사물인터넷 시대의 개인정보 보호의 과제 = 일본의 2015년 9월 개정 개인정보보호법을 중심으로

국문 초록 (Abstract)

사물인터넷(Internet of Things : IoT)이란 일반적으로 사람, 사물, 공간, 데이터 등 모든 것이 인터넷으로 서로 연결되어 정보가 생성, 수집, 공유, 활용되는 것을 말한다. 우리의 일상은 사물인터넷으로 인해 가상 세계와 현실 세계가 상호 연결됨으로써, 기존의 오프라인상의 체제 등은 더 이상 의미가 점차 없어지고 있다. 사물인터넷은 인터넷과 연결된 각종 사물들에 의하여 관련 정보가 생성, 수집, 공유, 활용되게 된다. 그에 따라 사물인터넷을 활용하여 수집한 정보를 기업입장에서는 마켓팅에 활용함으로써 새로운 비즈니스를 창출하고, 종래의 비즈니스를 보다 확대발전시키고자 한다. 이와 같은 현상의 근저에는 이른바 빅데이터의 기술이 존재한다. 사물인터넷 시대에 빅데이터의 활용은 기업에게는 무척 새로운 사업기회를 제공하는 등의 장점이 있다. 그 반면에 빅데이터는 대량의 개인정보의 유출로 인하여 개인의 프라이버시 등을 침해할 여지가 커진다. 개인정보는 그 성질상 일단 잘못 취급되면, 사생활 침해 등 개인에게 돌이킬 수 없는 피해를 미칠 우려가 있다. 그러므로 빅데이터의 이용 및 활용을 조장하면서도 개인정보가 침해되지 않는 합리적인 규제의 방안을 도출해 내는 것이 21세기 사물인터넷 시대에 있어서의 개인정보 보호법제의 주된 관심사라고 하지 않을 수 없다.
일본은 2015년 9월에 개인정보보호법 개정을 하였다. 동 개정에서는 개인정보정의의 명확화 및 동의없는 제3자제공을 위한 새로운 데이터유형, 개인정보에 관한 제3자 기관의 설립 등이 도입되고 있다. 이에 따라 일본에서는 앞으로 오퍼레이션스 리서치(operations research)를 포함한 데이터활용에 큰 영향을 줄 것으로 예상된다. 일본의 개정 개인정보보호법의 우리나라에 대한 시사점을 살펴보았다.
첫째, 개인정보의 보호범위의 문제이다. 이른바 식별개인정보와 비식별개인정보를 어떻게 구체적으로 구분할 것인가의 문제이다. 일본에서는 이를 매우 구체적으로 규정으로 정하여 개인정보의 보호범위를 명확히 밝히고 있다. 우리에게도 상당한 시사점을 준다고 생각된다.
둘째, 개인정보에 대한 정보주체의 동의문제이다. 일본의 2015년 일본 개정 개인정보보호법에서는 이른바 민감개인정보의 경우에는 사전에 동의를 받는 옵트인방식을 그리고 그 밖의 정보에 대해서는 옵트아웃방식을 채택하고 있다. 상당히 의미 있는 입법이라고 생각된다. 더나아가 다양한 정보의 프로파일링에 의하여 생성된 이른바 2차 개인정보에 대한 동의의 경우에도 2차 개인정보가 프라이버시와 관련되는 경우에는 옵트인 방식으로 사전동의를 요하도록하고, 그렇지 않은 경우에는 옵트아웃 방식으로 사후에 이의제기를 하는 방법이 합리적일 것으로 생각된다.
셋째, 개인정보보호법상의 최소수집의 원칙과 빅데이터의 특성인 대량정보수집의 조화를 위한 방안으로 일본에서는 익명가공정보라는 개념을 새로이 도입하고 있다. 개인정보의 유출에 따른 프라이버시의 위험을 경감하기 위해 필요한 경우에는 데이터의 익명화(Data Anonymization)를 취하도록 할 필요가 있다(이른바 개인정보 비식별 조치). 이와 같은 비식별조치에 따른 법적 효과를 개인정보 비식별조치 가이드라인이 아닌 개인정보보호법으로 격상하는 것이 바람직하다.
마지막으로 EU 및 일본 등의 입법을 생각할 때 국경을 넘는 개인정보의 이전에 대응하기 위한 입법적 조치와 행정적 노력 그리고 기업실무관행의 발전이 요구된다고 할 것이다.

