사적 영역에서 개인정보 처리의 허용요건 —EU의 GDPR과 독일의 개인정보 보호법 규율 내용과 시사점— = Erlaubnisvoraussetzung zur Verarbeitung personenbezogener Daten im privaten Bereich

국문 초록 (Abstract)

본 논문은 사적 영역에서 개인정보 처리의 허용요건을 전반적으로 살피면서 현행 규정의 개선 방향을 제시하고자 하였다. 이를 위하여 비교법적 연구 차원에서 2016년 EU의 GDPR, 그리고 GDPR의 시행 전후의 독일 개인정보 보호법(BDSG)의 관련 규정과 그 해석·적용에 관한 내용을 개관하였다. 본 논문에서는 주로 ① 정보처리자(또는 제3자)의 정당한 이익을 위한 정보처리, ② 과학적 연구 등을 위한 정보처리, ③ 민감정보의 처리 및 ④ 정보주체의 동의 요건을 다루었다.
이 가운데 먼저 ‘정당한 이익’을 위한 정보처리 허용요건은 사적 영역에서 정보주체의 동의 외에 중요한 허용요건이며, 정보주체의 보호와 정보처리의 이익을 비교 형량하여 정보주체의 동의가 없더라도 정보처리를 허용할 수 있도록 해 주어야 한다. 본 논문은 GDPR과 독일의 규율 현황을 참고하여 직접마케팅을 위한 정보처리 역시 일정한 요건하에서 허용되어야 한다고 주장하고 있다. 다음으로 과학적 연구 목적의 정보처리 역시 일부 견해의 소극적 입장과 달리 과학적 연구의 사회적 의미, 개인 관련성이 아닌 객관적·일반적 인식을 얻고자 하는 정보처리의 목적, 암호화·가명화 등을 포함한 안전조치의 강구 등을 전제로 하여 정보처리에서 우대되어야 하며, 이는 신약개발과 같이 기업의 연구활동에 대해서도 마찬가지이다.
한편 민감정보의 경우 정보주체의 높은 필요성에도 불구하고 과학적 연구 등을 위한 정보처리, 원래 목적과 합치하는 추가처리의 경우 적절한 안전조치의 강구 하에서 허용되어야 한다는 견해를 제시하였다. 끝으로 정보처리에서 실제로 가장 중요한 정보주체의 동의요건 역시 일정한 경우 사후거절 (opt-out) 방식, 포괄적·탄력적 동의에 의하여 완화, 변화되어야 할 필요가 있다고 지적하였다.

다국어 초록 (Multilingual Abstract)

Bei dieser Abreit geht es darum, im privaten Sektoren die Erlaub- nisvo raussetzungen für die Verarbeitung personenbezogener Daten durchzuschauen und dabei eine Richtung zur Verbesserung der geltenden Regelungen vorzuschlagen. Zu diesem Zweck bietet dieses Papier einen Überblick über die DS-GVO im Jahr 2016 und die deutschen BDSGe vor und nach der Durchsetzung der DS-GVO. Seine Themen sind hauptsächlich ① Datenverarbeitung für die berechtigten Interessen des Verarbeiters (oder eines Dritten), ② Datenverarbeitung für wissens- chaftliche Forschung usw., ③ Verarbeitung sensibler Daten und ④ Anforderungen an die Einwilligung von das Informationssubjekt.
Unter diesen Punkten stellt die Voraussetzung der berechtigten Interessen neben der Einwilling des Datensubjekts ein wichtiges Erlaubnistatbestand dar und muss dazu in der Lage sein, die Interessen der Datenverarbeitung mit dem Schutz der betroffenen Person abzuwägen und dadurch die Datenverarbeitung ohne Einwillung des Datensubjekts zu ermöglichen. Bezogen auf die DS-GVO und die deutschen Ansichten plädiert dieses Papier dafür, dass die Datenve- rarbeitung für Dikektmarketing unter bestimmten Voraussetzugen zulässig sein sollte. Daneben sollte die Datenverbeitung für wissens- chaftliche Forschungsz- wecke im Gegensatz zu einigen negativen Ansichten im Lichte ihrer gesellschaftlichen Bedeutung und ihres Zwecks, objektives und allgemeines Bewusstsein ohne Personenbezug zu erlangen, privilegiert werden, soweit es Sicherheits- massnahmen, einschliesslich Verschlüsselung bzw. Pseudony- misierung, vorhanden sind. Dies gilt auch für unternehmensweite Forschungsaktivi- täten, etwa die Entwicklung neuer Medikamente.
Desweiteren wird in Bezug auf sensible Informationen behauptet, dass ihre Verarbeitung für wissenschaftliche Forschung sowie weitere zusätzliche, zu anderen als dem ursprüglichen Zweck zulässig sein sollte, sofern geeignete Sicherheitsmassnahmen getroffen werden. Abschlie- ssend wird darauf hingewiesen, dass auch die bei der Datenverar- beitung eigentlich wichtigsten Einwilligungserfordernisse der betroffenen Personen in bestimmten Fällen durch Opt-out-Methoden sowie eine breite/flexible Einwilligung gelockert bzw. geändert werden müssen.

