1.    개인정보 보호법의 개정이 이루어지게 된 배경은 무엇인지?

4차 산업혁명시대를 맞아 신산업 육성이 범국가적 과제로 대두되었습니다. 이를 위해서는 인공지능(AI), 클라우드 컴퓨팅, 사물인터넷(IoT) 등 신기술을 활용한 데이터 이용이 필요하고 그에 따른 사회적 규범 정립이 시급한 상황입니다. 그러나 현행법은 개인정보 개념의 모호성 등으로 수범자의 혼란이 발생하는 등 일정한 한계가 노출되어 왔고, 개인정보 보호 감독기관과 개인정보 보호 관련 법령이 각각 분산되어 있어 그 체계적 정비 필요성이 각계로부터 제기되어 왔습니다. 이에 따라 개인정보의 보호를 강화하면서도 관련 산업의 경쟁력 발전을 조화롭게 모색할 수 있도록 하기 위하여 개인정보 보호법의 개정이 이루어졌습니다. 
 

2.    개정된 개인정보 보호법의 주요 내용은 무엇인지? 

(1) 개인정보와 관련된 개념체계를 개인정보, 가명정보, 익명정보로 명확히 함
(2) 개인정보 보호위원회를 국무총리 소속 중앙행정기관으로 격상하는 한편, 현행법상 행정안전부 및 방송통신위원회의 개인정보 보호 관련 기능을 개인정보 보호위원회로 이관하여 개인정보 보호 컨트롤타워 기능을 강화함
(3) 정보통신망 이용촉진 및 정보보호 등에 관한 법률의 개인정보 보호 관련 규정을 삭제하면서, 국외이전시 보호조치, 국외 재이전, 국내대리인, 손해배상 보험 등 현행법과 상이하거나 정보통신망 이용촉진 및 정보보호 등에 관한 법률에만 있는 규정을 개인정보 보호법상 특례로 규정함
 

3.    개정된 개인정보 보호법은 언제 시행되고, 시행령 등 하위법령의 입법은 언제 이루어지는지? 

개정 개인정보 보호법은 2020. 8. 5.에 시행될 예정입니다. 행정안전부, 방송통신위원회, 금융위원회, 개인정보보호위원회 등 데이터 3법 관계부처는 2020. 1. 21. 발표한 보도자료를 통해 시행령 개정안은 2020. 2.까지 마련하고, 2020. 3.까지 고시 등 행정규칙을 마련하며, 법 시행 시점에 맞추어 분야별 가이드라인과 해설서 개정안을 발간할 계획이라고 밝힌 바 있으나, 현재 시행령 개정안의 공개가 다소 지연되고 있는 상황으로 보입니다.
 

4.    가명정보와 익명정보란 무엇인지? 

가명정보란 개인정보를 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용∙결합 없이는 특정 개인을 알아볼 수 없는 정보를 의미하며(개정 개인정보 보호법 제2조제1호다목), 여기서 가명처리란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 의미합니다(개정 개인정보 보호법 제2조제1의2호).
 
한편, 익명정보란 시간∙비용∙기술 등을 합리적으로 고려할 때 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보로서, 개인정보 보호법이 적용되지 않는 정보를 지칭하는 의미로 활용됩니다(개정 개인정보 보호법 제58조의2). 
 

5.    가명정보는 어떻게 활용할 수 있는지? 

개인정보처리자는 통계 작성, 과학적 연구, 공익적 기록 보존 등을 위해 정보주체의 동의 없이 가명정보를 처리할 수 있습니다(개정 개인정보 보호법 제28조의2 제1항).  
 

6.    가명정보에 대해서도 개인정보 보호에 관한 규정들이 적용되는지?

개정 개인정보 보호법 제28조의7에 따르면, 가명정보에 대해서는 다음 규정들의 적용이 배제됩니다.

• 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지 (개정 개인정보 보호법 제20조)
• 개인정보의 파기 (개정 개인정보 보호법 제21조)
• 영업양도 등에 따른 개인정보의 이전 제한 (개정 개인정보 보호법 제27조)
• 개인정보의 유출 통지 (개정 개인정보 보호법 제34조제1항)
• 정보주체의 권리: 열람, 정정∙삭제, 처리정지 (개정 개인정보 보호법 제35조부터 제37조)
• 정보통신서비스 제공자 등에 대한 특례조항 일부 (개정 개인정보 보호법 제39조의3, 제39조의4, 제39조의6, 제39조의7, 제39조의8)

적용이 배제되는 조항에 포함되어 있지 않은 대표적인 조항들은 다음과 같습니다.

