익명･가명정보의 활용과 인격권 보호를 위한 민법상 과제 = An Agenda in Civil Law for the Protecting Personal Rights from Use of Data

다국어 초록 (Multilingual Abstract)

On January 9, 2020, the National Assembly passed the amendments to the “Three Major Data Laws” in order to broaden the spectrum of individual’s and company’s information usage in the advent of fourth industrial revolution. What is noticeable in this amendments is that a legal basis was made regarding the application of pseudonymous data. The key is that by using pseudonyms, identifiability of personal information is declined and this can ease the regulations preventing the usage of personal information. This legislative action in Korea was taken to keep pace with the international flow with EU, United States, Japan, etc.
On the other hand, the more application of personal information by a third party can increase the risk of violating personal rights. However, it is implausible to solely pursue protection of personal rights or return to the era before big data. Therefore, taking legal action to establish sound usage of big data and minimize violation of personal rights is necessary. In the study of civil law, presenting the criteria for judging responsibility of illegal act regarding personal information usage is needed. This study seeks to present a standard for illegality judgement when using personal information with anonymity or pseudonyms, by examining EU’s GDPR (General Data Protection Regulation) and America’s CCPA(California Consumer Privacy Act).
The amendment of Three Major Data Laws is focusing on development of industry, in order to allow extensive usage of non-identifying information like the international society. This mades Three Major Data Laws insufficient for the function of protecting personal information from being violated in comparison to GDPR. There will be legislative supplement regarding this problem, but degrees of responsibility for illegal act will alter depending on whether actions were taken to avoid re-identification of anonymized or pseudonymized information. What is important with avoiding re-identification is regulating indiscreet online behavioural tracking, and current law also states that tracking user behavior without consent or even after rejection is illegal.

국문 초록 (Abstract)

4차 산업혁명 시대에 맞춰 개인과 기업이 정보를 활용할 수 있는 폭을 넓히기 위해 2020년 1월 9일 국회에서 이른바 ‘데이터 3법’이 통과되었다. 이번 개정법에서 특히 주목할만한 부분은 ‘가명처리’를 통해 생성된 ‘가명정보’의 활용에 대한 법적 근거를 마련하였다는 점이다. 익명뿐만 아니라 가명처리를 통해 개인정보의 식별성을 낮춤으로써 개인정보의 활용을 막고 있는 규제의 완화를 도모하겠다는 것이 핵심이다. 이러한 입법적 조치는 우리나라에서 처음 시작된 것이 아니라 유럽연합(EU), 미국, 일본 등 국제적인 흐름에 보조를 맞춘 것이다.
그러나 제3자에 의해 개인정보가 다양하게 활용될수록 그만큼 인격권이 침해될 위험은 커지게 된다. 그렇다고 하여 이제 와서 개인정보 보호만을 강조하거나 빅데이터 시대 이전의 상태로 되돌릴 수도 없다. 오히려 바람직한 빅데이터 활용을 도모하면서도 개인의 인격권 침해를 최소화하고 역기능을 억제하도록 법적으로 대응해 나가는 것이 필요하다. 이 점과 관련하여 민법학에서는 개인정보를 활용하는데 있어 어느 경우에 불법행위책임을 인정할 것인지 그 판단기준을 제시할 필요가 있다. 이러한 문제의식에서 이 연구에서는 EU의 GDPR(General Data Protection Regulation)과 미국 캘리포니아주의 CCPA(California Consumer Privacy Act)를 비교법적으로 검토하면서 익명처리나 가명처리 등으로 개인정보를 활용하여 다른 사람에게 침해가 발생할 경우에 있어서의 불법행위책임을 중심으로 한 민법상 과제에 대하여 논해 보았다.
데이터 3법의 개정이 국제사회의 흐름에 맞춰 다양한 비식별정보를 폭넓게 이용할 수 있도록 하는 산업발전 측면에 무게를 두다 보니, 우리가 많이 참고한 GDPR에 비해 개인정보 침해에 대한 방어조치에 있어서는 미흡한 감이 있다. 향후 입법적 보완이 이루어질 것으로 기대되나, 현재로서도 익명처리 또는 가명처리를 하였더라도 그것이 재식별화되지 않도록 얼마나 최선을 다했는지에 따라 불법행위책임 유무가 달라질 수 있을 것으로 판단된다. 또한 재식별화 금지조치와 관련하여 중요한 것이 무분별한 온라인 행위추적을 규제하는 것인데, 현행법 하에서도 정보주체의 동의를 얻지 않은 행위추적이나 이미 이루어진 행위추적에 대해 거부했음에도 불구하고 계속되는 행위추적은 위법하다고 본다.

