Privacy by design의 내용과 법 제도 = A normative Study on the “Privacy by Design” principle

다국어 초록 (Multilingual Abstract)

The General Data Protection Regulation of EU(GDPR) brings lots of important changes in 2018, and organisations have a lot to do to remain compliant. One such change is the need for ‘Privacy by Design(PbD)’.
PbD includes internal projects, product development, software development, IT systems, and much more. Until today, tagging security or privacy features on at the end of a long production process would be fairly standard.
According to the ‘PbD principle’ governments should take into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons.
Moreover the controller shall implement appropriate technical and organisational measures for ensuring that, by default, only personal data which are necessary for each specific purpose of the processing are processed. And controller should follow some principles such as pseudonymisation, which are designed to implement data-protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing in order to meet the requirements of this Regulation and protect the rights of data subjects.
Up to now korean government has not legalized this principle. But in the future perhaps we should consider legalize PbD for the foreseeabe future.

국문 초록 (Abstract)

‘개인정보의 자기결정권(right to self-determination of personal information)’이라 함은 “자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 것 정보 주체가 스스로 결정할 수 있는 권리”, “정보 주체가 개인정보의 공개와 이용에 관하여 스스로 결정할 권리”를 의미한다.
최근 국내외에서 벌어지고 있는 개인정보보호의 규범적 대응 방향은 다음과 같이 2가지로 요약할 수 있다. 첫째, 정보 주체(data subject)의 권리 강화와 둘째, 개인정보에 대한 사전적 보호장치(Privacy by design and default, PbD) 마련이다.
PbD 정책은 각 국의 개인정보보호 규제 체계에 따라 다르게 나타난다. 미국 FTC는 상품과 서비스 개발에서 개인정보보호를 고려하는 것이 필수적임을 정책의 기본 원칙으로 도입하여 운용 중이며, 시장 자율적인 행동 강령을 도입하도록 권고하고 있다. 적용 대상도 모든 상업적 주체에 적용되된다. 하지만 상업적 주체가 연간 5,000명 미만의 소비자로부터 중요하지 않은 데이터를 수집하고 제3자와 데이터를 공유하지 않는 경우 적용에서 배제된다. 반면, EU GDPR은 PbD를 개인정보보호의 원칙으로 바라보는 관점에서 더 나아가 보다 구체적으로 PbD를 “적절한 기술 및 관리조치”로 정의하고, 이를 법제화하여 정보처리자의 의무로서 명확히 하였으며 정보처리자가 PbD 이행 의무를 행동강령과 인증에 의해 입증하도록 하였다. 즉, PbD를 사전적 이행 의무로 확실히 규정하여 규제 당국의 규제 개입 근거를 마련하고 있다.
PbD는 정보기술 및 시스템 설계, 상품 개발이나 서비스 기획 단계에서부터 프라이버시의 보호와 강화 조치를 확립하는 포괄적인 절차를 의미한다. PbD는 개인정보보호를 실행하는 절차 또는 원칙에서 출발해 빅데이터 기술과 관리전략으로 구체화되어 오다가, 최근 EU GDPR에 법제화되면서 그 법적 의미가 “개인정보 처리와 관련한 법 요건 충족을 위해 준수해야 할 적절한 기술 및 관리조치”로 구체화되었다. EU GDPR의 적용 범위는 광범위하여 PbD의 법적 의미 해석에 있어 참고가 될 수 있다.
우리나라에서는 IoT 정책에서 “보안이 내재화된 IoT 기반 조성(Security by Design)”로 도입되어, 홈가전, 의료, 교통, 환경, 재난, 제조, 건설 등 IoT 분야에서 보안 내재화 정책을 추진해 왔다. 하지만, PbD가 일반 개인정보보호의 규범화 논의로까지 이어진 것은 아니다. 하지만 PbD의 적용 방식은 각국의 개인정보보호 체계에 따라 달라질 수 있다.

참고문헌 (Reference)

• 1 김일환, "초연결사회에서 개인정보보호법제 정비방안에 관한 연구" 법학연구원 29 (29): 35-74, 2017
• 2 개인정보보호위원회, "제3차 개인정보보호 기본 계획(2018-2020년)" 2016
• 3 홍승진, "유럽연합의 법령 입안을 위한 공동 실무가이드(1)" 법제처 2007
• 4 한국인터넷진흥원, "유럽네트워크정보보호원, ‘프라이버시 중심 디자인(Privacy by Design)’에 관한 보고서 발표" Internet & Security Biweekly 2014
• 5 손상영, "안전한 초연결사회를 위한 사회문화적 조건– 초연결사회의 지속가능성을 위한 사회문화적 조건과 한국사회의 대응(II)" 정보통신정책연구원 2016
• 6 차상육, "빅데이터(Big Data) 환경과 프라이버시의 보호" IT와 법연구소 (8) : 193-259, 2014
• 7 김나루, "빅데이터 활용과 개인정보보호체계의 재구축을 위한 헌법적 고찰" 숙명여자대학교 대학원 2017
• 8 돈 탭스콧, "블록체인 혁명" 을유문화사 2017
• 9 최혜선, "개인정보보호의 신경향 －프라이버시 중심 디자인(Privacy by Design)을 중심으로－" 법학연구소 (24) : 305-340, 2013
• 10 전승재, "개인정보 비식별 조치 가이드라인의 법률적 의미와 쟁점" 한국정보법학회 20 (20): 259-290, 2016
• 11 김진환, "개인정보 보호의 규범적 의의와 한계 – 사법(私法) 영역에서의 두 가지 주요 쟁점을 중심으로 –" 한국법학원 144 : 43-87, 2014
• 12 김나루, "‘Privacy by design’의 도입과 그 적용에 관한 소고" 법학연구원 29 (29): 1-30, 2017
• 13 Pardau, "The FTC, the Unfairness Doctrine, and Privacy by Design: New Legal Frontiers in Cybersecurity" 12 (12): 2017
• 14 Timothy J. Toohey, "The Balance Between Data Flow and Privacy a United States Perspective" 법학연구소 6 (6): 7-33, 2013
• 15 FTC, "Protecting Consumer Privacy in ad Era of Rapid Change: Recommendations for Businesses and Policymakers" FTC 2012
• 16 ENISA, "Privacy by design in big data-An overview of privacy enhancing technologies in the era of big data analytics" 2015
• 17 Cavoukian, "Privacy by Design- The 7 Foundational Principles:Implementation and Mapping of Fair Information Practices"
• 18 Cavoukian, "Privacy by Design in the Age of Big Data Information and Privacy Commissioner"
• 19 ENISA, "Privacy and Data Protection by Design-from policy to engineering"
• 20 Ramirez, "Privacy By Design and the New Privacy Framework of the U.S. Federal Trade Commission" 2012
• 21 Cavoukian, "Operationalizing Privacy by Design: A Guide to Implementing Strong Privacy Practices"
• 22 Decode, "Me, my data and I: The future of the personal data economy"
• 23 Lovells, "GDPR – A game changer for the digital economy"
• 24 이원태, "EU의 알고리즘 규제 이슈와 정책적 시사점" 정보통신정책연구원 2016
• 25 고려대학교 산학협력단, "EU 개인정보보호법제(GDPR) 분석 및 개인정보보호법제 개선 입법수요 연구" 2016
• 26 The White House, "Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy"