個人情報保護法의 改正必要性과 內容에 관한 硏究

(A Study on the Data Protection Act)

金日煥*

(Kim, Il-Hwan)

1. 序論

情報社會란 情報 그 자체의 중요성이 엄청나게 증대하고 이를 바탕으로 하여 情報의 생산, 유통 및 이용이 기존사회를 새롭게 바꾸는 그러한 사회를 말한다. 결국 情報 그 자체가 價値를 가질뿐더러 또다른 새로운 價値를 만들어내는 사회, 그래서 情報化 내지는 컴퓨터화를 통하여 근본적인 변화를 받고 있는 사회가 바로 情報社會인 것이다.

* 濟州大學校 法學科 專任講師, 法學博士.

) 물론 情報란 무엇인지에 대하여 지금까지 많은 토론은 있었으나 일반적으로 받아들여지는 개념은 없다. 그렇다면 情報란 이것으로부터 합리적 결정이 행해질 수 있고 이것의 도움을 받아서 문제를 해결할 수 있는 의미내용을 가진 기호라고 개념 정의할 수 있다. 어쨌든 정보화촉진기본법 제2조 제1호는 □情報□를 □자연인 또는 법인이 특정 목적을 위하여 광(光) 또는 전자적(電磁的) 방식으로 처리하여 부호·문자·음성·음향 및 영상 등으로 표현한 모든 종류의 자료 또는 지식□이라고 개념정의하고 있다.

이에 따라서 결국 情報社會에서 거대한 情報結合網들을 통하여 國家行政과 經濟活動의 효율성이 과거와는 비교할 수 없을 정도로 향상될 수 있기 때문에 오늘날 모든 經濟主體와 國家機關들은 현대적인 情報通信技術을 사용하지 않고서는 그들의 다양한 과제와 기능을 수행하지 못한다.

) 여기서 다양한 情報通信技術의 이러한 발전이 사회에 어떤 영향을 미치는지는 情報의 특성 및 情報通信技術은 물론 이를 사용하려는 主體의 認識 또한 고려해야만 함을 기억해야 한다. 그렇다면 새로운 情報通信技術의 社會的 中立性이란 처음부터 존재하지 않는다는 것을 우리는 알 수 있다. 곧 이러한 技術의 개발자나 이용자 또는 그 통제자의 價値判斷이 언제나 이러한 기술발전에서 중요한 역할을 하게 된다는 것을 언제나 인식해야만 한다.

그렇다면 이제 두 가지 측면에서 우리가 어떠한 □情報秩序□속에 살아야만 하는지를 생각해 보아야만 한다. 곧 일반적으로 어떤 국가나 사회가 □情報社會□인가라는 토론과 더불어 구체적으로 정보사회에 속하는 □特定□ 國家와 社會는 어떠한 문제점과 특징을 갖고 있는 지라는 논의를 동시에 진행해야만 한다는 것이다.

그렇다면 우선 여기서 □情報秩序□란 개념은 전반적이고 구체적으로 이미 확정된 개념이 아니라 經濟秩序와 아주 유사하게 한 사회 내에서 情報調査나 處理 등에 관하여 나름대로의 原則과 基準을 제시하는 모델개념을 말한다. 결국 이러한 情報秩序를 통하여 구체적으로 情報處理 및 傳達과 관련되는 모든 규정들에 관하여 상세하게 그 내용을 알 수는 없지만 한 사회의 全體情報秩序를 이끄는 原則이나 基準을 추상적이고 일반적으로 제시해야만 하는 바로 그러한 것들을 얻을 수 있다. 왜냐하면 情報秩序에 관한 이러한 원칙적인 논의와 事前理解가 우선 선행되어야 개개 분야에서 이러한 원칙과 기준이 어떻게 적용되어야만 하는지를 제대로 살펴볼 수 있기 때문이다.

) Wolfgang Z□llner, Informationsordnung und Recht, Walter de Gruyter, 1990, S. 11.

) Alexander Ro□nagel / Peter Wedde / Volker Hammer  / Ulrich Pordesch, Digitalisierung der Grundrechte?, Westdeutscher Verlag, 1990, S. 36.

그 다음으로 대한민국이란 나라의 구체적인 상황에 대하여 인식해야만 한다. 곧 미국이나 독일·한국 모두가 오늘날 이러한 情報社會라는 일반적 특징을 공통적으로 갖고 있다 하여도, 여전히 한국은 미국·독일과는 몇 가지 점에서 다르다. 먼저 미국이나 독일에서는 憲法이 規範力을 갖고 있기에 그 사회에서 벌어지고 나타나는 상황들이 적어도 □(憲)法的□으로 통제되고 있으며, 통제하는 것이 가능한 반면에 우리 나라에서는 그 동안 憲法의 존재여부, □法治國家□原則 자체가 의심받아왔던 상황에 있었기에 언제나 외국과 상호비교를 통하여 우리 나라의 현주소를 파악하려 하였을 뿐 과연 우리 나라가 실제로 情報社會로 진입하면서 어떠한 (憲)法的 문제점들이 있는지를 파악할 상황도 아니었고, 이에 대처해야 한다는 인식도 충분하지 않았다. 이러한 상황에서 國家는 일방적으로 情報社會를 선도하며 情報社會의 장점을 강하게 내세운다. 다시 말하자면 미국이나 독일에서는 憲法이 정해준 테두리 내에서 國家의 情報化가 진행되기에 충분한 사전검토와 사후대응기회들이 있다. 하지만 여전히 憲法이 規範力을 충분히 발휘하고 있지 못하며 시민들이 그들의 基本權을 제대로 인식하지 못하고 있는 상황에서, 社會의 情報化가 아니라 國家의 情報化만이 집중적으로 행해지고 있는 우리 나라의 현실을 볼 때 국민의 사생활침해는 바로 우리 나라에서 별다른 의식 없이, 더욱이 법적 통제와 지침 없이 벌어지고 있으며, 앞으로도 계속해서 나타날 가능성이 크다.

) 그 대표적인 경우가 그 동안 內務部가 끈질기게 도입하고자 했던 □전자주민카드□이다. 美國, 獨逸과 같은 先進國은 이러한 전자주민카드를 만들 수 있는 과학기술은 있으나 (헌)법적으로 그 도입이 불가능했던 반면에, 開發途上國은 이를 만들고 싶어도 만들 과학기술과 경제력이 없다. 이에 반하여 우리 나라는 法治國家原則이 제대로 확립되어 있지 않은 상태 하에서 □情報社會에서 개인의 私生活□을 보호해야 한다는 의식마저 낮았기에 內務部가 전자주민카드도입계획을 추진할 수 있었다. 그렇다면 과학기술의 발달로 인한 國民의 基本權侵害는 바로 우리 나라와 같은 상황, 곧 憲法의 規範力은 충분히 확보되어 있지 않지만 國家는 그들의 목적을 실현할 수 있는 충분한 과학기술과 경제력을 가진 나라에서 나타날 수 있다.

그렇다면 이제 먼저 추상적으로라도 언급한다면 궁극적으로 결국 우리가 지향해야만 하는 情報秩序란 人間指向的 情報秩序이어야만 한다. 다시 말한다면 인간 우호적이고 인간이 통제할 수 있는 정보시스템이어야만 한다는 것이다. 그러므로 이러한 정보시스템을 구축하기 위하여 事後的으로 개인의 권리를 보호할 뿐만 아니라 이러한 시스템을 계획하고 구축할 때부터 關聯者의 포괄적 참여와 협조가 필요하다.

) Wilhelm Steinm□ller, Die Zweite industrielle Revolution. Techmische und sozial□konomische Bedingungen der Informationstechnologiepolitik, DVR 1981, S. 66.

