경희대학교 법과대학

가상공간과 법

한국의 개인정보보호제도

I.   개인정보보호제도의 도입 배경

II.  개인정보보호제도의 연혁

III.  이용자(정보주체)의 권리

IV. 정보통신서비스제공자의 의무

V.  자율적 규제 활동

경희대학교 법과대학

한국정보보호진흥원

I. 개인정보보호제도의 도입배경

○ 한국에서 정보화의 진전은 경제적·사회적 효율성 증진 및 국민의 생활편의를 향상시켰으며, 유·무선의 정보통신기반은 한국인의 생활에 중요한 부분이 되었음.

○ 우리 정부는 『작고 효율적인 정부』를 구현하고, 기업의 생산성 향상 및 국민 생활수준의 향상을 위하여 국가기간전산망 사업을 1987년부터 1996년까지 시행함.

- 국가기간전산망사업을 통하여 행정·금융·교육·연구·국방의 5개 분야에 전산망을 구축하고 관련 데이터베이스를 개발함.

○ 2001년말 현재 인터넷 이용자수는 2,438만명(전체인구의 56.6%)에 달하고 있으며, 1995년부터 시작된 초고속정보통신망구축사업으로 2001년 말 현재 780만명(한국의 전체가구의 약 50%에 해당)이 초고속인터넷 접속서비스에 가입하여 이용하고 있다. 2001년 말 현재 무선인터넷 가입자는 2,380만명에 이름.

- 이제 한국에서는 남녀노소 모두 브로드밴드 인프라(초고속인터넷 접속서비스)를 통한 인터넷 뱅킹, 사이버증권거래, 인터넷 쇼핑, 전자우편, 온라인 게임 등이 보편화되었음.

○ 고도화된 통신망을 이용하는 이용자의 증가와 함께 개인정보침해 등 역기능 현상도 증가하여 심각한 사회문제가 되었으며, 이에 학계, 언론계, NGO 등에서 프라이버시 보호를 위한 대책을 강구할 것을 촉구하는 등 개인정보 보호에 대한 국민적 관심이 증가하여 개인정보보호에 대한 입법이 이루어짐.

II. 개인정보보호제도의 연혁

○ 헌법 제17조는 사생활의 비밀과 자유(프라이버시)의 불가침을 명문으로 선언하고 있음. 헌법 제17조는 국민에게 프라이버시의 침해를 당하지 않을 소극적 권리뿐만 아니라 자신에 관한 정보를 적극적으로 통제할 수 있는 권리도 보장하는 것으로 해석됨.

※ 憲法 17조 : 모든 國民은 私生活의 秘密과 自由를 침해받지 아니한다.

○ 헌법상의 원칙을 실현하기 위하여 통신비밀보호법(1948), 전기통신사업법(1961), 의료법(1962), 공공기관의개인정보보호에관한법률(1994)을 제정하여 개인정보를 보호하고 있음. 그밖에 신용정보의이용및보호에관한법률(1995), 전자거래기본법(1999), 전자서명법(1999) 등에서 각 법상의 특성에 따른 프라이버시 보호규정을 두고 있음.

○ 민간부문의 개인정보를 보호하기 위하여 포괄적으로 적용되는 법률로는 1999년 전면 개정되어 2001년 7월 1일부터 시행되고 있는 정보통신망이용촉진및정보보호등에관한법률(정보보호법)이 있음.

- 정보보호법은 OECD에서 제시한 개인정보보호 8원칙을 수용하고, EU의 개인정보보호지침을 고려하여 개인정보기본원칙, 이용자의 권리, 정보통신서비스제공자의 의무, 개인정보침해에 대한 구제 등을 규정

- 동법에 의해 보호되는 자는 □생존하는 자연인□임. 동법은 영리를 목적으로 전기통신설비와 컴퓨터 및 컴퓨터이용기술을 활용하여 개인정보를 수집·가공·저장·검색·송신·수신하는 모든 사업자(정보통신서비스제공자)에게 적용됨.

○ 정보보호법의 적용대상은 1차적으로 온라인 상의 정보통신서비스제공자이지만 오프라인 상에서 컴퓨터를 이용하여 개인정보를 처리하는 일정 범위의 사업자에게도 개인정보보호 규정을 확대 적용하고 있음.

