본문 바로가기
KERD
논문KCI 등재

과학적 연구목적을 위한 개인정보 처리에 관한 비교법적 연구

A Comparative Study on Scientific Research in the Data Protection Laws between EU and Korea

김현숙
한국정보법학회 (Korea Association For Info-Media Law(Kafil))|2020.04|정보법학 (Journal of Korea Infomation Law)|제24권 제1호|pp. 115-144

0

조회

0

다운로드

15

인용

0

참고문헌

키워드

개인정보 보호법가명처리Personal Information Protection Act과학적 연구Scientific ResearchPseudonymisation유럽연합 정보보호 일반규정(GDPR)산업적⋅상업적 목적동의의 면제연구에 대한 면제EU General Data Protection Regulation (GDPR)Industrial⋅Commercial PurposesExemption from ConsentResearch Exemptions
주제분류법학

초록

2018년에 발효된 EU의 GDPR(General Data Protection Regulation)은 과학적 연구를목적으로 하는 개인정보의 처리에 대하여 특권적 지위를 부여하고 있다. 연구에는 사전 동의를 면제하고 그 밖에도 개인정보 처리자가 준수해야 할 정보주체의 삭제권, 반대권 등 많은 의무를 면제하고 있다. GDPR은 이전의 개인정보 보호규범인 1995년 지침(Data Protection Directive 95/46/EC)에는 존재하지 않았던 “가명처리(pseudonymisation)” 개념을 도입하여, 고도화된 정보통신기술(ICT) 시대에서 개인정보의 식별성을 제거(또는 감소)하여 과학적 연구에 폭넓게 활용될 수 있도록 ‘산업발전’과 ‘정보보호’라는 양 가치의 조화를 도모하였다. 최근 우리나라도 빅데이터, 인공지능 등 ICT기술과 데이터를 활용하여 신산업을 발전시키고자 하는 산업계의 요구에 부응하여, GDPR의 입법례를 참고하여 「개인정보보호법」을 개정하였다. GDPR과 같이 가명처리 개념을 도입하고, 과학적 연구를 목적으로 하는 개인정보 처리에는 사전 동의를 면제하는 등 광범위한 의무의 면제를 두고있다. 그러나 개정법은 과학적 연구에 개인정보를 활용하겠다는 방향만 설정하고 연구자가 어느 범위까지 어떻게 활용해야 하는지에 대해 명확한 답변을 주지 못하고 있어, 이로 인한 해석의 논의가 한참이다. 과학적 연구에 산업적 목적(상업적 통계 포함) 의 연구가 포함되는가에 대한 논의가 그 중심에 있다. 포함한다는 산업계 및 정부의입장에 대하여 시민단체는 정보인권의 심각한 침해를 이유로 반박하고 있다. 개정법의 가명처리와 그 면제를 규정하는 방식에도 해석의 여지가 많다. GDPR과 동일하게개정하였다고 하지만, 양 법의 법체계와 내용이 동일하지 않음에도 불구하고 개정되는 부분만을 가져오다 보니 전체적으로 체계 정합성이 결여되는 문제점을 낳았다. 첫째, 과학적 연구의 동의 면제가 본래목적의 처리와 추가처리 모두에 인정되는 것인지아니면 추가처리에만 인정되는 것인지 명확하지가 않다. 둘째, 본래목적과 추가목적이 양립가능할 때(compatible) 동의 없이 처리가 가능하도록 하는 조항과 가명처리 특례조항과의 연계가 누락되어 있다. 셋째, 정보주체로부터 개인정보를 수집하지 않을경우 가명처리 시의 고지의무를 면제하고 있으나 정보주체로부터 수집한 경우 고지에 대하여는 침묵하고 있다. 넷째, 연구자의 의무면제 항목을 한 조문에서 일률적으로제한하고 있으므로 의무의 성격과 관계없이 무제한적으로 면제하고 있다. 마지막으로, 민감정보와 가명처리와의 관계에 대해서 침묵하고 있어 가명처리만 하면 동의 없이 무제한으로 이용할 수 있는 것처럼 해석될 수 있다. 본고에서는 개정법이 가지고 있는 해석의 모호성과 법의 흠결에 대한 답변을 제시하고자 한다. 그 과정은 개정법이 입법과정에서 많은 부분을 참고한 GDPR의 규정을해석하는 것으로부터 시작하였다. 우리가 GDPR의 제도와 취지를 그대로 받아들이기위해서는, 먼저 GDPR을 정확히 이해한 다음 우리법 체계 및 법 환경에 적합한 제도로 규범화하는 것이 바람직하다고 생각하기 때문이다

