미국의 데이터 프라이버시 보호 법제도에 대한 고찰 = A Study on the Data Privacy Protection Legislation in the United States

국문 초록 (Abstract)

데이터 프라이버시는 오늘날 디지털 시대에 가장 중요한 이슈 중 하나이다. 일상 생활 속에서 개인뿐만 아니라 기업, 정부기관 등은 수많은 데이터를 생성하고 있으며, 기업들은 개인 등의 행동 패턴, 취향, 감정 등을 반영한 다양한 형태의 데이터를 수집, 저장, 공유하고 있다. 이러한 과정 속에서 정보주체는 자신들의 정보가 얼마나 안전하게 보호되며, 누가 어떻게 이를 활용하는지에 대한 불안감이 매우 커지고 있다. 이에 데이터 프라이버시 보호는 개개인의 정보가 무단으로 사용되거나 공개되지 않도록 개인정보를 보호하고, 불법적이거나 윤리적인 방식으로 사용되는 것을 방지하고자 함에 있다. 그런데 미국은 최근 유럽의 포괄적인 데이터 보호법을 모델로 하여 데이터의 포괄적 보호를 위한 법 제도의 제정 및 개정하고 있다. 대표적인 법으로 EU의 일반 개인 데이터 보호법(GDPR)을 최초로 도입한 미국 캘리포니아주의 소비자 데이터 프라이버시법과 연방법인 2024년 데이터 프라이버시권리법(초안)을 들 수 있다. 이에 이 논문은 미국의 데이터 프라이버시 보호 법 제도의 비교·검토를 통해 우리나라의 ｢개인정보보호법｣의 개선 방안을 제시하고자 한다. 그 결과 첫째, 현행 ｢개인정보보호법｣상 개인정보의 개념을 확대하여 ADID, 쿠키 등 온라인 식별자 등을 보호대상에 포함될 수 있도록 할 필요가 있으며, 미국 APRA처럼 “개인정보” 대신 “데이터”를 보호대상으로 할 것인지에 대하여 검토를 할 필요가 있다. 둘째, 적용대상 기업에 대한 일정 기준을 설정하고 소기업은 적용대상에서 제외할 필요가 있다. 셋째, 우리나라는 개인정보의 수집·이용시 사전 동의를 받도록 하고 수집된 정보의 이용·제공 내역이나 이용·제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하도록 하고 있으며, 민감한 개인정보의 경우 일반 동의와 더불어 별개의 동의를 또 받도록 하는 2중의 동의를 받도록 하고 있는 부분을 미국처럼 개인정보의 수집시 통지를 하도록 하고 사업목적 범위를 초과한 경우에 사전 동의를 받도록 하고, 민감한 개인정보에 대해서는 더욱 엄격한 사전 명시적인 동의를 받도록 할 필요가 있다고 본다.. 넷째, 개인정보의 처리 정지 등의 권리 관련 판매·공유·타켓팅 광고 관련 개별적이고 명시적인 규정을 둘 필요가 있다. 마지막 우리나라 ｢개인정보보호법｣에 데이터브로커에 대한 규정을 도입할 필요가 있다.

다국어 초록 (Multilingual Abstract)

Data privacy is one of the most important issues in today's digital age. In everyday life, not only individuals but also companies and government agencies generate a lot of data, and companies collect, store, and share various types of data that reflect behavioral patterns, tastes, and emotions of individuals. Under this background, data subjects are increasingly anxious about how safely their information is protected, Who's using it and how to use it. Accordingly, The issues of data privacy protection aim to protect personal information from being used or disclosed without permission, and to prevent it from being used in an illegal or ethical manner.

By the way, the United States is recently enacting and revising a legal system for comprehensive data protection based on Europe's comprehensive General data protection Regulation(GDPR). Representative laws include the Consumer Data Privacy Act of California state of the U.S. which first introduced European regulation and the Data Privacy Rights Act of 2024(draft).

Therefore, this Article intends to suggest methods to improve Personal Information Protection Act of our country by the consideration of the US data privacy protection law system.

As a result, I would like to suggest some improvement measures. First, it is necessary to expand the concept of personal information under the current Personal Information Protection Act so that online identifiers such as ADIDs and cookies can be included, and it is necessary to review whether to protect "data" like APRA in the United States. Second, it is necessary to set certain standards for the applicable companies and exclude small businesses from the application. Third, Korea required prior consent when collecting and using personal information. In addition, it was required to notify the details of the use and provision of the collected information or how to access the information system that can check the use and provision details. And in the case of sensitive personal information, double consent was required to obtain separate consent as well as general consent. On the other hand, the United States required notification when collecting personal information. However, if the scope of the business purpose is exceeded, prior consent is required, and more stringent and explicit prior consent is required for sensitive personal information. I think it is necessary to consider the introduction of above American-style system in the future. Finally, it is necessary to establish individual and explicit regulations related to sales, sharing, and targeting advertisements related to rights such as suspension of processing of personal information.