캐나다 데이터 보호법 에서 동의 에 대한 접근 방법 – 칭얼칭얼 
 관련 소송 에 제출 하 기 위한 자료 로 @ ehchun 께서 자원 봉사 로 직접 번역 을 하 여 주 어 공유 함 ( 다시 한 번 깊 은 감사 를 표 하 며 ) 
 카나다 데이터 보호법 에서 동의 에 대한 접근 방법 
 필리파 로슨 , 메리 오 도나휴 
 새로운 기술 이 프라이버시 문제 에 대하 여 제기 하 는 위험 성 을 감안 하 여 카나다 는 개개인 이 자신 의 개인 정보 가 부적절 하 게 사용 되 거나 본인 이 원하 지 않 는 데 도 사용 되 는 일 로부터 보호 하 기 위해서 법 을 제정 한 바 있 다 . 공공 부문 의 프라이버시 법 은 1980 년 대 에 제정 되 었 으며 그 에 이 어 1990 년 대 에 는 민간 부문 의 개인 정보 보호법 이 제정 되 었 다 . 2004 년 도 부터 카나다 의 모든 정부 기관 과 상업 활동 의 주체 는 데이터 보호법 을 따른다 . 
 이런 모든 법 은 유효 한 개인 정보 수집 , 이용 및 공유 에 대한 개인 정보 주체 의 동의 에 어느 정도 근거 하 고 있 지만 , 동의 의 역할 에 있 어서 는 부문 별 로 상당히 다르 다 . 공공 부문 의 법률 은 데이터 의 수집 , 이용 , 공개 에 있 어 당사자 의 동의 를 정당 화 ( justification ) 의 근거 로 삼 고 있 지만 , 민간 부문 의 법률 에서 는 동의 를 유효 한 수집 , 이용 , 공개 의 요건 ( requirement ) 으로 간주 한다 . 민간 부문 의 보호 법률 은 개개인 이 프라이버시 보호 를 위해서 협상 할 수 있 는 여지 를 좀 더 제공 하 긴 하 지만 이러 한 통제력 이 실제로 유효 한지 여부 는 의문 으로 남 아 있 다 . 동의 가 차지 하 는 역할 은 고용 이나 보건 과 같 은 부문 에서 는 좀 더 차별 화 되 고 있 지만 이런 문제 는 이 글 에서 는 검토 하 지 않 는다 . 
 이 글 에서 는 카나다 의 데이터 보호법 에서 공공 부문 과 민간 부문 에서 동의 에 대한 접근 방법 이 어떠 한지 에 대해서 기술 한다 . 특히 각 부문 별 법 에서 동의 가 수행 하 는 상이 한 역할 에 대하 여 주목 하 며 그러 한 차이 가 생겨나 는 원리 를 밝힐 것 이 다 . 데이터 보호 규칙 을 만들 때 특정 맥락 ( context , 예 , 공공 부문 에서 는 시민 vs . 민간 부문 에서 는 소비자 ) 을 고려 하 게 된다는 점 을 인정 하 지만 정부 와 시민 간 의 관계 에 대해서 좀 더 섬세 하 게 이해 하 게 되 면 바로 그 맥락 에서 동의 에 대해서 도 좀 더 큰 역할 을 부여 할 수 있 게 될 것 이 다 . 그럼에도 불구 하 고 우리 는 동의 를 이런 식 으로 행사 하 는 것 이 실질 적 이 라기 보 다는 보통 명목 상 으로 만 그렇 다는 점 을 감안 하 여 동의 에 대하 여 너무 지나치 게 비중 을 두지 는 않 을 것 이 다 . 
 2 . 두 가지 서로 다른 접근 방법 : 인권 vs 공정 한 정보 이용 실제 ( Fair Information Practices ) 
 여러 국제 협약 에서 프라이버시 는 하나 의 인권 으로 간주 된다 . 여기 에 는 ‘ 유엔 인권 선언 ’( Universal Declaration of Human Rights , 1948 ) , ‘ 인권 및 기본 권 적 자유 의 보호 를 위한 유럽 협약 ’( European Convention for the Protection of Human Rights and Fundamental Freedoms , 1950 ) , ‘ 민권 과 정치 적 권리 에 관한 국제 협약 ’( International Covenant on Civil and Political Rights , 1966 ) 이 포함 된다 . 프라이버시 문제 를 인권 으로 보 는 접근 방법 에서 는 프라이버시 는 도덕 적 인 지상 명령 이 자 단순 한 데이터 보호 이상 의 의미 를 가진다 . 
 카나다 는 유엔 인권 선언 에 서명 하 였 지만 여타 영미법 계통 의 국가 들 과 마찬가지 로 헌법 에 강력 한 프라이버시 관련 보호 조항 을 갖 고 있 지 도 않 고 프라이버시 보호법 을 인권 범주 에 넣 지 도 않 는다 . 이 와 는 대조 적 으로 퀘벡주 의 인권 및 자유 헌장 ( 1975 ) 에서 는 퀘벡주 거주민 들 의 프라이버시 권 을 인정 하 고 있 으며 , 민법 개정 조항 ( 1991 ) 에서 도 프라이버시 권 을 광범위 하 게 인정 하 고 있 다 . 
 프라이버시 문제 를 이 와 는 달리 실용 적 으로 접근 하 는 경우 에 는 데이터 보호 에 초점 을 맞춘다 . 카나다 에서 프라이버시 법률 은 이런 접근 방법 을 따르 는 추세 인데 Alan Westin 이 처음 제창 했 고 OECD 가 1980 년 에 ‘ 프라이버시 보호 지침 ’( Guidelines on the Protection of Privacy and Transborder Flows of Personal Data ) 에서 채택 한 바 있 는 “ 공정 한 정보 이용 실제 ” ( Fair Information Practices ) 에 바로 이러 한 접근 방법 이 반영 되 어 있 다 . 
 이러 한 접근 방법 에서 는 동의 는 중심 적 인 요건 이 긴 하 지만 “ 적절 성 ” ( appropriateness ) 이 라고 하 는 보다 넓 고 규정 되 어 있 지 않 은 또 다른 개념 의 검토 를 받 지 않 으면 안 된다 . 하지만 인권 에 의거 한 접근 방법 의 중요 한 몇 가지 요소 들 은 카나다 의 민간 부문 데이터 보호 법령 에 도 이미 반영 되 어 있 다 . 즉 , 프라이버시 는 비즈니스 의 “ 필요 ” 에 따르 는 것 이 지만 또한 “ 포기 할 수 없 는 권리 ” ( non - waivable rights ) 로 규정 되 어 있 다 . 이 같이 두 가지 접근 방법 을 병치 시켜 놓 은 것 은 이상 하 기 도 하 고 때로 는 법 적 판단 을 혼란 시키 는 결과 를 초래 하 기 도 한다 . 
 OECD 프라이버시 보호 지침 과 여기 서 논의 되 는 카나다 의 프라이버시 보호 입법 은 적용 범위 를 프라이버시 일반 이 아닌 데이터 보호 ( 식별 가능 한 개개인 의 “ 기록 된 정보 ” ) 로 제한 하 고 있 다 . 공간 상 의 프라이버시 , 신체 상 의 프라이버시 , 수색 과 인신 구속 및 감시 와 같 은 프라이버시 문제 들 은 데이터 보호 법률 에서 는 제외 되 어 있 으며 따라서 이 글 의 범위 에서 도 제외 한다 . 
 3 . 공공 부문 프라이버시 법 에서 의 동의 
 A . 카나다 에서 공공 부문 프라이버시 법 의 전개 과정 
 1980 년 대 부터 카나다 는 개인 정보 를 취급 하 는 규칙 을 제정 하 였 는데 처음 에 는 공공 부문 에 만 적용 하 였으며 OECD 의 프라이버시 보호 지침 을 자발 적 으로 따르 도록 하 는 것 이 었 다 . 이 지침 은 “ 공정 한 정보 이용 실제 ” 의 최소 기준 을 설정 하 여 프라이버시 보호 와 국경 간 비즈니스 와 관련 되 는 개인 정보 의 유통 사이 에 균형 을 추구 하 였 다 . 프라이버시 보호 와 함께 “ 회원 국가 들 간 에 개인 정보 가 유통 되 는 것 에 대하 여 부당 한 간섭 을 막 아야 할 필요 ” 가 늘 함께 따라왔 다 . 
