국회가 개인정보가 포함된 자료를 요구했다고 해서 개인정보보호법을 이유로 일괄적으로 제출을 거부할 수 있는 것은 아닙니다. 반대로 “국회가 요구했으니 개인정보는 모두 제출해야 한다”는 뜻도 아닙니다.
가장 먼저 볼 것은 개인정보가 들어 있느냐가 아니라 어떤 법적 절차에 따른 자료제출 요구인지, 그리고 요구한 자료가 안건심의·국정감사·국정조사·인사청문과 직접 관련되는지입니다. 현행 개인정보 보호법 제18조는 ‘다른 법률에 특별한 규정이 있는 경우’ 목적 외 제공을 허용할 수 있도록 하면서도 정보주체나 제3자의 이익을 부당하게 침해할 우려가 있는 경우는 제외합니다.
개인정보보호위원회도 2024년 국회·지방의회의 자료요구를 다룬 결정에서 처리 목적이 명확한지, 필요한 최소한의 정보인지, 개인정보 처리로 얻는 공익이 개인정보 자기결정권 침해보다 큰지 등을 살펴 부당한 침해 우려가 없는 경우 제공할 수 있다고 판단했습니다.
따라서 판단은 보통 ① 어떤 법률과 절차에 따른 요구인지 → ② 요구 목적과 개인정보가 직접 관련되는지 → ③ 필요한 최소 범위인지 → ④ 정보주체나 제3자의 이익을 부당하게 침해하는지 → ⑤ 주민등록번호·민감정보처럼 별도 제한이 있는 정보인지 순서로 하는 것이 이해하기 쉽습니다.
개인정보가 들어 있다는 이유만으로 국회 자료제출을 거부할 수 있을까?
개인정보가 포함됐다는 사실만으로 자동으로 거부 사유가 되는 것은 아닙니다.
2026년 9월 11일 시행 중인 개인정보 보호법 제18조는 개인정보를 원래 수집 목적을 넘어 이용하거나 제3자에게 제공하는 것을 원칙적으로 제한합니다. 다만 제2항 제2호는 ‘다른 법률에 특별한 규정이 있는 경우’ 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있는 경우를 제외하고 목적 외 이용·제공을 허용합니다.
국회의 정식 자료제출 요구에는 별도의 법률상 근거가 있습니다. 국회법 제128조는 본회의·위원회·소위원회가 안건심의 또는 국정감사·국정조사와 직접 관련된 보고·서류·사진·영상물 등의 제출을 정부와 행정기관 등에 요구할 수 있도록 규정합니다. 위원회의 청문회·국정감사·국정조사 관련 자료요구에는 의결 또는 재적위원 3분의 1 이상의 요구라는 절차도 규정돼 있습니다. 현행 국회법은 2026년 9월 8일 시행본을 기준으로 확인했습니다.
국회에서의 증언·감정 등에 관한 법률 제2조 역시 안건심의 또는 국정감사·국정조사와 관련된 서류 등의 제출 요구를 받은 경우 이 법에 특별한 규정이 있는 경우를 제외하고 다른 법률에도 불구하고 이에 따라야 한다고 규정합니다. 따라서 이 조항을 단순한 의원실의 모든 자료 요청까지 곧바로 확대해서 읽어서는 안 됩니다.
개인정보보호위원회의 2024년 결정도 국회법 제128조와 국정감사 및 조사에 관한 법률 제10조에 따른 개인정보 포함 자료의 요구를 전제로, 일정한 조건을 충족하면 개인정보를 제공할 수 있다고 판단했습니다.
| 확인할 상황 | 먼저 볼 기준 |
|---|---|
| 개인정보가 포함돼 있음 | 그것만으로 자동 거부되는 것은 아님 |
| 국회법 등에 따른 정식 자료요구 | 적용 법률과 요구 절차를 먼저 확인 |
| 요구 목적과 관련 없는 개인정보 | 해당 정보까지 필요한지 별도로 판단 |
| 제3자의 사생활 침해 우려가 있는 정보 | 필요 최소성과 부당한 침해 여부 확인 |
| 주민등록번호 | 개인정보 보호법 제24조의2의 별도 요건 확인 |
| 건강정보 등 법정 민감정보 | 개인정보 보호법 제23조의 별도 처리 요건 확인 |
즉 “개인정보보호법 때문에 못 줍니다”라는 한 문장만으로 끝낼 사안은 아닙니다.
