2020헌마1476 개인정보 보호법 제28조의2 등 위헌확인

1) 쟁점

적법요건 판단

• 본문에 명시된 바 없음

본안 판단

• 개인정보 보호법 제28조의2 제1항 및 신용정보법 제32조 제6항 제9호의2 관련 부분(심판대상조항)이 통계작성ㆍ연구ㆍ공익적 기록보존을 위하여 정보주체의 동의 없이 가명정보를 처리ㆍ제공할 수 있도록 한 것이 청구인들의 개인정보자기결정권을 침해하는지 여부

2) 사실관계

• 청구인들은 국민건강보험공단 등 개인정보처리자에게 개인정보를 제공한 정보주체이자, 은행ㆍ신용카드 회사에 개인신용정보를 제공하고 서비스를 이용하거나 의료 관련 보험에 가입한 사람들
• 심판대상조항 원문:
  • 개인정보 보호법 제28조의2(가명정보의 처리 등) ① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.
  • 신용정보의 이용 및 보호에 관한 법률 제32조(개인신용정보의 제공ㆍ활용에 대한 동의) ⑥ 신용정보회사등(제9호의3을 적용하는 경우에는 데이터전문기관을 포함한다)이 개인신용정보를 제공하는 경우로서 다음 각 호의 어느 하나에 해당하는 경우에는 제1항부터 제5항까지를 적용하지 아니한다. 9의2. 통계작성, 연구, 공익적 기록보존 등을 위하여 가명정보를 제공하는 경우. 이 경우 통계작성에는 시장조사 등 상업적 목적의 통계작성을 포함하며, 연구에는 산업적 연구를 포함한다.
• 청구인들은 개인정보처리자가 정보주체의 동의 없이 가명정보를 처리할 수 있도록 한 개인정보 보호법 제28조의2, 신용정보법 제32조 제6항 제9호의2 등이 개인정보자기결정권을 침해한다고 주장하며 2020. 11. 2. 헌법소원심판을 청구함
• 심판대상은 신용정보법 제33조 제2항에 대한 주장이 법률해석을 잘못한 것이고 구체적 주장도 없다는 이유로 제외되어, ① 개인정보 보호법 제28조의2 제1항(‘개인정보조항’), ② 신용정보법 제32조 제6항 제9호의2 중 제1항 본문ㆍ제2항 전문을 적용하지 않는 부분(‘신용정보조항’)으로 확정됨
• 청구인들 주장: 가명정보도 다른 정보와 결합 시 식별 가능해질 우려가 있어 개인정보자기결정권의 보호대상이 되는 개인정보에 해당하고, 건강ㆍ질병에 관한 정보는 내밀한 사적 영역으로 특별한 보호가 필요한데, 심판대상조항이 이러한 민감정보를 포함한 모든 가명정보를 정보주체의 동의 없이 처리할 수 있도록 하는 것은 개인정보자기결정권을 침해함

3) 적용법령 및 결정요지

적용법령

조문	요지
개인정보 보호법 제28조의2 제1항	심판대상조항(개인정보조항) — 통계작성ㆍ과학적 연구ㆍ공익적 기록보존을 위하여 동의 없이 가명정보 처리 가능
신용정보법 제32조 제6항 제9호의2 중 제1항 본문ㆍ제2항 전문을 적용하지 않는 부분	심판대상조항(신용정보조항) — 통계작성ㆍ연구ㆍ공익적 기록보존을 위한 가명정보 제공 시 동의 불요
개인정보자기결정권 (헌법 제10조 제1문, 제17조)	자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 이용되도록 할 것인지 정보주체가 스스로 결정할 권리 — 일반적 인격권 및 사생활의 비밀과 자유에 근거
개인정보 보호법 제2조 제1호 다목ㆍ제1호의2	가명정보ㆍ가명처리의 정의
개인정보 보호법 제28조의4, 제28조의5	가명정보 안전성 확보조치 의무, 재식별 금지 및 위반 시 형벌ㆍ과징금ㆍ과태료

