[쟁점 토론회]

개인정보 감독기구의 위상과 역할

� 일시 : 2005년 1월 21일 (금) 오후 2시 - 5시

� 장소 : 국가인권위원회 배움터

� 주최 : 프라이버시법제정을위한연석회의

쟁점 토론회를 개최하며...

지난 연말 개인정보보호기본법안에 대한 당정 협의 이후로 개인정보보호기본법 제정과 개인정보 감독기구 설립이 급물살을 타고 있습니다. 개인정보 침해 문제가 날로 심각해지고 있는 상황에서 인권에 기반한 정보사회 구축을 위해서는 개인정보보호기본법을 올바로 제정하고 제 역할을 다할 수 있는 감독기구를 설립하는 것이 시급한 과제입니다

현재 개인정보보호기본법과 관련하여 시민사회단체와 민주노동당이 입안한 법안이 국회에 상정되어 있으며, 정부여당의 법안도 조만간 국회에 발의될 예정입니다. 그러나 두 법안은 법체계 및 개인정보 감독기구의 위상과 역할 등 주요한 쟁점에서 커다란 입장의 차이를 보이고 있습니다. 시민사회단체와 민주노동당의 법안은 독립적이고, 전문적인 개인정보 감독기구를 설립해야한다는 입장인 반면, 정부여당의 법안은 국가인권위원회 내에 개인정보 특별위원회를 설립하는 것을 내용으로 하고 있습니다.

이는 우리나라의 개인정보 보호를 위한 기본 틀을 어떻게 구성할 것인가 하는 문제이기 때문에 심도깊은 논의와 검토가 필요하다고 생각합니다. 이번 토론회를 통해 기본법 제정 및 감독기구 설립과 관련한 쟁점을 명확하게 드러내고 올바른 방향성을 설정할 수 있는 계기로 삼고자 합니다.

2:00 - 2:10 : 개회 - 사회 : 박원석 (참여연대 시민권리국 국장)

2:10 - 3:10 : 발제

발제 1 : 개인정보보호위원회의 역할 및 해외 사례 / 이인호 (교수, 중앙대 법학)

발제 2 : 개인정보보호위원회의 일상적 감독 기능을 위한 권한 / 이은우 (변호사, 민주사회를위한변호사모임)

발제 3 : 개인정보 보호를 위한 실효성 있는 조치들/ 윤현식 (민주노동당 정책연구원)

3:10 - 3:20 : 휴식

3:20 - 3:50 : 지정 토론

홍성태 (교수, 상지대 교양학부)

김종남 (YMCA 열린정보센터)

정영화 (교수, 서경대 법학과)

3:50 - 5:00 : 자유 토론

개인정보보호위원회의 역할 및 해외사례

李 仁 皓(중앙대학교 법과대학)

<목  차>

I. 머리말 : 보호체계와 개선노력의 혼선

II. 전문적이고 독립된 개인정보감독기구의 당위성

1. 개인정보감독기구의 존재이유

2. 국제규범의 요구사항 : 독립된 개인정보감독기구의 설립

3. 세계 각국의 동향 : 독립된 감독기구의 설치 추세

4. 소결

III. 개인정보감독기구의 통합의 문제

1. 통합과 분리의 논의 현황

2. 통합의 필요성

IV. 개인정보감독기구의 기능과 권한

1. 세계적 흐름 : 7가지의 기능과 권한

가. 옴부즈맨(ombudsmen)으로서의 개인정보감독기구

나. 감사관(auditor)으로서의 개인정보감독기구

다. 자문역(consultant)으로서 개인정보감독기구

라. 교육자(educator)로서의 개인정보감독기구

마. 정책조언자(policy adviser)로서의 개인정보감독기구

바. 자율규제의 조정자(negotiator)로서의 개인정보감독기구

사. 집행자(enforcer)로서의 개인정보감독기구

2. 향후 통합감독기구의 기능과 권한

3. 향후 통합감독기구와 기존의 집행기구와의 관계설정

V. 개인정보감독기구의 위상과 조직

1. 위상 : 독립성 확보 방안

2. 조직형태

3. 위원의 임명방식

VI. 개인정보감독기구와 국가인권기구와의 관계

1. 문제제기의 배경

2. 세계적 동향

가. 주요 외국의 국가인권기구 및 개인정보감독기구의 현황

나. 호주의 특수사례

3. 현재의 국가인권위원회의 기능적 한계

4. 소결

VII. 결론 : 정책적 제언

I. 보호체계와 개선노력의 혼선

2005년 1월 현재 우리나라의 개인정보보호법제는 한 마디로 “이원적․영역별․부분적 입법체계”를 가지고 있다. 여기서 “이원적”이라 함은 공공부문과 민간부문을 각각 별도의 법률에 의하여 규율하고 있음을 의미한다. “영역별”이라 함은 민간부문에 있어서 일반법이 없이 개별 영역별로 규율하는 개별법이 존재함을 의미한다. 그리고 “부분적”이라 함은 민간부문에서 일반법이 없는 관계로 규율되지 못하고 있는 영역이 존재함을 의미한다.

우선, 공공부문의 일반법으로서 공공기관의 개인정보처리를 규율하는 「공공기관의 개인정보보호에 관한 법률」(“공공기관개인정보법”)이 1994년에 제정되어 시행되고 있다. 그 밖에 주민등록정보, 호적정보, 통계정보의 처리․이용을 규율하는 개별입법이 있다. 주민등록법, 호적법, 통계법이 그것이다. 그 외에도 학생정보는 원래 공공기관개인정보법의 규율대상이 되나, NEIS 사태를 계기로 최근 학생정보의 이용과 보호를 규율하기 위해 교육관계법을 개정하고 있는 상태에 있다. 또한 소위 국가인재DB의 구축 및 보호를 규율하는「공직후보자등의 인물정보 수집 및 관리에 관한 규정(안)」(대통령령)의 제정이 추진되고 있다.

교육기본법중개정법률안과 초중등교육법중개정법률안이 정부 발의로 2004년 11월 1일 국회 교육위원회에 회부되어 심의 중에 있다.

한편, 2005년 1월 현재 민간부문의 일반법으로서의 개인정보보호법은 존재하지 않는 상태이다. 그러나 온라인, 즉 정보통신망에서의 개인정보의 수집․이용․제공을 규율하는 이른바 온라인개인정보보호법이 존재한다. 1999년에 전면 개정된「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(“정보통신망법”)이 그것이다. 그러나 이 법률은 2001년에 다시 개정되면서 정보통신망뿐만 아니라 호텔업 등 오프라인에서의 개인정보의 수집․이용․제공을 함께 규율의 대상으로 삼고 있다. 그 밖에 신용정보에 대해서는 「신용정보의 이용 및 보호에 관한 법률」이 있으며, 최근에 민간의 유전정보의 이용과 보호를 규율하기 위한 법률로서 「생명윤리 및 안전에 관한 법률」이 제정되었다.

그러나 우리의 현행 입법체계는 상당히 “불균형적”이고 “불완전”하다. 균형 잡힌 완전한 역감시의 참여모델로 전환시켜야 하는 정책적 과제를 안고 있다. 높은 보호수준이 요구되는 공공부문에서는 보호의 수준이나 집행체계가 매우 불완전하고 미약한 반면, 민간부문에서는 온라인과 신용정보 영역에서 표면상으로는 상당히 높은 보호수준과 형사처벌 및 행정제재를 포함하는 강력한 집행체계를 가지고 있다. 그러나 민간부문의 다른 영역에서는 참여모델로서의 개인정보보호법이 존재하지 않아 보호의 공백이 발생하고 있다. 특히 공공부문과 민간부문에서의 위법한 개인정보처리를 사전적․예방적인 차원에서 감독하고 또 사후적으로 효과적인 민원해결기능을 수행하는 독립된 감독기구가 존재하지 않는 상태이다.

이렇게 불균형적이고 불완전한 현재의 입법 및 집행체계를 보완하여 보호의 공백을 메움과 동시에 독립된 감독기구에 의한 예방적이고 효과적인 감시체계를 마련하여야 한다는 것은 이 시점에서 시급한 입법정책적 과제이다. 그리하여 지난 1년여에 걸쳐 다양한, 그러나 혼란스러운 입법개선노력이 이루어져 왔다. 행정자치부는 공공기관개인정보법의 개정안을 마련하여 국회에 제출해 놓은 상태에 있으며, 정보통신부는 정보통신망법상의 개인정보보호조항을 떼어내어 민간 일반에 적용되는 개인정보보호법을 제정한다는 정책을 구체화하고 있다. 한편 이와는 별도로 대통령 자문기구인 정부혁신지방분권위원회가 공공과 민간을 아우르는 개인정보보호기본법을 추진하여 그 결과물이 여당의 주도로 국회에 발의되기 직전에 있다. 또 7개 시민단체로 구성된 「프라이버시법제정을위한연석회의」가 마련한 개인정보보호기본법(안)이 민주노동당의 발의로 국회 행정자치위원회에 회부되어 있다. 그러나 이들 법률안은 아직 행정자치위원회에서 상정되지 않은 채 국회에서 본격적인 논의를 기다리고 있는 상태이다.

정부 발의로 2004년 7월 5일 국회 행정자치위원회에 회부되었다. 그 밖에 공성진 의원과 김재경 의원이 각각 대표 발의한 별도의 개정안이 국회 행정자치위원회에 회부되어 있는 상태이다.

노회찬 의원의 대표발의로 2004년 11월 24일 행정자치위원회에 회부되었다.

이처럼 다양한 입법개선노력이 이루어지고 있으나 이들 개정안과 제정안을 뜯어보면 입법체계 및 집행체계와 관련해서 다소 혼란스럽다는 느낌을 지울 수 없다. 또 공공부문과 민간부문에서 개인정보처리 및 보호의 기준이 동일할 수 없음에도 불구하고 두 기본법안은 양자를 구분하지 않고 함께 규율하고 있을 뿐만 아니라, 세계에서 보기 드물 정도로 매우 강력한 보호기준을 설정하고 있는 것으로 보인다. 더 나아가, 매우 불명확한 행위기준에 의한 형사처벌 및 행정제재 위주로 그 집행을 담보하고 있어 실제의 집행과정에서 혼란이 우려된다.

향후 개인정보처리 및 보호의 기준을 공공부문과 민간부문에서 각각 달리하여 명확하고 상세하게 규정하되, 독립성과 효율성을 갖춘 통합감독기구에 의하여 사전적․예방적․교육적 보호기능에 초점을 맞추어 집행체계를 구축할 필요가 있다. 특히, 민간부문에서는 개인정보처리 및 보호의 기준에 대한 보다 분명한 사회적 합의가 확보되기까지 현재의 보호공백을 메우기 위한 최저한의 수준으로 법적 기준을 법률에서 설정하고, 개인정보감독기구에게 규칙제정권을 주어 특별히 문제되는 영역에서 보다 상세하고 명확한 처리 및 보호기준을 차후에 마련할 수 있도록 하는 유연한 집행체계도 검토해 볼 필요가 있다. 이 경우 감독기구는 민간의 산업계에 의한 자율규제체제가 수립될 수 있도록 법률로 부여받은 권한을 적절하게 행사할 수 있을 것이다.

이하에서는 외국의 사례들을 참조하면서 개인정보감독기구의 기능과 역할이 어디에 초점을 맞추어야 하는지를 중심으로 살펴보고, 우리가 나아갈 방향을 함께 모색해 보기로 한다.

II. 전문적이고 독립된 개인정보감독기구의 당위성

1. 독립된 개인정보감독기구의 존재이유

개인정보보호를 위한 훌륭한 법제가 잘 정비되어 있고 개인의 권리를 충분히 법적으로 보장하고 있다고 하더라도 그 법제운용이 미숙하거나 권리실현이 사실상 불가능 내지는 어렵게 되어 있는 경우 개인정보보호의 이념은 충분히 실현될 수 없다. 자기정보에 대한 열람청구권과 갱신청구권 등 개인정보자기결정권을 법률에서 구체화하고 있다고 하더라도 그 실현을 위한 이니셔티브는 각 정보주체에게 있기 때문에 언제나 일정한 한계를 지닐 수밖에 없다.

김일환 교수도 “오늘날 새로운 기술들의 발전 및 적용가능성이라는 점에서 볼 때 .  .  .  더 이상 개인 스스로 자신의 정보를 보호하고 통제할 수 없다” 고 지적하면서, “시민을 효율적으로 보호하기 위해서는 국가나 사회의 정보처리를 통제하는 통제기관의 설치 및 활동이 절대적으로 요구된다.”고 역설하고 있다. 김일환, ꡔ개인정보보호법제의 정비방안에 관한 연구ꡕ(한국법제연구원, 1997), 195면.

첫째, 개인정보보호와 관련한 문제의 심각성은 당해 정보주체가 인식하지도 못한 상태에서 개인정보가 정부나 기업에 의해 광범위하게 수집ㆍ축적ㆍ처리ㆍ제공된다는 사실에 있다. 이러한 현실에서 개인에게 주어지는 법률상의 권리는 무의미한 것이다. 자신의 개인정보에 대한 침해사실을 인식조차 하지 못하는 정보주체가 권리구제절차를 밟을 수 있는 가능성이 없기 때문이다.

둘째, 설령 개인정보처리의 원칙 중 수집제한의 원칙과 시스템공개의 원칙이 잘 지켜져 개인정보의 수집과 처리에 대한 정보주체의 인식이 있다 하더라도 처리기관 내부에서 이루어지는 위법적인 상황을 외부자인 정보주체가 충분히 파악할 수 없을 뿐만 아니라 조사할 수도 없다. 기술적으로 복잡한 처리과정이나 은밀하게 이루어지는 목적 외 이용 및 제3자 제공을 외부의 비전문가인 정보주체가 제대로 알 수 없기 때문이다.

셋째, 더 나아가 설령 그것을 정보주체가 충분히 파악했다고 하더라도 자신의 노력과 주도 하에 법원을 통한 그 복잡하고 장기적인 소송절차를 밟아서 권리구제를 받으라고 하는 것은 오히려 무책임한 일일 것이다. 또한 법원을 통한 권리구제는 언제나 사후적인 것이다. 개인정보보호에 있어서는 예방적인 권리구제가 더욱 절실히 요청된다.

넷째, 개인정보처리는 특정 개인이 아니라 수많은 개인들을 대상으로 하는 것이기 때문에 위법적인 개인정보처리의 영향은 그들 모두에게 똑 같이 미칠 수 있다. 즉 위법한 개인정보처리에 따르는 피해는 대규모적이고 집단적인 성격을 지닌다.

다섯째, 개인정보감독기구는 그 기능이 독립적으로 이루어져야 한다. 개인정보보호의 가치는 개인정보처리를 통해 얻어지는 효율성의 가치와 본질적으로 양립하기 어렵다. 이 양 가치는 서로 상반된 관계에 있기 때문이다. 따라서 이 상반된 가치들을 단일의 특정기관이 함께 추구한다는 것은 사실상 불가능한 일이다. 어느 한 쪽으로 균형이 기울어질 수밖에 없다.

요컨대, 정부나 기업에 의한 위법한 개인정보처리로부터 정보주체의 개인정보자기결정권을 실질적으로 보장하기 위해서는 예방적이고 사전적인 차원에서 개인정보처리를 감시ㆍ감독하며, 또 피해가 발생한 경우 법원의 소송 외에 보다 효과적이고 효율적인 권리구제를 실질적으로 가능하게 해주는 독립된 개인정보감독기구의 존재가 필수적이다. 아래에서 살피는 바와 같이 독립된 개인정보감독기구의 설립은 국제규범이 요구하는 바이다.

2. 국제규범의 요구사항 : 독립된 개인정보감독기구의 설립

가. 유럽연합의 개인정보보호지침 : 독립적인 감독기구의 의무화

유럽연합(EU)은 개인정보보호 일반법인 1995년의 개인정보보호지침(Directive 95/46/EC)에서 회원국으로 하여금 개인정보의 수집ㆍ관리ㆍ이용활동 등을 모니터하고 조사할 수 있는 권한을 가진 독립적인 기구를 설치하도록 의무화하고 있다.

동 지침 제28조(감독기구) 제1항은 “각 회원국은 하나 이상의 공공기관(public authorities)이 본 지침에 따라 제정된 국내보호입법의 자국내 집행을 감시하는(monitoring) 책임을 갖도록 하여야 한다. 이 감독기구는 그 기능을 수행함에 있어서 완전히 독립적으로(with complete independence) 행동하여야 한다.”고 규정하고 있다. 여기서 “완전한 독립성”은 기능적인 독립성을 의미하는데, 감독기구의 의사결정이나 조치에 대하여 외부에서 어떠한 영향력도 행사할 수 없다는 것을 의미한다.

Dammann, U./Simitis, S., EG-Datenschutzrichtlinie, Kommentar, Art. 28 Rn. 6, Baden-Baden, 1997.

나. 유럽평의회의 개인정보보호협약 추가의정서 : 독립적인 감독기구의 의무화

유럽평의회 개인정보보호협약의 2001년 추가의정서는 그 전문(Preamble)에서 효율적인 개인정보보호를 위한 한 요소로서 완전히 독립적인 기능(functions in complete independence)을 수행하는 감독기구(supervisory authorities)가 필요함을 인정하고 있다. 그에 따라 제1조는 감독기구의 제목 하에 다음과 같은 내용을 규정하고 있다.

제1조 감독기구 (Supervisory authorities)

1. 각 가입국은 본 협약 제2장 및 제3장, 그리고 본 의정서에서 규정된 원칙들을 구현하는 국내법상의 조치들을 준수하도록 하기 위하여 그에 대한 책임을 지는 한 개 또는 그 이상의 감독기구를 마련하여야 한다.

2. a. 이 목적을 위해서, 감독기구는 특히 조사권한(powers of investigation)과 개입권한(powers of intervention)을 가져야 할 뿐만 아니라 위 제1항에서 언급된 원칙들을 구현하는 국내법규정의 위반에 대하여 권한 있는 사법기관에 제소할 수 있는 권한(power to engage in legal proceedings)을 가져야 한다.

b. 각 감독기구는 그의 관할범위 내에서 개인정보의 처리와 관련한 개인의 권리와 기본적 자유를 보호하기 위하여 그 개인이 제기한 민원을 심사하여야 한다.

3. 감독기구는 완전히 독립하여(in complete independence) 그 기능을 수행하여야 한다.

4. 감독기구의 결정에 대하여 불만이 있는 경우 법원을 통해 다툴 수 있다.

5. 본 협약 제4장의 규정에 따라, 그리고 협약 제13조의 규정취지를 손상함이 없이, 감독기구들은 임무수행에 필요한 범위 내에서 특히 모든 유용한 정보를 교환하는 등 서로 협력하여야 한다.

다. 국제연합(UN)의 개인정보보호가이드라인 : 독립된 보호기구의 설치 요구

국제연합은 1990. 12. 14. 총회결의로 ｢컴퓨터화된 개인정보파일의 규율에 관한 가이드라인｣(Guidelines for the Regulation of Computerized Personal Data Files)을 채택․공포하였다.

Marc Rotenberg, ꡔThe Privacy Law Sourcebook 1999ꡕ(EPIC, 1999), pp. 215-218.

이 가이드라인은 모두 10개의 개인정보보호원칙을 담고 있는데, 그 중 8번째 원칙(감독과 제재)에서 개인정보보호원칙을 감독할 독립된 기관의 설치를 요구하고 있다.

⑧ 감독과 제재(supervision and sanctions) : 위에 열거된 원칙의 준수여부를 감독할 독립된 기관을 설치하여야 하고, 이들 원칙이 위배된 경우에 적용할 수 있는 처벌규정 및 개인보호규정을 제정하여야 한다.

라. 1998년의 OECD 각료선언 : 효과적인 집행메커니즘의 확보요구

1998년 10월 캐나다에서 열린 OECD 각료회의에서는 1980년의 가이드라인에서 제시되었던 8개 원칙을 재확인하는 ‘범세계 네트워크상의 개인정보보호를 위한 각료선언’(Ministerial Declaration on the Protection of Privacy on Global Networks)을 채택하고, 회원국의 정부에 대하여 온라인 환경에서 신뢰를 구축하고 데이터의 자유로운 국제적 유통을 촉진하기 위해 범세계적 네트워크에서의 개인정보보호에 관한 관심을 새롭게 가져 줄 것을 촉구하고 있다.

<http://www.oecd.org/dataoecd/39/13/1840065.pdf>

이 각료선언은 1980년의 가이드라인이 효과적으로 시행되는 것을 보장하기 위하여 필요한 조치로서 6개 사항을 선언하고 있는데, 그 중의 하나가 “효과적인 집행메커니즘의 확보”이다.

O 개인정보보호원칙과 개인정보보호정책의 불이행에 대처하고 동시에 권리구제를 보장하기 위하여 효과적인 집행메커니즘(effective enforcement mechanisms)이 작동할 수 있도록 보장한다.

3. 세계 각국의 동향 : 독립된 감독기구의 설치 추세

세계 각국은 유럽연합 개인정보보호지침(95/46/EC)의 주도적인 영향 하에서 공공부문과 민간부문을 통합하여 감독하는 단일의 개인정보감도기구를 설립하는 추세를 보이고 있다. 이 추세는 비단 유럽연합이나 유럽평의회 회원국에 한정되는 것이 아니고 비회원국들도 새로운 개인정보보호법을 제정하면서 독립된 통합감독기구를 설립하고 있음을 볼 수 있다. 그 경향을 정리하면 아래 표와 같다.

아래 표의 내용은 유럽평의회(Council of Europe) 홈페이지에 게시된 내용을 정리한 것임.

<http://www.coe.int/T/E/Legal_affairs/Legal_co-operation/Data_protection/Documents/>

<표 1> 유럽평의회 회원국(Member States of the Council of Europe)

국가명	개인정보감독기구	공공․민간 통합여부		홈페이지
		공공부문	통합
알바니아	people's advocate		O
오스트리아	Data Protection Commission		O	www.dsk.gv.at
벨기에	Commission for the Protection of Privacy		O	www.privacy.fgov.be
보스니아 헤르체코비나	Data Protection Commission		O
불가리아	Commission for the Protection of Personal Data		O
크로아티아			O
키프로스	Personal Data Protection Commissioner		O
체코 공화국	Personal Data Protection Office		O	www.uoou.cz
덴마크	Danish Data Protection Agency		O	www.datatilsynet.dk
에스토니아	Data Protection Inspectorate		O	www.dp.gov.ee
핀란드	Data Protection Ombudsman		O	www.tietosuoja.fi
프랑스	National Commission for Computerization and Freedom		O	www.cnil.fr
독일	Federal Data Protection Commissioner		O	www.datenschutz.de
그리스	Personal Data Protection Authority		O	www.dpa.gr
헝가리	Data Protection Ombudsman		O	www.obh.hu
아이슬란드	Personal Data Protection Authority		O	www.personuvernd.is
아일랜드	Data Protection Commissioner		O	www.dataprivacy.ie
이탈리아	Garante per la tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali		O	www.garanteprivacy.it
라트비아	State Data Inspection		O	www.dvi.gov.lv
리히텐슈타인	Commissioner for the Protection of Data		O	www.liechtenstein.li
리투아니아	State Data Protection Inspectorate		O	www.ada.lt
룩셈부르크	Consultative Commission for Data Protection		O	www.cnpd.lu
몰타	Data Protection Commissioner		O	www.dataprotection.gov.mt
네덜란드	Data Protection Commission		O	www.cbpweb.nl
노르웨이	Data Inspectorate		O	www.datatilsynet.no
폴란드	Inspector General for Personal Data Protection		O	www.giodo.gov.pl
포르투갈	National Data Protection Commission		O	www.cnpd.pt
루마니아	People's Advocate		O	www.avp.ro
산마리노	Guarantor for the Protection of Confidential and Personal Data		O
슬로바키아	Government Commissioner for the Protection of Personal Data		O	www.dataprotection.gov.sk
슬로베니아	Ministry of Justice		O
스페인	Data Protection Agency		O	www.agpd.es
스웨덴	Data Inspection Board		O	www.datainspektionen.se
스위스	Swiss Federal Data Protection Commissioner		O	www.edsb.ch
영국	Office of the Information Commissioner		O	www.dataprotection.gov.uk

<표 2> 유럽평의회 비회원국

국가명	개인정보감독기구	공공․민간 통합 여부		홈페이지
		공공부문	통합
캐나다	Privacy Commissioner		O	www.privcom.gc.ca
멕시코	Federal Institute of Access to Public Information
아르헨티나	Independent Commission within the Ministry of Justice		O
호주	Privacy Commissioner		O	www.privacy.gov.au
이스라엘	Registrar of Databases
모나코	Supervisory Commission of personal information		O	www.ccin.mc
뉴질랜드	Privacy Commissioner		O	www.privacy.org.nz
태국	Official Information Commission's Office	O		www.oic.thaigov.go.th
홍콩	Office of the Privacy Commissioner for Persona Data		O	www.pco.org.hk
한국

4. 소결

개인정보보호를 위한 독립된 감독기구가 필요하다는 인식은 개인정보보호 분야에서 세계적 권위를 자랑하는 뛰어난 분석가들에 의해서도 확인되고 있다. 캐나다의 Colin J. Bennett 교수(University of Victoria)와 영국의 Charles D. Raab 교수(University of Edinburgh)는 이렇게 분석하고 있다. “강력한 감독기구의 존재는 훌륭한 프라이버시 보호체계의 필수조건(sine qua non)으로 간주되어 오고 있다. 왜냐하면 법이란 스스로 집행되는 것이 아니고, 또 프라이버시 문화는 권위 있는 옹호자가 없이는 그 스스로 확립될 수 없기 때문이다.”

