2014헌마368
건강보험 요양급여내역 제공 요청 및 제공 행위 등 위헌확인 [전원재판부 2014헌마368, 2018. 8. 30., 인용] 【판시사항】 가. 피청구인 서울용산경찰서장(이하 ‘서울용산경찰서장’이라 한다)이 2013. 12. 18. 및 2013. 12. 20. 피청구인 국민건강보험공단(이하 ‘국민건강보험공단’이라 한다)에게 청구인들의 요양급여내역의 제공을 요청한 행위(이하 ‘이 사건 사실조회행위’라 한다)의 공권력 행사성이 인정되는지 여부(소극)
나. 형사소송법(1954. 9. 23. 법률 제341호로 제정된 것) 제199조 제2항, 구 ‘경찰관 직무집행법’ (1981. 4. 13. 법률 제3427호로 전부개정되고, 2014. 5. 20. 법률 제12600호로 개정되기 전의 것) 제8조 제1항(이하 위 두 조항을 합하여 ‘이 사건 사실조회조항’이라 한다)의 기본권침해의 가능성이 인정되는지 여부(소극)
다. 구 ‘개인정보 보호법’(2011. 3. 29. 법률 제10465호로 제정되고, 2013. 8. 6. 법률 제11990호로 개정되기 전의 것) 제18조 제2항 제7호(이하 ‘이 사건 정보제공조항’이라 한다)의 기본권침해의 직접성이 인정되는지 여부(소극)
라. 국민건강보험공단이 2013. 12. 20. 서울용산경찰서장에게 청구인들의 요양급여내역을 제공한 행위(이하 ‘이 사건 정보제공행위’라 한다)가 영장주의에 위배되어 청구인들의 개인정보자기결정권을 침해하는지 여부(소극)
마. 이 사건 정보제공행위가 과잉금지원칙에 위배되어 청구인들의 개인정보자기결정권을 침해하는지 여부(적극) 【결정요지】 가. 이 사건 사실조회행위의 근거조항인 이 사건 사실조회조항은 수사기관에 공사단체 등에 대한 사실조회의 권한을 부여하고 있을 뿐이고, 국민건강보험공단은 서울용산경찰서장의 사실조회에 응하거나 협조하여야 할 의무를 부담하지 않는다. 따라서 이 사건 사실조회행위만으로는 청구인들의 법적 지위에 어떠한 영향을 미친다고 보기 어렵고, 국민건강보험공단의 자발적인 협조가 있어야만 비로소 청구인들의 개인정보자기결정권이 제한된다. 그러므로 이 사건 사실조회행위는 공권력 행사성이 인정되지 않는다.
나. 이 사건 사실조회조항은 수사기관에 공사단체 등에 대한 사실조회의 권한을 부여하고 있을 뿐이고, 공사단체 등이 수사기관의 사실조회에 응하거나 협조하여야 할 의무를 부담하지 않으므로, 이 사건 사실조회조항만으로는 청구인들의 법적 지위에 어떠한 영향을 미친다고 보기 어렵다. 그러므로 이 사건 사실조회조항은 기본권침해의 가능성이 인정되지 않는다.
다. 이 사건 정보제공조항은 개인정보처리자에게 개인정보의 수사기관 제공 여부를 결정할 수 있는 재량을 부여하고 있다. 따라서 ‘개인정보처리자의 개인정보 제공’이라는 구체적인 집행행위가 있어야 비로소 개인정보와 관련된 정보주체의 기본권이 제한되는 것이므로, 이 사건 정보제공조항은 기본권침해의 직접성이 인정되지 않는다.
라. 이 사건 사실조회행위는 강제력이 개입되지 아니한 임의수사에 해당하므로, 이에 응하여 이루어진 이 사건 정보제공행위에도 영장주의가 적용되지 않는다. 그러므로 이 사건 정보제공행위가 영장주의에 위배되어 청구인들의 개인정보자기결정권을 침해한다고 볼 수 없다.
마. 이 사건 정보제공행위에 의하여 제공된 청구인 김○환의 약 2년 동안의 총 44회 요양급여내역 및 청구인 박○만의 약 3년 동안의 총 38회 요양급여내역은 건강에 관한 정보로서 ‘개인정보 보호법’ 제23조 제1항이 규정한 민감정보에 해당한다. ‘개인정보 보호법’상 공공기관에 해당하는 국민건강보험공단은 이 사건 정보제공조항, ‘개인정보 보호법’ 제23조 제1항 제2호, ‘경찰관 직무집행법 시행령’ 제8조 등에 따라 범죄의 수사를 위하여 불가피한 경우 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고 민감정보를 서울용산경찰서장에게 제공할 수 있다. 서울용산경찰서장은 청구인들을 검거하기 위해서 국민건강보험공단에게 청구인들의 요양급여내역을 요청한 것인데, 서울용산경찰서장은 그와 같은 요청을 할 당시 전기통신사업자로부터 위치추적자료를 제공받는 등으로 청구인들의 위치를 확인하였거나 확인할 수 있는 상태였다. 따라서 서울용산경찰서장이 청구인들을 검거하기 위하여 청구인들의 약 2년 또는 3년이라는 장기간의 요양급여내역을 제공받는 것이 불가피하였다고 보기 어렵다. 한편 급여일자와 요양기관명은 피의자의 현재 위치를 곧바로 파악할 수 있는 정보는 아니므로, 이 사건 정보제공행위로 얻을 수 있는 수사상의 이익은 없었거나 미약한 정도였다. 반면 서울용산경찰서장에게 제공된 요양기관명에는 전문의의 병원도 포함되어 있어 청구인들의 질병의 종류를 예측할 수 있는 점, 2년 내지 3년 동안의 요양급여정보는 청구인들의 건강 상태에 대한 총체적인 정보를 구성할 수 있는 점 등에 비추어 볼 때, 이 사건 정보제공행위로 인한 청구인들의 개인정보자기결정권에 대한 침해는 매우 중대하다. 그렇다면 이 사건 정보제공행위는 이 사건 정보제공조항 등이 정한 요건을 충족한 것으로 볼 수 없고, 침해의 최소성 및 법익의 균형성에 위배되어 청구인들의 개인정보자기결정권을 침해하였다.
재판관 서기석의 이 사건 정보제공행위에 대한 별개의견 민감정보의 처리에 관하여 규정한 ‘개인정보 보호법’ 제23조 제1항은 일반적인 개인정보의 제3자 제공에 관하여 규정한 같은 법 제18조 제2항의 특별규정이다. 따라서 개인정보처리자가 민감정보를 제공하기 위해서는 ‘개인정보 보호법’ 제23조 제1항에서 규정한 요건만 충족하면 족하고, 같은 법 제18조 제2항에서 규정한 요건까지 충족할 필요는 없다. 이 사건의 경우 국민건강보험공단은 ‘개인정보 보호법’ 제23조 제1항 제2호, ‘경찰관 직무집행법 시행령’ 제8조에 따라 범죄 수사 등의 직무를 수행하기 위하여 ‘불가피한 경우’ 서울용산경찰서장에게 청구인들의 요양급여내역을 제공할 수 있다. 법정의견이 밝힌 바와 같이 이 사건 정보제공행위는 위와 같은 요건을 갖추었다고 볼 수 없으므로, 과잉금지원칙을 위반하여 청구인들의 개인정보자기결정권을 침해한다.
