2014 의결 제10호(2014. 5. 12.)

안건번호 : 2014 의결 제10호(2014. 5. 12.)
안건명 : 「개인정보 보호법」 제6조 및 제18조 관련 해석의 건 (개인정보보호위원회 심의ㆍ의결 통보사항에 대한 안전행정부의 추가질의 관련 법령해석의 건)

1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2는 「개인정보 보호법」 제18조 제2항, 제4항 및 제5항의 적용을 각 배제하지 않는다.
2. 「신용정보의 이용 및 보호에 관한 법률」 제32조, 「국세기본법」 제81조의13, 「의료법」 제21조, 「가족관계의 등록 등에 관한 법률」 제14조 및 「주민등록법」 제29조는 각 「개인정보 보호법」 제18조 제2항, 제4항 및 제5항의 적용을 각 배제한다.
3. 금융위원회에는 「신용정보의 이용 및 보호에 관한 법률」에, 기획재정부장관에게는 「국세기본법」에, 보건복지부장관에게는 「의료법」에, 법무부장관에게는 「가족관계의 등록 등에 관한 법률」에, 안전행정부장관에게는 「주민등록법」에, 각 「개인정보 보호법」 제18조 제4항 및 제5항에 상응하는 절차에 관한 규정을 보완할 것을 각 권고한다.

1. 해석배경

개인정보보호위원회는 2013. 10. 28. 「개인정보 보호법」 제6조 등과 관련하여 “특별법 우선의 원칙은 개인정보 보호에 관한 일반법인 「개인정보 보호법」과 다른 법률 간의 관계에서도 적용된다고 할 것이고, 다른 법률의 개인정보 제공과 관련된 규정과 「개인정보 보호법」의 규정이 특별법과 일반법 관계에 있는지 여부는 해당 규정의 입법 취지와 내용 등을 종합적으로 검토한 뒤 구체적ㆍ개별적으로 판단하여야 할 것이다.”라고 의결하였다.

이에 안전행정부는 2013. 11. 27. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2, 「신용정보의 이용 및 보호에 관한 법률」 제32조, 「국세기본법」 제81조의13, 「의료법」 제21조, 「가족관계의 등록 등에 관한 법률」 제14조, 「주민등록법」 제29조(이하 “각 개별법 규정”이라 한다.)가 「개인정보 보호법」 제6조의 “특별한 규정”에 해당하는지 아니면 「개인정보 보호법」 제18조 제2항 제2호의 “특별한 규정”에 해당하는지를 질의하는 취지로 추가 법령해석을 요청하였다.


2. 판 단

가. 각 개별법 규정이 「개인정보 보호법」 제18조 제2항의 적용을 배제하는지 여부

「개인정보 보호법」 제18조는 제1항에서 개인정보처리자는 개인정보를 수집한 목적 범위를 초과하여 제3자에게 제공하여서는 아니 된다고 하면서 제2항 각 호에서 “정보주체로 부터 별도의 동의를 받은 경우”, “다른 법률에 특별한 규정이 있는 경우” 등 예외적으로 개인정보를 제3자에게 제공할 수 있는 경우를 규정하고 있다.

(1) 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2 제1항이 「개인정보 보호법」 제18조 제2항의 적용을 배제하는지 여부

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2 제1항은 정보통신서비스 제공자가 이용자의 개인정보를 제공하려면 같은 법 제22조 제2항 제2호 및 제3호에 해당하거나 이용자의 동의를 받아야 한다고 규정하고 있고, 같은 법 제22조 제2항 제2호는 “정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우”를, 같은 항 제3호는 “이 법 또는 다른 법률에 특별한 규정이 있는 경우”를 각 규정하고 있다.

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2 제1항을 「개인정보 보호법」 제18조 제2항과 비교하건대,
첫째, 법률의 목적 및 보호대상인 “개인정보”의 성격 및 범위가 동일하다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제1조, 제2조 제1항 제6호, 「개인정보 보호법」 제1조, 제2조 제1호 참조).

둘째, 「개인정보 보호법」 제18조 제2항 제1호의 “동의”, 제2호의 “다른 법률에 특별한 법률 규정”과 동일한 사유가 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2 제1항에도 규정되어 있으므로, 「개인정보 보호법」 제18조 제2항 제1호 및 제2호는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2 제1항과 모순ㆍ 저촉되지 않는다.

셋째, 「개인정보 보호법」 제18조 제2항 제3호인 “정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우”에 관하여 살펴보면, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에서 「개인정보 보호법」 제정 후에도 위 제3호와 같은 규정을 두고 있지 않은 것이 위 제3호를 배제하려는 의도임이 명백한 경우 또는 위 제3호를 적용하면 불합리한 상황이나 왜곡된 결과가 발생하는 경우라면 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2와의 관계에서 위 제3호의 적용은 배제된다 할 것이다.

