 평가

○ 이 예외는 보안 취약성 발견을 위한 역설계를 허용하고 있어 보안 강화, 혁신, 경쟁을 촉진할 것이라는 긍정적인 평가가 있음.

○ 기술적 보호조치의 우회 금지 자체가 권리를 지나치게 제한하므로 예외 도입이 아니라 우회 금지 조항 자체의 개정으로 해결해야 한다는 비판도 있음.

□ 참고 자료

- http://bit.ly/2f4ji50

- http://bit.ly/2fBq40e

- http://bit.ly/2gk3ACo

- http://zd.net/2fxKRlD

- http://engt.co/2fdvyOK

<*> 법무법인 The Firm 변호사, 서울대학교 법학석사, 이화여자대학교 법학전문석사