바로 이렇게 인간 우호적인 정보질서, 인간이 통제할 수 있는 정보질서를 만들기 위하여 아래에서 설명되는 것처럼 많은 國家들이 1960년대 후반부터 情報社會에서 개인의 私生活을 보호하는 法律을 제정하였거나 立法中에 있다. 물론 개개 국가의 역사적, 정치적, 법적 전통이 다르기에 이에 대처하는 방법도 다양하다. 특히 美國을 비롯한 대부분의 서유럽국가들은 1970년대부터 80년대중반사이에 個人情報保護法을 제정하였으며 그 뒤 급격하게 발전되는 정보통신기술에 발맞추어 1980년대 후반부터 이러한 법률을 개정하거나 새롭게 제정하고 있다. 이에 반하여 우리 나라는 1980년대 이후에 정력적으로 國家가 行政電算網事業 등 국가와 사회의 情報化에 주력하면서 개인의 私生活侵害가 우려된다는 비판이 강하게 제기되자 1980년대 말에 비로소 개인의 私生活保護에 관한 입법을 추진하였다. 이에 따라서 마침내 1994년 □공공기관의개인정보보호에관한법률□이 제정, 공포되었다. 그런데 유감스럽게도 우리 나라의 個人情報保護法은 국제적으로 본다면 1990년대에 만들어진 가장 최근의 개인정보보호법임에도 불구하고 그 내용은 서유럽국가 등에서 수십년전에 만들어진 個人情報保護法에 가깝다는 것이었다. 게다가 국민의 낮은 개인정보보호의식, 個人情報를 보호하기 위한 효율적인 統制方案의 缺如, 국가기관을 통한 개인정보의 무차별적 저장과 처리 등을 통하여 우리 나라에서는 □個人情報保護法□은 있으되 정작 □個人情報□는 보호되지 못하고 있는 실정이다. 결국 이에 따라서 다른 나라들에서 個人情報保護法을 제정과 시행을 통하여 문제점을 발견하고 이를 다시 법개정을 통하여 반영하는 법실무와는 달리 우리 나라는 □個人情報保護法□을 제정하였다는 데에 만족하고 있음을 알 수 있다.

) 여기서 정보자기결정권 또는 개인정보보호가 □인간 우호적인 정보질서□를 결정하는 가장 중요하거나 유일한 요인이라고 주장하는 것이 아니다. 그러므로 情報技術을 통제하고자 하는 것은 새로운 정보통신기술의 발전을 방해하려는 게 아니라는 것을 반드시 기억해야만 한다.

이러한 우리 나라의 상황은 立法者가 필요한 法律을 제정함으로써 그 일차적인 임무를 이행했다면 法律이 존재하는가가 아니라 이미 존재하는 法律이 제대로 지켜지는가를 분석해야만 한다는 사실을 다시 한번 일깨워준다. 따라서 이 論文에서는 이러한 문제의식을 바탕으로 하여 우리 나라의 個人情報保護法이 과연 어떤 문제들을 갖고 있으며, 어떻게 개정되어야만 하는지를 검토한다. 다만 지면이 한정되어있는 관계로 중요한 것만을 간단히 언급하고 기회가 닿는 대로 해당 분야별로 하나씩 다른 지면을 통하여 검토하도록 하겠다.

2. 個人情報保護法의 內容

1) 各國의 個人情報保護法

많은 國家들이 1960년대 후반부터 情報社會에서 개인의 私生活을 보호하는 法律을 제정하였거나 立法中에 있다. 물론 개개 국가의 역사적, 정치적, 법적 전통이 다르기에 이에 대처하는 방법도 다양하다. 예를 들어 美國은 프라이버시법 및 개개 분야에서 個人情報를 보호하는 복잡하면서도 체계적이지 않은 접근방식을 채택하는 반면에 서유럽국가들과 최근에 법률을 제정한 국가들은 □個人情報保護法□을 제정하여 情報社會에서 개인의 私生活을 보호하고자 하는 방식을 채택하였다. 다만 後者에 속하는 나라들이라 하더라도 개인의 私生活이 누구로부터 더 많이 침해될 수 있는지에 관하여 관점이 다르기에 個人情報保護法의 적용범위나 규율대상이 약간씩 다르다. 게다가 어느 나라든지 나름대로 독특한 행정적, 정치적, 법적 전통이 있기 때문에 個人情報를 보호하기 위하여 國家機關 등을 감독하고 통제하는 기관의 설치여부, 그 권한 등에 관해서는 참으로 다양할 정도로 많은 유형들이 있다. 결국 여기서 우리는 各國의 個人情報保護法이 우선 情報社會에서 개인의 私生活, 個人關聯情報가 보호되어야만 한다는 공통된 인식과 목표 하에서 個人情報保護에 관한 일반적인 원칙 및 이러한 원칙들의 실현에 관한 여러 일반적인 기준들을 대체로 비슷하게 담고 있다는 것을 알 수 있다. 그러나 이러한 일반적 원칙들과 기준들을 구체적으로 적용할 때 바로 해당 국가의 정치, 사회, 문화, 법체계 등이 나름대로 작용하게 된다. 이에 따라서 정보사회에서 □개인정보□를 보호하는 법률을 제정한 국가들을 분류한다면 다음과 같이 나누어 볼 수 있다.

a) 類型 1 : 情報公開法 및 個人情報保護法制定에 따른 區分

) 個人情報保護에 관한 國際的 基準으로 UN과 OECD 및 유럽연합(EU)기준이 있다. 이에 관하여는 James Michael, Privacy and Human Rights, Dartmouth, 1994, p. 19 이하 ; Raymond Wacks, Personal Information, Clarendon Press, 1989, p. 205 이하 ; Ferdinand Kopp, Das EG-Richtlinienvorhaben zum Datenschutz, RDV 1993, S. 1 이하 ; Henry H. Perrit Jr., Law and the Information Superhighway, Wiley Law Publications, 1996, p. 139 이하 참조.

우선 個人情報를 보호하는 法律을 제정한 國家들은 우선 해당 국가가 情報公開法 또한 제정하였는지에 따라 구분할 수 있는 바, 1) 個人情報保護法과 情報公開法을 모두 제정한 나라로는 스웨덴, 덴마크, 노르웨이, 핀란드, 네덜란드, 프랑스, 뉴질랜드, 캐나다, 미국, 오스트렐리아 등이 있고 2) 個人情報保護法만을 제정한 나라로는 독일, 룩셈부르크, 영국, 아일랜드, 오스트리아, 아이슬랜드, 이스라엘, 포르투갈 등이 있으며 3) 情報公開法만을 제정한 나라로는 그리스가 있다.

) 이에 관하여는 James Michael, ibid., p. 10 이하 참조.

b) 類型 2 : 個人情報保護法 또는 私生活(Privacy)保護法을 통한 규율

그 다음으로 個人情報를 법률을 통하여 보호한다고 하더라도 보호하는 법률의 유형에 따라 구별할 수 있다. 먼저 1) 스웨덴, 영국, 프랑스, 독일과 같은 서유럽국가들과 최근에 법률을 제정하는 국가들은 □個人情報保護法□을 통하여 □個人情報□를 보호하려고 하나 2) 美國, 캐나다 등과 같은 나라는 개인의 □프라이버시□를 보호하는 일반적인 □프라이버시□법에 의하여 관련개인의 정보를 보호하려고 한다. 특히 美國은 전세계에서 가장 먼저 情報社會에서 개인의 私生活이 심각하게 침해될 수 있다는 것을 인식한 나라중 하나에 속한다. 그럼에도 불구하고 미국은 개인관련정보를 포괄적으로 보호하는 法律을 제정하지 않았다. 오히려 구체적이고 개별적인 법률을 통하여 개인정보를 보호하며, 信用記錄機關처럼 특정 유형의 情報調査 및 사용기관을 규율하는 다양한 法律들이 聯邦이나 州에서 제정되고 있다.

) 情報社會에서 개인의 私生活保護에 관하여 많은 연구를 하고 있는 플래허티는 美國의 프라이버시법이 대폭적으로 개정될 필요가 있다고 주장한다. 곧 그는 프라이버시법제정이후에 새롭게 등장한 情報通信技術의 적용에 의하여 개인의 프라이버시를 침해할지도 모르는 위험성을 방지할 수 있도록 美國의 현행 프라이버시법은 개정되어야만 한다고 주장한다. 그러면서 플래허티는 美國에서 현재 개인정보보호시스템이 만족스럽게 작동하고 있지 않으므로 프라이버시법이란 法律 이름 자체를 바꾸어야만 한다고 주장한다. 이에 관하여는 David H. Flaherty, Protecting Privacy in Surveillance Societies, The University of North Carolina Press, 1989, p. 368 이하 참조.

