개인정보의 보호에 관한 법률

3. 주요 내용

이 법은 개인정보의 중요성이 커짐에 따라 그 적절한 취급을 위한 기본 원칙을 정하고 있다. 핵심 이념은 개인의 존엄성 존중이며, 이를 바탕으로 개인정보를 신중하게 다루고 보호하는 것을 목적으로 한다(제1조, 제3조).

이 법은 '개인정보', '개인정보 데이터베이스 등', '개인 데이터', '보유 개인 데이터'와 같은 주요 용어를 정의하고 있으며(제2조, 제16조), 주로 '개인 데이터'의 취급에 관한 규정을 다룬다.

국가와 지방자치단체는 개인정보 보호를 위한 시책을 마련하고 실행할 책무를 지며(제4조, 제5조), 과거 분산되었던 관련 규정은 법 개정을 통해 일원화되었다.

개인정보 데이터베이스 등을 사업에 이용하는 '개인정보취급사업자'는 이 법의 주요 규제 대상이지만(제16조 제2항), 국가기관 등은 제외되며, 언론, 학술 연구, 종교, 정치 활동 등 특정 목적의 정보 이용은 일부 의무 적용에서 예외를 둔다(제57조).

개인정보취급사업자는 이용 목적의 특정 및 제한, 적정한 정보 취득, 안전 관리 조치, 종업원 및 위탁처 감독, 원칙적인 제3자 제공 제한 등 다양한 의무를 준수해야 한다(제4장 제1절, 제2절). 또한 정보 주체인 본인은 자신의 정보에 대한 열람, 정정, 이용정지 등을 요구할 권리를 가지며, 개인 데이터 유출 시 사업자는 개인정보보호위원회 보고 및 본인 통지 의무를 진다(제26조, 제32조~제35조).

이 법의 내용은 1980년 경제협력개발기구(OECD)에서 제시한 OECD 프라이버시 8원칙과 밀접하게 연관되어 있다.

3. 1. 기본 이념

3. 2. 용어의 정의

• '''개인정보''': 살아있는 개인에 관한 정보로서, 특정 개인을 알아볼 수 있는 정보(다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 것을 포함)를 말한다(제2조 제1항). 외국인의 정보도 포함되지만, 사망한 사람의 정보나 법인 자체의 정보는 원칙적으로 제외된다.
• '''개인정보 데이터베이스 등''': 개인정보를 포함하는 정보의 집합체로서, 컴퓨터 등을 이용하여 쉽게 검색할 수 있도록 체계적으로 구성되거나, 목차나 색인 등으로 체계적으로 정리된 것을 의미한다(제16조 제1항).
• '''개인 데이터''': '개인정보 데이터베이스 등'을 구성하는 개인정보를 의미한다(제16조 제3항).
• '''보유 개인 데이터''': 개인정보 취급 사업자가 공개, 정정, 삭제, 이용 정지 등의 권한을 가지는 개인 데이터 중에서, 그 존재 여부가 알려지는 것이 공익 등을 해칠 우려가 있는 특정 경우를 제외한 것을 의미한다(제16조 제4항).

3. 2. 1. 개인정보

성명, 성별, 생년월일 등 개인을 식별하는 정보에 한정되지 않고, 개인의 신체, 재산, 직업, 직함 등의 속성에 관하여 사실, 판단, 평가를 나타내는 모든 정보이며, 평가 정보, 공표물 등에 의해 공적으로 공개된 정보나, 영상, 음성에 의한 정보도 포함되며, 암호화 등에 의해 은닉화되어 있는지 여부를 묻지 않는다.

「개인에 관한 정보」가, 성명 등과 결합하여 「특정 개인을 식별할 수 있게」 되면, 그것이 「개인정보」가 된다.

