민감정보의 안전한 활용을 위한 「개인정보 보호법」 개정방안 연구

XP9ZyNnZ7T0OLsdgzvMm2A==

연구성과

연구보고서

민감정보의 안전한 활용을 위한 「개인정보 보호법」 개정방안 연구 A Study on the Amendments to the 「Personal Information Protection Act」 for the Safe Use of Sensitive Information

민감정보의 안전한 활용을 위한 「개인정보 보호법」 개정방안 연구원문 다운로드 민감정보의 안전한 활용을 위한 「개인정보 보호법」 개정방안 연구원문보기

보고서명
민감정보의 안전한 활용을 위한 「개인정보 보호법」 개정방안 연구
보고서명(영문)
A Study on the Amendments to the 「Personal Information Protection Act」 for the Safe Use of Sensitive Information

책임자 김주희
소속기관한국법제연구원
내부연구참여자
외부연구참여자
발행기관 한국법제연구원
ISBN979-11-7362-233-5
출판년도2026
페이지130
보고서유형 일반연구보고서
연구유형 정책
표준분류 일반공공행정 및 공공안전 > 법제도
자료유형연구보고서
공공누리유형 4유형 (출처표시+상업적이용금지+변경금지)
주제어「개인정보 보호법」, 개인정보, 민감정보, 생체인식정보, 안전한 활용

조회수

조회수 반영까지 최대 10분 정도 소요될 수 있습니다.

25
다운로드

다운로드 수 반영까지 최대 10분 정도 소요될 수 있습니다.

0

Ⅰ. 배경 및 목적
▶ 연구의 배경
○ 개인정보 및 민감정보의 활용 가능성과 필요성의 확대
- 인공지능과 신기술의 발달 등 지능정보사회의 도래에 따른 개인정보의 수집·이용·활용을 위한 환경이 확대되고 있음
- 이에 개인정보를 포함하는 빅데이터 수집 가능성이 증대되고, 새로운 신기술을 활용하기 위하여 일상생활에까지 개인정보 및 민감정보의 수집 가능성이 높아지고 있음
- 생체인식정보 등 민감정보의 활용을 통한 공익적 목적에의 활용 필요성도 증대되고 있는바, 현실적 수요를 반영하기 위한 법제 개선 연구가 필요함
○ 현행법 체계의 한계와 민감정보의 안전한 활용 및 정보주체의 보호 방안 마련 필요
- 우리 「개인정보 보호법」에서는 민감정보를 일반적인 개인정보와 별도로 규율하여, 민감정보에 관하여 「개인정보 보호법」 제23조 및 「개인정보 보호법 시행령」 제18조에서 규율하고 있음
- 현행 법령상 민감정보의 종류는 9가지로 각 유형별 특성과 활용도, 보호의 필요 정도가 다를 수 있음에도 하나의 민감정보의 범주로 묶어 규율하고 있어 적절한 활용과 보호에 한계가 있음
- 나아가 현행법상 민감정보의 처리요건의 경우 정보주체의 동의를 받거나 법령상 근거가 있는 경우로 한정되어 있어 현실의 상황에 부합하는 처리요건 합리화 방안이 필요함
▶ 연구의 목적
○ 개별 민감정보의 유형에 따라 분산되어 있는 논의를 체계적으로 정리하여 민감정보 전반에 대한 논의를 이끌어내고, 통합적 관점에서 민감정보의 안전한 활용을 위한 법·제도적 기반을 확립하는 것에 목적이 있음
○ 민감정보 활용 및 보호를 위한 민감정보의 전반에 대한 체계적 관점의 개선 방안을 제시하여 「개인정보 보호법」 개정안을 제안하고, 이를 통해 법령상 근거를 명확히 하여 기술의 발전에 대응하는 법정책 수립에 기여하는 것을 목적으로 함