- 여행·호텔업자, 항공운송사업자

- 학원, 교습소

- 회원제로 개인정보를 수집하여 재화·용역을 제공하는 사업자

OECD 가이드라인의 개인정보보호 8원칙

원 칙	내 용
① 수집제한 의 원칙	개인정보의 수집은 합법적이고 공정한 절차에 의하여 정보주체에게 알리거나 동의를 얻은 후에 할 것
② 정보 정확성의 원칙	개인정보는 그 이용목적에 부합되는 것이어야 하며, 정확하고 완전하며 최신의 것일 것
③ 목적 명확화의 원칙	개인정보는 수집시 그 수집목적이 명백히 제시되어야 하며, 그 후의 이용은 수집목적을 따르고 목적이 변경될 때마다 이를 명확히 할 것
④ 이용제한 의 원칙	개인정보는 다른 목적을 위하여 공개, 이용되어서는 안됨. 정보주체의 동의가 있거나 법률의 규정에 의한 경우는 예외
⑤ 안전보호 의 원칙	개인정보는 분실, 불법적인 사용, 훼손, 변조, 개시 등의 위험에 대하여 합리적인 안전조치를 취할 것
⑥ 공개의 원칙	개인정보의 존재, 주요 이용목적, 개인정보정책 및 정보관리자를 공개할 것
⑦ 개인참가 의 원칙	개인 정보주체는 자신의 정보를 열람하고, 정정·보완을 청구할 권리를 가짐
⑧ 책임의 원칙	정보관리자는 위의 원칙이 지켜지도록 필요한 조치를 취할 것

OECD New Guidelines for the Security of Information Systems and Networks: Towards a Culture of Security  2002. 7.

① Awareness ② Responsibility ③ Response ④ Ethics ⑤ Democracy

⑥ Risk Assessment ⑦ Safeguards ⑧ Security Management

⑨ Reassessment

III. 이용자(정보주체)의 권리

□ 개인정보에 대한 이용자의 통제권

○ 수집, 목적외 이용 및 제3자 제공에 대한 동의

- 이용자는 정보통신서비스제공자가 자신의 정보를 수집하는 경우 동의권을 행사함으로써 자기의 정보를 통제할 수 있음. 다만, 정보통신서비스 이용계약의 이행을 위해 필요한 경우, 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우, 다른 법률에 특별한 규정이 있는 경우에는 이용자의 동의 없이 개인정보가 수집될 수 있음.

- 이용자는 정보통신서비스제공자가 이미 고지하거나 이용약관에 명시한 목적의 범위 외에 자신의 정보를 이용하거나 제3자에게 제공하는 경우 동의권을 행사함으로써 자기의 정보를 통제할 수 있음.

○ 동의에 대한 철회권

- 이용자는 수집, 목적 이외의 이용, 제3자 제공에 대한 자신의 동의를 철회할 수 있는 권리가 있음. 정보통신서비스제공자는 이용자의 동의철회가 있는 경우에는 지체없이 수집한 개인정보의 파기, 목적외 이용정지 등과 같은 필요한 조치를 취하여야 함.

○ 열람 및 정정요구권

- 이용자는 정보통신서비스제공자가 보유하고 있는 자신의 개인정보에 대한 열람을 요구할 수 있으며 자신의 개인정보에 오류가 있는 경우에는 그 정정을 요구할 수 있음.

□ 아동의 개인정보보호

○ 법정대리인의 동의권

- 정보통신서비스제공자가 14세 미만의 아동으로부터 개인정보를 수집, 목적외 이용 또는 제3자에게 제공하고자 하는 경우 아동의 법정대리인의 동의를 얻어야 함.

다만, 정보통신서비스제공자가 그 아동에게 법정대리인의 동의를 얻기 위하여 필요한 법정대리인의 성명 등 최소한의 정보는 법정대리인의 사전 동의없이 요구할 수 있음.

○ 법정대리인의 열람·정정요구권

- 법정대리인은 아동에 관한 개인정보의 열람 또는 정정을 요구할 수 있음.

