한국 개인정보보호권의 절대화 현상에 대한 비판 ― 개인정보처리정지권에 대한 해석론을 포함하여 ― (A Critique of the Excessive Prioritization of Data Protection Rights in the Republic of Korea — Including Interpretation of the Right to Halt Personal Data Processing —)

서지정보

· 발행기관 : 한국공법학회
· 수록지 정보 : 공법연구 / 52권 / 1호 / 219 ~ 254페이지
· 저자명 : 이인호

초록

나의 개인정보(personal data)에 대해 정보주체인 나는 어떤 권리를 가지는 것일까? 반면, 나의 개인정보를 처리하는 혹은 처리하고자 하는 자, 즉 개인정보처리자(data controller)는 나의 개인정보를 어떤 조건 하에서 합법적으로 처리할 수 있는가? 정보주체인 개인이 어떤 내용의 권리를 얼마만큼 가지는지, 정부 혹은 민간의 처리자가 어떤 조건 하에서 다른 사람의 개인정보를 처리할 수 있는지는 헌법과 법률에서 규정한다.
헌법은 국가기관(정부)과 국민의 관계를 규율하는 법이며, 헌법이 보장하는 기본권은 국가기관에 대해 주장할 수 있는 권리(公權)이지, 사인(私人) 즉 다른 개인이나 법인(기업)에 대해 주장할 수 있는 권리(私權)가 아니다. 따라서 모든 국가기관은 헌법이 보장하는 기본권의 가치결정에 구속을 받지만, 사인은 기본권의 구속을 받지 않는다. 이 같은 국가권력과 기본권의 관계에서 형성되는 헌법의 법리는 사인(私人) 간의 법률관계에 적용되지 않으며 적용될 수도 없다. 만일 사인이 다른 사인에 대해 기본권적 구속을 받아야 한다면, 사적 자치(私的 自治)의 원리는 소멸하게 된다.
아쉽게도 필자는 십 수년 전부터 이 같은 헌법과 사법(私法)의 원리를 혼용하려는 시도를 일부 헌법과 민법의 법학자들에게서, 그리고 일부 법원의 민사 판결 속에서 보아 왔다. 필자는 이를 ‘기본권의 과잉 현상’이라고 부를 수 있다고 본다. 이러한 혼용과 과잉은 특히 개인정보에 대한 정보주체의 권리를 규정하거나 주장하는 대목에서 두드러지게 드러난다.
이 글에서는 이상의 문제의식에 기초해서 헌법이 국민에게 보장하는 ‘개인정보자기결정권’이라는 기본권과 이를 구체화하여 법률(개인정보 보호법)이 개인에게 보장하는 ‘개인정보보호권’을 구별해서 이해할 필요가 있다는 점을 강조하고자 한다. 그리고 현행 법률상의 개인정보보호권(정정권, 삭제권, 처리정지권 등)이 절대화되어 있으며 다른 헌법적 가치와 조화를 이루지 못하고 있는 점을 비교법적 관점에서 비판적으로 논증하고자 한다.
이러한 절대화의 배경에는 ‘개인정보’를 마치 ‘사생활비밀’처럼 보호해야 한다는 오해(誤解)가 짙게 깔려 있는 것으로 분석된다. 사생활비밀은 정보주체인 나의 통제를 벗어나지 않은, 나의 지배 하에 있는 정보이고, 이 정보의 공개와 유통에는 원칙적으로 나의 절대적 지배권이 미친다. 그러나 개인정보보호법이 규율하는 ‘개인정보’는 국가와 사회의 모든 거래관계 혹은 생활관계에서 자연스럽게 유통되고 소통되는 정보로서 이미 정보주체의 지배를 벗어나 있는 정보이다. 따라서 사생활비밀은 인격권의 보호법익으로서 정보주체의 강력한 지배권이 인정되어야 하지만, 개인정보를 일반적 인격권의 보호법익으로 무턱대고 포섭하는 것은 자칫 사회 내 개인정보가 유통되고 처리되어야 할 정당한 헌법적 보호법익(언론의 자유, 알 권리, 종교의 자유, 기업활동의 자유 등)을 훼손할 위험이 매우 크다. 현행 한국의 「개인정보 보호법」이 개인정보보호권을 절대화하고 있는 것도 다른 헌법적 보호가치들을 깊이 고려하지 못한 결과로 보인다.
이 점을 논증하기 위해 제2장(Ⅱ)에서는 우선 한국 사회에 널리 퍼져 있는 개인정보자기결정권에 대한 오해를 지적하고 그 오해를 풀어 보고자 한다. 다음으로, 제3장(Ⅲ)에서는 한국의 현행 「개인정보 보호법」상의 개인정보보호권이 어느 정도로 절대화되어 있는지를 유럽연합(EU)과 일본의 개인정보보호법을 비교해서 살펴본다. 이어 제4장(Ⅳ)에서는 개인정보호보권 중 개인정보처리정지권에 초점을 맞추어 권리의 절대화를 비교법적으로 분석해 본다. 마지막으로 제5장(Ⅴ)에서는 현행 법률상 가명처리에 대해 처리정지권을 행사할 수 있는지를 최근의 1심 판결을 참조하여 살펴본다.

영어초록

This paper seeks to explore the boundaries and nature of the control that a data subject exercises over their personal data, alongside the legal frameworks that permit data controllers to process such data lawfully. It dissects the constitutional and legislative delineations of an individual's rights in this domain, scrutinizing the extent of these rights and the conditions under which a state authority or private entity may handle the personal information of others.
The Constitution serves as the fundamental legal document that delineates the dynamics between state apparatuses and citizens, where the rights enshrined within are primarily exercisable against the state rather than private parties. This distinction upholds that while state bodies are constrained by these constitutional rights, private individuals operate beyond their direct purview, thereby preserving the tenet of private autonomy. It is concerning, however, that there has been a discernible trend over the past decade wherein constitutional rights are increasingly and inappropriately invoked within private law jurisprudence and civil adjudications—an issue I term “fundamental rights surplus.” This article contends that there is a critical need to differentiate between the constitutional right of informational self-determination and the statutory right to personal data protection (as prescribed by the Personal Data Protection Act). It is imperative to critically analyze the excessive prioritization of data protection rights—including correction, deletion, and processing cessation—through the lens of comparative law.
This excessive prioritization springs from a fundamental misapprehension: the erroneous belief that personal data deserves the same sanctity as a private secret. Private secrets, which are under the sole domain of the data subject, rightfully warrant an unbreachable control over their disclosure. Contrastingly, personal data are often integral to and exchanged within commercial and social interactions, eluding the data subject's exclusive control. While the law must safeguard private secrets to protect an individual’s personal sphere, personal data warrant a different approach. Excessively elevating the protection of personal data above other constitutional imperatives—like freedom of expression, the public's right to know, and the freedoms of religion and enterprise—can lead to an imbalance detrimental to these other fundamental values. The prevailing interpretation of the Korean Personal Data Protection Act as enshrining absolute protection rights fails to acknowledge this complex interplay of constitutional interests.
The ensuing discussion unfolds as follows: Chapter 2 (II) addresses and seeks to rectify prevalent misconceptions about the right to personal data self-determination in Korean society. Chapter 3 (III) undertakes a comparative examination of personal data protection legislations in the European Union (EU) and Japan, scrutinizing the asserted absoluteness of the current Korean data protection rights. Chapter 4 (IV) then analytically assesses the implications of this absolutism, with a particular focus on the right to halt personal data processing. Lastly, Chapter 5 (V) evaluates the legitimacy of a data subject's claim to suspend the processing of pseudonymized data.

참고자료

· 없음