Ⅱ. 주요 내용
▶ 민감정보의 유형과 규율 내용
○ 민감정보의 개념과 유형
- 현행법에서는 민감정보의 개념을 명확하게 정의하고 있지는 않음
- 다만, ‘민감정보의 처리 제한’이라는 제명으로 “사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보”를 민감정보의 유형으로 나열하고 있음
○ 규율 내용
- 민감정보는 원칙적으로 처리가 제한되고, 정보주체에게 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 또는 법령에서 민감정보의 처리를 요구하거나 허용하는 경우에만 처리가 가능함
- 개인정보처리자가 민감정보를 처리하는 경우에는 그 민감정보가 유출 등이 되지 않도록 「개인정보 보호법」 제29조에 따른 안전성 확보에 필요한 조치 의무를 부담하고, 그 밖의 법상의 의무 위반 시 제재 조치가 수반됨
▶ 민감정보 보호 및 활용의 필요성과 현행 법제의 한계
○ 민감정보 보호와 활용의 필요성
- 민감정보는 개인의 사생활과도 밀접하게 연관될 수 있고, 나아가 불법으로 공개 또는 유출이 되는 경우에 정보주체는 물질적·정신적 피해를 입게 될 수도 있음
- 또한 민감정보의 유형 중에서도 정보가 공개되거나 유출될 경우 정보주체가 부당한 차별이나 편견을 겪게 될 가능성도 존재함
- 이러한 이유로 민감정보는 일반적인 개인정보와 달리 한층 더 보호의 필요성이 강화되는 것으로 여겨지고, 우리 「개인정보 보호법」에서도 이러한 중요성을 인식하여, 법률 제정 시부터 개인정보와 별도로 규율하고자 함
- 한편, 민감정보가 가지는 사생활과의 연관성만을 이유로 민감정보를 무조건적으로 보호하려는 논의에 대해서는 재검토가 필요하며, 정보주체에게 실질적인 편익을 제공해 줄 수 있는 서비스의 효용성도 함께 고려해야 함
- 신기술의 발전에 따라 이에 대한 활용을 통한 생활의 편리함도 추구할 수 있는 사회가 되고 있으며, 특히 국가에서도 인공지능 활용을 강조하고 이에 대한 정책을 수립 중임
○ 현행 법제의 한계
- 빅데이터 시대에서 대량의 정보가 처리되어야 하는 상황에서, 원활한 정보의 처리를 위해서는 모든 정보주체의 동의를 받는 문제 등 현행 방식의 동의제도는 한계가 존재함
- 현행 「개인정보 보호법」이 가지고 있는 체계상의 한계도 살펴볼 필요가 있는바, 「개인정보 보호법 시행령」에서는 ‘범위’라는 조명으로, 민감정보에 관한 처리요건을 부여하고 있기에 법률유보의 원칙에 위배되지는 않는지도 검토가 필요함
- 다양한 개별법에서 산재하여 규율되고 있는 민감정보의 유형 중 건강에 관한 정보, 생체인식정보에 대한 정의 규정 마련, 법형식 등 민감정보 유형의 체계 정비의 문제, 민감정보의 처리요건 합리화가 필요함
▶ 쟁점별 해외 동향
○ EU
- GDPR(General Data Protection Regulation)에서는 일반 개인정보와 구분하여, ‘특수 범주의 개인정보 처리’를 별도로 정하고 있음
- 특수 범주의 개인정보에는 “출신 인종 또는 민족, 정치적 견해, 종교 또는 철학적 신념, 노동조합 가입 여부를 드러내는 개인정보의 처리, 그리고 유전정보, 자연인의 고유 식별을 목적으로 한 생체정보, 건강 관련 정보나 자연인의 성생활 또는 성적 지향과 관련한 정보”가 있음
- 그 밖에 형사 판결 및 범죄 행위에 관한 개인정보는 별도로 규율하고 있으며, 생체정보, 건강 관련 정보에 대한 별도 정의 규정을 두고 있음
- 처리요건의 경우, 정보주체의 명시적 동의가 있는 경우뿐만 아니라, 정보주체나 제3자의 생명의 이익을 보호하기 위한 경우, 명백히 공개한 개인정보에 대한 경우 등 10가지 사유를 두고 있음
○ 미국
- 연방차원의 개인정보 보호법은 존재하지 않지만, 캘리포니아주 프라이버시 권리법(The California Privacy Rights Act, CPRA) 및 일리노이주 생체인식정보보호법(Biometric Information Privacy Act, BIPA)이 의의를 가짐
- 미국의 경우 사실상 개별 유형에 따라 개별법에 근거하여 규율되고 있고, CPRA는 이용·공개 제한권을 중심으로 규정되고 있음
- 미국의 경우 민감정보와 생체(인식)정보 관련 내용을 유형에 따라 비교적 세분화해서 규율하고 있음
○ 일본
- 일본은 개인정보와 우리의 민감정보로 일컬어지는 “배려를 요하는 개인정보(要配慮個人情報)”를 구분없이 규율해 오다가 2015년 개정을 통해서 “배려를 요하는 개인정보(要配慮個人情報)”를 별도로 규율하기 시작
- 최근에는 인공지능의 발전을 위한 개인정보 및 민감정보 활용의 논의가 활발히 이루어지고 있음
- 현행법상으로는 우리의 생체인식정보에 해당하는 정보에 대해서 별도 규율하고 있지 않지만, 최근에는 “특정 생체개인정보(特定生体個人情報)”를 신설하고자 하는 논의가 진행 중
▶ 민감정보의 안전한 활용을 위한 법제 개선 방안
○ 법제 개선 필요성과 방향
- 민감정보의 활용과 보호, 양자의 균형을 이루는 방안을 고려하는 것이 중요함
- 개별 법률의 제한적인 목적에 따라 개별 법령에서 민감정보의 처리요건을 두는 방안도 있을 수 있으나, 「개인정보 보호법」상의 개선방안을 논의하여 법체계의 정합성을 확보하는 방안을 제시
- 국민의 민감한 정보는 보호하되 처리요건의 현실적인 확대와 기술적·절차적 책임을 강화하는 방안으로의 검토
○ 정의 규정 마련
- 법령에서 사용되는 용어가 개념상 중요한 용어인 경우, 법 해석과 적용 시 그 의미를 명확히 하여 법적 분쟁을 방지하고, 일관성 있는 법집행을 통한 국민 권익 보호를 위함에 의의가 있음
- 민감정보에 대한 별도의 정의 규정을 신설하는 방안은 신중한 검토가 필요하고, 건강에 관한 정보 및 생체정보와 생체인식정보의 경우 정의 규정의 마련이 필요함
○ 민감정보 유형의 체계 정비
- 향후 민감정보가 가지는 보호의 중요성과 활용성에 따라 적절한 논의의 진전을 위해 현행 법령에 따른 민감정보 유형의 체계를 정비할 필요가 있음
- 각 유형에 따라 각 호로 나열하는 방식을 택하여 수범자 입장에서도 민감정보의 유형을 체계적으로 확인할 수 있게 하면서, 민감정보의 보호와 활용 가능성에 따라 유형별로 별도 처리요건 등을 설정할 수 있도록 함
○ 처리요건의 정비
- 「개인정보 보호법」의 규율체계와의 정합성, 국제규범에 부합하는 측면에서 해외 법제의 규율과도 상응할 수 있어야 함
- “명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 중 본인의 동의를 획득할 수 없는 경우”에 대한 처리요건 추가
- 목적 외 이용에 대한 조치의무의 근거를 명확히 함
○ 생체인식정보 규율 개선
- 생체인식정보는 유일성, 고유성, 비대체성, 몸에 항상 지닐 수 있다는 불가분성, 모든 사람이 가지고 있다는 보편성, 편리성, 불변성의 특징을 가짐
- 다른 민감정보가 가지는 유형과 차이가 있다는 점을 바탕으로, 별도 규율 필요성, 대체인증수단, 안전성 확보조치 마련 방안 제시

