개인정보보호법의 보호 원칙과 정보주체 권리

개인정보 처리 전반을 포괄하는 일반법

개인정보보호법은 정보화 사회에서 개인의 자유와 권리를 지키기 위해 개인정보 처리 기준을 정한 법률이다. 공공기관에만 적용되는 규정이 아니라 민간기업, 비영리단체, 개인을 포함한 모든 개인정보처리자를 대상으로 한다. 다른 법률에 특별한 규정이 있는 경우를 제외하면 개인정보 처리 전반에 적용되는 일반법의 성격을 가진다.

법 제정의 배경에는 대규모 개인정보 침해사고의 빈발, 분산된 관련 법률로 인한 적용 사각지대, 국제적 위상 확보 필요성이 있었다. 특히 17개 부서 37개 법률에 흩어져 있던 개인정보 관련 규정을 통합해 일관된 보호체계를 마련하려는 목적이 컸다.

보호 대상은 전자적으로 저장된 정보에 한정되지 않는다. 수기(手記) 문서 형태의 개인정보도 법의 보호 범위에 포함된다.

개인을 식별할 수 있는 정보와 별도 보호 대상

개인정보는 살아 있는 개인에 관한 정보 가운데 성명, 주민등록번호 등으로 특정 개인을 알아볼 수 있는 정보를 말한다. 하나의 정보만으로 개인을 특정할 수 없더라도 다른 정보와 쉽게 결합해 식별할 수 있다면 개인정보에 해당한다.

고유식별정보는 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호처럼 개인을 고유하게 식별할 수 있는 정보다. 민감정보에는 사상·신념, 노동조합·정당 가입 및 탈퇴, 정치적 견해, 건강, 성생활, 유전정보, 범죄경력 정보, 생체인식 정보, 인종이나 민족에 관한 정보가 포함된다.

이 정보들은 일반 개인정보보다 엄격한 처리 기준이 적용된다. 고유식별정보는 법령이 구체적으로 처리를 요구하거나 허용하는 경우 외에는 별도 동의가 필요하며, 주민등록번호는 법령에서 구체적으로 처리를 요구하거나 허용한 경우에만 처리할 수 있다. 민감정보 역시 별도의 동의 또는 법령상 처리 요구·허용이 있는 경우에만 처리할 수 있고, 두 정보 유형 모두 안전성 확보 조치 의무가 따른다.

법률 체계에서 처리·안전관리·권리 보장이 만나는 지점

⤢✕

제3장은 개인정보의 수집·이용, 제공, 고유식별정보와 민감정보의 처리 제한을 다룬다. 제4장은 안전조치, 개인정보 영향평가, 유출 통지·신고처럼 개인정보를 안전하게 관리하기 위한 의무를 담고 있다. 제5장은 정보주체가 자신의 데이터 처리에 관여할 수 있는 권리를 규정한다.

수집 목적과 동의 절차에 걸리는 기준

개인정보 수집과 이용은 정보주체 동의가 있는 경우에 가능하다. 다만 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우, 공공기관이 법령 등의 소관 업무를 수행하기 위해 불가피한 경우, 정보주체와 계약을 체결·이행하기 위해 불가피한 경우에도 처리 근거가 될 수 있다. 정보주체 또는 제3자의 급박한 생명·신체·재산상 이익을 보호해야 하는 경우와 개인정보처리자의 정당한 이익 달성이 정보주체 이익보다 우선하는 경우도 포함된다.

수집 범위는 목적 달성에 필요한 최소한으로 제한된다. 동의를 받을 때는 각 동의 사항을 구분해 정보주체가 명확히 인지할 수 있도록 안내해야 하며, 필수 동의와 선택 동의를 나누고 미동의에 따른 불이익이 있으면 그 내용을 알려야 한다.

접근 통제와 유출 대응을 포함하는 안전관리

개인정보처리자는 내부 관리계획을 수립·시행하고, 접근 권한 관리와 접근 통제를 수행해야 한다. 암호화 등 안전성 확보에 필요한 기술적·관리적·물리적 조치도 이행 대상이다.

