개인정보의 개념에 관한 연구 = A Study on the Concept of Personal Data

다국어 초록 (Multilingual Abstract)

From the definition on the Personal Data Protection Act of Korea, we can infer that personal data is composed of two elements: personally identifiability and information. The former is crucial. Any information about a living person becomes personal data when his/her identity is apparent by the data itself or easy combination with other data. Internet business industry argues that the definition is too broad to use big data, using of which is vital in gaining a competitive edge in business.
However it is inevitable to include personally identifiable information in addition to personally identified information in defining personal data, considering the high speed of IT technology development. Information classified as “personally de-identified” based upon current IT technology can be categorized as “personally identifiable” in the future. EU takes the same position as Korea in terms of defining personal data. No important distinction is found. While EU decides “personally identifiable” when data is reasonably believed to be combined with other data, Korea decides based upon easiness of combination.
With regard to legislation on personal data, factors to consider are as follows; First, the definition of personal data in the Act should contain the core value of the fundamental right to self-determination over personal data, which is guaranteed in several cases since 2005 by the Consitutional Court of Korea. Personal data about personhood should be designed more protectively than others.
Second, the definition should contain the possible change of “personally de-identified” into “personally identifiable” due to rapid development of IT technology. Third, the evaluation on the definition of personal data is closely related to the entire regime of protecting personal data, under which personal data has two values: protection of individual’s personhood and free flow of information.

국문 초록 (Abstract)

개인정보보호법상 개인정보는 개인에 관한 정보로, 개인식별성과 정보성이라는 두 가지 요소로 구성되어 있다. 개인식별성은 살아 있는 개인을 전제로 하여, 해당 정보만으로 개인을 알아볼 수 있거나, 해당 정보와 다른 정보를 결합하여 개인을 알아볼 수 있는 경우를 말한다. 일부에서는 해당 정보와 다른 정보가 쉽게 결합할 경우 개인식별성을 인정하는 현행 개인정보의 정의 조항이 빅데이터(big data), 클라우드(cloud) 등 신산업의 발전가능성을 저해하므로 부당하다고 주장한다.
그러나 개인정보를 정의하는 데 있어 식별가능성을 중시하고, 식별을 위해 해당 정보뿐 아니라 다른 정보와의 결합 가능성을 중시하는 것은 불가피하다. 정보통신기술의 발전으로 초래된 위험은 정보가 대량으로 저장되는 데도 있지만, 정보들이 쉽게 결합될 수 있다는 데도 있는 것이다. 다른 선진국들도 결합가능성을 중시한다. EU의 경우 개인정보를 판단하는 데 있어서 해당 정보가 다른 정보와의 ‘결합이 합리적으로 기대되는지’를 기준으로 하는데 반해 우리는 ‘결합이 쉬운지’를 기준으로 하고 있다. 결합의 용이성에 대한 판단 역시 결합에 관한 그 사회의 합리적 기대를 바탕으로 한다고 보면, 양자간 차이는 사실상 없다.
개인정보의 개념은 다음과 같은 점을 고려하여 정립되는 것이 타당하다. 첫째, 개인정보의 정의는 헌법상 권리인 개인정보자기결정권의 핵심 내용을 담고 있어야 한다. 개인정보자기결정권은 개인에 관한 정보 중 개인의 인격주체성을 특징짓는 사항을 보호하는 데 그 의의가 있다. 둘째, 개인정보의 개념은 정보통신의 기술 발전을 수용할 수 있어야 한다. 기술 발전으로 현재 비식별정보로 분류된 것이 언제 식별가능정보로 바뀔지 알 수 없게 되었다. 셋째, 개인정보의 개념이 잘 정의되었는지 여부는 개인정보 보호체계 전반의 합리성과 연계하여 검토되어야 한다. 개인정보도 기본적으로 정보이며, 정보는 기본적으로 자유로운 유통을 전제로 하는 개념이기 때문에 개인정보의 자유로운 유통도 개인정보 보호법제가 추구하여야 할 또 다른 가치임이 분명히 인식되어야 한다.
개인정보가 보호의 대상이자, 유통의 대상이라는 양면적 성격을 인정하고 그 관리체계를 구축할 경우 개인정보는 그 유형에 따라 서로 다른 취급을 받아야 할 것이다. 헌법상 개인정보자기결정권의 대상이 되는 인격주체성과 관련 있는 개인정보에 대해서는 지금처럼 정보주체의 권리를 보장하는 것이 타당하다. 인격주체성과 관련 없는 개인정보는 원칙적으로 정보주체의 동의가 없어도 자유롭게 유통되도록 하되, 고유식별정보에 대한 보호는 현행 법제와 같은 수준을 유지하는 것이 타당하다고 본다.

참고문헌 (Reference)

1 한수웅, "헌법학" 법문사 2013

2 이인호, "정보프라이버시권: 한국에서의 도전과 응전" 2012

3 최경진, "빅데이터와 개인정보" 법학연구소 25 (25): 197-218, 2013

4 성준호, "빅데이터 환경에서 개인정보보호에 관한 법적 검토" 법학연구소 21 (21): 307-333, 2013

5 전경근, "개인정보의 활용범위에 관한 고찰" 법학연구소 6 (6): 479-502, 2012

6 장주봉, "개인정보의 의미와 보호범위" 서울대학교 3 : 2012

7 임규철, "개인정보의 보호범위" (17) : 2012

8 이창범, "개인정보보호법" 법문사 2012

9 함인선, "개인정보 처리와 관련한 법적 문제 - 우리나라 「개인정보 보호법」과 EU의 ‘2012년 규칙안’을 중심으로 하여 -" 법학연구소 6 (6): 150-171, 2013

10 구태언, "개인정보 정의조항, 동의제도 및 형사처벌의 합리화에 관한 연구" 고려대학교 정보보호대학원 2014

11 문재완, "개인정보 보호법제의 헌법적 고찰" 세계헌법학회한국학회 19 (19): 271-296, 2013

12 구태언, "개인정보 보호법의 제문제" 서울대학교 3 : 2012

13 김주영, "개인정보 보호법의 이해 - 이론·판례와 해설" 법문사 2012

14 행정안전부, "개인정보 보호법령 및 지침 고시 해설"

15 박경신, "“개인정보”의 정의와 위치정보보호법의 개선 방안 - 익명위치정보, 허가제 및 즉시동의요건을 중심으로 -" 부설법학연구소 37 : 191-221, 2012

16 Paul M. Schwartz, "The PII Problem: Privacy and a New Concept of Personally Identifiable Information" 86 (86): 2011

17 Jon L. Mills, "PRIVACY THE LOST RIGHT" 2008

18 Daniel J. Solove, "Introduction: Privacy Self-Management and the Consent Dilemma" 126 (126): 2013

19 Daniel J. Solove, "INFORMATION PRIVACY LAW" ASPEN 2006

20 Viktor Mayer-Schönberger, "Beyond Rights – Toward a “Systems” Theory of Information Governance" 98 : 1853-1860, 2010