동의 없는 가명정보 처리 사건

<헌재 2023. 10. 26. 2020헌마1476 개인정보 보호법 제28조의2 등 위헌확인>

【사건의 배경】

청구인들은 국민건강보험공단, 은행, 신용카드 회사 등의 개인정보처리자에게 개인정보를 제공한 정보주체이다.

청구인들은 통계작성, 연구, 공익적 기록보존의 목적을 위해서라면 정보주체의 동의 없이 가명정보를 처리할 수 있도록 하는 ‘개인정보 보호법’ 제28조의2, ‘신용정보의 이용 및 보호에 관한 법률’(이하 ‘신용정보법’이라 한다) 제32조 제6항 제9호의2, 제33조 제2항이 청구인들의 개인정보자기결정권을 침해한다고 주장하며, 2020. 11. 2. 이 사건 헌법소원심판을 청구하였다.

【심판대상조항】

이 사건 심판대상은 ① 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정된 것) 제28조의2 제1항(이하 ‘개인정보조항’이라 한다), ② ‘신용정보의 이용 및 보호에 관한 법률’(2020. 2. 4. 법률 제16957호로 개정된 것) 제32조 제6항 제9호의2 중 같은 조 제1항 본문 및 제2항 전문을 적용하지 않는 부분(이하 ‘신용정보조항’이라 하고, 위 두 조항을 합하여 ‘심판대상조항’이라 한다)이 청구인들의 기본권을 침해하는지 여부이다.

【결정의 주요내용】

1. 가명정보 제도의 개관

데이터 활용의 중요성이 대두되면서 2016. 6.경 관계부처 합동으로 ‘개인정보 비식별조치 가이드라인’이 마련되었고, 이후 가명처리 및 가명정보의 개념과 활용 범위를 법률에 규정하기로 하였다. 이때 정보주체의 동의 없이 가명정보를 활용할 수 있는 범위에 영리 목적을 포함할 것인지 여부에 대한 논의가 이루어졌다. ‘산업적 목적을 포함하는 과학적 연구’, ‘학술연구’ 등 다양한 표현이 제안되었다.

일반적으로 법령에서 하나 또는 수개의 사항을 열거하고 그 뒤에 ‘등’을 사용할 경우 열거된 사항은 예시사항으로 보고, 특별한 이유가 없는 한 그 ‘등’에는 열거된 예시사항과 규범적 가치가 동일하거나 그에 준하는 성질을 가지는 사항이 포함되는 것으로 해석한다. 그러나 입법과정에서 알 수 있듯이, 심판대상조항의 경우에는 목적의 범위에 관해 다양한 견해가 제시됨에 따라 이를 아우르는 과정에서 ‘등’이라는 표현을 사용하게 된 것에 불과하다. 예외규정을 되도록 확장해석해서는 안 되는 법해석의 일반원칙을 감안한다면 심판대상조항이 허용하는 가명정보 활용의 목적은 법문에 명시된 범위 내로 제한된다고 보아야 한다.

따라서 개인정보조항의 경우 “통계작성, 과학적 연구, 공익적 기록보존”, 신용정보조항의 경우 ‘통계작성(시장조사 등 상업적 목적의 통계작성을 포함), 연구(산업적 연구를 포함), 공익적 기록보존’이라는 법문에서 명시적으로 규정하고 있는 목적에 한하여 정보주체의 동의 없이 가명정보를 처리할 수 있도록 규정하고 있다고 보아야 한다.

2. 개인정보자기결정권 침해 여부

가명정보는 원래의 상태로 복원하기 위한 추가 정보의 사용？결합을 통해서 특정 개인을 알아볼 수 있는 정보이므로, 개인정보자기결정권의 보호대상이 되는 개인정보에 해당한다.

심판대상조항은 데이터의 이용을 활성화하여 신산업을 육성하고 “통계작성, 연구, 공익적 기록보존”을 보다 효과적으로 수행하기 위한 것으로서, 그 입법목적이 정당하다. 가명정보를 정보주체의 동의 없이 처리할 수 있도록 하는 것은 이와 같은 입법목적 달성을 위하여 적합한 수단이다.

개인정보의 종류 및 성격, 수집목적 등에 따라 개인정보자기결정권의 제한이 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도는 달라진다. 가명정보는 그 자체만으로는 특정 개인을 알아볼 수 없고 극히 예외적인 경우에만 정보주체의 식별이 이루어지므로, 일반적인 개인정보에 비해 정보주체의 인격권이나 사생활의 자유에 미치는 영향이 크지 않다. 또한, 심판대상조항은 개인정보처리자가 정보주체의 동의 없이 가명정보를 처리할 수 있는 목적을 “통계작성, 연구, 공익적 기록보존”으로 한정하고 있으므로 그 밖에 다른 목적으로는 활용이 제한된다. 그렇다면 심판대상조항은 개인정보 중에서도 가명정보에 한하여, 제한된 목적에 한하여 정보주체의 동의 없이 가명정보를 처리할 수 있도록 한다.

한편, 법률에서 정보주체를 보호하기 위한 여러 규정도 두고 있다. 개인정보 보호법 및 신용정보법은 가명정보의 처리 과정에서 필요한 보호조치를 충분히 하도록 하고, 가명정보를 이용하여 특정 개인을 재식별하는 것을 금지하며, 가명정보의 결합 시에 발생할 수 있는 위험을 최소화하기 위한 규정들을 두고 있다. 따라서 침해의 최소성이 인정된다.

데이터를 활용하여 통계작성, 연구, 공익적 기록보존을 보다 효과적으로 수행하고, 이를 통해 여러 분야에서 지식 축적과 사회 발전을 촉진하고자 하는 공익은 중대하다. 가명정보가 제한된 목적으로 동의 없이 처리될 수 있는 정보주체의 불이익이 공익에 비하여 크다고 보기 어렵다. 따라서 법익의 균형성도 인정된다.

따라서 심판대상조항은 청구인들의 개인정보자기결정권을 침해하지 않는다.