제2017-23-176호

안건번호 : 제2017-23-176호
안건명 : 행정안전부의 장애인 관련 통계작성을 위한 개인정보 제공에 관한 건
신청인 : 행정안전부장관
의결연월일 : 2017. 11. 27.

1. 고용노동부, 통계청, 경찰청이 「통계법」 제18조 제1항에 따른 통계청장의 승인을 받지 아니한 장애인 관련 통계작성을 위하여 보건복지부로부터 장애인의 주민등록번호, 장애종류, 장애등급 정보를 제공받고자 할 경우, 위 정보는 「개인정보 보호법」 제58조 제1항 제1호에 정한 '「통계법」에 따라 수집되는 개인정보’에 해당하지 않으므로 「개인정보 보호법」 제3장부터 제7장까지의 적용이 제외되지 아니한다.
2. 행정안전부장관, 통계청장에게 다음과 같이 각 권고한다.
가. 행정안전부장관은 기관 간에 데이터를 안전하게 제공ㆍ연계하는 시스템을 구축 하고 각 기관들이 이를 활용하여 정책 수립 등에 필요한 자료를 작성할 수 있도록 지원할 것.
나. 통계청장은 '「통계법」에 따라 수집되는 개인정보’와 관련하여 안전성이 확보될 수 있는 방향으로 「통계법」 등 관련 법령의 개정을 추진할 것.

1. 배 경

행정안전부는 '장애인 안전 종합대책’을 수립하면서 산업재해 통계를 작성 중인 고용노동부, 사망원인 통계를 작성 중인 통계청, 교통사고 통계를 작성 중인 경찰청(이하 이들을 합하여 '본 건 통계작성기관들’이라 한다)에 위 각 통계를 바탕으로 장애인 관련 통계를 작성할 것을 요청하였다. 이를 위해 본 건 통계작성기관들은 보건복지부가 보유 하고 있는 장애인의 주민등록번호, 장애종류, 장애등급 정보(이하 이들을 합하여 '본 건 장애인 정보’라 한다)를 보건복지부로부터 제공받을 필요가 있다. 이에 행정안전부는 본 건 장애인 정보가 「통계법」 제24조에서 규정한 '통계의 작성을 위하여 필요한 행정자료’로 「개인정보 보호법」 제58조 제1항 제1호 '「통계법」에 따라 수집되는 개인정보’에 해당하여 「개인정보 보호법」 제3장부터 제7장까지의 적용이 제외되는지 여부에 대하여 우리 위원회에 질의하였다.


2. 판 단

가. 본 건 통계작성기관들이 보건복지부로부터 제공받고자 하는 본 건 장애인 정보가 「개인정보 보호법」 제58조 제1항 제1호에 해당하여 「개인정보 보호법」 제3장 부터 제7장까지의 적용이 제외되는지 여부

1) 「개인정보 보호법」 제58조 제1항 제1호의 해석

「개인정보 보호법」 제58조 제1항 제1호는 '공공기관이 처리하는 개인정보 중 「통계법」에 따라 수집되는 개인정보’에 관하여는 「개인정보 보호법」 제3장부터 제7장까지를 적용 하지 아니한다고 규정하고 있다.

「통계법」에 따라 작성되는 통계는 국가는 물론 민간에서도 각종 의사결정을 하기 위한 기본적인 데이터로 활용되는 공공재의 역할을 하고 있으므로 통계의 정확성, 시의 적절성 등을 위해 「개인정보 보호법」 일부 규정의 예외가 허용될 필요가 있다. 그러나 이 경우에도 개인정보 보호 원칙 등 「개인정보 보호법」 상 주요 이념은 배제되지 않는바, 「개인정보 보호법」 제58조 제1항 제1호의 취지는 「통계법」 등에 개인정보 보호조치가 명확히 규정되어 있는 것을 전제로 「개인정보 보호법」 상의 일부 규정의 적용을 제외하여 통계작성의 현실적인 어려움을 해소하기 위한 것이라 할 것이다.