Abstract

EU GDPR(General Data Protection Regulation) which came into force in 2018 grants a privileged position to scientific research. GDPR permits controllers to process personal data for research purposes without the data subject’s prior consent. Further, researchers are given exemptions from a variety of responsibilities within GDPR. GDPR intends to utilize personal data by removing(or reducing) identifiability in connection with data subjects via introducing the concept of “pseudonymisation” which did not exist in Data Protection Directive of 1995, the former data protection rules in the EU. Differently put, research exemption within GDPR leads stakeholders to reconcile opposite two values, “industry innovation” and “data protection” in the advanced ICT era. Recently, Korean PIPA(Personal Information Protection Act) was revised on the basis of GDPR in order to foster new industry by combining data and technologies such as Big Data Analysis and Artificial Intelligence. Similar to GDPR, scientific research occupies a privileged position in the revised PIPA. But, it is uncertain ‘to what extent’ and ‘in what way’ researchers can process personal data exempt from responsibilities within PIPA. Whether ‘research for industrial purposes(including statistics for commercial purposes)’ qualify as scientific research is the center of the debate on uncertainty of revised PIPA. Additionally, there are some issues of interpretation on pseudonymisation and exceptional provisions. While the government authorities announce that PIPA was revised according to GDPR’s pseudonymisation rules, PIPA does not fully reflect and consider GDPR and results in systemized inconsistency within PIPA. This paper intends to give solutions in reference to this ambiguity and deficiency of revised PIPA. My study starts from understanding of GDPR because revised rules of PIPA originates from GDPR. Based upon scrutinizing GDPR and pros and cons on this issue, the paper interprets the reasonable scope of research exemption. On top of that, the paper provides re-revision direction to respond the deficiency of PIPA.

참고문헌 (36)