다국어 초록 (Multilingual Abstract)

Internet of things (IoT) generally means that people, objects, space, data, etc. are all connected to each other on the Internet and information is generated, collected, shared, and utilized. Iot related information is generated, collected, shared and utilized by various things connected to the Internet. By doing so, we will utilize the information gathered by utilizing the Iot to marketing from the standpoint of the enterprise, and create new business to expand and develop traditional business. Under such a phenomenon, so-called big data technology exists. Utilizing Big Data in the age of Iot has merits such as providing a very new business opportunity for companies. On the other hand, big data has a lot of room for infringing personal privacy etc. by the leakage of a lot of personal information. Because of its nature, personal information, once treated incorrectly, may cause irreparable damage such as privacy infringement to individuals. Therefore, it is important to derive a rational regulation that does not infringe personal information while promoting the utilization of big data.
Japan revised the Personal Information Protection Act in September 2015. In the amendment, clarification of definition of personal information, new data type for providing third party without agreement, establishment of third party organization on personal information, etc. are introduced. As a result, it is expected that Japan will have a big influence on the utilization of data including operations research in the future. I reviewed the revision of Japan and the suggestion to the Korean Personal Information Protection Act.
Firstly, the problem is the protecting range of personal information. It is a question of how to distinguish so-called discriminated personal information and non-discriminated information separately. In Japan, this is set very precisely, and the extent of protection of personal information is clearly clarified. It is thought to give considerable suggestion to us.
Secondly, it is a matter of consent of the owner of information to personal information. In Japan"s 2015 revision of the Personal Information Act adopts the opt - in method to receive prior consent in the case of so - called sensitive personal information and the opt - out method for other information. It is thought that it is considerably meaningful legislation. Furthermore, even in the case of consent to so-called secondary personal information generated by profiling various information, in case the secondary personal information is concerned with privacy, it is necessary to require prior consent as an opt-in method, otherwise In the case of an opt-out method, it is considered reasonable to raise an objection later.
Thirdly, as a proposal for harmonizing the principle of minimum collection under the Personal Information Protection Act and mass information gathering, in Japan, the concept of anonymous processing information is newly introduced. In order to reduce the risk of privacy due to leakage of personal information, it is necessary to take data anonymization. It is desirable to upgrade the legal effect of such non-identifiable measures to the Personal Information Protection Act from the non-identifiable measures guidelines for personal information.
Finally, when considering legislation such as the EU and Japan, it is necessary to develop legislative measures, administrative efforts and corporate practice practices to cope with the transfer of personal information beyond the border.

목차 (Table of Contents)

• [국문초록]
• Ⅰ. 서론
• Ⅱ. 빅데이터와 개인데이터
• Ⅲ. 일본 2015년 개정 개인정보보호법(2017년 5월 시행)
• Ⅳ. 개정 일본법의 우리나라에의 시사점
• Ⅴ. 결론
• 參考文獻
• 〈Abstract〉

참고문헌 (Reference)

1 ロンドン․センタ-, "ＥＵおよび英国における情報保護法の重要性"

2 이승환, "홈플러스, 보험사에 개인정보 판매.. 대법 “1㎜ 글자 깨알고지는 불법”"

3 행정자치부, "우리 기업을 위한 『유럽 일반 개인정보 보호법』」안내서"

4 정지선, "신가치창출 엔진, 빅데이터의 새로운 가능성과 대응전략" 한국정보화진흥원 (18) : 2011

5 김현아, "송희경 의원 ‘비식별화 관련 개인정보 활용 근거법’ 발의"

