정보주체의 개인정보자기결정권 보장과 개인정보의 활용

정보주체는 자신에 관한 정보를 자발적으로 타인에게 알리거나 이용하게 할 수 있고, 자신이 원할 경우 그 정보에 대한 타인의 접근이나 이용을 제한할 수 있다. 동의는 정보주체 스스로 개인정보의 자기관리, 통제권을 제한하거나 일부 포기하는 것이라 할 수 있으며, 또 다른 측면에서는 개인정보 수집·이용을 정당화할 수 있는 가장 근본적인 근거라 할 것이므로 개인정보 수집·이용에 있어 가장 핵심적인 것이라 할 수 있다. 정보주체는 자신에 관한 정보에 대한 처분권을 가지고 있는데. 이러한 정보주체의 권능은 일차적으로 개인정보 처리에 대한 동의권으로 발현된다.⁶⁾

개인정보보호법은 정보주체가 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 개인정보처리자에게 요구할 수 있도록 규정하고 있다.⁷⁾ 이 규정은 정보주체가 그 자신에 관한 어떠한 개인정보를 개인정보처리자가 어떻게 활용하고 있으며, 동 정보가 정확한지 여부 등을 확인하도록 하기 위한 것으로써 이러한 개인정보열람권은 개인정보자기결정권의 전제조건으로 이해된다. 열람청구권은 정보주체로 하여금 자신에 관한 정보가 어떤 내용으로 기록·보유되고 있는지, 어떠한 목적을 위해 이용되고 있는지, 그 관리상의 안전상태는 어떠한지 등에 대해 확인할 수 있게 한다. 이를 위해 정보주체의 요청이 있는 경우 개인정보처리자는 그 정보의 내용이나 안전성에 대해 충분한 설명을 해주어야 한다. 이러한 요청이 거부된 경우에는 그 이유를 제시하도록 하고, 나아가 그러한 거부에 대하여 이의를 제기할 수 있는 권리도 보장되어야 할 것이다. 그리고 이러한 열람청구권은 가급적 저렴한 비용으로 용이하게 행사될 수 있어야 한다.⁸⁾

(1) 개인정보보호법은 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있으나 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다고 규정하고 있다.⁹⁾ 허위 또는 부정확한 정보로부터 정보주체의 권리를 보호하기 위하여 잘못된 개인정보에 대한 정정 또는 삭제를 요구할 수 있는 권리를 정보주체에게 부여하고 있다. 그러나 개인정보를 일방적으로 삭제할 경우 국가안전보장, 거래기록보전을 통한 상거래 상 분쟁해결 등에 장애요인이 될 수 있으므로 이를 방지하기 위하여 제한을 두고 있다.¹⁰⁾

정보주체는 자신의 개인정보에 부정확하거나 불완전한 부분이 있음을 인식하게 된 때에는 언제든지 개인정보처리자에게 오류사항을 지적하고, 정정할 것을 요구할 수 있는 권리를 가진다. 이러한 정정요구가 있는 경우, 개인정보처리자는 법률이 허용하는 특별한 사정이 없는 한 그 부분을 정정하여야 하며, 그 정정사실을 정보주체에게 통지하여야 한다. 개인정보의 저장이나 보유가 허용되지 않거나 정보보유자의 직무수행에 더 이상 필요하지 않게 되는 경우에는 정보주체는 개인정보처리자에 대하여 자신에 관한 정보를 삭제할 것을 청구할 수 있다. 정보주체의 삭제청구가 있는 경우에는, 개인정보처리자는 그에 따라 삭제를 하여야 하나 법적으로 혹은 현실적으로 삭제가 불가능하거나 곤란한 사정이 있는 경우에는 개인정보처리자는 그 정보의 이용을 차단하는 조치를 취하는 것으로 삭제에 갈음할 수 있다. 정보주체가 보유하고 있는 개인정보에 대해 정확성 여부에 관하여 이의를 제기하고 그것이 정확한지 여부를 확인할 수 없는 경우에도 그 정보는 차단되어야 할 것이다.¹¹⁾

개인정보처리자는 정보주체가 요구한 개인정보의 정정 또는 삭제에 관하여 조사를 할 때 필요하면 해당 정보주체에게 정정·삭제 요구사항의 확인에 필요한 증거자료를 제출하게 할 수 있다.¹²⁾ 개인정보처리자는 정보주체로부터 개인정보 정정·삭제 요구를 받은 날부터 10일 이내에 해당 개인정보의 정정·삭제 등의 조치를 한 경우에는 그 조치를 한 사실을, 정보주체의 요구가 다른 법령에서 그 개인정보가 수집대상으로 명시되어 있어 삭제 요구에 따르지 아니한 경우에는 그 사실 및 이유와 이의제기방법을 보호위원회가 정하여 고시하는 개인정보 정정·삭제 결과 통지서로 해당 정보주체에게 알려야 한다.¹³⁾

