유럽연합 GDPR의 동의제도 분석 및 우리 개인정보보호법제에 주는 시사점
An Analysis on the Consent System of the GDPR in European Union and Its Implications for our Data Protection Laws
1
조회
0
다운로드
15
인용
0
참고문헌
키워드
초록
우리의 개인정보보호법제는 정보처리에 앞서 정보주체의 동의를 받아야 하는 사전동의의 원칙에 따라 설계되었다. 아울러 사전동의를 받는 방식으로 수집·이용·제공에 대한 포괄동의를 금지하고 각 동의사항을 분리해서 별도로 받도록 하는 동의방식(‘개별적 동의방식’)과 처리목적에 필요한 최소정보만을 수집하게 하면서 최소정보 외에는 ‘선택’으로 동의를 받도록 하는 동의방식(‘선택적 동의방식’)에 의하도록 하고 있다. 이러한 강력한 동의체계는 오히려 정보주체를 제대로 보호하지 못하고, 동의를 형식화하면서, 빅데이터 산업 등 관련 산업의 발전에 장애 요소가 되고 있다. 유럽연합(EU)의 「일반개인정보보호규칙」(GDPR; General Data Protection Regulation; 이하 ‘GDPR’)은 우리의 동의제도 개선에 있어서 여러 시사점을 제시한다. 우선, 정보주체의 동의를 개인정보 처리의 6가지 합법성 요건 중 하나로 규정함으로써 정보주체의 동의 없이도 데이터를 처리할 수 있는 길을 열어놓고 있다. 특히 정보처리자나 제공을 받는 제3자의 ‘정당한 이익’을 위해서 데이터를 처리할 수 있다. 둘째로, GDPR은 처리 목적 중심의 동의를 받도록 하고 있다. 처리 목적이 변경되거나 추가되면 새로운 동의를 받아야 하지만, 그 외에는 규제가 없다. 우리와 같이 하나의 처리 목적을 위해서도 모든 항목을 구분하여 받을 필요가 없으므로 단순하고 명료한 동의서식을 제시하는 것이 가능하다. 셋째로, 정보처리자의 정당한 이익을 위하여 정보를 처리하는 경우, 정보주체가 이에 대한 거부권(제21조)을 행사하면 정보처리자는 더이상 그 정보를 처리할 수 없다. 이를 사후거부권(opt-out)이라고 하는데, 정보처리자의 정당한 이익을 위하여 정보를 처리할 수 있는 가능성을 배제한 우리 법제 하에서는 사실상 이러한 옵트아웃 방식이 들어설 자리는 없다. 그렇지만, 정보주체의 동의 이외에도 데이터 처리가 가능한 다른 합법성 요건을 규정하게 될 때에는 이와 같은 사후거부권의 도입을 함께 고려해야 할 것이다. 넷째, GDPR에서는, 공공기관의 경우 원칙적으로 정보주체의 동의에 근거한 데이터 처리를 할 수 없고 예외적인 경우에만 가능하다. 동의가 유효하기 위한 4가지 요건 중 첫 번째, 자유로운 상태에서 이루어진 동의(freely given)의 요건을 충족하지 못한다고 보기 때문이다. 우리의 경우, 공공기관 역시 동의제도를 만연히 이용하고 있는데, 이는 법률유보원칙과도 조화될 수 없다. 법제도적으로나 관행적으로나 개선을 요한다. 마지막으로, 유럽과 같이 가이드라인이 수범자에게 보다 확실한 지침이 될 수 있게끔 내용적인 면에서 충실한 개선이 필요하다. 나아가 동의제도의 수정은 개인정보자기결정권, 즉 개인정보보호권의 강화가 함께 수반되어야 한다. 정보주체에게 실질적이고 효과적인 통제권을 부여함으로써 개인데이터의 처리로 발생할 수 있는 실체적 권리가 침해될 위험을 예방하고 감소시켜나가는 것이 최종 목표가 되어야 할 것이다.
