데이터 3법과 개인정보 보호 원칙

앞의 네 노트가 데이터를 어떻게 담고 돌리는지를 다뤘다면 이 노트는 「담아도 되는가」를 다룹니다. 1과목에서 법 문항은 개수가 많지 않은데도 실점이 잦습니다. 조문을 외우는 문제가 아니라 「이 상황에서 동의가 필요한가」처럼 상황을 주고 판단을 묻기 때문입니다. 그래서 여기서는 법 이름을 늘어놓는 대신 「어떤 정보를 어떤 근거로 어디까지 쓸 수 있는가」의 순서로 봅니다.

데이터 3법

개정의 세 갈래

데이터 3법은 2020년에 함께 개정된 개인정보 보호법·정보통신망법·신용정보법 셋을 묶어 부르는 말입니다. 세 법이 개인정보를 각각 규율하면서 같은 내용이 겹치고 감독기관도 갈라져 있던 것을 정리한 개정입니다.

셋을 관통하는 한 줄은 「개인을 알아볼 수 없게 만든 데이터는 동의 없이 쓸 수 있게 열어 주되 그 대가로 감독을 강하게 건다」입니다. 「규제 완화」와 「보호 강화」 중 어느 쪽이냐를 묻는 보기가 나오면 둘 다입니다.

감독기구 일원화

개정 전에는 개인정보 보호위원회·행정안전부·방송통신위원회·금융위원회가 분야마다 나눠 감독했습니다. 개정으로 개인정보 보호위원회가 국무총리 소속 중앙행정기관이 되어 개인정보 보호 업무를 총괄합니다. 「어느 기관이 감독하는가」를 묻는 문항이 그대로 나오는 자리입니다.

개인정보

식별 가능성

법이 말하는 개인정보는 살아 있는 개인에 관한 정보로서 그 개인을 알아볼 수 있는 것입니다. 정의에서 짚을 곳이 셋입니다.

• 살아 있는 개인이어야 합니다. 사망자 정보와 법인·단체 정보는 개인정보가 아닙니다.
• 그 정보만으로는 못 알아보더라도 다른 정보와 쉽게 결합해 알아볼 수 있으면 개인정보입니다. 결합이 쉬운지는 입수 가능성과 드는 시간·비용·기술을 합리적으로 따져 판단합니다.
• 가명처리한 정보도 개인정보의 한 종류입니다.

「휴대전화 번호 뒷자리만 있으니 개인정보가 아니다」 같은 보기가 오답인 근거가 두 번째 항목입니다. 그것 하나로는 못 알아봐도 회사가 가진 회원 명부와 맞추면 바로 한 사람이 나옵니다.

민감정보와 고유식별정보

일반 개인정보보다 더 강하게 보호하는 두 갈래가 있고, 헷갈리기 쉬워 표로 가릅니다.

둘 다 「다른 개인정보와 묶어 한 번에 받은 동의」로는 안 되고 별도 동의를 받아야 한다는 점이 같습니다. 다만 주민등록번호는 한 단계 더 엄격해서 별도 동의만으로는 부족하고 법령에 처리 근거가 있어야 합니다. 그리고 주민등록번호는 보관할 때 반드시 암호화해야 합니다.

처리의 근거

수집·이용

가장 자주 틀리는 곳이 「동의가 유일한 근거는 아니다」입니다. 개인정보 보호법은 동의를 포함해 여러 근거를 나란히 두고 있고, 그중 하나만 있으면 수집·이용할 수 있습니다.

1. 정보주체의 동의를 받은 경우
2. 법률에 특별한 규정이 있거나 법령상 의무를 지키기 위해 어쩔 수 없는 경우
3. 공공기관이 법령에서 정한 소관 업무를 하기 위해 어쩔 수 없는 경우
4. 정보주체와 맺은 계약을 이행하거나, 계약을 맺는 과정에서 정보주체가 요청한 조치를 하기 위해 필요한 경우
5. 정보주체나 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요한 경우
6. 개인정보처리자의 정당한 이익을 위하여 필요하고 그 이익이 정보주체의 권리보다 명백히 앞서는 경우

뒤에 공중위생처럼 공공의 안전을 위해 긴급히 필요한 경우가 더해졌습니다. 쇼핑몰이 주문한 물건을 배송하려고 주소를 쓰는 것은 4번이라 배송을 위한 별도 동의가 필요 없고, 그 주소를 광고 문자에 쓰는 것은 계약 이행이 아니라서 동의가 필요합니다. 상황 문항은 대개 이 선 위에서 갈립니다.

