한국 개인정보보호법 상정당한 이익 확대도입 방안에 관한 연구 (A Study on Extending Application of Legitimate Interests in the Personal Information Protection Act of Korea)

서지정보

· 발행기관 : 한국정보법학회
· 수록지 정보 : 정보법학 / 22권 / 1호 / 141 ~ 174페이지
· 저자명 : 김현숙

초록

개인정보의 수집 등 처리가 필요한 처리자는 해당 처리 이전에 정보주체에게 일정한 요건을 갖춘 동의를 받아야 하다는 전제는 한국과 유럽연합의 개인정보 보호법 체계에서 일관되게 고수하고 있는 원칙이다. 그러나 동의의 엄격한 요건은 민간사업자에게 적지 않은 이행비용(compliance cost)을 요구한다. 요즘과 같은 초연결사회(hyper-connected society)에서는 빅 데이터 등과 같이 개인정보를 대량으로 처리해야하는 경우가 많아 민간사업자는 더욱 어려운 상황에 처하게 되었다. 입법자와 정책결정자들은 정보주체의 실질적 자기정보자기결정권은 보장하면서 제4차 산업혁명에 대한 대비가 절실한 현재 시점에서 정보 활용의 기반을 합리적으로 제시하여야 할 부담이 늘어난 것이다.
이에 대한 대안으로 등장하고 있는 것이 정당한 이익의 확대 방안이다. 최근의 「개인정보 보호법」 개정에 대한 입법동향을 보면 우리도 유럽연합처럼 정당한 이익을 수집뿐만 아니라 처리 전반에 확대 적용해야 한다는 내용을 포함하고 있다. 정당한 이익에 근거한 개인정보 처리는 민간사업자들에게는 동의 없이 개인정보롤 활용할 수있는 안전한 항구로 생각될 수도 있을 것이다. 그러나 GDPR의 정당한 이익 규정을살펴보면, 정당한 이익이 인정되기 위해서는 민간사업자에게 까다로운 요건을 요구하고 있고, 적용되는 경우도 한정적으로 열거하고 있다. 특히, 영리활동에 대해서는정당한 이익이 인정될 수도 있다는 조건부 기술을 하고 있다. 또한 최근의 유럽연합의 의견서에는 정당한 이익 조항과 같이 열린 방식으로 기술하는 법 규정 방식에 대하여 비판한 바 있다. 따라서 빅 데이터 활용이나 직접 마케팅과 같이 정당한 이익 적용 요구가 활발한 영역에 대하여는 유럽연합의 입법방식과 해석동향을 고려한 신중한 접근이 필요하다. 본 고에서는 유럽연합과 한국의 정당한 이익에 관한 법 규정을분석하고 빅 데이터 활용과 직접 마케팅 분야에 대해서 집중적으로 논의하였다.

영어초록

The controller who intends to use personal information should be given a qualified prior consent from the data subject the information belongs to. This major principle is consistently accepted not only in the GDPR(General Data Protection Regulation) but also in the Korean PIPA(Personal Information Protection Act). Consent should be done by freely given, specified, informed and unambiguous conditions Because of these strict requisites for prior consent, businesses have to bear considerable compliance cost. By contrast, in the hyper connected society based upon advanced digital technologies, more businesses need large data processing such as big data. Therefore, lawmakers as well as decision makers are responsible to give feasible and plausible solutions for securing fundamental rights and freedom of data subjects from one side and for utilizing data effectively to prepare for the advent of the fourth Industrial Revolution from the other side.
Extending application of legitimate interests is emerging as the alternative to this issue.
Reflecting recent revised bills on relevant personal information protection acts, they count in reforming legitimate interests as the same way EU GDPR regulates. Businesses may consider legitimate interests as safe harbour that data processing can be legal without data subjects’ consent.Reviewing the GDPR, however, businesses are required to meet requisites to process by legitimate interest ground and legitimate interests can be possible only in several exhaustive cases. Particularly, commercial activities are conditionally approved to be legal when a controller processes data based upon legitimate interests. On top of that, according to the recent official opinion of European Commission, it criticizes open-ended exceptions such as legitimate interest ground and therefore should be avoided. In conclusion, we need to contemplate to extend legitimate interests in the PIPA taking into overall studies on GDPR and opinions of EU. In this sense, this paper includes studies on ways of legislation and interpretation of legitimate interests in the GDPR, specifically on the issues of big data and direct marketing.

참고자료

· 없음