Ⅲ. 기대효과
▶ 민감정보의 유형에 따라 개별적으로 이루어져 왔던 논의를 민감정보 전반에 대한 논의로 확장하고, 정체되어 있던 민감정보의 보호와 안전한 활용을 위한 검토를 통해 관련 법체계 개선을 위한 기반을 마련함
▶ 민감정보의 보호 및 활용을 위한 법령상 근거를 명확히 하여 기술의 발전에 대응하는 법정책 수립에 기여함

Ⅰ. Background and Purpose of Research
▶ Background of Research
○ Expansion of the Possibility and Necessity of the Use and Processing of Personal Information and Sensitive Information
- The environment for the collection, use, and provision of personal information is expanding in response to the advent of an intelligent information society, including the development of artificial intelligence and new technologies
- As a result, the possibility of collecting big data containing personal information is increasing, and the likelihood of collecting personal and sensitive information in everyday life to utilize new technologies is also growing
- The need to use sensitive information, such as biometric information, for public interest purposes is also increasing, and there is a need for legislative improvement research to reflect practical demand
○ There is a need to address the limitations of the current legal framework and to establish measures for the safe use of sensitive information and the protection of data subjects
- Under Personal Information Protection Act, sensitive information is regulated separately from general personal information, and Article 23 of the Personal Information Protection Act and Article 18 of the Enforcement Decree of the Personal Information Protection Act govern sensitive information
- Under current laws, there are nine types of sensitive information, and although the characteristics, utility, and degree of protection need may differ for each type, they are regulated under a single category of sensitive information, which limits appropriate use and protection
- Furthermore, under current law, the requirements for processing sensitive information are limited to obtaining the data subject’s consent or having a legal basis, so there is a need for a rationalization plan for processing requirements that better fits real-world circumstances
▶ Purpose of Research
○ The purpose is to systematically organize the fragmented discussions, which have been divided according to the types of individual sensitive information, to foster a comprehensive discussion on sensitive information as a whole, and to establish a legal and institutional foundation for the safe use of sensitive information from an integrated perspective
○ The purpose is to propose an amendment to the Personal Information Protection Act by presenting improvement measures from a systematic perspective on sensitive information in general, for the use and protection of sensitive information, thereby clarifying the legal basis and contributing to the establishment of legal policies that respond to technological advancement