재판관 김창종, 재판관 조용호의 이 사건 정보제공행위에 대한 반대의견 이 사건 정보제공행위 당시 서울용산경찰서장은 체포영장의 유효기간 내에 피의자인 청구인들의 소재를 파악하여 영장을 집행하여야 하는 상황이었다. 도주 중인 청구인들의 소재는 수시로 변할 수 있는 것이므로, 서울용산경찰서장은 청구인들의 소재에 관한 다양한 정보를 신속하게 수집하여 종합적으로 살펴볼 필요가 있었다. 그런데 청구인 박○만의 경우 위치추적자료를 제공받지 못하였고 달리 소재를 확인할 수 있는 정보가 없었으므로, 요양급여내역을 파악할 필요성이 컸다. 청구인 김○환에 대한 위치추적자료는 수집된 상태였으나, 휴대폰을 소지하고 있지 않거나 전원을 끄고 위치를 이동할 가능성이 있으므로, 다른 정보를 수집할 필요성이 없다고 단정하기 어렵다. 요양급여정보 제공이 최후의 보충적인 수사방법으로 기능하여야 한다는 법적 근거가 없을 뿐만 아니라, 헌법재판소가 통신사실 확인자료 및 기지국 수사에 관한 통신비밀보호법 조항이 헌법에 합치되지 아니한다고 선언한 이상, 기지국수사를 고려하여 이 사건 정보제공행위의 불가피성 여부를 판단할 것은 아니다. 또한 국민건강보험공단은 검거 목적에 필요한 최소한의 정보에 해당하는 ‘급여일자와 요양기관명’만을 제공하였다. 약 2년 또는 3년 동안의 요양급여내역을 토대로 청구인들의 실제 생활근거지를 파악하거나 방문할 병원을 예측할 수 있으므로, 약 2 또는 3년 동안의 요양급여내역을 제공한 것이 불필요하다거나 과도하다고 보기 어렵다. 한편 급여일자와 요양기관명은 청구인들의 건강 상태에 관한 막연한 추측을 할 수 있을 정도의 추상적인 정보에 불과하므로 상병명과 같은 정도로 보호의 필요성이 높다고 보기는 어렵다. ‘개인정보 보호법’ 제19조 등 제공된 요양급여내역이 수사에 필요한 범위 내에서만 사용되고 유출ㆍ남용되는 것을 방지하기 위한 제도적 장치도 마련되어 있다. 반면 서울용산경찰서장이 체포영장이 발부된 피의자인 청구인들의 소재를 신속하게 파악하여 적시에 청구인들을 검거할 수 있도록 하고 이를 통하여 국가형벌권의 적정한 수행에 기여하고자 하는 공익은 매우 중대하다. 그렇다면 이 사건 정보제공행위는 이 사건 정보제공조항 등이 정한 요건에 부합하는 것으로서 과잉금지원칙에 위배되어 청구인들의 개인정보자기결정권을 침해하였다고 볼 수 없다. 【심판대상조문】 형사소송법(1954. 9. 23. 법률 제341호로 제정된 것) 제199조 제2항 구 경찰관 직무집행법(1981. 4. 13. 법률 제3427호로 전부개정되고, 2014. 5. 20. 법률 제12600호로 개정되기 전의 것) 제8조 제1항 구 개인정보 보호법(2011. 3. 29. 법률 제10465호로 제정되고, 2013. 8. 6. 법률 제11990호로 개정되기 전의 것) 제18조 제2항 제7호 【참조조문】 헌법 제10조 제1문, 제12조 제3항, 제16조, 제17조, 제37조 제2항 헌법재판소법 제68조 제1항 개인정보 보호법(2017. 7. 26. 법률 제14839호로 개정된 것) 제18조, 제23조 제1항 【참조판례】 가. 헌재 2012. 2. 23. 2008헌마500, 판례집 24-1상, 228, 243 헌재 2012. 8. 23. 2010헌마439, 판례집 24-2상, 641, 646 나. 헌재 2014. 8. 28. 2011헌마28등, 판례집 26-2상, 337, 357-358 다. 헌재 1998. 11. 26. 96헌마55등, 판례집 10-2, 756, 762 라. 헌재 2018. 6. 28. 2012헌마191등, 공보 261, 1108, 1116 마. 헌재 2005. 7. 21. 2003헌마282등, 판례집 17-2, 81, 90 헌재 2008. 10. 30. 2006헌마1401등, 공보 145, 1566, 1575-1576 헌재 2009. 9. 24. 2007헌마1092, 판례집 21-2상, 765, 786 헌재 2012. 12. 27. 2010헌마153, 판례집 24-2하, 537, 547 【전문】 [당 사 자]
청 구 인 1. 김○환
2. 박○만
청구인들의 대리인 법무법인 지향
담당변호사 이은우
피청구인 1. 서울용산경찰서장
대리인 정부법무공단
담당변호사 서규영 외 3인
2. 국민건강보험공단 이사장
대리인 변호사 장덕규
[주 문]
1. 피청구인 국민건강보험공단이 2013. 12. 20. 피청구인 서울용산경찰서장에게 청구인들의 요양급여내역을 제공한 행위는 청구인들의 개인정보자기결정권을 침해한 것으로 위헌임을 확인한다.
2. 청구인들의 나머지 심판청구를 모두 각하한다.
[이 유]
1. 사건개요
가. 청구인 김○환은 전국철도노동조합(이하 ‘철도노조’라 한다)의 위원장, 청구인 박○만은 철도노조 수석부위원장으로서 철도노조 조합원 8,639명과 공모하여 국토교통부의 ‘철도산업 발전방안’에 반대하거나 이를 저지할 목적으로 2013. 12. 9.부터 2013. 12. 31.까지 집단적으로 노무제공을 거부하여 위력으로써 한국철도공사의 여객ㆍ화물 수송 업무를 방해하였다는 업무방해 혐의로 2014. 3. 11. 기소되었다가 무죄판결을 받았다(서울서부지방법원 2014고합51, 서울고등법원 2015노191, 대법원 2016도1690).
나. 피청구인 서울용산경찰서장(이하 ‘서울용산경찰서장’이라 한다)은 위 사건의 수사과정에서 형사소송법 제199조 제2항, ‘경찰관 직무집행법’ 제8조 제1항에 근거하여 피청구인 국민건강보험공단 이사장(이하 ‘국민건강보험공단’이라 한다)에게 업무방해 사건의 피의자인 청구인들을 검거하고자 한다는 사유를 밝히고 2013. 12. 18. 청구인 박○만의 2010. 12. 18.부터 2013. 12. 18.까지의 상병명, 요양기관명, 요양기관주소, 전화번호의 제공을, 2013. 12. 20. 청구인 김○환의 2012. 1. 1.부터 2013. 12. 20.까지의 병원 내방 기록의 제공을 각 요청하였다. 이에 국민건강보험공단은 ‘개인정보 보호법’ 제18조 제2항 제7호에 근거하여 2013. 12. 20. 청구인 김○환의 2012. 1. 1.부터 2013. 12. 20.까지의 급여일자, 요양기관명 등을 포함한 총 44회의 요양급여내역 및 청구인 박○만의 2010. 12. 1.부터 2013. 12. 19.까지의 급여일자, 요양기관명, 전화번호를 포함한 총 38회의 요양급여내역을 서울용산경찰서장에게 제공하였다.
다. 청구인들은 위와 같은 서울용산경찰서장의 사실조회행위와 국민건강보험공단의 정보제공행위 및 그 근거조항들인 형사소송법 제199조 제2항, ‘경찰관 직무집행법’ 제8조 제1항, ‘개인정보 보호법’ 제18조 제2항 제7호가 청구인들의 개인정보자기결정권 등을 침해한다고 주장하면서 2014. 5. 8. 이 사건 헌법소원심판을 청구하였다.
2. 심판대상
청구인들은 위 서울용산경찰서장의 사실조회행위와 국민건강보험공단의 정보제공행위가 청구인들의 개인정보자기결정권 등을 침해한다고 주장하므로, 서울용산경찰서장이 요청한 정보 및 국민건강보험공단이 제공한 정보 중 청구인들의 개인정보에 해당하는 정보에 관한 부분으로 심판대상을 한정한다.
그렇다면 이 사건 심판대상은 ① 서울용산경찰서장이 2013. 12. 18. 국민건강보험공단에게 청구인 박○만의 2010. 12. 18.부터 2013. 12. 18.까지의 상병명, 요양기관명의 제공을 요청한 행위 및 서울용산경찰서장이 2013. 12. 20. 국민건강보험공단에게 청구인 김○환의 2012. 1. 1.부터 2013. 12. 20.까지의 병원 내방 기록의 제공을 요청한 행위(이하 위 두 행위를 합하여 ‘이 사건 사실조회행위’라 한다), ② 국민건강보험공단이 2013. 12. 20. 서울용산경찰서장에게 청구인 김○환의 2012. 1. 1.부터 2013. 12. 20.까지의 급여일자, 요양기관명을 포함한 총 44회의 요양급여내역 및 청구인 박○만의 2010. 12. 1.부터 2013. 12. 19.까지의 급여일자, 요양기관명을 포함한 총 38회의 요양급여내역을 제공한 행위(이하 위 두 행위를 합하여 ‘이 사건 정보제공행위’라 한다), ③ 형사소송법(1954. 9. 23. 법률 제341호로 제정된 것) 제199조 제2항, 구 ‘경찰관 직무집행법’(1981. 4. 13. 법률 제3427호로 전부개정되고, 2014. 5. 20. 법률 제12600호로 개정되기 전의 것) 제8조 제1항(이하 위 두 조항을 합하여 ‘이 사건 사실조회조항’이라 한다), ④ 구 ‘개인정보 보호법’(2011. 3. 29. 법률 제10465호로 제정되고, 2013. 8. 6. 법률 제11990호로 개정되기 전의 것) 제18조 제2항 제7호(이하 ‘이 사건 정보제공조항’이라 한다)가 청구인들의 기본권을 침해하는지 여부이다. 심판대상조항은 다음과 같고, 관련조항은 [별지]와 같다.
[심판대상조항]
형사소송법(1954. 9. 23. 법률 제341호로 제정된 것)
제199조(수사와 필요한 조사) ② 수사에 관하여는 공무소 기타 공사단체에 조회하여 필요한 사항의 보고를 요구할 수 있다.
