이제 개인정보 “동의”를 받지 않아도 이용수집 가능?
개인정보호보법 개정
안녕하세요. 최앤리의 변변찮은 최변입니다.
이번 칼럼에서는 많은 회사들이 항상 골머리를 앓고 있는 개인정보처리에 관한 내용입니다.
23년에 대폭 개정되어 이제 많은 회사들이 보다 수월하게 고객의 개인정보를 수집 이용할 수 있게 되었습니다. 구체적인 내용을 한번 살펴보시죠.
1. 서설. 개인정보 보호법의 개정 및 가이드라인 발표 배경
대부분의 회사들은 온, 오프라인 영업을 가리지 않고 고객들의 ‘개인정보’를 기반으로 사업을 펼치고 있다. 이처럼 개인정보가 중요해짐에 따라 개인정보의 무분별한 남용과 피해를 방지하기 위해 정부당국의 규제는 강화되어 왔다. 언제나 규제는 시대의 속도를 따라가지는 못하는 법이라 현실과 맞지 않는 불편한 규제는 회사들의 발목을 잡고 있다. 이러한 현실 목소리를 반영하여 개인정보법을 주관하는 개인정보위원회(이하 ‘개보위’)는 2023년 3월 14일에 개인정보 보호법(이하 ‘개정법’)을 대폭 개정하였으며, 2023년 9월 15일부터 개정법이 시행되었다. 그러나 법은 해석과 그 적용이 늘 어려운 것인지라 개보위는 2023년 12월 29일에 ‘개인정보 보호법 및 시행령 개정사항 안내’(이하 ‘가이드’)를 발표하면서 실무에서 개정법에 따른 개인정보 활용 방법에 대한 구체적인 가이드라인을 제시하였다.
개인정보보호위원회, 고학수 위원장2. 개인정보처리자(회사)의 개인정보 수집, 이용에서 정보주체(고객)의 ‘동의’ 여부
구체적인 내용에 앞서 먼저 짚고 갈 것은, 이제 개인정보 수집 및 이용을 위해 개인정보주체의 동의를 전부 받지 않아도 되는 것은 아니다. 원칙은 동의를 받는 것이다. 다만, 동의를 받지 않고도 가능한 경우가 현실성 있게 개정된 것이다.
가. 온, 오프라인 사업 구별 없이 일원화
종전법에서는 오프라인 사업 주체를 기본으로 하고 있었다. 정보통신서비스(인터넷 쇼핑, 포털, 온라인게임, SNS 등, 이하 ‘온라인 서비스’)를 제공하는 회사의 경우에는 개인정보 수집 및 이용의 일반조항 제15조가 아니라 제39조의3을 신설해서 별도 적용을 해왔다. 종전법에서는 온라인 서비스는 개인정보를 수집 및 이용을 하기 위해서는 무조건 정보주체의 동의가 필요했다.
그러나 개정법에서는 별도로 관리하던 제39조의3을 삭제하고 제15조에서 온, 오프라인 서비스 구분 없이 일원화하여 적용하도록 하였다. 따라서 이제 온라인 서비스도 경우에 따라서 고객의 개인정보를 수집 및 이용할 때 별도 동의를 받지 않아도 된 것이다.
모든 사항에 대해 동의를 받아야 했던 기존 상황. 예시) 등기맨 회원가입
나. 개인정보를 수집 및 이용할 때 ‘동의’ 안 받아도 되는 사유 완화
종전 법에서도 오프라인 서비스는 법령에 따른 경우, 공공기관의 경우, 계약 체결 및 이행을 위해 불가피한 경우, 의사표시를 할 수 없을 정도로 명백하고 급박한 피해가 있는 경우 등에서는 정보주체의 동의를 받지 않고 개인정보를 수집 및 이용할 수 있었다. 그러나 위 예외 조항 내용이 지나치게 엄격하여 실효성이 떨어졌고, 대다수의 회사가 온라인 서비스를 영위하기 때문에 이마저도 적용대상이 아니었던 것이다.
