가명처리의 처리정지 요구

정보주체는 자신의 개인정보 처리의 정지를 요구할 수 있지만, 대법원은 가명처리가 개인정보 보호법 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 개인정보 처리에 해당하지 않는다고 보아야 한다고 판단했다(2024다210554 판시사항·판결요지·이유 2나 2).

쉽게 말하면 — 회사가 내 정보를 가명으로 바꾸는 단계 자체를 멈춰 달라고 개인정보 처리정지권으로 요구할 수는 없다는 판결입니다. 그렇다고 가명정보를 아무 목적으로나 쓰거나 다시 누구인지 알아내도 된다는 뜻은 아닙니다. 가명정보의 처리 목적과 제3자 제공에는 개인정보 보호법 제28조의2가, 결합에는 같은 법 제28조의3이 적용됩니다. 추가정보 분리보관과 안전조치는 같은 법 제28조의4가 정하고, 재식별 목적 처리는 같은 법 제28조의5가 금지합니다.

가명처리는 왜 처리정지 요구의 대상이 아닌가?

대법원은 가명처리가 그 개념적 정의에 의하더라도 개인정보에 대한 식별의 위험성을 낮추는 방법이므로, 정보주체에 대한 권리 또는 사생활 침해의 위험을 발생시킬 수 있는 개인정보 보호법 제2조 제2호에서 규정한 여러 유형의 개인정보 처리와는 구별된다고 보았다(2024다210554 판결요지·이유 2나 2). 개인정보 보호법은 가명처리를 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것으로 따로 정의한다(개인정보 보호법 제2조 제1호의2).

개인정보처리자는 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 해야 한다(개인정보 보호법 제3조 제7항). 대법원은 이 규정이 가명처리를 익명처리에 준하는 개인정보 보호조치로 분류한 것으로 볼 수 있다고 했다(2024다210554 이유 2나 2).

가명정보는 언제 동의 없이 처리할 수 있나?

개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다(개인정보 보호법 제28조의2 제1항). 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안 된다(같은 조 제2항).

동의 없이 처리할 수 있더라도 결합, 추가 정보 관리, 특정 개인을 알아보기 위한 처리에는 따로 제한이 있다. 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행한다(개인정보 보호법 제28조의3 제1항). 결합을 수행한 기관 외부로 결합된 정보를 반출하려는 개인정보처리자는 가명정보 또는 제58조의2에 해당하는 정보로 처리한 뒤 전문기관의 장의 승인을 받아야 한다(같은 법 제28조의3 제2항).

개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우에는 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 해야 한다(같은 법 제28조의4 제1항). 이 조치는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관·관리하는 등 해당 정보가 유출등이 되지 않도록 대통령령으로 정하는 바에 따라 한다(같은 항). 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 자는 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 안 된다(같은 법 제28조의5 제1항). 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수·파기해야 한다(같은 법 제28조의5 제2항).

일반적인 개인정보 처리정지권은 어떻게 작동하나?

정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다(개인정보 보호법 제37조 제1항 제1문). 이 경우 공공기관에 대해서는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다(같은 항 제2문). 개인정보처리자는 처리정지 요구를 받았을 때에는 지체 없이 정보주체의 요구에 따라 개인정보 처리의 전부를 정지하거나 일부를 정지해야 한다(같은 법 제37조 제2항 본문). 다만 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 등 같은 항 각 호의 어느 하나에 해당하는 경우에는 처리정지 요구를 거절할 수 있다(같은 항 단서).

개인정보처리자는 제2항 단서에 따라 처리정지 요구를 거절하거나 제3항 단서에 따라 동의 철회에 따른 조치를 하지 아니하였을 때에는 정보주체에게 지체 없이 그 사유를 알려야 한다(같은 조 제4항). 개인정보처리자는 정보주체의 요구에 따라 처리가 정지된 개인정보에 대해서는 지체 없이 해당 개인정보의 파기 등 필요한 조치를 해야 한다(같은 조 제5항).

