개인정보보호법제의 개선방안에 관한 연구 = Study on improvement of private information protection laws in Koorea

다국어 초록 (Multilingual Abstract)

Recently, there has been increased awareness of the importance of private data protection laws due to frequent private information leaks. While these leaks were limited in the past, nowadays, the extent of damage caused by leaks has rapidly expanded due to online computerized processing of personal information.
Moreover, private-sector data protection is governed by many separate individual laws. Therefore, it is difficult for individuals to know in what ways their private information should be protected and what they should do in case of information leakage.
The public sector makes as its primary goal the promotion of public welfare. To achieve this goal, there has been an inevitable, growing need for public organizations responsible for collecting and processing private data. The private information held by the public sector is different from that of the private sector in that while it is very sensitive, it is still mandatory to provide. For example, if the records of an individual's divorce, medical or crime history were opened to the public, that is not only a clear privacy infringement, but could also result in that individual suffering other hardships such as loss of social security benefits and character defamation. It is for these reasons that private information should be subject to constitutional protection.
This paper takes a close look at legislation on the data protection laws of the Republic of Korea, and suggests controversial issues and solutions as follows.
First of all, the data protection laws in the Republic of Korea govern the public sector and private sector separately. Due to this separate system, regulation disparities between the public and private sector and blind spots in private information protection emerge. Therefore, there is a necessity to establish an improved regulatory system that governs the public and private sectors together, as exists in other OECD countries.
Secondly, information on the process of obtaining consent for collecting private data and providing that data to a third party is perfunctory – that is, it is merely offered with other general information. When data processing entities request consent from private entities for private data, information on the consent request process and where the personal data provided ends up should be required to be given separately from other general information.
Thirdly, current private data protection laws should be more expanded and rationalized in terms of protection scope and retention period. Data protection for the deceased is needed as well. Computerized private information that is currently excluded from subjects to be protected by the private sector should be included. It is currently up to the heads of organizations holding the private information to determine the retention period of private data. However, the retention period of private data could be a matter of significant importance to the individuals who provided such information. Therefore, the data retention period should be expressly stipulated in a law or private data supervisory authorities should be granted the power to administer and supervise the retention period. Moreover, data protection for the deceased is needed to protect the right of personality of bereaved families.
Fourthly, leakage of private data usually entails multiple victims at a time, and the pattern of damage is the same. Therefore, private data protection laws should include a collective dispute resolution system that would serve to arbitrate conflicts in a timely manner.
Lastly, to effectively protect an individual’s private information, the independence of the data protection supervisory authority is critical. For this, two options are under discussion: to establish the supervisory authority under the president's direct authority; or to establish it as a central government agency. Taking into consideration that a central government agency is also subject to supervision, it is better to establish the supervisory authority in the form of an independent committee under the president's authority. Since the current data protection supervisory authority lacks the substantial power to monitor and investigate, it is necessary to change this so that the supervisory authority is granted the right to monitor, investigate, order suspension of infringement, decide compensation for damage and intervene in a dispute, to ensure that private data protection laws work effectively in reality.

국문 초록 (Abstract)

