개인정보 관련 법령의 실무적 운영과정에서 드러난 문제점과 개선방향 = A Study of Practical Issues Related to the Enforcement of Data Protection Laws and Suggested Measures for Improvement

국문 초록 (Abstract)

우리나라는 일반법인 개인정보 보호법과 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’), 신용정보의 이용 및 보호에 관한 법률(이하 ‘신용정보법’) 등의 특별법을 통해 개인정보보호에 관하여 규율하고 있다. 이러한 법령들은 개인정보의 성격(개인정보, 개인신용정보), 적용대상(개인정보처리자, 정보통신서비스 제공자, 신용정보회사 등) 등을 기준으로 다양한 규율을 하고 있지만, 정보기술의 발달로 인한 다양한 정보처리 방식의 대두, 온·오프라인을 동시적으로 사용하는 사업의 증가 등으로 인해 그 구체적인 적용에 있어 많은 혼란을 가져오고 있는 실정이다. 본고에서는 이와 관련하여 아래와 같은 일곱 가지 쟁점을 검토하였다.


첫째, 개인정보 개념은 위와 같은 개인정보보호 법령의 적용 여부를 결정하는 중요한 개념이라 할 것인데, 그 해석에 관하여 확립된 원칙이 존재하지 않는다. 특히 누구를 기준으로 ‘식별가능성’ 요건의 충족 여부를 판단할 것인가에 관하여 학설과 판례의 대립이 있는데, 필자는 개인정보처리자를 기준으로 이를 판단하는 상대설이 타당하다고 본다. 그러나 ‘식별’ 개념에 관하여는 아직 충분한 논의조차 이루어지고 있지 않은바, 앞으로 이 부분 논의가 활발하게 이루어질 필요가 있다.
둘째, 공개된 개인정보의 취급에 관하여도 논란이 존재하며, 공개된 개인정보라 할지라도 개인정보 보호법 제15조 및 제17조에 따라 정보주체의 사전 동의를 얻어야 한다는 견해도 존재하나, 최근 대법원 2016. 8. 17. 선고 2014다235080 판결이 정보주체의 동의가 있었다고 객관적으로 인정되는 범위 내에서 개인정보를 수집 내지 제공하는 경우에는 정보주체의 별도 동의가 필요 없다고 판시함으로써 공개된 개인정보의 활용과 정보주체의 보호를 조화할 수 있는 길을 열었다. 앞으로도 공개된 개인정보 취급에 있어 이와 같이 정보의 활용과 정보주체의 조화의 균형을 도모할 필요가 있다.
셋째, 개인정보 보호법, 정보통신망법, 신용정보법이 모두 개인정보의 보호에 관하여 규율함으로 인하여 각 법률들 간의 모순과 충돌이 발생하고 있다. 유럽이나 일본의 사례와 같이 개인정보보호 관련 법규를 적절히 통일할 필요가 있다.
넷째, 개인정보보호 법령상 정보주체의 동의는 정보주체의 개인정보 자기결정권을 보호하기 위하여 마련된 제도이나, 현실적으로 동의의 존재로 인하여 오히려 정보주체의 선택권이 박탈당하는 역설적 결과가 발생하고 있다. 그럼에도 불구하고 우리 개인정보보호 법령은 동의의 획득이라는 측면에 치우쳐 개인정보주체의 실질적 보호에 소홀한 한편, 개인정보의 활용도 어렵게 하고 있다. 이러한 동의 만능주의 내지 동의 형식주의는 조속히 극복될 필요가 있다.
다섯째, 우리나라의 개인정보보호 법령상 제재는 형사처벌에 집중되어 있는바, 이는 세계적으로 유례가 드문 방식이다. 이로 인하여 개인정보처리자들이 개인정보의 활용에 보수적이 되는 문제가 발생하고 있다. 더욱 심각하게, 형사처벌 규정들이 실제 위반행위의 중대성에 비례적이지 않은 부분도 드물지 않게 관찰된다. 형사처벌을 최소화하고, 민사 또는 행정적 제재 위주로 운영하는 방안을 검토해 볼 필요가 있다.
여섯째, 제3자 제공과 처리위탁에 관한 규율을 정비할 필요가 있다. 현재 제3자 제공과 처리위탁의 구분이 모호하며, 이러한 구분을 성공...

다국어 초록 (Multilingual Abstract)

