법제처 로고

1. 질의요지

감사원이 국민건강보험공단에 대한 감사가 아닌 다른 감사의 목적으로 「감사원법」 제27조 또는 제30조를 근거로 하여 국민건강보험공단이 보유하고 있는 개인진료내역자료를 요청하여 제공받는 것이 「공공기관의 개인정보보호에 관한 법률」 제10조제1항에 따라 “다른 법률에 따라 보유기관 외의 자에 대하여 이용하게 하거나 제공하는 경우”에 해당하는지?

2. 회답

   감사원이 국민건강보험공단에 대한 감사가 아닌 다른 감사의 목적으로 「감사원법」 제27조 또는 제30조를 근거로 하여 국민건강보험공단이 보유하고 있는 개인진료내역자료를 요청하여 제공받는 것은 「공공기관의 개인정보보호에 관한 법률」 제10조제1항에 따라 “다른 법률에 따라 보유기관 외의 자에 대하여 이용하게 하거나 제공하는 경우”에 해당한다 할 것이나, 해당 개인정보자료의 구체적인 제공범위는 제공의 근거가 되는 “다른 법률”과 관련 법률의 규정 등을 종합하여 판단해야 할 것입니다.

3. 이유

  ○ 「감사원법」 제27조제1항에서는 감사원은 감사상 필요한 때에는 증명서, 관계 문서 및 장부 등의 자료를 제출할 것을 요구할 수 있도록 하고 있고, 「감사원법」 제30조에서는 감사원은 국가 또는 지방자치단체의 기관 기타 감사대상기관의 장에게 감사상 필요한 협조와 지원을 요구할 수 있도록 하고 있으며, 「공공기관의 개인정보보호에 관한 법률」 제10조제1항에서는 개인정보파일의 보유기관의 장은 다른 법률에 따라 보유기관 외의 자에 대하여 이용하게 하거나 제공하는 경우를 제외하고는 해당 개인정보파일의 보유목적 외의 목적으로 처리정보를 이용하게 하거나 제공할 수 없도록 하고 있는바, 이 사안에서는 감사원이 국민건강보험공단에 대한 감사 아닌 다른 감사의 목적으로 「감사원법」 제27조 또는 제30조를 근거로 하여 국민건강보험공단이 보유하고 있는 개인진료내역자료를 요청하여 제공받는 것이 「공공기관의 개인정보보호에 관한 법률」 제10조제1항에 따라 “다른 법률에 따라 보유기관 외의 자에 대하여 이용하게 하거나 제공하는 경우”에 해당하는지의 여부가 문제됩니다. 

  ○ 우선, 「공공기관의 개인정보보호에 관한 법률」 제10조제1항에서 말하는 “다른 법률”에는 일반적인 “자료제출 및 협조요청”과 같은 규정을 포함하고 있는 법률도 해당될 수 있는지, 아니
면, “○○기관에 대하여 ○○개인정보를 요청할 수 있다”는 등의 구체적인 규정을 포함하고 있는 법률만으로 한정해야 하는지의 여부에 대하여 살펴보면, 개인의 사생활 침해 방지라는 기본권의 철저한 보장을 위해서는 개인정보 요청기관 및 요청정보를 명시한 구체적인 법률 규정을 두는 것이 바람직하다 할 것이나, 해당 법률규정의 목적이 한정되지 않는 경우에는 해당 법령상 주관기관이 어떠한 기관으로부터 어떠한 자료를 요청한다는 것을 미리 예견하여 법률에 구체적으로 모두 명시하는 것은 입법기술상 불가능하다 할 것이므로, 이러한 경우까지 구체적인 법률 규정이 있을 것을 요구하는 것은 불합리하다 할 것인바, 「공공기관의 개인정보보호에 관한 법률」 제10조제1항에서 말하는 “다른 법률”의 범위를 일률적으로 판단하기는 어려우며, 해당 법률 규정의 취지와 법률 규정상의 목적을 달성하기 위한 개인정보 이용의 필요성 등을 고려하여 개별적으로 판단해야 할 것입니다. 

  ○ 감사원은 국가의 세입·세출의 결산감사와 회계를 상시 검사·감독하여 그 적정을 기하고 행정기관 및 공무원의 직무를 감찰하여 행정운영의 개선향상에 기하는 것을 임무로 하는 기관으로서(「감사원법」 제20조), 「감사원법」 제22조제1항제3호 및 제24조제3호에서는 감사원으로 하여금 국민건강보험공단에 대한
 회계검사와 직무감찰을 할 수 있도록 하고 있고, 같은 법 제25조에서는 감사원의 회계검사 및 직무감찰을 받는 자는 증거서류 등의 자료를 제출하도록 하고 있으며, 같은 법 제27조제1항에서는 감사상 필요한 때에는 관계자에 대한 출석·답변 및 증명서·관계 문서 및 장부의 제출 등을 요구할 수 있도록 하고 있고, 같은 법 제27조제2항에서는 회계검사와 감사대상기관인 금융기관에 대한 감사를 위하여 필요한 때에는 인적 사항을 기재한 문서에 의하여 금융기관의 특정점포에 금융거래의 내용에 관한 정보 또는 자료제출을 요구할 수 있도록 하고 있으며, 같은 법 제27조제5항에서는 감사를 위하여 제출받은 개인의 신상이나 사생활에 관한 정보 또는 자료를 해당 감사 목적 외의 용도로 이용할 수 없도록 하고 있습니다. 

