제정 10주년의 개인정보보호법에 대한 형사법적 검토 = Reflections on Criminal Law Aspects of the Personal Information Protection Act at Its 10th Anniversary

다국어 초록 (Multilingual Abstract)

This article intends to review major criminal law issues of the Personal Information Protection Act(‘the Act’) in the 10 years since its enactment.
The definition of ‘personal information’ relies on the concept of identifiability. The interpretation of the phrase “identifiable by easily combining with other data” is the key issue in deciding the identifiability of a person. Although there has been no Supreme Court decision on this point, lower courts seem to apply the relative approach, which considers combining other data should be easy for the data controller. In my opinion, this position is in line with the amended article of the Act which states “taking into account possibilities of obtaining other data” and the elements of criminal offences requiring status of data controller.
The amended Act of 2020 provides the legal basis for processing of ‘pseudonymised data’ and clarifies that ‘anonymised data’ is not subject to the Act. There was a lower court decision which denied the data controller’s intention of processing identifiable personal information where risk of re-identification had remained.
The Act stipulates the lawful grounds for processing personal information by specifying collection/use, provision to third parties and out-of-purpose use/provision separately, and criminalises the breach of such rules. The most important policy choice is how to ensure the right to informational self-determination of the data subject; the Act has adopted an opt-in regime. The Supreme Court has issued rulings on conditions for obtaining lawful consent and exemption for consent requirements in case of disclosed personal information. Also, the Supreme Court decides the legality of processing activities by reviewing whether they are in accordance with the original purpose for which the consent was given. Under the amended Act of 2020, further processing of personal information may be permitted without the data subject’s consent, if such processing is within the scope which is reasonably related to the original purpose of collection.
The Act also makes it a criminal offence for data controllers to violate data security measures. The court indicates the technical standards to be met, and requires both intention of such violation and negligence in the leakage of personal information.
Through this legal analysis of criminal cases accumulated during 10 years after the enforcement of the Act, I have emphasised that it is necessary to establish well-defined regulations by balancing interests between protection and utilisation of personal information.

참고문헌 (Reference)

1 전승재, "해킹을 방지하지 못한 사업자의 법적 책임 판단기준의 문제점- 행정제재⋅형사처벌의 기준과 민사상 과실판단 기준의 차이점을 중심으로 -" 한국정보법학회 21 (21): 111-157, 2017

2 허성욱, "한국에서 빅데이터를 둘러싼 법적 쟁점과 제도적 과제" 법학연구소 7 (7): 7-21, 2014

3 박규홍, "처방정보의 비식별화를 통한 제3자 제공과 관련한 형사 판결 검토" 서울대학교 13 (13): 2020

4 정성구, "제4차 산업혁명 시대의 개인정보" 세창출판사 2018

5 이대희, "제4차 산업혁명 시대의 개인정보" 세창출판사 2018

6 이성엽, "새로운 기술환경하에서 개인정보의 보호와 이용의 조화를 위한 개인정보보호규제 합리화 방안" 한국법제연구원 (46) : 7-40, 2014

7 임형진, "빅데이터 환경에서의 개인정보 비식별 처리 방법 분석" 금융보안원 (8) : 2017

8 박혁수, "빅데이터 시대에 개인정보 개념의 재검토" 서울대학교 10 (10): 2014

9 이동진, "목적구속의 원칙에서 목적합치의 원칙으로"

10 이동진, "데이터와 법" 박영사 2021

11 이동진, "데이터거래의 법적 쟁점 및 데이터거래 가이드라인" 서울대학교 2020

12 고학수, "국내 인터넷사이트의 개인정보 수집현황 분석" 한국법경제학회 10 (10): 181-216, 2013

13 이성기, "개인정보의 형사법적 보호 -「개인정보보호법」상 개인정보의 무단 수집 및 제공 행위를중심으로-" 법학연구소 29 (29): 145-172, 2018

14 개인정보보호위원회, "개인정보의 암호화 조치 안내서"

15 양기진, "개인정보의 범위에 관한 연구- GDPR의 비식별조치와 약학정보원 사건의 검토 -" 법무부 (84) : 59-92, 2018

16 이성엽, "개인정보의 개념의 차등화와 개인정보이동권의 대상에 관한 연구" 법학연구소 12 (12): 190-208, 2019

17 채성희, "개인정보의 개념에 관한 연구" 서울대학교 2017

18 박웅신, "개인정보보호법상 형사처벌 규정의 개선방안에 대한 연구" 법학연구원 30 (30): 293-318, 2018

19 구태언, "개인정보보호법상 동의 관련 범죄의 비범죄화 및대안에 관한 연구" 법학연구소 6 (6): 59-94, 2013

20 전응준, "개인정보보호법률상 형사처벌규정의 적정성에 관한 연구" 한국정보법학회 17 (17): 213-237, 2013

21 정세종, "개인정보보호법 위반 사범 수사를 위한 법리적 검토 및 제언 - 개인정보 불법제공 및 누설을 중심으로 -" 한국공안행정학회 29 (29): 231-254, 2020

