법무법인(유)로고스

헌법/행정행정쟁송

[행정]개인정보 수집하는 기업의 고지방법 - 김요한 변호사

등록일 2024.10.28

조회수 1471

1. 들어가며

인터넷상에서 가장 많이 하는 거짓말은 무엇일까요? 아마도 ‘모든 약관을 읽었으며 이에 동의합니다’일 것입니다. 개인정보보호법상 개인정보처리자가 이용자로부터 적법하게 개인정보를 수집하는 방법에는 대표적으로 ‘동의’가 있고(개인정보보호법 제15조 제1항 제1호, 이하 달리 표시가 없으면 ‘법’은 개인정보보호법을 의미함) 이는 동시에 가장 많이 사용되는 방법으로서 많은 서비스가 가입신청시 그에 필요한 최소한의 개인정보를 수집하면서 ‘동의’를 받는 형태로 이루어지고 있습니다. 이번 시간에는 개인정보 수집시 동의받을 때 주의할 사항을 함께 살펴보고자 합니다.

2. 개인정보 수집 동의 방법

이용자가 가입하려는 서비스의 가입신청에는 종종 다른 제휴기업들의 서비스가입 및 개인정보제공동의의 약관이 추가되어 이를 선택함으로써 당해서비스 내에서 각종 혜택을 제공받을 수 있도록 되어 있는 경우도 있습니다.

제휴기업의 입장에서 당해 서비스 가입자는 잠재적인 고객이므로 그들에게 정밀한 마케팅을 효율적으로 하기 위한 기반으로 개인정보가 필요한 상황이지만 스팸과 같은 광고성 정보를 수신하도록 하는 것은 규제가 따르는 반면(정보통신망법 제50조 이하) 당해 서비스 가입절차에서 받을 수 있는 '동의'를 통해 개인정보를 용이하게 수집할 수 있기 때문입니다. 또한 당해 서비스 제공자 입장에서도 '동의'한 이용자를 대상으로 제휴기업의 광고를 대행하고 제휴기업으로부터 일정 수수료를 받을 수 있는 기회이므로 역시 유익합니다.

3. 고지사항을 명확히 알려야 함

위와 같이 제휴서비스 가입 등의 추가선택이 가능한 경우 서비스제공자는 이용자에게 약관자체의 내용 이외에도 개인정보 수집 및 이용시의 고지사항(법 제15조 제2항) 내지 제3자 제공시의 고지사항(법 제17조 제2항)을 당해서비스의 고지사항과 '별도로 명확히' 알려야 함은 물론입니다.

약관과 고지사항은 하나의 웹페이지에 전부 수록하는 방법 이외에도 약관 내용상 개별 항목이 수시로 다변하는 경우라면 링크를 제공하면서 해당 링크에 보다 자세한 내용을 기재하는 방법이 사용되기도 합니다. 다만 생성된 창이 너무 작아 내용 확인에 지나친 스크롤을 강요하거나 글자의 크기가 너무 작다면 위법하므로 서비스 제공자가 유저 인터페이스 디자인을 구성함에 있어서 주의를 요하는 부분이라 할 수 있습니다.

4. 가입자의 철회에 대하여

만약 가입자가 의도치 않게 제휴업체에 대한 서비스가입약관을 동의한다고 체크한 경우 또는 이용자가 더 이상 동의를 희망하지 않는 경우에는 어떻게 해야 할까요?

개인정보보호법상 개인정보처리자에 대해 자신의 개인정보에 대한 처리정지 또는 동의 철회(법 제37조 제1항)를 할 수 있고 이에 따라 개인정보처리자는 지체없이 해당 개인정보의 파기 등 필요한 조치를 해야 하는데(제3항) 이는 동의 철회의 상대방이 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 정보통신서비스제공자인 경우에도 마찬가지입니다(법 제39조의7 제1항, 제3항). 다만 정보통신서비스제공자의 경우 동의 철회의 방법에 대해 개인정보를 '수집한 방법보다 쉽게' 하여야 합니다(제2항).

5. 실제 사례

이와 관련하여 최근 수행한 사건 중에는 A사가 회원가입시에 제휴회사에 대한 멤버쉽 전체이용약관에 대한 동의를 선택하여 체크하면 할인혜택을 부여하는 방식으로 운영을 하는 과정에서 한 이용자가 A사에 개인정보제공동의 철회를 하는 동시에 제휴회사에 대한 동의 철회의 처리까지 요구하며 신고한 사안이 있었고 한국인터넷진흥원(KISA)은 A사에 대해 '법위반사실 없음'으로 종결처리한 바 있습니다.

개인정보 수집시 동의와 비교할 때 '쉬운' 방법이 사용되었고 이에 대해 회사도 '즉각' 삭제 조치를 이행하였기 때문입니다. 또한 제휴업체에 대한 멤버쉽가입이 이용자의 선택과 그에 따른 고지에 의해 적법하게 이루어진 이상 이 부분에 대한 개인정보수집동의 철회의 상대방인 개인정보처리자는 각 제휴업체이므로 A사는 이를 충분히 안내한 바 있습니다.

만약 위 사안과 달리 개인정보 수집 또는 제공시 고지사항을 제대로 알리지 않은 경우 (법 제75조 제2항 제1호) 정보통신서비스제공자가 개인정보수집동의의 철회에 따라 필요한 조치를 하지 않은 경우(제12호의6) 3천만 원 이하의 과태료가 부과될 수 있습니다.

또한 올해 9월부터 시행되는 개정 개인정보보호법상 개인정보침해신고 등 혐의사실이 있는 경우는 물론 그러한 사실이 없더라도 개인정보 침해사고 발생의 위험성이 높고 개인정보 보호의 취약점을 사전에 점검할 필요성이 인정되면 사전실태점검도 가능하므로(개정법 제63조의2 제1항) 개인정보를 처리하는 기업들은 법률적으로 신중한 주의를 기울여야 할 필요가 있겠습니다.