개인정보보호법상 자동화된 결정 조항의 해석
Interpretation of automated decision provisions under the Personal Information Protection Act of Korea
0
조회
0
다운로드
5
인용
0
참고문헌
키워드
초록
자동화된 의사결정은 높은 효율성과 일관성에도 불구하고 여러 우려를 불러일으키고 있다. 개정 개인정보보호법 제37조의2로 신설된 자동화된 결정에 대한 정보주체의 대응권 규정은 이러한 우려들을 불식시킬 수 있을 것으로 기대되고 있다. 그러나 위 조항은 EU GDPR로부터 많은 영향을 받았음에도 불구하고 체계나 내용상 서로 다른 부분이 적지 않고 불명확한 부분도 많아서 해석이 쉽지 않다. 본고는 위 조항의 입법취지에 부합하고 논리적‧체계적 정합성을 갖춘 법 해석을 시도하면서 두 법제도를 비교하고 개선방안을 도출하고자 하였다. 개정 개인정보보호법 제37조의2는 GDPR과 비교하여 다음과 같은 차이점을 보인다. 첫째, 거부권의 요건을 강화하였다. 둘째, 거부권의 법적 성격이 정보주체의 권리임을 명확히 하였다. 셋째, 거부권이 인정되지 않는 경우의 정보주체 보호조치에 관하여 따로 규정하지 않았다. 넷째, 설명요구권을 자동화된 결정에 대한 대응권의 하나로 명시적으로 포함시켰다. 다섯째, 사전적이고 일반적인 공개의무를 설명요구권과 구별하여 규정하였다. 여섯째, 프로파일링에 관한 규정을 두지 않았다. 일곱째, 자동화된 결정과 관련하여 민감정보나 아동의 특별한 보호를 위한 규정을 따로 두지 않았다. 이러한 차이는 보다 간결하고 균형 있는 입법을 의도한 것에서 비롯된 것으로 짐작되지만, 위 조항은 여전히 불명확하고 미흡한 요소를 많이 가지고 있다. 입법적 개선이 요구되는 주요 사항은 다음과 같다. 우선 정보주체의 거부권과 관련해서는, 거부권 행사의 효과를 명확히 규정하고, 개인정보처리자가 면책받을 수 있는 정당한 사유를 구체화할 필요가 있다. 다음으로 설명요구권과 관련해서는, ‘설명 등’을 ‘설명’으로 명확히 하고, 설명요구권의 요건에 ‘정보주체의 권리 또는 의무에 중대한 영향을 미칠 것’을 추가하며, 설명요구의 대상이 되는 정보를 제한하여 수범자의 예측 가능성을 확보하고, 공개의무의 경우에도 개인정보처리자가 면책받을 수 있는 정당한 사유를 규정할 필요가 있다.
Abstract
Automated decision-making, despite its high efficiency and consistency, raises various concerns. The new provision on the rights of data subjects in response to automated decision-making (Art. 37-2 of the amended Korean PIPA) is expected to address these concerns. The provision has been influenced by the EU GDPR, but there are still differences in terms of structure and content. This study attempts to compare the two legal systems and derive improvement measures. The above-mentioned article has the following differences compared to the GDPR: i) It strengthens the requirements for the right to object. ii) It clarifies the legal nature of the right to object as ‘right.’ iii) It does not address the data subject protection measures in cases where the right to object is not granted. iii) It explicitly approves the right to explanation. iv) It specifies the obligation to disclose information. v) It does not have any provisions on profiling. vi) It does not provide special protection for sensitive information or children in relation to automated decision-making. The main issues requiring legislative improvement are as follows: With regard to the data subject's right to object, it is necessary to clearly regulate the effect of exercising the right to object and to specify the legitimate grounds on which the personal information processor may be exempted. With regard to the right to explanation, it is necessary to clarify and specify the requirement for the right to explanation, to specify categories of information subject to the explanation, and to grant immunity to the controller with legitimate grounds in the case of the obligation to disclose.
