개인정보보호기본법 제정을 위한

입법공청회

일시 : 2004. 9. 24.(금) 14:00~17:00

장소 : 헌정기념관 1층 대회의실

주최 : 국회의원 노회찬

1. 개최일시 및 장소

○ 일시 : 2004년 9월 24일(금) 14 : 00 ~ 17 : 00

○ 장소 : 국회 헌정기념관 1층 대회의실

2. 일정표

◦14:00~14:10           개회 및 참석자 소개

사회 : 하승창 / 함께하는 시민행동, 사무처장

◦14:10~14:20           인사말

노회찬 / 민주노동당 국회의원

◦14:20~14:40           발제 : 개인정보보호법(안)의 주요골자

이은우 (변호사, 법무법인 지평)

◦14:40~15:30           토론 1 (각 15분씩, )

1. 정연수 / 정보보호진흥원 개인정보보호팀장

2. 최월화 / 행정자치부 전자정부정책과장

3. 이규정 / 한국전산원 정책개발분석팀장

◦15:30~15:40           휴식

◦15:40~16:20           토론 2 (각 15분간)

4. 한상희 / 교수, 건국대학교 법학연구소장, 헌법

5. 전응휘 / 평화마을 피스넷 사무처장

6. 김지연 / 한국인터넷기업협회 정책실장

◦16:20~16:40           전체토론 및 정리

3. 목차

1  ………………………………… 개인정보보호법(안)의 주요골자

27  ………………………………… 개인정보보호기본법(안)

49  ………………………………… 개인정보보호기본법 제정되면 어떻게 달라지나?

개인정보보호기본법(안)의 주요 골자

이 은 우

변호사, 법무법인 지평

발  제

개인정보보호기본법(안)의 주요골자

개인정보보호기본법(안) 입법공청회

이은우(변호사, 법무법인 지평)

1. 서

정보사회에서 정보의 가치가 높아짐에 따라 정보 수집의 욕구가 증대되고 있다. 정보처리기술과 정보수집기술의 발달은 과거와는 비교할 수 없는 비약적인 수준의 정보수집과 활용을 가능하게 한다. 특히 오늘날 유비퀴터스 혁명이라고 일컬어지는 새로운 환경의 도래로 생체정보, 위치정보 등 개인정보는 산업화되어가고 있다.

이런 상황을 맞이하여 각국은 새로운 기술발전에 따른 개인정보의 침해 위험을 효과적으로 제어하면서 정보사회의 편리함을 누릴 수 있도록 하기 위해서 개인정보 보호를 위한 입법을 강화하고 개인정보의 침해에 대응할 수 있는 효과적인 법과 제도를 도입하고 있다.

그런데 우리나라는 그 어느 다른 나라보다도 먼저 개인정보의 산업화의 소용돌이 속에 들어와 있으면서도, 개인정보의 보호에 대한 사회적 합의는 주민등록번호의 남용, NEIS 시스템의 도입시도 등에서 볼 수 있듯이 아주 낮고, 제도도 미비하다.    이 간극을 메꾸고, 우리의 정보화 수준에 걸맞는 개인정보 보호법제를 마련하고, 제도를 도입하는 것이 개인정보의 침해를 막고, 안전하게 정보사회의 혜택을 누릴 수 있는 관건임을 인식하고, 개인정보보호법안을 마련하였다.

2. 개인정보보호법제의 개선 방향의 기본원칙

우리나라의 낡은 개인정보보호법제를 국제적 수준에 맞추고, 우리나라의 기술발전 수준에 걸맞게 선진화하기 위해서 개인정보보호법제를 전면적으로 개선할 필요가 있는데, 그 기본 방향은 다음과 같아야 한다.

가. 포괄주의를 지향

개인정보 보호의 실효성을 확보하기 위해 영역별 보호에서, 포괄주의 지향.

나. 독립적인 감독기구를 구성하여 개인정보 보호를 위한 기능을 집중

세계 각국의 독립감독기구 구성에 발맞추어 독립감독기구 구성. 국가, 기업, 사용자로부터 독립. 개인정보 보호에 대한 종합적인 감독, 정책제시, 연구, 교육, 권리구제 등의 기능을 수행할 수 있게 한다.

다. 개인정보 주체의 권리를 실효성 있게 보호할 수 있는 방안을 마련

개인정보 보호에 관한 기본원칙들이 실제로 기능을 발휘할 수 있도록 실효성 보장. 개인정보 데이터베이스 등록제, 손해배상 입중부담 완화, 집단소송제 도입 등.

라. 개인정보보호를 위한 시스템을 마련

개인정보 영향평가제, 개인정보보호책임자, 개인정보보호 감사제도 도입.

3. 주요 내용

가. 개인정보의 보호범위와 관련하여

(1) 현행 개인정보의 보호는 공공기관의 개인정보와 민간영역의 개인정보를 구분하여 이루어지고 있다. 공공기관의 개인정보는 공공기관의 개인정보 보호에 관한 법률에 의하여 ‘전산처리되는 것’을 중심으로 보호되고 있다. 민간영역의 개인정보는 몇 개의 법률에 의하여 개별적으로 보호되고 있다. 정보통신망 이용촉진 및 정보보호에 관한 법률은 전기통신서비스제공자와 이용자와의 관계에서 전기통신서비스제공자가 수집하는 이용자의 개인정보를 보호한다. 따라서 전산처리되는 것으로, 전기통신서비스제공자가 수집, 보관하는 것만을 대상으로 한다. 그리고 신용정보의 이용 및 보호에 관한 법률은 신용정보를, 금융실명거래에 관한 법률은 금융정보를, 의료법은 의료정보를, 생명윤리법은 유전자정보를 보호한다. 이처럼 우리 법제는 분야별로 특별한 법률규정이 있는 경우에만 개인정보를 보호하고 있다. 따라서 정보통신망을 통하지 않은 개인정보로서 신용정보나 의료정보, 금융정보가 아닌 개인정보, 정보통신망을 통하더라도 전기통신서비스제공자와 이용자 사이의 개인정보가 아닌 개인정보는 보호되지 못한다. 예를 들어 CCTV, 각종 스마트 칩을 통한 개인정보, 사용자와 노동자 사이의 노동자의 개인정보는 현행법상 보호되기 어렵다.

공공기관의 개인정보 보호에 관한 법률 제2조

2. "개인정보"라 함은 생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명□주민등록번호등의 사항에 의하여 당해 개인을 식별할 수 있는 정보(당해 정보만으로는 특정개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)를 말한다.

3. "처리"라 함은 컴퓨터를 사용하여 정보의 입력□저장□편집□검색□삭제 및 출력 기타 이와 유사한 행위를 하는 것을 말한다. 다만, 문장만을 작성하는 등의 단순업무처리를 위한 행위로서 대통령령이 정하는 행위를 하는 것을 제외한다.

4. "개인정보화일"이라 함은 특정개인의 신분을 식별할 수 있는 사항에 의하여 당해 개인정보를 검색할 수 있도록 체계적으로 구성된 개인정보의 집합물로서 컴퓨터의 자기테이프□자기디스크 기타 이와 유사한 매체에 기록된 것을 말한다.

5. "처리정보"라 함은 개인정보화일에 기록되어 있는 개인정보를 말한다.

6. "보유"라 함은 개인정보화일을 작성 또는 취득하거나 유지□관리하는 것(개인정보의 처리를 다른 기관□단체등에 위탁하는 경우를 포함하되, 다른 기관□단체등으로부터 위탁받은 경우를 제외한다)을 말한다.

7. "보유기관"이라 함은 개인정보화일을 보유하는 기관을 말한다.

8. "정보주체"라 함은 처리정보에 의하여 식별되는 자로서 당해 정보의 주체가 되는 자를 말한다.

제2조 (정의)  ①이 법에서 사용하는 용어의 정의는 다음과 같다. <개정 2004.1.29>

1. "정보통신망"이라 함은 전기통신기본법 제2조제2호의 규정에 의한 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집□가공□저장□검색□송신 또는 수신하는 정보통신체제를 말한다.

2. "정보통신서비스"라 함은 전기통신기본법 제2조제7호의 규정에 의한 전기통신역무와 이를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 것을 말한다.

3. "정보통신서비스제공자"라 함은 전기통신사업법 제2조제1항제1호의 규정에 의한 전기통신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다.

4. "이용자"라 함은 정보통신서비스제공자가 제공하는 정보통신서비스를 이용하는 자를 말한다.

5. "전자문서"라 함은 컴퓨터 등 정보처리능력을 가진 장치에 의하여 전자적인 형태로 작성되어 송□수신 또는 저장된 문서형식의 자료로서 표준화된 것을 말한다.

6. "개인정보"라 함은 생존하는 개인에 관한 정보로서 성명□주민등록번호 등에 의하여 당해 개인을 알아볼 수 있는 부호□문자□음성□음향 및 영상 등의 정보(당해 정보만으로는 특정 개인을 알아볼 수 없는 경우에는 다른 정보와 용이하게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

(2) 이러한 개별법 주의는 요즘처럼 과학기술의 발달로 새로운 개인정보 침해 영역이 확장되어 가는 때에는 맞지 않다. 개인정보의 보호범위를 개인이 식별되는 모든 개인정보로 확장해야 한다. 단, 이와 같이 개인정보의 보호범위를 개인이 식별될 수 있는 모든 정보로 확장할 경우에는, 사적인 용도의 개인정보 수집과 같은 경우는 법률적용이 배제되도록 예외조항을 두어야 한다.

(3) 예외조항은 개인의 사적인 용도의 개인정보 수집이나, 다른 법률에 의하여 정보수집이 허용되는 경우가 있을 수 있다.

(4) 이 법의 수범자는 ‘누구나’ 즉, 모든 사람이 되어야 한다. 단, 공공기관의 경우에는 적용되는 법리가 달라질 수 있으므로 민간영역과는 달리 규정될 필요가 있다.

나. 개인정보의 보호원칙의 구체화와 보완

(1) 개인정보의 수집에 관한 원칙

현행 정보통신망 이용촉진 및 정보보호에 관한 법률은 수범자를 정보통신서비스제공자로 국한하고 있으며, 형식적인 고지로도 가능한 것으로 규정하고 있으며, 개인정보의 보존기간과 같은 중요한 사항을 고지사항에서 누락하고 있다. 이런 점을 감안하여 고지개인정보의 수집과 관련하여 다음과 같은 점이 보강되어야 한다.

개인정보 수집시 개인정보를 제공하지 않아도 되는지와 제공하지 않을 경우 어떤 불이익이 있는지를 명시함. 개인정보 수집은 직접 수집을 원칙으로 함. 개인정보를 제공하지 않아도 개인정보가 반드시 필요하지 않은 필수서비스는 제공받을 수 있도록 함.

(2) 개인정보의 최신성 유지

개인정보는 최신의 것이어야 하며 이용하기 전에 오류 여부를 확인해야 한다.

(3) 정보접근, 수정, 삭제요구권의 보장 강화

정보주체 등은 언제든지 개인정보 보유자에 대하여 정보수집에 대한 동의를 철회할 수 있다. 개인정보 보유자는 이 경우 지체없이 수집된 개인정보를 파기하고 기타 필요한 조치를 취하여야 한다. 단, 개인정보 보유자가 법률상 개인정보를 보유해야만 하는 의무를 지고 있는 경우에는 그렇지 아니하다.

정보주체의 열람청구의 범위 확장 - 정보주체의 개인정보를 수집한 경위, 정보주체의 개인정보 수집 현황, 정보주체의 개인정보를 제3자에게 제공한 내역 등.

(4) 고유식별자의 보호

누구든지 공공기관이 개인을 고유하게 식별하기 위해 부여한 식별자(이하 ‘고유식별자’)를 수집하거나 이용 또는 제3자에게 제공해서는 안된다. 다만 아래의 경우는 예외로 한다.

1. 공공기관이 법률에 규정된 업무를 수행하기 위해 고유식별자의 처리가 반드시 필요한 경우로서, 그 처리의 목적이 고유식별자가 부여된 목적과 직접적으로 관련이 있는 경우

2. 법률의 규정이 있거나 당사자의 동의가 있는 경우, 공공기관은 다른 공공기관이 개인에게 부여한 고유식별자를 그 개인에 대한 고유식별자로 부여해선 안된다.

(5) 익명권의 보장

법적으로 허용되고, 가능한 경우에는 익명으로 거래할 수 있는 권리가 보장되어야 한다.

(6) 개인정보에 관련된 사업양수도에 관하여

다. 개인정보 데이터베이스 등록제

(1) 취지 : 개인정보를 데이터베이스화하여 대량 보유하는 경우 개인정보보호위원회에 등록하도록 하여 남용억제.

(2) 도입하고 있는 국가 : 프랑스, 영국 등.

(3) 등록대상

1. 공공기관의 개인정보 데이터베이스

2. 대통령령이 정하는 업종의 개인정보 데이터베이스

3. 대통령령이 정하는 숫자 이상의 정보주체를 등록 대상으로 하는 개인정보 데이터베이스

4. 대통령령이 정하는 숫자 이상의 종업원을 고용한 자의 개인정보 데이터베이스

5. 대통령령이 정하는 기술을 사용하여 구축된 개인정보 데이터베이스

(4) 등록내용

1. 개인정보 데이터베이스의 명칭

2. 개인정보 데이터베이스의 보유목적

3. 보유기관의 명칭

4. 개인정보 데이터베이스에 기록되는 개인 및 항목의 범위

5. 개인정보의 수집방법과 처리정보를 통상적으로 제공하는 기관이 있는 경우에는 그 기관의 명칭

6. 개인정보의 보유 기간

7. 개인정보 데이터베이스의 열람 예정 시기

8. 열람이 제한되는 처리정보의 범위 및 그 사유

9. 기타 대통령령이 정하는 사항

(5) 대장의 비치, 공고, 등록 예외

개인정보보호위원회는 개인정보 데이터베이스 별로 등록된 사항을 기록한 개인정보 데이터베이스 등록 대장을 작성하여 누구든지 열람할 수 있도록 비치하여야 하며, 이를 연 1회 공고하여야 한다.

국가의 안전이나 외교상의 중대한 비밀로서 이에 대한 개인정보 데이터베이스의 보유 여부를 공개할 경우 국가안보나 외교상 중대한 문제가 발생하는 공공기관의 개인정보 데이터베이스는 등록하지 않을 수 있다.

라. 개인정보보호책임자 제도

(1) 취지 : 현재의 개인정보보호책임자 제도를 강화하여 개인정보 보호에 대한 법적 책임을 부여함.

(2) 내용

개인정보데이터베이스를 등록한 자는 개인정보보호책임자를 임명하고 이를 정보주체에게 고지하여야 한다.