Colin J. Bennett & Charles D. Raab, The Governance of Privacy: Policy Instruments in Global Perspective (Ashgate, 2003), p. 107.

또한 일찍이 캐나다의 British Columbia주의 개인정보보호청장이었던 David Flaherty도 “개인정보감독기구는 프라이버시 보호를 위한 일종의 경보체계이다(an alarm system for the protection of privacy).”고 역설하였다.

David H. Flaherty, Protecting Privacy in Surveillance Societies: The Federal Republic of Germany, Sweden, France, Canada, and the United States (1989), p. 383.

요컨대, 이제 개인정보보호를 위한 독립된 감독기구의 설립은 더 이상 선택의 문제가 아니다. OECD 회원국으로서, 그리고 세계 12대 교역국인 우리나라는 국제규범에 충실할 필요가 있으며, 또한 정보기술의 강국으로서 21세기 인간존엄이 보장되는 고도정보사회로의 기반을 조성하기 위해서는 독립된 개인정보감독기구의 존재가 필수적이라고 하겠다.

III. 개인정보감독기구의 통합의 문제

1. 통합과 분리의 논의 현황

감독기구를 마련한다고 할 때, 공공부문과 민간부문을 분리하여 각각 별개의 감독기구를 두는 것이 타당한가, 아니면 양 부문을 통할하여 감독하는 통합된 감독기구를 설치하는 것이 바람직한가에 관하여 대립된 입장이 있다.

위에서 살핀 입법체계에 관한 논의 중 통합일반법제정론과 기본법제정론은 모두 통합된 감독기구의 설립을 기본전제로 하고 있다. 그 동안 시민사회단체와 학계의 다수는 통합된 개인정보감독기구의 설립을 주장하여 왔다. 한편, 단기적으로는 공공부문과 민간부문을 분리하여 일반법을 제정하고 장기적으로는 통합기본법을 제정하자는 입장에서도 감독기구는 공공과 민간을 총괄하여야 한다는 주장도 있다.

정영화, “개인정보감독기구의 법정책 고찰”, 「프라이버시보호법제, 어떤 모습이어야 하는가?」(9개 시민사회단체 연속 워크숍 제2회, 2003. 8. 21); 권헌영, “전자정부시대 개인정보보호법제의 쟁점”, 『정보화정책』제11권 제3호 (한국전산원, 2004), 72면; 장여경, “한국의 프라이버시보호 감독기구의 위상과 역할”, 「프라이버시보호법제, 어떤 모습이어야 하는가?」(9개 시민사회단체 연속 워크숍 제2회, 2003. 8. 21);  최경진, “개인정보의 법적 규율과 관련한 공적 영역과 사적 영역의 구별 여부”, 「프라이버시보호법제의 규율대상과 범위」(9개 시민사회단체 연속 워크숍 제3회, 2003. 8. 26) 등 참조.

이민영, “개인정보보호법제의 개편논의와 개선방안”, 『정보통신정책』제16권 제1호(정보통신정책연구원, 2004), 42면.

그러나 이러한 통합론에 대하여 분리론도 제기되어 있다. 현재 개인정보분쟁조정위원회의 사무국장으로 있는 이창범 박사는 감독기구를 통합할 경우 우리 현실에서는 오히려 민간부문의 개인정보보호가 위축될 우려가 있다고 다음과 같이 주장하고 있다.

“일각에서는 민간부문과 공공부문을 함께 관장하는 프라이버시보호기구의 신설을 주장하기도 하지만, 이는 바람직스럽지 못하다. 민간부문의 프라이버시침해는 그 침해의 태양과 과정이 공공부문과 근본적으로 다르고 침해구제수단도 다르다. 공공부문에 대하여는 국가기관간 상호 견제가 가능한 고도의 독립된 국가기관에서 프라이버시 문제를 관장해야 하지만, 민간부문에 대하여는 보다 소프트하고 유연한 조직에서 관장하게 하는 것이 바람직하다. 선진국에서 민간부문과 공공부문을 구분하지 아니하는 것은 이미 오랜 역사를 통해 프라이버시보호기구의 위상이 착실히 발전해 왔기 때문이라고 할 수 있다. 즉 공공부문을 통해 자연스럽게 프라이버시보호가 민간부문으로까지 확대된 것이다. 그러나 우리나라는 선진국과는 정반대로 민간부분과 공공부문이 각기 별도의 과정을 통해 프라이버시보호제도가 발전해 왔고, 공공부문에서는 아직도 프라이버시보호제도가 정착되어 있지 않은 실정이다. 따라서 현실적인 측면에서도 두 개의 영역을 통합할 경우 민간부문까지 프라이버시보호가 위축될 우려가 있다.”

이창범, “현행 프라이버시 보호 담당기구의 성과와 한계”, 「프라이버시 보호 법제, 어떤 모습이어야 하는가?」(9개 시민단체 연속 워크숍 제2회, 2003. 8. 21), 21-22면.

한편, 감독기구를 통합하는 것은 장기과제로 남겨 두고 아직은 통합의 필요성이 크지 않다고 보는 입장도 있다.

“두 부문을 통합하는 것은 장기 과제로 남겨놓더라도 우선 당장 통합하여야 할 필요성은 그리 크지 않다고 본다. 전자는 국가 행정작용의 일환으로 개인정보를 수집하여 관리하는 것이고, 후자는 사기업이 거래과정에서 개인정보를 수집․저장하고 상업적인 목적으로 이를 가공처리하거나 제3자에게 제공하는 것이다. 정보주체가 개인정보에 대한 침해를 받더라도 전자는 많은 경우 개인정보보호의 예외 사유에 해당하거나 공공기관으로부터 불이익을 받을 수 있는 위험에 그치는 데 비하여 후자는 불특정 다수의 기업으로부터 원칙 않는 광고, 판매권유 심지어는 재산상의 피해를 받을 수도 있다.

권리구제에 있어서도 전자는 부대등한 정부나 공공기관을 상대하게 되므로 힘 있는 국가기관이 피해를 호소하는 정보주체를 지원하게 된다. 그러나 후자는 개인정보보호 규정을 위반하는 사기업을 지속적으로 감시․추적하고 제재를 가하는 일에 효율적인 독립된 기관이 개입하여 정보주체를 적극 지원하여야 할 것이다. 또한 제도개선 방안에 있어서도 전자는 공공기관의 책임성이 강조되는 반면, 후자는 정보통신서비스제공자는 물론 일반 이용자들에 대한 홍보와 계몽이 중요하고 대외적인 홍보활동도 필요하다고 생각한다.”

박훤일․박균성, 『EU 개인정보보호지침 준상호주의 이행방안 연구』(한국정보보호진흥원, 2001), 96-97면.

위 두 분리론은 공공부문과 민간부문에서 각각 침해의 태양이 다르고 따라서 보호의 수준이나 방법이 달라야 한다는 점을 전제로 하고 있는 것으로 보인다. 그러나 공공부문이든 민간부문이든 개인정보처리에 대하여 감시․감독하는 기능과 이를 담당하는 기구가 필요하다는 점은 부인할 수 없다. 그리고 그 감시․감독기능이 공공과 민간에 있어서 그 본질이 달라지는 것은 아니다. 또한 통합된 감독기구에 의하더라도 필요하다면 공공과 민간에 따라서 구체적인 감시․감독기능을 달리할 수도 있을 것이다. 굳이 별도로 감독기구를 두는 것은 비용효과 측면에서도 바람직하지 않다. 또한 통합감독기구를 두는 경우 민간부문에서 프라이버시보호가 오히려 위축될 수 있다는 주장은 공공부문에서 현재 프라이버시보호제도가 정착되지 못했다는 전제에 기초하고 있는데, 그러나 이 주장은 향후 설립될 통합감독기구의 역할과 기능이 현재의 수준을 고착시키고자 하는 것이 아니라 보호의 수준을 강화하고자 한다는 점을 잊고 있는 것이 아닌가 생각된다. 아래 2.에서 통합의 필요성에 대해 좀 더 논증하고자 한다.

2. 통합의 필요성

물론 개인정보처리의 위험성의 정도는 공공부문과 민간부문에서 각각 다르고, 민간부문 내에서도 처리하는 개인정보의 종류와 성격에 따라 다르게 마련이다. 공공부문에서는 여러 개인정보처리기관들이 존재하면서 상이한 목적에 따라 개별적인 DB를 구축하고 있지만, 공공기관 내의 이들 개인정보DB는 공익이라는 단일의 관점에서 언제든지 용이하게 통합될 수 있는 가능성이 항상 존재한다. 이와는 달리 민간부분에서는 수많은 개별 기업들이 각자 독립된 법적 주체로서 서로 대립되는 이해관계 속에 있기 때문에 보유하는 개인정보DB를 통합하기란 어렵고 통합하더라도 부분적으로만 이루어질 뿐이다. 그만큼 공공부문의 개인정보처리의 위험성이 민간부문의 그것에 비해 더 크다고 할 수 있다. 한편, 공공부문과 민간부문에서 개인정보보호의 가치와 충돌하는, 그리하여 조율해야 되는 상반되는 가치가 반드시 동일하지 않을 수 있다. 그에 따라 공공부문에서의 개인정보처리를 규율하는 법리와 민간부문에서의 법리가 구체적인 측면에서는 각각 다를 수 있고, 민간부문 내에서도 의료정보나 생체정보, 금융정보, 온라인정보 등 각 개인정보의 성격이 다르고 침해의 위험성의 정도가 달라서 구체적인 규율방식이나 내용에 있어서 차이가 있을 수 있다.

그렇지만 개인정보자기결정권의 기본요청, 즉 정보주체는 자신에 관한 정보가 누구에 의해 어떤 목적으로 어떻게 이용되는지를 명확하게 인식하고 그러한 정보처리의 과정에 함께 참여할 수 있어야 한다는 요청은 민간부문이나 공공부문이나 동일하다. 더구나 개인정보처리에 있어서 공공부문과 민간부문을 엄밀히 구분한다는 것이 무의미한 경우도 적지 않다. 놀라운 속도로 발전해가고 있는 정보기술은 개인정보보호와 관련해서 공공부문과 민간부문의 경계를 허물어뜨리고 있다. 일단 개인정보가 디지털형태로 변환되고 네트워크상에서 접근 및 이용할 수 있게 되면, 그 개인정보는 부문의 경계를 넘어 결합되거나 공유될 수 있다.

Paul M. Schwartz & Joel R. Reidenberg, Data Privacy Law: A Study of United States Data Protection (Michie Law Publishers, 1996), p. 20.

요컨대, 개인정보처리의 기본원칙과 개인정보보호의 헌법이념이 단일의 감독기구에 의해서 공공과 민간 모두에서 함께 실현될 수 있어야 할 것이다.

이러한 감독기구의 통합은 정보주체인 시민의 권리를 실현하고 보호하는 데 있어 매우 효과적이다. 정보주체의 입장에서 보면, 자신의 개인정보가 민간부문이나 공공부문이나 그 어디에서 처리되고 있든 상관없이 단일의 통합기구에서 통일되게 감독기능이 이루어질 것이라는 믿음을 가질 수 있고, 또 권리침해가 있다고 주장하는 경우에 통합된 감독기구라는 단일의 창구를 통해서 권리구제를 요청할 수 있다는 점에서 감독기구의 통합이 요청된다고 하겠다.

나아가, 국가적인 차원에서 개인정보보호를 위한 종합적인 정책의 방향을 마련하는 일은 통합된 감독기구에서 수행될 수밖에 없다. 그리고 이 단일의 감독기구가 각 부문별 차이점을 확인하고 그에 따라 개별적이고 효과적인 법의 준수가 이루어질 수 있도록 조정하는 역할도 마땅히 수행하여야 할 것이다. 또한 통합된 감독기구가 개인정보침해기술(PITs)과 개인정보보호기술(PETs)이 미치는 영향에 대한 분석과 연구를 통합적으로 수행해나가야 할 것이다.

더 나아가, 개인정보보호는 이제 국내법제의 영역을 벗어나 범세계적 성격을 띠게 되었다. 이것은 국내법제만으로는 국경이 없는 온라인상에서 개인정보보호를 효과적으로 달성할 수 없다는 것을 의미한다. 통합된 감독기구는 개인정보보호를 위한 범세계적 차원의 원칙과 집행기준을 마련하는 데 국제협력을 모색하여야 할 것이다. 이처럼 향후 더욱 중요시 될 국제협력관계에서 한국의 위상을 높이고 선도적인 역할을 수행하기 위해서는 통합된 감독기구의 존재가 필수적이다.

비교법적 관점에서 보더라도 감독기구의 통합은 세계적인 현상이다. 앞의 도표에서 보듯이, 현재 유럽연합(European Union) 및 유럽평의회(Council of Europe) 소속 국가들을 비롯한 대부분의 국가들은 단일의 통합된 감독기구가 개인정보보호법의 준수 여부를 감시ㆍ감독함과 동시에 여러 가지 권리구제기능까지도 함께 수행하고 있다.

이러한 감독기구의 통합현상은 최근의 호주와 캐나다에서도 확인된다. 호주의 개인정보보호법은 연방차원에서 1989년 1월 1일에 발효된 「프라이버시법」(Privacy Act 1988)이다. 이 법률은 제정 당시에는 공공기관의 개인정보처리를 규율하는 공공부문의 일반법으로서 마련되었으나, 2000년 12월에 민간부문의 개인정보처리를 규율하기 위한 법개정[Privacy Amendment (Private Sector) Act 2000](2001년 12월 21일 발효)이 이루어짐에 따라 현재는 공공부문과 민간부문을 함께 규율하는 일반법으로 기능하고 있다. 이처럼 공공부문과 민간부문이 이 단일의 일반법에서 함께 규율되고 있지만, 공공부문과 민간부문에 대한 각 규율체계는 완전히 동일하지는 않다. 즉 공공부분과 민간부문의 집행체계를 다소 달리하고 있는 것이다. 그러나 양 부문에 대한 집행책임을 함께 맡고 있는 기관은 단일의 독립된 연방프라이버시보호청(Office of the Federal Privacy Commissioner)이다.

또한 캐나다는 공공부문과 민간부문의 일반법을 별도로 가지고 있지만, 감독기구는 공공부문과 민간부문을 함께 관장하는 통합된 형태를 취하고 있다.

요컨대, 개인정보감독기구를 새로이 설립하는 마당에 공공부문과 민간부문을 분리해서 각각 별도의 감독기구를 만드는 것은 무의미하고 불필요한 일이다.

IV. 개인정보감독기구의 기능과 권한

1. 세계적 흐름 : 7가지의 기능과 권한

세계 각국의 개인정보감독기구는 7가지의 서로 연관된 역할과 기능을 수행하고 있는 것으로 분석된다. i) 옴부즈맨(ombudsmen)으로서, ii) 감사관(auditor)으로서, iii) 자문역(consultant)으로서, iv) 교육자(educator)로서, v) 교섭자(negotiator)로서, vi) 정책조언자(policy adviser)로서, 그리고 vii) 집행자(enforcer)로서의 역할과 기능이 그것이다.

물론 모든 감독기구가 이 모든 역할을 동일한 비중을 가지고 수행하는 것은 아니다. 또한 이들 기능이 개인정보감독기구에 의해서만 배타적으로 수행되는 것도 아니다. 여러 국가에서는 다른 정부부처도 개인정보보호에 있어서 중요한 책임을 떠맡기도 한다. 그렇지만 개인정보감독기구의 책임자는 적어도 위와 같은 역할들이 어떻게 수행되어야 하는지에 관해서 염두에 두어야 할 필요가 있다고 하겠다. 이하에서는 이들 기능에 대하여 구체적으로 살핀다.

이들 기능에 대한 설명은 Colin J. Bennett & Charles D. Raab, The Governance of Privacy: Policy Instruments in Global Perspective (Ashgate, 2003), pp. 109-114에서 크게 참조함.

가. 옴부즈맨(ombudsmen)으로서의 개인정보감독기구

우선 모든 개인정보감독기구들은 정보주체로부터의 불만이나 민원(complaints)을 접수받고, 사실관계를 조사하며, 그리고 그 민원사항을 해결하는 기능을 수행한다. 이러한 “민원의 접수․조사․해결”(the receipt, investigation, and resolution of complaints)이라고 하는 옴부즈맨의 전통적인 기능은 모든 개인정보보호체계의 효율적인 감독기능에 있어서 가장 핵심적인 것이다. 비록 그것이 시간을 소요하고 상당한 자원을 필요로 하는 일이긴 하지만.

이러한 민원처리시스템을 구축함에 있어서는 그 기능이 원활히 수행되기 위해서 어떤 권한들이 감독기구에 주어져야 할 것인지에 대해서 면밀한 검토가 필요하다. 국가마다 다양성이 있긴 하지만, 대체로 이들 권한으로는 i) 개인정보처리기관의 구내에 출입하는 권한, ii) 개인정보처리과정에서 산출된 관련 기록을 요구할 수 있는 권한, 그리고 iii) 개인정보처리에 책임이 있는 자를 소환할 수 있는 권한을 들 수 있다. 이와 관련해서 한 가지 어려운 문제는, 정보주체에 의한 민원신청이 없더라도 감독기구가 독자적으로 법위반사실을 조사할 수 있는 권한을 줄 것인가 하는 문제이다. 일부 국가에서는 감독기구의 직권에 의한 조사권한을 부여하고 있다.

한편, 민원해결(resolution)의 방식은 매우 다양한 형태를 가질 수 있는데, 예컨대 영국에서와 같이 구속력 있는 집행명령(binding enforcement order)의 형태에서부터 캐나다, 뉴질랜드, 호주와 같이 구속력이 약한 권고(less mandatory recommendations)에 이르기까지 다양하다.

한편, 화해(conciliation)와 조정(mediation)에 의존하는 감독기구들은 개인정보처리기관이 일반인에게 나쁜 이미지를 심어주지 않기 위해서 민원제기에 대해 적극적으로 화해를 하려고 하는 경향에 의존하게 되는데, 감독기구로서는 그러한 경향을 적극 활용하여야 한다.

나. 감사관(auditor)으로서의 개인정보감독기구

민원의 조사와 해결은 그 본질이 수동적이고 소극적인 과정(reactive processes)이다. 그러나 개인정보감독기구는 여러 소스에 근거해서 특정 개인정보처리기관의 처리행태에 대해 의심을 가질 수 있으며, 따라서 그 기관이나 특정 기술에 대하여 보다 일반적인 감사(more general audits)를 실시할 수 있다. 감사(audits)는 보다 체계적일 뿐만 아니라 구체적인 민원제기에 따른 조사에 비하면 덜 대립적이다.

독일의 연방정보보호청은 그 설립 초기부터 개인정보처리시스템에 대한 감사를 실시하여 오고 있다. 독일의 감독기구들은 한 개인정보처리기관 내에서 이루어지는 개인정보처리의 모든 측면에 대한 조사기법을 발전시켜 왔다.

David H. Flaherty, Protecting Privacy in Surveillance Societies: The Federal Republic of Germany, Sweden, France, Canada, and the United States (1989), p. 77.

Colin J. Bennett, Regulating Privacy: Data Protection and Public Policy in Europe and the United States (Cornell University Press, 1992), p. 182.

감사는 그것을 얼마나 자주 행하느냐 그리고 얼마나 엄격하느냐에 따라 다양한 유형을 지닌다. 캐나다와 같은 국가에서는, 감사프로그램(an audit programme)은 비록 연방프라이버시법(Privacy Act)에서 그것을 명문화하고 있지는 않았지만 처음부터 연방프라이버시보호청의 상시적인 업무의 하나가 되어 왔다. 그 밖에 캐나다의 주 차원에서는 보다 비공식적인 현장방문(site visit)이 행하여질 수 있다. 예컨대, 캐나다의 British Columbia주의 개인정보보호청장이었던 David Flaherty는 보호청장 당시 당해 주의 대규모 공공기관에 대하여 비공식적이고 부담을 주지 않는 형태의 현장방문(site visit)을 촉구하기도 하였다고 한다.

David H. Flaherty, "How to Do a Privacy and Freedom of Information Act Site Visit" <http://www.oipcbc.org/> 참조.

한편, 일부 국가의 보호법은 명시적으로 감독기구에게 감사기능(auditing function)을 부여하고 있다. 예컨대, 캐나다 연방 차원의 민간부문 개인정보보호법인 개인정보보호및전자문서법(Personal Information Protection and Electronic Documents Act)은 감사기능이 주의 개인정보보호청(provincial commissioners)이나 회계법인(accounting firms) 또는 표준인증기구(standards certification bodies)에게 위임될 수 있음을 예정하고 있다.

표준(a standard)을 설정하는 것은 실무규약(code of practice)을 설정하는 것보다 더 큰 의미를 지닌다. 왜냐하면 표준은 개인정보보호법의 준수 여부를 평가하는 공통된 방법론을 내포하고 있는데, 그를 통해 법의 준수 여부를 독자적이고 정규적으로 검사할 수 있기 때문이다.

또한 네덜란드의 개인정보보호청장은 일정한 경우에는 공인된 감사기관(accredited auditors)에 의해서 감사가 실시되도록 요구하고 있다.

다. 자문역(consultant)으로서 개인정보감독기구

감사권한이 있든 없든, 모든 개인정보감독기구들은 각 개별 개인정보처리기관에게 어떻게 하면 개인정보보호법을 준수할 수 있는지에 관하여 언제나 조언과 자문을 행한다. 개인정보보호법의 이행은 법적 권한의 존부를 떠나서 개인정보감독기구가 얼마나 자문기능을 충실히 수행하느냐에 달려 있다고 해도 과언이 아니다. 사후에 강제력을 발동하기보다는 사전에 개인정보보호시스템을 갖추도록 장려하고 조언하는 것이 무엇보다 중요하다. 자문과 조언은 규제자와 피규제자라는 대립적 관계보다 훨씬 더 나은 것으로 간주되고 있는데, 후자의 경우 그 대립적 관계는 많은 비용을 요하고 비효율적일 수 있기 때문이다.

특히 프라이버시 침해적인 새로운 기술이나 시스템을 도입하는 경우에 개인정보감독기구의 자문역할과 기능은 매우 중요한 의미를 지닌다. 통상 개인정보처리기관들은 도입을 계획하고 있는 시스템이 개인정보보호법을 준수하게 되는지 여부를 미리 알고자 한다. 이러한 자문기능(consultative function)은 흔히 비공식적인 절차 밖에서 이루어지는 경향이 있는데, 이 때 감독기구는 나중에 당해 처리기관에 대한 민원이 제기되지 않도록 그 자문과 조언을 그 독립성이 훼손되지 않는 선에서 신중하고 공정하게 할 수 있도록 조심해야 할 것이다.

라. 교육자(educator)로서의 개인정보감독기구

개별적인 자문기능 외에, 개인정보감독기구는 보다 광범위한 교육 및 연구기능을 수행한다. 보다 큰 차원에서 감시의 문제와 프라이버시 문제를 분석․연구하고 또 개인정보처리기관과 정보주체들을 계속해서 교육시키며 정부와 사회 전반에 걸쳐 프라이버시 보호 문화(culture of privacy protection)를 촉진시키는 것은 매우 중요한 기능이다. 세계의 모든 감독기구는 이러한 기능을 부여받고 있으며, 다만 그 활동범위와 강도에 있어서 다양한 차이를 보이고 있다.

비록 한정된 자원이긴 하지만, 개인정보감독기구는 개인정보보호의 이념과 보호원칙들을 이해시키고 프라이버시보호문화를 신장하는 데 주력할 필요가 있다. 세계적으로도 각국의 감독기구들은 이러한 기능과 관련해서 흥미 있는 사례들을 보여주고 있다.

예컨대, 캐나다의 연방프라이버시보호청(Office of the Privacy Commissioner of Canada)은 민간부문의 일반법인 개인정보보호및전자문서법(Personal Information Protection and Electronic Documents Act)의 내용을 일반인에게 정확히 그리고 널리 알리기 위해 “기업과 단체를 위한 지침”(Guide for Businesses and Organizations)을 공표하고 있다. 이 지침은 법률의 이행을 확보하기 위하여 법률의 규율범위, 공정정보처리의 원칙들, 권리구제절차 등을 알기 쉬운 언어로 풀어서 상세하게 설명하고 있다. 그 밖에도 캐나다의 연방프라이버시보호청은 기업들이 어떻게 하면 이 법률을 준수할 수 있는지를 돕기 위하여 여러 가지 정보들을 제공하고 있다. 한편, 캐나다 Ontario주의 감독기구인 정보및프라이버시보호청은 개인정보보호원칙의 준수 여부에 대한 자가진단과 자체평가를 돕기 위하여 “프라이버시 진단 툴”(Privacy Diagnostic Tool)을 주요 회계법인들과 공동으로 개발하여 공표해 놓고 있다.

이 지침의 내용은 <http://www.privcom.gc.ca/information/guide_e.asp> 참조.

이들 정보자원들은 <http://www.privcom.gc.ca/ekit/ekit_e.asp>에서 확인할 수 있다.

“프라이버시 진단 툴”의 내용은 <http://www.privcom.gc.ca/ekit/ct_01_e.asp> 참조

그 밖에도 각국의 감독기구들은 이처럼 법준수를 위한 자가진단프로그램을 개발하는 데 상당한 노력을 하고 있다. 예컨대, 홍콩의 프라이버시보호청(PCO: Office of Privacy Commissioner for Personal Data)은 2000년에 공공부문과 민간부문의 개인정보처리기관들이 개인정보보호법(Personal Data [Privacy] Ordinance)의 준수 여부에 대한 자체평가를 돕기 위하여 “Privacy.SAFE: Guidance Notes for Self-Assessment"를 개발하여 공표하였다.

