개인정보보호위원회
결 정
제2018-22-249호
「개인정보 보호법」 일부개정안 (의안번호 15647) 의견 조회에 관한 건
의결일: 2018년 10월 29일
요지
안건번호 : 제2018-22-249호
안건명 : 「개인정보 보호법」 일부개정안 (의안번호 15647) 의견 조회에 관한 건
신청인 : 행정안전부장관
의결연월일 : 2018. 10. 29.
안건명 : 「개인정보 보호법」 일부개정안 (의안번호 15647) 의견 조회에 관한 건
신청인 : 행정안전부장관
의결연월일 : 2018. 10. 29.
주문
「개인정보 보호법」 일부개정안 (의안번호 15647) 의견 조회에 대해 별첨과 같이 제출한다.
이유
별첨과 같다.
<img src="/LSW/flDownload.do?flSeq=117365631" alt="1번째 이미지"></img>
□ 신구조문 대비표
<img src="/LSW/flDownload.do?flSeq=117365633" alt="2번째 이미지"></img>
□ 검토 의견
< 제2조 관련 >
○ 개정안은 해당 정보만으로 특정 개인을 알아볼 수 없을 때 식별을 위해 결합하는 정보의 범위를 개인정보처리자의 관점에서 자신이 처리하고 있는 정보로 한정 함으로써 결과적으로 개인정보의 범위가 축소됨
- 행정안전부의 '개인정보 보호법령 해설서’에서도 '처리하는 자’의 입장에서 합리적으로 활용될 가능성이 있는 수단을 고려하여 개인을 알아볼 수 있다면 개인정보에 해당한다고 하여 개인정보 여부 판단에 개인정보처리자의 주관적 관점을 고려하고 있는 것으로 보임
○ 그러나, 해당 정보만으로 개인을 식별할 수 있는 경우는 드물고* 대부분의 정보는 다른 정보와 결합해야만 특정 개인을 식별해 낼 수 있는 상황에서,
* 성명조차도 동명이인이 존재할 경우 개인 식별을 위해서는 주소, 연락처 등 다른 정보와의 결합이 필요
- 동일한 정보라 할지라도 개인정보처리자에 따라 개인정보 여부가 달리 결정될 경우에는 규제 및 보호 대상이 유동적이 되고, 이에 따라 정보주체의 개인정보 자기결정권은 크게 위협받을 수 있으므로 개정안에 대해서는 신중한 접근이 필요한 것으로 판단됨
○ 참고로, EU GDPR에서는 식별된(identified) 자연인에 관한 정보나 당해 정보로 식별할 수 없지만 추가적인 정보를 통해 자연인에 관한 정보도 모두 개인정보에 해당한다고 하면서,
- '식별가능한(identifiable)’의 기준으로 개인정보처리자 뿐만 아니라 정보주체 외 제3자에 의하여 합리적으로 사용되었을 모든 수단을 고려하여야 한다고 하고 있음
<img src="/LSW/flDownload.do?flSeq=117365635" alt="3번째 이미지"></img>
< 제22조의2 관련 >
○ 개정안은 정보주체가 개인정보를 공개한 경우 일정한 요건 하에 이를 묵시적 동의로 간주함으로써 개인정보처리자가 공개된 개인정보를 활용하여 다양한 사업 수행이 가능하도록 함
- 대법원도 공개된 개인정보를 객관적으로 보아 정보주체가 동의한 범위 내에서 처리하는 것으로 평가할 수 있는 경우에도 정보주체의 동의를 다시 요구한다면 이는 정보주체나 개인정보처리자에게 무의미한 동의절차를 밟기 위한 비용만을 부담시키는 결과를 초래한다고 하면서,
- 정보주체의 동의가 있었다고 보기 위해서는 개정안과 동일하게 공개된 개인 정보의 성격, 공개 형태와 대상범위, 정보주체의 공개 의도, 정보주체의 공개 목적과 상당한 관련성이 있는지를 검토하여 객관적으로 판단하여야 한다고 판시(대법원 2016. 8. 17. 선고 2014다235080판결)
