제2018-22-248호

안건번호 : 제2018-22-248호
안건명 : 「개인정보 보호법」 일부개정안 (의안번호 15478) 의견 조회에 관한 건
신청인 : 행정안전부장관
의결연월일 : 2018. 10. 29.

「개인정보 보호법」 일부개정안 (의안번호 15478) 의견 조회에 대해 별첨과 같이 제출한다.

별첨과 같다.

<img src="/LSW/flDownload.do?flSeq=117365347" alt="1번째 이미지"></img>
□ 신구조문 대비표
<img src="/LSW/flDownload.do?flSeq=117365349" alt="2번째 이미지"></img>
□ 검토 의견

< 제23조 관련 >

○ 생체인식정보는 시설 보안, 출입국 관리 등 다양한 분야에서 인증ㆍ식별 목적으로 활용이 증가하고 있고, 유출될 경우 변경이 불가능하여 지속적으로 정보가 악용될 수 있음에도 상응하는 규율이 미비한 측면이 있음

- 개정안은 여러 법령과 고시에 규정되어 있는 '바이오정보’, '생체정보’ 등의 용어를 '생체인식정보’로 일원화 하고, EU GDPR과 같이 민감정보에 포함 시킴으로써 용어정리 및 규범체계 통일을 통한 보호수준 제고를 기대할 수 있을 것으로 판단됨

○ 개정안은 '생체인식정보’를 지문, 얼굴, 홍채, 정맥, 음성 등 개인을 알아볼 수 있는 신체적 또는 행동적 특징에 관한 정보인 '원본정보’와 원본정보로부터 가공되거나 생성된 정보인 '추출정보’를 모두 포함하고 있는 것으로 보이는데,
- 원본정보에는 인증ㆍ식별 목적과는 무관하지만 개인의 권리나 사생활을 침해할 수 있는 정보(예: 인종, 병력(病歷))가 추출될 가능성이 있어 일반적인 민감정보 보호 수준 이상으로 보호할 필요가 있는 원본정보가 존재함을 고려하여, 입법과정에서
- (1) EU GDPR과 같이 생체인식정보에는 기술적으로 처리된 추출정보만을 포함하고, 원본정보는 '생체원본정보’로 별도로 정의하여 예외적인 경우* 외에는 원칙적으로 처리를 금지 하는 방안이나,
* (예시) 생체인식정보의 분실 시 재생성, 통계작성이나 학술연구 등을 위한 익명화 처리를 조건으로 한 '법률의 규정’이 있는 경우 등

- (2) 원본정보에서 추출정보가 생성되면 수집ㆍ이용 목적은 달성된 것으로 볼 수 있으므로 개인정보처리자에게 원본정보의 보관금지 의무를 별도로 부과하는 방안을 검토할 필요가 있다고 판단됨
참고로, 제19대 국회 강은희 의원안(’15.2, 임기만료 자동폐기)에서도 개인정보 처리자에게 일정한 경우*를 제외하고는 추출정보 외의 원본정보의 보관 금지 의무를 규정한 바 있음
* 법령에서 보관 허용, 범죄의 예방ㆍ수사, 시설의 안전 및 화재예방
< 제33조 관련 >

○ 개정안은 일정 수 이상 정보주체의 민감정보를 처리하는 공공기관 외의 개인정보 처리자에게도 「개인정보 보호법」 제33조에 따른 개인정보 영향평가 의무를 부과하는 사안으로 그 필요성이 인정됨

- 참고로, 2014년 카드사의 개인정보 유출사건 발생 후에도 개인정보 영향평가 대상을 민간으로 확대하기 위해 제19대 국회에서 진선미 의원案(금융ㆍ의료ㆍ 통신업체)과 조원진 의원案(시행령에 위임)이 발의된 적이 있음

○ 다만, 개인정보 영향평가의 대상의 기준이 되는 민감정보의 정보주체 규모를 직접 법률에 규정하는 것은 기존과 같이 시행령에 규정할 때보다 각종 상황에 대한 신축적 대응을 곤란하게 할 우려가 있으므로 신중한 검토가 필요한 것으로 판단됨

- EU GDPR에서는 자동화된 처리 여부에 기초하되 자연인에게 법적 효력을 발생 시키거나, 자연인에게 중대한 영향을 미치는 경우, 민감정보를 대규모로 처리하는 경우, 범죄경력 또는 범죄행위와 관련된 경우에 개인정보 영향평가를 수행하도록 하고 있어 정보주체의 구체적인 규모는 개인정보 영향평가 대상을 판단하는 데 있어서 고려대상은 아닌 것으로 보임
<img src="/LSW/flDownload.do?flSeq=117365351" alt="3번째 이미지"></img>