인권누리 웹진 제117호 인권누리에서 불어오는 인권바람이야기

중앙선거관리위원회의 온라인투표시스템 이용 시 정보주체의 사전동의 받아야

- ○○○○공단이사장에게, 개인정보 보호 관련 재발방지 대책 마련 권고 -

□ 국가인권위원회(위원장 송두환, 이하 ‘인권위’)는 2023년 6월 1일 ○○시○○구○○○○공단이사장(이하 ‘피진정인’)에게, 향후 중앙선거 관리위원회 온라인투표시스템을 이용하여 선거를 진행하는 경우
직원들의 개인정보자기결정권이 침해되지 않도록 개인정보 수집·이용 및 제3자 제공에 대하여 정보주체의 사전동의를 철저히 받는 등 재발방지 대책을 수립하여 시행할 것을 권고하였다.

□ 진정인은 ○○○○공단(이하 ‘피진정기관’) ○○노동조합의 대표이다. 진정인은 피진정인이 2022년 12월 피진정기관 노동자 이사 연임 여부에 대한 찬반 투표를 진행하는 과정에서, 직원들의 동의를 받지 않고
중앙선거관리위원회에 직원들의 개인 휴대전화 번호를 제공한 것은 인권침해라며 인권위에 진정을 제기하였다.

□ 이에 대하여 피진정인은, 표준 개인정보 보호지침?(개인정보보호위원회 고시 제2020-1호, 2022. 8. 11.) 제6조 제6항에서 “근로자와 사용자가 근로계약을 체결하는 경우 근로기준법에 따른 임금지급, 교육, 증명서 발급,
근로자 복지제공을 위하여 근로자의 동의 없이 개인정보를 수집·이용할 수 있다”고 규정하고 있으며, 피진정기관의 노동자 이사는 근로자의 복지증진과 관련이 있는 직책이므로 그 연임 여부에 대한 찬반 투표를 위해서는
정보주체의 동의 없이 개인정보를 이용할 수 있다고 판단하였다고 주장하였다.

또한, 피진정기관이 중앙선거관리위원회 온라인투표시스템 접근 권한을 부여받아 선거인명부를 작성한 후 직원들의 성명과 전화번호를 시스템에 업로드하여 운영했기
때문에 해당 위원회에 개인정보를 직접 제공한 것은 아니라고 답변하였다.

□ 개인정보 보호법 제18조 제2항에 따르면 정보주체로부터 별도의 동의를 받은 경우 등에 한하여 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다.
인권위(침해구제제2위원회)는, 위 표준 개인정보 보호지침 제6조 제6항은 임금지급 등 근로계약의 체결·이행과 관련된 경우에 적용해야하며 이 사건 투표와 같은 별도의 사안까지 정보주체의 동의없이 개인정보
수집·이용이 가능하다는 취지로 해석하기는 어려우며, 노동자 이사 제도의 근본 취지가 경영의 투명성과 공익성 확보라는 점에서 근로자의 복지제공과 직접 연관된다고 보기도 어렵다고 판단하였다.
한편, 피진정기관의 담당자가 입력하여 업로드한 선거인명부에 기재된 피진정기관 직원들의 개인정보는 네트워크를 통한 개인정보 전송에 해당하고, 피진정기관 외 제3자와의 개인정보 공유에도 해당하므로,
이는 피진정인이 이 사건 투표를 위하여 중앙선거관리위원회에 피진정기관 직원들의 개인정보를 제공한 것에 해당한다고 보았다.
따라서 피진정인이 이 사건 투표를 위하여 정보주체인 진정인 등 피진정기관 직원들의 동의를 받지 않고 중앙선거관리위원회에 개인정보를
제공한 행위는 개인정보 보호법 제18조 제2항을 위반하여 개인정보 자기결정권을 침해한 것으로 판단하였다.

□이에 인권위는 피진정인에게, 중앙선거관리위원회 온라인투표시스템을 이용하여 선거를 진행하는 경우 개인정보 제3자 제공 등과 관련하여 정보주체의 사전동의를 받는 등 재발방지 대책을 수립·시행할 것을 권고하였다.

