헌재 2015. 6. 25. 선고 2014헌마463 결정문 [정보통신망 이용촉진 및 정보보호 등에 관한 법률 제23조의2 제1항 제1호 위헌확인]

청구인은 2010. 6. 30. 주식회사 ○○와 휴대전화서비스 이용계약을 체결하면서 주식회사 ○○에 주민등록번호를 제공한 이용자이다. 주민등록번호는 정보통신서비스 제공자에 의하여 관행적으로 수집·이용되어 왔는데, 2012. 2. 17. 법률 제11322호로 개정된 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제23조의2 제1항은 정보통신서비스 제공자가 이용자의 주민등록번호를 수집·이용하는 것을 원칙적으로 금지하고, 다만 같은 항 제1호에서 본인확인기관으로 지정된 정보통신서비스 제공자는 예외적으로 이용자의 주민등록번호를 수집·이용할 수 있도록 규정하였다. 방송통

신위원회는 2013. 1. 3. 주식회사 □□, △△ 주식회사, 주식회사 ○○를 본인확인기관으로 지정하였다. 한편 청구인은 2014. 5. 19. 주식회사 ○○의 홈페이지를 통해서 주식회사 ○○가 보관하던 자신의 주민등록번호가 유출되었다는 것을 확인하고 다른 정보통신서비스 제공자와 휴대전화서비스 이용계약을 체결하려고 하였다.

청구인은 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제23조의2 제1항 제1호 때문에 휴대전화서비스 이용계약을 체결하기 위해서는 본인확인기관으로 지정된 정보통신서비스 제공자에게 자신의 주민등록번호를 제공할 수밖에 없어서 자신의 개인정보자기결정권이 침해되었다고 주장하면서 2014. 6. 13. 이 사건 헌법소원심판을 청구하였다.

2. 심판대상

이 사건 심판대상은 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(2012. 2. 17. 법률 제11322호로 개정된 것, 이하 ‘정보통신망법’이라 한다) 제23조의2 제1항 제1호(이하 ‘심판대상조항’이라 한다)가 청구인의 기본권을 침해하여 헌법에 위반되는지 여부이다. 심판대상조항의 내용은 다음과 같고, 관련조항의 내용은 [별지]와 같다.

[심판대상조항]

정보통신망 이용촉진 및 정보보호 등에 관한 법률(2012. 2. 17. 법률 제11322호로 개정된 것)

제23조의2(주민등록번호의 사용 제한) ① 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 이용자의 주민등록번호를 수집·이용할 수 없다.

1. 제23조의3에 따라 본인확인기관으로 지정받은 경우

3. 청구인의 주장

가. 심판대상조항은 주민등록번호 수집·이용의 목적, 절차, 접근권자에 대해 전혀 기술하지 않고 입법취지나 관련 법조항에 의해서도 이를 예측할 수 없으므로 명확성원칙에 위배된다.

나. 심판대상조항의 입법목적은 민간 사업자에 불과한 본인확인기관으로 하여금 이용자의 주민등록번호를 사용하지 아니하고 본인을 확인하는 방법, 즉 대체수단을 쉽게 개발할 수 있도록 하는 것으로, 목적의 정당성 자체가 인정되지 않는다. 본인확인기관으로 하여금 주민등록번호에 기반을 둔 대체수단을 개발하게 하는 것은 주민등록번호에 대한 의존도를 심화시킬 뿐이고 이미 유출된 주민등록번호가 부정 사용될 가능성도 있으므로 수단의 적합성도 인정되지 않는다. 본인확인을 위하여 신원정보를 포함하는 주민등록번호의 수집이 반드시 필요한 것은 아니라는 점, 신원정보가 필요하다고 하더라도 생년월일, 성별, 출생지 등 개인정보를 요구하거나 정보통신서비스의 성격에 따라 다양한 본인확인방법을 개발하는 등 덜 침해적인 대체수단이 존재한다는 점, 본인확인기관에 대하여 주민등록번호 처리와 관련한 아무런 통제를 하지 않는다는 점에서 심판대상조항은 침해의 최소성이 인정되지 않는다. 민간 사업자인 본인확인기관이 주민등록번호를 수집·이용하게 됨으로써 얻을 수 있는 공익은 불분명한 반면, 청구인의 개인정보자기결정권에 대한 제한은 매우 중대하다. 따라서 심판대상조항은 과잉금지원칙을 위배하여 청구인의 개인정보자기결정권을 침해한다.