 연방 프라이버시 법 ( Privacy Act ) 은 1982 년 연방 정보 접근 법 ( Access to Information Act ) 과 함께 짝 으로 통과 되 었 다 . 이 들 법률 에서 는 카나다 정보 커미셔너 와 카나다 프라이버시 커미셔너 라는 두 개 의 별개 의 감독 기구 를 두 고 있 다 . 온타리오주 와 여타 주도 이 를 따랐 으며 일반 적 으로 이 주 들 은 프라이버시 보호 와 정보 접근 을 하나 의 단일 한 조례 로 묶 고 단수 의 감독 커미셔너 를 두 었 다 . 나중 에 생긴 주 들 의 조례 는 중요 한 부분 에서 온타리오주 의 정보 접근 과 프라이버시 보호 체계 를 따왔 으며 매우 유사 한 구조 와 면제 사례 를 두 고 있 다 . 이 들 법률 은 상당 한 범위 에서 연방 과 주 , 자치 시 기구 에 적용 된다 . 
 B . 입법 목적 
 카나다 의 프라이버시 법령 은 일반 적 으로 분명 한 목적 문구 를 갖 고 있 다 . 카나다 대법원 은 정부 정보 에 대한 접근 과 프라이버시 보호 의 목적 을 중요 한 민주 적 가치 와 연결 시키 고 있 는데 이러 한 가치 에 는 책임 성 ( accountability ) 과 시민 들 의 정부 참여 , 시민 의 프라이버시 기본 권 이 포함 된다 . 실제로 대법원 은 프라이버시 법 을 헌법 에 준하 는 입법 ( quasi - constitutional enactment ) 이 라고 특징 지우 고 있 다 . 
 “ 프라이버시 법 역시 카나다 의 법체계 에서 기본 적 인 것 입니다 . … 그 목적 은 우선 정부 기관 이 보유 하 고 있 는 개인 정보 를 보호 하 는 것 이 고 그 다음 으로 는 개개인 에게 자신 의 개인 정보 에 대한 접근 권한 을 부여 하 는 것 입니다 . … 공용어 법 ( Official Language Act ) 과 프라이버시 법 은 헌법 이 기초 하 고 있 는 여러 가치 와 권리 들 과 긴밀 하 게 연결 되 어 있 습니다 . 바로 이 점 이 대 법원 이 이 들 법률 이 갖 고 있 다고 인정 해 온 준 헌법 적 인 지위 ( quasi - constitutional status ) 를 설명 해 줍니다 . 그러나 그러 한 지위 가 법 해석 에 대한 전통 적 인 접근 방법 을 변경 하 는 식 으로 작용 하 는 것 은 아닙니다 . … 공용어 법 과 프라이버시 법 의 준 헌법 적 인 지위 는 이 들 법률 을 해석 할 때 고려 해야 하 는 하나 의 지표 이 긴 하 지만 본질 적 으로 결정 적 인 것 은 아닙니다 . 대법원 이 이 들 두 가지 법률 을 기술 할 때 “ 준 헌법 적 ” 이 라는 표현 을 씀 으로써 얻 게 되 는 유일 한 효과 는 이 들 법률 이 지니 고 있 는 특별 한 목적 을 인식 하 는 데 에 있 습니다 . “ 
 프라이버시 법 이 부여 하 고 있 는 권리 에 대한 몇 가지 예외 들 은 따라서 좁 게 해석 해야 하 며 입법 의 포괄 적 인 목적 을 훼손 하 는 방식 으로 이용 되 어서 는 안 된다 . 구성요건 이 엄격 하 다는 것 은 아주 분명 한 사례 가 아닌 한 원래 목적 이 준수 되 어야 한다는 것 이 며 , 입증 의 부담 은 예외 를 주장 하 는 쪽 에서 져야 한다는 것 이 다 . 
 온타리오주 의 ‘ 정보 자유 및 프라이버시 보호법 ’( Freedom of Information and Protection of Privacy Act , FIPPA ) 은 대체로 1980 년 에 나온 윌리엄스 위원회 보고서 ( Williams Commission Report ) 의 건 의 사항 들 에 기초 하 여 작성 되 었 다 . 이 보고서 는 프라이버시 의 중요 성 을 인권 용어 로 표현 하 였 는데 프라이버시 를 준수 하 는 것 은 “ 인간 존엄성 과 인격 의 자유 를 보존 하 기 위한 기본 적 인 관심사 와 연관 ” 되 어 있 으며 , “ 개개인 의 긴요 한 관심 사항 ” 을 확인 하 는 것 인 바 , 이 는 곧 자신 에 관한 정보 의 공개 를 제한 하 고 자신 의 개인 정보 를 연속 하 여 사용 하 는 것 을 제한 하 는 권리 를 유지 하 는 것 이 라고 하 였 다 . 이 보고서 는 Alan Westin 의 정보 프라이버시 에 대한 정의 를 채택 하 였 는데 이 를 “ 개개인 이 자신 에 관한 정보 를 언제 , 어떠 한 방식 으로 , 어느 정도 까지 타인 에게 알려져 도 되 는지 에 대하 여 스스로 결정 할 권리 ” 라고 규정 하 였 다 . 이 위원회 는 개개인 이 정부 가 보유 한 자신 의 개인 정보 에 대하 여 통제 를 강화 할 수 있 는 조항 을 둘 것 을 권고 하 였으나 “ 정부 가 개인 정보 를 수집 하 는 것 은 개개인 이 문제 의 정보 를 제공 하 기 를 거부 할 것 을 선택 할 수 있 는 정황 과 는 다를 수 있 다 ” 는 점 은 인정 하 였 다 . 이 위원회 는 개개인 이 갖 고 있 는 프라이버시 이해 와 정부 의 정당 한 필요 사이 에 균형 을 맞출 것 을 권고 하 고 있 다 . 
 “ 정보 프라이버시 라는 가치 가 중요 하 긴 하 지만 그것 은 단지 수많 은 상충 하 는 갈등 요소 를 내포 한 , 주의 를 요하 는 가치 들 중 의 하나 일 뿐 이 다 . 정부 는 공익 의 필요 성 을 인지 하 고 그 에 대응 하 여 채택 하 는 사회 경제 적 인 프로그램 을 성공 적 으로 그리고 효율 적 으로 운영 하 기 위해서 필요 하 다면 개인 정보 를 수집 해야 한다 . 예컨대 만일 정부 가 운영 하 는 의료 보험 제도 가 있 어야 한다면 개인 정보 수집 행위 가 있 어야 하 는 것 은 불가피 하 다 . 이 와 마찬가지 로 법 집행 당국 이 감시 기술 을 사용 하 는 문제 에 대한 논란 은 효과 적 인 법 집행 의 필요 성 을 고려 하 면서 판단 해야 한다 . 사회 보험 번호 와 같 은 식별 번호 를 사용 할 때 나타날 수 있 는 문제 역시 개개인 에 관한 정확 한 기록 확인 의 필요 성 이나 의학 연구 목적 으로 개인 의 데이터 를 사용 할 때 얻 을 수 있 는 편익 을 고려 하 면서 판단 해야 한다 . ” 
 동의 가 통제력 을 부여 하 기 위해서 제시 된 우선 적 인 수단 은 아니 다 . 오히려 위원회 는 개개인 의 개인 정보 에 대한 통제력 은 다음 과 같 은 방법 을 통해서 이루어질 수 있 다고 건의 하 였 다 . 
 ● 개개인 에게 개인 정보 를 수집 한다는 사실 을 고지 
 ● 개개인 으로부터 직접 개인 정보 를 수집 
 ● 자신 의 개인 정보 에 접근 할 수 있 도록 하 고 , 독립 적 인 평가 기구 에 민원 을 제기 할 수 있 는 권리 
 ● 내용 을 정정 할 수 있 는 권리 와 의견 이 다르 다는 진술 내용 을 첨부 할 수 있 는 권리 
 ● 자신 의 개인 정보 가 이미 공개 된 사람 들 에게 지속 적 으로 자신 이 정정 한 내용 을 공개 하 도록 하 는 것 
 ● 정보 의 자유 위원회 가 요구 하 는 사항 을 공지 해야 할 권리 와 이 에 대하 여 반대 , 민원 을 제기 할 수 있 는 권리 
 ● 아래 사항 에 대하 여 동의 를 거부 할 수 있 는 기회 부여 
 ㄱ . 정보 의 자유 위원회 가 요구 하 는 사항 에 따라 개인 정보 를 공개 
 ㄴ . 일관 성 없 는 개인 정보 이용 및 공개 
 ㄷ . 개인 정보 의 조속 한 파기 
 법 에 반영 된 여타 권고 사항 들 중 에 는 정부 의 개인 정보 수집 제한 , 개인 정보 이용 및 공개 제한 , 정확 성 과 현행 화 의 기준 , 개인 정보 의 안전 한 유지 및 파기 등 이 포함 된다 . 
