Problems of Sanction provisions and Improvement in the Personal Information Protection Act

법률은 시대 상황을 반영하며, 그 시대의 사회적 합의에 따른 기준과 원칙을 규정한다. 우리나라 「개인정보 보호법」은 정보화 사회의 도래로 개인정보의 수집·이용이 증가하는 반면 대규모 개인정보 유출사고가 지속되는 상황에서 일반법 제정 수요의 증가로 인해 2011년 3월 29일 제정되었다. 법 시행 이후에도 개인정보 유출 사고가 끊이지 않자, 「개인정보 보호법」은 개인정보처리자에 대한 책임 강화의 분위기 속에서 제재규정이 점차 강화되는 방향으로 개정되어 왔다. 그러나 「개인정보 보호법」이 시행된 지 11년이 지난 지금, 우리 사회는 빅데이터, 인공지능 기술 등의 발전으로 인해 정보화 사회에서 디지털 시대를 맞이하게 되었다. 디지털 시대에서 개인정보는 보호의 대상만이 아닌 고부가가치 데이터로서 활용의 대상으로도 작용하며, 국민과 기업, 사회 전 구성원 모두는 개인정보의 보호와 활용의 환경에서 공존하고 있다. 이러한 측면에서 개인정보 보호 법제는 디지털 시대의 핵심 근간을 이루는 법제라고 할 것이며, 사회 전 구성원이 수범자인 개인정보 보호 법제의 그 적용과 해석에 혼란이 없도록 정비하는 것이 중요한 과제라고 할 수 있다. 2020년 2월 4일 데이터 3법 개정을 통해 개인정보 보호 체계는 「개인정보 보호법」으로 통합되면서 형식적인 일원화를 이루었다. 그러나 정보통신서비스 제공자 특례규정이 신설됨으로 인하여 개인정보 보호 법체계는 온·오프라인이 통합된 디지털 환경을 반영하지 못하고 여전히 온·오프라인으로 이원화되어 있다. 이로 인해 동일한 위반행위임에도 불구하고 개인정보처리자인지 정보통신서비스 제공자인지 여부에 따라 제재의 부과 여부, 그 제재 수준의 정도 등이 달라 수범자들은 법 적용과 해석에 혼란을 겪고 있다. 또한 위반행위의 위법성의 정도와 침해 수준의 정도에 비해 과도한 형벌 규정, 과징금·과태료·형벌 간 중복 적용 등의 문제점이 존재한다. 이에 본 논문에서는 현행 「개인정보 보호법」상 제재규정의 문제점을 살펴본 후 행정벌의 법적 성격과 법체계 정합성의 원칙을 고려한 합리적인 개인정보 보호 법제 정비방안으로서 정보통신서비스 제공자와 개인정보처리자의 제재규정 일원화, 과도한 형벌규정의 완화, 과태료와 형벌의 법정형 합리화, 과징금 규정의 개선 및 제재규정 간 중복규정 정비방안을 제안한다. Laws reflect the situation of the times and define standards and principles according to social consensus of the times. Today, our society has faced the advent of the digital era with the development of big data and artificial intelligence technology. In the digital era, personal information acts as high value-added data, and all members of the public, business, and society coexist in an environment of protection and utilization of personal information. In this respect, the Personal Information Protection Act is a law that forms the core foundation of the digital era, and it is an important task to maintain the application and interpretation of the Personal Information Protection Act, which all members of society are leading. With the revision of the Data 3 Act, the personal information protection system has been formally unified into the Personal Information Protection Act, but the legal system is still dualized online and offline due to the establishment of “Special cases concerning processing of personal information by providers of information and communications services of similar(Chapter Ⅵ)”. As a result, despite the same violation, the degree of sanctions and the level of sanctions varies depending on whether they are a personal information controller or an information and communication service provider, causing confusion in applying and interpreting the law. In addition, there are problems such as excessive punishment regulations, fines, penalties, and overlapping applications between penalties, compared to the degree of illegality and the level of infringement. Therefore, this paper examines the problems of sanctions under the current Personal Information Protection Act and proposes a reasonable Personal Information Protection Act considering the legal nature of administrative punishment and the principle of legal system coherence, it is proposed to ease punishment regulations, rationalize fines and penalties, and improve overlapping regulations between sanctions regulations.