4. 판단

가. 심판대상조항의 도입배경 및 내용

(1) 심판대상조항이 도입되기 전까지 본래 행정목적으로 발급되었던 주민등록번호는 개인 식별의 편의성 덕분에 공공·민간 영역에서 관행적으로 수집·이용되고 있었다. 그런데 최근 정보통신서비스 제공자의 부주의와 해킹 등으로 국내 웹사이트에서 대규모 개인정보 유출 사고가 발생하여 개인정보에 대한 사회적 불안감이 고조되었으며, 유출된 개인정보는 명의도용, 신분증 위조, 보이스피싱 등 범죄에 악용되어 2차 피해를 낳게 되었다.

이에 따라 개인정보 유출로 말미암은 피해 방지를 위하여 2012. 2. 17. 법률 제11322호로 정보통신망법이 개정되면서 심판대상조항에서 주민등록번호의 수집·이용을 원칙적으로 금지한 후 예외적인 경우에 허용하게 되었다.

(2) 심판대상조항은 정보통신서비스 제공자가 이용자의 주민등록번호를 수집·이용하는 것을 원칙적으로 금지한 후, 정보통신서비스 제공자가 정보통신망법 제23조의3에 따라 본인확인기관으로 지정받은 경우 예외적으로 이를 허용하고 있다. 정보통신망법은 2012. 2. 17. 개정되어 6개월이 경과한 2012. 8. 18.부터 시행되었는데{정보통신망법 부칙(2012. 2. 17. 법률 제11322호, 이하 ‘부칙’이라 한다) 제1조}, 정보통신서비스 제공자는 주민등록번호를 신규로 수집하지 못하고, 기존에 보유하고 있던 주민등록번호는 시행일로부터 2년 후인 2014. 8. 17.까지 파기하여야 한다(부칙 제2조 제1항). 다만 정보통신망법 제23조의3에 따라 본인확인기관으로 지정받은 경우 위 파기의무가 면제되었다(부칙 제2조 제1항 단서). 예외에 해당하지 않는 정보통신서비스 제공자가 정보통신망법 제23조의2 제1항을 위반하여 주민등록번호를 수집·이용하거나, 2014. 8. 17.까지 보유하고 있는 주민등록번호를 파기하지 아니한 경우 3천만 원 이하의 과태료가 부과된다(정보통신망법 제76조 제1항 제2호, 부칙 제2조 제

2항).

방송통신위원회는 이용자의 주민등록번호를 사용하지 아니하고 본인을 확인하는 방법(이하 ‘대체수단’이라 한다)의 개발·제공·관리 업무(이하 ‘본인확인업무’라 한다)를 안전하고 신뢰성 있게 수행할 능력이 있다고 인정되는 자를 본인확인기관으로 지정할 수 있다(정보통신망법 제23조의3 제1항). 현재 정보통신망법에 따라 지정된 본인확인기관은 ○○평가정보 주식회사, □□평가정보 주식회사, ▽▽주식회사{이하 ‘아이핀(I-PIN) 인증 본인확인기관’이라 한다}, 주식회사 □□, △△ 주식회사, 주식회사 ○○(이하 ‘휴대전화 인증 본인확인기관’이라 한다)이다. 위 본인확인기관은 심판대상조항에 의해 합법적으로 이용자의 주민등록번호를 수집·이용할 수 있다. 이용자는 위 본인확인기관에 주민등록번호를 한 번 제공하고 나면, 개별 정보통신서비스 제공자의 웹사이트에 가입하기 위하여 또는 법령상 의무를 준수하기 위하여 본인확인이 필요할 때 별도로 자신의 주민등록번호를 제공할 필요가 없다.

나. 쟁점의 정리

(1) 개인정보자기결정권은 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리로서, 헌법 제10조 제1문에서 도출되는 일반적 인격권 및 헌법 제17조의 사생활의 비밀과 자유에 의하여 보장된다. 이와 같이 개인정보의 공개와 이용에 관하여 정보주체 스스로가 결정할 권리인 개인정보자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있다. 또한, 그러한 개인정보를 대상으로 한 조사·수집·보관·처리·이용 등의 행위는 모두 원칙적으로 개인정

보자기결정권에 대한 제한에 해당한다(헌재 2005. 7. 21. 2003헌마282 참조).

심판대상조항은 본인확인기관으로 지정된 정보통신서비스 제공자에게 이용자의 주민등록번호를 수집·이용할 수 있는 권한을 부여하고 있고, 본인확인기관은 주민등록번호의 수집·이용시 이용자의 동의를 받아야 한다(정보통신망법 제22조 제1항). 휴대전화서비스를 이용하려는 사람이 휴대전화 인증 본인확인기관에 주민등록번호를 제공하는 것에 동의하지 않을 경우 결국 휴대전화서비스를 이용하지 못하게 되어 주민등록번호의 제공이 사실상 강제되고 있으므로, 심판대상조항은 이용자가 자신의 개인정보인 주민등록번호에 대한 수집·이용에 관하여 스스로 결정할 권리인 개인정보자기결정권을 제한한다.

