국가인권위원회
결정
21정책0002
?데이터 기본법안?에 대한 의견 표명
국가인권위원회 전원위원회
의결일: 2021년 4월 12일
요지
국회 과학기술정보방송통신위원회위원장에게， 2020. 12. 8. 조승래 국회의원이 대표발의한 「데이터 기본법안」(의안번호 6182)에 대해 아래와 같이 의견을 표명합니다. 1. 「데이터 기본법안」 제13조 제2항은 데이터주체의 동의 없이도 개인데이터에 대해 정보분석을 할 수 있도록 규정하나， 이는 개인정보 목적 명확성 및 이용제한의 원칙에 위배되어 개인정보자기결정권을 침해할 소지가 있으므로， 같은 항 단서 및 각 호는 이를 삭제하는 것이 필요합니다. 2. 「데이터 기본법안」에 개인데이터에 대한 정보분석과 관련하여， 정보주체의 확인권(열람권) 및 삭제권， 처리정지권을 반영하는 것이 필요합니다. 3. 「데이터 기본법안」 제15조 제3항은 데이터 이동권을 규정하고 있으나 개인의 민감정보까지도 이동 및 오·남용될 우려가 있는 바， 이를 방지하기 위하여 데이터 이동권의 행사 방법과 절차를 명확히 규정하고， 데이터 이동에 대한 정보주체의 철회 및 삭제 권리를 마련하며， 데이터 이동과 관련하여 정보주체가 손해를 입은 경우 해당 데이터 처리자가 고의 또는 과실을 입증하지 않으면 책임을 면할 수 없도록 보완하는 것이 바람직합니다.
.
.
주문
국회 과학기술정보방송통신위원회위원장에게,
2020. 12. 8. 조승래 국회의원이 대표발의한 「데이터 기본법안」(의안번호 6182) 에 대해 아래와 같이 의견을 표명합니다. 1. 「데이터 기본법안」제13조 제2항은 데이터주체의 동의 없이도 개인데이터 에 대해 정보분석을 할 수 있도록 규정하나, 이는 개인정보 목적 명확성 및 이용제한의 원칙에 위배되어 개인정보자기결정권을 침해할 소지가 있 으므로, 같은 항 단서 및 각 호는 이를 삭제하는 것이 필요합니다. 2. 「데이터 기본법안」에 개인데이터에 대한 정보분석과 관련하여, 정보주체의 확인권(열람권) 및 삭제권, 처리정지권을 반영하는 것이 필요합니다. 3. 「데이터 기본법안」제15조 제3항은 데이터 이동권을 규정하고 있으나 개인 의 민감정보까지도 이동 및 오·남용될 우려가 있는 바, 이를 방지하기 위하여 데이터 이동권의 행사 방법과 절차를 명확히 규정하고, 데이터 이동에 대한 정보주체의 철회 및 삭제 권리를 마련하며, 데이터 이동과 관련하여 정보주
체가 손해를 입은 경우 해당 데이터 처리자가 고의 또는 과실을 입증하지 않으면 책임을 면할 수 없도록 보완하는 것이 바람직합니다.
2020. 12. 8. 조승래 국회의원이 대표발의한 「데이터 기본법안」(의안번호 6182) 에 대해 아래와 같이 의견을 표명합니다. 1. 「데이터 기본법안」제13조 제2항은 데이터주체의 동의 없이도 개인데이터 에 대해 정보분석을 할 수 있도록 규정하나, 이는 개인정보 목적 명확성 및 이용제한의 원칙에 위배되어 개인정보자기결정권을 침해할 소지가 있 으므로, 같은 항 단서 및 각 호는 이를 삭제하는 것이 필요합니다. 2. 「데이터 기본법안」에 개인데이터에 대한 정보분석과 관련하여, 정보주체의 확인권(열람권) 및 삭제권, 처리정지권을 반영하는 것이 필요합니다. 3. 「데이터 기본법안」제15조 제3항은 데이터 이동권을 규정하고 있으나 개인 의 민감정보까지도 이동 및 오·남용될 우려가 있는 바, 이를 방지하기 위하여 데이터 이동권의 행사 방법과 절차를 명확히 규정하고, 데이터 이동에 대한 정보주체의 철회 및 삭제 권리를 마련하며, 데이터 이동과 관련하여 정보주
체가 손해를 입은 경우 해당 데이터 처리자가 고의 또는 과실을 입증하지 않으면 책임을 면할 수 없도록 보완하는 것이 바람직합니다.
이유
국 가 인 권 위 원 회
결 정
제 목 「데이터 기본법안」에 대한 의견 표명
주 문
국회 과학기술정보방송통신위원회위원장에게,
2020. 12. 8. 조승래 국회의원이 대표발의한 「데이터 기본법안」(의안번호 6182)
에 대해 아래와 같이 의견을 표명합니다.
1. 「데이터 기본법안」제13조 제2항은 데이터주체의 동의 없이도 개인데이터
에 대해 정보분석을 할 수 있도록 규정하나, 이는 개인정보 목적 명확성
및 이용제한의 원칙에 위배되어 개인정보자기결정권을 침해할 소지가 있
으므로, 같은 항 단서 및 각 호는 이를 삭제하는 것이 필요합니다.
2. 「데이터 기본법안」에 개인데이터에 대한 정보분석과 관련하여, 정보주체의
확인권(열람권) 및 삭제권, 처리정지권을 반영하는 것이 필요합니다.
3. 「데이터 기본법안」제15조 제3항은 데이터 이동권을 규정하고 있으나 개인
의 민감정보까지도 이동 및 오·남용될 우려가 있는 바, 이를 방지하기 위하여
데이터 이동권의 행사 방법과 절차를 명확히 규정하고, 데이터 이동에 대한
정보주체의 철회 및 삭제 권리를 마련하며, 데이터 이동과 관련하여 정보주
체가 손해를 입은 경우 해당 데이터 처리자가 고의 또는 과실을 입증하지
않으면 책임을 면할 수 없도록 보완하는 것이 바람직합니다.
이 유
Ⅰ. 검토 배경
2020. 12. 8. 조승래 국회의원이 대표발의한 「데이터 기본법안」(의안번호
6182)은 데이터로부터 다양한 경제적 가치를 창출하고 데이터산업 발전의
기반을 조성하여 국민생활의 향상과 국민경제의 발전에 이바지하려는 목적
으로 제안되었으며, 데이터의 정의, 데이터산업 진흥 기본계획 수립, 데이터
를 이용한 정보분석, 데이터 이동권 등을 규정하고 있다.