(2) 개인정보 삭제·차단청구권과 관련하여 쟁점이 되는 것이 잊혀질 권리이다. 잊혀질 권리(Right to be forgotten) 또는 개인정보삭제권(Right to erasure)은 개인의 선택에 따라 다른 사람의 관심으로부터 멀어질 권리를 뜻한다. 사이버공간에서 검색당하지 않을 권리 혹은 본인의 게시물이나 콘덴츠의 파기 또는 삭제를 요청할 수 있는 권리를 의미한다. 컴퓨터, 인터넷, SNS의 발달을 통하여 기록화 된 개인정보들이 인터넷 또는 이를 매개로 한 주변 기술에 의해 사실상 영구적으로 보존되고 유통되게 되었다. 이와 더불어 프라이버시 침해 대상이 사회적 영향력을 행사하는 공인(public figure)에 한정된 것이 아니라 우리 사회의 모든 구성원들에게 해당하게 되었다. 기술발전으로 인하여 개인정보가 대규모로 집적되고 인터넷을 통해 개인정보가 대량으로 배포되고 있는 현실로 인해 중요성과 논란이 증대되고 있는 정보주체의 권리이다.¹⁴⁾

잊혀질 권리가 최초로 인정된 것은 Google Spain SL v. AEPD판결¹⁵⁾이다. 스페인 변호사인 Costeja González가 사회보장연금 체납으로 인한 재산강제 경매가 게재된 신문기사의 삭제를 신문사인 La Vanguardia에게 요구하였으나, La Vanguardia는 이 기사가 스페인 노동복지부의 행정명령에 따른 것이므로 이를 삭제할 수 없다는 입장을 밝혔다. 그 후 Costeja González는 Google Spain에 대하여 동 기사의 삭제를 요청하였다. 이러한 요청에 대하여 기사의 내용이 모두 사실이므로 삭제할 수 없다고 하였다. 이에 Costeja González는 스페인 개인정보보호 규제기관인 AEPD에게 신문사인 La Vanguardia와 Google Spain 모두에 대하여 위 기사를 삭제할 것을 요청하였다. AEPD는 신문사인 La Vanguardia에 대한 요청을 기각하였으나, Google Spain에 대한 요청은 인용하였다. 이 결정에 불복하여 Google Spain은 소송을 스페인 법원에 제기하였다. 스페인 법원은 이에 대한 법률적 판단을 EU사법법원에 의뢰하면서 잊혀질 권리가 국제적으로 이슈화되었다. EU사법법원은 2014년 4월 1995년 개인정보보호지침을 근거로 기사에 관한 검색엔진의 링크와 검색결과를 삭제하도록 하였다.¹⁶⁾

이 문제와 관련하여 개인정보보호법은 제36조에서 자신의 개인정보를 열람한 정보주체에게 그 개인정보의 삭제를 요구할 수 있는 권리를 부여하고, 동법 제37조 제4항은 개인정보처리자는 정보주체에게 요구에 따라 처리가 정지된 개인정보에 대하여 지체없이 해당 개인정보의 파기 등 필요한 조치를 취할 의무를 부과하고 있으며, 동법 제21조는 개인정보처리자는 보유기간의 경과, 개인정보의 처리목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하도록 하고 있다.¹⁷⁾ ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣제44조의 2 제1항은 정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우에 그 침해를 받은 자는 해당 정보를 처리한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박내용의 게재를 요청할 수 있다고 규정하고 있다.¹⁸⁾

정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구할 수 있다.¹⁹⁾ 처리정지의 요구는 정보처리자가 당해 개인정보의 지속적 활용을 중단해 줄 것을 청구하는 것으로 개인정보자기결정권의 실질적 보장을 위해 중요한 역할을 한다. 이러한 처리정지의 요구는 특별한 이유의 제시가 없이도 언제든지 행할 수 있는 정보주체의 권리이다.

개인정보가 수집 당시 예정되었던 기간을 경과하여 이용되고 있거나 지속적 처리가 업무상 불필요하게 된 경우, 혹은 원래의 목적 외의 용도로 처리되고 있는 경우에 정보주체는 언제든지 개인정보처리자에게 개인정보처리의 정지를 청구할 수 있다. 또한 개인정보의 처리가 자신이나 타인에게 부당하고 실질적인 손해나 고통을 초래하고 있거나 가능성이 있는 경우에도 정보주체는 개인정보처리자에게 즉시 혹은 상당한 기간의 경과 후에 그 처리의 정지를 청구할 수 있다. 경우에 따라서는 처리정지는 삭제나 차단을 위한 사전조치로서의 의미를 가질 수 있다. 이러한 경우 정보주체는 일단 처리정지를 요구하고 추가로 차단 또는 청구를 정지할 수도 있다.²⁰⁾

현행의 개인정보보호 규제시스템에 따르면 개인정보 유출과 오남용에 대한 손해배상과 징벌적 손해배상(Punitive damages) 및 법정 손해배상을 규정하고 있다.