○ 그러나, 개정안의 내용 중 공개된 고유식별정보에 대해서도 「개인정보 보호법」 제24조 제1항 제1호에 따른 정보주체의 동의를 받은 것으로 간주하는 것은
- 원칙적으로 처리가 금지되면서 강력한 식별성으로 인해 공개되어 범죄 등에 악용될 수 있는 고유식별정보의 성격을 고려할 때 신중한 검토가 필요한 것으로 판단됨
○ 참고로 EU GDPR에서는 민감정보(special categories of personal data)에 대해 처리를 원칙적으로 금지하면서도 명백히 정보주체가 공개한 데이터에 대한 것인 경우 처리가 금지되지 않는다고 규정하고 있음
<img src="/LSW/flDownload.do?flSeq=117365637" alt="4번째 이미지"></img>
< 제22조의3 관련 >
○ 비식별(de-identified)정보에는 개인정보가 아닌 익명(anonymous)정보*와 개인 정보에 해당하는 가명(pseudonymised)정보가 혼재되어 있어 법 적용 혼란을 야기할 수 있고,
* 익명정보는 추가적으로 정보를 사용하더라도 더 이상 특정 개인을 식별할 수 없는 정보, 즉 비개인정보로서 법 적용 대상이 아님
- 비식별정보를 정보주체의 동의 없이 개인정보의 목적 외의 용도로 이용하거나 제3자에게 제공할 수 있도록 하고 있는데 이는 목적 외의 이용ㆍ제공 요건을 엄격하게 규정하고 있는 「개인정보 보호법」 제18조를 무력화시킬 수 있어 개정안에 대해서는 신중한 검토가 필요한 것으로 판단됨
○ EU GDPR의 경우 익명정보는 전문에서 법 적용대상이 아니라고 설명하고 제4조 에서 가명처리(정보)를 정의하고 있는 바,
<img src="/LSW/flDownload.do?flSeq=117365639" alt="5번째 이미지"></img>
- 비식별정보 대신 가명정보 개념을 도입하고 그 활용범위는 GDPR과 같이 연구, 통계, 기록보존 목적으로 제한할 필요가 있다고 판단됨
<img src="/LSW/flDownload.do?flSeq=117365631" alt="1번째 이미지"></img>
□ 신구조문 대비표
<img src="/LSW/flDownload.do?flSeq=117365633" alt="2번째 이미지"></img>
□ 검토 의견
< 제2조 관련 >
○ 개정안은 해당 정보만으로 특정 개인을 알아볼 수 없을 때 식별을 위해 결합하는 정보의 범위를 개인정보처리자의 관점에서 자신이 처리하고 있는 정보로 한정 함으로써 결과적으로 개인정보의 범위가 축소됨
- 행정안전부의 '개인정보 보호법령 해설서’에서도 '처리하는 자’의 입장에서 합리적으로 활용될 가능성이 있는 수단을 고려하여 개인을 알아볼 수 있다면 개인정보에 해당한다고 하여 개인정보 여부 판단에 개인정보처리자의 주관적 관점을 고려하고 있는 것으로 보임
○ 그러나, 해당 정보만으로 개인을 식별할 수 있는 경우는 드물고* 대부분의 정보는 다른 정보와 결합해야만 특정 개인을 식별해 낼 수 있는 상황에서,
* 성명조차도 동명이인이 존재할 경우 개인 식별을 위해서는 주소, 연락처 등 다른 정보와의 결합이 필요
- 동일한 정보라 할지라도 개인정보처리자에 따라 개인정보 여부가 달리 결정될 경우에는 규제 및 보호 대상이 유동적이 되고, 이에 따라 정보주체의 개인정보 자기결정권은 크게 위협받을 수 있으므로 개정안에 대해서는 신중한 접근이 필요한 것으로 판단됨
