[개인정보] 통계작성, 연구, 공익적 기록보존을 위하여 가명정보를 제공하는 경우 정보주체의 개별적 동의 예외를 인정하는 조항이 개인정보자기결정권을 침해하는지 여부

헌법재판소 2023. 10. 26. 선고 2020헌마1476 전원재판부
[개인정보보호법제28조의2등위헌확인 ] [헌공제325호,1708]

【판시사항】

‘개인정보 보호법’ 제28조의2 제1항이 통계작성, 과학적 연구, 공익적 기록보존을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있도록 하고, ‘신용정보의 이용 및 보호에 관한 법률’ 제32조 제6항 제9호의2 중 같은 조 제1항 본문 및 제2항 전문을 적용하지 않는 부분(이하 위 두 조항을 합하여 ‘심판대상조항’이라 한다)이 신용정보제공·이용자, 신용정보회사, 신용정보집중기관이 통계작성, 연구, 공익적 기록보존을 위하여 가명정보를 제공하는 경우에는 신용정보주체로부터 개별적으로 동의를 받지 않아도 된다고 규정함으로써 청구인들의 개인정보자기결정권을 침해하는지 여부(소극)

【결정요지】

심판대상조항은 데이터의 이용을 활성화하여 신산업을 육성하고 “통계작성, 연구, 공익적 기록보존”을 보다 효과적으로 수행하기 위한 것으로서, 그 입법목적이 정당하고 수단의 적합성이 인정된다. 가명정보는 그 자체만으로는 특정 개인을 알아볼 수 없어 인격권이나 사생활의 자유에 미치는 영향이 크지 않고, 정보주체의 동의 없는 처리는 “통계작성, 연구, 공익적 기록보존” 목적으로만 가능하며, 법률에서 정보주체를 보호하기 위한 여러 규정을 두고 있으므로, 침해의 최소성도 인정된다. “통계작성, 연구, 공익적 기록보존”을 효과적으로 수행하고자 하는 공익이 가명정보가 제한된 목적으로 동의 없이 처리되는 정보주체의 불이익보다 크다고 할 수 있으므로, 법익의 균형성도 갖추었다. 따라서 심판대상조항은 청구인들의 개인정보자기결정권을 침해하지 않는다.

【심판대상조문】

개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정된 것) 제28조의2 제1항, 신용정보의 이용 및 보호에 관한 법률(2020. 2. 4. 법률 제16957호로 개정된 것) 제32조 제6항 제9호의2 중 같은 조 제1항 본문 및 제2항 전문을 적용하지 않는 부분

【참조조문】

개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정된 것) 제2조 제1호 다목·제1호의2, 개인정보 보호법(2014. 3. 24. 법률 제12504호로 개정된 것) 제2조 제2호, 개인정보 보호법(2011. 3. 29. 법률 제10465호로 개정된 것) 제2조 제5호, 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정된 것) 제23조 제1항 제1호·제2호, 신용정보의 이용 및 보호에 관한 법률(2020. 2. 4. 법률 제16957호로 개정된 것) 제2조 제2호 가목·나목, 제5호, 신용정보의 이용 및 보호에 관한 법률(2015. 3. 11. 법률 제13216호로 개정된 것) 제2조 제6호, 신용정보의 이용 및 보호에 관한 법률(2009. 4. 1. 법률 제9617호로 전부개정된 것) 제2조 제7호, 신용정보의 이용 및 보호에 관한 법률(2020. 6. 9. 법률 제17354호로 개정된 것) 제32조 제1항·제2항

【참조판례】

헌재 2012. 12. 27. 2010헌마153
판례집 24-2하, 537, 547

【전 문】

【청 구 인】 이○○ 외 4인 (대리인 법무법인 00 담당변호사 000 외 1인)

【주 문】

이 사건 심판청구를 모두 기각한다.

【이 유】

1. 사건개요

가. 청구인들은 국민건강보험공단 등을 비롯한 ‘개인정보 보호법’상 개인정보처리자에게 개인정보를 제공한 정보주체이자, 은행 및 신용카드 회사에 개인신용정보를 제공하고 서비스를 이용하고 있거나 의료 관련 보험에 가입한 사람들이다.

나. 청구인들은 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다고 규정한 ‘개인정보 보호법’ 제28조의2, 신용정보제공·이용자, 신용정보회사, 신용정보집중기관(이하 ‘신용정보회사 등’이라 한다)이 통계작성, 연구, 공익적 기록보존 등을 위하여 가명정보를 제공하는 경우에는 신용정보주체로부터 개별적으로 동의를 받지 않아도 된다고 규정한 ‘신용정보의 이용 및 보호에 관한 법률’(이하 ‘신용정보법’이라 한다) 제32조 제6항 제9호의2, 제33조 제2항이 청구인들의 개인정보자기결정권을 침해한다고 주장하며, 2020. 11. 2. 이 사건 헌법소원심판을 청구하였다.