개인정보보호법은 개인정보 유출과 오남용에 대한 손해배상에 대하여 정보주체는 개인정보처리자가 이 법에 위반행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다고 규정하면서, 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다고 한다.²¹⁾

동법은 징벌적 손해배상(Punitive damages)에 대하여 별도의 규정을 두고 있다. 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 3배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다고 규정하고 있다. 이 경우에도 개인정보처리자에게 ｢고의 또는 중대한 과실｣에 관한 입증책임을 부과하고 있다.²²⁾

이 밖에도 피해자의 피해를 기준으로 손해배상을 산정하는 것이 아니라 법률에 정한 액수로 손해배상을 하는 법정 손해배상을 규정하고 있다. 개인정보보호법은 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다고 규정하고 있다. 이 경우에도 해당 개인정보처리자에게 고의 또는 과실의 입증책임을 부과하고 있다.²³⁾

개인정보관리에 관하여 강화된 형태의 다중적인 손해배상시스템을 규정한 것은 개인정보 유출과 오남용을 방지하고 정보주체의 권리보호를 강화하기 위한 것으로 해석된다,

개인정보자기결정권은 인간의 존엄과 가치, 행복추구권을 규정한 헌법 제10조 제1문에서 도출되는 일반적 인격권 및 헌법 제17조의 사생활의 비밀과 자유에 의하여 보장되는 독립한 기본권이다. 주관적 공권으로서 개인정보자기결정권은 정보주체가 타인이 보유하고 있는 자신의 정보에 접근하여 열람하거나 그 정보의 정정, 삭제, 차단 등을 요구함으로써 자신에 관한 정보에 통제할 수 있는 권리로서 이를 보장하기 위하여 개인정보보호법은 정보주체에게 동의권, 개인정보의 열람청구권, 개인정보 정정청구권과 삭제·차단청구권, 개인정보의 처리정지 요구권, 손해배상청구권 등을 인정하고 있다.

개인정보자기결정권의 보호대상인 개인정보라고 하더라도 타인에게 접근이나 이용을 허용하지 않는다면 중대한 법익이나 타인의 권리가 침해될 수밖에 없는 경우도 있을 수 있다. 개인정보보호법은 개인정보자기결정권을 보장하면서 개인정보의 적정한 이용을 가능하도록 정보주체의 동의와 별도의 법률규정을 통하여 개인정보의 활용시스템을 규정하고 있다. 법률의 명문규정이 있는 경우 이외에도 개인정보자기결정권이 정보의 자유(알 권리), 언론·출판의 자유, 영업의 자유, 재산권 등 타인의 기본권과 충돌되는 경우에는 대립되는 이익간의 이익형량을 통한 해석상 제한가능성은 법집행과정에서 인정된다고 할 수 있다.

개인정보는 살아 있는 개인에 관한 정보로서 ｢성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보｣, ｢해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보｣, ｢가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보｣등을 지칭한다. 개인정보는 살아 있는 개인에 관한 정보로서 개인식별정보, 개인식별가능정보, 가명정보 중 어느 하나에 해당하는 정보이다.

개인정보는 살아있는 개인, 생존하고 있는 자연인에 관한 정보이므로 사망하였거나 민법 제27조의 실종선고 등에 의해 관계법령에 따라 사망한 것으로 간주되는 자에 대한 정보는 개인정보로 볼 수 없다. 사망한 자에 대한 정보라고 하더라도 유족과의 관계를 알 수 있는 정보는 유족의 개인정보에 해당하는 것으로 볼 수 있다. 정보주체는 자연인이어야 하며 법인이나 단체에 관한 정보는 개인정보에 해당하지 않는다. 자연인이 아닌 사물에 관한 정보는 원칙적으로 개인정보에 해당하지 않으나 사물에 관한 정보라도 특정한 개인과 관련성이 있다면 개인정보에 해당할 수 있다. 개인정보는 특정 개인과 관련된 정보이어야 한다. 당해 정보를 통해 직간접적으로 1인 이상을 특정할 수 있는 경우에는 각각의 특정한 개인이 당해 정보에 대한 특정 정보주체가 된다.

개인정보의 첫째 유형은 개인식별형 정보 즉, ｢성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보｣이다. 식별이라는 의미는 타인과 구별할 수 있다는 의미이다. 개인정보처리자 입장에서 합리적으로 활용할 수 있는 수단을 고려하여 개인을 알아볼 수 있다면 개인정보에 해당한다고 할 수 있다. 개인정보처리자는 현재 개인정보를 처리하는 자 이외에도 개인정보의 제공 등을 통해 향후 처리가 예정되어 있는 자도 포함된다고 해석된다. 개인식별형 정보에는 사전에 친분이 있는 사람이 특정한 개인을 알아보는 것뿐만 아니라 특정한 개인을 전혀 모르는 사람이라도 객관적으로 특정한 개인을 다른 사람과 구별할 수 있다면 개인정보에 포함된다고 해석된다.³⁰⁾

개인정보의 둘째 유형은 개인식별가능형 정보, 즉 ｢해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보｣이다. 이 유형의 정보는 당해 정보로 특정개인이 식별된 것이 아니지만, 추가적인 정보를 통하여 누구든지 식별할 수 있는 상태가 될 수 있는 정보를 지칭한다. 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다.³¹⁾ 입수가능성은 두 종류 이상의 정보를 결합하기 위해서는 결합에 필요한 정보에 합법적으로 접근하여 입수할 수 있어야 하는 것을 의미하므로 해킹 등과 같이 불법적인 방법으로 취득한 정보는 포함되지 않는 것으로 해석된다. 결합가능성은 현재의 기술 수준을 고려하여 비용이나 노력이 비합리적으로 요구되지 않는 것을 의미하므로 만일 현재의 기술수준에서 결합이 사실상 불가능하거나 결합하는데 비합리적인 수준의 비용이나 노력이 요구된다면 결합이 용이하다고 할 수 없다고 할 수 있다.³²⁾