 규칙 일부 를 준 수 하 지 않 아도 되 도록 법 에서 허용 하 는 바 이것 은 정부 에게 유연 성 을 보장 한다 . 그러나 개인 정보 를 보다 더 잘 보호 할 수 있 도록 각급 정부 는 프라이버시 영향 평가 를 실시 하 도록 요청 받 을 수 있 는데 이것 을 카나다 프라이버시 커미셔너 는 리스크 를 완화 할 수 있 는 수단 이 라고 기술 한 바 있 다 . 연방 정부 는 모든 연방 기관 들 이 프라이버시 에 영향 을 미칠 수 있 는 프로젝트 나 프로그램 들 에 대해서 프라이버시 영향 평가 를 수행 할 것 을 지시 하 는 명령서 를 발표 하 였 다 . 프라이버시 커미셔너 는 프라이버시 영향 평가서 를 검토 하 고 의견 을 제시 할 수 있 으며 건의안 을 제출 할 수 있 다 . 하지만 건의안 의 채택 여부 는 정부 부처 에 달려 있 다 . 
 정부 가 개인 정보 를 처리 하 는 것 에 대하 여 개개인 이 어느 정도 수준 에서 통제력 을 가져야 하 는지 에 대한 논쟁 이 2003 년 에 제기 되 었 다 . 사 스캐치 웬 ( Saskatchewan ) 주 정부 는 개인 정보 를 취급 하 는 기본 틀 ( framework ) 을 개발 했 는데 이것 은 동의 에 대해서 좀 더 여지 를 부여 하 는 것 이 었 다 . 정보 및 프라이버시 커미셔너 는 이 기본 틀 이 정보 자유 및 프라이버시 보호법 이 제시 하 는 요건 을 넘어서 고 있 다고 비판 하 는 보고서 를 발표 했 다 . 그 는 이 법 에서 “ 동의 는 정부 기관 이 그 자체 의 핵심 적 인 목적 과 관련 되 어 있 는 목적 들 을 위해서 만 수집 하 거나 사용 하 거나 공개 한다면 이러 한 수집 이나 사용 , 공개 를 위해서 는 보통 동의 를 요건 으로 하 지 않 는다 . … 우리 가 알 고 있 는 한 어떠 한 카나다 의 재판 관할 권 에서 도 공공 부문 의 프라이버시 관련 규제 에서 동의 에 기초 한 접근 방법 을 규칙 으로 선택 한 적 이 없 다 . ” 고 강조 하 였 다 . 그 가 쓴 이 고도 로 비판 적 인 보고서 에서 커미셔너 디킨슨 은 프라이버시 평가 및 기본 틀 이 CSA 모델 법률 에 기초 를 두 고 있 지만 , 이 모델 법률 에서 는 “ 자발 적 인 동의 에 따르 게 한 것 으로서 정부 가 쓸 수 있 도록 고안 된 것 이 아니 다 ” 고 진술 하 였 다 . “ 공공 부문 의 현실 ” 은 동의 에 기초 한 시스템 에 는 불리 하 다 . 사업 을 진행할 때 정부 는 상당 한 양 의 개인 정보 를 필요 로 하 는데 동의 요건 은 서비스 를 효율 적 으로 제공 하 는 데 장애 가 되 고 비용 을 증대 시킨다 . 이외 에 다른 기제 들 은 개인 정보 와 관련 된 정부 의 행위 가 정부 사업 에 꼭 필요 한 것 에 한정 하 도록 했 다 . “ 결과 적 으로 , 공공 부문 프라이버시 규칙 은 동의 에 기반 하 고 있 지 않 다 . ” 
 C . 공공 부문 입법 에서 동의 의 역할 
 공공 부문 에서 동의 는 두 가지 서로 다른 정황 에서 생겨난다 . 하나 는 제 3 자 로부터 정보 자유 법 에 따라 정보 접근 요청 이 있 을 때 개인 정보 를 공개 하 는 것 에 대해서 당사자 의 동의 를 받 는 것 이 고 , 다른 하나 는 정부 가 해당 개인 정보 를 수집 , 이용 , 공개 , 보존 하 는 것 을 정당 화 하 기 위한 경우 인데 이것 은 다른 여러 정당 화 이유 중 하나 일 뿐 이 다 . ( 어떤 상황 에서 는 정부 의 장 ( 長 ) 은 위중 한 보건 이나 공공 안전 혹은 환경 위난 과 관련 해서 꼭 필요 한 경우 당사자 의 동의 없이 개인 정보 를 공개 해야 하 는 의무 가 있 다 . ) 
 개개인 의 동의 는 공공 부문 데이터 보호법 에서 상대 적 으로 아주 작 은 역할 을 한다 . 데이터 가 이용 되 고 공개 되 는 경우 에 따라 달라지 지만 , 실제로 동의 가 요구 되 는 경우 는 거의 없 다 . 당사자 의 동의 를 받 는 것 은 정부 에게 기본 적 인 규칙 의 예외 를 허용 하 는 법률 상 의 여러 요인 들 중 의 하나 일 뿐 이 어서 정부 가 법 에 열거 되 어 있 는 여러 다른 예외 허용 요인 의 조건 하 에서 업무 를 수행 할 경우 에 는 보통 이것 을 따르 지 않 게 된다 . 일반 적 으로 정부 는 다른 여러 예외 요인 의 조건 하 에서 이루어지 는 행정 업무 에 해당 하 지 않 을 경우 이 거나 해당 업무 가 민원인 과 의 합의 를 추구 하 는 성격 이 라는 점 을 강조 하 고자 할 경우 에 개개인 의 동의 를 고려 하 게 된다 . 
 대법원 은 연방 프라이버시 법 이 “ 준 헌법 적 인 ” 지위 를 갖 는다고 판시 했 지만 , 온타리오주 의 FIPPA 는 이 법 이 창설 한 프라이버시 권 이 거래 할 수 없 는 것 임 을 확언 하 는 명백 한 문구 가 빠져 있 다 . 어떤 조항 들 은 개인 정보 의 수집 , 이용 , 공개 와 관련 된 문구 들 을 포함 해서 “ 누구 도 수집 해서 는 안 된다 ” 와 같 은 단정 적 인 문구 를 포함 하 고 있 어 동의 가 있 다 하 더라도 규칙 을 준 수 해야 한다는 것 을 규정 하 고 있 다 . 온타리오주 항소 법원 은 개인 정보 를 수집 할 수 있 는 법령 상 의 요건 이 존재 하 지 않 을 때 에 는 동의 가 대체 수단 이 될 수 없 다는 것 을 적시 한 바 있 다 . 
 개인 정보 를 수집 해도 되 는 조건 에 는 법 이 명시 적 으로 승인 하 는 경우 , 법 집행 을 위해서 수집 해야 하 는 경우 , 혹은 합법 적 으로 승인 된 적절 한 행정 행위 를 수행 하 기 위해서 꼭 필요 한 경우 가 포함 된다 . 이외 에 목적 에 대한 관련 성 이 한정 적 인 추가 적 인 개인 정보 는 동의 여하 에 관계없이 수집 하 지 않 는다 . 이 법 의 구제책 으로서 의 성격 을 감안 하 면 , 당사자 동의 를 받 아 보호 를 유예 하 는 것 이 적법 하 다고 볼 수 는 없 고 , 정부 가 당사자 의 동의 를 받 았 다고 해서 용인 되 는 것 은 아니 다 . 
 D . 동의 보류 권 및 동의 철회 권 
 공공 부문 입법 은 동의 보류 권 이나 동의 철회 권 에 대해서 는 거의 아무런 언급 을 하 지 않 고 있 다 . 동의 보류 는 따라야 하 는 법령 상 의 요건 이나 판례법 의 원리 또는 개개인 이 협상 할 수 있 는 능력 이나 개개인 이 동의 를 하 지 않 았 을 때 시행 이 보류 될 수 있 는 정부 프로그램 의 중요 성 같 은 요인 들 에 따라 달라진다 . 온타리오주 의 프라이버시 커미셔너 는 정부 와 의 협상 에 대해서 다음 과 같이 이야기 한 적 이 있 다 . 
