Earticle

사물인터넷, 인공지능 시대에 데이터가 사회와 경제 전반의 핵심자원이 되어 ‘데이터 중심 경제’를 이끌어가고 있다. 대량 데이터의 디지털화는 필수적이 되었고, 더불어 디지털화된 개인정보가 쉽게 수집, 저장, 복제, 분석이 가능해졌다. 전통적인 개 인정보의 개념이 변화되고, 디지털화된 개인정보의 보호와 활용을 위해 미국, 유럽연합(EU), 일본, 우리나라 등 세계 각 국은 비식별화, 익명화, 가명화 개념과 규정을 신설하였다. 각 국의 비식별화 정책에서 이러한 개념들이 구분 혹은 혼용되고 있는데, 이러한 각 국의 정책 현황을 조사, 비교 및 분석하고자 한다. 이를 기반으로 우리나라 비식별화 정책 개선 방향을 모색하고, 빅데이터 시대에 개인정보의 보호와 활용의 균형적 조화를 이루어 디지털 경제에 발전에 기여 할 수 있는 정책 제언을 하고자한다.

In the era of Internet of Things and Artificial Intelligence, it has become essential to digitize mass data, which lea ds ‘data-driven economy’. Digitalized personal data can be easily collected, stored, duplicated and analyzed. As ICT t echnology is evolving the concept of traditional personal data has changed. The United States, the European Union, Japan, Korea and many countries have introduced new concept of personal data into law such as de-identification, a nonymization, and pseudonymization to protect and utilize digitalized personal information. These concepts are disting uishable depending on countries. Therefore, this study will be done by researching and analyzing personal data relate d policies of several countries. Based on this study, this paper will suggest policy on di-identification to draw the ri ght balance between personal data protection and use, which contributes to the development of digital economy.

이 글에서는 2018년 11월 김병욱 의원이 대표발의한 신용정보법 개정안(이하 ʻ개정안ʼ) 중 가명조치·익명조치, 공개된 개인정보의 동의없는 수집 허용 이슈를 검토하였다. 개정안은 정보주체의 실질적 보호장치를 정비・강화하고 빅데이터 활용에 관한 장치를 대폭 보완 또는 도입을 추구한다는 명분을 내세우고 있다. 그럼에도 불구하고 개정안은 익명조치의 적정성 판단에 관한 정부의 개입 및 관련 법적 효력의 적극적 부여(익명정보로의 추정효), 가명조치 방식에 관한 기술중립을 깨고 정부가 직접 개입한다는 점, SNS 등에 오픈한 개인정보를 정보주체의 동의 없이 수집할 수 있도록 허용하여 문제가 있다. 정보에 관한 불필요한 이용동의 절차를 생략하고자 개정안이 도입하는 추가처리 개념 역시 ʻʻ당초 수집한 목적과 상충되지 아니하는 범위ʼʼ에서라고 하여 GDPR의 추가처리(further processing)와 상당히 다른 양태를 보이고 있어서 정보주체의 합리적 기대에 반할 여지가 적지 않다. 따라서 빅데이터의 시급한 활용만을 바라보고 조급하게 개정안을 통과시키는 것은 오히려 되돌리기 어려운 문제의 소지가 크다. 따라서 개정안의 국회 통과를 밀어붙일 것이 아니라 논의를 좀더 오픈시키고 광범위한 의견청취를 통하여 개정안을 통한 법제 변경이 가져올 직・간접적인 긍정적·부정적 효과를 냉정히 분석하고 부정적인 영향이 큰 부분은 GDPR 등 법제와 비교하여 개정안을 전반적으로 검토, 수정할 필요가 있다.

This article reviews the issue of allowing pseudonymisation or anonymisation of personal data and its legal effect, and unauthorized collection of personal data disclosed to SNS under the new bill of the Credit Information Act (hereinafter referred to as 'the bill') introduced by Kim ByungWook, member of Korean National Assembly in November 2018. The bill has the cause of improving and strengthening effective devices to protect data subjects, and at the same time, of supplementing the use of big data. Nevertheless, the bill proposes that the Korean government intervenes in judging the appropriateness of anonymization and actively grants the relevant legal effects such as giving legal presumption as anonymous data. Furthermore, it is also problematic to allow a data processor, etc. to collect personal data without the data subject?s consent. The newly introduced concept of ?further processing? by the bill is designed to omit the unnecessary step of data subject?s agreement for processing his or her data. However, it is allowed in the range ??not in conflict with the originally collected purpose??, which differs considerably from the GDPR?s further processing that allows only when compatible with the originally collected purpose. The bill will incur controversy over the rational expectations of data subjects. Therefore, rather than pushing the bill to pass the National Assembly, this paper recommends discussions open to all stakeholders thereby analyzing all the effects which will be directly or indirectly brought about by the bill to gain acceptable and reasonable balance between personal data protection and smooth data use.