판단컨대, 「개인정보 보호법」의 제정취지가 “공공부문과 민간부문을 망라하여 국제 수준에 부합하는 개인정보 처리원칙 등을 규정하려는 것”인 점(각주:참고로 캐나다의 「개인정보보호 및 전자문서에 관한 법률(Personal Information Protection and Electronic Documents Act」7.(3)은 정보주체의 생명ㆍ건강ㆍ안전상 위험으로 인하여 개인정보가 필요한 사람에게 개인정보를 공개하는 경우 정보주체의 동의 없는 개인정보의 공개를 허용하고 있고, 일본의 「개인정보보호에 관한 법률」제23조 제1항은 사람의 생명, 신체 또는 재산의 보호를 위하여 필요한 경우로서 정보주체의 동의를 얻는 것이 곤란한 경우 정보주체의 동의 없는 개인정보의 제공을 허용하고 있는데, 위 두 나라의 위 법률들은 정보통신서비스 영역에도 각 적용된다.) (2011. 3. 10. 행정안전 위원장 제출 개인정보 보호법안의 제안이유 참조)과 정보주체 또는 제3자의 급박한 이익을 위한 경우를 규정한 「개인정보 보호법」 제18조 제2항 제3호를 정보통신서비스 영역에 적용하더라도 불합리한 결과를 초래하지 않을 것인 점 등을 고려할 때, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 이 「개인정보 보호법」 제18조 제2항 제3호의 적용을 배제한다고 보기 어렵다 할 것이다.

넷째, 「개인정보 보호법」 제18조 제2항 제4호 내지 제9호 관하여 보면, 위 제4호는 개인에 대한 식별가능성을 제거하여 개인정보가 아닌 형태로 제공하는 경우이고, 위 제5호 내지 제9호는 공공기관 중 정보통신서비스 제공자인 자와 아닌 자 사이에 적용여부를 달리 할 합리적 이유가 없다고 보이므로, 위 제4호 내지 제9호를 정보통신서비스 제공자 에게 적용하더라도 불합리하지 않다고 판단된다.

따라서 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2 제1항은 「개인정보 보호법」 제18조 제2항의 적용을 배제하지 않는다 할 것이다.

(2) 「신용정보의 이용 및 보호에 관한 법률」 제32조 제1항, 제2항 및 제4항이 「개인정보 보호법」 제18조 제2항의 적용을 배제하는지 여부

「신용정보의 이용 및 보호에 관한 법률」 제32조는 개인신용정보의 제공과 관련하여 제1항 및 제2항에서는 정보주체의 동의에 의한 제공을, 제4항의 각 호에서는 그 외 제공 사유를 규정하고 있는데, 그 원래 규정이 1995. 1. 5. 신설된 후 제도 보완(2006. 3. 24. 및 2009. 1. 4. 개정)과정을 거쳐 다양하고 구체적인 개인신용정보 제공 사유를 모두 열거하고 있다고 판단된다.

따라서 「신용정보의 이용 및 보호에 관한 법률」 제32조 제1항, 제2항 및 제4항은 「개인정보 보호법」제18조 제2항의 적용을 배제한다고 할 수 있다.

(3) 「국세기본법」 제81조의13 제1항이 「개인정보 보호법」 제18조 제2항의 적용을 배제하는지 여부

「국세기본법」 제81조의13 제1항은 세무공무원으로 하여금 “납세자가 세법에서 정한 납세의무를 이행하기 위하여 제출한 자료나 국세의 부과ㆍ징수를 위하여 업무상 취득한 자료 등(이하 '과세정보’라 한다)”을 타인에게 제공하지 못하도록 규정하면서 단서 각 호에서 예외적으로 과세정보를 제공할 수 있는 경우를 열거하고 있다.
「국세기본법」 제81조의13은 그 제목을 “비밀 유지”라고 규정하여 과세정보를 비밀로 유지하도록 하고 있는 점, 그 제1항은 본문에서 과세정보를 타인에게 제공하지 못하도록 규정하면서 단서 각 호에서 예외적으로 과세정보를 제공할 수 있는 경우를 열거하고 있는 점, 그 제3항은 세무공무원으로 하여금 제1항에 위반하여 과세정보의 제공을 요구받는 경우에는 이를 거부하여야 한다고 규정함으로써 세무공무원의 과세정보 제공을 엄격하게 제한하고 있는 점 등을 볼 때, 과세정보 제공사유에 관한 같은 조 제1항 단서 각 호는 한정적 열거로 판단된다.

