개인정보 비식별 조치 가이드라인의 법적 문제와 개인정보보호법제 개선방향 (Legal Problems of the Guideline on De-identification of Personal Information and Ways to Improve the Personal Information Protection Legislation)

서지정보

· 발행기관 : 한국공법학회
· 수록지 정보 : 공법연구 / 45권 / 2호 / 257 ~ 287페이지
· 저자명 : 이순환, 박종수

초록

지금은 4차 산업혁명의 시작점으로 이에 기반이 되는 클라우드 컴퓨팅, 빅데이터, 사물인터넷 등 ICT 산업의 진흥은 국가의 미래가 걸린 문제라 할 수 있다. ICT 산업의 발전에 따라 개인정보의 침해 위험의 목소리가 날로 높아지고 있지만, 개인정보의 활용이 뒷받침되지 않고서는 정보를 기반으로 하는 ICT 산업의 발전을 꾀할 수 없다. 우리의 법제는 대규모의 개인정보 침해 사건으로 인해 지속적으로 강화되어 왔으며, 이러한 개인정보 보호법제는 ICT 산업의 발전을 저해하는 요인이 되었다. 이에 정부는 개인정보 비식별 조치에 대한 가이드라인을 제시하여 비식별 정보를 빅데이터 분석 등에 활용할 수 있도록 하고 있다.
과도한 개인정보 규제 상황에서 개인정보의 활용을 도모하기 위한 가이드라인을 제시하였다는 점은 환영할만하다. 그리고 가이드라인은 개인정보인지 여부가 불분명한 경우에 대한 해석지침을 마련해주었다는데 의의가 있다. 하지만 가이드라인은 내용면에서 첫째 ‘비식별’이 개념상 명확하지 않다는 점, 둘째 사후조치로 사업자에게 주기적인 모니터링의 과중한 의무를 부담시키고 있다는 점, 셋째 비식별정보의 결합지원에 의해 개인정보침해가 가능하다는 점, 넷째, 개인정보 이용에 합당한 사업자들의 의무가 없다는 점 등의 문제가 있다. 또한 가이드라인이란 형식으로 개인정보의 개념이나 동의권과 같은 개인정보 보호법제의 핵심적인 내용을 다루고 있어서 법형식면에서 문제가 된다. 세계 각국은 개인정보 보호법제를 정비하고 있다. EU의 GDPR의 제정과 일본의 개인정보보호법 개정은 우리에게 시사하는 바가 크다.
사물인터넷과 빅데이터의 발전은 결국 기존의 개인정보의 개념과 동의권에 기초한 개인정보 보호체계에 대한 변화를 가져올 수밖에 없다. 본고에서는 외국의 입법례와 가이드라인에 대한 비판을 토대로 하여 개인정보의 보호와 활용의 경계에서 개인정보 보호법제의 개선방향을 제시하고자 한다. 엄격한 Opt-in 방식의 동의제도가 변화해야 할 것이며, 궁극적으로는 개인정보처리자의 책임을 강화하여 개인정보의 보호라는 가치와 개인정보 활용의 가치를 균형 있게 보호할 수 있도록 해야 할 것이다.

영어초록

We stand at the dawn of the fourth industrial revolution, in which the promotion of the ICT industry, which includes areas such as cloud computing, big data, and internet of things, can have substantial impact on the future of countries. As the ICT industry grows, so do voices of concern over the privacy risks it may pose on personal information. However, without the utilization of personal information, the ICT industry, which is based on the use of information, cannot seek further development. The Korean legislation has been continuously reinforced after large-scale infringements of personal information, but such reinforcements resulted in hampering the development of the ICT industry. Hence, the Korean government proposed the Guideline on De-identification of Personal Information which provides for the use of effectively de-identified information for conducting big data analysis and other such activities.
It is welcome news that the government has proposed a guideline that aims to promote the legitimate utilization of personal information amid excessive regulation. The guideline is also meaningful in that it provides a guide for interpretation for those ambiguous situations where it is unclear whether an information is personal. However, the guideline has its problems: first, the terminology “de-identification” is not clear in substance; second, service providers are overburdened with the obligation to conduct regular monitoring as a form of post management; third, personal information can still be invaded by combination support of de-identified information; and fourth, there it does not stipulate obligations of service providers that corresponds to the use of personal information. Furthermore, it sets down the concept of personal information and the right to consent, which are the core contents of personal information protection legislation, and therefore contravenes the form of law. Countries around the world are setting up their legislation regarding the protection of personal information. Among them, the GDPR of the EU and the Personal Information Protection Act of Japan are full of suggestions.
The development of IoT and big data eventually will bring about changes in the protection system of personal information, which builds upon the concept of personal information and the right to consent. In this paper, building on the criticism against foreign legislation and the guideline set forth by the Korean government, will propose a way to improve the personal information protection legislation. The strict opt-in method used for consent shall change, and eventually the responsibilities of the personal information manager shall be fortified in order to protect personal information while at the same time also protecting the value of personal information utilization.

참고자료

· 없음