판단
가. 판단기준
헌법 제10조는 모든 국민은 인간으로서의 존엄과 가치를 가지며, 행복을 추구할 권리를 가진다. 국가는 개인이 가지는 불가침의 기본적 인권을 확인하고 이를 보장할 의무를 진다고 규정하고 있으며,
제17조는 모든 국민은 사생활의 비밀과 자유를 침해받지 아니한다고 규정하고 있다. 개인정보자기결정권은 자신에 관한 정보가 언제 누구에게
어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리이다.
개인정보자기결정권의 보호 대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 그 개인의
동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 개인의 내밀한 영역이나 사사(私事)의 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나
이미 공개된 개인정보까지 포함한다. 또한 그러한 개인정보를 대상으로 한 조사, 수집, 보관, 처리, 이용 등의 행위는 모두 원칙적으로 개인정보자기결정권에 대한 제한에 해당한다.
개인정보자기결정권의 헌법상 근거로는 헌법 제17조의 사생활의 비밀과 자유, 헌법 제10조 제1문의 인간의 존엄과 가치 및 행복추구권에 근거를 둔 일반적 인격권 또는 위 조문들과 동시에
우리 헌법의 자유민주적 기본질서 규정 또는 국민주권 원리와 민주주의 원리 등을 고려할 수 있으나, 개인정보자기결정권은 이들을 이념적 기초로 하는 독자적 기본권으로서 헌법에
명시되지 아니한 기본권이다(헌법재판소 2005. 5. 26. 99헌마513 결정). 개인정보 보호법은 공공 및 민간 등 모든 분야의 개인정보 처리에 관한 기준을 규정하는 일반법이다.
같은 법 제15조는 개인정보처리자는 정보주체의 동의를 받은 경우, 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, 공공기관이 법령 등에서 정하는 소관 업무의
수행을 위하여 불가피한 경우, 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 등에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 개인정보를 이용할 수 있다고 규정하고 있다.
같은 법 제18조 제1항은 개인정보처리자는 개인정보를 수집에 따른 범위를 초과하여 이용하거나 제3자에게 제공하여서는 아니 된다라고 규정하고, 같은 조 제2항은 정보주체로부터 별도의 동의를 받은 경우,
다른 법률에 특별한 규정이 있는 경우 등에 한하여 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다고 규정하고 있다.
나. 피진정인이 이 사건 투표를 위하여 진정인 등 직원들의 동의 없이 개인정보를 이용·제공한 행위가 개인정보자기결정권을 침해한 것인지 여부
인정사실에 따르면 피진정인은 직원 채용과 근로계약 이행을 위해 개인정보 수집, 이용, 제공 동의서를 받았으나 이 사건 투표를 위한 개인정보 이용·제공 동의서는 받지 않았으며,
이에 대해 피진정인은 노동자 이사는 당연직 비상임이사로서 근로자의 복지증진과 관련이 있는바 이 사건 투표를 위해서는 정보주체인 피진정기관 직원들의 동의 없이 개인정보를 이용할 수 있다고 주장하고 있다.
앞서 본 바와 같이 개인정보 보호법 제18조 제2항은 정보주체로부터
별도의 동의를 받은 경우 등에 한하여 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다고 규정하고 있다. 표준 개인정보 보호지침 제6조 제6항은 동의 없이 개인정보를
