GUIDELINES ON THE PROTECTION OF PRIVACY AND TRANSBORDER FLOWS OF PERSONAL DATA
1980년 9월
경제협력개발기구(OECD)
* 번역 : http://www.kisa.or.kr/policy/sub2/OECD%BF%F8%C4%A2.htm
제1장 총 칙
정의
[1] 이 가이드라인에서
(a) 『데이터관리자』라 함은 국내법에 의하여 개인데이터의 내용 및 이용에 관하여 결정권한을 갖는 자를 말하며 그 데이터가 관리자 또는 그 대리인에 의하여 수집·저장·처리 또는 유포되는지 여부는 불문한다.
(b) 『개인데이터』라 함은 식별되거나 식별될 수 있는 개인(데이터주체)에 관한 모든 정보를 말한다.
(c) 『개인데이터의 국제유통』이라 함은 국경을 넘어 개인데이터가 이동하는 것을 말한다.
적용범위
[2] 이 가이드라인은 처리형태 내지 그 성질 또는 이용의 전후관계로 보아 개인의 프라이버시와 자유에 대하여 위험성이 있는 공적 또는 사적부문의 개인데이터에 적용한다.
[3] 이 가이드라인은 다음 사실을 방해하는 것으로 해석하지 못한다.
(a) 다른 범주의 개인데이터에 대하여 그 성질, 수집, 저장, 처리 및 유포상의 관련성에 따라 다른 보호조치를 적용하는 것
(b) 개인의 프라이버시와 자유에 대하여 명확하게 어떠한 위험성도 내포하고 있지 않은 개인데이터에 가이드라인의 적용을 제외하는 것
(c) 개인데이터의 자동처리에 대해서만 가이드라인을 적용하는 것
[4] 제2장 및 제3장에 기재된 가이드라인의 제원칙에 대한 예외는 국가주권, 국가안전보장 및 공공 질서에 관계되는 것을 포함하며
(a) 가능한 한 적게 할 것
(b) 공중에게 주지시킬 것
[5] 연방국가라는 특별한 경우에 가이드라인의 준수는 연방제로 인한 권한의 분할에 의하여 영향을 받을 수 있다.
[6] 가이드라인은 최소한의 기준으로 간주하여야 하며 프라이버시와 개인 자유의 보호를 위하여 다른 조치를 추가할 수 있다.
제2장 국내적용상의 기본원칙
수집제한의 원칙
[7] 개인데이터의 수집에는 제한을 두어야 한다. 어떠한 개인데이터도 합법적이고 공정한 절차에 의하고 가능한 경우에는 데이터주체에게 알리거나 동의를 얻은 연후에 수집하여야 한다.
정보내용정확성의 원칙
[8] 개인데이터는 그 이용목적에 부합되는 것이어야 하며 이용목적에 필요한 범위안에서 정확하고 완전하며 최신의 것이어야 한다.
목적명확화의 원칙
[9] 개인데이터의 수집목적은 늦어도 수집시까지 명확화되어야 한다. 그 후의 이용은 수집목적의 실현 또는 수집목적과 양립되어야 하고 목적이 변경될 때마다 명확화될 수 있는 것으로 제한되어야 한다.
이용제한의 원칙
[10] 개인데이터는 제9조에 의하여 명확화된 목적이외에 목적을 위하여 개시, 이용, 기타 사용에 제공되어서는 안된다. 다만, 다음과 같은 경우에는 그러하지 아니하다.
(a) 데이터주체의 동의가 있는 경우
(b) 법률의 규정에 의한 경우
안전확보의 원칙
[11] 개인데이터는 그 분실 또는 불법적인 액세스, 파괴, 사용, 수정, 개시 등의 위험에 대하여 합리적인 안전조치를 함으로써 보호하여야 한다.
공개의 원칙
[12] 개인데이터와 관련된 개발, 실시, 정책에 대하여는 일반적인 공개정책을 취하여야 한다. 개인데이터의 존재, 성질 및 그 주요 이용 목적과 함께 데이터관리자의 식별, 주소를 명확하게 하기 위한 수단은 용이하게 이용할 수 있어야 한다.
개인참가의 원칙
[13] 개인은 다음 권리를 갖는다.
