빅데이터 분석기술 활성화를 위한 개인정보보호법의 개선 방안 - EU GDPR과의 비교 분석을 중심으로 -

박노형 ( Nohyoung Park ),정명현 ( Myung-hyun Chung ) 고려대학교 법학연구원 2017 고려법학 Vol.0 No.85

빅데이터 분석기술 차원에서 개인정보의 광범위한 수집과 추가 처리는 대규모의 전자적 감시, 프로파일링 및 개인정보의 공개와 관련하여 심각한 프라이버시 침해 우려를 제기한다. 빅데이터 분석기술이 정보의 최대한의 수집과 활용인 점에서 개인정보보호의 기본원칙 중에서 `개인정보 최소화` 원칙을 위반할 가능성이 높기 때문이다. 빅데이터 분석기술의 활성화를 위하여 개인의 프라이버시와 개인정보보호가 일방적으로 제한되거나 침해될 수 없을 것이고, 동시에 관련 기술과 혁신의 발전이 무조건 제한되거나 침해될 수 없다. 프라이버시와 개인정보보호의 법익과 기술발전에 근거한 빅데이터 분석기술의 활용 사이의 올바른 균형이 요구된다. 한국의 개인정보보호법은 개인정보보호에 관한 일반법으로서 2011년 채택되어 상당히 최근에 제정되었음에도, 빅데이터 분석기술 등 개인정보의 활용 측면에서는 상당히 부정적인 역할을 하는 것으로 비판을 받고 있다. IT강국이라고 자타가 공인하는 한국에서 개인정보보호와 개인정보 활용의 올바른 균형이 상실된 것으로 볼 수 있다. 한국 개인정보보호법의 빅데이터 분석기술의 활성화에 대한 문제는 크게 개인정보의 `목적 외 이용·제공`과 개인정보의 소위 `비식별처리`에 기인하는 것으로 볼 수 있다. 빅데이터 분석기술에서 개인정보가 수집 또는 제공되어 이용되는 과정에서 그 대상인 대량의 개인정보가 원래의 수집 목적으로만 처리될 수 없는 현실적인 한계가 있기 때문이다. 이러한 점에서 개인정보의 특정 개인에 대한 식별성을 제거하는 비식별처리가 빅데이터 분석기술을 위한 모범답안으로서 제시되고 있지만, 일단 비식별처리된 개인정보가 달리 재식별화되는 현실적인 문제가 제기된다. 그럼에도, 개인정보의 목적 외 이용·제공과 비식별처리는 현실적으로 불가피하고, 이들은 개인정보보호를 주된 목적으로 하는 개인정보보호법의 법적 테두리 내에 존재해야 할 것이다. 유럽연합의 `일반개인정보보호규칙`(GDPR)은 가명처리정보와 익명처리정보를 구분하여, 개인정보에 해당하는 가명처리정보는 일정한 법률요건을 충족하는 경우 목적 외 처리로서 허용하고 있다. 빅데이터 분석기술과 개인정보보호의 조화에 관하여 목적 외 처리로서 가명조치를 포함하는 유럽연합의 접근이 보다 현실적이고 법적으로 안정적이라고 판단된다. 특히 가명조치가 익명조치보다 선호되는 것은 가역성이라는 점에서 익명조치도 결코 완전하지 않으며, 또한 익명조치와 달리 가명조치는 여전히 개인정보보호법의 적용 범위 내에 있기 때문이다. 즉, 개인정보보호법의 세계적 추세인 개인정보보호와 개인정보 활용 사이의 균형 추구가 반영될 수 있을 것이다. 2016년 발표된 `개인정보 비식별 조치 가이드라인 -비식별 조치 기준 및 지원·관리체계 안내-`는 익명조치에 집중한 점에서, 또한 보다 정상적인 개인정보보호법의 개정을 `가이드라인`으로 대신하는 점에서 긍정적이라고 볼 수 없다. 개인정보보호법의 목적으로부터 빅데이터 분석기술을 포용까지 동법의 전면적인 개정이 필요할 것이다. The digital economy in the 21st century does have to accommodate the active utilization of personal data through big data analytics. At the same time, the data protection for individuals, who are the basic components of the society being domestic or international, may not be precluded. Accordingly both big data analytics and data protection should go together, and data protection should be integrated in the use of personal data. Big data analytics, however, while aiming at collecting and processing a maximum amount of personal data, is very likely to violate the principle of data minimization, which is a primary principle of data protection. The Personal Information Protection Act(PIPA) of Korea, however, is being criticized for its lack of flexibility in allowing big data analytics, although it was adopted as a general law of data protection very recently, i.e., in 2011. The main difficulty of the PIPA in respect of big data analytics seems to come from the provisions relating to `the use and provision of personal data for purposes other than those in the original collection` and the so-called `de-identification` of personal data. Big data analytics tends to naturally require processing of an enormous amount of personal data so that personal data may not be processed only for the original purposes in collection. De-identification of personal data, in particular anonymisation, is suggested and introduced administratively for the purposes to promote big data analytics by eliminating identifiability of specific individuals. But it cannot avoid a risk of re-identification as technology develops. The approach of the EU to allow pseudonymisation for processing of personal data for the purposes other than those in the original collection seems to be more practically reasonable and legally certain. One of the reasons why pseudonymisation is preferred to anonymisation is that the latter may not be perfect in its possible reversibility, and that the former is still under the scope of the application of data protection law. However, the `de-identification guideline` published in June 2016 by the Korean governments concerned with data protection does not seem to be positive in that it focuses mainly anonymisation and that it lacks a formal legal status. The guideline seems to confuse data processors and also data subjects. The PIPA should be amended at least to include the use of personal data along with data protection in the provision of its purposes and objects and also to allow big data analytics more flexibly by adopting pseudonymisation.