또한 감독기구들은 일반인들을 위한 교육과 홍보자료를 제작하여 많은 사람들이 출입하는 공공장소에 비치하고 있다. 예컨대, 네덜란드의 개인정보보호청은 개인정보보호법의 내용, 그리고 시민들의 권리와 구제절차 등을 설명하는 안내책자를 우체국에 비치하고 있다.

그 밖에 각국의 감독기구의 장들은 개인정보보호의 중요성을 알리는 연설이나 발표활동에 적극성을 보이고 있다. 나아가 각국의 감독기구들은 특별한 영역이나 기술분야에 있어서의 프라이버시 쟁점들을 조사하고 그 해결방안을 연구하며 때때로 여론조사를 수행하기도 한다. 그 연구결과물인 각종의 보고서들은 새로운 기술에 내재된 프라이버시위험을 정부나 기업 그리고 일반인에게 경고하는 매우 유용한 수단으로 작용하고 있다.

마. 정책조언자(policy adviser)로서의 개인정보감독기구

각국의 개인정보보호법은 대부분 개인정보감독기구에게 새로운 입법안이 프라이버시보호에 어떤 의미를 지니는지, 그리고 새로 도입되는 자동개인기록시스템이 어떤 영향을 미칠 것인지에 대하여 논평이나 조언을 하는 책무를 부여하고 있다. 예컨대, 캐나다의 공공부문 보호법인 프라이버시법(Privacy Act)은 연방프라이버시보호청에게 그 관할 범위 내에서 특정 쟁점에 관하여 의회에게 특별보고를 할 수 있는 권한을 부여하고 있다.

Privacy Act, Sec. 39(1).

많은 나라에서 그러하지만, 예컨대 캐나다의 경우 연방프라이버시보호청은 인구조사과정(census process)에서 항상 연방정부와 충돌과 갈등을 빚고 있다. 한편, 영국의 경우 정보보호청장은 정부의 공공서비스 확대와 사기방지를 위한 광범위한 정보공유(extensive data-sharing)를 계획하는 정부안에 대하여 그것이 가지는 프라이버시 영향에 관하여 정책적 조언을 한 바 있다.

Canada, Office of the Privacy Commissioner (OPC), Annual Report 1999-2000 (Minister of Public Works and Government Services Canada, Ottawa, 2000), pp. 49-52 참조.

United Kingdom, Performance and Innovation Unit, Cabinet Office, Privacy and Data-Sharing: The Way Forward for Public Services (Cabinet Office, 2002) 참조.

<http://www.number-10.gov.uk/su/privacy/downloads/piu-data.pdf>

그리고 일부 국가에서는 새로운 기술이 도입될 때마다 “프라이버시영향평가서”(privacy impact statement)를 작성하도록 요구된다.

미국과 캐나다의 프라이버시영향평가제도에 관해서는 구병문, “프라이버시 영향평가 제도의 국내법적 도입방안 - 공공부문을 중심으로 -”, 「제3차 개인정보보호 정책 포럼」(정부혁신지방분권위원회, 2004. 6. 16), 38-46면; 이규정․구병문, 『공공부문 프라이버시 영향평가제도』(한국전산원, 2003) 참조.

또한 각국의 감독기구들은 의회의 청문절차에서 흔히 관련 쟁점에 관해 증언을 하기도 하고, 정부의 정책에 대응해서 반대입장을 공식적으로 표명하기도 한다. 후자의 잘 알려진 사례로서는 1995년에 영국의 내무부(Home Office)가 추진하려고 했던 신분카드제에 대해 당시의 감독기구였던 정보등록청(UK Registrar: 지금의 Information Commissioner의 전신)이 깊은 우려를 표명한 사례를 들 수 있다. 당시 정보등록청은 내무부의 사실조사와는 별도로 신분카드제에 대한 국민의 태도를 자체 조사하여 그 결과를 공표하였다.

바. 자율규제의 조정자(negotiator)로서의 개인정보감독기구

일부 국가의 개인정보감독기구는 민간기관의 자율규제규범인 실무규약(privacy code of practice)에 대하여 협상하는 책무를 명시적으로 부여받고 있다.

자율규제규범으로서의 실무규약은 비록 국가법인 개인정보보호법이 존재하더라도 그 자체 뚜렷한 장점을 가지고 있다. 이 실무규약을 협상하는 과정에서 여러 상이한 부문과 영역에서 독특하게 안고 있는 프라이버시 문제에 대하여 상호 이해를 증진시킬 수 있다. 실무규약은 매우 유연한 규범이며 경제상황과 기술발전의 변화에 쉽게 적응해 나갈 수 있다. 실무규약은 또한 수범기관들이 자신들의 개인정보보호정책(privacy policy)을 공표하게 함으로써 부당한 개인정보처리행태에 관한 의심을 제거할 수 있게 하여 준다. 요컨대, 실무규약은 감독기구와 수범기관 상호간의 이해를 증진시키는 데 크게 기여할 수 있다.

그러나 자율규제규범인 실무규약과 국가법인 개인정보보호법의 관계와 관련해서 아주 어려운 문제가 있다. 실무규약을 활용하거나 장려해 온 국가들의 사례를 분석해 보면 거기에는 미묘한 차이를 지닌 3가지 모델을 발견할 수 있다.

첫째, 가장 엄격한 모델로서, 뉴질랜드의 프라이버시법(Privacy Act)이 채택하고 있는 방식이다. 뉴질랜드 방식의 핵심 포인트는 프라이버시법에 따라 협의하여 결정된 실무규약은 법적 구속력(the force of law)을 가진다는 점이다. 따라서 승인된 실무규약을 위반하는 것은 프라이버시법에서 명시한 개인정보보호원칙을 위반하는 것과 동일하고, 그 결과 법이 정한 민원처리절차 및 집행절차가 작동하게 된다.

New Zealand Privacy Act 1993, Secs. 46-53.

두 번째 모델은 다소 유연한 방식으로서 네덜란드의 방식을 들 수 있다. 네덜란드 방식은 많은 점에서 뉴질랜드와 비슷하고 또 실무규약에 대한 신중한 협상과정을 담고 있긴 하지만, 종국적으로 그 실무규약은 법원에 대하여 정식의 구속력을 가지지 않는다. 물론 만일 특정의 개인정보처리기관이 그 실무규약이 요구하는 사항들을 준수하였음을 입증할 수 있다면, 그것은 상당한 설득력을 가질 수 있을 것이다. 그러나 역으로, 실무규약의 규정을 위반하였다는 원고의 입증이 있다면, 그것은 개인정보보호법에 따른 책임을 근거지우는 일응의 증거(prima facie evidence)가 된다. 그러므로 실무규약은 직접적인 것은 아니지만 간접적인 법적 효과를 갖는다.

세 번째 모델은 영국과 캐나다가 취하는 방식으로서, 개인정보보호법이 단순히 감독기구에게 실무규약의 제정을 촉구하는 권한을 주고 있는 모델이다. 이 모델에 있어서 실무규약은 간접적인 법적 효과도 갖지 않는다. 사실 이 세 번째 모델은 유럽연합의 개인정보보호지침(Directive 95/46/EC) 제27조가 예정하고 있는 바이다.

포괄적인 개인정보보호법을 가지고 있는 입법체계에 있어서 이 자율규제규범인 실무규약의 활용에는 중요한 딜레마가 놓여 있는 것으로 보인다. 만일 감독기구가 실무규약을 정식으로 승인하지 않는다면, 그 실무규약에는 개인정보보호법의 내용과 상충하는 내용이 담길 수 있고 그렇게 되면 법의 적용과 집행에 있어서 혼란이 야기될 수도 있다. 그러나 한편으로, 만일 뉴질랜드와 네덜란드와 같이 보다 정식의 승인절차가 있는 경우에는, 그것은 본래 자율규제의 유연성을 인정하고자 의도된 실무규약의 제정을 관료화하는 결과가 초래될 수 있다.

또한 실무규약의 활용이 가지는 장점은 몇 가지 다른 문제로 인해 약화될 수도 있는데, 예컨대 일부 영역에서 실무규약이 제정되어 있다 하더라도 당해 영역 안에서 경쟁관계가 있는 경우에는 그 실무규약의 적용에 어려움이 초래될 수도 있을 것이다. 또 그 실무규약의 적용범위가 애매하거나 중복되는 경우에는 그 실무규약을 제정한 단체가 충분한 대표성을 가지는지에 대해서 논란이 제기될 수도 있다.

사. 집행자(enforcer)로서의 개인정보감독기구

개인정보감독기구의 기능과 권한 중에 개인정보보호원칙의 이행을 직접 명령할 수 있는 권한을 부여할 것인가 하는 점이 중요한 문제가 된다. 이 집행권한은 수범기관의 행위를  변경하도록 직접 명령하는 것으로서, 조사 및 권고기능과는 구별된다.

논자에 따라서는 집행자로서의 기능보다는 권고적 기능에 더 중점을 두어야 한다는 주장이 있다. 그리고 만일 개인정보처리기관이 개인정보보호에 충실하지 못한 행태를 보이는 경우 그 사실을 일반인에게 공표하는 것만으로도 매우 효과적인 제재가 될 수 있다고 주장된다.

그러나 한편으로, 다른 논자들은 설령 집행권한이 드물게 행사되더라도 그 권한의 존재 자체가 수범기관의 법준수를 이끌어내는 효과적인 기능을 수행한다고 주장한다. 더구나 수범기관인 공공기관과 민간기관은 개인정보보호원칙을 적용함에 있어서 확실성과 일관성을 유지할 필요가 있다. 정식의 집행권한을 행사하는 절차는 시간이 흐름에 따라 법의 적용에 있어서 매우 높은 수준의 일관성과 투명성, 그리고 책임성을 보장해 줄 수 있을 것이다. 그리하여 시간이 흐름에 따라 법이 준수되는 비율을 높일 수 있을 것이다.

대부분의 국가들에서는 종국적인 권리구제는 법원에서 이루어지도록 하고 있고, 각 개인정보보호법은 감독기구에 의한 민원해결절차에 대하여 법원에서 재심할 수 있도록 하고 있다. 유럽연합 개인정보보호지침(Directive 95/46/EC)은 전문의 설명 제55호(Recital 55)에서 다음과 같이 언급하고 있다: “만일 개인정보처리기관이 정보주체의 권리를 존중하지 않는 경우에, 회원국의 국내법은 사법적 구제절차를 제공해 주어야 하며 .  .  . 위법한 정보처리로 인해 입은 피해는 당해 개인정보처리기관이 보상하여야 하고 .  .  . 이 지침에 따라 취하여진 국내의 조치에 따르지 않는 자에게는 사법적 또는 공법적 제재가 가하여져야 한다.”

한편, 일부 국가에서는 비교적 전문적이고 기술적인 분쟁을 다루기에는 법원이 반드시 가장 적합한 기관은 아니라는 판단 하에, 준사법적 기능(quasi-judicial function)을 수행하는 전문가집단으로 구성되는 소규모의 심판원(tribunal)를 설립하고 있다. 예컨대, 영국은 1998년의 개인정보보호법(Data Protection Act)에서 정보보호심판원(Data Protection Tribunal)을 설립하고, 정보보호청장(Information Commissioner)의 결정에 불복하고자 하는 개인이나 개인정보처리기관이 정보보호심판원에 불복신청을 할 수 있도록 하고 있다. 이 심판원은 필요하다면 전문가패널로 구성되기도 한다. 한편, 뉴질랜드에서는 피해를 입은 개인이 프라이버시보호청장(Privacy Commissioner)의 사실인정을 다투고자 하는 경우에는 1977년의 인권위원회법(Human Rights Commission Act of 1977)에 따라 설립된 “민원심사원”(Complaints Review Tribunal)에 불복신청을 할 수 있다.

New Zealand, Privacy Act 1993, Sec. 82.

2. 향후 통합감독기구의 기능과 권한

개인정보감독기구는 집행권한을 가진 전통적인 행정기관은 아니다. 또한 반드시 국가의 정보정책에 관한 결정기관일 필요도 없다.

김일환 교수는 개인정보감독기구는 “직접적인 민주적 정당성의 결여 때문에 입법부나 행정부 대신에 감독기구가 정보정책에 관한 결정들을 내리는 것은 정당하지도 않고 적합하지도 않다.”고 지적하고 있다. 김일환, ꡔ개인정보보호법제의 정비방안에 관한 연구ꡕ(한국법제연구원, 1997), 198면.

한편, 정영화 교수는 “우리의 개인정보감독기구의 설립에 있어서 중요한 기준과 법제모델로서 유럽연합의 주요국가의 개인정보입법의 운용실태와 감독기구의 법적 지위와 권한을 절충한 방안을 제시”하면서, 다만 국가마다 사회문화와 법문화가 상이할 수밖에 없기 때문에, “감독기구의 도입을 위한 법제화는 한국인의 개인정보에 대한 이해와 견해 및 의식을 바탕으로 기술적․사회적인 복합요소를 반영하여야 한다.”고 적절히 지적하고 있다. 정영화, 앞의 글(각주 11), 31면.

개인정보감독기구의 주된 기능은 크게 예방적 기능, 사후적 민원해결기능, 정책조언기능의 세 가지로 분류할 수 있다. 첫째, 개인정보처리의 위험성을 사전적․예방적인 차원에서 막기 위하여 개인정보처리기관이 개인정보보호법의 실체적 규정(개인정보처리원칙을 구체화한 처리기관의 의무규정들)을 준수하도록 사전에 유도하는 기능이다(“예방적 기능”). 위에서 살핀 감사기능, 자문기능, 교육기능, 그리고 자율규제의 조정자로서의 기능은 이러한 예방적 기능의 일환이다.

둘째, 사후적인 민원해결기능이다. 즉 정보주체로부터의 불만이나 민원을 접수받고, 사실관계를 조사하며, 그리고 그 민원사항을 해결하는 기능을 수행한다. 이러한 “민원의 접수․조사․해결”이라고 하는 옴부즈맨의 전통적인 기능은 모든 개인정보보호체계의 효율적인 감독기능에 있어서 핵심적인 것이라고 하겠다. 물론 민원의 해결방식은 침해의 태양에 따라 다양할 수 있다. 화해를 유도하거나, 손해가 발생한 경우 조정절차를 진행하거나, 일정한 경우에는 민원인을 대신하여 법원에 소송을 제기하거나, 형사처벌에 해당하는 중대한 법위반인 경우에는 검찰에 고발하거나, 또는 행정적 제재권한을 가진 집행기관에게 행정적 제재(징계 또는 과태료부과 등)를 권유하는 등 다양하다.

셋째, 국가의 정보정책에 대한 조언자로서의 기능을 들 수 있다(“정책조언기능”). 정책을 결정하고 입안하는 기능은 행정부와 입법부가 담당하는 몫이고, 개인정보감독기구는 그러한 정책결정에 조언하는 기능을 수행할 수 있고, 또 그러해야 한다.

향후 설립될 통합감독기구는 이상의 세 가지 기능을 마땅히 수행해야 하고, 그러한 기능의 수행에 필요한 권한을 가져야 하며, 그리고 그 기능과 권한을 원활하게 수행하기 위해서는 조직의 구성과 예산확보의 측면에서 충분한 독립성이 확보되어야 한다.

다만, 새로운 통합감독기구에게 집행권한을 줄 것인가 하는 문제는 우리의 현실상황과 연관지어 진지한 검토가 더 필요하다. 이 집행권한은 개인정보보호법의 이행을 위해 수범기관의 행위를 변경하도록 직접 명령하는 권한이다. 예컨대, 개인정보처리원칙을 구체화한 개인정보보호법의 규정들을 위반하여 개인정보를 처리한 경우 당해 개인정보의 처리를 중지시키거나, 또는 개인정보처리시스템의 작동을 중지시키는 명령을 내리는 것이다. 그리고 이 명령 위반에 대해 과태료 등의 제재권한을 발동할 수도 있을 것이다. 이러한 행정처분권, 즉 집행권한을 가지는 감독기구는 전통적인 행정기관의 성격도 아울러 가지게 된다. 예컨대, 현재의 공정거래위원회나 금융감독위원회와 같은 성격을 갖게 될 것이다.

그런데 통합감독기구는 민간부문뿐만 아니라 공공부문도 그 감독의 대상으로 하기 때문에 공공기관에 대하여 이렇게 강력한 집행권한을 행사하는 것이 그 실효성 측면에서 과연 타당한지는 다소 의문이다. 입법과정에서도 상당한 논란을 불러일으킬 것으로 보인다.

판단컨대, 공공기관의 위법행위를 시정하는 방법으로서 반드시 직접적인 명령에 의하는 것만이 유일한 것은 아니다. 간접적인 집행방법이 얼마든지 가능하고 또 유효할 수 있다. 예컨대, 위법사실의 공표, 국회나 상급감독기관에의 통지, 여론조성 등의 다양한 방법에 의하여도 공공기관의 법위반을 효과적으로 시정할 수 있다.

따라서 새로운 제도를 도입하는 현 시점에서는 처음부터 강력한 집행권한을 가진 감독기구를 마련하기보다는, 기존의 제도나 기관과의 마찰을 최소화할 수 있는 형태로 감독기구를 구성할 필요가 있다고 생각된다. 감독기구의 위 세 가지 기본기능, 즉 예방적 기능, 사후적 민원해결기능, 정책조언기능의 활성화에 집중해서 그것을 제도화하고, 또 설립 이후 감독기구의 역량을 최대한 발휘하여 효과적인 개인정보보호체계를 갖추어나가는 것이 현 시점과 현 상황에서 우선되어야 할 과제라고 하겠다.

3. 향후 통합감독기구와 기존의 집행기구와의 관계설정

향후 통합감독기구가 새로이 설립된다면, 가장 바람직한 모습은 통합감독기구가 공공기관과 민간기관의 개인정보처리에 대하여 최소한 예방적 기능, 사후적 민원해결기능, 정책조언기능을 모두 일괄해서 수행하고, 현재 공공부문과 민간부문에서 개인정보보호기능을 부분적이나마 수행하고 있는 각 집행기관들(행정자치부, 정보통신부, 금융감독위원회, 보건복지부 등)은 위 기능들을 통합감독기구로 넘기고 집행기능과 정책결정기능만을 수행하는 것이다. 그리고 기존의 집행기관들은 통합감독기구와의 유기적인 협조관계를 유지하게 한다면, 보다 효과적이고 융통성 있는 개인정보보호체계를 구축할 수 있을 것이다.

이렇게 되면 당연히 부분적인 조정이 있어야 할 것이다. 공공부문의 경우 예방적 기능으로서 현재 행정자치부가 수행하고 있는 개인정보처리시스템의 사전통보 및 열람공개 기능은 새로운 통합감독기구에게 넘어가야 할 것이다. 그러나 이 부분도 현실의 입법과정에서 적정하게 조율할 수 있을 것으로 보인다. 예컨대, 행정자치부가 이 기능을 그대로 수행하고, 대신에 통합감독기구는 그에 대한 감사기능을 사후적으로 수행할 수도 있을 것이다.

한편, 민간부문의 경우 정보통신부 산하의 개인정보분쟁조정위원회가 수행하는 분쟁조정기능은 통합감독기구로 이관되어야 할 것이다. 그리고 위에서 언급한 바와 같이 분쟁조정기능은 민원신청에 따른 조사기능과 분리될 수 없기 때문에, 현재 한국정보보호진흥원의 개인정보침해신고센터가 수행하는 민원접수 및 조사기능도 함께 통합감독기구로 이관되어야 할 것이다.

신용정보 분야의 감독기구라고 할 수 있는 금융감독위원회는 어차피 지금도 신용정보보호를 위한 감독기능을 수행하고 있지 않기 때문에 그 기능을 통합감독기구로 이관하는 데 큰 어려움은 없을 것으로 보인다.

한편, 통합감독기구가 존재한다고 해서 그것이 곧 바로 효과적인 개인정보보호체계의 확립으로 이어지는 것은 아니다. 공공과 민간의 그 수많은 개별 개인정보처리기관에 대해 한정된 자원의 통합감독기구가 일일이 감독기능을 수행할 수도 없다. 때문에 공공기관과 민간의 중요 개인정보처리기관의 내부에 독립적인 위상과 독자적인 기능을 가진 개인정보보호책임자(CPO: Chief of Privacy Official)를 반드시 두도록 해야 할 것이다. 이 개인정보보호책임자가 당해 기관 내부의 개인정보처리를 감독하고 개인정보보호법을 준수하도록 하는 1차적인 감독기능을 수행하는 것이 무엇보다 중요하고 필요하다. 이 개인정보보호책임자는 당해 기관에 소속된 자이지만, 기능적으로는 통합감독기구의 현장감사관이 되는 것이다.

V. 개인정보감독기구의 위상과 조직

1. 위상 : 독립성 확보 방안

통합감독기구의 위상을 어떻게 정립할 것인가의 문제는 “감독기능의 독립성”과 “감독기능의 실효성”이라는 두 가지 관점에서 접근되어야 한다.

통합감독기구는 국가인권위원회와 같이 조직상 행정부로부터 분리된 독립기관으로서의 위상을 가질 수도 있고, 아니면 공정거래위원회나 금융감독위원회와 같이 행정부 소속의 감독기구로서의 위상을 가질 수도 있다.

그 동안 시민사회단체에서는 국가인권위원회와 같은 수준의 독립합의제 행정기구를 주장하여 왔다. 실제로 2004년 9월 24일 “개인정보보호기본법 제정을 위한 입법공청회”에서 시민사회단체가 내 놓은 「개인정보보호기본법(안)」은 행정부로부터 독립된 합의제 감독기구(“개인정보보호위원회”)를 상정하고 있다.

또한 김일환 교수도 매우 강한 독립성을 요구하고 있다. 즉 공공기관의 개인정보처리를 감독하는 “통제기관은 모든 국가기관을 감독해야만 하며 특히 경찰과 첩보기관을 효율적으로 감독할 수 있는 방안을 강구해야만 한다. 결국 이러한 임무를 수행하기 위해서는 입법부, 사법부, 행정부 어느 하나에 속하지 않는 통제기관을 만들어야만 한다. 왜냐하면 이러한 통제기관은 충돌하는 여러 이해관계들을 형량해야 하기 때문이다.” 그리하여 신분도 법관에 상응하는 정도로 보장되어야 한다고 주장한다.

김일환, ꡔ개인정보보호법제의 정비방안에 관한 연구ꡕ(한국법제연구원, 1997), 196 - 198면 참조.

한편, 정보통신정책연구원의 이민영 연구원은 독립규제위원회의 위상을 주장하고 있다: “개인정보보호에 관한 전담감독기구의 설치는 공공 및 민간 분야의 개별법령을 총괄할 수 있어야 하고 인사 및 예산에서의 독립성도 보장되어야 하므로, 기존 사법부에 의한 사법절차의 비효율성과 기존 행정부의 비전문가 관료에 의한 행정경직성으로부터 탈피하자는 차원에서 준입법권과 준사법권을 갖는 합의제행정청으로서 독립규제위원회로 조직할 것을 제안하는 바이다. . . . 독립규제위원회는 정치적 중립성․직무의 전문성․조직의 독립성을 보장할 수 있기 때문이다.” 그러나 이민영 연구원은 이러한 독립규제위원회의 소속과 관련해서는 “정부 안에 독립된 규제위원회를 두거나” 또는 “국무총리 소속의 행정위원회를 창설”하는 방안을 제시하고 있다.

이민영, “개인정보보호법제의 개편논의와 개선방안”, 『정보통신정책』제16권 제1호(정보통신정책연구원, 2004), 42-43면.

이민영, 위의 글, 43면.

그런데 독립성 측면에서는 독립기관으로서의 위상이 바람직할 수도 있으나, 우리의 현실에서 감독기능의 실효성도 함께 담보할 수 있어야 한다. 특히 통합감독기구는 공공기관의 개인정보처리를 함께 감독대상으로 하기 때문에 실효성 확보를 위해서는 대통령 또는 국무총리 직속기관의 위상을 갖는 것이 타당할 것으로 판단된다.

물론 이 경우 독립성의 확보에 의문이 있을 수 있으나, 이 문제는 조직구성과 임명방식, 예산, 기능 등에 있어서 자율성과 독립성을 확보하는 것으로 해결할 수 있다고 생각된다. 위에서 살핀 바와 같이, 유럽연합의 개인정보보호지침에서 요구되는 감독기구의 독립성은 기능적 독립성을 의미하는 것이지, 반드시 조직상의 독립성을 요구하는 것은 아니다.

또한 국제개인정보보호기구회의(ICDPC; International Conference of Data Protection Commissioners)가 자격 있는 개인정보감독기구로서 인정하는 기준에 의하더라도 조직상의 독립성은 반드시 요구되지 않는다. 그 독립성 기준은 다음과 같다. 즉 “감독기구는 그 기능을 수행함에 있어서 필요한 정도의 자율성과 독립성을 보장받아야만 한다.” 여기서 “자율성”이라 함은 다른 기관의 허가를 받을 필요 없이 필요한 조치와 직무를 수행할 수 있는 법적 및 실제적인 권한을 부여받아야 한다는 것을 의미한다. 그리고 “독립성”이라 함은 정치적인 간섭 또는 정부의 간섭 없이 자유롭게 직무를 수행할 수 있어야 하고, 기득권세력의 영향을 거부할 수 있어야 한다는 것을 의미한다. 이러한 기능적 독립성이 담보되기 위해서는 다음의 다섯 가지 요소들이 보장되어야 한다: (i) 임기제에 의한 임명, (ii) 무능, 직무태만 또는 중대한 비행에 의한 경우에 한해서만 면직, (iii) 국가원수 또는 입법부에 대해 직접 보고할 수 있는 권한 및 관련 사안들에 대해 공적으로 논평할 수 있는 권한, (iv) 직무수행을 이유로 한 법적인 소추를 개인적으로 받지 않을 특권, 그리고 (v) 조사를 실시할 수 있는 권한.

