GDPR의 관점상 신용정보법 개정안(김병욱 의원 대표발의안)의 검토 - 가명조치·익명조치 개념, 정보주체의 동의범주 이슈를 중심으로 - (A critical review of the bill of Credit Information Act introduced by Kim ByungWook, member of Korean Assembly - focused on the pseudonymisation, anonymisation and allowance of data collection disclos)

이 글에서는 2018년 11월 김병욱 의원이 대표발의한 신용정보법 개정안(이하 ʻ개정안ʼ) 중 가명조치·익명조치, 공개된 개인정보의 동의없는 수집 허용 이슈를 검토하였다. 개정안은 정보주체의 실질적 보호장치를 정비・강화하고 빅데이터 활용에 관한 장치를 대폭 보완 또는 도입을 추구한다는 명분을 내세우고 있다.
그럼에도 불구하고 개정안은 익명조치의 적정성 판단에 관한 정부의 개입 및 관련 법적 효력의 적극적 부여(익명정보로의 추정효), 가명조치 방식에 관한 기술중립을 깨고 정부가 직접 개입한다는 점, SNS 등에 오픈한 개인정보를 정보주체의 동의 없이 수집할 수 있도록 허용하여 문제가 있다. 정보에 관한 불필요한 이용동의 절차를 생략하고자 개정안이 도입하는 추가처리 개념 역시 ʻʻ당초 수집한 목적과 상충되지 아니하는 범위ʼʼ에서라고 하여 GDPR의 추가처리(further processing)왿� 상당히 다른 양태를 보이고 있어서 정보주체의 합리적 기대에 반할 여지가 적지 않다.
따라서 빅데이터의 시급한 활용만을 바라보고 조급하게 개정안을 통과시키는 것은 오히려 되돌리기 어려운 문제의 소지가 크다. 따라서 개정안의 국회 통과를 밀어붙일 것이 아니라 논의를 좀더 오픈시키고 광범위한 의견청취를 통하여 개정안을 통한 법제 변경이 가져올 직・간접적인 긍정적·부정적 효과를 냉정히 분석하고 부정적인 영향이 큰 부분은 GDPR 등 법제왿� 비교하여 개정안을 전반적으로 검토, 수정할 필요가 있다.

This article reviews the issue of allowing pseudonymisation or anonymisation of personal data and its legal effect, and unauthorized collection of personal data disclosed to SNS under the new bill of the Credit Information Act (hereinafter referred to as 'the bill') introduced by Kim ByungWook, member of Korean National Assembly in November 2018. The bill has the cause of improving and strengthening effective devices to protect data subjects, and at the same time, of supplementing the use of big data.
Nevertheless, the bill proposes that the Korean government intervenes in judging the appropriateness of anonymization and actively grants the relevant legal effects such as giving legal presumption as anonymous data. Furthermore, it is also problematic to allow a data processor, etc. to collect personal data without the data subjectʼs consent. The newly introduced concept of ʻfurther processingʼ by the bill is designed to omit the unnecessary step of data subjectʼs agreement for processing his or her data. However, it is allowed in the range ʻʻnot in conflict with the originally collected purposeʼʼ, which differs considerably from the GDPRʼs further processing that allows only when compatible with the originally collected purpose. The bill will incur controversy over the rational expectations of data subjects.
Therefore, rather than pushing the bill to pass the National Assembly, this paper recommends discussions open to all stakeholders thereby analyzing all the effects which will be directly or indirectly brought about by the bill to gain acceptable and reasonable balance between personal data protection and smooth data use.