21정책0022

국가인권위원회는 2021. 1. 7. 개인정보보호위원회에서 의견조회를 요청한 「개인정보 보호법 일부개정법률안」(이하 ‘개정안’이라 함)에 대하여， 개인정보자기결정권 등 정보주체의 기본권을 보장하고 개인정보 보호 국제기준에 부합하는 방향으로 개정될 수 있도록 검토를 실시하고， 아래와 같이 그 의견을 회신합니다.

.

「개인정보 보호법 일부개정법률안」 의견 요청에 대한 회신
국가인권위원회는 2021. 1. 7. 개인정보보호위원회에서 의견조회를 요청한
「개인정보 보호법 일부개정법률안」(이하 "개정안"이라 함)에 대하여, 개인정
보자기결정권 등 정보주체의 기본권을 보장하고 개인정보 보호 국제기준에
부합하는 방향으로 개정될 수 있도록 검토를 실시하고, 아래와 같이 그 의
견을 회신합니다.
1. 총론
2011년 제정된 「개인정보 보호법」은 개인정보 보호 국제기준, 주요 국
가의 개인정보 보호 법률, 헌법상의 법률유보 원칙 및 과잉금지 원칙 등을
반영하여 개인정보 처리 원칙을 규정하고 있습니다.
2020. 2. 4. 「개인정보 보호법」개정에 따라 가명정보의 개념이 도입이
되었고, 개인정보보호위원회가 개인정보 보호 감독기능을 통합하여 중앙행
정기관으로 출범하였습니다. 우리나라의 데이터 기반 신산업 발전과 도약의
계기가 마련될 것이라 기대하는 한편, 정보인권에 대한 보호 논의가 충분히
이루어지지 않은 채 법률 개정이 이루어진데 대해 우려의 목소리가 있었습
니다.
이에 개인정보보호위원회는 개정된 「개인정보 보호법」시행에 따라 가
명정보 도입 등 데이터 경제 활성화를 위한 기반을 마련하였으나, 지난 입
법과정에서 반영되지 못한 미비점을 해소하고 디지털 환경에서 악화될 우
려가 있는 국민의 정보주권 강화 및 개인정보의 보호와 활용의 균형을 통
하여 신뢰기반의 데이터 활성화를 뒷받침하고자 한다고 개정 이유를 밝히
고 있습니다.
현대사회에서 빅데이터(Big Data) 등 개인정보 이용 활성화를 전제로 하

는 혁신적 차세대 신기술 개발과 신산업 육성이 많은 주목을 받고 있습니
다. 빅데이터는 정보분석을 통한 그 자체의 효용성은 물론, 인공지능
(Artificial Intelligence; AI), 사물인터넷(Internet of Things; IoT) 등 다른 신
기술과 결합하여 더욱 유용하게 활용될 수 있을 것으로 기대되는 것은 부
인할 수 없는 사실입니다. 그러나 이러한 신기술과 신산업은 그 필요성만큼
이나 그로 인한 개인정보 침해의 위험성도 우려되고 있습니다.
특히 우리나라는 다른 주요 선진국과 다르게 전 국민의 개인식별번호인
주민등록번호 제도를 운용하고 있다는 특수성과 기업 등의 개인정보 처리
실태, 정보주체 개인과 기업 간의 정보 불균형 등을 고려할 때 정보주체의
개인정보 보호 권리를 확보하는 방안이 마련되어야 합니다. 또한 정보주체
의 자유와 권리를 보호하고자 하는 「개인정보 보호법」의 입법목적에 부
합하여야 합니다.
그런 점에서 이번 개정안에서 개인정보 전송 요구권, 자동화 의사결정에
대한 배제 권리 등 정보주체의 새로운 권리를 도입하고, 개인정보 처리방침
심사 도입, 개인정보 분쟁조정제도 실질화, 개인정보 침해 조사 및 제재 기
능 강화 등의 취지는 바람직한 측면이 있습니다. 그러나 개인정보자기결정
권의 실효적 보장이라는 관점에서 볼 때 우려되는 사항에 대하여 아래와
같이 검토합니다.
2. 쟁점 검토
가. 다른 법률과의 관계 규정에 관한 사항(안 제6조)
개정안 제6조와 같이 다른 법률 제·개정 시 개인정보 보호 원칙을 준수
하도록 하고, 개인정보 보호에 있어 원칙적으로 「개인정보 보호법」을 우선
적용하도록 하는 것은 「헌법」에서 보장하고 있는 개인정보자기결정권을
보장하기 위한 것으로 정보주체의 권리 보호를 위해 바람직한 방향입니다.