그렇다면 국회가 요구하면 개인정보를 전부 제출해야 할까?
그것도 아닙니다. 요구 목적과 개인정보 사이의 관련성뿐 아니라 필요한 범위와 개인정보 침해 정도를 개별적으로 따져야 합니다.
개인정보보호위원회는 2024년 TBS가 보유한 출연료 개인정보의 국회·지방의회 제출 문제를 다루면서, 처리 목적이 명확하고 개인정보를 필요한 최소한으로 처리하며 개인정보 처리로 얻는 공익이 정보주체의 개인정보 자기결정권 침해보다 큰 경우 등 정보주체나 제3자의 이익을 부당하게 침해할 우려가 없는 경우 제공할 수 있다고 판단했습니다.
국정감사 및 조사에 관한 법률 제8조도 감사나 조사가 개인의 사생활을 침해할 목적으로 행사돼서는 안 된다고 규정합니다. 다만 이 조항 자체가 개인정보가 포함된 모든 자료에 대한 일반적인 제출 거부권이라는 뜻은 아닙니다. 같은 법 제10조에는 감사·조사와 관련된 자료제출 요구와 협조의무도 규정돼 있기 때문에 구체적인 요구와 개인정보 범위를 함께 봐야 합니다.
그래서 실무적으로는 질문을 다음처럼 바꾸는 편이 정확합니다.
“개인정보가 있으니 낼 수 있는가, 없는가?”보다
“이 개인정보까지 제출해야 해당 심의·감사·조사의 목적을 달성할 수 있는가?”
예를 들어 사업의 전체 집행 규모만 확인하면 되는 상황과 특정인의 행위 자체를 검증해야 하는 상황에서는 필요한 개인정보의 범위가 같다고 보기 어렵습니다.
실제로 개인정보보호위원회는 2019년 국정감사 등을 위한 119 신고자 정보의 제공 문제에서 전화번호·위치·녹취자료 등을 개인을 알아볼 수 없도록 보호조치하여 제공할 수 있다고 결정한 사례가 있습니다. 즉 필요한 경우에는 원자료 전체 제출과 전면 거부 사이에서 개인정보를 보호하는 방법도 함께 검토할 수 있습니다.
반대로 인사청문과 관련된 자료라고 해서 제3자의 개인정보를 자동으로 제출할 수 있는 것도 아닙니다. 개인정보보호위원회는 2020년 공직후보자 자녀의 대학원 휴학 관련 병원진단서 제출 문제에서 일부 정보만 남기고 나머지를 삭제한 형태의 진단서도 국회에 제공할 수 없다고 결정한 사례가 있습니다.
직원 출입기록도 인사청문회 자료로 제출할 수 있을까?
이 질문은 실제 개인정보 실무에서 발생하고 있습니다. 개인정보보호위원회 개인정보 포털에는 현재도 “국회 인사청문회 자료로 직원의 출입 기록을 제출할 수 있는지?”라는 상담사례가 공개돼 있습니다.
출입기록이라고 해서 자동으로 제출할 수도, 개인정보라는 이유로 자동으로 거부할 수도 없습니다.
인사청문회법 제12조에 따르면 위원회는 그 의결 또는 재적의원 3분의 1 이상의 요구로 공직후보자의 인사청문과 직접 관련된 자료를 국가기관·지방자치단체와 그 밖의 기관에 요구할 수 있습니다. 별도로 기간을 정하지 않았다면 제출기간은 5일이며, 그 기간에 자료를 제출하지 않으면 해당 기관은 사유서를 제출해야 합니다.
따라서 직원 출입기록 요청을 실제로 받았다면 적어도 다음을 함께 봐야 합니다.
어떤 사실을 확인하기 위해 출입기록을 요구했는지
해당 직원의 출입기록이 공직후보자의 인사청문과 직접 어떤 관계가 있는지
전체 기간·전체 직원의 기록이 필요한지, 더 좁은 범위로 목적을 달성할 수 있는지
제3자의 사생활을 부당하게 침해할 가능성은 없는지
이 판단 구조는 개인정보보호위원회가 2024년 국회 등의 개인정보 자료요구에서 제시한 목적의 명확성·필요 최소성·공익과 개인정보 자기결정권의 비교와도 연결됩니다.
주민등록번호나 건강정보까지 국회에 제출해도 될까?
여기서는 일반 개인정보와 구분해서 확인해야 합니다.