유럽연합(EU) 등 주요 국가의 경우에도 통계작성 목적으로 수집ㆍ처리되는 개인정보에 대해 개인정보 보호에 관한 일반법을 원칙적으로 적용하고 있으며, 다만 공적 통계의 신뢰성 확보 및 효율적인 작성을 위해 필요한 경우에만 일부 규정의 적용을 제외하는 예외 사유를 관련 법령에 규정하고 있다.

그러나 현행 「개인정보 보호법」 제58조 제1항 제1호는 문언상 '「통계법」에 따라 수집되는 개인정보’에 관하여는 「개인정보 보호법」 제3장부터 제7장까지의 적용을 전부 제외하고 있는데, 「통계법」에는 개인정보 보호에 관한 별도의 구체적인 규정을 두고 있지 않아 개인정보의 안전한 처리에 공백이 발생할 우려가 있다.

이러한 문제점을 해결하기 위해 본질적으로 「통계법」 등 관련 법령의 개정이 필요하나 개정 시까지 일정 시간이 소요되므로, 관련 법령 개정 전까지 법률 문언의 통상적인 의미를 벗어나지 아니하는 한도 내에서 입법 취지와 목적, 연혁 등을 고려하여 「개인정보 보호법」 제58조 제1항 제1호를 합리적으로 해석할 필요가 있다.

「통계법」 제24조 제1항은 중앙행정기관의 장은 통계의 작성을 위하여 필요한 경우에는 공공기관의 장에게 행정자료의 제공을 요청할 수 있다고 하고 있다. 그런데 중앙행정 기관의 '통계의 작성’과 관련하여 「통계법」 제18조 제1항은 통계작성기관의 장이 새로운 통계를 작성하고자 하는 경우에는 그 명칭, 종류, 목적, 조사대상, 조사방법, 통계표 서식, 조사사항의 성별구분 등 대통령령으로 정하는 사항에 관하여 미리 통계청장의 승인을 받아야 한다고 하고 있으며, 승인받은 사항을 변경하는 경우에도 또한 같다고 하고 있다. 아울러 같은 법 제17조 제1항은 통계청장이 통계작성기관의 장의 신청에 따라 정부의 각종 정책의 수립ㆍ평가 또는 다른 통계의 작성 등에 널리 활용되는 통계로서 전국을 대상으로 작성하는 통계, 다른 통계의 모집단자료로 활용 가능한 통계 등을 지정통계로 지정한다고 하고 있다.
위와 같이 「통계법」은 통계청장이 지정통계의 지정 및 통계의 승인 여부를 최종 결정할 수 있도록 하고 있어 「개인정보 보호법」 제58조 제1항 제1호 적용 여부가 사실상 통계청장의 판단으로 결정된다. 특히 통계청장의 승인을 거치지 않은 통계의 경우 지정통계 및 승인받은 통계와 달리 통계의 목적, 내용, 방법, 필요성 등에 대한 판단을 받지 않았을 뿐만 아니라, 향후 승인이 거부될 수 있다는 점을 고려할 때 이러한 경우까지 「개인정보 보호법」 적용에 대한 예외를 인정할 경우 정보주체의 권리가 침해될 소지가 더욱 크다 할 것이다.

위 내용을 종합하였을 때 개인정보 침해 소지를 줄이기 위하여 「개인정보 보호법」 제58조 제1항 제1호의 '「통계법」에 따라 수집되는 개인정보’는 엄격하게 해석되어야 한다. 따라서 「통계법」 제17조에 따른 지정통계의 작성이나 제18조에 따른 통계청장의 승인을 받은 통계의 작성을 위하여 수집되는 개인정보로 한정하여 해석하는 것이 타당하다고 판단된다.

2) 본 건 장애인 정보가 「개인정보 보호법」 제58조 제1항 제1호에 해당하는지 여부

통계청이 작성 중인 사망원인 통계는 「통계법」 제17조에 따른 지정통계이며 고용노동부가 작성 중인 산업재해 통계와 경찰청이 작성 중인 교통사고 통계는 같은 법 제18조에 따라 승인을 받은 통계이다. 이들 각 통계를 장애인 관련 통계로 새로 작성하기 위해서는 「통계법」 제18조 제1항 후단에 따라 통계의 조사 대상을 변경하는 내용에 대하여 통계청장의 승인을 받아야 한다. 그러나 본 건 통계작성기관들은 변경 사항에 대해 통계청장의 승인을 받지 않았으므로 이들이 작성하고자 하는 장애인 관련 통계는 지정통계 또는 승인받은 통계에 해당하지 아니한다.

