온라인 행태정보, 프로파일링 관련 일본 개인정보보호법 개정의 시사점 (Comparative Legal Study on Japanese Data Privacy Law – Focusing on Online Behaviour Information and Profiling Issues)

서지정보

· 발행기관 : 법무부
· 수록지 정보 : 선진상사법률연구 / 97호 / 55 ~ 90페이지
· 저자명 : 박일규

초록

일본은 최근 「디지털사회형성기본법」 등을 제정하면서 데이터 관련 법제 정비를 시도하고 있고, 그 일환으로서 2020년 「개인정보의보호에관한법률」에 대하여 비교적 큰 폭의 개정이 이루어졌다. 특히, 2019년 취업 정보 사이트 운영사가 기업 채용에 응모한 학생이 내정받고 사퇴할 확률을 분석․판매하여 사회적 물의를 일으킨 ‘리쿠나비 사건’도 위와 같은 개정의 계기가 되었다. 이러한 일본 개인정보보호법 개정 작업은 온라인 플랫폼 시대의 개인정보법제에 있어서 핵심적 주제인 ① 쿠키(cookie), 광고식별자와 결합된 온라인 행태정보, ② 프로파일링(profiling) 규제에 대하여 시사점을 제공하고 있다.
먼저 쿠키, 광고식별자를 염두에 둔 ‘개인관련정보’ 개념이 도입되었다. 주요 온라인 플랫폼 기업의 수익 원천이 되는 온라인 맞춤형 광고는 쿠키, 광고식별자를 기반으로 하는데, 이용자 행태정보를 대량으로 집적하고 분석하는 사업 형태의 확대에 따라 프라이버시 침해 우려가 고조되고, 실제로 ‘리쿠나비 사건’에서 쿠키와 결합된 학생 정보가 활용된 것으로 밝혀지는 등 규제의 필요성이 확인되었다. 이에 개정된 일본 개인정보보호법에서는 개인관련정보가 그 자체로서는 개인정보에 해당하지 않더라도 해당 정보를 제공받는 사업자가 개인데이터로서 취득하는 것이 상정되는 때에는 그러한 정보 제공에 앞서 정보주체의 동의를 받도록 하였다.
다음으로 프로파일링 규제에 대한 논의가 이루어졌다. 프로파일링이 보편화되면서 프라이버시, 평등, 민주주의와의 관계에서 문제가 제기되고 있는데, 특히 프라이버시 측면에서 프로파일링을 통하여 정보주체가 예상한 범위를 넘는 추가적인 정보가 획득될 수 있다는 점이 지적되고, 학생의 구직 활동 정보를 이용하여 해당 학생이 사퇴할 확률을 분석․판매한 ‘리쿠나비 사건’은 대표적인 문제 사례가 되었다. 이에 개인정보의 부적정한 이용의 금지 규정이 신설되고, 정보주체의 이용정지 등 청구 대상이 확대되었으나, 프로파일링에 대한 정보주체의 거부권 등의 직접적인 규정은 도입되지 아니하였다. 다만, 최근 일본 개인정보보호위원회는 프로파일링이 정보주체에게 통지․공표된 개인정보의 이용 목적에서 합리적으로 예측 가능하여야 한다는 가이드라인을 제시하였다.
이러한 일본의 개인정보보호법 개정은 개인정보에 해당하지 않는 정보의 활용과 프로파일링에 의한 추가적인 정보의 생성이 정보주체에게 미치는 영향을 인식하고 이를 규제하고자 하는 것으로서, 향후 우리나라에서의 논의에 참고가 될 수 있을 것이다.

영어초록

In 2020, the Act on the Protection of Personal Information of Japan(‘the Act’) was amended in connection with digital reform. Such revision was also attributed to ‘Rikunabi Scandal’ - a major job-seeking online platform sold scores which predicted how likely applicants would decline job offer – occurred in 2019. Recent amendment of Japanese data privacy law gives implications for dealing with key issues of online behaviour information combined with cookie or ad identifier and profiling in this era of online platform.
The amended Act introduces the concept of ‘Personally Referable Information’, which regulates cookie and ad identifier. Generally, personalised online advertising is based on cookie or ad identifier technologies. Expansion of such business model collecting and analysing massive amounts of user data has raised privacy concerns. Furthermore, it was found that applicants data combined with cookie had been exploited in Rikunabi case. Thus, the amended Act requires the data subject’s consent prior to provision of Personally Referable Information where the recipient is expected to obtain such information as personal data.
In the legislative process of the amended Act, regulation on profiling was also discussed. Profiling triggers issues of privacy, equality and democracy. It is often pointed that additional information may be acquired by profiling beyond expectation of the data subject, and in Rikunabi case, applicants’ scores were actually calculated by using applicants activity data. Thus, the amended Act prohibits use of personal data in improper manners and allows data subjects to exercise the rights of deletion and cessation of use of personal data in wider cases. Although there is still no special provision for profiling, Japanese Personal Information Protection Commission has recently issued guideline that profiling should be reasonably predictable from notified or published purpose of use of personal data.
In my view, the amended Act seems to acknowledge the impact of utilisation of information which does not fall under the category of personal data and inference of personal data as a result of profiling. This newly enacted Japanese regulation will be a reference for tackling relevant data privacy issues in Korea.

참고자료

· 없음