국외의 제3자에게 개인정보 제공 시의 동의 규정 검토
Bettering the Rule on the Consent in Transferring Personal Data to a Third Person Abroad
노현숙(고려대학교)
57권 2호, 297~322쪽
초록
개인정보 보호법은 개인정보를 국외의 제3자에게 제공하는 경우에 정보주체의 동의를 얻도록 규정하고 있다. 이러한 규정은 EU 개인정보보호지침에서 EU 외의 국가로 개인정보를 이동하는 경우에 EU 수준의 개인정보 보호의 적정성을 갖춘 국가로만 개인정보가 이동될 수 있다는 ‘적정성’ 요건을 대신하고 있는 것으로 보인다. 개인정보의 국외 이동의 경우에 개인정보의 예방적 보호를 위해서는 도착국의 개인정보 보호 수준의 적정성이 고려되는 것이 바람직하지만 개인정보 보호법에서는 이러한 적정성이 고려되어 있지 않으므로 현재의 개인정보 보호법 하에서라면 개인정보를 국외의 제3자에게 제공하는 경우에 대한 동의 규정이 필요하다고 보인다. 정보주체의 동의는 개인정보 국외 이동의 합법적인 근거가 되기도 하고, 국외 이동과 관련하여 발생하는 문제에 대한 정보주체의 책임부담의 근거가 될 수 있다고 보인다. 정보주체의 동의를 얻는 경우에, 국외에서 발생할 법적 문제에 대한 사전 인식을 위해 외국의 관련 규정의 내용을 중요 사항으로서 정보주체가 고지 받을 필요가 있다고 본다. 또한 정보주체의 동의 없이 국내의 제3자에게 개인정보를 제공하는 경우에 대한 벌칙이 규정되어 있지만 동의 없이 국외의 제3자에게 개인정보를 제공하는 경우에 대한 벌칙이 규정되어 있지 않으므로 다른 규정과의 형평성을 유지하고 동의규정의 자체적인 모순을 개선하지 위하여 동의 없이 국외의 제3자에게 개인정보를 제공하는 경우에 대한 벌칙이 규정되어야 할 것으로 보인다.
Abstract
Under Article 17(3) of the Personal Information Protection Act(hereafter “PIPA”), when a personal data manager provides personal data to a third person abroad, he/she shall notify the subject of the personal data of the matters of a recipient of personal data, purposes for which a recipient of personal data uses such data, items of personal data to provide, period for which a recipient of personal data holds and uses such data, the fact that a subject of personal data has a right to reject to give his/her consent and details of a disadvantage, if any, due to his/her rejection to give consent, except the rules applied to personal data abroad. and obtain the consent thereto, and shall not enter into a contract concerning the trans-border transfer of personal data stipulating any details contravening this Act. According to Article 17(3), personal data manager should notify a subject of personal data of the related matters so that the subject of the personal data can determine whether his/her personal data would be transferred abroad or not, if personal data is not transferred without considering ‘adequacy’ of personal data protection abroad. When a subject of personal data knows which rules would be applied to his/her personal data abroad and, thus, which legal problems can be occurred regarding his/her personal data, he/she can enjoy his/her optimum right to information self-determination. Moreover, PIPA does not include any penalty on any person who provides a third person abroad with personal data without obtaining the consent of a subject of personal data. Therefore, a penalty should be stipulated, maintaining fairness with another rule and bettering problems of Article 17(3).
- 발행기관:
- 법학연구소
- 분류:
- 법학일반