그러나 개정안 제6조 제2항 단서조항에서 다른 법률의 적용에 있어 "정
보주체의 개인정보 보호에 유리한 경우"가 구체적으로 어떤 것인지, 판단
주체가 누구인지 등이 불명확하여 해석의 혼란을 초래할 우려가 있습니다.
개인정보처리자가 "유리한 경우"를 자의적으로 판단하여 법률의 우선적용
관계를 정함으로써 오히려 정보주체의 권리가 경시될 우려도 있습니다.
또한 입법 취지와 적용 범위가 다른 개별법률 중 어느 것이 개인정보
보호에 유리한지 판단할 것을 요구하고 있어 이는 현실적으로 매우 어려운
일이라 할 수 있습니다.
따라서 개정안 제6조 제2항의 단서조항은 오히려 해석의 혼란을 초래할
수 있으므로 삭제하는 것이 바람직합니다.
나. 개인정보의 수집·이용에 관한 사항(안 제15조)
동의 외의 다른 적법 근거에 의하여 개인정보 수집·이용을 하도록 할 필
요성은 있으나, 동의의 형식화를 이유로 개인정보 수집·이용 범위를 확대하
는 것은 바람직하지 않습니다.
개정안 제15조 제1항 제4호와 같이 "불가피하게"라는 문구를 삭제할 경
우 개인정보처리자로 하여금 "계약의 체결 및 이행을 위하여 필수적인 정보
" 이상의 개인정보 수집을 허용하게 될 우려가 있습니다. 개인정보처리자에
게 개인정보 수집·이용 요건이 완화되었다는 인식을 야기할 수 있고, 개인
정보처리자가 계약의 체결 및 이행에 필요하다고 생각하는 정보는 정보주
체에게 고지 없이 수집할 수 있어 오히려 정보주체의 권리가 약화되는 측
면이 있습니다.
아울러 개정안에 신설되는 권리인 제35조의2(개인정보의 전송 요구)와

제37조의2(자동화 의사결정에 대한 배제등의 권리)는 개정안 제15조 제1항
제4호에 해당하는 경우 개인정보 전송 요구를 할 수 있고, 자동화 의사결정에
대한 거부도 인정하지 않고 있어 그 파급효과는 더 크다고 할 수 있습니다.
따라서 개정안 제15조 제1항 제4호는 개정하지 않는 것이 바람직합니다.
다. 개인정보 전송 요구권에 관한 사항(안 제35조의2, 제35조의3)
개정안 제35조의2에서 규정하는 개인정보 전송 요구권은 정보주체의 개
인정보에 대한 권리를 확대하고, 데이터 경제 활성화 측면에서 개인정보에
기반한 신규 서비스를 창출하는 등의 순기능이 나타날 수도 있을 것으로
보입니다.
개인정보 전송에 대한 "정보주체의 요구나 동의"는 단지 외형적인 의사
표시만 있으면 되는 것이 아니라, 정보주체가 개인정보 처리에 대한 제반
상황을 명확히 설명·제공받고 스스로의 완전한 자유의사에 기하여 결정한
경우에만 진정한 요구나 동의로 볼 수 있습니다.
그러나 현재 기업 등의 개인정보 처리에서 형식화된 동의제도, 정보주체
개인과 기업 간의 정보 불균형 등을 고려할 때 개인정보 전송 요구권은 정
보주체의 권리를 강화하는 것이 아니라, 정보주체의 "전송 요구"라는 형식적
행위를 거쳐 대량의 개인정보를 합법적으로 수집·통합하여 활용하는 방향으
로 전개될 우려가 있습니다.
또한 개정안은 개인정보 전송 요구권의 대상을 "개인정보처리자가 처리
하는 자신의 개인정보"로 규정하고 있으나, 실제 정보주체가 당초 수집·이용
에 동의하거나 계약에 따라 제공한 개인정보뿐만 아니라 서비스 이용과정
에서 추가로 생성된 정보들과 타인의 개인정보도 포함될 우려도 있습니다.
따라서 정보주체가 개인정보 전송 요구권 행사에 있어, 정보를 충분히

