개인정보보호법상 ‘동의’와 ‘동의 방식’에 대한 再考, - AI와 빅데이터 시대의 개인정보 동의의 한계와 제도의 방향성을 중심으로-
Reconsideration of ‘Consent’ and ‘Methods of Consent’ under the Personal Information Protection Act- Focusing on the Limitations of Consent in the Era of AI and Big Data and the Direction of Institutional Development-
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
종래 정보주체의 개인정보에 대한 동의는 오랫동안 개인정보 자기결정권을 실현하는 핵심 수단이자개인정보 처리의 가장 중요한 합법화 근거로 인식되어 왔다. 따라서 동의 제도의 한계를 극복하고정보주체의 실질적 동의를 확보하기 위한 논의가 지속적으로 이루어졌다. 2024년 9월부터 시행된개인정보보호법 시행령 제17조 제1항에서는 동의 방식에 관한 구체적인 기준이 명시적으로 규정되었다. 현행법상 동의 방식은 입법취지 및 목적과는 달리 동의의 실질성을 충족시키기에는 많은 한계를 가지고있으며, 데이터 중심의 인공지능 시대에서는 현행법상 동의 제도에 대한 규범적 인식의 전환이 필요하다. 현행 동의 제도의 개선 또는 규범적 인식의 전환을 모색하기 위해서는 다음과 같은 점들을 고려할필요가 있다. 첫째, 개인정보 보호의 맥락을 반영하여 동의의 정의를 내용적 측면과 형식적 측면을포괄하는 방식으로 명확히 규정할 필요가 있다. 동시에, 개인정보보호법에 산재한 동의 방식에 관한규정을 체계화하고 계층적으로 재편하여, 규제 대상자의 이해도를 높이는 방안을 마련해야 한다. 둘째, 정보주체의 권리를 보호하면서도 개인정보처리자의 부담을 완화하고, 합법적인 개인정보 처리를 유도하기위해 동의 방식의 위반 중 다크 패턴을 이용한 동의는 동의 불비로 간주하는 것이 적절하다. 셋째, 개인정보 처리 과정에서 정보주체의 동의가 가지는 제한된 중요성을 고려할 때, 개인정보 처리의 합법화근거를 개인정보 자기결정권에서만 찾는 관점은 재고할 필요가 있다. 이러한 관점의 전환을 통해 보다현실적이고 효과적인 접근법을 마련해야 한다. 넷째, 정보주체의 실질적 동의가 형식화될 가능성을전제로, 개인정보 처리의 근거로서 동의 외에 다른 합법화 근거를 적극적으로 활용할 수 있도록 사전동의필수화 관행을 개선해야 한다. 아울러, 개인정보 처리로 인해 정보주체에게 발생할 수 있는 위험의 정도에따라 동의 획득 방식에 차등을 두는 방안을 검토할 필요가 있다.
Abstract
Traditionally, consent from data subjects has been recognized as the key means of realizing personal data self-determination and the most important legal basis for the processing of personal data. As a result, discussions have continuously been held to overcome the limitations of the consent system and secure meaningful consent from data subjects. Article 17(1) of the Enforcement Decree, effective from September 2024, explicitly sets forth specific standards for the method of consent. However, the current legal framework for consent, contrary to its legislative intent and goals, has significant limitations in fulfilling the substantive requirements of consent. Moreover, in the era of data-driven artificial intelligence, a shift in the normative understanding of the existing consent system is necessary. To improve the current consent system or reconsider its normative framework, the following points should be taken into account: First, the definition of consent should be clearly articulated, incorporating both its substantive and formal aspects while reflecting the context of personal data protection. Simultaneously, provisions on consent scattered throughout the Personal Information Protection Act should be systematically organized and restructured hierarchically to improve understanding among regulated parties. Second, to protect the rights of data subjects while alleviating the economic burden on data processors and encouraging lawful data processing, it is appropriate to treat consent obtained through dark patterns as non-consensual. Third, considering the limited significance of consent in the personal data processing process, the view that the legality of data processing is solely based on the data subject’self-determination right should be reconsidered. This shift in perspective is necessary to develop a more realistic and effective approach. Fourth, in light of the possibility that meaningful consent could become formalized, the practice of mandatory pre-consent should be improved, allowing for the active use of other lawful bases for processing personal data apart from consent. Additionally, differentiated methods of obtaining consent should be explored based on the level of risk to the data subject arising from the processing of personal data.
