개인정보의 개념에 관한 연구
A Study on the Concept of Personal Data
문재완(한국외국어대학교)
42권 3호, 53~77쪽
초록
개인정보보호법상 개인정보는 개인에 관한 정보로, 개인식별성과 정보성이라는 두 가지 요소로 구성되어 있다. 개인식별성은 살아 있는 개인을 전제로 하여, 해당 정보만으로 개인을 알아볼 수 있거나, 해당 정보와 다른 정보를 결합하여 개인을 알아볼 수 있는 경우를 말한다. 일부에서는 해당 정보와 다른 정보가 쉽게 결합할 경우 개인식별성을 인정하는 현행 개인정보의 정의 조항이 빅데이터(big data), 클라우드(cloud) 등 신산업의 발전가능성을 저해하므로 부당하다고 주장한다. 그러나 개인정보를 정의하는 데 있어 식별가능성을 중시하고, 식별을 위해 해당 정보뿐 아니라 다른 정보와의 결합 가능성을 중시하는 것은 불가피하다. 정보통신기술의 발전으로 초래된 위험은 정보가 대량으로 저장되는 데도 있지만, 정보들이 쉽게 결합될 수 있다는 데도 있는 것이다. 다른 선진국들도 결합가능성을 중시한다. EU의 경우 개인정보를 판단하는 데 있어서 해당 정보가 다른 정보와의 ‘결합이 합리적으로 기대되는지’를 기준으로 하는데 반해 우리는 ‘결합이 쉬운지’를 기준으로 하고 있다. 결합의 용이성에 대한 판단 역시 결합에 관한 그 사회의 합리적 기대를 바탕으로 한다고 보면, 양자간 차이는 사실상 없다. 개인정보의 개념은 다음과 같은 점을 고려하여 정립되는 것이 타당하다. 첫째, 개인정보의 정의는 헌법상 권리인 개인정보자기결정권의 핵심 내용을 담고 있어야 한다. 개인정보자기결정권은 개인에 관한 정보 중 개인의 인격주체성을 특징짓는 사항을 보호하는 데 그 의의가 있다. 둘째, 개인정보의 개념은 정보통신의 기술 발전을 수용할 수 있어야 한다. 기술 발전으로 현재 비식별정보로 분류된 것이 언제 식별가능정보로 바뀔지 알 수 없게 되었다. 셋째, 개인정보의 개념이 잘 정의되었는지 여부는 개인정보 보호체계 전반의 합리성과 연계하여 검토되어야 한다. 개인정보도 기본적으로 정보이며, 정보는 기본적으로 자유로운 유통을 전제로 하는 개념이기 때문에 개인정보의 자유로운 유통도 개인정보 보호법제가 추구하여야 할 또 다른 가치임이 분명히 인식되어야 한다. 개인정보가 보호의 대상이자, 유통의 대상이라는 양면적 성격을 인정하고 그 관리체계를 구축할 경우 개인정보는 그 유형에 따라 서로 다른 취급을 받아야 할 것이다. 헌법상 개인정보자기결정권의 대상이 되는 인격주체성과 관련 있는 개인정보에 대해서는 지금처럼 정보주체의 권리를 보장하는 것이 타당하다. 인격주체성과 관련 없는 개인정보는 원칙적으로 정보주체의 동의가 없어도 자유롭게 유통되도록 하되, 고유식별정보에 대한 보호는 현행 법제와 같은 수준을 유지하는 것이 타당하다고 본다.
Abstract
From the definition on the Personal Data Protection Act of Korea, we can infer that personal data is composed of two elements: personally identifiability and information. The former is crucial. Any information about a living person becomes personal data when his/her identity is apparent by the data itself or easy combination with other data. Internet business industry argues that the definition is too broad to use big data, using of which is vital in gaining a competitive edge in business. However it is inevitable to include personally identifiable information in addition to personally identified information in defining personal data, considering the high speed of IT technology development. Information classified as “personally de-identified” based upon current IT technology can be categorized as “personally identifiable” in the future. EU takes the same position as Korea in terms of defining personal data. No important distinction is found. While EU decides “personally identifiable” when data is reasonably believed to be combined with other data, Korea decides based upon easiness of combination. With regard to legislation on personal data, factors to consider are as follows; First, the definition of personal data in the Act should contain the core value of the fundamental right to self-determination over personal data, which is guaranteed in several cases since 2005 by the Consitutional Court of Korea. Personal data about personhood should be designed more protectively than others. Second, the definition should contain the possible change of “personally de-identified” into “personally identifiable” due to rapid development of IT technology. Third, the evaluation on the definition of personal data is closely related to the entire regime of protecting personal data, under which personal data has two values: protection of individual’s personhood and free flow of information.
- 발행기관:
- 한국공법학회
- 분류:
- 법학