국가인권위원회는 「데이터 기본법안」이 데이터로부터 경제적 가치를 창
출하여 국민생활 향상과 국민경제 발전에 이바지함을 목적으로 하는 점을
감안하더라도, 「데이터 기본법안」은 데이터를 산업적, 경제적 목적으로 활
용하는데만 중점을 두고 있어 개인정보의 보호 등 개인정보자기결정권을
침해할 우려가 있다고 판단하였다. 이에 국가인권위원회는 동 법률안의 내
용이 「국가인권위원회법」 제19조 제1호의 "인권에 관한 법령의 개선이 필요
한 사항"에 해당한다고 보아 검토를 진행하였다.
Ⅱ. 검토 기준
「대한민국헌법」 제17조와 「개인정보 보호법」을 판단 기준으로 하고, 헌
법재판소 2005. 5. 26. 선고 99헌마513·2004헌마190(병합) 결정, 대법원 2017.
4. 7. 선고 2016도13263 판결, 유럽연합 「개인정보보호 규정」(EU General
Data Protection Regulation, 이하 “유럽연합 GDPR”이라 한다) 등을 참고
기준으로 하였다.
Ⅲ. 「데이터 기본법안」에 대한 검토
1. 정보분석을 위한 개인데이터 이용(안 제13조)
가. 관련 규정
「데이터 기본법안」제13조 제1항은 데이터를 이용한 정보분석을 위하여 필
요한 경우 타인의 저작물인 데이터 등을 이용할 수 있다고 규정하는바, 여기서
"정보분석"이란 컴퓨터에 의한 자동화된 분석기술을 통해 타인의 문자, 이미지,
영상, 음성 등을 포함한 대량의 데이터를 분석하여 패턴, 트렌드, 상관관계 등의
정보를 생성하는 것을 말한다고 규정한다. 같은 법률안 제13조 제2항은 정보분
석의 대상이 개인데이터인 경우에는 원칙적으로 데이터주체의 동의를 받아야
하나, 「개인정보 보호법」제15조 제1항에 따라 정보주체의 동의를 받지 않고
개인정보를 수집·이용할 수 있는 사유와 같은 예외적인 경우에는 데이터주체의
동의 없이 정보분석을 할 수 있다고 규정한다.
나. 검토의견
「데이터 기본법안」제13조가 규정하는 "정보분석"은 그 의미와 내용에 비추
어 보았을 때 「유럽연합 GDPR」등에서 규정하는 "개인정보를 이용하여 개인의
특정한 개인적·내면적 측면, 개인의 업무능력, 경제상황, 건강, 성향, 관심사, 행
동 등에 관한 측면을 분석, 예측, 평가하는 자동화된 정보 처리(automated
processing, profiling)"와 사실상 같은 의미인 것으로 보인다.
그런데 「유럽연합 GDPR」은 대량· 자동화된 개인정보 분석과 처리와 관련하
여, 필요한 경우에 한정하여 적용할 것 및 정보주체의 권리를 보호할 것에 대한
규정을 아울러 두고 있으며, 국내 학계 다수의 연구에서도 자동화된 개인정보
분석·처리를 도입하는 경우에는 개인의 사생활의 비밀과 자유 및 개인정보 보호
를 위한 권리 보호 조치 또한 갖추어져야 한다는 점을 지적하고 있다.
이러한 기준에 따라 「데이터 기본법안」제13조를 검토하여 보면,
첫째, 같은 조 제2항 제1호는 「개인정보 보호법」제15조 제1항 제2호 내지
제6호에 따른 "정보주체 동의를 요하지 않는 개인정보 수집·이용 사유"에 해당하
는 경우에는 데이터주체의 동의가 없어도 개인정보에 대한 정보분석을 할 수
있도록 규정하고 있다.
그런데 예를 들어 「개인정보 보호법」제15조 제1항 제2호에 따라 "다른 법률에
특별한 규정이 있는 경우"에 해당하여 정보주체 동의 없이 개인정보를 수집할
수 있다 하더라도, 이는 어디까지나 해당 개인정보를 수집할 때 정보주체의 동의
를 요하지 않는다는 의미일 뿐이고, 그 개인정보를 이용할 때에는 「개인정보
보호법」제15조 제1항 본문에 따라 당초의 수집 목적 범위에서만 이용할 수
있다고 보는 것이 개인정보보호의 기본적인 원칙에 부합한다고 할 것이다. 이러
한 원칙은 경제협력개발기구(OECD) 「프라이버시 보호 가이드라인」등 주요한
개인정보보호 국제규범에서 규정하고 있는 "개인정보의 목적의 명확성 및 이용
제한의 원칙"과 동일한 취지이다.
그러나 「데이터 기본법안」이 규정하는 "정보분석"이란 대량의 데이터를 분석
하여 패턴, 트렌드, 상관관계 등의 정보를 생성하는 것을 의미하는바, 이는 사실
상 개개의 정보주체에게는 당초의 수집 목적 범위를 넘어서는 개인정보의 이용
행위가 될 수밖에 없다. 즉 「데이터 기본법안」제13조 제2항 제1호는 정보주체의
동의를 요하지 않는 정보분석을 폭넓게 허용함으로써, 「개인정보 보호법」제15
조 제1항이 금지하는 "당초 수집 목적 범위를 넘어서는 개인정보 이용"을 인정하
는 결과가 되어 개인정보의 남용을 초래할 위험성이 있다.
둘째, 「데이터 기본법안」제13조 제2항 제2호는 법령에 따라 공시(公示)되거
나 공개된 데이터, 출판물·방송매체·공공기관 인터넷 홈페이지 등을 통해 공시
또는 공개된 정보, 데이터주체 스스로 사회관계망서비스(이하 “SNS”라 한다)
등게 공개한 데이터에 대해서는 데이터주체 동의 없이도 정보분석을 할 수 있도
록 규정한다. 즉 이러한 규정은 "일반 대중에 공개되어 있는 정보"에 대해서는
해당 정보주체의 동의 없이도 정보분석을 허용하려는 취지로 파악된다.
그런데 일반 대중에 공개되어 있는 개인정보라 하더라도 기업이나 공공기관
등이 이를 아무런 제약 없이 마음대로 수집·이용할 수 있는 것은 아니며, 그
공개 의도나 목적, 범위 등을 고려하여 제한적으로 수집·이용해야 한다는 점을
유의할 필요가 있다.
