스마트도시 환경에서의 데이터 활용과 정보주체 보호의 조화 ― 지방자치단체의 개인정보 보호 역량 제고를 위한 법제 개선과 거버넌스 구축을 중심으로 ―
Harmonizing Data Utilization and Data Subject Protection in Smart Cities — Focusing on Legal Reform and Governance to Enhance Local Personal Information Protection Capabilities —
김나래(명지전문대학)
33권 4호, 39~69쪽
초록
본 연구는 스마트도시 4.0 단계로의 진입에 따른 데이터 수집 체계의 근본적인 패러다임 변화를 분석하고, 이에 대응하는 지방자치단체의 법적 책임과 실효적인 개인정보 보호 거버넌스 구축 방안을 제시하는 데 그 목적이 있다. 현대의 스마트도시는 과거 1.0 및 2.0 단계의 정적 인프라 중심 체계에서 벗어나, 인공지능(AI), 디지털 트윈, 자율주행 기술이 유기적으로 결합된 동적 네트워크 체계로 진화하였다. 이 과정에서 발생하는 데이터는 수집의 ‘즉시성’, ‘대량성’, ‘비정형성’을 특징으로 하며, 이는 단순히 영상 정보의 수집을 넘어 개인의 이동 경로, 생활 양식, 바이오 정보까지 포함하는 정교한 프로파일링(Profiling)을 가능하게 함으로써 정보주체의 기본권에 전례 없는 위협을 가하고 있다. 특히 본 연구는 최근 대법원 판례(2024다210554)를 중심으로 가명정보 처리 특례와 정보주체의 자기결정권 사이의 법리적 충돌을 집중적으로 조명하였다. 대법원이 가명화 전 단계에서의 정보주체의 처리정지요구권을 인정함에 따라, 지자체가 공익적 통계나 과학적 연구를 목적으로 수행하던 데이터 가명처리 행정에 상당한 법적 제약이 발생하게 되었다. 이는 데이터 활용의 유연성을 확보하면서도 정보주체의 실질적인 통제권을 어떻게 보장할 것인가라는 해법을 지방자치단체에 요구하고 있다. 그러나 현재 대다수의 지자체는 전문 인력의 부족, 재정적 자립도 저하, 위탁 운영에 따른 책임 소재의 모호성 등 구조적 한계로 인해 이러한 급변하는 법적 환경에 적절히 대응하지 못하고 있는 실정이다. 이에 본 연구는 비교법적 고찰을 통해 EU GDPR의 ‘비재산적 손해배상(Non-material Damage)’ 법리와 미국 샌프란시스코 등 주요 도시의 ‘감시 기술 통제 조례’ 사례를 분석하였다. 이를 통해 도출된 지방자치단체의 역량 제고 방안은 다음과 같다. 첫째, 법제도적 차원에서 ｢스마트도시법｣과 ｢개인정보 보호법｣의 정합성을 재정비해야 한다. 지자체가 법적 불확실성 없이 혁신적인 서비스를 실증할 수 있도록 ‘지자체 특화형 규제 샌드박스’와 ‘개인정보 안심구역’에 대한 구체적인 입법 모델을 구축해야 한다. 둘째, 거버넌스 차원에서 시민 참여형 ‘리빙랩(Living Lab)’ 모델을 법적 통제 기제로 활용할 것을 제언한다. 시민이 기획 단계부터 참여하여 개인정보 영향평가를 공동 수행함으로써 기술 수용성을 높이고, 지자체 내부적으로는 독립적 권한을 가진 전담 개인정보 보호관(DPO)을 배치하여 민간 위탁 업체에 대한 실질적인 관리･감독권을 강화해야 한다. 셋째, 사후 구제 차원에서 정신적 고통이나 통제권 상실 등 비재산적 손해에 대한 위자료 산정 기준을 구체화해야 한다. 이는 지자체로 하여금 더욱 엄격한 데이터 관리 기준을 준수하게 만드는 법적 인센티브로 작용할 것이며, 시민들에게는 실질적인 권리 구제의 기반을 제공할 것이다. 결론적으로 본 연구는 지방자치단체가 단순한 기술 도입자에서 능동적인 ‘데이터 수탁자’로 거듭나야 함을 강조한다. 본 연구에서 제시한 법제 개선과 참여형 거버넌스 모델은 스마트도시가 감시와 통제의 공간이 아닌, 시민의 신뢰를 바탕으로 한 지능형 혁신 공간으로 지속 가능하게 하는 필수적인 전제 조건이 될 것이다.
Abstract
This study aims to analyze the fundamental paradigm shift in data collection systems resulting from the transition to the Smart City 4.0 era and to propose practical measures for local governments to establish robust personal information protection governance and legal accountability. Contemporary smart cities have evolved from the static, infrastructure- oriented systems of the 1.0 and 2.0 stages into dynamic network ecosystems where Artificial Intelligence (AI), Digital Twins, and autonomous technologies are organically integrated. Data generated in this process is characterized by its immediacy, massiveness, and unstructurability. Such characteristics enable sophisticated profiling that encompasses not only location tracking but also behavioral patterns and biometric recognition, thereby posing unprecedented threats to the fundamental rights of data subjects. A particular focus of this research is the legal conflict between the special provisions for pseudonymized data and the data subject's right to self-determination, centered on the recent Supreme Court precedent (2024Da210554). By recognizing the data subject's right to request the suspension of processing even at the pre-pseudonymization stage, the court has introduced significant legal constraints on administrative actions previously performed by local governments for public statistics or scientific research. This ruling necessitates a solution for local governments to ensure the substantial control of data subjects while maintaining the flexibility of data utilization. However, most local governments currently face structural limitations—such as a lack of professional expertise, low fiscal independence, and ambiguity in liability arising from private outsourcing—which hinder their ability to respond effectively to this rapidly changing legal landscape. Through a comparative legal analysis, this study examines the doctrine of “Non-material Damage” under the EU GDPR and the “Surveillance Technology Oversight Ordinances” of major cities like San Francisco. Based on these findings, the study suggests the following enhancement measures for local governments: First, the consistency between the “Smart City Act” and the “Personal Information Protection Act” must be restructured at the legislative level. To allow local governments to demonstrate innovative services without legal uncertainty, specific legislative models for “Local Government-Specific Regulatory Sandboxes” and “Data Safe Zones” must be established. Second, from a governance perspective, the “Living Lab” model should be elevated to a legal control mechanism. By involving citizens from the planning stage to co-perform privacy impact assessments, local governments can enhance social acceptance of technology. Internally, it is essential to appoint independent Data Protection Officers (DPOs) with specialized authority to strengthen supervision over private contractors. Third, as a matter of judicial remedy, criteria for calculating compensation for non-material damages—including psychological distress and the loss of data control—must be specified. This will serve as a strong legal incentive for local governments to adhere to stricter data management standards and provide a solid foundation for actual rights remediation for citizens. In conclusion, this study emphasizes that local governments must transcend their roles as mere technology adopters and emerge as proactive “Data Trustees.” The proposed legislative improvements and participatory governance models are essential prerequisites for ensuring that smart cities remain sustainable as innovative spaces built on citizen trust, rather than becoming spaces of surveillance and control.
- 발행기관:
- 서울시립대학교 법학연구소
- 분류:
- 법학