[개인정보의 정의] – 모음집 제5면

Q. 개인의 치아 엑스레이 사진이 개인정보에 해당하나요?

A. 치아 엑스레이 사진 그 자체만으로는 개인정보에 해당하지 않을 수 있으나, 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있다면 개인정보에 해당할 수 있습니다.

○ 치아 엑스레이 사진만으로 정보주체를 알아볼 수 없는 경우 개인정보보호법에서 보호하는 개인정보로 보기 어려우나, 진료기록 등 설명 데이터가 있어 이를 쉽게 결합하여 개인을 알아볼 수 있는 경우 개인정보에 해당합니다.

※ 개인정보란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보이며, 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우도 포함됩니다(개인정보 보호법 제2조 제1호).

[개인정보의 정의] – 모음집 제8면

Q. 사망자 관련 정보가 개인정보에 해당하나요?

A. 아니요, 원칙적으로 사망자의 정보는 개인정보에 해당하지 않습니다. 다만, 사망자 정보라 하더라도 유족과의 관계를 알 수 있는 정보인 경우에는 살아 있는 유족의 정보로서 개인정보에 해당합니다.

○ ‘개인정보’는 살아 있는 개인에 관한 정보로서 ‘개인을 알아볼 수 있는 정보’ 및 ‘해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보’를 의미하므로(개인정보보호법 제2조 제1호), 사망했거나 관계 법령에 따라 사망한 것으로 보는 자에 관한 정보는 원칙적으로 개인정보에 해당하지 않습니다.

○ 다만, 사망자에 관한 정보라 하더라도 유족과의 관계를 알 수 있는 정보인 경우에는 살아 있는 유족의 정보로서 개인정보에 해당합니다. 해당 정보만으로 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보는 개인정보에 해당하므로, 사망자에 관한 정보만으로는 유족과의 관계를 알 수 없더라도 다른 정보와 쉽게 결합하여 알 수 있다면 유족의 개인정보에 해당할 수 있습니다.

[가명정보] – 모음집 제33면

Q. 과학적 연구 등 목적으로 가명정보를 처리하는 경우, 그 가명정보를 유상 판매하는 것이 가능한가요?

A. 네, 과학적 연구 등 목적으로 가명정보를 처리하면서 그 대가를 받는 것은 가능합니다.

○ 통계작성, 과학적 연구, 공익적 기록보존 등의 목적 내에서 가명정보를 제공하면서 제공에 소요된 비용에 대해 적절한 기준에 따라 산정하여 대가를 받는 것은 가능합니다.

○ 그러나 해당 목적 범위를 벗어나 판매할 목적으로 가명정보를 처리하는 것은 허용되지 않습니다(개인정보보호법 제28조의2).

[가명정보] – 모음집 제34면

Q. 이름, 주민등록번호 등 개인을 직접 알아볼 수 있는 정보만 삭제하면 가명정보가 되나요?

A. 아니요, 가명처리 시 그 자체로 개인을 알아볼 수 있는 정보는 삭제해야 하며 개인식별 가능성도 종합적으로 고려해야 합니다.

○ 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안 되므로(개인정보보호법 제28조의2 제2항), 개인정보를 가명처리하는 경우 그 자체로 개인을 직접적으로 알아볼 수 있는 정보인 성명, 고유식별정보 등은 삭제하는 것이 원칙입니다.

○ 다만, ‘성별’, ‘연령’, ‘거주 지역’ 등 단일 항목으로는 개인을 알아볼 수 없으나 다른 정보와 결합되었을 때에는 개인을 알아볼 가능성이 높은 정보나 희귀성씨가 포함된 경우, 특정지역 국회의원 등 개인을 알아볼 가능성이 높은 정보(특이정보)까지 종합적으로 고려하여 개인이 식별될 위험도를 낮춰야 안전한 가명정보로 볼 수 있습니다.

[가명정보] – 모음집 제35면

Q. 제3자에게 제공한 가명정보를 제3자가 활용하는 과정에서 정보주체에게 피해가 발생한 경우 가명정보를 제공한 자도 처벌을 받나요?

A. 아니요, 가명정보를 제공받은 자가 안전조치 미이행으로 문제가 발생하였거나 고의로 재식별 행위를 하였다면 해당 행위자인 제공받은 자만 제재 대상이 되며, 제공한 자는 제재 대상이 되지 않습니다.

○ 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있고, 이에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안 됩니다(개인정보보호법 제28조의2).