 “ “ 선택 ” 문제 에 대해서 논의 할 때 에 는 언제나 개개인 이 갖 고 있 는 상대 적 인 협상력 ( bargaining power ) 이나 여러 상황 에서 이용 할 수 있 는 여타 선택 방안 들 의 범위 에 대해서 우선 분석 해야 한다 . 공공 부문 ( 정부 ) 의 기관 과 의 접촉 에서 개개인 은 전형 적 으로 자신 이 협상력 에 있 어서 비대칭 상태 에 있 다는 상황 에 직면 하 게 된다 . ” 
 다음 에서 보 는 것 처럼 공개 하 는 것 에 동의 할 것 을 거부 하 는 것 은 결정 적 이 지 않 다 . 
 일반 적 으로 이 법 의 프라이버시 보호 조항 에 따르 더라도 누군가 가 특정 한 정보 에 대해서 기밀 을 유지 할 것 을 요청 했 다고 하 는 사실 이 본질 적 으로 해당 정보 의 공개 가 절대 적 으로 금지 된다는 것 을 뜻 하 는 것 은 아니 다 . 이러 한 원리 는 이 법률 의 문구 에 반영 되 어 있 으며 ( 이 법 은 개인 정보 의 모든 공개 에 대해서 동의 를 요구 하 지 않 는다 . ) 공공 정책 을 위한 고려 라는 측면 에서 지지 를 받 고 있 다 . 다르 게 결론 을 내린다면 그것 은 , 개개인 이 기밀 을 요청 해 오 는 경우 , 기밀 을 보장 하 기 위해서 법 적 요건 이나 여타 다른 고려 들 때문 에 개인 정보 를 공개 하 는 것 을 어차피 신중 하 게 하 거나 교정 할 수 있 는 정부 기관 의 능력 을 부당 하 게 제한 하 는 일 이 될 것 이 다 . [ 온타리오주 조사 보고서 에서 인용 ] 
 반면 개개인 에게 불 필요 한 개인 정보 를 제공 하 도록 요구 하 는 것 은 비합법 적 인 수집 이 된다 . 실제로 개개인 이 개인 정보 수집 을 거부 하 고자 하 는 부분 에서 는 통상 적 으로 사전 에 정해져 있 는 규칙 은 없 고 , 수집 범위 에 대한 재량 이 행정 책임자 에게 달려 있 어 개개인 이 “ 당장 은 따르 되 후 에 민원 을 제기 할 수 있 도록 ” ( “ comply now and grieve later ” ) 하 고 있 다 . 
 E . 공지 
 수집 에 대한 공지 는 가장 중요 한 공공 부문 권리 중 의 하나 이 다 . 개인 정보 에 대한 직접 수집 의 기본 요건 에 따라 개인 정보 의 수집 내용 과 범위 는 투명 해야 하 며 , 접근권 과 수정 권 을 보장 하 고 , 충분 한 내용 인지 에 따른 동의 를 할 수 있 도록 도와야 한다 . 온타리오주 의 FIPPA 는 당국 이 개인 정보 를 수집 하 려면 , 공지 에서 수집 된 정보 가 사용 되 는 목적 과 여러 질문 에 대해서 답변 할 수 있 는 공무원 의 이름 과 연락처 를 포함 할 것 을 요구 한다 . 
 인지 ( 공지 ) 와 수집 , 이용 및 공개 에 대한 동의 의 근거 로 제공 되 는 정부 의 표준 적 인 동의 양식 은 가장 넓 고 가장 일반 적 인 용어 로 수집 하 는 정보 , 수집원 , 사용 되 는 곳 과 공개 되 는 내용 에 대하 여 기술 한다 . 표준 양식 에서 중요 한 이슈 는 내용 인지 에 따른 동의 , 동의 의 범위 , 동의 양식 을 다변 화 하 거나 수정 할 수 있 는 권한 , 동의 보류 의 자유 등 이 있 다 . FIPPA 하 에서 , 정부 가 동의 여부 에 따라 개인 정보 를 공개 하 는 곳 에서 는 동의 가 충분히 인지 할 수 있 는 방식 으로 명시 적 으로 요구 된다 . – 개개인 은 ( 수집 하 고자 하 는 ) “ 특정 정보 ” ( information in particular ) 와 그것 을 공개 하 는 것 에 대하 여 동의 해야 하 는지 여부 를 확인 할 수 있 어야 한다 . 따라서 표준 적 인 동의 양식 이 너무 일반 적 으로 작성 되 어 있 어서 개개인 이 ( 수집 하 고자 하 는 ) “ 특정 정보 를 확인 ” 할 수 없 어서 는 안 된다 . 
 F . 결론 – 공공 부문 에서 의 동의 
 정부 가 개개인 의 동의 없이 개인 정보 를 수집 , 이용 하 고 공개 할 수 있 다는 사실 을 고려 할 때 개개인 이 정부 와 개인 정보 를 주고받 는 절차 를 차단 하 거나 수정 할 수 있 도록 협상 할 수 있 도록 하 는 문제 는 생각 해 봐야 할 문제 이 다 . 대신 에 공공 부문 입법 은 개개인 이 주장 할 수 있 는 일련 의 “ 프라이버시 권 ” 보다 도 성격 상 정부 와 공직자 의 의무 를 더 많이 부여 하 고 있 다 . 개개인 의 자기 정보 에 대한 통제 가 데 이타 보호 에 있 어 중심 적 인 위치 를 차지 하 는 만큼 , 공공 부문 의 이러 한 현실 은 프라이버시 보호 라는 측면 에서 는 상대 적 으로 약하 다는 결과 가 된다 . 
 각급 정부 는 개인 정보 에 관한 개개인 의 동의 나 통제력 에 대하 여 보다 다양 한 방식 의 접근 방법 을 개발 함 으로써 그 들 이 보유 하 는 개인 정보 의 민감 성 이나 개개인 의 프라이버시 권 의 헌법 적 차원 에 대하 여 보다 더 높 은 인식 을 보여 줄 수 있 다 . 
 IV . 사 적 부문 의 프라이버시 입법 에서 의 동의 
 퀘벡주 는 1994 년 에 카나다 최초 로 민간 부문 의 데이 타보 호법 을 도입 했 다 . 이 법 이 “ 민간 부문 개인 정보 보호 에 관한 법 ” ( Act Respecting the Protection of Personal Information in the Private Sector [ Quebec Act ] ) 이 다 . 연방 “ 개인 정보 보호 및 전자 문서 법 ” ( Personal Information Protection and Electronic Documents Act [ PIPEDA ] ) 은 2001 년 에 나왔 고 , “ 브리티쉬 컬럼비아 개인정보 보호법 ” ( British Columbia Personal Information Protection Act [ BC PIPA ] ) 는 2004 년 에 나왔 다 . 이 들 법률 들 은 민간 기관 이 개인 정보 를 수집 , 이용 , 공개 하 는 문제 에 초점 을 맞추 고 있 다 . 연방 법 은 상업 적 인 행위 에 만 적용 되 지만 , 여타 세 가지 주법 률 들 은 비 상업 적 인 행위 에 도 적용 된다 . 이 네 가지 법률 은 모두 고용 관계 에 적용 되 지만 , 저널리즘 이나 예술 및 문학 , 그리고 역사 자료 나 족보 와 같 은 종류 의 행위 부분 은 범위 에서 제외 한다 . 
