개인정보 보호법

제안이유

정보화의 진행으로 정보의 통합과 집중이 심화되고 있고 이러한 정보의 축적으로 인한 부작용으로 개인정보의 목적 외 이용, 해킹 사고의 위험과 같은 개인정보 침해사고가 빈번하게 발생하고 있음. 최근에는 모바일, 클라우드화로 인해 개인정보 유출의 경로가 더욱 다양화 되고 있으며 실제 피해 건수도 급격히 증가하고 있음.

그러나 개인정보 보호 관련 업무를 개인정보 보호기구가 전담하고 있는 EU에 비해 우리나라는 개인정보 보호 관련 업무와 권한을 개인정보 보호위원회, 안전행정부, 방송통신위원회, 지방자치단체, 분쟁조정위원회 등에 분산시키고 있어 개인정보 보호 관련 업무의 통일적 수행이 이루어지지 않고 혼란과 비효율이 발생하고 있음. 또한 개인정보 보호위원회는 UN 개인정보 보호 가이드라인, EU 개인정보 보호지침 등의 권고에 따라 개인정보 보호 업무를 독립적으로 수행하기 위해 대통령 소속으로 설립되었지만 독립성을 담보하기에는 그 권한이 충분하지 못하다는 비판을 받아 왔음.

따라서 빈번한 개인정보 침해사고에 효율적으로 대응하고 개인정보 보호 관련 정책의 수립·집행·감독 업무를 통일적으로 수행하기 위해서는 개인정보 보호와 관련된 모든 업무를 전담하는 부처를 둘 필요가 있음.

이에 첫째, 현재 대통령 소속으로 있는 개인정보 보호위원회를 중앙행정기관으로 격상하여 인사와 예산 및 조직의 독립성을 부여하고, 둘째, 개인정보 침해에 대한 구체적인 권리구제 절차를 마련하여 빈번하게 발생하고 있는 개인정보 침해에 대한 권리구제를 강화하며, 셋째, 개인정보 침해에 대한 효율적인 권리구제를 위해 직권조사권, 시정조치명령권, 고발 및 징계권고권과 개인정보처리 개선권고권 등의 권한을 개인정보 보호위원회에 부여하고, 넷째, 국가 등 공공기관이 개인정보를 처리하는 경우 현행법의 적용을 보다 엄격하게 받도록 하고 영세사업자의 경우에는 현행법의 적용을 완화하도록 하는 등 그 동안 이 법 시행 과정에서 제기된 문제점을 개선하려는 것임.

주요내용

가. 개인정보 처리의 범위에 개인정보를 상호 연계·연동하는 것도 포함하도록 하고, 개인정보처리자의 범위를 개인정보파일을 운용하기 위한 목적에만 한정하지 않고 개인정보를 처리하는 모든 경우로 확대하도록 하여 개인정보 처리 및 개인정보처리자의 범위를 확대함(안 제2조제2호 및 제5호).

나. 개인정보처리자는 개인정보를 반드시 익명으로 처리하도록 함(안 제3조제7항).

다. 개인정보 보호위원회의 소관 사무를 개인정보의 보호 및 이용에 관한 시책의 수립·집행, 정보주체의 권리침해에 대한 조사 및 권리구제 등으로 하고, 그 위상을 중앙행정기관으로 격상하며, 개인정보 보호위원회에 1명의 위원장 및 9명의 상임위원을 두되 위원장 및 2의 상임위원을 정무직 공무원으로 함(안 제7조, 제7조의2 신설 및 제8조제1항).

라. 개인정보 국외 이전으로 인한 정보주체의 권리 침해 방지 시책을 마련하고, 이 법을 위반하는 내용으로 개인정보의 국외 이전에 관한 계약을 체결하는 것을 금지하도록 함(안 제17조의2 신설).

마. 개인정보처리자가 수집한 개인정보의 목적 외 이용을 제한하는 요건을 정보주체 또는 제3자의 이익을 부당하게 ‘침해할 우려가 있는 때’에서 ‘침해하는 것이 명백한 때’로 변경하여 그 요건을 명확히 하고, 공공기관이 개인정보를 처리하는 데 있어 보호위원회의 심의·의결 권한을 강화함(안 제18조제2항·제6항, 제32조제2항·제3항 및 제35조제4항제3호).

바. 개인정보처리자는 개인정보가 필요한 경우를 기본적인 재화 또는 서비스의 제공을 위하여 필요한 경우와 부가적인 재화 또는 서비스의 제공을 위하여 필요한 경우의 두 가지로 구분하여 정보주체의 동의를 받도록 하고, 재화 등의 홍보나 판매를 위하여 개인 정보를 처리할 때에는 이를 정보주체가 명확하게 인지할 수 있도록 하는 등 개인정보처리자가 개인정보 처리를 위하여 동의를 받는 방법을 개선함(안 제22조제2항부터 제4항까지).

사. 1회적 위탁사업 또는 영세·소규모 사업자에의 위탁 등 대통령령으로 정하는 소규모 위탁에 대해서는 업무위탁에 따른 개인정보 처리 제한 규정 적용의 예외를 둘 수 있도록 하고, 소상공인의 경우에는 개인정보 보호책임자의 지정 등에 대한 예외를 인정할 수 있도록 함(안 제26조제1항·제7항 및 제58조제9항 신설).

아. 개인정보 보호위원회에 개인정보의 영향평가 및 인증을 위한 기관 지정권을 부여하고, 필요한 경우 개인정보처리자에게 개인정보 영향평가를 권고할 수 있도록 함(안 제33조제3항, 제33조의2 및 제33조의3 신설).

자. 개인정보관련 손해배상 시 개인정보처리자의 과실이 없는 경우에는 이를 책임의 경감사유가 아닌 면책사유로 변경함(안 제39조제2항 삭제).

차. 개인정보와 관련한 권리 침해시 개인정보 보호위원회가 직권으로 그 침해사실을 조사할 수 있도록 하는 등 개인정보와 관련된 권리침해에 대한 보호위원회의 권리구제 절차를 명시하며, 개인정보 관련 권리 구제를 위하여 보호위원회에 시정명령권, 긴급시정명령권, 고발권, 징계권고권, 조정회부권 등을 부여함(안 제39조의2부터 제39조의9까지).

카. 개인정보 단체소송의 대상으로 정보주체의 재산적 피해 구제를 추가함(안 제51조).

타. 개인정보를 개인 또는 가족이 이용하는 경우에는 이 법의 적용을 배제하고 「통계법」에 따라 수집되는 개인정보의 처리는 현행법의 제3장부터 제7장까지를 배제하는 등, 개인정보와 관련한 현행법의 적용 배제 사유 및 적용 배제 조문을 세분화하여 명시함(안 제58조).