개인정보보호위원회
결 정
2014 의결 제16호(2014. 7. 30.)
「빅데이터 개인정보보호 가이드라인(안)」 관련 진정 건
의결일: 2014년 7월 30일
요지
안건번호 : 2014 의결 제16호(2014. 7. 30.)
안건명 : 「빅데이터 개인정보보호 가이드라인(안)」 관련 진정 건
안건명 : 「빅데이터 개인정보보호 가이드라인(안)」 관련 진정 건
주문
방송통신위원회가 2014년 3월 19일 발표한 「빅데이터 개인정보보호 가이드라인」(수정안)은 「개인정보 보호법」 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」의 규정과 입법 취지에 부합하지 아니하는 일부 내용을 포함하고 있으므로 개인정보보호 관련 법률의 내용과 체계에 부합하도록 재검토 할 것을 방송통신위원회 위원장에게 권고한다.
이유
1. 배 경
경제정의실천시민연합, 진보네트워크센터, 그리고 함께하는시민행동(이하 '진정인들’)은 방송통신위원회가 2013년 12월 18일에 발표한 「빅데이터 개인정보 보호 가이드라인(이하 '가이드라인’)(안)」이 「개인정보 보호법」과 「정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법’)」에 위반되는 내용을 포함하고 있어 이를 제정할 경우 국회의 입법권을 무시한 위법한 행정행위가 될 것임을 주장하며 가이드라인 제정 중지를 방송통신위원회에 요청할 것을 본 위원회에 진정하였다.
한편, 방송통신위원회는 가이드라인(안)에 대한 의견 수렴 결과 등을 반영하여 2014년 3월 19일 가이드라인(수정안)을 발표하고, 그에 대한 의견을 추가로 수렴하여 최종적인 가이드라인을 제정할 예정이라고 밝히고 있다. 이에 진정인들은 가이드라인(수정안)도 여전히 가이드라인(안)과 같은 문제가 있다고 주장하면서, 가이드라인(수정안)의 내용이 현행 개인정보 보호법과 정보통신망법에 위반되는지 여부에 대하여 확인해 줄 것을 요청하는 추가 진정서를 본 위원회에 제출하였다.
2. 판 단
가. 빅데이터의 활용과 개인정보 보호 문제
빅데이터는 숫자, 그림, 문자, 언어 등을 포함하는 다양한 원천과 다양한 형태의 대용량 데이터로서, 이를 알고리즘을 이용하여 분석ㆍ가공하여 경영 혁신 및 사회현안 해결을 위한 자료 등으로 활용함으로써 인간의 삶을 윤택하게 하는 자원이 될 수 있다.
반면 빅데이터를 활용하여 처리되는 정보에는 개인에 관한 정보들도 포함될 수 있는데, 이 경우에는 정보주체의 개인정보자기결정권이 침해될 위험성이 매우 커지게 된다.
따라서 빅데이터의 활용은 그 유용성에도 불구하고 개인정보보호에 부정적인 영향을 미칠 위험성이 있을 수 있으므로 빅데이터에 대한 정책을 수립함에 있어서는 그 구체적 내용들이 개인정보보호 관련 법률에 위배되지 않도록 주의하여야 한다.
나. 가이드라인(수정안)이 개인정보 보호법과 정보통신망법에 부합하는지 여부
(1) 개인정보의 수집 및 이용
가이드라인(수정안)은 “정보주체 및 정당한 권한이 있는 자에 의해 제한 없이 일반 공중에게 공개”된 개인정보를 '공개된 개인정보’(제2조 제1호), “정보통신서비스와 관련하여 이용자가 해당 서비스를 이용하는 과정에서 자동으로 발생되는 인터넷 접속 정보파일, 거래기록 등”의 개인정보를 '이용내역정보’(제2조 제2호)로 각각 규정한 후, 정보통신서비스 제공자는 정보주체 및 정당한 권한이 있는 자가 공개 대상을 제한하거나 공개 목적을 설정한 경우가 아닌 한 '공개된 개인정보’를 정보주체의 동의 없이 수집할 수 있고(제3조), 정보통신서비스와 관련한 계약 체결과 이행을 위하여 필요한 '이용내역정보’ 역시 정보주체의 동의 없이 수집하여 조합 또는 분석 처리할 수 있다고 규정(제4조)하고 있다. 또한 정보주체가 거부의사를 표시하지 아니하는 한 정보통신서비스 제공자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우, 별도로 정보주체의 동의를 얻지 아니하고 정보 조합ㆍ분석ㆍ처리시스템을 통해 공개된 개인정보 및 이용내역정보 등을 활용하여 새로운 개인정보를 생성할 수 있다고 규정(제5조 제1항)하고 있다.