○ 또한, 가명정보를 처리하는 자는 특정 개인을 알아보기 위한 목적으로 가명정보를 처리하는 것이 금지되는데(개인정보보호법 제28조의5 제1항), 가명정보 처리 과정에서 의도치 않게 특정 개인을 알아볼 수 있는 정보가 생성되었다는 사실만으로는 제재 대상이 되지 않습니다. 단, 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수·파기해야 합니다(개인정보보호법 제28조의5 제2항).

[민감·고유식별정보] – 모음집 제89면

Q. 얼굴 사진이 민감정보에 해당하나요?

A. 아니요, 얼굴 사진은 일반적으로 개인정보에 해당하나, 민감정보에 해당하지 않습니다.

○ 민감정보는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보 등을 의미합니다(개인정보보호법 제23조, 개인정보보호법 시행령 제18조 제3호).

○ 따라서 여권사진이나 증명사진 등 얼굴 사진은 일반적으로 개인정보에 해당하며, 민감정보에는 해당하지 않습니다. 다만, 일반적인 얼굴 사진을 차후에 인증·식별 등의 목적으로 일정한 기술적 수단으로 처리할 경우 해당 정보는 개인정보보호법 시행령 제18조 제3호에 따른 민감정보에 해당합니다.

[민감·고유식별정보] – 모음집 제92면

Q. 민감정보, 고유식별정보, 주민등록번호 처리 업무를 위탁할 수 있나요?

A. 네, 개인정보보호법 제26조 제1항에 따라 개인정보 처리 업무위탁 계약을 맺은 경우 민감정보 및 고유식별정보 처리 업무를 위탁할 수 있습니다.

○ 개인정보 처리 업무를 위탁하는 위탁자가 개인정보보호법 제23조 제1항, 제24조 제1항, 제24조의2 제1항에 따라 민감정보·고유식별정보·주민등록번호를 처리할 수 있는 개인정보처리자라면, 제26조 제1항에 따라 수탁자와 업무위탁 계약을 체결하고 그 처리를 위탁할 수 있습니다.

○ 다만, 수탁자에 관하여 제23조, 제24조, 제24조의2, 제29조가 준용되므로, 수탁자 또한 동 조항들에 따른 개인정보처리자의 안전성 확보조치, 암호화 조치 등의 의무사항을 준수해야 합니다(개인정보보호법 제26조 제8항).

[기타 특수분야] – 모음집 제113면

Q. 병원에서 대기자 명부에 개인정보를 기재토록 하는 것이 문제가 되나요?

A. 병원은 환자의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하고 안전하게 관리하여야 합니다.

○ 병원은 진료 시, 「의료법」 등의 법령상 의무 수행을 위해 불가피한 경우, 환자와의 진료 계약 체결 및 이행을 위해 필요한 경우에 정보주체의 동의 없이 개인정보를 수집·이용할 수 있습니다(개인정보보호법 제15조 제1항 제2호, 제4호).

○ 따라서 병원이 진료실에 들어갈 환자를 정확히 특정할 목적으로 대기자 명부를 만들어 성명, 생년월일 등을 기재하도록 하는 것 자체를 개인정보보호법 위반이라고 보기는 어려울 것이나, 병원은 정보주체인 환자의 권리가 침해받을 가능성과 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 하고, 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리할 필요가 있습니다(개인정보보호법 제3조 제4항, 제6항).

[기타 특수분야] – 모음집 제114면

Q. 감염병 환자의 개인정보는 어느 정도까지 공개할 수 있나요?

A. 주의 이상의 위기경보 발령 시 감염병 환자의 이동경로 등은 신속히 공개하여야 하나, 감염병 예방과 관계없는 정보는 공개대상에서 제외됩니다.

○ 감염병 확산으로 인해 ‘주의’ 이상의 위기경보가 발령되면 ‘감염병 환자의 이동경로, 이동수단, 진료의료기관 및 접촉자 현황, 감염병의 지역별·연령대별 발생 및 검사 현황’ 등 국민들이 감염병 예방을 위하여 알아야 하는 정보를 신속히 공개하여야 하나(「재난 및 안전관리 기본법」 제38조 제2항, 「감염병의 예방 및 관리에 관한 법률」 제34조의2 제1항),

○ ‘성별, 나이, 성명, 읍·면·동 단위 이하의 거주지 주소’ 등 감염병 예방과 관계없다고 판단되는 정보는 공개대상에서 제외됩니다(「감염병의 예방 및 관리에 관한 법률 시행령」 제22조의2 제1항).

