오늘날 기업과 기관에서는 막대한 양의 데이터를 다루고 있습니다. 그 데이터에는 수많은 개인정보가 포함되어 있습니다. 수많은 데이터를 활용하려고 할때 그 안에 포함된 개인정보를 잘못 다루게 되면 개인의 사생활을 침해하고 큰 피해를 야기할 수 있기 때문에, 이를 안전하게 처리하기 위한 기본 원칙이 필요합니다. 이것이 바로 개인정보 보호원칙이며 개인정보보호법 제3조에 이러한 내용을 규정하고 있습니다.

 

 

개인정보 보호 원칙

처리 목적의 명확화, 목적 내에서 적법하고 정당하게 최소 수집

처리 목적 내에서 처리, 목적 외 활용 금지

처리 목적 내에서 정확성, 완전성, 최신성 보장

정보 주체의 권리 침해 위험성 등을 고려하여 안전하게 관리

개인정보 처리 사항 공개, 정보 주체의 권리 보장

사생활 침해 최소화 방법으로 처리

가명/익명처리가 가능한 경우, 가명/익명으로 처리

개인정보처리자의 책임 준수, 정보주체의 신뢰성 확보

 

데이터 활용이 활발해 지면서 가명정보 개념이 도입되었습니다.

가명정보는 개인 식별 요소를 일부 삭제하거나 대체해 직접적으로 개인을 식별할 수 없도록 처리한 정보입니다.

가명정보도 개인정보이며, 따라서 개인정보 보호법의 보호 대상입니다.

별도의 추가정보와 분리 보관, 관리자의 권한 분리, 재식별 방지를 위한 기술적 관리적 보호조치를 반드시 따라야 합니다.

 

해외의 경우 개인정보 보호와 관련해서 1980년 OECD에서 발표한 프라이버시 8원칙을 발표하였습니다.

① 수집제한의 원칙 (Collection Limitation Principle)

- 개인정보는 합법적이고 공정한 방법으로 최소한으로 수집해야 합니다.

② 정보 정확성의 원칙 (Data Quality Principle)

- 개인정보는 정확하고, 완전하며, 최신 상태로 유지해야 합니다.

③ 목적 명확화 원칙 (Purpose Specfication Principle)

- 개인정보 수집시 처리 목적을 명확히 하고, 목적에 부합하게만 사용하여야 합니다.

④ 이용 제한의 원칙 (Use Limitaion Principle)

- 정보주체의 동의나 법적 근거가 없으면 수집 목적 외의 용도로 사용하거나 제3자에게 제공할 수 없습니다.

⑤ 정보의 안전한 보호의 원칙 (Security Safeguards Principle)

- 개인정보는 무단 접근, 유출, 변조, 파기로 부터 안전하게 보호해야 합니다.

⑥ 공개의 원칙 (Openness Principle)

- 개인정보 처리 방침등 관련 정책을 공개하고 누구나 알 수 있도록 해야 합니다.

⑦ 개인 참가의 원칙 (Individual Participation Principle)

- 정보주체는 본인의 개인정보에 대해 열람, 수정, 삭제를 요구할 수 있어야 합니다.

⑧ 책임의 원칙 (Accountability Principle)

- 개인정보 처리자는 위 원칙을 준수하고 이를 증명할 책임이 있습니다.

 

원칙이 있어야 데이터가 안전하다.

 

공공기관이나 의료기관에서 기관내의 개인정보를 암호화하지 않거나, 접근권한을 분리하지 않아서 권한이 없는 사용자(예: 퇴직자 등)의 계정으로 외부 유출이 발생한 사례가 대표적인 보호원칙 위반 사례가 될 수 있습니다.

 

이러한 사례는 기본원칙 미준수 -> 관리소홀 -> 대규모 피해 -> 법적 책임이라는 흐름으로 진행됩니다.

기업과 기관에서는 "최소 수집, 목적 내 이용, 안전한 보호, 정보주체의 권리 보장, 명확한 책임" 원칙을 준수해야만 개인정보 재식별 위험과 유출사고를 낮출수 있습니다.

 

디지털 시대, 데이터는 자산이자 리스크입니다.

개인정보 보호 원칙은 기업과 기관이 신뢰받는 데이터 활용을 할 수 있도록 하는 기본입니다.

법과 원칙을 지키는 것이 곧 데이터 경쟁령이라는 사실을 기억해야 합니다.