우리나라는 일반법인 개인정보 보호법과 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’), 신용정보의 이용 및 보호에 관한 법률(이하 ‘신용정보법’) 등의 특별법을 통해 개인정보보호에 관하여 규율하고 있다. 이러한 법령들은 개인정보의 성격(개인정보, 개인신용정보), 적용대상(개인정보처리자, 정보통신서비스 제공자, 신용정보회사 등) 등을 기준으로 다양한 규율을 하고 있지만, 정보기술의 발달로 인한 다양한 정보처리 방식의 대두, 온·오프라인을 동시적으로 사용하는 사업의 증가 등으로 인해 그 구체적인 적용에 있어 많은 혼란을 가져오고 있는 실정이다. 본고에서는 이와 관련하여 아래와 같은 일곱 가지 쟁점을 검토하였다. 첫째, 개인정보 개념은 위와 같은 개인정보보호 법령의 적용 여부를 결정하는 중요한 개념이라 할 것인데, 그 해석에 관하여 확립된 원칙이 존재하지 않는다. 특히 누구를 기준으로 ‘식별가능성’ 요건의 충족 여부를 판단할 것인가에 관하여 학설과 판례의 대립이 있는데, 필자는 개인정보처리자를 기준으로 이를 판단하는 상대설이 타당하다고 본다. 그러나 ‘식별’ 개념에 관하여는 아직 충분한 논의조차 이루어지고 있지 않은바, 앞으로 이 부분 논의가 활발하게 이루어질 필요가 있다. 둘째, 공개된 개인정보의 취급에 관하여도 논란이 존재하며, 공개된 개인정보라 할지라도 개인정보 보호법 제15조 및 제17조에 따라 정보주체의 사전 동의를 얻어야 한다는 견해도 존재하나, 최근 대법원 2016. 8. 17. 선고 2014다235080 판결이 정보주체의 동의가 있었다고 객관적으로 인정되는 범위 내에서 개인정보를 수집 내지 제공하는 경우에는 정보주체의 별도 동의가 필요 없다고 판시함으로써 공개된 개인정보의 활용과 정보주체의 보호를 조화할 수 있는 길을 열었다. 앞으로도 공개된 개인정보 취급에 있어 이와 같이 정보의 활용과 정보주체의 조화의 균형을 도모할 필요가 있다. 셋째, 개인정보 보호법, 정보통신망법, 신용정보법이 모두 개인정보의 보호에 관하여 규율함으로 인하여 각 법률들 간의 모순과 충돌이 발생하고 있다. 유럽이나 일본의 사례와 같이 개인정보보호 관련 법규를 적절히 통일할 필요가 있다. 넷째, 개인정보보호 법령상 정보주체의 동의는 정보주체의 개인정보 자기결정권을 보호하기 위하여 마련된 제도이나, 현실적으로 동의의 존재로 인하여 오히려 정보주체의 선택권이 박탈당하는 역설적 결과가 발생하고 있다. 그럼에도 불구하고 우리 개인정보보호 법령은 동의의 획득이라는 측면에 치우쳐 개인정보주체의 실질적 보호에 소홀한 한편, 개인정보의 활용도 어렵게 하고 있다. 이러한 동의 만능주의 내지 동의 형식주의는 조속히 극복될 필요가 있다. 다섯째, 우리나라의 개인정보보호 법령상 제재는 형사처벌에 집중되어 있는바, 이는 세계적으로 유례가 드문 방식이다. 이로 인하여 개인정보처리자들이 개인정보의 활용에 보수적이 되는 문제가 발생하고 있다. 더욱 심각하게, 형사처벌 규정들이 실제 위반행위의 중대성에 비례적이지 않은 부분도 드물지 않게 관찰된다. 형사처벌을 최소화하고, 민사 또는 행정적 제재 위주로 운영하는 방안을 검토해 볼 필요가 있다. 여섯째, 제3자 제공과 처리위탁에 관한 규율을 정비할 필요가 있다. 현재 제3자 제공과 처리위탁의 구분이 모호하며, 이러한 구분을 성공적으로 이루어낸다고 하더라도, 개인정보 보호법 제26조 제7항에 의하여 수탁자에게 준용되는 의무는 구체적으로 어떤 내용인지, 이러한 의무와 위탁자의 의무의 관계는 무엇인지가 많은 경우 불명확하다. 더욱이 현행 개인정보 보호법상 위탁자의 수탁자에 대한 관리·감독·교육 의무는 수탁자의 거대화 현상에 따라 반드시 현실에 부합하지 않는 면이 있다. 마지막으로 개인정보의 제3자 제공 관련, 개인정보 제공에 관한 동의만 있으면 제공받는 자가 실제로 개인정보보호를 충실히 이행할 수 있는 자인지 확인할 수 없다는 문제가 있다. 이와 관련하여, 제공받는 자가 개인정보를 안전하게 관리할 수 있음을 전제로, 제3자 제공 관련 동의 규제를 완화하는 방안을 검토해 볼 필요도 있을 것이다.
본 연구는 마지막으로 개인정보의 제3자 제공 관련하여, 개인정보 제공에 관한 동의만 있다면 제공받는 자가 실제로 개인정보보호를 충실히 이행할 수 있는 자인지 확인할 수는 없다는 문제가 있다고 보았다. 이와 관련해, 제공받는 자가 개인정보를 안전하게 관리할 수 있음을 전제로 하여 제3자 제공 관련 동의 규제를 완화하는 방안을 검토해 볼 필요도 있을 것으로 생각한다.