그런데 현행 개인정보 보호법 및 정보통신망법은 '공개된 개인정보’나 '이용내역정보’를 달리 취급하여 규정하고 있지 않으므로, 정보주체의 자기결정권을 보장해 주기 위하여 모든 개인정보 수집 시 개인정보의 수집ㆍ이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용을 정보주체에게 고지하고 정보주체로부터 명시적인 동의를 받도록 하며, 다만 다른 법률에 특별한 규정이 있는 등의 몇 가지 예외 사유에 한정하여 동의 없는 수집을 허용하고, 그 수집 목적의 범위 내에서만 수집된 개인정보를 이용할 수 있도록 하는 규정들(개인정보 보호법 제15조, 정보통신망법 제22조, 제24조 등)은 '공개된 개인정보’ 및 '이용내역정보’에도 그대로 적용된다 할 것이다.
그럼에도 가이드라인(수정안)은 '공개된 개인정보’의 경우 정보주체의 동의가 없어도 이를 수집할 수 있도록 허용하고 있는데, 제한 없이 일반 공중에게 공개되었다 하여 개인정보 보호법이나 정보통신망법의 규제를 받지 않는다거나 구체적 사정을 고려함이 없이 해당되는 모든 정보주체가 그 수집에 필요한 동의를 한 것으로 해석하거나 간주할 수는 없다. 이와 관련하여 헌법재판소는 2003헌마425 결정에서 “개인정보자기결정권의 보호 대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특정짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 내밀한 영역이나 사사(私事)의 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함한다.”고 판시한 바 있다.
또한 개인정보 보호법과 정보통신망법은 “정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우”(개인정보 보호법 제15조 제1항 제4호), “정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우”나 “정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우”(정보통신망법 제22조 제2항 제1호, 제2호)에 한하여 제한적으로 동의 없는 수집을 허용하고 있을 뿐이다. 그럼에도 가이드라인(수정안)은 정보통신서비스와 관련한 계약 체결과 이행을 위하여 필요하기만 하면 동의 없이 '이용내역정보’를 수집할 수 있도록 하고 있는 바 이 역시 법률이 허용하는 범위를 벗어 나는 것이라는 논란의 소지가 있다 할 것이다.
한편 개인정보 보호법 제15조는 “개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우, 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.”라고 하여 개인정보처리자와 정보주체의 이익형량에 따라 동의 없는 개인정보의 수집이 가능한 경우를 제한적으로나마 규정하고 있으나, 개별적이고 구체적인 사안에 따라 그 해당 여부가 인정될 여지는 있어도 '공개된 개인정보’나 '이용내역정보’라 하여 동 규정에 따라 일괄적으로 동의 없는 수집이 허용된다고 보기도 어렵다.
그렇다면 '공개된 개인정보’ 및 '이용내역정보’의 동의 없는 수집을 허용하고 있는 가이드라인(수정안)의 내용이 개인정보 보호법 및 정보통신망법의 규정 및 입법취지에 부합하지 아니하므로, 그것이 적법한 수집임을 전제로 하는 별도의 동의 없는 '공개된 개인정보’ 및 '이용내역정보’를 활용한 새로운 개인정보의 생성(제5조)과 '공개된 개인정보’의 서비스 제공업무 수행을 위한 내부 이용(제10조) 역시 적법한 수집 목적 범위 내의 이용에 해당한다고 보기 어렵다고 판단된다. 특히 제5조에서 규정하는 새로운 개인정보의 생성은 해당 정보주체에게 미치는 영향이 크고 새로운 개인정보의 수집에 해당된다고도 볼 수 있으므로, 정보통신서비스 제공자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니한 경우에 한정하거나 정보주체가 새로운 개인정보의 생성에 대한 거부의사를 표시하는 경우를 제외한다고 하더라도, 법적 근거 없이 일률적으로 동의 없는 처리를 허용하는 가이드라인(수정안)의 규정은 현행 개인정보 보호법 및 정보통신망법에 부합한다고 보기 어렵다.