In Korea, the collection and management of personal information is governed by relevant statutes, such as the Personal Information Protection Act (hereinafter “PIPA”), the Act on Promotion of Information and Communications Network Utilization and Information Protection, Etc. (hereinafter “Information Communications Network Act”), and the Credit Information Use and Protection Act (hereinafter “Credit Information Act”). Albeit the aforementioned statutes (hereinafter collectively referred to as “Data Protection Laws”) provide a wide range of regulations depending on the type of personal information (e.g., personal information or personal credit information) and subjects thereto (e.g., data handlers, information and communications service providers, and credit information companies), the actual enforcement of such regulations is becoming increasingly convoluted due to the emergence of various data processing methods stemming from advances in information technology and growing number of companies conducting business through both online and offline channels. Against this backdrop, this paper seeks to highlight and further discuss the following seven issues.
First, the concept of personal information is of vital importance when determining the applicability of Data Protection Laws but nonetheless, there is no established interpretation regarding the concept thereof. Notably, there are opposing views between jurisprudence and judicial precedents regarding whose perspective should be considered when determining “identifiability” (this paper takes the view that the perspective of data handlers should be considered). However, given the lack of discussions regarding the concept of “identification,” active discussions thereon need to take place going forward.
Secondly, legal controversy exists over the handling of publicly available personal informationinasmuch as views exist on the need to obtain prior consent from data subjects pursuant to Articles 15 and 17 of PIPA. However, the Supreme Court of Korea recently held that consent from data subject was not required for the collection and sharing of publicly available personal information in cases where such collection and sharing is deemed to be consistent with the data subject’s intention and purpose for disclosing his/her personal information(see Supreme Court Decision 2014Da235080 Decided August 17, 2016), thereby paving the way for achieving balance and harmony between the need for utilization of personal information and protection of the rights of data subjects.
Thirdly, inasmuch as conflicts and discrepancies are persistent regarding statutory interpretation of Data Protection Laws, it is necessary to effectively harmonize the relevant laws and regulations as in the case of Europe and Japan.
Fourth, even though the consent requirements under the Data Protection Laws were intended to protect the data subject’s right of self-determination of his/her personal information, such requirement is causing a paradoxical effect, i.e., data subjects are being deprived the opportunity to exercise de facto the right of informational self-determination. Nevertheless, the said Acts remain focused on strictly enforcing the consent requirement at the expense of providing actual protection to data subjects and in the process, is impeding the effective utilization of personal information. As such, it is necessary to move beyond this excessive focus on the consent requirement and the legal formalities related thereto.
Fifth, Korea is unparalleled in its level of punishing violations related to personal information protection by establishing penal provisions under the PIPA. As such, data handlers are forced to rely on overly conservative practices when managing personal information. Even more concerning, such penal provisions appear to be disproportionate in many cases to the violative acts it seek to prevent. Therefore, it is necessary to consider minimizing criminal...

참고문헌 (Reference)

1 "헌법재판소 2005. 5. 26. 선고 99헌마513, 2004헌마190 전원재판부 결정"

2 심우민, "통합 개인정보 보호법의 제정 방향" (15) : 2014

3 "정부, 규제기관 보고서, 가이드라인 등"

4 방송통신위원회, "정보통신서비스 제공자를 위한 개인정보보호 법령 해설서"

5 문기탁, "정보통신망 이용촉진 및 정보보호 등에 관한 법률상의 ‘제3자 제공’과 ‘제3자 위탁’의 구별" 법학연구소 14 (14): 231-252, 2009

6 김보라미, "일반적으로 공개된 개인정보에 대한 법적해석 정리"

7 방송통신위원회, "온라인 개인정보 취급 가이드라인"

8 "서울중앙지방법원 2011. 2. 23. 선고 2010고단5343 판결"

9 박혁수, "빅데이터 시대에 개인정보 개념의 재검토" 10 (10): 2014

10 이인호, "변호사의 직업적 개인정보에 대한 이용과 보호의 법리 : 로마켓 변호사평가정보 사건(2008다42430)에 대한 평석을 겸하여" (사)한국언론법학회 11 (11): 107-150, 2012

11 "대법원 2017. 4. 7. 선고 2016도13263 판결"

12 "대법원 2016. 8. 17. 선고 2014다235080 판결"

13 "대법원 2011. 7. 14. 선고 2011도1960 판결"

14 금융위원회, "금융분야 개인정보보호 가이드라인"

15 임규철, "개인정보의 보호 범위" (17) : 2012

16 채성희, "개인정보의 개념에 관한 연구-식별가능성에 관한 유럽 및 일본의 논의를 중심으로" 서울대학교 2017

17 장주봉, "개인정보보호의 법과 정책" 박영사 2014

18 이희정, "개인정보보호의 법과 정책" 박영사 2014

19 박상철, "개인정보보호의 법과 정책" 박영사 2014

20 구태언, "개인정보보호의 법과 정책" 박영사 2014

21 이창범, "개인정보보호의 법과 정책" 박영사 2014

22 이인곤, "개인정보보호법상 처벌규정에 관한 형법적 고찰" 한국법학회 (55) : 285-312, 2014

23 전응준, "개인정보보호법률상 형사처벌규정의 적정성에 관한 연구" 한국정보법학회 17 (17): 213-237, 2013

24 이성대, "개인정보보호를 위한 현행 형벌체계의 문제점 검토" 한국형사정책연구원 26 (26): 29-54, 2015

25 행정자치부, "개인정보보호 법령 및 지침·고시 해설"

26 권영준, "개인정보 자기결정권과 동의제도에 관한 고찰" 2015

27 방송통신위원회, "개인정보 수집 등에 따른 동의절차·방법 개선 및 개인정보보호 관리등급제 도입에 관한 연구" 2014

28 국무조정실, "개인정보 비식별 조치 가이드라인-비식별 조치 기준 및 지원·관리체계 안내"

29 개인정보보호위원회, "2016 개인정보보호 연차보고서" 2016