개인정보 처리정지요구권의 법적 성질과 가명처리 정지요구권 인정 여부 - 서울고등법원 2023. 12. 20. 선고 2023나2009236 판결을 계기로 = Is There a Right to Restrict Pseudonymization?

국문 초록 (Abstract)

개인정보 보호법에 가명정보 특례규정이 도입된 이후 통신서비스이용자들이 통신사를 상대로 사전적 가명처리 정지요구권을 행사하여 제1심 및 항소심에서 청구가 인용되었다. 법원은 ‘가명처리’와 ‘가명정보 처리’를 구별하고, 가명처리를 개인정보 처리의 일종으로 보았으며, ‘가명정보’에 대해서 처리정지요구권 규정을 적용하지 않도록 하는 예외조항이 ‘가명처리’에 대한 정지요구권까지 배제하는 것은 아니라고 판단하였다.
개인정보 보호법은 개인정보자기결정권 보장을 목표로 제정되었지만 개인정보의 보호와 활용 사이에서 적절한 균형을 도모하는 방향으로 개정되어 왔다. 개별조항을 해석할 때에도 데이터 활용의 측면을 고려할 필요가 있다. 개인정보 보호법이 정보주체의 동의를 개인정보 처리의 기본 원칙으로 삼는 동시에 그 밖에 다른 처리근거도 인정하고 있는 점에 비추어 보아도 알 수 있듯이, 모든 개인정보 처리가 오직 정보주체의 의사에 따라서만 이루어지거나 정보주체가 모든 경우에 개인정보 처리의 전체 과정을 통제할 수 있는 것은 아니다.
처리정지요구권은 민법상 권리에 빗대어 보면 인격권에 기초한 금지청구권과 유사한 권리이다. 금지청구권은 상대방의 행동의 자유를 직접 제한하는 것을 정당화할 수 있을 정도의 위법성이 있는 행위에 대해서만 인정된다. 정보주체와 개인정보처리자의 법익 균형을 고려할 때, 처리정지요구권도 위법하거나 적어도 부당한 권리 침해의 개연성이 인정되는 처리에 대해서만 인정되는 것으로 해석하여야 한다.
개인정보의 ‘처리’ 중에서 가명처리는 정보주체의 식별가능성을 낮추어 오히려 처리에 따른 법익 침해 위험성을 낮추는 보호조치에 해당하므로, 개인정보에 대한 적법한 처리 권한을 가진 자가 그 개인정보를 가명처리하는 것은 별도의 근거 없이도 가능하다. 따라서 가명처리에는 일반적으로 부당한 권리 침해의 개연성이 인정될 여지가 없으므로, 대상판결과는 달리 가명처리는 처리정지요구의 대상이 될 수 없다고 보아야 한다. 가명처리된 정보에 개인정보 보호법 제28조의2가 적용됨으로써 증대되는 법익 침해의 위험성은 ‘가명정보 처리’ 단계에서 안전조치의무 등을 통해 통제할 수 있다.

다국어 초록 (Multilingual Abstract)

The court recently ruled in favor of the data subjects who filed a lawsuit against a telecommunications service provider, seeking a preliminary ban on the pseudonymization of their personal data. While emphasizing the distinction between pseudonymization as a type of data processing and the processing of pseudonymized data, the court decided that the plaintiffs maintain the right to restrict pseudonymization as part of the right to restrict data processing.
However, the Personal Information Protection Act should be interpreted in a way that can find a balance between the privacy rights of the data subject and the interests of the processor. The act does not intend all processing to be based solely on the will of the data subject, nor can the data subject control every aspect of the processing without exceptions.
The right to restrict processing is similar to the civil law right to restrict infringements on personality rights. The latter applies only to acts with illegality sufficient to justify a restriction on the freedom of the other party's actions. Considering the balance between the interests of the data subject and those of the processor, the right to restrict processing should be interpreted as applicable only to illegal processing, or at least to processing that involves a foreseeable infringement of rights.
Pseudonymization is a protective measure that reduces the identifiability of the data subject, lowering the risk of the processing. Therefore, pseudonymization does not require any separate authorization, and thus, there is no situation where pseudonymization itself infringes the rights of the data subject. Consequently, it should be interpreted that the right to restrict processing does not include the right to restrict pseudonymization.