이와 관련하여, 대법원 2016. 8. 17. 선고 2014다235080 판결에서 정보주체가
직접 공개한 개인정보는 그에 대한 수집이나 제3자 제공 등에 대해 일정한 범위
내에서 동의를 하였다고 할 것이고 정보주체의 동의가 있었다고 인정되는 범위
내인지는 공개된 개인정보의 성격, 공개의 형태·범위, 정보주체의 공개 의도와
목적 등을 모두 검토하여 객관적으로 판단해야 한다고 판시한 바 있고, 개인정보
보호위원회 2019. 5. 13. 서울특별시 민생사법경찰단의 직무수행 위한 개인정보
처리에 관한 건 결정, 인권위 2020. 5. 21. 신용정보의 이용 및 보호에 관한 법률
시행령 일부개정령안 의견회신 결정에서도 SNS에 공개된 개인정보는 당초의
공개 맥락 등에 부합하는 용도로만 수집할 수 있다고 판단한 바 있다.
이러한 논의를 종합하면, 법령에 따라 공시(公示)되거나 공개된 데이터, 출판
물, 방송매체, 공공기관 인터넷 홈페이지 등을 통해 공시 또는 공개된 정보, 정보
주체가 SNS를 통해 스스로 공개한 정보라 하더라도 기업이나 공공기관 등이
이를 아무런 제약 없이 수집·이용할 수는 없으며, 그 공개의 목적이나 범위 등을
고려하여 공개된 정보를 제한적으로 수집·이용할 수 있다고 보는 것이 타당하다.
그런데 「데이터 기본법안」제13조 제2항 제2호는 공개되어 있는 개인정보에
해당되기만 하면 정보주체의 동의 없이 정보분석을 할 수 있는 것으로 규정하는
바, 이는 정보주체가 당초에 개인정보를 공개한 목적과 범위를 넘어서는 광범위
한 개인정보 이용을 허용하는 결과가 될 것으로 판단된다.
「데이터 기본법안」제13조 제2항 제2호 다목 후단은 데이터주체가 SNS에 공
개한 데이터에 대해서는 "해당 데이터주체 동의가 있었다고 객관적으로 인정되
는 범위 내로 한정한다"라는 요건을 두고 있어 외견적으로는 광범위한 수집·이
용과 정보분석을 막기 위한 안전장치를 두고는 있다. 그러나 현실적으로 SNS가
주로 개인들의 일상, 친목, 취미, 관심사 등을 공유하기 위해 이용되는 서비스임
을 고려해보면, 개인들이 SNS에 개인정보를 게재하면서 다른 기업이나 공공기
관 등이 이를 "정보분석에 이용하는데 동의"했다고 볼 수 있는 경우는 매우 드물
것으로 사료되며, 결국 「데이터 기본법안」이 제정·시행될 경우에는 일부 기업
등이 이러한 요건을 임의적으로 넓게 판단·적용하여 SNS 정보를 광범위하게
수집하고 다른 목적으로 정보 분석에 활용할 가능성을 부인하기 어렵다.
결론적으로, 「데이터 기본법안」제13조 제2항 제1호 내지 제2호는 개인정보의
수집과 이용 목적을 명확히 하여야 하고 당초의 수집 목적 이외로 남용하여서는
안된다는 개인정보보호의 기본적 원칙에 반하여 "정보분석"이라는 폭넓은 개인
정보의 목적 외 이용을 허용함으로써 정보주체의 개인정보자기결정권을 침해할
우려가 있다고 판단되므로, 이를 삭제할 필요가 있다.
2. 정보분석에 대한 정보주체의 권리 보호방안 마련 필요성
가. 관련 규정
앞서 본 바와 같이 「데이터 기본법안」제13조는 개인데이터를 이용한 정보분
석을 규정하고 있으나, 이러한 정보분석에 대한 정보주체의 권리 보호방안에
대해서는 별도의 규정을 두고 있지 않는 것으로 판단된다.
나. 검토의견
개인정보를 이용한 정보분석은 방대한 정보를 바탕으로 하여 정확한 분석과
결론을 도출함으로써 경우에 따라서는 사회적 편익을 가져올 수도 있다. 그러나
이를 정보주체 개인의 입장에서 보면, 「데이터 기본법안」의 규정에 따라 정보분
석이 실시될 경우 자신의 개인정보가 당초 동의한 목적이나 법률에서 정한 목적
등과는 전혀 다른 목적으로 "정보분석"의 대상이 되고, 더 나아가 그러한 정보분
석을 누가, 언제, 어디서, 어떻게 실시하고 있는지조차 명확히 알 수 없다는 대단
히 취약한 상태에 놓이게 될 우려가 있다.
정보주체는 자신의 개인정보가 어디에서 어떻게 이용·처리되고 있는지를 확
인할 수 있어야 하고, 만약 부당한 이용·처리가 있을 경우에는 그의 정정이나
삭제를 요구할 수 있도록 하는 것이 개인정보 보호의 가장 기본적인 원칙임은
두말할 나위가 없다. 경제협력개발기구(OECD) 「프라이버시 보호 가이드라인」,
「유럽연합 GDPR」등 주요 국제규범은 개인정보에 대한 확인권(열람권) 및 정
정·삭제권을 빠짐없이 규정하고 있으며, 이는 우리나라의 「개인정보 보호법」
또한 마찬가지이다.
이러한 개인정보의 처리에 대한 정보주체의 권리는 "정보분석"에 대해서도
배제될 이유가 없다. 정보분석에 대해 새롭게 규정을 마련한 「유럽연합 GDPR」
은 정보분석에 대한 정보주체의 권리에 관하여서도 상세한 규정을 두고 있음이
확인된다. 예를 들어 필요한 경우에 한정된 정보분석 적용(전문 제71항), 정보분
석에 개인정보가 처리되는지 여부를 확인할 수 있는 권리(제15조), 정보분석을
거부할 권리(제21조), 법적 효력을 초래하는 정보분석 등의 적용을 받지 않을
권리(제22조) 등이 그것이다.
그런데 「데이터 기본법안」제13조 제2항은 단지 개인정보를 이용한 정보분석
을 할 수 있다고만 규정하고 있을 뿐이고, 정보분석의 구체적인 목적이나 범위,
특히 정보분석에 대한 정보주체의 권리에 대해서는 아무런 규정을 두고 있지
않다. 따라서 해당 정보주체는 자신의 개인정보에 기한 정보분석이 이루어지고
있는지 여부를 확인하거나 그에 대해 거부하는 것이 원천적으로 불가능해지는
상태에 놓이게 되며, 궁극적으로는 정보주체의 개인정보자기결정권이 취약해지
는 결과를 가져올 위험성이 있다.
결론적으로, 「데이터 기본법안」제13조 또는 별도의 조항으로, "정보주체의
동의를 받아 정보분석을 실시하는 경우"에 대해서 열람권(확인권), 정정·삭제
및 처리정지권을 명시적으로 규정할 필요가 있다.
