- 각국 개인정보보호 법제도의 비교법적 접근 -

2003년 제2회 개인정보보호 심포지움

□ 일 시 : 2003년 3월 15일 (토) 14:30 - 17:00

□ 장 소 : 한국정보보호진흥원 6층 대회의실

인사말씀

바쁘신 일정 가운데서도 □2003년 제2회 개인정보보호 심포지움□에 참석해 주신 여러분과 그리고 특별히 오늘 발표와 토론을 준비해 주신 여러 교수님들과 개인정보분쟁조정위원회사무국 연구원 여러분들에게 감사의 말씀을 드립니다.

인터넷의 보급 및 이용의 확산은 21세기 우리 사회를 국경없는 지구촌사회로 변모시키고 있습니다. 이제는 어느 한 국가의 법제도가 자국의 국경내에만 영향을 주었던 과거와는 다른 새로운 시대가 되었습니다. 새로운 법과 제도를 도입할 때에도 동일한 사안에 대한 해외 여러 나라의 대응방법 및 국제사회에서의 공통된 접근방법이 무엇인지를 살펴보는 것은 당연한 과정으로 받아들여지고 있습니다. 이러한 점은 개인정보의 보호를 위한 법제에서도 예외가 될 수 없을 것입니다. 우리나라는 그동안 급속하게 인터넷이 보급되고 그 이용이 확산되어 국민 전체 가구중 65%가 초고속 인터넷서비스에 가입하고 있는 등 바야흐로 본격적인 정보화사회가 전개되고 있습니다. 이와 더불어 개인정보의 유출 및 오·남용에 대한 일반시민들의 우려 또한 심각한 지경에 이르고 있습니다. 2002년 정보화역기능실태조사보고서에 따르면 전체응답자 중 82.9%가 자신의 개인정보의 유출 또는 오·남용 될 것을 우려한다는 부정적인 생각을 가지고 있는 것으로 나타나 국민들의 개인정보침해에 대한 우려의 수준이 매우 높은 것으로 조사되었습니다.

이와 같은 우려를 불식하고 보다 안전하고 신뢰할 수 있는 정보유통환경을 뒷받침하기 위하여 정보통신망이용촉진및정보보호등에관한법률 등 각종 법률에서 개인정보의 보호를 위한 제도를 마련하고 있습니다. 그러나 우리의 법제는 아직 개선해야 할 점이 많다는 전문가들의 지적이 있는 것도 사실입니다.

이와 같은 우리의 법과 제도의 개선을 위한 노력은 해외 여러 나라와 국제사회에서의 개인정보의 보호를 위한 노력과 조화를 이루어야 합니다.

오늘 이 자리는 이러한 차원에서 선진 각국의 개인정보보호를 위한 법제도를 비교·고찰해 보고자 마련한 것입니다.

첫 번째 발제자인 이형규 교수님께서는「독일 정보보호법의 현대화 추진방안에 관한 검토」라는 주제로 독일 정보보호법상의 개인정보보호에 관한 법제도의 동향과 우리에게 주는 시사점에 대해 발표를 해 주시겠습니다.

두 번째 발제자인 정상호 연구원은「일본의 개인정보보호법(안)」을 우리나라의「정보통신망이용촉진및정보보호등에관한법률」과 비교하여 고찰해 주시겠습니다.

세 번째 발제자인 권선경 연구원은「미국과 한국의 개인정보보호 법제도 비교연구」라는 제목으로 미국과 한국의 개인정보보호 법제도의 변화과정을 중심으로 비교·분석하여 발표해 주시겠습니다.

마지막으로「한국의 개인정보보호법제의 문제점과 개선방향」이라는 주제로 이인호 교수님께서 우리나라의 법제도 개선방향에 대해 발표를 해 주시겠습니다.

아무쪼록 오늘 이 자리가 우리나라 개인정보보호 법제의 개선방안을 마련할 수 있는 유용한 대안들이 많이 도출되는 시간이 되기를 기대합니다. 발표와 토론을 위해 준비해 주신 여러분과 참석하신 여러분께 다시 한번 감사의 말씀을 드립니다.

2003년 3월 15일

한국정보보호진흥원

개인정보보호분쟁조정위원회  사무국장 정 휴 봉

- 진 행 순 서 -

◐  개 회 사

14:30 - 14:40  정휴봉 (개인정보분쟁조정위원회 사무국장)

◐  발  표 1 : 독일 정보보호법의 현대화 추진방안에 관한 검토

14:40 - 15:10  이형규 (한양대학교 법학과 교수)

◐  발 표 2 : 일본의 개인정보보호 법제

15:10 - 15:40  정상호 (한국정보보호진흥원 연구원)

◐  발  표 3  : 미국의 개인정보보호법제

15:40 - 16:10  권선경 (한국정보보호진흥원 연구원)

◐  발  표 4  : 한국의 개인정보보호법제의 문제점과 정비방안

16:10 - 16:40  이인호 (중앙대학교 법학과 교수)

◐  토론

16:40 - 17:00  장교식 (건국대학교 법학과 교수)

주덕규 (KISA 스팸대응팀 팀장)

강달천 (KISA 개인정보침해신고센터 선임연구원)

독일 정보보호법의 현대화 추진방안

한양대학교 법학과

이형규 교수/법학박사

요  약  문

□ 독일 정보보호법의 현대화 추진방안에 관한 검토

1. 독일 연방정부와 연합여당은 정보보호법의 제1단계 개혁으로서 EU의 개인정보지침을 국내법으로 수용하기 위하여 2001년에 연방정보보호법을 광범위하게 개정하였다. 그리고 제2단계 개혁을 준비하기 위하여 Alexander Rossnagel 교수 Andreas Pfitzmann 교수 및  Hansj□rgen Garstka 교수에게 □정보보호법의 현대화□ 라는 주제에 대한 검토보고서(Gutschten)를 위탁하였으며, 2001년 11월에 이 보고서가 연방내무부에 제출되었다. 이 보고서는 독일의 정보보호법제의 문제점을 분석하고 그 개선방안을 제시하였으며 장래의 연방정보보호법의 구조와 내용에 대한 제안을 하고 있다. 그러므로 이 글에서는 이 보고서의 주요내용을 검토하고, 우리나라 정보보호에 관한 법제의 개선과 관련하여 이 보고서가 시사하는 바를 제시하였다.

2. 독일 정보보호법의 현대화 보고서(이하 □현대화 보고서□라 한다)에서는 현행 정보보호법의 구성상 모순점과 수많은 특별법의 규정에 의한 문제점을 지적하고, 정보보호에 관한 일반법을 제정할 것과 분야별 특별법상의 규정은 오직 일반 규정의 예외만을 규정할 것을 제안하고 있다. 우리나라의 경우에도 개인정보보호에 관한 규정이 다수의 법률에 산재하여 있는데, 정보보호에 관하여 공공부문과 민간부문을 포괄하는 일반법(기본법)을 제정하고 특별법상의 규정은 오직 일반 규정의 예외만을 규정하는 것이 바람직하다고 생각한다.

3. 현대화 보고서에서는 일반적인 정보보호의 원칙이 공공부문과 민간부문에서 동일하게 적용되어야 한다는 것을 제안하고 있다. 또한 정보보호의 기본원칙은 수작업에 의한 정보처리와 자동적 정보처리의 구별 없이 적용되어야 하다는 것을 요구하고 있다. 또한 자연인뿐만 아니라 법인에 대하여도 정보보호법의 보호대상에 편입되어야 한다는 주장을 펴고 있다. 우리나라에서는 공공부문과 민간부문의 정보보호에 관하여 별도의 법률로 규율하고 있는데, 이를 통일적으로 규율함으로써 보다 높은 수준의 정보보호를 보장할 수 있을 것이다.

4. 현대화 보고서에서는 앞으로의 정보보호법은 정보를 개인관련 또는 개인관련적일 수 있는 사용목적을 위해서 의도적으로 개인관련성을 가지고 처리하는 경우와 개인관련 또는 개인관련적일 수 있는 사용목적과는 다른 목적을 위해서 의도적으로 개인관련성 없이 처리하는 경우로 구별하고 있으며, 전자의 경우에는 법률상 정보처리에 관한 허가(동의)제도를 유지하도록 하고, 후자와 같이 명백히 정보주체에 대한 침해가 기대되지 않는 경우에는 정보주체의 동의 없이도 정보처리를 허용하도록 제안하고 있다. 우리나라의 경우에도 정보주체의 보호와 정보의 적절한 처리를 조화시키기 위해서는, 개인관련성을 가지고 처리하는 경우와 개인관련성 없이 처리하는 경우를 구별하여, 전자의 경우에만 법률상 정보처리에 관한 사전 동의를 요하도록 하는 것이 바람직할 것이다.

5. 현대화 보고서에서는 정보처리와 관련된 책임에 관하여 위험책임을 규정하여야 하고, 인과관계에 대한 입증책임도 완화할 것을 주장하고 있다. 우리나라의 정보보호관계법에서 정보의 침해와 관련된 손해배상청구와 관련하여 입증책임을 경감하는 것이 바람직하다고 생각된다.

6. 현대화 보고서에서는 효율적인 정보보호를 위하여 정보관리책임자의 지위를 강화하고 공인된 소비자단체나 정보보호단체들에게 단체소송제기권을 부여할 것을 제안하고 있다. 우리나라에서도 개인정보의 침해와 관련하여 소비자단체나 정보보호단체에게 단체소송제기권을 부여하는 것이 바람직하다고 본다.

독일 정보보호법의 현대화 추진방안에 관한 검토

이 형 규 **

** 한양대학교 법학과 교수 / 법학박사

	目 次
Ⅰ. 머리말 Ⅱ. 독일 정보보호법의 현대화 보고서의 주요내용 Ⅲ. 독일 정보보호법 현대화 보고서의 시사점

Ⅰ. 머리말

오늘날 정보통신기술의 획기적인 발달은 정보사회로의 이행을 가속화하고 있다. 정보사회로의 이행은 사회 전반의 효율성을 증대시킴으로써 물질적·정신적으로 인간의 생활을 편리하고 윤택하게 해주고 있다. 그러나 정보기술의 혁신과 정보사회의 진전에 따른 부작용이 커다란 사회문제로 대두되고 있다. 예컨대 컴퓨터 등으로 처리된 개인정보는 이의 집중화로 인한 프라이버시의 침해와 개인에 대한 감시·통제의 강화, 개인정보를 이용한 신종 범죄의 증대, 정보통제의 곤란으로 인한 정보주체성 상실 등을 초래하고 있다. 이러한 개인정보의 집중·남용 및 악용으로 인한 피해는 급속히 증가하고 있으며 심각한 사회문제를 야기하고 있다. 따라서 각국은 개인정보의 보호를 위한 법제의 정비와 기술적 조치를 강구하고 있다.

이와 관련하여 독일은 1977년 공공부문과 민간부문을 포괄하는 연방정보보호법을 제정하여 그 다음해부터 시행하였다. 그리고 1995년 10월 24일 채택된 EU의 개인정보지침(Directive 95/46/EC)의 내용을 국내입법으로 수용하기 위하여 2001년 5월 18일 연방정보보호법을 개정하였다.

그러나 독일 연방정부와 연합여당은 독일의 현행 정보보호법의 규정이 명료하지 못하고, 현대의 기술적인 발전을 충분히 고려하지 못하였을 뿐만 아니라, 세계화에 따른 다양한 요구를 반영하여야 한다는 점을 인식하고 개혁의 필요성에 공감하였다. 이에 따라 독일 연방내무부는 카셀대학의 Alexander Rossnagel 교수와 드레스덴 공과대학의 Andreas Pfitzmann 교수 및 베를린 정보보호담당관인 Hansj□rgen Garstka 교수에게 □정보보호법의 현대화, 특히 연방정보보호법의 기본적 개정□ 이라는 주제에 대한 검토보고서(Gutschten)를 위탁하였다. 이 보고서의 작성과 관련하여 다수의 교수들이 조언 및 자문을 위하여 참여하였고, 연방내무부의 지원을 받아 개별적인 이해관계분야의 대표자 및 전문가들과의 워크숍이 개최되었다. 그리하여 2001년 11월 연구보고서가 연방내무부에 제출되었다. 이 보고서에서는 정보보호법의 구조적 변경 즉, 정보보호법을 단순화하고, 보다 명확하고 이해하기 쉽게 규율하며, 정보주체의 정보에 관한 자기결정과 정보관리책임자의 자율규제를 강화하는 것, 정보기술의 발전에 따른 장래의 위험에 대하여 정보보호를 개선하는 것 및 지금까지 소홀히 하였던 정보보호에 대한 노력을 활성화하기 위하여 새로운 수단을 도입하는 것 등에 대한 가능성을 연구하는 데에 중점을 두었다. 이 보고서는 독일의 정보보호법제의 문제점을 분석하고 그 해결방안을 제시하였으며 장래의 연방정보보호법의 구조와 내용에 대한 제안을 하고 있다.

) Rossnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, Berlin 2001; www.datenschutz.de(Pdf-Datei).

그러므로 독일 정보보호법의 현대화 보고서는 우리나라의 현행 개인정보보호 관련법제의 정비에도 시사하는 바가 크다고 생각된다. 따라서 이 글에서는 이 보고서의 주요내용을 검토하고, 우리나라 정보보호에 관한 법제의 개선과 관련하여 이 보고서가 시사하는 바를 제시하고자 한다.

Ⅱ. 독일 정보보호법의 현대화 보고서의 주요내용

1. 정보보호법 현대화의 필요성

정보보호는 기본권의 보호이며 민주적 공동체의 기능요건이다. 정보보호는 자유로운 통신질서의 필수적 구성요소이다. 민주적 의사형성과 자유로운 경제거래에 대한 참여와 관여는 각 참여자가 자유로운 의사형성에 근거하여 행동할 수 있을 때에만 기대될 수 있다.  이는 모든 참여자에 관한 정보의 수집과 이용이 원칙적으로 그들의 자유로운 자기결정하에 있을 때에만 가능하다.

정보보호는 정보사회를 인정하는 중요한 요소이며 정보보호의 법적인 형성은 오늘날 현대 경제의 발전에 영향을 미친다. 따라서 정보보호는 정보사회에서 개인관련 정보를 수집하고 처리하며 이용하는 것을 가능하게 하는 결정적인 신뢰요소이다.

기존의 독일 정보보호법은 이러한 기본원칙을 단지 제한적으로만 고려하였다. 즉 기존의 정보보호법은 여전히 물리적으로 매우 제한된 정보처리의 구상에만 얽매여 있었고, 개인관련정보의 새로운 형태와 그 정보처리를 충분히 수용하지 못했으며, 정보처리의 새로운 기술에 대한 위험과 기회도 충분히 고려하지 못하였다. 나아가 기존의 정보보호법은 그 구성에 있어서 자주 모순된 경우가 많았으며 수많은 특별법형식의 규범화로 인하여 불명료하고 그 집행에도 어려움이 많았다.

) Sieh hierzu ausf□hrlich Rossnagel/Pfitzmann/Garstka, a.a.O, S. 22-29.

) Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 20-33.

정보보호법에 대한 긍정적인 기대와 기존의 규정에 대한 불충분함을 고려하여 한편으로는 더욱 단순하고 이행하기 쉬우며, 다른 한편으로는 새로운 형태의 정보처리에 수반되는 위험에 효과적으로 대응할 수 있는 현대적인 정보보호법이 마련되어야 한다. 첫째의 목적을 달성하기 위해서 정보주체의 자기결정권이 강화되어야 하고, 정보관리책임자의 자율규제와 자기통제가 가능해야 하며 또한 개선되어야 한다. 둘째의 목적을 달성하기 위해서는 무엇보다도 자율적 정보보호와 시스템상의 정보보호의 구상이 변경되어야 한다.

그리고 정보보호법의 현대화는 정보적 자기결정권이 정보사회의 기본권으로서 기본법(헌법)에 완전히 수용될 때에 그 토대를 구축할 것이다. 기본권은 단순히 인격권으로서만 파악해서는 안되고, 오히려 모든 기본권의 통신에 관한 내용을 표현하고 있는 통신기본권으로서 형성되어야 한다.

2. 정보보호기본법의 제정

현대적인 정보보호법은 특정한 분야에 한정된 규정에 우선하는 일반법에 기초를 두어야 한다. 이러한 일반법은 개인관련 정보처리에 대한 원칙적이고 간명한 규정을 두어야 하고 가능한 한 자유재량조항을 피하여야 한다. 그밖에도 정보보호법은 기술적 형성, 정보의 안전, 정보보호의 조직화, 정보보호를 위한 감독 및 자율규제를 위한 일반적인 규정을 포함하고 있어야 한다. 연방정보보호법(BDSG)과 분야별 특별규정과의 관계에서 우선규정이 바뀌게 된다면, 지금까지의 규범의 범람이나 법의 산만함이 감소될 수 있고 모순도 회피할 수 있을 것이다.

) Sieh Rossnagel/Pfitzmann/Garstka, a.a.O, S. 43.

특정한 분야에 관한 법률에서의 특별규정은 오직 일반 규정의 예외만을 포함하고 있어야 하고, 일정한 수준 이상의 위험성을 가진 정보처리에 대해서는 그 요구를 강화시켜야 하며, 낮은 수준 이하의 위험성을 가진 정보처리의 경우에는 완화시켜야 한다. 또한 다른 방법으로는 공익에 관한 임무가 충족될 수 없는 경우에 예외가 인정될 수 있을 것이다. 모든 예외는 □연방정보보호법 제○조와는 달리 … □와 같은 형식을 통하여 일반원칙의 명시적인 배제로서 명확히 표현되어야 한다.

) Zur notwendigen Uebergangsregelung sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 43 und 205.

통신법(TKG) 및 통신서비스정보보호법(TDDSG)은 연방정보보호법(BDSG)으로 통합되어야 한다. 이것은 개인관련정보의 처리에 대한 통신의 중요성에 상응하는 것이다. 이를 통하여 적용범위의 중첩이나 가치적 모순을 제거할 수 있으며 높은 수준에서 통일화를 이룰 수 있다.

3. 적용범위

일반적인 정보보호의 원칙은 공공부문뿐만 아니라 민간부문에서도 동등하게 적용되어야 한다. 이 두 부문에서 - 부문에 관계없이 위험에 따라 - 동등한 수준의 정보보호가 보장되어야 한다. 다만 민간부문에서는 그 규정을 준수할 사람(수범자)이 기본권의 주체이며, 공공부문에서는 공익이 추구되어져야 한다는 한도에서 차이가 고려되어야 한다.

) Sieh die Entschielissung der Konfernz der Datenschutzbeauftragten des Bundes und L□nder vom 14./15. 03. 1996 und vom 23./24 .10. 1997.

) 기존의 규정에서는 민간부문에서의 위험(Risiken)을 과소 평가하였다. Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 22-28.

이러한 원칙은 수동(手動)의 정보처리와 자동적 정보처리를 구별하지 않아야 한다. 데이터의 집적(filing systems)과 기록(files) 간의 구별은 필수적인 보호와 중요하지 않은 행동양식 사이의 한계를 밝히지 못하며, 사실에 부합되지 않는 구분을 초래한다. 합목적적인 한도 내에서 개별적인 의무는 데이터의 집적이나 자동화된 정보처리에 대하여 제한될 수 있다.

법인은 정보보호법의 보호범위에 포함되어야 한다. 정보적 자기결정에 관한 기본권은 직접 인격권의 핵심과 관계되는 것이 아닌 한도에서는 독일기본법 제19조 제3항에 따라 법인에 대해서도 적용된다. 또한 독일기본법 제10조제1항의 (전기)통신비밀에 관한 규정은 독일기본법 제19조 3항에 따라 법인에 대해서도 적용되고 있다. 따라서 통신정보보호법의 보호영역은 이미 오늘날 법인에 대해서도 미치고 있다. 앞으로 통신이 정보처리의 원칙적인 구성요소가 되고 통신정보보호법이 연방정보보호법으로 통합되어야 한다면, 후자의 규정은 이제 자연인에게만 국한될 수 없고, 정보처리에 관한 개인관련 보호범위를 통신의 내부와 외부로 구분하여 정할 수도 없을 것이다. 더욱이 감시활동에서 자연인에 관한 정보와 법인에 관한 정보를 구분하는 것이 곤란하거나 불가능한 경우가 자주 발생한다. 법인에 관한 집적된 데이터는 통상적으로 자연인에 관한 정보도 포함하고 있다. 이리하여 실무적으로 정보는 더 이상의 구별 없이 보다 높은 수준의 보호를 받게 된다. 따라서 법인을 포함시키는 것이 실무에도 적합하게 될 것이다.

) Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 64 ff.

앞으로 정보보호는 우선적으로 한편으로는 최소수준의 보호를 규정하고, 다른 한편으로는 정보주체에게 통제가능성과 협력가능성을 제공해주는 정보처리의 원칙을 통해서 이루어져야 한다. 그러나 이와 더불어 유럽공동체법과 헌법상의 이유에서 정보처리에 관한 법률상 허가제도는 불가피하게 유지되어야 한다. 다만 이것은 매우 간소화되어야 할 것이다.

모든 개인관련 정보의 취급은 통일적인 의미로 파악되어야 한다. □처리(Verarbeitung)□라는 용어는 유럽공동체의 정보보호지침에 따라서 쓰인 것이다. 그러나 앞으로 정보보호의 모든 형태가 동일한 규정에 의해서 다루어질 수는 없다. 특히 기술적 서비스의 제공에 대한 정보처리를 적절하게 규율할 수 있기 위해서는, 앞으로의 정보보호법은 정보처리의 두 가지 범주를 구별하여야 한다.

·개인관련 또는 개인관련적일 수 있는 사용목적을 위해서 의도적으로 개인관련성을 가지고 (정보를) 처리하는 것. (예컨대, 인사서류, 계약정보, 재고목록정보)

·개인관련 또는 개인관련적일 수 있는 사용목적과는 다른 목적을 위해서 의도적으로 개인관련성 없이 (정보를) 처리하는 것. (예컨대, 기술적 서비스의 제공, 기계와 기계간의 통신, 검색과정에서 □잉여정보□)

특정한 개인과 관련된 목적을 갖지 않는 정보처리는 이미 오늘날 전기통신의 기술적인 서비스를 위하여 처리되어야 할 엄청난 양의 정보와 관계된다. 이러한 정보의 양은 가상공간에서 다루어질 수 있는 기술적 가능성을 통해서도 몇 배나 증가되었다. 또한 일상생활에서 어디서나 컴퓨터의 이용이 엄청나게 다양해지면 개인과 관련된 목적을 갖지 않는 정보처리는 더욱 증가하게 될 것이다.

특정한 개인과 관련된 목적을 갖지 않는 정보처리에 대한 요구조건은 부수적인 위험을 적절히 처리하고 효율성을 증대시키도록 상세히 규정되어야 한다. 이러한 요구조건은 정보가 필요한 최소한도로 제한되어야 하는 반면에, 그 정보처리는 그 목적에서 벗어나지 않도록 보호되고 그 정보처리 후에는 즉시 삭제되어져야 하는 한에서는 강화되어야 한다. 정보는 그밖에도 엄격한 목적기속(예, 연방정보보호법 제31조) 하에 놓여져야 하고 이용금지를 통해서도 보호되어야 한다. 이러한 요구조건이 충족되지 않거나, 무엇보다 이러한 정보를 통해 그 밖의 목적을 추구하는 경우에는, 이에 대하여는 처음부터 특정한 개인과 관련된 목적으로 정보처리를 하는 경우에 대한 모든 요구조건이 적용되어야 할 것이다. 정보주체가 사전에 통지받는 것을 포기하고, 단기간동안 저장되는 개별적인 정보에 대한 설명청구권이 존재치 않는 한도에서는 요구조건을 완화하는 규정을 둘 수 있을 것이다. 단기간동안 저장되는 개별적인 정보에 대한 설명청구권은 비생산적인 것으로 보인다. 이러한 청구권은 오직 기록절차와 정보탐색기술이 개인관련 정보를 찾아내고 결합하기 위한 목적 때문에 적용되어져야 한다는 바람직하지 않은 결과를 가져올 것이다. 필수적인 투명성은 정보처리절차의 구조에 대한 정보처리자의 공적이고 일반적인 정보보호에 관한 선언을 통해서 확보되어야 한다.

4. 정보처리의 원칙

1) 정보처리의 투명성 확보

정보보호법이 간결해질 수 있게 하고, 정보처리관계의 규율이 양 당사자에게 더욱 강력하게 맡겨 둘 수 있게 하려면, 정보주체에 대한 정보처리의 투명성이 향상되어야 한다. 현대적인 정보보호법의 목적은 정보주체와 감독기관에 대하여 개인관련정보의 수집과, 그 처리의 환경과 절차, 및 그 정보의 이용목적에 대한 충분한 설명을 보장하는 것이어야 한다. 영업상 개인관련 정보를 자동화하여 처리하는 자는 보호할만한 가치가 있는 비밀이 공개되지 않고 정보처리가 될 수 있는 한도 내에서 이해하기 쉬운 형태로 정보처리의 구조를 공표할 의무를 져야 할 것이다. 그밖에도 모든 운용 및 작동 소프트웨어를 포함한 시스템이 정확히 무엇을 하고 있는지를 적정한 비용으로 통찰할 수 있도록 하여야 한다.

) Sieh hierzu n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 82 ff.

2) 자기결정의 강화

정보사회에서 정보처리의 형식적 금지가 적합하지 아니함에도 불구하고, 헌법과 유럽공동체법의 근거에서 정보처리는 각각의 경우에 특별히 허가를 받아야 한다. 정보보호를 단순화하고 불합리한 결과를 피하기 위해서 일반적인 허가구성요건, 즉 명백히 정보주체에 대한 침해가 기대되지 않는 경우에는 정보처리가 항상 허용되는 것으로 보아야 한다.

정보처리가 정보주체의 이익을 침해할 수 있는 경우에는 이에 대한 결정은 우선적으로 정보주체의 자기결정에 맡겨져야 한다. 개별적인 경우에 정보처리는 원칙적으로 사전 동의나 계약, 계약과 유사한 신뢰관계 또는 행정관청에 대한 신청과 같은 사전 동의의 대체수단을 통해서 허가될 수 있어야 한다. 사전 동의는 정보적 자기결정권에 대한 진정한 의사표시이다. 그러나 정보주체와 정보관리책임자 사이에는 통상적으로 현저한 힘의 불균형이 존재하므로, 자기결정권이 강화되어야 한다. 현대적인 정보보호법의 목적은 한편으로는 타당한 범위 내에서 정보처리의 허락을 개인의 자기결정권에 맡겨 두지만, 다른 한편으로는 개괄적인 규정을 통하여 자기결정의 자의성을 방지하는 것이어야 한다.

) Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 72.

민간부문에서는 원칙적으로 □옵트인-해결□ 방식이 선택되어져야 한다: 정보처리는 정보주체의 사전 동의를 요건으로 한다. 물론 정보처리가 정보주체의 동의 없이도 가능할 수 있어야 한다. 이제까지 정보처리를 조정하는 개념인 □정당한 이익□은 이러한 예외적인 경우를 해석하는데 지나치게 광범위하다. 예외는 오로지 자신의 권리 또는 제3자의 권리를 보호하거나 추구하기 위하여 필수적인 경우나, 정보주체의 생명·건강, 그밖에 중요한 법익에 대한 위험을 제거하기 위해서 필요하고 또한 정보주체가 자신의 동의를 해줄 수 없는 경우, 또는 정보처리가 법규정을 통하여 정보관리책임자에게 부과된 의무를 수행하기 위해서 필요한 경우에만 허용되어야 한다.

) Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 77 ff..

공공부문에서 정보처리는 □법률적으로 부여되고 공공기관의 권한에 속하는 특정된 임무의 수행을 위하여 필요한 경우에 허용된다. 물론 정보주체의 의사에 반해서 관철되어야 하고, 정보주체의 이익이 심하게 침해될 수 있는 그러한 정보처리의 목적과 형식이 문제된 경우에는 특정한 분야의 규정들이 그 목적과 형식을 위험에 적합하게 규율하여야 한다. 공공부문에서 사전 동의는 본질적으로 오로지 법률상 기속되지 않는 영역에서만 정보처리를 정당화할 수 있다.

) Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 74 ff.

3) 정보처리의 필요성과 개인관련성의 회피

정보처리의 목적에서 개인관련성이 전혀 요구되지 않는 한에서는, 개인관련성은 처음부터 회피되어야 하고, 사후적으로 정보의 폐기, 익명성 또는 가명성을 통하여 배제되어야 한다. 그밖에도 정보관리책임자는, 그것이 기술적으로 가능하고 적합한 한도 내에서는, 정보처리절차가 가능한 한 어떠한 개인관련성이나 개인관련가능성도 나타내지 않도록 그 정보처리절차를 형성할 의무를 져야 한다. 이러한 목적은 정보주체의 익명성이나 가명성을 통하여 달성될 수 있다. 익명성과 익명과 유사한 방식의 가명에 원칙적으로 우선권이 부여되어야 한다.

앞서 언급한 투명성과 개인관련성 회피의 원칙은 오로지 정보주체 자신을 통해서만 관철될 수 있다(자기정보보호). 정보주체들은 기술적이고 조직적인 보호수단의 이용을 스스로 정할 수 있는 입장에 있어야 한다. 이는 내용보호, 익명성, 가명성과 신분확인관리에 관한 수단들이다. 암호의 키(Key), 가명성과 신분확인 등을 관리하고 자기보호기술을 사용하는데 이용자를 지원해주는 프로그램들이 장려되어야 한다. 자기정보보호의 수단을 이용하기 위한 적극적인 교육운동이 고려되어야 할 것이다.

4) 정보처리의 목적기속과 목적상 한계

목적기속은 허용된 정보처리의 목적과 범위를 규정하고 동시에 정보처리를 이러한 목적과 범위로 국한시킨다. 따라서 개인관련 정보의 처리는 오로지 특정되어지고, 동의나 법률상의 허용에 따라 명시적으로 언급된 목적을 위해서만 행하여질 수 있다. 시스템상의 정보보호는 목적기속의 기술적·조직적 안전장치를 지원할 수 있다: 원칙적으로 정보처리를 하는 자를 위하여 사용되는 제품과 설치되는 정보처리절차는 오직 정보처리의 목적에 상응하는 조치들만을 허용하여야 한다.

) Sieh hierzu n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 126 ff.

프로필작성은 정보적 자기결정에 대한 특별한 위험이 있지만 동시에 이러한 프로필작성을 일반적으로 금지하여서는 아니된다. 이러한 요청들의 적절한 조합은 무엇보다도 정보주체에 대한 투명성제공과 영향력행사를 보장함으로써 필요한 보호를 할 수 있을 것이다. 따라서 의도적인 프로필작성은 정보보호선언(개인정보보호정책)에서 그 구조와 목적을 명시하고 정보처리의 특별한 형태로서 나타내져야 한다. 원칙적으로 프로필작성은 정보주체의 명시적인 사전 동의를 받아야 하고 그 정보주체가 언제나 장래에 자신의 동의를 철회할 수 있는 가능성을 가져야 한다. 프로필작성은 역시 정보주체에게 통지와 항변권을 조건으로 하는 허용요건을 통해서 예외적인 경우에만 정당화되어야 한다.

) Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 117 ff.

5. 정보보호를 위한 관리

정보관리책임자에게 부과된 기존의 여러 가지 조직상 의무들은 집중 정보보호 관리체계를 위해서 통합되어야 하며, 책임을 확실하게 하고, 정보보호의 인식을 강화하며 또한 정보보호를 촉진하는 운영조직을 이룰 수 있도록 이를 발전시켜야 한다. 정보보호담당관의 선임과 정보보호조직에 관한 계획의 입안 및 정보보호와 정보안전에 관한 구상의 개발이 그 본질적인 요소이다.

) Sieh ausfuehrlich Rossnagel/Pfitzmann/Garstka, a.a.O, S. 130 ff.

정보보호의 수용을 강화하며, 변화하고 증가하는 위험에 대응하여 지속적인 발전을 가능하게 하기 위하여, 현대적인 정보보호법은 역시 효율적이고 진전된 보호를 위한 동인을 제공하여야 한다. 이를 통하여 정보관리책임자에게 효율적인 정보보호를 수행하기 위한 노력을 기울일 수 있는 가능성이 제공된다. 특히, 법적인 요구조건의 완화와 함께 부여되어져야 할 정보보호관리체계에 관한 신뢰할만한 감시시스템이 여기에 속한다. 그밖에도 개인관련 정보처리의 위임에 관해서는 정보보호를 위한 감시에 참여하는 정보관리책임자는 공공기관으로부터 우선적인 취급을 받아야 한다.

) 예를 들면 개인정보침해로 인한 손해배상청구권의 행사와 관련된 경감을 들 수 있다. 이 글 Ⅱ. 8. 34) 참조.

연방정보보호법의 개정과 관계없이 이번 입법회기에서 두 번째 개정단계의 제일보는 정보보호를 위한 규제를 통해 실현될 수도 있을 것이다.

6. 기술을 통한 정보보호

앞으로 정보보호는 기술에 반해서가 아니라 기술을 통해서 이루어져야 한다. 정보보호법은 처리절차의 개발과 하드웨어 및 소프트웨어의 구성을 정보보호의 목적에 연결될 수 있도록 시도하여야 하고, 정보보호에 적합하거나 증진시키는 기술의 확산과 이용을 촉진할 수 있도록 시도하여야 한다. 정보보호는 생산, 서비스 및 처리절차 속에 가능한 한 폭 넓게 통합되어야 한다. 따라서 정보보호법의 수범자는 더 이상 정보처리를 하는 정보관리책임자만이 아니다. 정보보호법은 이미 기술의 개발단계에서 기술의 형성에 그 영향을 미치지 않을 수 없다. 그러므로 정보보호법은 정보보호에 적합한 기술을 요구하고 촉진하여야 한다. 이러한 목적을 위해서는 최소한 세 가지의 규정이 마련되어야 한다. 먼저 생산자는 최소한 자신의 제품의 구성에 관하여 몇 가지의 주요한 생산요구조건의 충족여부를 심사할 의무를 져야 한다. 두 번째로, 정보보호에 적합한 제품을 생산하는 사람은 이러한 제품이 정보보호에 적합하다는 증명을 받게 하고 이러한 증명서를 통해 제품을 광고할 수 있는 가능성을 가져야 한다. 끝으로 정보관리책임자에게는 정보보호에 적합한 제품을 사용하도록 요구되어야 한다. 적어도 공공기관에 대하여는 이러한 요구가 법률상의 의무로 끌어 올려져야 한다.

) Sieh Rossnagel/Pfitzmann/Garstka, a.a.O, S. 129 f.

7. 자율규제

법적인 원칙의 구체화는 업계 또는 기업의 특수한 자율규제를 통해서도 달성될 수 있다. 이러한 관점에서 공정한 절차와 적정한 이익형량, 그리고 공공복리와 일정한 민주적 정당성의 고려를 보장하기 위하여, 입법자는 역시 이러한 규칙제정을 위한 법률적인 테두리를 설정하여야 한다. 자율규제는 빠른 기술의 발전과 시스템의 복잡성, 및 적용의 다양성을 고려하여 비교적 신속하게 업계 또는 기업에 적합하고 이들을 구속하는 규정을 개발하는 것을 경제계에 가능하게 해준다. 업계, 협회 또는 기업이 그들의 정보관리책임자에 의하여 승인된 고유한 행동규칙을 제정하는 결정적인 동인은 구체화되어야 할 법적 규범을 자주적으로 그리고 정보관리책임자에 대하여도 구속되도록 형성할 수 있다는 가능성에 있다.

) Sieh hierzu und zum Folgenden Rossnagel/Pfitzmann/Garstka, a.a.O, S. 153 ff.

자율규제는 예를 들면 □자신의 권리 또는 제3자의 권리의 추구와 보호□ 및 특정한 목적을 위한 특정한 정보의 필요성과 같은 허가요건의 구체화를 그 내용으로 할 수 있다. 다른 예로는 필수적인 계약정보, 특정산업분야별로 정보주체에 대한 통지를 위한 원칙 또는  특정산업분야별 정보보호정책에 관하여 산업분야별로 통일적인 규정을 두는 것이다. 마찬가지로 익명과 가명의 행위에 관한 절차를 규정하거나 특정산업분야의 중재절차를 두는 것을 규정할 수 있다. 끝으로 통일적인 동의의 의사표시의 구상도 고려되어야 할 것이다.

자율규제는 일방적으로 어떠한 단체의 이익을 관철하기 위한 것이 아니라, 사회적 합의를 목표로 하여야 한다. 따라서 공인된 정보보호단체와 소비자단체들은 자율규제에 참여할 수 있어야 한다.

이러한 맥락에서 연방정부의 법률은 정보적 자기결정에 내재하는 위험을 방지하기 위한 요구를 자의로 수행하기 위하여, 정해진 기간 내에 달성되어야 하는 형식적인 목적을 확정할 수 있는 가능성을 제공하여야 한다. 이러한 목적확정은 우선순위를 확정하고 정책의 방향을 정하는 것을 가능하게 한다. 이러한 목적확정은 목적이 자의로 수행될 때에는 규범 회피적으로 영향을 미치게 되거나 또는 앞으로의 규율 수범자를 미리 규정에 적응하게 함으로써 규범에 대비하도록 영향을 미치기도 한다.  앞서 설정된 기간의 도과 후에는 입법적 조치들이 취해져야 하는지 여부와 어떠한 입법적 조치들이 취해져야 하는지를 심사하여야 할 것이다.

) 법규정의 제안은  Rossnagel/Pfitzmann/Garstka, a.a.O, S. 156 f.

8 정보주체의 권리강화

1) 자율적 정보보호

정보주체의 권리는 당사자들에 의해서 실제적으로 주장되고 주장될 수 있을 때에만 효과적인 정보보호를 위한 본질적인 토대를 제공하게 된다. 정보주체는 그의 권리를 작위 또는 부작위의 강요를 받지 않고 자유롭고 방해 없이 무상으로 행사할 수 있어야 한다. 정보주체의 권리는 가능한 한 오직 일반적인 정보보호법에서 규율되어야 하고 최대한 간결하고 단순하게 규정되어야 하고 정보주체 스스로가 그 권리를 이해할 수 있어야 한다. 이러한 권리는 명확하게 박탈할 수 없는 것으로 선언되어야 하고, 법률행위에 의해서도 배제될 수 없어야 한다. 공공기관과 비공공기관의 구별은 역시 정보주체의 권리와 관련하여서는 포기되어야 한다. 온라인 통신의 범주에서는 정보주체가 자신의 권리를 통신상으로도 주장할 수 있어야 한다. 정보주체는 이미 정보수집 이전에 자신의 권리에 대해 설명을 받아야 한다. 따라서 설명의무와 통지의무는 이에 상응하여 확대되어야 한다.

) Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 169 f.

2) 설명의무

설명은 광범위하게 이루어져야 하고 정보주체의 요구에 따라 정보처리의 모든 측면에까지 미쳐야 한다. 특히 저장된 정보 그 자체에 대한 설명, 그 정보의 출처에 대한 설명, 정보의 수취인에 대한 설명, 자동화된 검색절차의 참여자에 대한 설명, 정보처리의 목적에 관한 설명, 위임된 정보처리의 수탁자에 대한 설명, 아웃소싱의 경우 직무수행자에 관한 설명, 예컨대 정보에 관하여 이루어진 보고, 삭제, 차단에 관한 설명, 자동화된 정보처리의 구성과 구조 및 경과에 대한 설명, 특히 프로필작성과 그 구조에 대한 설명이 이에 속한다. 설명의무에 대한 예외는 소수의 절박한 경우의 상황으로 제한되어져야 한다.

) Sieh ausfuehrlich Rossnagel/Pfitzmann/Garstka, a.a.O, S. 170 ff.

3) 시정권

각 정보주체는 기업이나 행정관청의 정보보호담당관에게 이의심리를 청구할 수 있다. 정보보호담당관은 정보주체와 정보관리책임자간의 타협적인 해결이 이루어지도록 노력하여야 하며, 1개월 내에 서면으로 이의에 대한 근거를 붙인 답변을 하여야 한다.

) Sieh n□her Rossnagel/Pfitzmann/Garstka, a.a.O, S. 176.

정보주체에게는 정보보호지침 제14조 a항에 의해서도 요구되는 바와 같이, 이의신청권이 부여되어야 한다. 이러한 이의신청권은 행정법원법 제69조의 이의(Widerspruch)와 구별하기 위하여 □이의(Einwand)□라고 말해진다. 이러한 이의신청권은 정보주체에게 허가요건을 기초로 적법하게 행한 정보처리에 대하여 그와는 다른 자신의 의견을 주장할 수 있는 가능성을 제공해준다.

4) 손해배상

업무상 자동적으로 정보를 처리하는 공공기관뿐만 아니라 비공공기관에서도 비교가능한 잠재적 위험을 근거로 위험책임이 규정되어야 한다. 그럼에도 정보보호규정의 실현을 지원하기 위하여, 정보관리책임자가, 법률위반이 이루어질 수 있는 기간동안에, 정보보호관리에 필요한 모든 요구조건을 충족시켰다는 것을 입증하거나, 또는 정보보호감시에 참여하였을 때에는, 위험책임을 적용하지 않고 대신에 일반적인 책임규정을 적용해야 한다. 손해가 인격권의 중대한 침해에 근거하고 있는 때에는 물질적인 손해와 더불어 정신적인 손해도 인정되어야 한다. 인격권의 중대한 침해는 개인관련정보처리의 경우에는 실질적인 위험이 된다.

) Rossnagel/Pfitzmann/Garstka, a.a.O, S. 178 ff.

마찬가지로 인과관계에 대한 입증책임도 완화되어야 한다. 즉 정보주체가 정보처리의 위법성과 부당성 및 발생한 손해의 원인에 대해서 매우 상당한 정도의 개연성에 근거한 개별적 사안의 상황을 입증하면, 정보관리책임자는 그의 과실로 인하여 손해가 야기되지 않았다는 사실을 입증하여야 한다. 이러한 입증부담의 경감은 정보처리를 통하여 야기된 손해의 특성을 고려한 것인데, 정보처리를 통하여 야기된 손해에서는 책임의 근거가 되는 원인의 존재에 관하여 완전하게 법원을 설득하는 것이 전형적으로 이루어질 수 없는 특성이 있다.

통상적으로 정보관리책임자가 정보보호관리에 필요한 모든 요구조건을 충족시켰다는 것을 입증한 때에는 원인추정은 개입되지 않는다. 입증은 정보보호감시에 대한 성실한 참여에 의해서도 이루어질 수 있다.

) Rossnagel/Pfitzmann/Garstka, a.a.O, S. 182.

9. 효과적인 정보보호를 위한 규제

1) 국가의 규제

정보보호의 감시는 통신, 미디어서비스 및 방송시설을 포함한 공공부문과 민간부문에 대하여 통합되어야 한다. 정보보호의 감시에 대해서는 연방정보보호담당관과 주정보보호담당관이 맡게 된다. 이러한 감시기관의 통일화는 유럽의 정보보호지침과 일치하는 것이며, 바람직한 시너지효과도 야기한다. 그밖에도 이러한 통일화는 정보주체에게 그의 청구권을 주장하는 것을 용이하게 해준다.

정보보호지침 제28조에 따른 □감시기관의 완전한 독립□이라는 의미에서 감시기관에 관한 법적 감독이 공공부문 및 민간부문에 대하여 새롭게 고려되어야 한다. 법적 감독은 감독기관의 직무수행에 대하여 영향을 미치게 된다. 그밖에도 민간부문에서 자발적인 감시(Initiativkontrolle)의 도입은 기업의 사적인 영역에서도 더 많은 개입에 이르게 하고, 이러한 자발적인 감시의 도입은 독립적이며, 행정부처에 포함되지도 않고 그에 의해 통제되지도 않는 기관에 대한 감시를 암시한다. 감시기관의 필수적인 민주적 정당성은, 오늘날에도 마찬가지로, 의회에 의한 소관담당자의 선출과 의회에 대한 그의 보고의무를 통해서 성취된다. 독립성을 명확히 하기 위해서 상급 연방기관으로서 연방정보보호담당관 제도는 바람직스럽다.

감시기관의 수행권한은 강화되어야 한다. 감시기관에게는 유효한 영향력이 수중에 주어져야 한다. 공공기관에 대한 이의신청이 무시된 경우에 정보보호담당관에게는 행정구제의 길이 열려져 있다. 비공공기관에 대해서는 감시기관에게 위법하게 처리된 정보를 행정행위를 통하여 차단, 삭제, 폐기를 명할 권한을 부여하여야 한다.  그밖에도 감시기관에게는 광범위한 고소권이 주어져야 한다. 정보보호에서의 지식이 전달되는 의무적인 정보보호수업은 정보보호법의 규정을 무시함으로써 질서위반 또는 범법행위를 저지른 자에 대한 교육적 기능을 실현시킬 수 있다. 개인관련정보 처리와 관련된 법규명령과 행정규칙의 작성시에 정보보호지침 제28조에서 규정된 감시기관의 청문은 연방정보보호담당관의 자문에 상응하는 기관의 의무로서 시행되어야 한다.

2) 자율규제

기업이나 행정관청의 정보보호담당자의 지위도 강화되어야 한다. 정보보호담당자의 지시로부터의 자유와 독립성은 공동작업자대표의 구성원을 위하여 지향하고 있는 경우와 같이 부당한 해고방지를 강화시킴으로써 지원되어야 한다. 오직 자연인만이 정보보호담당자로 선임될 수 있어야 한다. 외부의 정보보호담당자는 그에 대한 부당해고방지의 회피를 방지하기 위해서 5년을 최단기간으로 선임될 수 있도록 하여야 한다. 정보보호담당자의 전문지식과 자격에 관한 요구 및 그에 대한 인적·물적 시설은 보다 자세하게 규정되어야 한다. 새로운 연방정보보호법은 콘체른의 정보보호담당관의 기능도 포함하고 있다. 이는 바람직한 시너지효과를 야기하고, 전체 콘체른결합에서 정보보호의 역할을 강화시킬 것이다. 그밖에 독일 정보보호법에 의해서 인정된 콘체른의 정보보호담당자에게, 전체적인 콘체른의 정보보호원칙을 관철하는 것은 세계적으로 널리 활동하고 있는 콘체른에서도 더 쉽게 이루어질 수 있을 것이다.

3) 사회적 규제

정보보호는 사회적 힘에 의한 자율규제를 통해서도 지지될 수 있다. 그래서 불공정한 경쟁의 범위에서는 정보보호위반시에 경쟁자소송이 가능하게 되어야 한다. 마찬가지로 공인된 소비자단체와 정보보호단체들에게 단체소송권이 열려있어야 한다.

) Sieh Rossnagel/Pfitzmann/Garstka, a.a.O, S. 203 ff.

Ⅲ. 독일 정보보호법 현대화 보고서의 시사점

1. 통합 정보보호법의 제정

독일 정보보호법 현대화에 관한 보고서(이하 □현대화 보고서□라 한다)에서는 현행 정보보호법의 구성상 모순점과 수많은 특별법의 규정에 의한 문제점을 지적하고, 정보보호에 관한 일반법을 제정할 것과 분야별 특별법상의 특별규정은 오직 일반 규정의 예외만을 규정할 것을 제안하고 있다. 특히 통신법(TKG) 및 통신서비스정보보호법(TDDSG)은 연방정보보호법(BDSG)으로 통합되어야 한다고 주장하고 있다.

우리나라의 경우에도 □공공기관의 개인정보보호에 관한 법률□, □정보통신망 이용촉진 및 정보보호 등에 관한 법률□, □신용정보의 이용 및 보호에 관한 법률□, □금융실명거래 및 비밀보장에 관한 법률□ 등 다수의 법률에 개인정보보호에 관한 규정이 산재하여 있다. 다수의 법률에 규정된 개인정보보호에 관한 규정은 독일의 경우에서 제기된 것과 같은 문제점을 내포하고 있다. 따라서 우리나라의 경우에도 정보보호에 관하여 공공부문과 민간부문을 포괄하는 일반법을 제정하고특별법상의 규정은 오직 일반 규정의 예외만을 규정하는 것이 바람직하다고 생각한다. 이를 통해서 적용범위의 중첩이나 가치적 모순들을 제거할 수 있으며 높은 수준에서 통일화를 이룰 수 있다.

2. 적용범위

현대화 보고서에서는 일반적인 정보보호의 원칙이 공공부문뿐만 아니라 민간부문에서도 동일하게 적용되어야 한다는 것을 제안하고 있다. 이러한 기본원칙은 수작업에 의한 정보처리와 자동적 정보처리를 구별하지 않고 적용될 것을 요구하고 있다. 또한 자연인뿐만 아니라 법인에 대하여도 정보보호법의 보호대상에 편입되어야 한다는 주장을 펴고 있다. 정보적 자기결정에 관한 기본권은 인격권의 핵심과 관련되는 것이 아니라면, 기본법에 따라 법인에 대해서도 적용되기 때문이라고 한다.

우리나라에서는 공공부문과 민간부문의 정보보호에 관하여 □공공기관의 개인정보보호에 관한 법률□과 □정보통신망 이용촉진 및 정보보호 등에 관한 법률□에서 각각 별도로 규율하고 있는데, 이를 통일적으로 규율함으로써 보다 높은 수준의 정보보호를 보장할 수 있을 것이다. 또한 지금까지 우리나라에서는 자연인의 정보보호를 중심으로 논의해왔는데, 통신관련 정보는 개인과 법인을 구별할 필요가 없으며, 법인의 정보는 통상적으로 개인의 정보를 포함하고 있으므로 법인도 보호의 대상으로 하는 것이 타당하다. 따라서 위의 보고서의 제안을 우리나라의 정보보호법제에서도 수용하는 것이 바람직할 것이다.

3. 합리적인 정보처리 원칙의 정립

현대화 보고서에서는 오늘날 전기통신의 기술적인 서비스를 위하여 특정한 개인과 관련된 목적을 갖지 않는 엄청나게 많은 양의 정보처리가 요구되며, 일상생활에서도 어디서나 컴퓨터의 이용이 보편화됨으로써 개인과 관련된 목적을 갖지 않는 정보처리가 가속적으로 증가하게 될 것이라고 한다. 따라서 앞으로의 정보보호법은 정보를 개인관련 또는 개인관련적일 수 있는 사용목적을 위해서 의도적으로 개인관련성을 가지고 처리하는 경우와 개인관련 또는 개인관련적일 수 있는 사용목적과는 다른 목적을 위해서 의도적으로 개인관련성 없이 처리하는 경우로 구별하고 있으며, 전자의 경우에는 법률상 정보처리에 관한 허가(동의)제도를 유지하도록 하고, 후자와 같이 명백히 정보주체에 대한 침해가 기대되지 않는 경우에는 정보주체의 동의 없이도 정보처리를 허용하도록 제안하고 있다. 다만 특정한 개인과 관련된 목적을 갖지 않는 정보처리에 대하여는 동의를 얻도록 요구하지 아니하되, 부수적인 위험을 적절히 처리하고 효율성을 증대시키도록 상세히 규정할 것을 요구하고 있다.

우리나라의 경우에도 정보보호법에서 정보처리를 적절하게 규율하기 위해서는, 정보를 개인관련 또는 개인관련적일 수 있는 사용목적을 위해서 의도적으로 개인관련성을 가지고 처리하는 경우(예컨대, 인사서류, 계약정보, 재고목록정보)와 개인관련 또는 개인관련적일 수 있는 사용목적과는 다른 목적을 위해서 의도적으로 개인관련성 없이 처리하는 경우(예컨대, 기술적 서비스의 제공, 기계와 기계간의 통신, 검색과정에서 □잉여정보□)로 구별하고, 전자의 경우에만 법률상 정보처리에 관한 사전 동의를 요하도록 하는 것이 바람직할 것이다.

4. 손해배상책임에 관한 규정

현대화 보고서에서는 정보처리와 관련된 책임에 관하여 위험책임(Gef□hrdungshaftung)을 규정하여야 하고, 예외적으로 정보관리책임자가 정보보호관리에 필요한 모든 요구조건을 이행했다는 것을 입증하거나, 또는 정보보호를 감시에 참여하였을 때에는, 위험책임 대신에 일반적인 책임규정을 적용해야 한다는 제안을 하고 있다. 또한 정보주체가 정보처리의 위법성과 부당성 및 발생한 손해의 원인에 대해서 매우 상당한 정도의 개연성에 근거한 개별적 사안의 상황을 입증하는 정도로 인과관계에 대한 입증책임도 완화할 것을 주장하고 있다.

우리나라의 정보보호관계법에서는 개인정보침해에 대하여 특별한 책임규정이나 입증책임규정을 두고 있지 않으므로 손해배상책임에 관한 일반규정에 의할 수밖에 없다. 그러나 정보처리를 통하여 야기된 손해에서는 그 책임의 근거가 되는 원인의 존재를 입증하는 것이 어려운 특성이 있기 때문에 입증책임을 경감하는 것이 바람직하다고 생각된다.

5. 효과적인 정보보호를 위한 규제방안

현대화 보고서에서는 정보보호를 위한 규제기관의 수행권한을 강화하여야 하고, 행정관청이나 기업의 정보관리책임자의 지위도 강화되어야 한다는 것을 제안하고 있다. 또한 사회적 통제를 통해서 정보보호를 강화하기 위하여 공인된 소비자단체나 정보보호단체들에게 단체소송제기권을 부여할 것을 주장하고 있다.

우리나라에서도 행정기관이나 기업에서 정보관리책임자의 독립성과 지위를 강화할 필요가 있으며, 개인정보의 보호를 강화하기 위해서는 개인정보의 침해와 관련하여 소비자단체나 정보보호단체에게 단체소송제기권을 부여하는 것이 바람직하다고 본다.

