민법의 시각에서 바라본 개인정보 보호법의 의의와 과제 = Significance and Improvement of Personal Information Protection Act from the Perspective of Civil Law

다국어 초록 (Multilingual Abstract)

The Personal Information Protection Act enacted in 2011 is closely related to the civil law that regulates personal rights relationships. Regarding the protection of personal information, the relationship between civil law and personal information protection law is between general law and special law. The two acts can be viewed from the following four perspectives. First, the interpretation theory of civil law is applied to the common legal terms and principles of the Personal Information Protection Act and the Civil Law. Second, the theory of civil law can be a guide to the interpretation of special legal regulations of the Personal Information Protection Act. Third, the special provisions of the Personal Information Protection Act should not undermine the value of civil law. Fourth, if there is no provision in the Personal Information Protection Act, the theory of civil law can be used.
Discussions have been actively conducted on the legal nature of the rights of information subjects to personal information. There has been a conflict between the view of personal rights and the view of property rights. Since personal information is itself to the information subject, it cannot be one's property. Personal information is a personality extracted in the form of information from the information subject. Therefore, personal information is the extracted personality of the information subject and is attributed to the information subject as a personal right.
It is pointed out that the current consent system does not know enough about the scope and meaning of the consent content, and only remains a “formal consent system” regardless of one's intention. In particular, if the contents of the terms and conditions are unfair, as well as intentional obstacles such as setting a less readable font size or a path that is difficult to access easily, it is difficult to admit serious consent as it is contrary to transparency. Through the 2020 revision, Article 15, Paragraph 3 introduced an exemption from consent due to compatibility. This is a system that responds to the industry's realistic request for the use of personal information, but it should not be interpreted widely.
Regarding compensation for damages, punitive damages and legal damages were introduced through the 2015 revision. There is a problem of who bears the burden of proof for intentional or serious negligence in punitive damages or legal damages. There needs to be a legal amendment to address this problem. The following amendments are proposed. “If personal information processed by a personal information processor is lost, stolen, leaked, forged, falsified, or damaged, and damages occur to the data subject, the court may determine the amount of compensation for damages not exceeding three times the amount. However, this is not the case if the personal information processor proves that there is no intentional or serious negligence.” and “Notwithstanding Article 39 (1), where personal information processed by a personal information processor is lost, stolen, leaked, forged, falsified, or damaged, the data subject may claim compensation with a considerable amount of up to KRW 3 million. In such cases, the relevant personal information processor cannot be exempted from responsibility unless it proves that there is no intention or negligence.” The Personal Information Protection Act is somewhat inconsistent with the family law order. Minors over the age of 14 are allowed to give full consent to the processing of personal information independently without the consent of their legal representatives. However, there is a need for improvement in securing the right to self-determination of personal information of minors and harmonizing the effective exercise of parental authority by parents. Specifically, only requests for the provision of personal information by a legitimate minor for the purpose of exercising parental authority or guardianship should be collected and pro...

국문 초록 (Abstract)