개인정보의 셋째 유형은 개정 개인정보보호법을 통하여 도입된 가명정보이다. 가명정보는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리된 정보이다. 이 유형의 정보는 개인식별요소를 일부 제거하여 개인정보의 식별가능성을 제한하였지만 여전히 개인정보의 식별가능성이 잔존하는 정보로서 법상 개인정보의 일종으로 분류하여 규정하고 있지만 개인식별형, 개인식별가능형 정보와 비교해 다양한 예외를 인정하여 개인정보의 활용가능성을 인정하고 있다.

이상의 개인정보유형 이외에 개인정보보호법은 익명정보에 대한 법적 근거를 새롭게 규정하고 있다. 익명정보는 개인정보에 대하여 식별가능성을 삭제하여 일반정보화한 것으로 더 이상 개인정보에 해당하지 않는 정보이다.

개인정보의 활용은 개인식별성·개인식별가능성이 유지된 개인정보의 활용과 개인식별성·개인식별가능성이 제한 또는 삭제된 개인정보의 활용이 경우로 나눌 수 있다. 개인식별성·개인식별가능성이 유지된 개인정보 수집과 이용을 위해서는 정보주체의 동의 혹은 법률의 특별한 규정 등을 통하여 개인정보의 수집과 이용이 허용되어야 한다. 개인식별성·개인식별가능성이 제한 또는 삭제된 개인정보의 활용은 가명정보와 익명정보와 같이 개인식별성 자체를 제한 또는 삭제함을 통하여 개인정보자기결정권의 침해가능성을 완화 또는 제거하는 방법으로 개인정보의 활용을 도모하는 것이다.

(1) 정보주체의 동의는 개인정보가 처리된다는 것을 승낙한다는 의사표시로, 정보주체가 사전에 이를 인지하고 임의로 내린 구체적 의사표시를 의미한다. 정보주체는 자신의 정보에 대한 처분권을 가지고 있는데 이는 정보주체의 동의권에 의하여 구체화된다. 개인정보자기결정권의 핵심은 자신에 관한 정보의 수집·이용·제공 등을 원칙적으로 정보주체의 의사에 따르도록 하는 것이다. 정보주체는 자신에 관한 정보를 자발적으로 타인에게 알리거나 이용하게 할 수 있고 자신이 원할 경우 그 정보에 대한 타인의 접근이나 이용을 제한할 수 있다. 동의는 정보주체 스스로 개인정보의 자기관리·통제권을 제한하거나 일부 포기하는 것이라고 할 수 있다. 또한 정보의 수집·이용을 정당화할 수 있는 가장 중요한 근거라 할 수 있다.³³⁾

정보주체의 동의는 정보주체 스스로 개인정보자기결정권을 보장하기 위한 중요한 권능이지만, 실제로는 대부분의 정보주체들이 개인정보처리자가 사전에 준비한 개인정보 수집·이용에 대한 동의서에 의례적으로 형식적인 동의표시를 하는 것이 다반사라 할 수 있다.³⁴⁾ 정보주체의 입장에서 보면 법령에 따른 동의사항이 증가하면 할수록, 정보주체가 동의할 사항은 더욱 증가하게 된다. 그 결과 정보주체가 동의를 하기 위한 사항을 검토하거나 신중히 결정하는 것이 더욱 어려워지게 돨 것이다. 따라서 정보주체의 동의를 요하는 중요한 사항만을 선별하여 신중한 검토가 이루어질 수 있도록 하여 실질적인 개인정보자기결정권을 행사할 수 있도록 단순화할 필요가 있다.³⁵⁾

개인식별성·개인식별가능성이 유지된 개인정보의 활용은 정보주체의 개인정보자기결정권과 충돌가능성을 내재하고 있다. 따라서 이러한 유형의 개인정보 활용에 있어서는 개인정보자기결정권을 승인하면서 수집과 이용을 어떻게 정당화할 것인가가 쟁점이 된다. 개인정보보호법은 개인식별성·개인식별가능성이 유지된 개인정보의 활용방법으로 정보주체의 동의에 의한 개인정보의 수집과 이용과 동의 이외의 법령의 규정에 의한 개인정보의 수집과 이용을 규정하고 있다.

정보주체 동의의 실질적 의미는 자신의 개인정보자기결정권을 제한하거나 일부 포기하는 것이라고 할 수 있으며 개인정보 수집·이용을 정당화할 수 있는 가장 핵심적 근거라고 할 수 있다. 그러나 실제로는 정보주체 동의시스템이 잘 기능하지 못하는 경우가 많다는 지적이 있다. 동의 절차가 과다한 동의내용과 절차로 구성되어 있지만, 정보주체가 인터넷 서비스를 이용하기 위하여 충분한 내용적 검토 없이 의무적으로 동의할 수밖에 없는 경우가 많다. 이런 경우 정보주체들은 개인정보처리자가 사전에 준비한 개인정보 수집·이용에 대한 동의서에 의례적이고 형식적으로 동의표시를 하는 경우가 다반사라 할 수 있다. 정보주체의 동의를 요하는 중요한 사항만 선별하여 신중한 검토가 이루어질 수 있도록 하여 실질적 개인정보자기결정권이 행사될 수 있도록 계속적인 제도개선이 필요하다.

