제정 10주년의 개인정보보호법에 대한 형사법적 검토
Reflections on Criminal Law Aspects of the Personal Information Protection Act at Its 10th Anniversary
0
조회
0
다운로드
3
인용
0
참고문헌
키워드
초록
시행 10주년의 개인정보보호법에 대한 형사 판례, 검찰 결정례를 중심으로 주요 쟁점을 검토하였다. 개인정보의 핵심 표지인 식별가능성의 판단에 있어 ‘다른 정보와 쉽게 결합하여’(용이결합성) 요건의 해석이 문제된다. 대법원 판례는 없지만, 하급심 판결은 객관적 기준과 개인정보처리자 주관적 기준으로 나뉘다가 최근 후자의 입장인 것으로 보인다. 다른 정보의 입수 가능성 등을 고려하도록 한 2020년 개정법의 규정 문언, 개인정보처리자의 신분범 구조 등에 비추어 개인정보처리자 기준의 해석이 보다 적절할 것이다. 2020년 개정법에 따라 가명처리된 개인정보는 가명정보로서 규제가 완화되고, 익명처리되면 규제가 적용되지 않는데, 비식별 조치의 적정성이 문제될 수 있고, 재식별 가능성이 잔존하는 사안에서 개인정보처리자의 개인정보 처리 고의를 부정한 하급심 판결이 있었다. 개인정보보호법은 개인정보의 처리 규제 위반에 대하여 직접 형벌을 부과하고 있는바, 수집·이용, 제공, 목적 외 이용·제공으로 구분된 조문 체계에 따라 벌칙 규정의 구성요건을 검토하였다. 개인정보 처리에서의 중요한 정책적 선택지는 정보주체의 개인정보자기결정권 행사 방법이고, 우리나라의 경우 사전 동의 구조가 채택되어 있다. 대법원은 적법한 동의 획득 요건, 공개 개인정보의 동의 면제에 관한 해석을 제시하고 있다. 한편, 대법원은 동의된 목적 부합 여부를 심사하여 개인정보 처리 행위의 적법성을 판단하고 있는데, 2020년 개정법에 따라 수집 목적과 합리적으로 관련된 범위에서 개인정보의 추가적 처리가 허용된다. 개인정보보호법은 개인정보 보호조치 위반에 대한 처벌 규정도 두고 있다. 판례는 준수되어야 하는 기술적 조치의 기준을 제시하고, 개인정보처리자에게 보호조치 불이행에 대한 고의와 개인정보 유출에 대한 과실, 인과관계가 필요하다고 보고 있다. 지난 10년간의 판례에 대한 분석을 토대로 개인정보의 활용과 보호의 균형을 추구하면서 다양한 이해관계의 수범자에게 명확한 지침을 제공하는 규제 필요성을 강조하였다.
Abstract
This article intends to review major criminal law issues of the Personal Information Protection Act(‘the Act’) in the 10 years since its enactment. The definition of ‘personal information’ relies on the concept of identifiability. The interpretation of the phrase “identifiable by easily combining with other data” is the key issue in deciding the identifiability of a person. Although there has been no Supreme Court decision on this point, lower courts seem to apply the relative approach, which considers combining other data should be easy for the data controller. In my opinion, this position is in line with the amended article of the Act which states “taking into account possibilities of obtaining other data” and the elements of criminal offences requiring status of data controller. The amended Act of 2020 provides the legal basis for processing of ‘pseudonymised data’ and clarifies that ‘anonymised data’ is not subject to the Act. There was a lower court decision which denied the data controller’s intention of processing identifiable personal information where risk of re-identification had remained. The Act stipulates the lawful grounds for processing personal information by specifying collection/use, provision to third parties and out-of-purpose use/provision separately, and criminalises the breach of such rules. The most important policy choice is how to ensure the right to informational self-determination of the data subject; the Act has adopted an opt-in regime. The Supreme Court has issued rulings on conditions for obtaining lawful consent and exemption for consent requirements in case of disclosed personal information. Also, the Supreme Court decides the legality of processing activities by reviewing whether they are in accordance with the original purpose for which the consent was given. Under the amended Act of 2020, further processing of personal information may be permitted without the data subject’s consent, if such processing is within the scope which is reasonably related to the original purpose of collection. The Act also makes it a criminal offence for data controllers to violate data security measures. The court indicates the technical standards to be met, and requires both intention of such violation and negligence in the leakage of personal information. Through this legal analysis of criminal cases accumulated during 10 years after the enforcement of the Act, I have emphasised that it is necessary to establish well-defined regulations by balancing interests between protection and utilisation of personal information.
