- 1 -
- 2 -
- 3 -
- 4 -
- 5 -
- 6 -
- 7 -
- 8 -
- 9 -
- 10 -
- 11 -
- 12 -
- 13 -
- 14 -
- 15 -
- 16 -
- 17 -
- 18 -
- 19 -
- 20 -
- 21 -
- 22 -
- 23 -
- 24 -
- 25 -
- 26 -
- 27 -
- 28 -
- 29 -
- 30 -
- 31 -
- 32 -
- 33 -
- 34 -
분야 일반 개인정보보호법 적용법률 정보통신 개별분야 정보통신망이용촉진정보보호등에관한법률신용정보의이용및보호에관한법률, 위치정보의보호및이용에관한법률, 통신비밀보호법, 주민등록법 ( 제31조 ), 금융실명거래및비밀보장에관한법률 ( 제4조 ), 형법 ( 제316, 제317 조 ), 보건의료기본법 ( 제13조 ) 등 - 35 -
법령개인정보법정보통신망법위치정보법신용정보법 규정 개인정보 란살아있는개인에관한정보로서성명, 주민등록번호및영상등을통하여개인을알아볼수있는정보 ( 해당정보만으로는특정개인을알아볼수없더라도다른정보와쉽게결합하여알아볼수있는것을포함한다 ) 를말한다. " 개인정보 " 란생존하는개인에관한정보로서성명 주민등록번호등에의하여특정한개인을알아볼수있는부호 문자 음성 음향및영상등의정보 ( 해당정보만으로는특정개인을알아볼수없어도다른정보와쉽게결합하여알아볼수있는경우에는그정보를포함한다 ) 를말한다. " 개인위치정보 " 라함은특정개인의위치정보 ( 위치정보만으로는특정개인의위치를알수없는경우에도다른정보와용이하게결합하여특정개인의위치를알수있는것을포함한다 ) 를말한다. " 신용정보 " 란금융거래등상거래에있어서거래상대방의신용을판단할때필요한다음각목의정보로서대통령령으로정하는정보를말한다. 가. 특정신용정보주체를식별할수있는정보나. 신용정보주체의거래내용을판단할수있는정보다. 신용정보주체의신용도를판단할수있는정보 - 36 -
라. 신용정보주체의신용거래능력을판단할수있는정보마. 그밖에가목부터라목까지와유사한정보 < 시행령 > 1. 법제2조제1호가목의특정신용정보주체를식별할수있는정보 : 생존하는개인의성명, 주소, 주민등록번호, 외국인등록번호, 국내거소신고번호, 여권번호, 성별, 국적및직업등 ( 후략 ) ( 제2호부터제5호까지의어느하나에해당하는정보와결합되는경우만해당한다 ) 2. 법제2조제1호나목의신용정보주체의거래내용을판단할수있는정보 : 대출, 보증, 담보제공, 당좌거래 ( 가계당좌거래를포함한다 ), 신용카드, 할부금융, 시설대여와금융거래등상거래와관련하여그거래의종류, 기간, 금액및한도등에관한사항 3. 법제2조제1호다목의신용정보주체의신용도를판단할수있는정보 : 금융거래등상거래와관련하여발생한연체, 부도, 대위변제, 대지급과거짓, 속임수, 그밖의부정한방법에의한신용질서문란행위와관련된금액및발생ㆍ해소의시기등에관한사항. 이경우신용정보주체가기업인경우에는다음각목의어느하나에해당하는자를포함한다. 4. 법제2조제1호라목의신용정보주체의신용거래능력을판단할수있는정보 : 금융거래등상거래에서신용거래능력을판단할수있는다음각목의어느하나에해당하는정보 < 각목생략 > 5. 법제2조제1호마목에따른정보로서다음각목의어느하나에해당하는정보 < 각목생략 > - 37 -
- 38 -
- 39 -
- 40 -
- 41 -