(2) 개인정보의 제3자 제공
가이드라인(수정안)은 제11조 제1항에서 정보통신서비스 제공자는 공개된 개인정보, 이용내역정보, 생성된 개인정보를 이를 제공받는 자, 제공받는 자의 이용목적, 제공하는 항목, 보유 및 이용기간을 정보주체에게 알리고 동의를 받으면 이를 제3자에게 제공할 수 있다고 규정하면서도, 단서에서 '공개된 개인정보’는 정보주체의 동의가 없어도 제3자에게 제공할 수 있다고 규정하고 있다.
개인정보 보호법 및 정보통신망법에 따르면 개인정보의 제3자 제공을 위해서는 위 각 법률에서 규정하고 있는 예외 규정(개인정보보호법 제17조, 제18조, 정보통신망법 제24조의 2, 제22조 제2항 제2호, 제3호 등)에 해당하지 않는 한 수집에 대한 동의와 별개로 제3자 제공에 대한 동의를 얻어야 하는 바, '공개된 개인정보’라 하여 당연히 정보주체의 동의 없이 제3자에게 제공할 수 있다고 볼만한 법률적 근거가 없으므로 이 또한 개인정보 보호법과 정보통신망법에 부합하는 것으로 보기 어렵다고 판단된다.
3. 결론
가이드라인(수정안)은 개인정보 보호법과 정보통신망법의 규정과 입법 취지에 부합하지 않는 내용을 일부 포함하고 있어 법령의 범위 내에서 그 해석 및 운영에 대한 기준을 제시하고자 하는 당초 목적에서 벗어나고 있는 것으로 보인다. 빅데이터 활용의 유용성과 관련 산업의 안정적 운영을 위한 처리 기준의 필요성에도 불구하고 개인정보보호 관련 법률에 부합하지 아니하는 내용을 일부 포함하고 있는 가이드라인은 법률 체계상 수용되기 어렵다 할 것이므로, 이러한 내용은 가이드라인이 아닌 법률 차원에서 심도 있는 검토가 이루어져야 할 필요가 있는 것으로 판단된다.
이러한 이유로 주문과 같이 의결한다.
경제정의실천시민연합, 진보네트워크센터, 그리고 함께하는시민행동(이하 '진정인들’)은 방송통신위원회가 2013년 12월 18일에 발표한 「빅데이터 개인정보 보호 가이드라인(이하 '가이드라인’)(안)」이 「개인정보 보호법」과 「정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법’)」에 위반되는 내용을 포함하고 있어 이를 제정할 경우 국회의 입법권을 무시한 위법한 행정행위가 될 것임을 주장하며 가이드라인 제정 중지를 방송통신위원회에 요청할 것을 본 위원회에 진정하였다.
한편, 방송통신위원회는 가이드라인(안)에 대한 의견 수렴 결과 등을 반영하여 2014년 3월 19일 가이드라인(수정안)을 발표하고, 그에 대한 의견을 추가로 수렴하여 최종적인 가이드라인을 제정할 예정이라고 밝히고 있다. 이에 진정인들은 가이드라인(수정안)도 여전히 가이드라인(안)과 같은 문제가 있다고 주장하면서, 가이드라인(수정안)의 내용이 현행 개인정보 보호법과 정보통신망법에 위반되는지 여부에 대하여 확인해 줄 것을 요청하는 추가 진정서를 본 위원회에 제출하였다.
2. 판 단
가. 빅데이터의 활용과 개인정보 보호 문제
빅데이터는 숫자, 그림, 문자, 언어 등을 포함하는 다양한 원천과 다양한 형태의 대용량 데이터로서, 이를 알고리즘을 이용하여 분석ㆍ가공하여 경영 혁신 및 사회현안 해결을 위한 자료 등으로 활용함으로써 인간의 삶을 윤택하게 하는 자원이 될 수 있다.
