개인정보 보호법의 적용 범위에 관한 연구

A Legal Research on The Scope of Application of the Personal Information Protection Act

1980년대 이후 개인정보 보호 관련 연구가 법학, 행정학, 정책학, 공학 등 다양한 학문 분야에서 활발히 진행되어 왔으나, 개인정보 보호법의 적용 범위를 집중적으로 다룬 연구는 찾아보기 어렵다. 본고는 개인정보 보호법의 적용 범위를 인적(人的) 측면과 지리적(地理的) 측면에서 각 검토하고 해석론 및 입법론을 제시하고자 하였다. 검토 결과는 다음과 같다. 1) 인적 적용 범위: 내외국인 불문하고 개인정보 보호법상의 요건을 갖추면 정보주체 및 개인정보처리자에 해당한다. 정보주체가 미성년자인 경우 만 14세 이상이라 하더라도 민법의 제한능력자 규정이 적용되어 본인의 개인정보 처리에 관한 동의권 행사에 있어 법정대리인의 동의가 필요하다고 보아야 한다. ‘개인정보를 처리하거나 처리하였던 자’(제59조)의 개념은 판례와 달리 ‘현재의 개인정보처리자 또는 과거의 개인정보처리자’로 해석하여야 한다. 2) 지리적 적용 범위 : 역내 개인정보 처리의 경우 속지주의 원칙상 국내 개인정보처리자는 물론 외국 개인정보처리자에게도 개인정보 보호법이 적용된다. 다만 실제집행의 실효성을 확보하기 위하여는 개인정보 보호법상의 규제 수준이 다수의 국가나 국제협력체 등에서 합리적이고 보편타당하다고 인정되어야 할 것이다. 역외 개인정보 처리의 경우, 국내 개인정보처리자의 역외 개인정보 처리에는 해당국의 법률이존재한다면 그 법률을 적용하는 것이 비합리적이라는 특별한 사정이 존재하지 않는한 해당국의 법률을 적용하고, 그렇지 않은 경우 우리 개인정보 보호법을 적용하는것이 합리성의 원칙이나 이익형량의 원칙상 타당하다. 외국 개인정보처리자의 역외개인정보 처리에는 효과주의 이론에 따라 그 영향이 국내에 미치는 경우에 한하여 개인정보 보호법을 적용하는 것이 타당하다. 이처럼 다소 복잡한 결과가 도출되는 근본적인 이유는 개인정보 보호법의 적용 범위 문제가 전적으로 해석론에 맡겨져 있기 때문이다. 수범자의 법적 안정성과 예측가능성을 보장하고 법집행의 객관성과 투명성을 확보하는 측면에서 개인정보 보호법의 적용 범위 문제는 해석론이 아닌 입법론으로 해결될 필요가 있다.

Since the 1980s, research related to the Personal Information Protection Act(hereinafter ‘PIPA’) has been actively conducted in various academic fields such as law, public administration, policy studies, and engineering. However, It is rarely found studies focusing on the scope of application of the PIPA. This paper tried to review the scope of application of the PIPA from the hum an and geographical perspective and to suggest reasonable interpretation and legislation methodology of it. The review results are as follows. 1) Personal scope of application: Regardless of domestic or foreign nationals, if they meet the definitions under the PIPA, they are the subject of the ‘data subject’ and the ‘personal information controller’. If the data subject is a minor, even if he or she is 14 years of age or older, the provisions of the Civil Act for persons with lim ited capacity apply, so the consent of a legal representative is necessary to exercise the right to consent. The concept of ‘a person who has processed or processed personal information’ (PIPA article 59) should be interpreted as ‘current personal information controller or former personal information controller’. 2) Geographical scope of application: In the case of processing of personal information within the region, the PIPA applies not only to domestic personal information controllers but also to foreign ones under the principle of territoriality. However, in order to secure the effectiveness of actual enforcement, the level of regulation under the PIPA should be recognized as reasonable and universally valid in the majority of countries or international cooperatives. In the case of offshore processing of personal information, if there is a law in that country, the law of that country is applied to the processing of personal information offshore, unless there is a special circumstance that it is unreasonable to apply the law. It is reasonable to apply PIPA to the processing of personal information offshore by foreign personal information controllers only if the effect is domestic according to the theory of effectiveness. The fundamental reason for this rather complicated result is that the issue of the scope of application of the PIPA is entirely left to legal interpretation methodology. In terms of ensuring legal stability and predictability of offenders and securing objectivity and transparency in law enforcement, the issue of the scope of application of PIPA needs to be resolved through legislative theory rather than interpretation theory