일본 개인정보보호법(안)에 대한 고찰

- 정보통신망법과의 비교를 중심으로 -

개인정보침해신고센터

정상호 연구원

요  약  문

O 최근 일본에서는 기업의 고객명부 등이 대량으로 유출된 사례가 잇따르고 개인정보가 매매의 대상이 되는 등 개인정보의 취급에 대한 사회적인 불안감이 점차 고조되고 있는 한편 국제적으로도 「EU 개인정보보호지침(Directive 95/46/EC)」에 대응하는 방안의 하나로 민간·공공분야를 총괄하는 □개인정보보호에관한법률(안)□의 제정을 추진해왔음

O 동 법안은 2001년 3월 의회에 제출된 이래 2년동안의 논의를 거쳤으나, 언론과 시민단체의 강력한 반대에 부딪쳐 2002년 12월 임시국회에서 폐안되었으며, 일본 정부는 폐안된 개인정보보호법(안)을 대폭 수정하여 3월 7일 내각 결정을 통해 수정(안)을 국회에 제출함

- 그러나, 일본내의 경제현안 문제와 북핵문제, 예산안 처리문제 등으로 인해 법안 성립에 난항이 예상되고 있음

O 일본 개인정보보호법(안)은 유럽식의 통합법 체계와 미국의 민간자율규제 형식인 □세이프하버 원칙□의 중간을 걷는 법체계를 시도했다는 점과 EU의 개인정보보호 강화 요구를 수용하면서도 유럽식의 독립 개인정보보호 감독기구를 두지 않고, 고충처리를 수행하는 민간기구인 인정개인정보보호단체의 지정을 시도했다는 점에서 우리나라 개인정보보호 법제의 개선방향에 시사하는 바가 큼

일본 개인정보보호법(안)에 대한 고찰

정 상 호 *

* 한국정보보호진흥원 개인정보분쟁조정위원회 사무국 / 개인정보침해신고센터 연구원

	目 次
Ⅰ. 서 론 Ⅱ. 개인정보보호법(안)의 주요 내용 Ⅲ. 정보통신망법과 일본 개인정보보호법(안)의 비교 Ⅳ. 결론

Ⅰ. 서론

1. 개인정보보호법의 제정 배경

일본에서는 1974년부터 정부 차원의 개인정보보호 문제에 대한 논의가 시작된 이래 1988년에 □행정기관이보유하는전자계산기처리에관한개인정보보호에관한법률□(행정기관개인정보보호법)이 제정되어 공적 부문이 보유하는 개인정보에 관해서는 일정 범위에서 법률에 의한 보호가 이루어지고 있다. 그러나 민간 부문의 개인정보보호에 대해서는 각 분야에서 적용되는 가이드라인 등을 통한 민간자율규제에 의한 보호방식과 통신사업법 및 유선통신법 등 개별 법률의 일부 조항에 의하여 규율되고 있다. 특히 전자상거래와 관련된 개인정보보호는 자유로운 기업활동에 지장을 줄 우려가 있다는 견해 때문에 입법을 유보하여 왔으며, 대부분 정부의 지침과 고시 및 민간의 자율규제에 의존하고 있다.

) 淸野 幾久子, □個人情報利用取引□個人情報保護制度□, 「□□□□□」, No. 1114(1997. 6), 75면.

) 한국전산원, 「전자상거래 국제협력 및 국가전략」(NCA I-RER-9905), 1999. 6, 109면.

그러나, 최근 일본에서도 사회 전반에 걸쳐 컴퓨터나 네트워크를 이용하여 대량의 개인정보를 처리하고 있으며, 이러한 개인정보의 취급은 점점 확대되어 갈 것으로 보인다. 개인정보의 오남용은 개인에게 돌이킬 수 없는 피해를 입힐 우려가 있으며, 실제로 일본 내에서 기업의 고객명부 등이 대량으로 유출된 사례가 잇따르고 개인정보가 매매의 대상이 되는 등 개인정보의 취급에 대한 사회적인 불안감이 점차 고조되고 있다.

따라서, 국민이 안심하고 정보통신사회의 편익을 누릴 수 있도록 개인정보의 적정한 취급 원칙을 정하고, 국민의 권익 침해를 사전에 방지할 수 있는 제도적 기반의 하나로써 개인정보보호를 위한 법제 정비가 요청되었다.

또한, 국제적으로도 1995년에 EU에서 채택된「EU 개인정보보호지침(Directive 95/46/EC)」제25조제1항 및 제2항에서 EU 회원국으로부터 제3국에 개인정보를 이전할 경우 그 제3국이 개인정보에 관한 충분한 보호조치를 확보하지 않는다고 판단되면 당해 개인정보를 이전할 수 없다고 규정하고 있어 국제적으로도 합치될 수 있는 국내 법제의 정비가 시급한 과제로 제기되었다.

) EU 개인정보보호지침 제25조(원칙) 1. 회원국은 개인정보의 제3국으로의 이전은 당해 개인정보가 처리중이거나 또는 이전된 후 처리될 예정인 경우 이 지침의 기타 규정에 따라서 채택된 국내 규정을 침해하지 않으며, 문제의 제3국이 적절한 수준의 보호를 보장하는 경우에 한하여 가능하다고 규정하여야 한다.

2. 제3국에 의한 보호의 적정수준은 하나의 정보이전작업 또는 일련의 정보이전작업을 둘러싼 모든 상황을 고려하여 평가하여야 한다. 특히 정보의 성질, 예정되어 있는 처리작업의 목적과 기간, 정보 발신국과 최종 수신국, 당해 제3국에서 유효하게 시행되는 일반적·분야별 법규범, 제3국에서 시행되는 전문적 법규범과 보안조치를 고려하도록 한다.

) 현재 일본은 EU로부터 개인정보 보호조치가 충분한 나라로 인정받지 못하고 있기 때문에 EU역내에 현지법인이 있는 일본 계열기업의 경우 일본의 본사에 현지법인의 종업원의 개인정보를 이전하는 것이 제한되어 있다.

2. 개인정보보호법(안)의 제정 경과

일본 정부는 수상 산하의 □고도 정보통신사회 추진본부(現 IT전략본부)□에 「개인정보보호 법제화 전문위원회」를 설립하고 개인정보보호에 관한 법제도의 검토를 시작하여, 2000년 10월 "개인정보보호 기본법제에 관한 대강(大綱)"을 발표하였다.

일본 정부는 이 대강에 근거하여 민간·공공분야를 총괄하는 개인정보보호에 관한 기본법제의 입안작업을 진행하여 2001년 3월 국회에 개인정보보호에관한법률(안)(이하 □개인정보보호법(안)□이라 함)을 제출하였다.

동 법안은 국회에서 2년 동안의 논의를 거쳤으나, 최근 □방위청리스트 사건□(일명 공공기관에 의한 개인정보의 부정이용·수집 의혹사건) 및 개인정보 유출사고 등이 언론을 통하여 차례로 보도되고, 그동안 논란이 거듭된 보도기관의 개인정보 취급과 관련하여 기본 원칙을 내세운 취재거부가 늘어나는 등 보도활동에 중대한 지장이 초래될 뿐만 아니라 헌법상의 취재보도의 자유를 망각한 것이라 하여 언론과 시민단체의 강력한 반대에 부딪쳐 결국 2002년 12월 임시국회에서 폐안되었다.

) 방위청이 정보공개법에 근거해 정보공개를 청구한 142명의 시민에 대해서 개인정보를 부가해 리스트를 작성하고, 복수의 다른 부서에 배포하고 있던 것이 발각된 사건을 말한다.

3. 개인정보보호법 제정의 의의

개인정보보호에관한법률의 제정은 일본에서 처음으로 민간분야의 개인정보보호를 대상으로 한 법규제라는 점에 의의가 있다. 그러나 동 법률(안)을 통해 일본에서 모든 민간부문을 망라하는 개인정보보호 관련 법제가 완비되었다고 단정짓기는 어렵다. 왜냐하면, 민간부문에서 개인정보의 이용형태나 정도는 각 분야에 따라 다양하기 때문에 개별법에 의한 정부의 관여나 민간자율규제 등 개별 분야별 이용 특성에 따른 보호를 도모해 나가는 한편 개인정보 이용 분야의 확대 및 고도화 등 향후 발생할 다양한 상황의 변화에 대응할 수 있는 유연한 법체계를 구축하는 것이 동 법률(안)의 기본 방향이기 때문이다.

따라서, 일본 개인정보보호법 제정의 기본방침은 민간·공공부문을 통괄하는 기본원칙의 확립을 도모하고 보호 필요성이 높은 분야에 대해서는 개별법을 정비함과 동시에 민간사업자 등의 자율규제를 촉진하여 전체적으로 조화있는 법체계를 구축하는 것을 기본으로 하고 있다고 말할 수 있다.

결국, 개인정보보호법이 제정되더라도 명시적으로 적용제외 사업자로 규정하고 있는 국가기관, 지방공공단체 등 공공부문의 개인정보보호에 대해서는 □행정기관개인정보보호법□에 의할 것이며, 보도기관, 대학 기타 학술연구기관, 종교·정치단체 등에 대해서는 관련 개별법의 정비를 통한 보호 조치가 이루어질 것으로 생각된다. 또한 독립행정법인이 취급하는 개인정보에 대해서는 동 법률(안) 부칙 제7조에 의해 법률 제정을 통한 보호조치가 이루어질 것으로 보인다.

다만, 법 제정을 통한 기본원칙이 확립되면 국가 및 지방공공단체 등은 개인정보보호를 위한 법률상의 조치 및 조례 제정 등 다양한 시책을 강구해 나가야 하며, 일반 개인정보취급사업자의 경우에도 기본원칙의 준수를 위해 다양한 노력을 기울여야 할 것이다.

Ⅱ. 개인정보보호법(안)의 주요 내용

1. 개인정보보호법(안)의 기본 구조

일본 개인정보보보법(안)은 공공·민간 부문을 통틀어 개인정보를 취급하는 모든 사람이 개인정보를 취급함에 있어서 개인정보 보호를 위해 스스로 노력해야 하는 □기본 원칙□을 정하고 있다. 특히 개인정보를 컴퓨터 데이터베이스 등에 입력하여 사업에 이용하고 있는 사업자(□개인정보취급사업자□)에 대해서는 □개인정보취급사업자의 의무□ 규정을 두어 보다 구체적이고 명확한 개인정보보호 원칙을 정하고 있다.

공공 부문의 개인정보의 취급에 관하여는 1998년에 제정된 행정기관개인정보보호법이 있으나, 동 법률안 부칙 제7조에서는 정부에 대하여 공포 후 1년내에 행정기관개인정보보호법의 재검토와 독립행정법인 등에 관한 법률의 정비를 도모하도록 의무지우고 있다. 또한 지방공공단체에 대해서도 조례 등의 정비를 내용으로 하는 노력의무를 정하고 있다.

) 여기에 기초하여 2002년 3월 15일에 □행정기관이보유하는전자계산처리에의한개인정보보호에관한법률□의 전면개정(안)이 각의 결정되었다.

) 지방공공단체가 보유하는 개인정보에 관해서는 2000년 4월 현재, 52.7%의 지방공공단체에서 개인정보보호조례가 제정되어 있다.

또한, 민간단체에 의한 개인정보보호의 추진을 위해 고충처리 업무를 담당하는 □인정개인정보보호단체□의 지정을 규정하고 있다.

2. 적용대상

1) 개인정보

개인정보보호법(안)의 적용대상이 되는 개인정보는 생존하고 있는 개인에 관한 정보로서, 특정 개인을 식별하는 것이 가능한 것을 말한다. 성명, 주소, 생년월일 등이 전형적인 예이나 이에 한하지 않고 특정 개인을 식별하는 것이 가능한 한 개인의 신체, 재산, 사회적 지위 등에 관한 사실, 평가를 나타내는 정보 등이 동 법률(안)의 적용대상이 된다. 또한, 사망자에 관한 정보는 원칙적으로 적용대상이 되지 않지만, 사망자의 정보가 동시에 유족 등의 정보이기도 한 경우에는 당해 생존하는 개인에 관한 정보로서 이 법률(안)의 적용대상이 된다.

법인정보의 보호와 관련해서는 기본적으로 법인 등의 정보안전성이나 기밀유지 등의 문제는 개인정보보호와 동일하게 취급되어야 할 것으로 생각되지만, 동 법률(안)에서는 적용대상에서 이를 제외하고 있다.

2) 개인정보취급사업자

개인정보보호법(안)은 원칙적으로 민간사업자 중에서 컴퓨터 등을 이용하여 검색할 수 있도록 체계화 된 개인정보의 집합물인 □개인정보 데이터베이스 등□을 사업에 이용하는 일정한 사업자(이하 □개인정보취급사업자□)에게 적용된다. 다만, 이러한 사업자 중에서 취급하는 개인정보의 양 및 이용방법으로 보아 개인의 권익을 해할 우려가 적은 사업자로서 정령으로 정하는 자는 적용대상에서 제외된다. 또한 국가, 지방공공단체와 독립행정법인 및 특수법인 중에서 다른 법률에 의해 별도로 정한 것은 □개인정보취급사업자□에서 제외된다.

) □개인정보 데이터베이스 등□에는 전자계산기를 이용하는 경우에 상응하는 검색 등의 처리가 가능한 매뉴얼정보(手記情報)도 포함되는 것으로 해석된다.

) 정령에서는 □개인정보 데이터베이스 등□으로 이용되고 있는 개인정보에 의해 식별되는 본인의 수를 기준으로 하는 것이 예정되어 있으나, 구체적인 수에 대해서는 국회 등에서 논의를 거쳐 정해질 것으로 보인다.

그러나, 개인정보취급사업자에 해당하지 않는 사업자라 하더라도 이 법률(안) 제2장의 □기본원칙□에 따라 개인정보를 적정하게 취급할 노력의무는 있다.

3. 기본원칙

개인정보는 그 취급에 따라서 개인의 인격적·재산적인 권익을 침해할 우려가 있으므로 모든 개인정보는 개인의 인격존중의 이념 아래서 신중하게 취급될 필요가 있으며, 타인의 개인정보를 취급하는 사람은 개인정보의 성격과 중대성을 인식하고 개인정보의 적정한 취급을 위해 노력하여야 한다.

이러한 이유로 이 법률안에서는 제2장(제4조~제8조)에서 OECD 8원칙을 원형으로 한 5개의 기본원칙을 정하고 있다. 기본원칙은 강제력은 없으나, 개인정보를 취급하는 모든 자에게 과하여지는 노력의무라고 할 수 있다.

) 개인정보보호에 관한 기본원칙은 다음과 같다.

①이용목적에 의한 제한(제4조) : 개인정보는 그 이용목적이 명확하여야 하며 동시에 당해 이용목적의 달성에 필요한 범위내에서 취급되어야 한다.

②적정한 취득(제5조) : 개인정보는 적법하고 적정한 방법으로 취득되어야 한다.

③정확성의 확보(제6조) : 개인정보는 그 이용목적의 달성에 필요한 범위내에서 정확하고 최신의 내용으로 유지되어야 한다.

④안전성의 확보(제7조) : 개인정보의 취급에 있어서는 누설, 멸실 또는 훼손의 방지 기타 안전관리를 위하여 필요하고 적절한 조치가 강구되도록 배려하여야 한다.

⑤투명성의 확보(제8조) : 개인정보의 취급에 있어서는 본인이 적절하게 관여할 수 있도록 배려되어야 한다.

개인정보보호를 위한 5가지의 기본원칙에 따라 모든 개인, 단체, 법인, 기관은 개인정보의 적정한 취급을 위하여 노력하여야 한다. 구체적으로 어떤 취급이 적정한가는 스스로 공익상의 필요성이나 정당한 사업활동의 필요성을 고려하면서, 개인정보의 성질, 이용방법, 취급자의 적정한 업무의 실시 필요성 등을 감안하여 개인정보의 보호에 필요한 범위를 판단하게 된다.

4. 개인정보취급사업자의 의무 등

1) 기본원칙에의 대응

기본적으로 앞서 언급한 5개의 기본원칙에 대응하여 개인정보취급사업자의 의무를 상세히 규정하고 있다. 이것은 개인정보취급사업자가 지키지 않으면 안되는 최소한의 의무를 정한 것이다.

OECD 8원칙과 개인정보취급사업자의 의무규정의 대응

OECD 8원칙	개인정보취급사업자의 의무
o 목적명확화의 원칙 o 이용제한의 원칙	- 이용목적을 가능한 한정하고 특정하지 않으면 아니됨(제20조) - 이용목적 달성에 필요한 범위를 초과하여 취급해서는 아니됨(제21조) - 본인의 동의를 얻지 않고 제3자에게 제공하여서는 아니됨(제28조)
o 수집제한의 원칙	- 거짓 기타 부정한 수단에 의해 취득해서는 아니됨(제22조)
o 데이터내용 정확성의 원칙	- 정확한 최신의 내용으로 보유하도록 노력하여야 함(제24조)
o 안전보호의 원칙	- 안전한 관리를 위해 필요한 조치를 강구하여야 함(제25조) - 종업원, 위탁처에 대해 필요한 감독을 행하여야 함(제26조, 제27조)
o 공개의 원칙 o 개인참가의 원칙	- 취득한 때에는 이용목적을 통지 또는 공표하여야 함(제23조) - 이용목적 등을 본인이 알 수 있는 상태에 두어야 함(제29조) - 본인의 요구에 의해 보유데이터를 개시하여야 함(제30조) - 본인의 요구에 의해 정정 등을 행하여야 함(제31조) - 본인의 요구에 의해 이용정지등을 행하여야 함(제32조)
o 책임의 원칙	- 고충의 적절하고 신속한 처리에 노력하여야 함(제36조)

2) 실효성 확보를 위한 조치

① 고충처리기관의 설치

개인정보보호법(안)은 민간분야의 개인정보의 보호에 관하여 민간단체에 의한 자주적인 대처방안을 존중하고, 정부 등이 이를 지원해 가는 것을 기본방향으로 하고 있다. 이에 따라, 고충처리를 비롯하여 개인정보의 적정한 취급의 확보를 목적으로 하는 업무를 행하는 민간단체에 대해서 이를 주무장관이 인정하는 □인정개인정보보호단체□ 제도를 마련하고 있다.

) 주무장관이 일정한 기준을 충족하는 민간단체를 □인정개인정보보호단체□로 인정함에 따라 개인이 안심하고 고충을 신고하는 것이 가능한 창구가 마련될 뿐만 아니라 인정을 받은 단체나 그 단체의 고충처리 대상이 되는 사업자에 있어서도 업무에 대한 신뢰성을 얻을 수 있다.

② 주무대신의 관여

민간부문에 있어서 개인정보를 둘러싼 문제는 기본적으로는 당사자간에서 다루어지는 것이 바람직하나, 당사자간의 문제를 넘어서 사회적인 해결이 요청되는 경우 등에는 행정기관에 의한 적절한 대응이 요구되므로 개인정보취급사업자의 의무를 담보하기 위해 주무대신에 의한 관여를 규정하고 있다.

주무대신은 개인정보취급사업자에게 개인정보의 취급에 대해 보고를 받고 필요한 조언을 행하는 외에 의무 위반에 대해서 시정조치의 권고를 하거나, 권고에 따르지 않을 경우 이에 상응하는 조치를 할 수 있다. 또한 주무대신은 인정개인정보보호단체에 대해서도 보고를 요구하고 명령이나 인정의 취소 등의 조치를 할 수 있다.

5. 정부의 조치 및 시책

행정기관에 있어서 개인정보의 취급은 법령에 근거한 엄격한 보호·관리하에 놓여지도록 함으로써 행정에 대한 국민의 신뢰를 확보하기 위한 특별한 배려가 필요하다.

이와 관련하여 국가, 지방공공단체가 개인정보를 정확히 취급하기 위해 필요한 시책을 정하고 이것을 실행할 책무가 있음을 규정하고, 행정기관이 보유하는 개인정보나 독립행정법인, 특수법인에 대해서는 법정상의 조치를 강구하도록 하고 있다.

또한, 종합적·일체적인 개인정보보호를 위해 정부가 □개인정보보호에 관한 기본방침□을 정하도록 하고 있는 한편 지방공공단체가 행하는 개인정보보호 활동에 대해서 지원 및 고충처리나 적정한 취급을 위한 조치를 강구하도록 하고 있다.

지방공공단체에 대해서는 보유하는 개인정보에 대한 적정취급 의무를 정하여 사업자나 주민을 지원하기 위해 필요한 조치를 강구하고 사업자와 개인정보 주체 사이에 일어난 고충을 처리하기 위해 필요한 조치를 하도록 하고 있다.

Ⅲ. 정보통신망법과 일본 개인정보보호법(안)의 비교

우리나라의 개인정보보호 법제 현황을 살펴보면, 민간부문의 개인정보보호와 관련해서는 정보통신망법에서 OECD 개인정보보호 8원칙 및 EU 개인정보보호지침 등을 고려하여 정보통신서비스제공자등의 개인정보 수집·이용 및 제공에 따른 제반사항을 규율하고 일부 오프라인 사업자에게 동 규정을 준용하고 있으며, 기타 분야에 대해서는 통신비밀보호법, 전기통신사업법, 의료법, 신용정보의이용및보호에관한법률 등 각 개별 법률에서 분야의 특성을 고려하여 개인정보보호를 위한 규정들이 산재해 있다. 공공부문의 개인정보보호에 대해서는 공공기관의개인정보보호에관한법률이 일반법으로서의 역할을 하고 있으며 기타 주민등록법 등 개별법에 개인정보보호에 관한 규정을 두고 있다. 결론적으로 우리나라의 개인정보보호 법체제는 공공부문과 달리 민간부문에서는 개인정보를 보호하기 위해 모든 분야에 포괄적으로 적용되는 기본법 내지는 일반법을 두고 있지 않다.

이하에서, 민간부문에서의 개인정보보호와 관련하여 정보통신망법과 개인정보보호법(안)의 주요 차이점 및 문제점을 비교·검토하고자 하는 이유는 법 적용대상 사업자의 범위에서는 큰 차이가 있지만 양자 모두 정보통신기술의 발전에 따라 대량으로 수집·이용·처리되는 이용자의 개인정보를 보호하기 위하여 개인정보를 취급하는 사업자등이 준수해야 하는 세부적인 사항을 규정함으로써 이용자의 권익을 보호하는 것을 주된 목적으로 하고 있기 때문이다. 또한, 일본의 개인정보보호 법제에 대한 검토를 통해 우리나라의 민간부문 개인정보법제의 발전방향과 향후 정보통신망법의 개정이나 일반법 제정을 추진하기 위한 기초자료로써 좋은 참고가 될 것으로 생각되기 때문이다.

1. 기본원칙의 법적 성격과 보도의 자유

일본 개인정보보호법(안)은 특정의 개인정보를 컴퓨터 등을 이용하여 검색할 수 있도록 체계적으로 구성한 □개인정보 데이터베이스등□을 사업에 이용하고 있는 자(이하 □개인정보취급사업자□)를 적용대상으로 하고 있다. 따라서, 적용대상 사업자의 범위에 있어서는 정보통신망법이 정보통신서비스제공자등과 일부 오프라인 사업자를 규제대상으로 하고 있는 것에 비해 온·오프라인에 관계없이 개인정보를 취급하는 모든 사업자를 그 대상으로 하고 있다고 말할 수 있다.

다만, 개인정보취급사업자중 방송기관·신문사·통신사 기타의 보도기관, 대학 기타 학술연구를 목적으로 하는 기관·단체 또는 그에 속하는 자, 종교단체 및 정치단체가 보도·학술연구·종교활동·정치활동을 목적으로 개인정보를 취급하는 경우에는 이 법률(안)에서 규정하고 있는 개인정보취급사업자의 의무규정의 적용을 배제하고 있다. 따라서, 보도기관 등은 개인정보의 안전관리를 위하여 필요하고 적절한 조치, 개인정보의 취급에 관한 고충의 처리 기타의 개인정보의 적정한 취급을 확보하기 위하여 필요한 조치를 스스로 강구하고 당해 조치의 내용을 공표하도록 하는 기본원칙상의 노력의무만이 부과될 뿐이다.

그러나, 이와 관련하여 일본에서는 언론기관의 □보도의 자유□와 관련하여 의무규정의 적용을 배제하는 □보도□의 개념의 무엇인지 여부와 개인정보보호를 위한 노력의무를 부과하고 있는 □기본원칙□의 법적 성격과 관련하여 다음과 같은 비판이 제기되었다.

첫째, 기본원칙상의 □적법하고 적정한 취득□, □본인의 적절한 관여□ 등의 조항을 이유로 피취재자로부터 취재를 거부당하거나 취재내용의 공개를 요구당할 우려가 있으며, 특히 공인(公人)의 의혹추구 등의 취재활동에 있어서 제약이 가하여질 위험이 있다.

둘째, 동 법률(안)의 기본원칙은 선언적 성격 뿐만 아니라 노력의무로 해석하여 재판규범성을 인정하여야 한다는 점은 개인정보보호법제화 전문위원회의 논의를 통해 어느 정도 일치를 보았지만, 개인정보취급사업자의 의무규정과 대응되는 기본원칙의 성격상 포괄적 성격의 기본원칙이 법안의 적용제외 대상이었던 보도기관 등에 적용될 수 있어 문제의 소지가 있다는 비판이 있다. 즉, 기본원칙을 위반해도 벌칙 규정은 없지만, 손해배상소송으로 위법성의 판단 요소가 됨으로써 재판규범이 되어 구속력을 가지기 때문에 취재보도 활동을 제약한다.

셋째, 보도기관이 보도목적으로 개인정보를 취급하는 경우에는 의무규정의 적용을 제외하도록 하고 있지만, 보도기관인지 또는 보도목적인지의 여부의 판단은 행정청에 위임되어 있으며, 프리저널리스트, 작가 등에 대해서도 명확한 해석이 없다는 문제가 있다.

) 이와 관련하여 □프리 저널리스트□가 대량의 개인정보를 데이터 베이스화하여 이용하고 있지 않는 경우에는 애당초 □개인정보취급사업자□의 정의에 해당하지 않으므로 개인정보취급사업자의 의무 규정은 적용되지 않는다. 또한 □프리 저널리스트□가 대량의 개인정보를 데이터베이스화하여 이용하고 있는 경우에는 □개인정보취급사업자□에 해당하나, □보도기관□은 법인·개인을 구분하지 않으므로 이 경우에도 적용 제외를 받게 된다.

일본 개인정보보호법 수정(안)에서는 □보도□의 개념에 대해서 □불특정·다수의 사람에 대해서 객관적 사실을 사실로서 알리는 것□이라고 정의하고, 기본원칙을 삭제하는 한편 □개인정보의 적정한 취급□을 요구하는 □기본이념□을 신설함으로써 이러한 비판을 어느정도 해소하였다고 보여진다.

현행 정보통신망법에서는 보도기관 자체가 법 적용대상 사업자가 아니므로 개인정보의 수집 등과 관련해서는 동법에 따른 문제 제기의 소지가 없다고 볼 수 있으나, 보도·표현의 자유와 관련한 이러한 비판은 향후 정보통신망법의 개정을 통한 적용대상 사업자의 확대 또는 개인정보보호 일반법 제정을 통한 기본원칙의 제정에 있어서 동일한 비판이 제기될 가능성이 크다. 또한, 학술·연구기관의 연구 목적의 개인정보 수집 등에 대해서도 보도기관과 유사한 문제가 제기될 수 있으므로 이에 대해서도 신중한 접근이 필요할 것으로 생각된다.

2. 개인정보 피해구제체제

민간부문의 개인정보보호와 관련하여 정보통신망법과 개인정보보호법(안)의 가장 큰 차이점이라고 할 수 있는 것이 민간단체에 의한 개인정보보호의 추진을 위해 고충처리 업무를 담당하는 □인정개인정보보호단체□를 명문화하고 있다는 점이다.

) 지금까지 일본의 경우 민간부문의 개인정보보호는 사업자단체 등이 가이드라인을 책정하고 관계당사자가 이를 준수하는 것을 중심으로 이루어져 왔다. 개인정보보호법(안)에서도 이러한 사업자의 자주적인 방식을 존중하고 정부가 이를 지원하는 것을 기본으로 하는 위에 특히 필요한 부분에 대해서는 최소한도의 규율을 정비하는 것을 전체 개념으로 하고 있다.

일본의 경우 EU의 □개인정보보호 감독기구□와 같은 모든 분야를 통한 규제권한을 가진 독립 감독기관의 창설은 일반 다수의 사업자에 대한 규제조치에 의하여 본래의 자유로운 영업활동을 크게 제약하게 되고, 이는 행정개혁이나 규제완화의 흐름에도 반하는 것이라 하여 민간단체를 통한 사후 피해구제체제의 도입을 시도하고 있다.

개인정보와 관련된 분쟁을 민간의 분쟁처리 기관을 통해 해결하는 것은 모든 문제를 소송으로 해결하는 것보다 당사자에게 보다 간편하고 신속한 고충처리를 위해 매우 바람직한 방법이라 할 수 있다.

현행 정보통신망법에서도 □개인정보분쟁조정위원회□를 법정기구화하여 개인정보에 관한 분쟁이 발생한 경우 당사자간에 합리적이고 원만한 분쟁을 해결할 수 있도록 하고 있다. 그러나, 개인정보분쟁조정위원회는 위원 등을 정보통신부장관이 임명하고 위원의 신분이 보장되며, 설립 자체가 법률의 규정에 의한 법정기구라는 점 등에서 순수 민간사업자 단체인 □인정개인정보보호단체□와 구별된다.

개인정보보호법(안)에서는 주무대신의 인정을 받을 수 있는 기준과 그 업무에 대해 규정하고 있으며, 인정개인정보보호단체의 신뢰성 확보를 위해 주무대신에 의한 보고의 징수, 개선명령, 인정의 취소를 인정하고 있다. 다만, 동 법률(안)에서 인정개인정보보호단체는 개인정보를 취급하는 관련 사업자단체로 제한되어 있지만, 보다 중립성이 높고 사회적 영향력이 있는 사업자단체, 공적기관, 비영리단체(NGO) 등 제3자 기관에 의한 분쟁처리 구조를 정비할 필요가 있다는 견해도 있다.

일본의 인정개인정보보호단체 제도에 대해서는 고충처리와 관련한 긍정적인 측면 외에도 다음과 같은 점이 고려되어야 할 것이다.

첫째, 인정개인정보보호단체의 지정 기준이나 요건에 대한 구체적인 논의가 선행되어야 할 것이다. 지정 기준이나 요건이 엄격하지 않을 경우 해당 사업분야에 다수의 인정개인정보보호단체가 존재할 수 있고 이에 따른 사회적 비용이나 비효율이 크게 나타날 가능성이 있다.

둘째, 일본 개인정보보호법(안)의 경우 주무대신의 정함에 있어 ⅰ) 설립에 관한 허가 또는 인가를 받고 있는 인정개인정보보호단체에 대해서는 그 설립의 허가 또는 인가를 한 대신 등 ⅱ) 설립에 관한 인가 또는 허가를 받고 있지 않은 인정개인정보보호단체에 대해서는 당해 인정개인정보보호단체의 대상사업자가 행하는 사업을 소관하는 대신 등이라고 규정하고 있다. 그러나, ⅱ)에 해당하는 경우에 대해서 대상사업자가 행하는 사업을 소관하는 부서가 반드시 명백하다고 볼 수는 없을 것이므로 이에 따른 관련 부처간의 이견이 있을 가능성도 있다.

전술한 바와 같이 우리나라의 경우에는 개인정보분쟁조정위원회를 통해 개인정보 관련 분쟁을 조정하고 있지만, 이는 유럽식의 독립적인 감독기구 형태도 아니고 일본의 인정개인정보보호단체와도 그 성격이 다르다. 향후 개인정보보호법제 선진화 및 EU와의 협상을 위해서는 기존의 개인정보분쟁조정위원회의 위상에 대한 재검토가 있어야 할 것으로 생각된다.

3. 벌칙 규정

정보통신망법의 경우 정보통신서비스제공자등이 개인정보보호 관련 의무규정을 위반한 경우에는 1,000만원 이하의 과태료 또는 형사처벌을 부과하고 있다. 또한 직접적인 벌칙규정이 없는 경우에도 정보통신부장관이 이에 대한 시정명령을 발할 수 있으며, 이를 위반한 경우 1,000만원 이하의 과태료가 부과된다. 반면에, 개인정보보호법(안)의 경우에는 개인정보취급사업자의 개인정보보호 관련 의무규정 위반에 대해서 정보통신망법과 같은 별도의 과태료 규정을 두지 않고 주무대신이 시정을 명할 수 있고 이를 위반한 경우에 6월 이하의 징역 또는 30만엔 이하의 벌금에 처하고 있다.

일본 개인정보보호법(안)은 민간부문의 개인정보보호에 관한 기본법으로서의 역할을 수행할 것으로 기대되므로 벌칙 규정을 두는 것에 대해서는 신중한 검토가 필요하다는 견해가 있다. 즉, 민간의 전 분야에 걸쳐 적용되는 벌칙 규정을 두는 것은 일반 다수의 사업자를 대상으로 하기 때문에 미약한 것이 될 수 밖에 없으므로 형벌 규정의 일반예방적 효과에는 한계가 있으며 전체적으로 실효성이 높다고 볼 수도 없다. 또한 미약한 벌칙이라 하더라도 모든 분야의 다수 사업자에게 있어서는 자유로운 사업활동의 방해요인으로 작용될 수도 있으며 이로 인해 보호되어야 하는 다른 권익이 침해될 우려도 있다.

형사벌의 경우에는 다른 수단에 의해 법규정의 실효성을 담보할 수 없는 경우에 한하여 규정하는 것이 적절할 것으로 생각되며, 다양한 민간분야에 일률적으로 적용되는 벌칙을 규정하는 경우 각 분야에서 개인정보의 수집·이용 등의 형태가 다양하므로 구성요건의 명확화 관점에서도 문제점이 많다.

정보통신망법의 경우 목적외 이용 또는 동의없는 개인정보 제3자 제공 등의 경우에 형사처벌을 규정하고 있으나, 적용대상 사업자가 정보통신서비스제공자등으로 한정되어 있고 개인정보의 수집 및 이용형태도 대부분 유사하다고 볼 수 있으므로 구성요건해당성을 판단하는 데에는 문제점이 없어 보인다. 그러나, 정보통신망법 개정을 통해 적용대상 사업자의 범위가 크게 확대되거나 개인정보보호 일반법을 제정하는 경우에는 형사처벌 규정의 도입에 있어서는 신중한 검토가 필요할 것으로 생각된다.

Ⅳ. 결 론

일본 정부는 작년 임시국회에서 폐안된 개인정보보호법(안)을 대폭 수정하여 3월 7일 내각 결정을 통해 수정(안)을 국회에 제출했다.

) 수정 개인정보보호법(안)의 주요 내용을 살펴보면 다음과 같다.

①개인정보를 취급하는 모든 사람에게 이용목적에 의한 제한이나 적정한 취득, 투명성의 확보 등을 요구하여 □표현이나 보도의 자유를 제약한다□는 비판이 강했던 □기본원칙□을 삭제하는 대신 □기본이념□을 내걸어 □개인정보의 적정한 취급□을 요구하는데 그치고 있다.

②개인정보취급사업자에 대한 의무규정의 적용 제외 대상인 보도기관이나 대학 등의 연구기관, 종교단체, 정치단체에 추가하여 □저술을 업으로 하는 자□를 새롭게 규정하였다. 개념이 너무 추상적이라는 비판을 받은 □보도□의 정의에 대해서도 □불특정·다수의 사람에 대해서 객관적 사실을 사실로서 알리는 것□이라고 정의했다.

③주무대신의 개인정보취급사업자에 대한 명령·권고 등의 권한 행사에 대해서는 표현이나 학문, 종교, 정치활동의 자유를 □방해해서는 안된다□고 한 것에 추가하여 보도기관 등에의 개인정보의 제공에는 □권한을 행사하지 않는다□라고 명기하여 보도나 언론의 자유에 대한 일정한 배려를 하고 있다.

고이즈미 총리는 개인정보보호법(안)의 성립에 대해 강력한 의지를 보이고 있는데 이는 2003년 상반기부터 본격 가동하는 주민네트워크기본대장의 시행에 앞서 개인정보보호법(안)을 성립시키려는 의지로 보인다. 그러나, 일본내의 경제현안 문제와 북핵문제, 예산안 처리문제 등으로 인해 법안 성립에 난항이 예상되고 있다.

) 2003년 9월말경에 일본 자민당 총재 선출이 있어 고이즈미 총리의 임기가 얼마 남지않아, 일본 중의원 해산문제가 벌써부터 거론되고 있다. 때문에 개인정보보호법(안)의 임기내 처리에 몰두하고 있는 것으로 보인다.

그러나, 일본 개인정보보호법(안)은 유럽식의 통합법 체계와 미국의 민간자율규제 형식인 □세이프하버 원칙□의 중간을 걷는 법체계를 시도했다는 점과 EU의 개인정보보호 강화 요구를 수용하면서도 유럽식의 독립 개인정보보호 감독기구를 두지 않고, 고충처리를 수행하는 민간기구인 인정개인정보보호단체의 지정을 시도했다는 점에서 우리나라 개인정보보호 법제의 개선방향에 시사하는 바가 크다.

특히, 개인정보보호는 법규범을 통한 정부규제와 더불어 민간자율규제가 병행될 때 보다 효과적임을 감안한다면 일본 개인정보보호법(안)에서 규정하고 있는 인정개인정보보호단체는 좋은 참고자료가 될 것으로 생각된다.

우리나라의 경우 현행 정보통신망법이 민간부문의 개인정보보호와 관련하여 주도적인 역할을 수행하고 있지만 적용대상 사업자의 범위가 정보통신서비스제공자등과 일부 오프라인 사업자로 한정되어 있어 법 적용의 사각지대가 발생하고 있다. 통신·의료·신용정보와 관련해서는 관련 개별법에서 개인정보보호에 대한 규정을 찾아볼 수 있지만 이 또한 매우 미흡한 실정이다.

따라서, 우리나라도 민간부문의 모든 분야를 망라할 수 있는 개인정보보호에 관한 기본법 제정 작업을 서둘러 시작해야 할 것으로 생각된다. 사견으로는 기본법의 내용은 개인정보보호에 관한 일반원칙과 기본방향을 규정하고 세부적인 사항은 관련 개별법에서 규정하는 형태가 바람직할 것으로 생각된다.

[부  록]

일본 개인정보보호에관한법률(안)

제1장  총  칙

제1조(목적) 이 법률은 고도정보통신사회의 진전에 따른 개인정보의 이용이 현저히 확대되고 있음에 따라, 개인정보의 적정한 취급에 관한 기본원칙 및 정부에 의한 기본방침의 작성 기타 개인정보의 보호에 관한 시책에 기본이 되는 사항을 정하고, 국가 및 지방공공단체의 책무등을 명확히 밝힘과 동시에 개인정보를 취급하는 사업자가 준수하여야 하는 의무등을 정함에 의해, 개인정보의 유용성에 배려하면서 개인의 권리이익을 보호하는 것을 목적으로 한다.

제2조(정의) ①이 법률에 의한 □개인정보□는 생존하는 개인에 관한 정보로서, 당해 정보에 포함되는 성명, 생년월일 기타 기술 등에 의해 특정한 개인을 식별하는 일이 가능한 것(다른 정보와 용이하게 조합되어, 그에 의해 특정한 개인을 식별하는 일이 가능하게 되는 것을 포함한다)을 말한다.

②이 법률에 있어서 □개인정보데이터베이스□는, 개인정보를 포함한 정보의 집합물로서, 다음에 게재하는 것을 말한다.

1. 특정의 개인정보를 전자계산기를 이용하여 검색할 수 있도록 체계적으로 구성한 것으로서 정령으로 정한 것

2. 전호에 게재된 것 외에, 특정의 개인정보를 용이하게 검색할 수 있도록 체계적으로 구성한 것으로서 정령으로 정한 것

③이 법률에 있어서 □개인정보취급사업자□는 개인정보데이터베이스등을 사업에 이용하고 있는 자를 말한다. 다만, 다음에 게제하는 자는 제외한다.

1. 국가기관

2. 지방공공단체

3. 독립행정법인(독립행정법인통칙법(평성11년 법률제103호) 제2조제1항에 규정한 독립행정법인을 말한다. 이하 같다) 중에서 별도로 법률로 정한 것

4. 특수법인(법률에 의해 직접 설립된 법인 또는 특별한 법률에 의한 특별설립행위로 설립된 법인으로, 총무성설치법(평성11년 법률91호)제4조제15호의 규정의 적용을 받는 것을 말한다. 이하 같다) 중에서 별도로 법률로 정한 것

5. 그 취급하는 개인정보의 양 및 이용방법으로 보아 개인의 권리이익을 해할 우려가 적지 않은 것으로서 정령에서 정하는 자

④이 법률에 있어서 □개인데이터□는 개인정보데이터베이스등을 구성하는 개인정보를 말한다.

⑤이 법률에 있어서 □보유 개인데이터□는 개인정보취급사업자가 공개, 내용의 정정, 추가 또는 삭제, 이용의 정지, 소거 및 제3자에의 제공의 정지를 행할 수 있는 권한을 가지는 개인데이터로서, 그 존부가 명확히 되는 것에 의해 공익 기타의 이익을 해하는 것으로서 정령에서 정하는 것 또는 1년 이내에 정령에서 정하는 기간 이내에 소거하는 것 이외의 것을 말한다.

⑥이 법률에 있어서 개인정보에 관한 □본인□은 개인정보에 의해 식별되는 특정의 개인을 말한다.

제2장  기본원칙

제3조(기본원칙) 개인정보는 개인의 인격존중의 이념 아래 신중하게 취급되어야 함에 따라, 개인정보를 취급하는 자는 제4조 내지 제8조에 규정한 기본원칙에 따라 개인정보의 적정한 취급에 노력하여야 한다.

제4조(이용목적에 의한 제한) 개인정보는, 그 이용목적이 명확하게 됨과 동시에, 당해 목적의 달성에 필요한 범위 내에서 취급되어져야 한다.

제5조(적정한 취득) 개인정보는 적법하고 적정한 방법으로 취득되어야 한다.

제6조(정확성의 확보) 개인정보는 그 이용목적의 달성에 필요한 범위 내에서 정확하고 최신의 내용이 확보되어야 한다.

제7조(안전성의 확보) 개인정보의 취급에 있어서는 누설, 멸실 또는 훼손의 방지 기타 안전관리를 위한 필요하고 적절한 조치가 강구되도록 배려하여야 한다.

제8조(투명성의 확보) 개인정보의 취급에 있어서는 본인이 적절하게 관여할 수 있도록 배려되어야 한다.

제3장  국가 및 지방공공단체의 책무등

제9조(국가의 책무) 국가는 이 법률의 취지에 따라 개인정보의 적정한 취급을 확보하기 위하여 필요한 시책을 종합적으로 책정하고 이를 실시할 책무를 가진다.

제10조(지방공공단체의 책무등) 지방공공단체는 이 법률의 취지에 따라 그 지방공공단체 구역의 특성에 따라서 개인정보의 적정한 취급을 확보하기 위해 필요한 시책을 책정하고 이를 실시할 책무를 가진다.

제11조(법제상의 조치등) ①정부는 국가행정기관에 관하여 그 보유하는 개인정보의 성질, 당해 개인정보를 보유하는 목적 등을 감안하여 그 보유하는 개인정보의 적정한 취급이 확보되도록 법제상의 조치 기타 필요한 조치를 강구하여야 한다.

②정부는 독립행정법인 또는 특수법인에 관하여 그 성격 및 업무내용에 따라 그 보유하는 개인정보의 적정한 취급이 확보되도록 법제상의 조치 기타 필요한 조치를 강구하여야 한다.

③정부는 전 2항에 정한 사항 외에 개인정보의 성질 및 이용방법에 비추어보아, 개인의 권리이익의 보호를 도모하기 위하여 특히 그 적정한 취급의 엄격한 실시를 확보할 필요가 있는 개인정보에 관해 보호에 필요한 각별한 조치가 강구되도록 필요한 법제상의 조치 기타의 조치를 강구하여야 한다.

제4장  개인정보의 보호에 관한 시책등

제1절  개인정보의 보호에 관한 기본방침

제12조(기본방침) ①정부는 개인정보의 보호에 관한 시책의 종합적이고 일체적인 추진을 도모하기 위해, 개인정보의 보호에 관한 기본방침(이하 □기본방침□이라 한다)을 정하여야 한다.

②기본방침은, 다음에 게제한 사항에 관해 정하는 것으로 한다.

1. 개인정보의 보호에 관한 시책의 추진에 관한 기본적인 방향

2. 국가가 강구하여야 하는 개인정보의 보호를 위한 조치에 관한 사항

3. 지방공공단체가 강구하여야 하는 개인정보의 보호를 위한 조치에 관한 기본적인 사항

4. 독립행정법인 및 특수법인이 강구하여야 하는 개인정보의 보호를 위한 조치에 관한 기본적인 사항

5. 개인정보취급사업자 및 제45조제1항의 규정에 의한 인정개인정보보호단체가 강구하여야 하는 개인정보의 보호를 위한 조치에 관한 기본적인 사항

6. 개인정보의 취급에 관한 고충의 원활한 처리에 관한 사항

7. 기타 개인정보의 보호에 관한 시책의 추진에 관한 중요사항

③내각총리대신은 국민생활심의회의 의견을 들어 기본방침을 작성하고 각의의 결정을 요구하여야 한다.

④내각총리대신은 전항의 규정에 의한 각의의 결정이 있은 때는 지체없이 기본방침을 공표하여야 한다.

⑤전 2항의 규정은 기본방침의 변경에 관해 준용한다.

제2절 국가의 시책

제13조(지방공공단체등에의 지원) 국가는 지방공공단체가 책정하거나 또는 실시하는 개인정보의 보호에 관한 시책 및 국민 또는 사업자등이 개인정보의 적정한 취급의 확보에 관하여 행하는 활동을 지원하기 위해, 정보의 제공, 사업자등이 강구하여야 하는 조치의 적절하고 유효한 실시를 도모하기 위한 지침의 책정 기타 필요한 조치를 강구하여야 한다.

제14조(고충처리를 위한 조치) 국가는 개인정보의 취급과 관련하여 사업자와 본인간에 발생하는 고충의 적절하고 신속한 처리를 도모하기 위하여 필요한 조치를 강구하여야 한다.

제15조(개인정보의 적정한 취급을 확보하기 위한 조치) 국가는 지방공공단체와의 적절한 역할분담을 통하여, 다음 장에서 규정하는 개인정보취급사업자에 의한 개인정보의 적정한 취급을 확보하기 위하여 필요한 조치를 강구하여야 한다.

제3절 지방공공단체의 시책

제16조(보유하는 개인정보의 보호) 지방공공단체는 그 보유하는 개인정보의 성질, 당해 개인정보를 보유하는 목적등을 감안하여, 그 보유하는 개인정보의 적정한 취급이 확보되도록 필요한 조치를 강구하도록 노력하여야 한다.

제17조(구역내의 사업자등에의 지원) 지방공공단체는 개인정보의 적정한 취급을 확보하기 위하여, 그 구역내의 사업자 및 주민에 대한 지원에 필요한 조치를 강구하도록 노력하여야 한다.

제18조(고충처리의 알선등) 지방공공단체는 개인정보의 취급과 관련하여 사업자와 본인간에 발생하는 고충이 적절하고 신속하게 처리될 수 있도록 하기 위해, 고충처리의 알선 기타 필요한 조치를 강구하도록 노력하여야 한다.

제4절 국가 및 지방공공단체의 협력

제19조 국가 및 지방공공단체는 개인정보의 보호에 관한 시책을 강구함에 있어 서로 협력하여야 한다.

제5장 개인정보취급사업자의 의무등

제1절 개인정보취급사업자의 의무

제20조(이용목적의 특정) ①개인정보취급사업자는 개인정보를 취급함에 있어 그 이용의 목적(이하 □이용목적□이라 한다)을 가능한 한 특정하여야 한다.

②개인정보취급사업자는 이용목적을 변경하는 경우에는 변경전의 이용목적과 상당한 관련성이 있고 합리적이라고 인정되어지는 범위를 넘어서 변경하여서는 아니된다.

제21조(이용목적에 의한 제한) ①개인정보취급사업자는 미리 본인의 동의를 얻지 않고 전조의 규정에 의하여 특정된 이용목적의 달성에 필요한 범위를 넘어서 개인정보를 취급하여서는 아니된다.

②개인정보취급사업자는 합병 기타의 사유로 인하여 다른 개인정보취급사업자로부터 사업을 승계함에 따라 개인정보를 취득한 경우에는, 미리 본인의 동의를 얻지 않고 승계전 당해 개인정보의 이용목적의 달성에 필요한 범위를 초과하여, 당해 개인정보를 취급하여서는 아니된다.

③전 2항의 규정은 다음에 게재하는 경우에 대해서는 적용하지 않는다.

1. 법령에 근거하는 경우

2. 사람의 생명, 신체 또는 재산의 보호를 위하여 필요한 경우로서 본인의 동의를 얻는 것이 곤란한 경우

3. 공중위생의 향상 또는 아동의 건전한 육성의 추진을 위하여 특히 필요한 경우로서 본인의 동의를 얻는 것이 곤란한 경우

4. 국가기관 혹은 지방공공단체 또는 그 위탁을 받은 자가 법령에서 정한 사무를 수행함에 대하여 협력할 필요가 있는 경우로서, 본인의 동의를 얻는 것에 의해 당해 사무의 수행에 지장을 미칠 우려가 있는 경우

제22조(적정한 취득) 개인정보취급사업자는 거짓 기타 부정한 수단에 의해 개인정보를 취득하여서는 아니된다.

제23조(취득에 즈음한 이용목적의 통지등) ①개인정보취급사업자는 개인정보를 취득한 경우에는 미리 그 이용목적을 공표하고 있는 경우를 제외하고는, 신속하게 그 이용목적을 본인에게 통지 또는 공표하여야 한다.

②개인정보취급사업자는 전항의 규정에 상관없이 본인과의 사이에서 계약을 체결함에 따른 계약서 기타의 서면(전자적 방식, 자기적 방식 기타 사람의 지각에 의해서는 인식할 수 없는 방식으로 만들어진 기록을 포함한다. 이하 이항에서 같다)에 기재된 당해 본인의 개인정보를 취득하는 경우나 기타 본인으로부터 직접 서면에 기재된 당해 본인의 개인정보를 취득하는 경우에는, 미리 본인에 대해 그 이용목적을 명시하여야 한다. 다만, 사람의 생명, 신체 또는 재산의 보호를 위하여 긴급한 필요가 있는 경우는 이에 한하지 않는다.

③개인정보취급사업자는 이용목적을 변경한 경우에는 변경된 이용목적에 관하여 본인에게 통지 또는 공표하여야 한다.

④전 3항의 규정은 다음에 게재된 경우에 관해서는 적용하지 않는다.

1. 이용목적을 본인에게 통지하거나 또는 공표함에 따라 본인 또는 제3자의 생명, 신체, 재산 기타 권리이익을 해할 우려가 있는 경우

2. 이용목적을 본인에게 통지하거나 또는 공표함에 따라 당해 개인정보취급사업자의 권리 또는 정당한 이익을 해할 우려가 있는 경우

3. 국가기관 또는 지방공공단체가 법령에 정한 사무를 수행하는 것에 대해서 협력할 필요가 있는 경우로서, 이용목적을 본인에게 통지하거나 또는 공표함에 따라 당해 사무의 수행에 지장을 미칠 우려가 있는 경우

4. 취득상황으로 미루어 보아 이용목적이 분명하다고 인정받은 경우

제24조(데이터 내용의 정확성 확보) 개인정보취급사업자는 이용목적의 달성에 필요한 범위 내에서 개인 데이터를 정확하고 최신의 내용으로 보존하도록 노력하여야 한다.

제25조(안전관리조치) 개인정보취급사업자는 그 취급하는 개인 데이터의 누설, 멸실 또는 훼손의 방지 기타 개인 데이터의 안전관리를 위해 필요하고 적절한 조치를 강구하여야 한다.

제26조(종업자의 감독) 개인정보취급사업자는 그 종업자에게 개인 데이터를 취급하게 함에 있어서, 당해 개인데이터의 안전관리가 도모되도록 당해 종업자에 대한 필요하고 적절한 감독을 행하여야 한다.

제27조(위탁자의 감독) 개인정보취급사업자는 개인 데이터의 취급의 전부 또는 일부를 위탁하는 경우에는 그 취급이 위탁된 개인 데이터의 안전관리가 도모되도록 위탁을 받는 자에 대한 필요하고 적절한 감독을 행하여야 한다.

제28조(제3자 제공의 제한) ①개인정보취급사업자는 다음에 게재하는 경우를 제외하고는 미리 본인의 동의를 얻지 않고 개인 데이터를 제3자에게 제공할 수 없다.

1. 법령에 근거한 경우

2. 사람의 생명, 신체 또는 재산의 보호를 위하여 필요한 경우로서 본인의 동의를 얻는 것이 곤란한 경우

3. 공중위생의 향상 또는 아동의 건전한 육성의 추진을 위하여 특히 필요한 경우로서 본인의 동의를 얻는 것이 곤란한 경우

4. 국가기관, 지방공공단체 또는 그 위탁을 받은 자가 법령에서 정한 사무를 수행하는 것에 대해서 협력할 필요가 있는 경우로서, 본인의 동의를 얻는 것에 의해 당해 사무의 수행에 지장을 줄 우려가 있는 경우

②개인정보취급사업자는 제3자에게 제공된 개인 데이터에 관하여, 본인의 요구에 응하여 당해 본인이 식별되는 개인 데이터의 제3자로의 제공을 정지하고 있는 경우에 있어, 다음 각호에 게재된 사항에 관하여 미리 본인에게 통지 또는 본인이 용이하게 알 수 있는 상태로 하고 있는 경우에는 전항의 규정에 상관없이 당해 개인데이터를 제3자에 제공할 수 있다.