(2) 청구인은 심판대상조항이 주민등록번호 수집·이용의 목적, 절차, 접근권자를 명시하지 않아 명확성원칙에 위배된다고 주장하나, 이는 심판대상조항 자체의 불명확성을 다투는 것이라기보다는 심판대상조항 및 관련 조항들이 주민등록번호 수집·이용의 목적, 절차, 접근권자를 엄격하게 규정하지 않은 결과 개인정보자기결정권이 과도하게 제한된다는 취지로 이해되는바, 심판대상조항이 과잉금지원칙에 위배하였는지 여부에서 살펴보기로 한다.

그리고 청구인은 심판대상조항이 본인확인기관으로 하여금 불특정한 목적을 위하여 개인정보를 미리 수집하게 하고 있어 목적구속성 원칙에 위배된다고 주장하나, 이는 특정된 목적의 달성에 필요한 최소한의 범위에서 개인정보가 수집·이용되어야 한다는 취지에 다름 아니므로 과잉금지원칙 위배 여부에서 살펴본다.

(3) 그렇다면 이 사건의 쟁점은 심판대상조항이 과잉금지원칙을 위배하여 청구인의 개인정보자기결정권을 침해하는지 여부이므로, 이를 살펴본다.

다. 개인정보자기결정권 침해 여부

(1) 입법목적의 정당성 및 수단의 적합성

정보화 사회에서는 대면 접촉이 전제되지 아니한 인터넷을 통하여 공공행정 및 민간 법률관계의 상당 부분이 이루어지므로, 본인확인방법의 안전성과 신뢰성을 확보하는 것은 매우 중요하다. 주민등록번호는 한 번 부여되면 변경될 가능성이 없고 국민 각자에게 고유한 번호로 부여되어 중복되지 않으므로, 인터넷상 대부분의 본인확인은 주민등록번호를 확인하는 방식으로 이루어졌다. 그러나 최근 주민등록번호가 대규모로 유출되어 명의도용, 신분증 위조, 보이스피싱 등 2차 피해가 발생하여 심각한 사회적 문제가 되었다. 이에 인터넷상에서 주민등록번호의 수집·이용을 최소화하는 본인확인방법이 필요하게 되었다.

심판대상조항은 주민등록번호 유출로 말미암은 피해를 최소화하기 위해 정보통신서비스 제공자가 이용자의 주민등록번호를 수집·이용하는 것을 원칙적으로 금지하면서, 본인확인기관으로 지정된 경우에 한하여 예외적으로 본인확인업무를 수행하기 위해 허용하는 것으로서, 입법목적의 정당성이 인정된다.

방송통신위원회에 의하여 안전성과 신뢰성을 인정받은 본인확인기관에 한하여, 주민등록번호에 기반을 두되 이와 구별되는 고유식별정보를 생성하여 본인확인업무를 할 수 있도록 주민등록번호를 수집·이용할 수 있는 권한을 부여한 것은 입법목적 달성을 위한 적절한 수단이다.

(2) 침해의 최소성

(가) 본인확인을 위해서는 개인을 고유하게 구별하기 위하여 부여된 식별정보, 즉 고유식별정보가 필요하다. 고유식별정보에는 주민등록번호, 여권번호, 운전면허번

호, 외국인등록번호가 포함될 수 있고(개인정보 보호법 제24조 제1항, 같은 법 시행령 제19조), 그 밖에 생년월일, 예금계좌번호, 신용카드번호, 건강보험번호 등도 고유식별정보로 활용될 수 있다. 하지만 주민등록번호는 생존하는 국민 모두에게 고유하게 부여되어 그와 연계되어 있다는 점에서 다른 어떤 것보다 정확성과 보편성이 담보되어 있고, 그동안 만연했던 주민등록번호의 수집·이용을 점진적으로 줄여나가는 현 상황에서 주민등록번호를 기반으로 한 현행 대체수단과 같은 정도의 정확성과 신뢰성을 지닌 대체수단은 찾기 어렵다. 또한, 예금계좌번호, 신용카드번호, 건강보험번호 등을 기반으로 한 대체수단이 주민등록번호를 기반으로 한 현행 대체수단보다 개인정보자기결정권에 대한 침해의 정도가 작을 것이라고 단정하기도 어렵다.