제공받고 자유로운 의사에 따라 요구(동의)할 수 있도록 개인정보를 전송받
는 자, 개인정보를 전송받는 자의 이용 목적, 전송하는 개인정보의 항목, 개
인정보를 전송받는 자의 개인정보 보유 및 이용 기간 등의 명확한 정보 제
공, 서면(「전자문서 및 전자거래 기본법」 제2조제1호에 따른 전자문서를
포함) 등에 의한 명시적 요구(동의) 등 개인정보 전송 요구권의 실질적인
행사를 위한 최소한의 요건을 명확히 규정하는 것이 필요합니다.
개정안 제35조의3은 정보주체의 권리행사를 지원하고 개인정보를 통합·
관리하기 위하여 개인정보관리 전문기관을 지정하는 조항을 신설하고 있습
니다. 개정안에 따르면 개인정보보호위원회는 물론 관계 중앙행정기관의 장
등 다수 기관들이 개인정보관리 전문기관을 지정할 수 있고, 개인정보관리
전문기관의 중요한 요소인 지정과 지정 취소의 기준·절차, 관리·감독 등을
대통령령에 위임함에 따라 그 기준이 모호하여 개인정보관리 전문기관 지
정의 남용이 우려됩니다.
또한 개인정보관리 전문기관이 개인정보의 집중과 통합으로 새로운 개
인정보 보호의 취약 요소가 되지 않고, 정보주체의 권리행사를 적극적으로
지원하고 개인정보 보호와 활용에 있어 조화롭게 그 역할을 수행하기 위해
서는 엄격한 지정 요건과 함께 관리·감독이 필요합니다. 따라서 개인정보관
리 전문기관의 지정과 지정 취소, 관리·감독 등이 엄격하게 이루어질 수 있
도록 그 기준을 명확하게 규정하는 것이 필요합니다.
라. 자동화 의사결정에 대한 배제 등의 권리에 관한 사항(안 제37조의2)
인공지능 기술의 발전과 자동화된 의사결정이 보편화되는 환경에 대응
하기 위하여 자동화된 의사결정에 대한 정보주체의 권리를 명시하는 것이
필요합니다.
그러나 정보주체에게 개별적으로 법적 효력 또는 생명·신체·정신·재산에

중대한 영향을 미치는 자동화 의사결정은 인적 개입 없이 오직 기술적 수
단으로만 의사결정이 이루어져, 정보주체가 자신에 관한 정보의 유통에 스
스로 개입할 가능성이 봉쇄되어 정보주체의 권리를 침해할 가능성이 더 높
다는 점에서 일정 요건 하에서 제한적으로 이루어질 필요가 있습니다.
개정안 제37조의2는 특정 정보주체에게 개별적으로 법적 효력 또는 생
명·신체·정신·재산에 중대한 영향을 미치는 자동화 의사결정이 허용된다고
전제하고, 이에 대응하는 정보주체의 권리를 규정하고 있습니다.
자동화 의사결정에 대한 동의·근거와 개인정보 수집·이용에 대한 동의·근
거는 구분되어야 하나, 개정안은 정보주체에게 자동화 의사결정에 대한 배
제 권리를 규정하면서 개인정보 수집·이용 사유(「개인정보 보호법」제15조
제1항 제1호, 제2호, 제4호)에 따라 행한 자동화 의사결정에 대해 거부권을
인정하지 않고 있어 이는 진정한 자동화 의사결정을 받지 않을 권리라고
보기 어렵습니다.
더 나아가 정보주체는 「유럽연합 GDPR」제22조에서 규정하는 바와 같
이 처음부터 정보주체에게 개별적으로 법적 효력 또는 생명·신체·정신·재산
에 중대한 영향을 미치는 자동화 의사결정을 받지 않을 권리가 보장되어야
합니다.
따라서 자동화 의사결정에 대한 정보주체의 대응권을 규정하기에 앞서
자동화 의사결정에 대한 정의를 신설하여 그 의미를 명확히 하고, 정보주체
에게 법적 효력 또는 생명·신체·정신·재산에 중대한 영향을 미치는 자동화
의사결정에 대한 거부권은 개인정보 수집·이용 사유에 따라 차등하지 않고
모두 인정되는 것이 바람직합니다.
더 나아가 정보주체에게 법적 효력 또는 생명·신체·정신·재산에 중대한

영향을 미치는 자동화 의사결정을 바로 정보주체에 적용하는 것을 원칙적
으로 제한하며, 다만 예외적으로 합리적이고 정당한 범위 내에서만 허용되
도록 규정하는 것이 필요합니다.
아울러 개정안은 자동화 의사결정에 의해 생성된 민감정보에 대해 별도
로 규정하고 있지 있으나 타인에게 형성될 정보주체의 사회적 인격상에 중
대한 영향을 미칠 수 있는 민감정보의 특성 상 "중대한 공익상의 목적을 위
해 법률이 허용하는 경우"와 "정보주체의 명백한 동의" 등의 더 엄격한 조건
을 규정할 필요가 있습니다.