) Henry H. Perrit Jr., ibid., p. 88.

c) 類型 3 : 私的 領域에 適用與否

私的 情報處理에 □個人情報保護法□의 적용여부에 관하여 全面的으로 適用되어야 한다는 見解와 制限的으로 適用되어야 한다는 見解가 대립되고 있으나, 어쨌든 私的 領域에서 個人情報保護問題는 公的 領域에서 國家를 규율하는 것과 동일한 방법으로 처리하기 힘든 측면들이 많다. 왜냐하면 私人들은 원칙적으로 자유로이 정보를 수집할 권리 및 契約自由에 관한 권리 등을 갖고 있기 때문이다.

) Otto Mallmann, Zweitgeteilter Datenschutz?, CR 1988, S. 94.

) Wolfgang Z□llner, Die gesetzgeberische Trennung des Datenschutzes f□r □ffentliche und private Datenverarbeitung, RDV, 1985, S. 16 ; Josef Brossette, Der Wert der Wahrheit im Schatten des Rechts auf informationelle Selbstbestimmung, Duncker & Humblot, 1991, S. 192.

이에 따라서 예를 들어 1) 스웨덴이나 프랑스, 영국 등의 情報保護法은 公的 領域과 私的 領域을 구별하지 않고 情報保護法의 원칙과 규정들이 일반적으로 私的 領域에서도 유효한 것으로 인정하고 있으며 특히 스웨덴의 情報監督委員會와 프랑스의 國家情報處理自由委員會는 私的 領域에서 개인정보파일의 설치에 관하여 허가나 승인을 할 권한을 갖고 있기도 하다. 이에 반하여 2) 獨逸과 美國 등에서는 公的 領域과 私的 領域을 분리하여서 특별한 규정이 없는 한 私的 領域에서 個人情報의 調査와 處理에는 公的 領域에 관한 法律이 적용되지 않는다.

) 특히 獨逸에서는 遺傳子情報保護問題, 勤勞者의 情報保護가 私的 領域에서 개인정보보호문제로서 많이 다루어지고 있다. 이에 관하여는 Rita Wellbrock, Genomanalysen und das informationelle Selbstbestimmungsrecht, CR 1989, S. 204 이하 참조.

2) 우리 나라의 個人情報保護法

1980년대부터 우리 나라는 行政電算網을 포함하여 國家基幹電算網事業을 정력적으로 추진하였다. 이는 결국 국가가 선도적으로 情報化를 추진함으로써 情報通信技術分野에서만큼은 先進國에게 뒤지지 않겠다는 강한 의지를 갖고 있었음을 나타낸다. 그런데 국가기관 내에서 個人情報의 電算化가 확대됨으로써 잘못된 정보의 입력, 電算情報의 유출 등으로 인한 개인의 私生活侵害可能性이 증대하였다. 이에 대하여 종전의 法律들로는 충분히 대처하기가 곤란하였기 때문에 학계와 언론 등에서 個人情報保護에 관한 法律의 제정을 촉구하였고 이에 따라서 마침내 1994년 1월 7일 □공공기관의개인정보보호에관한법률□이 제정되어 1995년 1월 8일부터 시행되었다.

) 예를 들어 金南辰, □情報化社會에서의 法治行政體系의 法制度的 再構成□, 「國家社會의 情報化와 公法體系의 再構成」, 63면, 1990 ; 朴楠珪, □프라이버시權의 保障에 관한 考察□, 「김병규博士華甲紀念論文集」, 163면, 1980 ; 卞在玉, □現代社會에 있어서 情報公開와 人權保障□, 韓國法學院 法律學 심포지엄, 1991, 17면 이하 ; 李璟浩, □情報化社會에 있어서 프라이버시權의 保護□, 東國大學校 博士學位論文, 1986 ; 車孟震, □프라이버시保護와 自己情報統制權□, 仁荷大學校 博士學位論文, 1991 ; 許永敏, □情報의 電算處理 , 流通과 프라이버시의 保護□, 「未來情報化社會에 대한 公法的 對應」, 1987, 59면 참조.

우선 個人情報保護法은 公共機關에서 컴퓨터로 처리하는 個人情報를 대상으로 한다. 이 법에 따르면 個人情報中 思想, 信條 등 개인의 基本的 人權을 침해할 우려가 있는 정보에 대해서는 수집을 제한하고 있다. 그리고 국가기관은 기관의 업무를 수행하기 위하여 필요한 범위 내에서만 개인정보파일을 보유할 수 있도록 하였으며 個人情報의 부당한 유출, 변조나 부정확한 정보로 인한 개인의 私生活侵害를 예방하기 위하여 공공기관에 個人情報의 정확성과 안정성을 확보할 수 있는 대책을 수립하도록 하였다. 이 법에 따라 관련개인은 자신의 정보에 관하여 열람을 청구할 수 있으며 잘못된 정보에 대한 정정을 청구할 수 있으며, 이러한 요구가 받아들여지지 않을 경우에 行政審判을 청구할 수 있다.

) 개인정보보호법 1조.

) 개인정보보호법 4조.

) 개인정보보호법 5조.

) 개인정보보호법 9조.

) 개인정보보호법 12조 이하.

이 個人情報保護法은 1995년 1월 8일부터 시행에 들어갔으며 현재 약 29, 000개의 기관에 적용되고 있다. 총무처는 위 법 시행이후에 1995년 4월 30일까지 公共機關이 보유하고 있는 파일에 대해 개인정보파일의 명칭, 보유목적, 보유근거, 기록대상자의 범위, 기록항목의 범위 등 처리현황을 통보하도록 하였다. 그 결과 전체 4791개 기관에서 332종 10579개의 파일을 보유하고 있으며 총 기록건수는 10억 2000만건에 달하는 것으로 나타났다. 그리고 1996년 10월에는 공공기관에서 보유하고 있는 개인정보파일현황을 종합한 공공기관의 개인정보파일목록집을 발간하였다.

) 한국전산원, 1997 국가정보화백서, 668면 이하 참조.

그렇다면 우리 나라는 1) 個人情報保護法과 情報公開法을 모두 제정한 나라에 속하며, 2) 미국처럼 □프라이버시법□을 통해서가 아니라 □個人情報保護法□을 통하여 個人情報를 보호하는 서유럽방식을 택하였으며, 3) 이 個人情報保護法은 원칙적으로 公的 領域을 규율대상으로 삼고 있다는 것을 알 수 있다.

3. 個人情報保護法의 問題點 및 改正對象

1) 個人情報保護法의 問題點

美國을 비롯한 대부분의 서유럽국가들은 1970년대부터 80년대중반사이에 個人情報保護法을 제정하였으며 그 뒤 급격하게 발전되는 정보통신기술에 발맞추어 1980년대 후반부터 이러한 법률을 개정하거나 아주 새롭게 제정하고 있다. 이에 반하여 우리 나라는 1980년대 이후에 정력적으로 國家가 行政電算網事業 등 국가와 사회의 情報化에 주력하면서 개인의 私生活侵害가 우려된다는 비판이 강하게 제기되자 1980년대 말에 비로소 개인의 私生活保護에 관한 입법을 추진하였다. 이에 따라서 마침내 1994년 □공공기관의개인정보보호에관한법률□이 제정, 공포되었다. 그런데 유감스럽게도 우리 나라의 個人情報保護法은 국제적으로 본다면 1990년대에 만들어진 가장 최근의 개인정보보호법임에도 불구하고 그 내용은 서유럽국가 등에서 수십년전에 만들어진 個人情報保護法에 가깝다. 게다가 국민의 낮은 개인정보보호의식, 個人情報를 보호하기 위한 효율적인 統制方案의 缺如, 국가기관을 통한 개인정보의 무차별적 저장과 처리  등을 통하여 우리 나라에서는 □個人情報保護法□은 있으되 정작 □個人情報□는 보호되지 못하고 있는 실정이다. 결국 이에 따라서 다른 나라들에서 個人情報保護法을 제정과 시행을 통하여 문제점을 발견하고 이를 다시 법개정을 통하여 반영하는 법실무와는 달리 우리 나라는 □個人情報保護法□을 제정하였다는 데에 만족하고 있음을 알 수 있다.