개인정보처리자는 같은 법 시행령 제44조 제1항에 따른 개인정보 처리정지 요구를 받은 날부터 10일 이내에 다음 사항을 보호위원회가 정하여 고시하는 개인정보 처리정지 요구에 대한 결과 통지서로 해당 정보주체에게 알려야 한다(같은 조 제2항).

법 제37조 제2항 본문에 따라 해당 개인정보의 처리정지 조치를 한 경우에는 그 조치를 한 사실
같은 항 단서에 해당하여 처리정지 요구에 따르지 않은 경우에는 그 사실 및 이유와 이의제기방법

2024다210554 판결의 범위는 어디까지인가?

대법원이 직접 판시한 것은 가명처리가 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 개인정보 처리에 해당하지 않는다는 점이다(2024다210554 판시사항·이유 2나 2). 정보통신서비스 제공자인 피고와 이동통신 서비스 이용계약을 체결한 원고들은, 원고들의 개인정보를 제28조의2에 정한 과학적 연구, 통계, 공익적 기록보존의 목적을 위하여 가명처리를 해서는 안 된다는 이유로 처리정지를 구하는 소를 제기했다(2024다210554 이유 1). 원심은 이 목적을 위한 가명처리가 제37조 제1항의 처리정지 요구의 대상에 포함된다고 판단했으나, 대법원은 원심판결을 파기하고 사건을 서울고등법원에 환송했다(2024다210554 이유 2가·2나 3·주문).

제28조의2 또는 제28조의3에 따라 처리된 가명정보에는 현행법상 제37조가 적용되지 않는다(개인정보 보호법 제28조의7). 따라서 그 범위의 가명정보 이용·제공도 제37조의 처리정지 요구 대상이 아니다. 다만 목적 제한은 같은 법 제28조의2, 결합 제한은 같은 법 제28조의3, 안전조치는 같은 법 제28조의4, 재식별 금지는 같은 법 제28조의5에 따라 각각 따로 검토한다.

실무 체크포인트

요구하려는 대상이 가명처리 자체인지, 개인정보의 이용·제공 같은 처리인지, 제28조의2·제28조의3에 따라 처리된 가명정보인지 구별한다(2024다210554 판결요지, 개인정보 보호법 제2조 제2호, 개인정보 보호법 제28조의7).
개인정보처리자가 마련한 방법과 절차에 따라 처리정지를 요구한다(개인정보 보호법 시행령 제44조 제1항). 정지를 원하는 대상과 처리 내용을 구체적으로 적어 두면 요구 범위가 분명해진다.
개인정보처리자는 제2항 단서에 따라 처리정지 요구를 거절하거나 제3항 단서에 따라 동의 철회에 따른 조치를 하지 아니하였을 때에는 정보주체에게 지체 없이 그 사유를 알려야 한다(개인정보 보호법 제37조 제4항).
처리정지를 요구했다면 결과 통지를 받았는지 확인한다. 개인정보처리자는 개인정보 보호법 시행령 제44조 제1항에 따른 개인정보 처리정지 요구를 받은 날부터 10일 이내에 보호위원회가 정하여 고시하는 개인정보 처리정지 요구에 대한 결과 통지서로 해당 정보주체에게 알려야 한다(같은 조 제2항). 알릴 내용은 법 제37조 제2항 본문에 따라 해당 개인정보의 처리정지 조치를 한 경우에는 그 조치를 한 사실이고, 같은 항 단서에 해당하여 처리정지 요구에 따르지 않은 경우에는 그 사실 및 이유와 이의제기방법이다.
가명정보의 목적·제공 범위는 개인정보 보호법 제28조의2를, 결합·반출은 같은 법 제28조의3을, 추가정보 분리보관과 안전조치는 같은 법 제28조의4를, 재식별 금지는 같은 법 제28조의5를 기준으로 확인한다.