개인정보 보호법의 국제적 배경과 주요 개념 및 제59조의 수범자 범위와 형사처벌 규정에 따른 법적 쟁점 doc_id PCY_201705250234469281_1

미국에서의 개인정보 보호법제를 이해하기 위해서는 ｢개인정보 권리에 대한 정책방향(FIPPs : Fair Information Practice Principles)｣을 알아야 한다. FIPPs는 미국 온라인상 개인정보 보호의 권리장전으로 불린다. 1973년 미국 보건교육부가 개최한 자유와 개인정보 보호에 관한 세미나에서 처음 언급됐고, 1974년 ｢Privacy Act｣에서 법적 정신으로 발전했다. 이후 각 주의 법령에서 개인정보 보호를 위해 차용하는 가장 중요한 원칙이 되었다. 유럽의 경우를 살펴보자. 참고로 유럽연합(EU)과 유럽평의회(CoE)는 별개의 조직이다. 유럽의 개인정보 보호 법제를 시기적으로 정리하면 1953년부터 1995년까지는 ｢유럽인권조약(1953년)｣ 제8조, ｢개인정보의 자동처리와 관련된 개인의 보호를 위한 조약 제108호(이하 조약 제108호, 1981년)｣가 근거였다. 1995년에는 이들을 기초로 한 ｢개인정보보호지침｣이 채택되어 개인정보 보호가 강화되었다. ｢개인정보 보호법｣은 제3조에서 개인정보 보호의 원칙을 천명했다. 이는 1980년 OECD 가이드라인 제2장에서 언급된 8개의 개인정보보호 원칙을 반영한 것이다. 이 밖에 ｢EU 개인정보보호지침｣, ｢APEC 프라이버시 원칙｣ 등도 참고했다. 개인정보 보호라는 세계사적인 시대정신을 반영하려는 노력의 결과가 동법의 제정이었음을 보여준다. 일각에서는 ｢개인정보 보호법｣이 공법과 사법 양자택일이 아닌 일종의 중간법적 성격을 지닌다고 평가하기도 한다. 법의 적용범위가 공공과 민간을 포괄하고, 자율규제 및 시장 메커니즘을 통한 사법적 접근, 형벌과 행정제재를 통한 형사법･행정법적 수단을 모두 담고 있다는 것이다. 한편, 일반법이자 기본법인 ｢개인정보 보호법｣과 교육･금융･정보통신 등 영역별로 산재되어 있는 기존 법률들과의 관계 문제는, 개인정보 보호법제의 체계 정합성 비판을 불러왔다. 비난은 고스란히 ｢개인정보 보호법｣이 가진 문제로 이어졌다. ｢개인정보 보호법｣은 개인정보 개념의 모호성과 광범위성을 극복하고 법과 현실의 간극을 없애기 위해 ‘개인정보파일’과 ‘개인정보처리자’ 개념을 따로 설정하고 있다. 개인정보처리자는 동법의 기본적인 수범자다. 업무를 목적으로 ‘개인정보파일’을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다(법 제2조 제5호). ‘개인정보파일’은 개인정보처리자를 설명하는 개념이다. 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 의미한다(법 제2조 제4호). 결국 개인정보처리자는 ① ‘업무’와 ② ‘개인정보파일 운용’, 이 두 가지 목적을 가지고 있어야만 한다. 사적인 친분관계에 따라 개인정보를 취급하는 자는 ‘업무’ 요건을 결여하여 개인정보처리자가 아니다. ‘개인정보파일’은 반드시 전자적 형태일 필요는 없지만 일회성 메모나 문서를 제외하여 사소한 행위까지 규제하는 것을 방지했다. 다만, “개인정보파일을 운영하기 위하여…”라는 목적적 개념을 사용해 현재 개인정보파일을 운영하지 않더라도 장래 개인정보파일을 운영할 ‘가능성’만 존재하면 충분하다고 본 점이 한계로 지적된다. ｢개인정보 보호법｣은 금지행위를 규정한 대부분 조문에서 ‘누구든지’ 또는 ‘∼한 자’가 아닌 개인정보처리자를 주어로 사용했다. 수범자를 제한한 데는 분명 국가형벌권의 과도한 확대를 경계하려는 목적이 있었을 것이다. 그런데 동법 제59조는 ‘개인정보를 처리하거나 처리하였던 자’를 주어로 금지행위를 규정했다. 정의규정(제2조)에서 언급한 적 없는 수범자다. 자연히 개인정보처리자와의 관계 문제가 떠올랐다. 