메갈리아의 두 딸들

송준모(Jun-mo Song),강정한(Jeong-han Kang) 한국사회학회 2018 韓國社會學 Vol.52 No.4

전투적 여성주의를 표방한 온라인 커뮤니티 메갈리아의 정체성에 대해 온라인 여성주의에서부터 혐오사이트에 이르기까지 다양한 해석이 존재한다. 본 연구는 익명상황에서 형성되는 사회적 정체성의 분화에 주목하여 상이한 해석이 도출된 원인을 탐색한다. 글쓴이 ID 공개 여부로 구분되는 익명성 수준(완전익명, 부분익명)에 따라 게시물에 나타난 담론 내용의 차이를 파악하고 내부갈등의 전개 양상을 재구성하기 위해 2015년에서 2016년에 이르는 메갈리아의 생애에 걸친 전체게시물 162,893건을 분석하였다. 자연어처리 기법(토픽모델링, Word2Vec)을 활용한 분석결과에 따르면 전체 게시물에서 성차별과 연관있는 주제의 비중이 높았으며, 내부 갈등과 연관된 주제의 비중은 크지 않았다. 한편 완전익명 게시물에서는 메갈리아 방언을 이용한 분노 표출 토픽들이 배타적인 선호를 보였으며, 부분익명 게시물에서는 성차별 반대 캠페인 관련 토픽들이 배타적 선호를 보였다. 이러한 담론의 분화는 게시물의 대다수를 차지하는 완전익명 게시글에 주목하느냐, 혹은 주요 글쓴이에 주목하며 부분익명 게시글의 흐름을 파악하느냐에 따라 메갈리아의 정체성을 전혀 다르게 파악하게 한다. 더불어 익명성 수준에 상관없이 공유되는 주제 내에서도 정체성간 사용하는 단어가 배타적으로 나뉘거나 공유단어의 활용맥락이 달라지는 방식으로 갈등이 발전한다. 두 가지 방식이 모두 관찰된 성소수자 논쟁의 경우 구성원의 대거 이탈과 커뮤니티의 쇠락을 야기했다. 이러한 연구결과를 통해 온라인 커뮤니티에서 사용자들이 익명성 수준과 같은 구조적 여건에 반응하여 정체성을 형성하고 상호작용하는 방식과, 커뮤니티의 생애과정 전개를 통합적으로 이해하는 분석틀의 발전에 기여하길 기대한다. Understanding on the identity of the online community Megalia, which adopted hostile activism strategy against sexism, is diversified from as a representation of a new generation’s feminism to as simply a hate-filled website. This study explores reasons for the divergent interpretations on the identity of Megalia, by adopting and modifying the social identity model of deindividuation effects (SIDE) for anonymous online communities. We analyzed the entire 162,893 posts throughout the lifecourse of Megalia from 2015 to 2016, in order to figure out how discourses were differentiated depending on whether the writer"s ID was disclosed (pseudonym) or not (anonym), and to reconstruct the evolvement of collisions between the discourses. Natural language processing techniques (i.e., topic modeling and Word2Vec) were applied. Then, it discovered that topics related to gender discrimination were dominant whereas topics related to internal conflicts were relatively minor. Anonymous-posts, however, exclusively preferred anger-raising topics with Megalian dialect while pseudonymous-posts contained topics related to mobilizing efforts against sexual crimes and discriminations. An observer would see very different faces of Megalia, depending on whether reading anonymous posts, which made up most of posts, or following significant contributors" IDs and their pseudonymous posts. In addition, even a shared discourse between the two types of identities may nurture a conflict by developing either type of termonology exclusive to each identity or differential contexts of a common word. A topic on tolerance toward gender minorities developed both patterns and eventually contributed to massive exits and final decline. We expect to contribute to the development of analytical frameworks that clarify how members in an online community form various identities in response to structural conditions such as levels of anonymity and to foster holistics understanding of the life-course of the community.

