가명정보의 활용과 개인정보자기결정권 - 대법원 2025. 7. 18. 선고 2024다210554 판결 -
The Utilization of pseudonymized information and the Right to Informational Self-Determination
윤태영(아주대학교)
24권 1호, 63~90쪽
초록
우리나라 개인정보 보호법 제28조의2에서는 “개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.”고 규정하고 있다. 그런데 최근 이동통신회사와 이동통신 서비스 이용계약을 체결한 이용자들이 자신의 개인정보를 개인정보 보호법 제28조의2에 따라 통계작성 등 목적으로 활용하기 위해 가명처리하여서는 안 된다는 취지로 처리정지를 요구하는 소송을 제기하였다. 이에 대해 제1심과 제2심 법원은 ‘가명처리’와 ‘가명정보 처리’를 구분하면서 개인정보의 가명처리에 대한 처리정지 요구를 제28조의2에 의해 거절할 수는 없다고 하여 원고들의 청구를 인용하였다. 이에 대하여 대법원은 가명처리는 처리정지 요구의 대상이 되지 않는다고 하면서 하급심 판결들과는 정반대의 판단을 하였다. 최근 개인정보 보호법이 개정되었는데, 가명처리는 개인정보의 식별성을 낮춰 재식별 위험을 감소시키는 수단으로서, 개인정보 침해를 완화하면서도 데이터 활용 가치를 유지하기 위한 핵심 제도로 도입되었다. 그러나 개인정보를 계속적으로 보관･가공･결합･연산하는 과정에서, 정보의 활용 가치가 증가하는 만큼 정보주체가 다시 식별될 가능성 또한 완전히 배제할 수는 없다. 이로 인해 가명처리 단계에서 정보주체가 자신의 개인정보에 대한 통제권을 어디까지 행사할 수 있는지가 중요한 쟁점으로 부각된다. 그런데 현행 법규정상 가명정보에까지 처리정지요구권이 인정되는지에 대해 명확하게 규정되어 있지 않고 여전히 해석의 여지를 두고 있다. 이런 가운데 대법원은 대상판결에서 가명정보 처리에 관한 특례규정이 적용되는 경우에는 가명처리의 전후를 불문하고 정보주체에게 개인정보 보호법 제37조에 따른 처리정지요구권을 인정할 수 없다고 판시한 것이다. ‘가명처리’는 가명정보의 활용을 가능하게 하는 기능적으로 불가분의 선행 단계로서, 이것을 지나치게 논리적인 단계문제로서 분절적으로 파악하는 것은 적절하지 않다고 본다. 우리 개인정보 보호법 개정에 많은 영향을 미친 EU ‘일반 개인정보 보호법(GDPR, General Data Protection Regulation)’도 가명처리에 대해서만 규정하고 있다. 아울러 최근 사건(CJEU, EDPS v SRB, C-413/23 P (2025. 9. 4.))에서 유럽사법재판소는 GDPR에 기초하여 가명정보를 개인정보가 아닌 것으로 판단하려는 경향에 있다. 또한 오늘날 우리나라 및 일본에서 개인정보자기결정권을 논하는 경우, 개인정보를 무조건적으로 보호하는 절대적 권리로 보는 견해는 보이지 않고, 정보의 수집･처리･이용이 일상화된 사회에서 개인의 인격적 자율성을 어떠한 방식으로 보장할 것인가라는 문제와 결부되어 이해되어야 한다는 견해가 주를 이룬다. 아울러 처리정지를 인정한다면 재식별을 전제로 한 추가정보의 보관과 활용이 필요해 오히려 보호효과가 약화될 수 있다. 더구나 가명정보 제도를 도입한 이유는 빅데이터 시대에 데이터 활용이 필수적이기 때문인데 처리정지의 인정으로 인한 이익보다 그 이익이 크다고 할 수 있다. 이러한 점을 고려한다면 대법원의 판단은 매우 타당하다고 생각된다.
Abstract
Article 28-2 of the Personal Information Protection Act in Korea stipulates that "the transactor of personal information may process pseudonymized information without the consent of the data subject for statistics preparation, scientific research, and record of public interest." However, users who recently signed a mobile communication service use contract with the mobile communication company filed a lawsuit requesting the suspension of processing personal information. Their assertion is that in accordance with Article 28-2 of the Personal Information Protection Act, personal information should not be pseudonymized in order to use it for purposes such as statistics preparation. In response, the courts of the first and second trials distinguished between "pseudonymization" and "pseudonymized information processing" and cited the plaintiffs' claims, saying that they could not reject the request for suspension of processing of personal information under Article 28-2. In response, the Supreme Court ruled the opposite of the lower court rulings, saying that pseudonymization is not subject to a request for suspension of processing. In a recent amendment of Personal Information Protection Act, pseudonymization was introduced as a key system to reduce the risk of re-identification by lowering the identification of personal information and to maintain the value of data utilization while mitigating the infringement of personal information. However, in the process of continuously storing, processing, combining, and calculating personal information, the value of information utilization must increase and the possibility of re-identifying the data subject cannot be completely excluded. As a result, how far the data subject can exercise control over his or her personal information in the pseudonymization stage emerges as an important issue. However, under the current legal regulations, it is not clearly defined whether the right to request suspension of processing is recognized even for pseudonymized information, and there is still room for interpretation. The Supreme Court, meanwhile, ruled that the data subject cannot be granted the right to request suspension of processing information under Article 37 of the Personal Information Protection Act, regardless of whether pseudonymization is done of not if special provisions on the processing of pseudonym information are applied in the subject case. 'Pseudonymization' is a functionally inseparable preceding step that enables the utilization of pseudonymized information, and it is not considered appropriate to segment this as an overly logical problem. The EU 'General Data Protection Regulation (GDPR)', which has had a great influence on the revision of Korea’s Personal Information Protection Act, also stipulates only the processing of pseudonyms. In addition, in recent cases (CJEU, EDPS v SRB, C-413/23 P (September 4, 2025)), the European Court of Justice tends to judge pseudonym information as non-personal information based on GDPR. In recent years, when discussing the Right to Informational Self-Determination in Korea and Japan, the main view is that there is no absolute right to protect personal information unconditionally, and that it should be understood in conjunction with the question of how to guarantee individual personal autonomy in a society where information collection, processing, and usage are common. If the processing suspension is admitted, the protection effect may weaken because storage and application of additional information is required on the premise of re-identification. Moreover, the benefit of using pseudonymized information is greater than the benefit of the recognition of processing suspension for the reason of adopting pseudonymized information system is that the use of data is essential in the era of big data. Considering these points, the Supreme Court's judgment is considered very valid.
- 발행기관:
- 한국경찰법학회
- 분류:
- 법학