개인정보 ·가명정보의 정의, 가명정보의 이용 및 데이터 결합, 개인정보처리자의 책임성 강화, 개인정보 보호 감독기능 체계 정비 및 개인정보 관련 법률의 일원화를 내용으로 하는 「개인정보 보호법」(이하 “개인정보보호법”) 개정 법률안 및 개인정보 관련 유사·중복 조항을 정비한 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “정보통신망법”)의 개정 법률안이 2018. 11. 15. 발의되었습니다. 또한, 개인정보보호법 개정 법률안의 취지를 반영하여 가명정보의 개념을 도입하고, 금융정보 관련 데이터 경제 확장을 위하여 신용정보업 관련 체계를 수정한 「신용정보의 이용 및 보호에 관한 법률」(이하 “신용정보법”) 개정 법률안도 같은 날 발의되었습니다. 개인정보보호법, 정보통신망법 및 신용정보법 개정 법률안들은 상호간 의결을 전제로 하고 있어, 하나의 개정 법률안이 의결되지 아니하거나 수정 의결되는 경우에는 다른 법률안이 이에 맞추어 조정될 것으로 예상되고 있습니다.

개정 법률안들은 사전 정부 부처 및 4차산업혁명 특별위원회 등의 논의를 거쳐 작성된 내용을 반영하고 있는 바, 저희 법무법인은 위 개정 법률안들의 주요 내용과 향후 대응방안을 정리하여 아래와 같이 보내드리니 업무에 참고하시기 바랍니다.

1. 개인정보보호법 개정 법률안 주요 내용

(1) 가명정보 도입에 따른 개인정보 정의 규정 체계화

개인정보보호법 개정 법률안은 개인정보를 ① 개인을 알아볼 수 있는 정보인 ‘개인정보’와 ② 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 ‘다른 정보와 쉽게 결합하여 알아볼 수 있는 정보인 개인정보’, ③ 개인정보를 가명처리함으로써 원상태로 복원하기 위한 추가 정보의 사용 · 결합 없이는 특정 개인을 알아볼 수 없는 ‘가명정보’로 구분하였습니다.

위 항목들 중 ② ‘다른 정보와 쉽게 결합하여 알아볼 수 있는 정보인 개인정보’의 경우 다른 정보와 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 하는 것으로 규정하여 개인정보의 범위가 무제한적으로 확대되는 것을 방지하였습니다. ③번 항목인 가명정보는 통계작성, 과학적 연구, 공익적 기록보존의 목적으로 처리할 수 있도록 하며, 서로 다른 기업이 보유하고 있는 정보집합물은 대통령령으로 정하는 보안시설을 갖춘 전문기관을 통해 결합하고, 전문기관의 승인을 거쳐 반출을 허용하도록 하였습니다(개정 법률안 제2조 제1호, 제15조, 제17조, 제28조의2, 제28조의3, 제58조의2 신설).

(2) 개인정보의 수집 · 이용 관련 정비

개인정보보호법 개정 법률안은 기존 개인정보보호법에 따른 개인정보 수집·이용 규정에 추가하여 개인정보처리자가 당초 수집 목적과 합리적으로 관련된 범위 내에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부를 고려하여 대통령령이 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있도록 하였습니다(개정 법률안 제15조 제3항). 위 조항은 GDPR 제5조 제1항 (b)호와 제6조 제1항 (f)호를 차용하여 개인정보의 동의 없는 이용 범위를 넓힌 것으로 볼 수 있으나, 구체적인 이용 범위는 대통령령에 위임되어 있어, 추후 대통령령에서 정해지는 이용 범위에 대한 지속적인 검토가 필요합니다.

(3) 가명정보 처리를 통한 개인정보 활용 가능성 확대 등

개인정보보호법 개정 법률안은 가명정보의 경우에는 통계작성(상업적 목적 포함), 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의가 없더라도 처리할 수 있도록 정하고 있으며, 가명정보를 처리하거나 정보집합물을 결합하는 경우에는 관련 기록을 작성 · 보관하는 등 대통령령으로 정하는 안전성 확보 조치를 하도록 하고, 특정 개인을 알아보는 행위를 금지하는 한편 이를 위반하는 경우 형사벌, 과징금 및 과태료 등의 벌칙을 부과하도록 하였습니다(개정 법률안 제28조의2, 제28조의4, 제28조의5, 제28조의6, 제71조, 제73조, 제75조 등).

(4) 개인정보보호위원회 업무 권한 범위 확대

개인정보보호법 개정 법률안은 개인정보보호위원회를 국무총리 소속의 정부조직법상 중앙행정기관으로 격상시키는 한편, 현행법상 자료제출 요구, 표준지침의 작성, 자율규제의 촉진 및 지원, 개인정보파일의 등록 및 공개, 개인정보 보호 인증, 개인정보 영향평가, 개인정보 유출 통지, 과태료의 부과, 열람청구, 고발 및 징계권고, 결과의 공표 등을 포함한 행정안전부의 기능을 개인정보보호위원회로 이관하고, 개인정보보호위원회에게 관계 중앙 행정기관의 장에 대한 공동조사 및 처분 등에 관하여 의견제시권을 부여하여 개인정보보호 컨트롤타워 기능을 강화하였습니다(개정법률안 제7조, 제7조의2부터 제7조의 14까지, 제63조).

(5) 개인정보보호법과 다른 취지의 정보통신망법 내용 반영

개인정보보호법 개정 법률안은 정보통신망법의 개인정보보호 규정을 삭제하면서, 개인정보의 수집 · 이용 동의, 개인정보의 처리위탁, 개인정보에 관한 보호조치, 개인정보의 파기, 개인정보 유출 등의 통지·신고, 이용자의 권리, 개인정보의 이용내역의 통지, 노출된 개인정보의 삭제, 국외 이전 시 보호조치, 국외 재이전, 국내대리인, 손해배상 보험, 상호주의 등을 포함하여 현행 정보통신망법이 개인정보보호법과 다르게 규정한 사항들을 특례로 규정하며 해당 규정들을 반영하였습니다(개정법률안 제17조, 제18조, 제30조 개정 및 제39조의3부터 제39조의 16까지 신설).

2. 정보통신망법 개정안 주요 내용

정보통신망법 개정 법률안은 개인정보의 개념, 정보통신서비스 제공자 및 이용자의 책무, 정보통신이용촉진 및 정보보호등에 관한 시책의 마련, 개인정보의 수집·이용 동의, 개인정보의 수집 제한, 개인정보 제공, 개인정보 처리위탁, 영업의 양수 등에 따른 개인정보의 이전, 동의를 받는 방법, 개인정보처리방침의 공개, 개인정보 유출 등의 통지 · 신고, 개인정보의 보호조치, 개인정보의 누설금지, 개인정보의 파기, 이용자의 권리, 법정대리인의 권리, 손해배상, 법정손해배상의 청구, 노출된 개인정보의 삭제, 국외 이전시 보호조치, 국외 재이전, 국내대리인, 손해배상 보험, 상호주의 등을 포함한 다수의 규정을 삭제하면서, 위 사항들을 개인정보보호법 개정 법률안으로 이관하였습니다.