[개인정보배움터] 개인정보 처리 단계별 절차 이해 - 수집/동의

지난 시간 복습

개인정보 수집 단계에서 준수해야 할 '개인정보 보호 원칙'으로 가장 적절하지 않은 것은?

① 개인정보 처리 목적을 명확하게 설정해야 한다.

② 목적 내에서 적법하고 정당하게 수집해야 한다.

③ 업무의 효율성을 위해 가능한 모든 범위의 개인정보를 수집해야 한다.

④ 개인정보처리자는 수집 시 적법 근거에 대해 보호 조직의 사전 확인을 받는 것이 권장된다.

 

필요 최소한의 정보만 수집해야 한다! 3

 

정보주체의 동의 없이도 개인정보를 수집·이용할 수 있는 경우에 해당하지 않는 것은?

① 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우

② 정보주체와 체결한 계약을 이행하기 위해 필요한 경우

③ 개인정보처리자의 정당한 이익이 정보주체의 권리보다 명백하게 우선하는 경우

④ 대학 홈페이지에 공개된 교수진의 연락처를 영리 목적의 마케팅 DB로 구축하는 경우

 

공개된 정보라도 공개 취지를 벗어나 마케팅에 활용하는 것은 목적 외 이용으로 보아 동의가 필요할 수도 있다! 4

 

'최소 수집의 원칙'과 관련한 설명 중 옳은 것은?

① 필요 최소한의 정보 외의 수집에는 정보주체가 동의를 거부할 수 없다.

② 최소한의 정보 수집이라는 입증책임은 정보주체(고객)에게 있다.

③ 최소한의 정보 외의 개인정보 수집에 동의하지 않는다는 이유로 서비스 제공을 거절해서는 안 된다.

④ 업무 편의를 위해 수집하는 정보는 모두 '최소 수집' 범위에 포함된다.

 

최소한의 정보 외의 개인정보 수집에 동의하지 않아도 서비스를 제공해야 함! 3

 

개인정보 수집에는 정보주체로부터 직접 수집하는 것뿐만 아니라, 시스템 로그나 접속 기록처럼 업무 처리 과정에서 생성되는 정보를 수집하는 행위도 포함된다. (O / X)

O

 

민감정보(사상, 신념 등)를 수집할 때는 일반 개인정보 수집 동의와 별도로 동의를 받거나 법령상 근거가 있어야 한다. (O / X)

O

---

1. 개인정보 수집 개요

개인정보 수집 = 정보주체로부터 직접 수집 + 모든 형태의 개인정보 수집 행위

제3자로부터 수집 : 플랫폼으로부터 제공받은 구매자 주문내역, 카드사로부터 제공받은 구매자 가명정보 등

공개된 자료에서 수집 : SNS 전체 공개된 정보, 검색 사이트를 통해 검색되는 정보 등

업무처리 과정에서 생성 : 고객 센터 문의 사항 대응, 시스템 로그 및 접속 기록 등

 

개인정보 수집 사례 예시

처리 목적을 명확하게! 목적 내에서 적법하고 정당하게! 꼭 필요한 최소한의 개인정보 수집!

 

2. 개인정보 수집의 적법 근거

개인정보처리자 : 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말함

 

적법 수집 근거

1. 정보 주체의 동의를 받은 경우
2. 법률의 특별한 규정, 법령상 의무 준수를 위해 불가피한 경우
3. 공공기관이 법령 등에서 정한 소관업무를 위해 불가피한 경우
4. 정보주체와 체결한 계약 이행 혹은 계약 체결 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우
5. 명백히 정보주체 등의 급박한 생명, 신체, 재산의 이익을 위해 필요한 경우
6. 개인정보처리자의 정당한 이익 달성을 위해 필요한 경우로서, 명백하게 정보추제의 권리보다 우선하는 경우
7. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

'동의'는 개인정보처리자가 개인정보를 수집/이용하는 것에 대한 정보주체의 자발적인 승낙의 의사표시

 

2023년 개인정보 보호 관련 법률 개정

온라인을 중심으로 개인정보 수집/이용 시 동의 의무화 -> 정보통신서비스제공자에 대한 '필수 동의원칙' 삭제.

'계약 체결/이행' 요건에서 '불가피하게' 삭제

 

법 개정 주의 사항

기존 필수 동의 항목에 대한 재확인 필요

- 필수 개인정보 수집/이용 동의에 체크하는 경우

- 개인정보 수집/이용 동의에 체크하는 경우

- 적법 처리 근거가 동의가 아닌 계약 이행으로 변경됨

 

온라인 플랫폼 A사, 동의 없이 정보 수집으로 과징금 조치

동의 절차 및 정보 제공이 불충분했고, 특히 개인정보 처리 동의 내역, 보유 기간, 제3자 제공 고지가 부족한 점이 문제가 됨.

동의 절차가 제대로 설계되지 않으면 대형 플랫폼도 처벌 대상이 될 수 있고, 어떤 정보를 왜 수집하는가를 명확히 고지하는 것이 필수!