개인정보보호책임자는 다음 각 호의 의무를 가진다.

1. 이 법과 기타 개인정보보호에 대한 법령의 준수에 대하여 책임이 있다.

2. 개인정보를 적정하게 보유, 사용, 처리, 보관하는지에 대하여 점검하여야 한다.

3. 개인정보 처리업무에 종사하는 자들의 교육하여야 한다.

4. 개인정보의 현황과 시스템, 개인정보의 속성과 수집목적, 기간 등에 대하여 보고를 받아야 한다.

5. 개인정보보호책임자는 직무 수행에 관련하여 불이익을 당해서는 안된다.

마. 개인정보 보호에 대한 감사

(1) 취지 : 개인정보보호책임자의 정기감사 및 개인정보보호위원회 보고의무. 현재 금융기관의 경우 실시되고 있음.

(2) 내용

개인정보보호책임자는 개인정보 보유자가 이 법에 규정된 개인정보 보호 의무를 준수하고 있는지에 관하여 매 년 정기감사를 실시하고 이를 개인정보보호위원회에 보고하여야 한다.

개인정보보호위원회는 다음 각 호의 1의 내용을 포함한 정기감사의 기준을 작성하여 고시할 수 있다.

1. 수집되는 개인정보의 내용 및 수집 방법의 적법성에 관한 사항

2. 정보주체의 개인정보자기결정권의 보장에 관한 사항

3. 기술적․관리적 대책의 수립에 관한 사항

4. 기타 이 법에 규정된 개인정보 보유자의 의무 준수 여부에 관한 사항

바. 개인정보 데이터베이스 연결의 제한

(1) 취지 : 공공기관의 데이터베이스가 합리적인 사유없이, 수집목적의 범위를 넘어서 상호 연결되거나, 민간분야에 제공되어 개인정보 침해의 문제를 야기하는 사례가 많으므로, 이를 제한하기 위함.

(2) 입법례 : 뉴질랜드, 오스트레일리아, 미국 등.

(3) 내용

공공기관의 개인정보 데이터베이스와 연결하고자 하는 경우에는 특별한 사유가 있는 경우에만 허용하고, 이러한 경우에는 개인정보보호위원회에 신고하도록 함.

사. 손해배상, 집단소송의 도입

(1) 취지 : 권리구제를 효율적으로 하기 위하여 손해배상의 귀책사유에 대한 입증책임의 전환, 집단소송의 도입.

(2) 내용

개인정보 침해와 관련한 손해는 침해자가 자신의 과실 없음을 입증해야 한다는 정보통신망이용촉진 및 정보보호에 관한 법률의 규정을 적용범위를 확대함.

개인정보 침해에 대한 구제를 효과적으로 하도록 하기 위해서 집단소송제도를 도입함.

아. 개인정보보호위원회

(1) 감독기구 구성의 필요성과 구성의 원칙 : 오늘날 각국은 개인정보보호감독기구를 두고, 종합적으로 개인정보 보호에 대한 감독과 분쟁조정, 연구와 입법제안 등을 하고 있음.  이 기구는 독립성이 보장되고 집행력이 있는 기구이어야 함

유럽연합의 개인정보 보호에 관한 감독기구에 대한 지침의 규정

1. 각국은 각국의 본 지침에 따라서 회원국에 의해 채택된 규정의 관할 내에서의 적용을 모니터링하는 책임을 지는 하나 또는 그 이상의 공적 감독기구를 구성해야 한다. 이 기구는 자신에게 부여된 기능을 완전한 독립성를 가지고 수행해야 한다,

2. 회원국은 각국은 개인정보의 처리와 관련하여 개인의 권리나 자유의 보호와 관련된 행정조치나 규정 제정시 감독기구와 사전에 협의해야 한다.

3. 감독기구는 특히 다음의 권한을 부여받아야 한다.

- 수사할 권한, 정보에 접근할 권한, 감독의무를 수행하는데 필요한 모든 정보를 수집할 권리

- 제20조에 따라 수행하는 처리절차시에 의견을 제시하거나, 그러한 의견을 효과적으로 공표하거나, 정보의 처리를 막거나, 정보의 폐기나 삭제를 명령하거나, 일시적으로 또는 제한적으로 처리를 중단시키거나, 정보관리자에게 경고하거나 권고할 권리, 당해 문제를 국회나 다른 정치적 기관에 회부할 권리.

- 이 규정에 따라 채택된 각국의 규정을 위반한 경우 법적 절차를 진행하거나, 위반을 사법기관에 제기할 권한.

제기된 청구에 대해 감독기구가 내린 결정에 대해서는 법원에의 항소제기가 가능하다.

4. 감독기구는 누구든지 개인정보의 처리와 관련하여 자신의 권리나 자유의 보호에 관하여 직접 또는 단체를 통하여 제기하는 청구를 수리하여야 한다. 청구에 관련된 자는 청구의 결과에 대해 고지받아야 한다. 감독기구는 특히 각국이 이 지침 13조에 따라 규정을 제정한 경우 데이터 처리의 적법성에 대하여 점검할 것을 청구하는 경우에 그에 응해야 한다. 그 개인은 그러한 점검에 대해 고지받아야 한다.

5. 정기적으로 자신의 활동에 관한 보고서를 작성해야 하며, 보고서는 공표되어야 한다.

(2) 외국의 입법례 : 유럽연합의 회원국. 캐나다, 오스트레일리아, 뉴질랜드 등.

Australia - Privacy Commissioner

Austria - Osterreichische Datenschutzkommission

Belgium - Commission de la protection de la vie privee

Canada - The Federal Privacy Commissioner of Canada

Cyprus - Commissioner for Personal Data Protection

Czech Republic  - The Office for Personal Data Protection

Denmark - Datatilsynet

Estonia - Estonian Data Protection Inspectorate

Finland - Office of the Data Protection Ombudsman

France - Commission Nationale de l'Informatique et des Libertes

Germany - Der Bundesbeauftragte fur den Datenschutz

Greece - Hellenic Data Protection Authority

Hungary - Data Protection Commissioner of Hungary Parliamentary Commissioner for Data Protection and Freedom of Information

Ireland - Data Protection Commissioner

Italy - Garante per la protezione dei dati personali

Latvia - Data State Inspection

Lithuania - State Data Protection Inspectorate Director

Luxembourg - Commission nationale pour la protection des donnees

Malta - Office of the Commissioner for Data Protection Commissioner for Data Protection

Netherlands - College bescherming persoonsgegevens (CBP)

New Zealand  - Privacy Commissioner

Poland - The Bureau of the Inspector General for the Protection of Personal Data

Portugal - Comissao Nacional de Proteccao de Dados

Romania - Romanian People's Advocate Ombudsman

Slovakia - Office for Personal Data Protection

Slovenia - Deputy Ombudsman Republic of Slovenia Human Rights Ombudsman

Spain  - Agencia de Proteccion de Datos

Sweden - Datainspektionen

United Kingdom - The Office of the Information Commissioner Executive Department

Iceland - Icelandic Data Protection Agency

Liechtenstein  - Datenschutzbeauftragter des Furstentums Liechtenstein

Norway - Datatilsynet

Switzerland - Data Protection Commissioner of Switzerland

(3) 기능 : 피해구제 기능, 감독기능, 법․제도 등에 대한 의견제시 기능, 연구․교육기능, 국제 연대기능 등

ⅰ	개인정보의 처리와 관련하여 개인의 권리나 자유의 보호와 관련된 행정조치나 규정 제정시 사전 협의권,
ⅱ	개인정보의 처리로 인한 개인의 권리 침해에 대하여 수사할 권한, 정보에 접근할 권한, 감독의무를 수행하는데 필요한 모든 정보를 수집할 권한,
ⅲ	개인정보 처리절차 시에 의견을 제시하거나, 그러한 의견을 효과적으로 공표할 권한,
ⅳ	정보의 처리를 막거나, 정보의 폐기나 삭제를 명령하거나, 일시적으로 또는 제한적으로 처리를 중단시킬 권한,
ⅴ	정보관리자에게 경고하거나 권고할 권한,
ⅵ	당해 문제를 국회나 다른 정치적 기관에 회부할 권한
ⅶ	이 규정에 따라 채택된 각국의 규정을 위반한 경우 법적 절차를 진행하거나, 위반을 사법기관에 제기할 권한,
ⅷ	개인정보의 처리와 관련하여 권리를 침해당한 자의 진정수리권,
ⅸ	정기적인 보고서 작성 및 발표권.

참고 1 : 유럽연합의 지침

참고 2. 영국

그림  영국 정보커미셔너의 기능(1)

그림  영국 정보커미셔너의 기능(2)

참고 3. 프랑스

그림  프랑스 CNIL의 기능

참고 4. 독일

그림  독일 연방정보보호청의 주요기능

참고 5. 스웨덴

그림  스웨덴 정보조사원의 주요기능

참고 6. 캐나다

그림  캐나다 프라이버시 커미셔너 주요기능

참고 7. 오스트레일리아

그림  오스트레일리아 프라이버시 커미셔너 주요기능(1)

그림  오스트레일리아 프라이버시 커미셔너 주요기능(2)

참고 8. 뉴질랜드

그림  뉴질랜드의 프라이버시 커미셔너 주요기능

참고 9. 정리

그림  각국의 독립감독기구의 주요 기능

(4) 독립성과 업무영역 : 독립기구로 공공, 민간영역의 제한 없이.

(가) 독립성

독립감독기구의 생명은 독립성이다. 독립성이 보장되어야만 감독기구의 본래의 목적을 달성할 수 있으며, 국민들의 신뢰를 얻어 성공적으로 역할을 수행할 수 있다. 독립성은 인사(구성과 내부 인사), 예산, 업무집행에서 각각 보장되어야 한다. 독립성의 수준은 인권과 민주주의에 관한 문제를 다룬다는 점에서 국가인권위원회에 버금가는 수준이 되어야 한다. 특히 행정부의 업무를 견제한다는 측면에서는 3권 분립의 원칙이 반영되어야 한다. 실제로 각국은 독립감독기구에 대하여 상당한 수준의 독립성을 보장하고 있다.

예를 들어 영국의 정보커미셔너는 정보보호법과 정보공개법에 근거하여 설립된 개인정보 보호를 위한 독립법정기구인데, 여왕에 의해 임명되며 5년의 임기가 보장되고 두 차례에 걸쳐 재임이 가능하다. 영국의 정보커미셔너의 독립성과 자율성은 무엇보다도 행정부의 지시, 감독을 받지 않고 독자적으로 운영된다는 점을 통해 확인할 수 있다. 즉, 커미셔너의 임금과 연금은 하원의 결의를 통해 결정되고 별도 조성된 기금에서 지급받으며 기관의 운영예산도 직접 의회의 결의를 통해 지원받고 있기 때문에, 내무부로부터 행정적 지원이나 협조 외의 간섭을 받지 않는다. 또한 정보커미셔너는 기관의 각종 활동상황에 대해 의회에 직접 보고한다

정보보호법(DPA) 제3장(제16조～제26조). 비교연구 115 페이지.

그리고 예를 들어 프랑스의 경우에는 정보자유위원회가 있는데, 법에 의해 보장된 권한을 보다 실질적으로 행사하여 부당한 개인정보침해로부터 개인의 자유와 기본권을 보호할 수 있도록 독립성과 전문성을 확보하기 위해 합의제 독립행정기관으로 설립되었다. 이를 구성하는 17명의 위원은 프랑스의 입법, 사법, 행정부를 대표하는 자로 이루어져 있어 강력한 권한과 위상을 가지고 있다. 정보처리 축적 및 자유에 관한 법률 제8조는 이러한 위원회의 구성방법에 대해 구체적으로 밝히고 위원회를 구성하는 17인의 위원들의 소속이나 임명(추천)권자, 임기, 위원수에 대해서 명시적으로 규정하고 있다.

그림  프랑스 CNIL의 위원 구성 규정(2)

그림  프랑스 CNIL의 위원 구성 규정(2)

정보자유위원회의 독립성은 위원회를 구성하는 위원 중 3분의 2가량이 의회나 법원에 의해 선출된다는 것을 통해서도 확인할 수 있다. 또한 법률은 각각의 위원들의 독립적인 지위를 보장하기 위해 자신을 임명한 자 또는 소속기관의 지시, 감독을 받지 않고 자유롭게 활동할 수 있도록 명시적으로 규정하고 있다. 또한 정부의 장관이나 공공기관, 공기업, 사기업의 경영자 등은 여하한 이유로도 위원회의 활동을 방해할 수 없도록 규정함으로써, 위원회의 독립성을 더욱 강화하고 있다. 따라서 위원회는 임무수행에 대해서도 대통령과 의회에 대해 직접 보고하며 직원의 임명도 위원장이 자유롭게 행한다.

6) 정보처리축적및자유에관한법률 제13조제1항 : 「위원회의 위원은 그의 권한 행사에 있어 어떠한 기관의 지시도 받지 아니한다」

정보처리축적및자유에관한법률 제21조 : 「관계 장관, 행정기관, 공사기업의 경영자, 각종 단체의 책임자 및 일반적으로 개인정보화일의 소지자 또는 이용자는 여하한 이유로도 위원회 또는 위원의 활동을 방해할 수 없고, 그 임무수행을 용이하게 하기 위하여 필요한 모든 조치를 취하여야 한다」

비교연구 131 페이지

그 외에도 독일(국회의 동의를 받아 대통령이 임명), 스페인(국회, 행정부, 기타), 오스트리아(대법원장, 등)의 예에서 볼 수 있듯이 대부분의 국가는 독립감독기구에 대하여 상당한 수준의 독립성을 인정하고 있다.

그런데 우리에게는 현재 독립성이 보장되는 개인정보 보호 감독기구가 없기 때문에 국가인권위원회와 같은 독립감독기구를 둘 필요가 있다.