서울행정법원도 최근 「국세기본법」 제81조의13 제1항에 대하여 “국세기본법 제81조의13 제1항은 … 단서 각 호에서 예외적으로 과세정보를 제공할 수 있는 경우를 한정적으로 열거하고 있고, … 과세정보에 대하여는 이를 과세목적의 범위 내에서만 사용하도록 하고 국세기본법 제81조의13 제1항 각 호에서 열거한 예외사유에 해당하지 않는 한 이를 타인에게 공개하거나 과세목적 외의 목적으로 사용할 수 없게 하는 한편, ….”이라고 판단한 바 있다(서울행정법원 2012. 8. 16. 선고 2011구합36838 판결 참조).

그렇다면 「개인정보 보호법」 제18조 제2항이 「국세기본법」제81조의13 제1항 제8호의 “다른 법률의 규정”에 해당하는지 문제될 것인데, 법제처는 위 “다른 법률의 규정”의 의미에 대하여 “과세정보가 세무관서 외의 관계 행정기관에 제공되어 징세 이외의 목적으로 사용될 수 있다는 것을 예측할 수 있도록 '세무관서에 과세정보를 요청할 수 있다’는 규정이 「식품위생법」 제82조 제3항 등과 같이 명시적으로 법률에 규정된 경우를 말한다”라고 해석하고 있는 점(법제처 2010. 10. 22. 회신 10-0297 해석례 참조)에 비추어 보면, 「개인정보 보호법」 제18조 제2항은 「국세기본법」 제81조의13 제1항 제8호의 “다른 법률의 규정”에 해당하지 않는다 할 것이다.

따라서 「국세기본법」 제81조의13 제1항은 「개인정보 보호법」제18조 제2항의 적용을 배제한다 할 것이다.

(4) 「의료법」 제21조 제2항이 「개인정보 보호법」 제18조 제2항의 적용을 배제하는지 여부

「의료법」제21조 제2항은 의료인이나 의료기관 종사자가 “환자에 관한 기록”을 예외적으로 환자가 아닌 다른 사람에게 제공할 수 있는 경우를 규정하고 있다.

현행 「의료법」 제21조 제2항은 2008. 11. 10. 이애주의원 대표발의 의료법 일부개정 법률안에서 유래한 것인데, 위 법률안은 환자에 관한 기록을 제공할 수 있는 경우를 「의료법」 제21조 제2항 각 호로 규정하고 그 외에는 절대 제공할 수 없도록 하려는 것이 입법취지인 점을 볼 때(위 이애주의원안 및 이에 대한 제3차 법안심사소위 회의록 참조), 「의료법」 제21조 제2항 각 호는 한정적 열거로서 「개인정보 보호법」 제18조 제2항의 적용을 배제한다 할 것이다.

(5) 「가족관계의 등록 등에 관한 법률」 제14조 제1항이 「개인정보 보호법」 제18조 제2항의 적용을 배제하는지 여부

「가족관계의 등록 등에 관한 법률」 제14조 제1항은 본문에서 본인, 배우자, 직계혈족, 형제자매와 그 대리인은 같은 법 제15조에 규정된 등록부등의 기록사항에 관하여 발급할 수 있는 증명서(이하 “가족관계증명서등”이라 한다.)의 교부를 청구할 수 있다고 규정 하면서 단서 각 호에서 그 외의 자가 예외적으로 교부를 신청할 수 있는 경우를 규정하고 있다.

가족관계증명서등은 본인이나 부모, 배우자 등의 주민등록번호가 기록사항에 포함되어 있고 신청인의 선택에 따라 주민등록번호가 기재되어 교부될 수 있으므로(「가족관계의 등록 등에 관한 법률」 제15조 제1항 각 호, 「가족관계의 등록 등에 관한 규칙」 제23조, 「등록사항별 증명서의 발급 등에 관한 사무처리지침」 제10조, 제11조 참조), 고유식별정보의 중요성에 비추어 가족관계증명서등의 교부는 엄격하게 제한되어야 할 것이다.

또한 가족관계증명서등의 교부는 그 안에 기록된 정보의 제공을 넘어 공적 증거력을 가지는 증명서의 형태를 가진다는 점, 교부된 가족관계증명서등은 대부분 법률행위에 이용된다는 점 등을 고려할 때에도 그 신청사유를 제한적으로 해석할 필요가 있다.

