본문 바로가기
KERD
논문KCI 등재

개인정보 보호법 제18조 제2항 제4호, 비식별화, 비재산적 손해 - 이른바 약학정보원 사건을 계기로 -

Art.18, Sec.2(4) of the Personal Information Protection Act, De-identification, and Non-pecuniary Loss

이동진
한국정보법학회 (Korea Association For Info-Media Law(Kafil))|2017.12|정보법학 (Journal of Korea Infomation Law)|제21권 제3호|pp. 253-284

1

조회

0

다운로드

22

인용

0

참고문헌

키워드

개인정보가명처리비재산적 손해Personal Information Protection Act비식별화de-identification제3자제공통계작성 및 학술연구IMS Healthnon-pecuniary lossfurther processing without consent for statistical or scientifical research
주제분류법학

초록

최근 제1심 판결이 선고된 이른바 약학정보원 사건은 우리 개인정보 보호법에서 개인정보의 보호와 활용 사이의 균형, 특히 그 유력한 해결방법의 하나인 비식별화에대하여 우리 법원이 다루게 될 최초의 사건이라는 점에서 매우 중요하다. 이 글에서는 제1심 판결을 소재로 개인정보 보호법상 비식별화의 법적 근거와 기준, 쟁점, 그리고 동의 없는 제3자이용의 허용사유 중 하나로서 학술 및 통계목적의 적용요건을 분석하고, 나아가 개인정보 유출로 인하여 별도의 손해가 발생하지 아니한 경우 개인정보 유출이 그 자체 비재산적 손해를 발생시키는가, 그 요건과 한계는 무엇인가 하는점에 대하여 비판적으로 검토하였다.

Abstract

The Korea Pharmaceutical Information Center (hereinafter, KPIC), an independent foundation established by the Korean Pharmaceutical Association (hereinafter, KPA), collected the prescription information without the consents of the prescribing physicians and the prescribed patients, encrypted, and transmitted it to IMS Health Korea, Inc. (hereinafter, IMS) for value. IMS, a company to produce analysis report and provide consulting service on the global and regional pharmaceutical markets and industries, utilized this information to perform statistical analysis and make up report on Korean pharmaceutical market and industry. After this fact was revealed by some incidents, physicians and patients alleged the violation of the Personal Information Protection Act, and sued for damages against KPA, KPIC, and IMS. Recently, Seoul Central District Court ruled for all the dependents, KPA, KPIC, and IMS (case no. 2014Gahap508066, 538302). Although it is merely the first instance decision, it is still the first case the court announced its position to the condition and the effect of de-identification of personally identifiable data in Korea, and thus very important. According to the court’s ruling, those data de-identified, i.e. made no longer attributable to a certain person, does not make personally identifiable information in the meaning of the Personal Information Protection Act, so that it is not subject to the regulations of the same act. In deciding whether a data is de-identified, not only the allegedly de-identified data itself, other data which can be combined to the allegedly de-identified data and utilized to re-identify the data subject, and the analytic skill of the data processor itself as well as of the possible intruders, but also the data management regime are relevant. Moreover, even when some part of encryption was not enough to relieve the encrypted data of the regulations of the Personal Information Protection Act, non-pecuniary loss does not exist if the encrypted data was utilized only for statistical analysis on Korean pharmaceutical market and industry without any attempt to re-identify the data subject and after that all the data was erased. Most of the rulings are agreeable, though some of them like the ruling to apply art. 18, sec. 2(4) of the Personal Information Protection Act, which allows further processing without consent for statistical or scientifical research, not to still identifiable information but to already de-identified information and the ruling to allow non-pecuniary damages where the risk of re-identification is neither substantiated nor cleared.

참고문헌 (44)

