개인정보 보호 원칙

핵심 정리

「개인정보 보호법」 제3조는 개인정보처리자가 개인정보를 처리할 때 지켜야 할 원칙을 한 조문에 모아 둔 규정이다. 이 원칙은 수집·이용·제공·파기 등 처리의 모든 단계에 걸쳐 적용되며, 개별 조문을 해석하고 적용할 때도 출발점이 된다. 원칙이 목표로 하는 것은 정보주체의 권리를 보호하고 개인정보 처리가 정당한 범위 안에서 이루어지도록 하는 것이다. 원칙 자체는 추상적인 기준이므로, 시험에서는 원칙의 취지와 그것을 구체화한 세부 규정을 함께 묶어 이해해야 한다.

수집 단계의 요건은 목적의 명확성과 최소성이다. 개인정보처리자는 처리 목적을 명확하게 하고 그 목적에 필요한 범위에서 최소한의 개인정보를 적법하고 정당하게 수집하여야 한다. 목적을 먼저 정하고 그 목적에 맞춰 수집 범위를 정하는 순서가 요건의 핵심이다. 목적과 무관한 정보를 미리 모아 두는 것은 이 요건에 맞지 않는다.

이용과 제공 단계에서 효과는 동의와 목적이라는 두 축으로 정리된다. 정보주체의 동의를 받은 경우 개인정보를 수집하고 수집 목적의 범위에서 이용할 수 있다. 이 범위를 넘어 쓰는 것은 원칙의 위반이 된다. 목적 외 활용이 금지된다는 내용은 목적 외 활용 금지로 외워 둔다.

한계와 예외는 법률 규정과 법령상 의무로 나뉜다. 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우 개인정보를 수집하고 이용할 수 있다. 반면 공공기관과의 계약 체결 및 이행을 위한 경우는 수집·이용이 허용되는 경우에 해당하지 않는다. 두 사유 모두 허용 여부를 따질 때 가장 먼저 확인하는 기준이 된다.

보호 측면에서 원칙은 정보주체의 사생활을 덜 침해하는 방식을 요구한다. 개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다. 이 요구는 익명·가명 처리와 안전성 확보 조치로 구체화된다.

자세히

개념과 적용 범위

개인정보의 범위는 가장 먼저 확인할 쟁점이다. 성명은 개인정보에 해당한다. 영상 등을 통하여 개인을 알아볼 수 있는 정보도 개인정보에 해당한다. 반대로 사망자에 대한 정보는 살아 있는 개인에 관한 정보가 아니므로 개인정보에 해당하지 않는다. 세 가지 모두 개인을 알아볼 수 있는지와 살아 있는 개인에 관한 정보인지가 기준이 된다.

법 적용 범위는 쟁점마다 달라진다. 개인정보의 수집·이용은 「개인정보 보호법」이 규정하는 사항이다. 고정형 영상정보처리기기의 설치·운영 제한도 「개인정보 보호법」이 규정하는 사항이다. 반면 위치정보사업자의 개인위치정보 제공은 「개인정보 보호법」이 아니라 「위치정보법」 제20조가 규정한다. 세 쟁점을 나란히 두면 다음과 같다.

OECD 원칙과의 관계도 함께 본다. 책임의 원칙은 OECD 개인정보보호 8원칙 중 하나다. OECD 개인정보보호 원칙에는 비공개의 원칙이 없으며 개인정보 처리 정책을 공개하는 원칙은 공개의 원칙이다. OECD 프라이버시 원칙에서 수집 제한의 원칙은 적법·공정한 수집과 정보주체의 동의를, 데이터 품질 원칙은 정확성·완전성·최신성을 요구한다. 위탁은 별도로 확인한다. 개인정보처리자는 개인정보파일 운용을 위하여 다른 사람을 통하여 개인정보를 처리할 수 있다.

목적 외 이용·제공

이 쟁점은 원칙 중 가장 자주 물리는 부분이다. 개인정보는 처리 목적에 필요한 범위에서 적합하게 처리하여야 하며, 목적 외로 활용하여서는 아니 된다. 목적 외 이용이 허용되는지는 세 가지 기준으로 나누어 본다. 당초 수집 목적과 관련성이 있는지 여부는 정보주체 동의 없이 개인정보를 추가로 이용·제공할 때 고려하여야 할 사항이다. 정보주체의 이익을 부당하게 침해하는지 여부도 추가적 이용·제공 시 고려하여야 할 사항이다. 가명처리나 암호화 등 안전성 확보 조치를 했는지 여부도 추가적 이용·제공 시 고려하여야 할 사항이다.

예외 규정은 별도 동의, 통계·학술 목적, 급박한 이익의 세 갈래로 나뉜다. 정보주체로부터 별도의 동의를 받은 경우에는 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공할 수 있다. 통계작성 및 학술연구 등의 목적을 위하여 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우에는 목적 외 제공이 허용된다. 정보주체 등이 의사표시를 할 수 없거나 사전 동의를 받을 수 없고, 급박한 생명·신체·재산 이익을 위해 필요한 경우에는 목적 외 이용이나 제공이 허용된다.

세 예외는 모두 목적 외 이용을 허용하지만 근거가 다르다. 별도 동의는 정보주체의 명시적 의사가 근거이고, 급박한 경우는 사전 동의를 받을 수 없는 상황이 근거다. 통계·학술 목적 제공은 개인을 알아볼 수 없는 형태라는 조건이 붙는다는 점에서 또 다르다. 공공기관에는 기록 의무가 추가된다. 공공기관은 개인정보를 목적 외로 이용하거나 제공하면 그 명칭을 목적 외 이용 및 제3자 제공 대장에 기록·관리해야 한다.

안전성 확보 조치

안전성 확보는 물리적·조직적·기술적 측면으로 나누어 본다. 안전성 확보의 원칙은 개인정보의 침해, 누설, 도용을 막기 위해 물리적·조직적·기술적 안전조치를 확보하라는 원칙이다.

암호화는 전달과 저장 두 장면에서 나온다. 개인정보처리자는 고유식별정보, 비밀번호, 바이오정보를 정보통신망으로 송신하거나 보조저장매체 등으로 전달할 때 암호화하여야 한다. 인터넷 구간과 DMZ에 고유식별정보를 저장하는 경우 이를 암호화하여야 한다. 개인정보처리시스템에 주민등록번호와 계좌번호를 저장할 때는 안전한 암호알고리듬으로 암호화해야 한다. 개인정보를 안전하게 저장·전송하기 위한 암호화 기술 적용은 기술적 안전조치에 해당한다.