  ○ 위 「감사원법」의 관련 규정에 따르면, 같은 법 제25조에서는 직접적 감사대상자의 자료제출 의무를 규정하고 있고, 같은 법 제27조제1항에서는 “감사상 필요한 때”에 자료 제출 등을 요구할 수 있도록 하고 있으며, 같은 법 제27조제2항에서는 회계검사 등을 위하여 필요한 때에는 다른 금융기관에 대하여 개인금융거래내역을 요구할 수 있도록 하고 있으므로, 같은 법 제27조에 따른 자료제출의 요구는 반드시 해당 감사를 받는 직접적 감사대상기관에 
대하여만 할 수 있는 것으로 한정할 수는 없으며, 따라서 이 사안에서와 같이 특정 감사와 직접 관련이 있는 기관이 아닌 국민건강보험공단에 대하여도 “감사상 필요한 때”에는 자료 제출을 요구할 수 있는 근거규정으로 볼 수 있을 것이고, 같은 법 제27조제5항의 경우 감사를 위하여 제출받은 “개인의 신상이나 사생활에 관한 정보 또는 자료”라고 규정하여 개인정보에 대하여도 자료제출을 요구할 수 있음을 전제로 하고 있으므로, 감사원이 같은 법 제27조를 근거로 하여 다른 감사업무를 수행하기 위하여 국민건강보험공단에 개인정보자료를 요청하여 제공받는 것은 「공공기관의 개인정보보호에 관한 법률」 제10조제1항에 따라 “다른 법률에 따라 보유기관 외의 자에 대하여 이용하게 하거나 제공하는 경우”에 해당하는 것으로 보아야 할 것입니다. 

  ○ 더욱이 「감사원법」 제30조에서는 감사원이 감사대상기관의 장에게 감사상 필요한 협조와 지원을 요구할 수 있도록 하고 있고, 같은 법 제50조에서는 “이 법에 의한 감사대상기관 외의 자”, 즉 사인이나 사기업과 같은 공공기관 외의 자에 대하여도 자료제출을 요구할 수 있으며, 해당 요구를 받은 자는 정당한 사유가 없는 한 그 요구에 응하도록 하고 있는 점에 비추어 볼 때, 이 사안의 경우 국민건강보험공단에 대한 직접적인
 감사의 목적이 아니더라도 감사원은 국민건강보험공단이 보유하고 있는 자료를 요구할 수 있는 것으로 보아야 할 것입니다. 

  ○ 다만, 「공공기관의 개인정보보호에 관한 법률」 제10조제1항에 따른 “다른 법률”에 해당된다고 하더라도 이는 보유목적 외에 개인정보의 제공 금지를 법률로써 해제하는 것을 의미할 뿐이므로 제공되는 개인정보의 구체적 범위는 정보제공의 근거가 되는 “다른 법률”과 기타 관련 법률에 따라 구체적으로 판단해야 할 것인바, 「공공기관의 개인정보보호에 관한 법률」 제10조제2항에서는 보유기관의 장이 보유목적에 따라 처리정보를 제공하는 경우에도 업무수행에 필요한 최소한의 범위로 그 제공을 제한하도록 하고 있고, 「감사원법」 제27조제3항 및 제50조제2항에서도 자료제출의 요구는 감사상 필요한 최소한의 범위에 그치도록 하는 취지의 규정을 두고 있으며, 「의료법」 제21조에서는 환자에 관한 기록의 열람을 제한하는 규정을 두고 있는 점 등을 고려하여 해당 개인정보의 구체적인 제공범위를 판단해야 할 것입니다. 

  ○ 따라서 감사원이 국민건강보험공단에 대한 감사가 아닌 다른 감사의 목적으로 「감사원법」 제27조 또는 제30조를 근거로 하여 국민건강보험공단이 보유하고 있는 개인진료내역자료를 요청하여 제공받는 것은 「공공기관의 개인정
보보호에 관한 법률」 제10조제1항에 따라 “다른 법률에 따라 보유기관 외의 자에 대하여 이용하게 하거나 제공하는 경우”에 해당한다 할 것이나, 해당 개인정보자료의 구체적인 제공범위는 제공의 근거가 되는 “다른 법률”과 관련 법률의 규정 등을 종합하여 판단해야 할 것입니다.