개인정보는 원칙적으로 정보주체로부터 사전 동의를 받은 수집목적 범위 내에서만 사용할 수 있다. 그러나 수집시점에 열거한 목적 이외에 일체의 사용을 금지하는 것은 정보활용 면에서 적절하지 못하다는 비판을 수용하여 개정 개인정보보호법에서는 합리적 관련범위 내에서 당초 수집목적과 다른 개인정보의 추가적인 이용이 가능하도록 법 규정이 추가되었다. 개인정보의 효율적 활용이라는 측면에서 긍정적으로 평가되지만, 이 제도의 운용에 있어서 정보주체의 개인정보자기결정권이 침해되지 않도록 하는 섬세한 이익형량이 요구된다고 보여 진다.

개인식별성·개인식별가능성이 유지된 개인정보의 활용을 위해 정보주체의 동의가 아닌 법령의 규정에 의하여 개인정보의 수집과 이용이 허용되는 경우가 있다. 이 경우에 법령의 규정에 의하여 개인정보의 수집과 이용이 허용되는 각각의 사유는 입법자가 개인정보자기결정권에 의하여 보호되는 법익과 이와 대립되는 법익을 형량하여 그 결과를 법규정화 하였다고 볼 수 있다. 합리성 있는 제도운용을 위하여 이들 규정을 해석, 적용하는 과정에서 조문의 문리적 구조에 착안한 해석 뿐만 아니라 이들 규정을 통하여 실현하려고 한 대립되는 법익의 실질적 균형을 확보할 수 있도록 목적적·체계적 해석을 병행할 필요가 있을 것이다.

비식별화(deidentification)는 직접 또는 간접적인 방법으로 재식별이 가능하지 않도록 데이터를 변형하는 조치를 의미한다. 더 나아가 어떤 데이터로부터 개인의 프라이버시가 유출되는 상황이 발생하지 않도록 하는 행위를 지칭한다.

빅데이터라는 시대적 흐름에 따라 개인정보가 포함되어 있는 데이터를 잘 활용하려는 수요가 발생하고 있다. 그에 따라 개인정보보호와 빅데이터의 활용이라는 두 개의 상충될 수 있는 목표에 대하여 해결책을 마련하려는 시도가 계속하여 진행되었다. 데이터 익명화와 관련하여 우리나라 정부기관에서 처음으로 언급된 자료는 2013년 6월 ｢정부 3.0추진 기본계획｣이다. 이 문서에서 공공정보 개발 및 공유에 따른 개인정보보호를 위한 ｢개인비식별화(익명화)｣처리 기법 보급이라는 표현을 사용한 것이 처음으로 알려져 있다. 이후 방통위, 미래부, 행자부 등의 관련 기관들이 ｢빅데이터 개인정보보호 가이드라인｣, ｢빅데이터 활용을 위한 개인정보 비식별화 사례집｣, ｢개인정보 비식별화 기술활용 안내서｣등을 발표하였고 2016년 7월 정부 부처 합동으로 기존의 모든 발표들을 대체하는 ｢개인정보 비식별화 조치 가이드라인｣을 공표하였다. 이러한 일련의 조치에도 불구하고 빅데이터의 활용을 기대하는 기업들과 개인정보보호를 강화하려는 시민단체들로부터 불만이 제기되었다.

비식별화 개념은 빅데이터 시대에 따라 데이터 활용시장이 생기면서 이에 대한 개인정보보호 이슈가 발생하면서 활발하게 쟁점이 된 개념이다. 익명화라는 용어와 기술은 오래전부터 존재하여 왔다. 각종 사회학 연구나 마케팅 목적의 조사 등에서 사람들을 통한 면담, 상담 분석자료를 표시하거나, 의학, 약학 임상 연구 등에서와 같이 개인정보가 포함된 자료들을 공개하는 경우, 당사자의 사생활 침해 방지를 위해 가명을 쓰거나, 신상정보를 삭제하여 나타내는 작업들이 비식별화 작업의 초기 형태라고 볼 수 있다. 이러한 기존의 비식별화는 컴퓨터를 통한 대용량의 데이터를 처리하는 현재의 비식별화와 적지 않은 차이가 있다.