1. 제3자로의 제공을 이용목적으로 하는 것

2. 제3자에게 제공된 개인데이터의 항목

3. 제3자로의 제공 수단 또는 방법

4. 본인의 요구에 따라 당해 본인이 식별되는 개인데이터의 제3자로의 제공을 정지하는 것

③개인정보취급사업자는 전항 제2호 또는 제3호에 게재한 사항을 변경하는 경우는, 변경하는 내용에 관하여 미리 본인에게 통지하거나 또는 본인이 용이하게 알 수 있는 상태로 하여야 한다.

④다음 각호에 게재된 경우에 있어 당해 개인데이터의 제공을 받는 자는 전3항의 규정의 적용에 관하여는 제3자에 해당하지 않는 것으로 한다.

1. 개인정보취급사업자가 이용목적의 달성에 필요한 범위 내에서 개인데이터의 취급의 전부 또는 일부를 위탁하는 경우

2. 합병 기타의 사유에 의한 사업의 승계에 따라 개인데이터가 제공되는 경우

3. 개인데이터를 특정의 자와의 사이에서 공동으로 이용하는 경우에 있어, 그 취지 및 공동으로 이용되는 개인데이터의 항목, 공동으로 이용하는 자의 범위, 이용하는 자의 이용목적 및 당해 개인데이터의 관리에 관해 책임이 있는 자의 성명 또는 명칭에 관하여 미리 본인에게 통지하거나 또는 본인이 용이하게 알 수 있는 상태에 놓여져 있는 경우

⑤개인정보취급사업자는, 전항 제3호에서 규정하는 이용하는 자의 이용목적 또는 개인데이터의 관리에 관해 책임이 있는 자의 성명 또는 명칭을 변경하는 경우에는, 변경하는 내용에 관해 미리 본인에게 통지 또는 본인이 용이하게 알 수 있는 상태로 하여야 한다.

제29조(보유 개인데이터에 관한 사항의 공표등) ①개인정보취급사업자는 보유 개인데이터에 관해 다음 각호에 게재된 사항에 관하여 본인이 알수 있는 상태(본인의 요구에 대하여 지체 없이 회답하는 경우를 포함한다)로 하여야 한다.

1. 당해 개인정보취급사업자의 성명 또는 명칭

2. 모든 보유 개인데이터의 이용목적(제23조제4항제1호 내지 제3호에 해당하는 경우를 제외한다)

3. 다음 항, 다음조제1항, 제31조제1항 또는 제32조제1항 혹은 제2항의 규정에 의한 요구에 응하는 수속(제35조제2항의 규정에 의한 수수료의 액을 정한 경우는 그 수수료의 액을 포함한다)

4. 전3호에 게재된 것 외에, 보유 개인데이터의 적정한 취급의 확보에 관하여 필요한 사항으로서 정령으로 정하는 것

②개인정보취급사업자는 본인으로부터 당해 본인이 식별되는 보유 개인데이터의 이용목적의 통지를 요구받은 때에는 본인에 대하여 지체없이 이를 통지하여야 한다. 다만, 다음 각호의 1에 해당하는 경우에는 이에 한하지 않는다.

1. 전항의 규정에 의한 당해 본인이 식별되는 보유 개인데이터의 이용목적이 명확한 경우

2. 제23조제4항제1호 내지 제3호에 해당하는 경우

③개인정보취급사업자는 전항의 규정에 의하여 요구된 보유 개인데이터의 이용목적을 통지하지 않는 취지의 결정을 한 때에는 본인에 대하여 지체없이 그 취지를 통지하여야 한다.

제30조(공개) ①개인정보취급사업자는 본인으로부터 당해 본인이 식별되는 보유 개인데이터의 공개(당해 본인이 식별되는 보유 개인데이터가 존재하지 않는 경우에 그 취지를 알리는 것을 포함한다. 이하 같다)를 요구받은 경우에는, 본인에 대하여 정령에서 정한 방법에 의해 지체없이 당해 보유 개인데이터를 공개하여야 한다. 다만, 공개하는 것에 의해 다음 각호의 1에 해당하는 경우에는, 그 전부 또는 일부를 공개하지 아니할 수 있다.

1. 본인 또는 제3자의 생명, 신체, 재산 기타의 권리이익을 해할 우려가 있는 경우

2. 당해 개인정보취급사업자의 업무의 적정한 실시에 현저한 지장을 미칠 우려가 있는 경우

3. 다른 법령에 위반하게 되는 경우

②개인정보취급사업자는, 전항의 규정에 의하여 요구받은 보유 개인데이터의 전부 또는 일부에 대하여 공개하지 아니하는 취지의 결정을 한 경우에는, 본인에 대하여 지체없이 그 취지를 통지하여야 한다.

③다른 법령의 규정에 의해, 본인에 대하여 제1항 본문에 규정된 방법에 상당하는 방법에 의해 당해 본인이 식별되는 보유 개인데이터의 전부 또는 일부를 공개하게 되는 경우에는, 당해 전부 또는 일부의 보유 개인데이터에 관하여는 동항의 규정을 적용하지 아니한다.

제31조(정정 등) ①개인정보취급사업자는 본인으로부터 당해 본인이 식별되는 보유 개인데이터의 내용이 사실이 아니라는 이유에 의해 당해 보유 개인데이터의 내용의 정정, 추가 또는 삭제(이하 이 조에 있어서 □정정등□이라 한다)를 요구받은 경우에는, 그 내용의 정정등에 관하여 다른 법령의 규정에 의한 특별한 수속이 정하여진 경우를 제외하고, 이용목적의 달성에 필요한 범위 내에서 지체없이 필요한 조사를 행하고, 그 결과에 근거하여 당해 보유개인데이터의 내용의 정정등을 행하여야 한다.

②개인정보취급사업자는, 전항의 규정에 의하여 요구받은 보유 개인데이터의 내용의 전부 또는 일부에 관해 정정등을 행한 때 또는 정정등을 행하지 않는 취지의 결정을 한 때에는, 본인에 대하여 지체없이 그 취지(정정등을 한 경우에는 그 내용을 포함한다)를 통지하여야 한다.

제32조(이용정지등) ①개인정보취급사업자는 본인으로부터 당해 본인이 식별되는 보유개인데이터가 제21조의 규정에 위반하여 취급되고 있다는 이유 또는 제22조의 규정에 위반하여 취득된 것이라고 하는 이유에 의해, 당해 보유개인데이터의 이용의 정지 또는 소거(이하 이조에서 □이용정지등□이라 한다)를 요구받은 경우에 있어서 그 요구가 이유 있다고 판명된 때에는, 위반을 시정하기 위하여 필요한 한도에서 지체없이 당해 보유 개인데이터의 이용정지등을 행하여야 한다. 다만, 당해 보유개인데이터의 이용정지 등에 다액의 비용이 요구되는 경우 기타 이용정지등을 행하는 것이 곤란한 경우에 있어서, 본인의 권리이익을 보호하기 위하여 필요한 이에 대신하는 조치를 취할 때에는 이에 한하지 않는다.

②개인정보취급사업자는 본인으로부터 당해 본인이 식별되는 보유 개인데이터가 제28조제1항의 규정에 위반하여 제3자에게 제공되었다는 이유에 의해, 당해 보유개인데이터의 제3자로의 제공의 정지를 요구받는 경우에 있어 그 요구에 이유가 있다고 판명된 경우에는, 지체없이 당해 보유개인데이터의 제3자로의 제공을 정지하여야 한다. 다만, 당해 보유개인데이터의 제3자로의 제공의 정지에 다액의 비용을 요하는 경우 기타 제3자로의 제공을 정지하는 것이 곤란한 경우에 있어, 본인의 권리이익을 보호하기 위하여 필요한 이에 대신하는 조치를 취할 때에는 이에 한하지 않는다.

③개인정보취급사업자는 제1항의 규정에 근거하여 요구받은 보유 개인데이터의 전부 또는 일부에 관해 이용정지등을 행한 때 또는 이용정지등을 행하지 아니하는 취지의 결정을 한 때, 또는 전항의 규정에 근거하여 요구받은 보유개인데이터의 전부 또는 일부의 관해 제3자로의 제공을 정지한 때 또는 제3자로의 제공을 정지하지 아니하는 취지의 결정을 한 때에는, 본인에 대해 지체없이 그 취지를 통지하여야 한다.

제33조(이유의 설명) 개인정보취급사업자는 제29조제3항, 제30조제2항, 제31조제2항 또는 전조제3항의 규정에 의하여 본인으로부터 요구받은 조치의 전부 또는 일부에 관해, 그 조치를 하지 않는 취지를 통지하는 경우 또는 그 조치와 다른 조치를 취하는 취지를 통지하는 경우에는 본인에 대해 그 이유를 설명하도록 노력하여야 한다.

제34조(공개등의 요구에 응하는 수속) ①개인정보취급사업자는 제29조제2항, 제30조제1항, 제31조제1항 또는 제32조제1항 혹은 제2항의 규정에 근거한 요구(이하 이조에 있어서 □공개등의 요구□라 한다)에 관해, 정령에서 정한 바에 의해 그 요구를 접수하는 방법을 정할 수 있다. 이 경우에 있어서 본인은 당해 방법에 따라 공개등의 요구를 행하여야 한다.

②개인정보취급사업자는 본인에 대해 공개등의 요구에 관하여 그 대상이 되는 보유개인데이터를 특정하기에 충분한 사항의 제시를 요구할 수 있다. 이 경우에 있어서 개인정보취급사업자는, 본인이 용이 혹은 명확하게 공개등을 요구할 수 있도록, 당해 보유 개인데이터의 특정에 이바지하는 정보의 제공 기타 본인의 편리를 고려한 적절한 조치를 취하여야 한다.

③공개등의 요구는, 정령에서 정한 바에 의하여 대리인에 의해 할 수 있다.

④개인정보취급사업자는 전3항의 규정에 근거하여 공개등의 요구에 따르는 수속을 정함에 있어서 본인에게 과중한 부담을 지우지 않도록 배려하여야 한다.

제35조(수수료) ① 개인정보취급사업자는 제29조제2항의 규정에 의한 이용목적의 통지 또는 제30조제1항의 규정에 의한 공개를 요구받은 때에는 당해 조치의 실시에 관하여 수수료를 징수할 수 있다.

②개인정보취급사업자는, 전항의 규정에 의하여 수수료를 징수하는 경우에는 실비를 감안하여 합리적이고 인정받을만한 범위 내에서 그 수수료의 액수를 정하여야 한다.

제36조(개인정보취급사업자에 의한 고충의 처리) ①개인정보취급사업자는 개인정보의 취급에 관한 고충의 적절하고 신속한 처리에 노력하여야 한다.

②개인정보취급사업자는 전항의 목적을 달성하기 위하여 필요한 체제의 정비에 노력하여야 한다.

제37조(보고의 징수) 주무대신은 이 절의 규정의 시행에 필요한 한도 내에서 개인정보취급사업자에 대하여 개인정보의 취급에 관한 보고를 시킬 수 있다.

제38조(조언) 주무대신은 이 절의 규정의 시행에 필요한 한도 내에서 개인정보취급사업자에 대해 개인정보의 취급에 관한 필요한 조언을 할 수 있다.

제39조(권고 및 명령) ①주무대신은 개인정보취급사업자가 제21조 내지 제23조, 제25조 내지 제32조 또는 제35조제2항의 규정에 위반한 경우에 있어서 개인의 권리이익을 보호하기 위하여 필요하다고 인정되는 경우에는, 당해 개인정보취급사업자에 대하여 당해 위반행위의 중지 기타 위반을 시정하기 위해 필요한 조치를 취하도록 하는 취지를 권고할 수 잇다.

②주무대신은 전항의 규정에 의한 권고를 받은 개인정보취급사업자가 정당한 이유 없이 그 권고에 관계된 조치를 취하지 않는 경우에 있어서 개인의 중대한 권리이익의 침해가 절박하다고 인정되는 때에는, 당해 개인정보취급사업자에 대하여 그 권고에 관계된 조치를 취하도록 명할 수 있다.

③주무대신은 전2항의 규정에 관계없이, 개인정보취급사업자가 제21조, 제22조, 제25조 내지 제27조 또는 제28조제1항의 규정에 위반한 경우에 있어서 개인의 중대한 권리이익을 해한 사실이 있어 긴급한 조치를 위할 필요가 있다고 인정되는 때에는, 당해 개인정보취급사업자에 대하여 당해 위반행위의 중지 기타 위반을 시정하기 위하여 필요한 조치를 취하도록 명할 수 있다.

제40조(배려의무) 주무대신은 전3조의 규정에 의한 개인정보취급사업자에 대한 보고의 징수, 조언, 권고 또는 명령을 행하는 경우에 있어서는, 표현의 자유, 학문의 자유, 신앙의 자유 및 정치활동의 자유를 방해하지 않도록 배려하여야 한다.

제41조(주무대신) ①이 정의 규정에서의 주무대신은 다음 각호로 한다. 다만, 내각총리대신은 이 절의 규정의 원활한 실시를 위하여 필요하다고 인정되는 경우에는, 개인정보취급사업자가 행하는 개인정보의 취급 중 특정한 사항에 관하여 특정한 대신 또는 국가공안위원회(이하 □대신등□이라 한다)를 주무대신에 지정할 수 있다.

1. 개인정보취급사업자가 행하는 개인정보의 취급 중 고용관리에 관한 사항에 관해서는, 후생노동대신(선원의 고용관리에 관한 사항에 관해서는, 국토교통대신) 및 당해 개인정보취급사업자가 행하는 사업을 소관하는 대신 등

2. 개인정보취급사업자가 행하는 개인정보의 취급 중 전호에 게제된 사항 이외의 사항에 관해서는, 당해 개인정보취급사업자가 행하는 사업을 소관하는 대신 등

②내각총리대신은, 전항단서의 규정에 의한 주무대신을 지정하는 때에는 그 취지를 공시하여야 한다.

③각 주무대신은, 이 절의 규정의 시행에 있어서 상호 긴밀히 연락하고 또 협력하여야 한다.

제2절 민간단체에 의한 개인정보의 보호의 추진

제42조(인정) ①개인정보취급사업자의 개인정보의 적정한 취급의 확보를 목적으로서 다음 각호에 게제된 업무를 행하는 법인(법인이 아닌 단체의 대표자 또는 관리인의 정한 사항을 포함한다. 다음조 제3호에 있어서 같다)은, 주무대신의 인정을 받을 수 있다.

1. 업무의 대상이 되는 개인정보취급사업자(이하 □대상사업자□라 한다)의 개인정보의 취급에 관한 제47조의 규정에 의한 고충의 처리

2. 개인정보의 적정한 취급의 확보에 기여하는 사항에 관한 대상사업자에 대한 정보의 제공

3. 전2호에 게제한 사항 이외에, 대상사업자의 개인정보의 적정한 취급의 확보에 관하여 필요한 업무

②전항의 인정을 받으려 하는 자는, 정령에서 정한 바에 의하여 주무대신에게 신청하여야 한다.

③주무대신은 제1항의 인정을 한 때에는 그 취지를 공시하여야 한다.

제43조(결격조항) 다음 각호의 1에 해당하는 자는, 전조 제1항의 인정을 받을 수 없다.

1. 이 법률의 규정에 의한 형을 받고, 그 집행이 끝나거나 또는 집행을 받지 않게 된 날로부터 2년이 경과하지 않은 자

2. 제53조제1항의 규정에 의한 인정이 취소되어, 그 취소된 날로부터 2년이 경과하지 않은 자

3. 그 업무를 행하는 역원(법인이 아닌 단체의 대표자 또는 관리인의 정한 사항의 대표자 또는 관리인을 포함한다. 이하 이조에 있어서 같다) 중에서, 다음의 1에 해당하는 자가 정한 자가 있는 경우

가. 금고 이상의 형에 처해지거나, 또는 이 법률의 규정에 의한 형에 처해져 그 집행이 끝나거나, 또는 집행을 받지 않게 된 날로부터 2년이 경과하지 않은 자

나. 제53조제1항의 규정에 의한 인정이 취소된 법인에 있어서, 그 취소의 날 전 3일 이내 그 역원인 자가 그 취소의 날로부터 2년이 경과하지 않은 자

제44조(인정의 기준) 주무대신은 제42조제1항의 인정의 신청이 다음 각호의 1에 적합하다고 인정되지 않는다면, 그 인정을 하여서는 아니된다.

1. 제42조제1항각호에 게재된 업무를 적정하고 확실하게 행함에 필요한 업무의 실시의 방법이 정하여져 있을 것

2. 제42조제1항각호에 게재된 업무를 적정하고 확실하게 행함에 충분한 지식 또는 능력과 경리적 기초를 가지고 있을 것

3. 제42조제1항각호에 게재된 업무 이외의 업무를 행하고 있는 경우에는, 그 업무를 행함에 의해 동항각호에 게재된 업무가 불공정하게 될 우려가 없을 것

제45조(폐지의 신고) ①제42조제1항의 인정을 받은 자(이하 □인정개인정보보호단체□라 한다)는 그 인정에 관계된 업무(이하 □인정업무□라 한다)를 폐지하려 하는 때에는, 정령에서 정한 바에 의하여 미리 그 취지를 주무대신에 신고하여야 한다.

②주무대신은 전항의 규정에 의한 신고가 있은 때에는 그 취지를 공시하여야 한다.

제46조(대상사업자) ①인정개인정보보호단체는 당해 인정개인정보보호단체의 구성원인 개인정보취급사업자 또는 인정업무의 대상이 되는 사항에 관하여 동의를 얻은 개인정보취급사업자를 대상 사업자로 하여야 한다.

②인정개인정보보호단체는 대상사업자의 성명 또는 명칭을 공표하여야 한다.

제47조(고충의 처리) ①인정개인정보보호단체는 본인등으로부터 대상사업자의 개인정보의 취급에 관한 고충의 처리에 관하여 해결의 신청이 있은 때에는, 그 상담에 응하여, 신청인에 필요한 조언을 하고, 그 고충에 관계된 사정을 조사함과 동시에, 당해 대상사업자에 대하여 그 고충의 내용을 통지하고 신속한 해결을 요구하여야 한다.

②인정개인정보보호단체는 전항의 신청에 관계된 고충의 해결에 관하여 필요하다고 인정되는 때에는, 당해 대상사업자에 대하여 문서 혹은 구두에 의한 설명을 요구하거나 또는 자료의 제출을 요구할 수 있다.

③대상사업자는 인정개인정보보호단체로부터 전항의 규정에 의한 요구가 있은 때에는, 정당한 이유 없이 이를 거절하지 못한다.

제48조(개인정보보호지침) ①인정개인정보보호단체는 대상사업자의 개인정보의 적정한 취급의 확보를 위하여, 이용목적의 특정, 안전관리를 위한 조치, 본인의 요구에 응한 수속 기타의 사항에 관하여, 이 법률의 규정의 취지에 따른 지침(이하 □개인정보보호지침□이라 한다)을 작성하고 공표하도록 노력하여야 한다.

②인정개인정보보호단체는 전항의 규정에 의한 개인정보보호지침을 공표한 때에는, 대상사업자에 대하여 당해 개인정보보호지침을 준수하도록 하기 위한 필요한 지도, 권고 기타의 조치를 취하도록 노력하여야 한다.

제49조(목적외 이용의 금지) 인정개인정보보호단체는 인정업무의 실시에 즈음하여 지득한 정보를 인정업무에 이용하는 목적 이외에 이용하여서는 아니된다.

제50조(명칭의 사용제한) 인정개인정보보호단체가 아닌 자는 인정개인정보보호단체라는 명칭 또는 이와 분간되지 않는 명칭을 사용하여서는 아니된다.

제51조(보고의 접수) 주무대신은 이 절의 규정의 실시에 필요한 한도에 있어서, 인정개인정보보호단체에 대하여 인정업무에 관한 보고를 하도록 할 수 있다.

제52조(명령) 주무대신은 이 절의 규정의 시행에 필요한 한도 내에서, 인정개인정보보호단체에 대하여 인정업무의 실시의 방법의 개선, 개인정보보호지침의 변경 기타 필요한 조치를 하도록 명할 수 있다.

제53조(인정의 취소) ①주무대신은 인정개인정보보호단체가 다음 각호의 1에 해당하는 경우에는 그 인정을 취소할 수 있다.

1. 제43조제1호 또는 제3호에 해당하게 된 경우

2. 제44조각호의 1에 적합하지 않게 된 경우

3. 제49조의 규정에 위반한 경우

4. 전조의 명령에 따르지 않는 경우

5. 부정한 수단에 의해 제42조제1항의 인정을 받은 경우

②주무대신은 전항의 규정에 의한 인정을 취소한 때에는 그 취지를 공시하여야 한다.

제54조(주무대신) ①이 절의 규정에 있어서의 주무대신은 다음에 정한 바에 의한다. 다만, 내각총리대신은 이 절의 규정의 원활한 실시를 위하여 필요하다고 인정되는 경우에는, 제42조제1항의 인정을 받으려 하는 자 중 특정의 사항에 관하여 특정의 대신등을 주무대신으로 지정할 수 있다.

1. 설립에 관하여 허가 또는 인가를 받고 있는 인정개인정보보호단체(제42조제1항의 인정을 받으려 하는 자를 포함한다. 다음호에 있어서 같다)에 관하여는, 그 설립의 허가 또는 인가를 한 대신 등

2. 전호에 게재된 것 이외의 인정개인정보보호단체에 관해서는, 당해 인정개인정보보호단체의 대상사업자가 행하는 사업을 소관하는 대신 등

②내각총리대신은 전항단서의 규정에 의한 주무대신을 지정한 경우에는 그 취지를 공시하여야 한다.

제6장  잡칙

제55조(적용제외) ①개인정보취급사업자 중 다음 각호에 게재된 자에 관해서는, 전장의 규정을 적용하지 아니한다. 다만, 다음 각호에 게재된 자가 오직 당해각호에 게재된 목적 이외의 목적으로 개인정보를 취급하는 경우는 이에 한하지 아니한다.

1. 방송기관, 신문사, 통신사 기타의 보도기관 : 보도의 목적

2. 대학 기타 학술연구를 목적으로 하는 기관 혹은 단체 또는 그에 속하는 자    : 학술연구의 목적

3. 종교단체 : 종교활동(이에 부수하는 활동을 포함한다)의 목적

4. 정치단체 : 정치활동(이에 부수하는 활동을 포함한다)의 목적

②전항각호에 게재된 개인정보취급사업자는, 개인데이터의 안전관리를 위하여 필요하고 적절한 조치, 개인정보의 취급에 관한 고충의 처리 기타의 개인정보의 적정한 취급을 확보하기 위하여 필요한 조치를 스스로 강구하고, 당해 조치의 내용을 공표하도록 노력하여야 한다.

제56조(지방공공단체가 처리하는 사무) 이 법률이 규정하는 주무대신의 권한에 속하는 사무는 정령에서 정한 바에 의하여 지방공공단체의 장 기타 집행기관이 행하도록 할 수 있다.

제57조(권한 또는 사무의 위임) 이 법률에 의한 주무대신의 권한 또는 사무에 속하는 사항은 정령에서 정한 바에 의하여 그 소속 직원에게 위임할 수 있다.

제58조(시행의 상황의 공표) ①내각총리대신은 관계 행정기관(법률의 규정에 근거하여 내각에 설치된 기관(내각부를 제외한다) 및 내각의 관할아래 놓이는 기관, 내각부, 궁내청, 내각부설치법(평성11년법률제89호)제49조제1항 및 제2항에 규정한 기관과, 국가행정조직법(소화23년법률제120호)제3조제2항에서 규정한 기관을 말한다. 다음 조에 있어서 같다)의 장에 대하여, 이 법률의 시행의 상황에 관하여 보고를 요구할 수 있다.

②내각총리대신은 매년도 전항의 보고를 취합하여 그 개요를 공표할 수 있다.

제59조(연락 및 협력) 내각총리대신 및 이 법률의 시행에 관계한 행정기관의 장은 상호 긴밀히 연락하고 또는 협력하여야 한다.

제60조(정령에의 위임) 이 법률에서 정한 사항 이외에 이 법률의 실시를 위하여 필요한 사항은 정령으로 정한다.

제7장  벌칙

제61조 제39조제2항 또는 제3항의 규정에 의한 명령에 위반한 자는 6월 이하의 징역 또는 30만엔 이하의 벌금에 처한다.

제62조 제397조 또는 제51조의 규정에 의한 보고를 하지 않거나 또는 허위의 보고를 한 자는, 30만엔 이하의 벌금에 처한다.

제63조 ①법인(법인이 아닌 단체에서 대표자 또는 관리인이 정하여 진 것을 포함한다) 이하 이 항에 있어서 같다)의 대표자 또는 법인 혹은 사람의 대리인, 사용인 기타의 종업자가 이 법인 또는 사람의 업무에 관하여 전2조의 위반행위를 한 때에는, 행위자를 벌하는 외에 그 법인 또는 사람에 대하여도 각본조의 벌금형을 과한다.

②법인이 아닌 단체에 관하여 전항의 규정을 적용하는 경우에는, 그 대표자 또는 관리인이 그 소송행위에 관한 법인아닌 단체를 대표하는 외에 법인을 피고인 또는 피의자로 하는 경우의 형사소송에 관한 법률의 규정을 준용한다.

제64조 다음 각호의 1에 해당하는 자는, 10만엔 이하의 과료에 처한다.

1. 제45조제1항의 규정에 의한 신고를 하지 않거나 또는 허위의 신고를 한 자

2. 제50조의 규정에 위반한 자

부  칙

제1조(시행일) 이 법률은 공포된 날로부터 시행한다. 다만, 제5장 내지 제7장 및 부칙제2조 내지 제6조의 규정은, 공포된 날로부터 기산하여 2년을 경과하지 않는 범위 내에서 정령에서 정하는 날로부터 시행한다.

제2조(본인의 동의에 관한 경과조치) 이 법률의 시행 전에 성립된 본인의 개인정보의 취급에 관한 동의가 있는 경우에 있어서, 그 동의가 제20조제1항의 규정에 의하여 특정된 이용목적 이외의 목적으로 개인정보를 취급하는 것을 인정한 취지와 같은 뜻에 상당하는 것인 때에는 제21조제1항 또는 제2항의 동의가 있는 것으로 본다.

제3조 이 법률의 시행 전에 성립된 본인의 개인정보의 취급에 관한 동의가 있는 경우에 있어서, 그 동의가 제28조제1항의 규정에 의한 개인 데이터의 제3자로의 제공을 인정한 취지와 같은 뜻에 상당한 것인 때에는, 동항의 동의가 있는 것으로 본다.

제4조(통지에 관한 경과조치) 제28조제2항의 규정에 의하여 본인에게 통지하거나 또는 본인이 용이하게 일 수 있는 상태에 놓여지지 않은 사항에 상당하는 사항에 관하여 이 법률의 시행 전에 본인에 통지된 때에는, 당해 통지는 동항의 규정에 의하여 행해진 것으로 본다.

제5조 제28조제4항제3호의 규정에 의하여 본인에게 통지하거나 또는 본인이 용이하게 알 수 있는 상태에 놓여진 사항에 상당하는 사항에 관하여 이 법률의 시행 전에 본인에게 통지된 때에는, 당해 통지는 동호의 규정에 의하여 행해진 것으로 본다.

제6조(명칭의 사용제한에 관한 경과조치) 이 법률의 시행에 즈음하여 현재 인정개인정보보호단체라는 명칭 또는 이와 분간되지 않는 명칭을 사용하고 있는 자에 관해서는, 제50조의 규정은 동조의 규정의 시행후 6개월간 적용하지 않는다.

제7조(법제상의 조치) 정부는 이 법률의 공포후 1년을 목표로 하여, 제11조제1항 및 제2항에 규정한 법제상의 조치를 강구하도록 한다.

제8조(내각부 설치법의 일부개정－내각부설치법의 일부를 다음과 같이 개정한다.

제4조제3항 중 제61호를 제62호로, 제39호 내지 제60호를 1호씩 늦추고, 제38호의 다음에 다음 1호를 추가한다.

39. 개인정보의 보호에 관한 기본방침(개인정보의 보호에 관한 법률(평성13년법률제호)제12조제1항에 규정한 사항을 말한다)의 작성 및 추진에 관한 사항

제11조중 □제3항제60호□를 □제3항제61호□로 개정한다.

제38조제1항제1호 중 □ 및 시민활동의 촉진□을 □, 시민활동의 촉진 또는 개인정보의 적정한 취급의 확보□로 개정하고, 동항제3호중 □(소화48년법률제121호)□의 아래 □ 및 개인정보의 보호에 관한 법률□을 추가한다.

부칙 제1조 단서중 □제4조제3항제53호□를 □제4조제3항제54호□로 개정한다.

미국과 한국의 개인정보보호법제도 비교연구

개인정보침해신고센터

권선경 연구원

요  약  문

□ 정보사회와 개인정보보호의 문제점

□정보통신의 발달과 세계적 정보통신서비스 기반확대에 따라 사회적·경제적 이익이 증가하는 반면, 한편으로는 디지털화된 개인정보 유출의 용이성·개인정보의 상품화에 따른 프라이버시 침해가 급속도로 증가

□전자상거래 선도국인 미국과 한국의 개인정보보호정책을 비교분석해보고 전자상거래의 활성화를 위한 방안의 하나로서 한국에서의 개인의 프라이버시보호를 위한 시사점에 대해 고찰

□ 미국 개인정보보호법제의 특징

□미국의 경우에는 개인의 자유 및 표현의 자유측면을 강조하며 민간의 자율규제를 중심으로 개인정보보호를 수행

□공공, 통신, 의료, 신용, 아동 등 각 필요에 따라 각 분야별 법제정으로 개인정보를 보호하고 있으며, 그 밖의 경우는 개인정보는 주로 주법과 판례에 의하여 보호

□최근 미국에서는 온라인상에서의 개인정보남용에 대한 시민들의 관심과 우려가 커지고 자율규제에 대한 회의론이 점차 확산되면서, 온라인에서의 프라이버시 보호를 위한 규제입법에 대한 여론이 강화

□전자정부법에서 기관은 정보시스템을 개발하거나 개인식별이 가능한 전자정보를 수집하기 전에 1)수집할 정보 2)정보를 수집하는 이유 3)수집되는 정보의 내용과 이를 공유하는 방식 4) 정보의 이용목적 5) 정보보안의 방안 등을 포함한 프라이버시 영향 평가를 수행하여야 할 것을 규정

□회사의 중대한 과실이 없어도, 일반적인 기술적·관리적 문제로 소비자의 개인정보보호에 피해가 발생했을 시 책임부과 및 조치

□온라인 프라이버시에 관련된 다양한 법안이 제출되지만 쉽게 법제화는 이루어지지 않고 있다. 특히 개인정보관련 기술이 발전하면서 기술관련정책입안에 대한 관심이 증가.

□ 한국의 개인정보보호법제의 특징

□주로 정부규제중심의 접근방식을 택하며 최근에 자율규제 중요성 대두

□자율규제의 토양을 형성하기 위한 방안과 어떻게 개인정보보호를 효율적으로 수행할 것인가에 관심을 가져야 함

□공공, 통신, 의료, 신용, 아동 등 각 필요에 따라 각 분야별 법제정으로 개인정보를 보호하고 있으며, 포괄입법의 필요성 대두

□정보보호기구의 역할

□ 맺음말

□개인정보를 공정한 방법으로 수집하고 정당하게 이용하려는 사업자의 노력이 선행되어야 하며, 개인이 정보주체의 □정보자기결정권□에 대해 인식하고 자기 정보를 스스로 보호하려는 의지가 필요함

□정보주체의 프라이버시 보호에 대한 인식과 정부와 사업자의 개인정보보호 노력, 개인정보보호를 위한 기술이 유기적으로 구현될 때 효과적인 프라이버시 보호를 기대할 수 있을 것임.

□개인정보보호의 향상을 위하여 프라이버시 영향평가제도 도입방안에 대한 연구 및 정책적 지원이 필요

□새로운 영역의 개인정보보호관련 이슈, 특히 기술관련 분야의 개인정보보호정책 및 지침수립에 대한 검토 요구

미국과 한국의 개인정보보호법제도 비교연구

권 선 경 **

** 한국정보보호진흥원 개인정보분쟁조정위원회 사무국/개인정보침해신고센터 연구원

	目 次
I. 머리말 II. 정보사회와 개인정보 III. 미국개인정보보호법제도 현황 IV. 한국과 미국의 법제도 비교 V. 맺음말

I. 머리말

인터넷을 비롯한 정보기술의 발달은 세계를 하나의 거대한 네트워크로 연결하고 있으며, 경제활동을 포함하여 생활전반에 커다란 변화를 일으키고 있다. 특히 전자상거래는 이러한 변화의 중심에 자리잡고 있으며 그 중요성과 잠재적인 파급효과는 가히 혁명적이라고 할 수 있다 전자상거래는 지구촌을 하나의 단일 시장으로 구축하는 정보기반구조의 형성과 이의 활용이라는 측면에서 접근할 수 있고, 인터넷이라는 개방형 네트웍을 통해 시간적, 공간적 한계를 극복할 수 있다는 장점을 가지며 그 활용은 무궁하다고 할 수 있다. 이러한 국제적인 정보통신망의 형성, 정보시장의 세계적 확대, 세계정보통신기반정비는 개인정보 유통을 촉진하는, 주요한 요인으로 작용하고 있다. 따라서 온라인상에서 유통되는 개인정보는 앞으로도 계속 양적·질적으로 더욱 증대될 것으로 보인다. 정보통신기술을 통하여 개인정보를 더욱 저렴한 비용으로 보다 용이하게 이용할 수 있게 되고, 전자상거래의 확산으로 인한 기업의 활동 및 소비 활동의 국제화로 국가간 개인정보 유통 또한 활발하게 이루어지고 있는 것이다.

) 미국의 인터넷조사기관인 포레스트 리서치는 2004년에 세계전자상거래의 규모가 6조 8천 억달러에 이를 것이며 그 중 10%는 국제간 전자상거래가 될 것이라고 예측했다.

정보통신의 발달과 세계적 정보통신서비스 기반확대에 따라 사회적·경제적 이익이 증가하는 반면, 한편으로는 디지털화된 개인정보 유출의 용이성·개인정보의 상품화에 따른 프라이버시 침해가 급속도로 증가하고 있다. 인터넷 서비스 업체에 제공된 개인정보가 범죄에 사용되는 등 무분별·부주의한 개인정보 수집 및 이용이 급증하고 있으며, Time지는 □정보폭행□이라는 말로서 정보사회의 그림자에 대해 논하고 있다. 또한 개인정보의 침해는 인터넷 및 전자상거래에 대한 신뢰를 저하시켜, 21세기 유망산업으로 각광받고 있는 인터넷 및 전자상거래 산업의 발전을 저해시킬 우려가 있다. 2002년 1월 디지털 타임즈에 의하면 일반적으로 인터넷 사용 시 소비자가 가장 우려하고 있는 부분은 개인정보 및 커뮤니케이션에 대한 정보유출이라고 보도되었다. 이러한 새로운 소비자 문제의 대두는 인터넷의 편익이 온전히 실현되지 못하게 할 뿐 아니라 인터넷상의 거래에 대한 사용자들의 불신확산은 오히려 인터넷 발전의 장애요인으로 작용할 것이다.

) 미국 오하이오주에 사는 데니스라는 여인은 어느날 낯선 사람에게서 한통의 편지를 받게 되었는데, 처음에는 그녀의 신상에 관한 일반적인 내용이었으나 횟수가 거듭되면서 그녀가 좋아하는 향수와 초콜릿, 목욕비누, 심지어 피임도구까지 적혀 있었다. Time지는 □정보폭행□이라는 발을 써가면서 정보사회의 그림자에 대해 논하고 있다. 경찰조사결과 소비자 정보회사에서 개인에 대한 정보를 구입한 것으로 드러났다. 한경칼럼, 한국경제신문 1998. 2. 12

) 김연수, □개인정보보호□,『고도지식정보 사회의 개인정보화 Cyber law』사이버출판사, 2001

) 네티즌들은 개인정보유출(35.9%), 욕설·비방 등 인신공격(22.0%), 스팸메일 남용(15.4%), 사이버 음란행위(15%), 사이비 언어사용(7.9%) 등을 우선적으로 해결해야 한다고 지적했다. 디지털 타임즈, 2002.01.17

따라서 인터넷 전자공간이 누구나 안심하고 이용할 수 있는 커뮤니케이션 수단이 되기 위해서는 정보의 자유로운 유통을 확보하면서 국가 간 또는 국가 내 개인정보 유통에 관한 원칙을 정립해 가는 것이 필요하며 이용자, 정보통신서비스제공자, 정부 기타 각 당사자가 이를 위해 적극적으로 역할을 수행할 책임이 있다. 또한 충분한 대책을 수립하지 않으면 정보화 경쟁사회에서 불리하게 되며, 거시적으로 전자상거래 산업의 성장에도 걸림돌이 될 것이기 때문에 개인정보의 남용이라는 역기능을 사전에 억제하고 제거할 수 있는 체계적인 개인정보보호 대책이 절실히 요구되고 있다.

) 한국정보보호센터,□국가간 개인정보 유통에 관한 정책 연구□, 2000.12

이 글에서는 현재 전자상거래에 있어 가장 큰 문제점으로 제기되는 개인정보보호에 초점을 맞춰 전자상거래 선도국인 미국과 우리나라 법제현황을 분석해보고, 등장하고 있는 개인정보보호의 주요 이슈 및 프라이버시보호를 위한 시사점에 대해 고찰하고자 한다.

II. 정보사회와 개인정보

산업사회에서 프라이버시란 개인적인 권리로서, 즉 전통적으로 "혼자 있을 권리"를 의미하는 개념으로 주로 국가의 개인프라이버시 침해와 상업성을 가지고 개인정보를 불법으로 이용하는 기업들의 침해행위로부터의 자유를 의미하였다. 즉 자기 자신에 관한 정보를 알리지 않음으로써 개인 프라이버시 침해를 방어하는 차원인 소극적인 권리의 개념으로 해석되면서 한계를 드러내고 있다. 그러나 현대 정보사회는 유형의 재산만큼, 무형의 지식과 정보가 재화의 가치로서 인정받고 정보소유의 정도에 따라 사회적 활동 내지 빈부의 격차가 발생되는 특성을 가진 사회로 변화되었다. 이러한 정보사회 속의 개인은 종래 산업사회에서의 혼자남아 있을 권리로서 프라이버시보호권 뿐만 아니라 정보의 자기결정권을 전제로 쌍방향에서 이루어지는 정보의 자유로운 유통과 접근이 무엇보다도 중시된다.

) Samuel Warren et. all, "The Right to Privacy",1891. 라는 논문에서 두 사람은 재산권의 개념이 아니라 개인의 침해받지 않으려는 정신적인 인격을 프라이버시라는 이름 아래 보호받아야할 대상으로 파악하였으며, 각 개인은 자신에 관한 사항의 공표여부를 결정할 수 있는 권리를 가진다고 주장하였다.

문제는 개인정보 소유자의 경우 일반적으로 자기에 관한 정보를 인격적 요소로 파악하나, 정보서비스사업자는 개인정보를 재산적 요소로 인식하게된다는 차이점이 있다. 따라서 개인은 정보사업자로부터 온라인상의 인격권으로서 개인정보자기결정권을 어떻게 보호할 것인가의 문제에 놓이게 된다. 또한, 기존의 프라이버시 문제가 국내에 한정된 문제였다면, 전자상거래에서의 프라이버시는 개인정보가 통신망을 통하여 외국으로 유통되어질 수 있는 정보의 국제적인 유통(TDF: Transborder Data Flow)과 밀접한 관련이 있다고도 하겠다. 따라서 이러한 국제적인 정보유통 및 프라이버시 문제를 해결하지 않고서는 전자상거래의 활성화를 기대하기가 어렵다고 본다. 따라서 네트웍 환경에서 사람들이 편안하게 거래를 할 수 있도록 하려면 개인의 프라이버시 보장은 필수적 요건이라고 본다.

) 정보통신정책연구원, 건전한 정보통신윤리확립과 개인정보 보호대책 방안연구, 2001. 2

) 김윤명, 전자상거래 활성화를 위한 프라이버시 보호 연구, http://user.chollian.net/~infolaw/ec_privacy.html

III. 미국 개인정보보호법제도 현황

1. 미국법제도의 특징

미국은 정보사회에서 개인의 사생활이 심각하게 침해될 수 있다는 것을 일찍부터인식하고, 정보보호에 관심을 가지며 정보보호관련 정책과 기술분야에 많은 투자를 하고 있다. 미국에서 프라이버시의 보호입법의 계기가 된 것은 1972년 워터게이트사건으로, 이 결과 1974년 "프라이버시 권리에 관한 위원회" 가 구성되었고, 같은 해 12월 프라이버시법이 제정되었다. 이래로 많은 노력이 이루어지고 있으며, 지금까지의 미국의 소비자보호 및 개인정보보호 정책의 기본은 정부의 최소한의 간섭이라는 명제로 요약될 수 있다.

) Henry H. Perrit Jr., 『Law and the Information Superhighway』(Wiley Law Publications, 1996), p.88.

) 1972년 6월 대통령 R.M.닉슨의 재선을 획책하는 비밀공작반이 워싱턴의 워터게이트빌딩에 있는 민주당 전국위원회 본부에 침입하여 도청장치를 설치하려다 발각·체포된 미국의 정치적 사건.

미국의 경우에는 개인의 자유 및 표현의 자유 측면을 강조하며 민간의 자율규제를 중심으로 개인정보보호를 수행하고 있으며, 입법방식에 있어서는 개인정보에 관하여 모든 영역에 공통적으로 적용되는 포괄적인 개인정보보호법 없이 분야별 입법으로 개인정보를 보호하는 부문별 입법방식을 취하고 있다. 이행에 있어서 미국은 법률에 대한 명시적인 제한이 없다 하더라도 프라이버시 침해를 이유로 하는 소송에 대한 우려, 기업체 스스로 공표한 개인정보보호방침을 위반했을 경우 공정거래법 위반으로 처벌하게 되는 등 사법적인 메카니즘을 바탕으로 개인정보보호가 이루어지고 있다. 또한 미국은 기업자체가 프라이버시 정책을 규율하고 있으며, 일정 범위내에서 개인정보를 비교적 자유롭게 매매, 타겟 마케팅, 수집, 고객확보, 고객관리 등에 활용한다. 미국에서는 개인정보의 유통을 제한하기보다는 개인정보를 사용하는데 있어서 고객으로부터 매우 구체적인 고지와 동의를 얻어내는 데에 노력하며, 기업은 고객이 시간적으로나 비용면에서 손실될 수 있는 것보다 더 많은 것을 제공할 수 있다는 것에 초점을 둔다.

가. 개인정보보호에 관한 접근방식

미국에서 전통적으로 개인정보보호는 □공정정보처리원칙□으로 표현되어 왔다. 이 원칙은 콜롬비아대학교의 경제학자인 Alan Westin에서 유래되는데 Westin의 기본명제는, □눈에 보이지 않는 손□이 작동하기 때문에 정보기술이 심각한 프라이버시침해를 가져오지는 않을 것이라는 것이었다. 따라서 프라이버시보호를 위한 규제가 시행된다 하더라도, 기업활동에 미칠 유해한 영향을 최소화시켜야 하며 기업의 효율적인 활동에 있어 개인과 사회의 프라이버시 문제는 부차적인 것이라고 주장했다. 그의 연구는 많은 논란을 일으켰지만 강한 설득력을 가졌고, 이후 미국의 모든 프라이버시보호입법에 중심 원리로 채택되었다. 개인정보자기결정권에는 두가지 접근방식이 존재하는데, 미국은 이러한 역사적 배경으로 바탕으로 개인정보보호 관련 권리에대해 경제적-기술적인 접근방식□으로 접근하고 있다. 이와 달리 유럽은 중요한 인권의 하나로 접근하는 유럽적인 방식 □사회적, 가치지향적 접근방식□을 취하고 있다.

) 한국정보보호진흥원,개인정보자기결정권의 한계와 제한에 관한 연구, 2001.11

현재 미국의 연방헌법에는 프라이버시권을 명시적으로 인정하는 규정이 존재하지는 않는다. 다만 여러 가지 조항에 기초하여 프라이버시권을 인정하여 왔고 그것은 사적인 사항이 공개되는 것을 원치 않는 이익과 자신의 중요한 문제에 대해 자율적이고 독자적으로 결정을 내리고자 하는 이익을 주요 내용으로 한다고 판시하였다. 그러나 연방 대법원은 아직까지 개인이 자신에 관한 정보를 전면적으로 통제할 권리, 즉 정보프라이버시권을 헌법상의 프라이버시권의 보호내용으로 정식으로 인정하고 있지는 않다. 즉 공개하기를 원치 않는 정보를 함부로 공개당하지 않을 자유는 인정하고 있지만 사생활 비밀이 아닌 개인정보를 수집, 이용, 제공하는 것에 대한 통제권을 정보주체에게 인정하는 것은 아니다. 이에 학자들은 계속해서 정보프라이버시권을 주장하고 있고, 일부 연방하급법원이나 주법원에서는 정보프라이버시권을 인정하고 있는 것으로 보인다. 연방 대법원이 이렇게 정보프라이버시권을 정식으로 인정하는 판결을 내지 않고 있는 것은 새로운 이익과 상충하는 다른 이익들간의 조정에 대한 사회적 합의가 아직 성숙되지 않았고, 연방법은 아닐지라도 주의회에서 개별입법으로 보호입법장치를 마련해 왔으며, 침해시 민사 손해배상소송으로 이에 적절히 대응해 왔기 때문이라 생각한다

나. 개인정보보호 규제방식

정보사회의 도래와 함께 개인정보보호가 사회적인 문제로 대두되기 시작하면서 국가별로 이에 맞는 정책 마련에 고심하고 있다. 특히 규제의 방식에 있어서 크게 민간주도적 자율규제 방식과 정부규제가 혼재하고 있으며 이에, 각 나라간 입장을 달리하고 있다. 유럽국가들은 정부주도적인 개인정보관련 포괄입법을 통해 개인정보취급을 통제하며, 위반시 강력하게 집행하는 방식을 택하고 있는 반면, 미국은 행정감시기구를 설치하지 않고 업계의 자율규제를 허용하거나, 정보주체에게 사법적 구제수단을 부여함으로써 프라이버시를 보호하려는 방식을 취하고 있다.

미국은 개인정보보호의 규제 방식에 있어서 지나친 규제가 정보의 자유로운 이동을 저해하고 인터넷 전자상거래 시장을 위축시킬 가능성이 있는 만큼 민간의 자율적인 규제에 위임하자는 입장을 취하고 있다. 자율규제 모델은 외부로부터 간섭을 최소화하는 형태로서 각 개인정보처리기관이 자체적으로 공정한 정보활동이 실행되도록 하며, 가장 적절한 방법을 선택하여 개인정보처리의 기본원칙을 준수할 수 있도록 한다. 이 규제는  사업자들이 스스로 정보보호의 중요성을 자각하는 자발적인 규제이기 때문에 원칙상 가장 바람직하며, 개인정보 윤리의식 고취에도 용이한 규제이다. 주로 산업별 연합회 단위로 지침 및 표준을 사용하므로, 각 기업의 개발비용과 부담을 절감할 수 있고 또한 공동체적인 이익달성에 시너지 효과를 발휘할 수 있다. 또한 급변하는 정보사회에 적절히 대응할 수 없었던 정부 규제의 경직성을 보완하고 법률로 규제하기 어려운 정보사각지대나 외국기업 등 여러 문제를 효율적으로 해결 할 수 있다는 장점이 있다.

) 한국정보보호진흥원, 개인정보자기결정권의 한계와 제한에 관한 연구(2001.11.p.95)

그러나 기본적으로 회사는 이윤을 추구하고 이를 위해 항상 경쟁하는 체제이기 때문에 기업 내 이윤과 자율규제가 부딪힐 경우 여러 가지 문제점들이 우려되는데 첫째 기업들이 산업별 자율규제를 빌미로 공동행위를 하는 카르텔을 형성할 우려가 있다. 둘째, 주로 규칙과 지침이 연합체 단체로 이루어지기 때문에 한 기업의 정보보호지침에 대한 위반의 경우 같은 연합체에 속한 다른 기업에게도 피해가 갈 수 있다. 셋째, 사업자 연합의 기술과 노하우의 수준이 달라서 이를 공유하는데에 문제점이 따른다. 또한 기업들간의 경쟁이 밑바탕이 되어 많은 기술력을 축적한 업체가 이를 드러내기를 꺼리고, 계속 자기만의 노하우를 보유하면서 경쟁에서 우위를 지키려고 할 가능성이 존재한다. 또한 반대로 영세업자의 경우 자기들의 노력 없이 다른 회원사가 가진 정보와 기술적 노하우를 받게 되는 무임승차의 가능성이 있는 것이다. 무엇보다도 자율규제에 가장 큰 우려는 강제력이 없는 규칙이기 때문에 위반의 가능성은 항시 존재한다는 것이다. 또한 전적으로 기업가의 양심과 윤리의식에 기인한 방식이기 때문에 지침을 위반하면 단지 연합회 탈퇴나 사회적 비난이 전부이며, 현실에서 지침을 따르는 업체보다 지침을 위반할 때 얻을 수 있는 이익이 훨씬 큰 경우도 많이 존재한다. 따라서 민간업자는 항상 규칙의 위반에 대한 가능성을 가지고 있을 수 밖에 없다.

) 그러나 미국의 경우에는 연합회별 규율이 강한 규제로서 작용하는 사회적 풍토가 형성되어 있으며, 정부규제를 반대하기 위한 자발적인 민간의 노력이 활성화되어 있다.

) Colin J. Bennett, Regulating Privacy : Data Protection and Public Policy in Europe and the United States(Ithaca : Cornell University Press. 1992) : 정보처리기관 내부자의 자기판단에 기초한 규제기준의 선택과 집행은 그 기관의 활동이나 목적에 영향을 받을 수 밖에 없고, 당연히 책임자가 공평한 아웃사이드로서 행동하는 것을 반드시 기대하기 어렵다.

미국을 비롯해 자율규제 정책을 시행하고 있는 국가들은 사생활 보호 차원의 지나친 규제가 정보의 자유로운 유통을 저해하고 전자상거래를 위축시킬 가능성이 있다고 주장하고 있으며, 개인정보보호 문제는 시장을 중심으로 하는 민간자율에 맡기고, 자율규제가 실패할 경우에만 정부가 개입해야 한다는 입장을 취한다. 그러나 포괄적 법규제정을 바탕으로 정부규제 정책을 시행하는 국가는 개인정보보호의 효과적인 보호와, 신용사회를 위해 국가가 적극적으로 개입해야 한다고 주장한다.

) 한국전산원, 정보화동향분석: 미국: 개인정보보호 강화, 1999

1) 자율민간단체의 활동

전자상거래가 활발해짐에 따라 인터넷 온라인상의 개인정보보호를 위해 산업체는 자율적으로 CommerceNet과 EFF(Electronic Frontier Foundation)지원을 받아 독립적이고 비영리 민간단체인 TRUSTe사를 설립하였고 이 외에도 이와 유사한 역할을 하는 BBBOnline등이 자율적으로 민간에 의해 설립되었다. 이들 단체에서는 개인정보보호에 대한 일정 요건을 갖춘 민간업자에게 신뢰마크를 부여하는 프로그램을 시행중이며, 사용자에 의한 고발 및 외부감사를 통해 사후관리를 철저히 하고 있다. 이외에도 업계의 프라이버시관련 자율기준으로는 직접판매협회(DMA)의 온라인 프라이버시 판매에 관한 원칙, DMA와 상호서비스협회(ISA)가 공동으로 작성한 주문하지 않은 전자우편판매에 관한 원칙, 정보산업협회의 □공정정보 관행 가이드라인□ 등이 있다.

) www.TRUSTe.org

TRUSTe는 자율규제방식의 메카니즘으로 웹사이트 소유자들은 TRUSTe와 1년 계약을 체결하고, 이 계약으로 인해 이용자들은 특정 프라이버시 원칙에 구속되며 이 계약은 분쟁이 해결될 수 없는 경우 자동조정절차를 제공한다. TRUSTe는 웹사이트를 검토하여 TRUSTe 프라이버시 원칙을 준수하고 있는지를 확인한다. TRUST의 검토 및 필요한 경우 분쟁해결과정의 자동조정을 제공하는 분쟁해결 메카니즘이 있다.

) www.bbbonline.org

BBBonline은 전자상거래에서 소비자 신뢰 및 신용을 높이기 위하여 설립되었다. BBBonline 프라이버시 프로그램은 온라인 프라이버시 선언문에 따라 이루어진 약속을 뒷받침할 수 있는 회사의 능력을 측정하기 위한 포괄적 평가과정을 제공하며, 소비자가 프라이버시 문제에 관심을 가지고 있는 경우에는 분쟁해결과정을 제공한다.

2) 자율규제와 FTC의 역할

① FTC(Federal Trade Committe)의 활동

) FTC의 목표는 온라인 판매 및 전자상거래와 관련된 잠재적 소비자보호 문제 확인, 기술과 연구에 관한 프리젠테이션 및 개념과 상황의 변환에 관한 포럼준비, 효과적인 자율규제 장려이다.

FTC는 온라인 시장의 형성에서부터 온라인 프라이버시 문제에 대한 의견을 제기하여 왔으며, 웹에서 개인 프라이버시를 잘 보호하는 것이 소비자의 신뢰를 증대시켜 궁극적으로 소비자의 온라인 시장 참여를 증대시킬 것이라는 입장을 밝히고 있다. 1997년에 자율규제가 웹상에서 고객 프라이버시 보호의 효율적인 대책인가의 여부를 결정하기 위하여 얼마나 많은 상용 웹사이트가 정보사용의 고지를 제공하고, 개인정보의 사용과 수집에 관한 고객의 선택을 제공하는지 여부에 따라 자율규제의 효율성을 측정할 것이라고 언급하였다.