3. 데이터 이동권(안 제15조)
가. 관련 규정
「데이터 기본법안」제15조 제1항은 데이터주체는 매출액, 데이터주체의 규모,
개인데이터의 성질 등을 고려하여 개인데이터처리자에 대하여 본인에 관한 개
인데이터를 해당 데이터주체 본인, 본인데이터관리회사, 대통령령으로 정하는
개인데이터처리자에 전송하여 줄 것을 요구할 수 있다고 규정한다.
나. 검토의견
「데이터 기본법안」제15조의 데이터 이동권은 「유럽연합 GDPR」의 "개인정보
이동권(또는 데이터 이동권)"(Right to Data Portability) 개념을 국내에 차용한
것으로 보여진다. 유럽연합에서 데이터 이동권을 법제화한 것은 갈수록 거대화
되는 글로벌 기업들이 대규모의 개인정보를 수집·처리하는 반면 정보주체 개개
인의 권리는 점점 미약해지고 있다는 인식에서 출발하여, 정보주체의 권리를
실질적으로 보장하고 IT 산업의 경쟁을 촉진하기 위한 명목으로 알려져 있다.
종전에 없었던 이러한 권리를 신설하는 데에는 유럽연합 내에서도 찬반 양론이
대립하였고, 그 외의 국가에서도 데이터 이동권에 대한 논의가 진행되고 있기는
하나 이를 법제화하는 데에는 신중을 기하고 있음이 확인된다.
최근 우리나라에서도 데이터 이동권에 대한 논의가 활발히 이루어지고 있으
나, 데이터 이동권이 기존의 개인정보보호 법체계와 문제는 없는지 등에 대한
신중한 검토 및 범사회적 논의가 선행되어야 한다는 지적이 힘을 얻고 있고,
특히 우리나라의 데이터 이동권 도입 논의는 정보주체 권리 보호가 아닌 단지
개인정보의 상품화에 그 목적이 있다는 시민사회의 지적도 무시할 수 없다.
즉 데이터 이동권은 정보주체의 개인정보에 대한 권리를 확대한다는 원론적
측면에서는 바람직한 방향일 수 있으나, 우리나라의 개인정보 처리에 대한 동의
실태 등을 고려할 때 당초의 입법취지와는 달리 형식적 권리로 전락하여 개인정
보자기결정권을 침해할 우려가 없지 않다.
이러한 기준에 따라 「데이터 기본법안」제15조를 상세히 검토하면,
첫째, 개인정보 처리에 대한 "정보주체의 동의나 요구"는 단지 외형적인 의사
표시만 있으면 되는 것이 아니라 정보주체가 개인정보 처리에 대한 제반 상황을
명확히 설명·제공받고 스스로의 완전한 자유의사에 기하여 동의하거나 요구한
경우에만 진정한 동의로 볼 수 있다. 예를 들어 「유럽연합 GDPR」전문 42항은
정보주체가 진정으로 또는 자유 선택으로 동의하지 않은 경우에는 해당 동의는
자유로운 의사에 따라 동의한 것으로 간주되지 않는다는 점을 명확히 하고 있다.
그런데 우리나라 기업 등의 기존의 개인정보 처리 실태를 보면, 외형적으로는
정보주체 개인의 적법한 동의를 받는다고 하지만 실상은 서비스 제공이나 할인
혜택 등을 미끼로 개인정보 제공을 유도하여 동의하게 하는 경우나, 동의를 하지
않으면 서비스 제공이 어렵다고 하면서 사실상 동의를 강제하거나 비자율적,
요식적으로 동의하게 하는 경우가 빈번히 확인된다.
둘째, 「데이터 기본법안」제15조 제3항은 데이터 이동권의 대상이 되는 개인
정보에 대해 일반적인 개인정보 이외에도 「개인정보 보호법」제23조에 따른
민감정보, 「의료법」제21조 및 제21조의2에 따른 진료기록, 「생명윤리 및 안전에
관한 법률」제18조에 따른 인간대상연구대상자의 개인정보 등 민감성이 높은
개인정보까지 포함하고 있다.
개인을 식별할 수 있는 개인정보라 하더라도 그 중요도 및 보호필요성이 모두
동일한 것은 아니며, 그 중에서도 개인의 내밀한 사적 영역과 밀접한 관련이
있고 해당 개인의 기본적 권리를 침해할 우려가 높은 개인정보에 대해서는 그
외의 일반적인 개인정보에 비해 보다 높은 수준의 보호가 필요하다는 것은 자명
하다. 이러한 취지에서 「개인정보 보호법」은 사상·신념, 건강, 성생활, 범죄경력
자료 등의 정보를 "민감정보"로 규정하고 보다 엄격한 보호조치를 적용하고, 「의
료법」등에서도 의료 관련 개인정보의 제공·유출을 엄격히 규제한다.
그런데 「데이터 기본법안」의 내용에 따를 경우, 정보주체가 자신의 데이터
이동에 대해 명확히 인지하고 적절한 동의(요구)를 한 경우에는 문제가 없지만,
만약 앞에서 살펴본 적절한 동의를 하지 못한 경우나 기업 등의 암묵적 강요
등에 의해 데이터 이동에 대한 동의(요구)를 한 경우에는 의료기록과 같은 민감
한 개인정보까지도 제3자에게 아무런 제약 없이 전송되고 경제적·산업적 가치
창출을 빌미로 지속적으로 오·남용될 가능성을 부인하기 어렵다.
셋째, 기업 등에서 개인정보를 수집·관리하는 상황을 검토하여 보면, 처음에는
해당 개인의 정보만 수집·이용된다 하더라도 이후 서비스가 진행되면서 다른
사람들의 개인정보가 추가로 수집·저장되는 경우가 있을 수 있다. 예를 들어
타인에 대한 자금이체 기록, 다른 사람에게 선물 형식으로 보낸 배송지 기록,
메신저 서비스에서 다른 사람과 대화한 기록 등이 그것이다.
「데이터 기본법안」에 의한 데이터 이동권에 의해 개인정보가 이동될 경우,
반드시 해당 개인의 정보만 이전된다는 보장이 없으며 위에서 본 다른 사람들의
개인정보도 "데이터셋"(data set)에 포함되어 같이 이전됨으로써 예기치 않은 피
해를 발생시킬 가능성이 상존한다. 이는 2021년 들어 발생한 인공지능 챗봇 "이
루다" 사건에서 스마트폰 메신저 대화 내용이 대화 일방의 동의 없이 대량으로
수집·이용된 사례를 통해 그 위험성이 실증된 바 있다.