전통적인 개념의 비식별화 방법으로 이름이나 전화번호와 같은 특정 개인을 나타내는 자료들의 일부 또는 전부를 삭제, 대체하는 기술들이 사용되어 왔다. 개인을 식별하기에는 부족한 데이터이지만 통계적 희귀성을 지닌 값의 경우, 특정 개인이 식별될 가능성을 배제하기 위하여 값을 변형시키는 작업들도 가능하다. 가령 체중이라는 값은 특정 개인을 식별하는데 사용되지 못하지만, 체중 값이 167kg이라고 하면, 해당되는 사람의 숫자가 작기 때문에 이러한 사태를 방지하기 위해 체중 값들을 정확한 값이 아니라 1자리 반올림, 버림 등을 취하거나, 특정크기 이상 혹은 이하의 값은 모두 정해진 고정 값으로 대체하는 방법들도 사용되어 왔다. (가령 95보다 큰 체중 값은 ｢95이상｣이라고 표기할 수 있다.) 통계학 분야에서 오래 전부터 사용되어 오던 이러한 비식별화 방법들을 통계적 노출제어(SDC : Statistical Disclosure Control)라고 부른다.

주의할 점은 현재 빅데이터 시대에는 기존의 통계적 노출제어 기법들이 데이터 비식별화 기법으로 사용할 수 없다는 점이다. 가령 체중 65kg인 사람이 있다고 가정해 보자. SDC 관점에서 보면 매우 흔한 체중 값이기에 이로 인해 개인이 식별되는 일은 통계적으로 불가능 혹은 매우 희소한 가능성을 지니게 되므로 안전하다고 판단하게 된다. 하지만 현실에서 과연 65kg인 사람이 매우 흔하여 안전하다고 판단될지는 데이터 집합에 따라 달라질 수 있다. 서울시 종로구 세종로에 위치한 어떤 유치원의 원생들에 대한 건강기록부에서 65kg인 사람을 찾는다면 몇 명이나 존재할 것인가? 아마도 극소수의 원생이 65kg 체중 값을 가지고 있을 것이다. 이는 특정 체중 값으로 특정 개인을 식별할 수 있는 상황이 된다. 빅데이터 시대라고 부르는 지금은 컴퓨터로 하여금 무한의 계산능력과 자원을 보유할 수 있도록 하고 있으며, 여러 가지 경로를 통하여 세상에 공개된 수많은 데이터를 참조하여 개인의 신원을 확인할 수 있다. 만일, 특정인의 신상정보를 알아내고자 하는 의도를 가진 사람이 있다고 가정하고 그 사람이 대상인의 체중 65kg을 알 수 있다면 위의 경우 대상인의 신상정보 즉, 프라이버시가 유출되게 된다. 이 예를 통해 데이터 값이 지니는 일반적이고 통계적인 특성에 기반하여 규칙 중심의 데이터 변환을 사용하는 전통적 비식별화 방법들은 더 이상 안전하다고 볼 수 없다.

빅데이터 시대에선 컴퓨터를 사용하여 대량의 데이터를 처리하고 분석한다. 따라서 데이터의 비식별화 역시 컴퓨터를 사용하여 이루어지며, 데이터가 안전하게 비식별화되었는지 확인하는 것 역시 컴퓨터로 이루어지게 된다. 위의 경우, 컴퓨터를 통해 유치원생 건강기록부에 존재하는 모든 체중 값들이 여러 개 존재하는지 확인하고 그렇지 않은 값들이 있을 경우, 그 값들을 변형시켜 여러 개 동일한 값으로 만들어 주는 작업이 현대의 익명화이다. 구체적으로 값을 변형시키는 기술들은 매우 다양하고 무한하다. 새로운 기술들의 개발은 지금도 이루어지고 있으며 이는 온전히 공학 전문가의 몫이라고 할 수 있다. 2016년 정부가 공표한 ｢개인정보 비식별화 조치 가이드라인｣에 따른 17개 기법 대부분은 현대적인 비식별화 방법론에서 볼 때 사용되지 않는 기술이라는 지적이 있었다.⁶⁵⁾

종래 가명정보 활용에 대해 문제를 제기하였던 시민단체 등은 2016년 정부가 공표한 ｢개인정보 비식별화 조치 가이드라인｣에 따라 가명정보를 생성하고 결합했던 기업들과 정부를 대상으로 개인정보보호법 위반 등을 이유로 2017년 형사고발을 하였고 이에 대해 2019년 4월 검찰은 최종적으로 무혐의 처분을 하였다.⁶⁶⁾ 이러한 논란과 개인정보 활용에 대한 사회적 공감대 확대 등을 바탕으로 2020년 2월 개정 개인정보보호법 등은 가명정보와 익명정보에 대한 법적 근거를 규정하게 되었다. 이와 더불어 종래 2016년 정부가 공표한 ｢개인정보 비식별화 조치 가이드라인｣은 데이터 3법 개정과 함께 폐지되게 되었다.⁶⁷⁾

가명처리는 비식별화조치 중의 하나이다.⁶⁸⁾ 비식별조치(deidentification)는 주민등록번호와 같은 고유식별정보, 성명, 통장계좌나 신용카드번호 등 개인 또는 개인과 관련된 사물에 고유하게 부여된 값 또는 이름인 식별자를 제거하여 개인을 알아볼 수 없게 하는 것을 말한다. 비식별화를 위한 방법으로 가명처리, 총계처리, 데이터 삭제, 데이터 범주화, 데이터 마스킹 등이 있다.

가명처리(pseudonymisation)는 개인식별이 가능한 데이터를 직접적으로 식별할 수 없는 다른 값으로 대체하는 기법이며, 데이터의 변형 또는 변질의 수준이 낮은 장점이 있으나 대체 값의 부여 시에는 식별 가능한 고유속성이 계속 유지될 수 있는 단점이 있다.

