클라우드 서비스 환경에서 개인정보보호와 동의제도에 관한 연구

Abstract

개인정보보호법령은 개인정보를 살아 있는 개인에 관한 정보로서 특정 개인을 알아볼 수 있는 정보라고 규정하고 있다. 특정 개인 식별가능성 유무는 해당 정보 자체로 판단할 뿐만 아니라 쉽게 결합할 수 있는 다른 정보까지 포함하여 판단하도록 규정하고 있는 만큼 식별가능성 및 용이한 결합가능성이라는 각 요건에 대한 판단기준을 명확하게 정립하여야 한다. 이 논문에서는 개인정보를 해당 정보를 처리하는 자의 입장에서 합리적으로 활용할 가능성이 있는 수단을 고려하여 특정 개인을 식별할 수 있는 정보라는 기준을 제시하였다. 한편 개인정보는 본래 유통을 전제로 한 정보라는 점에서, 널리 알려져서는 안 되는 것을 전제로 한 사생활의 비밀과는 규율의 목적·대상 및 보호방식에서 다를 수밖에 없고, 이러한 점에서 개인정보와 관련하여서는 보호의 가치뿐만 아니라 이용의 가치도 충분히 고려하여야 한다. 클라우드 서비스 제공자가 클라우드에 수집·저장된 이용자 관련 데이터 중 개인을 특정할 수 있는 모든 정보를 삭제한 데이터(이하 새로운 데이터라 한다)를 만든다고 하더라도, 그와 같은 새로운 데이터는 위 클라우드 서비스 제공자와 관련하여서는 여전히 개인정보에 해당한다. 클라우드 서비스 제공자가 위와 같은 새로운 데이터를 유통할 경우, 그와 같은 새로운 데이터를 제공받은 제3자와 관련하여서는 위 새로운 데이터가 개인정보에 해당하지 않으나, 그 제3자가 자신이 가진 정보와 새로운 데이터를 결합한 결과 그 결과물이 개인식별성을 갖게 된 경우에는 그 결과물 전체가 개인정보에 해당하게 되고, 그 제3자는 새로운 개인정보를 생성한 것이 된다. 현행 개인정보보호법령은 수집한 개인정보의 활용에 관하여만 규정하고 있을 뿐, 생성한 개인정보의 활용에 관하여는 규정하고 있지 않다. 이와 관련한 입법적 보완이 필요하다. 개인정보의 위수탁·보관을 전제로 하는 클라우드 서비스 과정에서 개인정보가 국외로 이전되기도 한다. 현행 개인정보보호법령은 개인정보의 국외이전 자체를 금지하고 있지는 않으며, 국외 이전된 개인정보의 사후관리와 관련하여 일정한 보호조치를 요구하고 있을 뿐이다. 개인정보의 적정한 보호·이용을 위해서는 우리나라에서의 개인정보 보호수준과 동등한 보호수준이 보장된 국가로의 이전만 허용되는 것으로 법률이 개정되어야 한다. 개인정보와 관련한 동의는 개인정보 자기결정권의 실현수단이자, 개인정보를 적법하게 처리할 수 있는 근거이다. 그럼에도 현실에서는 동의제도가 형해화되었다. 동의를 실질화·단순화하고, 형식적 동의를 무효로 보며, 클라우드 서비스 제공자가 제3자에게 개인정보를 제공한 현황을 공개하도록 하는 사후통제제도를 활성화하는 방법으로 개인정보와 관련한 보호의 가치와 이용의 가치의 균형을 도모하여야 한다.