Ⅱ. Contents
▶ Types of Sensitive Information and Regulatory Content
○ The Concept and Types of Sensitive Information
- Current law does not clearly define the concept of sensitive information
- However, under the title “Restriction on processing of sensitive information,” it lists the following as types of sensitive information: information related to ideology, belief, admission to or withdrawal from a trade union or political party, political opinions, health, sex life, and other personal information that is likely to markedly infringe on the privacy of any data subject
○ Details of statutory regulations
- In principle, the processing of sensitive information is restricted, and it may only be processed when separate consent has been obtained from the data subject, or when processing is required or permitted by law
- When a personal information processor handles sensitive information, it shall bear the duty to take necessary measures to ensure security under Article 29 of the Personal Information Protection Act so that the sensitive information is not leaked, and sanctions shall be imposed in the event of any violation of other legal obligations
▶ The Necessity of Protecting and Utilizing Sensitive Information and the Limitations of Current Legislation
○ The Need for Protecting and Utilizing Sensitive Information
- Sensitive information is closely related to an individual’s private life, and furthermore, if it is disclosed illegally or leaked to a third party, the data subject may suffer material or non-material harm
- In addition, among the types of sensitive information, if certain information related to politics, religion, or health is disclosed or leaked, there is a possibility that the data subject may experience unfair discrimination or prejudice
- For this reason, sensitive information is regarded as requiring even greater protection than ordinary personal information, and our Personal Information Protection Act recognizes this importance and intends to regulate it separately from personal information from the time the law was enacted
- Meanwhile, the discussion that seeks to protect sensitive information solely because of its association with privacy needs to be reconsidered, and the use of services that can provide substantial benefits to the data subject should also be taken into consideration
- As new technologies advance, society is becoming one that can also pursue greater convenience in daily life through their application, and the government is in particular emphasizing the use of artificial intelligence and is currently formulating related policies
○ Limitations of the Current Legal System
- In the era of big data, where large volumes of information must be processed, the current consent system has limitations, such as requiring the consent of all data subjects which hinders sommth information precessing
- It is also necessary to examine the systemic limitations of the current Personal Information Protection Act, and since the Enforcement Decree imposes processing requirements on sensitive information under the heading of “scope,” it is also necessary to review whether this does not violate the principle of statutory reservation
- Among the types of sensitive information regulated in various individual laws, there is a need to establish definitions for health-related information and biometric information, to organize the system of sensitive information types including legislative forms, and to rationalize the requirements for processing sensitive information
▶ Overseas Trends by Issue
○ EU
- The GDPR (General Data Protection Regulation) distinguishes personal data from general personal data and separately defines “special category personal data processing.”
- Personal information in the special category includes processing of personal information that reveals “racial or ethnic origin, political opinion, religious or philosophical beliefs, trade union membership, as well as genetic information, biometric information for the purpose of identifying individuals uniquely, health-related information, and information related to an individual’s sex life or sexual orientation.”
- Personal information related to criminal judgments and criminal acts is governed separately, and there are separate definitions and regulations for biometric information and health-related information
- In the case of processing requirements, there are ten reasons, including not only the explicit consent of the data subject, but also cases where it is necessary to protect the vital interests of the data subject or a third party, and cases involving personal data manifestly made public by the data subject
○ United States
- Although there is no a federal personal information protection act, the California Privacy Rights Act (CPRA) and the Illinois Biometric Information Privacy Act (BIPA) are of significance
- In the United States, it is effectively regulated under individual laws according to type, and the CPRA is primarily regulated around the right to limit use and disclosure
- In the United States, matters related to sensitive information and biometric information are regulated in a relatively detailed manner according to type
○ Japan
- Japan had previously regulated “personal information requiring special care (sensitive information),” which is referred to as personal information and sensitive information under Korean law, without distinction, but through a revision in 2015 it began to regulate “personal information requiring consideration (sensitive information)” separately
- Recently, active discussions have been taking place on the use of personal information and sensitive information for the advancement of artificial intelligence
- Under current law, there is no separate regulation for information corresponding to biometric information under Korean law, but recently discussions have been underway to establish “specific biometric personal information.”
▶ Legislative Improvement Measures for the Safe Use of Sensitive Information
○ The Need for Legislative Improvement and Its Direction
- It is important to consider ways to achieve a balance between the use and protection of sensitive information
- While it may be possible to set requirements for processing sensitive information in individual laws according to the limited purposes of each law, the improvement measures under the Personal Information Protection Act should be discussed and a plan should be proposed to ensure consistency within the legal framework
- It is also necessary to review measures to protect data subjects’ sensitive information while realistically expanding processing requirements and strengthening technical and procedural accountability
○ Establishing a Definition and Specification
- When a term used in legislation is conceptually important, clarifying its meaning in legal interpretation and application is significant for preventing legal disputes and protecting the public interest through consistent enforcement of the law
- The proposal to establish separate definitions for sensitive information requires careful consideration, and for health-related information, biometric information, and biometric identification information, there is a need to establish definition provisions
○ System organization of types
- To advance appropriate discussions in the future, based on the importance of protection and utility of sensitive information, it is necessary to revise the system of types of sensitive information under current laws
- Adopting a method of listing each type in separate subparagraphs, it allows those subject to the law to systematically identify the types of sensitive information, while also enabling separate processing requirements to be established for each type depending on the protection and utility of the sensitive information
○ Rationalization of Processing Requirements
- It must be consistent with the regulatory framework of the Personal Information Protection Act and, in terms of compliance with international norms, must also be compatible with the regulation of foreign legislation
- Addition of processing requirements for “cases where consent cannot be obtained from the individual when it is deemed clearly necessary where it is urgently necessary to protect the life, physical safety, or property interests”
- Clearly establishes the basis for the obligation to take measures required in cases of use beyond the intended purpose
○ Improvement of Regulations Related to Biometric Information
- Biometric information has the characteristics of uniqueness, distinctiveness, non-replicability, inseparability from body in that it can always be carried by the body, universality in that everyone possesses it, convenience, and invariability
- Based on the fact that it differs from the types of other sensitive information, establish the need for separate regulations, alternative authentication methods, and measures to ensure security