FTC는 1998년의 보고서인 Privacy Online: A Report to Congress에서 고지, 선택, 접근, 비밀이라는 4가지의 공정한 정보이행 원칙에 관해 제시하며, 위원회는 이의 집행(enforcement)에 대해서 강조한다. 1999년 FTC는 온라인상의 소비자프라이버시를 효과적으로 보호하기 위하여 □자율규제와 온라인 프라이버시□라는 보고서를 발표하였다. 동 보고서는 전자상거래 발전을 개괄하고 웹사이트가 소비자에 관한 정보를 입수하는 방법을 설명하며, 온라인상의 프라이버시에 관한 소비자의 관심을 조사하고, 이에 대한 자율규제의 상황을 분석하였다. 결론적으로 동 보고서는 온라인상의 프라이버시를 다루는 입법화는 적합하지 않다고 결론을 내렸다. 또한 현재 산업계가 직면하고 있는 중대한 도전은 소비자 프라이버시의 중요성을 인식하지 못하는 기업들을 교육하는 것과, 효과적이고 광범위한 이행을 위하여 온라인 프라이버시 보호수단을 효율적으로 널리 사용할 수 있도록 추가적인 인센티브를 창출하는 것이라고 하였다.

) FTC는 공정정보관리원칙으로 고지 및 인지, 선택 및 동의, 접근 및 참여, 보전 및 보안 시행 및 정정을 제시하고 있다. 고지 및 인지의 원칙은 가장 기본적인 원칙으로서 사업자가 소비자의 개인정보를 수집하기 전 자신의 정보관리방침을 소비자에게 고지해야 함을 의미한다. 고지의 범주와 내용은 사업자의 실재 정보관리방침에 따라 다른다. 선택, 동의의 원칙은 사업자가 수집한 정보가 어떻게 사용되는지에 대한 선택권이 소비자에게 주어져야 함을 요한다. 접근·참여의 원칙은 데이터의 정확성과 완결성에 이의를 제기할 수 있는 권한과 수집된 정보에 접근할 수 있어야 함을 의미한다. 보전, 보완원칙은 사업자가 소비자로부터 수집한 정보가 정확하고 인정되지 않은 사용으로부터 안전함을 보장하는 합당한 조치를 취해야 함을 뜻한다. 시행, 정정의원칙은 공정정보관리 방침에 부합하지 않는 경우 제재를 부과하는 정부 또는 자율규제제도를 요구한다. 프라이버시 보호의 유효성은 시행, 정정원칙의 이행에 좌우된다고 하겠다.

) 삼성경제연구소, 박노형 외,□전자상거래 관련 국제규범의 제정동향과 내용분석□, 2000.12.

) FTC, supra note 129, p.12.

이와 함께 FTC는 산업체가 자율적으로 공정한 정보관행의 광범위한 채택을 위한 노력을 계속해야 하며, 인터넷상에서 프라이버시 보호와 관련하여 소비자들을 교육하기 위해 소비자 단체 및 정부와 협력해야함을 강조하였다. 또한 소비자들에게 온라인상에서 소비자 자신의 프라이버시 보호에 사용할 수 있는 수단을 제공하기 위해 효과적인 기술개발에 노력해야하며, 인터넷과 기술의 급속한 발전속에서 자율규제가 최소한의 강제와 최대한의 효율적 수단임을 강조하였다.

다. 개인정보보호 관련 국제 협력

언급했듯이 미국은 원칙적으로 개인정보보호를 위한 지나친 정부의 간섭은 정보기술발전과 업체의 자유로운 경제활동을 저해할 가능성이 크다고 판단하고 개인정보보호 문제를 민간자율에 맡기고 자율규제가 실패할 경우 정부가 개입해야 한다고 주장해왔다. 그러나 EU에서 정보보호 조치가 기준이상 마련되지 않은 국가에는 정보유통을 금지한다는 단호한 입장을 밝혀 미국은 이에 EU수준의 개인정보보호지침을 마련키로 정책을 선회하는 등 적극적인 개인정보보호대책을 마련하고 있다.

) 한국전산원, 정보화동향분석: 미국: 개인정보보호 강화, 1999

유럽은 지난 95년 10월에 개인정보 보호를 위한 지침을 수립하였고, 98년 10월부터 유럽연합의 15개 회원국들이 참여하고 있다. 지침의 주요 내용은 경제적 혹은 행정적 활동을 위해 개인의 정보를 수집, 보유, 전송하는 경우에 개인정보의 남용 방지와 보호를 위해 처리절차를 각 개인에게 공지해야 한다는 것이다. 이외에도, 명백히 합법적인 목적으로만 개인정보를 수집해야 하며 필요하다면 정확한 정보를 항상 갱신해야 하는 의무가 있으며,  각 개인은 자신의 정보제공에 대한 선택권을 갖고, 정보를 수집하는 단체의 정체와 정보수집 목적에 대해 알아야 할 자격이 있음을 고지하고 있다.

이외에도 지침은 정보 제공자에게 다음과 같은 몇 가지 중요한 권리들을 보장하며 유럽연합은 미국 기업들이 이러한 여러 가지 지침을 따를 것을 요구해 왔다. 만약 미국 기업들이 유럽연합의 지침을 따르는 기준을 마련하지 않는다면, 유럽연합은 영내에서 미국으로 나가는 모든 정보를 통제할 방침이라고 밝혔다. 그러나 미국 기업들은 지침의 내용을 모두 따르는 것은 기업활동에 막대한 짐이 된다고 주장해 왔다. 그러나 미국은 EU지침을 외면할 경우 유럽과의 전자상거래가 중단될 사태를 예견하고, 이 경우 미국업체의 피해가 EU보다 더 크다는 현실인식에서 EU수준의 개인정보보호지침을 마련하기로 정책을 선회하였으며, EU측과 협상을 하면서 민간 자율에 무게를 둔□세이프하버 원칙□(Safe Harbor Principles)이라는 색다른 접근방법을 제시하였다. EU지침은 역외로 전송되는 개인정보에 대하여 국가적인 적절한 보호를 요구하고 있으나, 미국은 개인정보보호에 대한 자율규제와 정부규제를 혼합한 세분화된 접근방법을 취하여 관련기업들이 세이프하버 원칙을 자발적으로 준수하겠다고 상무부에 신고할 경우 그 혜택을 받을 수 있게 하였다. 또한 이를 어길 경우 공쟁거래위에 의해 처벌을 받는다. □세이프하버 원칙□이란 기업들에 개인정보 보호 문제에 대해 스스로 책임지도록 하는 것이다. 즉 데이터 보존(data integrity)을 비롯하여 7개의 기본적인 프라이버시 보호 원칙을 준수하겠다는 의사를 자발적으로 밝힌 미국 기업들에 안전한 항구를 만들어 준다는 것이다. 안전한 항구 안에 있는 단체들은 유럽연합 지침의 적정수준을 지킨다는 전제 아래 유럽내의 정보수집을 허락하는 것이다. 세이퍼하버에 참가하는 기업의 수는 지난 2001년 5월에 약 40개, 7월에는 약 68개, 1년 뒤인 2002년 5월에는 194개 기업, 2003년 3월 현재 310개의 기업으로 증가하였다.

) 1)정보에 대한 접근권 2)부정확한 정보에 대한 개정권 3)불법적인 정보이용에 대한 보상청구권 4)마케팅을 목적으로 배달되는 전자메일 등과 같이 원하지 않는 분야에 정보사용의 유보권 5)정치적 성향, 종교적 신념 6)노조가입 여부 7)성생활과 같이 민감한 사안인 경우 그것이 공공의 목적에 부합되는 것을 제외하고는 정보제공 동의권 등이다.

) EU 개인정보보호 지침에서 요구하는 『적절한 수준』을 만족시키기 위하여 미국에서는 『Safe Habor』원칙을 채택하여, 유럽연합과 2000년 7월에 합의하여 11월부터 시행에 들어갔다. 『Safe Habor』의 주요내용은 1)사업자는 개인정보보호정책을 공표 2)미국 상무성은 동 개인정보보정책 신고제도를 도입 3)유럽연합과 패널을 구성하여, 동 패널에서 개인정보 관련 고충처리, 4) 공표한 개인정보보호정책과 어긋난 개인정보의 처리는 공정거래법 위반 등으로 고발조치등으로 요약된다. 미국은 개인정보에 관한 포괄입법 제정을 강요하는 EU의 주장에 맞서 민간 자율을 기본으로 하는 원칙을 새로이 수립하였다.

) US Department of commerce webpage. www. commerce. gov

2. 입법현황

미국의 연방대법원은 개인의 프라이버시를 판례를 통하여 적극적으로 보호하였다. 그러나 이렇게 보통법(common law)과 연방대법원의 판례를 통한 개인의 프라이버시보호는 한편으로는 포괄적이고 탄력적이라는 장점을 갖고 있으나, 다른 한편으로는 개인의 프라이버시권이 어느 경우에 보호되는지가 불확실하다는 단점을 가지고 있다. 그동안 미국의 개인정보보호법은 자율규제 원칙을 바탕으로 단행법률에 의해서 개인정보를 보호하는 부분적이고 개별적인 입법조치를 취해왔으며, 종합적이고 포괄적인 입법은 아직 존재하지 않는다. 따라서 연방행정기관에 대해서는 1974년 제정된 프라이버시법을 바탕으로 규제가 행하여지고 있으며, 민간부문에 대하여는 개인의 신용정보보호법, 아동보호법 등에 의해 개별적으로 보호되고 있다.

) 미국의 개인정보보호법제의 특징 등 상세한 소개는, 김일환, □미국개인정보보호법규에 관한 연구□.『미국헌법연구』제 10호 (미국헌법학회, 1999) 325-400면 참조.

미국은 공공, 통신, 의료, 신용, 아동 등 각 필요에 따라 각 분야별 법제정으로 개인정보를 보호하고 있으며, 그 밖의 경우는 개인정보는 주로 주법과 판례에 의하여 보호하고 있다. 아래에서는 대표적인 법률의 내용에 대해 살펴보겠다.

가. 공공기관의 개인정보보호법

1) 프라이버시법 (The Privacy Act of 1974)

미국에서 공공부분의 개인정보보호는 1974년 제정된 프라이버시 Act에 의해서 주로 보호되며, 이 법의 제정목적은 첫째, 개인과 관련된 정부기록에 대한 개인의 이익을 보호, 둘째 개인정보를 다루는 정부기관의 관행을 규제, 셋째, 개인의 프라이버시를 최대한 보장하면서도 적법한 정책목적을 수행하기 위하여 필요한 개인정보를 정부가 이용할 수 있도록 적절한 균형을 유지하는 것이다.

이 법은 미국 연방정부가 보유하는 개인정보의 활용을 적절하게 규율하기 위한 것으로서 연방행정기관을 규제대상으로 하므로 일반 상거래시 개인정보보호와 관련하여 직접 적용될 가능성은 없다. 또한 이 법은 연방기록에만 적용되며, 미국시민과 영주권자는 보호하지만 외국인이나 법인에는 적용되지 않는다. 그리고 동법은 □특정 목적을 위하여 수집된 개인정보는 당해 주체의 동의 없이 다른 목적을 위하여 이용되어서는 아니 된다.□는 것을 기본 원칙으로 하여 위반시 민·형사책임을 묻고 있다. 그러나 이 법의 예외조항으로서 □정보의 수집목적에 비추어 허용되는 통상적인 사용□을 인정하고 있는데, 이러한 예외조항을 넓게 해석함으로써 프라이버시 보호가 퇴색하게 되었다.

) 김연수, 개인정보보호, 2001.7

2) 컴퓨터자료의 상호 비교 및 프라이버시보호법

□컴퓨터자료의 상호비교 및 프라이버시보호법□에서는 연방 데이터베이스 자료의 상호비교 및 합성에 대한 조건을 엄격히 규정하고 있으며, 연방기관에 의한 개인정보침해를 규제대상으로 하고 있다. 동 법은 데이터베이스들간의 컴퓨터 결합을 수행할 때 당해 기관들이 따라야 할 구체적 절차를 규정하고 있고, 이러한 활동을 감독할 자료보호통합위원회를 설립할 것을 요구하고 있다. 그러나 동법은 절차적 보호장치는 제공하지만 실질적 지침은 제공하지 않고 있다.

3) 전자정부법(E-Government Act of 2002)

최근 미국은 행정의 효율성과 대민 서비스 향상, 각 부처 전자정부 관련 정책 및 시스템간의 연계를 강화하기 위해 전자정부법을 제정하였다. 2002전자정부법에 포함된 구상들은 국민의 필요에 초점을 맞추는 효율적이고 효과적인 정부를 창출하기 위해 중요한 시도라 할 수 있다. 가령 법에 포함된 조항들은 1) 전자서명의 개발을 촉진함으로써 전자정부 거래에 수반되는 민감한 정보를 안전하게 전송하고 2)정부기관들이 프라이버시 영향 평가를 수행하게 하여 개인의 프라이버시를 보호하며 3) 국민이 정부 정보를 더 쉽게 이용할 수 있도록 할 것을 언급하고 있으며, 이 법은 1974년 연방기관에 관련된 개인정보를 보호하는 Privacy Act를 보완하며 공공기관의 개인정보보호에 대한 포괄적인 입법으로서 개인정보보호의 향상을 가져올 것이라고 예상된다

) 한국전산원, 정보화정책 제 9권 제 4호 2002년 겨울. 2002년 12월 17일 부시 대통령의 서명으로 전자정부법(E-Government Act of 21)이 최종 확정되었다.

나. 통신분야

) 정상호, 전자상거래에서의 개인정보보호, 2000.12.

김연수, 개인정보보호, 2001.7

1) 전자통신프라이버시법(The electronic Communication Privacy Act of 1986)

이 법은 전자통신의 무단도청을 방지하고, 새로운 컴퓨터와 전자통신기술의 급격한 발전에 따라 새로운 프라이버시보호의 기준을 설정하기 위하여 제정된 것으로서, 음성우편, 전자우편, 및 온라인 컴퓨터베이스와 같은 전자적으로 저장된 정보를 보호하고 있다. 또한 컴퓨터 통신상에서 사용자들에 대한 불법적인 감시 또는 외부침입자들의 전자우편 또는 저장된 정보 등에의 무단접촉 또는 사용을 막기 위하여 형사처벌을 규정하고 있다. 이 법은 통신내용의 비밀을 보호하며 그것을 중간에서 착취하는 행위를 방지하기 위한 것이다. 다만 이 법에서 예외조항으로 사용자나 수신자 일방의 동의가 있거나, 통신시스템의 효율적인 운영을 위해 필요한 경우 및 정부가 요구하는 경우에는 통신내용을 공개할 수 있도록 규정하고 있다. 이 법은 대중에게 전기통신서비스를 제공하는 주체에 대해서는 적용되고, 종업원의 전자우편을 감시하는 사용자에게는 적용되지 않으며, 통신의 내용을 공개하는 것을 금지하는데 불과하다. 동법상 내용이라 함은 통신의 실체, 목적 또는 의미에 관한 어떠한 정보도 포함하지만 통신당사자의 식별이나 통신의 존재에 관한 정보는 명시적으로 배제되고 있다. 따라서 동법은 역으로 서비스제공업자들이 다른 개인정보 이용자에 대하여 통신의 내용을 제외한 가입자에 관한 기록이나 기타 정보를 제공하는 것을 허용하고 있는 것이다. 동법에서 말하는 기록의 의미에 관해서는 아직 명확한 해석이 내려진바 없어 전자우편의 목적이 통신의 내용에 해당되느냐, 기록에 해당되느냐는 분쟁의 소지가 있다고 할 수 있다.

2) 연방 통신법(Telecommunication Act of 1996)

이 법은 통신사업자가 요금지불정보, 고객의 통신이용의 양, 상대방, 이용형태, 기술적 구성과 같은 고객관련 네트워크정보를 서비스 제공에 필요한 범위 내에서만 전화번호부 회사를 포함하여 제 3자에게 제공할 수 있도록 원칙적인 제한을 함으로써 전화회사가 개인정보를 영리적으로 이용하는 것을 억제하고 있다. 또한 CPNI(customer proprietary network information:고객관련 네트워크 정보)를 공개하고자 하는 경우에는 고객의 서면동의를 받도록 하여 개인정보의 이용 및 공개에 관한 의무를 부과하고 있다. 그러나 동법은 통신서비스를 제공하는 통신사업자에게만 적용되기 때문에 인터넷상에서의 온라인의 사업자 경우에는 개인정보를 상업적으로 수집·활용하는 것에 대한 아무런 법적 제약을 받지 않게 되는 단점이 있다.

3) 케이블통신프라이버시법(Cable communication Policy Act of 1984)

이 법은 케이블 사업자들이 가입자에게 가입당시 가입이후 적어도 1년에 한번씩 사업자들의 개인정보 처리관행에 관하여 통지할 것을 의무화하고 있다. 만일 가입자의 동의를 얻지 못하면 테이블 사업자는 서비스제공을 위해 필요한 범위에서만 개인정보를 수집할 수 있으며, 그러한 개인정보는 서비스를 제공하기 위해 필요하거나 그러한 서비스와 관련된 적법한 사업활동에 필요한 경우가 아니면 공개되어서는 안된다. 즉, 소수의 예외사유에 해당되지 않는 한, 개인정보의 모집이나 공개는 반드시 개인의 동의를 얻은 다음 이루어져야 한다는 것이 기본원칙이다. 그리고 개인정보가 수집된 목적에 비추어 더 이상 정보의 보관이 필요하지 아니하고 법적으로 그러한 정보의 보관의무가 없다면 폐기하여야 한다. 그러나 동법이 무선케이블 서비스 운영자 또는 Direct Broad Satellites의 서비스에 적용될지 여부는 불분명하기 때문에 적용범위가 매우 제한적인 점에서 역시 한계를 지니고 있다고 할 수 있다.

4) Patriot Act of 2001

프라이버시□의 나라 미국에서 최근 시민들이 상업적 영역의 사생활에 대해서는 반감을 보이는 반면, 정부의 □사생활 침해□ 확대에는 관대하게 이해하려 드는 현상이 벌어지고 있다. 미국은 베트남 전쟁과 워터게이트 사건으로 사생활 보호를 강화하는 방향으로 나갔으나, 9·11 테러사건 이후 미국은 Patriot act를 제정하여 국민의 프라이버시권을 제한하고 있다. 이 법은 정부기관의 프라이버시는 보호하고, 미국시민들의 프라이버시권을 제약하는 법으로서, 법안은 영장 없이도 인터넷 사업자(ISP)들에게 가입자 관련정보 제공과 경찰의 인터넷 도청권을 허용하고 있어 인권침해 시비를 낳고 있다. 현재 미국사회에서 개인정보에 대한 계속적인 논란이 있으나 현실적인 테러위협 아래 어느 정도 용인되고 있다.

) 조선일보, 2002.11.16

다. 신용관련분야

① 공정신용보고법(Fair Credit Reporting Act of 1970)

미국에서 신용관련개인정보와 관련한 법규는 크게 Gram Leach Biley Act와 The fair credit Reporting Act가 있다. 공정한 신용정보에 관한 법률에 의하면 크레딧 뷰로나 신용정보회사들은 신용카드회사, 렌트회사, 보험회사등 법에 의해 허용된 제 3자에게 소비자의 정보를 제공할 수가 있다. 1970년에 제정된 공정신용보고법은 자동자료처리시스템의 발전단계에 대응하여 개인정보의 당사자에게 자기에 관한 정보를 통제할 수 있는 권리를 보장한 미국 최초의 연방법률이며, 수차에 걸친 개정을 하였고 최근에 2002년 7월에 개정되었다. 동 법은 신용정보 회사들에 의해서 제공되는 소비자의 신용정보를 보호하기 위한 법률이며, 이 법은 민간부문 중 가장 많은 개인정보를 보유하고 있는 신용보고업자에 의한 개인신용정보의 수집 및 사용을 규제하기 위한 것으로서, 소비자에게 자기에 관한 정보의 종류·내용·정보원·이용자 등에 관한 공개청구권을 인정하고, 부정확·불완전한 정보의 정정청구권을 보장하며, 개인의 성격·평가등에 관해 보고하는 경우에는 본인에게 그 뜻을 통지하고 당해 정보의 공개청구권이 있음을 통지하도록 하고 있다. 또한 조사보고에 근거하여 불이익한 결정이 행하여지는 경우에 보고의 이용자는 조사보고기관의 이름 등을 본인에게 통지할 것 등을 규정하고 있다. 그리고 정보의 폐기기간을 규정하고, 정확성, 쟁송절차를 규정하여 고의나 과실로써 본법을 위반하였을 때에는 민사책임은 물론 형사책임을 지도록 하고 있다.

이 법은 개인의 신용정보를 보호한다는 점에서 매우 중요한 법이지만, 그 적용대상을 소비자의 신용가치, 신용도, 신용능력, 성격, 일반적 평판, 개인적 특성, 생활형태 등을 수록하고 있는 소비자 보고서를 마련하고 배포하는 신용정보대행업자에 한정하고 있는데 한계가 있다. 또한 동법은 정보의 정확성을 유지하기 위한 여러 절차적 요건을 두고 있지만, 정보의 수집·사용 및 저장에는 특별한 규제를 하고 있지 않음으로써 개인에 관한 포괄적인 정보수집을 가능하게 하고 있고, 목적에 비추어볼 때 불필요한 정보의 수집에 대해서도 통제를 하지 않고 있다. 1996년 제정된 Consumer Credit Reporting Reform Act는 한계를 일부 보완하기 위한 법으로써 소비자가 신청한 사업상 거래 또는 소비자가 계속하여 지불능력이 있는지와 관련된 정당한 사업상 필요를 위해서만 신용기록의 전달을 허용함으로써 종전의 광범위한 사업상 필요라는 개념의 범위를 한정했다.

② Gramm Leach Biley Act of 1999

Gramm Leach Biley법은 1999년 11월 12일 제정된 법으로 소비자의 금융 개인정보보호를 규정하는 법률이다. 이 법은 연방거래위원회와 관련 정부부처로 하여금 동 법의 금융 개인정보보호의 법규를 수행하기 위해 시행규칙을 제정하여 금융기관을 규제하도록 하고 있다. 이중 소비자와 관련된 주요내용으로 우선 금융회사가 소비자에게 회사의 개인신용정보에 관한 정책에 대하여 알려줄 것을 의무화하고 있다 또한 동 법률은 어떤 무관한 이해관계자와 개인신용정보를 공유하는 것에 대하여 일부 제한하고 있는데, 여기서 무관한 이해관계자라 함은 금융회사와 관계가 없는 서비스 제공자, 조인트 마케터등 다른 상품이나 서비스를 제공하는 제 3자들을 말한다. 즉 동 법하에서 금융회사는 소비자의 개인신용정보를 이해관계가 없는 서비스 제공자에게 제공할 수는 있지만 반드시 제 3자와 정보를 공유하기 전에 소비자에게 정보공유 사실과 이를 거절할 수 있는 기회를 주도록 규정하고 있는 것이다.

많은 금융기관들이 고객의 이름, 주소, 주민등록번호, 전화번호, 은행계좌, 신용카드번호, 수입, 신용이력과 같은 개인정보를 수집하고 있다. 이에 대하여 GLB는 금융기관으로 하여금 소비자들의 개인정보에 대하여 기밀성과 안전성의 확보를 요구하고 있다. 이와 같이 GLB법을 시행함에 있어서 FTC는 사업자들의 세이프가드 규칙을 마련하여 Gramm Leach Biley 에 대한 guide Rule을 주었다. 이러한 규정에 따르면 전통적으로 금융기관이라고 하지 않았던 여러 사업자를 포함한다. 규모에 상관없이 관련된 사업체 저당 브로커나, 사채업자, 부동산관련업자직업소개소 등을 광범위하게 포함한다. FTC는 개인의 재정상황이나, 은행거래내역등 정보를 불법으로 수집해 파는 업체에게 민형사 책임을 물게 할 것을 발표하였다. 위법 회사들에게는 형사상의 처벌은 물론 건당 1만 1000달러의 벌금을 부과할 수 있다.

라. 아동과 관련된 개인정보보호입법(Child Online Protection Act of 2000)

이 법은 1998년 의회를 통과하여 2000년 3월 21일부터 시행되었다. 주요내용으로는 인터넷사이트가 영리목적으로 13세 이하 어린이의 신상정보를 요청할 때는 반드시 부모의 동의가 있어야 하고, 부모의 동의를 받으려면 우편이나 팩스로 부모에게 승인을 요청하거나, 수신자 부담전화를 통해 승인을 받거나, 암호화된 E-mail을 통해 동의를 구하여야 한다. 또한 수집되는 정보의 종류, 수집된 정보의 사용처, 제 3자에 대한 정보 유출 금지조항, 연락처, 담당자 등이 명시된 어린이 프라이버시 보호정책을 인터넷 사이트에 눈에 잘 띄도록 게시하여야 한다. 이 법을 위반하는 경우 어린이 1명당 1만 1천달러의 벌금(civil penalty)을 부과하고 있다.

마. 의료기록에서의 개인정보보호법(Health Insurance Portability and Accountability Act of 1996)

오늘날 업계는 엄청난 양의 의료정보를 수집·공유하고 있으며, 의료서비스 제공자들은 환자의 의학적 상태, 치료에 관한 중앙집중적 기록을 개발할 수 있다. 비영리 기구인 의료정보국은 수백만의 미국인과 캐나다인의 의료정보 자료은행을 운영하면서 생명보험 및 상해보험회사들에게 도움을 준다. 그 밖에 의료서비스와 직접 관련이 없는 교육기관, 민형사법원, 보험회사, 재활 및 사회복지프로그램, 신용기관, 공중보건기관, 의료연구자들도 의료정보를 이용하고 있다. HIPPA은 미국 보건성(DHHS: The Department of Health and Human Services)에서 발표한 연방정책의 지침서 및 국가 표준 법안으로 1996년에 제정되었다. HIPPA의 프라이버시 규정은 신원증명 정보의 사용과 공개를 좌우하며, 전자형태로 의료상 신원정보를 전송하는 의료보험자, 의료진, 의료정보 교환소에 적용되며, HIPPA의 프라이버시 제도는 전자적으로 관리되고 전송되는 환자의 신원정보에 적용되는데, 그것은 환자의 전자화된 신원정보, 전자매체로부터 프린트한 문서상의 정보와 컴퓨터 시스템에 들어간 정보 모두를 대상으로 한다.

) 한국정보보호진흥원, 2002개인정보보호백서.

프라이버시제도는 환자의 권한, 법적인 책임, 공적인 의무, 사용범위의 제한 및 보안의 5가지 원칙하에 운영되며, 특히 프라이버시 규정에는 환자 개인의 권리에 대해 명시되어 있어서, 환자는 의무기록의 사용과 공개를 제한할 권한, 의료정보가 공개될 경우 통지를 받을 권한, 의무기록의 사본을 받아볼 권한, 기록 공개의 이유를 설명 받을 권한, 그리고 자신의 의무기록을 수정 요청할 권한을 부여하고 있다. 또한 프라이버시 규정은 행정상의 정책 및 절차에 대해서도 언급하고 있는데, 보험자, 의료진들, 의료정보 교환소가 그들의 업무에 적합한 관리시스템을 사용해야 하고 그 시스템은 환자의 의료정보를 보호할 수 있어야 한다고 명시되어 있다. 이 법률 하에서 의료정보의 프라이버시를 보장하기 위한 최종적인 규정이 2000년 12월에 발표되었는데, 이 규정은 미국경제의 13%인 모든 의료서비스 제공자와 관련 업체들에게 적용된다. 뿐만 아니라 이 규정은 오프라인기록 뿐 아니라 온라인 기록에도 적용되고, 법적 보호의 핵심적인 기반을 제공한다. 또한 현재의 법률 범위 외에 있는 생명보험사가 보유하고 있는 기록, 고용시 사용하는 기록 등과 같은 일부 의료기록을 보다 잘 보호하기 위해서는 추가적인 입법이 필요할 것이다. 미국 캘리포니아주의 입법에 의하면 의료정보보호대상을 의약품 제조업자로 확대하여 철저한 개인정보보호를 강구하고 있다.

6) 유전자 프라이버시 법

유전자 프라이버시법은 개인의 유전자정보를 강력히 보호하는 것을 내용으로 하고 있다(2000. 8). 이 법은 미국 메사추세츠 의회 입법으로 환자의 유전자 검사결과를 볼 수 있는 사람을 환자가 정하도록 하고 있으며 누구도 유전자 검사 결과를 바탕으로 금융, 주택, 의료보험, 고용에 있어서 차별을 받지 않도록 규정하고 있다.

) 김연수, 개인정보보호, 2001.7

3. 미국 개인정보보호의 최근 법제도 동향

가. 자율규제에 대한 회의론의 대두

미국의 경우 전통적으로 온라인상의 소비자 프라이버시 보호문제는 법적규제보다는 산업계 스스로 자율규제를 통해 이루어져 왔다. 인터넷 기술의 급속한 변화와 더불어 정보침해의 위험이 증가함에 따라 소비자 프라이버시를 보호하기 위한 새로운 기술의 도입과, 변화에 대응하기에는 업체의 자율규제가 효과적이라고 생각하기 때문이다.

그러나 최근 미국에서는 온라인상에서의 개인정보남용에 대한 시민들의 관심과 우려가 커지고 자율규제에 대한 회의론이 점차 확산되면서, 온라인에서의 프라이버시 보호를 위한 규제입법에 대한 여론이 강화되고 있다.

실제로 정보시장에서 개인정보처리기관과 정보주체 사이의 관계는 전형적으로 정보불균형(information asymmetry)의 상태에 놓여 있기 때문에 자율규제는 그 자체로 한계가 있다는 것이 회의론의 대두 이유이다. 정보처리기관 그리고 기업은 많은 권력과 이윤을 소유할 수 있다. 이러한 여건 속에서, 시장은 정보주체에게 공정한 정보처리를 위해 협상할 기회조차도 제공하지 않을 것이고, 할 수도 없을 것이기 때문이다.

) Jeol R. Reidenberg, op. cit. (fn. 74), p. 5.

이러한 자율규제의 결함을 보완하기 위한 미국의 대응은 부분적인 보완입법을 제정하는 것이었다. 그렇지만 이처럼 개인정보보호의 문제를 시장에서 결정하도록 하는 자율규제에 지나치게 의존하는 것은 개인정보보호에 함축되어 있는 정보자기결정권의 문제를 소홀히 다루게 되는 결과로 이어질 가능성이 높다. 이것을 단순히 경제적 시장에 맡기는 것은 이념적으로 무리가 있다는 것이 회의론의 견해이다.

) Jeol R. Reidenberg, "Restoring Americans' Privacy in Electronic Commerce", 14 Berkeley Tech. L. J. 771 (1999).

1998년 FTC가 온라인상에서 수집한 아동의 개인정보가 남용되고 있다는 사실을 밝힌 후에, 연방의회는 온라인상에서 13세 이하의 아동으로부터 개인정보를 수집하는 행위를 규제하기 위한 「아동온라인프라이버시보호법」을 제정하였다. 또한 1999년 11월에는 금융기관에게 보다 엄격한 개인정보보호의무를 부과하기 위하여 「금융서비스근대화법(Financial Services Modernization Act; 일명 Gramm-Leach-Bliley Act)을 제정한 바 있다. 이처럼 미국에서는 분야별로 개인정보보호 입법을 하고 있는 경향을 보이고 있다.

) 18.U.S.C. 1028(Supp. IV 1998). 동법은 연방법 위반행위나 주법상의 중범죄행위를 범하거나 또는 교사하려는 목적으로 동의없이 타인의 신원확인수단을 고의적으로 양도하거나 이용하는 행위를 불법으로 규정하고 있다.

) Pub. L. No. 106-102, 113 Stat. 1338 (연방법률집 제 12편과 제 15편의 각 조항에 흩어져 법전화됨).

2000년 3월 Bill Clinton 대통령은 한 포럼의 발표에서 개인정보보호를 위해 산업계 자율규제의 취지는 좋으나 이미 이용자의 개인정보보호의 권리가 많이 침해되고 있다고 우려하면서, 이러한 문제에 대해서 업계 스스로가 더욱 엄격한 정보보호를 해줄 것을 촉구하였다. 최소한의 개인정보보호기준이 채택되지 않으면, 정부가 업계를 대신해서 관련기준을 채택할 것이라고 언급함으로써 이제까지 미국의 일관된 온라인 프라이버시 보호의 □자율규제□에 대하여 정부가 간섭할 수 있음을 시사하였다.

) The White House,'Remarks by the President to the Forum on Communications and Society on the Information Age Agenda, Meeting of the Aspen Institute', Immediate Release, 2000. 3. 3.

삼성경제연구소, 박노형 외,□전자상거래 관련 국제규범의 제정동향과 내용분석□, 2000.12.

FTC는 2000년 5월 22일 □전자시장에서의 공정한 정보관행□이라는 보고서의 발표를 통해서 그 동안의 전자상거래의 성장과, 업계의 자율규제의 효과를 평가하였다. 이 보고서는 그 동안의 자율규제의 노력이 개인정보보호에 효과적이지 못했음을 지적하고 온라인상에서 소비자 프라이버시의 적절한 보호를 보장하기 위한 입법을 권고하였다. FTC가 제안한 입법안의 주요 내용은 다음과 같다. 온라인상에서 개인정보수집에 대한 기본적인 처리기준, 정보처리에 대한 고지의무, opt out 방식의 선택권 부여, 정부의 집행권한 부여 등이 그것이다.  2000년 보고서 발표 후  FTC는 1995년 온라인 소비자 보호문제를 다룬 이래 그 동안의 업계의 자율규제 원칙에 따라 보다 광범위하고 효과적인 자율규제 방안을 마련하지 못한다면, 정부의 간섭이 필요할 것이라는 입장을 취하기 시작했다.

) 개인정보보호의 자율규제에 관한 효과를 평가하고 미국내에 상업적인 웹사이트의 소비자 보호 규정의 취지와 그 특성을 조사하여 분석한 보고서이다.

) 「2000년 온라인프라이버시조사」에 의하면, 거의 모든 웹사이트(92%)가 소비자로부터 개인정보를 수집하고 있으며, 이들 중 개인정보가 어떻게 이용되는지에 관해 최소한 언급이라도 하고 있는 것이 겨우 14%에 불과하다고 한다. 그리고 10%만의 사이트만이 공정정보처리의 기본원칙 4가지를 모두 규정한 프라이버시보호정책을 제시하고 있으며, 겨우 8%의 사이트가 privacy seal을 달고 있다고 한다.

) 이 보고서는 3년 간의 FTC의 자율규제지원의 노력에도 불구하고, 많은 업체가 온라인상에서 공정정보사용의 기본인 고지/인지 조차 채택하지 않음을 보여주었다. 게다가 FTC에 제출된 상거래업체 가이드라인은 기본적인 공정정보사용원칙을 반영하고 있지 않았고, 효과적인 자율규제제도에 필요한 강제적 절차도 포함하고 있지 않았다.

) Opt-out 방식이란 정보주체가 제 3자의 개인정보처리에 대해 그것을 명시적으로 거부하지 않는 한 제 3자의 개인정보처리권이 인정되는 방식이다.  Opt in 방식은 개인정보처리이용권이 명시적으로 인정되지 않는 한, 개인정보의 처리 및 이용이 금지되는 방식이다. 그러나 이용권은 법률의 규정 또는 정보주체의 동의(명시적, 묵시적)에 의해서 인정될 수 있다.

그러나 FTC의 입장과 반대로 공화당 의원들, 백악관, 상무부는 여전히 산업계의 자율규제를 옹호하고 있다. 예컨대 공화당 당원이며, FTC위원인 Orson Swindle 은 FTC보고서에 대하여 반대의견을 표명하면서, □본 보고서는 법률제정으로 인한 비용소모와 소비자의 신뢰 향상이라는 이익을 적절하게 비교하지 못했다□고 비판하고 있다.

) Privacy Online : Fair Information Practices in the Electronic Marketplace, 1, at http://www.ftc.gov/reports/provacy2000/privacy2000.pdf (2000)(disenting statement of FTC Commissioner Orson Swindle).

이에 대하여 현 FTC 의장인 Timonthy J. Muris는 Privacy 2001 Conference (Protecting Customers' Privacy: 2002 and Beyond)에서 "자율규제에 대한 비판의 목소리가 커지고 있지만, 소비자의 효과적인 개인정보보호를 위해서 자율규제원칙을 고수할 것이며, 대신 자율규제에 대한 정책의 검토를 통해 조금 더 체계적인 정책을 입안하고 위반시 집행력을 높이는 방안을 택하겠다"고 밝힌바 있다. 그는 연설에서 인터넷 프라이버시관련 법 제정에 따른 비용과 소비자의 이익문제를 거론하며 궁극적으로 법에 따른 비용도 소비자가 지불할 것이므로, 입법중심의 법규제에 대해 신중한 입장을 취할 것을 권고했다.

) 의장은 개인의 신발사이즈와 신용카드번호를 똑같은 강도로 보장할 수 없음을 이야기하고 개인정보의 문제가 너무 온라인에만 치우쳐 있음을 주지하였다.

이와 같이 미국에서는 기본적으로 자율규제원칙을 지켜나가려는 입장을 고수하고 있지만, 이에 대한 회의론과 긍정론이 꾸준히 대립되고 있는 상황이다.

나. 프라이버시영향평가제도 도입

최근 미국은 행정의 효율성과 대민 서비스 향상, 각 부처 전자정부 관련 정책 및 시스템간의 연계를 강화하기 위해 전자정부법을 제정하였다. 전자정부법에서 기관은 정보시스템을 개발하거나 개인식별이 가능한 전자정보를 수집하기 전에 1)수집할 정보 2)정보를 수집하는 이유 3)수집되는 정보의 내용과 이를 공유하는 방식 4) 정보의 이용목적 5) 정보보안의 방안 등을 포함한 프라이버시 영향 평가를 수행하여야 할 것을 규정하고 있다. 평가에 대한 결과는 관리예산처에 제공되며, 가능한 범위 내에서 일반 국민에게 공개하도록 되어 있다. 이러한 규정은 개인정보 수집이 프라이버시에 미치는 영향에 대해 기관이 관심을 기울이게 하고, 불필요한 개인 정보 수집을 막고, 더 이상 필요치 않은 정보는 파기하도록 함으로써 기관들이 수집하는 정보의 양을 감소시킨다는 프라이버시법의 취지 가운데 하나를 달성하는데도 기여할 수 있다.  프라이버시 영향 평가 조항과 관련된 한가지 문제는 동 법이 정의하는 대상이 □특정 개인의 물리적 혹은 온라인 접촉을 허용하는 식별자를 포함하는 정보 수집과 체계□로 평가 대상을 한정한다는 것이다. 법안에 부속된 상원위원회 보고서가 식별자를, 성명, 자택 또는 기타 물리적인 주소: 전자우편 주소: 전화번호, 사회보장번호, 신용카드번호, 또는 생일, 출생증명 번호, 또는 출생지를 포함하는 것으로 폭넓게 정의하고 있으나 법 자체에 정의가 포함되지 않으면 관련규정이 좁은 의미로 해석되어 영향 평가의 대상이 본래 의도보다 축소될 수도 있다.

) 2002년 12월 17일 부시 대통령의 서명으로 전자정부법(E-Government Act of 21)이 최종 확정되었다.

다. 정보보호기구의 역할

) FTC, Protecting Consumers' Privacy: 2002 and Beyond,Timothy J. Muris

미국은 원칙적으로 정보보호에 대해서 개개 국가기관 스스로가 정보처리 및 프라이버시문제들을 다루어야 한다는 생각에서 기본적으로 해당 행정기관들이 자체적으로 해결하는 방식을 택하고 있으며 연방기관의 개인정보에 관련해서는 OMB가 감독기구의 역할을 수행하고 있다. 현재 미국내 소비자 프라이버시보호에 가장 중점적인 역할을 수행하고 있는 기관중 하나인 FTC에서는 산업계와 정부와, 프라이버시 옹호자의 협력하에 프라이버시관련 여러 업무를 수행하고 있다. 2003년 FTC가 수행하는 구체적인 안건들로는 Pretexting이나, 법 집행 관련 조정(law enforcement coordination), 교육·인식 제고, 신분도용으로 인한 피해자 구제 등이 있으며, 원하지 않는 상업 메일과, 전화세일즈 등 개인정보의 교류가 일어나는 여러 가지 사안들이 있다. 위원회는 실질적인 소비자의 고충을 받아들이기 위해 FTC의 웹페이지를 통해서 프라이버시관련 고충을 접수하고, 이러한 내용의 분석을 통해서 프라이버시 분야에 대한 경고와 대응시스템을 시행하고 있다. 국가적인 Do not call list를 만드는데 40,000건의 제안을 접수했으며, 주당 3,000건 이상의 신분도용, 및 고충처리, 일일 42,000건의 스팸관련 민원을 접수함으로써 소비자와 사업자로부터 의견을 수렴하는데 있어서 호의적인 반응을 얻고 있다. 또한 프라이버시 관련 문제에 대한 워크샵을 개최하여 프라이버시 관련 기술, 지침, 문제들에 관련하여 일반적인 인식을 향상시키기 위한 부가적인 노력들을 하고 있다.

) 유럽연합은 FTC와 교통부를 불만조사, 불공정 사기행위에 대한 구제 및 세이프하버원칙을 미 이행하는 경우 개개인의 구제를 행하는 권한이 있는 것으로 인정한다.

) 1998년 10월 30일 클린턴 대통령은 ID 절도(Identity Theft Act)에 서명하였다. 동법은 연방법 위반행위나 주법상의 중범죄행위를 범하거나 또는 교사하려는 목적으로 동의 없이 타인의 신원확인수단(identification means)을 고의적으로 양도하거나 이용하는 행위를 불법으로 규정하고 있다.

) FTC, Perspective on Privacy Law and Enforcement Activity in the United States, 2002. 6

최근의 FTC의 집행사례를 보면 회사의 중대한 과실이 없어도, 일반적인 기술적·관리적 문제로 소비자의 개인정보보호에 피해가 발생했을시 책임을 부과하는 경향을 보여주고 있다. 사례로서 항우울 관련 약을 제조하는 Eli Lilly라는 회사가 소비자에게 투약시점을 알리는 새로운 이메일 전달 프로그램을 개발했는데 이메일 수신자란에 모든 이메일 받는 사람의 메일주소가 같이 쓰여짐으로 해서, 비의도적으로 다른 개인의 주소를 노출하게 되었다. FTC는 의도적이지 않은 노출일지라도 일상적으로 예견되는 위협에 대해서 소홀했으므로 Lilly에 책임이 있음을 정했고, 개인의 정보를 철저히 보호할 수 있는 새로운 보안 프로그램을 설치 할 것을 요구하였다. 또한 FTC는 일반적으로 예상할 수 있는 위협이나 손해라면, 보유하고 있는 개인정보에 대한 안정성과, 무결성과, 비밀성을 지켜야 하는 것을 의무로 하고 위반시 제재를 가하고 있다.

라. 의회의 관련입법 논의동향

자율규제, 정부규제의 논의와 마찬가지로, 온라인 프라이버시 관련 포괄적인 입법을 찬성하는 의견과 반대하는 의견이 팽팽히 맞서고 있는 상황에서 온라인 프라이버시에 관련된 다양한 법안이 제출되지만 쉽게 법제화는 이루어지지 않고 있다. 특히 개인정보관련 기술이 발전하면서 기술관련정책입안에 대한 관심이 증가하고 있다.

) 의회에 100여개의 개인정보보호관련 법안이 제출되어 있음.

2002년 4월 미 상원인 어니스트 홀링스 의원이 발의한 □온라인 개인프라이버시 법안(Online Personal Privacy Act)은 온라인 업체들이 웹사이트 방문자들의 은행계좌 의료정보, 사회보장번호 등의 개인정보를 본인 동의 없이 수집할 수 없으며 이 정보를 사용하는 경우 사후 통보를 의무화할 것을 주요내용으로 하고 있으며, 만일 업체가 이를 위반할 경우 피해 고객은 해당기업을 상대로 최고 5000달러의 손해배상을 청구할 수 있다. 이러한 법안이 온라인사업을 수축시킬 것이라는 우려에 대해 □프라이버시법이 정보유출에 대한 소비자들의 우려를 불식시켜 오히려 온라인 산업 활성화에 도움을 줄 것이라고 주장하고 있다. 이에 5월 8일 하원이 온라인상 개인정보 공개조건을 대폭 완화한 법안을 공개했다. 클리프 스턴스(플로리다 공화)하원의원이 제안한 법안은 소비자가 명백하게 공개를 원하지 않는 경우를 제외한 정보에 대해서 기업간 공유를 가능하도록 함으로써 미국의 기업들의 기업활동을 극대화 할 수 있을 것이라고 평가하고 있다.

또한 자율규제를 고수하기 위해서 사업자 자발적으로 프라이버시 보호관련 기술을 개발하기 위해 노력하고 있으며, 그 예로서 개인의 프라이버시보호 관련 기술인 P3P기술 등에 대한 개발이 활성화되고 있으며 법제화되지는 않았으나 P3P관련 기술을 도입을 의무로 하는 법안도 제출되었다. 최근 전세계적으로 이슈가 되고 있는 개인정보 프로파일링 문제와 관련하여 미국에서는 2000년 6월 OMB가 연방정부기관들에게 특별한 경우를 제외하고는 쿠키□ (Cookies)를 사용하지 말도록 지시하였으며, 본인의 동의 없는 쿠키를 통한 개인정보 수집행위를 금지하는 법안이 의회에 제출되었다. FTC는 프로파일링에 관련하여 인터넷 사용자들의 서핑 정보나 광고 클릭 정보를 수집하려 할 경우 이를 이용자에게 사전 고지하도록 하고, 프로파일 정보 수집에 대해 동의를 구하도록 하고 있으며, 법을 제정하는데 있어서 고객들의 프로파일 정보 수집 자체를 금지시켜서는 곤란하다는 입장을 취하고 있다. FTC가 제시한 가이드라인은 고객 정보 수집에 대해 이용자들의 사전 동의를 구하도록 하는 한편, 과거 수집한 고객 개인정보에 새로운 프로파일 정보를 추가하려 할 때에도 고객의 동의를 구하도록 하여 기업의 자산으로서의 개인정보보다 인격권으로서 정보자기결정권을 우선시하고 있음을 알 수 있다. 또한 중장기적으로는 이용자들에 대한 프로파일 정보를 다른 프로파일 정보와 연동하여 데이터베이스를 만들 경우 이용자들에게 이를 거부할 수 있는 권한을 부여하려는 계획을 가지고 있다.

) H. RES. 159 Expressing the sense of the House of Representatives that machine-readable privacy policies and the Platform for Privacy Preferences Project specification, commonly known as the P3P specification, are important tools in protecting the privacy of Internet users, and for other purposes.

) 한국정보보호진흥원, 개인정보 프로파일 보호를 위한 제도연구. 2002. 12. 소비자온라인프라이버시공개법(Consumer Online Privacy Disclosure Act, 2001)에서 프로파일링을 직접적으로 규정하고 있으며, 웹사이트와 온라인 서비스 운영자는 개인에게 프로파일링에 대한 사실을 명백하게 공개한 경우, 제 3자에게 영구쿠키 설치를 허락한 개인에게 사전동의 기회를 부여한 경우를 제외하고는 개인정보의 프로파일을 개발하는 수단으로서  제 3자가 영구쿠키를 설치할 수 없도록 규정

이 밖에도 미국에서 소비자 정보보호를 위한 정부정책으로 논의되는 주요사항 중에는 우리나라에서 이미 시행하고 있거나 시행이 예정된 것들이 많이 있다. 특히 미국 의회의 2003년 회기에 올려진 법안 중에는 핸드폰 및 무선단말을 통한 위치정보제공과, 무선단말의 스팸관련 법안이 올라와 이에 대한 법의 마련의 필요성을 증대시키고 있다. 특히 무선단말 관련된 개인정보는 극단적으로 개인화 되어 있고, 24시간 감시가 가능하며, 만일 정보가 누출되면, 전통적인 인터넷과는 또 다른 심각한 문제를 일으킬 수 있으므로 개인정보에 관련된 핵심 이슈로 부각되고 있다. 얼마전 우리나라에서도 기간통신사업자인 KT가 무선 인터넷의 망을 개방하기로 발표했으며, 이에 관한 정책적 관심이 제고되어야 한다고 본다. 예상되는 문제로서 무선 인터넷 망에서의 소비자에게 동의 및 고지의 방법은 단말의 소형화 추세에 따라서 여러 가지 제약이 있을 것으로 보이며, 미국에서는 민간단체인 TRUSTe가 □call through technology□를 사용해서 동의 및 고지하는 방안을 마련했으나, 이에 관련된 여러 가지 문제가 예상되고 있다. 이외에도 아직 법제화되지는 않았으나, 미국에서 논의되는 기술관련 정책으로는 ISP가 자신의 서비스와 함께 보안소프트웨어를 판매하게 하거나, 쉽게 다운로드받을 수 있는 프로세스를 설정하도록 의무화해야 한다는 주장과 새로 출시되는 컴퓨터에 이용자의 조작 없이 작동하거나, 이용자가 쉽게 작동시킬 수 있는 백신을 내장해야 한다는 의견들이 등장하고 있다.

) The mobile wireless Web, Data Services and Beyond: Emerging Technologies and Consumer Issues, Federal Trade Commission, 2002.2

) 옥기진, 해외정보보호동향 10월호, 미국소비자 정보보호 정책동향 분석, 2002. 10

Ⅳ. 한국과 미국의 법제도 비교

1. 한국 법제도의 특징

가. 개인정보보호의 접근방식

) 한국정보보호진흥원, 개인정보자기결정권의 한계와 제한에 관한 연구, 2001.11

세계적으로 개인정보자기결정권에 대한 두 가지 구별되는 접근방식이 존재하는데 하나는 개인정보자기결정권을 인권으로 이해하는 유럽방식이고, 경제적 권리로 이해하는 미국식 접근방식이 다른 하나이다. 개인의 프라이버시를 인권의 하나로 바라보는 시각은 1948년 세계인권선언 제 12조와 1976년의 시민적 및 정치적 권리에 관한 국제협약 제 17조에서 선언되었다. 유럽연합에서 1995년에 마련한 개인정보보호지침은 이러한 전통속에서 제정된 것이다. 동 지침 제 1조 1항은 지침의 목적이 □자연인의 기본적인 권리와 자유, 특히 개인정보의 처리와 관련한 자연인의 프라이버시권을 보호하는데 있음을 선언하고 있다. 우리나라 헌법 제 10조에서 □모든 국민은 인간으로서의 존엄과 가치를 가지며, 행복을 추구할 권리를 가진다. 국가는 개인이 가지는 불가침의 기본적 인권을 확인하고 이를 보장할 의무를 진다.□고 규정하고 있다. 이는 우리 헌법이 인간존엄을 우리나라 기본권질서의 이념적·정신적인 출발점으로 양보할 수 없는 최고의 가치임을 분명히 선언하고 있는 것이다. 따라서 이 헌법조항이 상정하고 있는 인간상은 사회공동체로부터 유리되고 단절된 개체로서 인간이 아니라 자신의 고유한 인격을 가진 주체인 동시에 사회공동체의 구성원으로서 타인과의 커뮤니케이션을 통하여 끊임없이 자신의 인격을 신장시키고 발현하는 주체성과 사회성을 겸비한 자주적 인격체이다. 우리나라의 자기결정권의 성격에 대해서는 계속해서 논의가 되고 있으나 자유로운 인격체로서의 존립과 타자와의 온전한 의사소통관계를 확보하기 위한 개인정보자기결정권은 이미 헌법제 10조의 근본규범에 내재되어 있다고 할 것이며, 이를 바탕으로 우리나라는 개인정보자기결정권을 경제적인 권리보다는 인권으로서 인정한다고 보아야 할 것이다.

나. 규제방식에 대한 논의

) 신종철, 프라이버시 보호를 위한 규제모델 분석과 시민사회의 역할, 함께하는시민행동 위원. 2000 참조

개인정보 이용에 관련된 사회적 환경과 기술이 계속적으로 변화하고 있으며, 우리나라는 자율규제 및 정부규제의 방식을 어떻게 조화롭게 운영하여 개인정보보호를 효율적으로 수행할 것인가에 관심을 가지고 있다. 전통적으로 자율규제를 옹호하는 미국에서도 프라이버시에 대한 위험이 높아짐에 따라 강행규범이 이전보다 훨씬 많이 필요하다는 의견이 꾸준히 대두되고 있다. 그러나 정부규제는 공공이익을 위해서 수립·집행되는 규범에도 불구하고 자칫하면 정부와 납세자에 대한 행정비용과 기업에 대한 집행비용을 증대시켜 오히려 국민에게 궁극적 비용을 전가시킬 수도 있다. 또한 변화가 적절하다고 정부기관이나 정책담당자가 공감할지라도 법규범을 변경하기는 어렵다. 이러한 유연성의 문제는 급격한 기술과 변화의 시기에는 특히 심각하게 문제시 될 수 있으며 일련의 조건 속에서 공포된 법규범은 기술과 경제현실이 변동할 때는 오히려 적절하지 않을 수 있다. 실제로 개인정보의 규범이 이러한 급격한 변화를 경험하면서, 급변하는 시장과 기술 현실에 충분히 능동적으로 적응하지 못하고, 또한 규범의 경직성으로 인해서 의회가 제정한 법령 중대한 집행비용을 초래하는 경우를 볼 수 있다.