제3자 제공과 처리위탁

정보를 밖으로 내보내는 방식이 둘인데 요구하는 절차가 다릅니다.

가르는 질문은 「누구의 업무를 위해 쓰이는가」 하나입니다. 받는 쪽이 자기 사업에 쓰면 제공이고, 맡긴 쪽 일을 대신 해 주는 것이면 위탁입니다.

정보주체의 권리

정보주체는 자기 정보에 대해 다음을 요구할 수 있습니다.

• 처리에 관한 정보를 제공받을 권리
• 동의 여부와 동의 범위를 선택하고 결정할 권리
• 처리 여부를 확인하고 열람을 요구할 권리
• 처리 정지와 정정·삭제·파기를 요구할 권리
• 처리로 생긴 피해를 신속하고 공정한 절차로 구제받을 권리

여기에 완전히 자동화된 처리로 내려진 결정을 거부하거나 설명을 요구할 권리가 뒤에 더해졌습니다. 사람이 개입하지 않은 심사 결과에 대해 사람의 재검토를 요구할 수 있다는 뜻이고, 자동화 의사결정이 늘면서 들어온 조항입니다.

가명정보 특례

세 목적

가명정보는 추가 정보를 쓰지 않고는 특정 개인을 알아볼 수 없게 처리한 정보입니다. 개정의 핵심은 이 가명정보를 정보주체의 동의 없이 처리할 수 있게 한 특례이고, 허용 목적이 셋으로 못 박혀 있습니다.

셋 다 「학술」이나 「비영리」로 좁혀 읽으면 안 됩니다. 상업적 통계와 산업적 연구가 명시적으로 들어가 있어서, 「영리 목적이므로 가명정보를 쓸 수 없다」는 보기는 오답입니다. 반대로 이 셋에 안 드는 목적, 이를테면 특정 고객에게 광고를 보내려고 가명정보를 쓰는 것은 특례 밖입니다.

결합과 안전조치

특례에는 세 가지 제동이 함께 걸려 있습니다.

1. 서로 다른 개인정보처리자가 가진 가명정보를 결합하려면 지정된 전문기관을 거쳐야 합니다. 두 회사가 알아서 맞춰 보는 것은 안 됩니다.
2. 가명정보를 처리하면서 특정 개인을 알아보려는 시도 자체가 금지되고, 처리 중에 개인이 식별되면 즉시 처리를 멈추고 회수·파기해야 합니다.
3. 추가 정보는 원래 정보와 분리해 따로 보관하고, 처리 목적과 제3자 제공 내역 등의 기록을 남겨야 합니다.

가명정보는 여전히 개인정보이므로 안전조치 의무가 그대로 붙습니다. 다만 열람·정정·삭제·처리정지 같은 일부 권리 규정은 적용되지 않는데, 누구의 정보인지 모르는 상태라 그 요구에 응할 방법이 없기 때문입니다.

마이데이터와 영향평가

데이터 이동권

데이터 이동권은 자기 정보를 자신이나 자신이 지정한 곳으로 옮겨 달라고 요구할 수 있는 권리입니다. 열람이 「보여 달라」라면 이동은 「저쪽으로 보내 달라」이고, 그래서 흩어진 정보를 한곳에 모아 쓰는 길이 열립니다.

이것을 금융 분야에서 사업으로 세운 것이 마이데이터입니다. 신용정보법이 본인신용정보관리업이라는 이름으로 두었고, 여러 금융회사에 흩어진 내 신용정보를 한 화면에 모아 보여 주고 그에 맞춘 자산 관리를 제공하는 사업입니다. 개인정보 보호법 쪽에도 전송을 요구할 수 있는 근거가 들어가 분야를 가리지 않는 일반 권리로 넓어졌습니다.

개인정보 영향평가

개인정보 영향평가는 개인정보파일을 새로 만들거나 크게 바꿀 때 그것이 정보주체에게 미칠 위험을 미리 분석하고 개선 방안을 마련하는 절차입니다. 공공기관은 일정 기준에 해당하면 의무이고, 민간은 자율입니다.

의무 대상 기준은 규모와 정보의 성격으로 정합니다.

세 기준의 숫자가 바로 문항이 됩니다. 성격이 무거울수록 기준 인원이 작다는 방향으로 기억하면 순서가 뒤집히지 않습니다. 평가는 시스템을 다 만들고 나서가 아니라 구축 전에 하는 것이 원칙이고, 결과는 보호위원회에 제출합니다.