심판대상조항에 의하여 주민등록번호를 수집한 본인확인기관은 주민등록번호를 기반으로 한 대체수단을 마련하되, 대체수단이 개인을 묘사하거나 각종 개인정보를 연결하는 연결자(key data)로 작동할 가능성을 최소화하고 있다. 본인확인기관이 주민등록번호를 수집·이용하여 생성하는 정보로는 중복가입확인정보, 연계정보가 있는데, 중복가입확인정보는 웹사이트 식별번호가 포함되어 생성되므로 한 웹사이트 내부에서만 사용되고, 설사 유출사고가 발생한다고 하더라도 웹사이트 간 동일 이용자 구분이 어려우므로 명의도용 등 2차 피해를 예방할 수 있다. 연계정보는 서로 다른 웹사이트 간 동일 이용자 식별 기능을 수행하나, 원래의 입력값인 주민등록번호를 복원할 수 없도록 일방향 암호화되어 있으므로 개인의 신상이나 인격을 묘사하지 않고, 기존에 유출된 주민등록번호와 연계되는 연결자로 기능할 가능성도 작을 것으로 보인다.

(나) 정보통신망법상 개인정보 보호에 관한 조항들은 주민등록번호 수집·이용의

목적, 절차, 접근권자를 다음과 같이 규정함으로써, 이용자의 주민등록번호 제공으로 인한 기본권 제한을 최소화하고 있다.

우선 정보통신망법은 정보통신망의 이용을 촉진하고 정보통신서비스를 이용하는 자의 개인정보를 보호함과 아울러 정보통신망을 건전하고 안전하게 이용할 수 있는 환경을 조성하여 국민생활의 향상과 공공복리의 증진에 이바지함을 목적으로 한다(정보통신망법 제1조). 그리고 무분별한 주민등록번호 수집·이용에 대한 반성적 고려에서 마련된 심판대상조항은 “제23조의3에 따라 본인확인기관으로 지정받은 경우”를 주민등록번호 수집·이용이 예외적으로 허용되는 경우로 규정하는데, 정보통신망법 제23조의3 제1항에 의하면 방송통신위원회는 ‘본인확인업무’를 안전하고 신뢰성 있게 수행할 능력이 있다고 인정되는 자를 본인확인기관으로 지정할 수 있다.

본인확인기관으로 지정된 정보통신서비스 제공자는 이용자의 주민등록번호를 이용하려고 수집하는 경우 개인정보 수집·이용 목적, 수집하는 개인정보의 항목, 개인정보의 보유·이용 기간을 이용자에게 알리고 동의를 받아야 하고(정보통신망법 제22조 제1항), 수집한 개인정보를 이용자로부터 동의받은 목적과 다른 목적으로는 이용할 수 없으며(정보통신망법 제24조), 동의를 받은 개인정보의 수집·이용 목적을 달성하였거나, 동의를 받은 개인정보의 보유 및 이용 기간이 끝난 경우 해당 개인정보를 지체 없이 파기하여야 한다(정보통신망법 제29조 제1항 제1호, 제2호). 정보통신서비스 제공자가 이러한 의무를 위반할 경우 과징금 및 형사처벌을 받게 된다(정보통신망법 제64조의3 제1항 제1호, 제3호, 제71조 제1호, 제3호, 제73조 제1호의2).

정보통신서비스 제공자는 이용자의 개인정보를 보호하고 개인정보와 관련한 이용자의 고충을 처리하기 위하여 개인정보 관리책임자를 지정하여야 하고, 개인정보

관리책임자가 지정되지 아니하는 경우에는 그 사업주 또는 대표자가 개인정보 관리책임자가 되며, 정보통신서비스 제공자 등은 개인정보를 취급하는 자를 최소한으로 제한하여야 한다(정보통신망법 제27조, 제28조 제2항). 이용자의 개인정보를 취급하고 있거나 취급하였던 자는 직무상 알게 된 개인정보를 훼손·침해 또는 누설하여서는 안 되고, 이를 위반할 경우 형사처벌을 받게 된다(정보통신망법 제28조의2 제1항, 제71조 제5호). 이처럼 정보통신망법은 이용자의 주민등록번호 제공으로 인한 기본권의 제한을 최소화하기 위한 장치들을 두고 있다.

(다) 한편 주민등록번호의 수집·이용을 통한 본인확인업무를 민간 사업자가 담당할 수 있도록 한 것이 침해의 최소성 원칙에 위배되는 것인지를 살펴본다.