개정법에서는 회사와 고객 간 계약을 체결하기 준비단계이거나 체결한 계약을 이행하기 위해서 개인정보 확인이 필요한 경우에는 ‘불가피’ 한 경우가 아니라도 개인정도 수집 및 이용이 가능하게 되었다. 즉, 개정법에서는 ‘불가피하게’를 삭제하여 회사와 고객 간 자유로운 서비스 이용 과정에서는 번거롭게 동의를 받지 않아도 된 것이다. 스타트업 법률자문으로 주로 하는 필자가 생각하기에 이 부분이 이번 개정법에서의 핵심 사항으로 생각되며 매우 환영하는 부분이다.
종전에는 하나하나 전부 동의받아야 했던 현황 @등기맨 제공가이드가 제시한 구체적인 사례를 살펴보면, 인터넷 쇼핑몰이 고객으로부터 구매상품을 주문을 받아 ‘결제-배송-AS’ 등 계약 이행을 위해 고객의 주소, 연락처, 결제 정보 등을 수집하고 이용하는데 고객의 동의가 필요하지 않는다. 계약 체결하는 과정에서도 마찬가지이다. 우리가 흔히 접하는 온라인서비스를 이용하기 위해서는 회원가입을 해야 한다. 기존에는 고객이 회원가입을 할 때 개인정보를 입력하고 개인정보 수집 및 이용에 대한 동의 체크박스가 있어야만 했다. 이에 따라 고객도 이를 선택해야만 회원가입이 가능했다. 그런데 이제는 고객은 회원가입을 요청하는 경우 회사는 별도 동의를 받지 않아도 고객의 이름, 연락처, 생성 아이디 등을 수집하고 이용할 수 있다.
3. 제3자 제공에서도 ‘동의’를 받지 않아도 가능한 경우
개인정보의 제3자 제공 부분이 개인정보 관련 이슈에서 가장 까다로운 이슈 중 하나이다. 개인정보의 제3자 제공도 기본적으로는 회사(개인정보처리자)의 수집 및 이용과 유사하다. 다만, 앞서 살펴본 법 제15조 제1항 제4호인 ‘고객과의 계약 체결이나 계약 이행을 위함’은 제3자 제공에서는 제외되어 정보주체의 동의를 별도로 받아야 한다. 그러나 개정법에서는 사람의 생명, 신체, 재산의 이익에 대해서 굉장히 위급한 상황이 발생하거나 공중 위생 등 공공의 안전과 안녕을 위해 긴급히 필요한 경우에는 정보주체의 동의 없이 제3자에게 개인정보를 제공해도 된다는 부분으로 완화되었다.
예를 들어 렌터카 사업자가 아동 대상 범죄가 예상되는 급박한 상황에서 관계기관으로부터 구조를 위해 렌터카 고객(범죄자)의 이름, 주소 등 정보를 요청받으면 정보주체인 범죄자의 동의 없이 알려줄 수 있게 되었다. 또한, 재난 및 실종 등 국민의 생명, 신체에 대한 위험이 급박한 상황에서는 신속한 구조를 위해 정보주체 동의 없이 CCTV를 제공할 수도 있게 되었다.
'전 남편 살인사건' 범인 고유정의 범행준비 cctv, @제주동부경찰서 제공4. 마무리. 서비스 이용 및 제공을 위해서는 이제 “동의” 없어도 가능
이번 개인정보호보법의 개정은 앞서가던 시대 흐름에 한발 더 다가간 내용으로 평가되고 있다. 실무 현실에 맞지 않는 불필요한 절차를 줄여주었으며 그동안 온라인 서비스를 특수 취급했던 괴리감을 해결했다. 이제 많은 IT회사와 스타트업들도 온라인 서비스를 만들 때 복잡하고 번거로웠던 개인정보 수집 및 이용에 대한 동의 체크박스에 대한 부담이 낮아지게 되었다.
최앤리 법률사무소, 최철민 대표변호사