넷째, 우리나라는 여타 선진국들과는 달리 전 국민 고유식별번호이자 다른
개인정보와 연결자 역할을 하는 주민등록번호 제도가 존재하는 점, 대량의 개인
정보 유출·침해사고가 빈번히 발생하고 있는 점, 이렇게 유출된 개인정보 데이터
베이스가 여러 곳에서 음성적으로 활용되고 있는 점 등 여타의 선진국에 비해
개인정보 보호 환경이 상대적으로 취약한 면도 고려하지 않을 수 없다.
이러한 점을 종합적으로 고려할 때, 「데이터 기본법안」제15조에 따른 데이터
이동권은 당초의 취지와는 달리 법률의 실제 시행 과정에서 기업 등이 우월적
지위를 이용하여 데이터 이동에 대한 요구나 동의를 형식적, 요식적으로 받아낸
뒤 이에 근거하여 개인정보를 과도하고 무분별하게 장기간 계속하여 제공할
우려가 있고, 더 나아가 의료기록 등 민감정보나 다른 사람의 개인정보도 무분별
한 이전의 대상이 될 위험성 또한 있다.
결론적으로, 앞서 살펴본 이러한 문제점을 보완하기 위해, 정보주체(데이터주
체)가 데이터 이동권을 행사함에 있어 서면 등에 의한 명시적 동의(요구), 데이터
이동권 행사에 따른 불이익에 대한 고지와 설명, 이전되는 데이터의 범위 등
"데이터 이동권의 행사 방법과 절차"를 명확히 규정하고, 데이터 이동을 받은
다른 데이터 사업자가 당초 정보주체가 동의(요구)한 범위를 넘어서 개인정보를
오·남용하는 경우 「유럽연합 GDPR」의 예에서 보는 바와 같이 정보주체가 데이
터 이동을 철회하거나 이동한 데이터를 삭제 요구할 수 있는 권리를 보완 규정하
고, 데이터 이동과 관련하여 정보주체가 손해를 입은 경우에는 「개인정보 보호
법」제39조의 예에서 보는 바와 같이 데이터를 이동받아 처리한 자가 고의 또는
과실이 없음을 입증하지 않으면 책임을 면할 수 없도록 하는 조치(입증책임 전
환)를 보완할 필요가 있다고 판단된다.
Ⅳ. 결론
이상과 같은 이유로 「국가인권위원회법」 제19조 제1호 및 제25조 제1항
에 따라 주문과 같이 의견을 표명하기로 결정한다.
결 정
제 목 「데이터 기본법안」에 대한 의견 표명
주 문
국회 과학기술정보방송통신위원회위원장에게,
2020. 12. 8. 조승래 국회의원이 대표발의한 「데이터 기본법안」(의안번호 6182)
에 대해 아래와 같이 의견을 표명합니다.
1. 「데이터 기본법안」제13조 제2항은 데이터주체의 동의 없이도 개인데이터
에 대해 정보분석을 할 수 있도록 규정하나, 이는 개인정보 목적 명확성
및 이용제한의 원칙에 위배되어 개인정보자기결정권을 침해할 소지가 있
으므로, 같은 항 단서 및 각 호는 이를 삭제하는 것이 필요합니다.
2. 「데이터 기본법안」에 개인데이터에 대한 정보분석과 관련하여, 정보주체의
확인권(열람권) 및 삭제권, 처리정지권을 반영하는 것이 필요합니다.
3. 「데이터 기본법안」제15조 제3항은 데이터 이동권을 규정하고 있으나 개인
의 민감정보까지도 이동 및 오·남용될 우려가 있는 바, 이를 방지하기 위하여
데이터 이동권의 행사 방법과 절차를 명확히 규정하고, 데이터 이동에 대한
정보주체의 철회 및 삭제 권리를 마련하며, 데이터 이동과 관련하여 정보주
체가 손해를 입은 경우 해당 데이터 처리자가 고의 또는 과실을 입증하지
않으면 책임을 면할 수 없도록 보완하는 것이 바람직합니다.
이 유
Ⅰ. 검토 배경
2020. 12. 8. 조승래 국회의원이 대표발의한 「데이터 기본법안」(의안번호
6182)은 데이터로부터 다양한 경제적 가치를 창출하고 데이터산업 발전의
기반을 조성하여 국민생활의 향상과 국민경제의 발전에 이바지하려는 목적
으로 제안되었으며, 데이터의 정의, 데이터산업 진흥 기본계획 수립, 데이터
를 이용한 정보분석, 데이터 이동권 등을 규정하고 있다.
국가인권위원회는 「데이터 기본법안」이 데이터로부터 경제적 가치를 창
출하여 국민생활 향상과 국민경제 발전에 이바지함을 목적으로 하는 점을
감안하더라도, 「데이터 기본법안」은 데이터를 산업적, 경제적 목적으로 활
용하는데만 중점을 두고 있어 개인정보의 보호 등 개인정보자기결정권을
침해할 우려가 있다고 판단하였다. 이에 국가인권위원회는 동 법률안의 내
용이 「국가인권위원회법」 제19조 제1호의 "인권에 관한 법령의 개선이 필요
한 사항"에 해당한다고 보아 검토를 진행하였다.
Ⅱ. 검토 기준
「대한민국헌법」 제17조와 「개인정보 보호법」을 판단 기준으로 하고, 헌
법재판소 2005. 5. 26. 선고 99헌마513·2004헌마190(병합) 결정, 대법원 2017.
4. 7. 선고 2016도13263 판결, 유럽연합 「개인정보보호 규정」(EU General
Data Protection Regulation, 이하 “유럽연합 GDPR”이라 한다) 등을 참고
기준으로 하였다.
Ⅲ. 「데이터 기본법안」에 대한 검토
1. 정보분석을 위한 개인데이터 이용(안 제13조)
가. 관련 규정
「데이터 기본법안」제13조 제1항은 데이터를 이용한 정보분석을 위하여 필
요한 경우 타인의 저작물인 데이터 등을 이용할 수 있다고 규정하는바, 여기서
"정보분석"이란 컴퓨터에 의한 자동화된 분석기술을 통해 타인의 문자, 이미지,
영상, 음성 등을 포함한 대량의 데이터를 분석하여 패턴, 트렌드, 상관관계 등의
정보를 생성하는 것을 말한다고 규정한다. 같은 법률안 제13조 제2항은 정보분
석의 대상이 개인데이터인 경우에는 원칙적으로 데이터주체의 동의를 받아야
하나, 「개인정보 보호법」제15조 제1항에 따라 정보주체의 동의를 받지 않고
개인정보를 수집·이용할 수 있는 사유와 같은 예외적인 경우에는 데이터주체의
동의 없이 정보분석을 할 수 있다고 규정한다.