 A . 입법 목적 
 입법 목적 에 있 어서 는 이 들 법률 들 간 에 아주 흥미 로운 차이 들 이 있 다 . 퀘벡 주법 은 민법 제 35 조 에서 제 40 조 에서 규정 하 고 있 는 정보 프라이버시 권리 를 특정 화 하 는 것 을 명백 한 목적 으로 하 여 작성 되 었 다 . 민법 에 는 “ 모든 사람 은 자신 의 명성 과 프라이버시 를 존중 받 을 권리 를 갖 는다 ” 고 되 어 있 다 . 이 와 는 대조 적 으로 PIPEDA 와 두 주 의 법률 은 개개인 의 프라이버시 권 뿐 만 아니 라 이성 적 인 인간 이 여러 정황 에서 적절 하 다고 간주 하 는 목적 을 위하 여 민간 기관 이 개인 정보 를 수집 , 이용 , 공개 하 도록 할 필요 에 대해서 도 언급 하 는 목적 문구 를 함께 갖 고 있 다 . 이러 한 비즈니스 의 필요 에 대한 언급 이 있 기 때문 에 이 법률 을 적용 할 때 에 는 합리 적 이나 적절 성 을 평가 해야 하 는 불편 한 “ 균형 테스트 ” ( balancing test ) 를 거쳐야 하 게 되 었 다 . 즉 , 개개인 의 프라이버시 권 에 초점 을 맞추 고 정당 한 비즈니스 상 의 필요 를 프라이버시 권 에 대한 여러 있 을 수 있 는 제한 중 의 하나 로 고려 하 는 것 이 아니 어서 , 합법 성 을 평가 할 때 에 는 “ 정당 한 ” 비즈니스 상 의 요구 를 일차 적 으로 고려 하 게 된다 . 연방 항소 법원 은 “ PIPEDA 의 section 3 에 있 는 목적 문구 로 볼 때 균형 을 고려 해야 할 필요 성 은 명백 하 다 ” 고 하 면서 다음 과 같이 말 한 바 있 다 . 
 “ 이 법 의 1 부 와 스 케 쥴 1 부 가 프라이버시 권 의 보호 와 관련 되 긴 하 지만 , 이 들 조항 은 또한 민간 부문 의 개인 정보 에 대한 수집 , 이용 및 공개 를 가능 하 게 하 는 조항 이 기 도 하 다 . 이 법 을 해석 할 때 법원 은 이 두 가지 서로 상치 되 는 이해 들 간 에 균형 을 맞추 어야 한다 . ” 
 권리 가 구현 되 는 정황 에 대해서 이 처럼 명확 한 인식 을 갖 는 것 은 – 즉 , 이러 한 권리 를 법제 화 하 게 만든 프라이버시 에 대한 여러 위협 들 에 대한 인식 을 갖 는 것 은 – 통상 적 인 것 이 아니 다 . 공공 부문 의 법령 은 이 와 는 대조 적 으로 개인 정보 를 이용 해야 할 정부 의 정당 한 필요 에 대해서 는 명확 한 인식 을 보여 주 지 않 는다 . 다만 법령 에 함축 되 어 있 기 만 할 뿐 이 다 . 
 B . 민간 부문 데이터 보호 법률 에서 의 동의 의 역할 
 개인 정보 의 수집 , 이용 및 공개 에 대한 동의 요건 은 이 들 세 가지 법률 에 의한 개인 정보 보호 제도 의 시금석 이 다 . 동의 에 대한 정보 가 제공 되 어야 하 며 동의 는 자발 적 으로 이루어져야 한다 . 이 들 모든 법령 은 공지 요건 과 , 거래 의 조건 으로 불 필요 한 개인 정보 수집 , 이용 및 공개 에 대한 동의 를 요구 하 는 것 을 금지 하 는 “ 거래 거부 ” 조항 을 포함 하 고 있 다 . 이러 한 제도 에서 는 목적 이 다른 경우 에 는 해당 개인 정보 의 이용 과 공개 를 위해서 는 추가 적 인 동의 가 필요 하 다 . 어떤 경우 에 는 사업자 들 은 자신 들 이 이용 하 고자 하 는 의도 에 대해서 지나치 게 모호 하 거나 아니 면 부적절 한 공지 를 사용 함 으로써 동의 요건 의 기준 을 피해왔 다 . 
 퀘벡주 에서 는 동의 가 그렇게 중심 적 이 지 는 않 지만 여전히 중요 한 역할 을 한다 . 퀘벡주 에서 는 원래 의 수집 목적 과 무관 하 게 개인 정보 를 사용 하 거나 공개 하 려면 동의 가 있 어야 한다 . 그리고 원래 수집 목적 과 무관 한 경우 에 는 대신 에 공지 의무 에 따라야 하 는데 그 때 에 는 거부 할 수 있 는 권리 와 “ 반드시 필요 한 경우 ” ( necessity ) 의 요건 이 무엇 인지 밝혀야 한다 . 앨버타 주 와 브리티쉬 컬럼비아 주 의 법 에서 는 동의 는 고용 에서 는 제한 된 역할 만 하 는데 이 들 경우 에 는 “ 합리 성 ” ( reasonableness ) 이 보다 더 자주 적용 기준 이 된다 . 
 동의 요건 은 이 들 네 가지 법 제도 에서 모두 OECD 의 개인 정보 보호 원칙 과 “ 공정 한 개인 정보 이용 실제 ” ( Fair Information Practices ) 에서 유래 한 여타 의무 들 을 수반 한다 . 여기 에 는 안전 에 대한 보장 , 데이터 의 정확 성 , 책임 성 , 개방 성 및 자신 의 정보 에 대한 당사자 의 접근 등 이 포함 된다 . 더 나아가 동의 는 상당 한 중요 성 을 갖 게 된다 . 각각 의 법령 은 법 집행 과 긴급 시 , 연구 목적 이나 당사자 간 의 합의 가 없이 도 수집 이나 이용 및 공개 가 사회 적 으로 바람직 하 다고 간주 되 는 여타 예외 들 에 대해서 기술 한 긴 목록 을 갖 고 있 다 . 
 동의 와 무관 하 게 적용 되 는 법령 상 의 권리 와 의무 는 잘 인식 되 지 않 고 있 다 . 이 들 모든 법령 들 은 동의 와 무관 하 게 수집 에 대한 제한 내용 을 포함 하 고 있 다 . PIPEDA 와 퀘벡주 법령 은 개인 정보 수집 을 , 특정 한 목적 을 위해 “ 꼭 필요 한 ” ( necessary ) 경우 로 한정 할 것 을 요구 한다 . ( 이 들 모든 법제도 에서 동의 는 특정 된 목적 을 위한 것 이 다 . ) 퀘벡 주법 은 더 나아가 “ 불분명 한 경우 에 는 개인 정보 는 꼭 필요 하 지 않 은 것 으로 간주 한다 ” 고 되 어 있 다 . 앨버타주 의 PIPA 는 수집 이 특정 된 목적 을 위해 “ 합리 적 ” 일 ( reasonable ) 것 을 요구 하 고 있 는 반면 , 브리티쉬 컬럼비아 주의 PIPA 는 단지 수집 이 특정 된 목적 을 반드시 충족 할 것 만 을 요구 한다 . 이것 은 서부 지구 에서 는 개인 정보 보호 에 대해서 보다 낮 은 기준 을 적용 한다는 것 을 암시 하 지만 실제로 그렇게 나타나 지 는 않 는다 . 앨버타주 의 “ 합리 성 ” 요건 은 사실 상 “ 꼭 필요 한 ” 것 으로 해석 되 고 있 기 때문 이 다 . 반면 에 브리티쉬 컬럼비아 주의 PIPEDA 와 퀘벡주 의 사례 들 에서 아직 제기 되 지 않 고 있 는 문제 는 본인 인증 을 위한 수집 이나 피고용인 에 대한 체크 혹은 여타 목적 으로 불 필요 한 개인 정보 수집 이 이루어지 는 데 서 나타나 는 법령 비 준수 의 문제 이 다 . 
 이 모든 법 제도 들 은 또한 특정 된 목적 이나 실제 사용 례 가 합리 성 ( reasonableness ) 이나 적절 성 ( appropriateness ) 혹은 기본 권 을 기준 으로 하 는 테스트 를 충족 시킬 것 을 요구 한다 . 이러 한 권리 들 은 동의 와 무관 하 게 작용 하 면서 동의 에 기반 한 분석 을 보완 하 는 역할 을 한다 . PIPEDA 의 서브 섹션 5 ( 3 ) 은 민간 기관 이 여러 목적 에 따라 개인 정보 를 정당 하 게 수집 , 이용 , 공개 할 수 있 지만 , 그러 한 목적 들 은 “ 합리 적 인 사람 이 정황 상 합리 적 이 라고 생각 할 수 있 는 ” 것 으로 제한 한다 . 이 구절 은 PIPEDA 가 적용 된 여러 사례 에서 동의 와 는 별개 로 주어지 는 질문 이 자 동의 에 대하 여 분석 할 때 함께 주어지 는 질문 으로서 , 동의 가 있 었 는지 없 었 는지 를 확인 하 는 기준 이 되 고 있 다 . 