 

법률 규정/법령상 의무 준수/공공기관 법령 소관 업무 수행

- 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

- 공공기관이 법령 등에서 정하는 소관업무 수행을 위해 불가피한 경우

 

계약 이행 등을 위하여 필요한 경우

정보 주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우

계약에 해당하는 경우

ex) 온라인 교육 신청 시 교육 수료 후 수료증 발급 합의, 아파트 입주자와 아파트 관리 서비스 계약 체결 등 

계약 체결 이행을 위해 필요

ex) 결제-배송-AS 등 계약 이행을 위해 주소, 연락처, 결제 정보 등을 수집/이용, 민원 접수/처리 목적으로 정보 주체의 이름, 연락처 등을 수집/이용 등

 

명백히 정보주체 등의 급박한 생명/신체/재산 보호

- 조난 홍수 등으로 실종되거나 고립된 사람을 구조하기 위하여 연락처, 주소, 위치정보 등 개인정보를 수집하는 경우

- 아파트에 화재가 발생한 경우, 집안에 있는 자녀를 구하기 위해 해당 자녀 또는 부모의 휴대전화 번호를 수집하는 경우

- 의식 불명이나 중태에 빠진 환자에 수술 등 의료조치를 위하여 개인정보를 수집하는 경우

 

개인정보처리자의 정당한 이익 달성

- 사업자가 고객과의 소송이나 분쟁에 대비하여 요금 정산자료, 고객의 민원제기 내용 및 대응자료 등을 수집/관리하는 경우

- 이용자의 정보의 부정 이용 등을 방지하기 위한 부정행위탐지시스템(FDS) 운영을 위해 수집하여 이용하는 경우

- 입주민의 폭언/폭행/위혐이 지속되어 사전고지 후 녹음/촬영하는 경우

 

온라인에 공개된 게시물 수집/이용

자신의 개인정보를 수집/이용해도 된다는 명시적인 동의의사를 표시

홈페이지의 성격, 게시물 내용 등에 비추어 사회통념상 동의의사가 있었다고 인정되는 경우

3. 개인정보 수집 제한

개인정보 최소 수집

필요 최소한의 개인정보 수집, 입증책임은 개인정보처리자가 부담. 최소항늬 정보 외의 개인정보 수집에는 동의 거부 가능

 

특별 보호 개인정보

- 아동의 개인정보 보호

- 민감정보 처리 제한

- 고유식별정보 처리 제한

- 주민등록번호 처리 제한

4. 개인정보취급자 실천수칙

수집/동의 단계 개인정보 보호 수칙

1. 개인정보 수집 목적을 명확히 하기
2. 개인정보를 수집할 떄는 반드시 적법 근거를 확인하기
3. 개인정보는 목적 범위 내에서 최소한으로 수집하기
4. 개인정보 수집에 동의를 받을 떄는 정보주체의 선택권을 보장하기
5. 14세 미만 아동의 개인정보 수집 시에는 법정대리인의 동의를 받기
6. 민감정보/고유식별정보/주민등록번호 수집의 법적 근거는 한번 더 확인하기
7. 개인정보 수집 전에 반드시 개인정보보호 담당자의 검토를 받기

---

문제 출제

문제 1. 개인정보 수집의 적법 근거에 해당하지 않는 것은?

① 정보주체의 동의를 받은 경우

② 법령상 의무 준수를 위해 불가피한 경우

③ 개인정보처리자의 영업 이익 극대화를 위해 필요한 경우

④ 정보주체와 체결한 계약 이행을 위해 필요한 경우

정답: ③

---

문제 2. 2023년 개인정보 보호 관련 법률 개정의 주요 내용으로 옳은 것은?

① 온라인 개인정보 수집 시 필수 동의 원칙이 강화되었다

② 정보통신서비스제공자에 대한 '필수 동의 원칙'이 삭제되었다

③ 계약 체결·이행 요건에 '불가피하게' 조건이 추가되었다

④ 공공기관의 개인정보 수집은 동의 없이 전면 허용되었다

정답: ②

---

문제 3. 다음 중 개인정보취급자의 수집·동의 단계 실천수칙으로 옳지 않은 것은?

① 개인정보는 목적 범위 내에서 최소한으로 수집한다

② 14세 미만 아동의 개인정보 수집 시 법정대리인의 동의를 받는다

③ 민감정보 수집의 법적 근거는 수집 후에 사후 확인해도 무방하다

④ 개인정보 수집 전에 반드시 개인정보보호 담당자의 검토를 받는다

정답: ③

---

문제 4. 개인정보 최소 수집 원칙에서, 최소한의 정보 외의 개인정보 수집에 대한 입증책임은 누가 부담하는가?

정답: 개인정보처리자

---

문제 5. 온라인 플랫폼 A사가 과징금 처분을 받은 이유 중, 정보주체에게 반드시 고지해야 했으나 부족했던 세 가지 항목을 쓰시오.

정답: 개인정보 처리 동의 내역, 보유 기간, 제3자 제공 고지