구 경찰관 직무집행법(1981. 4. 13. 법률 제3427호로 전부개정되고, 2014. 5. 20. 법률 제12600호로 개정되기 전의 것)
제8조(사실의 확인등) ① 경찰관서의 장은 직무수행에 필요하다고 인정되는 상당한 이유가 있을 때에는 국가기관 또는 공사단체등에 대하여 직무수행에 관련된 사실을 조회할 수 있다. 다만, 긴급을 요할 때에는 소속경찰관으로 하여금 현장에 출장하여 당해기관 또는 단체의 장의 협조를 얻어 그 사실을 확인하게 할 수 있다.
구 개인정보 보호법(2011. 3. 29. 법률 제10465호로 제정되고, 2013. 8. 6. 법률 제11990호로 개정되기 전의 것)
제18조(개인정보의 이용ㆍ제공 제한) ② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다.
7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우
3. 청구인들의 주장 요지
가. 적법요건에 관한 주장
(1) 이 사건 사실조회행위 및 이 사건 정보제공행위로 인하여 청구인들의 의사에 관계없이 청구인들의 민감정보가 수사기관에 제공되었으므로 위 각 행위들의 공권력 행사성이 인정된다.
(2) 이 사건 사실조회행위 및 이 사건 정보제공행위에 대한 구제절차가 없거나 권리구제의 기대가능성이 없으므로, 이 사건 사실조회조항 및 이 사건 정보제공조항의 기본권침해의 직접성이 인정된다.
나. 본안에 관한 주장
(1) 이 사건 사실조회조항 및 이 사건 정보제공조항은 그 요건이 지나치게 광범위하고, 이 사건 사실조회행위 및 이 사건 정보제공행위는 청구인들을 검거하기 위한 목적에 필요한 범위를 벗어나 청구인들의 건강에 관한 민감정보를 요청, 제공한 것이므로, 위 각 행위들과 위 각 조항들은 과잉금지원칙에 위배되어 청구인들의 개인정보자기결정권 등을 침해한다.
(2) 이 사건 사실조회조항 및 이 사건 정보제공조항은 불명확하고 광범위한 요건을 규정하고 있으므로 명확성원칙에 위배된다.
(3) 이 사건 사실조회행위 및 이 사건 정보제공행위는 강제처분에 해당함에도 영장 없이 이루어졌고, 이 사건 사실조회조항 및 이 사건 정보제공조항은 영장에 의하지 아니하고 사실조회 및 정보제공을 할 수 있도록 규정하고 있으므로, 위 각 행위들과 위 각 조항들은 영장주의에 위배된다.
(4) 이 사건 정보제공조항은 다른 강제처분, 의료기록의 열람 또는 사본 교부의 경우, 개인정보처리자가 개인이나 단체인 경우와 달리 법원의 영장을 요구하지 않고, ‘금융실명거래 및 비밀보장에 관한 법률’(이하 ‘금융실명법’이라 한다)상 금융거래의 내용에 대한 정보 또는 자료와 달리 사전 제한이나 사후 통보 절차를 규정하고 있지 아니하므로, 청구인들의 평등권을 침해한다.
4. 적법요건에 관한 판단
가. 이 사건 사실조회행위
헌법재판소법 제68조 제1항은 ‘공권력의 행사 또는 불행사로 인하여 기본권을 침해받은 자’가 헌법소원을 제기할 수 있다고 규정하고 있는바, 여기에서 ‘공권력’이란 입법권ㆍ행정권ㆍ사법권을 행사하는 모든 국가기관ㆍ공공단체 등의 고권적 작용을 말하고, 그 행사 또는 불행사로 국민의 권리와 의무에 대하여 직접적인 법률효과를 발생시켜 청구인의 법률관계 내지 법적 지위를 불리하게 변화시키는 것이어야 한다(헌재 2012. 2. 23. 2008헌마500; 헌재 2012. 8. 23. 2010헌마439 참조).
이 사건 사실조회행위는 서울용산경찰서장이 피의자인 청구인들을 검거하기 위하여 국민건강보험공단에게 개인정보의 제공을 요청한 것이다. 그런데 이 사건 사실조회행위의 근거조항인 이 사건 사실조회조항은 수사기관이 공사단체 등에 대하여 범죄수사에 관련된 사실을 조회할 수 있다고 규정하여 수사기관에 사실조회의 권한을 부여하고 있을 뿐이고, 이 사건 정보제공조항은 범죄의 수사를 위하여 필요한 경우 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보처리자가 개인정보를 목적 외의 용도로 제3자에게 제공할 수 있다고 규정하여 개인정보의 수사기관 제공 여부를 개인정보처리자의 재량사항으로 규정하고 있으므로, 국민건강보험공단은 수사기관의 사실조회에 응하거나 협조하여야 할 의무를 부담하지 않는다. 또한 서울용산경찰서장과 국민건강보험공단 사이에는 어떠한 상하관계도 없고, 국민건강보험공단이 서울용산경찰서장의 개인정보 제공 요청을 거절한다고 하여 어떠한 형태의 사실상의 불이익을 받는 것도 아니다.
따라서 이 사건 사실조회행위만으로는 청구인들의 법률관계 내지 법적 지위를 불리하게 변화시킨다고 볼 수 없고 국민건강보험공단의 자발적인 협조가 있어야만 비로소 청구인들의 개인정보자기결정권이 제한되는 것이므로(헌재 2012. 8. 23. 2010헌마439 참조), 이 사건 사실조회행위는 헌법재판소법 제68조 제1항에 의한 헌법소원의 대상이 되는 공권력의 행사에 해당하지 않는다.
나. 이 사건 사실조회조항
헌법재판소법 제68조 제1항 본문은 공권력의 행사 또는 불행사로 인하여 헌법상 보장된 기본권을 침해받은 자는 헌법재판소에 헌법소원심판을 청구할 수 있다고 규정하고 있는데, 공권력의 행사 또는 불행사가 헌법소원을 청구하고자 하는 자의 법적 지위에 아무런 영향을 미치지 않는 경우라면 애당초 기본권침해의 가능성이나 위험성이 없으므로 그 공권력의 행사를 대상으로 헌법소원을 청구하는 것은 허용되지 아니한다(헌재 2014. 8. 28. 2011헌마28등 참조).
앞서 본 바와 같이 이 사건 사실조회조항은 수사기관이 공사단체 등에 대하여 범죄수사에 관련된 사실을 조회할 수 있다고 규정하여 수사기관에 사실조회의 권한을 부여하는 것에 불과하고, 공사단체 등이 수사기관의 사실조회에 응하거나 협조하여야 할 의무를 부담하는 것도 아니므로, 이 사건 사실조회조항만으로는 청구인들의 법적 지위에 어떠한 영향을 미친다고 보기 어렵다. 따라서 이 사건 사실조회조항은 기본권침해의 가능성이 인정되지 않는다.
다. 이 사건 정보제공조항
법령 또는 법령조항 자체가 헌법소원의 대상이 될 수 있으려면, 청구인의 기본권이 구체적인 집행행위를 기다리지 아니하고 그 법령 또는 법령조항에 의하여 직접 침해받아야 한다. 여기서 말하는 기본권침해의 직접성이란 집행행위에 의하지 아니하고 법령 그 자체에 의하여 자유의 제한, 의무의 부과, 법적 지위의 박탈이 발생하는 경우를 말하므로 당해 법령에 근거한 구체적인 집행행위를 통하여 비로소 기본권침해의 법률효과가 발생하는 경우에는 직접성의 요건이 결여된다(헌재 1998. 11. 26. 96헌마55등 참조).
이 사건 정보제공조항은 범죄의 수사 등을 위하여 필요한 경우 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보처리자가 개인정보를 목적 외의 용도로 수사기관에게 제공할 수 있다고 규정하여 개인정보처리자에게 개인정보의 수사기관 제공 여부를 결정할 수 있는 재량을 부여하고 있다. 따라서 ‘개인정보처리자의 개인정보 제공’이라는 구체적인 집행행위가 있어야 비로소 개인정보와 관련된 정보주체의 기본권이 제한되는 것이므로, 이 사건 정보제공조항만으로는 청구인들의 기본권이 직접 침해된다고 볼 수 없다. 그러므로 이 사건 정보제공조항은 기본권침해의 직접성이 인정되지 않는다.
라. 소결
이 사건 사실조회행위, 이 사건 사실조회조항 및 이 사건 정보제공조항에 대한 심판청구는 부적법하다.
이하에서는 이 사건 정보제공행위에 대하여만 본안 판단에 나아간다.