ICDPC, "Criteria and Rules for Credentials Committee and the Accreditation Principles", B. 2. 참조. 이 기준은 2001년 9월의 제23차 국제회의에서 채택되었고, 2002년 9월의 제24차 국제회의에서 일부 개정되었다. 원문은 <http://www.privacyconference2003.org/pdf/Criteria_and_Rules.pdf>.

요컨대, 이상의 점들을 고려할 때, 통합감독기구는 독립성을 강조한다면 국가인권위원회와 같은 위상이 바람직할 것이고, 감독기능의 실효성을 함께 고려한다면 대통령직속 또는 국무총리 소속의 위상도 가능할 것이다. 다만, 후자의 경우 그 조직구성에 있어서의 신분보장, 예산편성의 독립, 그리고 직무수행에 있어서의 독립이 보장되어야 할 것이다.

2. 조직형태

통합감독기구의 조직구성과 관련해서, 유럽의 경우에는 1인의 감독관을 임명하는 독임제 방식이 다수 있지만, 우리의 현실에서는 위원회방식이 더 타당할 것으로 보인다.

2004년 9월 24일 “개인정보보호기본법 제정을 위한 입법공청회”에서 시민사회단체가 내 놓은 「개인정보보호기본법(안)」은 9인의 위원으로 구성된 합의제기구를 상정하고 있다. 개인정보보호위원회는 위원장 1인과 3인의 상임위원을 포함한 9인의 개인정보보호위원으로 구성하도록 하고 있다(안 제32조 제1항).

그런데 위원회의 규모에 있어서는 9인안과 5인안이 있을 수 있다. 9인안의 경우 위원회는 9인으로 구성하고, 그 중 위원장을 포함하여 3인을 상임으로 하고, 나머지 6인은 비상임으로 할 수 있을 것이다.

한편, 5인안은 전체 5인의 위원으로 구성하고, 모두를 상임으로 할 수도 있다. 결정의 신속성과 효율성을 위해서는 위원수가 적을수록 좋고, 향후 통합감독기구가 수행해야 할 업무의 범위와 양에 비추어 모두 상임으로 할 필요가 있다. 상임과 비상임을 나누는 경우 조직의 활력이 저하될 수도 있기 때문이다. 필자는 5인안에 동의하고자 한다. 참고로, 미국의 민간부분 개인정보감독기구인 연방거래위원회(Federal Trade Commission)는 행정부로부터 분리된 독립규제위원회로서 7년 임기의 5인의 위원으로 구성되어 있다. 연방통신위원회(Federal Communications Commission)도 5년 임기의 5인의 위원으로 구성되어 있다.

3. 위원의 임명방식

독립성을 담보하는 가장 최선의 임명방식은 대통령이 위원 전원을 임명하되, 모두에 대해 국회의 동의를 받도록 하는 것이다. 사실 이 방식은 국민에게 직접 정치적 책임을 지는 두 대표기관의 상호 협력에 의하여 기관구성을 함으로써 당해 기관의 독립성과 민주적 정당성을 확보하는 것을 가능하게 해 준다. 미국과 같은 대통령제 하에서 이 방식은 독립기관을 구성하는 가장 정상적이고 자연스러운 방식이다. 예컨대, 우리나라도 대법원을 구성함에 있어 대법원장과 대법관 모두 국회의 동의를 얻어 대통령이 임명하도록 하고 있다(헌법 제104조).

그런데 우리나라의 경우 이러한 구성방식은 자연스러운 방식으로 인식되지 않고 있다. 오히려 대통령, 국회, 대법원이 기관구성권의 일부를 각각 독자적으로 행사하고 그것을 산술적으로 합쳐 기관을 구성하는 방식이 자연스러운 것으로 받아들여지고 있다. 예컨대, 9인의 헌법재판관으로 구성되는 헌법재판소와 9인의 위원으로 구성되는 중앙선거관리위원회는 대통령이 3인 지명, 국회가 3인 선출, 대법원장이 3인 지명의 형태로 구성되고 있다(헌법 제111조 및 제114조). 그 밖에 국가인권위원회도 국회가 선출하는 4인, 대통령이 지명하는 4인, 대법원장이 지명하는 3인으로 구성하고 있다(국가인권위원회법 제5조). 2000년 전면개정되기 전의 방송법상의 방송위원회도 대통령 3인, 국회 3인, 대법원장 3인으로 구성되어 있었다.

그러나 이 같은 나눠먹기식 기관구성방식은 타당한 조직구성방식이라고 말할 수 없다. 특히 아무런 정치적 책임을 지지 않는, 그렇기 때문에 또한 강한 독립성이 보장되는 사법기관인 대법원장이 정치적 성격과 행정적 기능을 가지는 국가기관의 구성에 참여하는 것은 책임정치의 원리에 맞지 않을 뿐만 아니라 사법권의 독립성 원칙에도 부합되지 않는 매우 비정상적인 것이다. 이 점에 대한 문제인식 하에 지난 2000년 전면개정된 방송법에서는 방송위원회의 구성에서 대법원장의 기관구성권을 삭제한 것이라고 하겠다.

판단컨대, 통합감독기구를 구성함에 있어 그 기능의 독립성과 민주적 정당성을 담보하기 위한 최선의 방식은 국민의 정치적 대표인 대통령과 국회가 상호 협력하여 두 기관이 합의하는 위원으로 구성하는 것이라고 생각된다. 그럴 때 통합감독기구의 소속은 비록 대통령 직속이지만, 권위와 위상은 감사원에 버금가는 것이 될 것이다.

2004년 9월 24일 “개인정보보호기본법 제정을 위한 입법공청회”에서 시민사회단체가 내 놓은 「개인정보보호기본법(안)」은 9인의 위원으로 구성되는 개인정보보호위원회의 구성을 “국회가 선출하는 5인(상임위원 2인을 포함한다)과 대통령이 지명하는 4인을 대통령이 임명한다.”고 규정하고 있다(안 제32조 제2항).

그러나 이 방식 또한 국회와 대통령에 의한 나눠먹기식 구성방식으로서 바람직하지 않다. 국회와 대통령이 협동하여 함께 위원 구성에 참여해야 할 것이다. 그것이 상호견제의 권력분립 정신에 부합하는 것일 뿐만 아니라 위원회의 민주적 정당성을 확보하는 바람직한 방법이라고 하겠다.

VI. 개인정보감독기구와 국가인권기구와의 관계

1. 문제제기의 배경

개인정보감독기구가 필요하다고 할 때 굳이 인력과 예산이 별도로 요구되는 또 하나의 국가기관을 설립하기보다는, 기존에 존재하는 국가인권위원회에 개인정보감독기능을 수행하는 소위원회를 두는 방안이 거론될 수 있다.

물론 국가인권위원회도 개인정보의 보호를 위한 기능을 충분히 수행할 수 있다. 국가인권위원회는 “모든 개인이 가지는 불가침의 기본적 인권을 보호하고 그 수준을 향상시킴으로써 인간으로서의 존엄과 가치를 구현하고 민주적 기본질서의 확립에 이바지함”(국가인권위원회법 제1조)을 목적으로 하고 있고, 또 인권침해에 대한 조사 및 구제기능(법 제4장)을 가지고 있기 때문이다.

그러나 아래에서 구체적으로 살피는 바와 같이 현재의 국가인권위원회로서는 공공부문과 민간부문의 개인정보처리를 사전적이고 예방적으로 감시․감독하고 또 효과적인 권리구제기능을 수행하기에는 역부족인 것으로 판단된다. 아래에서는 우선 세계적 동향을 살펴보고, 이어 현재의 국가인권위원회의 기능에 비추어 본 몇 가지 한계를 간략히 살피기로 한다.

2. 세계적 동향

가. 주요 외국의 국가인권기구 및 개인정보감독기구의 현황

아래 <표 3>에서 보는 바와 같이, 유럽을 위시한 외국의 주요 국가들은 거의 대부분 국가인권기구(National Human Rights Institution)를 두면서 별도로 개인정보감독기구(Data Protection Authority)를 따로 설치하여 운영하고 있다.

외국의 국가인권기구들은 주로 각종의 차별행위를 조사하고 구제하는 기능을 주된 업무로 하고 있다. 그러나 개인정보보호의 문제는 차별문제와는 그 성격이 다르기 때문에 그 접근방식도 달라 별도의 개인정보감독기구를 두고 있는 것으로 판단된다.

<표 3> 각국의 개인정보감독기구와 국가인권기구

이 표는 국가인권기구포럼<http://www.nhri.net/>과 유럽평의회<http://www.coe.int/>의 홈페이지에서 각 제공된 자료를 정리한 것임.

국가명	개인정보감독기구	국가인권기구
오스트리아	Data Protection Commission	Austrian Ombudsman Board
벨기에	Commission for the Protection of Privacy	Centre for equal opportunities and opposition to racism
덴마크	Danish Data Protection Agency	Danish Institute for Human Rights
프랑스	National Commission for Computerization and Freedom	National Consultative Commission of Human Rights
독일	Federal Data Protection Commissioner	German Institute for Human Rights
룩셈부르크	Consultative Commission for Data Protection	Consultative Commission of Human Rights
네덜란드	Data Protection Commission
노르웨이	Data Inspectorate	Norwegian Centre for Human Rights
포르투갈	National Data Protection Commission	Ombudsman Office
스페인	Data Protection Agency	Office of the Ombudsman
스웨덴	Data Inspection Board	Swedish Ombudsman against Ethnic Discrimination(DO) Swedish Disability Ombudsman(HO)
스위스	Swiss Federal Data Protection Commissioner	Federal Commission against Racism
영국	Office of the Information Commissioner	Northern Ireland Human Rights Commission
호주	Privacy Commissioner	Human Rights and Equal Opportunity Commission
뉴질랜드	Privacy Commissioner	Human Rights Commission
태국	Official Information Commission's Office	National Human Rights Commission of Thailand
필리핀		Commission on Human Rights
대만	Ministry of Justice
홍콩	Office of the Privacy Commissioner for Persona Data
캐나다	Privacy Commissioner (공공부문) Federal Authorities (민간부문)	Canadian Human Rights Commission
미국	Office of Management and Budget (공공부문) Federal Trade Commission (민간부문)	Equal Employment Opportunity Commission
일본
한국		National Human Rights Commission

나. 호주의 특수사례

: 국가인권기구에서 분리되어 별도의 개인정보감독기구 설립

호주의 개인정보감독기구는 처음에는 국가인권기구 소속 하에 있다가 2000년 7월 1일부터 독립된 기관으로 분리되어 활동하고 있다.

호주의 국가인권기구인 「인권및평등기회위원회」(Human Rights and Equal Opportunity Commission)는 인권및평등기회위원회법(Human Rights and Equal Opportunity Commission Act)에 의하여 1986년에 설립되었다. 이 위원회는 위원장 1인(President)과 5인의 위원(Commissioners)으로 구성되는데, 5인의 위원들은 5개 영역을 각각 나누어 책임지고 있다. 그리하여 각 위원마다 별도의 명칭을 사용한다. 즉 Human Rights Commissioner, Disability Discrimination Commissioner, Race Discrimination Commissioner, Sex Discrimination Commissioner, Aboriginal and Torres Strait Islander Social Justice Commissioner가 그것이다. 1989년 1월 1일에 발효된 「프라이버시법」(Privacy Act 1988)은 이 인권및평등기회위원회 소속 하에 프라이버시 담당 위원으로서 “프라이버시위원”(Privacy Commissioner)를 두고 있었다.

그러다가 연방의회는 프라이버시위원(Privacy Commissioner)을 인권및평등기회위원회로부터 분리하여 2000년 7월 1일부터 별개의 독립된 프라이버시보호기구로서 “연방프라이버시보호청”(Office of Privacy Commissioner)을 설립하였다.

기구분리안은 1998년에 연방정부가 처음으로 제기하였는데, 2000년 2월 17일에 당시 인권및평등기회위원회의 프라이버시위원(Privacy Commissioner)이었던 Malcolm Crompton은 이 법률안에 대하여 적극 찬성하는 입장을 개진하였다. 그는 기구분리안은 프라이버시보호를 위한 “가장 효과적인 방법”(most effective way)이라고 설명하면서, 분리는 “타당한 행정원칙들”(sound administrative principles)에 입각한 것이며, 분리된 연방프라이버시보호청은 제안된 민간부문 보호법을 가장 효과적으로 집행할 수 있을 것임을 보장한다고 주장하였다.

<http://www.privacy.gov.au/news/00_02.html> 참조.

3. 현재의 국가인권위원회의 기능적 한계

현재의 국가인권위원회는 개인정보감독기능의 독립성 확보라는 측면에서는 문제가 없으나, 개인정보감독기능 및 권리구제기능의 실효성 측면에서는 다음과 같은 한계가 있는 것으로 분석된다.

(1) 국가인권위원회는 공공기관의 활동상황을 항시적으로 감독하는 기구는 아니다.

위에서 살핀 대로, 개인정보는 정보주체가 인식하지도 못한 상태에서 수집․처리․제공되며, 또 처리기관 내부에서 이루어지는 위법적인 상황을 외부자인 정보주체가 충분히 파악할 수도 없는 특수한 상황이 존재한다. 이 때문에 피해자인 정보주체에게 법적 권리를 보장한다는 것만으로는 의미가 없는 일이 된다. 그렇기 때문에 개인정보처리기관의 처리상황을 항시적으로 감시․감독할 수 있는 감독기구가 필요한 것이다.

그러나 국가인권위원회는 그 기구의 존재이유가 항시적인 감독기능을 수행하도록 예정되어 있는 기구는 아니다. 국가인권위원회법 제30조 제1항 제1호는 “국가기관, 지방자치단체 또는 구금ㆍ보호시설의 업무수행(국회의 입법 및 법원ㆍ헌법재판소의 재판을 제외한다)과 관련하여 헌법 제10조 내지 제22조에 보장된 인권을 침해당한 경우”에 위원회에 진정을 할 수 있도록 하고, 위원회는 그 진정에 따라 조사 및 조정기능을 수행하도록 하고 있다.

그러나 개인정보처리기관 내부에서 이루어지는 위법상황이나 침해상황을 알 수 없다는 것이 문제이다.

(2) 국가인권위원회는 개인정보보호를 위한 예방적 기능을 수행하는 기구는 아니다.

개인정보는 그 침해가 집단적으로 이루어지고, 사후적인 구제장치만으로는 그 보호의 실효성을 확보하기 어렵다. 때문에 예방적 보호가 무엇보다 중요하다. 개인정보처리시스템 현황을 사전에 신고를 받는다든지, 등록을 하게 한다든지, 그 현황들을 공개한다든지, 처리기관 내부의 개인정보보호담당자와 긴밀한 협조관계를 유지한다든지, 프라이버시영향평가제를 시행한다든지 등의 예방적 보호장치가 필요하다.

그러나 국가인권위원회는 이러한 예방적 기능을 수행하도록 예정되어 있지 않으며, 그러한 기능과 권한을 가지게 할 수 있는지 의문이다.

(3) 국가인권위원회는 개인정보보호에 관한 종합적이고 체계적인 정책을 입안하고 제시할 수 있는 전문성을 갖추고 있지 않다.

개인정보보호의 문제는 상충하는 가치와 이해의 대립이 미묘하고도 복잡한 영역이다. 때문에 체계적이고 종합적인 정책방향을 전문적으로 검토하고 입안하여 정책결정기관에 이를 제시하고 권유하는 것이 매우 중요하다.

그러나 국가인권위원회는 “인권에 관한 법령․제도․정책 . . . 에 관한 권고 또는 의견의 표명”(국가인권위워회법 제19조 제1호)을 할 수는 있으나, 종합적이고 체계적인 관점에서 개인정보보호에 관한 정책을 전문적으로 입안하고 그것을 정책에 반영시킬 수 있도록 적극적인 자문기능을 부여받고 있지는 않다.

(4) 국가인권위원회는 민간부분의 개인정보보호를 위한 감독 및 구제기구로는 부적합하다.

국가인권위원회법 제30조 제1항 제2호는 “법인, 단체 또는 사인에 의하여 평등권침해의 차별행위를 당한 경우”에 위원회에 진정을 하고, 그 진정에 따라 위원회가 조사기능을 수행하도록 하고 있다.

개인정보보호의 문제는 차별문제가 아니며, 특히 민간영역에서의 개인정보보호의 문제는 공공부문에서의 그것에 비해 상충하는 가치와 이해가 복잡하고 미묘하다. 특히 민간의 자율규제가 가능하고 또 이를 활용해야 될 필요성이 높다. 예컨대, 개인정보신뢰마크제의 운영 등이 필요하다. 또한 개인정보보호기술이 시장에서 활성화될 수 있도록 하는 시책을 마련하고 시행하는 것도 매우 중요한 일이다. 이러한 기능과 역할을 국가인권위원회가 담당할 수는 없는 노릇이다.

4. 소결

현재 우리나라의 국가인권위원회의 기능적 한계를 고려할 때, 현재의 국가인권위원회가 공공부문과 민간부문의 개인정보처리를 사전적이고 예방적으로 감시․감독하고 또 효과적인 권리구제기능을 수행하기에는 역부족인 것으로 판단된다. 향후 국가인권위원회가 개인정보감독기구의 기능을 충실히 수행하기 위해서는 국가인권위원회법의 개정을 통해 그 기능과 조직을 대폭 강화하여야 할 것이다. 그렇지 않으면, 별도의 독립된 개인정보감독기구를 설치하여야 할 것이다.

VII. 결론 : 정책적 제언

아래에서는 다음과 같은 정책적 제언을 제시하는 것으로 결론을 대신하고자 한다.

(1) 개인정보자기결정권에 대한 올바른 이해가 필요하다. 오늘날 놀라운 정보기술의 발전으로 인해, 디지털화된 개인정보가 정보주체도 인식하지 못한 채 타인의 수중에서 무한대로 수집ㆍ축적ㆍ처리ㆍ가공ㆍ이용ㆍ제공될 수 있게 되었으며, 그리하여 개인의 실존인격과 분리된 또 하나의 총체적 인격상이 타인의 수중에서 쉽게 획득되고 조작될 수 있는 가능성이 점차 현실화되고 있다. 개인정보자기결정권은 이러한 정보환경에서 그 정보주체의 인간존엄과 민주적 가치질서를 확보하기 위해 필수불가결하게 요구되는 헌법적 요청이다. 동시에 개인정보자기결정권의 보장은 개인정보처리의 필요성과 그 사회적 가치를 부정하는 것이 아니라 오히려 개인정보처리의 가치를 규범적으로 수용하기 위한 전제조건이다.

종래의 사생활권이 은둔으로서의 사생활보호(privacy as seclusion)라는 소극적 성격의 것이었다면, 이 개인정보자기결정권은 참여로서의 사생활보호(privacy as participation)라는 적극적 성격을 지닌다. 정보주체는 자신에 관한 정보가 누구에 의해 어떤 목적으로 어떻게 이용되는지를 명확하게 인식하고 그러한 정보처리의 과정에 함께 참여할 수 있어야 한다. 이러한 참여로서의 사생활보호 모델은 특히 공공부문에서 정부가 개인정보처리의 남용을 통해 국민을 감시하고 통제하고자 하는 위험을 차단시키는 역감시의 기능을 수행한다.

(2) 그나마 참여모델을 지향하고 있는 현행의 개인정보보호를 위한 입법체계도 상당히 “불균형적”이고 “불완전”하다. 균형 잡힌 완전한 역감시의 참여모델로 전환시켜야 할 것이다.

우선, 보호체계의 “불균형성”은 개인정보처리의 위험성이 높고 그만큼 보호필요성이 큰 분야에 보다 엄격한 보호체계가 마련되어야 함에도 우리의 현행 법제는 그러한 체계성이 부족하다는 점에서 확인될 수 있다. 높은 보호수준이 요구되는 공공부문에서는 보호의 수준이나 집행체계가 매우 미약한 반면, 민간부문에서는 특히 온라인과 신용정보 영역에서 표면상으로는 상당히 높은 보호수준과 형사처벌 및 행정제재를 포함하는 강력한 집행체계를 가지고 있다. 현행 공공기관개인정보보호법은 참여모델을 지향하고는 있으나, 전자정부의 효율성 이념과 가치에 압도되어 충분한 역감시의 참여모델을 구현하지 못하고 있다. 여러 가지 한계와 문제점으로 인해 자칫 “개인정보보호법”이 아닌 “개인정보이용법”으로 전락할 우려도 있다. 2004년 6월 정부가 국회에 제출한 개정법률안도 아직 충분하지 못한 것으로 평가된다. 향후 공공부문에서는 그 보호수준과 집행체계를 더욱 강화하고, 민간부문에서는 보다 명확한 행위기준을 제시하는 방향으로 보호체계의 불균형을 시정하여야 할 것이다.

다음으로, 보호체계의 “불완전성”은 두 가지 차원에서 확인될 수 있는데, 첫째는 참여모델로서의 개인정보보호법의 보호범위에 속하지 못하는 영역들이 다수 존재한다는 점에서 불완전하고, 둘째는 보호범위에서 제외되어 있는 영역에서는 은둔모델로서의 비밀보호법만이 존재하고 있어 개인정보처리의 필요성과 가치를 도외시하고 있다는 점에서 불완전하다. 우리의 현행 입법체계는 한 마디로 “이원적․영역별․부분적 입법체계”라고 할 수 있다. 공공부문과 민간부문이 분리되어 각각의 보호입법이 마련되어 있지만, 그 나마도 각 부문에서 존재하는 보호입법이 모든 영역을 포섭하지 못하고 있다. 한편, 현재 많은 영역이 비밀보호를 위한 은둔모델에 의해서 규율되고 있는데, 역감시의 참여모델로 전환시켜야 할 것이다. 종래의 은둔모델로서는 개인정보의 “활용”과 “보호”를 동시에 추구할 수 없기 때문이다.

(3) 이렇게 불균형적이고 불완전한 현재의 입법체계를 보완하여 보호의 공백을 메움과 동시에 독립된 감독기구에 의한 예방적이고 효과적인 감시체계를 마련하여야 한다는 입법정책의 목표를 달성하기 위해서는 다음과 같은 대안적인 입법체계를 구상할 수 있다.

우선, 통합입법이 절대적이고 유일한 선택은 아니다. 공공부문과 민간부문에서 현존하는 보호의 공백을 메우는 것이 우선적으로 중요한 목표이기 때문에, 이 목표는 공공부문 일반법과 민간부문 일반법을 통해서 확보할 수 있다. 그렇다면 공공부문 일반법인 공공기관개인정보보호법을 존치시키되, 보호의 불완전성을 개선하기 위하여 규율내용을 더욱 강화하여야 한다. 현행의 공공기관개인정보보호법과 개정법률안에 비해 보다 강화된 개선안을 마련하여야 한다. 아울러 공공기관의 개인정보처리가 보호법을 준수하는지 여부를 예방적인 차원에서 그리고 상시적으로 감시할 수 있는 독립된 감독기구의 존재가 필수적이다.

한편, 민간부문 일반법은 새로이 제정하여야 한다. 현재 정보통신부가 추진하는 민간부문 일반법은 몇 가지 문제점과 한계를 가지고 있다. 첫째, 원래 온라인의 특수성에 따른 강한 보호를 위하여 마련되었던 온라인개인정보보호법(정보통신망법상의 개인정보호보규정)의 내용을 그대로 민간부문 일반법으로 가져가면 매우 강력한 일반법이 된다. 그러나 민간부문의 경우 기업의 일반적인 경제활동이 점차 고객정보의 처리에 의존하게 되는 구조로 옮겨가고 있기 때문에 종래 온라인에 적용되던 높은 수준의 보호체계를 그대로 민간 일반에 가져가는 것은 경제활동에 심각한 위축을 초래할 수 있다. 특히 민간부문의 경우에는 소비자의 자유의사에 의한 선택권이 존재하고 있고 또 산업계의 자율규제의 가능성도 남아 있기 때문에 처음부터 높은 수준의 보호체계를 마련하는 일은 신중해야 할 것이다. 때문에 민간부문의 일반법에서는 최저한의 보호수준을 마련하고, 온라인, 신용정보, 의료정보 등 높은 보호수준과 특수한 규율이 필요한 영역에서는 특별법을 통해 대응해나가야 할 것이다.

둘째, 정보통신부가 추진하는 일반법은 어떤 행정부처가 집행의 주체가 될 것인지와 관련해서 많은 갈등의 여지를 안고 있다. 행정조직체계상 정보통신부나 특정 행정부처가 모든 민간기업과 단체의 개인정보처리에 대한 집행기능을 수행한다는 것은 이론상 및 실제상 무리가 될 수 있기 때문이다. 민간부문에서 바로 이러한 집행관할의 문제와 더불어 집행의 효율성 문제 때문에 독립된 감독기구의 설립이 요구되는 것이다. 일반적으로 행정부처의 집행권한은 사후적인 것이다. 그러나 효과적인 개인정보보호는 사후적인 집행권한의 행사만으로는 달성될 수 없다. 예방적이고 상시적인 감시체계가 반드시 필요한 것이다.

