Part 2. 개인정보보호의 제도_개인정보보호 원칙과 의무

1. 개인정보보호 원칙 개요

- 법 제3조 원칙은 OECD 사생활 가이드라인 상의 개인정보보호 8원칙을 참고

> OECD 8원칙

① 수집제한의 원칙: 합법 및 공정한 수집, 최소 정보 수집 / 제3조 ①, ② - GDPR 데이터 최소화

② 정보 정화성의 원칙: 이용 목적에 부합, 목적 범위 내 정확, 완전, 최신화 / 제3조 ③ - GDPR 정확성

③ 목적 명확화의 원칙: 기존 수집 목적 및 목적 변경 시 명확화 / 제3조 ① - GDPR 목적제한

④ 이용제한의 원칙: 목적외 이용, 제공 금지 및 동의, 법률 규정에 의거한 처리 / 제3조 ② - GDPR 저장기간 제한

⑤ 안전성 확보의 원칙: 분실, 불법, 파괴, 오남용, 수정, 게시 등 위험에 대한 합리적 안전조치 / 제3조 ④ - GDPR 무결성과 기밀성

⑥ 처리방침 공개의 원칙: 관련 정책 공개 / 제3조 ⑤ - GDPR 적법성, 공정성, 투명성

⑦ 정보주체 참여의 원칙: 자신의 정보에 대해 확인 및 통지 / 제3조 ⑤

⑧ 책임의 원칙: 기타 제반 조치 / 제3조 ⑧ - GDPR 책임성

개인정보보호법 제3조(개인정보 보호 원칙)

① 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다. ② 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다. ③ 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다. ④ 개인정보처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다. ⑤ 개인정보처리자는 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리를 보장하여야 한다. ⑥ 개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다. ⑦ 개인정보처리자는 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다. <개정 2020. 2. 4.> ⑧ 개인정보처리자는 이 법 및 관계 법령에서 규정하고 있는 책임과 의무를 준수하고 실천함으로써 정보주체의 신뢰를 얻기 위하여 노력하여야 한다.

2. 개인정보 수집 제한

개인정보보호법 제16조(개인정보의 수집 제한)

① 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다. ② 개인정보처리자는 정보주체의 동의를 받아 개인정보를 수집하는 경우 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할 수 있다는 사실을 구체적으로 알리고 개인정보를 수집하여야 한다. <신설 2013. 8. 6.> ③ 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다. <개정 2013. 8. 6.>

 

개인정보보호법 제39조의5(개인정보의 보호조치에 대한 특례)

정보통신서비스 제공자등은 이용자의 개인정보를 처리하는 자를 최소한으로 제한하여야 한다.

3. 민감정보 처리제한

개인정보보호법 제23조(민감정보의 처리 제한)

① 개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. <개정 2016. 3. 29.> 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우 ② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다. <신설 2016. 3. 29.> ③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다. <신설 2023. 3. 14.> [시행일: 2023. 9. 15.] 제23조

> 개인정보보호법 시행령 제18조(민감정보의 범위)에 따른 민감정보

① 유전자검사 등의 결과로 얻어진 유전정보
② 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보
③ 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보
④ 인종이나 민족에 관한 정보

※ 공공기관이 업무수행을 위한 목적(법 제18조제2항제5호~제9호)으로 처리하는 경우 각 정보는 민감정보에 해당하지 않으므로, 주체로부터의 별도 동의 없이 처리 가능

개인정보 보호법 제18조(개인정보의 목적 외 이용ㆍ제공 제한)

5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우 6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우 7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우 8. 법원의 재판업무 수행을 위하여 필요한 경우 9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

4. 고유식별정보 처리제한

개인정보보호법 제24조(고유식별정보의 처리 제한)

① 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 “고유식별정보”라 한다)를 처리할 수 없다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우 ② 삭제 <2013. 8. 6.> ③ 개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다. <개정 2015. 7. 24.> ④ 보호위원회는 처리하는 개인정보의 종류ㆍ규모, 종업원 수 및 매출액 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자가 제3항에 따라 안전성 확보에 필요한 조치를 하였는지에 관하여 대통령령으로 정하는 바에 따라 정기적으로 조사하여야 한다. <신설 2016. 3. 29., 2017. 7. 26., 2020. 2. 4.> ⑤ 보호위원회는 대통령령으로 정하는 전문기관으로 하여금 제4항에 따른 조사를 수행하게 할 수 있다. <신설 2016. 3. 29., 2017. 7. 26., 2020. 2. 4.>