5. 본안에 관한 판단
가. 민감정보의 수사기관 제공 요건
(1) 이 사건 정보제공조항
(가) ‘개인정보 보호법’은 정보주체의 동의를 받은 경우 및 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 등에 해당하여 개인정보를 수집한 목적 범위에서 제3자에게 제공하는 경우(제17조 제1항, 같은 조 제3항) 외에는 원칙적으로 개인정보를 제3자에게 제공할 수 없도록 규정하고 있다(제18조 제1항).
위와 같은 원칙에 대한 예외로서, 이 사건 정보제공조항은 범죄의 수사 등을 위하여 필요한 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고 개인정보처리자가 개인정보를 목적 외의 용도로 제3자에게 제공할 수 있도록 규정하고 있다.
(나) ‘개인정보 보호법’ 제18조 제2항 단서는 이 사건 정보제공조항이 규정한 예외 사유에 관하여 ‘공공기관의 경우로 한정한다.’라고 규정하고 있다. 이 사건 정보제공조항은 개인정보처리자가 공공기관인 경우의 개인정보 보호에 관하여 규정하고 있었던 2011. 3. 29. 법률 제10465호로 폐지되기 전의 구 ‘공공기관의 개인정보보호에 관한 법률’ 제10조 제2항 제6호와 동일한 내용을 규정한 것이다. 위 구법 조항에는 ‘공공기관의 경우로 한정한다’라는 단서가 없었다가 공공부분과 민간부분을 통합하여 개인정보에 관한 규율을 하고자 제정된 ‘개인정보 보호법’에서 위와 같은 단서가 포함된 것이므로, 그 의미는 위 구법 조항과 같이 개인정보처리자가 공공기관인 경우에만 이 사건 정보제공조항에 따라 개인정보를 제3자에게 제공할 수 있다는 것으로 해석된다. ‘개인정보 보호법 시행령’ 제18조 단서 및 제19조 단서도 같은 취지에서 ‘공공기관이 법 제18조 제2항 제5호부터 제9호까지의 규정에 따라 처리하는 경우’라고 규정하고 있다.
(다) 이 사건 정보제공조항은 ‘정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 것’이라는 요건을 요구하고 있다. 이 사건 정보제공조항은 개인정보의 목적 외 제3자 제공이 원칙적으로 금지된다는 전제 하에 예외적으로 수사의 신속성과 효율성을 도모하기 위하여 범죄의 수사 등을 위하여 필요한 경우 그 제공을 허용하는 것이므로, 위와 같은 요건을 요구하는 취지는 정보주체 또는 제3자의 이익 보호와 범죄수사의 신속성ㆍ효율성 확보 간의 조화를 도모하고자 하는 것이다. 이러한 점을 고려하면, ‘정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때’란 ‘범죄의 수사를 위하여 필요한 개인정보를 수사기관에게 제공할 경우 정보주체나 제3자의 이익이 침해될 가능성이 있고, 개인정보 제공으로 얻을 수 있는 수사상의 이익보다 정보주체나 제3자의 이익이 큰 경우’를 의미한다고 해석된다. 그리고 이와 같이 수사상의 이익과 정보주체 또는 제3자의 이익을 형량함에 있어서는 수사 목적의 중대성, 수사 목적의 달성을 위하여 개인정보가 필요한 정도, 개인정보의 제공으로 인하여 정보주체나 제3자가 침해받는 이익의 성질 및 내용, 침해받는 정도, 수사 내용과 정보주체 또는 제3자와의 관련성 등 관련된 모든 사정들을 종합하여 객관적으로 판단하여야 할 것이다.
(2) ‘개인정보 보호법’ 제23조 제1항
‘개인정보 보호법’ 제23조 제1항은 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 ‘민감정보’라 한다)의 처리를 원칙적으로 금지하면서, 예외적으로 정보주체에게 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우(제1호) 및 법령에서 민감정보의 처리를 요구하거나 허용하는 경우(제2호)에만 민감정보를 처리할 수 있도록 규정하고 있다.
이에 관하여 ‘경찰관 직무집행법 시행령’ 제8조, ‘검사의 사법경찰관리에 대한 수사지휘 및 사법경찰관리의 수사준칙에 관한 규정’ 제9조는 경찰관이 범죄 수사 등의 업무를 수행하기 위하여 ‘불가피한 경우’ 민감정보를 처리할 수 있도록 규정하고 있고, 위 시행령 규정들은 ‘개인정보 보호법’ 제23조 제1항 제2호의 ‘법령에서 민감정보의 처리를 허용하는 경우’에 해당한다.
‘개인정보 보호법’ 제23조 제1항 제2호 및 위 시행령 규정들은 ‘처리’에 관하여 특별한 제한을 가하고 있지 않으므로, 범죄 수사 등을 위한 민감정보의 수집, 보유, 이용, 제공 등의 처리(‘개인정보 보호법’ 제2조 제2호 참조) 모두를 허용하는 취지라고 볼 수 있다. 따라서 범죄 수사 등의 업무를 수행하기 위하여 불가피한 경우라면, 각 처리 방식의 고유한 요건을 구비하여 민감정보를 처리할 수 있다고 해석된다.
결국 위 규정들을 종합하면, ‘개인정보 보호법’ 제23조 제1항 제2호 및 위 시행령 규정들에 따라 경찰관의 범죄의 수사 등을 위하여 ‘불가피한 경우’ 민감정보를 처리를 하는 것이 허용되므로, 이에 해당하는 경우 공공기관은 ‘개인정보 보호법’ 제18조 제2항 제7호에 따라 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고 민감정보를 경찰관에게 제공할 수 있다.
나. 요양급여정보의 법적 성격
개인정보자기결정권의 보호대상이 되는 개인정보란 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보이다(헌재 2005. 7. 21. 2003헌마282; 헌재 2012. 12. 27. 2010헌마153 참조).
국민건강보험법은 국민건강보험의 적용 대상을 국내에 거주하는 국민으로 규정하면서(국민건강보험법 제5조 제1항), 국민건강보험공단을 유일한 보험자로 규정하고 있다(국민건강보험법 제13조). 이에 따라 국민건강보험공단은 가입자 및 피부양자의 자격관리, 보험료의 부과ㆍ징수, 보험급여 비용의 지급 등의 업무(국민건강보험법 제14조 제1항 참조)를 수행하면서 거의 모든 국민의 일반적인 인적정보, 보험료 부과를 위한 직장, 소득, 재산 등에 관한 정보, 요양급여정보, 건강검진 관련 정보 등을 수집하여 처리하고 있다.
요양급여정보는 가입자와 피부양자의 질병, 부상, 출산 등에 대하여 국민건강보험공단이 실시한 진찰ㆍ검사, 약제ㆍ치료재료의 지급, 처치ㆍ수술 및 그 밖의 치료 등의 요양급여와 관련된 정보로서(국민건강보험법 제41조 제1항 참조), 요양급여개시일, 국민건강보험법 제42조 제1항에 따른 요양기관의 명칭(이하 ‘요양기관명’이라 한다), 상병명, 입내원일수, 공단부담금, 본인부담금 등을 포함한다.
이 중 상병명은 그 자체로 개인의 정신이나 신체에 관한 단점을 나타내기 때문에 인격의 내적 핵심에 근접하는 민감한 정보에 해당한다. 그 외에 누가, 언제, 어디에서 진료를 받고 얼마를 지불했는가라는 사실 역시 그 자체만으로도 보호되어야 할 사생활의 비밀일 뿐 아니라, 요양기관이 산부인과, 비뇨기과, 정신건강의학과 등과 같은 전문의의 병원인 경우에는 요양기관명만으로도 질병의 종류를 예측할 수 있고, 요양급여횟수, 입내원일수, 공단부담금, 본인부담금 등의 정보를 통합하면 구체적인 신체적ㆍ정신적 결함이나 진료의 내용까지도 유추할 수 있다. 앞서 본 바와 같이 거의 모든 국민의 국민건강보험에 관한 방대한 정보가 국민건강보험공단에 집적되고 있으므로, 국민건강보험공단이 처리하는 요양급여정보는 개별적인 요양급여내역에 불과한 것이 아니라 정보주체의 건강에 관한 포괄적이고 통합적인 정보를 구성할 수 있는 것이다.
따라서 요양급여정보는 개인정보자기결정권에 의하여 보호되는 개인정보에 해당하고(헌재 2008. 10. 30. 2006헌마1401등; 헌재 2009. 9. 24. 2007헌마1092 참조), 이 사건 정보제공행위에 의하여 제공된 청구인 김○환의 2012. 1. 1.부터 2013. 12. 20.까지의 급여일자, 요양기관명을 포함한 총 44회의 요양급여내역 및 청구인 박○만의 2010. 12. 1.부터 2013. 12. 19.까지의 급여일자, 요양기관명을 포함한 총 38회의 요양급여내역은 건강에 관한 정보로서 ‘개인정보 보호법’ 제23조 제1항이 규정한 민감정보에 해당한다.