2. 심판대상

가. 청구인들은 신용정보법 제32조 제6항 제9호의2 전체에 대하여 심판청구를 하고 있다. 그러나 청구인들은 신용정보회사 등이 통계작성, 연구, 공익적 기록보존 등을 위하여 가명처리된 개인신용정보를 타인에게 제공하는 경우에는 신용정보주체로부터 개별적으로 동의를 받지 않도록 한 것의 위헌성을 다투고 있으므로, 이 부분 심판대상을 이와 관련된 부분으로 한정한다.

나. 청구인들은 신용정보법 제33조 제2항이 같은 법 제32조 제6항 제9호의2와 결합하여 신용정보회사 등이 개인의 질병에 관한 가명정보를 동의 없이 제공할 수 있는 근거가 된다고 주장하며 신용정보법 제33조 제2항도 심판대상으로 삼고 있다.

그러나 신용정보법 제33조 제2항은 ‘신용정보회사 등이 개인의 질병, 상해 또는 그 밖에 이와 유사한 정보를 수집·조사하거나 제3자에게 제공하려면 미리 법에서 정한 방식으로 해당 개인의 동의를 받아야 한다’고 규정하여, 해당 정보주체를 식별할 수 있는 질병 등의 정보를 전제로 한다. 그런데 신용정보법 제32조 제6항 제9호의2는 이와 달리 신용정보회사 등이 가명처리하여 그 자체만으로는 특정 개인을 식별할 수 없는 정보를 정보주체의 동의 없이 타인에게 제공할 수 있도록 한 것이 문제이므로 청구인들의 이 부분 주장은 잘못된 법률해석에 기인한 것이고, 나아가 청구인들은 신용정보법 제33조 제2항의 위헌성에 대하여 구체적인 주장을 하고 있지 아니하므로 위 조항은 심판대상에서 제외한다.

다. 따라서 이 사건 심판대상은 ① 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정된 것) 제28조의2 제1항(이하 ‘개인정보조항’이라 한다), ② ‘신용정보의 이용 및 보호에 관한 법률’(2020. 2. 4. 법률 제16957호로 개정된 것) 제32조 제6항 제9호의2 중 같은 조 제1항 본문 및 제2항 전문을 적용하지 않는 부분(이하 ‘신용정보조항’이라 하고, 위 두 조항을 합하여 ‘심판대상조항’이라 한다)이 청구인들의 기본권을 침해하는지 여부이다. 심판대상조항 및 관련조항은 다음과 같다.

[심판대상조항]

개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정된 것)

제28조의2(가명정보의 처리 등) ① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.

신용정보의 이용 및 보호에 관한 법률(2020. 2. 4. 법률 제16957호로 개정된 것)

제32조(개인신용정보의 제공·활용에 대한 동의) ⑥ 신용정보회사등(제9호의3을 적용하는 경우에는 데이터전문기관을 포함한다)이 개인신용정보를 제공하는 경우로서 다음 각 호의 어느 하나에 해당하는 경우에는 제1항부터 제5항까지를 적용하지 아니한다.

9의2. 통계작성, 연구, 공익적 기록보존 등을 위하여 가명정보를 제공하는 경우. 이 경우 통계작성에는 시장조사 등 상업적 목적의 통계작성을 포함하며, 연구에는 산업적 연구를 포함한다.

[관련조항]

개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정된 것)

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

1. “개인정보”란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다.

다. 가목 또는 나목을 제1호의2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 “가명정보”라 한다)

1의2. “가명처리”란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.

개인정보 보호법(2014. 3. 24. 법률 제12504호로 개정된 것)

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

2. “처리”란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(정정), 복구, 이용, 제공, 공개, 파기(파기), 그 밖에 이와 유사한 행위를 말한다.

개인정보 보호법(2011. 3. 29. 법률 제10465호로 제정된 것)

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

5. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정된 것)

제23조(민감정보의 처리 제한) ① 개인정보처리자는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

1. 정보주체에게 제15조 제2항 각 호 또는 제17조 제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우

2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

신용정보의 이용 및 보호에 관한 법률(2020. 2. 4. 법률 제16957호로 개정된 것)

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

2. “개인신용정보”란 기업 및 법인에 관한 정보를 제외한 살아 있는 개인에 관한 신용정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다.

