個人情報 處理委託의 법적 규율에 관한 小考 - 유럽 GDPR, 일본법과의 비교를 포함하여 -

Abstract

개인정보의 보호에 관한 법률(이하 ‘개인정보보호법’)을 비롯한 소위 데이터 3법이 대대적으로 개정되어 시행되었다. 이 개정에 여러 눈에 띄는 변화가 있는데, 본고에서는 개인정보 처리위탁에 관하여 검토한다. 정보통신망 이용촉진 및 정보보호에 관한 법률에서 담고 있던 여러 개인정보 관련 규정이 사라지면서, 우리 개인정보보호법이 개인정보 처리 위탁에 관하여는 통합적으로 규율하게 되었는데, 이러한 변화는 전체적으로 긍정적으로 평가될 수 있다. 그러나 보다 구체적으로 보면 조금 더 생각해볼 점이 있다. 먼저, 취급위탁에 있어 동의 요건은 사라졌지만 여전히 모든 수탁자를 공개하도록 되어 있는데 이러한 공개가 실질적으로 개인정보자기결정권의 보장에 주는 유익함보다 그로 인해 야기되는 위험성이 더 커 보인다. 또한 실제 위수탁의 양상을 볼 때 수탁자의 책임을 법령에서 일률적으로 규정할 필요도 없다고 생각된다. 기본적으로 위탁에 관한 기존의 관점을 바꿀 필요가 있지 않은가 싶다. 즉, 개인정보의 처리위탁을 개인정보 처리에 있어서 일정한 위험을 야기하는 예외적인 양상이 아니라 현대사회의 통상적인 업무처리 방식으로 인정할 필요가 있다. 이러한 사고는 유럽 GDPR이나 일본 개인정보보호법의 내용에서도 확인할 수 있다. 그로부터 처리위탁을 업무처리에 있어서 하나의 선택지로서 이해하고 그러한 위탁자의 선택에 대해 위탁자 스스로 책임을 지도록 필요한 규율을 하는 방향으로 생각하여야 한다. 즉, 처리위탁은 개인정보자기결정권의 문제와 직결된 것이 아니라고 할 것이어서 정보주체의 개입의 문제가 아니라 적절한 업무처리 혹은 안전한 관리의 시각에서 접근하여야 할 것이다. 그러한 시각에서 보면 모든 수탁자를 명시하도록 하는 현행 개인정보보호법 규정은 일부 개선할 필요가 있어 보인다.