개인정보에 대하여 개인정보보호법은 “살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.”라고 규정하고 있습니다(제2조 제1호).
위 정의에 의하면 개인정보로 인정받으려면, 1) 살아 있는 특정 개인에 관한 정보이어야 하고, 2) 그 정보로 인하여 특정 개인을 식별할 수 있어야 한다. 여기서 핵심은 2) 식별가능성입니다. 순서대로 설명하기로 합니다.
1) 살아 있는 특정개인에 관한 정보
① 살아 있는 개인에 관한 정보이어야 하므로, 죽은 사람의 정보는 개인정보에 해당하지 않습니다. 예컨대 사망한 대통령의 정보는 개인정보보호법상의 개인정보에 해당하지 않습니다.
② 개인에 관한 정보이므로, 법인이나 단체에 관한 정보는 개인정보로 보지 않습니다. 예컨대 법인의 자산 규모, 영업실적, 납세실적, 법인의 어음이 부도났다는 정보 등은 개인정보보호법상의 개인정보로 보지 않습니다.
③ 특정 개인에 관한 정보이어야 하므로, 특정 개인을 알아볼 수 없도록 가공되어 있는 정보는 개인정보에 해당하지 않습니다. 예컨대 2010년도 K대 졸업생들의 평균 신장이나 취업률 등은 개인정보에 해당하지 않습니다.
2) 식별할 수 있는 정보
식별할 수 있는 정보만이 개인정보에 해당합니다. 식별할 수 있다는 의미는 특정 개인을 다른 개인과 구별할 수 있다는 의미입니다. 따라서 성명, 주민등록번호, 주소, 학번, 아이디, 이메일 주소, CCTV 정보 등은 개인정보로 볼 수 있습니다. 구체적으로는 신용정보, 고용정보, 의료정보, 위치정보, 통신정보, 영상정보, 신체정보, 기호정보 등이 여기에 속합니다.
다만 몇 가지 정보로 특정개인을 알아내기에 부족하여 그 상태로는 식별성을 갖추고 있지 않더라도, 다른 정보와 쉽게 결합하여 알아볼 수 있으면 개인정보보호법상의 개인정보에 해당합니다. 다른 말로 표현하면, 특정개인을 식별을 하기 위하여 많은 시간과 노력, 비용을 투입하여야만 한다면 그 정보는 개인정보에 해당하지 않습니다. 예컨대 흔한 성명에 관한 정보가 단독으로 존재한다고 하여도 동성이인이 존재하는 한 특정개인을 식별할 수 없으므로, 그 성명 정보만으로는 개인정보보호법상의 개인정보로 보지 않습니다.
식별할 수 없는 정보로 대표적인 것이 로그기록이나 쿠키파일입니다. 특정 시간에 특정 사이트에 접속하게 되면, 그 웹사이트의 로그기록에 접속에 관한 정보가 저장되는 것과 동시에 접속에 관한 정보가 접속자의 PC에 쿠키파일로 저장될 수 있는데, 로그기록이나 쿠키파일로는 특정개인을 식별할 수 없으므로 로그기록이나 쿠키파일정보는 개인정보보호법상의 개인정보로 보지 않습니다. 그러나 로그기록이나 쿠키파일정보라고 이메일 주소, 주민등록번호 등과 결합한다면 통틀어 식별성을 가지게 되므로 식별성 있는 개인정보로 보아야 합니다.
3) 참고사항
개인정보보호법에는 필요정보와 최소정보를 혼용하고 있어 그 차이가 무엇인지 궁금증을 가지게 합니다. 개인정보보호법에는 필요한 정보 중에서 최소한 수집하라고 되어 있으므로(개인정보보호법 제16조 제1항, 정보통신망법 제23조 제2항), 필요정보가 최소정보보다 더 넓은 개념에 해당합니다. 즉 서비스 제공에 필요한 정보가 필요정보라면, 그 중에서 반드시 필요한 정보를 최소정보라 할 수 있습니다.
한편 개인정보는 필수정보와 선택정보로 구분하기도 하는데, 이는 기업이 서비스를 제공할 때 사용되는 개념으로, 서비스에 꼭 필요한 정보가 필수정보이고, 홍보 등 추가적인 목적에 사용되는 정보가 선택정보입니다. 필수정보나 선택정보 모두 기업이 이용자로부터 수집할 때 동의를 얻어야 하고, 다만 선택정보에 대하여는 동의를 하지 않아도 서비스 제공을 거부해서는 아니 됩니다.
* 법무법인 민후 김경환 대표변호사 작성, 블로그(2012. 8. 7.) 기고.