주민등록번호는 개인정보 보호법 제24조의2에서 별도의 처리 제한을 두고 있습니다. 일반 개인정보를 제공할 근거가 있다는 이유만으로 주민등록번호까지 당연히 같은 범위에서 제공할 수 있다고 판단해서는 안 됩니다.
건강정보처럼 개인정보 보호법 제23조에서 정한 민감정보도 일반적인 개인정보와 별도의 처리 요건을 확인해야 합니다. 현행 제23조는 건강정보 등을 민감정보로 규정하고, 별도의 동의를 받거나 법령에서 처리를 요구·허용하는 경우 등으로 처리 근거를 제한하고 있습니다.
따라서 실제 제출자료에 어떤 정보가 들어 있는지 먼저 나누는 것이 좋습니다.
| 정보 항목 | 확인해야 할 핵심 |
|---|---|
| 성명·직위 등 일반 개인정보 | 자료요구의 법적 근거, 목적과 직접 관련성, 필요 범위 |
| 출입·근태 등 행동기록 | 검증 목적과의 관계, 기간·대상 범위, 제3자 침해 가능성 |
| 가족 등 제3자의 개인정보 | 해당 제3자 정보까지 필요한 이유와 부당한 침해 가능성 |
| 건강정보 등 법 제23조의 민감정보 | 민감정보를 처리할 별도 법적 근거와 필요성 |
| 주민등록번호 | 제24조의2에 따른 별도의 구체적인 처리 근거 |
일반 개인정보를 제출할 수 있다는 판단과 주민등록번호·민감정보까지 제출할 수 있다는 판단은 같은 문제가 아닙니다.
의원실에서 요청한 자료도 정식 국회 자료요구와 같을까?
항상 같다고 볼 수는 없습니다. 요구 주체뿐 아니라 어떤 법률과 절차에 따라 자료를 요구했는지를 확인해야 합니다.
국회법 제128조 제1항의 자료제출 요구는 본회의·위원회·소위원회 등의 의결을 기본으로 하고, 위원회의 청문회·국정감사·국정조사 관련 요구에는 재적위원 3분의 1 이상의 요구도 규정돼 있습니다. 같은 조 제3항은 폐회 중 의원이 자료 제출을 요구한 경우 의장 또는 위원장이 교섭단체 대표의원 또는 간사와 협의해 요구할 수 있는 절차를 별도로 두고 있습니다.
국회입법조사처도 「국회 자료제출 요구의 주요 쟁점과 과제」에서 ‘개별 국회의원의 자료제출 요구’를 국회 자료요구와 다른 법률의 관계, 사생활 보호 문제와 나란히 별도의 쟁점으로 구분했습니다.
따라서 실제 공문이나 요청을 받았다면 “국회의원실에서 왔다”는 사실만 보지 말고 다음을 확인해야 합니다.
어떤 법률 조항을 근거로 하는 요구인지
위원회 등 법정 자료요구 절차에 따른 것인지
요구 문서에 의결 또는 위원 요구 등의 절차가 어떻게 표시돼 있는지
안건심의·국정감사·국정조사·인사청문 가운데 어떤 목적의 자료인지
개인정보보호법상 목적 외 제공 근거를 판단할 때도 실제로 어떤 법률상 자료요구가 성립했는지가 출발점입니다.
국회 개인정보 자료요구를 받았다면 무엇부터 확인하면 될까?
자료를 전부 제출하거나 전부 거절하기 전에 다음 순서로 확인하면 쟁점을 나누기 쉽습니다.
요구 주체와 법적 근거를 확인합니다.
국회법 제128조, 국정감사 및 조사에 관한 법률 제10조, 인사청문회법 제12조 등 어떤 규정에 따른 요구인지 먼저 봅니다.요구 절차를 확인합니다.
본회의·위원회 등의 정식 요구인지, 개별 의원의 요청인지 구분합니다.자료요구 목적과 직접 관련성을 확인합니다.
요구 목적을 달성하는 데 해당 개인정보가 실제로 필요한지를 봅니다. 국회법과 인사청문회법은 각각 관련 자료에 일정한 관련성 요건을 두고 있습니다.필요한 최소 범위를 정합니다.
사람·기간·항목을 줄이거나 일부 정보를 가리는 방법으로 목적을 달성할 수 있는지도 검토합니다. 개인정보보호위원회 역시 목적의 명확성과 필요한 최소한의 처리를 판단요소로 제시했습니다.정보의 종류를 나눠 확인합니다.