다. 쟁점의 정리
(1) 개인정보자기결정권은 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리로서, 헌법 제10조 제1문에서 도출되는 일반적 인격권 및 헌법 제17조의 사생활의 비밀과 자유에 의하여 보장된다. 개인정보를 대상으로 한 조사ㆍ수집ㆍ보관ㆍ처리ㆍ이용 등의 행위는 모두 원칙적으로 개인정보자기결정권에 대한 제한에 해당한다(헌재 2005. 7. 21. 2003헌마282; 헌재 2012. 12. 27. 2010헌마153 참조).
이 사건 정보제공행위는 국민건강보험공단이 정보주체인 청구인들의 동의 없이 민감정보에 해당하는 청구인들의 요양급여정보를 서울용산경찰서장에게 제공한 것으로서 청구인들의 개인정보자기결정권을 제한하므로 헌법 제37조 제2항의 과잉금지원칙을 준수하여야 한다.
(2) 청구인들은 이 사건 정보제공행위가 영장주의에 위배된다고 주장하므로 이에 관하여 살펴본다.
(3) 청구인들은 이 사건 정보제공행위가 인간의 존엄과 가치, 행복추구권, 사생활의 비밀과 자유 등도 침해한다고 주장하나, 이 사건 정보제공행위와 가장 밀접한 관계에 있는 개인정보자기결정권 침해 여부를 판단하는 이상 이에 관하여 별도로 판단하지 않는다.
(4) 이하에서는 이 사건 정보제공행위가 영장주의, 과잉금지원칙에 위배되어 청구인들의 개인정보자기결정권을 침해하는지 여부에 관하여 살펴본다.
라. 이 사건 정보제공행위의 개인정보자기결정권 침해 여부
(1) 영장주의 위배 여부
(가) 헌법 제12조 제3항 및 제16조가 규정한 영장주의는 형사절차와 관련하여 체포ㆍ구속ㆍ압수ㆍ수색의 강제처분을 함에 있어서는 사법권 독립에 의하여 신분이 보장되는 법관이 발부한 영장에 의하지 않으면 아니 된다는 원칙이다. 따라서 헌법상 영장주의의 본질은 체포ㆍ구속ㆍ압수ㆍ수색 등 기본권을 제한하는 강제처분을 함에 있어서는 중립적인 법관의 구체적 판단을 거쳐야 한다는 데에 있다(헌재 2018. 6. 28. 2012헌마191등 참조).
(나) 앞서 본 바와 같이 이 사건 사실조회조항은 수사기관이 공사단체 등에 대하여 범죄수사에 관련된 사실을 조회할 수 있다고 규정하여 수사기관에 사실조회의 권한을 부여하고 있을 뿐이고, 이에 근거한 이 사건 사실조회행위에 대하여 국민건강보험공단이 응하거나 협조하여야 할 의무를 부담하는 것이 아니다. 따라서 이 사건 사실조회행위는 강제력이 개입되지 아니한 임의수사에 해당하므로, 이에 응하여 이루어진 이 사건 정보제공행위에도 영장주의가 적용되지 않는다.
(2) 과잉금지원칙 위배 여부
(가) 목적의 정당성 및 수단의 적합성
이 사건 정보제공행위는 서울용산경찰서장이 체포영장이 발부된 피의자인 청구인들의 소재를 신속하게 파악하여 적시에 청구인들을 검거할 수 있도록 하고 이를 통하여 국가형벌권의 적정한 수행에 기여하기 위한 것이므로 목적의 정당성이 인정된다. 또한 청구인들이 언제 어느 요양기관을 방문하였는지에 관한 정보를 제공하면 청구인들의 소재 파악에 도움이 될 수 있으므로, 이 사건 정보제공행위는 위와 같은 목적을 달성하기 위한 적합한 수단이다.
(나) 침해의 최소성
1) 국민건강보험공단은 국민건강보험법에 근거하여 설립된 법인으로서, ‘개인정보 보호법’상 공공기관에 해당한다(국민건강보험법 제15조 제1항, ‘개인정보 보호법’ 제2조 제6호 나목 참조). 따라서 국민건강보험공단은 이 사건 정보제공조항 및 ‘개인정보 보호법’ 제23조 제1항 제2호 등에 따라 범죄의 수사를 위하여 불가피한 경우 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고 민감정보를 서울용산경찰서장에게 제공할 수 있다.
개인정보를 정보주체의 동의 없이 목적 외의 용도로 제3자에게 제공할 경우 처리주체의 변경과 당초 수집 목적을 벗어난 개인정보의 처리를 초래하게 되므로, 위와 같은 개인정보의 제공은 정보주체 스스로 개인정보의 공개와 이용에 관하여 결정할 권리를 핵심내용으로 하는 개인정보자기결정권에 대한 중대한 제한에 해당한다. 특히 개인의 인격 및 사생활의 핵심에 해당하는 민감정보에 대하여는 다른 일반적인 개인정보보다 더 높은 수준의 보호가 필요하다.
따라서 국민건강보험공단은 민감정보를 서울용산경찰서장에게 제공함에 있어서 위와 같은 요건에 해당하는지 여부를 엄격하게 판단하여 정보주체의 개인정보자기결정권에 대한 침해를 최소화하여야 한다.
2) 먼저 이 사건 정보제공행위가 ‘청구인들의 민감정보를 제공받는 것이 범죄의 수사를 위하여 불가피할 것’이라는 요건을 갖추었는지 여부를 살펴본다.
이 사건 기록에 의하면 서울용산경찰서장은 청구인 김○환에 대한 요양급여정보를 요청한 2013. 12. 20. 이전인 2013. 12. 18. 이미 전기통신사업자로부터 청구인 김○환의 휴대폰 위치를 확인할 수 있는 발신기지국의 위치추적자료를 제공받아 청구인 김○환이 전국민주노동조합총연맹의 소재지인 서울 중구 ○○동 ○○번지 ○○빌딩의 ○○층 회의실에 있음을 확인한 상태였고, 2013. 12. 20.에는 망원을 동원해 청구인 김○환이 위 위치에 있음을 확인하였으므로, 서울용산경찰서장이 청구인 김○환의 소재를 파악하기 위해서 요양급여정보를 제공받는 것이 불가피한 경우가 아니었음이 명백하다.
또한 서울용산경찰서장이 청구인 박○만에 대한 요양급여정보를 요청한 2013. 12. 18. 무렵 청구인 박○만 명의로 확인된 휴대폰의 전원이 꺼져있어 전기통신사업자로부터 그 위치를 확인할 수 있는 발신기지국의 위치추적자료를 제공받지 못한 것으로 보이나, 당시 청구인 박○만 명의의 다른 휴대폰이 존재하는지 여부 및 해당 휴대폰의 위치를 확인할 수 있는 위치추적자료에 대한 수사를 계속하고 있었던 점, 담당 경사는 2013. 12. 20. 위와 같은 혐의로 체포영장이 발부된 11명 중 일부 휴대폰 전원이 꺼져 있는 피의자 외에 대다수 피의자들의 휴대폰 위치가 위 ○○빌딩으로 확인되는 것으로 볼 때 피의자들이 위 ○○빌딩에 은신해 있는 것으로 추정된다고 판단한 점 등을 고려하면, 서울용산경찰서장이 청구인 박○만의 소재를 파악하기 위해서 요양급여정보를 제공받는 것이 불가피하였다고 보기도 어렵다.
나아가 피의자들의 소재를 파악하기 위해서 요양급여정보를 제공받는 것이 불가피한 경우에 해당하더라도, 소재 파악 목적을 위해서는 피의자들의 현재 위치를 추정하거나 향후 어떠한 요양기관을 이용할 것인지 예측할 수 있는 정도의 요양급여정보가 제공되면 충분하므로, 국민건강보험공단으로서는 원칙적으로 요양급여정보 요청일 또는 제공일에 근접한 요양급여개시일과 해당 요양기관명만을 제공하여야 하고, 요양급여정보 요청일 또는 제공일로부터 상당한 기간 전의 요양급여정보를 제공하려면 수사기관이 그러한 정보를 제공받는 것이 불가피하다는 특별한 사정이 존재해야 한다.
이 사건에서 국민건강보험공단은 청구인 김○환에 대하여는 요청일로부터 소급하여 약 2년 동안의, 청구인 박○만에 대하여는 약 3년 동안의 요양급여정보를 제공하였는데, 서울용산경찰서장이 청구인들의 소재를 파악하기 위해서 위와 같이 상당한 기간 전의 요양급여정보를 제공받는 것이 불가피하였다는 특별한 사정을 발견할 수 없다.