법률 OECD 가이드라인제1조 EU 지침제2조캐나다프라이버시법제3조일본개인정보보호에관한법률제2조호주프라이버시법제6조영국개인정보보호법제1조 내용 식별된또는식별가능한개인에관한정보. any information relating to an identified or identifiable individual ("data subject") 정보주체의신원이확인되었거나확인가능한정보. any information relating to an identified or identifiable natural person ("data subject"); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;" (art. 2 a) 신원을확인할수있는개인에대한정보 생존하고있는개인에관한정보로서당해정보에포함된성명, 생년월일기타설명된것에의해특정한개인을식별할수있는것 ( 다른정보와용이하게조회할수있으며, 그렇게함으로써특정한개인을식별할수있게되는것을포함한다 ) - 우리나라와가장유사함 진실이든아니든물리적형태에기록되어있든아니든간에그의신원이명백하거나합리적으로판명될수있는개인에관한정보또는의견 신원을확인할수있는생존하고있는개인과관련된데이터또는정보관리자가보유하고있거나앞으로그러할가능성이높은기타정보또는데이터로부터신원이확인가능한생존 - 42 -
독일연방개인정보 보호법제 3 조 개인과관련된데이터 신원이확인되었거나확인가능한정보주체의인적 물적환경에관한일체의정보 - 43 -
- 44 -
- 45 -
- 46 -
- 47 -
Ⅱ. 개인정보보호법 의수집 이용 제공의허용기준에대한평가 - 48 -
- 49 -
- 50 -
- 51 -
- 52 -
- 53 -
- 54 -
- 55 -
회원국은위 호제 문소정의권리가있음을정보주체가알수있도록필요한조치를취하여야한다 - 56 -
- 57 -
- 58 -
- 59 -
- 60 -
- 61 -
- 62 -
- 63 -
- 64 -
- 65 -
- 66 -
- 67 -
- 68 -
- 69 -
- 70 -
- 71 -
- 72 -
- 73 -
- 74 -
- 75 -
- 76 -
- 77 -
- 78 -
- 79 -
- 80 -
- 81 -
- 82 -
- 83 -
- 84 -
- 85 -
- 86 -
- 87 -
- 88 -
- 89 -
- 90 -
- 91 -
- 92 -
- 93 -
- 94 -
- 95 -
- 96 -
- 97 -
- 98 -
- 99 -
- 100 -
- 101 -
- 102 -
- 103 -
- 104 -
- 105 -
- 106 -
- 107 -
- 108 -
- 109 -
- 110 -
- 111 -
- 112 -
- 113 -
- 114 -
- 115 -
- 116 -
- 117 -
구분 1 사이트정보를이용한맞춤형광고 (Site Targeting) 2 문맥을활용한맞춤형광고 (Contextual Targeting) 3 이용자의행태정보를활용한맞춤형광고 (Behavioral Targeting) 4 이용자행태와프로파일정보를결합 활용한맟춤형광고 (Profile Targeting) 5 ISP 기반맞춤형광고 (ISP Behavioral Targeting) 6 이용자관심기반형맞춤형광고 개념 프라이버시침해여부에대한평가 KISA 나종연교수 KISA 이용자가방문한웹사이트정보만을이용한광고이용자가방문한웹사이트에서검색하는검색어에따른광고 이용자가웹사이트에방문하여수행하는행태정보가일정기간동안수집 저장 축적 분석되고이를기반으로이루어지는광고 3 + 이용자회원정보를직접활용 ISP, 웹사이트, 광고네트워크간의제휴를통해 ISP 에서수집된이용자인터넷행태정보를활용하여광고 회원가입 / 비가입시선택하도록되어있는관심사항에기반한광고 이용자가싱글사이트나싱글앱과의상호작용을통해서얻게된정보만을이용한광고이용자가읽은콘텐츠의내용혹은이용자가검색한내용을이용한광고특정이용자가찾은검색어, 방문한웹페이지, 클릭한링크, 이용자가본콘텐츠등이용자의행동양태에대한정보가일정기간동안수집, 저장, 축적, 분석되고이를기반으로이루어지는광고로 ad profile data 가구축됨 특정이용자의온라인상에서의행태에대한정보가일정기간동안수집, 저장, 축적, 분석된자료를이용하는광고행위로 ISP/ 웹사이트 / 광고네트워크간의제휴를통해 ISP 에서수집된데이터를활용해서이루어지는광고행위 키워드, 콘텐츠외에추가적인정보를활용하여고객의관심에부합하는광고를제공. Ad preference manager 를활용하여관심분야를설정하면, 이에따라쿠키설정. 웹사이트에종속된형태이므로프라이버시침해없음검색단어기반이므로프라이버시침해가능성이거의없음 Ad profile data 가구축된다는점에서프라이버시침해우려가있음 3 이외에이용자정보를직접이용하므로프라이버시침해우려가높음 ISP 에의한인터넷패킷감청 (deep packet inspection) 우려 이용자관심정보활용이가능하므로프라이버시침해우려가높음 - 118 -