공공기관은 대량의 개인정보 파일을 운용하는 경우 개인정보 영향평가를 실시한다. 이 과정에서 개인정보 침해 위험요인을 분석하고 개선 방안을 도출한다.

유출 사실을 인지했다면 지체 없이 정보주체에게 통지해야 한다. 1만 명 이상의 개인정보가 유출된 경우에는 개인정보보호위원회 또는 관계 전문기관에 신고한다.

정보주체가 행사할 수 있는 권리

정보주체는 자신의 개인정보가 처리되고 있는지 확인하고 열람을 요구할 수 있다. 정보에 오류가 있으면 정정을 요구할 수 있고, 더 이상 필요하지 않은 정보라면 삭제를 요구할 수 있다. 개인정보 처리 자체를 중지하도록 요구하는 처리정지 요구권도 보장된다.

AI 등을 통한 자동화된 처리로 결정이 이뤄진 경우에는 그 결정에 대한 배제를 요청할 수 있다. 개인정보 보호는 처리자의 의무만으로 구성되지 않으며, 정보주체가 자신의 정보 처리에 개입할 수 있는 경로를 함께 보장한다.

분쟁조정과 단체소송의 역할

개인정보 분쟁조정위원회는 위원장 1명을 포함해 20명 이내의 위원으로 구성되며 개인정보 관련 분쟁을 조정한다. 조정안을 수락하면 재판상 화해와 같은 효력이 발생한다.

개인정보 단체소송은 일정 요건을 갖춘 개인정보보호단체가 개인정보처리자의 위법행위 금지 또는 중지를 청구하는 제도다. 개인정보처리자가 집단적으로 정보주체의 권리를 침해하는 행위가 소송 요건이 된다.

위반에 따르는 형사처벌과 행정 제재

개인정보를 목적 외로 이용하거나 제공한 경우에는 5년 이하의 징역 또는 5천만원 이하의 벌금이 부과될 수 있다. 거짓 등 부정한 수단으로 개인정보를 취득하면 3년 이하의 징역 또는 3천만원 이하의 벌금, 안전조치 의무 위반으로 개인정보가 유출되면 2년 이하의 징역 또는 2천만원 이하의 벌금 대상이 될 수 있다.

개인정보 보호 규정을 위반하면 위반행위 관련 매출액의 3% 이하 과징금이 부과될 수 있다. 안전성 확보조치를 이행하지 않거나 개인정보 유출을 통지·신고하지 않은 경우에는 3천만원 이하의 과태료가 적용될 수 있다. 정보주체 권리 보장 의무를 위반한 경우의 과태료는 2천만원 이하이다.

조직의 관리체계와 사고 대응

A기업은 개인정보 처리방침을 수립·공개하고 개인정보보호책임자(CPO)를 지정했다. 개인정보 수집 시에는 목적별 동의 항목을 분리했으며, 정기적인 개인정보 안전성 점검, 유출 대응 매뉴얼 마련, 임직원 대상 정기 개인정보보호 교육을 통해 법 준수 체계를 구축했다.

B기업은 해킹으로 고객 개인정보 2만 건이 유출됐을 때 유출 사실을 인지한 즉시 개인정보보호위원회에 신고했다. 영향받은 고객에게 유출 사실, 시점, 항목, 경위 등을 통지하고 임시 비밀번호 발급과 변경을 유도했다. 이후 재발방지를 위한 보안 강화 조치를 실시하고 피해 고객에 대한 손해배상 방안을 마련했다.

데이터 활용과 보호의 균형

AI, 빅데이터, IoT 등 신기술 환경에서는 개인정보 보호 방안을 강화하는 과제가 계속된다. GDPR 등 해외 개인정보보호 법제와의 상호운용성을 확보하고, 기업의 자율규제 체계 구축을 지원하며, 개인정보를 안전하게 활용할 수 있는 제도적 기반을 확충하는 방향도 함께 요구된다.

개인정보보호법은 정보주체 권리를 보장하는 동시에 데이터 경제에서 필요한 개인정보의 합리적 활용을 도모하는 법제로 발전해 나갈 것이다.