[기타 특수분야] – 모음집 제115면

Q. 건강검진 대상자의 성명, 주민등록번호가 포함된 명단을 실수로 대상자가 속한 기관이 아닌 다른 기관에 발송하였다면 개인정보 유출에 해당하나요?

A. 네, 개인정보 유출에 해당합니다.

○ 개인정보의 분실·도난·유출은 ‘법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보가 해당 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것’을 말합니다(표준지침 제25조).

○ 따라서 대상자가 속한 기관이 아닌 다른 기관에 실수로 대상자의 성명, 주민등록번호가 포함된 명단을 발송한 것은 개인정보처리자의 관리·통제권을 벗어나 제3자가 내용을 알 수 있게 한 것으로서 개인정보 유출에 해당합니다.

[기타 특수분야] – 모음집 제116면

Q. 병원 응급실에서 폭행·난동이 발생한 경우 병원 관계자가 업무 목적으로 폭행·난동 행위자의 개인정보를 수집하여 이용할 수 있나요?

A. 명백히 환자 등의 급박한 생명, 신체, 재산의 이익을 위하여 필요하거나, 환자의 치료 등 병원의 정당한 이익을 위해 필요하고 명백하게 행위자의 권리보다 우선하는 경우에 병원은 행위자의 개인정보를 수집·이용할 수 있습니다.

○ 개인정보처리자는 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 개인정보를 수집하여 그 수집 목적의 범위에서 이용할 수 있습니다(개인정보보호법 제15조 제1항 제5호). 이 경우 생명·신체･재산상의 이익을 보호해야 하는 상황이 급박해야 합니다. 정보주체 또는 제3자의 생명･신체･재산상의 이익을 보호해야 하는 상황에서 단시간 내 조치가 반드시 요구되는 상황이라면 급박성을 인정할 수 있습니다.

○ 또한, 개인정보처리자는 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우에는 개인정보를 수집할 수 있으며, 그 수집 목적의 범위에서 이용할 수 있습니다. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한합니다(개인정보보호법 제15조 제1항 제6호).

○ 따라서, 개인정보처리자인 병원은 명백히 환자 등의 급박한 생명, 신체, 재산의 이익을 위하여 필요하거나, 환자 치료 등 병원의 정당한 이익을 위하여 필요하고 정보주체의 권리에 비해 명백하게 우선한다고 볼 수 있는 경우 폭행 등 행위자의 개인정보를 수집·이용할 수 있습니다.

[기타 특수분야] – 모음집 제117면

Q. 성형외과에서 성형 환자들의 성형 결과를 사진으로 촬영하여 병원 홈페이지에 병원 홍보 목적으로 게시하는 경우 문제가 없나요?

A. 성형 결과 사진을 당초의 수집한 목적 범위를 벗어나 병원 홍보 목적으로 이용·제공하기 위해서는 환자로부터 별도의 동의를 받는 등 개인정보의 목적 외 이용·제공 요건을 충족하여야 합니다.

○ 병원이 환자의 성형수술 결과 사진을 병원 홍보 목적으로 게시하는 것이 당초 수집한 목적 범위를 벗어난 경우 이는 ‘개인정보의 목적 외 이용·제공 행위’에 해당합니다. 개인정보처리자는 원칙적으로 당초 수집한 목적 범위를 초과하여 개인정보를 이용·제공하여서는 아니 되며(개인정보보호법 제18조 제1항), 정보주체로부터 별도의 동의를 받은 경우 등 개인정보보호법 제18조 제2항 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용·제공할 수 있습니다(개인정보보호법 제18조 제2항).

○ 따라서, 병원이 환자의 성형수술 결과 사진을 당초의 수집한 목적 범위를 벗어나 홍보 목적으로 활용하기 위해서는 ‘촬영한 사진을 병원의 홍보 목적’으로 게재한다는 사실을 정보주체(환자)에게 명확히 알리고 별도의 동의를 얻는 등 개인정보보호법 제18조 제2항의 요건을 충족하여야 합니다.