개인정보보호법상의 몇 가지 문제점에 대한 입법론적 고찰

임규철 韓國土地公法學會 2013 土地公法硏究 Vol.60 No.-

정보사회의 새로운 권리침해를 막기 위한 기본권이 개인정보자기결정권이다. 그 보호법익은 개인정보다. 이를 실질적으로 구체화한 것이 2011년 9월 30일 제정된 개인정보보호법이다. 해당 법을 통해 어느 정도의 개인정보의 오남용의 통제장치는 마련했으나 그 기준설정의 적절성에 대한 논란은 끊임이 없다. 정보주체의 식별가능성을 알려주는 개인정보성의 인정범위는 포괄적으로 하되 그 제한의 강도를 달리하는 입법형식이 기본권 보장방식으로 더 적합하다고 볼 수가 있다. 따라서 개인정보처리자의 개념설정에 있어 ‘업무목적’ 이나 ‘개인정보파일’의 삭제는 바람직하다. 식별가능성을 어렵게 해주는 익명 및 암호정보의 해소는 결국은 시간과 비용의 문제이기에 그의 개인정보성은 인정하되 개인정보처리자에 대한 책임감면의 입법형식이 더 바람직하다고 본다. 민감정보 및 고유식별번호의 구별의 실익도 주민등록번호 외에는 사실상 없다. 민감정보로 통일하는 것이 좋다고 본다. 정보통신망법, 신용정보법, 위치정보법 등 유사한 법제도 개인정보보호법으로 통합할 필요성은 시간이 지날수록 더 커질 것이다. 이미 유럽연합은 그리 행하고 있다. 정보주체 및 수범자의 처리기준의 상이함으로 때문에 생기는 법 불신감도 통합법의 일관된 처리기준 제시를 통해 막을 필요가 있다. Das Selbstbestimmungsrecht der personenbezogenen Daten ist entstanden zum Schutz der Betroffenen. Der Schutzbereich ist personenbezogene Daten. KDSG hat den umfassenden Anwendungsbereich der öffentlichen und nichtöffentlichen Stellen. Nicht in den Geltungsbereich des KDSG fallen Daten über juristische Personen. Ein wesentlicher Grundsatz des Gesetzes ist das Verbotsprinzip mit Erlaubnisvorbehalt. Dieses besagt, dass die Verarbeitung im Prinzip verboten ist. Sie ist nur dann erlaubt, wenn entweder eine klare Rechtsgrundlage gegeben ist oder wenn die betroffene Person ausdrücklich ihre Zustimmung zur Verarbeitung gegeben hat. Der Umgang mit personenbezogenen Daten ist fließend. Anonyme Daten und pseudonyme Daten sollen unter den Geltungsbereich des KDSG fallen, weil es sich dabei um Angaben bestimmbarer Personen handelt. Da es aber aufwändiger ist, vom Pseudonym auf den Inhaber zu schließen, ist das informationelle Selbstbestimmungsrecht hiermit besser geschützt. Daten verarbeitende Stelle ist als jede Stelle umzusetzen, die Daten für sich selbst oder durch andere verarbeiten läßt. Unnötige Voraussetzungen(Geshcäftszweck etc.) sind auszusetzen. KDSG als intergritiertes Recht sind effektive, risikoadäqueat, verständlich und attraktive zu sein, um den Betroffenen sicherzustellen. Also das Gesetz ist als modernes Recht umzusetzen.