참고문헌 (58)
- 박노형, "개인정보보호법" (2020), 박영사
- 박노형, "EU 개인정보보호법" (2017), 박영사
- 고학수, "개인정보 보호의 법과 정책" (2016), 박영사
- 고학수, "국내 인터넷사이트의 개인정보 수집현황 분석", 법경제학연구, 10(2), pp.181~216 (2013), 한국법경제학회
- 구태언, "개인정보보호법상 동의 관련 범죄의 비범죄화 및대안에 관한 연구", 가천법학, 6(4), pp.59~94 (2013), 법학연구소
- 권영준, "개인정보 자기결정권과 동의 제도에 대한 고찰", 법학논총, 36(1), pp.673~734 (2016), 법학연구소
- 개인정보 보호와 활용의 조화를 위한 개인정보보호법의 합리적 개정에 관한 제언, "김민호", 개인정보보호법학회, ~ (2019)
- 김진환, "개인정보 보호법의 해석 원칙을 위한 제언과 시론", 법학평론, 3 (2012), 서울대학교
- 박광배, "개인정보 관련 법령의 실무적 운영과정에서 드러난 문제점과 개선방향", 사법, 1(40), pp.3~48 (2017), 사법발전재단[DOI]
- 박규홍, "처방정보의 비식별화를 통한 제3자 제공과 관련한 형사 판결 검토", 경제규제와 법, 13(1) (2020), 서울대학교
- 박웅신, "개인정보보호법상 형사처벌 규정의 개선방안에 대한 연구", 성균관법학, 30(4), pp.293~318 (2018), 법학연구원[DOI]
- 박혁수, "빅데이터 시대에 개인정보 개념의 재검토", Law & Technology, 10(1) (2014), 서울대학교
- 양기진, "개인정보의 범위에 관한 연구- GDPR의 비식별조치와 약학정보원 사건의 검토 -", 선진상사법률연구, (84), pp.59~92 (2018), 법무부
- 이대희, "개인정보 보호 및 활용을 위한 공정정보원칙(FIPPs)의 융통적인 적용과 새로운 접근방법에 대한 연구 – 사물인터넷 및 빅데이터의 예를 중심으로 -", 법조, 67(1), pp.7~43 (2018), 법조협회[DOI]
- 이대희, "제4차 산업혁명 시대의 개인정보" (2018), 세창출판사
- 이동진, "데이터와 법" (2021), 박영사
- 이동진, "개인정보 보호법 제18조 제2항 제4호, 비식별화, 비재산적 손해 - 이른바 약학정보원 사건을 계기로 -", 정보법학, 21(3), pp.253~284 (2017), 한국정보법학회
- 데이터거래의 법적 쟁점 및 데이터거래 가이드라인, "이동진", 서울대학교, ~ (2020)
- 이동진, "목적구속의 원칙에서 목적합치의 원칙으로", 네이버 프라이버시 백서, ~ (2020)
- 이새롬, "개인정보 보호와 동의제도에 관한 연구", 사법논집, 65 (2017), 사법발전재단
- 이성기, "개인정보의 형사법적 보호 -「개인정보보호법」상 개인정보의 무단 수집 및 제공 행위를중심으로-", 법학연구, 29(1), pp.145~172 (2018), 법학연구소[DOI]
- 이성대, "개인정보보호를 위한 현행 형벌체계의 문제점 검토", 형사정책연구, 26(1), pp.29~54 (2015), 한국형사법무정책연구원
- 이성엽, "새로운 기술환경하에서 개인정보의 보호와 이용의 조화를 위한 개인정보보호규제 합리화 방안", 법제연구, (46), pp.7~40 (2014), 한국법제연구원
- 이성엽, "개인정보의 개념의 차등화와 개인정보이동권의 대상에 관한 연구", 경제규제와 법, 12(2), pp.190~208 (2019), 법학연구소[DOI]
- 이용재, "개인정보 보호조치에 관하여 -옥션 판결의 기술적·관리적 보호조치와 인과관계 판단을 중심으로", 사법, 1(38), pp.481~538 (2016), 사법발전재단[DOI]
- 이인호, "「개인정보 보호법」상의 ‘개인정보’ 개념에 대한 해석론– 익명화한 처방전 정보를 중심으로 -", 정보법학, 19(1), pp.59~87 (2015), 한국정보법학회
- Breyer 판결의 의미와 개인정보 식별성 판단 기준, "이창범", 한국인터넷진흥원, ~, pp.KISA Report(Vol. 7) (2020)