- 119 -
- 120 -
- 121 -
- 122 -
- 123 -
PII + PII 2 4 + 3 / / PII 1 3 5 + PII PII PII / + PII - 124 -
- 125 -
- 126 -
7) 위사건을계기로뒤늦게 2012. 5. 14. 자개정을통해위치정보법제 15 조제 1 항단서 2 호에 제 29 조제 2 항에따른경찰관서의요청이있는경우 가삽입되어 2012. 11. 15. 부터시행되고있다. - 127 -
- 128 -
- 129 -
- 130 -
- 131 -
- 132 -
- 133 -
- 134 -
- 135 -
- 136 -
- 137 -
- 138 -
- 139 -
- 140 -
- 141 -
- 142 -
- 143 -
- 144 -
- 145 -
- 146 -
- 147 -
- 148 -
- 149 -
- 150 -
- 151 -
- 152 -
가. 손해 개념 (1) 법적 개념으로서의 손해 손해는 어디까지나 법적 개념이다. 따라서 이 세상에 존재하는 모든 불이익을 손해의 개념 안에 끌어들일 수는 없다. 예를 들어 여행 중 행인에게 길을 물어보았는데 잘못된 정보를 제공 하여 목적지에 5분 늦게 도착하게 된 것도 일종의 불이익이다. 하지만 이러한 불이익은 법적인 의미의 손해에는 해당하지 않는다. 한강을 조망할 수 있던 아파트 앞에 다른 아파트가 들어섬 으로써 그 아파트의 시가가 하락하는 것도 분명히 불이익이다. 하지만 이러한 조망이익이 반사 적 이익에 불과하다고 보면 그 이익의 박탈을 배상하여야 할 손해로 인정할 수 없는 경우가 많다. 만약 손해 개념을 모든 유형의 불이익에 무분별하게 확장한다면, 거의 매순간 세상 곳곳 에서 끊임없이 손해배상청구권이 발생할 것이다. 그리고 이 세상에 존재하던 단순한 불운(不 運)의 영역이 순식간에 불법(不法)의 영역으로 뒤덮일 것이다. 이는 바람직하지 않다. 이와 같이 불법행위로 인한 손해배상청구권은 법률상 보호받아야 마땅한 이익에 관하여 현 실적으로 손해가 발생한 때 비로소 성립한다. 그리고 손해의 발생 여부는 사회통념에 비추어 규범적으로 판단할 수 밖에 없다. 이러한 판단에 있어서는 손해의 직접성, 구체성, 특정성, 법 익과의 거리, 법익에 야기된 불이익에 대한 법적 가치판단 등 여러 가지 요소들을 고려하여야 한다. 손해배상제도와 다른 구제수단 사이의 기능적 연관성도 고려할 수 있다. 예를 들어 손해 배상 이외의 다른 구제수단이 충실히 기능하고 있는가 여부가 손해배상의 범위를 확정하는 데 에 영향을 미칠 수 있다. (2) 침해와 손해의 구별 대법원은 소유권의 방해와 손해가 구별되는 개념임을 명확하게 하고 있다.5) 현재 지속되는 권리침해상태는 방해로, 그 결과제거만 문제되는 상태는 손해로 관념함으로써 지속성 이라는 구분표지를 사용한다. 이러한 구분은 권리침해자가 반드시 손해배상책임을 지는 것은 아니라는 점을 의미한다. 가령 대법원은 부정경쟁행위에 있어서 침해자라고 하여 반드시 손해배상책임을 지는 것이 아니라는 점을 명확하게 한다.6) 인격권에 있어서도 인격권의 침해와 이로 인한 손해는 구별된다. 이러한 구별은 중요한 의 미를 가진다. 