(a) 데이터관리자가 자기에 관한 데이터를 갖고 있는지 여부에 대하여 데이터관리자 또는 기타의 자로부터 확인을 받을 권리
(b) 개인에 관한 데이터를 다음과 같이 본인에게 통지하도록 하는 권리
(ⅰ) 합리적인 기간내에
(ⅱ) 만일 필요하다면 과다하지 않은 비용으로
(ⅲ) 합리적인 방법과
(ⅳ) 알기 쉬운 형태로
(c) 위의 (a) 및 (b)의 요구가 거부당한 경우에는 그 이유를 밝히도록 하고 이와 같은 거부에 대하여 이의를 제기하는 권리
(d) 자기에 관한 데이터에 대하여 이의를 제기하고 그 이의가 인정되지 않을 경우에는 그 데이터를 소각, 수정, 완전화, 보완하게 하는 권리.
책임의 원칙
[14] 데이터관리자는 위의 제원칙을 실시하기 위한 조치에 따를 책임이 있다.
제3장 국제적 적용상의 기본원칙
- 자유로운 유통과 합법적 제한
[15] 가맹국은 대인데이터의 국내에서의 처리 및 그 재유출이 다른 가맹국에 미칠 영향에 대하여 배려하여야 한다.
[16] 가맹국은 단순한 통과도 포함된 개인데이터의 국제유통이 저해되지 않고 안전하도록 하기 위하여 모든 합리적이고 적정한 수단을 강구하여야 한다.
[17] 가맹국은 자국과 다른 가맹국간의 개인데이터 국제유통의 제한을 억제하여야 하지만 후자가 아직 가이드라인을 실질적으로 준수하고 있지 않을 경우 또는 관계데이터의 재유출이 그 나라의 프라이버시 보호조치를 우회하는 경우에는 예외로 한다. 가맹국은 자국의 프라이버시법제가 그 성격으로 인하여 특별한 규정을 하고 있는 특정한 범주에 속하는 개인데이터에 관하여 또는 다른 가맹국이 그러한 종류의 개인데이터에 대하여 자국의 그것과 동일한 정도의 보호를 하고 있지 않을 경우에는 그 유통을 제한할 수 있다.
[18] 가맹국은 개인의 프라이버시와 자유의 보호라는 명목으로 이들의 보호에 필요한 정도를 넘어 개인데이터의 국제유통에 장애를 만들 수 있는 법률 또는 정책의 설정 및 관행의 실시를 억제하여야 한다.
제4장 국내실시
[19] 제2장 및 제3장에 규정되어 있는 제원칙을 국내에서 실시함에 있어 가맹국은 개인데이터에 관한 프라이버시와 자유의 보호를 위한 법적, 행정적 또는 기타 절차나 제도를 확립하여야 한다. 가맹국은 특히 다음 사항에 대하여 노력하여야 한다.
(a) 적당한 국내법을 제정할 것
(b) 행동규율 기타 형식의 자주규제를 장려하고 지원할 것
(c) 개인에게 그 권리를 행사하는데 필요한 합리적인 수단을 제공할 것
(d) 제2장 및 제3장의 제원칙을 실시하는 조치에 응하지 않을 경우에는 적당한 제재 및 구제수단을 강구할 것
(e) 데이터주체에 대한 부당한 차별이 없도록 할 것
제5장 국제협력
[20] 가맹국은 가이드라인 제원칙의 준수사항에 대하여 요구가 있으면 다른 가맹국에 통보하여야 한다. 가맹국은 또 개인데이터의 국제교류 및 개인의 프라이버시와 자유의 보호에 대한 절차가 간명하여야 하고 가이드라인을 준수하고 있는 다른 가맹국의 그것과 양립하도록 하여야 한다.
[21] 가맹국은 다음 사항을 용이하게 하기 위한 정차를 확립하여야 한다.
(ⅰ) 가이드라인에 관한 정보교환
(ⅱ) 절차적 조사사항에 대한 상호원조
[22] 가맹국은 개인데이터의 국제적 교류에 적용할 수 있는 법률을 제정하기 위하여 국내적, 국제적으로 제원칙이 발전되도록 작업하여야 한다.