온라인 서포트 커뮤니티에서의 인지된 익명성

윤해진(Haejin Yun) 한국언론학회 2006 한국언론학보 Vol.50 No.6

처방 정보 수집 및 제3자 제공에 관한 형사책임

선종수 동아대학교 법학연구소 2022 東亞法學 Vol.- No.95

Most of the personal medical information is collected by medical institutions, and is transmitted to various institutions as needed. Such personal medical information is one of the most important information for doctors and patients, as well as various entities such as pharmaceutical companies and health insurance companies, as well as data necessary for business. Such necessity increases the risk of mass leakage or hacking of personal medical information. In particular, there is a need for systematic management in that personal medical information can cause more serious damage than general personal information. In the case of the so-called ‘Korea Pharmaceutical Information Center’, a program was developed that automatically transmits prescription-related information stored in each pharmacy to the Pharmacy Information Service, and the patient's information was stored in the Korea Pharmaceutical Information Center's central server. Korea Pharmaceutical Information Center signed a business agreement with Korea IMS for information joint use and mutual cooperation. Thereafter, the Pharmaceutical Information Service provides the Korea IMS with information such as the patient's resident registration number, registration number, patient's date of birth, medical practitioner's name and license number, disease classification code, the name and quantity of prescription drugs, and the date of issuance of the prescription to Korea IMS, and pays the price. got paid In the so-called ‘Korea Pharmaceutical Information Center’ case, the possibility of re-identification was recognized for the act of providing information between the Korea Pharmaceutical Information Center and Korea IMS, and it was judged as an act of processing personal information. However, all of them are acquitted on the grounds that the intention of processing personal information is not recognized in comprehensive consideration of the circumstances of the data processing between the Korea Pharmaceutical Information Center and Korea IMS, including the fact that the Korea Pharmaceutical Information Center continuously encrypts the information it was trying to provide to the Korea IMS was judged as. The key issues in this so-called ‘Korea Pharmaceutical Information Center’ case are the concept and method of judging personal information, provision of sensitive information to a third party or entrustment of processing, the scope of personal information that can be processed for statistical purposes without the consent of the information subject, and personal information Whether or not there is an intention to process Among these issues, the central issue dealt with by the Criminal Justice Tribunal was whether or not there was an intention to process personal information, and at least there was no unwritten intention. However, according to the interpretation of the Penal Provisions of the Personal Information Protection Act, the perception and intention of the accused to perform decryption cannot be an important issue. 개인의료정보는 대부분 의료기관에서 수집되고, 필요에 따라 다양한 기관으로 전송되고 있다. 이러한 개인의료정보는 의사와 환자를 비롯하여 다양한 주체들, 예를 들어 제약사나 건강보험회사 등은 매우 중요한 정보 중의 하나이자 영업에 필요한 자료이다. 이러한 필요성은 개인의료정보의 대량 유출이나 해킹 발생의 위험을 증대시킨다. 특히 개인의료정보는 일반 개인정보보다 더 심각한 피해를 가져올 수 있다는 점에서 체계적 관리의 필요성이 있다. 이른바 ‘약학정보원’ 사건은 각 약국에 저장된 처방전 관련 정보를 약학정보원에 자동전송하는 프로그램을 개발하여 환자들의 정보를 약학정보원의 중앙서버에 저장되었다. 약학정보원은 한국IMS와 정보 공동사용 및 상호협력에 대한 업무협약을 체결하였다. 이후 약학정보원은 수집한 환자의 주민등록번호, 등록번호, 환자의 생년월일, 의료인의 성명 및 면허번호, 질병분류기호, 처방의약품의 명칭 및 분량, 처방전 발급 연원일 등의 정보를 한국IMS에 제공하고 대가를 지급받았다. 이른바 ‘약학정보원’ 사건에서 약학정보원과 한국IMS 사이의 정보제공행위에 대하여 재식별가능성이 인정되어 개인정보를 처리한 행위로 판단하였다. 그러나 약학정보원이 한국IMS에 제공하려던 정보에 대하여 꾸준히 암호화를 한 사정을 비롯하여 약학정보원과 한국IMS 사이에 진행된 데이터 처리의 제반 사정을 종합적으로 고려하여 개인정보를 처리한다는 고의가 인정되지 않는다는 이유로 모두 무죄로 판단하였다. 이러한 이른바 ‘약학정보원’ 사건의 핵심적 쟁점은 개인정보의 개념과 판단 방법, 민감정보의 제3자 제공 또는 처리업무 위탁, 정보주체의 동의 없이 통계 목적으로 처리할 수 있는 개인정보의 범위 그리고 개인정보를 처리한다는 점에 대한 고의 여부 등이다. 이러한 쟁점 중에서 형사판결 재판부가 다루는 핵심적 주제는 개인정보 처리에 대한 고의 여부였으며, 최소한 미필적 고의도 존재하지 않으므로 무죄라고 판단하였다. 그러나 개인정보보호법 벌칙 규정 해석에 따르면 피고인들이 복호화를 하려는 인식과 의사가 중요 쟁점이 될 수 없을 것이다.

