【판례】《2020. 2. 4. 개정 개인정보보호법상 정보주체가 개인정보처리자에 대하여 자신의 개인정보를 ‘가명처리’하는 것의 정지를 요구할 수 있는지(소극)(대법원 2025. 7. 18. 선고 2024다210554 판결)》〔윤경 변호사 더리드(The Lead) 법률사무소〕
1. 판결의 요지 : [정보주체가 개인정보처리자를 상대로 과학적 연구, 통계, 공익적 기록보존 목적을 위한 개인정보의 가명처리를 정지할 것을 구하는 사건]
【판시사항】
개인정보 보호법 제2조 제1호의2에서 정한 “가명처리”가 같은 법 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 개인정보 “처리”에 해당하는지 여부(소극)
【판결요지】
개인정보 보호법 제37조 제1항 제1문은 “정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.”라고 하여 처리정지의 대상이 개인정보에 대한 “처리”임을 전제로 하고 있고, 2020. 2. 4. 법률 제16930호로 개정되기 전의 구 개인정보 보호법 제2조 제2호는 “처리”를 ‘개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위’로 정의하였다. 그런데 2020. 2. 4. 법률 제16930호로 개정된 구 개인정보 보호법(2023. 3. 14. 법률 제19234호로 개정되기 전의 것) 제28조의2 제1항은 “개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.”라고 규정하여 가명정보의 활용범위를 정하였고, 같은 법 제2조는 “가명정보”를 ‘가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용⋅결합 없이는 특정 개인을 알아볼 수 없는 정보’[제1호 (다)목]로, “가명처리”를 ‘개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것’(제1호의2)으로 정의함으로써 “가명처리”를 같은 법 제2조 제2호의 “처리”와는 별도로 규정하였다.
“가명처리”는 그 개념적 정의에 의하더라도 개인정보에 대한 식별의 위험성을 낮추는 방법이므로, 정보주체에 대한 권리 또는 사생활 침해의 위험을 발생시킬 수 있는 개인정보 보호법 제2조 제2호에서 규정한 여러 유형의 개인정보 “처리”와는 구별된다. 같은 법 제3조 제7항에서 “개인정보처리자는 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다.”라고 규정한 것은 가명처리를 익명처리에 준하는 개인정보 보호조치로 분류한 것으로 볼 수 있다. 또한 “가명처리”는 더 이상의 처리가 가능하지 않도록 개인정보 자체를 삭제하거나 파쇄 또는 소각하는 개인정보의 파기와도 개념적으로 구분이 되는 행위이다.
이러한 사정에다가 데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서 데이터의 이용을 활성화하기 위한 가명정보조항의 입법취지를 고려하면, “가명처리”는 개인정보 보호법 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 개인정보 “처리”에 해당하지 않는다고 보아야 한다.
2. 사안의 개요 및 쟁점 [이하 판례공보스터디 민사판례해설 2025. 9. 15.자 공보, 황진구 P.38-41]
가. 사안의 개요
⑴ 피고는 통신사이고, 원고들은 피고와 이동통신 서비스 이용계약을 체결한 사람들임
⑵ 피고는 원고들과 이동통신 서비스 이용계약을 체결하면서 원고들로부터 개인정보의 수집·이용 및 제3자 제공에 대한 동의서를 받아 원고들의 개인정보를 수집함
⑶ 원고 중 한 명이 피고에게 “향후 원고의 개인정보를 피고 혹은 제3자의 과학적 연구, 통계, 공익적 기록보존의 목적으로 가명처리하는 것에 대한 처리정지를 요구한다.”라는 내용의 이메일을 발송하였으나, 피고는 원고의 처리정지 요구를 거절하는 회신을 함
⑷ 그러자 원고들이 피고를 상대로 원고들의 개인정보를 가명처리해서는 안 된다는 내용의 처리정지를 요구한 사건임
⑸ 원고들이 처리정지를 요구한 ‘가명처리’가 개인정보보호법 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 개인정보 ‘처리’에 해당하는지가 쟁점이었음
⑹ 원심은 가명처리도 ‘처리’에 해당한다고 보아 원고들의 청구를 인용하였으나, 대법원은 그렇지 않다고 보고 이와 달리 판단한 원심판결을 파기·환송함
나. 쟁점 및 대법원의 판단
⑴ 위 판결의 쟁점은, 가명처리가 「개인정보 보호법」 제37조 제1항 제1문에서 처리정지 요구의 대상으로 규정한 개인정보 처리에 해당하는지 여부(소극)이다.
⑵ ｢개인정보 보호법｣ 제37조 제1항 제1문은 ”정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.“라고 하여 처리정지의 대상이 개인정보에 대한 ”처리“임을 전제로 하고 있고, 2020. 2. 4. 법률 제16930호로 개정되기 전의 구 ｢개인정보 보호법｣ 제2조 제2호는 "처리"를 ‘개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위’로 정의하였다. 그런데 2020. 2. 4. 법률 제16930호로 개정된 구 ｢개인정보 보호법｣(2023. 3. 14. 법률 제19234호로 개정되기 전의 것) 제28조의2 제1항은 “개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.”라고 규정하여 가명정보의 활용범위를 정하였고, 같은 법 제2조는 “가명정보”를 ‘가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보’(제1호 다목)로, “가명처리”를 ‘개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것’(제1의2호)으로 정의함으로써 “가명처리”를 같은 법 제2조 제2호의 “처리”와는 별도로 규정하였다.