인격권의 침해는 침해금지청구권을, 이로 인한 손해는 손해배상청구권을 발생시 킨다. 침해금지청구권의 상대방은 현재 침해상태를 지배하는 자이지만, 손해배상청구권의 상대 방은 과거에 손해를 야기한 자이다. 따라서 침해금지청구권에 있어서는 그 상대방이 직접 침해 상태를 야기하였는가는 본질적으로 중요하지 않다. 침해금지청구권의 발생에는 고의 내지 과실 과 같은 귀책사유가 요구되지 않지만, 손해배상청구권의 발생에는 원칙적으로 위와 같은 귀책 사유가 요구된다. 둘 다 위법성이 요구되지만, 그 위법성의 정도는 손해배상청구보다 침해금지 청구에서 더 높게 파악하여야 한다는 견해도 주장되고 있다.7) 이처럼 양자의 차이점에 주목한다면 인격권의 일종인 개인정보자기결정권이 침해되었다고 하여 논리필연적으로 정신적 손해가 곧바로 발생하는 것은 아니다. 일반적으로 말하자면 개인 정보권의 침해는 사회통념상 정신적 손해를 발생시킬 개연성이 크다. 하지만 개인정보권이 침해되었지만 정신적 손해는 발생하지 않는다 는 명제가 적용되는 사례도 있을 수 있다. 따라 5) 대판 2003. 3. 28, 2003다5917. 6) 대판 2008. 11. 13, 2006다22722; 대판 2004. 7. 22, 2003다62910. 7) 郭潤直編, 民法注解(Ⅴ), 1992, 311면(柳元奎 執筆部分)에서는 임미시온에 관하여 일본에서 주장되는 위법성의 2단계 설을 소개하고 있다. 또한 대판(전) 2008. 4. 17, 2006다35865의 다수의견도 이를 전제하고 있다. - 153 -
- 154 -
- 155 -
- 156 -
- 157 -
- 158 -
- 159 -
- 160 -
- 161 -
- 162 -
국가내용 OECD 식별되거나식별될수있는개인에관한모든정보3) 가이드라인식별되거나식별될수있는자연인에관한모든정보 ; 식별될수있는자란신원확인번호나개인이가지는고유한신체적 생리적 정신적 경제적 문화적 사회적특질중하 EU지침나이상의요소등을참고 (reference) 함으로써직 간접적으로신원이확인될수있는사람을말한다. 4) 독일식별되거나식별될수있는개인의인적, 물적환경에관한일체의정보 5) 다음으로부터식별할수있는생존하는개인에관한데이터 당해정보 ; 또는 정보관리자 (data controller) 가보유하고있거나보유할가능성이있는기타데이터영국나정보 (information). 그리고해당개인에대한견해의표시나해당개인에대한정보관리자또는기타사람들의의도를드러내는모든표시를포함하는데이터나정 일본 미국 프랑스 스웨덴 핀란드 캐나다 호주 보 6) < 해외입법례에서의 개인정보 의정의 > 생존하는개인에관한정보로서, 당해정보에포함되는성명, 생년월일기타서술등에의해특정한개인을식별하는일이가능한것 ( 다른정보와용이하게조합되어, 그에의해특정한개인을식별하는일이가능하게되는것을포함한다 ) 을말함 7) (Privacy Act 1974) 행정기관이보유하는개인에관한정보의개개항목또는그집합을말한다. 그기록 (record) 에는당해개인의교육, 금전적거래, 병력, 전과, 취업경력에관한정보가담기지만이에한정되지않는다. 그리고그기록에는당해개인의이름또는식별번호나식별부호혹은지문, 성문, 사진과같은당해개인에게고유한식별자가포함되어있어야한다 8) 직 간접적으로식별확인번호나특정인을확인하게해주는하나이상의요소를참고함으로써식별되거나식별가능한개인에관한정보. 개인이식별가능한지여부를결정하기위해서는신원확인을위해정보처리의책임자가접근가능하거나이용할수있는모든수단또는기타의자가가질수있는모든수단을고려할것이권고된다. 직 간접적으로생존하는자연인을언급할수있는모든유형의정보사람또는사람의가족구성원이나세대에관한것으로서이들을식별할수있는사적개인에관한모든정보및당해개인의사적인특징이나상황에관한모든정보식별할수있는개인에대한정보. 단, 정보처리단체 (organization) 의직원들의이름, 직위, 직장주소, 전화번호는포함되지아니한다. 당해정보또는의견으로부터신원이명백하거나확실시될수있는개인에관한정보또는의견을의미하는것으로, 데이터베이스에포함된정보또는의견을포함하며해당정 - 163 -