국제 개인정보보호기구 회의(International Conference of Data Protection and Privacy Commissioners ; ICDPC)에서는 각국의 개인정보보호기관을 심사하여, 자격있는 개인정보보호기관으로 인정(Accreditation)하고, 인정된 기관에 한하여 ICDPC의 회원자격을 부여하고 있는데, 2003. 5. 현재 영국 개인정보보호원, 캐나다 개인정보보호감독관 등 28개국 50개 기관에 대해 인정하고 있는데, 우리나라는 인정을 받지 못하고 있다고 함. 한편 자격요건은 법률에 근거하여 설립된 공공기관(public body)이어야 하고, 업무수행 기준 및 절차가 OECD Guideline(1980) 등 국제기준과 일치해야 하고, 자료제출 요구권 및 조사권, 법률 이행 요구권(시정요구 또는 검경에 고발) 등 직무수행에 필요한 법적 권한 보유해야 한다고 함. 그리고 주요 임무로 정부 또는 기업에 대한 법률 자문(상담), 국민의 개인정보 관련 고충을 처리, 정부 또는 기업의 개인정보보호법률 이행상황 감시, 개인정보보호에 대한 교육․홍보․인식제고, 국가간 정보이전에 대한 국제협력 등을 수행해야 한다고 함. 국제사회의 개인정보보호기관 인정 현황, 한국정보보호진흥원 추현우연구원 (2003.8.1)

(나) 업무영역 : 민간분야와 공공분야

독립감독기구는 단순히 개인정보 침해에 대한 피해구제만 하는 것이 아니라, 그것 못지 않게 정책입안, 교육, 연구, 홍보, 국제적인 연대활동 등 개인정보의 보호에 관한  다양한 활동을 해야 하는데, 민간분야와 공공분야를 나누어 놓는다면 역량이 분산되어 이러한 활동을 효과적으로 해 나가는 것이 어렵다.

그리고, 공공분야와 민간분야를 나눌 경우에는 국민들이 피해구제를 받기 위해서 당해 사안이 공공분야에 해당하는 것인지, 민간분야에 해당하는 것인지를 먼저 판단해야 하는 부담을 지게 된다.

(다) 구성

독립감독기구는 기구의 업무범위를 감안할 때 독립성과 전문성을 가진 위원들과 내부에 피해구제, 법, 제도에 대한 의견제시, 각종 교육, 연구, 대외 협력 등의 기능을 수행하는 실무단위로 구성해야 한다, 국회가 선출하는 5인(상임위원 2인을 포함한다)과 대통령이 지명하는 4인을 대통령이 임명하도록 한다.

참고 13 : 프랑스 개인정보보호위원회 부서별 역할

그림  프랑스 CNIL 부서별 역할(1)

그림  프랑스 CNIL 부서별 역할(2)

그림  스웨덴 정보조사원의 조직별 업무

그림  캐나다 프라이버시 커미셔너 조직도

그림  오스트레일리아 프라이버시 커미셔너 조직도

(라) 업무영역

1. 개인정보보호 보호에 관한 법령(입법과정중에 있는 법령안을 포함한다)□제도□정책□관행의 조사와 연구 및 그 개선이 필요한 사항에 관한 권고 또는 의견의 표명

2. 개인정보보호에 관한 규칙의 제정

3. 개인정보 침해행위에 대한 조사와 구제

4. 개인정보보호 기술의 연구 지원

5. 개인정보보호 현황에 대한 실태조사

6. 개인정보보호에 관한 교육 및 홍보

7. 개인정보보호침해의 유형□판단기준 및 그 예방조치 등에 관한 지침의 제시 및 권고

8. 국제개인정보보호 관련된 국제기구 및 외국의 개인정보기구와의 교류□협력 활동

9. 개인정보보호의 옹호와 신장을 위하여 활동하는 단체 및 개인과의 협력

10. 그 밖에 개인정보보호의 보장과 향상을 위하여 필요하다고 인정하는 사항

(5) 피해구제

(가) 대상

민간영역에서의 개인정보 침해 뿐만 아니라 공공영역에서의 개인정보 침해에 대해서도 피해구제를 받을 수 있도록 한다. 영역별로는 신용정보, 의료정보, 통신비밀, 유전자 정보, 금융정보 등의 침해도 모두 독립감독기구를 통하여 피해구제를 받을 수 있도록 한다.

(나) 신청권자

신청은 당해 개인이 하는 것을 원칙으로 하는데, 직권조사도 가능하게 한다.

(다) 조사권

독립감독기구에게는 피해구제의 실효성을 담보하기 위하여 적절한 범위에서 조사권을 부여. 구체적으로는 (i) 소환하여 증언 후 진술하게 할 권한, (ii) 현장조사권, (iii) 자료수집권, (iv) 업무협조 요청권 등을 부여.

(라) 조사 후 조치와 그 효력

조사 후 (i) 각하와 기각, (ii) 합의 권고, (iii) 시정명령, 배상명령, 법 위반사실의 공표, (iv) 시정 및 개선 권고, 기타 필요한 처분 (v) 고발 및 징계권고, (vi) 긴급구제조치를 결정할 수 있도록 함.

그 중 각하는 진정의 적법요건을 충족하지 못하는 경우에(예를 들어 허무인의 진정, 대리권 없는 자에 의한 진정, 이미 피해회복이 이루어진 경우 등), 기각은 권리나 이익의 침해로 볼 수 없는 경우에 한다. 또한 위원회는 먼저 양 당사자의 원만한 문제해결을 위해 합의를 권고한다.

조사한 결과 권리나 의무를 침해한 사실이 인정되면 시정조치와 배상명령을 할 수 있도록 한다. 시정조치와 배상명령은 피해자의 신청의 범위 내에서 하도록 하며, 당해 시정조치의 효력은 당사자에게만 미치는 것으로 한다. 단, 위원회가 보기에 법령□제도□정책□관행의 시정 또는 개선이 필요하다고 판단할 때에는 이를 권고할 수도 있도록 한다. 한편 시정조치와 배상명령에 대해서는 30일 내에 이의를 제기하지 않는 경우 확정판결과 같은 효력을 부여하여 실효성을 담보하는 것이 좋을 것이다   수사기관에 수사를 요청하거나 인사권자에게 징계를 요청할 수 있도록 한다. 긴급한 구제조치가 필요한 경우에는 긴급구제조치를 결정할 수 있게 하되, 그에 대하여 불복하는 경우에는 법원에 이의신청을 할 수 있도록 한다.

각국의 감독기구의 최종결정의 효력은 조금씩 다르지만, 피해구제의 간편함과 실효성 보장이라는 두 가지 가치를 모두 충족하기 위해 노력하고 있다는 것을 알 수 있다. 모든 국가가 감독기구의 결정을 최종적인 것으로 하지 않고 법원에 다툴 수 있도록 하고 있는데, 감독기구의 결정의 효력에 대해서는 크게 두 부류로 나누어 볼 수 있다. 첫째는 프랑스의 경우처럼 감독기구의 결정에 강제력을 부여하고, 그에 대하여 이의가 있는 경우에는 법원을 통하여 이의제기를 하도록 하고 있는 국가이다. . 다음으로는 감독기구의 결정에 강제력을 부여하지 않고 권고적 효력을 부여하되, 이를 임의로 이행하지 않을 경우 법원에 피해자를 대신하여 소를 제기할 수 있는 권한을 부여하고 있는 국가(영국, 스웨덴, 오스트레일리아, 뉴질랜드, 캐나다 등)가 있다. 두 번째 부류의 국가의 경우 예컨대 영국의 경우에는 법원에 소를 제기하여 법원에서 법률위반이 인정되는 경우에는 시정명령을 준수하지 않은 것이 형사범죄가 되도록 구정하고 있고, 뉴질랜드의 경우에는 긴급 과태료 처분을 내릴 수도 있게 되어 있다.

[참고 : 각국의 피해구제 절차와 최종결정의 효력]

그림  영국 정보커미셔너의 피해구제 절차

그림  독일 연방정보보호청의 피해구제 절차도

그림  스웨덴 정보조사원의 개인정보 피해구제 절차도

그림  미국 공정거래위원회의 피해구제 절차도

그림  캐나다 프라이버시 커미셔너의 피해구제 절차도

그림  오스트레일리아 프라이버시 커미셔너 피해구제 절차도

그림  뉴질랜드 프라이버시 커미셔너 피해구제 절차도

자. 개인정보 사전영향평가제의 도입

(1) 취지 : 개인정보를 침해할 우려가 있는 대량의 개인정보 데이터베이스의 구축, 데이터베이스의 통합이나 연동, 개인정보의 처리를 하기 전에 사전에 개인정보 침해여부에 대한 영향평가를 실시하도록 하여 개인정보 침해의 위험을 사전에 막음.

(2) 대상 : 대량의 개인정보나 민감한 개인정보를 처리하려는 개인정보 보유자가 다음 각 호에 해당하는 경우

1. 개인정보 데이터베이스가 새로 구축되는 경우

2. 기존 데이터베이스에 새로운 개인정보를 추가함으로써, 정보주체에 관한 새로운 정보를 생성할 수 있게 되는 경우

3. 2개 이상의 개인정보 데이터베이스가 통합, 혹은 연동되는 경우

위원회는 다음 각 호의 경우에 개인정보 보유자의 요청이 없더라도 영향평가를 실시하여야 한다.

1. 개인정보 데이터베이스의 구축을 필요로 하는 새로운 법령․제도가 도입되는 경우

2. 개인정보 보호에 부정적 영향을 미칠 가능성이 제기된 기술이 도입되는 경우

3. 노동자 개인정보 보호에 영향을 미칠 수 있는 사용자의 정보처리에 대해 해당 사업장의 노동조합, 혹은 그 상급단체가 영향평가를 요청한 경우

(3) 영향평가의 위탁

위원회는 다음 각 호의 요건을 두루 갖춘 자에게 영향평가를 위탁할 수 있다. 이 때, 위탁받은 자는 위원회에 결과를 제출하여야 한다.

1. 개인정보 보호 및 인권에 관한 지식 및 전문성

2. 법률에 관한 지식 및 전문성

3. 정보보호 기술 및 시스템 관리에 관한 지식 및 전문성

4. 정보의 기록 및 유지에 관한 지식 및 전문성

5. 업무 설계에 관한 지식 및 전문성

(4) 평가의 기준 : 위원회는 다음 각 호의 내용이 포함된 영향평가의 기준을 작성하여 고시할 수 있다.

1. 개인정보 수집의 적법성 및 수집되는 정보의 민감성과 관련된 사항

2. 정보주체 등의 개인정보자기결정권의 보장과 관련된 사항

3. 기술적․관리적 대책의 수립과 관련된 사항

4. 정보주체 등의 육체적․정신적 건강에 끼치는 영향과 관련된 사항

5. 사회에 끼치는 정치․경제․문화적 영향과 관련된 사항

(5) 의견 수렴

위원회 혹은 영향평가를 위탁받은 자는 정보주체 등의 의견을 반영하기 위해 결과보고서 초안을 작성하여 공표하여야 한다.

누구든지 결과보고서 초안에 대하여 의견을 제출할 수 있다.

위원회 혹은 영향평가를 위탁받은 자는 제출된 의견 및 그 의견에 대한 검토 결과를 최종 결과 보고서에 수록하여야 한다.

(6) 평가 결과의 활용

위원회는 영향평가의 최종 결과 보고서를 공표하여야 한다.

위원회는 평가 결과에 따라 개인정보 보유자에게 시정 혹은 정보처리의 중지를 권고할 수 있다.

개인정보 보유자가 제3항의 권고에 응하지 않을 경우 그 사유를 서면으로 위원회에 제출해야 한다.

위원회는 제4항의 의무를 준수하지 않은 개인정보 보유자가 공무원일 경우 해당 기관의 장에게 징계를 요청할 수 있다.

(7) 국가 예산편성에 있어서 영향평가의 효력

각 중앙행정기관은 영향평가 대상 사업이 포함된 예산요구서를 기획예산처에 제출할 때, 영향평가 결과를 첨부하여야 한다.

개인정보보호기본법(안)

법률안

개인정보보호기본법(안)

제1장 총칙

제1조 (목적) 본 법은 개인정보의 보호를 위하여 그 취급에 관하여 필요한 사항을 정하고, 개인정보 주체의 권리를 밝힘으로써 개인정보 주체의 기본권을 보호하고, 민주주의의 원리에 입각하여 정보가 처리될 수 있도록 하기 위함을 목적으로 한다.

제2조 (용어의 정의) 이 법에서 사용하는 용어의 정의는 다음과 같다.

1. "개인정보"라 함은 생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명․주소 등의 사항에 의하여 당해 개인을 식별할 수 있는 정보(당해 정보만으로는 특정개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)를 말한다. 단, 개인적 사용의 목적으로 수집하는 정보는 제외한다.

2. "공공기관"이라 함은 국가행정기관·지방자치단체 기타 공공단체 중 대통령령이 정하는 기관을 말한다.

3. "보유"라 함은 개인정보를 작성 또는 취득하거나 처리·유지·관리하는 것을 말한다.

4. "개인정보 보유자"라 함은 개인정보를 보유하는 자를 말한다.

5. "정보주체"라 함은 처리정보에 의하여 식별되는 자로서 당해 정보의 주체가 되는 자를 말한다.

6. "처리"라 함은 개인정보의 수집·입력·저장·편집·검색·삭제 및 출력 기타 이와 유사한 행위를 하는 것을 말한다.

7. "개인정보 데이터베이스"라 함은 컴퓨터 등에 의하여 처리할 수 있도록 체계적으로 구성된 개인정보의 집합물로서 자기테이프․자기디스크 등 전자적인 매체에 기록된 것을 말한다.

8. "데이터베이스의 연동"은 하나의 개인정보 데이터베이스를 하나 이상의 다른 개인정보 데이터베이스와 대조하여 정보처리하는 것을 의미한다.

제3조 (다른 법률과의 관계) 개인정보의 보호에 관하여는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법이 정하는 바에 의한다.

제2장 개인정보 보호원칙

제4조 (개인정보 보호원칙) ① 누구든지 개인정보를 처리할 때 본 장의 개인정보 보호원칙을 지켜야 한다.

② 국가와 지방자치단체는 개인정보의 보호를 위하여 개인정보 보호원칙을 구체화를 위한 의무를 진다.

제5조 (개인정보의 수집) ① 누구든지 타인의 개인정보를 수집하는 경우 당해 정보주체에게 제2항의 내용을 잘 알 수 있도록 알리고, 정보주체(사망자의 경우 정보주체의 상속인을 의미한다. 이하 “정보주체 등”이라 한다)의 동의를 얻어야 한다. 다만, 다음 각호의 1에 해당하는 경우에는 그러하지 아니하다.

1. 계약의 이행을 위하여 필요한 경우

2. 용역의 제공에 따른 요금정산을 위하여 필요한 경우

3. 이 법 또는 다른 법률에 특별한 규정이 있는 경우

② 누구든지 제1항의 규정에 의한 동의를 얻고자 하는 경우에는 미리 다음 각호의 사항을 정보주체 등에게 잘 알려야 한다.