가. 해당 정보의 성명, 주민등록번호 및 영상 등을 통하여 특정 개인을 알아볼 수 있는 정보

나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 정보

5. “신용정보회사”란 제4호 각 목의 신용정보업에 대하여 금융위원회의 허가를 받은 자로서 다음 각 목의 어느 하나에 해당하는 자를 말한다.

가. 개인신용평가회사: 개인신용평가업 허가를 받은 자

나. 개인사업자신용평가회사: 개인사업자신용평가업 허가를 받은 자

다. 기업신용조회회사: 기업신용조회업 허가를 받은 자

라. 신용조사회사: 신용조사업 허가를 받은 자

신용정보의 이용 및 보호에 관한 법률(2015. 3. 11. 법률 제13216호로 개정된 것)

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

6. “신용정보집중기관”이란 신용정보를 집중하여 관리·활용하는 자로서 제25조 제1항에 따라 금융위원회로부터 허가받은 자를 말한다.

신용정보의 이용 및 보호에 관한 법률(2009. 4. 1. 법률 제9617호로 전부개정된 것)

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

7. “신용정보제공·이용자”란 고객과의 금융거래 등 상거래를 위하여 본인의 영업과 관련하여 얻거나 만들어 낸 신용정보를 타인에게 제공하거나 타인으로부터 신용정보를 제공받아 본인의 영업에 이용하는 자와 그 밖에 이에 준하는 자로서 대통령령으로 정하는 자를 말한다.

신용정보의 이용 및 보호에 관한 법률(2020. 6. 9. 법률 제17354호로 개정된 것)

제32조(개인신용정보의 제공·활용에 대한 동의) ① 신용정보제공·이용자가 개인신용정보를 타인에게 제공하려는 경우에는 대통령령으로 정하는 바에 따라 해당 신용정보주체로부터 다음 각 호의 어느 하나에 해당하는 방식으로 개인신용정보를 제공할 때마다 미리 개별적으로 동의를 받아야 한다. 다만, 기존에 동의한 목적 또는 이용 범위에서 개인신용정보의 정확성·최신성을 유지하기 위한 경우에는 그러하지 아니하다.

1. 서면

2. 「전자서명법」 제2조 제2호에 따른 전자서명(서명자의 실지명의를 확인할 수 있는 것을 말한다)이 있는 전자문서(「전자문서 및 전자거래 기본법」 제2조 제1호에 따른 전자문서를 말한다)

3. 개인신용정보의 제공 내용 및 제공 목적 등을 고려하여 정보 제공 동의의 안정성과 신뢰성이 확보될 수 있는 유무선 통신으로 개인비밀번호를 입력하는 방식

4. 유무선 통신으로 동의 내용을 해당 개인에게 알리고 동의를 받는 방법. 이 경우 본인 여부 및 동의 내용, 그에 대한 해당 개인의 답변을 음성녹음하는 등 증거자료를 확보·유지하여야 하며, 대통령령으로 정하는 바에 따른 사후 고지절차를 거친다.

5. 그 밖에 대통령령으로 정하는 방식

② 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사 또는 신용정보집중기관으로부터 개인신용정보를 제공받으려는 자는 대통령령으로 정하는 바에 따라 해당 신용정보주체로부터 제1항 각 호의 어느 하나에 해당하는 방식으로 개인신용정보를 제공받을 때마다 개별적으로 동의(기존에 동의한 목적 또는 이용 범위에서 개인신용정보의 정확성·최신성을 유지하기 위한 경우는 제외한다)를 받아야 한다. 이 경우 개인신용정보를 제공받으려는 자는 개인신용정보의 조회 시 개인신용평점이 하락할 수 있는 때에는 해당 신용정보주체에게 이를 고지하여야 한다.

3. 청구인들의 주장

가명정보도 다른 정보와 결합하는 경우 등에는 정보주체 식별이 가능해질 우려가 있으므로 개인정보자기결정권의 보호를 받는 개인정보에 해당한다. 한편, 개인정보 중에서도 건강이나 질병에 관한 정보는 내밀한 사적 영역에 관한 정보로서 특별한 보호가 필요하다. 심판대상조항이 개인정보처리자 및 신용정보회사 등으로 하여금 통계작성 등 목적을 위하여 건강이나 질병에 관한 민감한 정보까지 포함하는 모든 가명정보를 정보주체의 동의 없이 처리할 수 있도록 하는 것은 청구인들의 개인정보자기결정권을 침해한다.