- 법정대리인으로부터 오류의 정정요구를 받은 정보통신서비스제공자는 그 오류를 정정할 때까지 당해 개인정보를 제공 또는 이용하여서는 아니됨.

○ 법정대리인 동의철회권

- 법정대리인은 아동의 개인정보의 수집, 목적외 이용, 제3자 제공에 대한 동의를 철회할 수 있음.

□ 영리목적의 광고성 정보의 수신 거부권

○ 누구든지 수신자의 명시적인 수신거부의사에 반하여 영리목적의 광고성 전자우편을 전송하여서는 아니됨.

○ 영리목적의 광고성 정보를 전자우편으로 전송하고자 하는 자는 다음의 사항을 전자우편에 명시하여야 함.

- 전자우편의 제목

· 제목란의 처음에 "광고"라는 문구와 전자우편의 본문란의 주요내용

- 전자우편의 본문

· 수신자가 수신거부의 의사표시를 할 수 있는 용이한 방법

· 전송자의 명칭 및 연락처(전화번호 또는 전자우편 주소)

○ 일부 사업자들이 법규정을 회피하여 교묘히 광고성 메일(Spam Mail)을 전송하는 사례가 늘어감에 따라 정부에서는 광고성 메일 전송에 대한 규제 강화를 목적으로 하는 법률개정(안)을 준비 중임.

- 동 개정(안)은 표시문구를 □광고□, □성인광고□, □동의□ 등 세분화하고 수신거부를 회피 또는 방해할 목적으로 발신자의 명칭 및 연락처를 허위로 기재하거나 특정 기술로 삭제하지 못하게 하고 한편 수신거부에 소요되는 비용은 발신자가 부담하도록 하고 있음.

□ 개인정보 침해에 대한 손해배상 청구권

○ 이용자는 정보통신서비스제공자의 개인정보보호 규정을 위반한 행위에 의하여 손해를 입은 경우 당해 정보통신서비스제공자에 대하여 손해배상을 청구할 수 있음. 이 경우 당해 정보통신서비스제공자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없음.

○ 이용자는 개인정보 침해로 인해 입은 피해에 대한 구제를 개인정보분쟁조정위원회 또는 법원에 청구할 수 있음.

IV. 정보통신서비스제공자의 의무

□ 개인정보의 최소수집 등의 의무

○ 정보통신서비스제공자는 이용자의 개인정보를 수집함에 있어 이용목적의 범위내에서 필요한 최소한의 정보를 수집하여야 함. 이 경우 필요한 최소한의 정보외의 정보를 제공하지 아니한다는 이유로 서비스 제공의 거부하여서는 아니됨.

○ 정보통신서비스제공자는 사상·신념·과거의 병력 등 민감한 정보를 수집하여서는 아니됨. 다만, 이용자의 동의가 있거나 다른 법률에서 수집할 수 있도록 허용한 경우는 예외

□ 고지·명시의무

○ 정보보호법은 이용자의 자기 정보통제권을 보장하기 위하여 정보통신서비스제공자에게 고지·명시의무를 부과하여 개인정보 처리와 관련한 정보를 제공하도록 하고 있음. 이용자는 정보통신서비스제공자가 제공한 정보를 통하여 자신의 개인정보에 대한 적절한 통제를 할 수 있음.

〈수집시의 고지 또는 명시의무〉

- 정보통신서비스제공자가 개인정보를 수집하고자 하는 경우 다음의 사항을 고지하거나 이용약관에 명시하여야 함.

· 개인정보관리책임자의 성명·소속부서·직위 및 전화번호 기타 연락처

· 정보통신서비스제공자가 수집하고자 하는 개인정보 항목

· 개인정보의 수집 및 이용목적

· 수집하는 개인정보의 보유기간 및 이용기간

· 개인정보를 제3자에게 제공하는 경우의 제공받는 자, 제공목적 및 제공할 정보의 내용

· 이용자의 개인정보 열람 및 정정요구권에 관한 사항

· 이용자의 개인정보 동의철회(회원탈퇴) 방법

〈영업의 양도·양수 및 합병시의 통지의무〉

- 영업의 양도·양수 또는 합병을 하면서 개인정보 데이터베이스를 이전하는 정보통신서비스제공자 또는 당해 데이터베이스를 이전받는 자는 이용자에게 다음 사항을 통지할 의무가 있음.