1. 개인정보관리책임자의 성명·소속·부서·직위 및 전화번호 기타 연락처

2. 개인정보의 수집목적 및 이용목적, 보존기간

3. 개인정보를 제3자에게 제공하는 경우의 제공받는 자, 제공목적 및 제공할 정보의 구체적인 내용

4. 본 법에 의한 개인정보 주체의 권리 및 그 행사방법

5. 개인정보를 제공하지 않아도 되는지와 제공하지 않으면 어떤 불이익이 있는지 여부

6. 그 밖에 개인정보 보호를 위하여 필요한 사항으로서 대통령령이 정하는 사항

③ 누구든지 개인정보를 수집하는 자는 적법하고 공정한 방법으로 수집해야 하며, 정보주체에게 최소의 침해가 되도록 해야 한다.

④ 누구든지 개인정보는 정보주체로부터 직접 수집해야 한다. 단, 다음의 경우에는 예외로 한다.

1. 정보주체로부터 개인정보를 수집하는 것이 불가능하거나 불합리한 경우

2. 법률에 따라, 혹은 정보주체로부터 사전에 동의 받은 목적으로 정보주체에 관한 새로운 개인정보를 생성한 경우

⑤ 제4항의 각 호의 1에 따라 개인정보를 수집하거나 생성한 경우에는 개인정보를 수집 혹은 생성한 사실을 정보주체에게 알리고 동의를 얻어야 한다. 단, 정보주체에게 알리는 것이 본인 또는 타인의 생명이나 건강에 중대한 위험을 초래하는 경우 및 제1항의 각 호의 1에 해당하는 경우에는 그러하지 아니하다.

⑥ 제5항에 따라 개인정보를 수집 혹은 생성한 사실을 정보주체에게는 알릴 때는 제2항에 규정된 사항을 함께 고지하여야 한다.

제6조 (개인정보의 수집의 제한 등)  ① 누구든지 사상·신념·과거의 병력 등 개인의 권리·이익이나 사생활을 현저하게 침해할 우려가 있는 개인정보를 수집하여서는 아니된다. 다만, 정보주체 등의 동의가 있거나 다른 법률에 수집대상 개인정보가 명시되어 있는 경우에는 그러하지 아니하다.

② 개인정보의 수집은 필요한 최소한으로 제한되어야 한다.

③ 누구든지 해당 상품이나 역무의 이용에 필요한 최소한의 정보를 제공하고 해당 상품이나 역무를 이용할 수 있는 선택권이 보장되어야 하며, 상품이나 역무의 이용에 필요한 최소한의 정보 외의 개인정보를 제공하지 아니한다는 이유로 상품이나 역무의 제공을 거부하여서는 아니된다.

제7조 (개인정보의 이용 및 제공 등)  ① 누구든지 당해 정보주체 등의 동의가 있거나 다음 각호의 1에 해당하는 경우를 제외하고는 개인정보를 동의받은 범위를 넘어 이용하거나 제3자에게 제공하여서는 아니된다.

1. 계약의 이행을 위하여 필요한 경우

2. 통계작성·학술연구 또는 시장조사를 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 가공하여 제공하는 경우

3. 다른 법률에 특별한 규정이 있는 경우

② 개인정보를 제공받은 자는 당해 정보주체 등의 동의가 있거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이를 이용하거나 제3자에게 제공하여서는 아니된다.

제8조 (개인정보의 파기) 개인정보의 수집목적 또는 제공받은 목적을 달성한 때에는 당해 개인정보를 지체없이 파기하여야 한다. 다만, 다른 법령의 규정에 의하여 보존할 필요성이 있는 경우에는 그러하지 아니하다.

제9조 (최신성의 유지) 개인정보는 최신의 것이어야 하며 이용하기 전에 오류 여부를 확인해야 한다.

제10조 (접근권과 정정 삭제) ① 정보주체 등은 언제든지 개인정보 보유자에 대하여 정보수집에 대한 동의를 철회할 수 있다. 개인정보 보유자는 이 경우 지체없이 수집된 개인정보를 파기하고 기타 필요한 조치를 취하여야 한다. 단, 개인정보 보유자가 법률상 개인정보를 보유해야만 하는 의무를 지고 있는 경우에는 그렇지 아니하다.

② 정보주체 등은 개인정보 보유자에 대하여 자신의 개인정보에 대하여 다음의 사항의 열람을 요구할 수 있으며, 자신의 개인정보에 오류가 있는 경우에는 그 정정을 요구할 수 있다. 이 경우 개인정보 보유자는 지체없이 필요한 조치를 취하여야 하며 개인정보 보유자는 오류의 정정 요구를 받은 경우에는 그 오류를 정정할 때까지 당해 개인정보를 제공 또는 이용하여서는 아니된다.

1. 정보주체의 개인정보를 수집한 경위

2. 정보주체의 개인정보 수집 현황

3. 정보주체의 개인정보를 제3자에게 제공한 내역

4. 개인정보 보유자의 개인정보 보호현황

5. 기타 대통령령으로 정하는 사항

③ 개인정보 보유자는 개인정보를 수집할 때 보다 더 쉬운 방법으로 정보주체 등이 동의의 철회, 개인정보의 열람 또는 정정을 요구할 수 있도록 필요한 조치를 취하여야 한다.

④ 공공기관이 보유하는 개인정보의 경우 다음 각호의 1의 경우 개인정보의 열람을 제한할 수 있다.

1. 해당 개인정보를 열람하도록 할 경우 개인의 생명·신체를 해할 우려가 있는 경우

2. 개인정보의 열람이 국가의 안보에 중대한 영향을 미칠 경우

3. 기타 이에 준하는 경우로서 법률로 규정하는 경우

제11조 (개인정보의 보호조치) ① 개인정보 보유자는 정보주체의 개인정보를 취급함에 있어서 개인정보가 분실·도난·누출·변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적·관리적 조치를 강구하여야 한다.

② 개인정보 보유자는 정보주체의 개인정보를 취급하는 자를 최소한으로 제한하여야 한다.

③개인정보를 취급하거나 취급하였던 자는 직무상 알게 된 개인정보를 훼손·침해 또는 누설하여서는 아니된다.

제12조 (고유식별자의 보호) ① 누구든지 공공기관이 개인을 고유하게 식별하기 위해 부여한 식별자(이하 ‘고유식별자’)를 수집하거나 이용 또는 제3자에게 제공해서는 안된다. 다만 아래의 경우는 예외로 한다.

1. 공공기관이 법률에 규정된 업무를 수행하기 위해 고유식별자의 처리가 반드시 필요한 경우로서, 그 처리의 목적이 고유식별자가 부여된 목적과 직접적으로 관련이 있는 경우

2. 법률의 규정이 있거나 당사자의 동의가 있는 경우

② 공공기관은 다른 공공기관이 개인에게 부여한 고유식별자를 그 개인에 대한 고유식별자로 부여해선 안된다.

제13조 (익명성의 원칙) 누구든지 익명으로 계약 또는 교섭을 할 권리가 있다. 다만 법률이 실명으로 계약 또는 교섭을 하도록 정해져 있거나 기술적으로 실현가능성이 없거나 중대한 공익 및 사익과 관련되어 부득이 실명이 필요할 경우에는 그러하지 아니하다.

제3장 개인정보 보유자의 의무

제14조 (아동의 보호) ①누구든지 만 14세 미만의 아동으로부터 개인정보를 수집하거나 이용 또는 제3자에게 제공하고자 하는 경우에는 그 법정대리인의 동의를 얻어야 한다. 이 경우 그 아동에게 법정대리인의 동의를 얻기 위하여 필요한 법정대리인의 성명 등 최소한의 정보를 요구할 수 있다.

②제1항의 규정에도 불구하고, 다른 법률에서 별도의 연령 규정을 두고 있는 경우에는 그 법률의 규정에 따른다.

③법정대리인은 제1항 전단의 규정에 의한 동의를 철회할 수 있으며, 당해 아동이 제공한 개인정보에 대한 열람 또는 오류의 정정을 요구할 수 있다.

제15조 (사업양수도) ①개인정보 보유자가 영업의 전부 또는 일부를 양도하거나 합병□상속 등으로 그 권리□의무를 이전하는 경우 정보주체 등에게 다음 각호의 사항을 대통령령이 정하는 바에 의하여 통지하여야 한다.

1. 영업의 전부 또는 일부의 양도, 합병 또는 상속등의 사실

2. 개인정보 보유자의 권리□의무를 승계한 자의 성명(법인인 경우 법인의 명칭을 말한다. 이하 이 조에서 같다), 주소, 전화번호 기타 연락처

②개인정보 보유자로부터 영업의 전부 또는 일부를 양수받거나 합병□상속 등으로 개인정보 보유자의 권리□의무를 승계한 자(이하 "영업양수자등"이라 한다)는 다음 각호의 사항을 대통령령이 정하는 바에 의하여 정보주체 등에게 통지하여야 한다.

1. 개인정보 보유자의 권리□의무를 승계한 사실 및 해당 개인정보 보유자의 성명과 연락처

2. 개인정보관리책임자의 성명□소속부서□지위 및 전화번호 기타 연락처

3. 개인정보의 이용 목적

4. 정보주체의 권리 및 그 행사방법과 개인정보의 이전에 반대할 경우 이를 알릴 수 있는 효과적인 수단

5. 그 밖에 개인정보 보호를 위하여 필요한 사항으로서 대통령령으로 정하는 사항

③ 개인정보보호위원회는 개인정보 보호를 위하여 사업을 양수하거나 양도하는 개인정보 보유자에게 필요한 조치를 명령할 수 있다.

제16조 (개인정보의 처리 위탁) ①개인정보 보유자가 타인에게 정보주체의 개인정보의 수집□취급□관리 등을 위탁하는 경우에는 미리 그 사실을 정보주체에게 고지하여야 한다.

②제1항의 규정에 의하여 개인정보 보유자로부터 개인정보의 처리를 위탁받은 자는 당해 업무와 관련하여 이 장의 규정을 위반하여 발생한 손해의 배상책임에 한하여 개인정보 보유자의 소속직원으로 본다.

제4장 개인정보 데이터베이스의 보호

제17조(개인정보 데이터베이스의 등록) ① 다음 각 호의 1에 해당하는 개인정보 데이터베이스를 보유하고자 하는 자는 사전에 개인정보보호위원회에 등록하여야 한다.

1. 공공기관의 개인정보 데이터베이스

2. 대통령령이 정하는 업종의 개인정보 데이터베이스

3. 대통령령이 정하는 숫자 이상의 정보주체를 등록 대상으로 하는 개인정보 데이터베이스

4. 대통령령이 정하는 숫자 이상의 종업원을 고용한 자의 개인정보 데이터베이스

5. 대통령령이 정하는 기술을 사용하여 구축된 개인정보 데이터베이스

② 개인정보 데이터베이스를 등록하고자 하는 자는 아래의 내용을 개인정보보호위원회에 신고해야 한다.

1. 개인정보 데이터베이스의 명칭

2. 개인정보 데이터베이스의 보유목적

3. 보유기관의 명칭

4. 개인정보 데이터베이스에 기록되는 개인 및 항목의 범위

5. 개인정보의 수집방법과 처리정보를 통상적으로 제공하는 기관이 있는 경우에는 그 기관의 명칭

6. 개인정보의 보유 기간

7. 개인정보 데이터베이스의 열람 예정 시기

8. 열람이 제한되는 처리정보의 범위 및 그 사유

9. 기타 대통령령이 정하는 사항

③ 개인정보보호위원회는 개인정보 데이터베이스 별로 등록된 사항을 기록한 개인정보 데이터베이스 등록 대장을 작성하여 누구든지 열람할 수 있도록 비치하여야 하며, 이를 연 1회 공고하여야 한다.

④ 제1항의 규정에도 불구하고, 국가의 안전이나 외교상의 중대한 비밀로서 이에 대한 개인정보 데이터베이스의 보유 여부를 공개할 경우 국가안보나 외교상 중대한 문제가 발생하는 공공기관의 개인정보 데이터베이스는 등록하지 않을 수 있다.

제18조(개인정보보호책임자) ① 개인정보데이터베이스를 등록한 자는 개인정보보호책임자를 임명하고 이를 정보주체에게 고지하여야 한다.

② 개인정보보호책임자는 다음 각 호의 의무를 가진다.

1. 이 법과 기타 개인정보보호에 대한 법령의 준수에 대하여 책임이 있다.

2. 개인정보를 적정하게 보유, 사용, 처리, 보관하는지에 대하여 점검하여야 한다.

3. 개인정보 처리업무에 종사하는 자들의 교육하여야 한다.

4. 개인정보의 현황과 시스템, 개인정보의 속성과 수집목적, 기간 등에 대하여 보고를 받아야 한다.

③ 개인정보보호책임자는 직무 수행에 관련하여 불이익을 당해서는 안된다.

제19조(정기감사) ① 개인정보보호책임자는 개인정보 보유자가 이 법에 규정된 개인정보 보호 의무를 준수하고 있는지에 관하여 매 년 정기감사를 실시하고 이를 개인정보보호위원회에 보고하여야 한다.

② 개인정보보호위원회는 다음 각 호의 1의 내용을 포함한 정기감사의 기준을 작성하여 고시할 수 있다.

1. 수집되는 개인정보의 내용 및 수집 방법의 적법성에 관한 사항

2. 정보주체의 개인정보자기결정권의 보장에 관한 사항

3. 기술적․관리적 대책의 수립에 관한 사항

4. 기타 이 법에 규정된 개인정보 보유자의 의무 준수 여부에 관한 사항

③ 개인정보보호위원회는 제1항의 의무를 준수하지 않은 개인정보보호책임자의 임명을 취소할 수 있다.

제5장 개인정보 데이터베이스의 연동의 제한

제20조(개인정보 데이터베이스의 연동의 제한) ① 누구든지 개별적인 목적으로 수집하여 보관하는 개인정보 데이터베이스를 다른 목적을 위해 운영하는 개인정보 데이터베이스와 연동할 수 없다. 다만 다음 각 호의 1의 경우는 예외로 한다.

1. 국가안전보장 · 사회질서유지 · 공공복리 등 중요한 공공의 이익을 위해 반드시 필요한 경우

2. 업무상 필요한 결재 또는 중요한 사회적 이익을 위해 필요한 경우

3. 당사자의 동의에 의한 경우

4. 다른 법률에 특별한 규정이 있는 경우

② 개인정보 보유자가 본조 제1항의 예외에 의하여 개인정보 데이터베이스를 연동할 때에는 정보 연동 규정을 정하여 개인정보보호위원회에 신고하여야 한다.

③ 개인정보 데이터베이스의 연동이 이루어질 경우 각 개인정보 보유자간에 합의서를 작성해야 하며, 합의서의 내용은 개인정보보호위원회에 신고하여야 한다. 합의서의 내용은 다음 각 호에 의한다.