- 임형진, "빅데이터 환경에서의 개인정보 비식별 처리 방법 분석", 전자금융과 금융보안, (8) (2017), 금융보안원
- 장주봉, "개인정보 보호의 법과 정책" (2016), 박영사
- 전승재, "개인정보, 가명정보 및 마이데이터의 활용 범위 - 데이터 3법을 중심으로 -", 선진상사법률연구, (91), pp.249~279 (2020), 법무부
- 전승재, "해킹을 방지하지 못한 사업자의 법적 책임 판단기준의 문제점- 행정제재⋅형사처벌의 기준과 민사상 과실판단 기준의 차이점을 중심으로 -", 정보법학, 21(2), pp.111~157 (2017), 한국정보법학회
- 전승재, "개인정보, 가명정보, 익명정보에 관한4개국 법제 비교분석", 정보법학, 22(3), pp.183~218 (2018), 한국정보법학회
- 전승재, "개인정보 수집, 이용, 제3자 제공에 관한 4개국 법제 비교분석", 선진상사법률연구, (85), pp.167~197 (2019), 법무부
- 전응준, "개인정보보호법률상 형사처벌규정의 적정성에 관한 연구", 정보법학, 17(2), pp.213~237 (2013), 한국정보법학회
- 전현욱, "개인정보 침해사고를 막지 못한 자의 형사책임", 형사정책연구, 25(4), pp.1~27 (2014), 한국형사법무정책연구원
- 정성구, "제4차 산업혁명 시대의 개인정보" (2018), 세창출판사
- 정세종, "개인정보보호법 위반 사범 수사를 위한 법리적 검토 및 제언 - 개인정보 불법제공 및 누설을 중심으로 -", 한국공안행정학회보, 29(1), pp.231~254 (2020), 한국공안행정학회[DOI]
- 주민철, "개인정보 보호조치 위반의 형사적 책임", 석사, pp.2015
- 채성희, "개인정보의 개념에 관한 연구", 석사, pp.2017
- 최경진, "개인정보보호 관련법의 해석에 있어서 이익형량론과 일반적 이익형량 규정의 필요성에 관한 고찰", 사법, 1(40), pp.77~128 (2017), 사법발전재단[DOI]
- 최경진, "4차 산업혁명 시대의 개인정보보호법제 개선방안", 법제연구, (53), pp.177~211 (2017), 한국법제연구원[DOI]
- 최규환, "가명정보와 개인정보자기결정권" (2021), 헌법재판소 헌법재판연구원
- 허성욱, "한국에서 빅데이터를 둘러싼 법적 쟁점과 제도적 과제", 경제규제와 법, 7(2), pp.7~21 (2014), 법학연구소
- 황성기, "개인정보 보호와 다른 헌법적 가치의 조화", 경제규제와 법, 5(2), pp.20~36 (2012), 법학연구소
- 개인정보보호위원회, "가명정보 처리 가이드라인", ~ (2020)
- 개인정보보호위원회, "개인정보보호 법령 및 지침·고시 해설", ~ (2020)
- 개인정보보호위원회, "개인정보의 암호화 조치 안내서", ~ (2020)
- 개인정보보호위원회, "가명정보 활용성과 및 확산 방안", ~ (2021)
- 국무조정실, "개인정보 비식별 조치 가이드라인", ~ (2016)
- 방송통신위원회, "개인정보 처리에서의 프로파일링 사례집", ~ (2020)
- ICO의 GDPR 과징금 경감 사례 분석, "한국인터넷진흥원", ~ (2020)
- 岩瀨ひとみ, "2020年個人情報保護法改正と實務対応" (2020), 商事法務
- 宇賀克也, "個人情報保護法の逐条解説" (2018), 有斐閣
- 宇賀克也, "個人情報保護法制" (2019), 有斐閣
- 太田洋, "個人情報保護法制大全" (2020), 商事法務
- 山本龍彦, "ロボット·AIは人間の尊厳を奪うか?, ロボット·AIと法" (2018), 有斐閣
- "Court of Justice of the European Union, Case C-582", 14(19, 2016): Patrick Breyer v Bundesrepublik Deutschland, 2016[DOI]
- Gerald Spindler, "Personal Data and Encryption in the European General Data Protection Regulation", Journal of Intellectual Property Information Technology and E-Commerce Law, 7 (2016)