나. 검토의견
「데이터 기본법안」제13조가 규정하는 "정보분석"은 그 의미와 내용에 비추
어 보았을 때 「유럽연합 GDPR」등에서 규정하는 "개인정보를 이용하여 개인의
특정한 개인적·내면적 측면, 개인의 업무능력, 경제상황, 건강, 성향, 관심사, 행
동 등에 관한 측면을 분석, 예측, 평가하는 자동화된 정보 처리(automated
processing, profiling)"와 사실상 같은 의미인 것으로 보인다.
그런데 「유럽연합 GDPR」은 대량· 자동화된 개인정보 분석과 처리와 관련하
여, 필요한 경우에 한정하여 적용할 것 및 정보주체의 권리를 보호할 것에 대한
규정을 아울러 두고 있으며, 국내 학계 다수의 연구에서도 자동화된 개인정보
분석·처리를 도입하는 경우에는 개인의 사생활의 비밀과 자유 및 개인정보 보호
를 위한 권리 보호 조치 또한 갖추어져야 한다는 점을 지적하고 있다.
이러한 기준에 따라 「데이터 기본법안」제13조를 검토하여 보면,
첫째, 같은 조 제2항 제1호는 「개인정보 보호법」제15조 제1항 제2호 내지
제6호에 따른 "정보주체 동의를 요하지 않는 개인정보 수집·이용 사유"에 해당하
는 경우에는 데이터주체의 동의가 없어도 개인정보에 대한 정보분석을 할 수
있도록 규정하고 있다.
그런데 예를 들어 「개인정보 보호법」제15조 제1항 제2호에 따라 "다른 법률에
특별한 규정이 있는 경우"에 해당하여 정보주체 동의 없이 개인정보를 수집할
수 있다 하더라도, 이는 어디까지나 해당 개인정보를 수집할 때 정보주체의 동의
를 요하지 않는다는 의미일 뿐이고, 그 개인정보를 이용할 때에는 「개인정보
보호법」제15조 제1항 본문에 따라 당초의 수집 목적 범위에서만 이용할 수
있다고 보는 것이 개인정보보호의 기본적인 원칙에 부합한다고 할 것이다. 이러
한 원칙은 경제협력개발기구(OECD) 「프라이버시 보호 가이드라인」등 주요한
개인정보보호 국제규범에서 규정하고 있는 "개인정보의 목적의 명확성 및 이용
제한의 원칙"과 동일한 취지이다.
그러나 「데이터 기본법안」이 규정하는 "정보분석"이란 대량의 데이터를 분석
하여 패턴, 트렌드, 상관관계 등의 정보를 생성하는 것을 의미하는바, 이는 사실
상 개개의 정보주체에게는 당초의 수집 목적 범위를 넘어서는 개인정보의 이용
행위가 될 수밖에 없다. 즉 「데이터 기본법안」제13조 제2항 제1호는 정보주체의
동의를 요하지 않는 정보분석을 폭넓게 허용함으로써, 「개인정보 보호법」제15
조 제1항이 금지하는 "당초 수집 목적 범위를 넘어서는 개인정보 이용"을 인정하
는 결과가 되어 개인정보의 남용을 초래할 위험성이 있다.
둘째, 「데이터 기본법안」제13조 제2항 제2호는 법령에 따라 공시(公示)되거
나 공개된 데이터, 출판물·방송매체·공공기관 인터넷 홈페이지 등을 통해 공시
또는 공개된 정보, 데이터주체 스스로 사회관계망서비스(이하 “SNS”라 한다)
등게 공개한 데이터에 대해서는 데이터주체 동의 없이도 정보분석을 할 수 있도
록 규정한다. 즉 이러한 규정은 "일반 대중에 공개되어 있는 정보"에 대해서는
해당 정보주체의 동의 없이도 정보분석을 허용하려는 취지로 파악된다.
그런데 일반 대중에 공개되어 있는 개인정보라 하더라도 기업이나 공공기관
등이 이를 아무런 제약 없이 마음대로 수집·이용할 수 있는 것은 아니며, 그
공개 의도나 목적, 범위 등을 고려하여 제한적으로 수집·이용해야 한다는 점을
유의할 필요가 있다.
이와 관련하여, 대법원 2016. 8. 17. 선고 2014다235080 판결에서 정보주체가
직접 공개한 개인정보는 그에 대한 수집이나 제3자 제공 등에 대해 일정한 범위
내에서 동의를 하였다고 할 것이고 정보주체의 동의가 있었다고 인정되는 범위
내인지는 공개된 개인정보의 성격, 공개의 형태·범위, 정보주체의 공개 의도와
목적 등을 모두 검토하여 객관적으로 판단해야 한다고 판시한 바 있고, 개인정보
보호위원회 2019. 5. 13. 서울특별시 민생사법경찰단의 직무수행 위한 개인정보
처리에 관한 건 결정, 인권위 2020. 5. 21. 신용정보의 이용 및 보호에 관한 법률
시행령 일부개정령안 의견회신 결정에서도 SNS에 공개된 개인정보는 당초의
공개 맥락 등에 부합하는 용도로만 수집할 수 있다고 판단한 바 있다.
이러한 논의를 종합하면, 법령에 따라 공시(公示)되거나 공개된 데이터, 출판
물, 방송매체, 공공기관 인터넷 홈페이지 등을 통해 공시 또는 공개된 정보, 정보
주체가 SNS를 통해 스스로 공개한 정보라 하더라도 기업이나 공공기관 등이
이를 아무런 제약 없이 수집·이용할 수는 없으며, 그 공개의 목적이나 범위 등을
고려하여 공개된 정보를 제한적으로 수집·이용할 수 있다고 보는 것이 타당하다.
그런데 「데이터 기본법안」제13조 제2항 제2호는 공개되어 있는 개인정보에
해당되기만 하면 정보주체의 동의 없이 정보분석을 할 수 있는 것으로 규정하는
바, 이는 정보주체가 당초에 개인정보를 공개한 목적과 범위를 넘어서는 광범위
한 개인정보 이용을 허용하는 결과가 될 것으로 판단된다.
「데이터 기본법안」제13조 제2항 제2호 다목 후단은 데이터주체가 SNS에 공
개한 데이터에 대해서는 "해당 데이터주체 동의가 있었다고 객관적으로 인정되
는 범위 내로 한정한다"라는 요건을 두고 있어 외견적으로는 광범위한 수집·이
용과 정보분석을 막기 위한 안전장치를 두고는 있다. 그러나 현실적으로 SNS가
주로 개인들의 일상, 친목, 취미, 관심사 등을 공유하기 위해 이용되는 서비스임
을 고려해보면, 개인들이 SNS에 개인정보를 게재하면서 다른 기업이나 공공기
관 등이 이를 "정보분석에 이용하는데 동의"했다고 볼 수 있는 경우는 매우 드물
것으로 사료되며, 결국 「데이터 기본법안」이 제정·시행될 경우에는 일부 기업
등이 이러한 요건을 임의적으로 넓게 판단·적용하여 SNS 정보를 광범위하게
수집하고 다른 목적으로 정보 분석에 활용할 가능성을 부인하기 어렵다.