Ⅲ. Expected Effects
▶ Expanding the discussions, which had been conducted individually according to the types of sensitive information, into a broader discussion of sensitive information as a whole, and laying the groundwork for improving the related legal framework through a review of the protection and safe use of sensitive information, which had been stagnant
▶ Contributes to the establishment of laws and policies that respond to technological advancement by clarifying the legal basis for protecting and utilizing sensitive information

콘텐츠 큐레이션 : 동일주제 가장 많이 이용된 자료 추천

현재 페이지에서 제공되는 연구보고서에 대하여 평가해 주세요

별점5점만점에 5점 별점5점만점에 4점 별점5점만점에 3점 별점5점만점에 2점 별점5점만점에 1점

의견(0)

연구성과에 따른 의견과 무관한 글, 선정적인 글 및 비방글 등의 게시물은 관리자에 의해 언제든 삭제 조치 될 수 있으며, 주민등록번호 형식 및 연속된 숫자 13자리는 입력할 수 없습니다.

입력 가능 Byte : 4000 Byte 현재 입력 Byte : 0 Byte

자동등록방지 숫자를 순서대로 입력하세요.

NKIS 국가정책연구포털

연구성과

국책연구동향

NKIS 통계

게시판

NKIS소개

연구성과

국책연구동향

NKIS 통계

게시판

NKIS소개

연구성과

연구보고서

민감정보의 안전한 활용을 위한 「개인정보 보호법」 개정방안 연구

A Study on the Amendments to the 「Personal Information Protection Act」 for the Safe Use of Sensitive Information

국문초록

영문초록

목차

콘텐츠 큐레이션 : 동일주제 가장 많이 이용된 자료 추천

연구보고서

정책연구자료

세미나

현재 페이지에서 제공되는 연구보고서에 대하여 평가해 주세요

의견(0)