6 박미사, "사물인터넷 활성화를 위한 법제도 개선방안, In INTERNET & SECURITY FOCUS" 한국인터넷진흥원 2014

7 김승한, "빅데이터 시대의 도래에 따른 개인정보 보호법의 한계와 개선방향" 연세대학교 법학연구원 의료․과학기술과 법센터 4 (4): 2013

8 손영화, "빅데이터 시대의 개인정보 보호방안" 한국기업법학회 28 (28): 355-393, 2014

9 박노형, "빅데이터 관련 주요 국가의 개인정보보호 법제도 분석에 따른 한국 개인정보보호법 개선의 검토" NAVER 2016

10 곽관훈, "기업의 빅데이터(Big Data) 활용과 개인정보의 보호의 조화" 법학연구소 (27) : 125-153, 2014

11 이창범, "개인정보보호법제 관점에서 본 빅데이터의 활용과 보호 방안" 법학연구소 37 (37): 509-559, 2013

12 심우민, "개인정보 비식별 조치에 관한 입법정책적 대응과제" 국회입법조사처 2017

13 尾田淸貴, "知的財産権侵害や刑事司法" 日本大学法学部 10 : 2017

14 内閣官房ＴＰＰ政府対策本部, "環太平洋パートナーシップ協定（ＴＰＰ協定）の概要"

15 影島広泰, "改正個人情報保護法の実務対応マニュアル: 平成29年5月施行"

16 個人情報保護委員会事務局, "改正個人情報保護法について"

17 技術検討ワーキンググループ, "技術検討ワーキンググループ報告書" 2013

18 総務省, "情報通信白書 平成 28年版"

19 新保史生, "国民生活" 国民生活センター 2015

20 個人情報保護委員会事務局, "個人情報保護委員会事務局レポート： 匿名加工情報 パーソナルデータの利活用促進と消費者の信頼性確保の両立に向けて"

21 個人情報保護委員会, "個人情報の利活用と保護に関するハンドブック"

22 瓜生和久, "一問一答　平成27年改正個人情報保護法" 商事法務 2015

23 日本經濟新聞, "ベネッセＨＤ, 顧客情報漏洩 最大2070万件"

24 佐藤一郎, "ビッグデータを開拓せよ" 角川書店 2015

25 佐藤一郎, "ビッグデータを開拓せよ" 角川書店 2015

26 佐藤一郎, "ビッグデータと個人情報保護法 データシェアリングにおけるパーソナルデータの取り扱い" 国立研究開発法人科学技術振興機構 58 (58): 2016

27 石井夏生利, "ビッグデータと個人情報保護" 日本損害保険協会 258 : 2014

28 佐藤一郎, "パーソナルデータの保護と利活用 -改正個人情報保護法とその影響-"

29 임민철, "“개인정보 비식별 가이드, 보호-활용 불균형” 국회입법조사처 ‘개인정보 비식별조치에 관한 입법정책적 대응과제’ 보고서" ZDNet Korea 2017

30 명순영, "[돈이 되는 정보 ‘빅데이터’] 글로벌 기업, 빅데이터로 노다지 캔다 …아마존, 고객 취향 족집게 마케팅" (1675) : 2012

31 EPF, "The new EU Regulation on the protection of personal data: what does it mean for patients? A guide for patients and patients’ organisations"

32 Sarah Spiekermann, "The challenges of personal data markets and privacy" 25 (25): 161-, 2015

33 OECD, "Recommendation of the Council concerning Guidelines governing the Protection of Privacy and Transborder Flows of Personal Data"

34 三上明輝, "Q&A個人情報保護法" 有斐閣 2003

35 World Economic Forum, "Personal Data: The Emergence of a New Asset Class"

36 ARTICLE 29 DATA PROTECTION WORKING PARTY, "Opinion 4/2007 on the concept of personal data"

37 이재호, "KIPA 연구보고서 2013-04 정부3.0실현을 위한 빅데이터 활용방안" 한국행정연구원 2013

38 FCC News, "FCC adopts Privacy Rules to give broadband consumers increased choice, transparency and security for their personal data"

39 小泉雄介, "EUデータ保護規則案の動向と個人データ越境移転" 日本ITU協会 45 (45): 2015

40 White House, "Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy" 4 (4): 95-, 2012

41 James Manyika, "Big Data: The next frontier for innovation, competition, and productivity" McKinsey Global Institute 2011

42 "Analysis of the Consumer Privacy Bill of Rights Act" Center for Democracy & Technology