「개인정보 보호법」은 데이터의 이용을 활성화하면서도 정보주체의 개인정보자기결정권을 보호할 수 있도록 제28조의2를 신설하여 공익적 기록보존, 과학적 연구, 통계작성 등 제한적 목적하에 정보주체의 의사와 무관하게 개인식별정보를 가명처리하여 이용할 수 있도록 하였다. 이러한 가명정보의 처리에는 정보주체의 처리정지권 등 재식별을 전제로 행사할 수 있는 열람/통지권 등을 배제하였다. 그러나 가명정보의 생성에는 ‘가명처리(가명화)’가 필수 불가결한 요건임에도 불구하고 최근 법원은 ‘가명처리’와 ‘가명정보의 처리’를 구분하여 식별(가능)정보의 가명처리에는 정보주체의 처리정지권이 배제되지 않고 인정된다고 하였다. 따라서 제28조의2의 공익적 기록보존 등 제한된 목적을 위하여 개인식별정보를 가명처리하는 것이 정보주체의 처리정지권의 행사로 인해 불가능해질 수 있다. 이는 정보주체의 의사와 무관하게 제한된 목적하에 가명정보를 처리할 수 있도록 규정한 제28조의2의 실효성을 약화시키며 입법 취지를 희석화시킬 수 있다. 본고에서는 정보주체의 권리의 법적 성격과 처리정지권의 의미를 검토하고 제28조의2와 처리정지권에 대한 법원 판결의 쟁점과 문제점을 분석한다. 그리고 해결과제로써 ‘가명처리’와 ‘처리정지권’의 바람직한 해석 방향과 해석의 혼란을 방지하기 위한 입법과제를 제안하였다.
In order to facilitate the use of data while protecting the right to self-determination of personal information, the Personal Information Protection Act established Article 28-2 (Processing of Pseudonymized Information), which allows the pseudonymisation of personally identifiable information for limited purposes such as public record-keeping, scientific research, and statistical compilation, without the consent of data subjectst. However, despite the fact that pseudonymisation is an indispensable requirement for the creation of pseudonymized information, the court recently distinguished between ‘pseudonymisation’ and ‘processing of pseudonymized information’ and held that the pseudonymisation of identifiable information does not exclude the right of the information subject to suspend processing. Therefore, the pseudonymisation of personally identifiable information for the limited purposes of Article 28-2 may become impossible due to the exercise of the information subject’s right to suspend processing. This would undermine the effectiveness of Article 28-2, which provides that pseudonymized information may be processed for limited purposes regardless of the data subject’s will, and dilute the legislative intent. This article examines the legal nature of the data subject’s rights and the meaning of the right to suspend processing, and analyzes the issues and problems in court decisions on Article 28-2 and the right to suspension of processing of personal information. It also suggests the desirable interpretation direction of ‘pseudonymisation’ and ‘right to suspension of processing of personal information’ as a solution, and legislative tasks to prevent confusion in interpretation.