현재 우리나라의 규제는 정부규제를 중심으로 하고 있으며 민간 자율적인 참여를 증대하기 위해 노력하고 있다. 그러나 아직까지 우리나라에의 자율규제는 미국에서와 같은 자발적인 업계의 집단이 자기 이해에 논리에 기초해서 여러 제도를 갖추고, 이에 의거한 자발적인 자기구속력을 지닌 자율규제와는 약간 거리가 있다고 할 수 있다. 특히 미국과 같은 전통적인 자율 규제적 시장기능이 부재한 우리나라에서 자율규제에 대한 원론적인 의의만을 중심으로 받아들여서는 곤란하다 할 수 있다. 미국의 논의에서 보듯이 자율규제는 원론적으로도 한계와 문제점을 지니고 있지만, 특히 한국 사회적 상황에서 순수자율규제의 수준은 기대하기 어려운 것이 사회의 풍토라고 할 수 있다. 한국에서 프라이버시보호를 위한 자율규제가 어려운 이유는 다양하게 분산된 전체집단의 부재, 개인정보보호활동에 대한 필요성 인식 미비, 구성원에 대한 강제력의 부재 등으로 나누어볼 수 있으며, 따라서 이러한 경우 정부규제나 사회적 압력(이슈화, 및 여론)이 보완되어야 일정 정도 실행이 가능하다고 할 것이다.

) 최근 신자유주의적 흐름을 중심으로 정부규제에 대한 문제의식 및 시장에 대한 신봉은 자칫 자율규제에 대한 막연한 기대로 흐를 우려가 있다. 신종철, 프라이버시 보호를 위한 규제모델 분석과 시민사회의 역할

정보통신의 기술이 빠르게 변화하고 있는 상황에서 관련법은 기술발전을 따라가지 못하고, 따라서 모든 관련 문제를 법규내에 완전히 내포하는데는 한계가 있기 마련이며, 전문성 측면에 있어서도 정부에 모든 영역에 대한 법규와 규제 마련을 요구한다는 것은 문제점이 따른다. 따라서 한국적인 상황에 맞게 변형된 자율규제가 요구된다. 자율규제를 활성화하도록 토양을 조성해주고 그 위에서 자율적 규제를 실행하는 것이다. 예를 들어서 정부가 기본적인 문제의식을 가지고 원칙을 제시하고 이 가이드를 마련하는데 있어서 사업자들의 의견을 청취하고 적극적으로 받아들이며, 준수를 촉발시킬 수 있도록 유인정책을 수립할 필요가 있다. 특히 가이드라인을 제시하는데 있어 시행을 강제하고, 어기면 처벌하겠다는 의지보다는 개인정보보호를 위해서 응당한 수준의 가이드를 제정하고, 가이드를 통해 악의적 이용자로부터 사업자를 보호하는 수단으로서의 의미를 사업자들에게 부여할 수 있어야 하겠다. 원칙적으로 자율규제는 민간의 주도로, 경제적인 원리에 의해서 자발적으로 시행되는 것이며 정부에 의해 타율적인 역량에 의해 의존적으로 이루어질 수 있는 것은 아니지만, 우리나라의 경우 자율규제의 토양이 미흡하기 때문에 자율규제를 육성하기 위한 여러 가지 기본조건을 마련에 있어서 여러가지 정책적·정부주도적 시도들이 수행되어야 할 것이다.

원칙적으로 정부규제와 자율규제는 서로 보완의 관계에 있을 때 가장 이상적이라고 알려져 있으며, 미국도 그러한 취지에서 자율규제와 정부규제에 대한 과도기적 논란이 끊이지 않고 있다. 우리나라는 현재 상황에서 정부규제를 원칙으로 하는 자율규제보조형이 적당하며 지금 자율규제가 차지하는 비중은 거의 없을 정도로 미미하나, 이를 토대로 궁극적으로 자율규제와 정부규제의 보조를 맞추어 나가야 할 것이다. 현재 한국사회의 흐름이 정부와 시장, 시민사회, 언론 등의 다양한 분야의 새로운 힘들이 상호 견제 감시 유도기능을 가지고 있음을 주목할 때, 시민단체나 언론들의 역할이 매우 중대한 시점이라고 할 수 있다. 또한 보다 적극적, 사전적, 이용자 보호방안으로 정부, 기업 민간단체가 공조하여 개인정보보호 및 관리의 중요성에 대한 교육, 홍보활동을 적극 모색해야 하며 이를 통해 이용자들이 인터넷 프라이버시에 대해 생각할 수 있도록 개인정보 관리·보호의 중요성에 대한 국민의 인식을 제고하여야 할 것이다.

현재 우리나라에서 자율규제로 이루어지고 있는 활동들은 각종 신뢰마크 인증제와 민간협의체의 활동이 있다. 신뢰마크 인증제도는 기업 및 인터넷 사이트의 개인정보보호 수준을 인증해 주는 제도로서 한국정보통신산업협회의 ePRIVACY마크와 i-Safe마크, 한국전자거래진흥원의 eTrust마크가 시행되고 있으며, 개인정보보호마크제도는 수많은 인터넷 및 전자상거래 사이트 가운데 이용자가 믿고 이용할 수 있는 인터넷 사이트 및 기업체를 손쉽게 파악하여 이용 또는 거래할 수 있도록 도와주어 이용자의 개인정보 제공에 대한 신뢰를 제고하고, 사업자의 개인정보를 활용한 비즈니스 관행을 개선하는 유력한 수단으로 인식되고 있다. 이 밖에도 개인정보보호 관련 민간협의회인 한국개인정보보호협의회, e-mail환경개선추진협의체개인정보관리책임자협의회등이 구성되어 있다.

) 주요 기능은 국내외 개인정보관련 발전방안 연구, 개인정보관련 정책에 대한 대정부 건의 및 입법요구, 개인정보침해 모니터링 활동지원, 세미나 및 워크샵 개최, 개인정보보호 인식확산을 위한 교육 및 홍보 활동이며 학계, 언론계, 법조계, 시민간체, 서비스제공자 기술전문가등의 자발전 참여로 2000년 11월 설립

) 불법 스팸메일로 인한 이메일마케팅의 신뢰도 하락에 대한 개선책 마련 및 유해성 메일에 무방비로 노출되어 있는 청소년을 보호하고 인터넷상의 개인정보보호를 위한 이메일 환경개선을 목적으로 2002년 1월에 설립됨.

) 민간주도의 개인정보보호 자율기반 정착 및 활성화와 개인정보와 관련한 다양한 법제도 및 정책변화에 따른 대응방안을 모색하기 위해 2002년 7월 구성. 한국정보보호진흥원, 2002개인정보보호백서

2.  입법현황

가. 분야별 입법현황

1) 공공분야

우리나라에서 공공기관 관련법은 □공공기관의개인정보보호법□이 있으며, 동 법령상 개인정보란 생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명, 주민등록번호 등의 사항에 의해 당해 개인을 식별할 수 있는 정보를 말하며, 개인의 정신, 신체, 재산, 사회적 지위, 신분 등에 관한 사실·판단·평가를 나타내는 일체의 정보를 말한다. 개인정보보호법상의 적용대상 개인정보의 범위를 보면, 공공기관의 컴퓨터에 의해 처리되는 개인식별 가능한 정보 일체이다. 이 법의 적용대상은 미국과 마찬가지로 법인은 적용대상에서 제외되나, 미국이 외국인을 적용대상에서 제외한 반면 우리나라는 원칙적으로 외국인에 관한 정보는 적용대상으로 하되, 상호주의 원칙을 적용하여 결정할 사항으로 보고 있다. 사망자에 관한 정보는 사망자중 유족과의 관계를 나타내는 정보의 경우 유족이 생존하는 경우 생존하는 개인에 관한 정보로 되어 법의 적용대상이 된다. 통계법에 수집되는 개인정보와 국가안정보장과 관련된 정보분석을 목적으로 수집 또는 제공 요청되는 개인정보는 적용이 제외되고, 다른 법률에 특별한 규정이 있는 경우에는 그 법률(주민등록법, 금융실명거래 및 비밀보장에 관한법률, 공직자윤리법 등)을 따른다.

2) 통신분야

우리나라에서 통신분야 관련법은 □정보통신망이용촉진등에 관한 법률□이 있으며, 개인정보관련 대표적인 법률로 작용하고 있다. 제 2조 제 6호는 개인정보에 대하여 □생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명·주민등록번호 등의 사항에 의하여 당해 개인을 식별할 수 있는 정보(당해 정보만으로는 특정 개인을 식별할 수 없다하더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)를 말한다□로 규정하고 있다. 일반적으로 개인정보란 개인의 정신, 신체, 재산, 사회적 지위, 신분 등에 관한 사실·판단·평가를 나타내는 일체의 정보를 뜻하지만 정보사회에서의 개인정보는 기존의 재산권 시각을 이탈하여 자기에 관한 정보를 통제할 수 있는 권리인 정보프라이버시라는 개념으로 응축된다. 따라서 우리나라의 정통망법에서 보호대상이 되는 개인정보는 헌법상 인격권인 프라이버시 개념과는 구별되어지는 정보프라이버시의 보호대상이라 할 것이며, 정보프라이버시란 각 개인이 자신에 관한 정보의 공표여부를 결정할 뿐 아니라, 더 나아가 공표된 정보를 열람, 정정, 삭제하는 권한까지 인정되는 개념인 것이다. 또한 대상자는 정보통신 사업자로 한정되어 있어 법적용에 사각지대가 발생하며, 정통망이 사회의 기반으로 구축되어가고 있는 현실을 볼 때 적용대상을 확대해야 한다는 여론이 높아지고 있다.

3) 신용분야

우리나라에서 개인신용정보의 집중관리·제공·이용 및 보호 등을 규율하는 법령은 신용정보의이용및보호에관한법률 및 관련 하위법규이다. 동 법에 의하면 □신용정보□는 금융거래 등 상거래에 있어 거래상대방에 대한 식별·신용도·신용거래능력등의 판단을 위하여 필요로 하는 정보를 말하며, □개인신용정보□는 개인에 관한 신용정보로서 금융거래의 내용에 관한 정보, 개인의 성명·주소, 주민등록번호등의 개인을 식별할 수 있는 정보를 말한다. 동 법률은 일정한 요건하에서 개인신용정보가 제공·이용될 수 있도록 규정하고, 신용정보주체가 신용정보업자등이 보유하는 본인에 관한 신용정보에 대하여 열람·정정청구할 수 있도록 함으로써 개인신용정보 보호의 취지에 부응하고 있다. 법 23조는 금융회사등의 신용정보제공·이용자가 개인신용정보를 신용정보업자에게 제공하고자 하는 경우 당해 개인으로부터 서면동의를 받아야 한다고 정하고 있다.

4) 아동의 개인정보보호

우리나라는 14세 미만의 아동의 개인정보보호에 관련하여, 정보통신망이용촉진및정보보호등에관한법률 제31조 제1항에서 정보통신서비스제공자가 만 14세 미만의 아동으로부터 개인정보를 수집하고자 하는 경우 부모 등 법정대리인의 동의를 얻도록 규정(2001. 7월)하고 있으며, 법정 대리인의 구체적으로 동의를 얻는 상세한 절차에 대해서는 법 취지를 반영하여 개인정보보호지침(2002. 1월)에서 규정하고 있다.

5) 의료분야

우리나라에서 개인 의료정보 보호의 근거는 의료법 제 19조(비밀누설의 금지)와 제 20조(기록 열람등)제 1항, 정보통신망이용촉진및정보보호등에 관한 법률 제 21조(전자문서 등의 공개제한) 및 제 49조(비밀등의 보호), 전자서명법 제 24조(개인정보보호의 보호), 공공기관의개인정보보호에관한 법률 제 13조(처리정보의 열람제한)에 있다. 반면에 의료법 제 20조는 진료를 위해서 정보를 공개하도록 의무화하고 있다. 다만, 개인정보보호에 대한 기본근거는 있으나 진료정보의 공개시 □환자에 의한 동의□, □정보접근상의 제한□등에 대한 구체적 명시는 없다. 그러나 의료법 개정에 따라 전자의무기록과 원격의료의 근거가 마련되어 2003년 4월부터 시행을 위하여 현재 관련시설 기준이나 보안대책 등을 마련하고 있다. 의료부문의 개인정보를 위하여 전자의무기록의 위변조를 막기 위한 서명장치, 기록의 입력과 수정을 확인할 수 있는 장치, 백업시스템등이 요구되며, 앞서 미국의 사례에서 언급한 바와 같이 정보공개시 동의 및 통지, 접근상 제한 규정 등 환자개인의 프라이버시에 대한 권리에 대해 구체적으로 규정해야 할 것이다.

) 한국정보보호진흥원, 개인정보보호백서, 2003. 3

[한·미 분야별 개인정보보호 관련 법률]

		미 국	한 국
공 공		The Privacy Act of 1974 전자정부법 2002	공공기관의 개인정보보호법
민간	통신	전자통신프라이버시법 1996 Cable Communication Policy Act 1984 The Telecommunication Act of 996	정보통신망이용촉진등에관한법, 통신비밀보호법, 전기통신사업법 등
	신용	Gramm Leach Biley Act of 1999 Fair Credit Reporting Act of 1970	신용정보의이용및보호에관한법률 및 하위법령
	의료	HIPPA(Health Insurance Portability and Accountability Act of 1996)	의료법 제 19조(비밀누설의 금지)와 제 20조(기록 열람등) 정보통신망이용촉진및정보보호등에 관한 법률 제 21조(전자문서 등의 공개제한) 및 제 49조(비밀등의 보호),
	아동	Child Online Privacy Protection Act of 2000.4	정보통신망이용촉진등에관한법

나. 소 결

우리나라의 입법형태를 보면 유럽식 포괄입법주의가 아닌 정통망법을 중심으로 각 분야별로 필요한 개별법을 입안하는 미국식 부문별 입법에 더 가깝다고 볼수 있다. 현행 개인정보보호법제는 □전기통신사업자, 정보통신제공자 및 신용정보제공·이용자등 특정 사업자□를 대상으로 하기 때문에 일반인이 타인의 개인정보를 수집하거나 제 3자에 제공하는 경우는 실질적으로 규율하기 곤란하다는 문제가 발생한다. 따라서 오프라인상 발생하는 개인정보 침해 문제나, 법의 사각지대에서 발생하는 개인정보의 수집 및 취급과 사용 등에 대한 실효적인 규제가 곤란하다. 따라서 이러한 문제를 종합하여 볼 때 현행 개인정보보호법제에하에서 보호받지 못하고 있는 영역의 개인정보를 적절히 보호하기 위해 정통망법을 기본으로 포괄법제를 만들거나, 아니면 모든 개인정보보호 관련 분야를 통합하는 새로운 포괄법(가칭 개인정보보호법)을 만들어야 한다는 논의가 대두되고 있다.

3. 개인정보 관련 국제협력

정보의 자유로운 유통을 확보해 가면서 국가간 개인정보 유통에 관한 원칙을 정립해 가는 것이 불가결하며 이용자, 정보통신서비스제공자, 정부 기타 각 당사자가 이를 위해 적극적으로 역할을 수행할 책임이 있다. 오늘날 개인정보와 관련된 문제는 개별국가별로 국내에서 다루는 것만으로는 해결될 수 없게 되었다. 그러나 국가간 개인정보 유통은 국가의 이해관계나 시대적 여건의 변화 등에 따라 개념이나 논의의 초점등이 변화되어 왔기 때문에 국가간 개인정보 유통과 관련된 문제들에 대한대책을 마련하기란 쉬운 일이 아니다. 우리나라에서는 1990년대에 이르러 사회전반에 정보화, 세계화의 물결이 밀어닥치게 됨에 따라 서서히 국제적인 데이터 유통과 관련된 문제들이 주요 현안으로 등장하기 시작하였다. 즉 국내적으로는 통신수요가 점점 다양화, 고도화함에 따라 고도정보통신에 대한 수요가 급증하였고, 사회전체가 국제화됨에 따라 사회 각 부문에서 국가간 데이터 유통의 필요성이 높아지게 되었다. 이러한 가운데 국내 정보통신시장은 점점 확대되어 외국의 거대 정보통신사업자의 관심을 끌게 되었고, 국제적으로 정보통신서비스는 그 자체가 하나의 산업으로써 또는 타 산업의 효율성과 생산성을 제고하는 기반으로써 국제 통상마찰의 주요 현안으로 등장하게 되었다. 그러나 우리나라는 아직 국가간 개인정보 유통에 대한 연구가 거의 이루어지지 않을 뿐 아니라 개념도 명확히 정립되지 못하여 이에 대한 연구의 필요성이 시급히 제기되고 있다. 개인정보의 유통에 있어 일정 수준의 보호를 보장하지 않는 나라와 거래하지 않겠다는 EU의 요구에 따라 미국은 Safe harbor 원칙을 만들었고, 다른 나라들도 법제화노력을 시도하고 있다. 우리나라도 최근부터 EU지침관련 법제화 연구를 시작하는 등 국제간 정보 유통에 있어서 주요 현황을 고찰과 개인정보 유통에 대한 정책방향과 국내외적으로 취할 수 있는 전략적 대응방안의 수립을 모색하기 시작하였다. 대응방안 마련시에 단기적인 경제적 이익과 장기적으로 새로운 국제질서 속의 한국의 위치에 관해 동시에 고려하는 폭넓은 시각이 있어야 할 것이다.

) 한국정보보호센터, 국가간 개인정보 유통에 관한 정책연구, 2000. 12

4. 정보보호기구의 역할수행

우리나라는 총괄적이고 독립적인 개인정보보호기구는 존재하지 않고 분야별로 여러기관에서 정보보호의 역할을 수행하고 있다. 정부기관으로는 중앙행정기관이나 공공기관의 개인정보에 관련해서는 행정자치부, 개인정보를 취급하는 공공기관의 기관간 의견조율은 공공기관국무총리실 산하의 개인정보보호심의위원회, 정통망법 관련 사항은 정보통신부, 금융거래정보 관련은 재정경제부 및 금감위, 전자상거래에 관련하여서는 공정거래위원회에서 등이 관련업무를 수행하고 있다. 공공기관으로는 한국정보보호진흥원의 개인정보분쟁조정위원회, 소비자보호원의 소비자분쟁조정위원회, 금감원의 금융분쟁조정위원회가 각각의 분야에서 발생한 개인정보보호 역할을 수행하고 있다. 분쟁조정위원회는 정통망법 제 33조에 의거하여, 개인정보와 관련된 분쟁이 발생한 경우 당사자간에 합리적이고 원만하게 분쟁을 해결할 수 있도록 하기 위하여 설립된 법정조정기구로서 소송외적 분쟁해결 기관에 해당하며 개인정보 침해로 인한 모든 분쟁을 조정대상으로 한다(다른 위원회 소관사건은 제외가능). 또한 정보보호진흥원내의 분쟁위 사무국에서 개인정보보호 관련 업무를 수행하고 있는데 개인정보 침해 방지 및 보호와 관련한 기술적 자문 및 그 밖에 필요한 지원, 개인정보침해와 관련한 고충처리 및 상담, 개인정보침해 관련 대책연구 및 교육, 홍보활동을 수행한다. 이외에도 웹사이트를 통한 개인정보관련 민원접수, 민원사례관련 데이터 베이스 구축을 통한 사례 분석 및 예·경보, 각종 가이드라인의 작성, 모니터링 등의 업무를 수행하고 있으며, 이 밖에 개인정보관련업무를 수행하는 유관기관으로는 검찰청 및 경찰청, 전국은행연합회 등이 있다.

V. 맺음말

앞에서 미국과 한국의 법제도 현황에 대해서 살펴보았다. 두 나라는 여러 가지 사회적, 법·제도적, 국민성향적인 측면에서 차이점이 많기 때문에 단편적으로 비교 분석하여 결론을 내기는 여러 가지 한계가 있다고 할 수 있다. 그러나 양국 모두다 상황적합적인 법제도를 마련하고 궁극적으로 개인정보를 보호하기 위한 방향으로 수렴하고 있는 모습을 볼 수 있었다. 온라인상에서 프라이버시 보호를 위해서는 개인정보를 공정한 방법으로 수집하고 정당하게 이용하려는 사업자의 노력이 선행되어야 하며, 개인이 정보주체의 □정보자기결정권□에 대해 인식하고 자기 정보를 스스로 보호하려는 의지가 반드시 필요하다. 이를 바탕으로 정보주체의 프라이버시 보호에 대한 인식과 정부와 사업자의 개인정보보호 노력, 개인정보보호를 위한 기술이 유기적으로 구현될 때 효과적인 프라이버시 보호를 기대할 수 있을 것이다.

한편 개인정보보호는 개인 프라이버시 보호와 개인정보의 활용을 통한 편익사이에서 적절한 균형을 찾는 것이 중요하다. 정당한 개인정보의 활용은 재화 및 서비스에 대한 정확한 수요자를 발견하도록 하여 자원배분의 효율성을 촉진시키는 것이며, 개인소비자에게도 커다란 이익이 될 수 있다. 따라서 이러한 사안을 고려한 효과적인 개인정보보호를 위해서는 다음과 같은 논의가 필요할 것이다.

현대사회에 있어서 개인정보를 처리하는 민간영역은 산업 전분야로 확장되고 있다. 이에 미국의 경우는 법이 적용되지 않는 영역에 있어서 시장의 원리와 민사상 사법구제의 제도, 자율규제 원칙에 따라서 법에 대한 보완적인 구제가 가능한 반면, 우리나라는 대륙법 국가의 특징상 개별법이 규율하지 않는 부문에 대해서는 사실상 피해에 대한 구제를 받는 것에 어려움이 많은 것이 현실이다. 따라서 이를 해결하기 위해서 궁극적으로는 개인정보보호에 관련한 전반적인 사항을 포함하는 개인정보관련 기본법 입법이 이루어져야 할 것이며, 그 이전까지 발생하는 새로운 분야에 대해서는 부문별·보완적인 입법이 시행되어야 할 것이다.

단기적으로 개인정보보호를 위해서 고려해 볼 사항은 프라이버시영향평가제도의 도입여부에 관한 검토이다. 프라이버시는 한번 상실되면 거의 회복이 불가능하고 비용도 많이 들게 되므로 정보이용자가 정보시스템을 구축하는 과정 및 개인정보를 수집 또는 사용할지 여부를 결정하는 초기단계에서부터 정보프라이버시에 대한 영향을 고려하여 침해가능성을 미리 봉쇄하는 방향으로 입법이 이루어져야 한다. 이러한 관점에서 미국의 연방정부가 프라이버시 영향 평가제도를 도입하기로 한 것은 개인정보보호에 있어서 한 단계 발전할 수 있는 계기가 될 것이다. 우선적으로 미국은 연방정부에 있어서 프라이버시 영향 평가제도를 도입하고 있으나 프라이버시 평가는 개인정보를 취급하는 모든 기관에서 사용될 수 있으며, 민간에서 사용될 경우 프라이버시에 관해 발생하는 문제에 대해서 내부에서 먼저 알게 되어 비용 절감과 회사의 신뢰도 제고에 이바지하게 될 것이다. 우리나라에서도 2003년 하반기부터 일정규모이상의 정보화사업을 실시할 때 정보보호영향평가제도를 도입하겠다는 취지를 밝힌 바 있다. 이는 사이버 공격이나 정보시스템 자체의 안전에 관한 평가제도이고 이의 도입은 정보보호차원에서 고무적인 일이다. 이처럼 개인정보보호를 위해서도 프라이버시에 미치는 영향을 파악하기 위해 프라이버시 영향 평가제도 도입방안에 대한 연구 및 정책적 지원이 필요할 것이며 장기적으로 공공기관에서 민간영역으로 대상을 확장가능성에 대해 검토해볼 필요성이 제기되고 있다. 미국에서는 우선적으로 정부 공공기관을 대상으로 시행되도록 법제화되었는데, 이를 민간영역에 적용하여 프라이버시 인증마크제와 연결시킨다면 개인정보보호를 강화하는 자율규제의 도구로서 활용할 수 있으리라고 생각하며 이의 도입방안에 대한 연구노력이 강구된다.

) Privacy impact assessment handbook. Office of the Privacy Commissioner 2002. NZ

또한 개인정보보호에 있어서 법·제도적 접근과 함께 개인정보보호를 할 수 있는 기술적·시스템 관련 정책 접근이 중시되고 있다. 현재 미국이나, 우리나라에서는 발생하는 각종 로그파일 및 트래킹 기술로 인한 개인정보관련 침해사례가 꾸준히 증가하고 있고, 이러한 기술을 통한 개인정보침해가능성이 상당히 높아졌다. 이 부분에 대하여 우리나라는 개인정보보호지침에서 사업자가 쿠키의 사용여부를 밝혀야 함을 명시하고 있지만 그 이외에 사용 범위 및 조건 등의 구체적인 시행방안이 없는 현실이다. 따라서 트래킹 프로그램이 만연해 있는 상황에서 이로 인한 프라이버시 침해의 보완적인 대응장치가 적극적으로 모색되어야 할 것이다. 이를 해결하기 위해 법·제도적으로 개인정보를 생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명, 주민등록번호 등의 사항에 의하여 당해 개인을 식별할 수 있는 정보 뿐 아니라 정보사업자에 의해 개인에 대한 평가가 가능하게 되는 각종 로그파일이나 쿠키 등 개인정보이용자가 사이버 공간에서 정보제공서비스 사업자의 서버에 남기게 되는 흔적파일이 포함되는 것으로 새겨야 한다는 의견이 대두되고 있다.

) 소비자인터넷프라이버시증진법(Consumer Internet Privacy Enhancement Act, 2001)에서는 상업적 웹사이트 운영자는 법에서 정한경우를 제외하고는 해당 웹사이트 이용자로부터 개인식별정보(Personally identifiable information)을 수집하는 행위를 불법으로 규정하면서,□수집이란 웹사이트 등 온라인 서비스 운영자가 자신의 이익을 위해 직접적·간접적으로 또는 적극적·소극적인 모든 수단으로 개인식별정보를 수집하는 행위를 말한다□고 정의하고 있고, 이 수단에는 쿠키를 포함한 이용자와 연결된 식별가능코드의 추적 또는 사용이 포함된다고 명시.

) 사이버 공간에서의 개인정보는 사생활 보호의 연장선상에서 인정되는 것으로 개인에 대한 평가와 관련된 모든 사항이 포함되어야 한다는 것이다. 개인정보의 자기결정권 대상에서 로그파일이나, 쿠키 등 흔적 파일을 제외하게 된다면, 정보사업자에 의해서 개인의 가상체험이 현실의 인격으로 왜곡되거나 상업적으로 악용될 소지 또한 배제할 수 없게 되기 때문이다. 정보통신정책연구원, 건전한 정보통신 윤리확립과 개인정보 보호대책 방안 연구, 2001.3

새로이 등장하는 민감한 부분에 대한 끊임없는 입법의 노력에도 불구하고, 여전히 법적 공백상태로 남아있는 영역들이 많이 있다. 예를 들어 근로자의 개인정보, 유전자정보, 의료기록 등 민감한 영역들에 있어서 개인정보자기결정권을 구체화하는 입법의 필요성이 서서히 높아지고 있으며 일부 주법에서는 유전자 보호법을 법제화하는 노력이 시도되었다. 이러한 새로운 분야의 입법 노력들 중에 우리가 눈여겨볼 부분은 무선 인터넷 관련 논의이다. 미국에서 현재 무선인터넷 서비스 관련 개인정보보호사항에 대해 활발한 논의가 펼쳐지고 있다. 우리나라도 무선 인터넷 망개방으로 무선상의 개인정보 유통의 활성화 및 이로 인한 개인정보의 침해 가능성이 증대되고 있다. 마케팅 업계에서 무선 인터넷 관련 개인정보는 획기적인 DB의 등장으로 인식되고 있을 정도로 정확하고 개별화된 개인정보의 유통이 예상되는 만큼, 이에 대한 정책적 관심과 구체적 대응 방안 마련이 요구된다.

) 현재 의회에서는 작업장에서 노동자 감시에 대한 단일법안을 만들지는 못하고 있으며, 상원의원 Charles Schumer가 Notice of Electronic Monitoring Act를 제안하고 있는 정도이다. 중요한 것은 회사의 사정상 종업원에 대한 모니터링을 금지할 수는 없지만 종업원에게 언제 어떻게 감시할 것을 알려주어야 한다는 취지이며, 이를 어겼을 경우 최고 20000달러에 해당하는 벌금을 부과하게 되어있다. 그러나 이 법안은 아직 의회를 통과하지 못하였고, 모니터링 결과를 사용할 수 있는 범위제한에 대하여 명시하지 않고 있으며, 또한 종업원이 자신의 개인파일을 볼 수 있는 권리를 주지 않았다는 문제점을 가지고 있다.

) 정규원, □의료정보의 활용과 보호□, 한국정보법학회 심포지엄. 2002. 7. 6.

마지막으로 사업자의 자율규제 향상을 위한 토대마련에 있어서 입법이나 제반 다른 정책적 조치를 통해 사업자들에게 예측 가능한 최소한의 기준을 명확히 제시해줌으로써 의외의 금전적인 손실이나 법적 책임에서 벗어날 수 있도록 하는 것이 정부의 중요한 역할이라는 점을 염두에 두어야 할 것이다. 그래야만 사업자들도 자신의 사업이 위법한 것이 아니라는 점을 확신하고 투자에 이르게 될 수 있으며, 비용절감의 효과도 있을 것이기 때문이다. 또한 이와 관련하여 각 사업자단체로 하여금 업계의 특성에 맞는 자율적인 실천준수계획을 마련케 하고 정부의 승인을 얻게 한 다음 그러한 자율적인 지침을 준수하여 업무가 이루어진 경우에는 법률상 적절하다고 인정해주는 방식이 우리나라에 적합하며, 업체의 이익도 보호하고 국민의 프라이버시도 보호할 수 있는 절충안이 될 수 있을 것으로 생각된다.

참 고 문 헌

정보통신정책연구원, 건전한 정보통신윤리확립과 개인정보 보호대책 방안연구, 2001. 2

정보통신정책연구원, 인터넷 개인정보보호에 관한 법제도연구, 2000.12

정보통신정책연구원, 정책동향, FTC의 개인정보보호정책 현황, 2000.8.1.

정시연, □전자상거래에 있어 개인정보보호 실태와 주요 쟁점□, KISDI IT FOCUS

한국전산원, 정보화동향분석: 미국: 개인정보보호 강화, 1999

한국전산원, 정보화정책 제 9권 제 4호 2002년 겨울.

삼성경제연구소, 박노형 외,□전자상거래 관련 국제규범의 제정동향과 내용분석□, 2000.12.

한국정보보호진흥원, 개인정보 프로파일 보호를 위한 제도연구. 2002. 12.

한국정보보호진흥원, 개인정보자기결정권의 한계와 제한에 관한 연구, 2001.11

한국정보보호진흥원, 개인정보보호백서, 2003. 3

한국정보보호진흥원, 2002년 개인정보관련 언론보도자료집. 2003. 2

한국정보보호진흥원, 민간자율규제 활성화 방안 연구, 2002.12

한국정보보호센터, 국가간 개인정보 유통에 관한 정책연구, 2000. 12

정규원, □의료정보의 활용과 보호□, 한국정보법학회 심포지엄. 2002. 7. 6.

김연수, □개인정보보호□,『고도지식정보 사회의 개인정보화 Cyber law』사이버출판사, 2001

김일환, □미국개인정보보호법규에 관한 연구□.『미국헌법연구』제 10호 (미국헌법학회, 1999) 325-400면 참조.

박광진, 정보보호센터, 전자상거래와 개인정보보호,

신종철, 프라이버시 보호를 위한 규제모델 분석과 시민사회의 역할, 함께하는 시민행동 위원. 2000

한경칼럼, 한국경제신문 1998. 2. 12

디지털 타임즈, 2002.01.17

옥기진, 해외정보보호동향 10월호, 미국소비자 정보보호 정책동향 분석, 2002. 10

김윤명, 전자상거래 활성화를 위한 프라이버시 보호연구

http://user.chollian.net/~infolaw/ec_privacy.html

www.TRUSTe.org

www.bbbonline.org

US Department of commerce webpage. www. commerce. gov

FTC, Protecting Consumers' Privacy: 2002 and Beyond,Timothy J. Muris. 2001.10.

FTC, Perspective on Privacy Law and Enforcement Activity in the United States, 2002. 6

In 1998, Business Week " The top reason people are staying off the Web --above cost, ease of use and annoying marketing message"

Colin J. Bennett, Regulating Privacy : Data Protection and Public Policy in Europe and   The United States(Ithaca : Cornell University Press. 1992)

FTC, supra note 129, p.12.

Jeol R. Reidenberg, op. cit. (fn. 74), p. 5.

Jeol R. Reidenberg, "Restoring Americans' Privacy in Electronic Commerce", 14 Berkeley Tech. L. J. 771 (1999)

Privacy Online: Fair Information Practices in the Electronic Marketplace, 1, at http://www.ftc.gov/reports/provacy2000/privacy2000.pdf (2000)(disenting statement of FTC Commissioner Orson Swindle).

Privacy impact assessment handbook. Office of the Privacy Commissioner 2002. NZ

한국의 개인정보보호법제의 문제점과 정비방안

중앙대학교 법학과

이인호 교수/법학박사

요  약  문

□ 개인정보처리의 위험성

□ 디지털화된 개인정보는 통합관리 가능. 특히 전국민이 표준개인식별자인 주민등록번호를 강제로 부여받고 있는 우리의 상황은 매우 심각함. 주민등록번호의 사용을 통제하는 규범이 필요.

□ 수집·처리된 가상인격이 실존인격을 규정하게 됨. 때문에 가상인격의 완전성을 보존할 필요가 있음. 자료입력의 정확성, 자료처리의 충실성, 자료관리의 보안성, 자료활용의 적합성이 확보되어야 함.

□ 사이버 원형감옥의 가능성 상존. 자유민주주의 정치체제와 대립.

□ 위험성에 대한 안전장치로서의 개인정보자기결정권 보장

□ 구체적 내용 : 익명거래의 자유, 정보처리의 원칙(수집제한의 원칙, 목적구속의 원칙, 시스템공개의 원칙, 정보분리의 원칙) 위반시 정보처리금지청구권, 정보열람 및 정보갱신청구권

□ 법적 성격과 의의 : 종래의 □은둔으로서의 사생활보호□가 아닌 □참여로서의 사생활보호□ 및 개인정보처리기관에 대한 역감시로서의 기능

□ 개인정보보호의 가치와 사생활비밀보호의 가치를 구별해야 함

□ 공공부문 개인정보보호법제의 문제점

□ 개인정보자기결정권의 헌법정신이 충실히 구현되어 있지 못함.

- 공공기관개인정보법은 기본법으로서 기능하지 못하고 있음.

- 보호대상 및 적용범위가 한정되어 있음.

- 수집제한의 원칙이 부분적으로만 구현되어 있음.

- 목적구속의 원칙이 형해화될 가능성 존재

- 시스템공개의 원칙에 대한 예외가 광범위함

- 정보분리의 원칙이 무시됨.

□ 전자정부의 이념과 개인정보보호의 이념의 균형점 모색 필요

□ 민간부문 개인정보보호법제의 문제점

□ 정보통신보호법의 문제점

- 서비스제공자 대 이용자 구도의 한

- 계열사간 또는 제휴사간 통합데이터베이스 구축 가능

- 입법체계의 부조화

- 고지제도의 보완 필요

- 선별적 동의방식으로 전환 필요

□ 종합적인 정비방안의 모색을 위한 제언

□ 개인정보보호의 가치와 자유로운 정보유통의 가치 사이의 적정한 균형점 모색 필요

□ 공공기관개인정보법에 대한 개정 작업에 조속히 착수

□ 민간부문에서의 개인정보보호를 위한 3가지 집행모델에 대한 분석을 통해 그 장단점을 면밀히 검토하고, 우리 법제의 기본방향을 설정해야 할 필요

□ □개인정보보호기본법□과 □부분별 개별입법□의 구도 하에 우선적으로 기본법 제정을 통해 전 부문에 걸친 최저한의 보호수준을 제시하고, 공공부문과 민간부문을 망라하여 그 감독 및 집행기능을 가지는 독립된 개인정보보호위원회를 출범시켜야 함

한국의 개인정보보호법제의 문제점과 정비방안

이 인 호 *

*  중앙대학교 법과대학 교수/법학박사

	目 次
Ⅰ. 머리말 Ⅱ. 개인정보처리의 위험성과 보호의 필요성에 대한 이해 Ⅲ. 위험성에 대한 안전장치로서의 개인정보자기결정권 Ⅳ. 공공부문 개인정보보호법제의 문제점 분석 Ⅴ. 민간부문 개인정보보호법제의 문제점 분석 Ⅵ. 종합적인 정비방안의 모색을 위한 제언

I. 머리말

정보사회에서 정보의 지배는 자유의 조건이자 동시에 권력의 원천이다. 특히 개인정보의 지배는 그 정보주체에게는 인격의 존엄과 자유의 불가결한 조건이 되지만, 동시에 타자에게 있어서는 무한한 권력의 기초가 된다. 이러한 자유와 권력의 이항대립은 산업사회에서는 재화를 중심으로 전개되었다. 그러나 정보사회에서는 개인정보를 중심으로 한 자유와 권력의 이항대립이 국가 대 시민사회 사이에서, 그리고 시민사회 내부에서 첨예하게 나타난다. 개인정보의 지배권을 누가 장악하느냐에 따라 종래의 국가권력과 시민사회의 관계는 재조정될 것이며, 동시에 시민사회 내부에서는 새로운 권력관계가 형성될 수도 있다. 이는 자유민주주의체제의 운명을 결정지을 중대한 사안이다. 자유민주체제는 한 마디로 개인의 존엄과 자유의 조건을 확보하는 체제이기 때문이다.

디지털 정보혁명으로 촉발된, 개인정보의 지배를 둘러싼 자유와 권력의 이항대립은 이미 우리 사회에 두드러진 현상이 되고 있다. 그런데 이러한 대립 속에는 결코 무시할 수 없는 개인정보처리의 이익과 가치가 그 위세를 떨치고 있음을 부인하기 어렵다. 현대의 국가는 단순히 물질적 생산조건의 확보라는 기능을 넘어서서 복지나 사회정책 등 사회적 재생산조건을 보장하기 위한 기능을 담당하게 되었고, 이러한 기능을 효율적으로 수행하기 위해서는 무엇보다 개인정보의 수집과 처리가 불가결한 요소가 되고 있다. 특히 최근에는 정보기술의 활용을 통하여 대국민 고객지향성이라는 이념 하에 작고 효율적인 시민위주의 질 좋은 행정서비스를 제공한다고 하는 전자정부의 개념이 구체화되고 있다. 이 전자정부의 핵심요소 중의 하나는 개인정보를 포함한 행정정보의 공동이용이다. 한편, 시장에 있어서도 기업에 의한 고객의 개인정보처리는 자원배분의 효율성을 극대화할 뿐만 아니라 소비자인 정보주체에게는 거부할 수 없을 정도의 달콤하고 편리한 이익을 안겨준다.

1) 전자정부의 이념을 구체화하는 입법으로 전자정부구현을위한행정업무등의전자화촉진에관한법률(이하 □전자정부법□이라 한다)이 2001년 3월 28일 법률 제6439호로 공포되고 2001년 7월 1일부터 시행되고 있다. 이 법에서 □전자정부□라 함은 □정보기술을 활용하여 행정기관의 사무를 전자화함으로써 행정기관 상호간 또는 국민에 대한 행정업무를 효율적으로 수행하는 정부□를 말한다(법 제2조 제1호).

) 2000. 8. 30. 현재 중앙행정기관, 지방자치단체, 정부투자기관 등 전체 4,373개의 공공기관이 모두 452종, 8,421개의 개인정보화일을 보유하고 있고, 그 속에 담긴 개인정보의 전체양은 실로 엄청나다.

그러나 개인정보처리가 가져다 줄 이익과 가치 못지 않게 그 위험성 또한 무시할 수 없을 정도로 커서 이른바 사이버 원형감옥(Cyber-Panopticon)의 우려를 낳고 있다. 사이버 원형감옥에서의 국민은 국가과정에 적극적으로 참여하는 능동적 시민으로서의 국민이 아니라, 국가가 구축하는 개인정보처리시스템에 의해 국가작용의 내용과 형식이 결정되어지는 소외된 수동적 시민으로서의 국민으로 전락하게 될 것이다.

) 사이버 원형감옥의 기술적 요소인 프라이버시침해기술(PITs)에 대한 소개는, 이인호, □온라인 프라이버시침해기술과 보호기술의 법적 함축□, □법학논문집 제25집 제2호□, 중앙대학교 법학연구소, 2001, 53-76면 참조.

) 한상희, □국가감시와 민주주의□, □개인정보의 국가등록□관리제도의 문제점□, 프라이버시보호네트워크 제2차 공동토론회 요지집, 2001. 8. 22, 1-2면.

이제 고도정보사회로 진입하는 길목에서 이러한 위험성을 최소화하면서 개인정보처리의 이익과 가치를 극대화할 수 있는 규범적 척도를 찾아내는 것이 우리 사회의 시급하고도 절실한 과제가 되었다. 이 글은 이러한 과제를 수행하기 위한 시론적인 작업의 일환으로 현재 마련되어 있는 공공부문 및 민간부문의 주요 개인정보보보호법제를 분석·비판하고, 종합적인 정비방안에 대한 몇 가지 제언을 하는 데에 그 목적이 있다.

II. 개인정보처리의 위험성과 보호의 필요성에 대한 이해

1. 개인정보의 디지털화와 통합관리의 효율성

상호작용적이고 네트워크화된 사이버공간에서 컴퓨터의 키보드를 두드리는 것 자체가 내 자신을 드러내는 행위이고 그 행위는 사이버공간의 어딘 가에 디지털화된 형태로 흔적을 남긴다. 이처럼 정보사회로 진전되면 될수록 개인의 행위 하나 하나는 모두 디지털화되어 일정한 데이터베이스에 수록된다. 오늘날 모든 공·사의 기관들은 여러 가지 목적에서 개인에 대한 수많은 자료들을 디지털화된 형태로 가지고 있다. 인구학적 기본통계, 교육, 재정, 의료, 신용정보, 고용, 납세, 출입국, 치안관련자료, 사회복지, 군복무, 자동차관리, 백화점, 사회단체, 금융 등과 관련한 개인정보는 일부에 지나지 않는다. 사실 사회가 정보화된다는 것은 모든 사회활동이 디지털화된다는 것을 의미한다.

그런데 디지털화된 개인정보는 관리 및 이용의 측면에서 이전과 비교할 수 없는 효율성을 가지게 된다. 발전된 DBMS(Database Management System)의 활용으로 인해 개인에 대한 정보의 입력, 처리, 검색, 출력이 신속하고 정확하게 이루어질 뿐만 아니라 더 나아가 표준식별번호(universal identification number)에 의한 컴퓨터결합(computer matching)을 통해 분산되어 있는 개인정보들을 용이하고 효율적으로 통합·처리할 수 있게 되었다.

우리들은 거래 연관에 따라 여러 개인식별자(personal identifier)를 가지고 있다. 예금계좌번호, 신용카드번호, 운전면허번호, 의료보험번호, 여권번호 등이 그것이다. 이들은 원래는 각자 다른 목적을 위해 분리되어 사용되는 것으로 예정되었다. 그리고 이들이 분리되어 존재한다는 사실 자체가 개인정보통합관리시스템의 형성에 있어 자동적인 방화벽이 될 수 있는 것이다.

그러나 전 국민이 표준개인식별자로서의 주민등록번호를 강제로 부여받고 있고, 또한 정부와의 거래 또는 민간에서의 거의 모든 거래에 있어 주민등록번호의 제출을 요구하고 있는 우리의 상황은 개인정보통합관리시스템의 형성을 막을 수 있는 자동적인 방화벽이 이미 존재하지 않는다는 것을 의미한다.

) □주민등록법 개정을 위한 행동연대□가 2001년 4월에 조사한 바에 따르면, 회원가입제 인터넷 웹사이트의 경우 무작위로 선정된 총 547개 사이트 중 주민등록번호를 요구하는 곳은 500개 사이트(91.41%)였고, 주민등록번호를 기재하지 않는 사이트는 31개 사이트(5.67%)였으며 주민등록번호의 기재가 선택사항인 곳은 모두 16개 사이트(2.92%)였다고 한다. 윤현식, □주민등록관련 피해사례 실태 및 주민등록번호문제의 환기□, <http://www.privacy.or.kr/>에서 인용.

2. 수집·처리된 가상인격과 실존인격의 불일치에 따르는 위험성

이 같은 기술적 가능성 속에서 이제 개인은 자신의 실존인격 외에 또 하나의 가상인격을 가지게 되는 셈이다. 그런데 정보사회의 위험성은 바로 이러한 가상인격이 실존인격을 규정짓게 된다는 사실에 있다. 다시 말해서, 개인의 사회적 정체성이 디지털화된 개인정보에 의해 좌우될 위험성이 상존하고 있는 것이다. 일례로, 잘못된 개인정보에 의해 개인의 사회적 정체성이 왜곡되는 경우 그 개인의 사회적 활동에 미치는 위험성은 지대할 뿐만 아니라, 나아가 개인의 인격 자체에도 치명적인 위해를 가할 수 있다.

그런데 이러한 위험성은 개인정보를 수집·처리·이용하는 각 국면에 따라 다양한 형태로 표출되어 나타난다. 여기서 이 같은 위험성을 체계적으로 인식하고 또 개인정보보호를 위한 정책방안을 수립하기 위하여 다음의 몇 가지 개념을 구분하여 인식할 필요가 있다.

) 조동기, □정보화사회와 프라이버시□, □정보화시대의 미디어와 문화□(한국언론학회·한국사회학회 엮음, 세계사, 1998), 432-436면 참조.

첫째, 개인정보의 정확성(accuracy)의 문제이다. 데이터베이스에 수록된 개인정보가 실제와 다른 경우 그러한 틀린 개인정보에 기초해서 정책결정(정부부문)이나 경영결정(시장부문)이 행하여진다면 그것이 개인의 사회생활에 미치는 파장은 대단히 심각해진다. 그렇기 때문에 개인정보는 정확하게 입력되어야 할뿐만 아니라 잘못된 정보에 대한 수정이 신속하게 이루어져야 하는 것이다. 또한 시간이 경과하여 이미 입력된 자료의 내용이 時宜性을 가지지 못하는 경우에도 개인정보의 정확성을 해치게 된다. 그러나 문제는 개인정보의 오류를 발견하는 것이 용이하지 않고, 데이터베이스의 특성상 틀린 자료나 시의성이 없는 자료를 발견했다고 하더라도 그것을 수정하는 것이 쉽지 않다는 점이다.

) 개인정보의 정확성이 문제된 사례는 빈번히 일어나고 있다. 예컨대, 1996년에 발생한 고교 생활기록부 전산화자료의 입력오류사건을 들 수 있다. 당시 교육부가 입시사정자료용으로 각 대학에 제공한 고교 3학년생 생활기록부 전산화 자료에 수험생의 내신석차, 주민등록번호, 재적학생수 등 일부 내용이 잘못 입력된 것으로 밝혀졌는데, 이러한 오류가 발견된 학교는 전체 1,889개 고교 중 0.4%인 70여개 학교에 달하였다. 이러한 부정확한 개인정보에 의해 개인이 입게 되는 피해는 결코 가벼운 것이 아니다.

둘째, 개인정보의 충실성(integrity)의 문제이다. 이는 주로 개인정보를 처리하는 과정에서 발생하는데, 예컨대 컴퓨터연결의 과정에서 적절하지 못한 방식으로 개인자료가 통합되거나 재분류되는 경우 출력된 개인정보는 정보주체를 정확하게 반영하는 충실성을 가지지 못하게 된다. 또한 처리프로그램의 내재적인 문제로 인하여 출력된 개인정보가 체계적으로 왜곡될 수도 있다. 이러한 문제는 하드웨어의 오작동이나 조작자의 실수에 의해 복합적으로 나타날 수도 있다. 이처럼 체계적으로 왜곡된 개인정보에 의하여 실존인격이 규정되는 경우 그 위험성은 더욱 커지게 된다.

) 예컨대, 미국에서는 컴퓨터연결의 결과 메사추세츠주의 복지수혜자들이 사기행위를 한 것으로 드러나 법정에서 자신들의 무죄를 위해 싸워야 하는 사태가 발생하기도 하였다. 우리나라에서도 외교통상부의 여권발급전산망과 연결된 경찰청의 신원조회전산망이 세밀하지 못한 정보를 제공하여 범죄자와 이름이나 생년월일만 같아도 부적격자로 판정되어 2만여명이 여권발급을 받지 못한 경우가 있고, 또 주민등록번호의 잘못된 처리로 인하여 범죄피의자로 오인되어 수차에 걸쳐 경찰에 연행되어 조사를 받은 사례가 있다. 서유창, □개인정보보호법 제정배경과 시행성과□, □수사연구□(1996년 4월호), 17면.

이러한 사례들은 개인신상에 관한 자료의 입력과 관리가 완벽하게 이루어지더라도 자료를 처리하는 과정에서 문제가 생길 수 있음을 보여 준다. 때문에 미국에서는 정부측의 무분별한 컴퓨터연결로부터 개인정보를 보호하기 위하여 1988년에 컴퓨터연결 행위 자체를 규율하는 내용의 □컴퓨터연결과 프라이버시보호법□(Computer Matching and Privacy Protection Act)을 제정·시행하고 있다.

셋째, 개인정보의 보안성(security)의 문제이다. 이는 개인정보의 관리과정에서 발생하는 문제로서 외부 또는 내부에 의한 불법적인 침입에 의해 개인정보가 누출되는 경우이다. 정보통신망의 확산으로 인해 개인정보의 데이터베이스는 다른 물리적 공간에 존재하지만 상호 연결되어 있기 때문에 외부의 침입에 취약할 수밖에 없게 되었다. 최근 해킹이나 크래킹에 의한 불법적인 침입은 보안기술의 발달에도 불구하고 줄어들지 않고 있다. 또한 보안성은 내부자에 의해 의도적으로 침해될 수 있다. 즉 개인정보 데이터베이스에 합법적으로 접근할 수 있는 사람이 개인적인 이득을 취하기 위하여 개인정보를 외부에 유출하는 경우이다.

) 해킹(hacking)과 크래킹(cracking)은 접근이 금지된 컴퓨터시스템에 외부인이 무단으로 침입하는 행위를 가리킨다. 해킹은 초창기 해커들이 주창했던 정보공유주의와 정보평등주의라는 가치를 내세우거나 침입 그 자체에 의미를 두는 것이고, 크래킹은 개인적인 이득을 추구하거나 불순한 동기를 가지고 시스템에 침입하는 행위를 말한다.

) 예컨대, 백화점의 고객명단이 유출되어 범행의 대상선정에 이용된 사례가 있고, 의료보험 관련자료를 담당자가 유출하여 선거에 이용한 사례, 주민등록기록을 열람하여 가족상황을 파악한 후 독신녀의 주거지를 범죄의 대상으로 정한 사례, 자동차관리전산망을 통하여 외제 고급승용차의 차주를 확인하여 강도의 대상으로 삼은 사례 등 개인정보의 보안성이 침해되어 생겨나는 위험성은 결코 가벼이 넘길 수 없는 문제이다.

최근 들어 개인정보의 불법유출 사례가 급증하고 있는 것으로 나타났다. 국회의 국정감사에서 법무부가 국회 법사위에 제출한 □개인정보 유출 사범 단속실적□에 따르면 지난 94년 23건에 불과했던 개인정보 유출사범이 95년 38건, 96년 70건으로 증가한 데 이어 97년에는 3백26건으로, 94년에 비해 무려 13배나 늘어난 것으로 집계되었다. 한겨레 1998. 11. 3.자.

넷째, 개인정보의 적합성(adequacy)의 문제를 들 수 있다. 이것은 개인정보의 수집 및 활용과정에서 수집목적의 정당성 및 이차적 이용의 타당성에 관련된 문제이다. 많은 비용과 시간이 요구되는 데이터베이스는 주로 특정한 목적을 위하여 구축되는데, 법률적 근거 없이 또는 정보주체의 동의 없이 불법적으로 수집되거나, 또는 수집된 개인정보가 본래의 수집목적이나 취지를 벗어나서 사용되는 경우 적합성의 위반문제가 발생한다.

) 예컨대, 경찰이 주민등록등·초본, 인감증명 등의 제반 서류발급신청인, 자동차등록신청인, 각종의 인·허가신청인 등의 명단을 입수하여 컴퓨터로 전과 및 수배사실을 조회하는 등 수배자 검거자료로 활용하는 사례를 들 수 있다. 이는 일반 시민들의 편의를 도모하기 위하여 내무행정기관에서 수집된 개인정보가 경찰의 수사목적으로 전용되고 있는 것이다. 또 지난 97년 서울시는 국민연금관리공단, 공무원연금관리공단, 사립학교교직원연금관리공단의 3개 기관에 의뢰해 지방세 체납자 245,348명의 개인정보를 넘겨받아 급여압류 및 압류예고장 발송 등의 조치를 취한 것으로 국정감사에서 밝혀지기도 하였다. 한겨레 1997. 10. 10.자.

요컨대, 자료입력의 정확성, 자료처리의 충실성, 자료관리의 보안성, 자료활용의 적합성이 확보되지 않는 경우 개인정보의 왜곡이 일어나게 되고, 그에 따르는 위험성은 실존인격에 치명적인 손상을 가하게 될 것이다.

3. 개인정보의 통합관리에 따르는 사이버 원형감옥의 위험성

개인정보를 장악하는 자는 물리력에 의한 권력 이상으로 그 개인을 통제하는 힘을 가지는 것이다. 이러한 개인통제력은 또 다른 절대권력(Big Brother)을 낳게 될 것이고, 이는 결코 자유민주주의 정치질서와 양립할 수 없다.

