가명처리된 내 정보, 어디까지 쓰이나

가명정보 특례는 '동의를 면제해 주는 규정' 하나로 되어 있지 않습니다. 문을 여는 조문, 만든 뒤의 의무를 지우는 조문, 금지선을 긋는 조문, 그리고 정보주체의 권리가 어디까지 미치는지를 정하는 조문이 한 세트로 묶여 있습니다. 네 부분을 순서대로 봅니다. 첫째, 문이 열리는 지점입니다. 개인정보 보호법 제28조의2 제1항은 개인정보처리자가 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다고 정합니다. 여기서 '과학적 연구' 는 막연한 말이 아니라 개인정보 보호법 제2조 제8호에 정의가 있습니다. 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말합니다. 민간이 투자한 연구도 포함된다는 뜻이므로 '기업이 하니까 연구가 아니다' 라는 반론은 조문에 근거가 없습니다. 대신 같은 조 제2항이 곧바로 한 칸을 좁힙니다. 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안 됩니다. 둘째, 만든 뒤에 반드시 도는 의무입니다. 개인정보 보호법 제28조의4 제1항은 추가 정보를 별도로 분리하여 보관·관리하는 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하도록 하고, 개인정보 보호법 시행령 제29조의5 제1항은 그것을 세 갈래로 적습니다. 일반 안전성 확보 조치, 가명정보와 추가정보의 분리 보관(추가정보가 불필요하면 파기), 그리고 둘에 대한 접근 권한의 분리입니다. 기록도 남겨야 합니다. 개인정보 보호법 제28조의4 제3항은 가명정보의 처리 목적, 제3자 제공 시 제공받는 자, 처리 기간 등 대통령령이 정하는 사항에 대한 관련 기록을 작성·보관하고 파기한 경우에는 파기한 날부터 3년 이상 보관하도록 하며, 개인정보 보호법 시행령 제29조의5 제2항이 그 항목을 가명정보 처리의 목적, 가명처리한 개인정보의 항목, 가명정보의 이용내역, 제3자 제공 시 제공받는 자, 처리 기간으로 열거합니다. 안전조치를 하지 않으면 개인정보 보호법 제75조 제2항 제5호에 따라 3천만원 이하의 과태료, 기록을 작성·보관하지 않으면 개인정보 보호법 제75조 제4항 제7호에 따라 1천만원 이하의 과태료 대상입니다. 셋째, 넘어서는 안 되는 선입니다. 개인정보 보호법 제28조의5 제1항은 가명정보를 처리하는 자가 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 안 된다고 정하고, 같은 조 제2항은 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우 즉시 그 정보의 처리를 중지하고 지체 없이 회수·파기하도록 합니다. 재식별을 시도한 경우에는 개인정보 보호법 제71조 제8호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금이 따르고, 개인정보 보호법 제64조의2 제1항 제6호는 같은 위반에 대하여 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있게 하며 매출액이 없거나 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위로 정합니다. 생성된 정보를 중지·회수·파기하지 않으면 개인정보 보호법 제75조 제2항 제13호의 3천만원 이하 과태료가 별도로 적용됩니다. 결합 쪽도 같습니다. 지정을 받지 않고 가명정보를 결합하면 개인정보 보호법 제71조 제6호, 전문기관의 장의 승인 없이 결합된 정보를 기관 밖으로 반출하거나 제3자에게 제공하면 개인정보 보호법 제71조 제7호가 각각 5년 이하의 징역 또는 5천만원 이하의 벌금을 정하고 있습니다. 넷째, 내 권리가 멈추는 자리입니다. 개인정보 보호법 제28조의7은 개인정보 보호법 제28조의2 또는 개인정보 보호법 제28조의3에 따라 처리된 가명정보에는 개인정보 보호법 제20조, 제20조의2, 제27조, 제34조 제1항, 제35조, 제35조의2, 제36조 및 제37조를 적용하지 않는다고 정합니다. 수집 출처를 알려 달라고 하는 것, 이용·제공 내역을 통지받는 것, 열람과 정정·삭제를 요구하는 것, 전송을 요구하는 것, 처리정지를 요구하는 것이 이 구간에서는 작동하지 않습니다. 그 대신 자리를 지키는 것이 앞의 세 가지입니다. 목적의 제한, 안전조치와 기록 의무, 그리고 재식별 금지와 그에 붙은 제재입니다. 개인이 직접 행사하는 권리에서 처리자에게 지워진 의무와 감독으로 무게가 옮겨 간 구조라고 읽는 편이 정확합니다. 그래서 개인이 할 수 있는 일도 그 구조를 따라갑니다. 개인정보 보호법 제30조 제1항 제4호의2는 가명정보의 처리 등에 관한 사항을 개인정보 처리방침에 적도록 하고 같은 조 제2항은 정보주체가 쉽게 확인할 수 있도록 공개하게 하므로, 확인은 처리방침에서 시작합니다. 그리고 권리나 이익을 침해받았다면 개인정보 보호법 제62조 제1항에 따라 개인정보 보호위원회에 침해 사실을 신고할 수 있고, 같은 조 제2항에 따라 지정된 전문기관이 개인정보침해 신고센터를 설치·운영하며 개인정보 보호법 제62조 제3항은 신고의 접수·상담과 사실의 조사·확인을 신고센터의 업무로 정하고 있습니다.