- 데이터베이스를 이전하는 자는 다음의 사항을 통지하여야 함.

· 개인정보 데이터베이스가 이전하는 원인(예를 들면, 영업의 양도, 인수합병 등)

· 데이터베이스를 이전받는 자의 명칭, 주소, 전화번호 등 연락처

- 데이터베이스를 이전받는 자는 다음의 사항을 통지하여야 함.

· 데이터베이스를 이전받은 사실과 앞으로 서비스를 제공할 자의 명칭

· 개인정보관리책임자의 성명·소속부서·지위 및 연락처

· 개인정보의 이용목적

· 이전받은 개인정보의 항목

· 개인정보의 열람 및 정정에 관한 사항

· 개인정보의 보유·이용기간

〈위탁처리시의 고지의무〉

- 정보통신서비스제공자는 제3자에게 개인정보의 수집·취급·관리 등을 위탁하는 경우 그 사실을 이용자에게 고지하여야 함. 이 경우 업무를 위탁한 자는 수탁한 자가 개인정보보호 규정을 위반하여 입힌 손해에 대하여 배상할 책임이 있음.

□ 목적외 이용·제공 등 금지의무

○ 정보통신서비스제공자는 본인의 동의가 있는 경우가 아니면 수집시 제시한 이용목적 외로 개인정보를 이용하거나 제3자에게 제공하지 못함.

○ 다만, 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우, 통계작성·학술연구 또는 시장조사를 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 가공하여 제공하는 경우, 그리고 다른 법률에 특별한 규정이 있는 경우에는 동의를 얻지 아니하고 이용하거나 제3자에게 제공할 수 있음.

□ 열람·정정 의무

○ 정보통신서비스제공자는 이용자가 자신의 개인 정보에 대한 열람을 요구하거나 오류가 있어 정정을 요구하는 경우에는 지체없이 필요한 조치를 취하여야 함.

○ 정보통신서비스제공자가 오류의 정정요구를 받은 경우 그 오류를 정정할 때까지 당해 개인정보를 제공 또는 이용하여서는 아니됨.

○ 정보통신서비스제공자는 이용자의 동의 철회, 개인정보의 열람 또는 정정의 요구방법을 개인정보를 수집하는 방법보다 어렵게 해서는 아니됨.

□ 개인정보의 파기·삭제 의무

○ 이용자가 개인정보의 이용·제공 등에 대하여 한 동의를 철회한 경우, 정보통신서비스제공자는 개인정보를 삭제하지 아니할 정당한 사유가 없는 한 이용자의 개인정보를 지체 없이 삭제하여야 함.

○ 이용자의 개인정보 삭제요청에도 불구하고 정보통신서비스 제공자가 삭제하지 아니할 수 있는 정당한 사유로는 다른 법에서 개인정보의 보유를 의무로 하고 있거나, 이용자가 서비스 이용요금을 연체하는 등 권리·의무 관계가 정산되지 않은 경우가 있음.

□ 개인정보에 대한 보안 조치할 의무

○ 정보통신서비스제공자는 이용자의 개인정보가 분실·도난·누출·변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적·관리적 보호조치를 취하여야 함.

○ 정보통신서비스제공자는 이용자의 개인정보를 취급하는 자를 최소한으로 제한하여야 함.

□ 개인정보관리책임자의 지정의무

○ 정보통신서비스제공자는 이용자의 개인정보를 보호하고 개인정보와 관련한 이용자의 불만을 처리하기 위하여 개인정보관리책임자를 지정하여야 함.

- 개인정보관리책임자는 개인정보를 취급하는 부서의 장, 이용자의 고충을 처리하는 부서의 장 또는 임원 중에서 선임할 수 있음.

□ 개인정보의 국외이전

○ 정보보호법은 정보통신서비스제공자가 개인정보보호 규정을 위반하는 사항을 내용으로 하는 국제계약을 체결하는 것을 금하고 있음.

