유럽연합과 미국에서의 개인정보이동권 논의와 한국에의 시사점 (The Right to Data Portability in EU and US and Its Implications for South Korea)

서지정보

· 발행기관 : 중앙법학회
· 수록지 정보 : 중앙법학 / 21권 / 4호 / 271 ~ 310페이지
· 저자명 : 김서안, 이인호

초록

유럽연합(EU)은 일반개인정보보호규칙(GDPR)에서 정보주체의 새로운 권리로 개인정보이동권(right to data portability)을 도입하였다. 그리하여 소비자인 정보주체의 ‘통제 하에’ 개인데이터의 ‘자유로운 이전’ 내지는 ‘재사용’을 촉진시켜 소비자가 새로운 플랫폼을 용이하게 선택할 수 있도록 하여 힘의 불균형을 시정하고 경쟁을 촉진함으로써 데이터 기반의 혁신(data-driven innovation)을 끌어내고자 하는 것이다.
그러나 GDPR의 개인정보이동권 도입에 관해서는 찬반양론이 팽팽히 대립하고 있다. 게임 체인저(game changer)로 기능할 것이라는 긍정적인 평가가 있는 반면에, 상충하는 권리와 이익의 충돌 문제를 해결하는 뚜렷한 기준을 찾아내기 쉽지 않고, 개인정보이동권을 기술적으로 구현해내는 것이 기업 등의 개인정보처리자에게 부담과 비용을 초래하며, 또 개인데이터가 이동하는 과정에서 오히려 보안침해 문제가 더 쉽게 발생할 수 있다는 등의 우려가 표출되고 있다. 한편, 미국은 2011년부터 연방정부의 주도 하에 ‘스마트 공개 정책’(Smart Disclosure Policy)을 민관협력체계를 통해 시행함으로써 소비자의 개인정보이동성(data portability)을 구현해 오고 있다.
이제 데이터경제체제에서 개인데이터의 자유로운 이동을 기반으로 한 혁신을 끌어내고, 개인정보에 대한 정보주체의 통제권을 강화하여 소비자(정보주체)와 사업자(개인정보처리자) 간의 힘의 불균형을 재조정함과 아울러 소비자의 서비스 선택권을 강화하여 경쟁을 촉진해야 하는 정책목표는 누구도 부인하기 어렵게 되었다. 이러한 정책목표를 달성하는 수단으로 개인정보이동권을 인정하고 도입하는 것이 불가피하게 되었다. 다만, 개인정보이동권의 도입에는 몇 가지 측면에서 제약요인들이 있기 때문에, 당장 전면적이고 일반적인 개인정보보호권을 도입하는 것은 정책적으로 부담이 클 것으로 판단된다. 따라서 일반법인 「개인정보 보호법」에 도입하는 것은 보다 신중할 필요가 있다. 도입의 필요성이 크다면, 면밀한 입법조사와 논의를 거쳐 우선적으로 금융 분야나 의료 분야 등에 잠정적으로 도입하는 것을 고려할 수 있을 것으로 생각된다. 또한 미국 연방정부가 주도적으로 추진해 온 민관협력체계 방식의 접근방법은 현재 시점에서 가장 적절하고 필요해 보인다.

영어초록

With the advent of the data economy with the recent development of information technology, personal data has become a key resource for economic development and social growth. As a result, the value of personal information or personal data increases day by day, with some large platform companies holding the majority of such critical resources, resulting in a power imbalance issue between platform companies and consumers, and this imbalance is difficult to correct under the existing consent system. Against this backdrop, the European Union (EU) introduced the right to data portability as a new right for information subjects in the General Data Protection Regulation (GPPR). Thus, by facilitating the 'free movement' and 'reuse' of the personal data of consumers, data-driven innovation is sought by correcting power imbalances and promoting competition by facilitating a consumer's choice of a new platform.
However, there is a strong disagreement between the two sides regarding the introduction of the GDPR's right to personal information. While there is a positive assessment that it will function as a game changer, concerns are being expressed such as that it is not easy to find clear criteria for resolving conflicts between conflicting rights and interests, and that the technical implementation of the right to move personal information creates burdens and costs for private data processors such as companies, and that security breaches can occur more easily in the process of moving personal data.
Meanwhile, the U.S. has implemented 'Smart Disclosure Policy' through a public-private partnership system since 2011 under the initiative of the federal government to implement data mobility for consumers. In other words, the personal data of consumers held by public agencies and private companies is standardized and provided to consumers in a format that can be read by computers. These smart releases are empowering consumers to make rational choices and pushing forward policy goals to increase market transparency.
It is now difficult for anyone to deny policy goals that should promote competition by enhancing consumer service choices, as well as readjusting the power imbalance between consumers (information entities) and operators (personal information processors) by drawing innovation based on the free movement of personal data in the data economy system and strengthening control of the information subjects. It has become inevitable to recognize and introduce the right to move personal information as a means of achieving these policy goals. However, since there are some constraints on the introduction of the right to move personal information, it is deemed that the introduction of the right to protect personal information in full and general immediately will be a big policy burden. Therefore, it is necessary to be more prudent to introduce the law on personal information protection for general corporations. If there is a great need for introduction, it is thought that we can consider introducing it temporarily in the financial and medical sectors first after careful legislative investigation and discussion. In addition, the public-private partnership approach, which has been pursued by the U.S. federal government, seems most appropriate and necessary at this point.

참고자료

· 없음