2011년 제정된 개인정보 보호법은 개인의 사적인 권리관계를 규율하는 민법과 밀접한 관계에 있다. 개인정보 보호에 관해서 민법과 개인정보 보호법의 관계는 일반법과 특별법의 관계에 있다. 두 법률은 다음과 같은 네 가지 관점에서 조망할 수 있다. 첫째로 개인정보 보호법과 민법의 공통적인 법률용어나 법리에는 민법의 해석론이 적용된다. 둘째로 개인정보 보호법의 특수한 법률규정에 대한 해석에도 민법의 이론이 길잡이가 될 수 있다. 셋째로 개인정보 보호법의 특별한 규정이 민법의 가치를 훼손해서는 안 된다. 넷째로 개인정보 보호법에 아무런 규정이 없는 경우에 민법의 이론이 원용될 수 있다.
정보주체가 갖는 개인정보에 대한 권리의 법적 성격에 관한 논의가 활발하게 이루어진 바 있다. 인격권으로 보는 견해와 재산권으로 보는 견해가 그것이다. 개인정보는 정보주체에게는 자기 자신 그 자체이기 때문에, 자신이 자기의 재산이 될 수는 없다. 개인정보는 정보주체로부터 정보의 형식으로 추출된 인격이다. 따라서 개인정보는 정보주체의 추출된 인격으로서 정보주체에게 인격권으로 귀속된다고 할 것이다.
현행 동의제도는 정보주체가 동의 내용의 범위와 의미에 대해 충분히 알지 못하며, 자신의 의사와는 상관없이 하는 ‘형식적인 동의제도’로만 남아 있다는 지적이 있다. 특히 약관의 내용이 불공정한 경우는 물론이고 가독성이 떨어지는 글씨 크기나 쉽게 접근하기 어려운 경로를 설정하는 등 의도적인 장애요소가 있는 경우에는 투명성에 반하는 것으로서 실질적인 동의를 인정하기는 어렵다고 할 것이다. 2020년 개정을 통해 양립가능성에 의한 동의 면제를 도입하였다. 개인정보의 활용이라는 산업계의 현실적인 요청에 부응하는 제도인 점은 수긍할 수 있으나, 확장해석은 경계해야 할 필요가 있다.
손해배상과 관련하여서도 2015년 개정을 통해 징벌적 손해배상과 법정 손해배상을 도입하였다. 그러나 법문 표현상 개인정보처리자의 고의 또는 중과실의 증명책임을 누가 부담할 것인가가 명확히 드러나 있지 않은 문제가 있다. 따라서 개인정보 보호법을 개정하여 “개인정보처리자가 처리하는 개인정보가 분실･도난･유출･위조･변조 또는 훼손된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 3배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다. 다만, 개인정보처리자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다”로, 그리고 제39조의2 제1항을 “제39조 1항에도 불구하고 정보주체는 개인정보처리자가 처리하는 개인정보가 분실･도난･유출･위조･변조 또는 훼손된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다”로 수정할 것을 제안하였다.
개인정보 보호법은 가족법 질서와도 다소 부조화하는 면이 있다. 14세 이상의 미성년자는 법정대리인의 동의 없이 독자적으로 개인정보 처리에 대해 완전한 동의를 할 수 있도록 인정하고 있다. 그러나 미성년자의 개인정보 자기결정권 보장과 친권자의 실효성 있는 친권행사를 위한 적절한 수단 확보를 조화시키는 방향의 개선이 요구된다고 할 것이다. 구체적으로는 친권자나 후견인이 친권 또는 그 권한의 행사를 목적으로 ...

참고문헌 (Reference)

1 김진우, "현행 호적공개제도의 문제점에 관한 고찰"

2 김솔왕, "제한능력자의 개인정보보호 및 후견인의 개인정보 취급 범위에 관한 연구" 연세대학교 대학원 2016

3 오병철, "제3의 재산으로서 데이터의 체계적 정립" 한국정보법학회 25 (25): 135-178, 2021

4 오병철, "적법하게 공개된 개인정보의 보호와 활용" 법학연구소 52 (52): 165-204, 2017

5 이동진, "일반적으로 접근 가능한 개인정보의 처리와 이익형량" 한국정보법학회 24 (24): 57-82, 2020

6 박경신, "일반적으로 공개된 정보의 개인정보 보호법상의 지위에 대한 해외 입법례" 전남대학교 법학연구소 38 (38):

7 방송통신위원회, "위치정보의 보호 및 이용 등에 관한 법률 해설서"

8 문병순, "양립가능성 규정의 적용 범위에 대한 소고 다른 개인정보 보호 규정과의충돌 문제를 중심으로-" 69 (69):

9 최경진, "새로 도입된 법정손해배상에 관한 비판적 검토 개인정보 보호 관련법에서의법정손해배상을 중심으로-" 27 (27):

10 정애령, "사생활보호와 개인정보 보호의 관계에 관한 연구" 17 (17):

11 정진명, "사법에 있어서 개인정보 보호" 8 (8):

12 이대희, "빅데이터와 개인정보 보호" 19 (19):

13 Nadezhda Purtova ; 김미리 ; 권헌영, "빅데이터 변화 이후에도 개인 정보의재산권적 성격은 타당한가? - 개인 통제와 명확성" 법학연구소 10 (10): 223-235, 2017

14 박주희, "민간부문 개인정보 보호를 위한 약관 통제" 32 (32):

15 정다영, "디지털 개인정보와 디지털콘텐츠의 계약적 교환 - 소비자보호의 관점에서 -" 한국비교사법학회 26 (26): 245-284, 2019

16 김진우, "대가로서의 디지털 개인정보 - 데이터의 개인정보보호법 및 계약법적 의의 -" 한국비교사법학회 24 (24): 1521-1558, 2017

17 이정아, "국제적 시각에서 개인정보 처리에 관한 동의의 자율성 및 유효성에 관한 검토 – EU의 최근 판결례를 중심으로 -" 한국법학원 182 (182): 406-438, 2021