최근 개인정보보호는 개인정보의 불법 유출 등으로 인해 우리 사회의 화두로 떠오르고 있다. 지금은 개인정보를 전산처리하여 개인정보 유출에 따른 피해의 범위가 넓다. 이러한 현실에도 민간부문은 일반법 없이 분야별로 개별법이 산재되어 있어 수범자는 규범의 준수에 있어 혼란을 느낄 수 있다.
공공부문을 살펴보면, 공공기관이 보유하고 있는 개인정보는 민간의 개인정보수집과 다르게 의무적으로 제공하여야 하며, 그 정보의 민감성 또한 민간이 보유하는 개인정보 보다 크다. 예를 들어, 개인의 이혼․범죄 기록 등이 공개된다면 프라이버시권, 인격권, 재산권, 사회보장수급권 등 다양한 기본권에 직․간접적으로 영향을 미친다. 이러한 점이 개인정보를 헌법적 차원의 보호 대상으로 다루어야 하는 이유이다.
본 논문에서는 우리나라의 개인정보보호법제 일반을 살펴보고, 그 문제점과 개선방안을 제안하고 있다. 그 내용을 살펴보면 다음과 같다.
첫째, 현재의 이원적인 개인정보보호법제는 공공부문과 민간부분의 규율 체계상 불균형은 물론 개인정보보호의 사각지대가 존재할 우려가 있다. 따라서 개인정보보호에 관한 입법 모델 중 OECD, EU, 독일 등과 같이 공공부문과 민간부문을 모두 규율하는 통합 일반법을 제정할 필요가 있다.
둘째, 개인정보 관리자가 개인정보의 정보수집 등의 동의를 받는 방법은 다른 정보와 함께 개재하는 경우가 많아 형식적인 동의 절차를 통해 개인정보가 수집되고 제3자에게 제공되고 있다. 따라서 다른 정보와 구분해서 고지하도록 규정해야 한다.
셋째, 보유기간의 합리화 및 사인(死人)의 개인정보보호가 필요하다. 현행 규정은 개인정보의 목적달성 여부와 보존기간을 보유기관의 장에게 일임하고 있다. 따라서 보존기간의 명문화 또는 개인정보감독기구에 보존기간에 대한 관리․감독권을 부여하는 방안이 고려되어야 한다. 아울러 사인(死人)의 개인정보보호를 확대하여 사인과 유족의 인격권을 보호해야 할 것이다.
넷째, 「공공기관의 개인정보 보호에 관한 법률」은 보호대상에서 수기화된 개인정보를 제외하고 있다. 따라서 전산 처리되지 않은 개인정보도 개인정보보호법의 적용대상에 포함시켜 개인정보 보호에 소홀함이 없도록 해야 한다.
마지막으로 법제정 이후, 현실적인 개인정보보호가 이루어지기 위해서는 개인정보 감독기구의 독립이 중요하다. 중앙행정기관 또한 감독기구의 감독대상임을 고려하면 개인정보 감독기구를 대통령 소속의 독립기구로 설치해야 할 것이다. 아울러 개인정보 감독기구가 조사․감독 등에 있어 실질적 권한을 보유하지 못하는 문제점을 시정하기 위해 개인정보 감독기구에 조사권한, 시정권고권, 침해정지명령권, 피해구제기능과 분쟁조정권한 등을 부여하여 개인정보의 실질적 보장이 이루어지도록 해야 한다.
현재 국회가 추진 중인 개인정보보호 법안도 본 논문의 개선방안과 방향을 같이 하고 있어 바람직하다고 평가할 수 있다. 일반법으로서의 통합 개인정보보호법이 논의 중이지만, 분야별 특수성을 반영한 개별법 제정 등이 남아있는 만큼 개인정보보호 법제에 대한 보다 깊은 연구가 필요하다.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구의 목적 1
• 제2절 연구의 범위와 방법 3
• 제2장 개인정보의 보호법제 일반론 4
• 제1절 개인정보보호의 개념 4
• 1. 개인정보의 의의 4
• 2. 개인정보의 요소 6
• 3. 개인정보의 분류 8
• 제2절 개인정보보호의 법적 기초 13
• 1. 개인정보자기결정권의 헌법적 의의 13
• 2. 개인정보보호와 개인정보자기결정권의 보장 14
• 3. 외국의 개인정보자기결정권에 대한 논의 22
• 4. 개인정보자기결정권의 한계 26
• 제3장 우리나라의 개인정보보호법제 31
• 제1절 공공부문의 개인정보보호에 관한 법률 31
• 1. 공공기관의 개인정보보호에 관한 법률 31
• 2. 통계법 37
• 3. 주민등록법 37
• 4. 기타 개별법상의 개인정보보호 관련 규정 38
• 제2절 민간부문의 개인정보보호 관련 법률 42
• 1. 정보통신망 이용촉진 및 정보보호 등에 관한 법률 42
• 2. 신용정보의 이용 및 보호에 관한 법률 47
• 3. 전기통신사업법 53
• 4. 의료법 54
• 5. 기타 개별법상의 개인정보보호 관련 규정 55
• 제4장 외국의 개인정보보호법제 59
• 제1절 국제기구의 개인정보보호 규범 59
• 1. UN의 개인정보보호 가이드라인 59
• 2. OECD의 개인정보보호 지침 62
• 3. EU의 개인정보보호지침 등 64
• 4. APEC의 프라이버시 가이드라인 69
• 제2절 외국의 개인정보보호법제 72
• 1. 미국의 개인정보보호법제 72
• 2. 캐나다의 개인정보보호법제 79
• 3. 독일의 개인정보보호법제 81
• 4. 일본의 개인정보보호법제 86
• 제3절 외국 입법체계의 분석 및 시사점 92
• 1. 국제기구의 개인정보보호 규범의 특징 92
• 2. 국가별 개인정보보호 입법 모델 93
• 3. 입법 모델별 장단점 분석 93
• 제5장 개인정보보호법제의 문제점 및 개선 방안 95
• 제1절 개인정보보호법제의 문제점 95
• 1. 개인정보보호법제의 개관 95
• 2. 개별 입법주의에 따른 개인정보의 사각지대 발생 97
• 3. 민간부문과 공공부문간의 개인정보보호 불균형 97
• 4. 형식적인 동의 방식 98
• 5. 수기문서의 법적용 제외 및 개인정보침해에 대한 벌칙규정 미비 99
• 6. 집단피해구제제도의 미비 100
• 7. 전문적 독립 감독기구의 부존재 101
• 8. 소결 103
• 제2절 개인정보보호법제의 일원화 104
• 1. 통합일반법 제정의 필요성 104
• 2. 통합일반법 제정의 검토 105
• 3. 통합일반법의 법적 성격 및 역할 107
• 4. 통합일반법과 부문별 입법의 양립 체계 107
• 제3절 개인정보보호의 확대 108
• 1. 동의 방식의 개선 및 개인정보보유 기간의 합리화 108
• 2. 수기문서의 적용 109
• 3. 사인(死人)의 개인정보보호 109
• 4. 집단분쟁조정제도의 도입 110
• 제4절 개인정보 감독기구의 개선 111
• 1. 독립된 개인정보 감독기구 111
• 2. 단일의 개인정보 감독기구 113
• 3. 설립형태 및 권한 114
• 제6장 결론 118
• 참고문헌 121
• 1. 국내문헌 121
• 2. 해외문헌 124
• ABSTRACT 126