3. 2. 2. 개인정보 데이터베이스 등

• 해당 정보의 존재 여부가 알려짐으로써 공익이나 다른 이익을 해칠 우려가 있는 경우 (시행령 제5조)
• * 해당 정보의 존재 여부가 알려짐으로써 본인 또는 제3자의 생명, 신체, 재산에 해를 끼칠 우려가 있는 경우
• * 해당 정보의 존재 여부가 알려짐으로써 위법 또는 부당한 행위를 조장하거나 유발할 우려가 있는 경우
• * 해당 정보의 존재 여부가 알려짐으로써 국가의 안전이 위협받거나, 다른 나라 또는 국제기구와의 신뢰 관계가 손상되거나, 교섭상 불이익을 받을 우려가 있는 경우
• * 해당 정보의 존재 여부가 알려짐으로써 범죄의 예방, 진압, 수사 등 공공의 안전과 질서 유지에 지장을 줄 우려가 있는 경우

3. 2. 3. 개인 데이터

• 그 존부가 밝혀짐으로써 공익 기타의 이익이 해를 받는 것
• 해당 개인 데이터의 존부가 밝혀짐으로써, 본인 또는 제3자의 생명, 신체 또는 재산에 해가 미칠 우려가 있는 것
• 해당 개인 데이터의 존부가 밝혀짐으로써, 위법 또는 부당한 행위를 조장하고, 또는 유발할 우려가 있는 것
• 해당 개인 데이터의 존부가 밝혀짐으로써, 국가의 안전이 해를 받을 우려, 타국 혹은 국제기관과의 신뢰 관계가 손상될 우려 또는 타국 혹은 국제기관과의 교섭상 불이익을 받을 우려가 있는 것
• 해당 개인 데이터의 존부가 밝혀짐으로써, 범죄의 예방, 진압 또는 수사 기타 공공의 안전과 질서의 유지에 지장이 미칠 우려가 있는 것

3. 2. 4. 보유 개인 데이터

• 해당 개인 데이터의 존재 여부가 밝혀짐으로써, 본인 또는 제3자의 생명, 신체 또는 재산에 해를 끼칠 우려가 있는 경우
• 해당 개인 데이터의 존재 여부가 밝혀짐으로써, 위법 또는 부당한 행위를 조장하거나 유발할 우려가 있는 경우
• 해당 개인 데이터의 존재 여부가 밝혀짐으로써, 국가의 안전이 위협받을 우려, 다른 나라 혹은 국제기관과의 신뢰 관계가 손상될 우려 또는 다른 나라 혹은 국제기관과의 교섭상 불이익을 받을 우려가 있는 경우
• 해당 개인 데이터의 존재 여부가 밝혀짐으로써, 범죄의 예방, 진압 또는 수사, 그 밖에 공공의 안전과 질서 유지에 지장을 초래할 우려가 있는 경우

3. 3. 국가 및 지방공공단체의 책무 · 시책

• 개인정보 보호 조례가 아예 제정되지 않은 지방공공단체의 존재^[24]
• 개인정보 활용 및 관련 지식 수준의 지역 간 격차 발생^[25]
• 조례별 해석과 절차 차이로 인한 지방자치단체 간 연계 미흡^[24][25]
• 공공 부문과 민간 부문의 규율 차이로 인한 감독 관청의 불분명성^[25]

3. 4. 개인정보취급사업자의 대상

• 국가, 지방 공공 단체, 독립 행정 법인 등 및 지방 독립 행정 법인 (이들은 법 제6장에서 별도로 규정한다)

3. 5. 개인정보취급사업자의 주요 의무

• 개인정보 취급 일반
• 이용 목적의 특정(제17조): 개인정보의 이용 목적을 가능한 한 구체적으로 정해야 한다.
• 이용 목적의 제한(제18조): 정해진 이용 목적 달성에 필요한 범위를 넘어서 개인정보를 취급해서는 안 된다.
• 적정한 취득(제20조): 거짓이나 부정한 방법으로 개인정보를 취득해서는 안 된다.
• 취득 시 이용 목적의 통지(제21조): 개인정보를 취득하면 신속하게 이용 목적을 본인에게 알리거나 공표해야 한다.
• 불만 처리(제40조): 개인정보 취급에 관한 불만을 적절하고 신속하게 처리하도록 노력해야 한다.

