｢개인정보 보호법｣상의 ‘개인정보’ 개념에 대한 해석론 = Analyzing the Concept of ‘Personal Data’ under the Personal Data Protection Act of Korea - With Special Reference to De-identified Medical Prescription Data -

국문 초록 (Abstract)

‘암호화된 주민등록번호를 가진 1966년 8월 30일(생년월일)에 출생한 여자(성별)가 2014년 1월 10일 진해연세병원 정형외과에서 질병기호 S934의 병으로 대웅제약의 알비스정을 5일치 처방받았다.’는 내용의 處方箋(처방전) 정보가 있다. 이 匿名化한 환자의 處方箋 정보는 ｢개인정보 보호법｣ 제2조 제1호에서 규정하는 ‘개인정보’에 해당하는가? 그리하여 동 법률의 규율대상이 되는가? 이 정보의 주체가 ‘누군가 특정한 개인’이라는 점은 분명하다. 그런데 이 정보가 만일 그 특정한 개인을 알아볼 수 있는 ‘개인정보’에 해당한다면, 이 정보는 ‘건강에 관한 정보’로서 법 제23조의 ‘민감정보’에 해당하게 되고 따라서 정보주체의 사전 동의를 받거나 법령이 처리를 허용하는 경우 외에는 그 처리(수집⋅이용⋅제공)에 대해 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해지게 된다(제71조 제3호).
아니면, 이러한 정보는 그 정보주체가 누구인지 알아볼 수 없는 정보이기 때문에 ‘개인정보’에 해당하지 않고, 따라서 그 정보주체의 동의 여하에 관계없이 의약품의 연구나 통계분석 목적을 위해 정보보유자(약국 등)와 통계분석자(데이터마이닝회사)
사이의 제한적인 공유를 통해 이 정보를 활용하는 것이 현행법의 해석론으로 허용될것인가?
｢개인정보 보호법｣ 제2조 제1호는 “개인정보란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.”고 개념정의하고 있다. 이 사안에서의 핵심쟁점은 ‘암호화된 주민등록번호, 생년월일과 성별’을 가지고 그 특정의 누군가를 식별해낼 수 있느냐 하는 것이다. 이 쟁점은 단순하게는 법 제2조 제1호의 ‘개인정보’ 개념의 해석⋅적용에관한 문제이지만, 좀 더 넓은 관점에서 보면, ‘익명화한 처방정보에 대해 연구⋅통계목적으로 전문적인 분석을 자유롭게 허용할 것인가’에 관한 문제이다. 물론 익명화의방식에 있어서 그 식별성이 쉽게 복원될 수 있는 것이라면 문제가 되겠지만, ‘복호화가 불가능한 암호화된 주민등록번호’는 그 식별성의 복원이 불가능하고, 또한 ‘생년월일과 성별’ 정보는 개인식별자(identifier)가 아니어서, 이런 수준의 익명화처리라면 ‘연구⋅통계 목적’으로 일반 공개가 아닌 제한적인 유통이 허용되어야 할 것으로 생각된다. 이 글은 비교법적 분석을 통해 한국 ｢개인정보 보호법｣ 상의 ‘개인정보’의 개념에 대한 해석론을 밝히면서위 익명화한 처방전 정보가 ‘개인정보’에 해당하지 않는다는 점을 논증한 것이다.

다국어 초록 (Multilingual Abstract)

There is a set of medical prescription data which indicates that an orthopedic surgeon at the Jinhae Yonsei Clinic prescribed five day doses of ALBIS TAB made by the Daewoong Pharm for a woman born in August 30th, 1966 whose resident registration number was encrypted. Do the anonymized prescription data fall under the category of ‘personal data’ under the Personal Data Protection Act of Korea? Or not?
It is apparent that the data is about some particular person. But the problem is whether she can be identified from the data or other information which is in the possession of, or is likely to come into the possession of, the data controller. Under the Act of Korea, the term “personal data” means “information that pertains to a living person, including the full
name, resident registration number, images, etc., by which the individual in question can be identified, (including information by which the individual in question cannot be identified but can be identified through simple combination with other information).”
The main issue of this paper is whether a particular woman as the above data subject can be identified by the encrypted resident registration number, date of birth and sex. It concludes that an encrypted resident registration number which can not be deciphered, birth date, and sex themselves can not be used as personal identifiers. In its final analysis, the above anonymized prescription data fall out of the category of ‘personal data’ under the Act.

목차 (Table of Contents)

• Ⅰ. 문제의 제기
• Ⅱ. 개인정보보호법의 존재이유 : ‘보호’와 ‘이용’의 균형
• Ⅲ. 개인식별성에 관한 주요 외국 입법례의 비교
• 1. 보호대상이 되는 ‘개인정보’의 필수적 개념요소 : 個人識別性
• 2. 주요 외국법의 ‘개인정보’ 개념에 대한 비교법적 분석
• Ⅳ. ｢개인정보 보호법｣의 해석론 : 개인식별성의 세 가지 판단방법
• Ⅴ. 결론