결론적으로, 「데이터 기본법안」제13조 제2항 제1호 내지 제2호는 개인정보의
수집과 이용 목적을 명확히 하여야 하고 당초의 수집 목적 이외로 남용하여서는
안된다는 개인정보보호의 기본적 원칙에 반하여 "정보분석"이라는 폭넓은 개인
정보의 목적 외 이용을 허용함으로써 정보주체의 개인정보자기결정권을 침해할
우려가 있다고 판단되므로, 이를 삭제할 필요가 있다.
2. 정보분석에 대한 정보주체의 권리 보호방안 마련 필요성
가. 관련 규정
앞서 본 바와 같이 「데이터 기본법안」제13조는 개인데이터를 이용한 정보분
석을 규정하고 있으나, 이러한 정보분석에 대한 정보주체의 권리 보호방안에
대해서는 별도의 규정을 두고 있지 않는 것으로 판단된다.
나. 검토의견
개인정보를 이용한 정보분석은 방대한 정보를 바탕으로 하여 정확한 분석과
결론을 도출함으로써 경우에 따라서는 사회적 편익을 가져올 수도 있다. 그러나
이를 정보주체 개인의 입장에서 보면, 「데이터 기본법안」의 규정에 따라 정보분
석이 실시될 경우 자신의 개인정보가 당초 동의한 목적이나 법률에서 정한 목적
등과는 전혀 다른 목적으로 "정보분석"의 대상이 되고, 더 나아가 그러한 정보분
석을 누가, 언제, 어디서, 어떻게 실시하고 있는지조차 명확히 알 수 없다는 대단
히 취약한 상태에 놓이게 될 우려가 있다.
정보주체는 자신의 개인정보가 어디에서 어떻게 이용·처리되고 있는지를 확
인할 수 있어야 하고, 만약 부당한 이용·처리가 있을 경우에는 그의 정정이나
삭제를 요구할 수 있도록 하는 것이 개인정보 보호의 가장 기본적인 원칙임은
두말할 나위가 없다. 경제협력개발기구(OECD) 「프라이버시 보호 가이드라인」,
「유럽연합 GDPR」등 주요 국제규범은 개인정보에 대한 확인권(열람권) 및 정
정·삭제권을 빠짐없이 규정하고 있으며, 이는 우리나라의 「개인정보 보호법」
또한 마찬가지이다.
이러한 개인정보의 처리에 대한 정보주체의 권리는 "정보분석"에 대해서도
배제될 이유가 없다. 정보분석에 대해 새롭게 규정을 마련한 「유럽연합 GDPR」
은 정보분석에 대한 정보주체의 권리에 관하여서도 상세한 규정을 두고 있음이
확인된다. 예를 들어 필요한 경우에 한정된 정보분석 적용(전문 제71항), 정보분
석에 개인정보가 처리되는지 여부를 확인할 수 있는 권리(제15조), 정보분석을
거부할 권리(제21조), 법적 효력을 초래하는 정보분석 등의 적용을 받지 않을
권리(제22조) 등이 그것이다.
그런데 「데이터 기본법안」제13조 제2항은 단지 개인정보를 이용한 정보분석
을 할 수 있다고만 규정하고 있을 뿐이고, 정보분석의 구체적인 목적이나 범위,
특히 정보분석에 대한 정보주체의 권리에 대해서는 아무런 규정을 두고 있지
않다. 따라서 해당 정보주체는 자신의 개인정보에 기한 정보분석이 이루어지고
있는지 여부를 확인하거나 그에 대해 거부하는 것이 원천적으로 불가능해지는
상태에 놓이게 되며, 궁극적으로는 정보주체의 개인정보자기결정권이 취약해지
는 결과를 가져올 위험성이 있다.
결론적으로, 「데이터 기본법안」제13조 또는 별도의 조항으로, "정보주체의
동의를 받아 정보분석을 실시하는 경우"에 대해서 열람권(확인권), 정정·삭제
및 처리정지권을 명시적으로 규정할 필요가 있다.
3. 데이터 이동권(안 제15조)
가. 관련 규정
「데이터 기본법안」제15조 제1항은 데이터주체는 매출액, 데이터주체의 규모,
개인데이터의 성질 등을 고려하여 개인데이터처리자에 대하여 본인에 관한 개
인데이터를 해당 데이터주체 본인, 본인데이터관리회사, 대통령령으로 정하는
개인데이터처리자에 전송하여 줄 것을 요구할 수 있다고 규정한다.
나. 검토의견
「데이터 기본법안」제15조의 데이터 이동권은 「유럽연합 GDPR」의 "개인정보
이동권(또는 데이터 이동권)"(Right to Data Portability) 개념을 국내에 차용한
것으로 보여진다. 유럽연합에서 데이터 이동권을 법제화한 것은 갈수록 거대화
되는 글로벌 기업들이 대규모의 개인정보를 수집·처리하는 반면 정보주체 개개
인의 권리는 점점 미약해지고 있다는 인식에서 출발하여, 정보주체의 권리를
실질적으로 보장하고 IT 산업의 경쟁을 촉진하기 위한 명목으로 알려져 있다.
종전에 없었던 이러한 권리를 신설하는 데에는 유럽연합 내에서도 찬반 양론이
대립하였고, 그 외의 국가에서도 데이터 이동권에 대한 논의가 진행되고 있기는
하나 이를 법제화하는 데에는 신중을 기하고 있음이 확인된다.
최근 우리나라에서도 데이터 이동권에 대한 논의가 활발히 이루어지고 있으
나, 데이터 이동권이 기존의 개인정보보호 법체계와 문제는 없는지 등에 대한
신중한 검토 및 범사회적 논의가 선행되어야 한다는 지적이 힘을 얻고 있고,
특히 우리나라의 데이터 이동권 도입 논의는 정보주체 권리 보호가 아닌 단지
개인정보의 상품화에 그 목적이 있다는 시민사회의 지적도 무시할 수 없다.
즉 데이터 이동권은 정보주체의 개인정보에 대한 권리를 확대한다는 원론적
측면에서는 바람직한 방향일 수 있으나, 우리나라의 개인정보 처리에 대한 동의
실태 등을 고려할 때 당초의 입법취지와는 달리 형식적 권리로 전락하여 개인정
보자기결정권을 침해할 우려가 없지 않다.