이러한 사실은 立法者가 필요한 法律을 제정함으로써 그 일차적인 임무를 이행했다면 法律이 존재하는가가 아니라 이미 존재하는 法律이 제대로 지켜지는가를 분석해야만 한다는 것을 일깨워준다. 그렇다면 國家나 社會의 情報調査나 處理로부터 개인의 私生活을 보호하기 위하여 個人情報保護法律을 제정하는 것만으로는 충분하지 않고, 국가나 사회에서 이러한 法律이 실제로 준수될 수 있도록 노력해야만 한다. 그러기 위해서는 우선 國家機關의 엄격한 법집행, 국민들의 私生活保護意識 등을 살피는 法政策的 分析도 중요한 몫을 차지한다. 하지만 이와 동시에 과연 우리 나라의 個人情報保護法 자체가 이미 처음부터 문제점을 갖고 있기에 個人情報가 충분하게 보호되지 못하고 있는 것은 아닌가 하는 것을 法解釋的, 立法論的으로 따져보야만 한다. 따라서 이제 우리 나라의 個人情報保護法이 정말로 개인의 私生活을 보호할 수 있기 위하여 과연 어떤 부분들이 문제를 갖고 있으며 어떻게 改正되어야만 하는지를 검토하고자 한다.

2) 個人情報保護法의 地位와 目的

(1) 個人情報保護法과 다른 法律間 關係

個人情報를 보호하기 위해서는 우선 이에 관한 일반적인 원칙과 기준 및 개인의 권리 등을 규정하는 일반적인 個人情報保護法이 정보사회에서 개인정보를 보호하기 위하여 일단 필요하기는 하나 충분한 것은 아니다. 왜냐하면 이러한 法律은 개개 구체적인 분야에 적용하기에는 너무 추상적이고 일반적이기 때문이다. 따라서 일반적인 개인정보보호법의 제정과 더불어 개개 분야별로 특수하게 個人情報를 보호하는 특별한 個人情報保護法들이 동시에 제정되어야만 한다. 바로 이러한 특별법들이 일반적인 個人情報保護法에 규정된 원칙들을 개개 분야에서 구체화시키는 아주 중요한 역할을 하게 된다. 다시 말하면 결국 이러한 特別法을 통하여 일반적인 정보보호원칙들이 개개 분야에서 정확하게 구체화되며 특정 유형의 문제들에 적용되며 개인들이 구체적으로 보호를 받을 수 있게 되는 것이다. 이에 따라서 우리 나라의 現行 個人情報保護法은 그 기능과 본질상 個人情報保護에 관한 範圍具體的인 法律들에 대해서 보충적으로 작용하는 一般的인 個人情報保護法이다.

) 이상돈, 형사절차와 정보보호, 한국형사정책연구원, 1996, 91면이하 참조.

) 우리 나라 개인정보보호법 3조 : □공공기관의 컴퓨터에 의하여 처리되는 개인정보의 보호에 관하여는 다른 법률의 특별한 규정이 있는 경우를 제외하고는 이 법이 정한 바에 의한다.□

(2) 個人情報保護法의 目的

우선 個人情報를 保護하기 위하여 분명히 인식해야만 하는 전제조건은 우리 나라의 個人情報保護法은 과거에 다른 나라에서 제정되었던  個人情報保護法처럼 個人關聯情報의 濫用으로부터만 市民을 보호하는 것이 아니라 그 濫用與否와는 상관없이 개인관련정보의 조사로부터 저장·사용·전달로부터 보호해야만 한다는 것이다. 따라서 이는 個人情報保護法이 情報處理의 濫用으로부터 개개인을 보호하는 것에만 제한되지 않음을 명백히 하면서 그 保護目的을 확대해야만 한다는 것을 뜻한다. 따라서 個人情報保護의 대상은 惡意的인 잘못된 행위의 억제만이 아니라 이를 넘어서서 個人情報의 合法的 處理를 지향한다. 따라서 관련자의 情報自己決定權이 부당하게 제한되지 않는 경우에만 이러한 개인정보의 처리는 허용된다.

) Alfred B□llesbach, Das neue Bundesdatenschutzgesetz, NJW 1991, S. 2595.

예를 들어 1977년 독일에서 제정되었던 聯邦情報保護法은 정보처리의 濫用으로부터 관련자의 보호가치있는 이익침해를 억제하려는 과제만을 명시적으로 규정하였다. 따라서 獨逸의 舊情報保護法(1977)이 정보처리의 濫用禁止를 목표로 하면서 정보처리의 합법적인 이용과 濫用인 예외적으로 금지되는 이용을 구별해야만 했다. 그러나 독일에서 새로 개정된 聯邦情報保護法(1990)은 개인관련정보의 회전을 통한 情報自己決定權의 侵害로부터 개인을 보호하는 것이 정보보호법의 목적임을 분명히 하였다. 이는 立法者가 결국 개인관련정보처리가 원칙적으로는 금지되고 예외적인 경우에 허용될 수 있다는 정보보호법의 기본원칙을 받아들였다는 것을 뜻한다.

) 1977년 연방정보보호법 1조 1항.

) Alfred B□llesbach, a. a. O., S. 2595.

) Hans-Ulrich Gallwas, Zum Prinzip der Erforderlichkeit im Datenschutzrecht, Festschrift f□r Arthur Kaufmann zum 70. Geburtstag, C. F. M□ller 1993, S. 822.

그런데 우리 나라의 個人情報保護法은 제1조에서 □이 법은 공공기관의 컴퓨터에 의하여 처리되는 개인정보의 보호를 위하여 그 취급에 관하여 필요한 사항을 정함으로써 공공업무의 적정한 수행을 도모함과 아울러 국민의 권리와 이익을 보호함을 목적으로 한다□고 규정하고 있다. 그러나 獨逸의 聯邦情報保護法이 개정될 때 분명히 하였던 것처럼 個人情報의 保護를 통하여 □情報社會에서 개인의 私生活□을 보호하고자 함을 좀더 확실하게 밝힐 뿐만 아니라 국가를 통한 個人情報의 濫用으로부터만 개인을 보호하는 게 아니라 국가의 個人情報處理 그 자체가 合法的이어야만 한다는 것 또한 인식할 수 있도록 우리 나라의 個人情報保護法도 바뀌는 것이 바람직하다고 본다.

3) 適用範圍의 問題

우리 나라 個人情報保護法에 따르면 個人情報의 □처리□란 □컴퓨터를 사용하여 정보의 입력, 저장, 편집, 검색, 삭제 및 출력 기타 이와 유사한 행위를 하는 것을 말한다.□고 하였으며 個人情報의 □보유□란 □개인정보화일을 작성 또는 취득하거나 유지, 관리하는 것을 말한다□고 규정하였다. 그리고 다시 個人情報의 수집에 관한 규정을 두고 있으며 處理情報의 이용 및 제공에 관한 규정을 갖고 있다.

) 개인정보보호법 2조

) 개인정보보호법 4조.

) 개인정보보호법 10조.

우리 나라 個人情報保護法이 個人情報 및 個人의 私生活을 보호하기 위하여 나름대로 위와 같은 규정들을 두고 있지만 그래도 여전히 정보사회에서 개인정보를 보호하기에는 많은 문제점을 갖고 있다. 우선 情報社會에서 국가를 통한 시민의 감시는 우선 情報調査와 蒐集을 전제로 한다. 그래서 정보사회에서 個人情報保護에 관한 출발점이 바로 情報調査라는 것을 인식해야만 한다. 여기서 情報調査란 관련자에 대한 정보획득이라고 이해된다. 이는 관련자로부터 직접적으로 획득되든 제3자로부터 획득되든 상관없다. 그렇다면 個人情報를 보호하기 위해서는 個人情報保護法의 適用範圍에 情報調査를 포함하는 것은 당연하다. 따라서 1990년에 개정된 獨逸의 聯邦情報保護法은 情報調査에 관한 규정을 신설하였던 것이다. 이 규정에 따르면 情報調査란 관련자에 관한 정보를 획득하는 것이다. 따라서 관련자를 목표로 하는 획득만이 여기서 情報調査라 할 수 있다. 따라서 우연한 획득이나 다른 행동과 결합한 인식은 위 法律의 의미에서 조사가 아니다. 그러므로 정보획득은 언제나 개인관련정보의 획득을 목표로 하는 적극적 행위를 전제로 한다. 따라서 관련자의 인식 하에서 행해진 情報調査는 해당 개인에게 조사목적이리고 말한 것이 목적으로 결정적이고 설명의무가 있는 强制調査는 관련자에게 조사목적의 근거로 언급된 법규정 내에서 행해져야만 한다. 이에 반하여 관련자가 알지 못하는 경우 다시 말해서 情報調査에 관하여 알지 못하는 경우의 조사목적은 公的 機關이 情報調査時 근거하는 법규정으로부터만 나오게 된다. 또한 個人情報는 情報調査를 넘어서서 이러한 정보가 저장, 변경, 전달, 이용을 거쳐 삭제될 때까지 보호되어야만 한다. 그래서 개인관련정보는 情報의 調査로부터 처리(저장, 변경, 전달, 삭제, 이용)를 거쳐 익명화될 때까지 보호되도록 개정되어야만 한다. 그리고 우리 나라 個人情報保護法은 公共機關에서 □자동정보처리□로부터 個人情報를 보호하고자 하나 개인의 私生活을 정보사회에서 효율적으로 보호하기 위해서는 자동화된 정보처리뿐만 아니라 서류들도 그 適用範圍에 포함시켜야만 한다. 따라서 公共機關의 경우에는 원칙적으로 個人情報의 보호가 또한 서류 속에 담긴 개인정보에까지 확대되도록 개정되어야만 한다. 왜냐하면 情報自己決定權의 보호목적이 저장수단의 종류와는 상관없이 자신의 정보에 관한 개개인의 결정자유를 보호하는 데에 있으므로 이러한 넓은 適用範圍는 정당화된다.

