ICT 기술의 발전으로 정보의 유통과 복제, 보관이 매우 쉬워지면서 온라인에 한 번 올라간 정보는 쉽게 사라지지 않는 시대가 되었습니다. 설령 자신이 지우고 싶은 정보라고 하더라도 쉽게 사라지지 않는데요. 이처럼 정보주체의 의사와 관계없이 개인정보가 무제한으로 확산·전파되는 상황에서 등장한 개념이 바로 ‘잊힐권리(right to be forgotten)’입니다.

잊힐권리란 ‘정보주체가 개인정보처리자에게 자신과 관련된 정보의 삭제를 요청하거나, 해당 정보에 대한 인터넷상에서의 접근을 배제하도록 요구할 수 있는 권리’를 말하는데요. 정보주체의 개인정보자기결정권에서 파생된 것으로, 범위는 아래 표와 같이 크게 5가지로 분류할 수 있습니다.

[ 잊힐권리 사례 구분 ]

잊힐권리는 개인정보를 보호하기 위한 중요한 권리입니다. 하지만 ‘정보주체’와 ‘개인정보처리자’ 그리고 개인정보에 접근하고자 하는 ‘제3자’가 당사자로 등장하기에 일부 사례에서는 기본권 충돌과 같은 법적 문제가 발생할 수 있는데요.

일례로 ‘③ 정보주체가 게시한 정보를 제3자가 공유’한 경우에는 정보주체가 삭제 또는 검색배제를 요청할 때 제3자의 표현의 자유와 충돌할 수 있습니다. 또한 ‘⑤ 뉴스·기사 등 언론이 정보주체의 개인정보를 보도’의 경우 검색배제나 삭제요청이 언론의 자유와 충돌할 가능성이 존재합니다. 이에 따라 잊힐권리와 관련해서는 법적 근거뿐 아니라 정보주체의 지위(공인 여부 등), 개인정보의 속성 등을 종합적으로 고려한 비교형량^*이 논의될 필요가 있습니다.

해외 주요국들은 각 국가의 법적 패러다임과 문화적 배경에 따라 잊힐권리를 보장하는 방식과 범위에서 차이를 보이고 있는데요. 유럽, 미국, 일본의 사례를 통해 살펴보겠습니다.

EU

잊힐권리는 스페인의 ‘Mario 사건’에 대한 유럽사법재판소(ECJ) 판결에서 처음 인정되며 본격적으로 주목받기 시작했습니다. 이후 EU는 기존 개인정보보호지침을 대체하는 GDPR^*을 제정·시행하면서 잊힐권리를 법제화했는데요.

• Mario 사건
  • 스페인 변호사 Mari는 해결된 과거 부채와 부동산 경매 공고 기사가 오랜 시간이 지난 뒤에도 구글 검색 결과에 계속 노출되자 프라이버시권을 침해한다며 삭제를 청구함.
  • 구글은 표현의 자유를 침해한다는 이유로 취소소송을 제기했고, 본 사안은 ECJ로 넘어가게 됨.
  • ECJ는 부정확한(inaccurate), 부적정한(inadequate), 무관한(irrelevant), 과도한(excessive) 정보인 경우 검색엔진 서비스제공자에게 개인정보가 링크된 것을 삭제하도록 청구할 수 있는 개별적인 권리를 인정함.
  • 본 사건은 EU의 GDPR이 도입되는 계기가 되었음.

GDPR 제17조 제1항은 정보주체가 개인정보처리자에게 자신의 개인정보 삭제를 요청할 권리를 가지며, 일정한 요건에 해당하는 경우 개인정보처리자는 지체 없이 삭제해야 한다고 규정하고 있습니다. 또한 같은 조 제2항과 제3항에서는 삭제 의무가 개인정보처리자에게 있는 경우, 제3의 개인정보처리자에게도 정보주체가 삭제 요청 사실을 알리기 위한 합리적 조치를 취해야 하며, 표현의 자유 등에 의해 잊힐권리가 제한될 수 있다고 명시하고 있습니다.

특히 GDPR은 아동의 경우 개인정보 처리에 따른 위험성을 충분히 인식하지 못할 수 있다는 점에서 잊힐권리의 중요성을 강조하고 있는데요. 이에 따라 어린 시절 온라인에 남긴 개인정보에 대해서도 이후 삭제를 요청할 수 있어야 한다는 점을 전문(Recital)에서 밝히고 있습니다.

• GDPR Recital 65

  (중략)...해당 권리(잊힐권리를 의미)는 특히 정보주체가 정보 처리에 수반되는 위험을 충분히 인지하지 못한 어린 시절에 동의를 제공하고 나중에 특히 인터넷에서 그러한 개인정보를 제거하고 싶어 하는 경우와 관련이 있다.
  정보주체는 해당자가 이제 어린이가 아니라는 사실에 관계없이 해당 권리를 행사할 수 있어야 한다....(중략)

미국

미국은 수정헌법 제1조에서 표현의 자유를 규정하는 만큼 연방 차원에서 잊힐권리를 폭넓게 보장하지 않고, 사업자의 자율규제를 통해 규율하고 있습니다. 대신 아동을 대상으로 한 개인정보 수집의 경우 일부 잊힐권리를 인정하고 있는데요. 대표적으로 캘리포니아 주법은 만 18세 이하의 미성년자가 인터넷 서비스에 직접 게시한 정보를 삭제하거나 삭제를 요청할 수 있도록 규정하고 있습니다.