 명백히 “ 목적 들 ” 로 제한 하 지만 , 이 조항 은 실제 이용 실례 로 확장 되 는 것 으로 해석 되 어 왔 다 . 예컨대 채권 추심 이 라는 목적 은 명백 하 게 정당 하 지만 , 지나치 게 침해 적 인 채권 추심 사례 는 PIPEDA 를 위반 하 는 것 으로 판정 을 받 았 다 . 서브 섹션 5 ( 3 ) 구절 에 대한 이 와 같 은 넓 은 해석 이 나옴 에 따라 동의 라는 제한 은 데이터 보호 의 효율 적 인 원리 로 인정 하 게 되 었 다 . 이 구절 이 없 었 다면 PIPEDA 는 동의 가 요구 되 지 않 는 부분 에서 조차 과도 한 개인 정보 공개 가 이루어지 거나 혹은 여타 부적절 한 이용 실례 가 나타나 는 것 에 대하 여 개인 정보 를 보호 할 수 없 었 을 것 이 다 . 이러 한 차이 를 인식 할 때 , 앨버타 와 브리티쉬 컬럼비아 주법 은 둘 다 이 처럼 동의 에 기초 해 있 는 법 제도 를 개인 정보 수집 , 이용 , 공개 의 이용 실례 뿐 아니 라 그 배후 에 있 는 수집 목적 에 대해서 도 이러 한 요소 들 이 합리 적 일 것 을 요구 하 는 절차 규칙 으로 보완 하 고 있 다 . 
 퀘벡주 의 법령 은 “ 합리 성 ” ( reasonableness ) 기준 자체 를 갖 고 있 지 않 지만 , 이 법 의 명시 적 인 목적 이 “ 민법 35 조 에서 40 조 에서 주어진 권리 의 행사 를 위한 ” 규칙 을 수립 하 는 것 으로 되 어 있 다 . 민법 제 37 조 는 다른 사람 에 관한 파일 을 만들 때 “ 진정 하 며 정당 한 이유 ” ( serious and legitimate reasons ) 가 있 어야 함 을 적시 하 고 있 으며 , “ 이 파일 을 만들 거나 이용 할 때 , 관련 된 사람 의 프라이버시 를 침해 하 거나 명성 에 손상 을 가해서 는 ” 아니 된다고 기술 하 고 있 다 . 더 나아가 퀘벡주 인권 및 자유 헌장 은 “ 모든 사람 은 자신 의 사 적 인 생활 에 대하 여 존중 받 을 권리 를 갖 는다 ” 고 기술 함 으로써 프라이버시 를 하나 의 인권 으로 설정 하 고 있 다 . 이 조항 들 은 퀘벡 주법 을 어긴 것 으로 간주 되 는 사례 에서 , R . v . Oakes 소송 에서 카나다 대법원 이 개발 한 것 과 유사 한 합리 성 / 비례 성 테스트 를 적용 하 는 근거 로 여러 차례 언급 된 바 있 다 . 
 동의 를 지나치 게 강조 한 결과 로서 PIPEDA 법 제하 에서 는 “ 안정 성 있 는 합리 적 목적 을 기준 으로 하 는 테스트 가 개발 되 지 못했 다 ” 는 주장 이 있 어 왔 다 . 이것 이 사실 이 라면 , 그러 한 결과 는 “ 동의 에 대한 지나친 강조 ” 그 자체 의 결과 가 아니 라 오히려 일부 정책 결정자 들 이 동의 와 합리 적 인 목적 을 합성 해 놓 은 결과 라고 우리 는 주장 한다 . 어느 경우 든 , 이 문제 에 대하 여 우리 가 검토 한 바 로 는 놀랄 만큼 안정 적 인 “ 합리 적 인 목적 ” 여부 를 검토 하 는 테스트 가 사실상 오늘 까지 PIPEDA 판례법 에서 이루 어 졌 기 때문 이 다 . 이 테스트 는 R . v . Oakes 판례 에서 카나다 대법원 이 수립 한 바 있 는 , 헌장 에서 보장 한 권리 를 침해 하 는 행위 를 정당 화 하 기 위해서 사용 하 는 테스트 와 동일 한 방식 으로 적용 되 어 왔 다 . 이것 은 다음 과 같이 네 가지 범주 에서 명확 하 고 논리 적 인 방식 으로 정리 되 어 있 다 . 
 1 ) 특정 된 요구 를 충족 시키 기 위해 필수 적 임 을 제시 해야 하 고 
 2 ) 그러 한 요구 를 충족 함 에 있 어 효율 적 이 어야 하 며 
 3 ) 프라이버시 손실 과 얻 을 수 있 는 편익 사이 의 비례 성 이 있 어야 하 며 
 4 ) 동일 한 목적 을 성취 하 는데 가장 약한 프라이버시 침해 적 인 수단 이 어야 한다 
 이것 은 피고용인 에 대한 모니터링 과 감시 와 같 은 정황 뿐 아니 라 생체 정보 나 GPS 시스템 을 고용자 가 이용 하 는 정황 에서 가장 명확 하 게 그리고 확실 하 게 세부 적 으로 규정 된 바 있 다 . 
 이 와 유사 한 균형 테스트 는 퀘벡 주법 에서 적용 되 어 왔 다 . 퀘벡주 의 사법부 에서 도 동의 와 필수 성 두 가지 요건 을 분리 한다 . 퀘벡주 에서 는 개인 정보 의 유효 한 수집 , 이용 , 공개 를 위해서 는 이 두 가지 범주 가 둘 다 충족 되 어야 한다 . 
 C . 프라이버시 권 을 위반 하 는 계약 에 대한 제한 
 동의 에 기반 한 데이터 보호 에 대한 이 같 은 중요 한 보완 요소 들 에 더 하 여 일부 법령 은 법 적 의무 를 벗어난 계약 시도 를 무효 로 하 는 명시 적 인 조항 들 을 포함 하 고 있 다 . 앨버타주 의 PIPA 는 이 법 에서 규정 하 고 있 는 보호 들 을 포기 하 거나 제한 하 는 것 은 공공 정책 에 반하 는 것 이 며 따라서 무효 라고 기술 하 고 있 다 . 브리티쉬 컬럼비아 주법 은 동의 철회 권 을 계약 에서 포기 하 는 것 에 대해서 만 명시 적 으로 금지 하 고 있 지만 , 브리티쉬 컬럼비아 의 프라이버시 커미셔너 는 “ PIPEDA 가 제시 하 고 있 는 최소 기준 이나 보호 내용 중 [ 어느 한 가지 라도 ] 계약 에 의해 예외 로 할 수 있 다는 어떠 한 주장 에 대해서 도 진지 한 유보 ” 를 표명 한 바 있 다 . 
 이 와 마찬가지 로 퀘벡 주법 은 계약 에 의한 권리 포기 를 무효 화 하 는 명시 적 인 조항 은 갖 고 있 지 않 지만 , 퀘벡주 의 민법 8 조 는 “ 누구 라도 법령 의 범위 에 해당 하 는 경우 를 제외 하 고 는 민권 을 행사 하 는 것 을 거부 할 수 없 다 ” 고 되 어 있 어서 퀘벡주 법원 과 프라이버시 커미셔너 는 “ 필수 성 ” 범주 가 개개인 의 동의 에 의해 대치 될 수 없 음 을 밝힌 바 있 다 . 
 이 와 는 대조 적 으로 , PIPEDA 는 “ 권리 포기 금지 ” ( non - waivability ) 조항 도 없 을 뿐 만 아니 라 , 동의 철회 권 의 포기 도 명시 적 으로 허용 하 고 있 다 . 4 . 3 . 8 의 원칙 은 다음 과 같이 기술 하 고 있 다 . 
 “ 개개인 은 언제 라도 동의 를 철회 할 수 있 으나 법 이나 계약 에 의한 제한 여부 나 합리 적 인 공지 인지 여부 에 따라서 권리 행사 가 제한 을 받 는다 . 개인 정보 를 수집 한 기관 은 해당 개인 에게 그러 한 철회 의 의미 를 반드시 알려야 한다 . ” 
 여타 데이터 보호 법 제도 에서 는 벗어나 지만 , 이러 한 특정 한 허용 조항 이 있 다는 것 은 PIPEDA 법 제하 에서 여타 다른 권리 는 그 처럼 포기 될 수 없 다는 것 을 보여준다 . 더 나아가 서 , 브리티쉬 컬럼비아 의 프라이버시 커미셔너 가 확인 했 듯이 , 프라이버시 권리 의 공공 정책 적 인 성격 때문 에 이 들 권리 를 계약 에 의해 포기 하 는 것 은 , 특별히 불공정 계약 ( contracts of adhesion ) 과 같 은 상황 에서 는 , 무효 임 을 강하 게 주장 하 게 된다 . 데이터 보호법 에서 규정 하 고 있 는 권리 가 예외 적 인 상황 이외 에 는 개개인 에 의해서 포기 될 수 없 다는 사실 은 법령 의 불법성 여부 에 관한 카나다 의 판례법 전통 과 일치 한다 . 
