Part 1. 개인정보보호의 이해(요약 정리)

1. 개인정보의 개요#

(1) 개인정보의 정의

• 키워드: 형태제한 없음, 처리하는자 입장, 가명정보, 결합, 살아있는, 자연인

• 개인정보: 개인의 신체, 재산, 사회적 지위, 신분 등에 관한 사실, 판단, 평가 등을 나타내는 일체의 모든 정보

(2) 프라이버시와 개인정보

• 프라이버시 범주: 공간 프라이버시, 개인 프라이버시, 정보 프라이버시

• 공간 프라이버시: 한 개인이 다른 개인의 환경에 침입하는 것에 대해 제한하는 것 · 가정, 직장 등 CCTV 감시, ID 체크 침해 방지

• 개인 프라이버시: 개인의 신체적, 물리적 존재와 관련되는 것을 제한하는 것 · (신체) 유전자, 마약, 체강 검사로부터 제한 · (통신) 우편, 전화대화, 이메일 통신 보호

• 정보 프라이버시: 컴퓨터 등 정보통신 기술의 전자적 형태로 수집되는 것을 제한하는 것 · 정보주체의 자기결정권

(3) 개인정보의 유형 및 종류

• 개인정보는 일반정보(이름, 주민등록번호 등), 경제정보, 사회정보, 통신정보, 민감정보 등으로 유형화

• 제공정보: 이용자가 직접 회원가입이나 서비스 등록을 위해 사업자에게 제공하는 정보 · 온라인 서비스를 이용하기 위한 회원 가입 과정에서 제공하는 신상정보 · 서비스 이용 과정에서 문제점을 해소하기 위한 본인확인 과정에서 제공하는 정보

• 생성정보: 사업자가 서비스를 제공하는 과정에서 생성되는 이용자에 관한 정보 · 서비스 이용 과정에서 이용자의 서비스 이용 기록이나 접속로그, 쿠키

• 생산정보: 근무평가, 신용평가 등

(4) 개인정보의 특성

• 식별성에 따른 개인정보 분류

• 개인식별정보: 다른 정보 없이 그 자체로 개인을 식별, 즉 다른 구성원과 구분해낼 수 있는 정보 · 사례: 성명, 주민등록번호

• 개인식별정보와 결합되어 있는 상태의 개인식별가능정보: 그 자체로는 개인을 식별할 수 없지만 개인을 식별할 수 있는 정보와 결합하여 개인정보가 될 수 있는 정보 · 사례: 온라인 쇼핑몰 전화번호, 주소, 이메일 주소, 결제 관련 정보, 구매 이력

• 개인식별정보와 결합되어 있지 않은 상태의 개인식별가능정보: 개인을 식별할 수 있는 정보와의 결합이 이루어지지 않은 상태로서, 기술적으로는 해당 개인식별 가능정보를 실마리로 하여 다른 개인식별정보를 추적해내는 것이 기술적으로는 가능한 정보 · 사례: 뉴스레터 수신 희망 이메일 주소, 이용자가 온라인 서비스에 로그인하지 않은 상태에서 검색한 기록 등 행태정보

• 수집 출처에 따른 개인정보 분류

• 이용자로부터 수집한 정보: 이용자가 서비스 회원 가입 시 제공한 개인정보, 이용자가 입력한 검색어 개인정보

• 사업자가 생성한 정보: (생성정보) 쿠키정보, 로그정보, 고객위치정보

• (생산정보) 근무평가, 신용평가, 인사기록, 진료차트, 고객성향

• 공개된 정보를 수집한 정보: 공개된 정보의 경우, 타인이 본인의 의사에 반하여 임의로 공개한 정보는 제외하고 보인이 최초 목적과 범위를 적극적으로 인지한 상태에서 공개한 정보

(5) 개인정보 가치산정

• 키워드: 가상가치평가법(CVM), 비시장자원, 시나리오, 손해배상액 산정, 최대지불금액(WTP), 평균치 산정

• 개인정보는 이용자(판매자) 관점에서 가치를 과평가하는 경향이 있는 반면, 활용하는 기업(구매자)에서는 저평가하는 경향

• 가치산정을 통해 개인정보 유출 시 위험 전가 통제수단인 손해배상액 산정

• 가치산정법: 델파이, 가상가치산정법(CVM)