) James Michael, ibid., p. 8.

) 독일의 연방정보보호법(BDSG) 3조 4항

) 독일의 연방정보보호법(BDSG) 3조 4항.

) 독일의 연방정보보호법 3조 3항, 27조 2항.

4) 規範明確性의 原則

個人情報保護에 관한 국제적, 국내적 기준에서 반드시 강조되는 원칙이 바로 規範明確性原則과 目的拘束原則이다. 規範明確性原則이란 자신에 관한 정보가 어떤 구체적인 처리목적들을 위하여 필요한지를 해당 개인이 명확하게 인식할 수 있어야만 한다는 것을 뜻한다. 따라서 法律의 規範明確性, 조직적이고 절차법적인 예방책들, 관할기관들의 통지의무, 관련자의 포괄적인 說明請求權 등을 통하여 누가, 언제, 어디에서 어떤 경우에 자기에 관하여 아는지를 관련 시민이 알 수 있도록 보장되어야 한다. 특히 관련자가 법규정으로부터 그의 개인관련정보가 어떤 구체적인 행정목적을 위하여 필요한지를 명백히 인식할 수 있어야만 한다. 또한 정보처리의 目的拘束은 한편으로는 처리목표를 확정하고 다른 한편으로는 처리범위를 한정한다. 처음부터 명확하게 개념 정의할 수 있는 목적을 위하여 필요한 최소한도의 정보처리만이 허용된다. 따라서 이미 法律上 決定된 目的을 위해서만 개인정보는 이용되어도 된다. 목적과는 다른 정보이용 및 처리는 매우 제한된 범위 내에서만 인정되고 法律上 根據를 필요로 하는 새로운 基本權制限이다. 결국 이는 목적구속을 보장하기 위하여 국가기관간 정보전달과 이용에 관한 엄격한 대비책을 필요로 한다는 것을 뜻한다.

) BVerfGE 65, 1/62.

) BVerfGE 65, 1/62.

) 이에 관하여는 Bernhard Hoffmann, Zweckbindung als Kernpunkt eines prozeduralen Datenschutzansatzes, Nomos 1991, S. 21 이하 참조.

) Spiros Simitis, Von der Amtshilfe zur Informationshilfe, NJW 1986, S. 2796.

) BVerfGE 65, 1/46.

우리 나라 個人情報保護法 또한 나름대로 이러한 規範明確性原則과 目的拘束原則을 반영하고 있다. 우선 公共機關은 소관업무를 수행하기 위하여 필요한 범위 안에서 個人情報화일을 보유할 수 있으며 보유기관의 長은 당해 개인정보화일의 보유목적이외의 목적으로 처리정보를 이용하거나 다른 기관에 제공하여서는 아니된다고 규정하고 있다.

) 개인정보보호법 5조

) 개인정보보호법 10조

그러나 우리 나라 個人情報保護法은 지나치게 많은 사항을 대통령령 등에 위임함으로써 바로 규범명확성원칙과 목적구속원칙을 위협하고 있다. 위에서 설명한 것처럼 결국 이러한 規範明確性原則은 개인관련정보를 이용하는 목적이 범위 구체적이고 정확하게 法律上 규정될 것을 요구한다. 그래서 첫 번째로 情報自己決定權의 制限은 (憲法合致的인) 法律上 根據를 필요로 하는데 이러한 제한들은 그 전제조건들과 제한범위가 명확하며, 이를 시민들이 인식할 수 있어야 한다는 法治國家命令에서 나오는 規範明確性을 따라야만 한다. 두 번째로 개인관련정보를 강제로 대답하도록 하기 위해서는 立法者가 이러한 정보의 이용목적을 범위 구체적이고 정확하게 규정하고 이들 정보가 法律에 규정된 목적을 위하여 필요하고 적합하다는 것을 전제로 해야만 한다. 또한 이러한 규범명확성원칙은 규범적용시 行政府가 준수해야만 하는 기준을 형성한다. 行政府에 法的 授權은 그 내용, 목적, 정도가 구체적이어서 개개인이 행정행위의 결과를 예상할 수 있고 계산할 수 있어야만 한다. 이러한 기준에서 볼 때 우리 나라 個人情報保護法이 많은 문제점을 갖고 있음은 다른 나라의 個人情報保護法과 비교하여 명백하게 드러난다. 우선 個人情報保護法의 적용을 배제하는 규정이 너무 많다. 예를 들어 國家安全保障을 목적으로 하여 수집되는 정보에 관해서는 個人情報保護法의 적용을 배제하고 있다. 또한 개인정보화일을 보유하고자 하는 기관은 이를 반드시 총무처장관 등에게 사전통지해야만 한다고 규정하고 있으나 다시 2항에서 그 적용배제사유를 광범위하게 규정하고 있을 뿐만 아니라 다시 2항 7에서 적용이 배제되는 사항을 대통령령으로 정할 수 있도록 하였다. 그리고 처리정보의 이용 및 제한이나 처리정보의 열람제한 등에 관한 규정에서도 대통령령에 위임하고 있다. 결국 이렇게 지나친 委任 때문에 시민들은 도대체 본인의 어떤 정보에 관하여 어떤 국가기관이 처리, 저장하고 있는지를 파악하기가 매우 힘들다. 게다가 위 법의 적용이 배제됨으로써 발생할 수 있는 위험성에 관한 별도의 보호대책없이 국가안전보장 등 매우 막연한 사유를 근거로 한 위 법의 적용을 배제하는 것은 個人情報의 保護를 포기하는 것과 다름없다. 어떤 국가기관에게 위 법이 적용되며, 어떤 사유로 위 법의 적용이 배제되며 그러한 경우에 어떤 보호대책이 확립되어 있는지는 立法者 스스로가 반드시 法律에 규정해야만 하는 사항인데도 이에 관한 규정이 전혀 없거나 이를 行政府에 委任한다는 것은 規範明確性原則에 반한다. 그러므로 이러한 측면에서 우리 나라 個人情報保護法의 개정이 매우 시급하다.

) BVerfGE 65, 1/44.

) BVerfGE 65, 1/46.

) BVerfGE 56, 1/12.