- 고유식별정보의 정의

> 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보

> 시행령에서는 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호로 정의

> 법령에 의해 개인에 부여된 것이므로, 사번, 학번, 법인등록번호, 사업자등록번호 등은 고유 식별정보가 될 수 없음

※ 고유식별정보는공공기관이 업무수행을 위하여 처리하는 경우 고유식별정보로 보지않음

 

- 고유식별정보 처리 실태 조사

> 근거: 개보법 제24조 제4항, 시행령 제21조 제2항 및 제3항

> 보호위원회는 공공기관 또는 5만명 이상의 정보주체에 관하여 고유식별정보를 처리하는 개인정보처리자에 대해서는 고유식별정보의 안전석 확보를 하였는지를 2년마다 1회 이상 조사

> 보호위원회는 온라인 또는 서면을 통하여 필요한 자료를 제출하게 하는 방법으로 조사를 수행하며, 한국인터넷진흥원 또는 보호위원회가 정하여 고시하는 전문기관으로 하여금 조사를 수행하게 할 수 있음

5. 주민등록번호 처리제한

개인정보보호법 제24조의2(주민등록번호 처리의 제한)

정보통신망법 제23조의2(주민등록번호의 사용 제한)

① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다. <개정 2014. 11. 19., 2016. 3. 29., 2017. 7. 26., 2020. 2. 4.> 1. 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우 ② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다. <신설 2014. 3. 24., 2015. 7. 24.> ③ 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다. <개정 2014. 3. 24.> ④ 보호위원회는 개인정보처리자가 제3항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련ㆍ지원할 수 있다. <개정 2014. 3. 24., 2017. 7. 26., 2020. 2. 4.> [본조신설 2013. 8. 6.]

① 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 이용자의 주민등록번호를 수집ㆍ이용할 수 없다. <개정 2020. 2. 4.> 1. 제23조의3에 따라 본인확인기관으로 지정받은 경우 2. 삭제 <2020. 2. 4.> 3. 「전기통신사업법」 제38조제1항에 따라 기간통신사업자로부터 이동통신서비스 등을 제공받아 재판매하는 전기통신사업자가 제23조의3에 따라 본인확인기관으로 지정받은 이동통신사업자의 본인확인업무 수행과 관련하여 이용자의 주민등록번호를 수집ㆍ이용하는 경우 ② 제1항제3호에 따라 주민등록번호를 수집ㆍ이용할 수 있는 경우에도 이용자의 주민등록번호를 사용하지 아니하고 본인을 확인하는 방법(이하 “대체수단”이라 한다)을 제공하여야 한다. <개정 2020. 2. 4.> [전문개정 2012. 2. 17.]

- 주민등록번호 대체 본인확인 수단

> 아이핀, 공인인증서, 휴대전화, 신용카드, 생년월일, 회원번호 등

6. 영상정보처리기기의 설치, 운영 제한

개인정보보호법 제25조(영상정보처리기기의 설치ㆍ운영 제한)

① 누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. 1. 법령에서 구체적으로 허용하고 있는 경우 2. 범죄의 예방 및 수사를 위하여 필요한 경우 3. 시설안전 및 화재 예방을 위하여 필요한 경우 4. 교통단속을 위하여 필요한 경우 5. 교통정보의 수집ㆍ분석 및 제공을 위하여 필요한 경우 ② 누구든지 불특정 다수가 이용하는 목욕실, 화장실, 발한실(發汗室), 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있도록 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. 다만, 교도소, 정신보건 시설 등 법령에 근거하여 사람을 구금하거나 보호하는 시설로서 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다. ③ 제1항 각 호에 따라 영상정보처리기기를 설치ㆍ운영하려는 공공기관의 장과 제2항 단서에 따라 영상정보처리기기를 설치ㆍ운영하려는 자는 공청회ㆍ설명회의 개최 등 대통령령으로 정하는 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하여야 한다. ④ 제1항 각 호에 따라 영상정보처리기기를 설치ㆍ운영하는 자(이하 “영상정보처리기기운영자”라 한다)는 정보주체가 쉽게 인식할 수 있도록 다음 각 호의 사항이 포함된 안내판을 설치하는 등 필요한 조치를 하여야 한다. 다만, 「군사기지 및 군사시설 보호법」 제2조제2호에 따른 군사시설, 「통합방위법」 제2조제13호에 따른 국가중요시설, 그 밖에 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다. <개정 2016. 3. 29.> 1. 설치 목적 및 장소 2. 촬영 범위 및 시간 3. 관리책임자 성명 및 연락처 4. 그 밖에 대통령령으로 정하는 사항 ⑤ 영상정보처리기기운영자는 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다. ⑥ 영상정보처리기기운영자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따라 안전성 확보에 필요한 조치를 하여야 한다. <개정 2015. 7. 24.> ⑦ 영상정보처리기기운영자는 대통령령으로 정하는 바에 따라 영상정보처리기기 운영ㆍ관리 방침을 마련하여야 한다. 이 경우 제30조에 따른 개인정보 처리방침을 정하지 아니할 수 있다. ⑧ 영상정보처리기기운영자는 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁할 수 있다. 다만, 공공기관이 영상정보처리기기 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 대통령령으로 정하는 절차 및 요건에 따라야 한다.