1. 데이터베이스의 연동에 관한 합의 당사자의 기관명 또는 업체명

2. 데이터베이스의 연동에 관한 합의 일자

3. 데이터베이스의 연동에 관한 합의 목적

4. 데이터베이스의 연동으로 교환되거나 확인되는 정보의 개별 항목

5. 데이터베이스의 연동에 관한 합의의 유효기간

6. 데이터베이스의 연동에 관한 합의에 따른 정보주체에 대한 동의 또는 고지의 방법

8. 데이터베이스 연동의 해제이유와 연동된 개인정보의 보안대책

9. 기타 데이터베이스의 연동에 관한 합의에 필요한 사항

④ 개인정보보호위원회는 개인정보 데이터베이스 연동의 신고를 받은 즉시 다음의 사항을 검토하고, 부당한 연동의 경우 시정권고 또는 데이터베이스통합운영 중지를 명할 수 있다.

1. 개인정보의 연동으로 인하여 발생하는 현상이 개인정보보호의 원칙을 침해하는지 여부

2. 목적범위를 초월하여 과도하게 많은 개인정보 보유자가 포함되는지 여부

3. 연동되는 개인정보의 항목이 필수한도 내에서 조정되는지 여부

4. 개인정보의 연동이 정보통합원칙에 부합되는지 여부

5. 본 법 및 다른 법률에 위반되는지의 여부

⑤ 개인정보 보유자는 개인정보 데이터베이스의 연동이 그 목적을 달성하였거나 더 이상 목적에 맞게 운영될 수 없을 때 즉시 연동을 중단하여야 하며 연동을 위해 구성된 개인정보를 삭제하여야 하고 이 사실을 개인정보보호위원회에 신고하여야 한다.

제21조(개인정보 보유자의 의무) ① 개인정보 데이터베이스를 연동하는 개인정보 보유자는 연동의 목적을 초월하는 개인정보의 수집 및 이용을 할 수 없다.

② 개인정보 보유자는 합의서에 준하는 경우를 제외하고 연동된 개인정보를 제3자에게 제공하거나 합의된 개인정보 데이터베이스 이외의 개인정보 데이터베이스와 연동하여서는 안 된다.

③ 개인정보 보유자는 정보주체 등에게 개인정보 데이터베이스를 연동한다는 사실을 알리고 이에 대하여 정보주체 등의 동의를 얻어야 한다. 다만, 사전동의가 어려울 경우 사후에 개별적인 동의철회를 행사할 수 있도록 보장해야 한다.

④ 개인정보 데이터베이스의 연동을 이용하여 원래의 수집목적을 벗어난 가공정보의 생산 및 활용을 할 수 없다.

제22조(보고) ① 개인정보 보유자는 개인정보 데이터베이스의 연동과 관련하여 다음의 사항을 개인정보보호위원회에 즉시 보고해야한다.

1. 개인정보 데이터베이스의 연동에 중대한 기술적인 문제가 발생했을 경우

2. 당사자간 작성된 합의서의 내용을 중대하게 위반하여 개인정보 데이터베이스 연동이 이루어진 경우

3. 개인정보 데이터베이스의 연동으로 인하여 정보주체에게 피해가 발생했을 경우

4. 개인정보 데이터베이스의 연동 과정에서 본 법 및 다른 법률의 위반이 발생했을 경우

② 개인정보 보유자는 개인정보 데이터베이스의 연동과 관련하여 다음의 사항을 연 1회 개인정보보호위원회에 보고해야 한다.

1. 활용 횟수

2. 활용 정보

3. 활용 비용

4. 활용 오류 횟수와 빈도

5. 오류발생원인 및 처리내역

6. 정보주체에게 통지한 사실

7. 운영 시스템의 업그레이드 상황

8. 관리책임자의 변경

③ 개인정보보호위원회는 개인정보 보유자의 신고와는 별도로 필요하다고 판단되는 경우 위 1내지 2항의 사항들을 개인정보 보유자에게 요구할 수 있다.

제6장 정보주체 등의 권리 구제

제1절 공공기관이 보유한 개인정보의 처리정지 청구

제23조(공공기관이 보유한 개인정보의 처리정지 청구) ① 공공기관에 의해 보유된 자신의 개인정보가 이 법의 규정에 위 위배되어 이용된다고 판단하는 정보주체 등은 이 법률이 정하는 바에 따라 개인정보를 보유한 공공기관의 장에 대하여 개인정보 처리의 정지를 청구할 수 있다.

② 제14조에 규정된 법정대리인은 정보주체를 대신하여 제1항에 규정된 정보 처리의 정지를 청구할 수 있다.

③ 처리정지 청구는 개인정보의 처리를 인지한 날로부터 90일 이내에 해야 한다.

제24조 (처리정지 청구의 절차) ① 처리정지 청구는 다음 각 호의 사항을 기재한 서면(이하 "처리정지 청구서"라 한다)을 공공기관의 장에게 제출해야 한다.

1. 처리정지 청구를 한 자의 성명 및 주소

2. 처리되는 개인정보의 내용

3. 개인정보의 처리를 인식한 날

4. 처리정지 청구의 취지 및 이유

5. 제2호의 개인정보의 정보주체 등(제23조 제2항에 의하여 처리정지를 청구한 경우 법정대리인)임을 입증할 수 있는 서류

② 공공기관의 장은 처리정지 청구서가 제1항 각 호의 요건을 충족하지 못한 경우 처리정지 청구를 한 자(이하 "처리정지 청구자"라 한다)에 대하여 상당한 기간을 정하여 정정을 요구할 수 있다.

제25조 (처리정지 청구에 대한 조치) ① 공공기관의 장은 처리정지 청구에 대하여 이유가 있다고 인정되는 때는 해당 개인정보의 처리를 중지해야 한다. 다만, 해당 개인정보의 처리를 정지할 때 해당 업무의 적정한 수행에 현저히 지장을 줄 우려가 있다고 인정되는 때는 그러하지 아니하다.

② 공공기관의 장은 제1항에 따라 처리정지를 하거나 하지 않은 경우 처리정치 청구자에게 결정의 내용 및 취지를 서면으로 통지해야 한다.

③ 제2항의 통지는 처리정지 청구가 있었던 날부터 30일 이내에 해야 한다. 다만, 제24조 제2항의 규정에 의해 정정을 요구한 경우 정정에 소요된 일수는 위 기간에 산입하지 않는다.

④ 제3항의 규정에도 불구하고 공공기관의 장은 사무처리상의 곤란 기타 정당한 이유가 있는 때는 통지 시한을 연장할 수 있다. 이 경우 연장된 기간은 30일을 초과할 수 없으며, 공공기관의 장은 처리정지 청구자에 대하여 지체 없이 연장된 기간 및 연장의 이유를 서면으로 통지해야 한다.

제2절 손해배상

제26조 (손해배상) 본 법률을 위반한 행위로 손해를 입은 경우에는 손해배상을 청구할 수 있다. 이 경우 당해 손해를 가한 자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.

제27조(집단소송) ① 제17조 제1항 제3호 내지 제4호에 해당하는 개인정보 보유자에 대하여 제26조의 소송을 집단소송의 소로 제기할 수 있다.

② 이 법에 명시하지 않은 집단소송의 절차는 증권관련집단소송법의 규정에 준한다.

제28조(소제기의 공고 및 대표당사자의 선임) ① 법원은 제 조의 규정에 의한 소장 및 소송허가신청서를 접수한 날부터 10일 이내에 다음 각호의 사항을 공고하여야 한다.

1. 개인정보 침해관련 집단소송의 소가 제기되었다는 사실

2. 청구의 취지 및 원인의 요지

3. 대표당사자가 되기를 원하는 구성원은 공고가 있는 날부터 30일 이내에 법원에 신청서를 제출하여야 한다는 사실

② 제1항의 규정에 의한 공고는 전국을 보급지역으로 하는 일간신문에 게재하는 등 대법원규칙으로 정하는 방법에 의한다.

③ 제1항제3호의 규정에 의하여 대표당사자가 되기를 원하는 구성원은 경력과 신청의 취지를 기재한 신청서를 법원에 제출하여야 한다.

④ 법원은 제1항의 규정에 의한 공고를 한 날부터 50일 이내에 소를 제기하는 자와 제1항제3호의 규정에 의하여 신청서를 제출한 구성원중 요건을 갖춘 자로서 총원의 이익을 대표하기에 가장 적합한 자를 결정으로 대표당사자로 선임한다.

⑤ 제4항의 결정에 대하여는 불복할 수 없다.

제29조(대표당사자 및 소송대리인의 요건) ① 대표당사자는 구성원중 그 개인정보 침해관련 집단소송으로 인하여 얻을 수 있는 경제적 이익이 가장 큰 자 등 총원의 이익을 공정하고 적절히 대표할 수 있는 구성원이어야 한다.

② 개인정보 침해관련 집단소송의 원고측 소송대리인은 총원의 이익을 공정하고 적절히 대리할 수 있는 자이어야 한다.

제30조 (소송허가요건) ① 집단소송 사건은 다음 각 호의 요건을 구비하여야 한다.

1. 구성원이 100인 이상일 것

2. 제 조 제1항의 손해배상청구로서 법률상 또는 사실상의 중요한 쟁점이 모든 구성원에게 공통될 것

3. 집단소송이 총원의 권리실현이나 이익보호에 적합하고 효율적인 수단일 것

4. 제 조의 규정에 의한 소송허가신청서의 기재사항 및 첨부서류에 흠결이 없을 것

② 집단소송의 소가 제기된 후 제1항제1호의 요건을 충족하지 못하게 된 경우에도 제소의 효력에는 영향이 없다.

제7장 개인정보보호위원회

제1절 개인정보보호위원회의 구성

제31조 (개인정보보호위원회의 설립과 독립성) ① 본 법 및 개인정보 보호에 관한 다른 법률의 준수여부를 감독하기 위하여 개인정보보호위원회(이하 "위원회"라 한다)를 둔다.

② 위원회는 그 권한에 속하는 업무를 독립하여 수행한다.

제32조 (위원회의 구성) ① 위원회는 위원장 1인과 3인의 상임위원을 포함한 9인의 개인정보보호위원(이하 "위원"이라 한다)으로 구성한다.

② 위원은 개인정보보호 문제에 관하여 전문적인 지식과 경험이 있고 그 보장과 향상을 위한 업무를 공정하고 독립적으로 수행할 수 있다고 인정되는 자중에서 국회가 선출하는 5인(상임위원 2인을 포함한다)과 대통령이 지명하는 4인을 대통령이 임명한다.

③ 위원장은 위원 중에서 호선한다.

④ 위원장 및 상임위원은 정무직 공무원으로 보한다.

⑤ 위원의 임기가 만료된 경우에는 그 후임자가 임명될 때까지 그 직무를 수행한다.

제33조 (위원장의 직무) ① 위원장은 위원회를 대표하며 위원회의 업무를 통할한다.

② 위원장이 부득이한 사유로 직무를 수행할 수 없는 때에는 위원장이 미리 지명한 상임위원이 그 직무를 대행한다.

③ 위원장은 국회에 출석하여 위원회의 소관 사무에 관하여 의견을 진술할 수 있으며, 국회의 요구가 있을 때에는 출석하여 보고하거나 답변하여야 한다.

④ 위원장은 국무회의에 출석하여 발언할 수 있으며, 그 소관사무에 관하여 국무총리에게 의안(이 법의 시행에 관한 대통령령안을 포함한다)의 제출을 건의할 수 있다.

⑤ 위원장은 위원회의 예산관련 업무를 수행함에 있어서 예산회계법 제14조의 규정에 의한 중앙관서의 장으로 본다.

제34조 (위원장 및 위원의 임기) ① 위원장 및 위원의 임기는 3년으로 하고, 1차에 한하여 연임할 수 있다.

② 위원의 임기가 만료되거나 임기 중 위원이 결원된 때에는 대통령은 임기만료 또는 결원된 날부터 30일 이내에 후임자를 임명하여야 한다.

③ 결원이 된 위원의 후임으로 임명된 위원의 임기는 새로이 개시된다.

제35조 (위원의 신분보장) 위원은 금고 이상의 형의 선고에 의하지 아니하고는 그 의사에 반하여 면직되지 아니한다. 다만, 위원이 신체상 또는 정신상의 장애로 직무수행이 현저히 곤란하게 되거나 불가능하게 된 경우에는 전체 위원 3분의 2 이상의 찬성에 의한 의결로 퇴직하게 할 수 있다.

제36조 (위원의 결격사유) ① 다음 각호의 1에 해당하는 사람은 위원이 될 수 없다.

1. 대한민국 국민이 아닌 자

2. 국가공무원법 제33조 각호의 1에 해당하는 자

② 위원이 제1항 각호의 1에 해당하게 된 때에는 당연히 퇴직한다.

제37조 (소위원회) ① 위원회는 그 업무 중 일부를 수행하게 하기 위하여 소위원회를 둘 수 있다.

② 소위원회는 3인의 위원으로 구성하며, 소위원회의 업무 및 운영에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제38조 (회의 의사 및 의결정족수) ① 위원회의 회의는 위원장이 주재하며, 이 법에 특별한 규정이 없는 한 재적위원 과반수의 찬성으로 의결한다.

② 소위원회의 회의는 구성위원 전원의 출석과 출석위원 전원의 찬성으로 의결한다.

제39조 (의사의 공개) 위원회의 의사는 공개한다. 다만, 위원회 또는 소위원회가 진정의 조사와 관련하여 필요하다고 인정하는 경우나 그 밖에 필요하다고 인정하는 경우에는 공개하지 아니할 수 있다.

제40조 (자문기구) ① 위원회는 그 업무수행에 필요한 사항의 자문을 위하여 자문기구를 둘 수 있다.

② 자문기구의 조직과 운영에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제41조 (사무처)  ① 위원회의 사무를 처리하게 하기 위하여 위원회에 사무처를 둔다.

② 사무처에 사무총장 1인과 필요한 직원을 두되, 사무총장은 위원회의 심의를 거쳐 위원장의 제청으로 대통령이 임명한다.

③ 소속 직원 중 5급 이상 공무원은 위원장의 제청으로 대통령이 임명하며, 6급 이하 공무원은 위원장이 임명한다.

④ 사무총장은 위원장의 지휘를 받아 사무처의 사무를 관장하고 소속 직원을 지휘·감독한다.

제42조 (징계위원회의 설치) ① 위원회 직원의 징계처분을 의결하기 위하여 위원회에 징계위원회를 둔다.

② 징계위원회의 구성, 권한, 심의절차, 징계의 종류 및 효력 그 밖의 징계에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제43조 (지역 개인정보보호위원회) ① 위원회는 광역자치단체에 지역 개인정보보호위원회를 둘 수 있다.