• 개인 데이터 관리
• 데이터 내용의 정확성 확보(제22조): 개인 데이터를 정확하고 최신 내용으로 유지해야 한다.
• 안전 관리 조치(제23조): 개인 데이터의 유출, 분실, 훼손 등을 방지하기 위해 필요한 안전 관리 조치를 해야 한다.
• 종업원·위탁처의 감독(제24조·제25조): 개인 데이터를 안전하게 관리하도록 종업원이나 업무 위탁처를 감독해야 한다.
• 제3자 제공의 제한(제27조): 원칙적으로 본인의 동의 없이 개인 데이터를 제3자에게 제공해서는 안 된다. (세부 내용은 하위 섹션 참조)

• 보유 개인 데이터 관련
• 사항의 공표 등(제32조): 보유 개인 데이터의 이용 목적 등을 본인이 알 수 있도록 공표해야 한다.
• 공개(제33조): 본인이 자신의 보유 개인 데이터 공개를 요구하면, 법에서 정한 예외 경우를 제외하고는 지체 없이 공개해야 한다. 공개 시 수수료를 징수할 수 있다(제38조).
• 정정 등(제34조): 본인이 보유 개인 데이터 내용의 정정, 추가, 삭제를 요구하고 그 이유가 타당하면, 필요한 조사를 거쳐 내용을 정정해야 한다.
• 이용 정지 등(제35조): 본인이 목적 외 이용이나 부정한 취득을 이유로 이용 정지나 삭제를 요구하고 그 이유가 타당하면, 원칙적으로 이용을 정지해야 한다. 다만, 비용이 많이 들거나 다른 대체 조치가 가능한 경우는 예외가 될 수 있다.
• 이유 설명 노력(제36조): 본인의 공개, 정정, 이용 정지 등의 요구에 대해 조치를 취하지 않거나 다른 조치를 취할 경우, 그 이유를 본인에게 설명하도록 노력해야 한다.

• 유출 시 보고 및 통지
• 개인 데이터 유출 등이 발생하여 개인의 권리·이익을 해칠 우려가 큰 경우(요주의 개인정보 포함, 재산적 피해 우려, 부정 목적 유출, 1,000명 초과 유출 등)에는 개인정보 보호위원회에 보고하고 본인에게 통지해야 한다(제26조 1항, 시행 규칙 제7조).^[10]

3. 5. 1. 제3자 제공의 제한

3. 5. 2. OECD 프라이버시 8원칙과의 관계

4. 개인정보 보호 관련 사건 및 판례

일본의 개인정보의 보호에 관한 법률 시행 이후, 법률에 대한 오해나 과잉 반응으로 사회 곳곳에서 문제가 발생하기도 하였다. 이는 "개인의 권익을 보호하면서도 필요에 따라 개인정보를 유효하게 활용한다"는 법의 기본 이념에서 벗어난 확대 해석에 따른 것으로 보인다. 예를 들어, 일부 사람들은 답변 거부 시 벌칙 규정이 있는 국세조사와 같은 통계 조사에 대해 개인정보 보호법을 이유로 답변을 거부할 수 있다고 오해하여 조사 답변율이 낮아지는 현상이 나타났다. 또한 학교의 긴급 연락망을 만들지 못하거나, 재난 발생 시 도움이 필요한 사람들의 명단 작성이 지연되는 등의 문제도 발생했다.^[14]

실제 법률은 개인정보를 취급하는 사업자 등에 대한 감독을 중심으로 하며, 일반 국민을 직접 규제하는 내용은 없다. 사업자가 개인정보를 유출^[15]했을 경우에도 그 자체에 대한 직접적인 벌칙 조항은 없으며, 주무 관청의 시정 권고를 따르지 않거나 보고 의무를 이행하지 않을 때 벌칙이 부과될 수 있다. 개인정보 유출로 인해 손해^[16]가 발생하면 민사상 책임을 물을 수 있다.

특히 재난이나 대규모 사고 발생 시 안부 정보 확인과 관련하여 현장에서 혼란이 발생한 사례들이 있다. 일본 개인정보 보호법 제23조 제1항 제2호는 "사람의 생명, 신체 또는 재산의 보호를 위해 필요한 경우로서 본인의 동의를 얻는 것이 곤란할 때"에는 개인정보를 본인 동의 없이도 활용할 수 있도록 규정하고 있어, 재난 시 안부 정보 확인 등은 법의 규제 대상이 아니라고 해석됨에도 불구하고 다음과 같은 문제가 발생했다.