4. 판단

가. 가명정보 제도의 개관

(1) 심판대상조항의 입법경위 및 입법취지

데이터 활용의 중요성이 대두되고 산업계에서 이에 대한 수요가 늘어나면서, 2016. 6.경 관계부처 합동으로 ‘개인정보 비식별조치 가이드라인’이 마련되었다. 이 가이드라인은 가명처리, 범주화 등 다양한 기술을 활용하여 개인정보에서 정보주체를 식별할 수 있는 요소를 제거한 뒤 적정성 평가를 거쳐 동의 없는 활용이 가능하도록 하였다. 이후 가명처리 및 가명정보의 개념과 이에 대한 활용의 범위를 법률에 규정할 필요성이 대두되었고, 이에 대한 논의 과정에서 정보주체의 동의 없이 가명정보를 활용할 수 있는 범위에 영리 목적을 포함할 것인지 여부에 대한 논의가 본격화되었다.

이와 관련한 다수의 ‘개인정보 보호법’ 일부개정법률안이 발의되었는데, 그중에는 가명정보 활용의 목적 범위를 “통계작성, 과학적 연구, 공익적 기록보존 등”으로 규정하면서 제안이유에서 “새로운 기술·제품·서비스의 개발 등 산업적 목적을 포함하는 과학적 연구, 시장조사 등 상업적 목적의 통계작성” 등을 포함한다고 명시한 안(의안번호 제2016621호)도 있었고, “통계작성, 학술연구, 공익적 기록보존”으로 목적을 한정한 안(의안번호 제2016668호)도 있었다.

결국 2020. 2. 4. 법률 제16930호로 개정된 ‘개인정보 보호법’은 “개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.”라고 규정하여 가명정보의 활용범위를 정하면서(제28조의2 제1항), ‘과학적 연구’란 “기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말한다.”라고 정의하였다(제2조 제8호). 위와 같이 신설된 개인정보조항은 데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서 데이터의 이용을 활성화하고자 하는 데 그 입법취지가 있다.

개인정보조항이 신설되기 전의 구 ‘개인정보 보호법’(2020. 2. 4. 법률 제16930호로 개정되기 전의 것)은 개인정보처리자는 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다고 규정하였는데(제18조 제2항 제4호), 개인정보조항이 신설되면서 이 조항은 삭제되고 그보다 더 넓은 범위를 포괄하는 개인정보조항이 이를 대체하는 역할을 하게 되었다.

한편, 위와 같은 취지에서 신용정보법에도 개인신용정보를 가명처리한 가명정보의 활용에 관한 조항이 함께 도입되었다. 특히 금융분야는 체계적으로 관리되는 정형화된 데이터가 대량으로 축적되어 있어 개인의 특성을 반영한 맞춤형 금융상품의 개발이나 다른 산업분야와의 융합까지도 가능하게 되는 등 혁신성장의 혜택이 국민의 삶과 직결되어 있어 데이터의 활용가치가 매우 높다는 사정 등을 고려하여, 2020. 2. 4. 법률 제16957호로 개정된 신용정보법은 신용정보회사 등이 통계작성(시장조사 등 상업적 목적의 통계작성을 포함), 연구(산업적 연구를 포함), 공익적 기록보존 등을 위하여 가명정보를 제공하는 경우에, 그 가명정보를 타인에게 제공하려는 신용정보제공·이용자나 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사 또는 신용정보집중기관으로부터 가명정보를 제공받으려는 자가 신용정보주체의 동의를 받지 않아도 되도록 하였다(제32조 제6항 제9호의2 참조).

(2) ‘유럽연합(EU) 일반 개인정보 보호법’상의 유사 규정

‘유럽연합(EU) 일반 개인정보 보호법’(General Data Protection Regulation, 이하 ‘GDPR’이라 한다)은 개인정보 보호에 관한 유럽연합의 규정으로서, 국가 간 개인정보의 이전이 빈번해진 상황에서 다른 나라의 개인정보 관련 법제에도 많은 영향을 미치고 있다. 우리 ‘개인정보 보호법’ 개정 과정에서도 GDPR을 참고한 바 있다. GDPR은 우리 ‘개인정보 보호법’보다 앞서 가명처리의 개념을 도입하였고 그 개념은 ‘개인정보 보호법’상 가명처리의 개념과 유사하다. 그러나 규정의 체계상 가명처리에 따른 법률효과에는 차이가 있다.