) 개인정보보호법 3조 2항

) 개인정보보호법 6조

) 이에 관하여 헌법재판소는 다음과 같이 결정하였다 : □우리 헌법의 지도이념인 법의 지배 내지 법치주의의 원리는 국가권력행사의 예측가능성보장을 위하여 그 주체와 방법 및 그 범위를 법률로 규정할 것을 요구하며, 예외적으로 위임입법을 허용하는 경우에 있어서도 법률에 의한 수권에 의거한 명령의 내용이 어떠한 것이 될 수 있을 것인가를 국민에게 예측가능한 것임을 요구하는 것으로서, 그것은 법규명령에 의하여 비로소가 아니라 그보다 먼저 그 수권법률의 내용으로부터 예견가능하여야 하는 것을 의미하는 것이다.□ (1993. 5. 13. 92 헌마 80)

5) 關聯個人의 權利保護問題

우리 나라 個人情報保護法에 따르면 관련개인은 본인에 관한 처리정보의 열람을 청구할 수 있고 잘못된 정보에 관하여 정정을 요구할 수 있으며 이러한 요구가 받아들여지지 않을 경우에 行政審判을 청구할 수 있다. 우리 나라 個人情報保護法은 이와 같이 개인에게 열람권과 정정권을 인정하기는 하나 이러한 권리를 인정하는 것만으로는 個人情報가 충분히 보장된다고 볼 수 없다. 우선 단순한 열람권만이 아니라 왜 자신에 관한 정보를 조사, 처리, 이용하였는지, 누구에게 어떻게 전달하였는지에 관하여 설명을 들을 권리가 관련개인에게 인정되어야만 한다. 그리고 잘못된 정보에 관하여 정정할 권리뿐만이 아니라 이러한 情報에 대한 삭제권과 보충권이 인정되어야만 하며 해당 정보의 내용에 관하여 국가기관과 해당 개인간에 의견차이가 있는 경우에 해당 개인의 진술이 이러한 기록에 첨부될 수 있는 권리도 인정되어야만 한다. 그리고 個人情報를 처리하는 기관은 관련자를 위해서뿐만 아니라 통제기관을 위해서도 어떤 방법으로든 이를 기록해야만 한다. 이러한 기록화는 관련자에게 정보처리의 필요한 투명성을 보장하는데 특히 이는 잘못된 情報에 대한 삭제청구와 損害賠償請求時 의미를 가질 수 있다.

) 개인정보보호법 12조

) 개인정보보호법 14조

) 개인정보보호법 15조

물론 자신에 관한 정보에 해당 개인의 접근권이나 설명권이 언제나 절대적으로 보호될 수는 없다. 우리 나라 個人情報保護法도 개인의 학교성적, 치료기록 등의 경우에는 열람을 제한할 수 있도록 규정하고 있다. 또한 우리 나라 법에 의하면 國家安全保障과 관련되는 개인정보파일에는 個人情報保護法의 적용이 배제되며, 그 외에도 여러 가지 다양한 사유로 개인의 접근권이 인정되지 않는다. 외국의 경우에도 자신의 정보에 접근할 권리를 허용하지 않는 예외사유를 인정하기는 하지만 이러한 경우에 개인의 권리보호를 위한 절차를 규정하거나 統制機關을 통하여 보호되도록 하였다. 그러나 이와는 다르게 우리 나라 법에서는 개인의 설명권이나 접근권이 처음부터 불충분하게 보장되고 있을 뿐만 아니라 이러한 권리가 인정되지 않을 경우에 대비하는 규정이 전혀 없다. 물론 法院을 통하여 해결할 수도 있지만 적어도 정보보호위원회나 統制機關이 이러한 분쟁을 조정하도록 규정하는 것이 바람직하다. 따라서 해당 개인의 권리는 일반적으로가 아니라 구체적이고 매우 한정되어 제한되어야만 하며 개인의 설명권제한이 불가피하다면 이러한 제한이 통제기관의 권한을 통하여 감독되는 것이 요구된다.

) Hermann Heu□ner, Zur Funktion des Datenschutzes und zur Notwendigkeit bereichsspezifischer Regelungen, Wolfgang Gitter (Hrsg.), Festschrift f□r Georg Wannagat, 1981, S. 189.

6) 自動呼出節次에 관한 問題

모든 國家機關은 그들이 갖고 있는 자료나 정보를 갖고서 그들의 과제를 처리하기에 충분하지 않다면 그들의 과제를 이행할 수 있도록 기관 상호간에 원조해야만 한다. 문제는 이러한 국가기관 상호간 기관협조가 電子情報處理時代에서도 헌법합치적으로 존재할 수 있도록 해야만 한다는 것이다. 결국 정보처리시 요구되는 目的拘束은 한편으로 정보처리목적를 확정하고 다른 한편은 정보처리의 범위를 한정한다. 이에 따라서 필요한 최소한도로 사전에 명백하게 규정된 목적을 위한 정보처리만이 허용된다. 그렇다면 특정기관이 저장하고 있는 정보가 동시에 모든 다른 행정기관의 공통된 정보를 뜻하는 情報統一體란 존재해서는 안된다. 결국 국가기관 상호간에 정보가 전달되는 한 이러한 정보권력분립과 목적구속을 통하여 시민이 이러한 정보전달을 알 수 있도록 그 정보이동과정이 공개되어야 한다. 그렇다면 個人情報保護와 機關協助는 헌법상 충돌관계에 있는 것이 아니라 상호 보충한다는 것을 알 수 있다. 이에 따라서 個人情報保護는 구체적이면서 정확한 法律上 根據없는 정보교환과 자료교환으로부터 시민을 보호한다. 이는 행정이 그 정당한 과제수행을 위하여 필요로 하는 것보다 더 많은 정보교환을 가능하도록 하는 그러한 法律로부터 시민을 보호한다. 그러나 여기서 인식해야 하는 것은 個人情報保護가 국가기관간 정보교환을 전면적으로 금지시키는 것이 아니라 이러한 정보교환이 규정된 범위 내에서 필요한 만큼만 행해질 것을 요구한다는 것이다.

) Bernhard Schlink, Datenschutz und Amtshilfe, NVwZ 1986, S. 249.

그런데 위에서 언급한 것처럼 우리 나라의 個人情報保護法이 規範明確性原則에서 비추어볼 때 커다란 문제점을 갖고 있는 것처럼 바로 이 자동호출절차부분에서도 그에 못지 않은 문제점을 갖고 있다. 예를 들어 한 新聞記事에 의하면 경찰전산망에 등록된 個人情報가 안기부, 청와대 등과 연결된 단말기를 통해 지난 3년간 1천5백만건이나 조회된 것으로 드러났다고 한다. 특히 안기부, 청와대 등 8개 기관이 자체 단말기를 통해 범죄경력과는 상관없이 주민자료를 조회한 것도 6백10여만건에 이르러 이들 기관이 경찰청 단말기를 다른 목적으로 사용했을 가능성도 크다고 한다. 결국 우리 나라의 個人情報保護法이 1990년대에 제정된 법임에도 불구하고 다른 나라에서 1970-80년대에 제정된 法律과 비슷한 이유중 하나가 바로 이렇게 自動呼出節次에 관한 보호규정이 전혀 없다는 데에 있다. 이렇게 컴퓨터전산망을 통하여 행정기관들이 원하는 정보를 마음대로 처리, 이용할 경우에 우리 나라 個人情報保護法을 포함하여 정보보호법상 일반적 원칙중 하나인 목적구속원칙과 규범명확성원칙을 준수한다는 것은 처음부터 불가능하다. 왜냐하면 결국 이러한 온라인연결을 통하여 개인이 한 行政機關에게 자신에 관한 정보를 제공하는 것은 모든 국가기관들에게 자신에 관한 정보를 제공하는 것과 똑같기 때문이다. 이렇게 되면 관련개인은 자신의 정보를 누가, 어떤 목적으로, 얼마만큼 처리, 이용, 전달하는지를 파악하고 통제한다는 것을 포기해야만 할지도 모른다. 따라서 個人情報를 保護하기 위하여 가장 시급한 것이 바로 이렇게 컴퓨터의 연결을 통하여 자동적으로 정보를 조회, 처리하는 것을 통제하는 규정을 두어야만 한다는 것이다. 이러한 自動呼出節次로부터 個人情報를 얼마만큼 보호하느냐에 따라서 바로 個人情報保護法의 효율성여부를 판단할 수 있다고 해도 지나친 말이 아니다. 따라서 美國의 경우처럼 自動呼出節次에 관한 特別法을 제정하든지, 독일처럼 個人情報保護法內에 이에 관한 규정을 신설해야만 한다. 특히 이러한 自動呼出節次에 관한 규정에서는 呼出節次의 사유와 목적, 情報受領人, 전달되는 정보의 종류 등에 관하여 해당 기관은 書面으로 이를 기록하고 이러한 기록을 정보보호위원회와 같은 통제기관이 감독할 수 있어야만 한다는 내용이 포함되어야만 한다.

) 세계일보 1997. 10. 16. 30면.

