개인정보 보호법

제안이유

디지털정보기술의 발전과 이에 따라 전개되는 빅데이터, 인공지능, 사물인터넷 등의 환경에서, 개인정보의 보호와 활용에 균형을 이룰 수 있는 규범적인 기준을 제시함으로써 개인정보처리자들에게는 법적 안정성과 예측가능성을 부여하고, 정보주체들에게는 실질적인 권리보장을 위한 다양한 제도적 장치들을 마련하며, 이를 뒷받침하기 위한 독립적인 감독기구로서 개인정보보호위원회를 확대·강화하고자 함.

또한 우리 개인정보 보호 법제가 유럽연합의 「일반 개인정보 보호 규칙」(General Data Protection Regulation; GDPR)에 부합하도록 정비하여 국제적 빅데이터 활용규범 수준으로 맞추고, 이후 관련 기업의 교역에도 차질이 없도록 하고자 함.

주요내용

가. 개인정보와 관련된 개념체계를 개인정보가명정보익명정보로 구분하고, 가명정보는 통계작성, 학술연구, 공익적 기록보존의 목적으로 처리할 수 있도록 하며, 가명정보를 처리하는 경우에는 관련 기록을 작성보관하는 등 대통령령으로 정하는 안전성 확보조치를 하도록 하고, 특정 개인을 알아보는 행위를 금지하는 한편 이를 위반하는 경우 형사벌, 과징금 등의 벌칙을 부과하도록 함(안 제2조제2호의2, 제2조의2, 제28조의2부터 제28조의6까지 신설)

나. 빅데이터 시대에 일상화 되어 있는 개인에 관한 다양한 정보들의 분석, 평가, 예측을 위한 개인정보의 처리를 ‘프로파일링’ 개념으로 정의하고, 이에 관한 법률적 요건과 정보주체의 권리 등을 명시함(안 제2조제2호의3, 제4조제4호의2, 제37조의2 신설).

다. 정보주체가 가지고 있는 법적 권리 행사의 실질적 보장을 위하여 개인정보처리자에게 개인정보처리 관련 일반적·1차적 정보제공의무를 부여하고, 개인정보처리에 거부할 수 있는 정보주체의 일반적 권리로서 ‘거부권’을 명문화함(안 제4조제1호의2, 제4조의2, 제37조의3 신설).

라. 개인정보보호위원회를 독립적인 중앙행정기관으로 정하고, 현행법상 행정안전부의 기능을 보호위원회로 이관하며, 보호위원회가 관계 중앙행정기관의 장에게 공동조사 및 처분 등에 대한 의견제시권을 부여하여 개인정보 보호에 관한 컨트롤타워 기능(민간영역에 대한 개인정보 영향평가 제도 도입 포함)을 하도록 함(안 제7조 개정, 제7조의2부터 제7조의14까지 신설, 제33조 개정, 제63조 개정)

마. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」의 개인정보 보호 관련 규정을 삭제하면서, 국외 이전 시 보호 조치, 국외 재이전, 국내대리인, 손해배상 보험 등 현행법과 상이하거나 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에만 있는 규정을 특례로 규정함(안 제17조제18조제30조 개정 및 제39조의3부터 제39조의16까지 신설).

바. 과학기술의 발전과 사회인식의 확장에 따라 추가되는 민감정보들을 법률상 상세하게 열거하여 민감정보처리제한 규정의 엄격성을 강화함(안 제23조제1항 개정).

사. 개인정보처리자가 이 법 또는 그 밖의 개인정보 보호에 관한 법령을 위반하여 권리를 침해한 경우, 침해를 받은 정보주체는 보호위원회에 권리구제를 신청할 수 있고(권리구제 신청이 없는 경우에도 직권으로 침해 사실 조사 가능), 조사결과 정보주체의 권리가 침해되었다고 보호위원회가 결정하는 경우, 보호위원회가 해당 개인정보처리자에게 시정명령을 내릴 수 있도록 하며, 개인정보처리자가 이의신청과 집행정지 등을 할 수 있는 절차 규정을 마련함(안 제50조의2부터 제50조의8까지 신설).

아. 개인정보 유출 등과 관련된 피해자들의 실질적인 권리구제를 위하여 개인정보 집단소송제도를 도입함(안 제57조의2부터 제57조의7까지 신설).

자. 익명처리를 명시적으로 규정함으로써 이 법의 적용이 제외되는 범위(익명정보)를 명확히 함(안 제58조의2 신설).

차. 정보주체의 신청이 있는 경우 피해자들에 대한 신속하고 용이한 권리구제를 위하여 보호위원회가 손해배상을 명령할 수 있도록 함(안 제66조의2, 제66조의3 신설).