GDPR에는 개인정보가 가명처리되었다는 사실 자체만으로 이를 제한된 목적으로 정보주체의 동의 없이 처리할 수 있도록 허용하는 규정은 존재하지 않는다. 대신 개인정보의 목적 외 이용을 허용하는 규정에 의해서 결과적으로는 개인정보조항과 유사한 가명정보 활용을 허용하고 있다. 구체적으로 살펴보면, GDPR은 개인정보를 처리하기 위해서는 정보주체의 동의 등 적법한 근거가 필요하다고 규정하고(제6조 제1항 참조), 개인정보를 수집할 때는 처리 목적을 구체적으로 특정하여야 하고 그 목적과 양립가능하지 않은 방향으로 추가 처리해서는 안 된다는 원칙을 두고 있다[제5조 제1항 (b) 전문 참조]. 그런데 그와 동시에 “공익적 기록보존 목적, 과학적 또는 역사적 연구 목적, 통계 목적”으로 추가 처리하는 경우로서 제89조 제1항을 준수하는 경우에는 당초의 목적과 양립가능한 추가 처리로 간주한다[제5조 제1항 (b) 후문 참조]. 제89조 제1항은 “공익적 기록보존 목적, 과학적 또는 역사적 연구 목적, 통계 목적”을 위하여 정보를 처리할 때에는 정보주체의 권리와 자유 보장을 위하여 적절한 보호조치를 하여야 한다고 규정하면서, 특히 정보 최소화의 원칙을 준수하기 위한 기술적·관리적 조치가 확보되도록 해야 하며, 이러한 조치에는 가명처리를 통해서 처리 목적을 달성할 수 있다면 가명처리가 포함될 수 있고, 정보주체를 식별할 수 없는 방식으로도 처리 목적을 달성할 수 있다면 그러한 방식으로 처리하여야 한다고 규정한다. 즉, GDPR에서 가명처리는 정보주체의 권리를 보호하기 위한 조치의 대표적인 예로 규정되어 있다.

한편, GDPR은 원칙적으로는 민감정보의 처리를 금지하되, 당초의 목적과 상당한 관계에 있고 정보주체의 권리를 보호하기 위한 적절한 조치를 제공하며 제89조 제1항을 준수하는 경우로서 “유럽연합법 또는 회원국법에 따라 공익적 기록보존 목적, 과학적 또는 역사적 연구 목적, 통계 목적”으로 처리하는 경우라면 예외적으로 민감정보를 처리할 수 있다고 규정하고 있다[제9조 제2항 (j) 참조].

따라서 GDPR의 다른 규정을 통하여 정보주체의 동의 없는 처리가 허용되는 경우는 별론으로 하고, 적어도 제5조 제1항 (b) 후문 및 제9조 제2항 (j)에 따라 예외가 인정되는 경우에 그 문언에서 명시한 목적의 범위는 “공익적 기록보존 목적, 과학적 또는 역사적 연구 목적, 통계 목적”으로 한정되어 있다.

(3) 심판대상조항이 규정한 가명정보의 활용 범위

일반적으로 법령에서 하나 또는 수개의 사항을 열거하고 그 뒤에 ‘등’을 사용할 경우 열거된 사항은 예시사항으로 보고, 특별한 이유가 없는 한 그 ‘등’에는 열거된 예시사항과 규범적 가치가 동일하거나 그에 준하는 성질을 가지는 사항이 포함되는 것으로 해석한다. 그러나 앞서 살펴본 심판대상조항의 입법과정에서 알 수 있듯이, 목적의 범위에 관해 다양한 견해가 제시됨에 따라 이를 아우르는 과정에서 ‘등’이라는 표현을 사용하게 된 것에 불과하고, 심판대상조항에 ‘등’을 사용한 것이 통계작성, 연구, 공익적 기록보존 외에 이에 준하는 다른 목적을 위해서도 정보주체의 동의 없는 가명정보 활용이 가능하도록 그 범위를 무한히 확장하는 취지라고 보기는 어렵다.

특히, ‘개인정보 보호법’에 따르면 정보주체는 개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리를 가지는 것이 원칙이고(제4조 제2호 참조), 심판대상조항은 이에 대한 예외를 규정하고 있으므로, 예외규정을 되도록 확장해석해서는 안 되는 법해석의 일반원칙을 감안한다면 심판대상조항이 허용하는 가명정보 활용의 목적은 법문에 명시된 범위 내로 제한된다고 보아야 한다. 입법자의 의도가 가명정보 활용의 목적 범위를 이보다 더 확대하는 것이라면 이는 정보주체의 개인정보자기결정권을 추가적으로 제한하게 되므로 법문에 명확히 규정되어야 할 것이다.

