개인정보 수집, 이용, 제3자 제공에 관한 4개국 법제 비교분석 = Comparative Analysis of 4 Countries’ Legal System Regarding the Collection, Use and Third-Party Provision of Personal Information

다국어 초록 (Multilingual Abstract)

This paper compares and analyzes the Personal information protection legislation of Korea, EU, Japan, and the United States, concerning the collection of personal information, the out-of-purpose use, and the third-party provision.
Regarding the consent to collect personal information, even the EU, which takes opt-in approach, does not require prior consent for contractual necessary personal information. Japan and the United States, which take opt-out approach, of course. In Korea, however, Article 22 (3) (1) of Act On Promotion Of Information And Communications Network Utilization And Information Protection requires that “if the personal information is obviously difficult to get consent in an ordinary way due to any economic or technical reason.” Because of this, meaningless consent is repeated about contractual necessary information. It is necessary to delete that clause.
Regarding the out-of-purpose use, EU, Japan and the United States permit it in cases where it can be foreseen from the view point of data subject and does not cause actual infringement. On the other hand, Korea tends to acknowledge the use of personal information very narrowly.
Regarding the provision of personal information to third parties, In Korea, the recipient of personal information must be consented to by specifying the name of the individual or corporation. EU, Japan and the United States solve this problem by a legislation of collective use of personal information(‘Joint Controllers’) or by allowing consent to ‘categories of recipients.’ The amendment to the law on de-identification on personal information was initiated by the National Assembly on Nov. 15, 2018, but the amendment is not including measures to improve above three issues. Social consensus on this part is also critical.

국문 초록 (Abstract)

본고에서는 개인정보 수집 동의, 목적 외 이용, 제3자 제공 규제에 관하여, 우리나라, EU, 일본, 미국의 법제를 비교ㆍ분석한다.
개인정보 수집 동의에 관하여, Opt-out 방식을 취한 일본과 미국은 물론이고, opt-in 방식을 취한 EU에서도 계약 이행을 위해 필수 수집해야 하는 개인정보에 대해서까지는 사전동의를 요구하지 않는다. 그런데 우리나라는 동의면제 요건으로 정보통신망법 제22조 제3항 제1호 후단에서 ‘경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우’라는 요건을 추가하고 있어 필수 수집 정보에 대해서까지 실익 없는 동의가 반복되고 있으므로, 해당 법규정을 삭제하는 것이 필요하다.
개인정보의 목적 외 이용에 관하여, 외국은 정보주체의 예견이 가능하고 실질적 법익침해를 야기하지 않는 범위 내에서는 이를 허용하고 있는 반면, 우리나라는 유독 목적 외 이용의 허용 범위를 매우 좁게 인정하는 경향이 있다.
개인정보 제3자 제공에 관하여, 우리나라는 개인정보의 수령자가 누구인지 그 개인 또는 법인의 명칭까지 특정하여 제3자 제공 동의를 받도록 하고 있다. 이 때문에 상용화에 장애를 빚는 신산업 서비스의 예로, 금융권에서 추진 중인 프라이빗 블록체인 기반 인증서 서비스가 있다. 한편, 외국은 개인정보 공동이용제도 또는 일정한 집단 단위의 수령자에 대한 제공동의 제도로써 이 문제를 해결하고 있다.
개인정보 비식별화 제도에 관한 법률개정안은 2018. 11. 15.자로 국회에 발의되어 있으나, 위 세 가지 영역의 규제의 개선방안은 이번 개정안에 포함되지 않았다. 이 부분에 대한 사회적 합의 또한 긴요하다.

참고문헌 (Reference)

• 1 김현숙, "한국 개인정보보호법 상정당한 이익 확대도입 방안에 관한 연구" 한국정보법학회 22 (22): 141-174, 2018
• 2 경성대학교 산학협력단, "일본 개인정보보호법 법제ㆍ정책분석에 관한 연구" 개인정보보호위원회 2017
• 3 최계영, "의료 분야에서의 개인정보보호 - 유럽연합과 미국의 법제를 중심으로 -" 법학연구소 9 (9): 206-223, 2016
• 4 행정자치부, "우리 기업을 위한 유럽 일반 개인정보 보호법 안내서"
• 5 손영화, "사물인터넷 시대의 개인정보 보호의 과제 -일본의 2015년 9월 개정 개인정보보호법을 중심으로-" 한국기업법학회 31 (31): 293-324, 2017
• 6 이지수, "미국의 Gramm Leach Bliley Act 소개"
• 7 전승재, "개인정보, 가명정보, 익명정보에 관한4개국 법제 비교분석" 한국정보법학회 22 (22): 183-218, 2018
• 8 김기창, "개인정보 주체의 ‘동의’: 동의의 허구성과 해결방향, 개인정보보호법제 개선을 위한 정책연구보고서" 2013
• 9 국무조정실, "개인정보 비식별 조치 가이드라인"
• 10 장주봉, "개인정보 보호의 법과 정책" 박영사 2016
• 11 이창범, "개인정보 보호법" 법문사 2012
• 12 FCC, "Protecting the Privacy of Customers of Broadband and Other Telecommunications Services"
• 13 FTC, "Protecting Consumer Privacy in an Era of Rapid Change - Recommendations For Businesses and Policymakers"
• 14 HHS, "Incidental Uses and Disclosures"
• 15 FCC, "Fact Sheets on Broadband Consumer Privacy Rules"
• 16 Blockchain Bundesverband, "Blockchain, data protection, and the GDPR"
• 17 "Article 29 Data Protection Working Party, “Opinion 03/2013 on purpose limitation”"
• 18 "Article 29 Data Protection Working Party, “Opinion 01/2017 on the Proposed Regulation for the ePrivacy Regulation”"
• 19 "Article 29 Data Protection Working Party, “Guidelines on Consent under Regulation 2016/679”"