참고문헌 (44)
- 곽윤직, "민법주해 제2권" (1992)
- 곽윤직, "민법총칙" (2013)
- 김증한, "민법총칙" (2013)
- 김현수, "정태윤·지원림 교수 논문집 새봄을 여는 민법학" (2023)
- 박성옥, "주석 형법" (2020)
- 이은영, "민법총칙" (2009)
- 최경진, "개인정보보호법" (2024)
- 권영준, "개인정보자기결정권과 동의 제도에 대한 고찰", 법학논총, 36(1) (2016)
- 김현경, "정보주체의 권리보장과 ‘동의’제도의 딜레마", 성균관법학, 32(3) (2020)
- 김현수, "미국에서의 온라인 타크패턴과 시사점", IT와 법연구, (26) (2023)
- EU와 미국의 온라인 다크패턴 규율 동향 및 시사점, "김현수", 한국법제연구원, ~, pp.Global Legal Issue 제1호 (2023)
- 이유정, "인공지능 학습데이터와 개인정보보호법상 동의제도에 관한 연구-미국의 사후동의(opt-out)제도를 중심으로-", 미국헌법연구, 34(2) (2023)
- 이인호, "한국 개인정보보호권의 절대화 현상에 대한 비판", 공법연구, 52(1) (2023)
- 정찬모, "개인정보보호에 있어 정보주체의 동의", 법학연구, 18(1) (2015)
- 황보연, "개인정보보호법상 동의 제도의 개선 방안", 정보법학, 27(3) (2023)
- 2023 개인정보보호 및 활용조사, "개인정보보호위원회", ~ (2023)
- 2024 개인정보보호 연차보고서, "개인정보보호위원회", ~ (2024)
- 개인정보보호위원회, "개인정보 보호 법령 및 지침·고시 해설", ~ (2020)
- 법제처, "법령입안 심사기준", ~ (2023)
- American Law Institute, "Restatement (Second) of Contracts", ~ (1981)
- Brian H. Bix, "Contract Law: Rules, Theory, and Context" (2012)
- Eleni Kosta, "Consent in European Data Protection Law" (2013)
- Roscoe Pound, "The Spirit of the Common Law" (1921)
- Ari Ezra Waldman, "Designing Without Privacy: The Misplaced Reliance on User-Friendly Design in Privacy Law", Stan. Tech. L. Rev, 21, pp.74~ (2018)
- Bert-Jaap Koops, "The Concept of Function Creep", Law, Innovation & Tech, 13, pp.29~ (2021)
- Christof Koolen, "Transparency and Consent in Data-Driven Smart Environments", Eur. Data Prot. L. Rev, 7, pp.174~ (2021)
- Daniel J. Solove, "Murky Consent: An Approach to the Fictions of Consent in Privacy Law", B.U. L. Rev, 104, pp.593~ (2024)
- Daniel J. Solove, "Privacy Self_Management and the Consent Dilemma", Harv. L. Rev., 126, pp.1880~ (2013)
- Daniel J. Solove, "The Myth of the Privacy Paradox", Geo. Wash. L. Rev., pp.1~ (2021)
- Ella Corren, "The Consent Burden in Consumer and Digital Markets", Harv. J.L. & Tech, 36, pp.551~ (2023)
- Florencia Marotta-Wurgler, "Will Increased Disclosure Help? Evaluating the Recommendations of the ALI’s “Principles of the Law of Software Contracts”", U. Chi. L. Rev., 78, pp.165~ (2011)
- Florent Thouvenin, "Informational Self-Determination: A Convincing Rationale for Data Protection Law?", J. Intell. Prop. Info. Tech. & Elec. Com. L., 12, pp.246~ (2021)
- Heidi M. Hurd, "The Moral Magic of Consent", Legal Theory, 2, pp.121~ (1996)
- Datenschutzrechtliche Herausforderungen beim Einsatz von Künstlicher Intelligenz, "Hessel", 458~, pp.RDi 2023
- Katharina Isabel Schmidt, "Henry Maine’s “Modern Law”: From Status to Contract and Back Again?", Am. J. Comp. L, 65, pp.145~ (2017)
- Luca Longo, "Explainable Artificial Intelligence (XAI) 2.0: A Manifesto of Open Challenges and Interdisciplinary Research Directions", Info. Fusion, 106, pp.102301~ (2024)
- Neil Richards, "The Pathologies of Digital Consent", Wash. U.L. Rev, 96, pp.1461~ (2019)
- "Directive 95", 46, pp.1995, 31~
- European Commission, "Commission Staff Working Paper, Impact Assessment, Annex 2 (SEC) 2012 72 final", ~ (2012)
- European Data Protection Board, "Guidelines 05", 2020 on Consent Under Regulation 2016, pp.2020, ~
- "OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data", pp.14~15 (1980)
- "Regulation (EU) 2016", 679 of the European Parliament and of the Council of 27 April 2016 on the Protection of Natural Persons with Regard to the Processing of Personal Data and on the Free Movement of Such Data (General Data Protection Regulation), 2016 O.J. (L 119) 1, 2016
- "US Department of Health, Education & Welfare, Records, Computers, and the Rights of Citizens", ~ (1973)
- "White Paper Computers and Privacy, H.M.S.O. Cmnd 6353", ~ (1975)