가명정보에 관한 법적 통제

초록

가명정보는 개인을 알아볼 수 있는 정보나 다른 정보와 쉽게 결합하여 알아볼 수 있는 개인정보를 동 정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는, 즉 가명처리를 함으로써 원래의 상태로 복원하기 위한 추가정보의 사용・결합 없이는 특정개인을 알아볼 수 없게 된 정보를 말한다. 주관적 공권으로서 우리 헌법 해석상 인정되어 온 개인정보자기결정권은 정보주체가 타인이 보유하고 있는 자신의 정보에 접근하여 열람하거나 그 정보의 정정, 삭제, 차단 등을 요구함으로써 자신에 관한 정보에 통제할 수 있는 권리이다. 이를 보장하기 위해서 개인정보보호법에서는 정보주체의 동의를 개인정보처리의 원칙적인 요건으로 정하고 있는데 일반적인 공익보다 개인정보자기결정권을 우선시키는 것으로 평가된다. 동의요건 준수를 위하여 많은 사회적 비용이 발생한다. 이러한 점을 고려하여 개인정보보호법은 개인정보자기결정권을 보호하면서 동의요건 완화를 통한 개인정보의 이용확대를 위해서 가명정도제도를 적극적으로 법상 규정하게 되었다. 빅데이터와 인공지능이 산업과 사회발전의 핵심을 구성하는 새로운 미래를 준비하기 위해서는 대량의 데이터 수집과 분석이 필수 불가결한 것이고 가명정보제도가 가장 현실적 대안이라고 할 수 있다. 앞으로 개인정보보호를 강화하면서 가명정보를 통한 데이터 활용범위가 확대되도록 제도운용의 균형을 유지할 필요가 있다. 이러한 것을 실현하기 위하여 다음의 3가지 점은 추후 개선이 필요하다. 첫째, 추가정보는 개인정보의 전부 또는 일부를 대체하는 처리과정에서 생성 또는 사용된 정보로서 특정 개인을 알아보기 위하여 사용・결합될 수 있는 정보이다. 이러한 추가정보에 대한 법상 정의규정을 두고 있지 않다. 추가정보 범위를 적정하게 설정하지 않을 경우, 가명정보 의 적정한 범위 획정 상 혼란을 가져올 수 있다. 추가정보의 개념을 명확히 함으로써 제도 시행의 역기능을 사전에 예방할 필요가 있다. 둘째, 가명정보에 규제에 관한 법령상의 근거를 두지만, 가명처리의 핵심적 절차는 가이드라인의 형태로 규율된다. 행정권의 발동에는 작용법적 수권을 요한다는 관점에서 보면 가명처리에 관한 규율은 법률에 의한 행정이 아닌 행정지도에 의한 행정으로 변질될 우려가 있다. 가명처리에 관한 법적 규율밀도를 높이는 것이 필요하다. 셋째, 데이터 결합제도에 대하여 과도하게 우리 개인정보보호법은 규정기반 접근법(rule based approach)을 취하고 있다. 부분적으로 위험기반 접근법(risk based approach)을 도입하여 복잡하고 급격히 진화하는 데이터 처리환경에 효율적으로 대처할 필요가 있다.

키워드