② 제1항에 규정된 지역 개인정보보호위원회의 구성 및 업무는 위원회의 규칙으로 정한다.

제44조 (위원회의 조직과 운영) 이 법에 규정된 사항외에 위원회의 조직에 관하여 필요한 사항은 대통령령으로 정하고, 위원회의 운영에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제2절 위원회의 업무

제45조 (업무) 위원회는 다음 각호의 업무를 수행한다.

1. 개인정보보호 보호에 관한 법령(입법과정중에 있는 법령안을 포함한다)□제도□정책□관행의 조사와 연구 및 그 개선이 필요한 사항에 관한 권고 또는 의견의 표명

2. 개인정보보호에 관한 규칙의 제정

3. 개인정보 침해행위에 대한 조사와 구제

4. 개인정보보호 기술의 연구 지원

5. 개인정보보호 현황에 대한 실태조사

6. 개인정보보호에 관한 교육 및 홍보

7. 개인정보보호침해의 유형□판단기준 및 그 예방조치 등에 관한 지침의 제시 및 권고

8. 국제개인정보보호 관련된 국제기구 및 외국의 개인정보기구와의 교류□협력 활동

9. 개인정보보호의 옹호와 신장을 위하여 활동하는 단체 및 개인과의 협력

10. 그 밖에 개인정보보호의 보장과 향상을 위하여 필요하다고 인정하는 사항

제46조 (국가기관의 협의의무) ① 관계국가행정기관 또는 지방자치단체의 장은 개인정보의 보호와 향상에 영향을 미치는 내용을 포함하고 있는 법령을 제정 또는 개정하고자 하는 경우 미리 위원회에 통보하여야 한다.

② 위원회는 그 업무를 수행하기 위하여 필요하다고 인정하는 경우 국가기관□ 지방자치단체 그 밖의 공·사단체(이하 "관계기관 등"이라 한다)에 협의를 요청할 수 있다.

③ 제2항의 요청을 받은 관계기관 등은 정당한 사유가 없는 한 이에 성실히 응하여야 한다.

제47조 (규정의 제정) ① 위원회는 이 법 또는 다른 법률에 의하여 소관업무로 위임된 사항에 대하여 규칙이나 고시를 제정할 수 있다.

제48조 (자료제출 및 사실조회) ① 위원회는 그 업무를 수행하는 데 필요하다고 인정하는 경우 관계기관 등에 필요한 자료 등의 제출을 요구하거나 사실에 관하여 조회할 수 있다.

② 위원회는 위원회의 업무를 수행하는 데 필요한 사실을 알고 있거나 전문적 지식 또는 경험을 가지고 있다고 인정되는 사람에게 출석을 요구하여 그 진술을 들을 수 있다.

③ 제1항의 규정에 의한 요구 또는 조회를 받은 기관은 지체 없이 이에 응하여야 한다.

제49조 (청문회) ① 위원회는 그 업무를 수행하기 위하여 필요하다고 인정하는 경우, 관계기관 등의 대표자, 이해관계인 또는 학식과 경험이 있는 자 등에 대하여 출석을 요구하여 사실 또는 의견의 진술을 들을 수 있다.

② 제1항에 따라 위원회가 실시하는 청문회의 절차와 방법에 관하여는 위원회 규칙으로 정한다.

제50조 (정책과 관행의 개선 또는 시정권고) ① 위원회는 개인정보보호의 보호와 향상을 위하여 필요하다고 인정하는 경우 관계기관 등에 대하여 정책과 관행의 개선 또는 시정을 권고하거나 의견을 표명할 수 있다.

② 제1항의 규정에 의하여 권고를 받은 기관의 장은 그 권고사항을 존중하고 이행하기 위하여 노력하여야 한다.

③ 제1항의 규정에 의하여 권고를 받은 기관의 장이 그 권고내용을 이행하지 않을 경우 그 이유를 위원회에 문서로 설명하여야 한다.

④ 위원회는 필요하다고 인정하는 경우 제1항의 규정에 의한 위원회의 권고와 의견표명 및 제3항의 규정에 의하여 권고를 받은 기관의 장이 설명한 내용을 공표할 수 있다.

제51조 (개인정보보호 교육과 홍보) ① 위원회는 모든 사람의 개인정보보호 의식을 깨우치고 향상시키기 위하여 필요한 교육과 홍보를 하여야 한다.

② 위원회는 초□중등교육법 제23조의 규정에 의한 학교 교육과정에 개인정보보호에 관한 내용을 포함시키기 위하여 교육인적자원부장관과 협의할 수 있다.

③ 위원회는 개인정보교육과 연구의 발전을 위하여 필요한 사항을 고등교육법 제2조의 규정에 의하여 설립된 학교의 장과 협의할 수 있다.

④ 위원회는 공무원의 채용시험, 승진시험, 연수 및 교육훈련과정에 개인정보보호 보호에 관한 내용을 포함시키기 위하여 국가기관 및 지방자치단체의 장과 협의할 수 있다.

⑤ 위원회는 정부출연연구기관등의설립□운영및육성에관한법률에 따라 설립된 연구기관 또는 연구회의 장과  협의하여 개인정보에 관한 연구를 요청하거나 공동으로 연구할 수 있다.

⑥ 위원회는 사회교육법에 의한 사회교육단체 또는 사회교육시설에 대하여 그 교육내용에 개인정보에 관하여 필요한 사항을 포함하도록 권고할 수 있다.

제52조 (법원 및 헌법재판소에 대한 의견제출) ① 위원회는 개인정보의 보호와 향상에 중대한 영향을 미치는 재판이 계속중인 경우 법원 또는 헌법재판소의 요청이 있거나 필요하다고 인정하는 때에는 법원의 담당재판부 또는 헌법재판소에 법률상의 사항에 관하여 의견을 제출할 수 있다.

② 제3절의 규정에 의하여 위원회가 조사 또는 처리한 내용에 관하여 재판이 계속 중인 경우, 위원회는 법원 또는 헌법재판소의 요청이 있거나 필요하다고 인정하는 때에는 법원의 담당재판부 또는 헌법재판소에 사실상 및 법률상의 사항에 관하여 의견을 제출할 수 있다.

제53조 (보고서 작성 등) ① 위원회는 해마다 전년도의 활동내용과 개인정보상황 및 개선대책에 관한 보고서를 작성하여 대통령과 국회에 보고하여야 한다.

② 위원회는 제1항의 규정에 의한 보고 이외에도 필요하다고 인정하는 경우 대통령과 국회에 특별보고를 할 수 있다.

③ 관계기관 등은 제1항 및 제2항의 규정에 의한 보고에 관한 의견, 조치결과 또는 조치계획을 위원회에 제출할 수 있다.

④ 위원회는 제1항 및 제2항의 규정에 의한 보고서를 공개하여야 한다. 다만, 국가의 안전보장, 개인의 명예 또는 사생활의 보호를 위하여 필요하거나 다른 법률에 의하여 공개가 제한된 사항은 공개하지 아니할 수 있다.

제3절 개인정보침해에 대한 조사와 피해 구제

제54조 (위원회의 조사대상) ① 본 법의 개인정보보호원칙을 위반하여 권리나 이익을 침해당한 사람(이하 "피해자"라 한다)은 위원회에 그 내용을 진정할 수 있다(이하 진정한 사람을 “진정인”이라 한다). 위원회는 제1항의 진정이 없는 경우에도 개인정보보호원칙을 위반하여 권리나 이익이 침해되었다고 믿을 만한 상당한 근거가 있고 그 내용이 중대하다고 인정할 때에는 이를 직권으로 조사할 수 있다.

② 제1항의 규정에 의한 진정의 절차와 방법에 관하여 필요한 사항은 위원회의 규칙으로 정한다.

제55조 (수사기관과 위원회의 협조) ① 진정의 원인이 된 사실이 범죄행위에 해당한다고 믿을 만한 상당한 이유가 있고 그 혐의자의 도주 또는 증거의 인멸 등을 방지하거나 증거의 확보를 위하여 필요하다고 인정할 경우에 위원회는 검찰총장 또는 관할 수사기관의 장에게 수사의 개시와 필요한 조치를 의뢰할 수 있다.

② 제1항의 규정에 의한 의뢰를 받은 검찰총장 또는 관할 수사기관의 장은 지체없이 그 조치결과를 위원회에 통보하여야 한다.

제56조 (조사의 방법) ① 위원회는 진정에 관하여 조사하기 전에 진정인□피해자□피진정인(이하 "당사자"라 한다)에게 미리 진정에 관하여 조사를 할 것임을 알려야 한다.

② 위원회는 다음 각호에 정한 방법으로 진정에 관하여 조사할 수 있다.

1. 당사자 또는 관계인에 대한 출석요구 및 진술청취 또는 진술서 제출요구

2. 당사자, 관계인 또는 관계기관 등에 대하여 조사사항과 관련이 있다고 인정되는 자료 등의 제출요구

3. 당사자, 관계인, 관계기관 등에 대하여 조사사항과 관련이 있다고 인정되는 사실 또는 정보에 대한 조회

③ 위원회는 조사를 위하여 필요하다고 인정하는 경우 위원 등으로 하여금 일정한 장소를 방문하여 장소, 시설, 자료 등에 대하여 실지조사 또는 감정을 하게 할 수 있다. 이때 위원회는 그 장소에 당사자나 관계인의 출석을 요구하여 진술을 들을 수 있다.

④ 제2항제1호의 규정에 의하여 진술서 제출을 요구받은 자는 14일 이내에 진술서를 제출하여야 한다.

⑤ 제2항 및 제3항의 규정에 의한 피진정인에 대한 출석요구는 개인정보침해행위가 있었다고 의심이 될 만한 상당한 이유가 있는 경우에 한하여 할 수 있다.

⑥ 제3항의 규정에 의하여 조사를 하는 위원 등은 그 장소 또는 시설을 관리하는 장 또는 직원(이하 이 조에서는 "관계자"라 한다)에게 필요한 자료나 물건의 제출을 요구할 수 있다.

⑦ 제6항의 규정에 의하여 조사를 하는 위원 등은 그 권한을 표시하는 증표를 지니고 이를 관계자에게 제시하여야 한다.

⑧ 위원회가 자료나 물건의 제출을 요구하거나 그 자료·물건 또는 시설에 대한 실지조사 또는 감정을 하려고 하는 경우 당해 자료·물건 또는 시설이 다음 각호의 1에 해당한다는 사실을 관계 국가기관의 장이 위원회에 소명하고 그 자료·물건의 제출이나 그 자료·물건 또는 시설에 대한 실지조사 또는 감정을 거부할 수 있다. 이 경우 위원회는 관계 국가기관의 장에게 필요한 사항의 확인을 요구할 수 있으며, 요구를 받은 국가기관의 장은 이에 성실히 응하여야 한다.

1. 국가의 안전보장 또는 외교관계에 중대한 영향을 미치는 국가기밀사항인 경우

2. 범죄수사나 계속 중인 재판에 중대한 지장을 초래할 우려가 있는 경우

제57조 (질문·검사권) ① 위원회는 제56조의 조사에 필요한 자료 등의 소재 또는 관계인에 관하여 알고자 할 때에는 그 내용을 알고 있다고 믿을 만한 상당한 이유가 있는 사람에게 질문하거나 그 내용을 포함하고 있다고 믿을 만한 상당한 이유가 있는 서류 및 그 밖의 물건을 검사할 수 있다.

② 제56조제6항 내지 제8항의 규정은 제1항의 이를 경우에 준용한다.

제58조 (위원의 제척 등) ① 위원은 다음 각호의 1에 해당하는 경우에는 진정의 심의·의결에서 제척된다.

1. 위원 또는 그 배우자나 배우자이었던 자가 당해 진정의 당사자이거나 그 진정에 관하여 당사자와 공동권리자 또는 공동의무자인 경우

2. 위원이 당해 진정의 당사자와 친족관계에 있거나 있었던 경우

3. 위원이 당해 진정에 관하여 증언이나 감정을 한 경우

4. 위원이 당해 진정에 관하여 당사자의 대리인으로 관여하거나 관여하였던 경우

5. 위원이 당해 진정에 관하여 수사, 재판 또는 다른 법률에 의한 구제절차에 관여하였던 경우

② 당사자는 위원에게 심의·의결의 공정을 기대하기 어려운 사정이 있는 경우에는 위원장에게 기피신청을 할 수 있으며 위원장은 당사자의 기피신청에 대하여 위원회의 의결을 거치지 아니하고 결정한다. 다만, 위원장이 결정하기에 상당하지 아니하는 경우에는 위원회의 의결로 결정한다.

③ 위원이 제1항 각호의 1의 사유 또는 제2항의 사유에 해당하는 경우에는 스스로 그 진정의 심의·의결을 회피할 수 있다.

제59조 (진정의 각하와 기각) ① 위원회는 진정을 조사한 결과 진정이 다음 각호의 1에 해당하는 경우에는 진정을 각하한다.

1. 진정이 허무인의 명의로 이루어진 경우

2. 이미 피해회복이 이루어지는 등으로 별도의 구제조치가 필요하지 아니하다고 인정하는 경우

② 위원회는 진정을 조사한 결과 진정의 내용이 권리나 이익의 침해로 볼 수 없는 경우에는 그 진정을 기각한다.

③ 위원회는 진정을 각하하거나 기각하는 경우 진정의 당사자에게 그 결과와 이유를 통보하여야 한다.

제60조 (합의의 권고) 위원회는 조사중이거나 조사가 끝난 진정에 대하여 사건의 공정한 해결을 위하여 필요한 구제조치를 당사자에게 제시하고 합의를 권고할 수 있다.

제61조 (결정) ① 위원회가 진정을 조사한 결과 개인정보침해가 일어났다고 판단하는 때에는 진정인의 진정에 따라 피진정인, 그 소속기관·단체 또는 감독기관(이하 "소속기관 등"이라 한다)에게 개인정보의 삭제, 수정, 이용의 중단 기타 필요한 조치를 취할 것을 결정하고, 필요한 경우 이와 함께 손해배상을 하도록 결정할 수 있다.

② 위원회는 제1항의 결정과 관련하여 피진정인 또는 관계기관에 법령·제도·정책·관행의 시정 또는 개선을 권고할 수도 있으며, 이 권고는 제50조 제2항 내지 제4항의 효력이 있다.

③ 제1항의 결정에 불복하는 자는 결정을 송달받은 후 1개월 이내에 법원에 이의를 제기할 수 있다. 만약 이 기간동안 이의를 제기하지 않으면 결정은 확정판결과 같은 효력을 갖는다.