Personal Information Protection Crisis Management in Big Data

Kwan Sig Choi 위기관리 이론과 실천 2021 Crisisonomy Vol.17 No.11

ICT의 비약적인 발달로 인하여 4차 산업시대의 총아인 빅데이터 시대가 도래하였지만 개인정보보 호법상 개인정보수집최소의 원칙과 일치되지 않는 빅데이터 수집과 생성 및 활용의 최대의 시대적 요청과 상충되지만 산업의 발전과 개인의 정보보호를 위하여 조화할 필요가 있다. 첫째, 정보주체에 관한 개인 정보 보호 면에서 빅데이터 산업의 효율과 경영을 저해하지 않는 범위에서 빅데이터에서 의 개인정보에 관한 자기정보통제권을 최대한 보장하여야 한다. 둘째, 정보처리자의 관련된 개인정 보보호에서 정보주체의 동의를 필요로 하지만 정보처리자의 일방적인 결정에 좌우되며 새로운 프라 이버시 침해가 제기된다. 개정 개인정보보호법은 빅데이터에서의 개인정보의 보호를 위하여 익명 내지 가명정보처리규정을 신설하여 빅데이터수집⋅생성과 개인정보보호의 조화를 모색하고 있으 나 개인정보보호법상 공익적 목적이 아닌 이의 적용여부가 명확하지 않다. 셋째, 빅데이터의 조작가 능성은 존재한다. 빅데이터가 자신의 의도대로 유도하기 위하여 사용되는 경우 관련된 이해당사자 들에게 심각한 폐해를 초래한다. 현행 통계법상 규정이외의 빅데이터를 조작하는 경우 이를 금지 규정이 없다는 점에서 이의 규제가 요구된다. Due to rapidly-rising development of ICT the era of Big Data comes in modern lives and Big Data are deeply located at our everyday lives. Personal informations are integrated, used widely at the many aspects including public and private sectors. Big Data including personal informations in itself become giant industries in modern business nowadays. Big Data that personal informations have been integrated may cause serious infringements of personal informations. According to Personal Information Protection Act in the cases one collects or uses personal informations one has to obtain consent by concerned party of personal information. But it is not easy to obtain consent that is necessary to collect and use Big Data creating massively and automatically by ICT instruments. In the aspect of management of Big Data, to protect personal informations throughly, pseudonymisation, anonymisation of personal information have to be permitted in the Big Data collections and uses. And possibility of fake manipulation about Big Data may always exists.