  1. 고학수, "데이터이코노미" (2017)
  2. 고학수, "개인정보 비식별화 방법론–보건의료 정보를 중심으로–" (2017)
  3. 고형석, "개인정보침해와 피해구제에 관한 연구", 법조, 60(10), pp.272~317 (2011), 법조협회
  4. 고홍석, "개인정보 유출로 인하여 위자료로 배상할 만한 정신적 손해의 발생 여부", BFL, (66) (2014)
  5. 권영준, "개인 정보 보호의 법과 정책" (2017)
  6. 권태상, "개인정보 보호와 인격권- 사법(私法) 측면에서의 검토 -", 법학논집, 17(4), pp.71~109 (2013), 법학연구소
  7. 김재형, "2012년 분야별 중요판례분석–민법(하)", 법률신문, ~ (2013)
  8. 김진환, "개인정보 보호법의 해석 원칙을 위한 제언과 시론", 서울대 법학평론, 3 (2012)
  9. 김진환, "개인정보 보호의 규범적 의의와 한계 – 사법(私法) 영역에서의 두 가지 주요 쟁점을 중심으로 –", 저스티스, 144, pp.43~87 (2014), 한국법학원
  10. 박동진, "비재산적 손해의 배상과 위자료", 법학연구, 21(3), pp.163~191 (2011), 법학연구원
  11. 박준석, "개인정보 보호의 법과 정책" (2017)
  12. 박혁수, "빅데이터 시대에 개인정보 개념의 재검토", Law & Technology, 10(1) (2014)
  13. 이동진, "데이터이코노미" (2017)
  14. 이동진, "미국 불법행위법상 비재산적 손해배상과 그 한계", 민사법학, 66, pp.277~313 (2014), 한국민사법학회
  15. 이동진, "비재산적 손해배상액의 산정: 비교 법 경제학적 접근", 법경제학연구, 10(2), pp.285~314 (2013), 한국법경제학회
  16. 이선구, "독성물질 노출에 따른 손해배상청구에서의 ‘손해’의 해석론: 질병 발생 전 손해배상청구에 관한 미국 법리를 중심으로", 민사법학, 77, pp.185~222 (2016), 한국민사법학회
  17. 이원우, "개인정보 보호를 위한 공법적 규제와 손해배상책임 — 개인정보 누출을 중심으로 —", 행정법연구, (30), pp.237~275 (2011), 행정법이론실무학회(行政法理論實務學會)
  18. 이인호, "「개인정보 보호법」상의 ‘개인정보’ 개념에 대한 해석론– 익명화한 처방전 정보를 중심으로 -", 정보법학, 19(1), pp.59~87 (2015), 한국정보법학회
  19. 이인호, "제2세대 프라이버시보호법으로서의 개인정보보호법에 대한 이해", 사법, 1(8), pp.35~89 (2009), 사법발전재단
  20. 이재경, "개인정보 유출에 따른 정신적 손해와 위자료의 인정가능성 - 대법원 2012.12.26. 선고 2011다59834 판결 -", 동북아법연구, 8(3), pp.525~544 (2015), 동북아법연구소
  21. 이창범, "개인정보 보호의 법과 정책" (2017)
  22. 이창현, "위자료에 관한 연구 – 불법행위를 중심으로 –", ~ (2011)
  23. 임건면, "個人情報의 意義와 歸屬關係- 民事法的인 觀點에서 -", 중앙법학, 7(4), pp.229~250 (2005), 중앙법학회
  24. 정상조, "광고기술의 발전과 개인정보의 보호", 저스티스, (106), pp.601~623 (2008), 한국법학원
  25. 정상조, "위치기반서비스 규제에 관한 연구", Law & Technology, 12(1) (2016)
  26. 정상조, "개인정보의 보호와 민사적 구제수단", 법조, 58(3), pp.5~73 (2009), 법조협회
  27. 정준현, "개인정보의 수집·처리·제3자 제공과 가치창출에 관한 법적 문제연구", 홍익법학, 16(1), pp.937~960 (2015), 법학연구소[DOI]
  28. 정진명, "사법에 있어서 개인정보 보호", 비교사법, 8(2) (2001)
  29. 최경진, "빅데이터와 개인정보", 성균관법학, 25(2), pp.197~218 (2013), 법학연구원
  30. 최계영, "의료 분야에서의 개인정보보호 - 유럽연합과 미국의 법제를 중심으로 -", 경제규제와 법, 9(2), pp.206~223 (2016), 법학연구소
  31. 행정자치부, "개인정보 비식별화 조치 가이드라인–비식별 조치 기준 및 지원⋅관리 체계 안내-", ~ (2016)
  32. Elliot, Mackey, "The Anonymiztion Decision-Making Framework" (2016)
  33. El Emam, "Sharing Clinical Trial Data: Maximizing Benefits, Minimizing Risk" (2015)
  34. Schomerus, "De-identification of Personally Identifiable Information (NISTR 8053), 2015 Gola", pp.2012, Garfinkel
  35. ICO, "Anonymization: Managing Data Protection Risk. Code of Practice, 2012 Jay, Data Protection Law and Practice, 4th ed.", ~ (2012)
  36. Lindhorst, "Sanktionsdefizite im Datenschutzrecht" (2010)
  37. Ohm, "Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization", UCLA. L. Rev, 57, pp.1701~ (2010)
  38. Pahlen-Brandt, "„Datenschutz braucht scharfe Instrumente – Beitrag zur Diskussion um „personenbezogene Daten", DuD, 34~ (2008)
  39. Polonetsky, "Shades of Gray: Seeing the Full Spectrum of Practical Data De-identification", Santa Clara L. Rev, 56, pp.593~ (2016)
  40. Pöttgen, "Medizinische Forschung und Datenschutz", ~ (2008)
  41. Rouillé-Mirza, "The Data Protection Directive and Medical Research Across Europe" (2005)
  42. Schwartz and Solove, "Reconciling Personal Information in the United States and European Union", Cal. L. Rev, 102, pp.877~ (2014)
  43. Taeger, "BDSG" (2013)
  44. 個人情報保護委員会事務局レポート: 匿名加工情報, , 個人情報保護委員会, ~ (2017)

관련 논문AI추천

개인정보유출에 따른 위자료 배상 연구: 약학정보원 사건을 중심으로구영신생명의료법연구소 · 생명윤리정책연구2019 · 제13권 제1호개인정보의 보호와 민사적 구제수단권영준, 정상조사단법인 법조협회 · 법조2009 · 제58권 제3호개인정보 관련 민사판례 동향과 전망장보은사단법인 법조협회 · 법조2021 · 제70권 제4호개인정보 보호 및 활용 방안으로서의 가명⋅비식별정보 개념의 연구이대희한국정보법학회 · 정보법학2017 · 제21권 제3호‘명목을 앞세운’ 개인정보 보호법의 손해배상책임 규정에 대한 비판적 검토배대헌IT와 법연구소 · IT와 법연구2019 · 제19호개정 개인정보 보호법에 대한 검토와 비판: 정보주체의 자기결정권에 대한 사항을 중심으로오길영민주주의법학연구회 · 민주법학2020 · 제73호

이 간행물의 다른 논문 (8건)

권리범위확인심판제도 운용의 문제점과 개선방안박영규, 이상정pp. 1-44의약용도발명의 신규성 및 진보성신혜은pp. 45-81특허권 침해에 대한 손해배상액 산정에 있어서의 기여도(apportionment ratio) 산정 법리WEN LIHUA, 정차호pp. 83-123하이퍼링크와 관련된 판례들에 대한 비판김인철pp. 125-1604차 산업혁명에 대응한 우리 지적재산권법 관련 쟁점들의 통합적 분석박준석pp. 161-215
원문 보기