  1. 고학수, "개인정보의 안전한 활용 방안", 개인정보 보호법의 실효성 제고를 위한 개선과제, 지능정보화사회 대응 개인정보보호 세미나 발제자료 (2017)
  2. 김정현, "빅데이터 시대의 개인정보 보호법제 개선방안", 법학논총, 46, pp.111~134 (2020), 법학연구소[DOI]
  3. 김현숙, "한국 개인정보보호법 상정당한 이익 확대도입 방안에 관한 연구", 정보법학, 22(1), pp.141~174 (2018), 한국정보법학회
  4. 김현숙, "GDPR에서의 개인정보의 추가처리와 목적의 양립 가능성에 관한 연구 -「개인정보 보호법」제15조, 제17조 및 제18조의 개정논의를 중심으로-", 가천법학, 11(4), pp.31~60 (2018), 법학연구소[DOI]
  5. "빅데이터 시대, 개인정보 보호체계의 강화가 필요하다" (2019), 오병일[URL]
  6. 전승재, "개인정보, 가명정보, 익명정보에 관한4개국 법제 비교분석", 정보법학, 22(3), pp.183~218 (2018), 한국정보법학회
  7. 조수영, "개인정보보호법과 EU의 GDPR에서의 프라이버시 보호에 관한 연구", 법학논고, (61), pp.117~148 (2018), 법학연구원[DOI]
  8. 차상육, "빅데이터의 활용에 따른 개인정보보호법제와의 충돌과 과제", 한양법학, 27(1), pp.315~359 (2016), 한양법학회
  9. 국가인권위원회, "「개인정보 보호법 일부개정법률안」에 대한 의견표명", ~ (2019)
  10. "개인정보 보호법 일부개정법률안, 의안번호 16621", ~ (2018)
  11. "개인정보 보호법 일부개정법률안(대안), 의안번호 24495", ~ (2020)
  12. "대통령 직속 4차 산업혁명위원회 보도자료", ~ (2018)
  13. "제20대 제371회 행정안전위원회 소위원회 제2차 속기록", ~ (2019)
  14. "제20대 제371회 행정안전위원회 소위원회 제4차 속기록", ~ (2019)
  15. "데이터3법 ‘핵심’ 개인정보보호법, 행안위 법안소위 통과(종합), ‘산업적 연구’ 문구 빠져… 개인정보보호위원회에 국회 인사 추천도" (2019), 뉴스1[URL]
  17. "데이터3법 수순? 가명 개인정보 상업적 활용 허용해야" (2020)[URL]
  18. "데이터3법, 개인정보 활용도 보호도 아닌 모호한 법" (2020)[URL]
  19. "데이터 3법 깜깜이 논의… 성인 5명중 4명꼴 개정 추진 몰라" (2019), 연합뉴스[URL]
  20. "정부, ‘데이터 3법’ 시행령 개정 등 후속조치 추진" (2020)[URL]
  21. "General Data Protection Regulation on the Protection of natural persons with regard to the Processing of Personal Data and on the free movement of such data, and repealing Directive 95", 46, pp.2018, ~
  22. "Directive 95", 46, pp.1995, ~
  23. "Treaty on the Functioning of European Union", ~
  24. "Article 29 Data Protection Working Party, Opinion 06", 2014 on the notion of Legitimate Interests of the data controller under Article 7 of Directive 95, EC, 2014[DOI]
  25. "Article 29 Data Protection Working Party, Opinion 05", 2014 on Anonymisation Techniques, 2014
  26. "Article 29 Data Protection Working Party, Opinion 04", 2007 on the Concept of Personal Data, 2014
  27. BBMRI-ERIC, "Position Paper on the General Data Protection Regulation on the General Data Protection Regulation", ~ (2015)
  29. "How GDPR changes the rules for research" (2016)[URL]
  30. ICO, "Anonymisation: Managing Data Protection Risk Code of Practice", ~ (2012)
  32. John Mark Michael Rumbold, "The Effect of the General Data Protection Regulation on Medical Research", Journal of Medical Internet Research, 19(2) (2017)
  33. "GDPR and implications for Research" (2020)[URL]
  34. Marsha Shabini, "Rules for processing genetic data for research purposes in view of the new EU General Data Protection Regulation", European Journal of Human Genetics, 26
  35. "Remarks by the President in Precision Medicine Panel Discussion, transcript" (2016)[URL]

관련 논문AI추천

가명정보의 미동의 처리의 기본권 침해 검토김희정법학연구원 · 법학논총2021 · 제45권 제1호개인정보처리의 연구특권에 관한 헌법적 연구주민호법학연구원 · 법학논고2024 · 제84호의학연구에 대한 유럽 GDPR 규제 및 국내 개인정보보호법 개정에 갖는 함의김정현, 박문석, 서경정, 양은주, 최은경, 함은혜(재) 국가생명윤리정책원 · 생명, 윤리와 정책2020 · 제4권 제1호빅 데이터(Big Data) 시대 개정 개인정보 보호법에 관한 법적 고찰이부하IT와 법연구소 · IT와 법연구2020 · 제21호사적 영역에서 개인정보 처리의 허용요건 —EU의 GDPR과 독일의 개인정보 보호법 규율 내용과 시사점—김상중안암법학회 · 안암법학2023 · 제67호개인정보 보호 및 활용 방안으로서의 가명⋅비식별정보 개념의 연구이대희한국정보법학회 · 정보법학2017 · 제21권 제3호

이 간행물의 다른 논문 (5건)

국내 상표소송에서 설문조사 증거의 활용현황에 관한 실증적 연구류시원pp. 1-46지능정보화시대에서 규제 샌드박스 제도의 정립을 위한 고찰이준복pp. 47-76캘리포니아 소비자 프라이버시법(CCPA)에 대한 비교법적 연구이창민pp. 77-114한국의 개인정보 영향평가 제도의 개선 방향이대희pp. 149-177성년후견과 잊혀질 권리에 관한 試論이원복, 박은영pp. 180-207
원문 보기