18 이동진, "개정 정보통신망법 제32조의2의 법정손해배상: 해석론과 입법론" 법학연구소 55 (55): 365-420, 2014

19 고형석, "개인정보침해와 손해배상책임의 원칙" 한국법학원 145 : 52-84, 2014

20 송오식, "개인정보침해에 대한 합리적 구제방안 - 사권으로서 개인정보권의 정립을 위한 시론 -" 법학연구소 36 (36): 735-776, 2016

21 정종구, "개인정보처리의 허용범위와 그 한계 목적합치의 원칙을 중심으로-" 27 (27):

22 윤나리, "개인정보자기결정권침해소송에서의 위법성의 증명책임- 서울중앙지방법원 2018. 12. 13. 선고 2016가소5944347사건을 중심으로 -" 법학연구소 60 (60): 95-120, 2019

23 김민호, "개인정보의 의미" 법학연구원 28 (28): 1-22, 2016

24 임규철, "개인정보의 상업적 판매 및 조건에 대한 비판적 고찰– 홈플러스 사건을 중심으로(대법원 2017.4.7. 선고 2016두61242 및 2016도13263 판결) -" 한국법제연구원 (52) : 273-301, 2017

25 정상조 ; 권영준, "개인정보의 보호와 민사적 구제수단" 법조협회 58 (58): 5-73, 2009

26 윤주희, "개인정보 침해현황과 이용자보호" 법학연구소 33 (33): 327-359, 2013

27 권영준, "개인정보 자기결정권과 동의 제도에 대한 고찰" 법학연구소 36 (36): 673-734, 2016

28 강달천, "개인정보 자기결정권 보호의 한계의 관점에서 본 개인정보 보호법 개정의문제점" 22 (22):

29 이재경, "개인정보 유출에 따른 정신적 손해와 위자료의 인정가능성 - 대법원 2012.12.26. 선고 2011다59834 판결 -" 동북아법연구소 8 (8): 525-544, 2015

30 최지현, "개인정보 유출과 손해배상책임" 중앙대학교 법학연구원 44 (44):

31 이소은, "개인정보 유출 사고와 정보통신서비스 제공자의 책임- 대법원 2018. 1. 25. 선고 2015다24904, 24928, 24935판결을 중심으로 -" 법학연구소 29 (29): 553-593, 2018

32 김현경, "개인정보 보호제도의 본질과 보호법익의 재검토" 26 (26):

33 송재일, "개인정보 보호의 민사법적 쟁점" 한국법학회 54 :

34 김진환, "개인정보 보호의 규범적 의의와 한계 – 사법(私法) 영역에서의 두 가지 주요 쟁점을 중심으로 –" 한국법학원 144 : 43-87, 2014

35 권태상, "개인정보 보호와 인격권- 사법(私法) 측면에서의 검토 -" 법학연구소 17 (17): 71-109, 2013

36 정찬모, "개인정보 보호에 있어 정보주체의 동의" 인하대학교 법학연구소 18 (18):

37 노갑영, "개인정보 보호법상 개인정보주체의 권리보장수단으로서 징벌적 손해배상" 전남대학교 법학연구소 40 (40):

38 이동진, "개인정보 보호법 제18조 제2항 제4호, 비식별화, 비재산적 손해 - 이른바 약학정보원 사건을 계기로 -" 한국정보법학회 21 (21): 253-284, 2017

39 이병준 ; 백경일, "개인정보 관련 약관⋅서식과 그 내용통제" 법학연구소 36 (36): 195-212, 2012

40 한승수, "개인정보 관련 민사판례상 손해배상책임의 인정 기준 - 2010년 이후의 판례의 동향과 그 분석을 중심으로-" 법학연구원 문화.미디어.엔터테인먼트법연구소 13 (13): 1-38, 2019

41 권태상, "개인위치정보의 수집으로 인한 손해배상책임 - 대법원 2018. 5. 30. 선고 2015다251539, 251546, 251553, 251560, 251577 판결" 법학연구소 24 (24): 1-32, 2020

42 이지은, "가족관계등록부의 공시기능과 개인정보 보호" 32 (32):

43 임건면, "個人情報의 意義와 歸屬關係- 民事法的인 觀點에서 -" 중앙법학회 7 (7): 229-250, 2005

44 Buchner, "Informationelle Selbstbestimmung im Privatrecht"

45 Margaret Jane Radin, "Boilerplate: the Fine Print, Vanishing Rights, and the Rule of Law" Princeton University Press 2013

46 함인선, "AI시대에서의 개인정보자기결정권의 재검토 ― EU 개인정보보호법을 소재로 하여 ―" 공익인권법센터 (26) : 123-151, 2021

47 개인정보보호위원회, "2020 개인정보 보호법령 및 지침 고시 해설"