이와 같은 사정을 종합해 보면, 서울용산경찰서장이 청구인들의 소재를 파악하기 위하여 청구인 김○환의 2012. 1. 1.부터 2013. 12. 20.까지의 급여일자, 요양기관명을 포함한 총 44회의 요양급여내역 및 청구인 박○만의 2010. 12. 1.부터 2013. 12. 19.까지의 급여일자, 요양기관명을 포함한 총 38회의 요양급여내역을 제공받는 것이 불가피한 경우에 해당하였다고 볼 수 없다.
서울용산경찰서장은 국민건강보험공단에게 피의자의 성명, 사건번호, 죄명과 ‘피의자들은 철도노조 간부들로 코레일 불법파업을 주동하고 있기에 검거하고자 한다’는 사유만을 밝힌 채 청구인들에 대한 장기간의 요양급여정보를 포괄적으로 요청하였다. 이와 같은 사유만으로는 청구인들을 검거하기 위하여 각각의 요양급여정보를 제공받는 것이 불가피하고 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없는 점이 명확하지 아니하므로, 국민건강보험공단으로서는 이 사건 정보제공요청에 응하지 않거나 서울용산경찰서장에게 제공을 요청하는 요양급여정보의 구체적인 항목과 필요성, 다른 방법으로 청구인들의 소재를 파악할 수 없어 각 요양급여정보를 이용하는 것이 불가피한 사유 등을 추가적으로 밝힐 것을 요구하였어야 한다.
그럼에도 불구하고 국민건강보험공단은 이와 같은 조치를 취하여 이 사건 정보제공조항 등이 정한 요건에 해당하는지 여부를 구체적으로 검토하지 아니한 채 만연히 청구인들에 대한 장기간의 요양급여정보를 수사기관에 제공하였으므로 청구인들의 개인정보자기결정권에 대한 침해를 최소화하였다고 볼 수 없다. 국민건강보험공단이 개인정보의 목적 외 제3자 제공에 필요한 절차, 방법 등에 관하여 내부적으로 정한 기준인 ‘외부기관 개인정보자료 제공지침’은 특수상병명 등 일부 요양급여정보는 영장에 의해서만 수사기관에게 제공하되, 이를 제외한 나머지 요양급여정보는 수사의 ‘필요성’만 소명되면 수사기관에게 제공할 수 있도록 규정하고 있다. 이는 국민건강보험공단이 이 사건 정보제공조항 등이 정한 요건을 엄밀하게 판단하지 않고 있는 현실을 드러내는 것이다.
결국 서울용산경찰서장은 청구인들을 검거하기 위하여 청구인들의 요양급여정보를 제공받는 것이 불가피한 상황이 아니었음에도 불구하고 이 사건 정보제공요청을 하였고, 국민건강보험공단은 이 사건 정보제공조항 등이 정한 요건에 해당하는지 여부에 대하여 실질적으로 판단하지 아니한 채 민감정보에 해당하는 청구인들의 요양급여정보를 제공한 것이므로, 이 사건 정보제공행위는 ‘청구인들의 민감정보를 제공받는 것이 범죄의 수사를 위하여 불가피할 것’이라는 요건을 갖춘 것으로 볼 수 없다.
3) 다음으로 이 사건 정보제공행위가 ‘정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 것’이라는 요건을 갖추었는지 살펴본다.
급여일자와 요양기관명은 피의자의 현재 위치를 곧바로 파악할 수 있는 정보는 아니고, 통신비밀보호법 제13조에 따른 통신사실확인자료 요청 등 더 직접적으로 피의자의 위치를 확인할 수 있는 다른 수사방법이 존재한다. 실제로 이 사건에서 서울용산경찰서장은 앞서 본 바와 같이 다른 수사방법으로 청구인들의 소재를 파악하였거나 파악할 수 있었다. 또한 요양급여정보 요청일 또는 제공일에 근접한 요양급여정보를 제외한 2년 내지 3년 동안의 요양급여정보는 청구인들의 소재 파악에 거의 도움이 되지 않는 정보이다. 따라서 이 사건 정보제공행위로 얻을 수 있는 수사상의 이익은 없었거나 미약한 정도였다고 볼 수 있다.
반면 이 사건에서 서울용산경찰서장에게 제공된 요양기관명에는 전문의의 병원도 포함되어 있으므로 이러한 요양기관명으로 청구인들의 질병의 종류를 예측할 수 있는 점, 2년 내지 3년 동안의 요양급여정보는 청구인들의 건강 상태에 대한 총체적인 정보를 구성할 수 있는 점, 이와 같은 요양급여정보는 건강에 관한 민감정보로서 개인의 인격 및 사생활의 핵심에 해당하는 점 등에 비추어 볼 때, 이 사건 정보제공행위로 인한 청구인들의 개인정보자기결정권에 대한 침해는 매우 중대하다.
‘개인정보 보호법’과 형사소송법은 수사기관이 제공받은 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 행위를 금지하고 있으나(‘개인정보 보호법’ 제19조, 제59조 제2호, 제71조 제5호, 형사소송법 제198조 제2항 참조), 청구인들을 검거하기 위한 수사 목적에 반드시 필요하지 않음에도 불구하고 민감정보가 수사기관에 제공된 이 사건에서는 위와 같이 수사기관이 수사 목적으로만 사용하도록 하는 규정이 개인정보자기결정권에 대한 침해를 최소화하기 위한 제도적 장치로서 기능할 수 없다.
그러므로 이 사건 정보제공행위가 정보주체인 청구인들의 이익을 부당하게 침해할 우려가 없을 것이라는 요건을 충족하였다고 볼 수도 없다.
4) 그렇다면 이 사건 정보제공행위는 침해의 최소성에 위배된다.
(다) 법익의 균형성
앞서 본 바와 같이 서울용산경찰서장은 청구인들의 소재를 파악한 상태였거나 다른 수단으로 충분히 파악할 수 있었으므로 이 사건 정보제공행위로 얻을 수 있는 수사상의 이익은 거의 없거나 미약하였던 반면, 청구인들은 자신도 모르는 사이에 민감정보인 요양급여정보가 수사기관에 제공되어 개인정보자기결정권에 대한 중대한 불이익을 받게 되었으므로, 이 사건 정보제공행위는 법익의 균형성도 갖추지 못하였다.
(라) 소결
이 사건 정보제공행위는 과잉금지원칙에 위배되어 청구인들의 개인정보자기결정권을 침해하였다.
6. 결론
그렇다면 이 사건 정보제공행위는 청구인들의 개인정보자기결정권을 침해한 것이므로 위헌임을 확인하고, 청구인들의 나머지 심판청구는 모두 부적법하므로 각하하기로 하여 주문과 같이 결정한다. 이 결정은 이 사건 정보제공행위에 대한 아래 7.과 같은 재판관 서기석의 별개의견, 아래 8.과 같은 재판관 김창종, 재판관 조용호의 반대의견이 있는 외에는 나머지 재판관들의 일치된 의견에 의한 것이다.
7. 재판관 서기석의 이 사건 정보제공행위에 대한 별개의견
가. 나는 이 사건 정보제공행위가 과잉금지의 원칙을 위반하여 청구인들의 개인정보자기결정권을 침해한다는 법정의견과 의견을 같이하면서도 그 이유를 달리하므로, 다음과 같이 별개의견을 밝힌다.
나. 개인정보 보호법 제18조 제2항은 개인정보처리자가 개인정보를 제공할 수 있는 경우를 열거적으로 규정하고 있다. 그리고 같은 법 제23조 제1항은 개인정보처리자가 개인정보 중 민감정보를 처리하는 것을 원칙적으로 금지하면서, 다만 “정보주체에게 제15조 제2항 각 호 또는 제17조 제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우”(제1호)와 “법령에서 민감정보의 처리를 요구하거나 허용하는 경우”(제2호)에만 예외적으로 허용하고 있다. 한편 같은 법 제2조 제2호는 “ ‘처리’란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위를 말한다.”라고 규정함으로써, 개인정보의 처리에는 개인정보의 제공이 포함됨을 명시하고 있다.
위와 같이 개인정보 보호법 제18조 제2항은 일반적인 개인정보의 제공요건에 관하여 규정하고 있고, 같은 법 제23조 제1항은 개인정보 중에서도 민감정보의 제공요건에 관하여 규정하고 있는 점, ‘개인정보 보호법 18조 제2항에서 개인정보의 제공을 허용하는 경우’를 같은 법 제23조 제1항 제2호에서 규정하고 있는 ‘법령에서 민감정보의 처리를 허용하는 경우’에 해당한다고 본다면, 민감정보도 다른 일반적인 개인정보와 마찬가지의 요건 하에서 제공할 수 있게 되어, 민감정보의 제공을 원칙적으로 금지하면서 특별한 예외를 규정한 개인정보 보호법 제23조 제1항이 아무런 의미를 갖지 못하게 되므로, 이에 해당한다고 볼 수 없는 점 등을 종합적으로 고려하여 보면, 개인정보 보호법 제23조 제1항은 같은 법 제18조 제2항의 특별규정으로 봄이 상당하다.