문언만 놓고 보면 제59조 의무주체는 개인정보처리자를 풀어 쓴 것과 다름없었다. 양자를 동일하게 볼 수 있는 대목이다. 하지만 동일한 개념인데 굳이 다르게 표현한 까닭이 석연치 않다. 양자가 다르다고 볼 수도 있는 대목이다. 법원 역시 혼란을 겪기는 마찬가지였다. 서울북부지방법원 2015노166 판결은 제59조 제2호의 구성요건에 해당하기 위해서는 행위자가 개인정보처리자의 지위에 있어야 한다고 보아 개인정보처리자가 아닌 피고인은 무죄라고 판결했다. 대법원이 지적한 것처럼 제59조는 보칙의 장에 위치한다. 보칙(補則)은 법률의 기본 규정을 보충하고자 만든 규칙이고, 보충의 사전적 의미는 ‘부족한 것을 보태어 채운다’다. 따라서 제59조는 제1장 내지 제7장에서의 흠결, 사각지대를 해소해주는 역할을 해야 한다. ‘개인정보를 처리하거나 처리하였던 자’를 ‘개인정보처리자’와 다른 개념으로 보는 게 논리적 해석에 부합한다. 다음으로 합목적적 해석은 제59조가 개인정보 보호범위를 확대하는, 즉 제59조 수범자와 개인정보처리자가 다르다는 결론에 도달케 한다. 인적･물적 적용범위를 확장함으로써 높은 수준으로 개인정보를 보호하고자 했던 게 ｢개인정보 보호법｣의 입법 취지였기 때문이다. 역사적 해석 역시 제59조 수범자를 개인정보처리자와 구분한다. 동법 제정에 앞장섰던 당시 행정안전부는 법 시행 직후 발간한 해설서에서 제59조 의무주체를 “개인정보처리자에게 소속되어 개인정보를 처리하고 있거나 처리한 적이 있는 전․현직 임직원, 파견직, 수탁자 등이 해당된다.”고 설명했다. 개인정보 보호는 당위의 문제다. 세계적인 흐름이다. 다만, 개인정보를 두텁게 보호하기 위해서는 형벌만이 능사가 아니다. 개인정보침해는 본래 평범한 시민이 아닌 정부나 시장권력에 의해 자행됐다. 권력을 통제하는 데는 징계나 행정처분, 손해배상책임도 충분히 효과적일 수 있다. 국가형벌권이 시민의 일상생활로 확장되는 것을 경계한다고 해서 개인정보 보호에 부족함이 생기진 않는다. 사람들이 두려워하는 것은 정치권력과 자본으로부터의 감시, 범죄에서의 개인정보 사용이다. 모든 사람이 가지고 있는 타인과의 소통 욕구와 권리를 지나치게 억압해선 안 된다. ｢개인정보 보호법｣은 나름대로 형법의 보장적 기능을 확보하기 위한 장치를 뒀다. 개인정보, 개인정보처리자, 개인정보파일 개념이 그것이다. 특히 개인정보 판단 기준인 ‘식별 가능성’이 의미 있다. 합법적인 결합만을 인정하면 조문의 명확성이 높아진다. 하지만 법 제59조는 업무를 수행하는 모든 사람을 잠재적 범죄자로 내몰았다. 업무는 타인과의 교류를 전제할 수밖에 없는데, 교류 과정에서 전화번호 같은 개인정보를 주고받는 일이 비일비재하기 때문이다. ｢개인정보 보호법｣ 제59조와 그 위반의 벌칙규정(제71조, 제72조)은 오로지 형사처벌만을 염두에 뒀다. 업무상 개인정보를 처리한 사람이 동의나 권한 없이 이를 누설･제공하면 형사처벌 이외 다른 제재를 고려할 수 없게 규정하여 다양한 제재수단을 두고 있는 ｢개인정보 보호법｣의 입법 취지를 살리지 못했다. 2017년 1월 기준 우리나라 자영업자는 547만 6,000명, 임금근로자는 1,926만 명이다. 총 인구 5,165만 1,211명 중 절반 가까이가 ‘업무’를 수행하고 있다. 업무상 개인정보를 처리하는 데는 대단한 권한이나 법적 근거가 필요 없다. 배달음식점이 주문을 받으면서 기록하는 전화번호와 주소가 개인정보다. 업무상 연락을 주고받는 용도로 사용되는 이메일 주소 역시 개인정보다. 전화번호, 이메일 같이 업무가 아닌 사교나 친분에 따라서도 빈번하게 주고받는 개인정보가 도처에 널려 있다. 당연히 업무를 하다 보면 부지불식간에 개인정보를 알게 된다. 2,500만 명의 일상이 국가형벌권의 감시 아래 놓일 수밖에 없는 까닭이다. 짐작컨대 사소하다는 이유로 형사문제로까지 시비되지 않는 경우가 상당할 것이다.