요컨대, 정보통신망법상의 개인정보보호규정은 필요하다면 별도로 떼어내어 가칭 온라인개인정보보호법이라는 특별법을 마련할 수 있을 것이다. 그리고 현재 정보통신망법에서 규율하는 오프라인 영역은 새로이 제정되는 민간의 일반법에서 흡수하게 될 것이다. 그리고 이 일반법은 최저한의 보호수준으로 실체적 규율내용을 담고, 아울러 독자적인 감독기구를 마련해야 할 것이다.

이렇게 되면 남는 문제는 감독기구를 민간부문과 공공부문으로 분리하여 둘 것인가, 아니면 통합할 것인가 하는 문제이다. 비록 공공부문과 민간부문에서 개인정보보호의 가치와 상충하는 가치들이 각각 다르고 그에 따른 법리와 구체적인 규율내용이 다를 수 있다 하더라도, 예방적인 감시의 체계는 동일하게 필요하다. 따라서 민간부문과 공공부문을 통일적으로 감시․감독하는 독립된 감독기구가 요구된다. 현재 시민사회단체를 비롯한 통합일반법제정론이나 정부혁신지방분권위원회가 상정하는 기본법제정론은 모두 이 독립된 통합감독기구의 구성에 초점을 맞추고 있다고 해도 과언이 아니다. 또한 공공․민간 분리입법론에서도, 행정자치부와 정보통신부의 입법정책을 제외한다면, 일반법을 각각 분리하더라도 감독기구의 통합을 반대할 이유는 없다.

그렇다면 다음과 같은 세 가지 방안을 상정할 수 있다. 첫째, 공공부문 일반법과 민간부문 일반법을 각각 두면서, 양 부문의 개인정보처리를 모두 감시․감독하고 소송외 분쟁해결기능을 통합적으로 수행하는 독립된 감독기구를 설치하기 위한 가칭 개인정보감독기구설치법을 별도로 제정하는 것이다.

둘째, 기본법을 제정하여 기본이념, 국가의 책무와 시책, 기본개념의 정의, 개인정보처리의 기본원칙을 담고, 거기에 통합된 감독기구의 설립근거와 기능을 규정하는 것이다. 그리고 공공부문 일반법과 민간부문 일반법을 두고, 또 특수한 영역에는 특별법을 두는 것이다.

현재 정부혁신지방분권위원회가 추진하는 기본법은 공공부문과 민간부문에 모두 적용되는 실체적인 규정을 담고 있어 일반법의 성격도 아울러 지니는데, 그렇게 되면 현재의 공공기관개인정보보호법과의 관계가 문제된다. 두 법이 모두 존재하게 되면, 공공부문의 일반법이 두 개 존재하는 셈이 되기 때문이다.

셋째, 일본의 입법체계를 차용하는 방안인데, 위 둘째의 기본법과 민간부문 일반법을 단일의 법률에 포섭시키는 방안이다. 입법경제적인 관점에서 유용할는지 모르나 다소 기형적인 입법형태가 아닌가 생각된다.

본 보고자의 판단에 가장 바람직한 형태는 두 번째 방안이라고 할 수 있고, 세 번째 방안도 고려의 대상에 포함시킬 수 있다.

(4) 향후 설립될 통합감독기구는 전형적인 세 가지 감독기능인 예방적 기능, 사후적 민원해결기능, 그리고 정책조언기능을 완전하게 수행하여야 할 것이다. 그러나 통합감독기구가 반드시 집행기능과 정책결정기능을 가져야 하는 것은 아니다. 첫째, 예방적 기능은 개인정보처리의 위험성을 사전적․예방적인 차원에서 막기 위하여 개인정보처리기관이 개인정보보호법의 실체적 규정(개인정보처리원칙을 구체화한 처리기관의 의무규정들)을 준수하도록 사전에 유도하는 기능이다. 감사기능, 자문기능, 교육기능, 그리고 자율규제의 조정자로서의 기능은 이러한 예방적 기능의 일환이다. 둘째, 사후적인 민원해결기능은 정보주체로부터의 불만이나 민원을 접수받고, 사실관계를 조사하며, 그리고 그 민원사항을 해결하는 기능을 수행한다. 셋째, 정책조언기능은 국가의 정보정책에 대한 조언자로서 자문하는 기능이다.

향후 설립될 통합감독기구는 적어도 이러한 세 가지 기능을 완전하게 수행해야 하고, 그러한 기능의 수행에 필요한 권한을 가져야 하며, 그리고 그 기능과 권한을 원활하게 수행하기 위해서는 조직의 구성과 예산확보의 측면에서 충분한 독립성이 확보되어야 한다.

(5) 향후 설립될 통합감독기구는 한정된 자원으로 공공과 민간의 그 수많은 개별 개인정보처리기관의 모두에 대해 효과적인 감독기능을 수행할 수 없기 때문에 공공기관과 민간의 중요 개인정보처리기관의 내부에 독립적인 위상과 독자적인 기능을 가진 개인정보보호책임자(CPO: Chief of Privacy Official)를 두도록 해서 이들을 통합감독기구의 현장감사관으로 활용하여야 할 것이다.

(6) 특히 민간부문에서 개인정보처리의 필요성과 개인정보보호의 가치는 각 영역별로 그리고 기술발전에 따라 미묘하게 상충하고 있는데, 향후 설립될 통합감독기구는 이 상충하는 가치를 그때그때 조화롭고 융통성 있게 조정해 나가야 할 것이다. 이 과정에서 민간부문의 자율규제기능을 충분히 고려하고 활용하여야 할 것이며, 또한 개인정보보호기술을 통한 기술적 규제수단도 최대한 활용하고 장려하여야 할 것이다.

노회찬 의원안과 정부혁신지방분권위원회안의 비교

이은우 (변호사, 법무법인 지평)

제1조 (목적) 본 법은 개인정보의 보호를 위하여 그 처리에 관하여 필요한 사항을 정하고, 개인정보 주체의 권리를 밝힘으로써 정보주체의 권리를 보호하고, 개인정보의 적정한 이용을 꾀하고, 민주주의의 원리에 입각하여 정보가 처리될 수 있도록 하는 것을 목적으로 한다.

제1조(목적) 이 법은 정보주체의 권리와 이익을 보호하고 개인정보의 안전한 이용을 보장하기 위하여 개인정보의 취급에 관한 기본적인 사항을 정함으로써 정보사회의 균형적인 발전에 이바지함을 그 목적으로 한다.

*사자의 개인정보를 보호대상으로 할 것인지?

* 개인적 사용목적의 정보 제외 / 업무상 수집하는 개인정보 제외

제2조 (용어의 정의) 이 법에서 사용하는 용어의 정의는 다음과 같다.

1. "개인정보"라 함은 개인(단, 사자에 관한 정보는 사망일로부터 10이내의 사자만을 대상으로 한다)에 관한 정보로서 당해 정보에 포함되어 있는 성명․주소 등의 사항에 의하여 당해 개인을 식별할 수 있는 정보(당해 정보만으로는 특정개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)를 말한다.  단, 개인적으로 사용하기 위해 수집하는 정보는 제외한다.

2. "공공기관"이라 함은 국가행정기관․지방자치단체 기타 공공단체중 대통령령이 정하는 기관을 말한다.

3. "보유"라 함은 개인정보를 작성 또는 취득하거나 처리․유지․관리하는 것을 말한다.

4. "개인정보 보유자"라 함은 개인정보를 보유하는 자를 말한다.

5. "정보주체"라 함은 처리정보에 의하여 식별되는 자로서 당해 정보의 주체가 되는 자를 말한다. 정보주체가 사망자인 경우는 대통령령이 정하는 정보주체의 상속인을 의미한다.

6. "처리"라 함은 개인정보의 생성․수집․입력․저장․편집․검색․삭제 및 출력 및 기타 이와 유사한 행위를 하는 것을 말한다.

7. "개인정보 데이터베이스"라 함은 컴퓨터등에 의하여 처리할 수 있도록 체계적으로 구성된 개인정보의 집합물로서 자기테이프․자기디스크 등 전자적인 매체에 기록된 것을 말한다.

8. "결합"은 하나의 개인정보 데이터베이스를 하나 이상의 다른 개인정보 데이터베이스와 대조하여 처리하는 것을 의미한다.

제3조(정의) 이 법에서 사용하는 용어의 정의는 다음과 같다.

1. “개인정보”라 함은 생존하는 개인에 관한 정보로서 당해 정보에 의하여 개인을 식별할 수 있는 것(당해 정보로는 개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)을 말한다.

2. “정보주체”라 함은 취급되는 정보에 의하여 식별되는 자로서 당해 정보의 주체가 되는 자를 말한다.

3. “개인정보취급자”라 함은 업무상 개인정보를 수집하여 이를 처리, 이용하는 자를 말한다.

제3조 (다른 법률과의 관계) 개인정보의 보호에 관하여는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법이 정하는 바에 의한다.

제4조(다른 법률과의 관계) ①개인정보의 보호에 관하여 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법이 정하는 바에 의한다.

②국가는 개인정보보호에 관한 법령을 제정 또는 개정하는 경우에는 이 법에 부합되도록 하여야 한다.

* 분야별 전문기관의 설립 및 지정

* 각 분야별 개인정보보호업무의 관장을 누가 할 것인가?(금융정보, 신용정보)

제5조(국가등의 책무) ①국가 및 지방자치단체는 개인정보에 관한 시책을 강구함에 있어서 정보주체의 알권리를 보장하고 개인정보취급자의 책임을 명확하게 하여야 한다.

②국가는 정보주체의 권리신장을 위하여 관련 제도 및 사회적 관행의 개선을 위하여 노력하여야 한다.

제6조(개인정보보호 시책의 수립) ①정부는 개인정보를 취급하는 분야별 특성을 고려하여 관리적․기술적 보호대책을 수립하여야 한다.

②정부는 개인정보의 취급과정이 투명하게 관리되고 합리적으로 공개될 수 있도록 시책을 강구하여야 한다.

③정부는 정보주체의 권리침해의 예방 및 신속한 구제를 위한 시책을 강구하여야 한다.

제7조(추진체계등) ①중앙행정기관의 장은 이 법 및 관련법률이 정하는 바에 따라 소관분야의 개인정보보호정책을 관장한다.

②정부는 개인정보보호 관련 시책의 수립 및 집행을 위하여 필요한 경우 대통령령 및 관련법령이 정하는 바에 따라 분야별 전문기관을 설립 또는 지정하여 운영할 수 있다.

③정부는 제2항의 규정에 의한 분야별 전문기관을 설립 또는 지정한 경우에는 당해기관에 필요한 경비를 지원할 수 있다.

④제2항의 규정에 의한 전문기관의 설립 또는 지정 요건, 폐지 또는 지정취소 요건 등에 관하여 필요한 사항은 대통령령으로 정한다.

* 개인정보 보호원칙의 효력과 구체화 - 개인정보보호원칙의 구체화를 위한 고시제정, 지침, 가이드라인 제정권

제4조 (개인정보 보호원칙) ① 누구든지 개인정보를 처리할 때 본 장의 개인정보 보호원칙을 지켜야 한다.

② 국가와 지방자치단체는 개인정보의 보호를 위하여 개인정보 보호원칙을 구체화해야 한다.

③ 개인정보보호위원회는 본 장의 개인정보 보호원칙을 구체화하기 위해 법률의 위임에 따라 고시를 제정할 수 있고, 지침과 가이드라인을 제정할 수 있다.

제2조(기본이념) ①이 법은 개인정보의 보호가 정보사회의 신뢰를 확립하는 핵심적 토대임을 인식하고 정보주체에게 참여의 권리와 기회를 부여하는 가운데 공정․투명하고 적법하게 개인정보의 취급이 이루어지도록 함으로써 개인의 자유로운 인격발현과 정보사회의 지속적 발전에 이바지함을 기본이념으로 한다.

②개인정보는 다음 각호의 원칙에 따라 취급되어야 한다.

1. 개인정보는 특정한 이용목적에 따라 필요한 범위 내에서 최소한으로 수집되어야 한다.

2. 개인정보는 그 정확성이 유지되어야 하며 안전한 관리가 보장되어야 한다.

3. 개인정보는 그 취급에 있어 투명성과 정보주체의 참여가 합리적으로 보장되어야 한다.

제10조(자기결정권) 모든 국민은 이 법 또는 다른 법률이 정하는 바에 따라 자신의 개인정보 취급에 관하여 결정할 권리를 가진다.

* 개인정보 수집시에 동의를 받기 위해서 알려야 하는 내용

* 직접수집의 원칙

* 최소수집의 원칙의 구체화

* 자동수집장치에 의한 수집

제5조 (개인정보의 수집) ① 누구든지 타인의 개인정보를 수집하는 경우 당해 정보주체에게 제2항의 내용을 잘 알 수 있도록 알리고, 정보주체의 동의를 얻어야 한다. 다만, 다음 각호의 1에 해당하는 경우에는 그러하지 아니하다.

1. 계약의 이행을 위하여 필요한 경우

2. 용역의 제공에 따른 요금정산을 위하여 필요한 경우

3. 언론, 출판의 목적에서 필요한 최소한의 범위로 수집하는 경우

4. 정보주체의 급박한 생명, 신체, 재산의 침해위험을 막기 위해 부득이한 경우

5. 이 법 또는 다른 법률에 특별한 규정을 두고 있는 경우

② 누구든지 제1항의 규정에 의한 동의를 얻고자 하는 경우에는 미리 다음 각호의 사항을 정보주체에게 잘 알려야 한다.

1. 개인정보관리책임자의 성명․소속부서․직위 및 전화번호 기타 연락처

2. 개인정보의 수집목적 및 이용목적, 보존기간

3. 개인정보를 제3자에게 제공하는 경우의 제공받는 자, 제공목적 및 제공할 정보의 구체적인 내용

4. 본 법에 의한 개인정보 주체의 권리 및 그 행사방법

5. 개인정보를 제공하지 않아도 되는지와 제공하지 않으면 어떤 불이익이 있는지    6. 그 밖에 개인정보 보호를 위하여 필요한 사항으로서 대통령령이 정하는 사항

③ 누구든지 개인정보를 수집하는 자는 적법하고 공정한 방법으로 수집해야 하며, 정보주체에게 최소의 침해가 되도록 해야 한다.

④ 누구든지 개인정보는 정보주체으로부터 직접 수집하거나 생성해야 한다. 단, 다음의 경우에는 예외로 한다.

1. 정보주체으로부터 개인정보를 수집하는 것이 불가능하거나 불합리한 경우

2. 제1항 각호의 1에 해당하는 경우

⑤ 제4항의 각 호의 1에 따라 개인정보를 수집하거나 생성한 경우에는 사후에 개인정보를 수집 혹은 생성한 사실을 정보주체 에게 알리고 동의를 얻어야 한다. 단, 정보주체에게 알리는 것이 당해 정보주체의 생명이나 건강에 중대한 위험을 초래하는 경우는 그러하지 아니하다.

⑥ 제5항에 따라 개인정보를 수집 혹은 생성한 사실을 정보주체에게는 알릴 때는 제2항에 규정된 사항을 함께 고지하여야 한다.

제6조 (개인정보의 수집의 제한 등)  ①누구든지 사상․신념․과거의 병력 등 개인의 권리․이익이나 사생활을 현저하게 침해할 우려가 있는 개인정보를 수집하여서는 아니된다. 다만, 정보주체의 동의가 있거나 다른 법률에 수집대상 개인정보가 명시되어 있는 경우에는 그러하지 아니하다.

②개인정보의 수집은 필요한 최소한으로 제한되어야 한다.

③누구든지 해당 상품이나 역무의 이용에 필요한 최소한의 정보를 제공하고 해당 상품이나 역무를 이용할 수 있는 선택권이 보장되어야 하며, 상품이나 역무의 이용에 필요한 최소한의 정보 외의 개인정보를 제공하지 아니한다는 이유로 상품이나 역무의 제공을 거부하여서는 아니된다.

제11조(개인정보의 수집) 개인정보취급자는 다음 각호의 1에 해당하는 경우에는 개인정보를 수집할 수 있다.

1. 정보주체의 동의를 얻은 경우

2. 법률의 규정에 의하여 개인정보를 수집할 수 있는 경우

3. 개인정보를 수집하지 아니하고서는 당해 법률행위의 목적을 달성할 수 없는 경우

제12조(개인정보의 수집제한) 누구든지 타인을 부당하게 차별할 목적으로 개인정보를 수집, 처리 및 이용하여서는 아니된다.

제13조(자동수집장치에 의한 수집등) ①누구든지 폐쇄회로 텔레비전(CCTV), 자동정보수집 컴퓨터 프로그램 등 자동화된 개인정보수집장치를 설치하여 개인정보를 수집, 처리하는 때에는 고지 기타 이와 유사한 방법으로 정보주체가 이를 알 수 있도록 하여야 한다.

②제1항에 의해 개인정보를 수집하는 개인정보취급자는 자동화된 개인정보수집장치의 활용내역등을 대통령령이 정하는 바에 따라 기록․보존 하여야 한다.

** ②개인정보는 다음 각호의 원칙에 따라 취급되어야 한다.

1. 개인정보는 특정한 이용목적에 따라 필요한 범위 내에서 최소한으로 수집되어야 한다.

제7조 (개인정보의 이용 및 제공 등)  ①누구든지 당해 정보주체의 동의가 있거나 다음 각호의 1에 해당하는 경우를 제외하고는 개인정보를 동의받은 범위를 넘어 이용하거나 제3자에게 제공하여서는 아니된다.

1. 계약의 이행을 위하여 필요한 경우

2. 통계작성․학술연구 또는 시장조사를 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 가공하여 제공하는 경우

3. 다른 법률에 특별한 규정이 있는 경우

②개인정보를 제공받은 자는 당해 정보주체의 동의가 있거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이를 이용하거나 제3자에게 제공하여서는 아니된다.

제14조(개인정보의 이용 및 제공) ①개인정보취급자는 다음 각호의 1에 해당하는 경우 이외에는 개인정보를 수집목적 이외의 목적으로 이용하거나 타인에게 제공하여서는 아니된다.

1. 정보주체의 동의를 얻은 경우

2. 법률의 규정에 의하여 개인정보를 이용 또는 제공할 수 있는 경우

②개인정보취급자가 개인정보를 판매, 유포하는 영리행위를 하고자 하는 경우에는 정보주체의 명시적인 동의를 얻어야 한다.

제8조 (개인정보의 파기) 개인정보의 수집목적 또는 제공받은 목적을 달성한 때에는 당해 개인정보를 지체없이 파기하여야 한다. 다만, 다른 법령의 규정에 의하여 보존할 필요성이 있는 경우에는 그러하지 아니하다.

제16조(개인정보의 삭제․파기등) ①개인정보취급자는 정보주체의 명시적인 동의 철회가 있거나 개인정보의 취급목적을 달성한 경우에는 당해 개인정보에 대하여 삭제․파기 및 접근차단 등 필요한 조치를 취하여야 한다. 다만, 다음 각호의 경우에는 그러하지 아니하다.

1. 개인정보의 삭제․파기 및 접근차단 등이 불가능하거나 개인정보취급자의 정당한 이익을 현저히 해할 우려가 있는 경우

2. 이 법 또는 다른 법률에 특별한 규정이 있는 경우

②개인정보취급자가 제1항 단서의 규정에 의하여 개인정보를 삭제 또는 파기하지 않는 경우에는 그 근거 및 사유를 정보주체에게 고지하여야 한다.

제9조 (최신성과 완전성) 개인정보는 수집한 최신의 것으로 갱신해야 하며, 이용하기 전에 새롭게 정보주체의 권리를 침해하지 않는 범위 내에서 오류 여부를 확인해야 한다.

** 2. 개인정보는 그 정확성이 유지되어야 하며 안전한 관리가 보장되어야 한다.

제10조 (접근권과 정정 삭제) ① 정보주체는 언제든지 개인정보 보유자에 대하여 정보수집에 대한 동의를 철회할 수 있다. 개인정보 보유자는 이 경우 지체없이 수집된 개인정보를 파기하고 기타 필요한 조치를 취하여야 한다. 단, 개인정보 보유자가 법률상 개인정보를 보유해야만 하는 의무를 지고 있는 경우에는 그렇지 아니하다.

② 정보주체는 개인정보 보유자에 대하여 자신의 개인정보에 대하여 다음의 사항의 열람을 요구할 수 있으며, 자신의 개인정보에 오류가 있는 경우에는 그 정정을 요구할 수 있다. 이 경우 개인정보 보유자는 지체없이 필요한 조치를 취하여야 한다. 그리고 개인정보 보유자는 오류의 정정 요구를 받은 경우에는 그 오류를 정정할 때까지 당해 개인정보를 제공 또는 이용하여서는 아니된다.

1. 정보주체의 개인정보를 수집한 경위

2. 정보주체의 개인정보 수집 현황

3. 정보주체의 개인정보를 제3자에게 제공한 내역

4. 개인정보 보유자의 개인정보 보호현황

5. 기타 대통령령으로 정하는 사항

③ 개인정보 보유자는 개인정보를 수집할 때 보다 더 쉬운 방법으로 정보주체가 동의의 철회, 개인정보의 열람 또는 정정을 요구할 수 있도록 필요한 조치를 취하여야 한다.

④ 공공기관이 보유하는 개인정보의 경우 다음 각호의 1의 경우 개인정보의 열람을 제한할 수 있다.

1. 해당 개인정보를 열람하도록 할 경우 개인의 생명․신체를 해할 우려가 있는 경우

2. 개인정보의 열람이 국가의 안보에 중대한 영향을 미칠 경우

3. 기타 이에 준하는 경우로서 법률로 규정하는 경우

제15조(열람 및 정정청구권) ①정보주체는 개인정보취급자가 자신에 관한 개인정보를 보유하고 있는 경우 그 개인정보의 열람을 청구할 수 있고 자신의 개인정보가 사실과 일치하지 않는 경우 그 정정을 청구할 수 있다. 다만, 다른 법률에 열람 또는 정정을 제한하는 규정이 있는 경우에는 그러하지 아니하다.

②개인정보취급자는 제1항의 규정에 의한 청구를 받은 경우에는 보유여부, 열람․정정의 가부를 통보하는 등 지체없이 필요한 조치를 취하여야 한다.

** 3. 개인정보는 그 취급에 있어 투명성과 정보주체의 참여가 합리적으로 보장되어야 한다.

제11조 (개인정보의 보호조치) ① 개인정보 보유자는 정보주체의 개인정보를 취급함에 있어서 개인정보가 분실․도난․누출․변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적․관리적 조치를 강구하여야 한다.

② 개인정보 보유자는 정보주체의 개인정보를 취급하는 자를 최소한으로 제한하여야 한다.

③개인정보를 취급하거나 취급하였던 자는 직무상 알게 된 개인정보를 훼손․침해 또는 누설하여서는 아니된다.

제17조(안전조치의무) 개인정보취급자는 개인정보를 취급함에 있어서 당해 개인정보의 안전한 관리를 위하여 적절한 기술적․관리적 조치를 취하여야 한다.

제12조 (고유식별자의 보호) ① 누구든지 공공기관이 개인을 고유하게 식별하기 위해 부여한 식별자(이하 ꡐ고유식별자ꡑ)를 수집하거나 이용 또는 제3자에게 제공해서는 안된다. 다만 아래의 경우는 예외로 한다.

1. 공공기관이 법률에 규정된 업무를 수행하기 위해 고유식별자의 처리가 반드시 필요한 경우로서, 그 처리의 목적이 고유식별자가 부여된 목적과 직접적으로 관련이 있는 경우

2. 법률의 규정이 있거나 당사자의 동의가 있는 경우

② 공공기관은 법률에 규정이 없는 경우 다른 공공기관이 개인에게 부여한 고유식별자를 그 개인에 대한 고유식별자로 부여해선 안된다.

제19조(고유식별자의 보호) 누구든지 법령의 규정에 따라 개인을 고유하게 식별하기 위하여 부여된 식별자(이하 ‘고유식별자’라 한다)를 정보주체의 명시적인 동의 없이 당해 식별자의 목적 이외의 용도로 사용하여서는 아니 된다. 다만 다른 법률에 특별한 규정이 있는 경우에는 그러하지 아니하다.

익명권의 보장

제13조 (익명성의 원칙) 개인정보의 익명처리가 가능하고, 법률적으로 금지되지 않는한 정보주체에게 개인정보의 익명처리에 대한 선택권을 부여해야 한다.

아동의 보호

제14조 (아동의 보호) ①누구든지 만 14세 미만의 아동으로부터 개인정보를 수집하거나 이용 또는 제3자에게 제공하고자 하는 경우에는 그 법정대리인의 동의를 얻어야 한다. 이 경우 그 아동에게 법정대리인의 동의를 얻기 위하여 필요한 법정대리인의 성명 등 최소한의 정보를 요구할 수 있다.

②제1항의 규정에도 불구하고, 다른 법률에서 별도의 연령 규정을 두고 있는 경우에는 그 법률의 규정에 따른다.

③법정대리인은 제1항 전단의 규정에 의한 동의를 철회할 수 있으며, 당해 아동이 제공한 개인정보에 대한 열람 또는 오류의 정정을 요구할 수 있다.

정보통신망법

사업양수도

제15조 (사업양수도) ①개인정보 보유자가 영업의 전부 또는 일부를 양도하거나 합병․상속 등으로 그 권리․의무를 이전하는 경우 정보주체에게 다음 각호의 사항을 대통령령이 정하는 바에 의하여 통지하여야 한다.