참고문헌 (Reference)

• 1 김태선, "자율주행과 데이터보호" 한국비교사법학회 26 (26): 1-37, 2019
• 2 이동진, "일반적으로 접근 가능한 개인정보의 처리와 이익형량" 한국정보법학회 24 (24): 57-82, 2020
• 3 안병하, "인격권 침해와 부당이득반환- 침해구제의 측면에서 본 퍼블리시티권 도입 불필요성 -" 한국민사법학회 68 : 495-523, 2014
• 4 권건보, "유비쿼터스 시대의 개인정보 침해와 법적 대응방안" 한국공법학회 32 (32): 159-194, 2004
• 5 김상현, "유럽연합의 개인정보보호법, GDPR" 커뮤니케이션북스 2018
• 6 윤태영, "위치정보 침해에 대한 불법행위책임 - 대법원 2016. 9. 28. 선고 2014다56652 판결 -" 한국민사법학회 81 : 155-185, 2017
• 7 황주성, "빅데이터와 위험 정보사회" 커뮤니케이션북스 2013
• 8 정다영, "빅데이터 시대의 개인정보 자기결정권" IT와 법연구소 (14) : 151-209, 2017
• 9 김정현, "빅데이터 시대의 개인정보 보호법제 개선방안" 법학연구소 46 : 111-134, 2020
• 10 곽윤직, "민법주해 제18권 채권(11)" 2005
• 11 박주희, "민간부문 개인정보보호를 위한 약관 통제" 법학연구원 32 (32): 31-60, 2020
• 12 이규엽, "미국 개인정보보호법 입법 동향 : 국내 개정법과의 비교 및 시사점" 20 (20): 2020
• 13 이해원, "데이터 경제 시대의 개인정보 보호와 사적 자치" 한국정보법학회 24 (24): 83-118, 2020
• 14 이양복, "개정 신용정보법의 개인정보보호 관련 연구와 개선방안" 한국경영법률학회 31 (31): 543-579, 2020
• 15 오길영, "개정 개인정보 보호법에 대한 검토와 비판: 정보주체의 자기결정권에 대한 사항을 중심으로" 민주주의법학연구회 (73) : 79-116, 2020
• 16 정종구, "개인정보처리의 허용범위와 그 한계" 법학연구원 27 (27): 55-83, 2020
• 17 강달천, "개인정보자기결정권 보호의 한계의 관점에서 본 「개인정보보호법」 개정의 문제점" 중앙법학회 22 (22): 7-50, 2020
• 18 문재완, "개인정보의 개념에 관한 연구" 한국공법학회 42 (42): 53-77, 2014
• 19 이정념, "개인정보보호법의 개정 의의와 적용상 한계" 한국법학원 179 : 242-270, 2020
• 20 김윤정, "개인정보를 위협하는 데이터 3법" 2020
• 21 전승재, "개인정보 비식별 조치 가이드라인의 법률적 의미와 쟁점" 한국정보법학회 20 (20): 259-290, 2016
• 22 권태상, "개인정보 보호와 인격권- 사법(私法) 측면에서의 검토 -" 법학연구소 17 (17): 71-109, 2013
• 23 이소은, "개인정보 보호법의 주요 개정 내용과 그에 대한 평가 - 개인정보 처리의 정당화 사유를 중심으로 -" 법학연구소 24 (24): 249-286, 2020
• 24 백승엽, "개인신용정보 비식별 조치의 내용과 한계에 관한 연구" 법학연구원 29 (29): 63-102, 2017
• 25 김정선, "가명 데이터 활용연구- 기술적 처리방법 및 기업의 활용방향을 중심으로 -" 한국정보보호학회 30 (30): 253-261, 2020
• 26 村上康二郞, "現代情報社会におけるプライバシー個人情報の保護" 日本評論社 2017
• 27 Neil M. Richards, "Woodrow Hartzog, The Pathologies of Digital Consent" 96 : 1461-, 2019
• 28 Jeff Chester, "Role of Interactive Advertising & the Subprime Scandal: Another wake-up call for FTC" 28 : 2007
• 29 Federal Trade Commission, "Protecting Consumer Privacy in an Era of Rapid Change: Recommendations for Businesses and Policymakers"
• 30 "Guidelines on Consent under Regulation 2016/67 9"
• 31 "Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation"
• 32 Jeff Chester, "European data protection: in good health?" 2012
• 33 van Ooijen, "Does the GDPR Enhance Consumers’ Control over Personal Data? An Analysis from a Behavioural Perspective" 42 : 91-, 2019
• 34 Pamela L. Alreck, "Database Marketing & Customer Strategy Management, Vol. 15" 1-, 2007
• 35 Paul Ohm, "Broken Promises of Privacy : Responding to the Surprising Failure of Anonymization" 57 : 1701-, 2010
• 36 The White House, "Big Data and Privacy: A Technological Perspective, Big Data: Seizing Opportunities, Preserving Values"
• 37 President’s Council of Advisors on Science and Technology, "Big Data and Privacy: A Technological Perspective" 2014
• 38 Cristiana Santos, "Are cookie banners indeed compliant with the law?"