개정 개인정보 보호법에 관한 시론적 고찰

빅데이터, 인공지능 등 지능정보기술은 방대한 정보를 기초로 발전을 거듭하고 있다. 신기술 발전은 국가경쟁력을 제고시키는 장점도 있지만, 개인정보의 프로파일링과 자동화된 결정의 증가로 개인정보자기결정권의 침해가 우려된다. 이에 따라 지능정보사회에 적극적으로 대응하기 위해 「개인정보 보호법」 개정의 필요성이 대두되었고 2023년 3월, 「개인정보 보호법」에 대한 실질적인 전면개정이 이루어졌다. 개정 「개인정보 보호법」은 신기술 발전에 따른 것으로, 정보주체의 개인정보자기결정권을 강화하는 내용을 주로 담고 있으며, 글로벌 수준에 부합하도록 개정되었다. 개정법에서 주목할 부분은 개인정보 전송요구권 및 자동화된 결정에 대한 권리의 신설이다. 이는 2016년 EU GDPR에 이미 도입된 권리로서 「개인정보 보호법」 개정과제로 손꼽혔던 부분이었고, 2023년 개정 「개인정보 보호법」에 반영됨으로써 개인정보자기결정권이 한층 더 강화될 수 있었다. 다만, 향후 「개인정보 보호법」은 개인정보 전송요구권을 구체적으로 실현하기 위한 플랫폼 구축이 요구되며, 민감정보에 근거한 자동화된 결정을 원칙적으로 금지한다는 규정이 추가될 필요가 있다. 또한, 프로파일링 반대권은 규정할 필요가 없으나, 제37조 “개인정보의 처리”에 ‘프로파일링’을 포함하는 규정을 명시하는 개정이 요구된다.

Intelligent information technologies such as big data and artificial intelligence are continuing to develop based on vast amounts of information. The development of new technologies also has the advantage of enhancing national competitiveness, but it is concerned that the right to self-determination of personal information would be violated due to the profiling of personal information and the increase in automated decisions. In order to actively respond to the intelligent information society, the need to revise the Personal Information Protection Act emerged, and in March 2023, substantial revision of the Personal Information Protection Act was made. The revised Personal Information Protection Act is based on the development of new technologies and mainly includes strengthening information subject’s right to self-determination of personal information, and was revised to meet the global level. In the revised law, the establishment of the right to data portability and the right to automated decisions are noteworthy. These rights were already introduced in the 2016 EU GDPR and were considered revised tasks to the Personal Information Protection Act. The right to self-determination of personal information could be further strengthened by being reflected in the revised Personal Information Protection Act in 2023. In the future, the Personal Information Protection Act requires the establishment of platforms to specifically realize the right to data portability, however. It is necessary to add regulation that prohibits automated decisions based on sensitive information, in principle. There is no need to stipulate the right to object profiling, but an amendment is required to specify the provision including ‘profiling’ in Article 37 “Processing of Personal Information”, in addition.