정보통신망법 제23조의3 및 같은 법 시행령 제9조의3 등에 근거하여 마련된 ‘본인확인기관 지정 등에 관한 기준’(이하 ‘지정기준’이라 한다)에 의하면, 국가기관, 지방자치단체, 법인 또는 단체가 본인확인기관 지정을 신청할 수 있다(지정기준 제2조 제2호). 이에 따라 현재 정보통신망법에 근거하여 방송통신위원회가 지정한 본인확인기관은 모두 주식회사 형태의 법인이다. 아이핀 인증 본인확인기관은 신용조회업무를 영위하면서 신용정보집중기관 및 금융기관으로부터 주민등록번호를 받아 왔고, 휴대전화 인증 본인확인기관은 휴대전화 기기 할부거래 및 요금 결제 등의 명목으로 주민등록번호를 보유하고 있었다. 위 본인확인기관들은 이용자별 주민등록번호와 아이핀 아이디 혹은 주민등록번호와 휴대전화 번호가 연계된 데이터베이스를 구축해 오고 있어서, 본인확인업무 수행을 위하여 별도로 개인정보를 수집하는 등의 절차를 거칠 필요가 없었다. 반면 국가기관 및 지방자치단체에서 본인확인업무를 담당할 경우에는 별도로 데이터베이스를 구축해야 하는 부담이 있다. 특히 가장 보편적

으로 활용되고 있는 본인확인방법인 휴대전화 인증의 경우, 이용자의 주민등록번호와 휴대전화 번호를 함께 수집하여야 하는데, 이와 같은 데이터베이스를 따로 구축하는 데에는 상당한 기간과 비용이 소요될 수 있다.

정보통신망법은 본인확인기관으로 지정된 민간 사업자에게 주민등록번호 수집 권한을 부여하면서도, 본인확인업무의 안전성 및 신뢰성을 담보하기 위한 규정을 두고 있다. 본인확인기관으로 지정을 받기 위해서는 본인확인업무의 안전성 확보를 위한 물리적·기술적·관리적 조치계획, 본인확인업무의 수행을 위한 기술적·재정적 능력, 본인확인업무 관련 설비규모의 적정성에 관한 심사를 받아야 한다(정보통신망법 제23조의3 제1항, 같은 법 시행령 제9조의3). 방송통신위원회는 관련 분야의 학식과 경험이 풍부한 자를 10명 이내의 범위에서 심사위원으로 위촉하여 심사하게 할 수 있고, 서류심사와 현장실사를 실시하여 모든 심사사항이 적합한 지정신청기관을 지정대상기관으로 선정한다(지정기준 제8조, 제9조). 방송통신위원회는 사후관리 차원에서 본인확인기관이 본인확인업무를 적정하게 추진하고 있는지, 정보통신망법 시행령 제9조의3의 심사기준에 적합한지를 확인하기 위하여 본인확인기관에 대해 관련 자료의 제출을 요구하거나 현장실사를 할 수 있다(지정기준 제12조).

이처럼 정보통신망법 및 관련 법령은 민간 사업자에 대하여 본인확인기관 지정 신청자격을 부여하면서, 이들이 수행하는 본인확인업무의 안전성과 신뢰성을 확보하기 위한 여러 조치를 둠으로써 그로 인한 침해를 최소화하고 있다고 할 수 있다.

(라) 따라서 심판대상조항은 침해의 최소성에 위배되지 아니한다.

(3) 법익의 균형성

심판대상조항에 의하여 이용자는 본인확인기관에 자신의 주민등록번호를 제공

하게 되나, 본인확인기관이 아닌 정보통신서비스 제공자들은 주민등록번호를 전혀 수집하지 못하고 일방향 암호화된 중복가입확인정보, 연계정보 등만을 수집할 수 있다는 점, 본인확인기관으로 지정된 정보통신서비스 제공자는 본인확인업무를 위한 한정된 목적에 따라 이용자의 동의를 받아 그가 동의한 기간에만 주민등록번호를 수집할 수 있다는 점을 고려할 때, 심판대상조항으로 인하여 침해되는 사익은 크지 않다고 할 수 있다. 반면 무분별한 주민등록번호 수집에 대한 반성적 고려에서 마련된 심판대상조항이 달성하고자 하는 대체수단의 개발·제공·관리라는 공익이 중요한 것임은 명백하다. 따라서 심판대상조항으로 인해 제한되는 사익에 비하여 달성되는 공익이 크다는 점에서 심판대상조항은 법익의 균형성을 충족한다.

(4) 소결

심판대상조항은 과잉금지원칙에 반하여 청구인의 개인정보자기결정권을 침해하지 않는다.

5. 결론

그렇다면 이 사건 심판청구는 이유 없으므로 이를 기각하기로 하여, 관여 재판관 전원의 일치된 의견으로 주문과 같이 결정한다.