따라서 개인정보조항의 경우 “통계작성, 과학적 연구, 공익적 기록보존”, 신용정보조항의 경우 ‘통계작성(시장조사 등 상업적 목적의 통계작성을 포함), 연구(산업적 연구를 포함), 공익적 기록보존’이라는 법문에서 명시적으로 규정하고 있는 목적에 한하여 정보주체의 동의 없이 가명정보를 처리할 수 있도록 규정하고 있다고 보아야 하고, 위와 같이 명시된 범위를 넘어 통계나 연구에 준하는 다른 목적으로 활용하는 것은 법률에서 허용한 범위를 벗어난다고 할 것이다.

나. 개인정보자기결정권 침해 여부

(1) 제한되는 기본권

개인정보자기결정권은 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리로서, 헌법 제10조 제1문에서 도출되는 일반적 인격권 및 헌법 제17조의 사생활의 비밀과 자유에 의하여 보장된다. 이와 같이 개인정보의 공개와 이용에 관하여 정보주체 스스로가 결정할 권리인 개인정보자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있다. 또한 그러한 개인정보를 대상으로 한 조사·수집·보관·처리·이용 등의 행위는 모두 원칙적으로 개인정보자기결정권에 대한 제한에 해당한다(헌재 2012. 12. 27. 2010헌마153).

가명정보는 원래의 상태로 복원하기 위한 추가 정보의 사용·결합을 통해서 특정 개인을 알아볼 수 있는 정보이므로 개인정보자기결정권의 보호대상이 되는 개인정보에 해당한다. 심판대상조항은 신용정보회사 등을 포함하는 개인정보처리자로 하여금 통계작성 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있도록 하므로, 심판대상조항이 정보주체인 청구인들의 개인정보자기결정권을 침해하는지 살펴보기로 한다.

(2) 과잉금지원칙 위반 여부

(가) 목적의 정당성 및 수단의 적합성

심판대상조항은 데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서, 통계작성, 연구, 공익적 기록보존을 위한 데이터의 이용을 활성화하기 위하여 도입된 것이다. 데이터의 이용을 활성화함으로써 신산업을 육성하고 통계작성, 연구, 공익적 기록보존을 보다 효과적으로 수행하는 것은 궁극적으로는 데이터를 이용하는 주체뿐만 아니라 사회 전체의 편익에 기여하는 것으로서, 심판대상조항은 입법목적의 정당성이 인정된다. 심판대상조항이 가명정보를 정보주체의 동의 없이 처리할 수 있도록 하는 것은 이와 같은 입법목적 달성을 위하여 적합한 수단이다.

(나) 침해의 최소성

1) 기술이 발달하면서 방대한 데이터의 수집과 처리가 용이해진 상황에서, 이를 활용하여 관련 산업을 육성하고 국가경쟁력을 확보하며 여러 분야에서 효율과 편익을 증대하기 위해서 데이터의 이용을 활성화할 필요가 있는 한편, 개인정보의 수집과 이용에 대한 수요가 급증하는 와중에 정보주체의 개인정보자기결정권을 충분히 보호하기 위한 방편도 마련되어야 한다. 데이터를 처리할 때 특정 개인을 알아볼 수 없는 상태로 처리한다면 정보주체를 가장 잘 보호할 수 있으나, 다른 정보를 사용하여도 더 이상 특정 개인을 알아볼 수 없는 익명정보는 서로 다른 정보집합물 사이의 결합 등이 불가능하므로, 그 활용도에 한계가 있다. 예를 들어 보건의료 분야는 정보집약적인 연구의 필요성과 효용성이 큰 분야이자 여러 요소들 간의 상호관계를 파악하거나 시간에 따른 변화를 추적하는 것이 필요한 경우가 많은 분야로서, 익명정보만으로는 충분한 활용에 한계가 있다. 이러한 경우 다른 기관이 보유한 정보집합물과의 결합 등이 가능한 가명정보의 형태로 개인정보를 처리하면 보다 폭넓은 활용이 가능하다. 이에 ‘개인정보 보호법’은 익명정보만으로 목적을 달성할 수 없는 경우에 한하여 개인정보를 가명에 의하여 처리할 수 있도록 하고 있다(제3조 제7항 참조).

이러한 가명정보는 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보이고(개인정보 보호법 제2조 제1항 다목 참조), 특정 개인을 알아보기 위한 목적으로 가명정보를 처리하는 것은 금지되므로(같은 법 제28조의5 제1항 참조), 가명처리된 이후에 다시 정보주체를 특정하여 별도로 동의를 받는 것을 상정하기 어렵다. 따라서 정보주체의 동의 없이도 가명정보를 처리할 수 있도록 하면 보다 자유로운 데이터 활용이 가능하다.