1. 영업의 전부 또는 일부의 양도, 합병 또는 상속등의 사실

2. 개인정보 보유자의 권리․의무를 승계한 자의 성명(법인인 경우 법인의 명칭을 말한다. 이하 이 조에서 같다), 주소, 전화번호 기타 연락처

②개인정보 보유자로부터 영업의 전부 또는 일부를 양수받거나 합병․상속 등으로 개인정보 보유자의 권리․의무를 승계한 자(이하 "영업양수자등"이라 한다)는 다음 각호의 사항을 대통령령이 정하는 바에 의하여 정보주체에게 통지하여야 한다.

1. 개인정보 보유자의 권리․의무를 승계한 사실 및 해당 개인정보 보유자의 성명과 연락처

2. 개인정보관리책임자의 성명․소속부서․지위 및 전화번호 기타 연락처

3. 개인정보의 이용 목적

4. 정보주체의 권리 및 그 행사방법과 개인정보의 이전에 반대할 경우 이를 알릴 수 있는 효과적인 수단

5. 그 밖에 개인정보 보호를 위하여 필요한 사항으로서 대통령령으로 정하는 사항

③ 개인정보보호위원회는 개인정보 보호를 위하여 사업을 양수하거나 양도하는 개인정보 보유자에게 필요한 조치를 명령할 수 있다.

정보통신망법/ 신용정보법 등

영향평가

제93조(개인정보 사전영향평가의 실시) ① 대량의 개인정보나 민감한 개인정보를 처리하려는 개인정보 보유자는 다음 각 호의 경우에 위원회에 개인정보 사전영향평가(이하 영향평가)를 요청하여야 한다.

1. 개인정보 데이터베이스가 새로 구축되는 경우

2. 기존 데이터베이스에 새로운 개인정보를 추가함으로써, 정보주체에 관한 새로운 정보를 생성할 수 있게 되는 경우

3. 2개 이상의 개인정보 데이터베이스가 통합, 혹은 연동되는 경우

② 제1항의 의무를 지는 개인정보 보유자의 요건은 대통령령으로 정한다.

③ 제2항의 요건에 해당하지 않은 개인정보 보유자가 정보처리의 규모가 확대됨에 따라 제2항의 요건을 충족하게 된 경우, 제1항 각 호의 사유가 발생하지 않더라도 영향평가를 요청하여야 한다.

④ 위원회는 다음 각 호의 경우에 개인정보 보유자의 요청이 없더라도 영향평가를 실시하여야 한다.

1. 개인정보 데이터베이스의 구축을 필요로 하는 새로운 법령․제도가 도입되는 경우

2. 개인정보 보호에 부정적 영향을 미칠 가능성이 제기된 기술이 도입되는 경우

3. 노동자 개인정보 보호에 영향을 미칠 수 있는 사용자의 정보처리에 대해 해당 사업장의 노동조합, 혹은 그 상급단체가 영향평가를 요청한 경우

⑤ 위원회는 다음 각 호의 요건을 두루 갖춘 자에게 영향평가를 위탁할 수 있다. 이 때, 위탁받은 자는 위원회에 결과를 제출하여야 한다.

1. 개인정보 보호 및 인권에 관한 지식 및 전문성

2. 법률에 관한 지식 및 전문성

3. 정보보호 기술 및 시스템 관리에 관한 지식 및 전문성

4. 정보의 기록 및 유지에 관한 지식 및 전문성

5. 업무 설계에 관한 지식 및 전문성

⑥ 위원회는 제1항 내지 제3항의 요건에 해당함에도 불구하고 영향평가를 실시하지 않은 개인정보 보유자에 대해 정보처리를 중지시킬 수 있다.

제94조(평가의 기준) ① 위원회는 다음 각 호의 내용이 포함된 영향평가의 기준을 작성하여 고시할 수 있다.

1. 개인정보 수집의 적법성 및 수집되는 정보의 민감성과 관련된 사항

2. 정보주체의 개인정보자기결정권의 보장과 관련된 사항

3. 기술적․관리적 대책의 수립과 관련된 사항

4. 정보주체의 육체적․정신적 건강에 끼치는 영향과 관련된 사항

5. 사회에 끼치는 정치․경제․문화적 영향과 관련된 사항

② 위원회는 제1항의 기준을 평가할 수 있는 평가방법에 관한 연구․개발 활동을 지원할 수 있다.

제95조(의견 수렴) ① 위원회 혹은 영향평가를 위탁받은 자는 정보주체의 의견을 반영하기 위해 결과보고서 초안을 작성하여 공표하여야 한다.

② 누구든지 결과보고서 초안에 대하여 의견을 제출할 수 있다.

③ 위원회 혹은 영향평가를 위탁받은 자는 제출된 의견 및 그 의견에 대한 검토 결과를 최종 결과 보고서에 수록하여야 한다.

제96조(평가 결과의 활용) ① 위원회는 영향평가의 최종 결과 보고서를 공표하여야 한다.

② 위원회는 평가 결과에 따라 개인정보 보유자에게 시정 혹은 정보처리의 중지를 권고할 수 있다.

③ 개인정보 보유자가 제3항의 권고에 응하지 않을 경우 그 사유를 서면으로 위원회에 제출해야 한다.

④ 위원회는 제4항의 의무를 준수하지 않은 개인정보 보유자가 공무원일 경우 해당 기관의 장에게 징계를 요청할 수 있다.

제97조(국가 예산편성에 있어서 영향평가의 효력) ① 각 중앙행정기관은 제93조제1항 및 제3항의 적용을 받는 사업이 포함된 예산요구서를 기획예산처에 제출할 때, 영향평가 결과를 첨부하여야 한다.

② 기획예산처 장관은 제1항에 규정된 영향평가 결과를 첨부하지 않은 예산요구를 심의할 수 없다.

제18조(개인정보영향평가의 실시) ①다음 각호의 1에 해당하는 개인정보취급자는 개인정보영향평가를 실시하여야 한다. 다만, 국가안전보장·국방·통일·외교에 관련된 사항으로서 관계법령에 따라 비밀로서 분류된 경우에는 그러하지 아니하다.

1. 신규정보시스템 도입 또는 구축사업을 하고자 하는 공공기관(공공기관의개인정보보호에관한법률제2조제1호의 규정에 의한 공공기관을 말한다)

2. 다른 법률의 규정에 의하여 개인정보영향평가를 실시하여야 하는 개인정보취급자

②개인정보취급자는 제1항의 규정에 의한 개인정보영향평가의 실시결과를 국가인권위원회법 제3조의 규정에 의한 국가인권위원회(이하 “위원회”라 한다)에 제출하여야 한다.

③위원회는 제1항의 규정에 의한 개인정보영향평가의 실시결과를 검토하여 개인정보취급자 또는 관계 중앙행정기관의 장에게 의견을 제시하거나 이를 공표할 수 있다.

처리위탁

제16조 (개인정보의 처리 위탁) ①개인정보 보유자가 타인에게 정보주체의 개인정보의 수집․취급․관리 등을 위탁하는 경우에는 미리 그 사실을 정보주체에게 고지하여야 한다.

②제1항의 규정에 의하여 개인정보 보유자로부터 개인정보의 처리를 위탁받은 자는 당해 업무와 관련하여 이 장의 규정을 위반하여 발생한 손해의 배상책임에 한하여 개인정보 보유자의 소속직원으로 본다.

개인정보데이터베이스의 등록

제17조(개인정보 데이터베이스의 등록) ① 다음 각 호의 1에 해당하는 개인정보 데이터베이스를 보유하고자 하는 자는 사전에 개인정보보호위원회에 제2항의 사항을 등록하여야 한다.

1. 공공기관의 개인정보 데이터베이스

2. 대통령령이 정하는 업종의 개인정보 데이터베이스

3. 대통령령이 정하는 숫자 이상의 정보주체를 등록 대상으로 하는 개인정보 데이터베이스

4. 대통령령이 정하는 숫자 이상의 종업원을 고용한 자의 개인정보 데이터베이스

5. 대통령령이 정하는 개인정보를 수집하여 구축된 개인정보 데이터베이스

5. 대통령령이 정하는 기술을 사용하여 구축된 개인정보 데이터베이스

② 개인정보 데이터베이스를 등록하고자 하는 자는 아래의 내용을 개인정보보호위원회에 등록해야 한다.

1. 개인정보 데이터베이스의 명칭

2. 개인정보 데이터베이스의 보유목적

3. 보유기관의 명칭

4. 개인정보 데이터베이스에 기록되는 개인 및 항목의 범위

5. 개인정보의 수집방법과 처리정보를 통상적으로 제공하는 기관이 있는 경우에는 그 기관의 명칭

6. 개인정보의 보유 기간

7. 개인정보 데이터베이스의 열람 예정 시기

8. 열람이 제한되는 처리정보의 범위 및 그 사유

9. 기타 대통령령이 정하는 사항

③ 개인정보보호위원회는 개인정보 데이터베이스 별로 등록된 사항을 기록한 개인정보 데이터베이스 등록 대장을 작성하여 누구든지 열람할 수 있도록 비치하여야 하며, 이를 연 1회 공고하여야 한다.

④ 제1항의 규정에도 불구하고, 국가의 안전이나 외교상의 중대한 비밀로서 이에 대한 개인정보 데이터베이스의 보유 여부를 공개할 경우 국가안보나 외교상 중대한 문제가 발생하는 공공기관의 개인정보 데이터베이스는 등록하지 않을 수 있다.

개인정보보호책임자와 정기감사

제18조(개인정보보호책임자) ① 개인정보데이터베이스를 등록한 자는 개인정보보호책임자를 임명하고 이를 정보주체에게 고지하여야 한다.

② 개인정보보호책임자는 다음 각 호의 의무를 가진다.

1. 이 법과 기타 개인정보보호에 대한 법령의 준수에 대하여 책임이 있다.

2. 개인정보를 적정하게 보유, 사용, 처리, 보관하는지에 대하여 점검하여야 한다.

3. 개인정보 처리업무에 종사하는 자들의 교육하여야 한다.

4. 개인정보의 현황과 시스템, 개인정보의 속성과 수집목적, 기간 등에 대하여 보고를 받아야 한다.

③ 개인정보보호책임자는 직무 수행에 관련하여 불이익을 당해서는 안된다.

제19조(정기감사) ① 개인정보보호책임자는 개인정보 보유자가 이 법에 규정된 개인정보 보호 의무를 준수하고 있는지에 관하여 매 년 정기감사를 실시하고 이를 개인정보보호위원회에 보고하여야 한다.

② 개인정보보호위원회는 다음 각 호의 1의 내용을 포함한 정기감사의 기준을 작성하여 고시할 수 있다.

1. 수집되는 개인정보의 내용 및 수집 방법의 적법성에 관한 사항

2. 정보주체의 개인정보자기결정권의 보장에 관한 사항

3. 기술적․관리적 대책의 수립에 관한 사항

4. 기타 이 법에 규정된 개인정보 보유자의 의무 준수 여부에 관한 사항

제20조(개인정보보호담당자) 개인정보취급자는 개인정보의 효율적인 보호를 위하여 관계법령이 규정하는 바에 따라 개인정보보호담당자를 지정하여야 한다.

개인정보데이터베이스 결합의 제한

제20조(개인정보 데이터베이스의 결합의 제한) 누구든지 개별적인 목적으로 수집하여 보관하는 개인정보 데이터베이스를 공공기관이 처리하는 개인정보 데이터베이스와 결합할 수 없다. 다만 다음 각 호의 1의 경우는 예외로 한다.

1. 국가안전보장 ․ 사회질서유지 ․ 공공복리를 위해 반드시 필요한 경우

2. 당사자의 동의에 의한 경우

3. 다른 법률에 특별한 규정이 있는 경우

제21조(불이익한 처분을 할 때의 정보주체의 보호) 개인정보 데이터베이스를 결합하여 그 결과를 가지고 정보주체에게 불이익한 처분을 할 때에는 미리 정보주체에게 그 사실을 알려 정보주체에게 변명할 기회를 주어야 한다.

제22조(신고) 개인정보 데이터베이스를 결합할 때에는 개인정보보호위원회에 대통령령이 정하는 바에 따라 보고하여야 한다.

처리정지청구

제23조(공공기관이 보유한 개인정보의 처리정지 청구) ① 공공기관에 의해 보유된 자신의 개인정보가 이 법의 규정에 위배되어 이용된다고 판단하는 정보주체는 개인정보 처리의 정지를 청구할 수 있다.

② 법정대리인은 정보주체를 대신하여 제1항에 규정된 정보 처리의 정지를 청구할 수 있다.

제24조 (처리정지 청구에 대한 조치) ① 공공기관의 장은 처리정지 청구가 있는 경우에는 즉각 개인정보의 처리를 중단해야 한다. 단, 해당 개인정보의 처리를 중단할 경우 해당 업무의 적정한 수행에 현저히 지장을 줄 우려가 있다고 인정되는 때는 그러하지 아니하다.

② 공공기관의 장은 제1항에 따라 처리정지를 하거나 하지 않은 경우 처리정치 청구자에게 결정의 내용 및 취지를 서면으로 통지해야 한다.

제25조 (손해배상) 본 법률을 위반한 행위로 손해를 입은 경우에는 손해배상을 청구할 수 있다. 이 경우 당해 손해를 가한 자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.

제21조(입증책임의 전환) 이 법 또는 관계 법률이 정한 정보주체의 권리가 침해된 때 개인정보취급자는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.

집단소송

제26조(개인정보관련집단소송) ① 개인정보의 침해를 이유로 한 손해배상청구의 경우 본 법에 따라 손해의 보전에 있어서 공통의 이해관계를 가지는 피해자 전원(이하 ꡐ총원ꡑ이라 한다)을 위하여 피해자 중의 1인 또는 수인이 법원의 허가를 받아  대표당사자가 되어 손해배상청구소송(이하 ꡐ개인정보관련집단소송ꡑ이라 한다)을 제기할 수 있다.

② 개인정보관련집단소송은 피고의 보통재판적 소재지를 관할하는 지방법원 본원 합의부의 전속관할로 한다.

③ 개인정보관련집단소송에 관하여 이 법에 특별한 규정이 없는 경우에는 민사소송법을 적용한다.

제58조 (개인정보보호위원회의 설립과 독립성) ① 본 법 및 개인정보 보호에 관한 다른 법률의 준수여부를 감독하기 위하여 개인정보보호위원회(이하 "위원회"라 한다)를 둔다.

②위원회는 그 권한에 속하는 업무를 독립하여 수행한다.

제59조 (위원회의 구성)  ①위원회는 위원장 1인과 3인의 상임위원을 포함한 9인의 개인정보보호위원(이하 "위원"이라 한다)으로 구성한다.

②위원은 개인정보보호 문제에 관하여 전문적인 지식과 경험이 있고 그 보장과 향상을 위한 업무를 공정하고 독립적으로 수행할 수 있다고 인정되는 자중에서 국회가 선출하는 5인(상임위원 2인을 포함한다)과 대통령이 지명하는 4인을 대통령이 임명한다.

③위원장은 위원 중에서 호선한다.

④위원장 및 상임위원은 정무직 공무원으로 보한다.

⑤위원의 임기가 만료된 경우에는 그 후임자가 임명될 때까지 그 직무를 수행한다.

제60조 (위원장의 직무)  ①위원장은 위원회를 대표하며 위원회의 업무를 통할한다.

②위원장이 부득이한 사유로 직무를 수행할 수 없는 때에는 위원장이 미리 지명한 상임위원이 그 직무를 대행한다.

③위원장은 국회에 출석하여 위원회의 소관 사무에 관하여 의견을 진술할 수 있으며, 국회의 요구가 있을 때에는 출석하여 보고하거나 답변하여야 한다.

④위원장은 국무회의에 출석하여 발언할 수 있으며, 그 소관사무에 관하여 국무총리에게 의안(이 법의 시행에 관한 대통령령안을 포함한다)의 제출을 건의할 수 있다.

⑤위원장은 위원회의 예산관련 업무를 수행함에 있어서 예산회계법 제14조의 규정에 의한 중앙관서의 장으로 본다.

제61조 (위원장 및 위원의 임기)  ①위원장 및 위원의 임기는 3년으로 하고, 1차에 한하여 연임할 수 있다.

②위원의 임기가 만료되거나 임기중 위원이 결원된 때에는 대통령은 임기만료 또는 결원된 날부터 30일 이내에 후임자를 임명하여야 한다.

③결원이 된 위원의 후임으로 임명된 위원의 임기는 새로이 개시된다.

제62조 (위원의 신분보장) 위원은 금고 이상의 형의 선고에 의하지 아니하고는 그 의사에 반하여 면직되지 아니한다. 다만, 위원이 신체상 또는 정신상의 장애로 직무수행이 현저히 곤란하게 되거나 불가능하게 된 경우에는 전체 위원 3분의 2 이상의 찬성에 의한 의결로 퇴직하게 할 수 있다.

제63조 (위원의 결격사유)  ①다음 각호의 1에 해당하는 사람은 위원이 될 수 없다.

1. 대한민국 국민이 아닌 자

2. 국가공무원법 제33조 각호의 1에 해당하는 자

②위원이 제1항 각호의 1에 해당하게 된 때에는 당연히 퇴직한다.

제64조 (소위원회)  ①위원회는 그 업무 중 일부를 수행하게 하기 위하여 소위원회를 둘 수 있다.

②소위원회는 3인의 위원으로 구성하며, 소위원회의 업무 및 운영에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제65조 (회의 의사 및 의결정족수)  ①위원회의 회의는 위원장이 주재하며, 이 법에 특별한 규정이 없는 한 재적위원 과반수의 찬성으로 의결한다.

②소위원회의 회의는 구성위원 전원의 출석과 출석위원 전원의 찬성으로 의결한다.

제66조 (의사의 공개) 위원회의 의사는 공개한다. 다만, 위원회 또는 소위원회가 진정의 조사와 관련하여 필요하다고 인정하는 경우나 그 밖에 필요하다고 인정하는 경우에는 공개하지 아니할 수 있다.

제67조 (자문기구)  ①위원회는 그 업무수행에 필요한 사항의 자문을 위하여 자문기구를 둘 수 있다.

②자문기구의 조직과 운영에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제68조 (사무처)  ①위원회의 사무를 처리하게 하기 위하여 위원회에 사무처를 둔다.

②사무처에 사무총장 1인과 필요한 직원을 두되, 사무총장은 위원회의 심의를 거쳐 위원장의 제청으로 대통령이 임명한다.

③소속 직원중 5급이상 공무원은 위원장의 제청으로 대통령이 임명하며, 6급 이하 공무원은 위원장이 임명한다.

④사무총장은 위원장의 지휘를 받아 사무처의 사무를 관장하고 소속 직원을 지휘․감독한다.

제69조 (징계위원회의 설치)  ①위원회 직원의 징계처분을 의결하기 위하여 위원회에 징계위원회를 둔다.

②징계위원회의 구성, 권한, 심의절차, 징계의 종류 및 효력 그 밖의 징계에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제70조 (지역 개인정보보호위원회) ① 위원회는 광역자치단체에 지역 개인정보보호위원회를 둘 수 있다.

② 제1항에 규정된 지역 개인정보보호위원회의 구성 및 업무는 위원회의 규칙으로 정한다.

제71조 (위원회의 조직과 운영) 이 법에 규정된 사항외에 위원회의 조직에 관하여 필요한 사항은 대통령령으로 정하고, 위원회의 운영에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

부칙③

(국가인권위원회법)제12조의2를 다음과 같이 신설한다.

제12조의2(개인정보특별위원회) ①개인정보의 보호에 관한 사무를 수행하게 하기 위하여 위원회에 개인정보특별위원회를 둔다.

②개인정보특별위원회는 5인의 위원으로 구성하며, 개인정보특별위원회의 업무 및 운영에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

민간영역의 개인정보 침해에 대한 조사 등

제72조 (업무) 위원회는 다음 각호의 업무를 수행한다.

1. 개인정보보호 보호에 관한 법령(입법과정중에 있는 법령안을 포함한다)․제도․정책․관행의 조사와 연구 및 그 개선이 필요한 사항에 관한 권고 또는 의견의 표명

2. 개인정보보호에 관한 고시, 지침, 가이드라인의 제정

3. 개인정보 침해행위에 대한 조사와 구제

4. 개인정보보호 기술의 연구 지원

5. 개인정보보호 현황에 대한 실태조사

6. 개인정보보호에 관한 교육 및 홍보

7. 개인정보보호침해의 유형․판단기준 및 그 예방조치 등에 관한 지침의 제시 및 권고

8. 국제개인정보보호 관련된 국제기구 및 외국의 개인정보기구와의 교류․협력 활동

9. 개인정보보호의 옹호와 신장을 위하여 활동하는 단체 및 개인과의 협력

10. 개인정보 데이터베이스의 등록

11. 개인정보영향평가의 시행과 연구

12. 그 밖에 이 법률에 규정된 사항과 기타 개인정보보호의 보장과 향상을 위하여 필요하다고 인정하는 사항

** 국가인권위원회법

제19조 (업무) 위원회는 다음 각호의 업무를 수행한다.

1. 인권에 관한 법령(입법과정중에 있는 법령안을 포함한다)·제도·정책·관행의 조사와 연구 및 그 개선이 필요한 사항에 관한 권고 또는 의견의 표명

2. 인권침해행위에 대한 조사와 구제

3. 차별행위에 대한 조사와 구제

4. 인권상황에 대한 실태조사

5. 인권에 관한 교육 및 홍보

6. 인권침해의 유형·판단기준 및 그 예방조치 등에 관한 지침의 제시 및 권고

7. 국제인권조약에의 가입 및 그 조약의 이행에 관한 연구와 권고 또는 의견의 표명

8. 인권의 옹호와 신장을 위하여 활동하는 단체 및 개인과의 협력

9. 인권과 관련된 국제기구 및 외국의 인권기구와의 교류·협력

10. 그 밖에 인권의 보장과 향상을 위하여 필요하다고 인정하는 사항

제73조 (국가기관의 협의의무)  ①관계국가행정기관 또는 지방자치단체의 장은 개인정보의 보호와 향상에 영향을 미치는 내용을 포함하고 있는 법령을 제정 또는 개정하고자 하는 경우 미리 위원회에 통보하여야 한다.

②위원회는 그 업무를 수행하기 위하여 필요하다고 인정하는 경우 국가기관․지방자치단체 그 밖의 공․사단체(이하 "관계기관 등"이라 한다)에 협의를 요청할 수 있다.

③제2항의 요청을 받은 관계기관 등은 정당한 사유가 없는 한 이에 성실히 응하여야 한다.

** 국가인권위원회법 제20조 (국가기관과의 협의)  ①관계국가행정기관 또는 지방자치단체의 장은 인권의 보호와 향상에 영향을 미치는 내용을 포함하고 있는 법령을 제정 또는 개정하고자 하는 경우 미리 위원회에 통보하여야 한다.

②위원회는 그 업무를 수행하기 위하여 필요하다고 인정하는 경우 국가기관·지방자치단체 그 밖의 공·사단체(이하 "관계기관 등"이라 한다)에 협의를 요청할 수 있다.

③제2항의 요청을 받은 관계기관 등은 정당한 사유가 없는 한 이에 성실히 응하여야 한다.

규칙, 고시

제74조 (규정의 제정)①위원회는 이 법 또는 다른 법률에 의하여 소관업무로 위임된 사항에 대하여 규칙이나 고시를 제정할 수 있다.

제75조 (자료제출 및 사실조회)  ①위원회는 그 업무를 수행하는 데 필요하다고 인정하는 경우 관계기관 등에 필요한 자료 등의 제출을 요구하거나 사실에 관하여 조회할 수 있다.

②위원회는 위원회의 업무를 수행하는 데 필요한 사실을 알고 있거나 전문적 지식 또는 경험을 가지고 있다고 인정되는 사람에게 출석을 요구하여 그 진술을 들을 수 있다.

③제1항의 규정에 의한 요구 또는 조회를 받은 기관은 지체없이 이에 응하여야 한다.

제76조 (청문회)  ①위원회는 그 업무를 수행하기 위하여 필요하다고 인정하는 경우, 관계기관 등의 대표자, 이해관계인 또는 학식과 경험이 있는 자 등에 대하여 출석을 요구하여 사실 또는 의견의 진술을 들을 수 있다.

②제1항에 따라 위원회가 실시하는 청문회의 절차와 방법에 관하여는 위원회 규칙으로 정한다.

제77조 (정책과 관행의 개선 또는 시정권고)  ①위원회는 개인정보보호의 보호와 향상을 위하여 필요하다고 인정하는 경우 관계기관 등에 대하여 정책과 관행의 개선 또는 시정을 권고하거나 의견을 표명할 수 있다.

②제1항의 규정에 의하여 권고를 받은 기관의 장은 그 권고사항을 존중하고 이행하기 위하여 노력하여야 한다.

③제1항의 규정에 의하여 권고를 받은 기관의 장이 그 권고내용을 이행하지 않을 경우 그 이유를 위원회에 문서로 설명하여야 한다.

④위원회는 필요하다고 인정하는 경우 제1항의 규정에 의한 위원회의 권고와 의견표명 및 제3항의 규정에 의하여 권고를 받은 기관의 장이 설명한 내용을 공표할 수 있다.

제78조 (개인정보보호 교육과 홍보)  ①위원회는 모든 사람의 개인정보보호 의식을 깨우치고 향상시키기 위하여 필요한 교육과 홍보를 하여야 한다.

②위원회는 초․중등교육법 제23조의 규정에 의한 학교 교육과정에 개인정보보호에 관한 내용을 포함시키기 위하여 교육인적자원부장관과 협의할 수 있다.