Abstract
Data Protection Act in Korea was designed in accordance with the principle of prior consent(Opt-in), which requires consent of the data subject prior to data processing. In addition, the Act prescribes two things in a manner of consent, one is the consent method, which prohibits collective consent on the processing of personal information and requires separate consent, and the other is the consent method, which requires the collection of only the minimum information required for processing purposes and provides the selection of consent except for the minimum information. Such a strong system of consent has not adequately protected the data subject and has been a barrier to the development of related industries, such as big data industries, while formalizing consent. The EU’s 「General Data Protection Regulation」(GDPR) offers a number of implications for improving our consent system. First of all, by defining the consent of the data subject as one of the six legal requirements for the processing of personal data, data processing is possible without the consent of the data subject. In particular, data can be processed for the ‘legitimate interests’ of the data controller or third party receiving the data. Second, the GDPR requires consent for each processing purpose. If the purpose of the process is changed or added, new consent is required, but there is no other regulation. It is possible to present a simple and clear consent form, because there is no need to separate consent for a purpose like us. Third, while data is processed for the legitimate interest of the data controller, the data controller can no longer process the data if the data subject exercises the right to object(Article 21). There is virtually no place for such an opt-out method under our legislation, which excludes the possibility of processing data for the legitimate interests of data controller. However, the introduction of the right to object should be considered also if other legal requirements for data processing are prescribed in addition to the consent of data subject. Fourth, in the GDPR, public authorities cannot, in principle, process data based on the consent of the data subject, but only in exceptional cases. This is because, among the four requirements for the consent to be valid, it is not considered to meet the first requirements of ‘freely given’. In our case, public authorities also mainly use the consent system, which cannot be harmonized with the rule of law. With the revision of the law, the practice should also be improved. Finally, like Europe Union, it is necessary to enrich the contents of the guidelines to help the data controller to understand the Act. Furthermore, the revision of the consent system should be accompanied by the enhancement of the right to the protection of personal data. The ultimate goal is to prevent and reduce the risk of infringing on the substantive rights that may arise from the processing of personal data, by giving the data subject substantial and effective control rights.
참고문헌 (48)
- 고학수, "개인정보보호의 법, 경제 및 이노베이션", 경제규제와 법, 5(2), pp.148~155 (2012), 법학연구소
- 구태언, "개인정보보호법상 동의 관련 범죄의 비범죄화 및대안에 관한 연구", 가천법학, 6(4), pp.59~94 (2013), 법학연구소
- 구혜경, "소비자의 개인정보 제공 동의 인식에 대한 탐색적 연구", 소비문화연구, 17(2), pp.151~181 (2014), 한국소비문화학회[DOI]
- 권건보, "개인정보자기결정권의 보호범위에 대한 분석 - 개인정보의 개념을 중심으로 -", 공법학연구, 18(3), pp.199~224 (2017), 한국비교공법학회[DOI]
- 권건보, "개인정보보호의 헌법적 기초와 과제", 저스티스, 144, pp.7~42 (2014), 한국법학원
