「개인정보 보호법」상 국내 인터넷·모바일 플랫폼 기업에 대한 규제 형평성에 관한 연구 = A Study on Regulatory Fairness under the Personal Information Protection Act for Domestic Internet and Mobile Platform Companies.

국문 초록 (Abstract)

국내 인터넷·모바일 플랫폼 시장에서 유튜브, 페이스북, 넷플릭스 등 해외 기업의 점유율은 꾸준히 증가하고 있으며, 이에 반해 국내 기업들은 규제의 역차별로 인해 경쟁력이 약화되고 있다. 동일한 서비스를 제공함에도 국내 기업은 「개인정보 보호법」 등 관련 법률의 엄격한 규제를 받는 반면, 해외 기업은 규제 적용이 상대적으로 미흡하여 공정한 경쟁이 어렵다는 지적이 제기되고 있다. 특히, ‘개별적·선택적 동의방식’을 중심으로 한 현행 개인정보 보호법제는 이용자 보호를 명분으로 하고 있으나, 실제로는 형식적인 동의를 양산하고 있으며, 정보주체의 실질적인 자기결정권 확보에도 한계가 있다는 비판이 제기되고 있다.
또한, 사전 고지 및 명시적 동의를 절대화하는 규제 구조는 빅데이터 분석이나 인공지능 기반 서비스처럼 예측 불가능한 데이터 활용이 핵심인 분야에서 데이터 활용의 유연성을 현저히 저해하고 있다. 반면, 해외 기업들은 포괄적 동의 방식이나 국내의 개인정보 보호법 상 동의원칙과는 상충되는 동의 방식을 통해 보다 적극적인 데이터 활용이 가능하여, 국내 기업 대비 우위를 점하고 있다.
본 논문은 국내 기업이 실제로 경험하고 있는 규제 부담 사례—예를 들어 미성년자 결제 취소·환불 절차, AI 스피커의 생체정보 활용 제한, 맞춤형 광고 제공 포기, 신규 서비스 개발 지연 등—들을 분석하여, 이러한 규제환경이 기술 발전을 제약하고 국내 기업의 글로벌 경쟁력을 약화시키고 있음을 확인하고 나아가 디지털 기술 환경의 변화에 대응하기 위해 기존의 전통적인 동의 중심 제도의 한계를 극복할 필요성을 강조한다.

다국어 초록 (Multilingual Abstract)

In various domestic internet and mobile platform markets, the market share of foreign internet service providers such as Google, Facebook, and Netflix has been continuously increasing, while domestic internet service providers have been gradually shrinking. According to a study, as of May 2018, Google's YouTube held a dominant position with an 85.6% share of mobile video usage time in South Korea, whereas domestic services such as AfreecaTV and NaverTV accounted for only 3.3% and 2.0%, respectively.
Amidst this situation, concerns over "regulatory discrimination" against domestic internet service providers, which exacerbates competitive disadvantages in the market, have been raised for several years. While both domestic and foreign service providers cater to the same domestic consumers, regulatory enforcement is significantly stricter for domestic providers, whereas enforcing domestic regulations on foreign providers remains challenging, thereby perpetuating an unfair competitive landscape. Among the regulatory measures frequently cited as contributing to such discrimination are those under the Personal Information Protection Act (PIPA), the Act on Promotion of Information and Communications Network Utilization and Information Protection (hereinafter, the "Information and Communications Network Act"), the Act on the Protection and Use of Location Information (hereinafter, the "Location Information Act"), and the Act on the Use and Protection of Credit Information (hereinafter, the "Credit Information Act").
This study analyzes the causes of regulatory discrimination arising from South Korea’s personal information protection laws and proposes measures for improvement.
Another area of regulatory discrimination concerns the deletion or destruction of personal information. Under current laws, when a data subject requests the deletion of their personal information, companies bear the burden of proof regarding compliance. However, practical difficulties arise because companies may need to retain data for the agreed-upon period rather than immediately destroying it within the legally mandated timeframe.
Furthermore, while personal identifiers can be deleted, the remaining data may still be useful. However, due to the broad legal definition of personal information, companies are often required to destroy all data—including non-identifiable data—rather than just the personal identifiers. This requirement imposes a significant burden on businesses, forcing them to delete entire datasets unnecessarily.
The issue is not a lack of commitment to personal data protection; rather, the excessively broad definition of personal data makes it nearly impossible to distinguish between personal and non-personal information. Consequently, businesses face an ongoing risk of violating the law, even when they have a genuine intent to comply. Additionally, the blanket requirement to delete all data impedes system and service operations, making full compliance practically unattainable.
In conclusion, the current regulatory framework places a disproportionate burden on domestic internet service providers while foreign companies remain largely unaffected, leading to an uneven playing field. To foster a fairer regulatory environment, it is essential to reevaluate and amend the relevant personal information protection laws to ensure balanced enforcement and eliminate regulatory discrimination.