수집·이용할 수 있는 사유로서 “근로자와 사용자가 근로계약을 체결하는 경우 근로기준법에 따른 임금지급, 교육, 증명서 발급, 근로자 복지제공을 위하여 근로자의 동의 없이 개인정보를 수집·이용할 수 있다”고 규정하고 있으나,
이는 문맥 그대로 임금지급 등 근로계약의 체결·이행과 관련된 경우에 근로자의 개인정보를 동의 없이 수집·이용할 수 있다는 취지이지,
이 사건 투표와 같은 별도의 사안에까지 정보주체의 동의 없이 개인정보를 이용할 수 있다는 취지로 해석하는 것은 어렵다.
노동자 이사 제도의 취지를 살펴보더라도, ○○광역시를 비롯하여 지방자치단체의 노동자 이사 관련 조례는 대부분 “노동자의 경영참여를 통하여 노동자와 사용자 간
소통과 협력을 촉진하고 경영의 투명성과 공익성을 확보하며 대시민서비스를 증진시키는 데 기여함을 목적”으로 규정되어 있는 점을 볼 때, 노동자 이사 제도의 근본적인 목적이 근로자의
복지제공과 직접적으로 연관된다고 보기도 어렵다. 또한 인정사실에 따르면 중앙선거관리위원회는 온라인투표시스템을 이용할 경우 이용기관에서 별도로 선거인의 개인정보 활용 동의 여부를 확인하도록 고지하고 있는데,
이는 피진정기관과 같은 공공기관 등에서 투표를 실시하는 경우에는 기존의 근로계약 등에 의한 개인정보 수집·이용·제공 동의만으로는 충분하지 않고,
그 투표를 위한 개인정보 처리에 대해 별도의 동의가 필요하다는 취지임이 명백하다.
진정인을 포함한 피진정기관 직원들의 개인정보가 중앙선거관리위원회에 ‘제공’되었는지의 여부와 관련하여, 피진정인은 ○○구선거관리위원회와의 협약에 따라
온라인투표시스템 관리 권한을 받아서 선거인명부를 작성한 후 권한을 부여받은 담당자가 온라인투표시스템에 개인정보를 업로드한 것이지, 중앙선거관리위원회에 직원들의
개인정보를 직접 제공한 것은 아니라고 항변하고 있다. 그러나 표준 개인정보 보호지침 제7조는 개인정보가 제3자에게 ‘제공’ 된다는 것은 개인정보의 저장 매체나 개인정보가 담긴
출력물·책자 등을 물리적으로 이전하거나, 네트워크를 통한 개인정보의 전송, 개인정보에 대한 제3자의 접근권한 부여, 개인정보처리자와 제3자의 개인정보 공유 등
개인정보의 이전 또는 공동 이용 상태를 초래하는 모든 행위를 말한다고 규정 하고 있다.
즉 이 사건 투표와 관련하여 피진정인은 ○○구선거관리위원회와의 협약체결에 따라 중앙선거관리위원회의 온라인투표시스템을 이용한 것이고, 시스템 이용을 위한 관리자 권한만을
부여받은 것일 뿐 피진정인이 입력한 개인정보는 중앙선거관리위원회 서버에 저장되었음이 명백하다. 따라서 피진정기관의 담당자가 입력하여 업로드한 선거인명부에
기재된 피진정기관 직원들의 개인정보는 네트워크를 통한 개인정보의 전송에 해당하고, 피진정기관 외에 제3자와 개인정보를 공유한 것에도 해당하므로,
피진정인이 이 사건 투표를 위해 중앙선거관리위원회에 피진정기관 직원들의 개인정보를 ‘제공’한 것임에는 의문의 여지가 없다.

이상의 내용을 종합하면, 피진정인이 이 사건 투표를 위해 피진정기관 직원들의 개인정보를 이용·제공하는 것은 ‘임금 지급 등을 위한 근로계약’이라는
당초의 개인정보 수집·이용·제공 목적과는 별개의 목적이라고 봐야 할 것이고, 피진정인이 이 사건 투표의 실시를 위해 직원들의 개인정보를 이용하거나 중앙선거관리위원회에 제공하기 위해서는
개인정보 보호법 제18조 제2항 제1호에 따라 정보주체(진정인을 포함한 피진정기관 직원)로부터 별도의 동의를 받았어야 하나, 피진정인은 그러한 동의를 받은 사실이 없다.
그러므로 피진정인이 이 사건 투표를 위해 정보주체인 진정인 등 피진정기관 직원들의 동의를 받지 않고 중앙선거관리위원회에
개인정보를 제공한 행위는 개인정보 보호법 제18조 제2항을 위반하여 진정인의 개인정보자기결정권을 침해한 것으로 판단된다.