③위원회는 개인정보교육과 연구의 발전을 위하여 필요한 사항을 고등교육법 제2조의 규정에 의하여 설립된 학교의 장과 협의할 수 있다.

④위원회는 공무원의 채용시험, 승진시험, 연수 및 교육훈련과정에 개인정보보호 보호에 관한 내용을 포함시키기 위하여 국가기관 및 지방자치단체의 장과 협의할 수 있다.

⑤위원회는 정부출연연구기관등의설립․운영및육성에관한법률에 따라 설립된 연구기관 또는 연구회의 장과  협의하여 개인정보에 관한 연구를 요청하거나 공동으로 연구할 수 있다.

⑥위원회는 사회교육법에 의한 사회교육단체 또는 사회교육시설에 대하여 그 교육내용에 개인정보에 관하여 필요한 사항을 포함하도록 권고할 수 있다.

제79조 (법원 및 헌법재판소에 대한 의견제출)  ①위원회는 개인정보의 보호와 향상에 중대한 영향을 미치는 재판이 계속중인 경우 법원 또는 헌법재판소의 요청이 있거나 필요하다고 인정하는 때에는 법원의 담당재판부 또는 헌법재판소에 법률상의 사항에 관하여 의견을 제출할 수 있다.

② 제3절의 규정에 의하여 위원회가 조사 또는 처리한 내용에 관하여 재판이 계속중인 경우, 위원회는 법원 또는 헌법재판소의 요청이 있거나 필요하다고 인정하는 때에는 법원의 담당재판부 또는 헌법재판소에 사실상 및 법률상의 사항에 관하여 의견을 제출할 수 있다.

제80조 (보고서 작성 등)  ①위원회는 해마다 전년도의 활동내용과 개인정보상황 및 개선대책에 관한 보고서를 작성하여 대통령과 국회에 보고하여야 한다.

②위원회는 제1항의 규정에 의한 보고 이외에도 필요하다고 인정하는 경우 대통령과 국회에 특별보고를 할 수 있다.

③관계기관 등은 제1항 및 제2항의 규정에 의한 보고에 관한 의견, 조치결과 또는 조치계획을 위원회에 제출할 수 있다.

④위원회는 제1항 및 제2항의 규정에 의한 보고서를 공개하여야 한다. 다만, 국가의 안전보장, 개인의 명예 또는 사생활의 보호를 위하여 필요하거나 다른 법률에 의하여 공개가 제한된 사항은 공개하지 아니할 수 있다.

제23조(자료제출 및 현황 조회) ①위원회는 개인정보보호에 관한 업무를 수행하는데 필요하다고 인정하는 경우에는 개인정보취급자에 대하여 필요한 자료 등의 제출을 요구하거나 개인정보취급현황 등에 관하여 조회할 수 있다.

②국가인권위원회법 제22조 및 제23조는 제1항에 의하여 자료제출 및 사실조회를 하는 경우에 준용한다. 이 경우 “관계기관 등”은 각각 개인정보취급자로 본다.

제24조(방문조사) ①위원회는 개인정보보호에 관한 업무를 수행하기 위하여 필요한 경우에는 개인정보취급자의 업무 현장을 방문하여 조사할 수 있다.

②제1항의 규정에 의한 방문조사의 경우 국가인권위원회법 제24조제1항 내지 제3항 및 제6항을 준용한다. 이 경우 “구금․보호시설”은 각각 개인정보취급자의 업무 현장으로 본다.

	** 국가인권위원회법 제25조 (정책과 관행의 개선 또는 시정권고) ①위원회는 인권의 보호와 향상을 위하여 필요하다고 인정하는 경우 관계기관 등에 대하여 정책과 관행의 개선 또는 시정을 권고하거나 의견을 표명할 수 있다. ②제1항의 규정에 의하여 권고를 받은 기관의 장은 그 권고사항을 존중하고 이행하기 위하여 노력하여야 한다. ③제1항의 규정에 의하여 권고를 받은 기관의 장이 그 권고내용을 이행하지 않을 경우 그 이유를 위원회에 문서로 설명하여야 한다. ④위원회는 필요하다고 인정하는 경우 제1항의 규정에 의한 위원회의 권고와 의견표명 및 제3항의 규정에 의하여 권고를 받은 기관의 장이 설명한 내용을 공표할 수 있다. 제26조 (인권교육과 홍보) ①위원회는 모든 사람의 인권의식을 깨우치고 향상시키기 위하여 필요한 인권교육과 홍보를 하여야 한다. ②위원회는 초·중등교육법 제23조의 규정에 의한 학교 교육과정에 인권에 관한 내용을 포함시키기 위하여 교육인적자원부장관과 협의할 수 있다. ③위원회는 인권교육과 연구의 발전을 위하여 필요한 사항을 고등교육법 제2조의 규정에 의하여 설립된 학교의 장과 협의할 수 있다. ④위원회는 공무원의 채용시험, 승진시험, 연수 및 교육훈련과정에 인권에 관한 내용을 포함시키기 위하여 국가기관 및 지방자치단체의 장과 협의할 수 있다. ⑤위원회는 정부출연연구기관등의설립·운영및육성에관한법률에 따라 설립된 연구기관 또는 연구회의 장과 협의하여 인권에 관한 연구를 요청하거나 공동으로 연구할 수 있다. ⑥위원회는 사회교육법에 의한 사회교육단체 또는 사회교육시설에 대하여 그 교육내용에 인권에 관하여 필요한 사항을 포함하도록 권고할 수 있다. 제22조 (자료제출 및 사실조회) ①위원회는 그 업무를 수행하는 데 필요하다고 인정하는 경우 관계기관 등에 필요한 자료 등의 제출을 요구하거나 사실에 관하여 조회할 수 있다. ②위원회는 위원회의 업무를 수행하는 데 필요한 사실을 알고 있거나 전문적 지식 또는 경험을 가지고 있다고 인정되는 사람에게 출석을 요구하여 그 진술을 들을 수 있다. ③제1항의 규정에 의한 요구 또는 조회를 받은 기관은 지체없이 이에 응하여야 한다. ** 법원과 헌법재판소에의 의견제출, 보고서 작성
	제23조 (청문회) ①위원회는 그 업무를 수행하기 위하여 필요하다고 인정하는 경우, 관계기관 등의 대표자, 이해관계인 또는 학식과 경험이 있는 자 등에 대하여 출석을 요구하여 사실 또는 의견의 진술을 들을 수 있다. ②제1항에 따라 위원회가 실시하는 청문회의 절차와 방법에 관하여는 위원회 규칙으로 정한다.
	제24조 (시설의 방문조사) ①위원회(소위원회를 포함한다)는 필요하다고 인정하는 경우 그 의결로 구금·보호시설을 방문하여 조사할 수 있다. ②제1항의 규정에 의한 방문조사를 하는 위원은 필요하다고 인정하는 소속직원 및 전문가를 동반할 수 있으며, 구체적인 사항을 특정하여 소속 직원 및 전문가에게 조사를 위임할 수 있다. 이 경우 조사를 위임받은 전문가가 그 사항에 대하여 조사를 할 때에는 소속직원을 동반하여야 한다. ③제2항의 규정에 의하여 방문조사를 하는 위원, 소속직원 또는 전문가(이하 이 조에서 "위원 등"이라 한다)는 그 권한을 표시하는 증표를 지니고 이를 관계인에게 제시하여야 하며, 방문 및 조사를 받는 구금·보호시설의 장 또는 관리인은 즉시 방문 및 조사에 필요한 편의를 제공하여야 한다. ⑥구금·보호시설에 대한 방문조사의 절차와 방법 등에 관하여 필요한 사항은 대통령령으로 정한다.

* 위원회의 조사대상

* 위원회의 조치권한

제81조 (위원회의 조사대상)  ① 본 법의 개인정보보호원칙을 위반하여 권리나 이익을 침해당한 사람(이하 "피해자"라 한다)은 위원회에 그 내용을 진정할 수 있다(이하 진정한 사람을 ꡒ진정인ꡓ이라 한다). 위원회는 제1항의 진정이 없는 경우에도 개인정보보호원칙을 위반하여 권리나 이익이 침해되었다고 믿을 만한 상당한 근거가 있고 그 내용이 중대하다고 인정할 때에는 이를 직권으로 조사할 수 있다.

② 전항의 진정 중 제33조의 요건을 충족하는 개인정보관련 집단진정에 관하여는 제26조 내지 제57조의 규정을 준용한다.

③ 제1항과 제2항의 규정에 의한 진정의 절차와 방법에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제82조 (수사기관과 위원회의 협조)  ①진정의 원인이 된 사실이 범죄행위에 해당한다고 믿을 만한 상당한 이유가 있고 그 혐의자의 도주 또는 증거의 인멸 등을 방지하거나 증거의 확보를 위하여 필요하다고 인정할 경우에 위원회는 검찰총장 또는 관할 수사기관의 장에게 수사의 개시와 필요한 조치를 의뢰할 수 있다.

②제1항의 규정에 의한 의뢰를 받은 검찰총장 또는 관할 수사기관의 장은 지체없이 그 조치결과를 위원회에 통보하여야 한다.

제83조 (조사의 방법)  ①위원회는 진정에 관하여 조사하기 전에 진정인․피해자․피진정인(이하 "당사자"라 한다)에게 미리 진정에 관하여 조사를 할 것임을 알려야 한다.

② 위원회는 다음 각호에 정한 방법으로 진정에 관하여 조사할 수 있다.

1. 당사자 또는 관계인에 대한 출석요구 및 진술청취 또는 진술서 제출요구

2. 당사자, 관계인 또는 관계기관 등에 대하여 조사사항과 관련이 있다고 인정되는 자료 등의 제출요구

3. 당사자, 관계인, 관계기관 등에 대하여 조사사항과 관련이 있다고 인정되는 사실 또는 정보에 대한 조회

③위원회는 조사를 위하여 필요하다고 인정하는 경우 위원 등으로 하여금 일정한 장소를 방문하여 장소, 시설, 자료 등에 대하여 실지조사 또는 감정을 하게 할 수 있다. 이때 위원회는 그 장소에 당사자나 관계인의 출석을 요구하여 진술을 들을 수 있다.

④제2항제1호의 규정에 의하여 진술서 제출을 요구받은 자는 14일 이내에 진술서를 제출하여야 한다.

⑤제2항 및 제3항의 규정에 의한 피진정인에 대한 출석요구는 개인정보침해행위가 있었다고 의심이 될 만한 상당한 이유가 있는 경우에 한하여 할 수 있다.

⑥제3항의 규정에 의하여 조사를 하는 위원 등은 그 장소 또는 시설을 관리하는 장 또는 직원(이하 이 조에서는 "관계자"라 한다)에게 필요한 자료나 물건의 제출을 요구할 수 있다.

⑦제6항의 규정에 의하여 조사를 하는 위원 등은 그 권한을 표시하는 증표를 지니고 이를 관계자에게 제시하여야 한다.

⑧위원회가 자료나 물건의 제출을 요구하거나 그 자료․물건 또는 시설에 대한 실지조사 또는 감정을 하려고 하는 경우 당해 자료․물건 또는 시설이 다음 각호의 1에 해당한다는 사실을 관계 국가기관의 장이 위원회에 소명하고 그 자료․물건의 제출이나 그 자료․물건 또는 시설에 대한 실지조사 또는 감정을 거부할 수 있다. 이 경우 위원회는 관계 국가기관의 장에게 필요한 사항의 확인을 요구할 수 있으며, 요구를 받은 국가기관의 장은 이에 성실히 응하여야 한다.

1. 국가의 안전보장 또는 외교관계에 중대한 영향을 미치는 국가기밀사항인 경우

2. 범죄수사나 계속중인 재판에 중대한 지장을 초래할 우려가 있는 경우

제84조 (질문․검사권)  ①위원회는 제83조의 조사에 필요한 자료 등의 소재 또는 관계인에 관하여 알고자 할 때에는 그 내용을 알고 있다고 믿을 만한 상당한 이유가 있는 사람에게 질문하거나 그 내용을 포함하고 있다고 믿을 만한 상당한 이유가 있는 서류 및 그 밖의 물건을 검사할 수 있다.

②제83조제6항 내지 제8항의 규정은 제1항의 이를 경우에 준용한다.

제85조 (위원의 제척 등)  ①위원은 다음 각호의 1에 해당하는 경우에는 진정의 심의․의결에서 제척된다.

1. 위원 또는 그 배우자나 배우자이었던 자가 당해 진정의 당사자이거나 그 진정에 관하여 당사자와 공동권리자 또는 공동의무자인 경우

2. 위원이 당해 진정의 당사자와 친족관계에 있거나 있었던 경우

3. 위원이 당해 진정에 관하여 증언이나 감정을 한 경우

4. 위원이 당해 진정에 관하여 당사자의 대리인으로 관여하거나 관여하였던 경우

5. 위원이 당해 진정에 관하여 수사, 재판 또는 다른 법률에 의한 구제절차에 관여하였던 경우

②당사자는 위원에게 심의․의결의 공정을 기대하기 어려운 사정이 있는 경우에는 위원장에게 기피신청을 할 수 있으며 위원장은 당사자의 기피신청에 대하여 위원회의 의결을 거치지 아니하고 결정한다. 다만, 위원장이 결정하기에 상당하지 아니하는 경우에는 위원회의 의결로 결정한다.

③위원이 제1항 각호의 1의 사유 또는 제2항의 사유에 해당하는 경우에는 스스로 그 진정의 심의․의결을 회피할 수 있다.

제86조 (진정의 각하와 기각)  ①위원회는 진정을 조사한 결과 진정이 다음 각호의 1에 해당하는 경우에는 진정을 각하한다.

1. 진정이 허무인의 명의로 이루어진 경우

2. 이미 피해회복이 이루어지는 등으로 별도의 구제조치가 필요하지 아니하다고 인정하는 경우

②위원회는 진정을 조사한 결과 진정의 내용이 권리나 이익의 침해로 볼 수 없는 경우에는 그 진정을 기각한다.

③위원회는 진정을 각하하거나 기각하는 경우 진정의 당사자에게 그 결과와 이유를 통보하여야 한다.

제87조 (합의의 권고) 위원회는 조사중이거나 조사가 끝난 진정에 대하여 사건의 공정한 해결을 위하여 필요한 구제조치를 당사자에게 제시하고 합의를 권고할 수 있다.

제88조 (결정)  ①위원회가 진정을 조사한 결과 개인정보침해가 일어났다고 판단하는 때에는 진정인의 진정에 따라 피진정인, 그 소속기관․단체 또는 감독기관(이하 "소속기관 등"이라 한다)에게 개인정보의 삭제, 수정, 이용의 중단 기타 필요한 조치를 취할 것을 결정하고, 필요한 경우 이와 함께 손해배상을 하도록 결정할 수 있다.

②위원회는 제1항의 결정과 관련하여 피진정인 또는 관계기관에 법령․제도․정책․관행의 시정 또는 개선을 권고할 수도 있으며, 이 권고는 제77조 제2항 내지 제4항의 효력이 있다.

③제1항의 결정에 불복하는 자는 결정을 송달받은 후 1개월 이내에 법원에 이의를 제기할 수 있다. 만약 이 기간동안 이의를 제기하지 않으면 결정은 확정판결과 같은 효력을 갖는다.

제89조 (고발 및 징계권고)  ①위원회는 진정을 조사한 결과 진정의 내용이 범죄행위에 해당하고 이에 대하여 형사처벌이 필요하다고 인정할 때에는 검찰총장에게 그 내용을 고발할 수 있다. 다만, 피고발인이 군인 또는 군무원인 경우에는 소속 군 참모총장 또는 국방부장관에게 고발할 수 있다.

②위원회가 진정을 조사한 결과 개인정보침해가 있다고 인정할 때에는 피진정인 또는 개인정보침해에 책임이 있는 자에 대한 징계를 소속기관 등의 장에게 권고할 수 있다.

③제1항의 규정에 의하여 고발을 받은 검찰총장, 군 참모총장 또는 국방부장관은 고발을 받은 날부터 3월 이내에 수사를 종료하고 그 결과를 위원회에 통보하여야 한다. 다만, 3월 이내에 수사를 종료하지 못할 때에는 그 사유를 소명하여야 한다.

④제2항의 규정에 의하여 위원회로부터 권고를 받은 소속기관 등의 장은 이를 존중하여야 하며 그 결과를 위원회에 통보하여야 한다.

제90조 (의견진술기회의 부여)  ①위원회는 제87조 또는 제88조의 규정에 의한 권고 또는 조치를 하기 전에 피진정인에게 의견을 진술할 기회를 주어야 한다.

②제1항의 경우 당사자 또는 이해관계인은 구두 또는 서면으로 위원회에 의견을 진술하거나 필요한 자료를 제출할 수 있다.

제91조 (긴급구제조치)  ①위원회는 진정을 접수한 후 조사대상 개인정보침해행위가 계속중에 있다는 상당한 개연성이 있고, 이를 방치할 경우 회복하기 어려운 피해발생의 우려가 있다고 인정할 때에는 그 진정에 대한 결정 이전에 진정인의 신청에 의하여 또는 직권으로 피진정인, 그 소속기관 등의 장에게 개인정보의 수집, 이용의 중단, 기타 필요한 조치를 하도록 권고할 수 있다.

②위원회는 필요하다고 인정하는 때에는 증거의 확보나 인멸의 방지를 위하여 필요한 조치를 하거나 관계자 및 그 소속기관 등의 장에게 그 조치를 권고할 수 있다.

제92조 (불이익 금지와 지원)  ①누구든지 이 법에 의하여 위원회에 진정, 진술, 증언, 자료 등의 제출 또는 답변을 하였다는 이유로 해고, 전보, 징계, 부당한 대우 그 밖에 신분이나 처우와 관련하여 불이익을 받지 아니한다.

②위원회는 개인정보침해행위의 진상을 밝히거나 증거나 자료 등을 발견 또는 제출한 사람에게 필요한 지원 또는 보상을 할 수 있다.

③제2항의 규정에 의한 지원 또는 보상의 내용, 절차 그 밖의 필요한 사항은 위원회의 규칙으로 정한다.

제22조(개인정보침해신고센터) ①개인정보침해신고 및 정보주체의 불만 등의 접수․처리 및 상담 업무를 수행하기 위하여 위원회에 개인정보침해신고센터를 설치․운영한다.

②개인정보침해신고센터는 다음 각호의 업무를 수행한다.

1. 개인정보침해에 대한 신고의 접수

2. 개인정보 관련 상담

3. 개인정보의 이용 및 보호에 관한 홍보

4. 기타 개인정보의 이용 및 보호를 위하여 필요하다고 인정하는 사항

③개인정보침해신고센터의 설치와 운영에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제27조(개인정보에 관한 분쟁의 조정) 개인정보에 관한 분쟁의 조정은 국가인권위원회법 제41조의 규정에 의한 조정위원회(이하 “조정위원회”라 한다)가 이를 수행한다.

제28조(분쟁조정의 신청등) ①개인정보와 관련한 분쟁의 조정을 원하는 자는 조정위원회에 조정을 신청할 수 있다.

②조정위원회는 제1항의 규정에 의한 신청을 받은 때에는 그 신청내용을 상대방에게 통지하여야 한다.

제29조(조정) 개인정보에 관한 분쟁의 조정에 관하여는 국가인권위원회법 제42조 내지 제43조의 규정을 준용한다. 이 경우 “인권”은 각각 개인정보로 “진정”은 각각 신청으로 본다.

제30조(조정의 거부 및 중지) ①조정위원회는 분쟁의 성질상 조정위원회에서 조정하는 것이 적합하지 아니하다고 인정되거나 부정한 목적으로 조정을 신청하였다고 인정되는 때에는 당해 조정을 거부할 수 있다. 이 경우 조정거부의 사유 등을 신청인인 당사자에게 통보하여야 한다.

②조정위원회는 당사자 중 일방이 조정을 거부한 경우에는 조정경위ㆍ조정거부이유 등을 상대방에게 문서로 통보하여야 한다.

③조정위원회는 당사자 중 일방이 소를 제기한 때에는 조정을 중지하고 이를 상대방에게 통보하여야 한다.

제31조(조정규칙등) 개인정보에 관한 분쟁의 조정을 위하여 필요한 사항은 위원회규칙으로 정한다.

** 국가인권위원회법

제42조 (조정)  ①위원회는 진정에 대하여 인권침해가 있다고 인정하고 제40조에 의한 합의가 이루어지지 않은 경우에 당사자의 신청 또는 직권에 의하여 진정을 조정위원회에 회부하여 조정절차를 시작할 수 있다.

②조정은 조정절차의 개시 이후 당사자가 합의한 사항을 조정서에 기재한 후 당사자가 기명날인하고 조정위원회가 이를 확인함으로써 성립한다.

③조정위원회는 조정절차중에 당사자사이에 합의가 이루어지지 않는 경우 사건의 공정한 해결을 위하여 조정에 갈음하는 결정을 할 수 있다.

④조정에 갈음하는 결정에는 다음 각호의1의 사항을 포함시킬 수 있다.

1. 조사대상 인권침해행위의 중지

2. 원상회복·손해배상 그 밖의 필요한 구제조치

3. 동일 또는 유사한 인권침해행위의 재발을 방지하기 위하여 필요한 조치

⑤조정위원회는 조정에 갈음하는 결정을 한 경우에는 지체없이 그 결정서를 당사자에게 송달하여야 한다.

⑥당사자가 제5항의 규정에 의하여 결정서를 송달받은 날부터 14일 이내에 이의를 신청하지 아니하는 때에는 조정을 수락한 것으로 본다.

제43조 (조정의 효력) 제42조제2항의 규정에 의한 조정과 제42조제6항의 규정에 의하여 이의를 신청하지 아니하는 경우의 조정에 갈음하는 결정은 재판상의 화해와 같은 효력이 있다.

제44조 (구제조치 등의 권고)  ①위원회가 진정을 조사한 결과 인권침해가 일어났다고 판단하는 때에는 피진정인, 그 소속기관·단체 또는 감독기관(이하 "소속기관 등"이라 한다)의 장에게 다음 각호의 사항을 권고할 수 있다.

1. 제42조제4항 각호에 정한 구제조치의 이행

2. 법령·제도·정책·관행의 시정 또는 개선

②제1항의 규정에 의하여 권고를 받은 소속기관 등의 장에 관하여는 제25조제2항 내지 제4항의 규정을 준용한다.

제45조 (고발 및 징계권고)  ①위원회는 진정을 조사한 결과 진정의 내용이 범죄행위에 해당하고 이에 대하여 형사처벌이 필요하다고 인정할 때에는 검찰총장에게 그 내용을 고발할 수 있다. 다만, 피고발인이 군인 또는 군무원인 경우에는 소속 군 참모총장 또는 국방부장관에게 고발할 수 있다.

②위원회가 진정을 조사한 결과 인권침해가 있다고 인정할 때에는 피진정인 또는 인권침해에 책임이 있는 자에 대한 징계를 소속기관 등의 장에게 권고할 수 있다.

③제1항의 규정에 의하여 고발을 받은 검찰총장, 군 참모총장 또는 국방부장관은 고발을 받은 날부터 3월 이내에 수사를 종료하고 그 결과를 위원회에 통보하여야 한다. 다만, 3월 이내에 수사를 종료하지 못할 때에는 그 사유를 소명하여야 한다.

④제2항의 규정에 의하여 위원회로부터 권고를 받은 소속기관 등의 장은 이를 존중하여야 하며 그 결과를 위원회에 통보하여야 한다.

노회찬 의원안과 정부혁신지방분권위원회안의 비교

		노회찬 의원안	정부혁신지방분권위원회안
담당 기구		개인정보보호위원회	국가인권위원회(개인정보특별위원회)
업무범위	법령, 정책, 제도	개인정보 침해에 관하여	개인정보 침해에 관하여
	개인정보 침해	1. 민간, 공공영역의 개인정보 침해 2. 진정에 의해 또는 직권으로 3. 집단진정 가능	1. 민간, 공공영역의 개인정보 침해 2. 진정이 있는 경우(단, 공공영역은 직권으로도 가능) 3. 집단진정 불가능
결정의 효력	법령, 정책, 제도	개선 권고	개선 권고
	개인정보 침해	개인정보 침해행위의 중단 결정 / 손해배상 결정 / 법령, 제도, 정책의 개선권고 결정 / 긴급구제조치 법원에 이의하지 않는 경우 확정판결과 같은 효력	조정(침해행위의 중단, 손해배상) 이의하지 않을 경우 확정판결과 같은 효력(법원에 이의하지 않아도 됨)
개인정보 데이터베이스 결합의 신고		O	X
개인정보 데이터베이스 등록		O	X
개인정보 보호 감독관에 의한 개인정보 보호 감사 결과 보고		O	X
개인정보영향평가		O	O

캐나다 연방 프라이버시 위원회(13개의 주별 프라이버시 위원회가 별도로 있음)

Resources

April 1, 2003 to March 31, 2004

	Expenditure Totals ($)	% of Totals
Privacy Act	4,171,661	37.61 %
PIPEDA	4,768,650	42.99 %
Corporate Services	2,151,980	19.40 %
Total	11,092,291	100.00 %

Note that as of March 2004 there were 95 full time staff positions at the Office of the Privacy Commissioner of Canada

Detailed Expenditures (1)	Privacy Act	PIPED Act	Corporate Services	Total
Salaries	3,605,276	3,176,545	401,153	7,182,974
Employee Benefits Program	198,097	878,851	160,870	1,237,818
Transportation & Communication	108,074	93,266	238,789	440,129
Information	70,366	80,773	76,088	227,227
Professional Services	191,986	385,886	588,181	1,166,053
Rentals	16,328	-	82,277	98,605
Repairs & Maintenance	-	-	291,026	291,026
Materials & Supplies	8,613	3,330	82,454	95,397
Acquisition of Machinery & Equipment	-	150,000	230,985	380,985
Other Subsidies & Payments	(27,079)	-	156	(26,923)
Total	$4,171,661	$4,768,651	$2,151,979	$11,092,291

(1)

Total expenditure figures are consistent with the public accounts.