⑶ “가명처리”는 그 개념적 정의에 의하더라도 개인정보에 대한 식별의 위험성을 낮추는 방법이므로, 정보주체에 대한 권리 또는 사생활 침해의 위험을 발생시킬 수 있는 ｢개인정보 보호법｣ 제2조 제2호에서 규정한 여러 유형의 개인정보 “처리”와는 구별된다. 같은 법 제3조 제7항에서 “개인정보처리자는 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다.”라고 규정한 것은 가명처리를 익명처리에 준하는 개인정보 보호조치로 분류한 것으로 볼 수 있다. 또한 “가명처리”는 더 이상의 처리가 가능하지 않도록 개인정보 자체를 삭제하거나 파쇄 또는 소각하는 개인정보의 파기와도 개념적으로 구분이 되는 행위이다.
이러한 사정에다가 데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서 데이터의 이용을 활성화하기 위한 가명정보조항의 입법취지를 고려하면, “가명처리”는 ｢개인정보 보호법｣ 제37조 제1항 제1문에서 처리정지 요구의 대상으로 정한 개인정보 “처리”에 해당하지 않는다고 보아야 한다.
⑷ 피고는 원고들과 사이에 이동통신 서비스 이용계약을 체결하면서 원고들로부터 동의서를 받아 원고들의 개인정보를 수집한 개인정보처리자인데, 이후 원고들이 피고를 상대로 ‘원고들의 개인정보를 개인정보 보호법 제28조의2에 정한 과학적 연구, 통계, 공익적 기록보존 목적을 위하여 가명처리를 해서는 안 된다’고 주장하며 가명처리에 대한 처리정지를 청구한 사안임
⑸ 원심은, 개인정보 보호법 제28조의2에 정한 통계작성, 과학적 연구, 공익적 기록보존 목적을 위한 가명처리도 개인정보 처리의 일종으로서 같은 법 제37조 제1항 제1문에 정한 처리정지 요구의 대상에 포함된다고 판단하였음
⑹ 대법원은 위와 같은 법리를 설시하면서, 가명처리는 개인정보 보호법 제37조 제1항 제1문에서 처리정지 요구의 대상으로 규정한 개인정보 처리에 해당하지 않는다고 보아, 이와 달리 판단한 원심판결을 파기ㆍ환송함
3. 2020. 2. 4. 개정 개인정보보호법상 정보주체가 개인정보처리자에 대하여 자신의 개인정보를 ‘가명처리’하는 것의 정지를 요구할 수 있는지(소극)(대법원 2025. 7. 18. 선고 2024다210554 판결) [이하 판례공보스터디 민사판례해설 2025. 9. 15.자 공보, 황진구 P.38-41]
가. 개인정보보호법 법령
나. 대상판결(대법원 2025. 7. 18. 선고 2024다210554 판결) 해설
⑴ ‘가명정보를 처리하는 것’은 개인정보 보호법 제28조의2에 따라 정보주체의 동의 없이 가능하고, 제28조의7에서도 가명정보에 대해서는 제37조의 적용을 배제하고 있으므로, 정보주체가 (이미 가명처리된) 가명정보에 대하여 정보 처리의 정지를 요구할 수 없음은 분명함
⑵ 그러자 원고들이 피고를 상대로 ‘개인정보를 가명처리하는 것’, 즉 개인정보 보호법 제2조 제1 호의2의 ‘가명처리’ 자체를 중지해달라고 요구한 것으로 보임 ⇒ 이와 같이 ‘개인정보를 가명처리하는 것 자체’의 처리정지를 요구할 수 있는지가 쟁점이 된 것임
⑶ 대상판결(대법원 2025. 7. 18. 선고 2024다210554 판결)은 "가명처리"란 개념 자체에서 “개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것”으로서 개인정보에 대한 식별 위험성을 낮추는 방법이고, 개인정보 보호법 제2조 제2호의 ‘처리’의 정의에 개인정보를 ‘파기’하는 것이 포함되어 있기는 하지만 가명처리는 개인정보의 파기와도 개념적으로 구분이 되는 행위이므로 개인정보 보호법 제2조 제2호의 ‘처리’에 해당하지 않는다고 판단함
⑷ 무엇보다도 대상판결(대법원 2025. 7. 18. 선고 2024다210554 판결)은 2020. 2. 4. 개인정보 보호법 개정의 취지를 강조하여(“데이터 관련 신산업육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서 데이터의 이용을 활성화하기 위한 가명정보조항의 입법취지를 고려하면”) 통계작성, 과학적 연구, 공익적 기록보존 등의 목적을 위해서는 정보주체의 동의 없이 정보를 가명처리하거나 가명처리된 정보를 사용할 수 있다는 입장을 취한 것으로 보임
