개인정보 처리 통합 안내서
– 인공지능(AI) 데이터 처리를 위한 필수동의 폐지와 적법근거 중심 전환 핵심 검토
‘개인정보’란 살아있는 개인에 관한 정보로서, 단독으로 특정 개인을 식별할 수 있는 정보(성명, 주민번호 등), 다른 정보와 결합해 식별 가능한 정보, 가명처리된 정보까지를 포함합니다. 이러한 개인정보를 보호하는 것은 단순히 비밀을 지키는 차원을 넘어, 데이터 시대의 개인의 자유와 권리, 자기결정권, 그리고 사회적 안전을 보장하는 핵심 가치입니다. 이 때문에 개인정보를 적법하게 수집·이용·처리하는 것은 필수적으로 요구됩니다.
2025년 7월 발표된 「개인정보 처리 통합 안내서」는 이러한 변화에 발맞춰, 최신 법령과 판례에 부합하는 개인정보 처리 기준을 실제 업무에 적용할 수 있도록 한 종합 지침서입니다. 아래의 칼럼에서 자세히 살펴보겠습니다.
■ 주요사항 필수동의 체계 폐지와 적법근거 중심 전환
과거에는 온라인 사업자의 경우 서비스 가입 등에서 반드시 동의를 받아야 했고, 정보주체가 동의하지 않는 경우 서비스를 이용할 수 없었습니다. 이러한 불편함을 해소하기 위해 2023년 당사자 간 계약에 수반되는 개인정보에 대한 형식적 필수동의 체계를 폐지하고 오직 동의가 꼭 필요한 경우에만 명확한 동의 절차를 거치도록 변경되었습니다.
그러나 실무 현장에서는 여전히 동의 기반 개인정보 처리 관행이 지속되고 있습니다. 이번 통합 안내서는 이러한 관행을 개선하기 위해 정보주체의 동의 외에도 개인정보를 수집·이용할 수 있는 요건을 명확히 하였습니다. 다만, 동의 없이도 개인정보의 처리가 가능하다는 점을 고려하여 해당 적법처리근거와 개인정보 수집·이용의 목적, 수집항목 등을 정보주체에게 알리는 것이 바람직하다고 보았습니다.
이에 따라 앞으로는, (1)필수동의를 받아온 사항에 적법근거에 대한 내용이 있을 경우 동의 내용을 삭제해야 하며, (2)필수적이지 않은 개인정보는 정보주체의 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 조치하고, (3)동의 없이 수집하는 개인정보를 명확하게 공개해야 할 것입니다.
■ 주요사항 정보주체의 동의를 받을 때 주의해야 할 사항
형식적 필수 동의 체계가 폐지됨으로써, 정보주체는 개인정보 수집·이용에 동의할 때 더욱 신중하게 판단해야 하며, 정보처리자도 적법한 형식과 명확한 내용으로 동의를 받아야 할 필요성이 더욱 강화되었습니다.
-
동의를 받을 때 핵심 원칙
정보주체의 적법한 동의란, 개인정보자기결정권의 자유로운 행사를 통한 동의를 말합니다. 즉, 개인정보처리자는 개인정보 처리에 대하여 정보주체로부터 동의를 받을 때에는 각각의 동의사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 합니다. 특히 민감정보 처리, 고유식별정보 처리, 마케팅 목적 이용·제공, 제3자 제공 등의 경우에는 동의 사항을 구분하여 각각 동의를 받아야 합니다.
또한, 정보주체의 ‘자유로운 의사에 따른 동의’가 인정되기 위해서는 강압이나 불이익 등 자유로운 의사 형성을 제한하는 조건과 연계하여 정보주체의 의사에 반하는 동의를 유도해서는 안 됩니다. 동의를 받기 전에는 반드시 다른 적법근거(계약 이행, 법령 근거 등)가 있는지 먼저 검토해야 하며, 다른 근거가 있다면 굳이 동의를 받을 필요가 없습니다.
-
동의서 작성 및 관리 요령
동의서를 작성할 때에는 법정 고지사항(수집목적, 항목, 보유기간, 거부권 등), 구체적이고 명확한 내용, 쉬운 문구 사용, 명확한 동의 표시 방법을 모두 포함해야 합니다. 민감정보 등 중요내용은 글씨크기, 색깔, 굵기 등으로 명확히 구분하여 표시해야 하며, 동의 후에는 증빙자료를 관리하되 불필요한 추가 정보를 요구하지 않아야 합니다.
■ 주요사항 ‘추가적인 이용·제공’에 대한 추가 기준 제시
2020년 개인정보 보호법 개정으로 인해 적법하게 수집된 개인정보를 그 목적과 관련된 범위 내에서 정보주체의 추가 동의 없이도 추가적인 이용 및 제3자 제공이 가능해졌습니다. 다만 이 경우 개인정보 처리자는 4가지 사항을 고려하여야 하며, 추가적인 이용·제공이 지속적으로 발생하는 경우라면 4가지 고려사항에 대한 판단 기준을 개인정보 처리방침에 미리 공개하여야 합니다.
|
✔️ 추가적인 이용·제공시 고려사항 4가지 (개인정보 보호법 시행령 제14조의2) 1) 당초 수집 목적과의합리적인 관련성 : 처음 개인정보를 수집했을 때의 목적과 추가로 사용하는 목적이 기능, 운영 구조상 밀접하게 연관 2) 예측 가능성 : 개인정보를 수집한 맥락이나 업계 관행, 서비스 특성상 정보주체가 해당 추가 이용·제공을 합리적으로 예측 가능 3) 정보주체이익 침해 여부 : 처리자의 이익보다 정보주체의 권리·자유 침해 우려가 큰 경우 허용 X 4) 안전성 확보 조치 : 가명처리, 암호화 등 기술적·관리적 조치 필요 |
통합 안내서에서는 추가적인 이용 및 제3자 제공 이 ‘일회성’으로 발생하는 경우와 ‘지속적’으로 발생하는 경우를 사례와 함께 설명하고 있습니다. 따라서 개인정보 보호책임자는 해당 사례를 바탕으로 개인정보의 추가적인 이용 또는 제공을 하고 있는 지 여부를 점검해야 할 필요가 있습니다.
개인정보 처리의 법적 패러다임이 ‘동의 중심’에서 ‘적법근거 중심’으로 전환됨에 따라 기업은 기존 관행을 신속히 재검토할 필요가 있습니다. 특히, 동의서 불필요 영역 삭제, 고지 전환, 위탁계약 감독 체계 강화가 다시 한번 점검되어야 할 것입니다. 해당 사항의 적법성 여부를 확실히 하기 위해서는 반드시 법 전문가에게 문의하여 검토를 받으시길 권장드립니다.
감사합니다.
법률사무소 인평 드림
<개인정보보호법 전문변호사와의 한국어/중국어/영어 상담문의>