• JR 다카라즈카선(후쿠치야마선) 탈선 사고: 사고 당시 병원 등 의료 현장에서 부상자 가족의 안부 확인 요청에 대해 개인정보 보호를 이유로 답변을 망설이는 등 혼란이 발생하여 논란이 되었다.
• 니가타현 주에쓰 해역 지진: 니가타현 가시와자키시가 개인정보 보호법 시행을 이유로 재난 시 도움이 필요한 '요원호자' 명단을 지역 자치회나 소방 당국에 미리 제공하지 않았던 사실이 드러났다. 이로 인해 지진 발생 시 일부 요원호자에 대한 구조 및 지원이 늦어졌을 가능성이 제기되었으며, 명단이 사전에 공유되었다면 사망자를 줄일 수 있었을 것이라는 비판이 나왔다.^[17][18]

• 요주의 개인 정보(민감 정보)가 포함된 유출 등 사태
• 부정한 목적으로 개인정보 유출 등이 발생한 사태
• 개인정보 유출 등으로 재산상 피해가 발생할 우려가 있는 사태
• 1,000명을 초과하는 개인정보 유출 등이 발생한 사태

5. 개인정보 보호 관련 법률 개정 논의

정보화 사회가 발전하고 프라이버시 문제에 대한 인식이 높아지면서 개인정보 보호의 중요성이 커졌고, 이에 따라 관련 법률의 제정 및 개정 논의가 활발하게 이루어졌다.^[5] 개인정보 보호법 제정 및 개정 논의가 본격화된 배경은 다음과 같이 요약할 수 있다.^[5]

• 정보화 사회의 진전과 프라이버시 문제에 대한 사회적 인식 확산
• 개인정보 보호 입법의 세계적인 추세
• OECD 이사회의 프라이버시 보호 권고 등 국제적인 기준 제시
• 지방자치단체 차원에서의 개인정보 보호 조례 제정 증가
• 유럽 연합 일반 데이터 보호 규칙(유럽 연합 지침)과 같은 강력한 개인정보 보호 규범의 등장^[6]
• 전자상거래 확산에 따른 이용자 프라이버시 보호 강화 요구 증대
• 주민등록 제도 등 행정 시스템 변화에 따른 개인정보 보호 법제 정비 필요성 제기

5. 1. 한국의 개인정보 보호법 개정 논의

'''개인정보의 보호에 관한 법률 및 행정 절차에 있어서 특정 개인을 식별하기 위한 번호의 이용 등에 관한 법률 일부를 개정하는 법률(2015년 법률 제65호) 부칙 제12조 제3항'''


3 정부는, 전항에 정하는 사항 외에, 이 법률의 시행 후 3년마다 개인정보 보호에 관한 국제적 동향, 정보 통신 기술의 진전, 이에 따른 개인정보를 활용한 새로운 산업의 창출 및 발전의 상황 등을 감안하여, 신 개인정보 보호법의 시행 상황에 대해 검토를 실시하고, 필요하다고 인정될 때에는 그 결과에 기초하여 필요한 조치를 강구하는 것으로 한다.

'''개인정보의 보호에 관한 법률 등 일부를 개정하는 법률(2015년 법률 제65호) 부칙 제10조'''


제10조 정부는, 이 법률의 시행 후 3년마다 개인정보 보호에 관한 국제적 동향, 정보 통신 기술의 진전, 이에 따른 개인정보를 활용한 새로운 산업의 창출 및 발전의 상황 등을 감안하여, 신 개인정보 보호법의 시행 상황에 대해 검토를 실시하고, 필요하다고 인정될 때에는 그 결과에 기초하여 필요한 조치를 강구하는 것으로 한다.

5. 2. 일본의 개인정보 보호법 개정 논의

• 취급하는 개인정보 수가 5000건 이하인 "소규모 취급 사업자"에게도 법률을 적용하여, 기존의 "건수 요건"을 철폐했다.^[13]
• "이용 목적의 명시", "제3자 제공 시 본인 동의"와 같이 개인정보를 활용할 때의 사업자 의무를 상세하게 규정했다.
• 개인정보를 복원할 수 없도록 처리한 "익명 가공 정보" 개념을 도입하고, 일정한 조건을 충족하면 본인 동의 없이도 제3자에게 제공할 수 있도록 했다.
• 기존 행정기관이 보유하는 개인정보의 보호에 관한 법률 및 독립행정법인이 보유하는 개인정보의 보호에 관한 법률에서 규정하던 사항을 개인정보 보호법으로 통합했다. 지방자치단체도 법 적용 대상에 포함시키고, 각 지자체가 개별적으로 제정했던 개인정보 보호 조례는 원칙적으로 폐지하여, "개인정보"의 정의 및 기본적인 운용 등을 이 법률로 일원화했다.
• 개인정보 보호 관련 주무대신의 권한을 개인정보 보호위원회로 이관했다.