개인의 모든 활동이 디지털화되는 정보사회에서 각 개인은 자신을 드러내고 싶지 않아도 사회적 관계를 맺기 위해서는 불가피하게 자신을 드러낼 수밖에 없는 상황에 놓여 있다. 이 거역할 수 없는 상황 속에서 그들 개인정보가 여러 가지 정보기술에 의하여 통합처리되는 경우, 개인은 문자 그대로 유리처럼 들여다 볼 수 있는 발가벗겨진 상태에 놓여 있게 된다. 이처럼 타인에게 노출하고 싶지 않은 사적 영역의 여러 측면들이 원하든 원치 않든 자신의 의지와 무관하게 노출될 수 있다는 사실만으로도 자유민주주의체제가 그 이념적 바탕으로 삼고 있는 인간존엄과 인격존중의 가치가 훼손될 수 있음은 물론이다.

) 미국의 한 문헌은 이미 1970년에 컴퓨터연결을 통해 파악가능한 개인(캘리포니아주 산호세시의 某氏)의 하루 생활정보를 세밀하게 예시하여 그 위험성을 지적한 바 있었다. Malcolm Warner & Michael Stone, The Data Bank Society : Organizations, Computers and Social Freedom (1970). 그 사례를 소개하면 다음과 같다{이하의 내용은 양창수, □정보화사회와 프라이버시의 보호□, □인권과 정의□(대한변호사협회, 1991. 3.), 72면 각주 7에서 재인용}.

□저축 있다(90% 확실).

전분성분이 지나치게 많은 아침식사. 아마도 비만.

휘발유 3갤런 주유. 차는 폴크스바겐. 금주만으로도 12갤런 구입. 직장까지의 9마일을 차로 가는 이외에 무엇인가 하고 있음이 분명하다.

아침 7시 57분에 휘발유 주유. 회사에 지각하였을 것이다.

전화 328-1826[그가 전화한 번호. 이하 같다.]는 셔디 레인의 것. 셔디는 1962년에 도박죄로 체포된 일이 있다.

전화 308-7928 고급남성이용실. 머리가 벗어진 사람 또는 최신 유행 전문.

전화 421-1931 라스베가스행 예약(처는 동반하지 않음). 금년 3번째의 라스베가스에의 여행(처 동반 없음). 같은 시기에 라스베가스에 누군가 다른 사람과 갔는지 파일을 조사하고 그 사람의 전화번호와 대조하기로 한다.

현금 120달러 인출. 모든 합법적 물건구입은 전국사회보험크레디트카드로 할 수 있는데, 이는 이상한 일이다.

. . . . 점심 도중 술을 마셨다.

극히 비싼 여자용 내의를 샀다. 그의 처의 사이즈가 아니다.

전화 369-2436 미스 스위트 로크스.

비싼 버본酒를 샀다. 최근 30일 사이에 버본주를 5병이나 샀다. 꽤나 술을 좋아하든가, 상당히 즐거운 일이 있든가 둘 중의 하나이다.

. . . .

2시간 30분 동안의 행적은 불명.

. . . . □

더 나아가 개인정보를 축적·처리하는 공·사의 기관은 개인에 대한 강력한 통제와 감시의 수단을 확보하고 있는 셈이다. 그리하여 이들 개인정보를 토대로 일정 부류의 사람들을 사회적으로 낙인화하는 일(예컨대, 신용불량자나 취업기피인물명단의 작성·유통)이 얼마든지 가능해지게 되고, 그 결과 그들을 사회로부터 고립시키거나 선택권을 제한하게 만들 수 있다.

) 장영민, □정보통신망발전에 따른 개인정보보호□, □형사정책연구□ 제26호 (한국형사정책연구원, 1996 여름), 9면.

III. 위험성에 대한 안전장치로서의 개인정보자기결정권

1. 개인정보자기결정권의 구체적 내용

개인정보자기결정권이란 자신에 관한 정보가 언제 어떻게 그리고 어느 범위까지 타인에게 전달되고 이용될 수 있는지를 그 정보주체가 스스로 결정할 수 있는 권리를 의미한다. 따라서 개인정보의 수집·이용·제공이 정보주체의 결정권이 무시된 채 이루어지는 경우 개인정보자기결정권에 대한 제한이 있게 된다.

) 이러한 개념의 기본권을 독일 연방헌법재판소는 1983년의 인구조사판결(BVerfGE 65, 1)에서 □정보적 자기결정권□(Recht auf informati-onelle Selbstbestimmung)이라고 명명하였다. 이 판결에 대한 소개와 분석은, 정태호, □현행 인구주택총조사의 위헌성 -독일의 인구조사판결(BVerfGE 65, 1)의 법리분석과 우리의 관련법제에 대한 반성-□, □법률행정논총 제20집□, 전남대학교 법률행정연구소, 2000, 202-218면; 김일환, □독일연방헌법법원의 인구조사판결□, □김계환교수회갑기념논문집□, 1996, 66면 이하 참조. 그리고 미국은 정보프라이버시(information privacy)라고 부르고 있다.

한편, 우리의 경우 이 개념을 나타내는 용어가 통일되어 있지 않다. 예컨대, □자기정보관리통제권 또는 개인정보자기결정권□(권영성, □헌법학원론□, 법문사, 2001, 427면); "자기정보에 대한 통제권□(성낙인, □헌법학□, 법문사, 2001, 439면); □자기정보통제권□(차맹진, □프라이버시보호와 자기정보통제권□, 인하대 박사학위논문, 1991); □정보자기결정권□(김일환, □정보자기결정권의 헌법상 근거와 보호에 관한 연구□, □공법연구 제29집 제3호□, 한국공법학회, 2001); □정보의 자결권□(정태호, 같은 글) 등 다양하게 용어를 쓰고 있다.

물론 이 기본권이 절대적인 것은 아니다. 타인이 행하는 정보의 수집·이용·제공에 대해 정보주체가 어느 정도 관여할 수 있을 것인지는 당해 개인정보의 성격, 수집목적. 이용형태, 처리방식에 따르는 위험성의 정도에 따라 다를 수 있다. 그러나 적어도 정보주체의 인격적 요소인 개인정보가 타인에 의해 마음대로 처리·조작되어서는 안된다는 것이 개인정보자기결정권의 기본정신이다. 그러므로 종래 정부가 법적 근거 없이 개인정보를 자유롭게 수집·처리해 온 관행은 개인정보자기결정권의 보장체계에서는 더 이상 용납되지 않는다.

이러한 정보주체의 자기결정권이 실질적으로 보장되기 위해서는 정보주체에게 다음과 같은 파생적 자유와 권리, 즉 익명거래의 자유, 정보처리금지청구권, 정보열람 및 갱신청구권이 보장되어야만 한다.

(1) 익명거래의 자유

익명거래의 자유 또는 익명권은 정보주체가 정부 등의 타자와 온라인 교섭 또는 거래를 할 때 불필요하게 자신의 신원을 밝히지 않고 거래할 수 있는 자유를 말한다. 이 익명권이야말로 개인정보자기결정권의 헌법정신을 실현함에 있어 가장 전제되는 기본권이라고 하겠다. 오늘날 빠르게 발전하는 정보통신기술들은 정치적 및 시장의 요구와 필요에 따라 점차 모든 거래에 있어 놀라울 정도로 거래당사자의 신원확인을 가능하게 하는 방향으로 나아가고 있다. 이는 매우 우려할 사태이다. 이러한 신원확인의 흐름에 제동을 거는 법적 장치로서 익명거래의 자유가 보장되어야 한다.

) 1994년 12월 6일 채택된 오스트레일리아의 프라이버시헌장(Privacy Charter) 제10조(익명의 거래)는 “사람들은 거래를 할 때 자신의 신원을 밝히지 않을 선택권을 가져야 하고, 이 선택권은 압도적인 공익 또는 사익에 의해 정당화되는 경우에 한하여 제한을 받는다.”고 선언하고 있음에 주목할 필요가 있다.

<http://www.anu.edu.au/people/Roger.Clarke/DV/PrivacyCharter.html> 참조.

(2) 정보처리금지청구권과 정보처리의 원칙

정보처리금지청구권은 기본적인 정보처리원칙이 충족되지 않는 경우에 개인정보의 수집·이용·제공 등의 정보처리를 금지하도록 요구할 수 있는 권리이다. 이러한 정보처리금지청구권의 인정 여부를 판단하기 위한 기준이 되는 정보처리원칙으로서 4가지 원칙을 들 수 있다.

첫째, 수집제한의 원칙이 요구된다. 개인정보자기결정권의 보장은 수집 단계에서부터 이루어져야 한다. 이것은 매우 중요한 출발점이다. 수집제한의 원칙이란 □(i) 정당한 수집목적 하에 (ii) 필요한 범위 내에서 (iii) 공정하고 합리적인 방식으로 (iv) 정보주체의 분명한 인식 또는 동의 하에 수집되어야 한다□는 원칙이다. 수집목적의 정당성, 수집범위의 필요최소성, 수집방식의 합리성, 정보주체의 인식명확성 요건의 판단은 관련되는 이익의 형량을 통해 결정되어야 할 것이다. 다만, 수집에 있어서의 동의권은 반드시 절대적일 수는 없다. 수집동의권의 인정 여부는 수집되는 개인정보의 민감성, 수집목적과 처리방식(예컨대, 분산관리냐 통합관리냐 등)에 따라 달라질 수 있을 것이다.

) 예컨대, 수집되는 개인정보에 기초해서 당해 정보주체에게 불이익한 행정결정이 내려질 수 있는 경우에는 가능한 한 당해 정보주체로부터 직접 수집되어져야 한다.

) 자신에 관한 정보가 어떤 법적 근거 하에서 어떤 목적을 위하여 어떤 기관에 의해 어떻게 이용될 것인지를 당해 정보주체가 명확하게 인식할 수 있어야 한다. 독일에서는 이것을 연방헌법재판소의 결정(BVerfGE 65, 1)에 따라 일반적으로 규범명확성의 원칙이라고 표현하고 있다. 김일환, “개인정보보호법의 개정필요성과 내용에 관한 연구”, □공법연구□ 제26집 제2호, 한국공법학회, 1998, 235면.

둘째, 목적구속의 원칙이 요구된다. 목적구속의 원칙이란 □개인정보를 수집하는 목적은 (i) 수집 당시에 명확히 특정되어 있어야 하고(목적의 특정성), (ii) 그 후의 이용은 이 특정된 수집목적과 일치되어야 한다(목적일치성)□는 원칙이다. 이 원칙에서의 □이용□에는 □제3자 제공□은 포함되지 않고, 수집기관 내부의 자체 이용만을 의미한다. 제3자 제공의 경우에는 수집제한의 원칙과 목적구속의 원칙이 별도로 적용된다고 할 것이다.

) 독일에서도 □목적구속의 원칙□으로 불리어진다. 김일환, 위의 글, 235면; 김연태, □행정상 개인정보보호□, □저스티스□ 제34권 제5호(한국법학원, 2001. 10), 210면 참조.

) 김연태, 위의 글(각주 18), 212면도 □정보제공의 경우에도 목적구속의 원칙이 적용되어야 함은 분명하다.□고 설명하고 있다.

셋째, 시스템공개의 원칙이 요구된다. 시스템공개의 원칙이란 □개인정보처리시스템의 설치 여부, 설치목적, 정보처리방식, 처리정보의 항목, 시스템운영책임자, 처리시스템에 의한 자동결정이 이루어지는지 여부 등이 일반에게 투명하게 공개되어야 한다□는 원칙이다. 비밀리에 운용되는 개인정보처리시스템은 그 자체 개인정보자기결정권에 위협적인 요소가 되기 때문이다. 그리고 이 시스템공개의 원칙은 정보주체의 열람청구권과 갱신청구권 행사의 전제가 된다.

넷째, 정보분리의 원칙이 보장되어야 한다. 이 원칙은 특정 목적을 위해 수집된 개인정보는 다른 기관에서 다른 목적을 위해 수집된 개인정보와 원칙적으로 통합되지 않고 분리된 상태로 유지되어야 한다는 요청이다. 이에 따르면, 데이터베이스의 물리적인 통합뿐만 아니라 컴퓨터결합(computer matching) 또는 컴퓨터프로파일링(computer profiling)의 기법에 의한 정보통합은 필요불가결한 경우가 아닌 한 원칙적으로 허용되어서는 안 된다는 것이다.

이것은 실존인격과 분리된 개인의 총체적인 인격상이 타인의 수중에 들어가는 것을 방지하기 위한 것이다. 이러한 총체적인 인격상을 보유한 자는 당해 정보주체에게 무한한 권력을 행사하는 것이 가능하게 되기 때문이다. 그러므로 정부가 포괄적인 개인정보통합관리시스템을 구축하는 것은 이러한 정보분리의 원칙에 반하는 것으로서 헌법적으로 허용되지 않는다고 하겠다.

(3) 정보열람 및 정보갱신청구권

정보주체에게는 정보열람 및 정보갱신청구권이 인정되어야 한다. 이것은 타인에 의해 처리되고 있는 개인정보의 내용에 대해 정보주체가 이를 열람하여, 그 정확성과 최신성 및 충실성을 유지하도록 요구할 수 있는 권리이다. 개인의 일거수 일투족에 관한 상세한 정보가 쉽고 값싼 비용으로 무한대로 저장·처리될 수 있고, 그러한 가상인격에 기초해서 실존인격에 영향을 미치는 결정이 이루어질 수 있는 정보사회에서 특히 위험한 요소는 한번 입력된 정보가 자동으로 지워지지 않는다는 사실에 있다. 낡고 틀린 정보가 지워지지 않은 상태로 계속 존재하면서 실존인격에 영향을 미칠 수 있는 가능성을 차단하기 위해서는 이 같은 정보열람청구권과 정보갱신청구권이 확실하게 보장되어야 한다.

2. 개인정보자기결정권의 법적 성격과 의의

개인정보자기결정권과 종래의 사생활권은 어떻게 다른가? 개인정보보호와 사생활비밀보장은 구별되는 문제인가?

종래 사생활보호를 위한 헌법상의 보호장치, 즉 압수□수색에 있어서의 영장주의(헌법 제12조 제3항 및 제16조 제2문), 주거의 자유보장(헌법 제16조 제1문), 사생활의 비밀보장(헌법 제17조), 그리고 통신비밀침해금지(헌법 제18조) 등의 사생활권은 □사적인 사항이 공개되는 것을 원치 않는 이익□을 그 보호법익으로 하고 있었다.

그러나 개인정보자기결정권이 인정되는 사회적 연관은 전혀 다르다. 즉 이 기본권에 대한 요구는 디지털화된 개인정보가 정보주체도 인식하지 못한 채 타인의 수중에서 무한대로 수집□축적□처리□가공□이용□제공될 수 있는 새로운 정보환경, 나아가 분산된 개인정보들을 단일의 기록파일에 의해 언제든지 통합관리함으로써 실존인격과 분리된 또 하나의 가상인격이 디지털화된 상태로 존재할 수 있는 정보환경에서 생겨난다. 그리하여 이 타인의 수중에 있는 디지털화된 가상인격에 의해 실존인격이 규정됨으로써 실존인격에 가해질 위험성이 극도로 높아지는 상황, 특히 정부나 민간에 의해 개인정보통합관리시스템이 구축됨으로써 개인이 정부나 기업 앞에 알몸으로 드러날 수 있는 상황에서 요구되는 기본권이다.

이처럼 전통적인 사생활권이 개인의 사적 영역을 외부의 침입이나 개입으로부터 소극적으로 보존하고자 하는 데에 초점이 맞추어져 있었다면, 개인정보자기결정권은 타인에 의한 개인정보의 무분별한 수집□축적□처리□가공□이용□제공에 대해 정보주체에게 적극적인 통제권을 부여하고자 하는 데에 그 핵심이 있다. 즉, 종래의 사생활권이 □은둔으로서의 사생활보호□(privacy as seclusion)에 그 중심이 있었다면, 개인정보자기결정권은 □참여로서의 사생활보호(privacy as participation)□라는 가치를 담고 있다고 하겠다. 따라서 그 보호의 맥락과 보호범위, 그리고 보호내용이 동일하지 않다.

) 성낙인, □행정상 개인정보보호□, □공법연구□ 제22집 제3호(한국공법학회, 1994), 288면.

3. 개인정보자기결정권의 효력범위

개인정보자기결정권이 미치는 효력범위는 어디까지인가? 다시 말해서, 정보주체는 타인의 어떠한 개인정보처리에 대해 통제권을 행사할 수 있는가? 예컨대, 우편배달부가 새로 이사온 이웃사람의 이름을 물어보는 경우에도 개인정보자기결정권의 효력이 미치는가?

개인정보자기결정권은 개인인격의 구성요소들이 전자적 형태로 기록화됨으로써 정보주체의 총체적인 인격상이 타인의 수중에 들어가는 위험성을 사전에 차단하기 위해 요구되는 기본권이다. 따라서 이 같은 위험성이 없는 개인정보의 수집□처리에 대해서는 개인정보자기결정권의 효력이 미치지 않는다고 보아야 한다. 우선, 인간의 기억에 의해 입력□처리되는 경우와 같이 기록화되지 않는 개인정보의 수집은 효력범위에서 제외된다. 기록화되는 경우에도 다른 기록된 개인정보와 통합될 가능성이 없는 단편적인 기록화는 효력범위에서 제외된다고 보아야 할 것이다. 따라서 위 예에서처럼 우편배달부가 이웃사람의 이름을 단순히 물어보거나 메모하는 경우에는 개인정보자기결정권에 대한 제한 자체가 없다고 보아야 하고 따라서 이러한 수집에 대해서는 법률유보의 원칙이 적용될 여지가 없다.

) 김연태, 앞의 글(각주 18), 208면은 국가에 의한 모든 개인정보의 수집·처리에 대하여 법적 근거가 필요한 것은 아니고, □법적으로 의미 있는, 정보의 자기결정권에 대한 침해를 가져오는 정보수집□처리의 경우에 법적 근거가 요구되는 것이다.□고 하고, 독일 문헌을 인용하면서 위 우편배달부의 경우 정보의 자기결정권에 대한 □침해□가 아니라고 설명하고 있다.

그러나 기록방식이 수기방식이라 하더라도 그것이 다른 수기기록 또는 전자기록과 통합될 가능성이 있는 경우에는 개인정보자기결정권의 효력이 미친다. 이 경우 통합가능성은 그 수집목적과 처리방법 등을 기준으로 결정될 수 있을 것이다.

이러한 통합가능성이 있는 한, 정보주체로부터의 직접적인 수집□처리가 아니더라도 효력이 미치며, 또한 이미 공개된 개인정보를 수집□처리하는 경우에도 개인정보자기결정권의 효력이 미친다고 하겠다.

4. 개인정보자기결정권의 보호객체 : 개인정보의 개념

개인정보자기결정권의 보호객체는 □개인정보□, 즉 □신원을 확인할 수 있는 개인에 관한 일체의 정보□이다. 따라서 신원을 확인할 수 없는 형태로 수집□처리되는 어떤 개인에 관한 정보는 여기의 개인정보에 해당하지 않는다. 그러나 이 같은 비신원확인정보라도 그 속에 개인의 신상정보가 담겨 있고, 다른 개인정보들과 결합하여 쉽게 신원확인이 가능한 경우가 많다. 그러므로 다른 개인정보들과 결합하여 쉽게 신원확인이 가능한 비신원확인정보도 개인정보자기결정권의 보호대상이 된다고 할 것이다. 예컨대, 인터넷상에서 비실명의 ID에 의한 기록파일은 그 ID가 다른 신상정보(주민등록번호, 이름 등)와 쉽게 연결될 수 있는 경우에 그 기록파일은 개인정보에 해당된다.

이 같은 맥락에서 공공부문의 개인정보보호에 관한 일반법이라고 할 수 있는 공공기관의개인정보보호에관한법률 제2조 제2호가 □개인정보□의 개념을 □생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명□주민등록번호등의 사항에 의하여 당해 개인을 식별할 수 있는 정보(당해 정보만으로는 특정 개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)□라고 정의하고 있는 것은 타당하다고 하겠다.

) 이 개념규정 중 괄호 안의 이른바 □결합에 의한 식별정보□란 예컨대 성명이나 주민등록번호가 기록되지 않은 파일이라도 생년월일이 기록되어 있다면 생년월일 순으로 검색한 후 그 결과를 주민등록번호와 성명이 기록되어 있는 파일과 대조할 경우 정보주체를 식별할 수 있는 경우 등을 의미한다. 총무처, □축조해설 개인정보보호법□, 1994, 34면.

또한 1차 수집된 자료들을 분석하여 얻은 개인에 관한 2차 정보도 당연히 개인정보자기결정권의 효력이 미치는 개인정보에 해당된다.

한편, 개인정보자기결정권의 보호대상인 □개인정보□는 개인의 □비밀□정보만이 해당되는 것이 아니다. 여기의 개인정보는 헌법 제17조의 □사생활비밀의 불가침□조항 및 제18조의 □통신비밀의 불가침□조항에서 보호하는 개인의 □비밀□보다 넓은 개념이다. 공개된 장소에서 개최되는 정치적 집회 등에 참여하는 경우와 같이 공개적으로 이루어지는 개인의 행동에 관한 정보도 국가에 의하여 지속적이고 체계적으로 수집□처리되고 나아가 이들 정보가 다른 개인정보들과 결합되는 경우 개인의 전체적인 인격상이 쉽게 드러날 수 있기 때문이다.

) 정태호, 앞의 글(각주 14), 206면도 같은 취지에서 헌법 제17조의 □사생활비밀□을 해석하고 있는 것으로 판단된다. 그는 □제17조의 조문에 충실하게 그 조문의 내용을 해석할 때 제17조를 통해서 미국에서 논의되는 프라이버시권이나 독일에서 논의되는 일반적 인격권을 우리 헌법에 모두 수용하는 데는 실패했다.□고 평가하고 있다.

여기서 사생활비밀의 불가침조항(제17조), 통신비밀의 불가침조항(제18조), 그리고 개인정보자기결정권의 관계설정이 문제된다. 개인의 사생활비밀과 통신비밀은 모두 개인정보자기결정권의 보호대상이기도 하다. 그러나 사생활비밀과 통신비밀에 해당하는 개인정보에 대해서는 그 수집단계에서부터 더욱 철저한 보호가 요구된다는 것을 헌법이 천명한 것이라고 하겠다. 중대한 국가이익의 보호를 위해 불가피하게 요구되는 경우 엄격한 절차적 보장 하에서만 사생활비밀과 통신비밀에 대한 수집이 허용될 수 있을 뿐이다. 특히 개인의 인격실현에 중대한 침해를 야기할 수 있는 일정한 비밀정보에 대해서는 수집 자체가 금지되어야 할 것이다. □공공기관의개인정보보호에관한법률□ 제4조 본문이 □사상□신조 등 개인의 기본적 인권을 현저하게 침해할 우려가 있는 개인정보□의 수집 자체를 금지하고 있는 것은 일응 타당하다고 하겠다.

) 한편, 사생활비밀과 통신비밀의 관계는 일반법과 특별법의 관계로 이해된다. 후자는 □통신□, 즉 "비공개를 전제로 한 정보의 송신 또는 수신의 과정"을 제3자의 침해로부터 특별히 보호하고자 하는 것으로서, 그 통신내용□통신형태□통신내역이 특별히 □비밀□로 취급된다는 것을 헌법이 선언한 것이다. 사실 통신비밀의 보장은 사생활보호의 수단적인 의의를 가지는 것(허영, □한국헌법론□, 박영사, 2001, 372면; 성낙인, □헌법학□, 법문사, 2001, 446면)을 넘어서서, 헌법 제21조가 보장하는 언론□출판, 집회□결사의 자유를 보장하기 위한 불가결한 전제조건이기도 하다. 왜냐하면, 사회적 소수자의 비공개를 전제로 한 의사전달의 과정은 곧 헌법 제21조가 보장하는 헌법적 가치인 민주주의 실현의 중요한 한 요소이기 때문이다. 통신비밀보장의 이 같은 측면에 대한 상세는, 이인호, □방송·통신의 융합과 언론의 자유□, □공법연구□ 제28집 제4호, 한국공법학회, 2000, 249-250면 참조.

) 통신의 □내용□을 보호하고자 하는 통신비밀보호법은 이러한 헌법원칙에 부합하는 것으로 일견 볼 수 있다(철저한 분석은 여기서 생략). 그러나 이와는 달리 통신의 이른바 □내역정보□(송·수신인, 통신시간 등 traffic data)는 헌법 제18조의 동일한 보호대상임에도 불구하고 전기통신사업법 제54조에서 별도로 규율하고 있고, 그 보호의 정도는 헌법적 요청에 충실하지 못한 것으로 판단된다.

) 그렇지만 □사상□신조 등□의 예시가 너무 제한적이고 □기본적 인권을 현저하게 침해할 우려□의 개념이 불명확하다는 비판이 제기되고 있다(최영규, "공공기관의 정보관리와 개인정보보호□, □경남법학□ 제13집, 경남대학교 법학연구소, 1998, 49면). 또한 그 단서에서 □다른 법률에 수집대상 개인정보가 명시되어 있는 경우□에는 예외를 널리 인정하고 있어 본문의 원칙이 크게 퇴색되고 있다고 하겠다.

IV. 공공부문 개인정보보호법제의 문제점 분석

공공부문에서 위 개인정보자기결정권을 구체화하는 법률로서 □공공기관의개인정보보호에관한법률□(이하 □공공기관개인정보법□이라 한다)이 시행되고 있다. 이 법은 공공기관의 컴퓨터에 의하여 처리되는 개인정보를 보호하기 위하여, 각 행정기관이 개인정보처리시스템, 즉 개인정보화일을 보유하고자 하는 경우에 그 보유범위 및 내부적 절차를 규율하고, 개인정보화일에 기록된 개인정보(이른바 □처리정보□)를 이용하거나 또는 제3자에게 제공하는 것에 대해 일정한 실체적 및 절차적 제한을 가하며, 정보주체에게는 열람 및 정정청구권을 인정하는 것을 주된 내용으로 하고 있다.

) 법률 제4734호로 1994. 1. 7. 공포되어 1995. 1. 8.부터 시행된 이후 1998. 12. 24. 부분적으로 개정되었다. 미국 연방의 공공기관개인정보보호법인 Privacy Act가 1974년에 제정되었고, 독일의 연방데이터보호법이 1977년에, 프랑스의 □정보처리□축적 및 자유에 관한 법률□이 1978년에, 일본의 □행정기관이 보유하는 전자계산기처리에 따른 개인정보의 보호에 관한 법률□이 1988년에 제정된 것과 비교하면, 공공부문에서의 우리의 입법적 대응은 매우 뒤늦은 것이다.

) 이 법의 규율대상인 공공기관에는 □국가행정기관, 지방자치단체, 각급 공□사립학교, 정부투자기관, 특별법에 의해 설립된 특별법인(단, 금융기관 제외)□이 속한다(법 제2조 제1호 및 시행령 제2조).

) □처리□라 함은 □컴퓨터를 사용하여 정보의 입력□저장□편집□검색□삭제 및 출력 기타 이와 유사한 행위를 하는 것□을 말한다(법 제2조 제3호).

) □개인정보□라 함은 □생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명□주민등록번호 등의 사항에 의하여 당해 개인을 식별할 수 있는 정보(당해 정보만으로는 특정개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)□를 말한다(법 제2조 제2호).

) □개인정보화일□이라 함은 □특정개인의 신분을 식별할 수 있는 사항에 의하여 당해 개인정보를 검색할 수 있도록 체계적으로 구성된 개인정보의 집합물로서 컴퓨터의 자기테이프□자기디스크 기타 이와 유사한 매체에 기록된 것□을 말한다(법 제2조 제4호).

) □보유□라 함은 □개인정보화일을 작성 또는 취득하거나 유지□관리하는 것(개인정보의 처리를 다른 기관□단체 등에 위탁하는 경우를 포함하되, 다른 기관□단체 등으로부터 위탁받은 경우를 제외한다)□을 말한다(법 제2조 제6호).

이 법은 공공기관의 컴퓨터에 의하여 수집□이용□제공되는 개인정보의 보호에 관한 일반법으로서, 다른 법률에 특별한 규정이 있는 경우에는 그 특별규정에 따른다(법 제3조 제1항). 그리하여 공공부문에서 개인정보의 수집□이용□제공을 규율하는 몇 가지 특별법들이 존재하고 있다. 이하에서는 우선 이들 특별법의 내용을 간략히 살피고, 이어 일반법인 공공기관개인정보법의 문제점을 상세히 분석한다.

1. 개인정보처리를 규율하는 특별법

가. 주민등록법

우선, 전 국민의 기본적인 인적 사항과 거주관계에 관한 개인정보의 수집□이용□제공을 규율하는 주민등록법이 있다. 이 법은 전 국민의 성명, 성별, 생년월일, 세대주와의 관계, 본적, 주소, 주소이동상황 등의 개인정보를 신고하게 하고(법 제10조), 개개인에게 강제 부여되는 주민등록번호를 표준개인식별자(universal personal identifier)로 하여(법 제7조 제3항) 이들 개인정보를 전산처리하도록 하고 있다(법 제7조의2). 그리고 이러한 주민등록전산정보자료를 다른 공공기관 또는 민간이 이용 또는 활용할 수 있도록 허용하되, 행정자치부장관에 의한 일정한 승인절차를 정하고 있다(법 제18조의2). 이용기관이 본래의 목적 외의 용도로 이용 또는 활용하는 경우에는 형사처벌을 가하고 있다(법 제21조 제2항 제6호). 따라서 개인정보처리시스템, 즉 주민등록표화일 자체에 대한 공개절차 및 정보주체의 열람 및 정정청구권에 관해서는 공공기관개인정보법의 규율을 받는다.

) 그 밖에 시행령은 세대번호, 혈액형, 혼인여부, 본적변경사유, 호주와의 관계, 인력동원사항(동원대상여부, 기술·기능·예능사항, 동원훈련사항, 자격면허, 직업훈련사항 등), 학력, 직업을 신고하도록 하고 있다(시행령 제6조 별지 제1호 서식). 또한 주민등록법 제17조의8 제2항은 주민등록증에 성명, 사진, 주민등록번호, 주소, 지문, 발행일, 주민등록기관을 수록하도록 규정하고 있고, 주민등록증 발급 신청시에 열 손가락의 지문을 날인하도록 하고 있다.

) 주민등록번호 및 지문날인제도에 대한 법적 분석과 평가에 대해서는, 이인호, □주민등록번호□지문날인과 개인정보자기결정권□, □인터넷법률□ 제8호, 법무부, 2001년 9월, 59-66면 참조.

나. 호적법

호적법은 전 국민의 신분관계의 설정과 변동에 관한 다양한 개인정보를 신고하게 하고, 이를 전산정보처리조직에 의하여 처리할 수 있도록 하고 있다(법 제124조의2). 그리고 호적전산정보의 효율적인 활용을 위하여 법원행정처에 호적전산정보중앙관리소를 두도록 하고(법 제124조의5), 호적전산정보자료의 이용 또는 활용에는 관계중앙행정기관의 장의 심사를 거쳐 법원행정처장의 승인을 얻도록 하고 있다(법 제124조의6). 그 밖의 사항에 대해서는 특별한 규율이 없고, 따라서 공공기관개인정보법의 규율을 받는다.

다. 통계법

통계목적의 개인정보 수집과 이용을 규율하는 통계법이 있다. 이 법은 통계청장이 지정□고시하는 이른바 지정통계의 경우 통계작성을 위한 정보수집에 응해야 할 의무를 부과하고 있고(법 제10조 및 제12조), 달리 익명권 보호를 위한 장치를 마련하고 있지 않다. 다만, 통계작성을 위하여 수집된 개인 또는 법인이나 단체의 □비밀에 속하는 사항□을 통계작성의 목적 외에 사용하는 것을 금하고 있고(법 제13조 제2항 및 제14조), 통계작성기관에서 통계작성을 위하여 수집□보유□관리하고 있는 기초자료를 변경 또는 말소하거나 통계결과를 변경하는 행위를 금하고 있다(법 제23조). 그러나 이 법 제16조는 통계작성기관의 장에게 법 제13조의 규정에 위배되지 아니하는 범위 안에서 통계자료를 널리 활용하도록 의무지우고 있다. 이 법의 취지에 따른다면, 통계목적으로 수집한 기초자료가 신원확인이 가능한 형태로 보유□관리하는 것이 허용되고 있고, 그것이 □비밀□에 속하지 않는 개인정보인 경우에는 이용 및 제3자 제공에 있어 목적구속의 원칙도 받지 않도록 되어 있다.

더 나아가, 통계목적으로 수집된 개인정보의 이용 및 제3자 제공에 대해서는 그 규율의 일반법인 공공기관개인정보법의 적용도 받지 아니한다(공공기관개인정보법 제3조 제2항). 따라서 수집제한의 원칙, 목적구속의 원칙, 시스템공개의 원칙, 정보주체의 열람 및 갱신청구권의 보장 등 개인정보자기결정권의 헌법적 요청이 거의 무시되고 있다. 판단컨대, 통계목적으로 수집되는 개인정보는 가능한 한 익명으로 수집되어야 하고, 설령 신원확인이 가능한 형태로 수집되었다 하더라도 통계작성의 목적이 완수된 경우에는 그 기초자료는 지체 없이 폐기되어야 할 것이다.

) 정부가 5년마다 실시하는 인구주택총조사는 매우 광범위한 개인정보를 수집하면서도 그 법률적 근거가 매우 취약하다. 지난 2000년 11월 1일 오전 0시를 기준으로 실시한 인구주택총조사의 직접적인 법적 근거는 2000년 7월 1일 재정경제부령 제143호로 제정된 인구주택총조사규칙이다. 물론 동규칙 제1조는 그 법률적 근거로 통계법 제4조를 들고 있으나, 통계법 제4조 제1항은 □통계청장은 해당 기관의 신청에 의하여 지정기관 또는 지정통계를 지정한다. 이 경우 지정기관 또는 지정통계의 지정요건은 대통령령으로 정한다.□고만 규정하고 있을 뿐 인구주택조사에 관한 직접적인 근거규정이라고 보기 어렵다. 가사 이 조항이 법률적 근거가 될 수 있다 하더라도, 재정경제부장관에게 인구주택조사에 관한 권한을 위임하고 있지도 않다. 그렇다면 조사규칙은 일종의 집행명령이라고 할 수 있을 것이나, 이러한 집행명령만으로 국민의 개인정보자기결정권을 심각하게 제한하는 국가행위의 법적 근거로 삼기에는 매우 부족하다. 현행 인구주택조사제도를 본질성이론에 입각하여 그 위헌성을 논하고 있는 것으로, 정태호, 앞의 글(각주 14), 218-225면 참조.

라. 전자정부법

정보기술의 활용을 통하여 작고 효율적인 시민위주의 질 좋은 행정서비스를 제공하는 이른바 전자정부를 실현하기 위해 2001년 3월 28일 제정된 □전자정부구현을위한행정업무등의전자화촉진에관한법률□(이하 □전자정부법□이라 한다)은 전자정부의 운영원칙의 하나로서 행정정보공동이용의 원칙과 개인정보보호의 원칙을 선언하고 있다. 즉 제11조(행정정보공동이용의 원칙)는 □행정기관은 수집□보유하고 있는 행정정보를 필요로 하는 다른 행정기관과 공동이용하여야 하며, 다른 행정기관으로부터 신뢰할 수 있는 행정정보를 제공받을 수 있는 경우에는 동일한 내용의 정보를 따로 수집하여서는 아니된다.□고 규정하고 있고, 제12조(개인정보보호의 원칙)는 □행정기관이 보유□관리하는 개인정보는 법령이 정하는 경우를 제외하고는 당사자의 의사에 반하여 사용되어서는 아니된다.□고 선언하고 있다.

) "행정정보□라 함은 □행정기관이 직무상 작성 또는 취득하여 관리하고 있는 자료로서 전자적 방식으로 처리되어 부호□문자□음성□음향□영상 등으로 표현된 것□을 말한다(법 제2조 제4호). 따라서 개인정보도 여기의 행정정보의 개념에 속한다.

그러나 이 법상의 개인정보보호의 원칙은 선언에 불과할 뿐 이를 구체화하는 규정은 존재하지 않으며, 대신 행정정보공동이용의 원칙에 보다 초점을 맞추고 있다. 동법 제21조는 행정기관간에 행정정보를 공동이용하도록 의무지우고 있고, 특히 □공공기관개인정보법 제10조 제2항의 규정에 의하여 다른 기관에 제공할 수 있는 처리정보□를 공동이용 대상정보의 하나로 규정하고 있다. 그리고 동법 제22조는 행정정보공동이용의 절차를 규정하고 있으나, 이 규정은 공동이용의 활성화를 위한 일반적 절차를 규정한 것일 뿐 달리 개인정보보호를 위한 절차적 제한을 가하고 있는 규율은 아니다.

결국, 전자정부법에 의한 개인정보의 공동이용을 통제할 수 있는 장치는 일반법인 공공기관개인정보법에 일임되어 있다고 하겠다. 전자정부법상 의무적인 공동이용의 대상이 되는 개인정보의 범위도 또한 공공기관개인정보법 제10조 제2항의 규율범위에 달려 있는 문제인 것이다.

요컨대, 이상에서 살핀 바와 같이 공공부문에서 개인정보의 수집□이용□제3자 제공에 대한 규율체계는 몇 가지 다른 법률의 특별규정을 제외하고는 공공기관개인정보법에 의거하고 있다. 그렇다면, 현재 공공부문에서 개인정보자기결정권이 어느 정도 보장되고 있는지의 판단은 공공기관개인정보법의 규율체계의 분석에 달려 있다고 하겠다. 결론적으로, 개인정보자기결정권을 충실히 실현하고 있다고 보기에는 많은 취약점을 가지고 있는 것으로 판단된다. 이하에서는 위에서 살핀 개인정보자기결정권에 담긴 헌법적 요청을 판단의 기준으로 삼아 공공기관개인정보법의 한계와 문제점을 분석한다.

2. 공공기관개인정보법의 한계와 문제점

가. 규율범위에 있어서의 한계

(1) 보호대상의 제한

우선, 이 법의 규율대상은 □컴퓨터에 의하여 처리되는 생존하는 자연인의 개인정보□로 한정되어 있다. 여기서의 개인정보는 □신원확인이 가능한 개인에 관한 일체의 정보□를 가리키는 것으로 그 범위가 대단히 넓다. 즉 개인의 신상정보 내지 인격적 특성에 관한 정보뿐만 아니라 재산상황, 채권채무관계, 친구관계, 구매습관이나 취향 기타 각종의 사회경제적 활동에 관한 모든 정보가 포함된다. 이 법이 이처럼 개인정보의 범위를 넓게 잡은 것에 대해 강경근 교수는 의미 있는 평가를 내리고 있다. 즉 □이는 개인정보의 보호에 관한 우리의 최초의 실정법이 이미 인격권적 의미의 프라이버시라는 전제를 극복하고 정보사회에서의 개인정보가 지니는 함의 즉 그 다양성과 대량적 이용가능성 등에 따른 정보의 재산적 성격도 배제한 것은 아니라는 점을 지적할 수 있다.□고 한다.

) 심지어 총무처, □축조해설 개인정보보호법□, 1994, 32면은 개인사업자의 당해 사업에 관한 정보도 여기에 포함되는 것으로 해석하고 있다.

) 강경근, □행정정보의 공동이용에 따른 법적 과제□, 한국법제연구원, 2001, 53면, 각주 26.

사실, 정보사회에서 개인정보의 처리와 관련한 사생활보호의 모델은 산업사회에서와 같이 은둔으로서의 사생활보호(privacy as seclusion)를 뛰어 넘어 민주적 참여의 가치를 담고 있는 사생활보호(privacy as participation)의 모델로 전환되어야 한다. 이러한 관점에서 공공기관개인정보법이 신상정보 외에 개인에 관한 일체의 정보를 그 보호대상으로 설정한 것은 긍정적으로 평가되어야 할 것이다. 그러나 동일한 맥락에서, 자연인에 관한 정보만을 보호대상으로 하고, 동일한 사회적 활동단위인 법인이나 단체에 관한 정보를 제외하고 있는 것은 아직 참여로서의 사생활보호의 가치를 전면 수용하지 못하고 있는 아쉬운 부분이라고 하겠다. 그리고 수기화일에 의해 처리되는 개인정보를 제외하고 있는 것도 이 법의 결함이라고 하겠다.

) 성낙인, 앞의 글(각주 20), 295면.

특히, 이 법은 행정기관이 다양한 방식으로 수집□처리하고 있는 모든 형태의 개인정보를 보호하는 것이 아니고, 일정한 개인식별자(personal identifier)에 의해 검색할 수 있도록 체계적으로 구성된 개인정보처리시스템, 즉 개인정보화일에 담긴 개인정보(이른바 □처리정보□)만을 그 보호대상으로 하고 있음에 유의할 필요가 있다.

(2) 적용범위의 제한 : 기본법으로서의 성격 부존재

법 제3조 제1항은 □공공기관의 컴퓨터에 의하여 처리되는 개인정보의 보호에 관하여는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법이 정하는 바에 의한다.□고 규정하고 있다. 그러나 일반법으로서의 성격을 나타내는 이 규정은, 필자가 보기에, 이 법이 명실상부한 개인정보보호법으로서 기능함에 있어 오히려 제약요인으로 작용할 수 있다.

이 법은 공공기관에 의한 개인정보의 수집□이용□제공으로부터 정보주체의 자기결정권을 보호하기 위하여 정보처리의 기본원칙들을 구체화한 것으로서, 그 수집□이용□제공의 과정에 일정한 절차적 및 실체적 제한을 가하고 있는 법률이다. 그리고 그 제한은 개인정보자기결정권을 보장하기 위한 기본적인 헌법적 요청이고, 뒤에서 살피는 바와 같이 현재 제도화된 제한의 정도는 아직 충분하지 못한 상태이다. 그리고 이 법은 종래 공공기관에 의한 개인정보처리의 근거가 되던 다른 법률에서는 규율하지 않던 새로운 제한과 절차를 설정하는 것이기 때문에 종래의 처리관행을 이 법의 규율에 따라 개선해야 할 필요가 있다. 그렇다면, 이 법은 오히려 □다른 법률의 규정에 불구하고 공공기관에 의한 개인정보의 수집□이용□제공에 관하여는 이 법이 정하는 바에 의한다.□고 규정하였어야 했던 것이 아닌가 생각된다.

더 나아가, 법 제3조 제2항은 □통계법에 의하여 수집되는 개인정보와 국가안전보장과 관련된 정보분석을 목적으로 수집 또는 제공요청되는 개인정보의 보호에 관하여는 이 법을 적용하지 아니한다.□고 규정하고 있다. 이러한 적용제외는 이 법의 치명적인 결함이다. 통계법 적용제외의 문제점은 아래에서 언급한다. 그리고 국가안보와 관련한 개인정보처리에 관해 전면적으로 이 법의 적용을 배제한 것은 심각한 문제이다. 법상 요구되는 절차적 및 실체적 제한 중 합리적인 범위 내에서 그 일부분의 적용을 배제하는 것은 타당성이 있을 수 있지만, 국가안보와 관련한 개인정보처리의 존재 자체가 정보주체의 인식으로부터 그리고 사회적 감시로부터 완전히 벗어날 수 있도록 하는 것은 민주적 참여의 가치를 담고 있는 개인정보자기결정권의 헌법정신과 양립하지 않는다고 하겠다.

나. 수집제한 원칙의 부분적 구체화

개인정보자기결정권의 보장의 출발점은 수집 단계에서부터 시작되어야 하고, 그렇기 때문에 그 파생원칙의 하나로서 수집제한의 원칙이 요구된다. 동 원칙은 (i) 정당한 수집목적을 위하여(수집목적의 정당성) (ii) 필요한 범위 내에서(수집범위의 필요최소성) (iii) 공정하고 합리적인 방식으로(수집방식의 합리성) (iv) 정보주체의 분명한 인식 또는 동의 하에(정보주체의 인식명확성) 수집되어야 한다는 것을 의미한다.

) 최영규, 앞의 글(각주 26), 49면.

그런데 공공기관개인정보법은 이러한 수집제한의 원칙을 부분적으로만 구체화하고 있다. 위에서 언급한 바와 같이, 동법은 공공기관이 다양한 방식으로 수집□처리하고 있는 모든 형태의 개인정보를 규율대상으로 하는 것이 아니고, 개인정보처리시스템 즉 개인정보화일에 기록된 처리정보만을 그 보호대상으로 한다. 그리하여 동법은 개인정보의 개별적인 수집에 대해 수집제한의 원칙을 밝히고 있는 것이 아니라, 공공기관이 개인정보화일을 보유하고자 하는 경우 그 범위 및 내부절차에 관해서만 한정적으로 규율하고 있다. 즉 법 제5조는 □공공기관은 소관업무를 수행하기 위하여 필요한 범위안에서 개인정보화일을 보유할 수 있다.□고 규정하고 있고, 제6조는 개인정보화일을 보유하기 전에 보유목적 등 일정한 사항을 행정자치부장관에게 사전통보하도록 요구하고 있을 뿐이다. 다만, 법 제4조는 □사상□신조 등 개인의 기본적 인권을 현저하게 침해할 우려가 있는 개인정보□를 동의에 의하지 않고 수집하는 것을 금지하고 있다.

) □1. 개인정보화일의 명칭  2. 개인정보화일의 보유목적  3. 보유기관의 명칭  4. 개인정보화일에 기록되는 개인 및 항목의 범위  5. 개인정보의 수집방법과 처리정보를 통상적으로 제공하는 기관이 있는 경우에는 그 기관의 명칭  6. 개인정보화일의 열람예정시기  7. 열람이 제한되는 처리정보의 범위 및 그 사유  8. 기타 대통령령이 정하는 사항□(법 제6조 제1항).

따라서 위 제4조 소정의 수집금지대상이 아니고 또 개인정보화일에 기록되지 않는 개인정보에 대한 수집은 아무런 제한 없이 행해질 수 있다. 이것은 이 법의 중요한 흠결부분이다.

) 同旨 : 김연태, 앞의 글(각주 18), 206면.

한편, 개인정보화일을 보유하고 그에 따라 개인정보를 수집하고자 하는 경우에, □소관업무 수행에 필요한 범위□ 안에서의 보유 및 수집이라는 실체적 요건을 규정하고 있는 것은 수집제한의 원칙 중 수집범위의 필요최소성 요건을 채택한 것으로서 긍정적으로 평가해야 할 것이다. 따라서 개인정보화일의 보유 자체 및 수집되는 특정한 개인정보가 합법적인지의 여부는 □업무수행의 필요성□ 요건의 판단에 좌우될 것이다.

그러나 이러한 수집과 관련해서 이 법의 취약점은 수집제한의 원칙의 또 다른 요건인 수집방식의 합리성 요건과 정보주체의 인식명확성 요건을 규정하고 있지 않다는 점이다. 우선 수집방식의 합리성 요건과 관련해서, 수집되는 개인정보에 기초해서 당해 정보주체에게 불이익한 행정결정이 내려질 수 있는 경우에는 가능한 한 당해 정보주체로부터 직접 수집되어져야 한다. 또한 정보주체의 인식명확성 요건과 관련해서, 개별적인 정보수집시에, 설령 정보주체의 동의는 반드시 요구되지 않는다 하더라도, 적어도 수집의 법적 근거, 정보제공이 강제적인 것인지 임의적인 것인지의 여부, 수집목적, 이용형태, 요청된 정보를 제공하지 않는 경우 당해 정보주체에 미칠 효과 등을 합리적인 방법으로 고지하여야 할 것이다. 현행 공공기관개인정보법이 이렇게 개별적인 고지가 아니고 개인정보화일의 보유와 관련한 일반적 사항들을 행정자치부장관에게 통보하도록 하고(법 제6조 제1항), 이 사항들을 연 1회 이상 관보에 게재하여 공고하도록 규정하고 있는 것(법 제7조)만으로는 헌법적 요청인 정보주체의 인식명확성 요건을 충족시킬 수 없다고 할 것이다.

) 미국 연방프라이버시법(Privacy Act) 5 U.S.C. □552a(e)(2) 참조.

) 미국 연방프라이버시법(Privacy Act) 5 U.S.C. □552a(e)(3) 참조. 우리의 민간부문 일반법이라고도 할 수 있는 □정보통신망이용촉진및정보보호등에관한법률□ 제22조 제2항도 수집시에 정보주체에게 일정한 사항을 고지하도록 의무지우고 있다.

나. 목적구속 원칙의 형해화 가능성

(1) 목적구속 원칙의 선언과 예외사유의 광범위한 인정

개인정보자기결정권에 포함된 목적구속의 원칙이란 □개인정보를 수집하는 목적은 (i) 수집 당시에 명확히 특정되어 있어야 하고(목적의 특정성), (ii) 그 후의 이용은 이 특정된 수집목적과 일치되어야 한다(목적일치성)□는 요청이다. 이 원칙은 개인정보 수집기관 내부의 이용을 제한함과 동시에 특히 수집기관 이외의 제3자 제공을 통제하기 위한 것이다. 물론 이 원칙이 절대적일 수는 없고, 법률이 명시적으로 허용하는 예외가 있을 수 있다. 다만, 제3자 제공의 경우에도 위 수집제한의 원칙이 적용되기 때문에 제공목적의 정당성, 제공범위의 필요최소성, 제공방식의 합리성, 정보주체의 인식명확성이 요구된다.

공공기관개인정보법 제10조는 사전에 공시된 개인정보화일의 보유목적이 아닌 다른 목적으로 처리정보를 이용하거나 제공하는 것을 금지하는 이른바 목적구속의 원칙을 규정하고 있다.

그러나 여기에는 매우 광범위한 예외가 인정되고 있다. 첫째, 다른 법률이 보유목적 이외의 목적으로 보유기관의 내부에서 이용하는 것을 허용하거나 또는 제3자 제공을 허용하는 경우에는 그에 따른다(제10조 제1항 전단). 따라서 공공기관개인정보법이 선언하는 목적구속의 원칙은 다른 법률에 의하여 얼마든지 훼손될 수 있다. 즉 위 법상의 목적구속의 원칙은 다른 법률에서 보유목적 외의 이용 및 제공을 규정하고 있지 않는 한도 내에서만 적용되는 원칙일 뿐이다. 이러한 규범적 태도는 공공기관개인정보법이 기본법으로서의 성격을 가지는 것이 아니라 단순한 일반법으로서의 성격을 가질 뿐이라는 것을 의미한다. 다시 말해서, 다른 법률의 규정에도 불구하고 동법상의 목적구속의 원칙이 적용되는 것이 아니라, 언제든지 다른 법률의 규정에 의하여 목적구속의 원칙이 배제될 수 있는 것이다. 이러한 규범적 성격은 이미 동법 제3조 제1항에서 선언되고 있다.

둘째, 이 법 자체에서도 8가지 광범위한 예외를 인정하고 있다. 이러한 예외의 경우에는 사전에 공시된 보유목적에 구속되지 않고 얼마든지 다른 용도로 수집기관 내부에서 활용할 수 있으며, 또 정보주체의 동의를 받거나 통지함이 없이 임의로 제3자에게 제공할 수 있다(법 제10조 제2항 본문). 더 나아가, 2001년 7월 1일부터 시행된 전자정부법 제21조 제1항은 이들 예외의 경우에는 보유하고 있는 처리정보를 공동이용하도록 각 행정기관에 의무지우고 있다.

) □1. 정보주체의 동의가 있거나 정보주체에게 제공하는 경우

2. 다른 법률에서 정하는 소관업무를 수행하기 위하여 당해 처리정보를 이용할 상당한 이유가 있는 경우

3. 조약 기타 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하는 경우

4. 통계작성 및 학술연구 등의 목적을 위한 경우로서 특정개인을 식별할 수 없는 형태로 제공하는 경우

5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 동의를 할 수 없는 경우로서 정보주체외의 자에게 제공하는 것이 명백히 정보주체에게 이익이 된다고 인정되는 경우

6. 범죄의 수사와 공소의 제기 및 유지에 필요한 경우

7. 법원의 재판업무수행을 위하여 필요한 경우

8. 기타 대통령령이 정하는 특별한 사유가 있는 경우□(법 제10조 제2항 본문 각호)

여기서 제2호, 6호, 7호, 8호의 예외사유가 문제될 수 있다. 이처럼 광범위한 예외는 목적구속의 원칙을 무의미하게 만들 가능성을 지니고 있기 때문이다. 특히 제2호의 사유는 행정기관 상호간에 거의 무제한적으로 개인정보를 공동이용할 수 있도록 하는 포괄적인 조항이다. 각 행정기관의 활동 중 □법률에서 정하는 소관업무의 수행□이 아닌 것이 거의 없기 때문이다. 더 나아가, 제8호는 소관업무의 수행과 관련이 없는 보유목적 이외의 이용과 제3자 제공(예컨대, 상거래의 활성화를 위한 이용 및 민간기업에의 제공 등)을 포괄적이고 무제한적으로 대통령령에 위임하고 있다. 현행 시행령은 이러한 특별사유를 별도로 정하고 있지 않지만, 언제든지 대통령령에 의해 목적구속의 원칙이 파기될 수 있는 규범상태라고 하겠다. 다행히, 법은 이 같은 보유목적 이외의 이용 및 제3자 제공에 대해 몇 가지 실체적 및 절차적 제한을 두고 있다.

(2) 제3자 제공에 대한 실체적 제한

우선, 이들 예외사유 전부에 적용되는 실체적 제한으로서, □정보주체 또는 제3자의 권리와 이익을 부당하게 침해할 우려가 있다고 인정되는 때에는□ 보유목적 이외의 이용 및 제3자 제공이 허용되지 않는다(법 제10조 제2항 단서). 그러나 □부당한 침해의 우려□ 여부는 당해 보유기관의 장에게 판단여지가 있다고 보아야 하기 때문에 법원에 의한 엄밀한 사법적 평가를 기대하기 어려울 것으로 보이고, 그 만큼 이 제한요건은 개인정보의 남용을 통제하는 효과적인 장치로 보기 어렵다. 더구나 전자정부법이 공동이용을 강제하고 있는 규범상태에서는 더욱 그러하다.