반면 빅데이터를 활용하여 처리되는 정보에는 개인에 관한 정보들도 포함될 수 있는데, 이 경우에는 정보주체의 개인정보자기결정권이 침해될 위험성이 매우 커지게 된다.
따라서 빅데이터의 활용은 그 유용성에도 불구하고 개인정보보호에 부정적인 영향을 미칠 위험성이 있을 수 있으므로 빅데이터에 대한 정책을 수립함에 있어서는 그 구체적 내용들이 개인정보보호 관련 법률에 위배되지 않도록 주의하여야 한다.
나. 가이드라인(수정안)이 개인정보 보호법과 정보통신망법에 부합하는지 여부
(1) 개인정보의 수집 및 이용
가이드라인(수정안)은 “정보주체 및 정당한 권한이 있는 자에 의해 제한 없이 일반 공중에게 공개”된 개인정보를 '공개된 개인정보’(제2조 제1호), “정보통신서비스와 관련하여 이용자가 해당 서비스를 이용하는 과정에서 자동으로 발생되는 인터넷 접속 정보파일, 거래기록 등”의 개인정보를 '이용내역정보’(제2조 제2호)로 각각 규정한 후, 정보통신서비스 제공자는 정보주체 및 정당한 권한이 있는 자가 공개 대상을 제한하거나 공개 목적을 설정한 경우가 아닌 한 '공개된 개인정보’를 정보주체의 동의 없이 수집할 수 있고(제3조), 정보통신서비스와 관련한 계약 체결과 이행을 위하여 필요한 '이용내역정보’ 역시 정보주체의 동의 없이 수집하여 조합 또는 분석 처리할 수 있다고 규정(제4조)하고 있다. 또한 정보주체가 거부의사를 표시하지 아니하는 한 정보통신서비스 제공자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우, 별도로 정보주체의 동의를 얻지 아니하고 정보 조합ㆍ분석ㆍ처리시스템을 통해 공개된 개인정보 및 이용내역정보 등을 활용하여 새로운 개인정보를 생성할 수 있다고 규정(제5조 제1항)하고 있다.
그런데 현행 개인정보 보호법 및 정보통신망법은 '공개된 개인정보’나 '이용내역정보’를 달리 취급하여 규정하고 있지 않으므로, 정보주체의 자기결정권을 보장해 주기 위하여 모든 개인정보 수집 시 개인정보의 수집ㆍ이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용을 정보주체에게 고지하고 정보주체로부터 명시적인 동의를 받도록 하며, 다만 다른 법률에 특별한 규정이 있는 등의 몇 가지 예외 사유에 한정하여 동의 없는 수집을 허용하고, 그 수집 목적의 범위 내에서만 수집된 개인정보를 이용할 수 있도록 하는 규정들(개인정보 보호법 제15조, 정보통신망법 제22조, 제24조 등)은 '공개된 개인정보’ 및 '이용내역정보’에도 그대로 적용된다 할 것이다.
그럼에도 가이드라인(수정안)은 '공개된 개인정보’의 경우 정보주체의 동의가 없어도 이를 수집할 수 있도록 허용하고 있는데, 제한 없이 일반 공중에게 공개되었다 하여 개인정보 보호법이나 정보통신망법의 규제를 받지 않는다거나 구체적 사정을 고려함이 없이 해당되는 모든 정보주체가 그 수집에 필요한 동의를 한 것으로 해석하거나 간주할 수는 없다. 이와 관련하여 헌법재판소는 2003헌마425 결정에서 “개인정보자기결정권의 보호 대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특정짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 내밀한 영역이나 사사(私事)의 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함한다.”고 판시한 바 있다.
또한 개인정보 보호법과 정보통신망법은 “정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우”(개인정보 보호법 제15조 제1항 제4호), “정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우”나 “정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우”(정보통신망법 제22조 제2항 제1호, 제2호)에 한하여 제한적으로 동의 없는 수집을 허용하고 있을 뿐이다. 그럼에도 가이드라인(수정안)은 정보통신서비스와 관련한 계약 체결과 이행을 위하여 필요하기만 하면 동의 없이 '이용내역정보’를 수집할 수 있도록 하고 있는 바 이 역시 법률이 허용하는 범위를 벗어 나는 것이라는 논란의 소지가 있다 할 것이다.