• 개인정보의 처리 위탁 (개정 개인정보 보호법 제26조)
• 개인정보 처리방침의 수립 및 공개 (개정 개인정보 보호법 제30조)
• 개인정보 유출 신고 (개정 개인정보 보호법 제34조제3항)
• 정보통신서비스 제공자 등에 대한 특례조항 중 국외 이전 개인정보의 보호 (개정 개인정보 보호법 제39조의12)
   

7.    가명정보를 처리할 때에는 어떤 사항들을 유의하여야 하는지?

가명정보를 제3자에게 제공하는 경우, 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안 되며(개정 개인정보 보호법 제28조의2제2항), 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 안 됩니다(개정 개인정보 보호법 제28조의5제1항). 그리고 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우, 즉시 해당 정보의 처리를 중지하고, 지체없이 회수∙파기해야 합니다(개정 개인정보 보호법 제28조의5제2항). 

한편, 가명정보를 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관∙관리하는 등 해당 정보가 분실∙도난∙유출∙위조∙변조 또는 훼손되지 않도록 안전성 확보에 필요한 기술적∙관리적 및 물리적 조치를 해야 하고(개정 개인정보 보호법 제28조의4), 서로 다른 개인정보처리자 간의 가명정보의 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행해야 합니다(개정 개인정보 보호법 제28조의3).    
 

8.    동의를 받지 않고도 당초의 수집 목적과 다른 목적을 위해서 개인정보를 이용∙제공할 수 있는지? 

개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위 내에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령이 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용∙제공할 수 있습니다(개정 개인정보 보호법 제15조제3항, 제17조제4항).
 

9.    온라인 서비스 이용자의 개인정보 보호에 대해서는 어떤 규정이 적용되는지?

기존 정보통신망 이용촉진 및 정보보호 등에 관한 법률 내 제4장의 개인정보의 보호에 관한 규정들이 개정 개인정보 보호법 제6장 “정보통신서비스 제공자 등의 개인정보 처리 등 특례”로 이관되어, 향후 온라인 서비스 이용자의 개인정보 보호에 대해서도 개인정보 보호법이 적용됩니다. 

이관되는 과정에서 기존 조항들이 삭제되거나 변경되기도 하였으므로 – 예컨대, 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 규정되어 있던 개인정보의 처리위탁에 관한 조항이 삭제되었고, 개인정보의 국외 처리위탁 및 보관에 따른 동의절차를 거치지 않을 수 있는 “정보통신서비스 제공에 관한 계약을 이행하고 이용자 편의 증진 등을 위하여 필요한 경우”라는 요건도 삭제되었음 – 개정된 조항들에 대한 정확한 이해가 요구됩니다.
 

10.  개정법 위반에 대해서는 어떠한 제재가 부과될 수 있는지?

금번 개정에 따라 신설된 주요 조항들 위반에 대해서는 형사처벌을 포함해 다음과 같은 제재가 부과될 수 있습니다. 

• 가명정보를 제3자에게 제공하면서 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함하는 행위: 5년 이하의 징역 또는 5,000만 원 이하의 벌금
• 특정 개인을 알아보기 위한 목적으로 가명정보를 처리하는 행위: (1) 5년 이하의 징역 또는 5,000만 원 이하의 벌금; (2) 전체 매출액의 100분의 3 이하에 해당하는 금액의 과징금
• 가명정보의 결합 제한에 관한 규정을 위반하여 가명정보를 처리하거나 제3자에게 제공하는 행위, 그 사정을 알면서도 영리 또는 부정한 목적으로 가명정보를 제공받는 행위: 5년 이하의 징역 또는 5,000만 원 이하의 벌금
• 가명정보 처리시 안전조치의무를 이행하지 아니하여 개인정보를 분실∙도난∙유출∙위조∙변조 또는 훼손당한 경우: 2년 이하의 징역 또는 2,000만 원 이하의 벌금
• 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성되었음에도 즉시 해당 정보처리를 중지하지 않거나 지체없이 회수∙파기하지 않은 행위: 3,000만 원 이하의 과태료
• 가명정보 처리 관련 기록을 작성하여 보관하지 않은 경우: 1,000만 원 이하의 과태료