- 권영준, "개인정보 자기결정권과 동의 제도에 대한 고찰", 법학논총, 36(1), pp.673~734 (2016), 법학연구소
- 권헌영, "4차 산업혁명시대 개인정보권의 법리적 재검토", 저스티스, 158(1), pp.7~42 (2017), 한국법학원
- "개인정보 수집, 이용 ‘동의’를 받아내면 그만인가?" (2019), 김기창[URL]
- 김동식, "데이터 경제의 발전에 따른 개인정보의 유용성과 활용 사례 – 케이데이터 사례를 중심으로", 데이터 경제 시대의 법·정책적 문제점, 하계 정기세미나 (2019), 한국정보법학회
- 김민호, "개인정보 보호와 활용의 조화를 위한 개인정보보호법의 합리적 개정에 관한 提言 - 4차산업혁명시대를 맞이한 대한민국의 데이터·AI경제 활성화를 기대하며-", 개인정보보호법 개정안(인재근 의원 대표발의)에대한 의견서 (2019), 개인정보보호법학회
- 김일환, "개인정보의 보호와 이용법제의 분석을 위한 헌법상 고찰", 헌법학연구, 17(2), pp.353~389 (2011), 한국헌법학회
- 김현숙, "GDPR에서의 개인정보의 추가처리와 목적의 양립 가능성에 관한 연구 -「개인정보 보호법」제15조, 제17조 및 제18조의 개정논의를 중심으로-", 가천법학, 11(4), pp.31~60 (2018), 법학연구소[DOI]
- 김현숙, "한국 개인정보보호법 상정당한 이익 확대도입 방안에 관한 연구", 정보법학, 22(1), pp.141~174 (2018), 한국정보법학회
- 문재완, "개인정보 보호법제의 헌법적 고찰", 세계헌법연구, 19(2), pp.271~296 (2013), 세계헌법학회한국학회
- 박웅신, "변화하는 환경에서 개인정보 보호의 문제점과 개선방안에 관한 검토", 법학연구, 24(3), pp.93~116 (2016), 법학연구소
- 손영화, "빅데이터 시대의 개인정보 보호방안", 기업법연구, 28(3), pp.355~393 (2014), 한국기업법학회
- "동의는 이제 그만! 가능하지도, 옳지도 않다 – 헬렌 니센바움 인터뷰" (2019), 스콧 베리나토[URL]
- 오승한, "빅데이터 산업의 활성화와 개인정보 보호를 위한 법제도 개선의 연구", 아주법학, 11(4), pp.369~412 (2018), 법학연구소[DOI]
- 이대희, "개인정보 보호 및 활용을 위한 공정정보원칙(FIPPs)의 융통적인 적용과 새로운 접근방법에 대한 연구 – 사물인터넷 및 빅데이터의 예를 중심으로 -", 법조, 67(1), pp.7~43 (2018), 법조협회[DOI]
- 이상돈, "정보이용동의 -정보적 자기결정의 새로운 차원-", 고려법학, (47) (2006), 고려대학교 법학연구원
- 이상명, "개인정보자기결정권의 헌법적 근거에 관한 고찰", 공법연구, 36(3), pp.225~248 (2008), 한국공법학회
- 이성대, "개인정보보호법제상 동의의 법리에 대한 형사법적 고찰", 성균관법학, 27(1), pp.135~157 (2015), 법학연구원[DOI]
- 이인호, "한국 개인정보보호법제의 동의제도에 대한 비판적 분석 –잘못 설계된 동의제도-", 개인정보보호 포럼 정기토론회 (2019)
- 개인정보자기결정권과 동의의 관계에 대한 이해, "이인호", 한국인터넷진흥원, ~, pp.2019 KISA Report vol. 6 (2019)
- 이인호, "정보통신기술의 발전과 기본권에 관한 연구", pp.384~400 (2014), 헌법재판소
- 이창범, "비교법적 관점에서 본 빅데이터 관련 법제 개선방안", 개인정보보호 법제정비연구포럼 토론회 ｢새로운 ICT 환경에서 개인정보보호 법제 발전방안 모색｣ (2012), 한국인터넷진흥원
- 이희훈, "개인정보자기결정권과 정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정안에 대한 연구", 입법학연구, 14(1), pp.123~143 (2017), 한국입법학회
- 개인정보 수집 등에 따른 동의절차·방법 개선 및 개인정보보호 관리등급제 도입에 관한 연구, "인하대학교", 방송통신위원회, ~, pp.방통융합정책연구 KCC-2014-25 (2014)
- 임효준, "공개된 개인정보의 동의 없는 수집⋅이용의 범위 : 명문 규정의 수정 해석 가능성과 이익형량시 고려요소를 중심으로 - 대법원 2016.8.17. 선고, 2014다235080 판결 평석 -", 경제규제와 법, 11(1), pp.9~27 (2018), 법학연구소
- 정보통신망법상 개인정보보호 제도의 정책효과 분석, "정보통신정책연구원", 방송통신위원회, ~, pp.방송통신융합정책연구 KCC-2017-22 (2017)
- 정일영, "유럽 개인정보보호법(GDPR)의 산업적 파급효과와 혁신기술 이슈 분석", STEPI Insight, (233) (2019), 과학기술정책연구원
- 정일영, "유럽 개인정보보호법(GDPR)과 국내 데이터제도 개선방안", STEPI Insight, (227) (2018), 과학기술정책연구원
- 정준현, "개인정보의 수집·처리·제3자 제공과 가치창출에 관한 법적 문제연구", 홍익법학, 16(1), pp.937~960 (2015), 법학연구소[DOI]
- 정찬모, "개인정보보호에 있어 정보주체의 동의", 법학연구, 18(1), pp.61~94 (2015), 법학연구소
- 조수영, "개인정보보호법에서의 정보주체의 동의와 기본권 보장에 관한 연구", 법학연구, 18(1), pp.321~346 (2018), 한국법학회
- 허성욱, "한국에서 빅데이터를 둘러싼 법적 쟁점과 제도적 과제", 경제규제와 법, 7(2), pp.7~21 (2014), 법학연구소
- "The Economics of ‘Opt-Out’ Versus ‘Opt-In’ Privacy Rules" (2017)[URL]
- "National Data Guardian for Health and Care Review of Data Security, Consent and Opt-Outs" (2016)[URL]
- "Opt In vs Opt Out: What Does it Mean for the GDPR?" (2018)[URL]
- "GDPR: When do you need to seek consent?" (2017)[URL]
- "GDPR Consent Examples"[URL]
- "Different Types of Consent"[URL]
- "데이터 3법, 통과되면 개인정보 침해 심각해진다" (2019), 미디어스[URL]
- "인기협, ‘개인정보동의제, 현실성 없다’ … 사후 규제 강화 주장" (2019), 머니투데이[URL]
- "국민 10명중 6명 ‘개인정보 침해 구제 대응 안한다’" (2019), 동아일보[URL]
- "참여연대 ‘빅데이터 관련 4개 법안, 개인정보 보호에 문제점’" (2019), 연합뉴스[URL]
- "갈라파고스식 개인정보 규제, 일몰 검토해야" (2019), 이데일리[URL]
- "온라인 개인정보 처리 가이드라인, 어떻게 바뀌었나" (2018), 보안뉴스[URL]