 D . 동의 의 형식 – 인정 되 기 위해서 갖춰야 하 는 범주 들 
 퀘벡 주법 은 유효 하 기 위해서 는 동의 를 “ 명시 ” ( manifest ) 할 것 을 요구 한다 . 이 처럼 , 그것 이 개개인 의 행동 에서 논리 적 으로 추론 될 수 없 는 것 이 라면 , 동의 는 옵트인 ( opt - in ) 절차 를 통해서 적극 적 으로 알려져야 한다 . 그러나 이 법 의 섹션 17 에서 는 이 규칙 에 중대 한 예외 를 규정 하 고 있 다 . 즉 , “ 기명 목록 ” ( nominative lists , 이름 과 연락처 ) 의 경우 에 는 기업 은 이 정보 를 해당 목록 에 올라와 있 는 개개인 에게 자신 의 개인 정보 를 사용 하 는 것 에 대하 여 “ 거부 할 수 있 는 기회 ” ( valid opportunity to refuse ) 를 부여 하 는 한 , 해당 개인 의 정보 를 상업 적 이 거나 비 상업 적 인 목적 으로 제 3 자 에게 전달 할 수 있 다는 것 이 다 . 
 이 와 는 대조 적 으로 , 세 가지 불문 법령 은 특정 한 조건 이 충족 된다면 일반 적 으로 옵트아웃 동의 ( opt - out consent ) 를 허용 한다 . 앨버타주 와 브리티쉬 컬럼 비 아주 법령 은 개인 에게 고지 가 있 고 , 합리 적 인 철회 기회 가 주어지 고 , 일정 한 합리 적 인 시간 주기 가 지난 후 에 는 철회 하 지 못하 며 , 문제 의 개인 정보 수집 , 이용 , 공개 가 정보 민감 성 을 고려 할 때 합리 적 이 라면 옵트아웃 동의 를 허용 한다 . PIPEDA 는 “ 민간 기관 은 정보 가 민감 한 것 으로 여겨질 경우 , 일반 적 으로 명시 적 인 동의 를 구해야 한다 ” 고 기술 함 으로써 단지 일반 적 인 가이드 만 제공 한다 . 그러나 연방 커미셔너 는 한정 적 이 며 잘 규정 된 목적 과 , 정보 수집 시 에 해당 개인 의 주의 를 끌 수 있 는 분명 한 공지 , 그리고 이 차 적 목적 을 옵 트 아웃 할 수 있 는 편리 한 절차 를 포함 해서 옵트아웃 이 유효 한 고지 의 범주 를 세분 하 였 다 . 하지만 2006 년 에 실시 한 온라인 소매 사업자 들 을 대상 으로 한 CIPPIC 의 연구 에서 는 대다수 의 업체 들 이 이 차 적 사용 및 공개 를 위해 옵트아웃 동의 를 채용 했 지만 , 대부분 은 유효 한 옵트아웃 동의 를 위한 이 같 은 범주 요건 에서 하나 이상 을 충족 하 지 못한 것 으로 나타났 다 . 
 유효 한 옵트아웃 동의 에서 한 가지 중요 한 범주 는 공지 이 다 . 그러나 네 가지 법령 중 에서 어떤 것 도 공지 가 개개인 의 주의 를 끌 어야 한다고 특정 하 여 요구 하 지 않 고 있 다 . PIPEDA 는 단지 개인 에게 “ 수집 되 는 정보 가 어떤 목적 을 위해 사용 될 것 이 라는 것 을 확실 하 게 알려 줄 수 있 는 합리 적 인 노력 ” 만 을 요구 한다 . 앨버타주 와 브리티쉬 컬럼비아 의 PIPA 는 단지 공지 가 “ 개개인 이 이해 할 것 으로 합리 적 으로 기대 할 수 있 는 형식 으로 ” 주어질 것 을 요구 한다 . 법원 과 커미셔너 들 은 이러 한 조항 이 수집 목적 과 옵트아웃 선택 권 에 대한 공지 가 개인 정보 수집 시 에 개개인 의 주의 를 끌 것 을 요구 하 는 것 으로 해석 하 고 있 지만 , 여러 연구 들 은 여러 사업자 들 이 그렇게 하 지 않 고 있 음 을 보여준다 . “ 효과 적 인 ” ( effective ) 공지 ( 그리고 그러 한 공지 의 실시 ) 에 대한 명백 한 요건 이 없 다면 , 옵트아웃 동의 는 의미 가 없 게 된다 . 그런 경우 라 할지라도 , 심리학 과 경제학 분야 의 이론 적 , 경험 적 인 연구 들 은 옵트아웃 동의 라는 프로토콜 은 항상 동의 가 그릇 되게 취해 지 는 상당히 많 은 사례 들 을 결과 할 것 임 을 보여준다 . 
 E . 유보 할 권리 와 협상 할 권리 , 동의 철회 권 
 이 모든 세 가지 불문 법령 은 개개인 에게 불 필요 한 목적 에 대해서 는 동의 를 유보 할 수 있 는 권리 를 부여 한다 . 반면 퀘벡 주법 은 동의 가 “ 자유 로 와야 ” ( free ) 할 것 을 요구 하 며 , 옵트아웃 동의 를 따르 고 있 는 민간 기관 은 “ 해당 개인 에게 거부 할 수 있 는 유효 한 기회 를 주 어야 한다 ” 고 요구 하 고 있 다 . 
 이 에 더 하 여 , 앨버타 주법 은 개개인 이 자기 동의 의 조건 을 협상 할 수 있 도록 허용 하 는 통상 적 이 지 않 은 조항 을 갖 고 있 다 . 이 법 의 서브 섹션 7 ( 3 ) 은 다음 과 같 다 . 
 “ 개개인 은 어떠 한 합리 적 인 조건 , 개개인 이 직접 승인 하 거나 , 설정 한 조건 , 아니면 개개인 에게 수용 할 만 한 조건 이나 자격 조건 을 갖추 었 는지 여부 에 따라서 동의 를 제공 할 수 있 다 . ” 
 이 조항 은 , 합리 적 이 기 만 하 다면 , 데 이타 의 수집 , 이용 및 공개 에 관한 표준 적 인 협약 양식 에 대하 여 개별 소비자 가 유효 한 수정 을 할 수 있 음 을 보여준다 . 
 PIPEDA 에 는 합리 적 인 공지 에 따라서 , 그러나 “ 법 적 인 혹은 계약 에 의한 제한 ” 여부 에 따라서 는 권리 행사 가 제한 되 는 , 언제 라도 동의 를 철회 할 수 있 는 권리 가 포함 되 어 있 다 . 앨버타주 와 브리티쉬 컬럼 비 아 주 는 철회 로 인하 여 법 적 인 의무 이행 이 어려워 지 는 경우 에 는 권리 행사 를 제한 하 는 , 보다 견고 하 며 세부 적 인 철회 권한 을 제공 한다 . PIPEDA 와 는 대조 적 으로 , 브리티쉬 컬럼비아 주법 의 조항 은 명시 적 으로 민간 기관 이 동의 철회 를 금지 하 지 못하 게 하 고 있 으며 앞 에서 강조 한 대로 앨버타주 의 PIPA 는 계약 에 의한 권리 포기 를 일반 적 으로 금지 하 는 조항 을 갖 고 있 다 . 퀘벡 주법 에 는 일반 적 인 동의 철회 권 은 없 지만 개개인 에게 기명 목록 에서 자신 의 이름 을 뺄 수 있 는 권리 를 부여 하 고 있 으며 , 권리 포기 를 금지 하 는 문구 가 포함 되 어 있 는 퀘벡주 민법 에 따라야 한다 . 