22 박노형, "개인정보보호법" 박영사 2020

23 이성대, "개인정보보호를 위한 현행 형벌체계의 문제점 검토" 한국형사법무정책연구원 26 (26): 29-54, 2015

24 개인정보보호위원회, "개인정보보호 법령 및 지침·고시 해설"

25 최경진, "개인정보보호 관련법의 해석에 있어서 이익형량론과 일반적 이익형량 규정의 필요성에 관한 고찰" 사법발전재단 1 (1): 77-128, 2017

26 전승재, "개인정보, 가명정보, 익명정보에 관한4개국 법제 비교분석" 한국정보법학회 22 (22): 183-218, 2018

27 전승재, "개인정보, 가명정보 및 마이데이터의 활용 범위 - 데이터 3법을 중심으로 -" 법무부 (91) : 249-279, 2020

28 전현욱, "개인정보 침해사고를 막지 못한 자의 형사책임" 한국형사법무정책연구원 25 (25): 1-27, 2014

29 방송통신위원회, "개인정보 처리에서의 프로파일링 사례집"

30 권영준, "개인정보 자기결정권과 동의 제도에 대한 고찰" 법학연구소 36 (36): 673-734, 2016

31 전승재, "개인정보 수집, 이용, 제3자 제공에 관한 4개국 법제 비교분석" 법무부 (85) : 167-197, 2019

32 국무조정실, "개인정보 비식별 조치 가이드라인"

33 이용재, "개인정보 보호조치에 관하여 -옥션 판결의 기술적·관리적 보호조치와 인과관계 판단을 중심으로" 사법발전재단 1 (1): 481-538, 2016

34 주민철, "개인정보 보호조치 위반의 형사적 책임" 서울대학교 2015

35 장주봉, "개인정보 보호의 법과 정책" 박영사 2016

36 고학수, "개인정보 보호의 법과 정책" 박영사 2016

37 김민호, "개인정보 보호와 활용의 조화를 위한 개인정보보호법의 합리적 개정에 관한 제언" 개인정보보호법학회 2019

38 이새롬, "개인정보 보호와 동의제도에 관한 연구" 사법발전재단 65 : 2017

39 황성기, "개인정보 보호와 다른 헌법적 가치의 조화" 법학연구소 5 (5): 20-36, 2012

40 김진환, "개인정보 보호법의 해석 원칙을 위한 제언과 시론" 서울대학교 3 : 2012

41 이동진, "개인정보 보호법 제18조 제2항 제4호, 비식별화, 비재산적 손해 - 이른바 약학정보원 사건을 계기로 -" 한국정보법학회 21 (21): 253-284, 2017

42 이대희, "개인정보 보호 및 활용을 위한 공정정보원칙(FIPPs)의 융통적인 적용과 새로운 접근방법에 대한 연구 – 사물인터넷 및 빅데이터의 예를 중심으로 -" 법조협회 67 (67): 7-43, 2018

43 박광배, "개인정보 관련 법령의 실무적 운영과정에서 드러난 문제점과 개선방향" 사법발전재단 1 (1): 3-48, 2017

44 최규환, "가명정보와 개인정보자기결정권" 헌법재판소 헌법재판연구원 2021

45 개인정보보호위원회, "가명정보 활용성과 및 확산 방안"

46 개인정보보호위원회, "가명정보 처리 가이드라인"

47 太田洋, "個人情報保護法制大全" 商事法務 2020

48 宇賀克也, "個人情報保護法制" 有斐閣 2019

49 宇賀克也, "個人情報保護法の逐条解説" 有斐閣 2018

50 山本龍彦, "ロボット·AIは人間の尊厳を奪うか?, ロボット·AIと法" 有斐閣 2018

51 이인호, "「개인정보 보호법」상의 ‘개인정보’ 개념에 대한 해석론– 익명화한 처방전 정보를 중심으로 -" 한국정보법학회 19 (19): 59-87, 2015

52 Gerald Spindler, "Personal Data and Encryption in the European General Data Protection Regulation" 7 : 2016

53 한국인터넷진흥원, "ICO의 GDPR 과징금 경감 사례 분석" 2020

54 박노형, "EU 개인정보보호법" 박영사 2017

55 "Court of Justice of the European Union, Case C-582/14(19/10/2016): Patrick Breyer v Bundesrepublik Deutschland"

56 이창범, "Breyer 판결의 의미와 개인정보 식별성 판단 기준" 한국인터넷진흥원 2020

57 최경진, "4차 산업혁명 시대의 개인정보보호법제 개선방안" 한국법제연구원 (53) : 177-211, 2017

58 岩瀨ひとみ, "2020年個人情報保護法改正と實務対応" 商事法務 2020