한편 개인정보 보호법 제15조는 “개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우, 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.”라고 하여 개인정보처리자와 정보주체의 이익형량에 따라 동의 없는 개인정보의 수집이 가능한 경우를 제한적으로나마 규정하고 있으나, 개별적이고 구체적인 사안에 따라 그 해당 여부가 인정될 여지는 있어도 '공개된 개인정보’나 '이용내역정보’라 하여 동 규정에 따라 일괄적으로 동의 없는 수집이 허용된다고 보기도 어렵다.
그렇다면 '공개된 개인정보’ 및 '이용내역정보’의 동의 없는 수집을 허용하고 있는 가이드라인(수정안)의 내용이 개인정보 보호법 및 정보통신망법의 규정 및 입법취지에 부합하지 아니하므로, 그것이 적법한 수집임을 전제로 하는 별도의 동의 없는 '공개된 개인정보’ 및 '이용내역정보’를 활용한 새로운 개인정보의 생성(제5조)과 '공개된 개인정보’의 서비스 제공업무 수행을 위한 내부 이용(제10조) 역시 적법한 수집 목적 범위 내의 이용에 해당한다고 보기 어렵다고 판단된다. 특히 제5조에서 규정하는 새로운 개인정보의 생성은 해당 정보주체에게 미치는 영향이 크고 새로운 개인정보의 수집에 해당된다고도 볼 수 있으므로, 정보통신서비스 제공자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니한 경우에 한정하거나 정보주체가 새로운 개인정보의 생성에 대한 거부의사를 표시하는 경우를 제외한다고 하더라도, 법적 근거 없이 일률적으로 동의 없는 처리를 허용하는 가이드라인(수정안)의 규정은 현행 개인정보 보호법 및 정보통신망법에 부합한다고 보기 어렵다.
(2) 개인정보의 제3자 제공
가이드라인(수정안)은 제11조 제1항에서 정보통신서비스 제공자는 공개된 개인정보, 이용내역정보, 생성된 개인정보를 이를 제공받는 자, 제공받는 자의 이용목적, 제공하는 항목, 보유 및 이용기간을 정보주체에게 알리고 동의를 받으면 이를 제3자에게 제공할 수 있다고 규정하면서도, 단서에서 '공개된 개인정보’는 정보주체의 동의가 없어도 제3자에게 제공할 수 있다고 규정하고 있다.
개인정보 보호법 및 정보통신망법에 따르면 개인정보의 제3자 제공을 위해서는 위 각 법률에서 규정하고 있는 예외 규정(개인정보보호법 제17조, 제18조, 정보통신망법 제24조의 2, 제22조 제2항 제2호, 제3호 등)에 해당하지 않는 한 수집에 대한 동의와 별개로 제3자 제공에 대한 동의를 얻어야 하는 바, '공개된 개인정보’라 하여 당연히 정보주체의 동의 없이 제3자에게 제공할 수 있다고 볼만한 법률적 근거가 없으므로 이 또한 개인정보 보호법과 정보통신망법에 부합하는 것으로 보기 어렵다고 판단된다.
3. 결론
가이드라인(수정안)은 개인정보 보호법과 정보통신망법의 규정과 입법 취지에 부합하지 않는 내용을 일부 포함하고 있어 법령의 범위 내에서 그 해석 및 운영에 대한 기준을 제시하고자 하는 당초 목적에서 벗어나고 있는 것으로 보인다. 빅데이터 활용의 유용성과 관련 산업의 안정적 운영을 위한 처리 기준의 필요성에도 불구하고 개인정보보호 관련 법률에 부합하지 아니하는 내용을 일부 포함하고 있는 가이드라인은 법률 체계상 수용되기 어렵다 할 것이므로, 이러한 내용은 가이드라인이 아닌 법률 차원에서 심도 있는 검토가 이루어져야 할 필요가 있는 것으로 판단된다.
이러한 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).