일반 개인정보, 제3자 정보, 민감정보, 주민등록번호를 한꺼번에 같은 기준으로 판단하지 않습니다.정보주체나 제3자의 이익을 부당하게 침해할 우려가 있는지 확인합니다.
개인정보 보호법 제18조 제2항 자체가 이 조건을 두고 있습니다.제공하기로 했다면 제공 후 보호조치도 확인합니다.
목적 외 제3자 제공을 하는 개인정보처리자는 제공받는 자에게 이용 목적·방법 등에 제한을 두거나 안전성 확보조치를 마련하도록 요청해야 합니다. 공공기관은 법 제18조 제4항에 따른 게재 의무의 적용 여부도 확인해야 합니다.
이 순서로 보면 “개인정보보호법 때문에 거부”와 “국회 요구니까 전부 제출” 사이에서 실제로 판단해야 할 지점을 찾기 쉽습니다.
결국 개인정보보호법이면 국회 자료요구를 거부할 수 있을까?
개인정보보호법이라는 이유만으로 법률에 따른 국회 자료제출 요구를 일괄 거부할 수 있다고 보기는 어렵습니다.
개인정보 보호법 제18조는 다른 법률에 특별한 규정이 있는 경우 목적 외 제공이 가능한 구조를 두고 있고, 국회법·국정감사 및 조사에 관한 법률·인사청문회법에는 각각 일정한 자료제출 요구의 법적 근거가 있습니다.
그러나 여기서 바로 “모든 개인정보를 제출해야 한다”는 결론으로 넘어가서도 안 됩니다. 요구가 어떤 법적 절차에 따른 것인지, 자료가 요구 목적과 직접 관련되는지, 필요한 최소 범위인지, 정보주체나 제3자의 이익을 부당하게 침해하는지, 주민등록번호나 민감정보처럼 별도 제한을 받는 정보가 있는지를 항목별로 확인해야 합니다.
실제 자료요구를 받은 기관이라면 첫 번째 행동은 개인정보가 있다는 이유로 전체 자료를 차단하거나 그대로 전부 제출하는 것이 아니라, 공문에 적힌 법적 근거와 요구 절차를 확인한 뒤 요청 항목별로 관련성·필요 범위·개인정보 유형을 대조하는 것입니다. 제출하기로 한 경우에는 제공 범위를 정하는 데서 끝내지 말고 개인정보 보호법 제18조에 따른 보호조치와 후속 의무까지 확인해야 합니다.
작성·검토 범위
이 글은 개별 기관이 받은 특정 공문의 적법성에 대한 법률의견서가 아닙니다. 2026년 9월 13일 기준 국가법령정보센터의 현행 개인정보 보호법·국회법·인사청문회법 등과 개인정보보호위원회 공개 결정, 국회입법조사처 공개 자료를 서로 대조해 국회 개인정보 자료요구를 판단하는 순서를 정리했습니다.
개별 공문의 발신 주체, 요구 절차, 요청 자료와 안건의 관계에 따라 결론은 달라질 수 있습니다.
[참고자료]
국가법령정보센터, 「개인정보 보호법」 제18조 — 2026년 9월 11일 시행 현행법
국가법령정보센터, 「개인정보 보호법」 제23조 민감정보의 처리 제한
국가법령정보센터, 「국회법」 제128조 — 2026년 9월 8일 시행 현행법
국가법령정보센터, 「국회에서의 증언·감정 등에 관한 법률」 제2조
국가법령정보센터, 「국정감사 및 조사에 관한 법률」 제8조·제10조
국가법령정보센터, 「인사청문회법」 제12조 — 2026년 9월 8일 시행 현행법
개인정보보호위원회, 「국회 등의 자료제출 요구 관련 서울특별시 미디어재단 티비에스 보유 개인정보 제공에 관한 건」, 제2024-106-009호, 2024.3.27.
개인정보보호위원회, 「국회 인사청문회를 위한 개인정보 제공 관련 법령해석에 관한 건」, 제2020-04-050호, 2020.2.24.
개인정보보호위원회, 「국회 국정감사 등을 위한 소방청 보유 119신고자 정보 제공에 관한 건」, 제2019-17-272호
개인정보 포털, 국회 인사청문회 직원 출입기록 관련 상담사례
국회입법조사처, 「국회 자료제출 요구의 주요 쟁점과 과제」, 2022.12.28.
0 댓글