‣ CVM: 가상가치평가법으로 비시장재화의 가상시장을 설정하고 소비자 설문을 통해 WTP를 산정하는 방식

‣ 비시장자원: 환경 보전, 공해의 영향, 경치 등 자원이 거래되는 시장이 존재하지 않는 자원

‣ WTP: 최대지불금액으로 소비자가 해당 재화의 대가로 지불할 의사가 있는 최대액

(6) 해외 개인정보보호 제도 소개

• Safe-Harbor: 고지, 선택, 제공, 접근, 안전성, 데이터 무결성, 이행

• 개인정보 규제: 미국 자율규제, 유럽 정부규제

(7) EU-GDPR

• GDPR 적용 범위

• EU 내에 사업장을 운영하며, 개인정보 처리

• EU 거주자에게 재화나 서비스를 제공

• EU 거주자의 EU 내 행동을 모니터링

• GDPR 기업의 책임성

• ① DPO 지정: 공공당국, 핵심활동, 감사, 범죄 대규모 처리

• ② 개인정보 영향평가(DPIA): 프로파일링, 민감정보, 대규모 처리 위험 발생 가능성, DPO 조언, 행동강령, 정보주체 의견

• ③ Data protection by design and by default

• ④ 처리 활동의 기록

• ⑤ 기술적 관리적 보호조치

• 처리활동 기록: 240명, 정보주체권리, 민감정보, 유죄판결

• 개인정보 역외이전: EEA, 적정성 결정, 안전(보호)조치, 예외규정

• 개인정보 처리 관련

• 개인정보: 식별되었거나 또는 식별가능한 자연인(정보 주체)과 관련된 모든 정보

• 컨트롤러: 개인정보의 처리 목적 및 수단을 단독 또는 제3자와 공동으로 결정하는 자연인, 법인, 공공 기관, 에이전시, 기타 단체

• 프로세서: 컨트롤러를 대신하여 개인정보를 처리하는 자연인, 법인, 공공 기관, 에이전시, 기타 단체 등 의미

• 수령인: 제3자인지 여부와 관계없이 개인정보가 공개되는 자연인이나 법인, 공공당국, 기관 또는 기타 단체

• 처리: 일련의 개인정보에 의해 수행되는 작업 또는 일련의 작업의 일체 의미

• 프로파일링: 자연인의 특정한 개인적 측면을 평가하기 위해, 특히 개인의 업무 수행, 경제적 상황, 건강, 개인선호, 관심사, 신뢰도, 행동, 위치, 이동에 관한 측면을 분석 또는 예측하기 위해 개인정보를 사용하는 모든 형태의 자동화된 개인정보 처리

• 가명화: 추가적인 정보의 사용 없이 더 이상 특정 정보 주체를 식별할 수 없는 방식으로 수행된 개인정보의 처리 의미

• 민감정보: 인종∙민족의 기원, 정치적 견해, 종교∙철학적 신념, 노동조합의 가입 여부를 나타내는 개인정보의 처리와 유전자 정보, 개인을 고유하게 식별할 수 있는 생체정보, 건강정보, 성생활∙성적 취향에 관한 정보

2. 개인정보보호의 중요성#

(1) 정보화와 개인정보 등 사생활 노출

• SNS는 사회 전반적으로 개인의 사생활 게재를 통해 주변인과의 커뮤니케이션, 정보 습득 및 교류, 친교 및 교제, 홍보를 주목적으로 함. 개인정보는 신뢰적인 정보를 기반으로 하는 SNS에서는 더욱 유출될 위험이 큼.

• 개인정보 침해 배경: Digital, Risk, Technology, Indifferent

• 정보사회 개인정보 침해: 개인정보 노출, 개인정보 미파기, 위치정보 노출, 개인정보 탈취, 개인정보 도용

(2) 개인정보 침해 유형

• 개인정보 침해 원인

• 개인정보 자기결정권을 행사하지 못하고 있고, 사업자의 사회적 책임이 부족하고 관련 법률에 대한 인식이 저조

• 주민등록번호 수집이 관행화

• 고충을 외면하거나 방치하는 경우

• 마케팅을 위한 불필요한 개인정보를 추가로 수집

• 개인정보 처리자의 기술적∙관리적 보호 조치가 미흡

• 개인정보 행위별 침해 유형: 부적절한 접근과 수집, 부적절한 모니터링, 부적절한 분석, 부적절한 이전, 원하지 않은 영업 행위, 부적절한 저장

• 개인정보 유노출

3. 기업의 사회적 책임#

(1) 개인정보의 중요성 인식

• 개인정보는 기업 및 기관의 입장에서도 부가가치를 창출할 수 있는 자산적 가치

• 개인정보 가치 상승

• 개인정보 수집 및 이용 동기와 효과: 고객 확보, 고객 유지, 수요 파악

• 4차 산업혁명의 시대로 발전함에 따라 개인정보의 범위와 영역이 확장

(2) 개인정보보호 조직 구성 및 운영

• 기업의 사회적 책임(CSR): 기업활동에 의해 영향을 받거나 영향을 주는 직∙간접적 이해관계자들에 대하여 발생 가능한 제반 이슈들에 대한 법적, 경제적, 윤리적 책임을 감당할 뿐만 아니라, 기업의 리스크를 줄이고 기회를 포착하여 중장기적 기업가치를 제고할 수 있도록 추진하는 일련의 '이해관계자 기반 경영활동'

• 정보보호 조직 및 정보보호 거버넌스: 정보보호 업무는 정보보호 조직과 비정보보호 조직이 협업하여 수행하는 전산 업무이며 최고경영층이 관심을 갖고 전사적으로 지휘, 통제해 나가야하는 업무

• 정보보호 거버넌스(ISO 27014) 프로세스

• 최고경영층의 (개인)정보보호 역할

(3) 개인정보보호 관련 국제표준

• ISO 27001: ISMS(정보보호 관리체계)

• ISO 27701: 최초의 글로벌 개인정보보호 경영시스템 표준(개인정보보호 관리체계)

• ISO 27552: 개인정보보호