V. 개인정보 보호기구

□ 정보통신부(MIC)

○ 정보통신부장관은 개인정보 보호를 위한 정책을 수립하고 정보보호법의 시행을 책임지고 있음. 뿐만 아니라 정보통신부장관의 소관범위는 정보통신·전파관리·우편·우편환 및 우편대체에 관한 사무를 포괄함.

○ 정보통신부장관은 확인된 사실관계의 불법정도에 따라 시정명령 또는 과태료 부과조치를 통하여 사업자의 개인정보 침해 관행의 개선 유도

□ 한국정보보호진흥원(KISA)

○ KISA는 정보보호 업무를 종합적·체계적으로 추진하기 위하여 1996년 4월 정보보호법에 의거 정부출연의 공익법인으로 설립되었음.

○ KISA는 다음의 기능과 역할을 수행함.

- 정보보호를 위한 정책 및 제도의 조사·연구

- 정보화 역기능 분석 및 대책 연구

- 정보보호에 관한 홍보 및 교육·훈련

- 정보보호시스템의 연구·개발 및 시험·평가

- 정보보호시스템의 성능과 신뢰도에 관한 기준 제정 및 표준화 지원

- 정보보호를 위한 암호기술 개발

- 개인정보보호를 위한 대책 연구

- 개인정보분쟁조정위원회 사무국 및 개인정보침해신고센터의 운영

- 정보시스템 침해사고 처리 및 대응체계 운영

- 전자서명법의 규정에 의한 전자서명 인증관리

○ KISA는 정보보호법에 따라 개인정보침해 신고에 대한 고충처리, 시장관행 조사 및 모니터링, 각종 문의에 대한 상담 등을 위하여 2000. 4.부터 개인정보침해신고센터를 설치, 운영 중

- 개인정보침해신고센터는 개인정보보호 규정의 준수여부를 감시하고, 이용자의 신고를 접수

- 개인정보침해신고센터는 신고된 사안에 대하여 사실확인을 하고 경미한 사안에 대하여는 시정을 권고. 중대한 법규정의 위반 또는 시정권고에 불응하는 경우 정보통신부, 경찰, 검찰 등 관계기관에 통보

- 개인정보보호를 위한 홍보와 교육 실시

- 개인정보 보호를 위한 법, 정책연구, 그리고 보호기술의 연구 수행

□ 개인정보분쟁조정위원회

○ 개인정보분쟁조정위원회

- 개인정보분쟁조정위원회(위원회)는 개인정보에 관한 분쟁을 신속, 간편 그리고 공정한 조정을 통한 분쟁해결을 위하여 정보보호법에 의하여 2001. 12. 3. 구성되었음.

- 위원회는 위원장을 포함하여 15인 이내의 법률가, 기술전문가, 교수, 소비자단체 및 사업자 대표로 구성되며 정보통신부장관이 위촉함. 정보보호법은 위원의 자격을 정하고, 임기동안 신분을 보장하여 전문성과 독립성을 확보하고 있음.

○ 분쟁조정절차

- 분쟁조정은 분쟁의 당사자이면 이용자는 물론 정보통신서비스제공자도 신청이 가능하며, 분쟁조정 신청의 비용은 무료임.

- 분쟁조정이 신청되면 위원회는 당사자를 상대로 약식의 사실조사를 실시하고, 당사자간 자율적인 노력에 의해 분쟁이 해결되도록 조정에 앞서 당사자에게 합의를 권고함.

- 합의권고가 불성립된 경우 위원회를 개최하여 조정절차를 개시함. 의견청취, 증거수집, 전문가의 감정 등 사실확정을 통해 신청접수일로부터 60일 이내에 조정안을 제시하여 수락을 권고함.

- 위원회가 제시한 조정안에 대하여 당사자는 15일 이내에 수락의 의사표시를 하고 조정서에 기명날인하면 조정이 성립됨.

- 조정이 이루어지지 않은 경우 당사자는 법원에 소송을 제기할 수 있으며, 위원회는 이용자의 소송을 지원할 수 있음. 당사자는 위원회에 분쟁조정을 신청하지 않고 법원에 직접 소를 제기할 수도 있음.

○ 개인정보분쟁조정위원회 사무국

- 위원회 사무국은 한국정보보호진흥원에 설치되어 있으며 다음과 같은 업무를 처리함.