제62조 (고발 및 징계권고) ① 위원회는 진정을 조사한 결과 진정의 내용이 범죄행위에 해당하고 이에 대하여 형사처벌이 필요하다고 인정할 때에는 검찰총장에게 그 내용을 고발할 수 있다. 다만, 피고발인이 군인 또는 군무원인 경우에는 소속 군 참모총장 또는 국방부장관에게 고발할 수 있다.

② 위원회가 진정을 조사한 결과 개인정보침해가 있다고 인정할 때에는 피진정인 또는 개인정보침해에 책임이 있는 자에 대한 징계를 소속기관 등의 장에게 권고할 수 있다.

③ 제1항의 규정에 의하여 고발을 받은 검찰총장, 군 참모총장 또는 국방부장관은 고발을 받은 날부터 3월 이내에 수사를 종료하고 그 결과를 위원회에 통보하여야 한다. 다만, 3월 이내에 수사를 종료하지 못할 때에는 그 사유를 소명하여야 한다.

④ 제2항의 규정에 의하여 위원회로부터 권고를 받은 소속기관 등의 장은 이를 존중하여야 하며 그 결과를 위원회에 통보하여야 한다.

제63조 (의견진술기회의 부여) ① 위원회는 제45조 또는 제46조의 규정에 의한 권고 또는 조치를 하기 전에 피진정인에게 의견을 진술할 기회를 주어야 한다.

② 제1항의 경우 당사자 또는 이해관계인은 구두 또는 서면으로 위원회에 의견을 진술하거나 필요한 자료를 제출할 수 있다.

제64조 (긴급구제조치) ① 위원회는 진정을 접수한 후 조사대상 개인정보침해행위가 계속 중에 있다는 상당한 개연성이 있고, 이를 방치할 경우 회복하기 어려운 피해발생의 우려가 있다고 인정할 때에는 그 진정에 대한 결정 이전에 진정인의 신청에 의하여 또는 직권으로 피진정인, 그 소속기관 등의 장에게 개인정보의 수집, 이용의 중단, 기타 필요한 조치를 하도록 권고할 수 있다.

② 위원회는 필요하다고 인정하는 때에는 증거의 확보나 인멸의 방지를 위하여 필요한 조치를 하거나 관계자 및 그 소속기관 등의 장에게 그 조치를 권고할 수 있다.

제65조 (불이익 금지와 지원) ① 누구든지 이 법에 의하여 위원회에 진정, 진술, 증언, 자료 등의 제출 또는 답변을 하였다는 이유로 해고, 전보, 징계, 부당한 대우 그 밖에 신분이나 처우와 관련하여 불이익을 받지 아니한다.

②위원회는 개인정보침해행위의 진상을 밝히거나 증거나 자료 등을 발견 또는 제출한 사람에게 필요한 지원 또는 보상을 할 수 있다.

③제2항의 규정에 의한 지원 또는 보상의 내용, 절차 그 밖의 필요한 사항은 위원회의 규칙으로 정한다.

제8장 개인정보 사전영향평가

제66조(개인정보 사전영향평가의 실시) ① 대량의 개인정보나 민감한 개인정보를 처리하려는 개인정보 보유자는 다음 각 호의 경우에 위원회에 개인정보 사전영향평가(이하 영향평가)를 요청하여야 한다.

1. 개인정보 데이터베이스가 새로 구축되는 경우

2. 기존 데이터베이스에 새로운 개인정보를 추가함으로써, 정보주체에 관한 새로운 정보를 생성할 수 있게 되는 경우

3. 2개 이상의 개인정보 데이터베이스가 통합, 혹은 연동되는 경우

② 제1항의 의무를 지는 개인정보 보유자의 요건은 대통령령으로 정한다.

③ 제2항의 요건에 해당하지 않은 개인정보 보유자가 정보처리의 규모가 확대됨에 따라 제2항의 요건을 충족하게 된 경우, 제1항 각 호의 사유가 발생하지 않더라도 영향평가를 요청하여야 한다.

④ 위원회는 다음 각 호의 경우에 개인정보 보유자의 요청이 없더라도 영향평가를 실시하여야 한다.

1. 개인정보 데이터베이스의 구축을 필요로 하는 새로운 법령․제도가 도입되는 경우

2. 개인정보 보호에 부정적 영향을 미칠 가능성이 제기된 기술이 도입되는 경우

3. 노동자 개인정보 보호에 영향을 미칠 수 있는 사용자의 정보처리에 대해 해당 사업장의 노동조합, 혹은 그 상급단체가 영향평가를 요청한 경우

⑤ 위원회는 다음 각 호의 요건을 두루 갖춘 자에게 영향평가를 위탁할 수 있다. 이 때, 위탁받은 자는 위원회에 결과를 제출하여야 한다.

1. 개인정보 보호 및 인권에 관한 지식 및 전문성

2. 법률에 관한 지식 및 전문성

3. 정보보호 기술 및 시스템 관리에 관한 지식 및 전문성

4. 정보의 기록 및 유지에 관한 지식 및 전문성

5. 업무 설계에 관한 지식 및 전문성

⑥ 위원회는 제1항 내지 제3항의 요건에 해당함에도 불구하고 영향평가를 실시하지 않은 개인정보 보유자에 대해 정보처리를 중지시킬 수 있다.

제67조(평가의 기준) ① 위원회는 다음 각 호의 내용이 포함된 영향평가의 기준을 작성하여 고시할 수 있다.

1. 개인정보 수집의 적법성 및 수집되는 정보의 민감성과 관련된 사항

2. 정보주체 등의 개인정보자기결정권의 보장과 관련된 사항

3. 기술적․관리적 대책의 수립과 관련된 사항

4. 정보주체 등의 육체적․정신적 건강에 끼치는 영향과 관련된 사항

5. 사회에 끼치는 정치․경제․문화적 영향과 관련된 사항

② 위원회는 제1항의 기준을 평가할 수 있는 평가방법에 관한 연구․개발 활동을 지원할 수 있다.

제68조(의견 수렴) ① 위원회 혹은 영향평가를 위탁받은 자는 정보주체 등의 의견을 반영하기 위해 결과보고서 초안을 작성하여 공표하여야 한다.

② 누구든지 결과보고서 초안에 대하여 의견을 제출할 수 있다.

③ 위원회 혹은 영향평가를 위탁받은 자는 제출된 의견 및 그 의견에 대한 검토 결과를 최종 결과 보고서에 수록하여야 한다.

제69조(평가 결과의 활용) ① 위원회는 영향평가의 최종 결과 보고서를 공표하여야 한다.

② 위원회는 평가 결과에 따라 개인정보 보유자에게 시정 혹은 정보처리의 중지를 권고할 수 있다.

③ 개인정보 보유자가 제3항의 권고에 응하지 않을 경우 그 사유를 서면으로 위원회에 제출해야 한다.

④ 위원회는 제4항의 의무를 준수하지 않은 개인정보 보유자가 공무원일 경우 해당 기관의 장에게 징계를 요청할 수 있다.

제70조(국가 예산편성에 있어서 영향평가의 효력) ① 각 중앙행정기관은 제51조제1항 및 제3항의 적용을 받는 사업이 포함된 예산요구서를 기획예산처에 제출할 때, 영향평가 결과를 첨부하여야 한다.

② 기획예산처 장관은 제1항에 규정된 영향평가 결과를 첨부하지 않은 예산요구를 심의할 수 없다.

제9장 벌칙

제71조 (벌칙) ① 공공기관의 개인정보처리업무를 방해할 목적으로 공공기관에서 처리하고 있는 개인정보를 변경 또는 말소한 자는 10년 이하의 징역에 처한다.

② 다음 각 호에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다.

1. 제7조 제1항 내지 제2항을 위반한 자.

2. 제11조 제3항을 위반한 자

3. 제20조 제1항을 위반한 자.

4. 제21조 제1항 내지 제2항, 제4항을 위반한 자.

③ 제12조 제1항을 위반하여 고유식별자를 처리한 자는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다.

④ 사위 기타 부정한 방법으로 공공기관으로부터 처리정보를 열람 또는 제공받은 자는 2년 이하의 징역 또는 2천만원 이하의 벌금에 처한다.

⑤ 다음 각 호에 해당하는 자는 1년 이하의 징역 또는 1천만원 이하의 벌금에 처한다.

1. 제5조 제1항에 규정된 동의를 얻지 않은 채 개인정보를 수집한 자.

2. 제5조 제5항에 따라 개인정보를 수집, 생성한 사실을 고지하지 아니한 자.

3. 제6조 제1항을 위반한 자.

4. 제8조에 규정된 파기 의무를 위반한 자.

5. 제10조 제1항 내지 제2항을 위반한 자.

6. 제11조 제1항을 위반하여 개인정보를 유출시킨 개인정보보유자

7. 제13조를 위반한 자.

8. 제14조 제1항 및 제3항을 위반한 자.

제72조(과태료) 다음 각 호에 해당하는 자는 1천만원 이하의 과태료에 처한다.

1. 제5조 제2항 내지 제4항 및 제6항에 따른 고지 의무를 위반한 자.

2. 제15조 제1항 내지 제2항에 따른 고지 의무를 위반한 자.

3. 제16조 제1항의 고지 의무를 위반한 자.

4. 제17조 제1항에 따른 등록 의무를 위반한 자.

5. 제18조 제1항에 따른 개인정보보호책임자를 임명하지 아니한 자.

6. 제19조 제1항에 따른 보고 의무를 위반한 자 및 제25조 제2항 내지 제4항의 통지 의무를 위반한 자.

7. 제22조 제1항 및 제2항에 따른 보고의무를 위반한 자

8. 제50조 제3항에 따른 설명 의무를 위반한 자.

9. 제66조 제1항 내지 제3항에 따른 요청 의무를 위반한 자.

10. 제69조 제3항에 따른 사유 제출 의무를 위반한 자.

제73조 (양벌규정) 법인의 대표자 또는 법인이나 개인의 대리인·사용인 기타 종업원이 그 법인이나 개인의 업무에 관하여 위반행위를 한 때에는 행위자를 벌하는 외에 그 법인 또는 개인에 대하여도 해당 조의 벌금형을 과한다.

제74조 (벌칙적용에 있어서의 공무원의제) 이 법에 의한 개인정보의 보유기관 및 개인정보를 위탁받아 처리하는 기관의 종사자중 공무원이 아닌 자는 형법 제129조 내지 제132조의 적용에 있어서는 이를 공무원으로 본다.

부칙

① (시행일) 이 법은 공포일로부터 시행한다. 다만, 제  조 내지 제  조의 규정은 이 법 공포후 [   ]이 경과한 날부터 시행한다.

② (경과조치)

개인정보보호기본법이 제정되면

어떻게 달라지나?

프라이버시법 제정을 위한 연석회의

첨  부

개인정보보호기본법 제정되면, 어떻게 달라지나?

정보인권에 관심을 갖고 있는 시민사회단체들이 제대로 된 개인정보보호법 제정을 고민하기 위해 운영해온 회의체인 <프라이버시법제정을위한연석회의>는 지난 24일 노회찬 의원실 주최의 공청회를 통해, 개인정보보호를위한기본법 시민사회단체안을 공개했습니다.

이 안에서 제안하고 있는 여러 가지 보호 조치들이 실현되면, 우리 사회의 개인정보 보호 시스템은 근본적인 변화를 겪을 것입니다. 여기저기서 마구 새나가던 개인정보에 대해 이중 삼중의 방화벽이 설치될 것이며, 도대체 내 정보가 어디서 어떻게 흘러다니는지 알 길조차 없어 답답했던 일반 시민들이 효과적으로 자신의 권리를 지킬 수단을 갖게 될 것입니다.

이 자료는 그러한 변화를 알기 쉽게 설명하기 위해 작성된 자료입니다. 이 자료에서 소개하고 있는 여러 가지 개인정보 보호 조치들이 현실화될 수 있도록 많은 성원을 부탁드립니다.

<프라이버시법제정을위한연석회의> 참가 단체 : 문화연대, 민주사회를위한변호사모임, 지문날인반대연대, 진보네트워크센터, 참여연대, 한국노동네트워크협의회, 함께하는시민행동

1) 개인정보 보호 전담 기구가 설치됩니다.

○ 지금까지 개인정보 보호는 해당 업무 영역을 담당하는 정부 부처가 담당해왔습니다. 특히 공공부문의 경우 행정자치부가, 민간부문의 경우 정보통신부가, 금융부문의 경우 금융감독원이 이를 담당했습니다. 그러나, 행정자치부는 전자정부의 주무 부처이자 경찰청의 상급 부처이며, 주민등록정보를 비롯하여 중요하고도 민감한 개인정보들을 대량으로 수집하는 최대의 개인정보 수집자입니다. 또한 정보통신부와 금융감독원은 각각 정보통신 산업과 금융 산업의 발전을 고유의 임무로 자임하는 부서입니다.

○ 그러다보니, 이 부처들은 개인정보 보호를 소홀히 할 가능성이 높습니다. 실제 지금까지의 과정을 살펴봐도 마찬가지입니다. 행정자치부 산하의 개인정보보호위원회는 1998년부터 2002년까지 5년간 단 세 차례 열렸으며, 그 중 두 차례는 서면 회의로 대체되는 등 사실상 거의 운영되지 않았습니다.

정보통신부 산하의 개인정보침해신고센터와 개인정보분쟁조정위원회는 상대적으로 활동이 활발한 편입니다. 하지만 이동통신사들이 해지자 개인정보를 파기하지 않았음을 알고도 아무런 조치를 취하지 않았다는 사실이 지난 2003년 국정조사에서 밝혀졌듯이, 기업의 편의나 산업적 고려에 따라 개인정보 보호 임무를 소홀히 하는 양상이 나타났습니다.

○ 반면 유럽 대부분의 국가와 캐나다, 호주, 뉴질랜드 등 대부분의 선진국들은 독립적인 개인정보 전담기구에 개인정보 보호의 임무를 부여하고 있습니다. 특히 EU의 경우 1997년에 제정된 EU 개인정보보호칙령에서 조사권, 조정권, 제소권 및 의견개진권을 갖는 독립 감독기구의 설립을 강제하고 있습니다.

○ 개인정보보호기본법이 제정되면, 우리 사회에도 개인정보 보호만을 전담하는 독립 기구가 설치됩니다. 이 기구는 국가 권력이나 기업으로부터 완전히 독립된 기구로서, 어떠한 다른 고려도 없이 개인정보 보호를 위해 활동할 것입니다.

2) 개인정보보호 전담기구가 확실한 권한을 가지게 됩니다.