GDPR의 관점상 신용정보법 개정안(김병욱 의원 대표발의안)의 검토 - 가명조치·익명조치 개념, 정보주체의 동의범주 이슈를 중심으로 -

양기진 한국상사법학회 2019 商事法硏究 Vol.38 No.2

This article reviews the issue of allowing pseudonymisation or anonymisation of personal data and its legal effect, and unauthorized collection of personal data disclosed to SNS under the new bill of the Credit Information Act (hereinafter referred to as 'the bill') introduced by Kim ByungWook, member of Korean National Assembly in November 2018. The bill has the cause of improving and strengthening effective devices to protect data subjects, and at the same time, of supplementing the use of big data. Nevertheless, the bill proposes that the Korean government intervenes in judging the appropriateness of anonymization and actively grants the relevant legal effects such as giving legal presumption as anonymous data. Furthermore, it is also problematic to allow a data processor, etc. to collect personal data without the data subjectʼs consent. The newly introduced concept of ʻfurther processingʼ by the bill is designed to omit the unnecessary step of data subjectʼs agreement for processing his or her data. However, it is allowed in the range ʻʻnot in conflict with the originally collected purposeʼʼ, which differs considerably from the GDPRʼs further processing that allows only when compatible with the originally collected purpose. The bill will incur controversy over the rational expectations of data subjects. Therefore, rather than pushing the bill to pass the National Assembly, this paper recommends discussions open to all stakeholders thereby analyzing all the effects which will be directly or indirectly brought about by the bill to gain acceptable and reasonable balance between personal data protection and smooth data use. 이 글에서는 2018년 11월 김병욱 의원이 대표발의한 신용정보법 개정안(이하 ʻ개정안ʼ) 중 가명조치·익명조치, 공개된 개인정보의 동의없는 수집 허용 이슈를 검토하였다. 개정안은 정보주체의 실질적 보호장치를 정비・강화하고 빅데이터 활용에 관한 장치를 대폭 보완 또는 도입을 추구한다는 명분을 내세우고 있다. 그럼에도 불구하고 개정안은 익명조치의 적정성 판단에 관한 정부의 개입 및 관련 법적 효력의 적극적 부여(익명정보로의 추정효), 가명조치 방식에 관한 기술중립을 깨고 정부가 직접 개입한다는 점, SNS 등에 오픈한 개인정보를 정보주체의 동의 없이 수집할 수 있도록 허용하여 문제가 있다. 정보에 관한 불필요한 이용동의 절차를 생략하고자 개정안이 도입하는 추가처리 개념 역시 ʻʻ당초 수집한 목적과 상충되지 아니하는 범위ʼʼ에서라고 하여 GDPR의 추가처리(further processing)와 상당히 다른 양태를 보이고 있어서 정보주체의 합리적 기대에 반할 여지가 적지 않다. 따라서 빅데이터의 시급한 활용만을 바라보고 조급하게 개정안을 통과시키는 것은 오히려 되돌리기 어려운 문제의 소지가 크다. 따라서 개정안의 국회 통과를 밀어붙일 것이 아니라 논의를 좀더 오픈시키고 광범위한 의견청취를 통하여 개정안을 통한 법제 변경이 가져올 직・간접적인 긍정적·부정적 효과를 냉정히 분석하고 부정적인 영향이 큰 부분은 GDPR 등 법제와 비교하여 개정안을 전반적으로 검토, 수정할 필요가 있다.

코로나19 디지털 접촉 추적과 개인정보 보호 -브라질 사례를 중심으로

오일석(IL SEOK, OH) 전북대학교 법학연구소 2021 法學硏究 Vol.65 No.-

코로나19 확산을 방지하기 위해 브라질 보건부는 Apple과 Google 기반의 노출 경보앱(Exposure Notifications System : ENS)을 활용하고 있다. 이들 앱은 암호화 조치를 실행하고 있지만 특정 개인과 링크될 수 있다. 따라서 이들 앱을 통해 송수신되는 정보는 브라질 데이터보호법(LGPD)이 규정하고 있는 개인을 식별할 수 있는 정보로서 보호되는 개인정보에 해당한다. 이 앱은 블루투스 식별 표지를 수집하여 코로나19에 노출되었는지를 판단하는데 도움을 주고 있다. 코로나19에의 노출 여부는 개인의 건강 상태를 보여주는 중요한 표지이므로 이 앱을 통한 블루투스 기반 식별표지는 민감한 정보로 처리되어야 한다. 민감한 개인정보는 익명 처리를 통해 중요하게 보호되어야 한다. 한편 접촉 추적앱을 활용한 개인정보 처리자는 합목적성, 적합성, 필요성, 자유로운 접근성, (정보의) 질, 투명성, 보안성, 예방성, 비차별성, 책임성의 원칙에 따라 개인정보를 처리하여야 한다. 또한 접촉 추적앱을 사용하는 경우 브라질 연방대법원이 제시하는 개인정보 보호 원칙에 부합하는지 따져보아야 한다. 즉 개인정보 처리의 목적이 명확히 특정되고 또한 정당하여야 하고, 수집되는 데이터의 양이 그것들이 처리되는 목적에 관해 엄밀하게 필요한 것으로 제한되어야 하며, 제3자에 의한 부정접속을 방지하기 위한 정보보안 대책이 실행되고 있는지 검토하여야 한다. 우리나라는 물리적 인적 추적과 더불어 GPS위치추적을 포함한 디지털 데이터를 결합하여 확진자의 동선을 추적하고 이를 공개하고 있다. 따라서 우리의 경우 접촉 추적에 있어 브라질 보다 많은 개인정보를 수집하고 있는바 개인정보를 침해할 소지가 크다. 우리나라에서 시행되고 있는 접촉 추적이 방역목적 달성을 위하여 지나치게 기본권을 제한하고 있는지 다시금 검토해 보아야 한다. To prevent the spread of COVID-19, the Brazilian Ministry of Health is utilizing contact tracing apps, especially the Exposure Notifications System (ENS) based on Apple and Google. These apps are encrypted but can be linked to specific individuals. Therefore, the information sent and received through these apps corresponds to personal information protected by the Brazilian Data Protection Act (LGPD) as information that can identify individuals. The apps collects Bluetooth identification signals and helps determine if the users are exposed to COVID-19. Because exposure to COVID-19 is an important indication of personal health, Bluetooth-based identification by this apps should be treated as sensitive information. Sensitive personal information must be protected through anonymous processing. On the other hand, personal information processors using exposure alerting apps should process personal information in accordance with the principles of purpose, suitability, necessity, free accessibility, quality, transparency, security, preventiveness, non-discrimination and responsibility. In addition, when using contact tracing apps, it is necessary to check that they comply with the principles of privacy set forth by the Supreme Court of Brazil. That is, the purpose of personal information processing must be clearly identified and justified, and the amount of data collected must be strictly limited to the purpose of processing them, and information security measures should be operated. In the case of Korea, digital data including GPS location tracking is combined with physical and human tracking, and the movement of the patient is tracked and disclosed. Therefore, in the case of South Korea, there is a high possibility of personal information infringement when more personal information is collected in contact tracking than in Brazil. It should be reconsidered whether contact tracing in Korea excessively limits fundamental rights to achieve the purpose of preventing the disease prevention.

