개인정보보호법

제안이유

우리나라는 자타가 공인하는 세계 최고수준의 전자정부를 구축·운영 중이며 정보통신 강국으로 인정받고 있다. 이에 따라 공공부문과 민간부문을 가리지 않고 개인정보의 수요가 급증하고 있으며, 개인정보를 이용한 각종 서비스와 마케팅 방법이 광범위하게 개발·이용되고 있다. 이처럼 개인정보의 활용 가치가 확대되고 수요가 폭증함에 따라 개인정보의 과도한 수집과 오남용이 사회적 문제로 대두되고 있으나, 이 같은 문제에 종합적·체계적으로 대처할 수 있는 개인정보보호 감독기구가 부재하고 개인정보보호법이 제정되어 있지 아니하여 우리나라는 국제무대에서 개인정보보호 후진국으로 취급받고 있다. 최근에는 이 같은 제도적 결함을 악용하여 국내외 범죄집단들이 해킹, 피싱 등 갖가지 불법적인 방법으로 개인정보를 수집하여 암시장을 통해 국내 기업이나 개인들에게 되파는 먹이사슬까지 생겨나고 있어 국민들의 사생활 안전이 위협받고 있으며 막대한 경제적 피해까지 우려되고 있는 상황이다. 이에 국제적인 흐름에 맞추어 개인정보의 보호와 활용을 조화롭게 이끌어갈 수 있는 종합적인 개인정보보호법의 제정과 독립적인 개인정보보호 감독기구의 신설에 대한 사회적 요구가 높다. 이미 17대 국회에서 여야 의원들에 의하여 무려 5개(2개는 철회)의 개인정보보호법안이 발의되었을 만큼 개인정보감독기구의 설치와 개인정보보호법의 제정은 국민적 공감대를 형성하고 있다. 이에 따라 국제적 수준의 개인정보보호법을 제정하여 국민의 권리와 사생활보호는 물론 정보사회의 균형있는 발전에 이바지하고자 한다.

주요내용

가. 법의 적용범위를 민간부문과 공공부문 전체로 확대(안 제2조, 제6조 및 제67조)

(1) 공공부문과 민간부문에 동일한 개인정보보호 원칙을 적용하고 개인정보보호 사각지대를 없애기 위해 법의 적용범위를 공공부문과 민간부문 전체로 함.

(2) 다만, 개인정보보호법이 지나치게 사적인 영역으로까지 침입하는 것을 방지하기 위하여 업무를 목적으로 개인정보를 처리하는 경우로 제한하고(안 제2조제6호), 개인이나 가사를 목적으로 개인정보를 처리하는 경우를 제외함(안 제74조제1항).

(3) 또한, 국가안전보장을 위하여 긴급히 필요한 경우에는 이 법의 일부 적용을 제외함(안 제74조제2항).

(4) 개인정보처리에 관하여 다른 법률에 특별한 규정이 있는 경우에도 이 법의 적용을 배제함으로써 중복규제 및 법률내용간 충돌을 피함(안 제6조).

나. 개인정보 수집·이용·제공 등의 원칙 제시(안 제7조 및 제8조)

(1) 개인정보의 과도한 수집 및 오남용을 방지하기 위하여 정보주체의 동의가 있거나 법률에 규정이 있는 경우 등에만 개인정보를 처리할 수 있게 함.

(2) 법률의 규정 등에 의하여 개인정보를 처리하는 경우에도 최소한의 개인정보를 최소한의 기간만 처리할 수 있게 하고 최소한의 처리라는 입증책임을 개인정보처리자가 지게 함.

(3) 민감정보의 처리에 대하여 정보주체의 동의를 받을 때에는 다른 개인정보와 구분해서 별도의 명시적인 동의를 받도록 하고, 14세 미만 아동의 개인정보를 처리하고자 하는 경우에는 법정대리인의 동의를 받도록 함.

다. 투명하고 공정한 방법에 의한 개인정보 처리(안 제10조부터 제15조까지)

(1) 정보주체의 개인정보 자기통제권을 보장하기 위하여 개인정보처리에 대한 동의를 받을 때에는 정보주체에게 처리목적 등을 알리고 설명하도록 함. 특히 제3자 제공시에는 제공의 목적 등을 별도로 알리고 동의를 받도록 함.

(2) 개인정보처리자는 미리 개인정보의 처리에 관한 방침을 정하여 공개하여야 하며 변경이 있는 때에도 그 사실을 공개하도록 함.

(3) 개인정보처리자가 개인정보를 수집할 때에는 정보주체의 동의를 받아야 하는 개인정보(선택정보)와 받지 않아도 되는 개인정보(필수정보)를 명확하게 구분하도록 하여 사실상 동의를 강요하고 있는 업계의 오랜 관행을 개선하고자 함.

라. 정보주체의 의사에 반하는 개인정보 처리 제한(안 제16조부터 제20조까지)

(1) 정보주체의 의사에 반하여 개인정보가 음성적으로 처리되는 것을 방지하기 위하여 개인정보처리자에 의한 개인정보의 목적외 이용·제공을 금지하고, 개인정보취급자의 개인정보 누설 및 사적 이용행위를 금지함.

(2) 개인정보의 불법적인 거래 및 제휴회사 간 공유 관행을 근절하기 위해 개인정보를 타인의 텔레마케팅 등에 이용하고자 하는 자는 정보주체에게 미리 그 사실을 동의를 받도록 하고 개인정보보호위원회에 등록하여 관리·감독을 받도록 함.

(3) RFID, CCTV, 전자우편감시시스템 등 자동정보처리장치를 이용한 감시·추적의 절차·방법을 규율함으로서 사생활침해를 최소화하고, 주민등록번호 등 법령에 의해서 부여된 고유식별정보는 원칙적으로 해당 법령에서 정한 목적으로만 이용할 수 있도록 함.