○ 참고로, EU GDPR에서는 식별된(identified) 자연인에 관한 정보나 당해 정보로 식별할 수 없지만 추가적인 정보를 통해 자연인에 관한 정보도 모두 개인정보에 해당한다고 하면서,
- '식별가능한(identifiable)’의 기준으로 개인정보처리자 뿐만 아니라 정보주체 외 제3자에 의하여 합리적으로 사용되었을 모든 수단을 고려하여야 한다고 하고 있음
<img src="/LSW/flDownload.do?flSeq=117365635" alt="3번째 이미지"></img>
< 제22조의2 관련 >
○ 개정안은 정보주체가 개인정보를 공개한 경우 일정한 요건 하에 이를 묵시적 동의로 간주함으로써 개인정보처리자가 공개된 개인정보를 활용하여 다양한 사업 수행이 가능하도록 함
- 대법원도 공개된 개인정보를 객관적으로 보아 정보주체가 동의한 범위 내에서 처리하는 것으로 평가할 수 있는 경우에도 정보주체의 동의를 다시 요구한다면 이는 정보주체나 개인정보처리자에게 무의미한 동의절차를 밟기 위한 비용만을 부담시키는 결과를 초래한다고 하면서,
- 정보주체의 동의가 있었다고 보기 위해서는 개정안과 동일하게 공개된 개인 정보의 성격, 공개 형태와 대상범위, 정보주체의 공개 의도, 정보주체의 공개 목적과 상당한 관련성이 있는지를 검토하여 객관적으로 판단하여야 한다고 판시(대법원 2016. 8. 17. 선고 2014다235080판결)
○ 그러나, 개정안의 내용 중 공개된 고유식별정보에 대해서도 「개인정보 보호법」 제24조 제1항 제1호에 따른 정보주체의 동의를 받은 것으로 간주하는 것은
- 원칙적으로 처리가 금지되면서 강력한 식별성으로 인해 공개되어 범죄 등에 악용될 수 있는 고유식별정보의 성격을 고려할 때 신중한 검토가 필요한 것으로 판단됨
○ 참고로 EU GDPR에서는 민감정보(special categories of personal data)에 대해 처리를 원칙적으로 금지하면서도 명백히 정보주체가 공개한 데이터에 대한 것인 경우 처리가 금지되지 않는다고 규정하고 있음
<img src="/LSW/flDownload.do?flSeq=117365637" alt="4번째 이미지"></img>
< 제22조의3 관련 >
○ 비식별(de-identified)정보에는 개인정보가 아닌 익명(anonymous)정보*와 개인 정보에 해당하는 가명(pseudonymised)정보가 혼재되어 있어 법 적용 혼란을 야기할 수 있고,
* 익명정보는 추가적으로 정보를 사용하더라도 더 이상 특정 개인을 식별할 수 없는 정보, 즉 비개인정보로서 법 적용 대상이 아님
- 비식별정보를 정보주체의 동의 없이 개인정보의 목적 외의 용도로 이용하거나 제3자에게 제공할 수 있도록 하고 있는데 이는 목적 외의 이용ㆍ제공 요건을 엄격하게 규정하고 있는 「개인정보 보호법」 제18조를 무력화시킬 수 있어 개정안에 대해서는 신중한 검토가 필요한 것으로 판단됨
○ EU GDPR의 경우 익명정보는 전문에서 법 적용대상이 아니라고 설명하고 제4조 에서 가명처리(정보)를 정의하고 있는 바,
<img src="/LSW/flDownload.do?flSeq=117365639" alt="5번째 이미지"></img>
- 비식별정보 대신 가명정보 개념을 도입하고 그 활용범위는 GDPR과 같이 연구, 통계, 기록보존 목적으로 제한할 필요가 있다고 판단됨
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).