) 컴퓨터연결과 프라이버시보호법 1988, 5 U. S. C. 552 a. 이에 관하여는 卞在玉, 立法紹介 : 1988年의 컴퓨터連結 및 프라이버시保護法, 美國憲法硏究 第 1 號, 1990, 33면 이하 ; David H. Flaherty, ibid., p. 346 이하 참조.

) 독일의 연방정보보호법(BDSG) 10조 참조.

7) 個人情報의 效率的 保護를 위한 外部的 統制의 必要性

(1) 問題提起

이미 우리들이 알고 있는 것처럼 정보처리 특히 자동정보처리가 전적으로 시민을 위한 방향으로만 발전될 수는 없다. 技術發展은 한편으로 커다란 사회적 유용성을 갖기도 하지만 다른 한편으로 이는 시민을 보다 효율적으로 통제하도록 이끌 수도 있다. 따라서 개인정보가 컴퓨터를 통하여 처리되는 곳에서는 처음부터 이러한 발전에 情報保護가 동반되어야만 한다.

따라서 개인의 情報自己決定權을 보호하기 위하여 情報保護法을 제정하고 이 법속에 개인의 각종 권리보호조항을 신설하며, 情報保護에 관한 조직적, 절차법적 규정을 두는 것과 동시에 個人情報保護에 관하여 통제하는 機關을 만드는 것에 관하여 진지하게 토론해야만 한다. 그런데 각국의 個人情報保護法에 규정된 이러한 統制機關은 우선 a) 外部的인 統制類型과 b) 內部的 統制類型으로 나눌 수 있다. 먼저 a) 外部的 統制類型은 (a) 相談시스템 : 公的 領域에 관해서만 統制權限이 있을 뿐이며, 그 권한 또한 事後統制와 助言(相談)機能만을 갖고 있는 것으로 특징 지워지는 獨逸式 情報保護機關類型과 (b) 許可시스템 : 정보파일의 설치에 관하여 승인할 뿐만 아니라 公的 領域은 물론 私的 領域을 위한 통제권한 및 결정권한, 간섭권한들을 統制機關에게 부여하는 스웨덴, 프랑스식 정보보호기관유형으로 나눌 수 있다. 그리고 b) 內部的 統制類型이란 個人情報를 다루는 개개 國家機關 스스로 이러한 정보처리에 관하여 통제하는 방식으로서 美國이 이러한 유형에 속한다.

) 결국 個人情報를 보호하기 위하여 어느 統制機關이 더 효율적인지를 판단하기 위한 척도는 궁극적으로 두 모델중 어떤 것이 시민들에게 더 포괄적인 情報保護를 보장하는 가이다. 이러한 분석을 위하여 한편으로는 해당 모델을 채택한 국가의 情報保護法制를 분석해야 한다. 그러나 다른 한편으로는 이러한 統制機關에 관한 법규정들의 자세한 설명을 넘어서서 한 국가 내에서 통제가 실제로 어떻게 행해지고 있는지를 파악해야만 한다.

) 이에 관하여는 David H. Flaherty, ibid., p. 390 이하 ; Evangelia Mitrou, Die Entwicklung der institutionellen Kontrolle des Datenschutzes, Nomos 1993, S. 20 이하 참조.

(2) 個人情報保護法上 統制機關의 缺如

우선 우리 나라 個人情報保護法上 監督機關은 總務處로 되어 있다. 위 법에 따르면 總務處長官은 公共機關의 長에게 個人情報의 처리에 관한 자료의 제출을 요구할 수 있으며 관계기관의 장에게 個人情報의 보호에 관하여 의견을 제시하거나 권고를 할 수 있다. 그리고 중앙행정기관이외의 공공기관에 대해서는 총무처 이외에도 관련중앙행정기관으로 하여금 지도, 감독토록 하고 있다. 아울러 국무총리소속하에 個人情報保護審議委員會를 설치하도록 하였다. 이 委員會는 위원장 1인을 포함한 10인 이내의 위원으로 구성하고 위원은 공공기관의 소속직원과 個人情報에 관한 학식과 경험이 풍부한 자중에서 위원장의 추천으로 국무총리가 임명 또는 위촉하도록 하였다. 이 위원회는 個人情報保護에 관한 정책이나 제도의 개선에 관한 사항이나 個人情報의 이용과 제공에 관한 공공기관간 이견조정 등에 관한 사항을 심의하도록 하고 있다. 이에 따라서 個人情報保護審議委員會는 현재 총무처차관을 위원장으로 하여 學界, 法曹界, 言論界, 女性界 및 관련기관의 공무원 등이 참여할 수 있도록 관련기관, 단체의 추천을 거쳐 민간인 5명, 총무처, 법무부, 정보통신부 등 관련기관 공무원 4명으로 구성하였다.

) 개인정보보호법 18조

) 개인정보보호법 19조

) 개인정보보호법 20조

) 개인정보보호법 시행령 27조

) 개인정보보호법 20조

) 한국전산원, 1997 국가정보화백서, 668면.

위에서 이미 설명한 것처럼 우리 나라 個人情報保護法은 많은 문제점을 갖고 있는데, 그중 가장 커다란 문제는 바로 統制機關의 缺如이다. 위에서 이미 언급한 것처럼 個人情報保護法의 目的은 새로운 정보통신기술의 발전에 대응하여 효율적이고 헌법합치적인 조정규정과 개인보호규정들을 事前에 또는 적어도 동시에 준비하도록 하는 것이다. 그러나 情報社會에서 국민의 私生活을 보호하기 위하여 個人情報保護法을 제정하는 것만으로는 충분하지 않다. 왜냐하면 오늘날 새로운 기술들의 발전과 그 적용가능성에 비추어 볼 때 法律家 또는 立法者는 그전보다 더 불리한 위치에 놓여 있을 뿐만 아니라 관련개인 스스로가 이를 통제할 수 있는 능력이나 기회를 가질 수 없는 불리한 위치에 놓여 있기 때문이다. 따라서 個人情報保護法 制定 그 자체도 중요하지만 시민을 효율적으로 보호하기 위해서는 국가나 사회의 정보처리를 통제하는 統制機關의 설치 및 활동이 절대적으로 요구된다. 결국 公的 領域에서 이러한 統制機構를 설치하는 근본적인 임무는 國家의 지나친 情報調査와 처리로부터 시민들을 보호하는 데에 있다. 이러한 통제장치가 없다면 국가기관의 무제한적인 個人情報의 수집과 전달, 個人私生活의 지나친 감시를 방지한다는 것이 불가능하다. 그런 의미에서 본다면 우리 나라 個人情報保護法은 결국 統制機關을 통한 감독 없이 개개 국가기관에게 個人情報를 보호하도록 맡기고 있으며 이를 개개인이 자신에 관한 기록을 열람하는 것 등을 통하여 통제하는 아주 제한적이고 비효율적인 방식을 채택하고 있다. 결국 우리 나라 個人情報保護法의 가장 취약한 점은 바로 개개 국가기관이 제대로 個人情報를 보호하고자 하는지를 통제할 권한을 가진 기관이 전혀 없기 때문에 個人情報가 제대로 보호되지 못하고 있다는 데에 있다. 표면상으로는 總務處가 이러한 임무를 담당하고 있는 것처럼 보이나 이는 美國의 사례를 보아도 실패할 수밖에 없다. 이미 法院이 이러한 분야에서 효율적인 통제기관으로서 불충분하다는 것은 美國에서 그 동안의 경험을 통하여 입증되었다. 게다가 통상적인 공무원에 의한 內部監督이란 너무 약하고 형식적인 통제가 되어버린다. 이는 國家機關을 통한 個人情報의 처리와 연결중 통제되어서 시정된 사례가 그동안 우리 나라에서 전혀 보고되거나 기록되고 있지 않다는 것을 통하여 분명하게 알 수 있다.

) 이에 관하여는 David H. Flaherty, ibid., p. 311 이하 참조.

) 그런데 그 동안 형식적으로나마 統制機關은 總務處였으나 이제 總務處와 內務部가 □行政自治部□로 바뀜에 따라서 앞으로 더욱 더 統制機關으로서 역할이 유명무실해지리라 본다. 왜냐하면 바로 앞으로 통제기관의 역할을 맡게 될 行政自治部로 합쳐지게 된 內務部는 □전자주민카드□를 도입하여 情報社會에서 개인의 私生活을 침해하는 계획을 수립하였던 곳이기 때문이다.