총계처리(aggregation)는 통계 값의 전체 또는 부분을 적용하여 특정 개인을 식별할 수 없도록 하는 기법이며, 민감한 수치정보에 대해 비식별화조치가 가능하며 통계분석용 데이터작성에 유리한 장점이 있으나 정밀분석이 어려우며, 집계수량이 적을 경우 추론에 의한 식별가능성이 있다는 단점이 있다.

데이터 삭제(data reduction)는 개인의 식별이 가능한 데이터를 삭제처리하는 기법이며, 개인식별 요소의 전부 또는 일부의 삭제처리가 가능하다는 장점이 있으나, 분석의 다양성과 분석결과의 유효성 및 신뢰성이 저하된다는 단점이 있다.

데이터 범주화(data suppression)는 특정정보를 해당 집단의 대폿값으로 변환하거나 구간값으로 변환, 즉 범주화함으로써 개인의 식별을 방지하는 기법이며, 통계형 데이터 형식이므로 다양한 분석 및 가공이 가능하다는 장점이 있으나 정확한 결과분석의 도출이 어려우며, 데이터 범위구간이 좁혀질 경우 추론의 가능성이 있는 단점이 있다.

데이터 마스킹(data masking)은 데이터의 전부 또는 일부분을 공백, 노이즈 등 대체값으로 변환하는 기법이다. 개인 식별요소를 제거하는 것이 가능하며 원 데이터 구조에 대한 변형이 적으나, 마스킹을 과도하게 적용할 경우 데이터의 필요 목적에 활용하기 어려우며 마스킹의 수준이 낮을 경우 특정한 값에 대한 추론이 가능하다는 단점이 있다.

개인정보는 세가지 요건인 연결가능성(linkability), 추론가능성(inference), 선별가능성(single out)을 모두 갖춘 정보로서 개인이 식별 가능(identifiable)한 것으로 이해된다. 즉 개인정보은 특정 데이터와 연결되고(linkability) 특정 데이터로부터 개인을 추론할 수 있으며(inference) 특정 데이터가 한 개인과 대응되는 것(single out)을 말한다. 비식별조치는 이러한 연결가능성, 추론가능성, 선별가능성 중 일부 또는 전부를 제거하는 것을 의미한다. 가명처리는 연결가능성을 제외한 추론가능성과 선별가능성을 제거하는 것이며, 이렇게 가명처리된 가명정보는 선별가능성으로 인해 추가정보의 사용·결합을 통해 원래 상태로의 복원이 가능하므로 개인정보보호법의 적용대상인 개인정보에 포함되는 것으로 이해된다.⁶⁹⁾

2020년 2월 개인정보보호법 개정하면서 가명정보의 개념을 법에 명시함으로써 다양한 가명정보 활용을 위한 기반을 마련했다. 가명정보는 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보를 말한다.⁷⁰⁾ 가명처리란 추가적인 정보를 사용하지 않고서는 더 이상 특정 정보주체를 알아볼 수 없도록 개인정보를 처리한 것이다. 이러한 추가 정보는 별도로 보관돼야 하고 해당 개인정보가 자연인을 식별하거나 식별할 수 없도록 하기 위해 기술적·관리적인 조치를 하여야 한다.⁷¹⁾ 가명정보는 개인정보의 활용을 위해 식별가능성 구성요소의 일부를 제거하였지만, 추가정보와 결합할 경우 식별가능성이 잔존한 개인정보 유형을 지칭한다.⁷²⁾

가명정보에는 기존 개인정보와 다른 법적 지위를 부여해 데이터 활용 면에서 많은 긍정적인 변화가 예상된다. 가명정보에 대해서는 기존의 개인정보에 적용해야 하는 다양한 규정을 예외로 명시하고 있다. 예컨대 개인정보보호법 중 정보주체 이외로부터 수집한 개인정보의 수집출처의 고지(제20조), 개인정보의 파기(제21조), 영업양도 등에 따른 개인정보의 이전제한(제27조), 개인정보의 유출 통지 등 유출시 해당 정보주체에게 고지의무(제34조 제1항), 개인정보의 열람, 개인정보의 정정·삭제, 개인정보의 처리정지(제35조-제37조), 정보통신서비스 제공자의 개인정보 유출 등의 통지·신고에 대한 특례(제39조의 4), 정보통신서비스 제공자 등의 개인정보 이용내역의 통지(제39조의 8) 등의 규정은 가명정보에 대하여는 적용되지 않는다.