참고문헌 (Reference)

• 1 이인호, "｢개인정보 보호법｣상의 ‘개인정보’ 개념에 대한 해석론 – 익명화한 처방전 정보를 중심으로 -" 19 (19): 2015
• 2 김현숙, "한국 개인정보보호법 상 정당한 이익 확대도입 방안에 관한 연구" 22 (22): 2018
• 3 이인호, "한국 개인정보보호권의 절대화 현상에 대한 비판-개인정보처리정지권에 대한 해석론을 포함하여-" 52 (52): 2023
• 4 양소연, "진료기록은 환자의 개인정보인가, 의사의 저작물인가?-저작권법 및 데이터 소유권론에 비추어 본 진료기록 작성자의 권리 –" 27 (27): 2023
• 5 "제403회 국회(임시회) 법제사법위원회 회의록 제2호"
• 6 양소연, "인공지능을 이용한 빅데이터 분석과 표현의 자유" 2022
• 7 전승재, "인공지능 시대 개인정보에 관한 통계처리거부권·가명처리거부권의 인정가부 - 서울중앙지법 2022. 11. 17. 2021가합509722 판결에 관하여" 16 (16): 2023
• 8 유제민, "인격권 침해에 대한 방해제거청구권-이미 보도된 기사의 삭제 청구를 중심으로 –" (37) : 2015
• 9 이인호, "변호사의 직업적 개인정보에 대한 이용과 보호의 법리 : 로마켓 변호사평가정보 사건(2008다42430)에 대한 평석을 겸하여" 11 (11): 2012
• 10 곽윤직, "민법주해[ⅩⅧ]-채권(11)" 박영사 2012
• 11 이동진, "목적합치의 원칙과 가명정보의 특례"
• 12 조소영, "명예훼손에 기한 피해구제의 법제와 현실-언론중재법상의 내용을 중심으로-" 7 (7): 2021
• 13 채성희, "데이터융합포럼 특별기고 7-1: 우리 법상 가명정보 규정은 기본권을 침해하는 잘못된 입법인가?"
• 14 최경진, "데이터와 사법상의 권리, 그리고 데이터 소유권(Data Ownership)" 23 (23): 2019
• 15 고학수, "데이터오너십 : 내 정보는 누구의 것인가?" 박영사 2019
• 16 이동진, "데이터 소유권(Data Ownership), 개념과 그 실익" 22 (22): 2018
• 17 이소은, "개인정보자기결정권의 민사법적 보호" 서울대학교 2018
• 18 정상조 ; 권영준, "개인정보의 보호와 민사적 구제수단" 58 (58): 2009
• 19 박노형, "개인정보보호법" 박영사 2020
• 20 이창범, "개인정보보호법" 법문사 2012
• 21 최경진, "개인정보보호 관련법의 해석에 있어서 이익형량론과 일반적 이익형량 규정의 필요성에 관한 고찰" 2017
• 22 권영준, "개인정보 자기결정권과 동의 제도에 대한 고찰" 36 (36): 2016
• 23 관계부처 합동, "개인정보 비식별 조치 가이드라인 발간"
• 24 권태상, "개인정보 보호와 인격권-사법(私法)측면에서의 검토-" 17 (17): 2013
• 25 "개인정보 보호법 일부개정법률안(의안번호 제2112723호) 심사보고서" 정무위원회 2023
• 26 이성엽, "가명처리를 사전에 정지할 권리가 있을까"
• 27 차건상, "가명정보 Life-Cycle에 대한 위험 분석을 통한 관리적/기술적 보호조치 방안에 대한 연구" 20 (20): 2020
• 28 Guido Calabresi, "Property Rules, Liability Rules, and Inalienability : One View of the Cathedral" 85 : 1972
• 29 Article 29 Data Protection Working Party, "Opinion 05/2014 on Anonymisation Techniques, Adopted on 10 April 2014"
• 30 대통령직속 4차산업혁명위원회, "4차산업혁명위, 제3차 규제·제도혁신 해커톤 개최"
• 31 대통령직속 4차산업혁명위원회, "4차산업혁명위, 제2차 규제·제도혁신 해커톤 개최"
• 32 대통령직속 4차산업혁명위원회, "4차 산업혁명 대정부 권고안"