마. 개인정보의 안전한 관리를 위한 조치의무(안 제21조부터 제25조까지)

(1) 내·외부자에 의한 개인정보의 유출 및 도용을 방지하고, 피해확산 방지를 위하여 개인정보보호위원회가 고시한 기술적·관리적 보호조치를 취하도록 의무화함.

(2) 또한, 내부통제시스템 강화를 위해 개인정보보호책임자 지정제도를 도입하고, 개인정보처리자에게 개인정보처리업무 수탁자 및 개인정보취급자에 대한 특별한 관리·감독의무를 부여함.

(3) 개인정보처리자가 개인정보의 누출·공개·도용 등의 사실을 안 때에는 지체없이 피해 최소화를 위한 조치를 취하고 정보주체에게 누출사실 등을 통지하고, 일정 규모 이상의 개인정보 누출사고에 대해서는 개인정보보호위원회에게 신고하도록 함. 제도의 정착 및 활성화를 위해 통지 및 신고 의무를 성실히 이행한 경우 손해배상책임을 감경하도록 함.

바. 정보주체의 권리 보장(안 제26조부터 제31조까지)

(1) 헌법재판소가 인정하고 있는 정보주체의 개인정보자기통제권을 보장하기 위해 정보주체에게 자신의 개인정보에 대한 열람요구권, 정정요구권, 처리정지·중단요구권, 이의제기권 등을 인정함.

(2) 이 법을 위반하여 정보주체에게 피해가 발생한 경우 개인정보처리자는 과실이 없음을 입증하지 못하면 책임을 면할 수 없도록 입증책임을 전환함.

사. 개인정보보호에 관한 자율규제의 촉진(안 제32조부터 제39조까지)

(1) 정부는 공공기관, 사업자단체, 소비자단체, 근로자단체 등에 의한 자율규제활동을 촉진·지원할 수 있게 함.

(2) 사업자단체, 개인정보처리자 등에 의한 자율규제활동을 촉진·조장하기 위하여 표준개인정보처리방침의 등록 및 표시 제도, 자체 조사제도, 영향평가제도 등을 제도적으로 도입하여 지원함.

아. 공공부문에 대한 특칙

(1) 공공부문과 민간부문의 차이에 따른 개인정보처리원칙상의 차이를 반영하여 공공기관에 대해서만 적용되는 몇 가지 특례 규정을 인정함.

(2) 범죄수사, 재판, 국제법상 의무이행 등 공공기관이 수행하는 업무 중 정보주체의 동의를 얻는 것이 해당 업무수행에 현저한 지장을 미칠 우려가 있는 경우에는 동의의 예외를 인정함(안 제7조).

(3) 공공기관이 개인정보파일을 구축·운영하고자 하는 경우에는 개인정보파일의 운영 목적·근거 등을 미리 개인정보보호위원회에 등록하여 공개하도록 함(안 제13조).

(4) 공공기관이 개인정보파일을 다른 개인정보파일과 연동하거나 대조하고자 하는 경우에는 미리 개인정보보호위원회와 협의하도록 함(제14조).

(5) 공공기관이 대통령령으로 정한 개인정보파일을 새로 구축하거나 확대·변경하고자 하는 경우에는 개인정보영향평가를 받도록 함(안 제36조제2항).

자. 개인정보보호위원회의 설치(안 제40조부터 제57조까지)

(1) 개인정보보호에 관한 업무를 독립적으로 수행하기 위하여 대통령소속 아래 개인정보보호위원회를 설치함. 위원회는 위원장 1인과 상임위원 1인을 포함한 9인으로 구성하며, 위원은 국회가 선출한 3인(상임위원 1인 포함), 대통령이 지명하는 3인, 대법원장이 지명하는 3인을 하고, 위원장은 위원 중 대통령이 임명하도록 함.

(2) 개인정보보호위원회의 주요기능을 정책개발 및 시행, 제도개선, 법제도연구, 진정사건의 조사 및 고충처리, 분쟁조정 및 피해구제, 교육·홍보 등으로 하여 지원·촉진 정책과 규제·감독정책이 균형을 이루도록 함.

(3) 개인정보보호위원회에 자료제출요구권, 조사권, 시정권고, 시정명령, 고발 및 징계권고권, 개인정보보호기준 제정권 등의 권한을 부여함.

차. 개인정보분쟁조정제도의 도입(안 제59조부터 제66조까지)

(1) 개인정보관련 분쟁을 공정하게 조정하고 신속한 피해구제를 위해 개인정보보호위원회에 개인정보분쟁조정위원회를 둠.

(2) 피해보상, 권리침해중지, 권리회복 등에 관한 조정이 성립할 경우 재판상 화해의 효력을 인정함.

(3) 개인정보피해가 대부분 대량·소액사건인 점을 고려하여 집단분쟁조정제도를 도입함.

카. 개인정보단체소송제도의 도입(안 제67조부터 제73조까지)

(1) 개인정보처리자로 하여금 개인정보의 수집·이용·제공 등에 대한 준법정신과 경각심을 높이고, 동일·유사 개인정보 소송에 따른 사회적 비용을 절감하기 위해 개인정보단체소송제도를 도입함.

(2) 다만, 단체소송이 남발되는 것을 막기 위해 단체소송 전에 반드시 집단분쟁조정제도를 거치도록 하고 단체소송의 대상을 재산적 손해의 구제와 권리침해행위의 중단·정지 청구소송으로 제한함.

타. 다른 법률의 개정 및 폐지(부칙 제6조)

(1) 「공공기관의 개인정보보호에 관한 법률」을 폐지함.

(2) 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 중 개인정보분쟁조정 및 준용사업자에 관한 규정을 삭제함.