따라서 본 건 장애인 정보는 「개인정보 보호법」 제58조 제1항 제1호 '「통계법」에 따라 수집되는 개인정보’에 해당하지 않아 「개인정보 보호법」 제3장부터 제7장까지의 적용이 제외되지 아니한다.
나. 권고

1) 판단 가.에서 살펴본 바에 따라 본 건 장애인 정보는 「개인정보 보호법」 제58조 제1항 제1호에 해당하지 않으므로 「개인정보 보호법」의 적용이 제외되지 아니한다. 다만 본 건 통계작성기관들이 「개인정보 보호법」의 규정을 준수하고 개인정보 처리에 대한 안전성을 확보한다면 기관 간의 데이터 연계를 통해 정책 수립 등에 필요한 자료를 작성하는 것이 허용될 수 있다. 이와 관련하여 우리 위원회는 '「데이터기반행정 활성화에 관한 법률」 제정안에 대한 개인정보 침해요인 평가 결과(의안번호 제2017-15-125호, 2017. 7. 24.)’를 의결하면서 기술적ㆍ관리적ㆍ물리적으로 개인정보의 안전성이 확보된 상태에서 데이터를 이용, 제공, 연계하는 방안을 권고한 바 있다.

따라서 우리 위원회는 행정안전부장관에게 위원회의 위 의결 내용을 참고하여 기관 간에 데이터를 안전하게 제공ㆍ연계하는 시스템을 구축하고 각 기관들이 이를 활용하여 정책 수립 등에 필요한 자료를 작성할 수 있도록 지원할 것을 권고한다.

2) 우리나라의 「개인정보 보호법」은 「통계법」에 따라 수집되는 개인정보에 관하여 개인정보의 보호 의무, 안전성 확보 조치 의무, 정보주체의 권리보장 의무 등을 면제하고 있다. 그런데 현행 「통계법」은 「개인정보 보호법」의 적용이 제외되는 지정통계의 지정 및 통계의 승인을 통계청장 단독으로 결정할 수 있도록 하고 있으며, 통계작성을 위한 개인정보 처리와 관련하여 안전성 확보 등에 관한 사항을 구체적으로 규정하지 않고 있다. 「개인정보 보호법」 제58조 제1항 제1호의 입법 취지 및 EU 등 주요 해외 국가의 사례와 2017. 10. 31. 현재 통계청장의 승인을 받아 작성되고 있는 통계가 총 1,052종, 통계작성 기관이 412개인 점을 고려하면 개인정보의 안전한 처리 측면에서 공백이 발생할 우려가 있으므로 이에 대한 개선 필요성이 크다 할 것이다.

현재 통계청 예규로 정보보호를 위한 운영규정과 침해사고 대응지침 등이 마련되어 있기는 하지만 이는 통계청과 그 소속기관 등에만 적용되는 것이므로 전국의 통계작성 기관에 적용될 수 있도록 개인정보의 안전한 처리 등에 관한 사항이 「통계법」 등 관련 법령에 규정될 필요가 있다. 또한 해당 법령에는 영국의 5가지 안전 원칙(5S : Safe people, Safe project, Safe environment, Safe data, Safe results) 등 주요 국가에서 통계작성 목적으로 채택하고 있는 데이터 처리 원칙들을 참고하여 「개인정보 보호법」 제1장 및 제2장에 규정된 원칙과 취지에 부합하도록 개인정보 보호조치 기준 및 절차 등이 보완되어야 할 것이다.

따라서 우리 위원회는 통계청장에게 「개인정보 보호법」의 적용이 제외되는 개인정보의 처리와 관련하여 개인정보의 안전성이 확보될 수 있는 방향으로 「통계법」 등 관련 법령의 개정을 추진할 것을 권고한다.


3. 결 론

이상과 같은 이유로 주문과 같이 의결한다.