참고문헌 (Reference)

1 김현숙, "한국 개인정보보호법 상정당한 이익 확대도입 방안에 관한 연구" 한국정보법학회 22 (22): 141-174, 2018

2 김현경, "정보주체의 권리보장과 ‘동의’제도의 딜레마" 법학연구원 32 (32): 93-133, 2020

3 홍선기, "일반개인정보보호규정(GDPR) 발효에 따른 독일 개인정보보호법제의 입법동향 및 시사점" 한국정보법학회 22 (22): 175-202, 2018

4 전승재, "인공지능 시대 개인정보에 관한 통계처리거부권·가명처리거부권의 인정가부 - 서울중앙지법 2022. 11. 17. 2021가합509722 판결에 관하여" 은행법학회 16 (16): 193-232, 2023

5 임규철, "유럽연합과 독일의 개인정보보호법의 비판적 수용을 통한 우리나라의 개인정보보호법의 입법개선을 위한 소고" 법학연구원 (61) : 81-115, 2018

6 채성희, "온라인 플랫폼과 맞춤형 광고에 관한 공정거래법 및 개인정보 보호법 관점에서의 검토 - 독일 Facebook 사건을 중심으로 -" 법학연구소 15 (15): 123-154, 2022

7 유진희 ; 심재한, "온라인 플랫폼 사업자의 이용자 데이터 보호 위반행위와경쟁법의 적용 - 독일 Facebook 사건을 중심으로 -" 한국경제법학회 20 (20): 117-140, 2021

8 윤종수, "사물인터넷, 블록체인, 인공지능의 상호운용에 있어서 개인정보자기결정권의 실현 및 데이터 이용 활성화" 한국정보법학회 24 (24): 107-148, 2020

9 차상육, "빅데이터의 활용에 따른 개인정보보호법제와의 충돌과 과제" 한양법학회 27 (27): 315-359, 2016

10 임정숙, "독일법상 개인정보보호에 대한 논의와 그 시사점" 한국경제법학회 14 (14): 171-210, 2015

11 유주선, "독일 부정경쟁방지법상 부당한 영업행위에 대한 논의- 특히 부당한 표시․광고의 규제를 중심으로 -" 한국경제법학회 10 (10): 137-155, 2011

12 이성엽, "데이터와 법" 박영사 2021

13 김연진, "개정 개인정보 보호법에 관한 시론적 고찰" 법학연구원 35 (35): 327-363, 2023

14 김현경, "개정 「개인정보 보호법」의 의미와 과제" (51) : 2023

15 이인호, "개인정보처리(수집, 이용, 제공)의 법적 기준에 대한 타당성 분석, 개인정보보호법제 개선을 위한 개선보고서" 프라이버시 정책연구 포럼 2013

16 최경진, "개인정보보호 관련법의 해석에 있어서 이익형량론과 일반적 이익형량 규정의 필요성에 관한 고찰" 사법발전재단 1 (1): 77-128, 2017

17 법무법인 세종, "개인정보 처리근거로서 정당한 이익의 해석기준(개인정보보호위원회 연구보고서)" 2018

18 권영준, "개인정보 자기결정권과 동의 제도에 대한 고찰" 법학연구소 36 (36): 673-734, 2016

19 이소은, "개인정보 보호법의 주요 개정 내용과 그에 대한 평가 - 개인정보 처리의 정당화 사유를 중심으로 -" 법학연구소 24 (24): 249-286, 2020

20 개인정보보호위원회, "개인정보 보호 법령 및 지침·고시 해설"

21 이대희, "개인정보 보호 및 활용 방안으로서의 가명⋅비식별정보 개념의 연구" 한국정보법학회 21 (21): 217-251, 2017

22 정원준, "개인정보 동의제도의 실질화 방안 연구" 법학연구원 (108) : 293-330, 2023

23 김현경, "ʻ개인정보처리자의 정당한 이익ʼ요건의 한계와 개선과제 - EU규정과 비교분석을 중심으로 -" 법조협회 72 (72): 240-272, 2023

24 Datenschutzkonferenz, "Orientierungshilfe zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung"

25 김현숙, "GDPR에서의 개인정보의 추가처리와 목적의 양립 가능성에 관한 연구 -「개인정보 보호법」제15조, 제17조 및 제18조의 개정논의를 중심으로-" 법학연구소 11 (11): 31-60, 2018

26 Wolff, "Datenschutzrecht DS-GVO·BDSG"

27 Gola, "Datenschutz-Grundverordung"

28 Sydow, "Datenschutz-Grundverordung"

29 Remmerz, "DSGVO ante portas: Aktuelle Berennpunkte im Online-Marketing, GRUR-Prax 2018"

30 Simitis, "Bundesdatenschutzgesetz"

31 Gola, "Bundesdatenschutzgesetz"

32 Datenschutzkonferenz, "Beschluss der 97. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder zu Auslegung des Begriffs bestimmten Bereiche wissenschaftlichen Forschung im Erwägungsgrund 33 der DS-GVO 3"

33 "Artikel 29 Data Protection Working Party"

34 Verordnung(EU), "2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (ABl. L 119 vom 04.05.2016)"