연습 문제

1. 다음 중 개인정보 보호법상 개인정보에 해당하는 것은?
   ① 사망한 사람의 병력 기록
   ② 주식회사의 사업자등록번호와 대표 전화번호
   ③ 회원 명부와 맞추면 한 사람이 특정되는 전화번호 뒷자리
   ④ 어느 지역의 연령대별 인구 통계표

   ③. 그 정보만으로는 못 알아봐도 다른 정보와 쉽게 결합해 알아볼 수 있으면 개인정보입니다. ①은 살아 있는 개인이 아니고, ②는 법인 정보이며, ④는 개인을 특정할 수 없는 통계입니다.
2. 고유식별정보에 해당하지 않는 것은?
   ① 주민등록번호
   ② 여권번호
   ③ 건강검진 결과
   ④ 운전면허번호

   ③. 건강에 관한 정보는 민감정보입니다. 고유식별정보는 법령에 따라 개인에게 부여된 식별 번호이고 ①②④와 외국인등록번호가 그것입니다.
3. 온라인 서점이 주문받은 책을 보내기 위해 구매자의 주소를 이용했습니다. 이때의 처리 근거는?
   ① 정보주체의 동의
   ② 계약의 이행을 위하여 필요한 경우
   ③ 급박한 생명·신체·재산의 이익을 위하여 필요한 경우
   ④ 공공기관의 소관 업무 수행

   ②. 배송은 구매 계약을 이행하는 일이므로 별도의 동의 없이 이용할 수 있습니다. 같은 주소를 광고 문자 발송에 쓰면 계약 이행이 아니므로 그때는 동의가 필요합니다.
4. 제3자 제공과 처리위탁을 가르는 기준으로 옳은 것은?
   ① 정보가 국외로 나가는지 여부
   ② 넘기는 정보의 건수
   ③ 넘긴 정보가 누구의 업무 목적으로 쓰이는지
   ④ 넘기는 방식이 온라인인지 오프라인인지

   ③. 받는 쪽 자기 사업을 위해 쓰면 제공이고, 맡긴 쪽 업무를 대신하는 것이면 위탁입니다. 위탁은 위탁 내용과 수탁자를 공개하면 되지만 제공은 원칙적으로 동의가 필요합니다.
5. 가명정보를 정보주체의 동의 없이 처리할 수 있는 목적이 아닌 것은?
   ① 상업적 목적의 통계작성
   ② 산업적 연구를 포함한 과학적 연구
   ③ 공익적 기록보존
   ④ 특정 고객을 겨냥한 광고 발송

   ④. 특례가 허용하는 목적은 ①②③ 셋뿐입니다. ①과 ②에 상업적·산업적 목적이 들어간다는 점이 함께 나오므로 「영리라서 안 된다」로 고르지 않도록 합니다.
6. 서로 다른 두 기업이 각자 가진 가명정보를 합쳐 분석하려 합니다. 옳은 것은?
   ① 양쪽이 합의하면 자체적으로 결합할 수 있다
   ② 지정된 전문기관을 통해서만 결합할 수 있다
   ③ 정보주체 전원의 동의를 받으면 결합할 수 있다
   ④ 가명정보는 어떤 경우에도 결합할 수 없다

   ②. 결합은 특례에서 가장 위험한 대목이라 전문기관을 거치게 했습니다. ④는 결합 자체를 막는 것이 아니라 경로를 정해 둔 것이므로 틀립니다.
7. 공공기관이 고유식별정보를 포함해 정보주체 8만 명분의 개인정보파일을 새로 만들려 합니다. 개인정보 영향평가에 대한 설명으로 옳은 것은?
   ① 5만 명 기준을 넘으므로 평가 대상이고 구축 전에 수행한다
   ② 100만 명에 못 미치므로 대상이 아니다
   ③ 대상이지만 시스템을 운영한 뒤에 하면 된다
   ④ 민간과 마찬가지로 자율에 맡겨진다

   ①. 민감정보나 고유식별정보가 든 파일은 5만 명 이상이면 대상입니다. 100만 명 기준은 그런 정보가 없는 일반 파일에 적용되고, 평가는 구축 전에 하는 것이 원칙입니다.

법 문항을 풀 때는 조문 번호가 아니라 이 처리가 누구의 목적을 위한 것인가를 먼저 잡습니다. 정보주체 자신의 계약을 위한 것인지, 처리자의 사업을 위한 것인지, 제3자의 사업을 위한 것인지가 정해지면 동의가 필요한지 아닌지가 거의 따라 나옵니다. 가명정보 특례도 마찬가지여서, 허용된 세 목적에 드는지를 먼저 보고 그다음에 결합과 안전조치를 확인하는 순서가 가장 덜 헷갈립니다.