- 영상정보처리기기의 정의

> 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유무선망을 통해 전송하는 장치

 

- 영상정보처리기기 적용범위

> 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유무선망을 통해 전송하는 장치로 한정

 

- 영상정보처리기기 적용대상

> 영상정보처리기기를 설치, 운영하는 자라면 누구든지 영상처리기기에 관한 규제대상에 포함

 

- 공개된 장소에서의 설치, 운영 금지

> 불특정 다수가 출입하거나 이용할 수 있도록 허용된 장소 / 도로, 공원, 공항, 백화점, 대형마트, 버스 등

 

- 영상정보처리기기 운영, 관리에 포함 사항

① 영상정보처리기기의 설치 근거 및 설치 목적
② 영상정보처리기기의 설치 대수, 설치 위치 및 촬영 범위
③ 관리책임자, 담당 부서 및 영상정보에 대한 접근 권한이 있는 사람
④ 영상정보의 촬영시간, 보관기간, 보관장소 및 처리방법
⑤ 영상정보처리기기운영자의 영상정보 확인 방법 및 장소
⑥ 정보주체의 영상정보 열람 등 요구에 대한 조치
⑦ 영상정보 보호를 위한 기술적ㆍ관리적 및 물리적 조치
⑧ 그 밖에 영상정보처리기기의 설치ㆍ운영 및 관리에 필요한 사항

 

- 개인영상정보의 열람 등 요구

> 정보주체 자신이 촬영된 개인영상정보

> 명백히 정보주체의 급박한 생명, 신체, 재산의 이익을 위하여 필요한 개인영상정보

 

※ 영상정보처리기기운영자의 조치

> 열람 등의 요구를 받았을 경우 지체없이 필요한 조치를 취해야함

> 사생활 침해 방지 등을 위해 본인 또는 정당한 대리인인지 신분증명서를 제출받아 확인

> 다음 사유에 해당하는 경우 열람 등 요구를 거부할 수 있으며, 10일 이내 서면 등으로 거부 사유를 통지해야 함

① 범죄수사, 공소유지, 재판수행에 중대한 지장을 초래하는 경우(공공기관에 한함)

② 개인영상정보의 보관기간이 경과하여 파기한 경우

③ 기타 정보주체의 열람 등 요구를 거부할 만한 정당한 사유가 존재하는 경우

 

- 개인영상정보 제공 시 준수사항 및 절차

> 사유 발생 > 신청서 제출 > 본인 여부 및 신청서 확인 > 영상 유무, 3자포함 확인 > 마스킹 등 처리 후 제공 > 안전한 관리 > 파기

> 준수사항: 명확한 목적 명시, 필요한 최소 자료 요청 및 제공, 제공받은 자는 목적 범위 내 안전한 관리, 제공 기관은 제공 사실을 인터넷 등에 공개 및 기록 관리, 목적 달성 등 불필요 시 즉시 파기 및 파기 사실 통보

 

- 개보법 일부 적용제외 및 사유

> 제15조(개인정보의 수집, 이용) 정보주체에 대한 개인정보 수집, 이용 고지 및 동의 획득 의무 - 안내판 설치 등의 의무로 갈음

> 제22조(동의를 받는 방법) 정보주체에게 각각의 동의사항을 구분해 알리고, 개별 동의 획득 - "불특정 다수"의 특성상 동의 곤란

> 제27조(영업양도 등에 따른 개인정보의 이전 제한) 영업의 양도, 합병 시 통지의무 - "불특정 다수"의 특성상 동의 곤란

> 제34조(개인정보 유출 통지 등) 개인정보 유출사고 발생 시 정보주체에 대한 통지 및 관계기관에 대한 신고의무 - "불특정 다수"의 특성상 동의 곤란

> 제37조(개인정보 처리정지 등) 개인정보처리자가 처리하고 있는 자신의 개인정보에 대한 처리정지 요구 - 특정 정보주체만 처리정지 불가