참고문헌 (26)
- 곽윤직, "민법주해 VII 채권(5)" (1999), 박영사
- 김연진, "개정 개인정보 보호법에 관한 시론적 고찰", 성균관법학, 35(2) (2023), 성균관대학교 법학연구소
- 김일환, "개인정보자기결정권의 헌법상 근거와 보호에 관한 연구", 공법연구, 29(3) (2001), 한국공법학회
- 김희정, "알고리즘 자동의사결정으로부터 개인의 보호 : 인간의 개입권을 중심으로", 헌법학연구, 26(1) (2020), 한국헌법학회
- 박노형, "EU GDPR상 프로파일링 규정의 법적 분석", 안암법학, (56) (2018), 안암법학회
- 박노형, "자동화된 결정에 관한 개인정보보호법 정부 개정안 신설 규정의 문제점-EUGDPR과의 비교 분석", 사법, (62) (2022), 사법발전재단
- 박상돈, "헌법상 자동의사결정 알고리즘 설명요구권에 관한 개괄적 고찰", 헌법학연구, 23(3) (2017), 한국헌법학회
- 이상용, "알고리즘 규제를 위한 지도(地圖)-원리, 구조, 내용-", 경제규제와 법, 13(2) (2020), 서울대학교 공익산업법센터
- 주민호, "자동화된 의사결정에 대한 기본권의 실효적 보장-EU AI법 제54조와 GDPR 제22조의 관계를 중심으로-", 법학논고, (82) (2023), 경북대학교 법학연구원
- 차상육, "EU 개인정보보호법제의 최근 입법과 시사점", 정보법학, 21(l) (2017), 한국정보법학회
- 최경진, "빅데이터와 개인정보", 성균관법학, 25(2) (2013), 성균관대학교 법학연구소
- Article 29 Data Protection Working Party, "Guidelines on Automated Individual Decisio n-making and Profiling for the Purposes of Regulation 2016", 679, 2018
- Dreyer, Stephan, "The General Data Protection Regulation and Autom ated Decision-making: Will it deliver" (2019), Bertelsmann Stiftung
- The impact of the General Data Protection Regulation (GDPR) on artificial intelligence, "European Parliament", ~ (2020)
- FRA, "Handbook on European Data Protection Law", ~ (2018)
- Paal, Boris, "Automatisierte Entscheidungen im Einzelfall einschlie ßlich Profiling, Beck’sche Kompakt-Kommentare Datenschutz-Grundverordnung" (2021), C.H, Beck
- Bradford, Anu, "The Brussels Effect", Northwestern University Law Review, (107) (2012)
- Ciancimino, Michele, "AI-Based Decision-Making Process in Healthcare", Journal of European Consumer and Market Law, 11(5) (2022)
- Custers, Bart, "Ethics and the internet" (2001), Intersentia
- Goodman, Bryce, "European Union regulations on algorithmic decision-making and a “right to explanation”", AI Magazine, 38(3) (2017)
- Kuner, Christopher, "The GDPR as a chance to break down borders", International Data Privacy Law, 7(4) (2017)
- Paal, Boris, "Case Note: Article 22 GDPR: Credit Scoring Before the CJEU", Global Privacy Law Review, 4(3) (2023)
- Schermer, Bart W, "The Crisis of Consent: How Stronger Legal Protection May Lead to Weaker Consent in Data Protection", Ethics & Info. Tech, 16 (2014)
- Selbst, Andrew, "Meaningful Information and the Right to Explanation", Proceedings of the 1st Conference on Fairness, Accountability and Transparency (2018), PMLR
- Veale, Michael, "Clarity, surprises, and further questions in the Article 29 Working Party draft guidance on automated decision-making and profiling", Computer Law & Security Review, 34(2) (2018)
- Wachter, Sandra, "Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation", International Data Privacy Law, 2 (2017)