○ 지금까지 개인정보 보호를 담당하는 정부 산하 기관들은 조사권이나 분쟁조정권, 정책권고권을 가지고 있어도 당사자가 응하지 않으면 강제력을 발휘하는데 한계가 많았습니다. 물론 사법부가 아닌 개인정보보호 기구의 결정이 지나치게 강제력을 가지는 것은 바람직하지 않습니다. 그러나 실효성을 담보할 수 있는 조치가 전혀 뒷받침되지 않는다면, 그 권한은 약자에게만 강하고 강자에게는 약한 권한이 됩니다.

○ 예컨대 지난 해 개인정보분쟁조정위원회는 해지자 개인정보를 파기하지 않은 이동통신사들에 대해 참여연대가 시민들과 함께 제기한 손해배상 조정 신청을 기각한 바 있습니다. 개인정보 보호 기관 이외에도, 주요 통신사들에게 솜방망이 규제로 일관하는 통신위원회의 결정, 국정원을 조사하지 못한 채 문 앞에서 농성을 벌여야 했던 의문사진상조사위원회의 조사, 지방자치단체는 수용하지만 중앙정부 부처는 수용하지 않는 국가인권위원회의 권고 등의 사례를 통해 실효성 없는 권한의 한계를 확인할 수 있습니다.

○ 개인정보보호기본법은 신설될 개인정보보호 전담기구에 실효성을 보장하는 여러 조치들을 부여하고 있습니다. 개인정보보호 전담기구의 침해 조사에 응하지 않는 경우 처벌받게 됩니다. 전담기구가 분쟁조정에서 내린 결정은 1개월 내에 항소하지 않으면 확정판결과 같은 효력을 갖게 됩니다. 전담기구로부터 정책권고를 받은 기관은 이를 받아들이지 않을 경우 서면으로 그 사유를 설명해야 하며 그렇지 않은 경우 역시 처벌받게 됩니다.

3) 일반 시민들의 권리가 대폭 증대됩니다.

○ 지금까지의 개인정보 보호 법률들은 개인정보의 진짜 주인인 일반 시민들에게는 열람, 정정, 삭제를 요구할 권리를 선언적으로 부여했을 뿐, 이러한 권리를 실효성있게 보장할 구체적인 조치는 전혀 마련하지 않았습니다. 그 결과 개인들이 자신의 권리를 제대로 활용하는 것은 거의 불가능했습니다. 그러나, 개인정보보호기본법이 통과되면 시민들은 자신들의 개인정보 통제권을 실제로 보장받을 다양한 수단을 가지게 됩니다.

○ 개인정보 사건은 한 사람 한 사람의 피해는 작은 반면 한 번에 수십만, 수백만명에게 피해를 주는 특성을 가지고 있습니다. 따라서 일반적인 손해배상 소송은 정보를 유출한 사람에게는 거의 부담이 되지 않는 반면, 정작 피해자에게는 과도한 부담을 지웁니다. 결국 개인정보와 관련된 소송은, 시민사회단체들이 이슈화의 수단으로 제소하는 경우 이외에는 진행된 적이 거의 없습니다.

그러나 개인정보보호기본법이 제정되면 일정 규모 이상의 개인정보 수집자에 대해서는 집단소송이 적용됩니다. 소송에 대한 개인들의 부담이 크게 감소하므로, 손해배상받을 피해자들의 권리가 실질적으로 보장됩니다.

○ 지금까지 일반 시민들은 가입은커녕 한 번 방문조차 해본 적도 없는 기관이나 기업이 자신의 정보를 알고 연락이 올 때마다 불안을 느꼈습니다. 그러나 막상 궁금해서 연락해온 쪽에 물어보면, 속시원한 대답을 해주는 경우는 없습니다. 잘 모르겠다, 아니면 오히려 그런 건 왜 묻느냐며 화내는 경험까지.

개인정보의 수집 경위는 개인들이 자기 정보에 대한 권리를 실현하기 위해 가장 기본적으로 제공받아야 할 정보입니다. 개인정보보호기본법이 제정되면, 일반 시민들은 수집 경위를 밝힐 것을 요구할 권리를 갖게 되며, 개인정보 수집자들은 이 요구에 의무적으로 답변해야 합니다.

○ 개인정보와 관련된 분쟁이 발생할 때, 정식 재판을 밟는 것은 지나치게 오랜 시간과 많은 비용을 요구합니다. 이는 정보주체의 권리 실현을 제약하는 요인이 됩니다. 설령 어떻게 재판에서 승소했다 하더라도 그 사이에 이미 침해가 발생해버리는 경우가 많습니다. 이런 문제점을 극복하고 개인정보를 효과적으로 보호받기 위해 대안적 분쟁조정(ADR) 제도의 도입이 전세계적으로 권장되고 있습니다.

현재 정보통신부 산하에 개인정보분쟁조정위원회가 운영되고 있지만 공공기관과 관련된 분쟁은 조정 대상으로 하지 않았습니다. 이제 개인정보보호기본법이 제정되면, 공공기관과의 분쟁이 발생한 경우에도 개인정보보호 전담기구에 분쟁조정을 신청할 수 있게 됩니다.

○ 당사자의 동의에 의해 수집된 정보의 경우 그 정보에 대한 열람이나 정정, 삭제를 거의 자유롭게 할 수 있었습니다. 그러나 공공기관이 법률에 따라 수집한 개인정보의 경우에는, 일반 시민들이 열람․정정․삭제를 청구하더라도 공공기관이 이를 거부할 수 있습니다. 물론 국가의 필요에 의해 수집되는 정보를 개인이 임의로 변경하거나 삭제할 수는 없습니다. 하지만, 이 청구에 대해 해당 기관이 거부를 하는 경우 개인은 재판이나 행정심판을 치르느라 오랜 노력과 시간을 사용해야 합니다. 또한, 그 기간 동안 이미 유출이나 오용이 일어나버리면 행정심판이나 재판에서 승리하더라도 피해의 복구는 불가능합니다.

개인정보보호기본법이 제정되면, 공공기관에 대해 자신의 개인정보 이용을 중단하라고 요청할 수 있는 이용중지청구권이 일반 시민들에게 주어집니다.

4) 개인정보 사전영향평가가 실시됩니다.

○ 개인정보는 일단 유출되면 피해를 구제하는 것이 어렵습니다. 게다가 대규모 정보시스템은 구축하는 데 막대한 예산이 소요됩니다. 따라서 예방이 최선입니다. 그러나 현실을 보면, 일정에 쫓기는 바람에 충분한 보호 조치를 취하지 못하는 경우나 이미 막대한 예산이 소요되었다는 이유로 심각한 침해가 우려되는 개인정보 시스템을 그냥 밀어붙이는 경우가 많습니다.

○ 대표적인 사례가 바로 NEIS입니다. 대다수의 학생과 교사, 학부모들이 전혀 모르는 사이에 구축된 NEIS는, 결국 시스템 개시 직전에 인권침해 논란에 휩싸이면서 당초 시행 예정 시기를 2년이나 넘기고도 아직 정상 가동되지 못하고 있습니다. 또한, 최근 한 포탈사이트가 패밀리 사이트와 개인정보를 공유하면서, 촉박한 일정을 이유로 보안 테스트를 충분히 취하지 않았다가 정보 제공에 동의하지 않은 회원들의 정보를 공유한 사실이 드러나기도 했습니다.

○ 개인정보보호기본법이 제정되면, 특히 민감하거나 대규모의 개인정보를 수집․이용하거나 통합 운영하는 경우에는 의무적으로 사전에 개인정보에 미치는 영향을 평가받게 됩니다. 이를 통해 개인정보를 수집하고자 하는 쪽에서는 예상치 못한 위험을 미리 제거할 수 있고, 개인정보를 제공해야 하는 일반 시민들은 정보 수집자를 좀 더 신뢰할 수 있게 됩니다.

○ 미국에서는 정부 예산이 집행되는 정보화 프로젝트의 경우 사전영향평가 결과를 제출하지 않으면 예산이 집행되지 않도록 되어 있습니다. 이 외에도 캐나다, 뉴질랜드 등 개인정보 보호의 선진국들이 개인정보 사전영향평가를 실시하고 있습니다.

○ 한편, 상당수의 기존 영향평가 제도는 이해당사자들의 의견을 충분히 반영하지 않은 채 평가자가 일방적으로 평가하는 구조를 갖고 있다는 문제점이 있습니다. 최근 핵폐기장이나 소각장 등의 부지 선정 과정에서 주민들의 의견이 철저히 배제된 것이 한 예입니다. 국내에서 실시되고 있는 환경영향평가의 경우, 주민들의 의견을 매우 개괄적으로 정리하고 ‘최대한 반영하겠음’ 같은 추상적 문구로 정리하는 것이 일반적입니다.

특히 시민사회단체의 개인정보보호기본법안은, 평가자가 일방적으로 평가하는 것으로만 이루어지는 기존의 다른 영향평가들과 달리, 정보주체 및 다른 이해당사자들이 의견을 제시할 수 있게 하고 이 의견들에 대해 평가자가 답변할 의무를 부과함으로써, 쌍방향 평가를 가능하게 하고 있습니다.

5) 개인정보 수집자를 체계적으로 관리하게 됩니다.

○ 정보통신기술이 발전함에 따라 누구나 개인정보를 손쉽게 수집할 수 있게 되었습니다. 그러나, 그 수많은 수집자들이 개인정보를 올바로 보호하고 있는지 확인할 방법은 거의 없는 실정입니다. 오직 일반 시민들이 스스로 대응할 수밖에 없는 상황입니다만, 공공기관이나 기업 내에서 어떤 시스템을 통해 개인정보를 보호하고 있는지를 일반 시민들이 알기란 거의 불가능합니다.

○ 개인정보를 수집하는 사람들을 체계적으로 관리하기 위해서는 최소한 누가 수집하고 있는지 정도는 알 수 있어야 합니다. 현재는 공공기관이 개인정보를 수집하는 경우에만 신고를 하도록 되어 있지만, 개인정보보호기본법이 제정되면, 일정 규모 이상의 개인정보를 수집하거나 민감한 개인정보를 수집하는 경우에는 공공이든 민간이든 개인정보 보호기구에 등록하게 됩니다. 이를 통해 개인정보보호 전담 기구는 개인정보 수집자들을 관리할 수 있는 최소한의 정보를 얻게 됩니다.

혹, 일각에서 지나친 규제라고 오해할 수도 있으나, 등록은 허가와 다릅니다. 수집하겠다는 사실을 사전에 통보하는 것일 뿐입니다. 지금도 개인정보 보호정책들을 통해 웹사이트에 공개하도록 규정되어 있는 내용을 전담 기구에 알려주면 되는 것입니다. 해외에서도 개인정보 보호의 선진국인 프랑스와 영국이 이미 채택하고 있는 제도입니다.

○ 등록 대상인 개인정보 수집자들은 개인정보보호담당자를 지정해야 합니다. 지금 기업의 개인정보보호담당자들은 별다른 권한 없이 개인정보에 대한 고객의 불만을 처리하는 정도의 위상밖에 갖고 있지 못합니다. 심지어 고객센터에 전화해서 개인정보보호담당자를 찾아도, 그런 사람이 있는지조차 모르는 경우가 태반입니다. 그러나 개인정보보호기본법이 제정되면, 개인정보보호담당자는 실질적인 권한과 의무를 갖게 됩니다.

개인정보보호담당자가 1년에 한 차례 소속 기업의 개인정보 보호 실태에 대한 정기 감사를 실시하고 이를 개인정보 보호 전담기구에 보고하게 되는 것입니다. 그 결과 개인정보보호 전담기구의 업무 부담도 완화되고, 기업이 자율적으로 개인정보 보호 수준을 높여가는 여건도 마련될 것입니다. 가장 선진적인 개인정보보호법제를 갖고 있는 독일이 이러한 제도를 채택하고 있습니다.

6) 데이터베이스의 매칭을 철저히 규제합니다.

○ 전자정부법을 통해 행정정보의 공동활용을 권장하기 시작하면서, 개인정보 데이터베이스를 서로 연동하거나 결합 분석하는 경우가 날로 증가하고 있습니다. 대표적인 개인정보 데이터베이스인 주민등록 DB의 경우 연간 10만건 이상 조회하거나 연동하는 곳만도 OO 건에 달합니다. 민간 영역에서도 원패스 아이디 정책 등 다양한 방식의 개인정보 공동 활용이 크게 증가하고 있습니다.

○ 개인정보의 공동 활용은 그 자체로도 개인정보자기통제권을 침해할 가능성이 큽니다. 게다가 기술적․관리적 안전 조치를 충분히 취하지 않으면 각종 유출 사고의 원인이 됩니다. 앞에서 소개한 패밀리 사이트와 개인정보를 공유하다가 개인정보를 유출한 포탈 사이트의 사례는 개인정보 공동 활용을 세심하게 규제할 필요성을 보여준 단적인 사례입니다.

○ 개인정보보호기본법이 제정되면, 적어도 공공기관의 개인정보 데이터베이스와 다른 데이터베이스를 매칭하는 경우에 대해서는 엄격한 보호 조치를 취하게 됩니다. 매칭에 대한 규정을 정하여 상호 합의하고 그 내용을 개인정보보호 전담기구에 제출해야 합니다. 또한 유출 등의 사고나 기술적 문제가 발생한 경우는 물론, 그렇지 않은 경우에도 매칭 건수와 내용, 오류 발생 정도, 비용 등 세부 사항을 정기적으로 개인정보보호 전담기구에 보고하게 됩니다.

7) 익명의 권리를 보호합니다.

○ 법적․기술적으로 문제가 없다면, 익명으로 서비스를 이용할 권리가 보장되어야 합니다. 그러나, 이러한 권리를 무시하고 인터넷 실명제를 도입하려는 시도가 계속되어 왔습니다. 개인정보보호기본법이 제정되면 익명 이용의 권리가 정당한 법적 권리로 보장받게 됩니다.

○ 또한 고유식별자로 인해 발생하는 사회적 피해가 날로 심각해지고 있습니다. 대표적인 고유식별자인 주민등록번호가 무원칙하게 민간에서 수집되면서 각종 명의도용 사례가 날로 증가하고 있습니다. 또한 고유식별자가 공유되면 이를 통해 손쉽게 개인정보 데이터베이스를 매칭할 수 있게 됩니다. 개인정보보호기본법이 제정되면, 적어도 공공기관의 고유식별자만큼은 임의로 확대 사용할 수 없게 될 것입니다.

8) 처벌 기준이 강화되었습니다.

○ 유출을 제외하면, 지금까지 개인정보 침해에 대해서는 과태료 처분에 그쳤습니다. 그러나 개인정보보호기본법이 제정되면, 동의 없는 수집 및 이용, 제3자 제공. 열람, 정정, 삭제 청구에 대한 불응 등 적어도 개인정보자기결정권의 영역에 대해서는 형사 처벌할 수 있게 됩니다.