2) 개인정보의 종류 및 성격, 수집목적, 이용형태, 정보처리방식 등에 따라 개인정보자기결정권의 제한이 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도는 달라진다. 가명정보의 경우 원래의 정보로 복원하기 위한 추가 정보의 사용·결합 없이 그 자체만으로는 특정 개인을 알아볼 수 없고 극히 예외적인 경우에만 정보주체의 식별이 이루어지므로, 일반적인 개인정보에 비해 정보주체의 인격권이나 사생활의 자유에 미치는 영향이 크지 않다.

앞서 살펴본 것처럼 심판대상조항은 개인정보처리자가 정보주체의 동의 없이 가명정보를 처리할 수 있는 목적을 “통계작성, 연구, 공익적 기록보존”으로 한정하고 있으므로 그 밖에 다른 목적으로는 활용이 제한된다.

따라서 심판대상조항은 개인정보 중에서도 가명정보에 대해서, 제한된 목적으로 정보주체의 동의 없이 가명정보를 처리할 수 있도록 함으로써 기본권 침해를 최소화하고 있다.

3) ‘개인정보 보호법’은 가명정보 활용 과정에서 정보주체를 보호하기 위하여 여러 의무를 규정하고, 위반 시 제재를 가하고 있다.

먼저, 가명정보의 처리 과정에서 필요한 보호조치를 충분히 하도록 규정하고 있다. 개인정보처리자가 “통계작성, 과학적 연구, 공익적 기록보존”을 위하여 정보주체의 동의 없이 가명정보를 처리하는 경우 또는 이와 같은 목적을 위하여 전문기관을 통하여 서로 다른 개인정보처리자 간의 가명정보를 결합하거나 결합을 수행한 기관 외부로 결합된 정보를 반출하려는 경우에는, 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관·관리하는 등 해당 정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 하며(제28조의4 제1항), 이를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자에게는 3천만 원 이하의 과태료를 부과한다(제75조 제2항 제5호). 개인정보처리자가 위와 같이 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자, 가명정보의 처리 기간 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 하며, 가명정보를 파기한 경우에는 파기한 날부터 3년 이상 보관하여야 한다(제28조의4 제3항). 이를 위반하여 관련 기록을 작성하여 보관하지 아니한 자에게는 1천만 원 이하의 과태료를 부과한다(제75조 제4항 제7호). 개인정보처리자는 가명정보의 처리 기간을 정한 경우 그 기간이 경과하면 파기하고, 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 하며, 다른 법령에 따라 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장·관리하여야 한다(제21조, 제28조의4 제2항 참조). 이를 위반하여 개인정보의 파기 등 필요한 조치를 하지 아니한 자에게는 3천만 원 이하의 과태료를 부과한다(제75조 제2항 제4호).

다음으로, 가명정보를 이용하여 특정 개인을 재식별하는 것을 금지하고 있다. 개인정보처리자는 개인정보조항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 되고(제28조의2 제2항), “통계작성, 과학적 연구, 공익적 기록보존”을 위하여 정보주체의 동의 없이 가명정보를 처리하는 자 또는 그와 같은 목적을 위하여 서로 다른 개인정보처리자 간에 가명정보를 결합하는 자가 특정 개인을 알아보기 위한 목적으로 가명정보를 처리하는 것은 금지된다(제28조의5 제1항 참조). 제28조의2를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자, 제28조의5 제1항을 위반하여 특정 개인을 알아보기 위한 목적으로 가명정보를 처리한 자는 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처한다(제71조 제2호, 제8호). 제28조의5 제1항을 위반하여 특정 개인을 알아보기 위한 목적으로 정보를 처리한 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다(제64조의2 제1항 제6호).

“통계작성, 과학적 연구, 공익적 기록보존”을 위하여 정보주체의 동의 없이 가명정보를 처리하거나 그와 같은 목적을 위하여 서로 다른 개인정보처리자 간에 가명정보를 결합하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는, 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수·파기하여야 한다(제28조의5 제2항). 이를 위반하여 개인을 알아볼 수 있는 정보가 생성되었음에도 이용을 중지하지 아니하거나 이를 회수·파기하지 아니한 자에게는 3천만 원 이하의 과태료를 부과한다(제75조 제2항 제13호).