그렇다면 우선 우리 나라의 현행 個人情報保護法처럼 統制機關의 권한이나 지위, 조직에 관한 사항을 下位法規에 위임하는 것 자체에 문제가 있다. 個人情報를 보호하기 위하여 활동하는 統制機關은 매우 중요하므로 立法者가 직접 이에 관한 사항을 法律로 자세히 규정해야만 한다. 그 다음으로 우리 나라에서도 개인의 私生活保護를 위한 경보시스템으로서 情報保護委員會와 같은 통제기관을 설치해야만 한다. 이러한 統制機關은 우선 국가의 정보처리를 지속적으로 감독하고 法律에 규정된 목표를 준수하는지를 검토해야만 한다. 그리고 이들은 구체적인 국가정보시스템들의 작용을 규율하고 정보통신기술의 새로운 적용을 감독, 평가해야만 한다. 특히 統制機關은 모든 國家機關을 감독해야만 하며 특히 경찰과 첩보기관을 효율적으로 감독할 수 있는 방안을 강구해야만 한다. 결국 이러한 임무를 수행하기 위해서는 立法府, 司法府, 行政府中 하나에 속하는 국가기관이 아닌 統制機關을 만들어야만 하는 것이다. 왜냐하면 이러한 統制機關은 충돌하는 여러 이해관계들을 형량해야만 하기 때문이다. 그럼에도 불구하고 이러한 統制機關은 그들의 활동과 정책을 국가와 사회의 情報調査와 처리를 통제하는 것에 집중해야만 한다. 곧 統制機關은 個人의 情報保護를 우선적 목표로 하여 情報社會에서 개인의 여러 권리들을 보장하고 강화하도록 노력해야만 한다. 그렇다면 스웨덴과 프랑스의 통제모델 - 허가시스템 - 은 문제가 있는 통제모델이다. 왜냐하면 이러한 통제방식은 統制機關에게 너무 많은 부담을 지우기 때문에 통제기관의 작업방식이 결국에는 너무 관료적이고 형식적인 것으로 되어 버리기 때문이다. 결국 이러한 통제시스템 속에서는 모든 것을 통제한다는 것은 불가능하게 되고 그러다 보니 나중에는 정작 중요한 과제들마저도 제대로 수행하지 못하게 되는 결과를 낳는다. 따라서 우선 公的 領域에서 개인정보시스템의 작동에 관하여 諮問權限을 갖는 독일이나 캐나다의 정보보호시스템이 더 효율적이다. 이러한 자문(상담)시스템은 統制機關이 許可權限을 갖는 것에 대하여 行政府가 저항하거나 무시할 수 있는 위험성을 극복할 수 있다는 장점을 갖고 있으며 자문(상담)권한을 갖는 통제기관 또한 유연하며 실용적인 방법으로 행동할 수 있다.

) 이에 관하여는 David H. Flaherty, ibid., p. 237 이하 ; Evangelia Mitrou, a. a. O., S. 263 이하 참조.

그 다음으로 統制機關은 부당한 감시를 받고 있다고 느끼는 시민들의 권리보호를 위하여 노력하는 것이 이러한 위원회의 또다른 중요기능에 속한다. 이를 넘어서서 統制機關은 다양한 방법을 통하여 국가의 정보처리과정에서 個人情報가 보호될 수 있도록 일반적이고 체계적인 감독과 대안제시를 하기 위하여 노력해야만 한다. 이러한 국가정보처리의 감독행위가 바로 統制機關에게 새롭게 부과되는 중요한 임무이다. 이를 통하여 새로운 정보통신기술의 도입이 개인의 자유를 희생시키면서 더욱 더 정교하고 통합된 개인정보시스템을 만들 위험성을 막아야만 한다. 따라서 個人情報保護委員會는 새로운 정보기술형태의 잠재적 영향력과 효과를 판단하여서 이러한 정보통신기술의 적용이 계획단계에서부터 個人情報保護와 조화될 수 있도록 노력해야만 한다. 이에 따라서 情報保護委員會에 상담과 조정기능외에 위험예방기능이 요구된다. 그리고 統制機關은 個人情報處理와 관계되는 중요사항에 대하여 매년 의회에 年例報告書를 제출하고 個人情報保護와 관련되는 事案에 대하여 여론매체 등을 이용하여 널리 알리고 시민에게 홍보해야만 한다. 마지막으로 컴퓨터연결을 통한 個人情報의 결합을 통제하는 것이 현재 個人情報保護의 중심문제로서 바로 情報保護委員會가 해결하려고 노력해야만 하는 분야이기도 하다. 이러한 많은 일들을 하기 위하여 한 사람의 통제관을 두든, 情報保護委員會를 만들든 간에 이러한 統制機關은 직접 議會가 선출해야만 하고 그 신분은 法官에 준할 만큼 獨立性이 보장되고 豫算도 직접 편성할 수 있어야만 한다.

4. 結論

이미 우리가 인식하고 있는 것처럼 컴퓨터를 통한 정보처리과정은 언제나 급격한 정도로 우리 사회의 사회적, 정치적 구조를 변화시키는 바, 특히 이러한 변화 속에는 개인의 私生活과 民主主義를 위협할 수 있는 잠재성 또한 내재해 있다. 곧 정보사회에서 컴퓨터를 통한 무제한적 처리능력과 저장능력이 순식간에 엄청난 정보를 파악할 수 있는 가능성과 결합함으로써 관련자가 자기에 관한 정보의 처리와 결합이 정당한지를 충분히 통제할 수 없는 상황이 발생할 수 있게 되며 이를 통하여 지금까지는 인식되지 못하였던 새로운 통제수단이 등장한 것이다. 따라서 情報社會에서 개인의 私生活自由는 情報自己決定權을 통하여 적극적으로 보호되어야만 한다. 여기서 情報自己決定權이란 개인관련정보의 사용과 공개에 대하여 원칙적으로 개인 스스로 결정할 권리이다.

그러므로 정보사회에서 □個人情報□를 보호함으로써 개인의 □情報自己決定權□을 보호하고자 여러 국가들에서 □프라이버시법□이나 □個人情報保護法□을 제정하였던 것이다. 특히 美國을 비롯한 대부분의 서유럽국가들은 1970년대부터 80년대 중반사이에 個人情報保護法을 제정하였으며 그 뒤 급격하게 발전되는 정보통신기술에 발맞추어 1980년대 후반부터 이러한 법률을 개정하거나 새롭게 제정하고 있다. 이에 반하여 우리 나라는 1980년대 이후에 정력적으로 國家가 行政電算網事業 등 국가와 사회의 情報化에 주력하면서 개인의 私生活侵害가 우려된다는 비판이 강하게 제기되자 1980년대 말에 비로소 개인의 私生活保護에 관한 입법을 추진하였다. 이에 따라서 마침내 1994년 □공공기관의개인정보보호에관한법률□이 제정, 공포되었다. 그런데 유감스럽게도 우리 나라의 個人情報保護法은 국제적으로 본다면 1990년대에 만들어진 가장 최근의 개인정보보호법임에도 불구하고 그 내용은 서유럽국가 등에서 수십년전에 만들어진 個人情報保護法에 가깝다는 것이다.

그렇다면 國家나 社會의 情報調査나 處理로부터 개인의 私生活을 보호하기 위하여 個人情報保護法律을 제정하는 것만으로는 충분하지 않고, 국가나 사회에서 이러한 法律이 실제로 준수될 수 있도록 노력해야만 한다. 그러기 위해서는 우선 國家機關의 엄격한 법집행, 국민들의 私生活保護意識 등을 살피는 法政策的 分析도 중요한 몫을 차지한다. 하지만 과연 우리 나라의 個人情報保護法 자체가 이미 처음부터 문제점을 갖고 있기에 個人情報가 충분하게 보호되지 못하고 있는 것은 아닌가 하는 것을 法解釋的, 立法論的으로 따져보아야만 한다. 따라서 이 論文에서는 이러한 문제의식을 바탕으로 하여 우리 나라의 個人情報保護法이 과연 어떤 문제들을 갖고 있으며, 어떻게 개정되어야만 하는지를 간략하게나마 검토해 보았다.

公法硏究 第26輯 第2號 1998. 6. 韓國公法學會, 225 - 243.