• 일부 지방 공공 단체에는 개인정보 보호 조례 자체가 없는 경우가 있었다.^[24]
• 개인정보의 활용 수준이나 관련 지식에 있어 기관별, 지역별 격차가 발생했다.^[25]
• 조례마다 해석과 절차가 달라 지자체 간 원활한 정보 연계가 어려웠다.^[24][25]
• 공공 부문과 민간 부문의 규율이 달라 감독 관청이 불분명한 영역이 존재했다.^[25]

참조

_[1] 웹사이트 個人情報の保護に関する法律 https://www.japanese[...] 法務省 2023-01-19
_[2] 웹사이트 統計調査と個人情報保護 https://www.stat.go.[...] 総務省
_[3] 문서 2017年（平成29年）5月30日以前は、5,000件以下の個人情報を扱う企業や者は対象外であった
_[4] URL https://www.ppc.go.j[...]
_[5] 웹사이트 衆憲資第28号 知る権利・アクセス権とプライバシー権に関する基礎的資料―情報公開法制・個人情報保護法制を含む―（平成15年5月15日の参考資料） https://www.shugiin.[...] 衆議院 2016-08-31
_[6] 웹사이트 個人データ処理に係る個人の保護及び当該データの自由な移動に関する指令 https://www.soumu.go[...] 2016-09-26
_[7] 웹사이트 個人情報の保護に関する法律第16条2項 https://laws.e-gov.g[...] デジタル庁 2023-10-15
_[8] 문서 中間整理
_[9] 웹사이트 第４回個人情報保護検討部会議事要旨 https://www.kantei.g[...] 1999-09-07
_[10] 웹사이트 漏えい等報告・本人への通知の義務化について https://www.ppc.go.j[...]
_[11] 뉴스 改正マイナンバー法成立＝１８年から預金口座に適用－年金との連結は延期 http://www.jiji.com/[...] 時事通信社 2015-09-03
_[12] 뉴스 改正マイナンバー法成立＝2018年から預金口座に適用－年金との連結は延期 https://www.sankei.c[...] 産経新聞 2015-09-03
_[13] 웹사이트 ビッグデータの利活用、日本企業は「匿名化」問題を超えられるか https://forbesjapan.[...] Forbes Japan 2017-10-19
_[14] 웹사이트 統計調査と個人情報保護 https://www.stat.go.[...] 総務省統計局 2022-07-23
_[15] 문서 ここでは、個人情報取扱事業者が、個人データの漏洩防止等のための安全管理措置義務（第20条）を怠って個人データを漏洩した場合をいう。
_[16] 문서 通常は、個人情報取扱事業者が安全管理措置義務（第20条）を怠って個人データを漏洩し、もって当該データの個人情報が第三者に知られる可能性が生じた時点で、本人の精神的損害（慰謝料）は少なくとも認められうる。
_[17] 웹사이트 新潟県中越沖地震 「要援護者情報」伝わらず http://blog.livedoor[...]
_[18] 웹사이트 中越沖地震が教える過剰反応対策の必要性 https://xtech.nikkei[...]
_[19] 문서 この法律の規制が及ばないというわけではない。場合によっては、組織外への第三者への無断提供や、漏洩防止等のための安全管理措置義務は、規制の対象になりうる。本人の同意が必要になる場合があり、全員が同意しなかった場合に、「本人が同意しなかったという個人情報」自体が組織内で共有されてしまうとして、最初から作成しないということも起こり得る。
_[20] 웹사이트 個人情報保護法に関するよくある疑問と回答 http://www.caa.go.jp[...]
_[21] 웹사이트 OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data http://www.oecd.org/[...]
_[22] 웹사이트 GDPR（EU一般データ保護規則）とは？日本企業が対応すべきポイントを考える https://www.hitachi-[...]
_[23] 웹사이트 EUデータ保護規則（GDPR） http://informationla[...]
_[24] 웹사이트 個人情報保護法制２０００個問題について https://www8.cao.go.[...] 内閣府 2016-11
_[25] 웹사이트 個人情報保護法制「２０００個問題」って何？「自治体個人情報保護法」による解決を目指す https://news.yahoo.c[...] Yahoo Japan 2015-05-13