먼저 「개인정보 보호법」 제23조제1항 각 호 외의 부분 본문에서는 민감정보의 범위를 법률에서 직접 규정하는 정보(사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보)와 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보로 구분하여 규정하고 있는바, 개인정보 보호법령은 민감정보에 해당함이 명확한 정보는 법률에서 직접 규정하되 법률에서 직접 규정하지 않았으나 사생활을 현저히 침해할 우려가 있어 민감정보로서 보호할 필요가 있는 정보는 대통령령에서 추가로 규정할 수 있는 체계로 되어 있습니다.
그리고 「개인정보 보호법」에서는 개인정보의 경우 “살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보”로 정의하여 개인정보에 해당하는 정보를 포괄적으로 규정하고 있으나(제2조제1호), 고유식별정보 및 민감정보의 경우 이에 해당하는 정보를 각각 “주민등록번호, 여권번호, 운전면허의 면허번호, 외국인등록번호”(제24조제1항 및 같은 법 시행령 제19조) 및 “사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 유전자검사 등의 결과로 얻어진 유전정보, 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보”(제23조제1항 및 같은 법 시행령 제18조)로 열거하여 규정하고 있습니다.
이는 개인정보 중 보다 더 두텁게 보호될 필요가 있는 민감정보 및 고유식별정보의 경우 해당 정보의 범위를 법령에서 구체적ㆍ한정적으로 명시함으로써 해당 정보가 보다 엄격하게 처리ㆍ보호되어야 하는 정보임을 명확히 하려는 취지로 보아야 하므로 민감정보의 처리 제한에 관한 「개인정보 보호법」 제23조제1항 각 호 외의 부분 본문에서 규정하고 있는 “등에 관한 정보”의 범위는 한정적으로 해석해야 합니다.
또한 민감정보는 개인의 인격 및 사생활의 핵심에 해당하여 다른 일반적인 개인정보보다 더 높은 수준의 보호가 필요함에 따라1)1) 헌법재판소 2018. 8. 30. 선고 2014헌마368 결정례 참조
「개인정보 보호법」에서는 개인정보처리자의 민감정보 처리를 원칙적으로 금지하면서(제23조제1항), 이를 처리하는 경우에는 안전성 확보에 필요한 조치를 하도록 규정하고 하는바(제23조제2항), 개인정보처리자가 안전성 확보에 필요한 조치를 하기 위해서는 처리하려는 정보가 민감정보임을 곧바로 인식할 수 있어야 하므로 민감정보는 그 범위가 구체적으로 특정될 수 있어야 합니다.
아울러 위에서 살펴본 바와 같은 민감정보 처리 원칙을 위반한 개인정보처리자에게는 형벌이 부과되는바(「개인정보 보호법」 제71조제3호 및 제73조제1호), 형벌의 근거가 되는 민감정보의 범위는 엄격하게 해석해야 하며 명문규정의 의미를 당사자에게 불리한 방향으로 지나치게 확장해석하거나 유추해석하는 것은 죄형법정주의 원칙에 어긋나는 것으로서 허용되지 않는다고 할 것입니다.2)2) 대법원 2005. 11. 24. 선고 2002도4758 판결례 등 참조
그런데 「개인정보 보호법」 제23조제1항 각 호 외의 부분 본문에서 규정하고 있는 “등에 관한 정보”에 그 앞에 열거된 모든 정보가 포함되는 것으로 해석한다면 민감정보는 “사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활에 관한 정보”와 규범적 가치가 동일하거나 그에 준하는 성질을 가지는 정보를 의미하는 것으로 해석되어 민감정보의 범위가 지나치게 확장될 우려가 있으므로 민감정보 중 “등에 관한 정보”는 “성생활 등에 관한 정보”만을 의미한다고 보는 것이 관련 규정 체계 및 취지에 부합하는 해석입니다.
※ 법령정비 권고사항
민감정보인지 여부에 따라 형벌이 부과될 수 있는 점을 고려해 “등”이 의미하는 것을 구체적으로 열거하는 방식으로 「개인정보 보호법」 제23조제1항 각 호 외의 부분 본문을 정비할 필요가 있습니다.
<관계 법령>
「개인정보 보호법」
제23조(민감정보의 처리 제한) ①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.
1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우
② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다.
「개인정보 보호법 시행령」
제18조(민감정보의 범위) 법 제23조제1항 각 호 외의 부분 본문에서 "대통령령으로 정하는 정보"란 다음 각 호의 어느 하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의 어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016. 9. 29.>
1. 유전자검사 등의 결과로 얻어진 유전정보
2. 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보