<질의요지>
「개인정보 보호법」 제15조제1항에서는 개인정보처리자는 정보주체의 동의를 받은 경우(제1호), 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우(제2호) 등 같은 항 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다고 규정하고 있고, 같은 법 제23조에서는 개인정보처리자는 정보주체에게 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우(제1호)와 법령에서 민감정보의 처리를 요구하거나 허용하는 경우(제2호)에는 민감정보를 처리할 수 있다고 규정하고 있는바,
「개인정보 보호법」 제23조제2호에 따라 민감정보를 처리할 수 있는 경우에도 그 민감정보인 개인정보의 수집·이용에 관하여 같은 법 제15조제1항에 따른 동의를 받아야 하는지?
[질의 배경]
민원인은 「개인정보 보호법」 제23조제2호에 따라 민감정보를 처리할 수 있는 경우에도 그 민감정보인 개인정보의 수집·이용에 관하여 같은 법 제15조제1항에 따른 동의를 받아야 하는지에 관하여 행정자치부에 질의하였는데, 행정자치부의 답변에 이견이 있어 직접 법제처에 법령해석을 요청함.
<회 답>
「개인정보 보호법」 제23조제2호에 따라 민감정보를 처리할 수 있는 경우에는 그 민감정보인 개인정보의 수집·이용에 관하여 같은 법 제15조제1항에 따른 동의를 받을 필요가 없습니다.
<이 유>
「개인정보 보호법」 제15조제1항에서는 개인정보처리자는 정보주체의 동의를 받은 경우(제1호), 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우(제2호), 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우(제3호), 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우(제4호), 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우(제5호), 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우(제6호)에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다고 규정하고 있습니다.
또한, 「개인정보 보호법」 제23조 각 호 외의 부분 본문에서는 개인정보처리자는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 함)를 처리하여서는 아니 된다고 규정하면서, 같은 조 각 호 외의 부분 단서에서는 정보주체에게 같은 법 제15조제2항 각 호 또는 같은 법 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우(제1호)와 법령에서 민감정보의 처리를 요구하거나 허용하는 경우(제2호) 중 어느 하나에 해당하는 경우에는 그러하지 아니하다고 규정하고 있는바,
이 사안은 「개인정보 보호법」 제23조제2호에 따라 민감정보를 처리할 수 있는 경우에도 그 민감정보인 개인정보의 수집·이용에 관하여 같은 법 제15조제1항에 따른 동의를 받아야 하는지에 관한 것이라 하겠습니다.
먼저, 「개인정보 보호법」은 개인정보의 처리(제3장)에 관한 규정을 개인정보의 수집, 이용, 제공 등에 관한 사항(제3장제1절)과 개인정보의 처리 제한에 관한 사항(제3장제2절)으로 구분하여 규정하면서, 개인정보의 수집·이용에 관한 제15조제1항은 “개인정보의 수집, 이용, 제공 등”에 관한 제3장제1절에, 민감정보의 처리 제한에 관한 제23조, 고유식별정보의 처리 제한에 관한 제24조, 주민등록번호 처리의 제한에 관한 제24조의2의 규정 등은 “개인정보의 처리 제한”에 관한 제3장제2절에 각각 규정하고 있는바, 이러한 「개인정보 보호법」의 규정 체계를 고려할 때, 민감정보의 처리에 관한 「개인정보 보호법」 제23조는 개인정보 수집·이용에 관한 규정인 같은 법 제15조제1항 등에 대한 특례규정으로 보아야 할 것입니다(법제처 2014.9.5. 회신 14-0440 해석례 참고).
이와 같이 「개인정보 보호법」에서 민감정보에 대하여 일반 개인정보와 다른 특례 규정을 둔 취지는 민감정보의 경우 일반 개인정보에 비하여 정보주체의 사생활을 현저하게 침해할 우려가 있는 정보이므로 보다 강한 보호를 할 필요가 있고, 한편 민감정보라고 하더라도 처리하여야 할 필요가 있는 경우가 있으므로 이러한 경우에는 일반 개인정보에 비하여 엄격한 요건에 해당하는 경우에만 개인정보처리자가 처리할 수 있도록 하려는 것이라고 할 것입니다.
그렇다면, 특정 개인정보가 민감정보에도 해당하는 경우에는 「개인정보 보호법」 제15조제1항 및 같은 법 제23조 모두의 적용을 받는 것이 아니라, 민감정보에 관한 같은 법 제23조만이 적용되는 것으로 보아야 할 것입니다.
「개인정보 보호법」 제23조 각 호의 규정 내용을 살펴보더라도 같은 조제1호에서는 정보주체에게 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우에 한하여 개인정보처리자가 민감정보를 처리할 수 있도록 규정하고 있는바, 이는 민감정보도 개인정보에 해당함에도 불구하고 해당 민감정보인 개인정보의 처리에 대한 같은 법 제15조제1항제1호에 따른 동의가 아닌 “다른 개인정보”의 처리에 대한 동의와 구분된 별도의 민감정보 처리에 대한 동의를 받도록 하고 있는 것입니다.
나아가, 「개인정보 보호법」 제23조제2호에 따르면 법령에서 민감정보의 처리를 요구하거나 허용하는 경우에 한하여 민감정보를 처리할 수 있도록 하고 있는데, “법령에서 민감정보의 처리를 요구하거나 허용하는 경우”란 법령에서 민감정보의 처리가 필요한 사무와 민감정보의 종류를 명시적으로 열거하고 민감정보의 처리를 요구하거나 허용하는 경우로 제한되는 것이므로(법제처 2014.9.5. 회신 14-0440 해석례 참고), 법령에서 민감정보의 처리가 필요한 사무와 민감정보의 종류를 명시적으로 열거하고 민감정보의 처리를 요구하거나 허용하는 경우에는 「개인정보 보호법」 제23조제2호에 따라 민감정보를 처리할 수 있는 것으로 보아야 하고, 이에 더하여 같은 법 제15조제1항에 따른 동의를 받아야만 민감정보를 처리할 수 있는 것은 아니라고 할 것입니다.
따라서, 「개인정보 보호법」 제23조제2호에 따라 민감정보를 처리할 수 있는 경우에는 그 민감정보인 개인정보의 수집·이용에 관하여 같은 법 제15조제1항에 따른 동의를 받을 필요가 없다고 할 것입니다.
【법제처 16-0022, 2016.04.14.】