프랑스의 CNIL

매일 300건의 개인정보 데이터베이스가 등록되고, 매월 8000건의 전화 문의와 매년 4000여건의 진정이나 의견요청이 처리된다고 함. www.cnil.fr

2003년의 경우(2003년 연례 보고서)

6,136 건의 진정과 의견요청(3,567건의 진정과 기타 의견요청).

31건의 감사.

65,921건의 개인정보 데이터베이스 처리 등록

1978년부터 941,076건의 개인정보 데이터베이스 처리 등록.

24회의 Plenary session : 68 의견 채택(9 형사고발, 5 경고 포함)

웹사이트에 매일 3,000 방문, 매월 뉴스레터 6,500 명 가입.

CNIL은 220회의 행사에 참여.

개인정보보호를 위한 실효성 있는 조치들

윤 현 식 (민주노동당 정책연구원)

Ⅰ. 들어가며

2004년 11월 22일, 민주노동당은 수년간에 걸쳐 사회인권단체들과 함께 연구해온 결과를 바탕으로 공공부문과 민간부문을 아우르는 통합입법형태의 개인정보보호법 제정법률안을 발의했다. “정보통신기술 등의 발달로 인하여 그것을 이용한 개인정보의 이동과 유통이 활발해지면서, 개인정보의 수집과 보관 및 활용에 따른 개인정보의 유출, 남용 및 개인정보를 이용한 불법행위들이 늘어나고 있으며, 이로 인하여 사생활이 침해되는 사례가 빈번하게 발생하여 사회문제가 되고 있는 현실”임을 확인하고, “따라서 개인정보보호에 관한 기본원칙을 정하고, 정보주체의 자기정보통제권을 강화하여 권리구제의 방법을 현실화하는 한편, 공공부문과 민간부문의 개인정보보호를 포괄하여 담당하는 독립된 기구를 설치하는 동시에, 개인정보와 밀접한 관계를 가지는 기술이나 설비의 도입을 효과적으로 관리함으로써 개인정보의 불법유출과 이를 이용한 불법행위들을 차단하여 개인의 사생활을 보호하려는 것”이라는 목적의식에서 준비되고 발의된 민주노동당의 개인정보보호법 제정법률안은 개인정보보호를 위한 사회적 노력의 결과물로서 중요한 의미를 가지고 있다.

개인정보보호를 위한 운동을 해왔던 7개 사회인권단체들은 프라이버시법 제정을 위한 연석회의를 구성하여 민주노동당과 함께 개인정보보호법 제정법률안을 연구하고 준비했다.

그러나 본 법안은 발의 이후 지금까지 여러 가지 원인으로 인하여 국회 내에서 제대로 논의조차 되고 있지 못한 상황이다. 공공부문과 민간부문을 통합한 입법임과 동시에 개인정보보호 업무를 효과적으로 수행하기 위해 독립기구인 개인정보보호위원회를 설치하는 것을 골자로 한 이 법안은, 따라서 그 성격상 국회 법제사법위원회가 심의하는 것이 타당하다고 판단되어 노회찬 의원이 법제사법위원회에서 발의를 하였으나, 엉뚱하게도 행정자치위원회로 회부되고 말았다. 더구나 이 법안은 행정자치위원회에서조차 논의가 진행되지 않았다. 정부혁신지방분권위원회가 2004년 중순에 확정하기로 했던 정부의 개인정보보호법 제정법률안이 계속해서 그 모습을 드러내지 않았기 때문이었다.

해가 바뀐 지금, 정부혁신지방분권위원회의 안이 그 윤곽을 드러냈고, 조만간 의원입법의 형태로 발의될 예정이라고 한다. 따라서 개인정보보호법 제정 논의는 올 초 급물살을 탈 것으로 예상되며, 사회적인 논의가 진행되면서 구체적이고 완결된 법안이 도출되어야할 것이다. 이 과정에서 특히 새롭게 구성되는 개인정보보호법이 갖추어야할 개인정보보호를 위한 실효성 있는 조치들을 검토해볼 필요성이 있을 것이다. 사회단체, 정당, 정부에서 진행되어왔던 그간의 논의들 속에서 가장 중요하게 다루어졌던 부분 역시 과연 어떠한 제도를 두어야 개인정보보호가 효과적으로 이루어질 수 있겠는가 하는 것이었다. 물론 다양한 논의와 각각의 입장에 따라 개별 법률안에서 규정되는 조치의 내용들은 여러 가지 형태로 나타날 수 있을 것이다. 기존의 법률체계가 미처 담보하지 못했던 개인정보의 유출과 이로 인한 침해사례들을 효과적으로 해결하는 동시에, 새로운 기술의 도입과 광범위한 사용으로 인하여 발생하게 될 예측하지 못한 장래의 개인정보침해를 대비할 수 있는 실효성 있는 개인정보보호 조치는 어떤 것이 있는지를 민주노동당 개인정보보호법 제정법률안의 내용을 중심으로 확인하도록 한다.

개인정보보호를 효과적으로 하기 위한 각종 조치는 그러한 조치들을 수행할 수 있는 권한을 가진 기구를 통해 현실화된다. 민주노동당의 개인정보보호법안은 이를 위해 독립감독기구인 개인정보보호위원회를 설치하도록 하고 있다. 다만 이 글에서는 개인정보보호위원회에 관한 내용은 다루지 않는다.

Ⅱ. 자기정보통제권의 보장

1. 자기정보통제권의 의의

자기정보통제권 또는 개인정보 자기결정권이라고 하는 권리는 정보사회의 도래와 함께 특히 강조되는 정보인권의 축이다. OECD는 1980년 발표한 “프라이버시 보호와 개인정보의 국제적 유통에 관한 가이드라인(Guidelines Governing the Protection of Privacy & Transborder Flow of Personal Data)”에서 개인정보보호를 위한 8가지의 원칙을 설정했으며, 이 가운데 하나로 “개인 참여의 원칙(Individual Participation Principle)”을 천명하고 있다. OECD는 이 원칙에서 “개인은 자신에 관한 정보의 소재를 가지며, 필요한 경우에는 자신에 관한 정보를 합리적인 기간 내에 합리적인 비용과 방법에 의하여 알기 쉬운 형태로 통지받을 권리를 가진다. 이러한 권리가 거부되는 경우에 개인은 그 이유를 구하고 거부에 대하여 이의를 제기하거나 정보의 파기, 정정, 보완을 요구할 권리를 가진다”고 설명한다. 한편, OECD 가이드라인은 “수집제한의 원칙”을 두어 여기에서 개인정보의 수집이 합법적이고 정당한 절차에 의하여야 하며, 정보주체에 대한 통지와 동의를 필요로 함을 천명하고 있다.

OECD 가이드라인의 8대 원칙은 ① 수집제한의 원칙(Collection Limitation Principle), ② 정확성의 원칙(Data Quality Principle), ③ 목적명확성의 원칙(Purpose Specification Principle), ④ 이용제한의 원칙(Use Limitation Principle), ⑤ 안전조치의 원칙(Security Safeguards Principle), ⑥ 공개의 원칙(Openness Principle), ⑦ 개인참여의 원칙(Individual Participation Principle), ⑧ 책임의 원칙(Accountability Principle)

즉, 자기정보통제권은 개인정보의 유통이나 보관 활용 등의 행위에 있어서 정보주체 본인이 자신의 정보에 대한 관리를 스스로 할 수 있어야 함을 의미한다. 그 내용으로서는 동의권, 동의철회권, 열람청구권, 정정청구권, 삭제 · 반환 · 폐기 청구권 등이 있다.

2. 자기정보통제권 보장의 방법

정보의 유통이 초고속으로 이루어지며 그 규모가 대량화되면서 자기정보통제권의 행사는 한계를 가질 수밖에 없다. 자신도 모르는 사이에 유출되고 유통된 개인정보는 자신의 관할범위를 넘어 어디까지 흘러갔는지조차 파악이 불가능하기 때문이다. 그럼에도 불구하고 효과적인 개인정보보호를 위해서 자기정보통제권이 가지고 있는 의미는 결코 줄어들지 않는다. 민주노동당의 개인정보보호법 제정입법안에서 보장하고 있는 자기정보통제권의 내용을 확인하도록 한다.

(1) 동의권

제5조(개인정보의 수집 동의 등)  ① 타인의 개인정보를 수집하는 자는 당해 정보주체에게 제2항의 내용을 고지하고, 정보주체의 동의를 얻어야 한다. 다만, 다음 각호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

1. 계약의 이행을 위하여 필요한 경우

2. 용역의 제공에 따른 요금정산을 위하여 필요한 경우

3. 언론․출판을 위한 필요한 최소한의 정보

4. 정보주체의 급박한 생명, 신체, 재산의 침해위험을 막기 위하여 부득이한 경우

5. 이 법 또는 다른 법률에 특별한 규정을 두고 있는 경우

② 제1항의 규정에 의한 동의를 얻고자 하는 자는 미리 다음 각호의 사항을 정보주체에게 고지하여야 한다.

1. 개인정보관리책임자의 성명․소속부서․직위 및 전화번호 기타 연락처

2. 개인정보의 수집목적 및 이용목적, 보존기간

3. 개인정보를 제3자에게 제공하는 경우의 제공받는 자, 제공목적 및 제공할 정보의 구체적인 내용

4. 이 법에 의한 개인정보 주체의 권리 및 그 행사방법

5. 그 밖에 개인정보 보호를 위하여 필요한 사항으로서 대통령령이 정하는 사항

③ 개인정보를 수집하는 자는 적법하고 공정한 방법으로 수집해야 하며, 정보주체의 사생활침해를 최소화하도록 노력하여야 한다.

④ 개인정보는 정보주체로부터 직접 수집하거나 생성해야 한다. 다만, 다음의 경우에는 예외로 한다.

1. 정보주체로부터 개인정보를 수집하는 것이 불가능하거나 불합리한 경우

2. 제1항 각호의 어느 하나에 해당하는 경우

⑤ 제4항 단서의 규정에 따라 개인정보를 수집하거나 생성한 경우에는 사후에 개인정보를 수집 혹은 생성한 사실을 정보주체 에게 알리고 동의를 얻어야 한다. 다만, 정보주체에게 알리는 것이 당해 정보주체의 생명이나 신체에 중대한 위험을 초래하는 경우는 그러하지 아니하다.

⑥ 제5항의 규정에 따라 개인정보를 수집 혹은 생성한 사실을 정보주체에게는 알릴 때는 제2항에 규정된 사항을 함께 고지하여야 한다.

(2) 동의 철회권

제10조(동의의 철회)  ① 정보주체는 언제든지 개인정보 보유자에 대하여 정보수집에 대한 동의를 철회할 수 있다.

② 제1항의 규정에 따라 정보주체가 정보수집에 대한 동의를 철회한 경우에는 개인정보 보유자는 지체 없이 수집된 개인정보를 파기하고 기타 필요한 조치를 취하여야 한다. 다만, 개인정보 보유자가 법률상 개인정보를 보유하여야 할 의무가 있는 경우에는 그렇지 아니하다.

(3) 열람, 삭제, 반환, 폐기 청구권

제11조(개인정보  열람 및 정정)  ① 정보주체는 개인정보 보유자에 대하여 자신의 개인정보에 대하여 다음 각호에 열거한 사항에 대하여 자료를 요구할 수 있다. 이 경우 자신의 개인정보에 오류가 있는 경우에는 그 정정을 요구할 수 있다.

1. 정보주체의 개인정보를 수집한 경위

2. 정보주체의 개인정보 수집 현황

3. 정보주체의 개인정보를 제3자에게 제공한 내역

4. 개인정보 보유자의 개인정보 보호현황

5. 기타 대통령령으로 정하는 사항

② 개인정보 보유자는 제1항의 규정에 따라 정보주체가 자료 또는 정정을 요구한 때에는 지체 없이 이에 응하여야 한다. 이 경우 개인정보 보유자는 그 오류를 정정할 때까지 당해 개인정보를 제공 또는 이용하여서는 아니 된다.

Ⅲ. 고유식별자의 보호

우리나라는 전 국민에게 범용으로 사용할 수 있는 기능을 가진 동시에, 만인부동성 · 종생불변성을 갖춘 고유한 식별번호를 출생시에 부여하여 죽는 날까지 사용하도록 강제하고 있다. 그것이 주민등록번호이다. 13자리로 이루어진 이 주민등록번호는 조합방법상의 특수성으로 인하여 번호만으로 상당한 개인정보를 노출시킬 수 있으며, 공공 · 민간을 망라한 사회 전 분야에서 광범위하게 사용됨에 따라 개인정보를 유출시키기 위한 도구로 사용된다. 세계적으로도 전 국민에게 이처럼 범용으로 사용될 수 있는 고유한 식별번호를 부여하는 경우가 흔치 않으며, 설령 고유식별번호를 부여한다고 하더라도 그 사용범위를 극도로 제한하고 있다는 점에서 우리의 주민등록번호는 매우 독특한 제도라고 할 수 있을 것이다.

주민등록번호가 범용으로 사용됨에도 불구하고 그 사용에 있어서 특별한 제한을 두고 있지 않음에 따라 개인정보침해사례 중 상당수가 주민등록번호와 연관되어 발생할 정도로 사회문제가 되고 있다. 그럼에도 불구하고 정부와 기업은 개인정보의 수집과 이용에 편리하다는 이유로 주민등록번호를 무차별로 수집하고 활용하는 태도를 취하고 있다. 개인정보보호법이소기의 목적을 달성하기 위해서라도 전 국민 식별번호인 주민등록번호의 사용은 지금까지와는 전혀 그 형태를 달리하거나 사용범위를 최소한으로 축소하는 등의 조치가 절실히 필요하다. 이러한 문제의식을 바탕으로 민주노동당의 개인정보보호법안은 개인식별번호의 사용을 제한하는 조문을 두게 되었다.

제15조(고유식별자의 보호)  ① 누구든지 다음 각호의 어느 하나에 해당하는 경우를 제외하고 공공기관이 개인을 고유하게 식별하기 위해 부여한 식별자(이하 “고유식별자”라 한다)를 수집하거나 이용 또는 제3자에게 제공해서는 안 된다.

1. 공공기관이 법률의 규정에 따른 업무를 수행하기 위해 고유식별자의 처리가 반드시 필요한 경우로서 그 처리의 목적이 고유식별자가 부여된 목적과 직접적으로 관련이 있는 경우

2. 법률의 규정이 있거나 당사자의 동의가 있는 경우

② 공공기관은 법률에 규정이 없는 경우 다른 공공기관이 부여한 고유식별자를 그 개인에 대한 고유식별자로 부여할 수 없다.

Ⅳ. 사전조치

지금까지는 개인정보보호와 관련하여 사전에 개인정보보호를 위한 장치를 충분히 마련함으로써 개인정보침해사례를 억제하기 보다는 사후에 피해구제차원의 개인정보보호에 치중한 법제를 가지고 있었다. 이는 공공 민간 공히 마찬가지 현상인데, 그 결과 개인정보의 유출과 침해로 인한 사회적 비용의 손실을 억제하는데 한계를 보이게 되었다. 따라서 새로 만들어질 개인정보보호법은 사후 피해구제 뿐만 아니라 사전에 개인정보침해를 방지할 수 있도록 확립함으로써 정보주체의 피해를 미연에 막고, 피해발생의 확률을 최소화할 수 있는 조치들을 준비하였다.

(1) 개인정보 데이터베이스 등록

일정한 규모 이상의 개인정보 데이터베이스를 구축하고자 하는 자는 누구든지 개인정보보호위원회에 데이터베이스를 등록하도록 하였다. 등록된 데이터베이스에 대해서는 주기적인 감시가 진행되며, 이를 통해 개인정보의 유출을 사전에 억제할 수 있을 것이다.

제20조(개인정보 데이터베이스의 등록)  ①개인정보 데이터베이스를 보유하고자 하는 자는 다음 각 호의 어느 하나에 해당하는 경우에는 사전에 개인정보보호위원회에 등록하여야 한다.

1. 공공기관의 개인정보 데이터베이스

2. 대통령령이 정하는 업종의 개인정보 데이터베이스

3. 대통령령이 정하는 숫자 이상의 정보주체를 등록 대상으로 하는 개인정보 데이터베이스

4. 대통령령이 정하는 숫자 이상의 종업원을 고용한 자의 개인정보 데이터베이스

5. 대통령령이 정하는 개인정보를 수집하여 구축된 개인정보 데이터베이스

6. 대통령령이 정하는 기술을 사용하여 구축된 개인정보 데이터베이스

(2) 개인정보 데이터베이스 간 결합제한

다른 목적으로 수집된 개인정보를 보유하고 있는 각각의 데이터베이스는 목적 이외의 용도로 다른 데이터베이스와 결합하는 일을 최대한 억제하도록 해야 한다.

제23조(개인정보 데이터베이스의 결합 제한)  다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 누구든지 자기가 수집․보관하는 개인정보 데이터베이스를 공공기관이 처리하는 개인정보 데이터베이스와 결합할 수 없다.

1. 국가안전보장․사회질서유지 및 공공복리를 위하여 개인정보위원회가 필요하다고 인정한 경우

2. 정보추체의 동의가 있는 경우

3. 다른 법률에 특별한 규정이 있는 경우

(3) 개인정보 사전영향평가제도

대량의 개인정보나 민감한 개인정보를 처리하려는 개인정보 보유자는 개인정보 데이터베이스가 새로 구축되는 경우, 기존 데이터베이스에 새로운 개인정보를 추가함으로써 정보주체에 관한 새로운 정보를 생성할 수 있게 되는 경우 등에 위원회에 개인정보 사전영향평가를 신청하도록 했다.

제95조(개인정보 사전영향평가의 실시)  ①대량의 개인정보나 민감한 개인정보를 처리하려는 개인정보 보유자는 다음 각 호의 경우에 위원회에 개인정보 사전영향평가(이하 “영향평가”라 한다)를 신청하여야 한다.

1. 개인정보 데이터베이스가 새로 구축되는 경우

2. 기존 데이터베이스에 새로운 개인정보를 추가함으로써 정보주체에 관한 새로운 정보를 생성할 수 있게 되는 경우

3. 2개 이상의 개인정보 데이터베이스가 통합 또는 연동되는 경우

②제1항의 규정에 따라 영향평가를 신청하여야 하는 개인정보 보유자의 범위는 대통령령으로 정한다.

③제2항의 규정에 따른 범위에 해당하지 않은 개인정보 보유자가 정보처리의 규모가 확대됨에 따라 제2항의 범위에 해당하게 된 경우에는 제1항 각 호의 사유가 발생하지 않더라도 영향평가를 신청하여야 한다.

④위원회는 다음 각 호의 경우에 개인정보 보유자의 신청이 없더라도 영향평가를 실시하여야 한다.

1. 개인정보 데이터베이스의 구축을 필요로 하는 새로운 법령․제도가 도입되는 경우

2. 개인정보 보호에 부정적 영향을 미칠 가능성이 제기된 기술이 도입되는 경우

3. 노동자 개인정보 보호에 영향을 미칠 수 있는 사용자의 정보처리에 대해 해당 사업장의 노동조합 또는 그 상급단체가 영향평가를 요청한 경우

⑤위원회는 다음 각 호의 요건을 갖춘 자에게 영향평가를 위탁할 수 있다.

1. 개인정보 보호 및 인권에 관한 지식 및 전문성

2. 법률에 관한 지식 및 전문성

3. 정보보호 기술 및 시스템 관리에 관한 지식 및 전문성

4. 정보의 기록 및 유지에 관한 지식 및 전문성

5. 업무 설계에 관한 지식 및 전문성

⑥제5항의 규정에 따라 영향평가를 위탁받은 자는 위원회에 영향평가 결과보고서를 제출하여야 한다.

⑦위원회는 제1항 내지 제3항의 요건에 해당하는 개인정보 보유자가 영향평가를 신청하지 아니한 때에는 정보처리를 중지시킬 수 있다.

Ⅴ. 사후조치

개인정보보호와 관련하여 사후조치로서 피해자 구제는 여전히 중요한 의미를 가지고 있다. 지금까지의 피해자 구제는 금전적 손실로 환산될 수 있는 직접적 피해의 원상복구 정도의 수준에서 이루어져 왔다. 개인정보가 침해되는 대부분의 경우에 그 피해를 계산하기 힘들 뿐만 아니라 비록 환산이 가능하다고 할지라도 매우 경미한 수준의 개별적 보상만이 이루어질 수 있는 상황이었다. 물론 명예훼손 등과 같이 개인정보 유출 자체만의 문제가 아니라 다른 측면의 손해가 있는 경우는 특별한 보상이 가능하지만 이것은 전혀 별개의 경우이므로 논의의 궤를 달리하는 것이다.

피해자에 대한 구제가 적절하게 이루어지고 가해자에 대하여 무거운 책임이 규정된다면, 이것은 사후조치로서의 의미뿐만 아니라 사전적으로 가해행위의 의도를 억제하게 되어 일정한 사전적 효과를 가져올 수 있을 것이다. 민주노동당의 개인정보보호법안은 특히 사후조치와 관련하여 집단소송제도를 도입하는 내용을 가지고 있다.

제29조(개인정보관련 집단소송)  ①개인정보의 침해를 이유로 한 손해배상청구의 경우 공통의 이해관계를 가지는 피해자들(이하 “공동피해자”라 한다)을 위하여 피해자 중의 1인 또는 수인이 법원의 허가를 받아 대표당사자가 되어 손해배상청구소송(이하 “개인정보관련집단소송”이라 한다)을 제기할 수 있다.

Ⅵ. 개인정보보호를 위하여 반드시 생각해야할 부분

이상에서 민주노동당의 개인정보보호법 제정법률안의 내용 중 개인정보보호를 위한 여러 가지 조문들을 예로 들었다. 개인정보보호를 위한 실효성 있는 조치들이 비단 이상에 열거한 예들을 정형적으로 따라야 하는 것은 물론 아니다. 다만, 원칙적인 측면에서 정보주체 본인의 자기정보통제권을 최대한 보장해야한다는 것이며, 사전조치로서 개인정보의 유출과 침해를 막기 위한 장치들이 충분히 마련되어야 한다는 점, 강력한 사후 구제조치가 필요하다는 점은 강조되어야할 것이다.

현행 “공공기관의개인정보보호에관한법률” 및 “정보통신망이용촉진및정보보호등에관한법률”의 경우, 공공과 민간을 나누어 규율하고 있다는 특징을 감안하더라도 정보주체에 대한 자기정보통제권의 보장이 매우 소극적이라는 비판이 가능하며, 개인정보보호를 위한 사전 및 사후 조치에 있어서도 매우 열악한 수준의 법제도적 장치에 머물러 있다는 평가가 가능하다. 이러한 법제도의 현실은 정보사회의 비약적 발달과 더불어 발생하고 있는 각종 개인정보침해의 현상에 대해 효과적인 대책이 되지 못하며, 그 결과 피해의 감수를 고스란히 정보주체가 책임져야하는 부당한 현상을 발생시킨다.

상황이 이러함에도 불구하고, 정작 정부가 준비 중인 개인정보보호기본법안은 개인정보보호기구의 역할을 정부부처의 이해관계에 얽매여 제대로 세워내지 못하고 있으며, 사후구제조치를 현행 수준 이상으로 진전시키지 못한 것으로 알려지고 있다. 이것은 대단히 유감스러운 일인데, 과거 수년 간 개인정보보호와 관련하여 불성실한 태도로 일관해왔던 행정자치부와 정보통신부 등 정부기관들의 이해관계가 국민의 정보인권보다 우선시 되었다는 점에서 이해하기 어려운 현상이라 할 것이다.

지난 1월 17일, 인터넷 망을 통해 급속도로 전파된 소위 “연예인 X-파일” 사건의 경우, 우리 사회에서 개인정보가 얼마나 위험한 상황에 놓여 있는지, 개인정보에 대한 인식이 얼마나 저열한 수준인지를 적나라하게 보여주고 있다. 개인의 자기정보통제권을 최대한 보장하고, 사전적 개인정보보호조치를 충실하게 갖추고 있는 개인정보보호법 체계가 존재하고 있었다면 이러한 사태가 미연에 방지될 수 있었을 것이라고 생각한다. 요컨대 법제의 정비가 제대로 이루어지고, 이러한 법제를 기반으로 사회 구성원들에 대한 적절한 교육을 실시하고, 이 교육을 통해 사회전반에 개인정보보호에 대한 인식의 고조가 이루어지지 않는다면 앞으로도 더 많은 개인정보의 침해가 일어날 것이고 이를 해결하기 위해 더 많은 사회적 비용이 소모될 것임이 분명하다.

모쪼록 이후 진행되는 개인정보보호법제 논의에서는 정부부처의 밥그릇 보장이라는 측면보다는, 국민의 정보인권을 보장하는데 주력하는 모습이 나타나기를 바란다. 또한 보다 강력하고 효과적인 법제도 마련이라는 대의가 전제되기를 희망한다. 그렇게 되어야만 그 이름도 유치한 “연예인 X-파일” 같은 개인정보침해사태가 더 이상 벌어지지 않을 것이다.