 철회 권 은 우리 가 보 았 듯이 이러 한 권리 의 목적 이 개개인 에게 자신 의 개인 정보 에 대한 통제력 을 부여 하 는 것 이 기 때문 에 동의 권 에서 긴요 한 요소 이 다 . 그러나 철회 권 은 현상 유지 를 쉽 게 수용 하 는 인간 적 경향 을 고려 한다면 실재 하 는 것 이 라기 보 다는 환상 에 그칠 수 있 다 . 
 F . 결론 – 민간 부문 데 이타 보호법 에서 의 동의 
 여러 중요 한 점 에서 차이 가 있 으나 , 네 가지 카나다 민간 부문 데이 타보 호법 률 모두 는 동의 를 데 이타 의 수집 , 이용 및 공개 의 유효 성 을 결정 하 는 두 가지 테스트 의 한 부분 으로 다루 고 있 다 . 가장 기본 적 인 테스트 는 합리 성 테스트 이 며 , 이것 은 동의 가 요구 되 는지 혹은 동의 를 받 았 는지 여부 와 무관 하 게 이루어진다 . 최소한 이론 상 으로 는 이 기준 은 개개인 에게 동의 를 요구 하 지 않 거나 충분 한 인식 없이 동의 가 주어졌 다 하 더라도 개개인 은 자신 의 개인 정보 의 부적절 한 이용 과 공개 로부터 보호 받 을 수 있 도록 보장 한다 . 더 나아가 동의 가 일반 적 으로 법령 에서 규정 하 고 있 는 프라이버시 권 을 훼손 하 는 데 이용 될 수 없 다 . 
 이러 한 맥락 에서 동의 의 역할 은 명백 하 게 개개인 에게 , 기업 의 데 이타 의 처리 행위 에 대하 여 합리 성 을 기준 으로 하 여 여러 제한 이 부과 되 어 개개인 이 프라이버시 침해 를 방지 하 는 보호 를 향유 하 게 되 지만 그러 한 것 이상 으로 자신 의 개인 정보 에 대한 보다 더 큰 통제력 을 제공 하 는 데 에 있 다 . 동의 가 통제력 을 제공 하 기 위하 여 고안 되 었 다는 사실 을 잘 보여 주 는 사례 에 는 앨버타 주법 에서 개개인 이 자신 의 동의 조건 을 정할 수 있 도록 허용 하 는 조항 , 퀘벡주 의 동의 의 시효 제한 , 앨버타주 법과 브리티쉬 컬럼비아 주법 그리고 PIPEDA 의 동의 철회 권 , 그리고 이 세 주 의 제 3 자 의 수집 제한 등 이 있 다 . 
 그러나 이러 한 동의 조항 이 실제로 개개인 에게 제공 하 는 통제력 의 효율 성 에 대하 여 의문 을 제기 할 만 한 이유 가 있 다 . 즉 , 한편 으로 는 각각 의 법령 에 동의 에 대한 여러 가지 예외 들 이 있 으며 , 그 보다 더 큰 이유 로 는 각각 의 법제 도 하 에서 도 비즈니스 의 “ 필요 ” ( needs ) 를 명시 적 으로 인정 하 거나 옵트아웃 동의 를 재가 하 고 있 기 때문 이 다 . 이론 적 , 경험 적 연구 들 은 옵트아웃 동의 의 유효 성 과 효율 성 에 대하 여 의문 을 제기 해 왔 다 . 사실 우리 는 옵트아웃 방식 이 유효 하 다면 그것 은 곧 동의 가 제공 하 는 바로 그 통제력 을 제거 하 는데 있 다고 주장 할 수 있 다 . 동의 는 그 동의 가 이루어지 는 대상 에 대한 인식 이 없 다면 무 의미 하 다 . 이런 이유 로 해서 우리 는 정보 프라이버시 는 궁극 적 으로 동의 요건 에 의해서 보다 각각 의 법령 에 포함 되 어 있 는 권리 에 기반 한 합리 성 테스트 에 의해서 더 잘 보호 된다고 믿 는다 . 
 동의 는 개개인 에게 자신 의 정보 프라이버시 에 대한 통제력 을 제공 하 기 때문 에 데 이타 보호 에서 중요 한 요소 이 다 . 그러나 인간 의 , 정부 의 , 그리고 시장 의 행태 현실 을 고려 한다면 동의 가 그 자체 로 충분 한 보호 를 제공 하 는 것 은 아니 다 . 이것 은 공공 부문 이나 민간 부문 모두 그러 하 다 . 즉 이런 모든 부문 에서 동의 요건 은 효율 적 인 데 이타 보호 를 위해서 는 “ 합리 성 기준 ” 으로 보완 되 어야 할 필요 가 있 다 . 
 공공 부문 과 민간 부문 제도 에서 가장 현저 한 차이 는 동의 가 갖 는 상대 적 인 중요 성 과 역할 이 다 . 동의 는 민간 부문 보호 제도 에서 는 중심 적 인 위치 를 차지 하 지만 , 공공 부문 에서 는 아주 작 은 역할 을 한다 . 
 카나다 의 법령 이 갖 고 있 는 문제점 들 에 도 불구 하 고 , 앞 에서 본 네 가지 민간 부문 의 데 이타 보호 법령 들 은 동의 가 중요 하 지만 결정 적 이 지 는 않 은 역할 을 하 는 합리 적 인 제도 를 구축 하 고 있 다 . 우리 가 주장 하 기 로 는 이 들 법령 이 안 고 있 는 가장 큰 흠결 은 효과 적 인 공지 요건 도 없이 비즈니스 의 필요 성 을 명시 적 으로 인정 하 고 결과 적 으로 옵트아웃 동의 를 재가 하 고 있 는 점 이 다 . 이 들 법령 에서 동의 요건 은 보다 강력 한 공지 요건 뿐 아니 라 보다 효과 적 인 법 집행 제도 를 함께 가지 고 있 어야 한다 . 
 이 와 는 대조 적 으로 공공 부문 의 데이 타보 호법 은 동의 보다 도 프라이버시 보호 규칙 이나 정부 가 요구 하 는 절차 에 더 의존 하 고 있 다 . 그러나 오늘날 정부 가 시민 을 추적 하 고 감시 할 수 있 는 기술 적 인 능력 은 이러 한 법률 이 만들 어 지 던 시점 에 생각 할 수 있 었 던 정도 를 넘어서 고 있 다 . 프라이버시 법 은 이러 한 기술 의 진보 를 따라잡 지 못했 다 . 이러 한 맥락 에서 공공 부문 에서 개개인 의 자기 정보 에 대한 통제력 을 박탈 하 는 것 은 정부 이해 를 보호 하 는 데 에서 너무 나아간 것 일 수 있 으며 , 이것 은 개인 의 자치 와 존엄 을 무시 하 는 것 이 다 . 이 는 또한 수집 되 는 개인 정보 의 민감 한 성격 과 프라이버시 보호 의 헌법 적 인 측면 을 무시 하 는 것 이 기 도 하 다 . 개개인 의 동의 가 ( 세무 행정 과 같 은 ) 어떤 상황 에서 는 분명히 부적절 하 지만 , 공공 부문 이 라는 맥락 에서 항상 부적절 한 것 은 아니 기 때문 이 다 . 우리 가 보 기 에 는 어떤 사례 분석 에서 는 개인 쪽 에 더 많 은 선택 이 보장 되 는 분야 들 이 있 음 을 보여준다 . 
 자유민주주의 체제 에서 참여 민주주의 와 시민 자치 라는 가치 는 바로 시민 들 이 갖 는 자신 의 개인 정보 에 대한 보다 더 큰 통제력 과 연결 된다 . 그러나 그러 한 통제력 은 환상 이 아니 라 실재 여야 한다 . 민간 부문 데이 타보 호법 에 대한 그간 의 경험 을 보 면 동의 가 완전히 효율 적 인 것 은 아니 었 음 을 보여준다 . 정부 가 보유 하 고 있 는 개인 정보 에 대하 여 시민 에게 보다 더 큰 통제력 을 부여 하 기 위한 여러 개혁 적 인 시도 들 은 이러 한 경험 에 주목 해야 한다 . 
 Categories 프라이버시 , 해외 판례 Tags @ ehchun , 동의 , 번역 , 접근 방법 , 캐나다 데이터 보호법 Leave a comment 
 Previous Previous post : Do - Not - Track : Still Not a Great Idea 
 Next Next post : 월말 스터디 – virtual justice 1 회