따라서 「가족관계의 등록 등에 관한 법률」 제14조 제1항은 「개인정보 보호법」 제18조 제2항의 적용을 배제한다 할 것이다.
(6) 「주민등록법」 제29조 제2항이 「개인정보 보호법」 제18조 제2항의 적용을 배제하는지 여부

「주민등록법」 제29조 제2항은 본문에서 주민등록표의 열람이나 등ㆍ초본의 교부신청은 본인이나 세대원이 할 수 있다고 규정하면서 단서 각 호에서 그 예외적 경우를 열거하고 있다.

주민등록표 열람이나 등ㆍ초본 교부는 본인 또는 세대주, 세대원의 주민등록번호 제공을 수반하므로(「주민등록법 시행령」 제47조 제10항, 같은 법 시행규칙 제13조 제4항, 제15조 제1항, 별지 제18, 19호 서식 참조) 엄격하게 제한되어야 하는 점, 현행 「주민등록법」 제29조의 원래 규정인 구 「주민등록법」(2006. 3. 24. 법률 제7900호로 개정된 것) 제18조의 취지가 주민등록표 열람 또는 등ㆍ초본의 교부를 신청할 수 있는 경우를 통합하여 명확히 정함으로써 재량권의 부적정한 행사를 방지하기 위함인 점(2005. 8. 19. 정부 제출 주민등록법 일부개정법률안 참조), 주민등록표 등ㆍ초본의 교부의 경우 그 안에 기록된 정보의 제공을 넘어 공적 증거력을 가지는 증명서의 형태를 가진다는 점 등을 고려할 때, 「주민등록법」 제29조 제2항 각 호는 제한적으로 해석되어야 하고 위 규정은 「개인정보 보호법」 제18조 제2항의 적용을 배제한다 할 것이다.

나. 각 개별법 규정이 「개인정보 보호법」제18조 제4항 및 제5항의 적용을 각 배제하는지 여부

「개인정보 보호법」 제18조는 제4항에서 “공공기관은 제2항제2호부터 제6호까지, 제8호 및 제9호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 안전행정부령으로 정하는 바에 따라 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.”라고 규정하고, 제5항에서 “개인정보처리자는 제2항 각 호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다.”라고 하여 개인정보를 제공하는 경우에 지켜야 할 공시 및 안전성 확보 요청 등의 절차에 관하여 규정하고 있다.
각 개별법 규정이 각 「개인정보 보호법」 제18조 제4항 및 제5항의 적용을 각 배제하는지 여부, 즉 개인정보처리자가 각 개별법 규정의 제공사유에 따라 개인정보를 제공하는 경우 「개인정보 보호법」 제18조 제4항 및 제5항이 각 적용되는지에 관하여 살펴보면, 요건과 절차는 일련의 행위를 구성하는 밀접한 관계에 있으므로 각 개별법 규정이 「개인정보 보호법」의 요건 규정을 배제하는 경우에는 같은 법의 절차 규정도 배제한다고 보는 것이 보다 합리적이고 법적 안정성 취지에도 부합한다 할 것이다.

따라서 「개인정보 보호법」 제18조 제2항의 적용을 배제하지 않는 「정보통신망의 이용촉진 및 정보보호 등에 관한 법률」 제24조의2의 경우에는 「개인정보 보호법」 제18조 제4항 및 제5항의 적용도 각 배제하지 않고, 그 외의 각 개별법 규정의 경우에는 「개인정보 보호법」 제18조 제2항의 적용을 각 배제하는 이상 「개인정보 보호법」 제18조 제4항 및 제5항의 적용도 각 배제한다고 판단된다.


3. 제도개선 권고

앞서 언급한 바와 같이 개인정보보호위원회는 「정보통신망의 이용촉진 및 정보보호 등에 관한 법률」 제24조의2를 제외한 각 개별법 규정의 제공사유에 따라 개인정보를 제공한 경우에는 개인정보 보호법 제18조 제4항 및 제5항이 각 적용되지 않는다고 해석하였으나, 「개인정보 보호법」은 사회 전반에 걸쳐 공통으로 적용되는 개인정보 처리기준을 규정하려는 취지로 제정된 것이고 같은 법 제18조 제4항 및 제5항은 기존에 거의 존재하지 않던 새로운 절차규정인 점, 개인정보 보호에 관한 일반법이 개별법보다 후에 제정된 뒤 법체계가 아직 정비되지 않은 점 등을 고려할 때, 각 개별법에도 「개인정보 보호법」 제18조 제4항 및 제5항에 상응하는 개인정보 보호절차를 두는 것이 바람직하다고 판단된다. 다만, 그 세부적 내용은 각 개별법 규정의 목적, 특성 및 적용대상 등을 고려하여 정할 수 있을 것이다.


4. 결 론

이상과 같은 이유로 주문과 같이 결정한다.