따라서 개인정보처리자가 민감정보를 제공하기 위해서는 개인정보 보호법 제23조 제1항에서 규정한 요건만 충족하면 족하고, 같은 법 제18조 제2항에서 규정한 요건까지 충족할 필요는 없다고 할 것이다.
그런데 이 사건의 경우 경찰관직무집행법시행령 제8조는 경찰관이 범죄 수사 등의 직무를 수행하기 위하여 ‘불가피한 경우’ 개인정보 보호법 제23조에 따른 건강에 관한 정보를 처리할 수 있다고 규정하고 있으므로, 위 시행령의 규정은 개인정보 보호법 제23조 제1항 제2호에서 규정하고 있는 “법령에서 민감정보의 처리를 요구하거나 허용하는 경우”에 해당한다고 보아야 한다.
결국 피청구인 국민건강보험공단이 피청구인 서울용산경찰서장에게 개인정보 보호법 제23조에 따른 건강에 관한 정보를 제공하기 위해서는 피청구인 서울용산경찰서장이 그 정보를 제공받는 것이 범죄 수사 등의 직무를 수행하기 위하여 ‘불가피한 경우’에 해당하여야 한다.
그러므로 나아가 이 사건 정보제공행위가 ‘청구인들의 민감정보를 제공받는 것이 범죄의 수사를 위하여 불가피할 것’이라는 요건을 갖추었는지 여부에 관하여 보건대, 이 점에 관하여는 그 요건을 갖추었다고 볼 수 없다고 하는 법정의견과 그 견해를 같이 하므로, 이를 그대로 원용하기로 한다.
그렇다면 이 사건 정보제공행위는 과잉금지의 원칙을 위반하여 청구인들의 개인정보자기결정권을 침해한다.
법정의견에서는 개인정보처리자가 민감정보를 제공하기 위해서는 개인정보 보호법 제23조 제1항에서 규정한 요건뿐만 아니라, 같은 법 제18조 제2항에서 규정한 요건까지 충족하여야 한다고 본다.
그러나 위에서 본 바와 같이 개인정보 보호법 제23조 제1항을 같은 법 제18조 제2항의 특별규정으로 보아야 하는 점, 예컨대 개인정보 보호법 제23조 제1항 제2호에서 규정하고 있는 “법령에서 민감정보의 처리를 요구하거나 허용하는 경우”에 해당한다고 볼 수 있는 의료법 제21조 제3항은 “의료인, 의료기관의 장 및 의료기관 종사자는 다음 각 호의 어느 하나에 해당하면 그 기록을 열람하게 하거나 그 사본을 교부하는 등 그 내용을 확인할 수 있게 하여야 한다. 다만, 의사ㆍ치과의사 또는 한의사가 환자의 진료를 위하여 불가피하다고 인정한 경우에는 그러하지 아니하다.”라고 규정하면서, 제6호에서 “「형사소송법」제106조, 제215조 또는 제218조에 따른 경우”를, 제7호에서 “「민사소송법」제347조에 따라 문서제출을 명한 경우”를, 제10호에서 “「병역법」제11조의2에 따라 지방병무청장이 병역판정검사와 관련하여 질병 또는 심신장애의 확인을 위하여 필요하다고 인정하여 의료기관의 장에게 병역판정검사대상자의 진료기록ㆍ치료 관련 기록의 제출을 요구한 경우”를 각 들고 있는바, 의료법 제21조 제3항에서 규정하고 있는 민감정보의 제공요건의 경우에는 그 요건에 해당하기만 하면 그 단서에서 규정하고 있는 예외적 사정이 없는 한 민감정보를 의무적으로 제공하도록 규정하고 있으므로, 법정의견과 같이 개인정보 보호법 제18조 제2항에서 규정한 제공요건(‘정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 것’)도 추가로 충족되어야 비로소 제공할 수 있다고 볼 여지는 없다고 보이는 점[법정의견에 따를 경우, 압수수색영장이 발부되거나(제6호) 법원의 문서제출명령이 있거나(7호) 지방병무청장의 기록 제출 요구가 있음에도(10호) ‘정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때’에는 기록 사본 교부 등을 거부할 수 있게 되는바, 이는 의료법 제21조 제3항의 법문에 반할 뿐만 아니라 각 그 제도의 취지에도 반한다] 등에 비추어 볼 때, 개인정보처리자가 민감정보를 제공하기 위해서는 개인정보 보호법 제23조 제1항에서 규정한 요건만 충족하면 족하다고 보아야 한다.
8. 재판관 김창종, 재판관 조용호의 이 사건 정보제공행위에 대한 반대의견
우리는 이 사건 정보제공행위가 과잉금지원칙에 위배되어 청구인들의 개인정보자기결정권을 침해하지 않는다고 생각하므로, 다음과 같이 그 이유를 밝힌다.
가. 목적의 정당성 및 수단의 적합성
법정의견이 밝힌 바와 같이, 이 사건 정보제공행위는 청구인들이 언제 어느 요양기관을 방문하였는지에 관한 정보를 서울용산경찰서장에게 제공함으로써, 서울용산경찰서장이 체포영장이 발부된 피의자인 청구인들의 소재를 신속하게 파악하여 적시에 청구인들을 검거할 수 있도록 하고 이를 통하여 국가형벌권의 적정한 수행에 기여하기 위한 것이므로, 그 목적의 정당성과 수단의 적합성이 인정된다.
나. 침해의 최소성
(1) 먼저 이 사건 정보제공행위가 ‘청구인들의 민감정보를 제공받는 것이 범죄의 수사를 위하여 불가피할 것’이라는 요건을 갖추었는지 여부를 살펴본다.
(가) 이 사건 기록에 의하면, 청구인들은 철도노조의 간부들로서 조합원들의 불법파업을 주동하고 있다는 업무방해 혐의의 피의자들이었고, 법원은 2013. 12. 16. 청구인들이 업무방해죄를 범하였다고 의심할 만한 상당한 이유가 있고 도주 및 증거인멸의 우려가 인정된다는 이유로 청구인들에 대하여 체포영장을 발부하였다. 따라서 이 사건 정보제공행위 당시 청구인들에 대하여 상당히 구체적인 혐의가 인정되는 상황이었다.
한편, 수사기관으로서는 체포영장의 유효기간 내에 청구인들의 소재를 파악하여 영장을 집행하여야 하고, 도주 중인 청구인들의 소재는 수시로 언제든지 변할 수 있는 것이므로, 다양한 방법 또는 경로를 통하여 신속하게 청구인들의 소재 또는 예상 이동 경로를 파악하는 데 도움이 될 수 있는 모든 정보를 수집하여 종합적으로 살펴볼 필요가 있었다.
서울용산경찰서장은 통신비밀보호법 제13조 제1항, 제2항에 따라 전기통신사업자에게 청구인들의 명의로 된 휴대폰의 위치를 확인할 수 있는 발신기지국의 위치추적자료를 제출할 것을 요청하고, 국민건강보험공단에도 청구인들의 요양급여내역을 요청하는 등으로 수사를 진행하였다. 그런데 청구인들의 명의로 된 휴대폰의 위치를 확인할 수 있는 발신기지국의 위치추적자료가 청구인들의 소재를 파악하기 위해 가장 유용한 정보이기는 하나, 청구인들이 그 명의의 휴대폰을 소지하고 있지 않을 가능성도 있고, 소지하고 있다고 하더라도 언제든지 전원을 끄고 위치를 이동할 수 있는 것이므로, 위치추적자료가 있다고 하여 다른 정보를 수집할 필요성이 없다
고 단정하기 어렵다. 특히 청구인 박○만의 경우 그 명의로 확인된 휴대폰의 전원이 꺼져있어 전기통신사업자로부터 위치추적자료를 제공받지 못하였고 달리 청구인 박○만의 소재를 확인할 수 있는 정보가 없었으므로, 청구인 박○만이 언제 어느 요양기관을 방문하였는지에 관한 정보를 파악할 필요성이 더욱 컸다.
법정의견은 서울용산경찰서장이 청구인들의 휴대폰 위치를 확인할 수 있는 발신기지국의 위치추적자료를 제공받았거나 이에 대한 수사를 계속하고 있는 사정을 들어 이 사건 요양급여정보를 제공받는 것이 불가피한 경우가 아니었다고 하나, 요양급여정보제공이 최후의 보충적인 수사방법으로 기능하여야 한다는 법적 근거가 없을 뿐만 아니라, 우리 헌법재판소가 법정의견으로 통신사실 확인자료 및 기지국 수사에 관한 통신비밀보호법상 관련 조항이 헌법에 합치되지 아니한다고 선언한 이상(헌재 2018. 6. 28. 2012헌마191등; 헌재 2018. 6. 28. 2012헌마538등 참조), 헌법에 합치되지 아니하는 기지국수사가 진행되고 있음을 이유로 이 사건 정보제공행위의 불가피성 여부를 판단할 것은 아니다.