이러한 기준에 따라 「데이터 기본법안」제15조를 상세히 검토하면,
첫째, 개인정보 처리에 대한 "정보주체의 동의나 요구"는 단지 외형적인 의사
표시만 있으면 되는 것이 아니라 정보주체가 개인정보 처리에 대한 제반 상황을
명확히 설명·제공받고 스스로의 완전한 자유의사에 기하여 동의하거나 요구한
경우에만 진정한 동의로 볼 수 있다. 예를 들어 「유럽연합 GDPR」전문 42항은
정보주체가 진정으로 또는 자유 선택으로 동의하지 않은 경우에는 해당 동의는
자유로운 의사에 따라 동의한 것으로 간주되지 않는다는 점을 명확히 하고 있다.
그런데 우리나라 기업 등의 기존의 개인정보 처리 실태를 보면, 외형적으로는
정보주체 개인의 적법한 동의를 받는다고 하지만 실상은 서비스 제공이나 할인
혜택 등을 미끼로 개인정보 제공을 유도하여 동의하게 하는 경우나, 동의를 하지
않으면 서비스 제공이 어렵다고 하면서 사실상 동의를 강제하거나 비자율적,
요식적으로 동의하게 하는 경우가 빈번히 확인된다.
둘째, 「데이터 기본법안」제15조 제3항은 데이터 이동권의 대상이 되는 개인
정보에 대해 일반적인 개인정보 이외에도 「개인정보 보호법」제23조에 따른
민감정보, 「의료법」제21조 및 제21조의2에 따른 진료기록, 「생명윤리 및 안전에
관한 법률」제18조에 따른 인간대상연구대상자의 개인정보 등 민감성이 높은
개인정보까지 포함하고 있다.
개인을 식별할 수 있는 개인정보라 하더라도 그 중요도 및 보호필요성이 모두
동일한 것은 아니며, 그 중에서도 개인의 내밀한 사적 영역과 밀접한 관련이
있고 해당 개인의 기본적 권리를 침해할 우려가 높은 개인정보에 대해서는 그
외의 일반적인 개인정보에 비해 보다 높은 수준의 보호가 필요하다는 것은 자명
하다. 이러한 취지에서 「개인정보 보호법」은 사상·신념, 건강, 성생활, 범죄경력
자료 등의 정보를 "민감정보"로 규정하고 보다 엄격한 보호조치를 적용하고, 「의
료법」등에서도 의료 관련 개인정보의 제공·유출을 엄격히 규제한다.
그런데 「데이터 기본법안」의 내용에 따를 경우, 정보주체가 자신의 데이터
이동에 대해 명확히 인지하고 적절한 동의(요구)를 한 경우에는 문제가 없지만,
만약 앞에서 살펴본 적절한 동의를 하지 못한 경우나 기업 등의 암묵적 강요
등에 의해 데이터 이동에 대한 동의(요구)를 한 경우에는 의료기록과 같은 민감
한 개인정보까지도 제3자에게 아무런 제약 없이 전송되고 경제적·산업적 가치
창출을 빌미로 지속적으로 오·남용될 가능성을 부인하기 어렵다.
셋째, 기업 등에서 개인정보를 수집·관리하는 상황을 검토하여 보면, 처음에는
해당 개인의 정보만 수집·이용된다 하더라도 이후 서비스가 진행되면서 다른
사람들의 개인정보가 추가로 수집·저장되는 경우가 있을 수 있다. 예를 들어
타인에 대한 자금이체 기록, 다른 사람에게 선물 형식으로 보낸 배송지 기록,
메신저 서비스에서 다른 사람과 대화한 기록 등이 그것이다.
「데이터 기본법안」에 의한 데이터 이동권에 의해 개인정보가 이동될 경우,
반드시 해당 개인의 정보만 이전된다는 보장이 없으며 위에서 본 다른 사람들의
개인정보도 "데이터셋"(data set)에 포함되어 같이 이전됨으로써 예기치 않은 피
해를 발생시킬 가능성이 상존한다. 이는 2021년 들어 발생한 인공지능 챗봇 "이
루다" 사건에서 스마트폰 메신저 대화 내용이 대화 일방의 동의 없이 대량으로
수집·이용된 사례를 통해 그 위험성이 실증된 바 있다.
넷째, 우리나라는 여타 선진국들과는 달리 전 국민 고유식별번호이자 다른
개인정보와 연결자 역할을 하는 주민등록번호 제도가 존재하는 점, 대량의 개인
정보 유출·침해사고가 빈번히 발생하고 있는 점, 이렇게 유출된 개인정보 데이터
베이스가 여러 곳에서 음성적으로 활용되고 있는 점 등 여타의 선진국에 비해
개인정보 보호 환경이 상대적으로 취약한 면도 고려하지 않을 수 없다.
이러한 점을 종합적으로 고려할 때, 「데이터 기본법안」제15조에 따른 데이터
이동권은 당초의 취지와는 달리 법률의 실제 시행 과정에서 기업 등이 우월적
지위를 이용하여 데이터 이동에 대한 요구나 동의를 형식적, 요식적으로 받아낸
뒤 이에 근거하여 개인정보를 과도하고 무분별하게 장기간 계속하여 제공할
우려가 있고, 더 나아가 의료기록 등 민감정보나 다른 사람의 개인정보도 무분별
한 이전의 대상이 될 위험성 또한 있다.
결론적으로, 앞서 살펴본 이러한 문제점을 보완하기 위해, 정보주체(데이터주
체)가 데이터 이동권을 행사함에 있어 서면 등에 의한 명시적 동의(요구), 데이터
이동권 행사에 따른 불이익에 대한 고지와 설명, 이전되는 데이터의 범위 등
"데이터 이동권의 행사 방법과 절차"를 명확히 규정하고, 데이터 이동을 받은
다른 데이터 사업자가 당초 정보주체가 동의(요구)한 범위를 넘어서 개인정보를
오·남용하는 경우 「유럽연합 GDPR」의 예에서 보는 바와 같이 정보주체가 데이
터 이동을 철회하거나 이동한 데이터를 삭제 요구할 수 있는 권리를 보완 규정하
고, 데이터 이동과 관련하여 정보주체가 손해를 입은 경우에는 「개인정보 보호
법」제39조의 예에서 보는 바와 같이 데이터를 이동받아 처리한 자가 고의 또는
과실이 없음을 입증하지 않으면 책임을 면할 수 없도록 하는 조치(입증책임 전
환)를 보완할 필요가 있다고 판단된다.
Ⅳ. 결론
이상과 같은 이유로 「국가인권위원회법」 제19조 제1호 및 제25조 제1항
에 따라 주문과 같이 의견을 표명하기로 결정한다.
출처: 국가법령정보센터 국가인권위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).