결정요지

• 적법요건 판단: 본문에 명시된 바 없음
• 본안 판단: 심판대상조항은 데이터의 이용을 활성화하여 신산업을 육성하고 통계작성ㆍ연구ㆍ공익적 기록보존을 효과적으로 수행하기 위한 것으로서 입법목적이 정당하고 수단의 적합성이 인정됨. 가명정보는 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없어 그 자체만으로는 인격권이나 사생활의 자유에 미치는 영향이 크지 않고, 정보주체의 동의 없는 처리는 “통계작성, 연구, 공익적 기록보존” 목적으로만 가능하며, ‘개인정보 보호법’ 및 신용정보법이 가명정보 처리 과정의 안전성 확보조치, 재식별 금지, 위반 시 형사처벌ㆍ과징금ㆍ과태료 등 정보주체 보호를 위한 여러 규정을 두고 있으므로 침해의 최소성도 인정됨. 통계작성ㆍ연구ㆍ공익적 기록보존을 효과적으로 수행하고자 하는 공익이 가명정보가 제한된 목적으로 동의 없이 처리되는 정보주체의 불이익보다 크므로 법익의 균형성도 갖춤. 따라서 심판대상조항은 청구인들의 개인정보자기결정권을 침해하지 아니함(헌재 2012. 12. 27. 2010헌마153 참조)

4) 적용 및 결론

쟁점 1: 적법요건 판단

• 법리: 본문에 별도의 적법요건 판단 설시 없음
• 포섭: 헌법재판소가 본안 판단으로 나아가 심판대상조항의 위헌 여부를 판단함
• 결론: 적법요건에 관하여 본문에 명시된 바 없음(본안 판단으로 나아감)

쟁점 2: 개인정보자기결정권 침해 여부

• 법리: 개인정보자기결정권의 보호대상이 되는 개인정보를 대상으로 한 조사ㆍ수집ㆍ보관ㆍ처리ㆍ이용 등은 원칙적으로 개인정보자기결정권에 대한 제한에 해당하며, 그 제한은 과잉금지원칙(목적의 정당성ㆍ수단의 적합성ㆍ침해의 최소성ㆍ법익의 균형성)을 충족하여야 함

(가) 제한되는 기본권

• 개인정보자기결정권(헌법 제10조 제1문의 일반적 인격권, 헌법 제17조의 사생활의 비밀과 자유) — 가명정보는 추가 정보의 사용ㆍ결합을 통해 특정 개인을 알아볼 수 있는 정보이므로 보호대상이 되는 개인정보에 해당

(나) 과잉금지원칙에 의한 심사

• (1) 목적의 정당성: 데이터 관련 신산업 육성이 범국가적 과제로 대두된 상황에서 데이터 이용을 활성화하여 통계작성ㆍ연구ㆍ공익적 기록보존을 효과적으로 수행하려는 것 — 정당

• (2) 수단의 적합성: 정보주체의 동의 없이 가명정보를 처리할 수 있도록 하는 것은 위 목적 달성에 적합

• (3) 침해의 최소성: 가명정보는 그 자체만으로는 특정 개인을 알아볼 수 없어 인격권ㆍ사생활의 자유에 미치는 영향이 작고, 동의 없는 처리 목적이 통계작성ㆍ연구ㆍ공익적 기록보존으로 제한되며(‘등’은 예시 확장 취지가 아님), 안전성 확보조치 의무ㆍ재식별 금지ㆍ위반 시 형사처벌ㆍ과징금ㆍ과태료 등 정보주체 보호 규정이 다수 마련되어 있음

• (4) 법익의 균형성: 데이터 활용을 통해 지식 축적과 사회 발전을 촉진하는 공익은 중대한 반면, 정보주체는 식별 불가능한 가명정보가 제한된 목적으로 동의 없이 처리되는 불이익만을 입음

• 포섭: 청구인들이 제공한 개인정보ㆍ개인신용정보는 가명처리되어 그 자체로는 식별이 불가능한 상태로만 동의 없이 처리ㆍ제공되고, 통계작성ㆍ연구ㆍ공익적 기록보존이라는 제한된 목적을 벗어난 활용은 법률상 허용되지 아니하며, 개인정보 보호법 제28조의4ㆍ제28조의5 등의 보호조치가 적용됨

• 결론: 과잉금지원칙에 위배되지 아니하여 개인정보자기결정권을 침해하지 아니함

• 최종 결론: 이 사건 심판청구를 모두 기각함(재판관 전원일치)

참조: 헌법재판소 2023. 10. 26. 선고 2020헌마1476 결정