개인정보보호법 적용대상

전국민의 주민등록번호가 이미 털렸다는 자조적인 농담이 오가는 현실임에도 불구하고, 사회 전반적으로 개인정보에 대한 의식이 높아진 것은 사실인 것 같습니다. 오늘은 자신(A)과 민사소송을 하고 있는 상대방(B)이  자신(A)의 다른 민사소송 판결문을 증거로 제출하자, A가 제출된 민사소송에 자신의 개인정보가 기재되어 있으므로, B가 판결문을 법원에 증거로 제출한 행위가 개인정보보호법상 금지된 개인정보 유출행위를 한 것으로 볼 수 있는지에 대해서 검토하게 되었습니다.

개인정보보호법 제59조, 제2조가 관련 조항입니다.

 제59조(금지행위) 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위

2. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위

3. 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출하는 행위

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.  <개정 2014.3.24.>

1. "개인정보"란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

2. "처리"란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.

3. "정보주체"란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

4. "개인정보파일"이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다.

5. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

민사소송의 당사자인 B가 개인정보보호법상 개인정보처리자 또는 개인정보를 처리하거나 처리하였던 자에 해당하는지가 문제일 것인데, 결론적으로 B는 개인정보처리자 또는 개인정보를 처리하거나 처리하였던 자라고 볼 수 없기 때문에 B의 행위가 개인정보보호법 위반이라고 할 수 없을 것입니다.

개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 업무를 목적으로 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인이 개인정보처리자가 되는데, 약간 명의 개인정보를 받았다고 하더라도 업무를 목적으로 개인정보파일을 운용하는 자가 아니라면 개인정보처리자의 의무를 지지는 않습니다.

B가 A의 개인정보가 담긴 판결문을 입수하였다고 하더라도, B가 업무로 개인정보파일을 운용하는 자가 아니기 때문에 개인정보처리자 또는 개인정보를 처리하였던 자라고 보기 어렵습니다. 대법원은 구 개인정보보호법 제71조 제5호의 적용대상자로서 제29조 제2호의 의무주체인 '개인정보를 처리하거나 처리하였던 자'에 제2조 제5호의 개인정보처리자 외에 업무상 알게 된 제2조 제1호의 '개인정보'를 제2조 제2호의 방법으로 처리하거나 처리하였던 자도 포함된다는 취지로 판시한 바 있는데(대법원 2016. 3. 10. 선고 2015도8766 판결), 이 판례에 따르더라도 개인정보보호법상 금지행위의 주체가 되려면 개인정보를 "업무"상 알게 될 것이 필요하며, 업무는 반복/계속성이 있어야 하는데, B는 A와의 소송당사자로서 A 관련 판결문을 수집한 것에 반복/계속성이 있다고 볼 수 없기 때문입니다.

주민등록번호 수집의 금지

개인정보보호법의 개정으로 2014. 8. 7. 이후부터는 법령에 근거없는 주민등록번호 수집이 금지됩니다.

개인정보보호법 제24조의2 가 다음과 같이 신설되기 때문입니다.

제24조의2(주민등록번호 처리의 제한) ① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다.
  1. 법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우
  2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우
  3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 안전행정부령으로 정하는 경우
  ② 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다.
  ③ 안전행정부장관은 개인정보처리자가 제2항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련ㆍ지원할 수 있다.

주민등록번호를 수집(처리)할 수 있는 경우는 법령에서 구체적으로 주민등록번호의 수집(처리)를 요구하거나 허용한 경우, 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우, 이에 준하여 주민등록번호의 수집(처리)이 불가피한 경우로서 안전행정부령으로 정하는 경우가 규정되어 있는데, 현재 개인정보보호법만 개정 시행될 뿐이고 그에 따라 개인정보보호법 시행규칙(안전행정부령)이 개정되지 않은 상태이기 때문에 구체적으로 어떠한 경우에 주민등록번호의 수집이 허용되는 것인지 알 수는 없는 상태입니다.

법령에서 주민등록번호의 수집을 허용하고 있는 경우로는 금융실명거래법 제3조의 금융회사가 거래자의 실지명의를 확인하는 경우, 신용정보보호법 제34조의 신용정보회사가 신용정보 제공이용자의 동의를 얻는 경우 등을 들 수 있습니다. 다만, 위 제2항에 따르면 법령에 따라 주민등록번호를 수집할 수 있는 경우에도 인터넷 홈페이지 회원가입은 주민등록번호를 사용하지 않고 가입할 수 있도록 하여야 하기 때문에 적어도 인터넷을 통해 회원가입을 할 때에는 더이상 주민등록번호를 제공하지 않아도 될 것입니다.

이미 인터넷을 통한 결제나 회원가입절차가 본인인증을 공인인증서나 휴대폰을 통하여 하도록 하고 이미 주민등록번호를 수집할 권한이 있는 통신사가 본인임을 확인해 주는 방식으로 바뀐 것을 느낄 수 있는데, 더이상 영업을 위해서 신규로 주민등록번호를 수집하는 것이 불가능해지도록 하는 데 이번 개정법 시행의 의의가 있는게 아닌가 합니다.