국가내용보가진실인지여부및물리적인형태로기록되어있는지여부와는관계없음식별가능한개인에관한정보로서 출생사망신고법 1951 에의해보관되는사망자등뉴질랜드록부에포함된정보를포함 - 164 -
- 165 -
- 166 -
2. 묵시적 동의도 포함하는 지 여부 위와 같이, 형법의 일반이론에 따르면, 정보주체의 동의는 순수한 사실적 행위인 양해에 해 당하여 명시적, 묵시적 동의에 의하여도 유효한 양해가 되며 외부에 표현될 필요도 없게 된다. 그러나 우리나라의 수사실무나 행정실무는 정보주체의 동의를 엄격하게 파악하여 거래관계 에 따른 묵시적 동의 내지 추정적 승낙을 이에 포함시키지 않는 것으로 보인다. 즉, 현행 개인 정보보호법 해설서는 정보주체의 명시적인 동의를 얻어야 개인정보를 처리할 수 있다고 표현 하고 있으며15), 경찰 등의 수사기관에서도 정보주체의 동의가 명시되어야 개인정보보호법/정 보통신망법위반이 아니라는 태도를 보이고 있다. 이에 따라 특히 수사실무에서는 정보주체의 명확한 동의를 보여주는 자료가 없는 경우 일단 개인정보보호법위반의 강한 혐의를 두는 경향 이 보이고 있다. 그러나 법리적으로 볼 때 정보주체가 개인정보자기결정권을 행사함에 있어 그 의사표시인 동의를 반드시 명시적인 형태로만 할 필요는 없다. 이는 정보주체의 자유와 편의의 문제인 것이 다. 어느 경우에나 명시적인 동의를 요구한다면 일상적인 거래관계가 어려워질 수 있다. 위 해 설서에서도 예를 든 것처럼, 인터넷 중고거래사이트에서 상품을 팔기 위하여 정보주체가 판매물 품에 대한 설명과 자신의 전화번호를 기재한 경우, 이는 해당 상품의 거래목적으로 전화번호를 이용해도 된다는 동의의 의사표시를 한 것으로 보아야 하고 묵시적 동의에 해당한다.16) 현행 개인정보보호법, 정보통신망법, 위치정보법, 신용정보법 등은 정보주체의 동의를 반드 시 명시적으로 받으라고 규정하고 있지 않다. 위 법률은 해당 정보주체에게 수집목적, 항목, 기간 등을 명확하게 인지할 수 있도록 알리고 동의를 받으라고 하고 있을 뿐이다(개인정보보 호법 제22조). 다만, 하위 시행령에서 동의받는 방법을 한정하여 개인정보처리자에게 전화, 우편, 팩스, 인터넷 홈페이지 등을 통하여 동의의 의사표시를 확인할 것을 요구하고 있다(개인 정보보호법 시행령 제17조, 정보통신망법 시행령 제12조)17). 그러나 위 시행령 규정이 정보 주체가 행할 수 있는 동의의 형식을 제한하는 것으로 해석되어서는 곤란하다. 위 규정은 개인 정보처리자의 정보주체에 대한 고지방법을 특정한 것이며 이를 어기고 동의를 받더라도 동의 자체가 없는 것은 아니다. 정보주체에게 명확하게 알리지 않고 동의를 받는 행위는 동의를 전 혀 받지 않는 행위와 구분되며 이는 별도로 과태료라는 행정질서벌로 규제되고 있다(개인정보 보호법 제75조 제3항 제2호18)). 물론 정보주체의 권익을 보호하기 위하여 정보주체의 동의는 반드시 명시적인 동의이어야 한다고 해석할 수도 있다. EU 1995년 지침도 전문 (33), 제7조에서 정보주체의 명시적 동 15) 이 법에서 정보주체의 동의는 명시적 동의를 의미한다, 행정안전부, 개인정보보호법령 및 지침고시 해설서, 73면 16) 행정안전부, 개인정보보호법령 및 지침고시 해설서, 82면 17) 해외 입법례 EU 개인정보보호지침 제2조제h항 : 정보주체의 동의 라 함은 정보주체가 그 자신과 관련된 개인정보가 처리 되도록 하는 합의를 표시함으로써 자유롭게 표명된, 특정의 통지된 의사표시를 말한다. 