일본

일본은 잊힐권리를 별도의 법률로 명시하고 있지는 않습니다. 대신 민법상 인격권 보호를 근거로 개인정보 삭제 청구나 손해배상 등을 통해 간접적으로 인정하고 있어요. 실제로 일본에서는 과거 범죄 이력이 검색엔진을 통해 계속 노출되자 검색 결과 삭제를 요구한 사례가 있었는데요. 1심과 2심에서는 청구가 인용되었으나, 일본 최고재판소는 프라이버시권은 인정하지만 검색 결과 제공이 검색사업자의 표현의 자유에 해당한다고 판단해 삭제 요청을 기각했습니다.

우리나라는 EU처럼 명시적으로 잊힐권리를 규정하고 있진 않으나, 개별 법률을 통해 제한적으로 잊힐권리를 인정하고 있습니다.

• 개인정보보호법

  정보주체의 동의를 거쳐
  개인정보처리자가 수집한
  개인정보의 경우에만 삭제 가능

• 언론중재법

  개인의 신상과 관련된
  허위기사로 피해를 본 경우 정보주체가 해당 언론보도에
  대해 정정보도 청구가 가능

• 정보통신망법

  정보주체가 자발적으로
  제공하고 제3자가 개입한
  개인정보라도 사생활 침해나 명예훼손 정보인 경우
  정보 삭제나 임시조치가 가능

개인정보보호법

먼저 「개인정보보호법」 제36조에서는 정보주체가 개인정보처리자에게 개인정보의 정정 또는 삭제를 요구할 수 있도록 규정돼 있습니다. 다만 이는 정보주체의 동의를 거쳐 수집·보관된 개인정보를 중심으로 적용되는 만큼, 검색엔진 결과나 제3자가 게시한 정보까지 폭넓게 적용되기에는 한계가 있죠.

언론중재법

다음으로 「언론중재법」은 개인 신상과 관련된 허위 보도에 대해 정정을 요구할 수 있음을 규정하고 있습니다. 하지만 보도 내용이 진실이거나 청구 기간인 6개월이 지났을 때는 정정을 요구할 수 없습니다.

정보통신망법

「정보통신망법」에서는 사생활 침해나 명예훼손 등 타인의 권리를 침해하는 정보에 대해 삭제 또는 임시조치(블라인드 처리)하도록 규정하고 있습니다. 그러나 권리 침해 사실이 입증되어야만 조치가 가능하고, 임시조치 기간도 최장 30일에 불과합니다.

디지털 환경에서는 정보의 복제와 가공, 재생산을 통한 확산이 매우 빠르고 광범위하게 이루어지면서 한 번 게시된 정보가 장기간 남곤 합니다. 하지만 앞서 살펴봤듯, 현재 우리나라는 개별 법률을 통해 제한적으로만 잊힐권리를 인정하고 있어, 요건에 해당하지 않을 때는 충분히 보호받기 어려운데요. 이에 필자는 「소비자의 개인정보보호를 위한 온라인상 잊힐권리(right to be forgotten) 도입에 관한 소고」(소비정책동향 제150호, 황의관, 2026.04.29.)를 통해 개인정보보호 법체계를 고려할 때 잊힐권리를 「개인정보보호법」에 규정하는 것이 타당하다고 제안합니다.

잊힐권리를 「개인정보보호법」에 법제화하는 경우에는 크게 아동·청소년으로 주체로 한정하여 입법하는 방안과 주체를 한정하지 않고 잊힐권리를 보장하는 방안을 검토할 수 있는데요. 다만 첫 번째 방안은 사실상 잊힐권리의 인정 범위를 축소하게 되어 제도의 도입 취지를 퇴색하게 만들고, 두 번째 방안은 입법 과정의 난이도가 높아진다는 문제가 있습니다. 결국 정보주체의 잊힐권리를 보장하더라도 제3자의 표현의 자유와 국민의 알 권리 사이에서 어떤 균형점을 마련할 것인지에 대한 충분한 논의가 함께 이루어질 필요가 있어 보입니다.

인터넷은 수많은 정보를 빠르게 연결해 주지만, 때로는 원치 않는 과거의 기록까지 지워지지 않는 흔적으로 남겨두곤 합니다. 그렇기에 디지털 시대에는 개인정보를 올리는 순간뿐 아니라, 그 정보가 어떻게 남고 확산할지까지 함께 살펴볼 필요가 있습니다. 클릭 한 번으로 올린 내 정보가 뜻하지 않은 부메랑이 되지 않도록, 온라인 활동 시 공개 범위와 개인정보 관리에 조금 더 세심한 주의를 기울여야 하겠습니다.