마지막으로, 가명정보의 결합 시에 발생할 수 있는 위험을 최소화하기 위한 규정들을 두고 있다. ‘개인정보 보호법’은 여러 가명정보를 결합함으로써 특정 개인을 식별할 수 있게 될 위험을 방지하기 위하여 “통계작성, 과학적 연구, 공익적 기록보존”을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합은 개인정보 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행하도록 하고, 결합을 수행한 기관 외부로 결합된 정보를 반출하려는 개인정보처리자는 가명정보 또는 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보로 처리한 뒤 전문기관의 장의 승인을 받도록 하며, 결합 절차와 방법, 전문기관의 지정과 지정 취소 기준·절차, 관리·감독, 반출 및 승인 기준·절차 등 필요한 사항은 대통령령으로 정하도록 하고 있다(제28조의3). 이를 위반하여 개인정보 보호위원회 또는 관계 중앙행정기관의 장으로부터 전문기관으로 지정받지 아니하고 가명정보를 결합한 자 또는 전문기관의 장의 승인을 받지 아니하고 결합을 수행한 기관 외부로 결합된 정보를 반출하거나 이를 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 결합된 정보를 제공받은 자는 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처한다(제71조 제6호, 제7호).

4) 신용정보법도 가명정보를 처리하는 신용정보회사 등에 대하여 유사한 의무를 부과하고 위반 시 제재를 가하고 있다.

첫째, 신용정보회사 등은 가명처리에 사용한 추가 정보를 대통령령으로 정하는 방법으로 분리하여 보관하거나 삭제하여야 하고, 가명처리한 개인신용정보에 대하여 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험으로부터 가명정보를 보호하기 위하여 내부관리계획을 수립하고 접속기록을 보관하는 등 대통령령으로 정하는 바에 따라 기술적·물리적·관리적 보안대책을 수립·시행하여야 한다(제40조의2 제1항, 제2항). 이를 위반하여 가명처리에 사용한 추가 정보를 분리하여 보관하거나 삭제하지 아니한 자 또는 가명처리한 개인신용정보에 대하여 기술적·물리적·관리적 보안대책을 수립·시행하지 아니한 자에게는 3천만 원 이하의 과태료를 부과한다(제52조 제3항 제16호, 제17호). 또한, 신용정보회사 등은 개인신용정보를 가명처리 한 경우 가명처리한 날짜, 가명처리한 정보의 항목, 가명처리한 사유의 구분에 따라 조치 기록을 3년간 보존하여야 한다(제40조의2 제8항). 이를 위반하여 개인신용정보를 가명처리한 기록을 보존하지 아니한 자에게는 1천만 원 이하의 과태료를 부과한다(제52조 제5항 제11호의3).

둘째, 신용정보회사 등은 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리하여서는 아니 된다(제40조의2 제6항). 이를 위반하여 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리한 경우 전체 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있고(제42조의2 제1항 제1호의4), 이를 위반하여 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리한 자는 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처한다(제50조 제2항 제7호의2). 신용정보회사 등은 가명정보를 이용하는 과정에서 특정 개인을 알아볼 수 있게 된 경우 즉시 그 가명정보를 회수하여 처리를 중지하고, 특정 개인을 알아볼 수 있게 된 정보는 즉시 삭제하여야 한다(제40조의2 제7항). 이를 위반하여 처리를 중지하거나 정보를 즉시 삭제하지 아니한 자에게는 3천만 원 이하의 과태료를 부과한다(제52조 제3항 제18호).

5) 따라서 심판대상조항은 침해의 최소성을 갖추었다.

(다) 법익의 균형성

심판대상조항이 정보주체의 동의 없는 가명정보 처리를 허용함으로써 다량의 데이터를 활용하여 통계작성, 연구, 공익적 기록보존을 보다 효과적으로 수행할 수 있고, 이를 통해 여러 분야에서 지식 축적과 사회 발전을 촉진하고자 하는 공익은 중대하다. 반면, 정보주체는 심판대상조항으로 인해 원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 가명정보가 자신의 동의 없이 통계작성, 연구, 공익적 기록보존의 제한된 목적으로 처리될 수 있는 불이익을 입을 뿐이다. 따라서 청구인들이 제한받는 사익의 정도가 달성하고자 하는 공익에 비하여 크다고 보기 어려우므로, 법익의 균형성도 인정된다.

(라) 소결

따라서 심판대상조항은 과잉금지원칙에 위배되어 청구인들의 개인정보자기결정권을 침해하지 않는다.

5. 결론

그렇다면 이 사건 심판청구는 이유 없으므로 이를 모두 기각하기로 하여, 관여 재판관 전원의 일치된 의견으로 주문과 같이 결정한다.