독일 연방데이터보호법 제4a조제(1)항 : 동의는 관련인의 자유결정에 의했을 경우에만 효력이 있다. 개별적 상 황에 따라 필요하거나 요구를 받은 경우 관련인에게 개인정보의 수집목적, 생산 또는 이용, 동의거부에 따른 결 과에 대하여 설명해 주어야 한다. 동의는 특별한 상황에 따른 다른 방법이 적절치 않다면 서면의 형식을 갖추어 야 한다. 동의가 다른 설명과 함께 서면의 형식으로 교부되어야 한다면 이 동의는 특별히 강조되어야 한다. 영국 데이터보호법 해설서(Data Protection Act 1998, Legal Guidance) 3.1.5 동의 : 정보주체는 반드시 그의 동의를 표시 하여야 한다는 사실은 당사자간에 활발한 의사소통이 있어야 한다는 것을 의미한다. 정보주체는 주 로 서면으로 동의를 표시할 것이다. 정보관리자는 고객이 리플렛에 응답하지 않거나 또는 되돌려보내지 않는 의 사소통에 대한 무응답으로부터 동의를 추론할 수 없다. (이하 생략) 18) 개인정보보호법 제75조 제3항 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다. 2. 제22조제1항부터 제3항까지의 규정을 위반하여 동의를 받은 자 - 167 -
- 168 -
- 169 -
- 170 -
- 171 -
- 172 -
- 173 -
연구수행기관 년도 설문참여자 설문참여율 1 Association of American 2003 연구자, 연구책임자, Institutional 331명 2 Medical College review board (IRB) 직원, 공무원 (AAMC) National Cancer Advisory Board (NCAB) Agency for Healthcare Research and Quality (AHRQ) National Survey of Epidemiologists HMO Research Network (HMORN): survey of investigators HMORN: survey of IRB 2003 암센터장, 임상협력그룹의장, 연구프 39% (89/226) 로그램의대표연구자에의해추천된구성원 2004 16명의보건서비스연구자, 17명의 77% (33/43) IRB 센터장, 연구감사책임자 2007 13개역학분야단체의전문가 1,527명 3 2008 15개 HMORN 연구센터의과학자 43% (89/235) 2008 15개 HMORN 연구센터의 IRB 센터장 73% (11/15) administrators AcademyHealth 2007 AcademyHealth 의전문가 396명 4 American Heart 2007 American Heart Association 과 656명 5 Association/American American College of Cardiology 의 College of Cardiology 전문가 (AHA/ACC) North American 2006 The North American Association of 66% (47/77) Association of Central Central Cancer Registries 의구성원 Cancer Registries American Society for 2008 13개기관의감사종사자 27명 27명 Clinical Oncology (ASCO) Association of Academic 2007 5개기관의연구자및감사책임자 5개기관 Health Centers (AAHC) 모든설문참여자총수 3,211명 - 174 -
- 175 -
- 176 -
- 177 -
- 178 -
- 179 -
- 180 -
- 181 -
- 182 -