· 분쟁조정신청사건의 접수·관리

· 개인정보분쟁조정위원회에 상정된 사건에 대한 사실관계 조사·확인, 회의안건 작성, 회의록 관리

· 개인정보보호를 위한 인식제고 및 계도활동과 관련 법·제도·판례 등의 연구

· 개인정보보호관련 국제협력

□ 경찰과 검찰

○ 개인정보보호규정 위반이 형사처벌 대상 사건일 경우에는 경찰이나 검찰의 수사에 검찰의 기소와 이에 대한 법원 판결로써 당해 위반자를 처벌할 수 있음.

○ 경찰청 사이버테러대응센터

- 사이버 공간 내의 정보 이용 방해, 정보 오용, 인터넷을 이용한 범죄 등 모든 사이버 테러를 방지하기 위하여 설치

- Homepage : www.police.go.kr

○ 대검찰청 인터넷범죄수사센터

- 해킹, 컴퓨터바이러스 유포와 같은 신종범죄와 전자상거래를 이용한 사기, 개인정보침해 등 인터넷범죄에 보다 효율적으로 대처하기 위하여 설치

- Homepage : dci.sppo.go.kr

VI. 자율적 규제 활동

□ 개인정보보호 마크 운영

○ 한국정보통신산업협회(KAIT)는 민간 자율적으로 개인정보 보호를 위하여 개인정보를 수집, 취급, 관리하는 인터넷사이트 및 온라인 사업자를 대상으로 개인정보보호마크를 부여하고 있음.

○ KAIT는 아래와 같은 사항에 대하여 구체적인 심사기준을 정하 심사기준을 충족한 사업자에 대하여 마크의 사용을 허용하고 있다

- 개인정보의 수집에 관한 조치

- 개인정보의 이용 및 관리

- 이용자의 권리

- 공개 및 책임

- 만14세 미만의 아동에 관한 특별조치

- 이용자 권리구제

○ 개인정보보호마크 취득시 장점

- 개인정보 불법거래 및 침해 등 인터넷 이용자 불안요소를 예방하고 전자상거래 촉진

- 업계 자율적인 개인정보보호 관리체계 정착으로 법, 규제의 실효성을 증대시켜 전자성거래 신용기반 확충

- 외국과의 마크 상호인정으로 국내 인터넷사업자의 해외시장 진출을 촉진 및 업체 신뢰성 제고

□ 이메일 환경개선 추진협의체

○ 스팸메일의 증가에 따라 e-메일에 대한 네티즌의 불신을 초래하여 인터넷기업의 비즈니스 활동을 위축시키는 결과를 낳고 있어 전자우편으로 마케팅을 하는 사업자들이 자율적인 스팸 방지를 통하여 건전한 e-메일 환경개선을 조성하여 인터넷 기업의 발전을 도모하기 위하여 2002. 1. 23. 설립

○ 전자우편을 통해 마케팅을 하는 사업자간의 이해를 조절하고, 스팸메일 방지 프로그램을 개발·실시 및 캠페인을 함.

□ 한국컨텐츠사업연합회

○ 유료 음성정보서비스사업자가 휴대폰에 발송하는 광고성 문자메시지에 대한 자율규제 실시

○ 한국컨텐츠사업연협회는 음성정보 내용의 사전 심의와 아울러 원하지 않는 광고메시지 수신에 대한 신고접수 및 고충처리 등의 역할 수행

□ 인터넷프로토콜(IP) 실명제 실시

○ 포털사이트인 다음(Daum.net)이 스팸메일 방지책의 일환으로 대량 전자우편 발송자에 대하여는 IP를 다음에 등록하도록 하고 있으며 IP를 등록하지 않을 경우 전자우편의 발송을 봉쇄하는 정책을 시행하고 있음.

□ NGOs의 활동

○ 다수의 소비자단체와 민간단체들이 개인정보 침해에 대하여 방문, 전화, 전자우편 등을 통하여 상담을 하고, 시장관행을 감시·모니터링하여 정부에 정책을 건의하고, 소비자와 사업자의 인식제고를 위한 캠페인을 활발히 전개하고 있음.

○ 함께하는 시민행동(http://www.ww.or.kr/∼/privacy) 등