가명정보는 정보주체의 동의를 받지 않더라도 통계작성, 과학적 연구, 공익적 기록보전 등의 목적으로 처리가 가능하다.⁷³⁾ 처리는 단순히 가공만을 말하는 것이 아니라, 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말하기 때문에⁷⁴⁾ 가명정보를 빅데이터로 활용하는 것은 처리의 범주 안에서 가능하다고 해석된다. 가명정보를 산업적·상업적 목적으로 처리할 수 있는지에 관하여 ｢신용정보의 이용 및 보호에 관한 법률｣은 가능하다고 명시하고 있으나⁷⁵⁾ 개인정보보호법은 이에 대한 명시적 규정이 없다. 그러나 개인정보보호법상 과학적 연구에는 기술의 개발, 실증과 민간투자연구 등이 폭넓게 포함되어 있고⁷⁶⁾, 정부도 보도자료 등에서 개인정보보호법상 가명정보는 산업적 목적의 연구, 신기술 개발을 위한 실증연구·응용연구가 가능하다고 설명하고 있다.⁷⁷⁾ 가명정보제도의 목적·취지를 고려하여 가명처리에 관한 관련규정을 종합적으로 해석할 경우, 개인정보보호법 상으로도 가명정보를 산업적 목적으로 처리할 수 있다고 해석된다.

가명처리 된 정보에 대해 원본정보를 알아내고자 하는 시도를 재식별공격이라고 칭하는데, 이러한 행위는 강력한 법적 규제를 받는다. 가명정보의 불법적인 재식별에 대한 과징금은 기업이나 기관 전체매출액의 3% 이내의 과징금을 부여할 수 있도록 하고 있으며, 잘못 사용하는 경우 기업의 사활에도 영향을 줄 수 있기 때문에 엄격하게 관리하고 활용할 필요가 있다.⁷⁸⁾

익명정보는 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보이다.⁷⁹⁾ 이러한 정보는 비식별화조치를 통하여 개인정보의 개인식별가능성이 제거되어 개인정보가 아닌 일반정보로 전환된 정보이기 때문에, 개인정보에 관한 개인정보보호법의 규제가 더 이상 적용되지 않는다.⁸⁰⁾ 개인정보보호법은 개인정보처리자가 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다고 규정하고 있다.⁸¹⁾

개인정보가 익명처리를 통해 익명정보로 변환되었는가 여부를 판단하기 위해서는 연결가능성(linkability), 추론가능성(inference), 선별가능성(single out)이 모두 고려되어야 한다. 전술한 바와 같이 연결가능성(linkability)은 특정 데이터와 특정 개인이 연결되는 것이고, 추론가능성(inference)은 특정 데이터로부터 특정 개인을 추론할 수 있는 것이며, 선별가능성(single out)은 특정 데이터가 한 개인과 대응되는 것이다. 익명정보는 연결가능성, 추론가능성, 선별가능성이 모두 없으므로 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하더라도 더 이상 개인식별가능성이 없게 된 것이라 하겠다.

익명정보가 되기 위해서는 개인정보처리자 또는 개인정보주체를 제외한 제3자가 합리적으로 이용할 수 있는 모든 수단을 사용하더라도 더 이상 개인을 식별할 수 없어야 한다. 어떤 수단이 합리적으로 이용할 수 있는 모든 수단에 해당하는지 여부를 판단하기 위해서는 식별을 위해 요구되는 비용과 시간 같은 모든 객관적인 요소들과 함께 개인정보 처리시점의 기술발전 추이와 적용가능한 기술 등이 모두 고려되어야 할 것이다.⁸²⁾

개인정보에 대하여 개인식별가능성을 제한 또는 삭제하는 비식별화조치를 통하여 정보주체의 개인정보자기결정권 침해를 회피하는 방법으로 개인정보활용을 가능하게 할 수 있다. 2020년 2월 개인정보보호법 개정을 통하여 가명정보와 익명정보 제도를 도입함으로써 비식별화를 통한 개인정보활용의 법적 근거를 확보하게 되었다.

가명정보는 개인식별가능성을 낮춘 개인정보의 하나이다. 개인정보보호법에 따르면 가명정보는 여전히 개인정보의 일종이지만 개정 개인정보보호법은 가명정보는 개인정보를 알아볼 수 없는 상태라는 특성을 고려해 개인이 식별되는 개인정보보다는 완화된 기준을 활용할 수 있도록 하였다. 개인정보보호법상 가명정보개념이 도입되면서 정보주체의 동의를 받지 않고 가명정보를 활용할 수 있는 근거와 방법 그리고 보호대책이 마련되었다고 평가할 수 있다. 어떤 정보가 가명정보에 해당하는지 여부에 대한 판단에는 개인식별가능성과 복원가능성을 기준으로 하는 해석과 평가를 수반하게 되므로 관련규정에 대한 면밀한 검토가 필요한 것 같다.

가명정보와 익명정보의 차이는 개인식별성 내지 식별가능성의 복원가능여부가 그 기준이 된다. 가명정보가 특정정보와 결합하면 다시 개인을 식별할 수 있는 속성을 가지는 데에 반하여 익명정보는 추가적인 정보를 결합하더라도 특정 개인을 식별할 수 없는 상태의 정보를 말한다. 익명정보는 정보주체를 식별할 가능성이 없다는 점에서 개인정보가 아닌 일반정보화 하였다고 볼 수 있으며 따라서 개인정보보호법의 적용대상이 되지 않는다. 개인정보보호법 익명정보에 대해 최소한의 근거만을 규정하고 있는데, 제도운용이 잘못될 경우, 정보주체의 개인정보자기결정권 침해를 가져올 수 있음으로 향후 추가적 입법을 통한 제도개선을 도모할 필요가 있다.