다음으로, 각호의 예외사유에 고유한 실체적 제한으로서, 제2호의 경우 소관업무 수행을 위한 □상당한 이유□가 존재하여야 한다. □상당한 이유□의 존재 여부는 전적으로 법원이 판단할 사항이고, 따라서 이 사유에 의한 제3자 제공의 합법성 기준은 향후의 법원의 정책에 맡겨져 있는 문제이다. 그렇지만, 법원은 제2호가 목적구속의 원칙을 무의미하게 만들 수 있는 포괄적인 예외조항이라는 점을 고려하여 □상당성□ 판단을 엄격하게 하여야 할 것이다. 예컨대, 수령기관에서의 용도가 원래의 보유목적과 상호관련성이 있어야 하고, 또 당해 개인정보의 이용이 수령기관의 소관업무에 필수불가결한 것이어야 하는 등의 요건이 충족되는  경우에 한하여 그 상당성을 인정하여야 할 것이다.

한편, 제6호의 경우 그 실체적 제한으로서, 범죄수사 및 공소유지를 위한 □필요성□이 인정되어야 한다. 이 필요성 판단에 있어서도 법원은 엄격해석을 해야 할 것이다. 그리고 제7호의 경우 법원의 재판업무수행의 □필요성□은 법원의 제출명령이 있는 경우로 한정되어야 할 것이다. 물론 여기의 법원에는 헌법재판소도 포함된다고 해석된다.

한편, 법은 이렇게 보유목적을 넘어서서 제3자 제공을 하는 경우, 보유기관의 장은 수령기관에게 그 □사용목적□사용방법 기타 필요사항에 대하여 제한을 하거나 제공정보의 안전성을 위해 필요한 조치를 강구하도록 요청하여야 한다.□고 규정하고 있고(법 제10조 제3항), 특히 정보제공이 □통신망을 이용하여□ 이루어지는 것일 때 만약 수령기관이 위 제한이나 요청사항을 이행하지 않는 경우에는, 보유기관의 장은 □즉시 처리정보의 제공을 중지□하도록 하고 있다(시행령 제12조 제2항). 그 밖에 정보수령기관은 □제공기관의 동의 없이 당해 처리정보를 다른 기관에 제공하여서는 아니 된다.□(법 제10조 제5항).

(3) 제3자 제공에 대한 절차적 제한

법은 위 보유목적을 넘어선 제3자 제공에 대한 절차를 달리 규정하고 있지 않다. 다만, 법시행령은 보유기관이 임의로 제공할 수는 없고, 수령기관이 그 이용목적 및 이용하고자 하는 처리정보의 범위를 명시하여 보유기관의 장에게 문서로 요청하도록 하고 있다. 그리고 이에 따라 제공하는 경우 보유기관의 장은 관련사항을 처리정보제공대장에 기록하고 이를 관리하여야 한다(시행령 제11조). 특히 보유기관의 장은 □통신망을 이용하여□ 정보제공을 하는 경우에는 제공정보의 항목을 한정하고, 수령기관이 그 범위를 넘어서 이용할 수 없도록 필요한 조치를 취해야 하며, 위 처리정보제공대장에 기록되는 사항을 행정자치부장관 또는 관계중앙행정기관의 장에게 통보하여야 한다(시행령 제12조 제1항).

) ①개인정보화일의 명칭 ②제공받는 기관의 명칭 ③이용목적 ④법령상 제공근거가 있는 경우에는 그 근거 ⑤제공하는 처리정보의 항목 ⑥제공의 주기 ⑦제공의 형태 ⑧이용기간이 정하여져 있는 경우에는 그 기간 ⑨법 제10조 제3항의 규정에 의하여 수령자에 대하여 사용목적등에 제한을 가하거나 필요한 조치를 취할 것을 요청한 경우에는 그 내용

(4) 제3자 제공절차에 있어서의 기본결함

그러나 이러한 절차적 제한만으로는 개인정보자기결정권의 헌법정신과 양립할 수 없다. 개인정보자기결정권에 포함된 정보주체의 인식명확성의 요건은 자신에 관한 정보가 어떤 법적 근거 하에서 어떤 목적을 위하여 어떤 기관에 의해 어떻게 이용될 것인지를 당해 정보주체가 명확하게 인식할 수 있을 것을 요구한다. 그러나 현행의 법은 정보주체 이외의 제3자에게 개인정보를 제공하는 경우 달리 정보주체의 동의를 받거나 그에게 통지하도록 요구하지 않고 있다.

더 나아가, 시행령이 규정하는 처리정보제공대장은 법상의 개인정보화일의 개념에 포함되지 않기 때문에, 개인정보화일에 적용되는 법 제7조에 의한 관보게재, 제8조에 의한 일반인의 열람, 그리고 제12조에 의해 정보주체에게 인정되는 열람청구권의 대상이 되지도 않는다. 다만, 처음에 개인정보화일을 보유하고자 할 때, 당해 보유기관의 장은 □처리정보를 통상적으로 제공하는 기관이 있는 경우에는 그 기관의 명칭, 제공항목 및 법령상 근거(법령상 근거가 있는 경우에 한한다)□를 행정자치부장관 또는 관계중앙행정기관의 장에게 사전통보하고(법 제6조 제1항 제5호 및 시행령 제5조 제4호), 그 통보사항이 연 1회 이상 관보에 게재되며(법 제7조), 이 사항이 기재된 개인정보화일대장이 일반인에게 열람되도록 하고 있을 뿐이다(법 제8조).

요컨대, 현행법상의 제3자 제공의 절차는 당해 정보주체의 자기결정권을 심각하게 제약하고 있다고 보지 않을 수 없다.

라. 시스템공개 원칙의 위반

개인정보자기결정권의 파생원칙인 시스템공개의 원칙은 □개인정보처리시스템의 설치 여부, 설치목적, 정보처리방식, 처리정보의 항목, 시스템운영책임자, 처리시스템에 의한 자동결정이 이루어지는지 여부 등이 일반에게 투명하게 공개되어야 한다□는 요청이다. 그러나 공공기관개인정보법은 이러한 시스템공개에 대해 애매하고 포괄적인 예외를 지나치게 넓게 인정하고 있는 것으로 판단된다.

이 법에 의하면, 개인정보화일을 보유하고자 하는 각 공공기관은 그 처리내역을 관계중앙행정기관의 장에게 통보하고, 관계중앙행정기관은 이를 종합하여 행정자치부장관에게 제출하도록 하고(제6조 제1항), 관계중앙행정기관과 행정자치부장관은 이들 처리내역을 연 1회 이상 관보에 게재하여 공고하도록 규정하고 있다(법 제7조 본문). 또한 각 보유기관의 장은 그 처리내역을 개인정보파일별로 기재한 대장(개인정보화일대장)을 작성하여 일반인이 열람할 수 있도록 하여야 한다(법 제8조 본문).

) ①개인정보화일의 명칭 ②개인정보화일의 보유목적 ③보유기관의 명칭 ④개인정보화일에 기록되는 개인 및 항목의 범위 ⑤개인정보의 수집방법과 처리정보를 통상적으로 제공하는 기관이 있는 경우에는 그 기관의 명칭 ⑥개인정보화일의 열람예정시기 ⑦열람이 제한되는 처리정보의 범위 및 그 사유 ⑧기타 대통령령이 정하는 사항 (법 제6조 제1항)

그러나 이러한 시스템공개에 대한 예외가 지나치게 넓다. 즉 일정한 유형의 개인정보화일은 관계중앙행정기관에의 통보 및 행정자치부장관에의 제출이 요구되지 않고(제6조 제2항), 따라서 관보게재에 의한 공고대상에서 처음부터 제외되며(제7조 본문), 일반인의 열람대상에서도 제외된다(제8조 본문).

) □1. 국가의 안전 및 외교상의 비밀 기타 국가의 중대한 이익에 관한 사항을 기록한 개인정보화일

2. 범죄의 수사, 공소의 제기 및 유지, 형의 집행, 교정처분, 보안처분과 출입국관리에 관한 사항을 기록한 개인정보화일

3. 조세범처벌법에 의한 조세범칙조사 및 관세법에 의한 관세범칙조사에 관한 사항을 기록한 개인정보화일

4. 컴퓨터의 시험운영을 위하여 사용되는 개인정보화일

5. 1년 이내에 삭제되는 처리정보를 기록한 개인정보화일

6. 보유기관의 내부적 업무처리만을 위하여 사용되는 개인정보화일

7. 대통령령이 정하는 일정한 수 이내의 정보주체를 대상으로 하는 개인정보화일

8. 기타 이에 준하는 개인정보화일로서 대통령령이 정하는 개인정보화일□ (법 제6조 제2항)

이 같은 광범위한 예외는 시스템공개의 원칙과 부합할 수 없다. 위 법률조항의 통보, 공고 및 열람의 대상이 되는 정보는 구체적인 개인정보가 아니라 처리내역정보이다. 이러한 처리내역정보가 공개된다고 해서 개인의 사적 정보가 공개되는 것이 아니다. 오히려 처리내역정보의 공개는 국가기관에 의한 은밀한 개인정보처리를 막음으로써 개인의 인격과 존엄을 보장하고 민주적 정부운영을 위한 기본적인 전제조건이다. 따라서 중대한 공익에 의해 불가피한 사정이 존재하지 않는 한, 모든 개인정보처리시스템의 운용 및 활용상황이 일반에게 공개되어야 한다. 위 법률조항의 예외는 정당화되기 어려운 사유라고 하겠다.

더 나아가, 법 제7조 단서는 제6조의 통보대상이 되는 처리내역정보라 하더라도 □공공기관의 적정한 업무수행을 현저하게 저해할 우려가 있다고 인정되는 때에는 대통령령이 정하는 바에 따라 당해 개인정보화일에 기록되어 있는 항목의 전부 또는 일부를 공고하지 아니할 수 있다.□고 하여 이중의 예외를 설정하고 있고, 이 공고 제외 사항은 개인정보화일대장에도 기재하지 않을 수 있도록 하고 있다(법 제8조 단서). 또한 법 제12조에 의하면, 정보주체는 □개인정보화일대장에 기재된 범위안에서□만 본인에 관한 처리정보의 열람을 청구할 수 있도록 되어 있다.

이 같은 규정들은, 공공기관에 의한 개인정보의 처리에 대해 당해 정보주체 및 사회 일반의 감시장치를 마련함으로써 개인정보자기결정권을 구체화하고자 하는 이 법의 입법취지를 무색하게 만드는 것으로서, 시민이 전혀 알지 못하는 상태에서 국가가 개인정보를 마음껏 처리할 수 있는 길을 열어 주고 있다. 요컨대, 이들 규정은 시스템공개의 원칙을 위반하여 개인정보자기결정권을 위헌적으로 침해하고 있는 것이 아닌가 생각된다.

마. 정보분리 원칙의 무시

정보분리의 원칙은 특정 목적을 위해 수집된 개인정보는 다른 기관에서 다른 목적을 위해 수집된 개인정보와 원칙적으로 통합되지 않고 분리된 상태로 유지되어야 한다는 요청이다. 이는 특히 컴퓨터결합이나 컴퓨터프로파일링 등에 의한 정보통합이 기술적으로 용이하게 이루어질 수 있는 상황, 그리하여 개인에 대한 광범위하고 엄청난 양의 정보를 소유하고 있는 오늘날의 정부가 개인의 총체적인 인격상을 마음만 먹으면 언제든지 획득할 수 있는 상황에서 요구되는 원칙이다.

그런데 공공기관개인정보법은 그 입법목적이 □컴퓨터에 의하여 처리되는 개인정보의 보호□에 있음에도 불구하고, 디지털화된 개인정보의 특성을 충분히 고려하지 못한 채 개인정보화일을 마치 종이 문서인 양 취급하고 있는 것이 아닌가 생각된다. 컴퓨터 데이터베이스는 그 전부 또는 일부가 다른 데이터베이스의 일부 또는 전부와 매우 용이하게 결합되어 새로운 데이터베이스를 형성할 수 있다. 특히 우리나라의 경우 표준개인식별자인 주민등록번호를 중심으로 하여 모든 개인정보화일을 구축하고 있기 때문에, 개인정보화일간의 정보통합은 매우 용이하다. 이는 포괄적인 개인정보통합관리시스템의 구축을 용이하게 하고, 그 결과 국가는 개인의 총체적인 인격상을 손쉽게 파악할 수 있는 위험성을 드러낸다. 이것은 개인정보자기결정권의 헌법정신과 양립하기 어렵다. 개인정보자기결정권은 타인의 수중에서 총체적인 인격상이 형성되는 것 자체를 거부하는 개인의 기본권이기 때문이다.

) 김주환, □디지털 時代의 個人情報保護와 私民權□, □인터넷법률□ 제4호, 법무부, 2001년 1월, 54면.

) 박홍윤, □한국의 통합정보관리체계에서 개인정보 프라이버시 보호에 관한 연구□, 서울대 행정학박사학위논문, 1994, 178면.

그럼에도 공공기관개인정보법에는 컴퓨터결합 등에 의한 정보통합을 규율하는 장치가 마련되어 있지 않다. 위에서 본 바와 같이, 보유목적 외의 이용 및 제공이 정보주체의 동의나 인식 없이 폭넓게 허용되고 있는 반면에, 이러한 이용 및 제공의 결과 컴퓨터결합 등에 의한 새로운 개인정보화일의 생성을 명시적으로 금지하는 규정을 두고 있지 않다.

다만, 법 제10조 제3항은 보유목적 외 제3자 제공의 경우 보유기관의 장이 그 수령기관에 대하여 □사용목적□사용방법 기타 필요한 사항에 대하여 제한을 하거나 처리정보의 안전성확보를 위하여 필요한 조치를 강구하도록 요청하여야 한다.□고 규정하고 있고, 시행령은 그 정보제공이 □통신망을 이용하여□ 이루어지는 것일 때 만약 수령기관이 위 제한이나 요청사항을 이행하지 않는 경우에는, 보유기관의 장은 □즉시 처리정보의 제공을 중지□하도록 하고 있을 뿐이다(시행령 제12조 제2항). 그러나 이들 규정이 컴퓨터결합 등에 의한 정보통합을 금지하거나 규제하고자 하는 취지를 가진 것으로는 해석되기 어렵다. 오히려 최근에 제정된 전자정부법은 공공기관간에 광범위한 범위에 걸쳐 개인정보의 공동이용을 의무지우고 있다.

) 행정자치부가 2001년 7월 발간한 □전자정부법의 이해와 해설□, 56면은 현재 Data 가공여부에 따른 행정정보공동이용의 방식에 네 가지가 있는 것으로 설명하고 있다.

(i) Data Integration 방식 : 관련 DB의 요약본을 수집하여 하나의 DB로 통합 구축하고, 개별 수요자에게 제공하는 방식. 사실상 이중적 DB가 구축된다는 문제점 있음.

(ii) Data Pool 방식 : 관련 DB의 요약 DB를 수집하여 pool로 관리하고, 통합활용시스템에 요약 DB를 제공하는 방식. 주민, 부동산, 호적 등 DB의 요약 DB 등 시군구 공통 21개 업무 DB의 pool을 구축하고 이를 시군구 행정종합정보화시스템에 제공하여 일선 민원처리시 활용하고 있음.

(iii) Data Profiling 방식 : 일관된 정보를 집적하는 DB complex에 변동되는 DB 구성요소를 전송, 업데이트하는 Super DB를 제공하는 방식. 자동차등록기록 등 자동차 관련 사항을 발생시점별로 입력하여 일관된 관리를 도모함.

(iv) Data matching 방식 : DB를 보유기관에 그대로 두고, 대조할 DB를 대조될 DB와 대조하여 목적을 달성하는 시스템 방식. 여권전산망에서 여권신청자의 신청항목을 주민 DB에 보내어 그 항목의 진위여부를 yes/no로 회신 받는데 활용하고 있음.

결국, 우리의 현행 전자정부 모델에서는 정보분리의 원칙이 정보통합의 이익에 밀려 무시되고 있다고 평가하지 않을 수 없다.

V. 민간부문 개인정보보호법제의 문제점 분석

1. □정보통신망이용촉진및정보보호등에관한법률□의 문제점

정보통신부가 그 집행책임을 맡고 있는 □정보통신망이용촉진및정보보호등에관한법률□(이하 □정보통신보호법□이라 한다)은 온라인 및 일부 오프라인에서 민간사업자에 의해 수집·처리되는 개인정보에 대해 정보주체에게 자기결정권을 부여하고 있는 법률로서, 온라인 및 오프라인에서의 개인정보보호를 위한 일반법으로서의 성격을 지닌다고 할 수 있다.

이 법은 온라인뿐만 아니라 오프라인에서의 개인정보 보호를 위해 매우 광범위하고 보기에 따라서는 강력한 보호체계를 갖추고 있다고 하겠다. 특히 정보주체의 사전동의 없는 수집을 금지한 것이라든지, 동의철회권을 무제한적으로 인정한 것 등은 매우 강력한 보호장치라고 할 수 있다. 이 법률을 얼마나 엄격하게 집행하느냐에 따라 온라인을 통한 개인정보의 수집과 이용이 현저히 제약될 수 있고, 그 결과 DB 마케팅 등 시장의 기능이 크게 위축될 수도 있을 것으로 보인다.

그러나 필자의 분석에 의하면, 현행 정보통신보호법은 그 표면상의 매서운 칼날에 비해 그 집행과정에서 그 날이 무디어질 수 있는 여지를 폭넓게 가지고 있는 입법이 아닌가 판단된다. 즉 이 법률은 정보주체의 개인정보자기결정권을 실질적이고 효과적으로 보호하기 어려운 허점들도 가지고 있는 것으로 보인다. 이하에서는 이러한 문제점을 중심으로 분석·검토하기로 한다.

가. 서비스제공자 대 이용자 구도의 한계

현행 법률이 개인정보보호를 위해 설정하고 있는 기본구도는 □서비스제공자□와 그 서비스를 이용하는 □이용자□ 사이에서 발생하는 개인정보의 수집·이용·제3자 제공을 규율하는 것이다. 그러나 이 기본구도는 우리나라에서 1990년 후반 인터넷보급의 초기 단계에서의 개인정보처리형태에서는 의미가 있는 것이었지만, 빠르게 발전하는 정보기술에 기초한 최근 및 앞으로의 개인정보처리형태에 상응하는 보호체계로서는 충분하지 못한 것이 아닌가 생각된다. 앞으로는 규율대상자를 □개인정보처리자□와 □정보주체□로 설정하고 그 수집·이용·제3자 제공을 규율하는 구도로 가야 할 것이다.

현행 법률이 설정하고 있는 □서비스제공자 - 이용자 구도□로 인해 법률의 규율범위는 사실상 제한적이다. 현행 법률상 여러 법적 의무를 지는 명시적인 수범자는 ① □영리를 목적으로 하는 정보통신서비스제공자□, ② 일부 오프라인 민간사업자, 그리고 ③ 이들 정보통신서비스제공자 및 오프라인 민간사업자(1차 수집자)로부터 개인정보를 제공받은 제3자(2차 수집자)이다. 물론 여기의 □제3자□는 영리목적의 정보통신서비스제공자가 아니어도 무방하며, 또 위 일부 오프라인 민간사업자 외의 오프라인 사업자도 해당된다. 그리고 이 제3자는 1차 수집자가 1차 수집 당시 미리 고지하였던 제공목적 외의 용도로 이용하지 못하며, 정보주체의 별도 동의 또는 법률에 의한 경우를 제외하고는 재차 다른 제3자에게 제공하는 것이 금지된다(법 제24조 제2항).

그런데 이들 개인정보처리기관, 특히 1차 수집자가 개인정보처리와 관련해서 각종의 법적 의무를 지는 것은 당해 수집기관이 □제공하는 서비스를 이용하는 자□(법 제2조 제1항 제4호)의 개인정보를 수집·이용·제3자 제공하는 경우에 한정된다. 따라서 이 법률의 적용을 받지 않는 개인정보처리기관이 다수 존재한다.

① 우선, 1차 수집자가 아닌 다른 기관이 개인정보를 수집·이용·제3자 제공하는 것은 아무런 법적 규율 없이 가능하다. 예컨대, 비영리목적의 정보통신서비스제공자나 법률 제58조의 적용을 받지 않는 오프라인 사업자는 이 법의 규율을 받지 않고 자유롭게 개인정보를 수집, 이용 및 제3자에게 판매하는 것이 허용된다. 또한 영리목적으로 이들로부터 대규모로 개인정보를 수집하여 이를 판매하는 것도 현행법상 허용된다.

) 물론 사생활비밀, 영업비밀, 통신비밀에 해당하는 개인정보를 불법적으로 수집하는 것을 금지하는 관련 법률(예컨대, 통신비밀보호법)이 있는 경우는 그에 따른 규율을 받게 될 것이다. 그런데 현행 비밀보호입법들은 대체로 개인정보의 권한 없는 누설을 금지하고 이를 형사처벌하고 있지만, 위법하게 누설된 개인정보를 구입 등을 통해 수집한 자가 보유하는 개인정보에 대해서는 달리 규정하고 있지 않다.

② 다음으로, 이메일수집기 등 개인정보 수집기술을 이용하여 인터넷에서 공개되어 있는 개인정보를 대규모로 수집하여 이를 판매하는 것도 현행법상 허용된다. 왜냐하면 이들은 정보통신서비스를 제공하는 자가 아니기 때문에다. 또한 이들의 수집행위는 정보통신망에 침입한 것도 아니기 때문에 정보통신보호법 제48조 제1항의 적용을 받지 않으며, 또 동조 제2항의 악성프로그램을 전달 또는 유포한 것도 아니고, 또 제49조의 금지대상인 □정보통신망에 의하여 처리·보관 또는 전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해·도용 또는 누설□한 것도 아니다.

③ 이 법의 규율대상인 1차 수집자라 하더라도 위 ①②의 수집자로부터 개인정보를 정보주체의 동의 없이 자유롭게 구매·이용하는 것도 가능하다. 이 법상의 서비스제공자가 지는 법적 의무는 당해 서비스제공자가 □제공하는 서비스를 이용하는 자□(법 제2조 제1항 제4호)의 개인정보를 수집·이용·제3자 제공하는 경우에 한정되기 때문이다. 물론 여기서 법적 의무의 보호객체가 되는 이용자의 개인정보가 반드시 □당해 서비스의 이용관계에서 발생□하는 것만을 의미하는 지는 명확하지 않다. 판단컨대, 법 제22조 및 제24조의 규정내용에 □이용계약의 이행□, □요금정산□ 등의 개념을 사용하고 있는 것으로 보아 원래의 입법취지는 서비스이용관계에서 □발생하는□ 개인정보만을 보호하고자 하는 것이 아니었던가 생각된다.

④ 공공기관은 처음부터 규율대상에서 제외된다. 즉, 공공기관과의 전자거래(electronic transaction)에서 생성되는 개인정보에 대해서는 이 법의 적용을 받지 않는다. 이 경우 공공기관개인정보법이 적용될 수 있는지는 의문이다. 공공기관개인정보법은 기본적으로 □개인정보화일□을 그 규율대상으로 하고 있기 때문이다. 가사 동법이 적용된다고 하더라도, 동법은 수집 당시 정보주체에게 수집·이용·제3자 제공에 대한 동의권을 인정하지 않고, 공공기관에게 사전고지의무도 부과하지 않으며, 동의철회권도 인정하지 않는 등 정보통신보호법에 비해 그 보호수준이 매우 낮다. 오늘날 인터넷을 통한 공공기관과의 전자거래가 여러 형태로 이루어지는 점을 감안한다면, 권력적 작용을 하는 공공기관과의 전자거래에서 발생하는 개인정보를 법적 보호대상에서 제외하는 것은 불합리하다고 하겠다.

요컨대, 현행 법률은 □개인정보처리자 대 정보주체 구도□가 아니고 □서비스제공자 대 이용자 구도□로 설정되어 있기 때문에, 온라인 및 오프라인에서 개인정보보호를 위한 일반법으로서 기능하기에는 한계가 있다고 하겠다.

나. 계열사간 또는 제휴사간 통합데이터베이스 구축 허용 여부

위에서 본바와 같이 이 법의 규율대상자는 서비스 이용자로부터 개인정보를 수집하는 영리목적의 정보통신서비스제공자와 일부 오프라인 민간사업자(이상 1차 수집자), 그리고 이들로부터 개인정보를 □제공□받은 제3자(2차 수집자)이다. 여기서 □제공□의 방식은 온라인이든 오프라인이든 관계없으며, 또한 온라인에서 □공유□하는 것도 □제공□에 해당한다.

그런데 이 제3자는 1차 수집자가 1차 수집 당시 미리 고지하였던 제공목적 외의 용도로 이용하지 못하며, 정보주체의 별도 동의 또는 법률에 의한 경우를 제외하고는 재차 다른 제3자에게 제공하는 것이 금지된다(법 제24조 제2항). 즉 정보주체의 별도 동의가 없는 한, 1차 수집자와 2차 수집자 사이에서만 1차 수집 당시의 제공목적 범위 내에서 개인정보를 공유하는 것이 법적으로 허용된다. 따라서 2차 수집자가 또 다른 제3자(3차 수집자)에게 제공하는 것은 정보주체의 별도 동의를 받지 않는 한 금지된다. 이러한 규율을 통해서 1차 수집된 개인정보가 무분별하게 확산되어 이용되는 것을 막을 수 있다.

그러나 한편, 이러한 규율이 계열사간 또는 제휴사간 통합데이터베이스를 구축하는 것을 막을 수 있는지는 해석상 의문이다. 예컨대, A, B, C, D, E 5인의 서비스제공자가 상호 업무제휴를 해서 개인정보를 공유하기로 합의하여, 각자가 이 사실을 미리 고지하고 그 공유목적도 명시하였다면, 이들이 각각 수집한 개인정보를 다른 4인의 제휴사와 공유하기 위해 별도의 통합데이터베이스를 만들어 공동 마케팅에 이용하는 것이 가능해진다. 현행 법률상 개인정보자기결정권의 파생원칙인 수집제한의 원칙 중 □수집목적의 정당성□ 요소를 판단할 수 있는 규율장치가 사실상 존재하지 않기 때문이다. 다시 말해서, 서비스제공자는 어떠한 수집·이용·제3자 제공의 목적이라도 그것을 사전에 고지하면 되고, 뒤에서 살피는 바와 같이 이용자는 선택적 동의권을 행사할 수 없기 때문에, 그 목적에 동의하든지 아니면 서비스를 거부하는 길밖에 없는 것이다.

한편, 이러한 통합데이터베이스의 구축가능성은 현행 법률에서 신설된 개인정보처리위탁규정(제25조)으로 인하여 더욱 손쉬워질 수 있다. 제25조 제1항은 서비스제공자가 □타인에게 이용자의 개인정보의 수집·취급·관리 등을 위탁하는 경우에는 미리 그 사실을 이용자에게 고지하여야 한다.□고 하고, 제2항에서는 손해배상책임과 관련하여 제1항의 수탁자를 서비스제공자의 소속직원으로 간주하고 있다. 이 조항은 구 정보통신보호법 하에서 서비스제공자가 오프라인상의 대리점을 통하여 개인정보를 수집하는 것을 구 법률의 해석상 규율할 수 없었던 점을 고려하여 마련된 것으로 보인다.

그런데, 제25조는 개인정보의 □수집□을 위탁할 수 있고, 그 경우 수탁자로부터 제공받는 개인정보에 대해서는 정보주체의 사전 동의를 받을 필요 없이 위탁사실을 미리 이용자에게 고지하면 족한 것으로 하고 있다.

여기의 수탁자는 ㉠ 이 법의 규율대상인 일부 오프라인 민간사업자를 제외한 오프라인 민간사업자일 수도 있고, ㉡ 규율대상인 오프라인 민간사업자 및 정보통신서비스제공자일 수도 있다. ㉠의 오프라인 민간사업자는 위탁받은 수집업무를 수행함에 있어 위에서 살핀 바와 같이 이 법의 규율을 받지 않는다. 따라서 그 수집에 정보주체가 전혀 관여하지 못한다.

다음으로, 위 ㉡의 서비스제공자가 위탁받은 수집업무를 수행함에 있어서는 이 법의 규율을 당연히 받는다. 그런데 이 경우에 수탁자는 1차 수집자가 되고, 위탁자가 2차 수집자가 되기 때문에 위탁자에게 개인정보를 제공하는 것은 제24조 소정의 □제3자 제공□이 된다고 보아야 하는가? 아니면, 제25조 소정의 □수탁자□에 해당하는가? 이 차이는 규율강도가 다르기 때문에 매우 중요한 사안이다. 만약 수탁자로 본다면 제25조의 적용에 따라 이용자의 사전 동의 없는 사실상의 제3자 제공 및 수집이 될 것이다. 이는 제24조 소정의 제3자 제공에 대한 엄격한 규율(사전동의권, 동의철회권 등)로부터 면제되어 대리점, 가맹점, 제휴사, 그리고 계열사 등의 형태로 광범위하고 손쉽게 개인정보의 수집·이용·제공, 나아가 통합데이터베이스의 구축을 법적으로 정당화시켜 주게 될 것이다.

결국 이 문제는 제24조 소정의 □제3자□의 범위 해석의 문제이다. 법률에서는 아무런 개념규정이 없다. 그런데 이 법의 해석지침이라고 할 수 있는 정보통신부고시인 □개인정보보호지침□ 제2조 제5호는 □제3자라 함은 이용자, 당해 이용자로부터 동의를 받아 개인정보를 수집한 서비스제공자, 그리고 서비스제공자로부터 개인정보처리를 위탁받은 자 이외의 자연인, 법인, 공공기관, 정부투자기관 및 기타의 자를 말한다.□고 해석하고 있다. 이 해석은 수탁자를 제3자의 개념범위에서 아예 제외시키고 있는 것이다. 이러한 해석에 따르게 되면, 대리점, 가맹점, 제휴사, 그리고 계열사간에 수집업무위탁을 통하여 법이 인정하는 정보주체의 자기결정권을 유명무실하게 만들 수 있다.

이는 현행 법률이 온라인과 오프라인에서의 개인정보보호를 위해 외관상 강력한 통제장치를 갖추었으나, 실은 그 배면에 시장에서의 자유로운 개인정보유통을 허용하는 뒷구멍(back door)을 법률 스스로 만들어 놓고  있는 셈이다. 이러한 입법자의 고충을 이해하지 못할 바는 아니지만, 시장에서의 자유로운 개인정보유통이 사회적으로 필요하다면, 먼저 이에 대한 사회적 합의를 이끌어내는 노력을 기울이고 그에 따라 투명하게 규율하여야 할 것이다.

다. 입법체계의 부조화

현행 법률은 구 법률과 달리 오프라인 민간사업자에게까지 규율범위를 확대하고 있다. 그런데 현행 법률의 명칭이 □정보통신망이용촉진및정보보호에관한법률□이고 그 입법목적 또한 제1조에서 □정보통신망□의 이용촉진 및 정보통신서비스를 이용하는 자의 개인정보를 보호하는 것으로 명시하고 있는 점에 비추어 보면, 정보통신망과 무관한 오프라인 민간사업자를 이 법에서 규율하는 것은 입법체계상 매우 혼란스러움을 초래한다. 물론 어느 법에서 규율하든 그 모두 단일의 입법자가 제정한 것이어서 그 규범적 효력에는 지장이 없다. 그러나 이 법률의 집행기관이 정보통신부장관인데, 정보통신부장관이 정보통신과 무관한 민간사업자의 영업행위를 규율하는 것은 행정조직법상의 원리에 맞지 않는다.

헌법 제96조는 □행정각부의 설치·조직과 직무범위는 법률로 정한다.□고 규정하고 있고, 이에 따른 정부조직법은 제38조(정보통신부)에서 □정보통신부장관은 정보통신·전파관리·우편·우편환 및 우편대체에 관한 사무를 장리한다.□고 규정하고 있다. 오프라인 민간사업자의 영업활동에 대한 규율이 여기의 사무에 해당된다고 볼 수는 없을 것이다. 또 정보통신부장관이 우리나라 개인정보보호를 위한 총체적인 책임과 권한을 본래부터 부여받고 있는 것도 아니다.

아마도 현행 법률이 그 규율범위를 확장한 것은 오늘날 점차 온라인과 오프라인의 구분이 없어져 가는 상황에서 온라인에 대한 규율만으로는 그 입법목적을 충분히 달성할 수 없다는 판단과 의욕이 작용한 것이 아닌가 생각된다.

라. 고지제도의 보완 필요성

현행 법률과 시행령은 서비스제공자가 이용자에게 수집동의를 얻고자 하는 경우 미리 다음의 6가지 사항을 고지하거나 이용약관에 명시하도록 의무지우고, 이에 위반하는 경우 500만원 이하의 과태료에 처하도록 하고 있다(법 제22조 제2항, 시행령 제10조, 법 제67조 제1항 제4호) : ① 개인정보관리책임자의 성명·소속부서·직위 및 전화번호 기타 연락처 ② 개인정보의 수집목적 및 이용목적 ③ 개인정보를 제3자에게 제공하는 경우의 제공받는 자, 제공목적 및 제공할 정보의 내용 ④ 법 제30조 소정의 이용자의 권리(동의철회권·열람정정권) 및 제31조 소정의 아동개인정보 수집과 관련한 법정대리인의 권리(사전동의권·동의철회권·열람정정권) 및 그 행사방법 ⑤ 수집하고자 하는 개인정보 항목 ⑥ 수집하는 개인정보의 보유기간 및 이용기간.

이러한 사전고지제도는 정보주체가 충분한 인식을 가지고 사려 있게  동의권을 행사할 수 있도록 하기 위한 것으로서, 개인정보자기결정권의 파생원칙인 수집제한의 원칙 중 □정보주체의 인식명확성 요건□을 구체화하고 있는 것이다. 정보주체나 법정대리인은 충분한 사전 정보에 기초해서 동의 여부를 올바르게 결정할 수 있을 것이다. 이러한 관점에서 현행의 고지제도는 몇 가지 보완할 부분이 있는 것으로 보인다.

첫째, 어떤 개인정보들이 수집되는지가 분명하게 고지되어야 한다. 물론 수집되는 구체적인 개인정보 하나 하나를 고지할 필요는 없고, 현행 시행령에서 규정하고 있는 바와 같이 □수집하고자 하는 개인정보항목□을 고지하는 것으로 족하다고 할 것이다.

다만, 이 부분은 현명한 동의권 실현에 있어 매우 중요한 부분이기 때문에, 법집행에 있어서 특히 유의할 부분이다. 현재의 수집관행을 보면 많은 사이트들이 회원가입시에 제공되는 식별정보항목(주민등록번호, 이름, 전화번호, 주소, 이메일주소 등)만을 열거하고 있는데, 이것만으로는 충분하지 않다. 만일 서비스제공자가 쿠키 등을 이용하여 얻은 취미, 이동경로, 이용행태, 소비성향 등의 정보를 위 회원가입시에 제공된 개인의 식별정보와 결합시키고 있다면(개인프로파일), 이러한 □취미, 이동경로, 이용행태, 소비성향□의 항목도 당연히 □수집하고자 하는 개인정보항목□으로서 고지되어야 할 것이다.

둘째, 현행법상의 고지항목에는 없지만, 개인정보가 어떻게 수집되고 또 어떻게 이용되는지, 즉 수집방식 및 이용방식에 대한 정보가 고지되어야 한다. 예컨대, 수집방식의 경우 쿠키나 웹 버그를 이용하는지, clickstream data를 수집하여 datamining을 통해 2차 분석정보를 추출하는지, 이 분석정보를 어떻게 이용하는지, 개인프로파일링을 하고 있는지, 또 제3자로부터 이용자의 개인정보를 제공받아 이를 직접 수집정보와 결합시키고 있는지 등의 여부가 함께 고지되어야 할 것이다. 이로써 수집제한의 원칙 중 □정보주체의 인식명확성 요건□이 실질화될 수 있으며, 아울러 현행법이 인정하는 정보주체의 동의권이 실질적인 것이 될 수 있을 것이다. 현행법상의 □수집목적과 이용목적□의 고지만으로는 불충분한 것이 아닌가 생각된다.

셋째, 법정대리인의 제권리 및 그 행사방법에 대한 상세한 정보가 고지되어야 할 것이다. 이는 법 제22조 제2항 제4호에 명시되어 있지만, 집행명령에서 보다 상세하게 규정해야 할 것으로 판단된다. 특히 아래에서 살피는 바와 같이 법정대리인의 진정한 동의를 얻기 위한 합리적인 방법을 집행명령에서 명확히 하고, 이러한 동의획득방법이 고지되어야 할 것이다.

넷째, 서비스제공자는 아동에게 게임참여, 경품신청 등의 온라인참여를 허용함에 있어 그 참여에 필요한 것 이상의 개인정보의 제출을 그 조건으로 하지 않을 것이라는 문구를 고지할 필요가 있다.

다섯째, 일괄동의가 아닌 선별적 동의가 가능하다는 사실을 고지해야 할 것이다. 물론 이 점은 선별적 동의를 인정할 것인지 여부와 관련되어 있는 문제이다. 아래에서 언급하는 바와 같이, 특히 제3자 제공에 대한 선별적 동의를 인정하여야 한다. 현재의 법해석 및 법집행관행상 인정되는 일괄동의제는 법률이 정보주체나 법정대리인에게 개인정보에 대한 통제권을 부여함으로써 개인정보를 보호하고자 하는 입법취지를 무색하게 만들 위험이 매우 높다. 따라서 개인정보침해의 위험이 높은 제3자 제공에 대한 동의는 분리시켜야 마땅하다.

그리고 현행법(제22조 2항 3호)은 제3자제공의 경우 □제공받는 자, 제공목적 및 제공할 정보의 내용□만을 고지하면 되는 것으로 되어 있는데, 그나마도 현재의 법집행과 관련해서 보면 많은 웹사이트들이 위 고지사항들을 구체적으로 명시하지 않고 있음을 볼 수 있다. 이는 모두 법위반이 될 것이다.

참고로 제3자제공과 관련한 미국의 입법례를 보면, ① 제3자의 신원 외에 ② 제3자의 기업내용을 파악할 수 있는 기업형태(online 기업 또는 offline 기업 모두 해당 - 예컨대, list brokering, 광고회사, 잡지출판, 잡지판매회사 등), ③ 당해 제3자와의 정보제공계약(업무제휴)에서 제공받은 개인정보의 비밀성(confidentiality), 보안성(security), 완전성(integrity)을 유지할 것을 약속했는지 여부, ④ 부모에게 제3자 제공에의 동의를 거부할 것인지의 선택권이 있음(제3자 제공에의 동의 보류)을 고지하도록 하고 있다.

) □아동온라인프라이버시보호법□에 의거하여 연방거래위원회(FTC)가 제정 공포한 □아동온라인프라이버시보호규칙□(The Children's Online Privacy Protection Rule) 제312.4조 (b)(2)(iv)항 참조.

여섯째, 위 항목 외에도 □당신의 아동으로부터 개인정보를 수집하고자 한다는 취지□ 및 □부모의 동의가 없이는 아동의 개인정보를 수집하지 않을 것이라는 취지□의 문구가 담겨 있어야 할 것이다.

일곱째, 이상의 고지내용은 합리적인 고지방법에 의해 고지되어야 한다. 현행 법률 제22조 제2항은 고지방법에 대하여 구체적으로 규정하고 있지 않다. 다만, 개인정보보호지침 제7조가 □서면이나 홈페이지 등을 통하여□라고 정하고 있다.

사실 고지방법이 적절하지 않은 경우 법률이 부여하는 정보주체나 법정대리인의 동의권은 형식화될 수 있다. 입법의 취지를 살려 동의권 행사가 실질화될 수 있도록 하기 위해서는 □적절한 고지방법에 의한 고지□가 이루어져야 할 것이다. 따라서 고지방법이 적절하지 않은 경우에는 법률 제67조 제1항 제4호 위반(□제22조 제2항의 규정을 위반하여 고지하지 않은 경우□)에 해당될 것이다(과태료 500만원 이하). 따라서 명확한 법집행을 위해서는 고지방법의 □적절성□에 대한 판단기준이 마련되어야 한다.

특히, 법정대리인에 대한 고지방법이 문제된다. 그 고지방법으로는, ① 우편이나 이메일을 통해 고지하는 방법, ② 아동에게 일정한 양식의 고지문을 프린트하게 하여 이를 부모에게 제출하게 하는 방법, ③ 부모에게 이메일을 보내면서 그 이메일 안에 사이트상의 고지문을 하이퍼링크시키는 방법 등이 검토될 수 있을 것이다.

마. 선별적 동의방식으로의 전환 필요성

현행 법률은 서비스제공자에게 개인정보의 수집, 이용, 또는 제3자 제공의 모두에 대해서 정보주체 또는 법정대리인의 동의를 사전에 받도록 요구하고 있다.

그런데 그 동의획득방식과 관련해서는, 수집에 앞서 이용목적 및 제3자 제공에 관한 사항을 미리 고지하게 하고, 그 고지내용 전부에 대해 일괄해서 동의를 받는 방식을 예정하고 있는 것으로 해석될 수 있는 여지를 남기고 있다. 다시 말해서, 수집 당시에 한번 동의를 받으면 그 동의가 곧 차후의 이용 또는 제3자 제공에 대해서까지 일괄해서 동의한 것으로 볼 수 있는 여지가 있다.

그러나 법률이 이 같은 일괄동의방식을 요구하고 있는지 여부는 법해석상 반드시 명확한 것은 아니다. 정보주체나 법정대리인에게 통제권을 부여함으로써 서비스제공자에 의한 개인정보침해의 가능성을 차단시키고자 하는 기본적인 입법취지에 비추어 보면, 법률이 반드시 일괄동의방식만을 요구하고 있는 것이라고는 볼 수 없다. 오히려 법률의 입법목적을 달성하기 위해서는 일괄동의방식이 아닌 선별적 동의방식이 요구된다고 하겠다. 왜냐하면 일괄동의방식은 정보주체나 법정대리인의 동의권을 매우 형식적인 것으로 만들 우려가 있고, 따라서 현행 법률이 인정하고 있는 정보주체 및 부모의 통제권을 크게 약화시킬 수도 있기 때문이다.

다시 말해서, 서비스제공자가 고지한 내용 중 이용목적이나 제3자제공과 관련해서 그 일부에 대해서만 동의하고자 하는 경우에, 이처럼 일괄동의만을 인정하고 선택적 동의를 인정하지 않는다면, 정보주체나 법정대리인 입장에서는 동의를 거부하여 서비스의 제공을 전면 포기하든지, 아니면 마지못해 동의를 하든지 두 가지 선택가능성밖에 없게 될 것이다. 마지못해 동의를 한다면 정보주체나 법정대리인의 통제권을 강화하여 정보주체 및 아동의 개인정보를 보호하고자 하는 입법취지에 반하게 될 것이고, 또 동의를 거부하여 서비스의 제공을 전면 포기한다면 일반 개인이나 아동의 서비스이용을 막아버리는 결과가 될 것이다. 후자 또한 타당한 결과라고 볼 수 없다.

따라서 동의획득방식과 관련해서, 특히 제3자제공의 경우에 정보주체나 법정대리인에게 그 동의를 보류할 수 있는 선택권을 주도록 집행명령(대통령령 또는 정보통신부령)으로 규율하여야 할 것이다.

2. □신용정보의이용및보호에관한법률□의 문제점

이 법(이하 □신용정보법□이라 한다)은 신용정보업을 건전하게 육성하고 신용정보의 효율적 이용과 체계적 관리를 기하며 신용정보의 오용·남용으로부터 사생활의 비밀 등을 적절히 보호함으로써 건전한 신용질서의 확립에 이바지함을 목적으로 하여, 1995. 1. 5. 법률 제4866호로 제정·공포되어 여러 차례 개정되고 최근 2001. 3. 28. 개정(법률 제6428호)되어 시행되고 있다.

) □신용정보□란 금융거래등 상거래에 있어서 거래상대방에 대한 식별·신용도·신용거래능력등의 판단을 위하여 필요로 하는 정보로서 대통령령이 정하는 정보를 말한다(법 제2조 제1호). 이들 정보는 신용정보주체의 식별정보, 신용불량정보, 신용거래정보, 신용능력정보, 그리고 공공기록정보로 분류된다.

우리 사회도 산업의 고도화와 경제규모의 확대로 점차 신용사회로 진행하고 있고, 이러한 가운데 금융회사, 신용카드업자, 할부판매회사 등 신용제공자는 소비자의 신용능력을 정확히 평가하여 적정한 신용을 제공함으로써 과잉여신이나 과다한 채무에 따른 소비자 파산 등의 사회적 문제를 완화할 필요가 있다. 신용제공자는 채권 회수의 안전성을 확보하고, 소비자의 신용능력에 대한 평가를 신속한 절차와 용이한 방법으로 행함으로써 신용제공에 따르는 비용을 최소화할 수 있다. 이에 따라 소비자신용정보를 체계적이고 효율적으로 관리·운영할 수 있는 제도적 장치가 필요하게 된다.

그러나 한편으로 소비자신용정보체계의 운영과정에서 소비자의 개인정보가 무분별하게 수집·이용·제공됨에 따라 정보주체의 인격적 이익이 무단히 침해될 수 있고, 또 부정확하고 오래된 신용정보에 의하여 잘못된 신용결정이 내려짐으로써 신용계약의 거절·중단과 같은 예기치 않은 경제적 피해를 소비자가 입을 수도 있다.

신용정보법은 이러한 상충하는 사회적 이익, 즉 신용정보의 효율적 이용과 소비자의 개인정보자기결정권을 적정하고 조화롭게 조정하기 위한 필요에서 마련된 것이다. 어느 정도 이러한 목적은 달성하고 있는 것으로 보인다. 다만, 신용정보가 당해 정보주체에게 있어서 가지는 중요성에 비추어 개인정보자기결정권에 보다 비중을 두는 보완이 필요한 것이 아닌가 생각된다.

) 그밖에 이 법에 대한 법적 분석 및 관련 외국법제의 비교는, 김한성, □신용정보와 소비자보호□, □연세대 매지논총□ 제9권(1992), 477-519면; 전광백, □소비자 신용정보와 소비자보호□, □저스티스□, 제28권 제1호(한국법학원, 1995. 7.), 191-216면 참조.

가. 수집제한의 원칙의 구체화와 한계

신용정보법은 개인정보자기결정권의 파생원칙인 □수집제한의 원칙□과 관련한 몇 가지 규정을 두고 있는데, 그 문제점을 간략히 분석하면 다음과 같다.

) □개인정보는 정당한 수집목적에 필요한 범위 내에서 공정하고 합리적인 방식으로 정보주체의 분명한 인식 하에 수집되어야 한다.□

첫째, 법 제13조는 신용정보의 수집·조사시 신용정보업자등이 지켜야 할 원칙을 선언적으로 규정하고 있다. 즉 □이 법 또는 정관에서 정한 업무범위 안에서 수집·조사의 목적을 명확히 하고(수집목적의 정당성) 그 목적의 달성에 필요한 범위 안에서(수집범위의 필요최소성) 합리적이고 공정한 수단(수집방식의 합리성)에 의하여야 한다.□

) 여기서 □신용정보업자등□이란 신용정보업자, 신용정보집중기관 및 신용정보제공·이용자를 모두 포함한다. ① □신용정보업자□란 신용조회업무, 신용조사업무, 채권추심업무, 신용평가업무, 및 각각에 부수하는 업무를 업으로 영위하는 자로서 금융감독위원회의 허가를 받도록 되어 있다. ② □신용정보집중기관□이란 금융기관이 보유하고 있는 신용정보를 집중하여 수집·보관하여 이를 체계적·종합적으로 관리하고 신용정보업자등 상호간에 교환·활용할 수 있도록 하기 위하여 금융감독위원회에게 등록한 자를 가리킨다. 그리하여 신용정보집중기관은 대통령령이 정하는 바에 의하여 신용정보공동전산망을 구축할 수 있도록 되어 있다. 그리고 ③ □신용정보제공·이용자□란 일반 금융기관과 같이 고객과의 금융거래등 상거래를 위하여 본인의 영업과 관련하여 얻어지거나 만들어낸 신용정보를 신용정보업자 또는 신용정보집중기관에게 제공하거나 신용정보업자 또는 신용정보집중기관으로부터 신용정보를 지속적으로 제공받아 본인의 영업에 이용하는 자를 말한다(법 제2조).

그러나 이 원칙 위반의 효력이나 그에 대한 제재에 관한 규정은 존재하지 않는다. 집행명령이나 집행규칙을 통하여 수집목적의 정당성, 수집범위의 필요최소성, 수집방식의 합리성에 대한 상세한 지침을 설정하고 이에 대해 엄격한 감독을 해야 할 것이다.

둘째, 한편으로 법 제15조 제1항은 수집범위의 필요최소성 요건을 부분적으로 구체화하여 일정한 정보에 대한 수집 자체를 금지시키고 있다. 즉, 신용정보업자등은 □개인의 정치적 사상, 종교적 신념 기타 신용정보와 무관한 사생활에 관한 정보□와 □불확실한 개인신용정보□를 수집·조사하여서는 아니되며(제15조 제1항), 그 위반은 신용정보업자에 한하여 업무정지사유가 되고(제12조 제2항), 3년 이하의 징역 또는 3천만원 이하의 벌금에 처하여진다(제32조 제2항 제4호).

) 이 밖에도 □국가의 안보 및 기밀에 관한 정보□, □기업의 영업비밀 또는 독창적인 연구개발정보□ □다른 법률에 의하여 수집이 금지된 정보□, □기타 대통령령이 정하는 정보□가 수집금지의 대상이다. 다만, 현행 시행령(2001. 6. 30. 대통령령 제17263호)에서는 수집금지정보를 따로 정하고 있지 않다.

이렇게 수집금지대상이 되는 개인정보는 설령 신용정보주체의 동의가 있더라도 그 수집이 허용되지 않는 것인가? 이 규정은 신용정보주체의 사생활침해의 가능성을 사전에 차단시키고자 하는 입법취지라고 하겠으나, 오히려 정보주체의 개인정보자기결정권을 제한하는 측면을 가지고 있는 것이 아닌가 생각된다. 신용정보주체의 사전 동의 하에 수집된 경우에는 위법성 조각 여부가 검토되어야 할 것이다. 또한 이 규정은 형사처벌의 구성요건으로서 □신용정보와 무관한 사생활에 관한 정보□와 □불확실한 개인신용정보□의 개념을 사용하고 있는데, 헌법상 명확성의 원칙과 쉽게 양립하기 어려운 것이 아닌가 생각된다.

) 형법은 일반적인 위법성조각사유로서 (피해자의 승낙을 인정하고 있다. 즉 □처분할 수 있는 자의 승낙에 의하여 그 법익을 훼손한 행위는 법률에 특별한 규정이 없는 한 벌하지 아니한다.□(제24조).

셋째, 신용정보의 중요성에 비추어 그 수집 또는 제3자 제공시에 정보주체의 사전 동의 또는 사후 동의를 받도록 하여야 한다. 그러나 신용정보법은 정보주체의 동의권을 원칙적으로 인정하지 않고, 예외적이고 부분적으로만 이를 인정하고 있다.

즉, 법 제15조 제2항은 신용정보업자등이 □개인의 질병에 관한 정보□를 수집·조사하고자 할 경우에 본인의 동의를 얻도록 하고, 대통령령이 정하는 목적에 한하여 당해 정보를 이용하도록 하고 있다. 그 위반은 신용정보업자에 한하여 업무정지사유가 되고(제12조 제2항), 또 3년 이하의 징역 또는 3천만원 이하의 벌금에 처하여진다(제32조 제2항 제4호).

) 시행령 제8조는 □보험업법 제5조의 규정에 의하여 금융감독위원회의 허가를 받은 인보험사업자가 개인의 질병에 관한 정보를 보험계약업무와 관련하여 이용하는 경우□로 한정시키고 있다.

또한 법 제23조는 은행 등의 신용정보제공·이용자가 ① 금융거래의 내용에 관한 정보 ② 개인의 질병에 관한 정보 ③ 기타 대통령령이 정하는 개인신용정보를 신용정보업자등에게 제공하고자 하는 경우에는 금융감독위원회가 정하는 바에 의하여 제공할 신용정보의 내용, 제공대상자등을 명기한 서면(동의성)에 의한 동의를 받도록 하고 있다. 그러나 실제에 있어서는 수집제한의 원칙 중 □정보주체의 인식명확성□ 요건이 엄밀하게 실현되고 있는지는 의문이고, 또한 그 동의방식이 일괄동의방식이어서 정보주체에게 선택적 동의권이 인정되지 않기 때문에 이러한 서면동의가 정보주체의 자기결정권을 얼마나 실현시킬 수 있는지는 의문이다.

) □시행령 제2조 제1항 제2호 및 제4호의 정보 중에서 개인에 관한 정보□를 말한다(시행령 제12조 제2항). 그리고 시행령 제2조 제1항 제2호의 정보란 □대출·보증·담보제공·가계당좌예금 또는 당좌예금·신용카드·할부금융·시설대여 등의 금융거래 등 상거래와 관련하여 신용정보주체의 거래내용을 판단할 수 있는 정보로서 재정경제부령이 정하는 정보□를 말하며, 제1항 제4호의 정보란 □금융거래등 상거래에 있어서 신용도등의 판단을 위하여 필요한 개인의 재산·채무·소득의 총액, 납세실적등과 기업 및 법인의 연혁·주식 또는 지분보유현황등회사의 개황, 판매내역·수주실적·경영상의 주요계약등 사업의 내용, 재무제표등재무에 관한 사항, 주식회사의외부감사에관한법률의 규정에 의한 감사인의 감사의견 및 납세실적등 신용정보주체의 신용거래능력을 판단할 수 있는 정보□를 가리킨다.

나. 목적구속의 원칙의 선언

개인정보자기결정권의 파생원칙인 목적구속의 원칙이란 □개인정보를 수집하는 목적은 수집 당시에 명확히 특정되어 있어야 하고, 그 후의 이용은 그 특정된 수집목적과 일치되어야 한다□는 요청이다. 신용정보법은 이러한 목적속의 원칙을 선언하고 있지만, 광범위한 예외를 함께 마련하고 있다.