PACS에서 의료영상정보의 익명처리와 관련된 법의 연구

권대철 한국방사선학회 2022 한국방사선학회 논문지 Vol.16 No.5

The purpose of this study is to comply with the operation and management of medical image information in PACS, the necessity of anonymizing the patient's personal information and the management status of the medical image information related to the personal The purpose of this study was to raise, discuss, and suggest the need for unification and coherence of the law by studying the content of the issues related to information related laws. In order to utilize information related to medical image information, it is necessary to unify the “Medical Act” or the “Bioethics Act” for clear legal application and consider the legal system’s consistency. Since there is a possibility of conflict due to issues that are not yet established, systematic coherence of the law is required to find the basic common denominator for the utilization and use of medical image information and to harmonize the law. In addition, the necessity of enacting the “Medical Information Protection Act” that can be practically applied and easily practiced by medical personnel and managers in the clinical field so that sensitive matters of medical image information and personal information can be protected and managed in a specific and systematic way. 연구의 목적은 PACS에서 의료영상정보를 운영과 관리를 준수하고 환자의 개인정보를 익명처리하기 위한 필요성과 관리와 관련된「의료법」,「개인정보 보호법」과「생명윤리법」에서 의료영상정보의 개인정보 관련법의 쟁점에 대한 내용을 연구하여 법의 일원화와 정합성을 위한 필요성에 대해서 문제를 제기하고 논의하고 제안하고자 한다. 의료영상정보와 관련된 정보 활용하기 위해서는 법적으로 명확한 적용을 위해「의료법」혹은「생명윤리법」으로 일원화하고 법체계를 법의 정합성을 고려할 필요가 있다.「개인정보 보호법」및「생명윤리법」에서 일치하지 않은 쟁점들로 인하여 충돌할 가능성이 있어 의료영상정보의 활용 및 이용을 위한 기본적인 공통분모를 찾아내어 법의 조화를 이루는 법의 체계적인 정합성이 요구된다. 추가적으로 의료영상정보 및 개인정보의 민감할 사항을 구체적이고 체계적으로 보호하고 관리할 수 있도록 임상에서 의료인 및 관리자들이 현실적으로 법을 적용하고 용이하게 실천이 가능한「의료정보보호법」을 제정할 필요성을 고려하여 추진하는 것도 필요하다.

텔레비전 시사고발프로그램 속 인터뷰 익명처리의 영향에 관한 실험연구 : MBC <PD수첩>을 중심으로

신병률 ( Byong Ryul Shin ) 한국지역언론학연합회 2008 언론과학연구 Vol.8 No.2