따라서 이 사건 정보제공행위 당시 서울용산경찰서장이 체포영장이 발부된 청구인들을 검거하기 위해서 청구인들이 언제 어느 요양기관을 방문하였는지에 관한 정보를 제공받는 것이 불가피한 상황이었다고 볼 수 있다. 또한 국민건강보험공단은 서울용산경찰서장으로부터 철도노조 간부들로서 코레일 불법파업을 주동하였다는 업무방해 등 혐의의 피의자들인 청구인들을 검거하고자 한다는 내용의 요양급여정보제공의 필요성을 명시한 공문을 받았으므로, 청구인들이 피의자들로서 상당한 혐의가 인정되어 검거의 대상이라는 사정을 충분히 알 수 있었던 것으로 보이고, 서울용산경찰서장에게 제공된 청구인들의 요양급여 관련 정보는 청구인들의 소재지 파악을 위하여서만 사용된 것으로 보인다.
(나) 한편, 실무상 국민건강보험공단은 ‘외부기관 개인정보자료 제공지침’이 정한 엄격한 절차에 따라 불특정대상자에 대한 개인정보나 정보주체의 기본권을 침해할 우려가 큰 특수상병에 관한 개인정보 등은 압수ㆍ수색 영장에 의한 경우에만 제공하고 있고, 그 밖의 개인정보의 경우에도 사건번호 및 구체적인 수사목적을 밝힌 경우에만 목적에 필요한 최소한의 범위로 한정하여 제공하고 있는바, 이 사건에 있어서도 국민건강보험공단은 서울용산경찰서장이 ‘상병명, 요양기관명, 병원 내방 기록’의 제공을 요청하였음에도, 위와 같은 검거 목적에 필요한 최소한의 정보에 해당하는 ‘급여일자와 요양기관명’만을 제공하였으므로, 청구인들의 개인정보자기결정권에 대한 침해를 최소화하였다고 볼 수 있다.
또한 국민건강보험공단은 서울용산경찰서장이 요청한 대로 요청일로부터 소급하여 ‘약 2~3년 동안’의 요양급여정보를 제공하였는데, 법정의견은 위 기간이 상당한 기간을 넘어선다고 지적한다. 그러나 수사기관으로서는 위와 같은 정보를 토대로 청구인들이 주로 다녀간 병원의 위치를 분석하여 실제 생활근거지를 파악하거나 다시 방문할 가능성이 있는 병원을 미리 예측할 수 있고, 일반적으로 통상의 사람들에게병원 내방이 자주 있는 일은 아닐 뿐만 아니라, 요양급여정보 요청일 또는 제공일에 근접한 시기의 요양기관은 수사기관이 주목할 곳이어서 오히려 청구인들이 그 이용을 기피할 가능성이 높으므로, 청구인들의 병원 내방 유무를 파악하기 위해 약 2~3년 동안의 요양급여정보를 제공한 것이 불필요하다거나 과도하다고 보기 어렵다.
(다) 법정의견은 국민건강보험공단이 서울용산경찰서장에게 제공을 요청하는 요양급여정보의 구체적인 항목과 필요성, 다른 방법으로 청구인들의 소재를 파악할 수 없어 각 요양급여정보를 이용하는 것이 불가피한 사유 등을 추가로 밝힐 것을 요구하지 아니하였음을 탓하고 있다. 그러나 청구인들의 소재 파악을 위한 방법은 수사기관이 판단할 문제이지 국민건강보험공단에서 판단할 문제는 아니고, 요양급여정보 제공요청이 보충적 수사방법도 아니며, 더욱이 국민건강보험관리공단이 청구인들의 요양급여 관련 정보 중 수사에 필요한 정보만을 구분하여 제공할 것을 기대하기는 사실상 곤란할 뿐만 아니라 수사기관의 사실조회행위의 필요성 내지 적정성 등에 대하여 실질적인 심사권이 있는 것도 아니므로, 수긍하기 어렵다.
(라) 결국 서울용산경찰서장은 체포영장이 발부된 청구인들을 검거하기 위해서 청구인들이 언제 어느 요양기관을 방문하였는지에 관한 정보를 제공받는 것이 불가피한 상황이었고, 국민건강보험공단은 청구인들의 소재를 파악하기 위해서 필요한 최소한의 정보를 제공한 것으로 볼 수 있으므로, 이 사건 정보제공행위는 ‘청구인들의 민감정보를 제공받는 것이 범죄의 수사를 위하여 불가피할 것’이라는 요건을 갖춘 것으로 보인다.
(2) 다음으로, 이 사건 정보제공행위가 ‘정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 것’이라는 요건을 갖추었는지 살펴본다.
국민건강보험공단이 서울용산경찰서장에게 제공한 급여일자와 요양기관명은 청구인들의 건강에 관한 정보이기는 하나, 청구인들의 건강 상태에 관한 막연한 추측을 할 수 있을 정도의 추상적인 정보에 불과하므로 그 자체로 개인의 정신이나 신체에 관한 단점을 나타내는 상병명이나 구체적인 진료내역과 같은 정도로 보호의 필요성이 높다고 보기는 어렵다. 또한 이 사건 정보제공행위가 청구인들 외에 제3자의 이익을 침해할 가능성이 있다는 사정도 발견할 수 없다.
한편 ‘개인정보 보호법’은 개인정보처리자로부터 개인정보를 제공받은 자가 개인정보를 제공받은 목적 외의 용도로 이용하거나 다시 제3자에게 제공하는 것을 금지하고 있고(제19조), 개인정보를 처리하거나 처리하였던 자가 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위를 금지ㆍ처벌하고 있다(제59조 제2호, 제71조 제5호). 또한 형사소송법은 검사ㆍ사법경찰관리와 그 밖의 직무상 수사에 관계있는 자는 피의자 또는 다른 사람의 인권을 존중하고 수사과정에서 취득한 비밀을 엄수하여야 한다고 규정하고 있다(제198조 제2항). 따라서 이 사건 정보제공행위에 의하여 제공된 요양급여정보가 수사에 필요한 범위 내에서만 사용되고 유출ㆍ남용되는 것을 방지하기 위한 제도적 장치도 마련되어 있다.
이와 같은 사정에 더하여 서울용산경찰서장이 체포영장이 발부된 피의자인 청구인들의 소재를 신속하게 파악하여 적시에 청구인들을 검거할 수 있도록 하고 이를 통하여 국가형벌권의 적정한 수행에 기여하고자 하는 공익은 매우 중대한 점을 고려할 때, 이 사건 정보제공행위가 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있는 경우에 해당한다고 보기 어렵다.
(3) 그렇다면 이 사건 정보제공행위는 이 사건 정보제공조항 등이 정한 요건에 부합하는 적법한 행위로서 청구인들의 개인정보자기결정권에 대한 침해를 최소화한 것으로 볼 수 있으므로, 침해의 최소성에 위배되지 않는다.
다. 법익의 균형성
이 사건 정보제공행위에 의하여 청구인들은 그들의 동의 없이 언제 어느 요양기관을 방문하였는지에 관한 정보가 수사기관에 제공되는 불이익을 받았으나, 체포영장이 발부된 청구인들을 검거하여 국가형벌권의 적정한 수행에 기여하고자 하는 공익은 이와 같은 청구인들의 사익의 제한보다 훨씬 크고 중요한 것이므로 이 사건 정보제공행위는 법익의 균형성도 갖추었다.
라. 소결
이 사건 정보제공행위는 과잉금지원칙에 위배되어 청구인들의 개인정보자기결정권을 침해하였다고 볼 수 없다.
재판관 이진성 김이수 김창종 안창호 강일원 서기석 조용호 이선애 유남석
[별지] 관련조항
개인정보 보호법(2017. 7. 26. 법률 제14839호로 개정된 것)
제18조(개인정보의 목적 외 이용ㆍ제공 제한) ① 개인정보처리자는 개인정보를 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.
② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다.
1. 정보주체로부터 별도의 동의를 받은 경우
2. 다른 법률에 특별한 규정이 있는 경우
3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
4. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우
5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우
6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우
7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우
8. 법원의 재판업무 수행을 위하여 필요한 경우
9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우
③ 개인정보처리자는 제2항 제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.
1. 개인정보를 제공받는 자
2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)
3. 이용 또는 제공하는 개인정보의 항목
4. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)
5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
④ 공공기관은 제2항 제2호부터 제6호까지, 제8호 및 제9호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 행정안전부령으로 정하는 바에 따라 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.
⑤ 개인정보처리자는 제2항 각 호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다.
제23조(민감정보의 처리 제한) ① 개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.
1. 정보주체에게 제15조 제2항 각 호 또는 제17조 제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우