즉, 개인신용정보는 당해 신용정보주체와의 □금융거래 등 상거래관계의 설정 및 유지여부 등의 판단목적으로만□ 제공·이용되어야 한다(제24조 제1항).

다만, 여기에는 광범위한 예외가 있다. ① 위 목적 외의 제공·이용에 정보주체가 동의하는 경우 ② 법원의 제출명령 또는 법관이 발부한 영장에 의하여 제공·이용되는 경우 ③ 신용정보업자 및 신용정보집중기관 상호간에 집중 관리·활용하기 위하여 제공·이용되는 경우 ④ 조세에 관한 법률의 규정에 의한 질문·조사를 위하여 관할관서의 장이 서면으로 요구하거나 조세에 관한 법률의 규정에 의하여 제출의무가 있는 과세자료의 제공을 요구함에 따라 제공·이용되는 경우 ⑤ 기타 다른 법률의 규정에 의하여 제공·이용되는 경우 ⑥ 채권추심, 고용, 인·허가의 목적 등 대통령령이 정하는 목적으로 사용하기 위하여 제공·이용되는 경우(제24조 제1항 단서).

) 시행령 제13조는 이러한 목적으로 □1. 채권추심을 의뢰한 채권자가 채권관계를 확인할 수 있는 서류를 신용정보업자에게 제출하고 채권추심의 대상이 되는 신용불량자에 대한 신용정보를 제공받는 경우 2. 고용 또는 인·허가업무에 사용하고자 그 용도를 확인할 수 있는 서류를 신용정보업자에게 제출하고 신용정보를 제공받는 경우□로 규정하고 있다.

다. 시스템공개의 원칙의 형식적 구현

법 제22조는 개인정보자기결정권의 파생원칙인 시스템공개의 원칙을 형식적으로만 구체화하고 있다. 즉 신용정보업자와 신용정보집중기관은 관리정보의 종류·이용목적·제공대상 및 신용정보주체의 권리 등에 대하여 대통령령이 정하는 바에 따라 공시하도록 하고 있고, 시행령 제11조는 매년 1월 31일까지 1회 이상 전국을 대상으로 발간 또는 전파되는 일간신문 또는 방송을 통하여 이를 공시하도록 하고 있다. 이러한 공시의무의 위반시에는 300만원 이하의 과태료에 처하여진다(제35조 제1항 제5호).

그러나 이러한 공시방법은 오늘날의 발전된 정보통신기술을 반영하지 못한 것으로, 인터넷 등에 상시적으로 공시하는 방법도 고려할 필요가 있다. 어떤 정보처리시스템이 어떻게 운용되고 있는지를 정보주체가 쉽게 알 수 있는 경우에야 정보주체의 열람청구권과 갱신청구권이 실효적인 것이 될 수 있기 때문이다. 나아가 정보주체의 요구가 있는 경우 언제든지 처리시스템의 설치 및 운용목적, 정보처리방식, 처리정보의 항목, 처리시스템에 의한 자동결정이 이루어지는지 여부 등에 관해 알려 주는 구체적인 공개청구권을 인정해야 할 것이다.

더구나 2001. 3. 28 개정된 현행 법률은 신용평가업자에 대해서는 제22조의 공시의무마저 면제시키고 있는데(제29조의2), 그 합리성에 대해서는 의문이다.

라. 정보열람 및 갱신청구권의 인정

신용정보법은 정보주체의 정보열람 및 갱신청구권을 인정하고 있다. 즉, 신용정보주체는 신용정보업자등에게 본인의 신분을 나타내는 증표를 제시하고 신용정보업자등이 보유하고 있는 본인에 관한 신용정보(본인정보)에 대한 열람을 청구할 수 있으며, 본인정보가 사실과 다른 경우에는 금융감독위원회가 정하는 바에 의하여 정정을 청구할 수 있다(제25조 제1항).

그리고 정정청구를 받은 신용정보업자등은 정정청구에 정당한 사유가 있다고 인정할 때에는 즉시 문제가 된 신용정보에 대하여 정정청구중 또는 사실조회중임을 기입하고, 지체없이 당해 신용정보의 제공·이용을 중단한 후 사실여부를 조사하여 사실과 다르거나 확인할 수 없는 신용정보는 삭제 또는 정정하여야 한다(제25조 제2항).

신용정보업자등의 처리결과에 이의가 있을 때에는 금융감독위원회에 시정을 요청할 수 있고(제25조 제4항), 시정요청을 받은 금융감독위원회는 금융감독원장으로 하여금 그 사실여부를 조사하게 하고 조사결과에 따라 신용정보업자등에 대한 시정을 명하거나 기타 필요한 조치를 할 수 있도록 하고 있다(제25조 제5항).

한편, 법 제18조는 신용정보의 정확성과 최신성을 유지하기 위하여 신용정보업자등에게 적절한 관리의무를 부과하고 있고(제1항), 신용정보주체에 대한 불이익을 초래할 수 있는 오래된 신용정보는 대통령령이 정하는 바에 의하여 기록을 삭제하도록 의무지우고 있다(제2항). 이 제2항의 위반시에는 300만원 이하의 과태료에 처하여진다(제35조 제1항 제2호).

그리고 시행령 제10조는 정확성과 최신성의 유지를 위해 금융감독위원회가 그 기준과 절차를 마련하도록 하고 있고, 불이익이 초래될 수 있는 오래된 신용정보는 □금융감독위원회가 정하는 바에 따라 그 불이익을 초래하게 된 사유가 해소된 날부터 5년 이내에 보유대상 또는 집중관리대상에서 삭제□하도록 하고 있다.

마. 보안원칙의 구체화

법 제19조는 신용정보의 안전보호를 위하여 신용정보업자등에게 신용정보전산시스템(신용정보공동전산망을 포함)에 대한 제3자의 불법접근 또는 입력된 정보의 변경·훼손·파괴 기타 위험에 대한 기술적·물리적 보안대책을 수립하도록 의무지우고 있다. 이 의무에 위반하는 경우에는 300만원 이하의 과태료에 처하여진다(제35조 제1항 제3호).

또한 법 제27조는 신용정보업관련자에게 비밀유지의무를 부과하고 있다. 즉 신용정보업자등과 신용정보의 처리를 위탁받은 자의 임원 및 직원이거나 이었던 자(신용정보업관련자)는 □업무상 알게 된 타인의 신용정보 및 사생활 등 개인적 비밀을 업무목적 외로 누설 또는 이용하여서는 아니되며□(제27조 제1항), 또한 신용정보업관련자로부터 신용정보를 제공받은 자도 원칙적으로 타인에게 그 신용정보를 제공하여서는 아니 된다(제27조 제3항). 이들 규정을 위반한 경우에는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처하여진다(제32조 제2항 제9호).

바. 손해배상책임의 인정

법 제28조는 제1항은 □신용정보업자등과 기타 신용정보의 이용자가 이 법의 규정을 위반함으로써 신용정보주체에게 피해를 입힌 경우에는 당해 신용정보주체에 대하여 손해배상의 책임을 진다. 다만, 신용정보업자등과 기타 신용정보의 이용자가 고의 또는 과실이 없음을 입증한 경우에는 그러하지 아니하다.□고 규정하고 있다. 이는 신용정보 이용자에 대해 고의·과실에 대한 입증책임을 전환시킴으로써 정보주체의 이익을 더욱 보호하고자 하는 취지라고 하겠다.

VI. 종합적인 정비방안의 모색을 위한 제언

1. 개인정보보호의 가치와 자유로운 정보유통의 가치 사이의 적정한 균형점 모색

개인정보보호의 가치가 절대적일 수는 없다. 그와 필연적으로 상충하는 또 다른 가치, 즉 자유로운 정보유통의 가치와 조화될 수 있는 적정한 균형점을 찾아내어야 한다. 이러한 균형의 모색에 있어 우선 유의하여야 할 점은, □개인정보보호의 가치□를 □사생활비밀보호의 가치□와 동일시해서는 안 된다는 것이다.

사생활비밀은 그것이 공개되었을 경우 직접적인 인격적 파괴의 위험성이 있기 때문에 그 수집에서부터 엄격한 보호가 요구된다. 압수·수색에 있어서의 영장주의, 사생활비밀, 통신비밀의 헌법적 보장은 이러한 요구의 반영이다. 반면에, 이러한 사생활비밀에 속하지 않는 개인정보의 유통은 많은 경우 사회의 형성에 불가결한 조건이 되기도 한다. 우리는 타인의 개인정보의 유통을 통해 그를 평가하면서 다양한 사회관계를 형성시켜 나간다. 오히려 헌법 제21조가 보장하는 언론·출판의 자유는 사생활비밀에 속하지 않는 개인정보의 자유로운 유통을 보장하고 있다고 하겠다.

그럼에도 불구하고 오늘날 개인정보에 대한 보호의 요구가 생겨나는 것은 디지털화된 개인정보의 효과적인 통합가능성에 따르는 위험성을 사전에 봉쇄하기 위한 데에 기본취지가 있다. 따라서 디지털시대의 개인정보보호는 □은둔으로서의 사생활비밀보호□에 초점이 있는 것이 아니라, 정보처리에 대한 참여권 내지 역감시권으로서의 기능에 중점이 놓여져 있는 것이다. 즉, 개인정보자기결정권은 타인에 의한 개인정보의 무분별한 수집□축적□처리□가공□이용□제공에 대해 정보주체에게 적극적인 통제권을 부여하고자 하는 데에 그 핵심이 있다.

개인정보보호법제를 형성하고 적용함에 있어 혹시라도 □은둔으로서의 사생활비밀보호□의 관점에서 접근한다면 그것은 상충하는 가치 사이의 균형을 잃게 될 것이다. 개인정보자기결정권의 가치와 자유로운 정보유통의 가치를 함께 조화시키는 방향으로 법제가 마련되어야 할 것이다.

이 점과 관련해서 균형을 상실했다고 볼 수 있는 몇 가지 사례를 예시하면 다음과 같다.

첫째, 공공기관의정보공개에관한법률 제7조 제1항 제6호는 비공개대상정보의 하나로서 □개인정보□를 제시하고 있다. 이 조항은 개인정보, 즉 □당해 정보에 포함되어 있는 이름·주민등록번호등에 의하여 특정인을 식별할 수 있는 개인에 관한 정보□에 해당하기만 하면 곧 공개하지 않을 수 있도록 하고 있는 것이다. 이는 공공기관이 보유하는 있는 일체의 개인정보를 사생활비밀보호의 관점에서 접근한 결과라고 생각된다. 사생활비밀성이 인정될 수 있는 개인정보에 한정하여 비공개대상으로 하여야 할 것이다.

둘째, 공개되는 판결문에 당사자의 이름을 정확하게 표시하지 않는 법원과 헌법재판소의 관행은 헌법상 공개가 요구되는 공적 기록(헌법 제109조)에 담긴 이름을 마치 사생활비밀성이 인정되는 개인정보로 잘못 이해한 결과라고 하겠다. 이 같은 문제점은 언론사의 범죄보도와 관련한 명예훼손소송에서 익명보도의 원칙을 법적 기준으로 채택한 대법원의 판결에서도 유사하게 발견된다.

) 이 대법원 판결에 대한 비판은 이인호, □범죄보도와 면책사유의 적용□, 『언론중재』제19권 제3호 (언론중재위원회, 1999. 9) 참조.

셋째, 스팸메일 규제방식 중 Opt-in 방식은 온라인상의 이메일계정을 사생활비밀의 보호영역으로 간주한 결과 광고표현의 자유를 경시하는 정책결정이라고 평가될 수 있다. 또한 우리 정보통신보호법 제50조 제6항이 전자우편주소의 자동생성프로그램을 이용한 광고성 정보전송을 금지하고 위반에 대해 1천만원 이하의 벌금에 처하고 있는 것은 전자우편주소 및 이메일계정을 사생활비밀로 이해한 결과가 아닌가 생각된다. 마찬가지로, 동법 제50조의2는 수집거부의사가 명시된 홈페이지에서 이메일추출기를 이용하여 전자우편주소를 수집하는 행위를 처벌(1천만원 이하 벌금)하고 있는데, 만약 이메일추출기가 수집거부의사를 인식하여 정확히 해당 홈페이지를 제외시키는 것이 기술적으로 불가능하다면, 이 규정은 사실상 이메일추출기의 사용 자체를 금지하는 것이 된다. 이러한 입법정책의 배경에는 공개된 전자우편주소까지도 사생활비밀의 관점에서 지나치게 보호하고자 하는 사고가 작용하고 있는 것이 아닌가 생각된다.

넷째, 현행 개인정보보호법제는 공공부문과 민간부문에서 전도된 형태로 개인정보보호에 접근하고 있는 것으로 평가된다. 다시 말해서, 개인정보처리의 위험성이 더 큰 공공부문에서 개인정보보호의 수준이 더 강화되어야 함에도 불구하고 그렇지 못한 반면, 민간부문에서 보다 강력한 규제체계를 마련하고 있다는 점이다.

위에서 살핀 바와 같이, 공공기관개인정보법은 개인정보자기결정권이 요구하는 수준에 훨씬 못 미치는 보호체계를 가지고 있으며, 오히려 전자정부법은 개인정보의 공동활용에 따르는 위험성에 대한 안전장치 없이 공동활용을 촉구하고 있다. 특히 공공부문에서의 위험성은 전 국민에게 부여되는 단일의 표준개인식별자인 주민등록번호에 의해 더욱 강화되어 있는 실정이다. 그럼에도 불구하고 이에 대한 안전장치는 결여되어 있다.

더 나아가 최근에 개정된 통신비밀보호법이 통신비밀에 대한 보호체계를 다소 강화한 측면이 있긴 하지만, 그럼에도 불구하고 위치정보나 로그기록 등의 통신사실확인자료에 대해서는 수사기관의 공개 요청에 대해 그 공개 여부를 통신사업자의 임의에 맡기고 있는 것은 큰 문제가 아닐 수 없다. 통신사실확인자료도 통신비밀의 보호대상에 속하는 개인정보이며, 이러한 비밀정보를 통신사업자가 임의로 처분할 수 있도록 하고 있는 현행 법제는 명백히 헌법에 반한다고 하겠다.

) 2001년 12월 29일 개정된 통신비밀보호법(법률 제6546호, 2002년 3월 30일 시행) 제13조 제1항은 □검사 또는 사법경찰관은 수사 또는 형의 집행을 위하여 필요한 경우 전기통신사업법에 의한 전기통신사업자에게 통신사실확인자료의 열람이나 제출을 요청할 수 있다.□고 규정하고, 동조 제2항은 □정보수사기관의 장은 국가안전보장에 대한 위해를 방지하기 위하여 정보수집이 필요한 경우 전기통신사업자에게 통신사실확인자료제공을 요청할 수 있다.□고 규정하고 있다. 그리고 동법상 □통신사실확인자료□라 함은 □가입자의 전기통신일시, 전기통신개시□종료시간, 발□착신 통신번호 등 상대방의 가입자번호, 사용도수 그 밖에 대통령령으로 정하는 전기통신사실에 관한 자료□를 말하며(제2조 제11호), 그리고 시행령은 그 밖에 ① PC통신□인터넷의 사용자가 전기통신역무를 이용한 사실에 관한 PC통신·인터넷의 로그기록 ② 정보통신망에 접속된 정보통신기기의 위치를 확인할 수 있는 발신기지국 위치 추적 자료 ③ PC통신□인터넷의 사용자가 정보통신망에 접속하기 위하여 사용하는 정보통신기기의 위치를 확인할 수 있는 접속지 추적자료를 여기에 포함시키고 있다(시행령 제3조의2).

한편, 2000. 1. 28 개정된 전기통신사업법 제54조 제3항은 □전기통신사업자는 검사 또는 수사관서의 장(군 수사기관을 포함한다. 이하 같다), 정보수사기관의 장으로부터 수사 또는 형의 집행, 국가안전보장에 대한 위해를 방지하기 위한 정보수집의 필요에 의하여 이용자의 성명, 주민등록번호, 주소, 가입 또는 해지일자에 관한 자료의 열람이나 제출(이하 "통신자료제공"이라 한다)을 요청받은 때에는 이에 응할 수 있다.□고 규정하고 있다.

요컨대, 현행 공공부문의 개인정보보호법제는 보호수준을 강화하는 방향으로 전면적으로 재검토 및 재조정되어야 한다. 반면, 민간부문의 개인정보보호법제는 상충하는 제가치를 합리적으로 조화시키는 균형을 갖추도록 해야 할 것이다. 아울러 다음에서 살피는 3가지 집행모델에 대한 면밀한 분석을 통해 기본방향을 설정하고, 현행의 행정적 규제체계 외에도 시장의 자율규제를 적극 장려함과 동시에 개인정보보호기술이 시장에서 채택될 수 있는 정책방안들을 마련해나가야 할 것이다.

2. 민간부문 개인정보보호를 위한 3가지 집행모델의 분석과 방향설정의 필요성

세계의 국제기구와 정부들은 개인정보보호를 민주주의의 실현과 전자상거래의 활성화에 필수적 요소라는 점을 인정하고 있고, 여러 국제규범이나 각국의 개인정보보호법을 통해 개인정보처리의 기본원칙들을 확인해 오고 있다.

그러나 이들 기본원칙의 구체적인 의미와 적용범위에 대해서는 각국이 처한 문제상황과 기본입장에 따라 다양한 해석이 존재한다. 나아가 기본원칙의 집행방법도 각국의 민주정치에서 개인정보보호의 가치를 이해하는 관점의 차이에 따라 유럽식 모델과 미국식 모델로 유형화되어 나타나고 있고, 여기에 기술중심적 모델을 첨가하여 3가지 집행모델을 상정할 수 있다. 앞으로 우리 개인정보보호법제의 정비방안을 마련함에 있어 이들 3가지 집행모델이 갖는 장단점을 면밀히 분석하고, 우리의 나아갈 방향을 설정해야 할 것이다.

가. 유럽식(권리중심적) 집행모델과 그에 대한 비판

유럽에서 개인정보보호의 문제는 정치적으로 국가에 의해서 보호되어야 할 기본적 인권의 문제로 취급된다. 그리하여 포괄적인 보호입법을 통해 공공부문이든 민간부문이든 모든 개인정보처리에 대해 총체적이고 전반적인 권리와 책임을 규정한다. 시민들은 개인정보보호와 관련해서 시장보다 정부를 더 신뢰하며, 정부는 개인정보처리기관과 정보주체 사이의 힘의 균형을 맞추기 위해 직접적인 공법적 규제를 통해 양자 사이에 개입하게 되는데, 포괄적인 권리와 책임을 설정함으로써 예방적 차원의 보호를 중시한다. 예컨대, EU 개인정보보호지침(95/46/EC)은 각 회원국이 개인정보보호법의 준수여부를 감시하고 위반행위를 조사하기 위한 독립적인 감독기관을 설치하도록 의무지우고 있다.

그러나 이 유럽모델에 대해서는 다음과 같은 비판이 제기되고 있다. 1999년 9월 홍콩에서 열린 제21차 □프라이버시 및 개인정보보호 국제회의□(21st International Conference on Privacy and Personal Data Protection)에서 오스트레일리아의 발제자인 Nigel Waters는 EU 지침(95/46/EC)이 세계적인 모델인가? 아니면 국제적인 정보공유에 불필요한 장애물인가? 하는 문제제기를 한 바 있다. 여기서 그는 유럽모델에 대한 중요한 비판논거로서 기술 및 조직구조의 변화(technological and organizational change)를 제시하고 있다. 즉, 유럽모델은 사생활침해의 문제에 대한 낡은 대응방식으로서, 최근의 기술 및 조직구조의 변화를 충분히 고려하지 못하고 있다는 것이다.

) Nigel Waters, "Re-thinking Information Privacy- A Third Way in Data Protection?", 21st International Conference on Privacy and Personal Data Protection (1999. 9. 13), pp. 3-8.

또한 미국의 Swire와 Litan도 유럽모델은 지나치게 광범위하고(overbreath), 포괄적이며(complexity), 유연성이 결여되어 있다는 점(inflexibility)에서 비판을 가하고 있다. 특히 이들도 최근의 정보기술의 변화와 네트워크의 구조변화라는 관점에서 유럽모델이 낡은 것임을 주장하고 있다. 즉, EU 지침의 접근방법은 상대적으로 적은 수의 중앙컴퓨터가 위계적으로 개인정보를 처리하는 메인프레임 네트워크구조에서 고안된 것으로서, 예컨대, EU 지침은 각 기업 내에 개인정보처리규칙을 감독하고 집행하는 지정된 □관리자□(controller)의 역할과 기능에 크게 의존하고 있다는 것이다. 그러나 최근의 네트워크 시스템은 client-server system으로 빠르게 구조변화를 겪고 있고, 이렇게 고도로 탈중앙화된 분산 시스템에서는 어떤 중앙의 정보처리자 내지 관리자라는 것이 존재하지 않으며, 이처럼 네트워크에 연결된 거의 모든 사람이 개인정보의 관리자(controller)인 상황에서 EU 지침이 성공적으로 적용될 수 있는지에 대해 의문을 제기하고 있다.

) Peter P. Swire & Robert E. Litan, None of Your Business: World Data Flows, Electronic Commerce, and the European Privacy Directive (Brookings Institution Press, 1998).

) EU 지침(95/46/EC) arts. 6(2), 10-12 참조.

) Peter P. Swire & Robert E. Litan, op. cit., p. 50.

사실, 최근 들어 여러 비판가들이, 정도의 차이는 있지만, 심지어 유럽모델의 기초가 된 OECD 원칙까지도 기술적 변화의 관점에서 재검토되어야 한다고 주장하고 있음을 볼 수 있다. 이들은 최근의 기술발전의 예로서, 상관적 데이터베이스(relational databases), 지리정보시스템(geographic information systems), 그리고 순간적인 정보처리 목적으로만 데이터를 결합시키는 의사결정 알고리즘(decision-making algorithms)을 들고 있다. 이들의 주장에 따르면, 이러한 기술발전으로 인해 OECD 원칙의 기초가 되는 전제, 즉 "한 가지 또는 그 이상의 특정한 목적을 위해 보유하고 있는 신원확인이 가능한 정보(an identifiable set of data)"라는 전제는 그 의미를 상실한다는 것이다.

) 예컨대, Roger Clarke, "Serious Flaws in the National Privacy Principles"(1998),     <http://www.anu.edu.au/people/Roger.Clarke/DV/NPPFlaws.html>; John Gaudin, "The OECD Privacy Principles - Can They Survive Technological Change", Privacy Law and Policy Reporter, Vol. 3, (1996), pp. 143-196.

이 외에도, 유럽모델은 중앙집권적인 감독기관(centralized supervisory authorities)의 실효성에 대해 지나친 신뢰를 두고 있다는 점이 문제점으로 지적된다. 사실 감독기관의 문제는 EU와 미국간의 합의에 있어서 EU가 고집했던 주요 의제 중의 하나였다. 그러나 Waters는 유럽의 감독기관들의 존재와 역할에 대해 일반 대중의 인지도가 낮고, 개인정보의 남용과 감시를 막는 역할과 기능에 있어 그다지 효율적이지 못하다는 평가를 하고 있다. David Flaherty도 그의 뛰어난 분석서에서 유럽의 감독기관들이 그 제한적인 업무수행능력으로 인해 개인정보의 남용을 억제하기보다 그것을 정당화시키는데 더 기여하는 것이 아닌가 하는 문제를 중심주제로 다룬 바 있다.

) Nigel Waters, op. cit., pp. 5-6.

) David H. Flaherty, Protecting Privacy In Surveillance Societies: The Federal Republic of Germany, Sweden, France, Canada, and the United States (1989).

사실 독립적인 감독기관이 존재하지 않는다고 해서, 심각한 개인정보침해 시도에 대한 시민사회의 대응이 방해를 받는 것은 아니라고 하겠다. 최근 미국에서 Pentium III Chip identifier나 □Know your Customer" 제안에 대해 이를 거부하는 시민사회의 대응은 효과적이고 성공적인 시민운동의 한 예로 거론되고 있다.

유럽 각국의 법률은 개인정보감독기관을 포함해서 법위반에 대해 형사제재를 가하는 등 상당한 정도의 집행장치를 마련하고 있지만, 그럼에도 불구하고 정보주체에 대한 고지의무나 시스템등록요건과 관련해서 심각할 정도로 법위반 문제가 나타나고 있다. 예컨대, 프랑스나 벨기에의 경우 등록율이 현저히 낮다든지, 유럽의 웹사이트들이 고지의무를 준수하는 정도가 매우 낮은 것을 그 일례이다. 심지어 노골적인 법위반에 대해서도 공소제기가 이루어지는 것은 유럽에서 드문 일이다. 특히 국경을 넘나드는 개인정보처리에 대해서는 국내의 집행권이 제대로 작동하지 못하고 있다는 것이다. 지난 2002년 10월경에도 유럽연합의 후원으로 열린 개인정보보호회의에서, 유럽모델이 강력한 규제에 따르는 비용만 증대시킬 뿐 개인정보보호의 효과는 미미하다는 비판들이 강하게 제기되었다. 이 회의에서 평소 정부의 규제에 비판적이지 않던 오스트리아, 핀란드, 스웨덴, 그리고 영국은, 개인의 프라이버시(individual privacy)와 자유로운 정보유통(the free flow of information) 사이에 □보다 개선된 균형□(a better balance)이 필요하다고 주장하였다.

) "Existing case-law on compliance with data protection laws and principles in the Member States of the European Union", Annex to the Annual Report 1998 of the Working Party Established under Article 29 of Directive 95/46/EC (1998) 참조.

) Jeol R. Reidenberg, "Privacy Protection and the Interdependence of Law, Technology and Self-Regulation", 23rd International Conference on Data Protection Commissionners, p.6. <http://www.paris-conference-2001.org/eng/contribution/reidenberg_contrib.pdf>

) Sonia Arrison, "Perspective: Privacy lessions from Europe", October 23, 2002. <http://news.com.com/2102-1069-962993.html>

나. 미국식(시장중심적) 집행모델과 그에 대한 비판

이 모델에서 정부의 역할은 훨씬 제한적이다. 정부에 의한 직접적인 보호보다는 시장의 자율규제(self-regulation)에 더욱 의존한다. 그리하여 산업계의 윤리강령(code of conduct)과 기업의 처리관행을 법률보다 선호한다. 이 모델에서 개인정보보호는 정치적으로 보호되어야 할 권리의 문제라기보다 경제적 역학관계의 문제로 취급된다. 그리고 개인정보보호에 관한 논의는 □시민□(citizens)이라기보다 □소비자□(consumers)라는 관점에서 주로 이루어진다.

) 그렇기 때문에 미국의 경우 인터넷에서의 상거래와 관련한 개인정보보호의 문제는 주로 시장의 공정거래질서를 확보하기 위해 설립된 연방거래위원회(FTC)의 소관사항이며, 기업이 개인정보처리원칙을 위반한 경우 불공정거래행위로 취급되어 규율된다.

이 모델 하에서, 법률은 단지 시장이 실패했다고 인정되는 특정 영역의 구체적 문제를 해결하기 위해서만 개입한다. 법률의 규제는 좁게 한정된 부분적 보호에만 그친다. 예컨대, 미국의 비디오프라이버시보호법(Video Privacy Protection Act)은 비디오가게에서 고객이 빌린 특정 영화의 제목을 공개하는 것을 금지하고 있을 뿐이고, 인터넷상에서 스트리밍 비디오(streaming vedio)를 보는 관람습관에 대해서는 아무런 보호를 하지 않고 있다. 이러한 부분적 보호의 접근모델에 있어서는, 개인정보보호의 기준을 설정하는 1차적 원천은 자율규제인 것이다. 즉 개인정보보호는 의회의 제정법에 의한 법적 권리에 의해서라기보다 주로 산업계의 규범 내지 행동강령이나 계약에 의해 이루어진다.

) 18 U.S.C 2710-11 (1994).

이러한 미국모델이 딛고 있는 이념적 배경은 다음과 같다. 미국의 정치체제는 기본적으로 Locke적 자유주의(Lockean Liberalism)의 전통을 가지고 있다. 이 전통에서는 국가권력의 제한에 초점을 맞추는 제한정부(limited government)가 강조되고, 국가가 사적 관계를 규율하는 것에 대해 이념적으로 강한 거부감을 가지고 있다. 로크의 사고에 의하면, 국가의 역할은 재산(property)의 보호에 있으며, 국가는 억제되어야 할 힘이다. 프라이버시와 관련해서도 자유주의적 접근방식은 사적 권리를 선호하며, 국가의 직접적인 개입에 기본적으로 거부반응을 보인다. 특히 미국은 자유로운 정보유통(free flow of information)을 제1의 원리로 삼는 강한 언론자유의 전통을 가지고 있다. 자유로운 정보유통이 사적 활동과 자율을 촉진시키는 것이기 때문에, 그 만큼 정부규제보다는 사적 계약이야말로 개인정보보호의 일차적인 法源이 되어야 하고, 이에 따라 개인은 자기 자신의 권리를 스스로 주장하고 요구하여야 한다는 것이다.

) John Locke, The Second Treatise of Government (1690) (Thomas P. Peardon ed., Liberal Arts Press, 1952), pp. 70-82.

) 예컨대, David W. Leebron, The Right to Privacy's Place in the Intellectual History of Tort Law, 41 Case W. Res. L. Rev. 769, 785-88 (1991) (Brandeis의 프라이버시에 대한 접근방식이 자유주의적 반다수결주의였음을 설명하고 있음).

) Herbert J. Spiro, "Privacy in Comparative Perspectives", in: Privacy Nomos XIII (J. Roland Pennock & John W. Chapman eds., 1971), pp. 121-128 (미국인들은 자신의 개인정보를 정부보다 사적 기관과 공유하는 것을 더 편하게 느끼는 반면, 유럽인들은 그 반대의 경향을 보이고 있음을 지적하면서, 독일과 미국은 프라이버시에 관해 정반대의 입장에 있는 반면, 영국은 그 중간에 위치한다고 주장함).

) Jeol R. Reidneberg, A New Legal Paradigm? Resolving Conflicting International Data Privacy Rules in Cyberspace, 52 Stan. L. Rev. 1315, 1342 (May, 2000).

이러한 자유주의적 전통은 미국이 개인정보보호의 기본원칙들을 집행함에 있어서 큰 의미를 가진다. 포괄적인 입법이 아닌 부문별 입법을 통한 접근방법은 민간영역에서 이루어지는  개인정보처리에 대해 정부의 개입을 최소화하고자 하는 것이다. 반면에, 공공부문에서의 개인정보처리나 법집행기관의 행위에 대해서는 민간부문보다 강한 규제를 채택하고 있는 것은 기본적으로 같은 맥락에서 이해할 수 있다.

) 미국에서 가장 중요한 개인정보보호법은 주로 정부측의 개인정보처리에 대해 제한을 가하고 있는 것들이다. 예컨대, 1974년의 프라이버시법(Privacy Act of 1974), 1974년의 정보자유법(Freedom of Information Act of 1974), 1978년의 금융프라이버시권보호법(Right to Financial Privacy Act of 1978), 1986년의 전기통신프라이버시법(Electronic Communications Privacy Act of 1986) 등을 들 수 있다.

자유주의 정치전통에서는 법보다 시장이 원칙적으로 개인정보보호의 정도를 결정한다는 것에 대해 기본적인 합의를 이루고 있다. 프라이버시는 양도가능한 상품으로 인식되며, 개인의 자율은 개인정보의 판매에 관한 개인적 결정능력에 달려 있게 된다. 정부규제는 자유로운 정보유통의 과정에 인위적으로 개입하는 것이 된다. 이에 따라, 법은 개인정보가 어느 범위까지 보호되어야 할 것인지에 관한 실체적 내용을 규율하는 것이라기보다 시장형성과정(market process)을 규제하는 것에 초점을 맞추어야 한다. 그 다음에는 시장이 개인정보처리의 기본원칙들을 집행하게 될 것이다. 때문에 미국의 경우 아직 온라인상에서의 개인정보 수집과 이용 및 제3자 제공을 규제하는 입법을 가지고 있지 않다. 부문별로 존재하는 입법들도 주로 개인정보의 정확성(accuracy)에 초점을 맞추고 있다. 정보주체에게 열람 및 정정청구권은 일반적으로 인정하고 있지 않다.

그러나 개인정보보호라는 중요한 인권을 시장의 자율규제에 맡기게 되면 필연적으로 기본권적 가치의 측면이 소홀해질 수밖에 없으며, 무엇보다 개인정보보호의 시장은 투명성 결여로 인해 시장실패의 전형적인 예가 될 것이라는 비판이 제기되고 있다. 사실 개인정보처리기관과 정보주체 사이에는 심각한 정보불균형이 상존하고 있다. 정보처리기관은 자신이 획득하는 개인정보의 성격과 범위에 대해서는 정보주체가 알기 어렵게 하면서도, 정작 자신에 관해서는 어떤 정보가 얼마만큼 공개될 것인지를 통제할 수 있는 큰 힘을 가지고 있다.

그리하여 최근 미국 국내에서도 온라인상에서의 개인정보남용에 대한 시민들의 관심과 우려가 커지고 자율규제에 대한 회의론이 점차 확산되면서, 온라인상에서의 규제입법에 대한 여론이 강화되고 있다.

이미 1998년에 연방거래위원회(FTC)가 청문회를 통해 온라인상에서 아동으로부터 수집한 개인정보가 남용되고 있다는 사실을 밝힌 후에, 연방의회는 온라인상에서 13세 이하의 아동으로부터 개인정보를 수집하는 행위를 규제하는 □아동온라인프라이버시보호법□을 제정한 바 있다. 또한 1998년 10월 30일 클린턴 대통령은 □ID절도법□(Identity Theft Act)에 서명하였다. 1999년 11월 12일 제정된 □금융서비스근대화법□(Financial Services Modernization Act; 일명 Gramm-Leach-Bliley Act)은 금융기관에게 보다 엄격한 개인정보보호의무를 부과하고 있다.

) Children's Online Privacy Protection Act of 1998, 15 U.S.C. □6501-6506. 이 법률은 1998년 10월 21일 미연방의회를 통과하였고(Title XIII, Omnibus Consolidated and Emergency Supplemental Appropriations Act, 1999, Pub. L. 105-277, 112 Stat. 2681), 이 법의 집행기관인 연방거래위원회(FTC)가 1999년 10월 최종적인 집행규칙(The Children's Online Privacy Protection Rule)을 공표하였으며, 이 법률은 2000년 4월 21일자로 발효되었다.

) 18 U.S.C. 1028 (Supp. IV 1998). 동법은 연방법 위반행위나 주법상의 중범죄행위를 범하거나 또는 교사하려는 목적으로 동의 없이 타인의 신원확인수단(identification means)을 고의적으로 양도하거나 이용하는 행위를 불법으로 규정하고 있다.

) Pub. L. No. 106-102, 113 Stat. 1338 (연방법률집 제12편과 제15편의 각 조항에 흩어져 법전화됨).

더 나아가, 연방거래위원회(FTC)는 2000년 5월 22일 개인정보보호를 위한 세 번째 의회보고서(Fair Information Practices in the Electronic Marketplace)를 제출하였다. 이 보고서는 FTC가 □2000년 온라인프라이버시조사□(2000 Online Privacy Survey) 결과에 대해 논평하면서, 상업적 웹사이트에서 소비자보호를 위한 기본적인 프라이버시보호를 규정하는 입법을 권고하고 있다.

) Federal Trade Commission, Privacy Online: Fair Information Practices in the Electronic Marketplace <http://www.ftc.gov/reports/privacy2000/privacy2000.pdf (May 2000)

제안된 입법안은 온라인상에서의 개인정보수집에 대한 기본적인 처리기준을 규정하고 있다. 특히 정보처리에 대한 고지의무, 정보주체에게 opt-out 방식의 선택권 부여, 제3자 제공에 대한 제한, 합리적인 범위의 안전성보장의무, 그리고 집행기관에게 행정절차법에 따라 보다 상세한 집행기준을 공표하는 권한을 부여하는 것 등을 내용으로 하고 있다. 물론 연방거래위원회는 이 보고서에서 자율규제의 노력을 완전히 포기한 것은 아니지만, 조사결과에 따르면 그 동안의 자율규제의 노력이 개인정보보호에 효과적이지 못했음이 확인되었다고 밝히고 있다.

) Opt-out 방식이란 특정의 제3자(기업 또는 정부)가 특정한 개인정보를 처리하는 것을 부인하는 권리를 정보주체에게 주는 방식이다. 즉 정보주체는 제3자의 개인정보처리에 대해 그것을 명시적으로 거부하지 않는 한 제3자의 개인정보처리권이 인정되는 방식이다. 이와는 달리, Opt-in 방식은 개인정보처리이용권이 명시적으로 인정되지 않는 한, 개인정보의 처리 및 이용이 금지되는 방식이다. 그러한 이용권은 법률의 규정 또는 정보주체의 동의(명시적 또는 묵시적)에 의해서 인정될 수 있다.

) □2000년 온라인프라이버시조사□에 의하면, 거의 모든 웹사이트(92%)가 소비자로부터 개인정보를 수집하고 있으며, 이들 중 개인정보가 어떻게 이용되는지에 관해 최소한 언급이라도 하고 있는 것이 겨우 14%에 불과하다고 한다. 그리고 10%의 사이트만이 공정정보처리의 기본원칙 4가지를 모두 규정한 프라이버시보호정책을 제시하고 있으며, 겨우 8%의 사이트가 privacy seal을 달고 있다고 한다.

그러나 공화당 의원들, 백악관, 그리고 상무부는 연방거래위원회의 이러한 입법권고에 대해 반대하고 있다. 이들은 여전히 산업계의 자율규제를 더 신뢰하고 있는 것이다. 공화당 당원이자 FTC 위원인 Orson Swindle은 위 FTC 보고서에 대한 반대의견에서, 본 보고서는 □법률제정으로 인해 야기될 전체 비용과 법률제정으로 소비자의 신뢰를 향상시킬 것이라는 주장되는 이익을 적절하게 비교하지 못했다□고 비판하고 있다.

) Steve Labaton, White House and Agency Split on Internet Privacy, N.Y. Times, May 23, 2000, at C1. 클린턴 행정부가 전자상거래 산업의 자율규제정책을 선호한 것은 이미 1995년 중반에 공표한 White Paper on "The Global Information Infrastructure." National Academy of Sciences, The Global Information Infrastructure (1995)

<http://www.ostp.gov/forum/html/giipaper.html>에서 드러난 바 있다.

) Privacy Online: Fair Information Practices in the Electronic Marketplace, 1, at http://www.ftc.gov/reports/privacy2000/privacy2000.pdf (2000) (dissenting statement of FTC Commissioner Orson Swindle).

한편, 주요 인터넷광고회사들로 구성된 한 협회(Network Advertising Initiative)가 2000년 7월 27일 연방거래위원회와 협정을 체결하였는데, 이에 의하면 인터넷 기업들은 당분간 자율규제를 계속할 수 있게 되었다. 다만, 이 합의내용과 종전의 자율규제의 차이점은 연방거래위원회가 집행수단을 가지게 되었다는 것이다. 즉, 만약 협정에 참여한 기업이 협정의 조건을 위반하는 경우, 기만적인 광고행위(deceptive advertising practices)로서 연방거래위원회에 의해 법원에 제소될 수 있다는 것이다. 그렇지만 연방거래위원회는 이 협정에서 인터넷광고회사가 신원확인이 가능한 정보와 개인의 온라인 행동습관을 결합시킬 수 있도록 허용하였다. 이러한 결합은 지난 2000년 5월에 미국 제1의 인터넷광고회사인 DoubleClick사가 시도했다가 프라이버시보호단체로부터 격렬한 비난을 받았던 영업행태였다.

) John Schwartz & Robert O'Harrow, Online Privacy Code Gets FTC's Support, Washington Post, July 28, 2000, at E3.

) Network Advertising Initiative, Self-Regulatory Principles for Online Preference Marketing by Network Advertisers, at http://www.networkadvertising.org (2000) 참조.

) 그런데 놀랍게도 DoubleClick사는 연방거래위원회와 이 같은 협정이 체결되었음에도 Abacus 데이터베이스와 온라인 데이터베이스를 결합시키는 것을 자제하겠다고 선언하였다.

한편, 2000년 10월 1일 발효한 전자서명법(Electronic Signatures in Global and National Commerce Act)은 전자상거래를 통한 정보수집을 확대하게 될 것이고, 그에 따라 개인정보보호를 위한 압력도 증가하게 될 것이다.

) Electronic Signatures in Global and National Commerce Act, Pub. L. No. 106-229, 114 Stat. 464 (15 U.S.C. 7001-7006, 7021, 7031).

다. 기술중심적 집행모델과 그에 대한 비판

위 두 가지 집행모델과는 독자적인 또 다른 접근방식으로서, 이른바 기술법모델(technical code or Lex Informatica model)이 거론되고 있다. 이 모델은 네트워크 설계에 내장되는 기술적 규칙(technical rules)을 통하여 개인정보처리를 규율한다는 접근방식이다. 시스템 설계자가 선택하는 초기설정(default settings)뿐만 아니라 기술표준(technical standards)과 기술규약(technical protocols)이 사실상 개인정보처리규칙을 설정하게 되고, 이들 기술적 규칙이 인터넷과 같은 네트워크가 개인정보를 보호하거나 또는 침해할 수 있는 능력을 규정짓게 된다는 것이다. 예컨대, 인터넷활동을 추적하는 감시기능이 네트워크에 내장될 수 있는 것과 마찬가지로 익명으로 인터넷을 이용할 수 있게 하는 것도 또한 네트워크 설계에서 가능하다.

) 미국의 Lessig 교수는 기술적 코드("code")를 법(law)이라고 지칭하고 있다. Larry Lessig, Code and Other Laws of Cyberspace (1999), p. 6; 또한 Joel R. Reidenberg, Lex Informatica: The Formulation of Information Policy Rules through Technology, 76 Texas L. Rev. 553 (1998) 참조.

) Larry Lessig, Code and Other Laws of Cyberspace (1999); Lawrence Lessig, Reading the Constitution in Cyberspace, 45 Emory L.J. 869. 898 (1996) (컴퓨터 코드를 규제수단으로 사용하는 것에 대해 논의함); Joel R. Reidenberg, Governing Networks and Rule-Making in Cyberspace, 45 Emory L.J. 911. 929 (1996); Joel R. Reidenberg, Lex Informatica: The Formulation of Information Policy Rules through Technology, 76 Tex. L. Rev. 553, 555 (1998); Joel R. Reidenberg, Rules of the Road for Global Electronic Highways: Merging the Trade and Technical Paradigms, 6 Harv. J.L. & Tech. 287. 296-301 (1993) 참조.

따라서 이 접근방식은 중간적 성격을 지닌다. 즉 이 모델은 일정한 공식적인 규칙들을 포함하고 있지만, 그것들은 정부규제의 성격도 아니고 산업계의 자율규제의 성격도 아니다. 역사적으로 볼 때, 이들 기술적 규칙은 공공정책의 논의영역에서 이루어진 것이 아니고 그와 무관한 기술적 토론의 장에서 발전하여 왔다.

) Joel R. Reidenberg, Lex Informatica: The Formulation of Information Policy Rules through Technology, 76 Texas L. Rev. 553, 554 (1998).

그러나 기술적 규칙은 그 자체로는 중립적인 것이기 때문에 네트워크 설계의 성격을 개인정보를 보호하는 방향으로도 또는 침해하는 방향으로도 설정할 수 있다. 따라서 그 자체만으로는 개인정보처리의 기본원칙을 존중하는 시스템설계가 채택되는 것을 보장할 수 없다. 오히려 기술법모델에서는 代議的인 공공정책적 토론이 결여되어 있기 때문에 정보수집이나 정보감시(dataveillance)를 극대화하는 기술적 구조를 지향하는 산업의 압력을 더 쉽게 받을 수 있다.

예컨대, 미국정부가 도메인이름 설정시스템(domain naming system)을 민간기구인 ICANN(Internet Corporation for Assigned Names and Numbers)에게 넘겨주는 과정에서, 새로운 도메인이름 등록규약을 설계함에 있어 개인정보보호를 위한 고려사항들이 대체로 무시되었다. 실제로, 등록절차와 등록규약은 등록자에 관한 정보를 온라인상에서 공개하도록 요구하고 있다. 이는 개인정보처리의 기본원칙을 훼손하는 것이다. 또한 그 시스템설계는 익명으로 도메인이름을 등록할 수 있는 선택가능성을 배제시키고 있다.

) 세계지적재산권기구(WIPO)는 도메인이름과 인터넷주소의 관리에 있어서의 지적재산권 문제에 관한 보고서를 ICANN에 제출하면서, 특히 gTLD(generic Top Level Domains)에서 두 번째 레벨의 도메인(second level domain)을 가지고 있는 모든 보유자로부터 개인정보를 수집하여 이들 정보를 인터넷상에서 공개적으로 접근할 수 있는 데이터베이스에 수록□공표함으로써, 도메인이름 보유자에 의해 저작권 및 상표권이 침해된 경우 저작권 및 상표권 보유자가 그 책임 있는 사람을 찾아내어 연락할 수 있도록 하여야 한다고 제안하였다. 이에 대한 비판은 A. Michael Froomkin, A Critique of WIPO's RFC3 Ver. 1.0a (Mar. 14, 1999) 참조.

) □정보통신상의 정보보호에 관한 국제실무연구단□(International Working Group on Data Protection in Telecommunications; IWGDPT)은 2000년 5월 4/5일 Rethymnon에서 열린 제27차 회의에서 □인터넷상 도메인이름의 등록과 관련한 프라이버시 및 정보보호에 관한 공동입장□을 선언하면서, ICANN이 채택한 등록기관인가협정(Registrar Accreditation Agreement)이 도메인이름 보유자의 개인정보를 충분히 보호하지 못하고 있는 것에 대해 우려를 표시하고 개인정보처리의 기본원칙들을 준수할 것을 권고한 바 있다. <www.datenschutz-berlin.de/doc/int/iwgdpt/dns_en.htm>

이와 유사한 사례로서, IETF(Internet Engineering Task Force)가 새로운 인터넷전송규약인 IPv6을 개발한 것을 들 수 있다. 128비트 주소체계인 IPv6은 현재 사용되고 있는 32비트 체계인 IPv4와는 달리, 인터넷에 연결되는 모든 장치에 고유의 신원확인자(a unique identifier)를 내장하도록 설계되어 있고, 이것은 곧 모든 인터넷 이용자에게 일종의 디지털지문(digital fingerprint)을 배당하는 것과 같은 의미를 가진다. IPv6의 이러한 설계는 공학적 관점에서는 매우 유용할 수 있지만, 개인정보보호의 관점에서는 커다란 문제를 안고 있다. 여기서, 이 같은 설계에 대한 결정은 공학자와 공공정책의 입안자의 공동협력을 통해 이루어진 것이 아니고, IETF내의 관련 공학자그룹에 의해 이루어진 것이라는 점에 유의할 필요가 있다.

) 현재 IPv4의 구조는 이용자로 하여금 data packet상에 허위의 반환주소를 생성시키는 것을 허용하고 있고, 따라서 일부 커뮤니케이션을 추적하는 것을 사실상 불가능하게 한다. 그러나 이와는 달리, IPv6은 모든 packet에 변경하거나 조작할 수 없는 암호화된 key를 표기하기 때문에 특정 packet의 출처를 정확하게 확인할 수 있다. Internet Engineering Task Force, Internet Protocol, Version 6 (IPv6) Specification: Draft Standard, RFC2460(Dec. 1998) 이 같은 인증기능은 인터넷상에서 주고받는 모든 정보를 확인하는 것을 가능하게 하고, 그 결과 인터넷상에서 익명으로 존재한다는 것은 거의 불가능하게 될 것이다. 이인호, □온라인 프라이버시침해기술과 보호기술의 법적 함축□, □법학논문집□ 제25집 제2호 (중앙대학교 법학연구소, 2001) 참조.

흔히 기술적 설계에 대한 결정은 공학자집단 내부의 비밀스러운 토론에서 또는 근시안적인 정책적 관점에서 이루어지는 경향이 있다. 여기에 소비자 개인별 판매전략과 정보보안이라고 하는 산업적 관점이 더해지면 네트워크 설계는 더욱 더 개인에 관한 상세한 정보를 수집하는 방향으로 압력을 받게 된다.

실제로, 이러한 기술적 결정들은 통상 프라이버시와 관련한 중요한 정책적 쟁점들을 숨기고 있는 경우가 보통이다. 예컨대, 시스템 서버들은 통상적으로 인터넷 이용자의 행동에 관한 클릭흐름정보(clickstream data)를 담은 로그파일을 유지하고 있는데, 이 로그파일은 시스템관리 측면에서는 의미 있는 것이지만 한편으로는 개인을 광범위하게 추적할 수 있게 한다. 그럼에도 불구하고, 이 로그파일이 익명으로 유지되어야 할 것인지 아니면 즉시 삭제되어야 할 것인지에 관한 중요한 정책적 결정들이 일반 대중의 관심 속에서 벗어나 있는 것이 보통이다. 마찬가지로, 검색엔진들은 이용자가 인터넷에서 정보를 찾을 수 있도록 해주는 강력한 도구이지만, 한편으로는 놀라울 정도의 감시능력을 제공해주고 있다. DejaNews는 검색문자열정보(search string information)를 제3자에게 전달하도록 검색엔진을 구성하였다. RealNetworks도 그의 유명한 스트리밍 오디오 플레이어 소프트웨어에 □phone home'이라는 특징을 삽입하여 이용자를 추적할 수 있도록 하였다.

) "Deja News Privacy Breach Raises Red Flag", Information Security 13 (June, 1999).

) RealNetworks Federal Class Action,

<http://www.internetnews.com/streaming-news/article/0,1087,8161_235141,00.html>

요컨대, 기술중심모델 그 자체만으로는 개인정보처리의 기본원칙들을 실현하는 것을 보장할 수 없고, 오히려 대의적인 공공정책적 관점보다는 공학적 관점 및 산업적 관점으로 쉽게 기울어지는 취약점을 가지고 있다고 하겠다.

3. □개인정보보호기본법□과 □부문별 개별입법□의 체계

현행 법제는 개인정보처리의 위험성이 높고 그만큼 보호필요성이 큰 분야에 보다 엄격한 보호체계가 마련되어야 함에도 그러한 체계성이 부족한 것이 아닌가 생각된다. 즉, 아직 생성 중에 있고 기술발전이 어떤 방향으로 작용하게 될지 명확한 비전이 확립되어 있지 않은 인터넷의 초기 발전단계에서, 그리고 온라인 개인정보에 대한 상충하는 이익들의 조정에 대해 충분한 사회적 합의가 없는 상태에서, 온라인 개인정보에 대해서는 보다 엄격한 보호체계를 마련하고 있는 반면, 보다 큰 위험성이 있는 공공기관이 처리하는 개인정보 및 신용정보에 대해서는 그 보다 약한 보호체계를 갖추고 있는 것으로 평가된다.

또한 여전히 법적 공백상태로 남아 있는 영역들이 많이 있다. 특히 근로자의 개인정보, 유전자정보, 의료기록 등 민감한 영역들에 있어서 개인정보자기결정권을 구체화하는 입법의 필요성이 높아지고 있다. 물론 이들 영역의 개별 입법에서 대부분 개인의 □비밀□을 강력한 형사처벌의 수단을 통해 보호하고 있다. 다시 말해서, 개인정보처리기관의 내부자가 권한 없이, 또는 권한 없는 제3자에 의해 개인정보가 불법적으로 유출되는 것을 규율하는 정도에 그치고 있다.

그러나 단순한 비밀보호만으로는 오늘날의 놀라운 정보처리기술로부터 개인의 인격적 이익과 인간존엄을 보호하기에는 역부족이다. 수집단계에서부터 그 이용 및 제3자 제공에 이르는 전 과정에 걸쳐 정보처리의 투명성을 확보할 수 있어야만 한다. 그리고 그 처리과정에서 혹시 있을 수 있는 왜곡된 가상인격을 손쉽게 바로 잡을 수 있는 법적 가능성을 확보하여야 한다.

21세기 인간존엄이 보장되는 고도정보사회로의 기반을 조성하기 위해서는 국가사회의 모든 개인정보처리에 대해 정보주체의 개인정보자기결정권이 구현되어야 한다. 이를 구체화하기 위한 입법체계로서는, □개인정보보호기본법□과 □부문별 입법□의 체계로 나아가는 것이 바람직한 것으로 판단된다.

□개인정보보호기본법□에서는 공공부문과 민간부문을 포괄하여 개인정보의 개념과 보호범위, 수집할 수 없는 개인정보의 종류, 개인정보처리의 기본개념들, 개인정보처리의 기본원칙(수집제한의 원칙, 목적구속의 원칙, 시스템공개의 원칙, 정보분리의 원칙), 정보주체의 권리(열람·정정·삭제청구권, 처리된 개인정보에 근거하여 자동결정이 이루어지는 경우 그에 대한 고지를 받을 권리 및 효율적인 불복청구권 등), 그리고 이를 집행하기 위한 독립된 감독기구(가칭 □개인정보보호위원회□)의 조직과 권한을 규정하여야 할 것이다. 이 기본법에서는 개인정보보호를 위한 최저한의 기준을 설정하고, 부문별 입법이 마련되어 보다 강력한 기준이 채택되기 전이라도 기본법상의 최저기준이 집행되어야 할 것이다. 그리고 □부문별 입법□에서는 예컨대 정부부문, 신용정보부문, 의료정보부문, 전자상거래부문(또는 온라인부문) 등 각 부문별로 개인정보처리의 필요성과 위험성의 정도에 따라 보호수준과 기준을 보다 구체적으로 설정하여야 할 것이다.

MEMO