개인정보[2] 당신 앱에 체크박스 하나 놔드려야겠어요
개인정보보호법, 신용정보법, 위치정보법: 최소수집, 파기, 동의 취득
Intro
이번 글에서는 어떻게 하면 개인정보를 적법하게 활용할 수 있는지 알아보겠습니다.
우리나라 개인정보 법령의 규제를 아주 거칠게 3가지로 요약하면 1) 웬만하면 수집하지 마라, 2) 수집할꺼면 동의받고 해라, 3) 그게 치명적인 정보라면 - 지인짜 웬만하면 수집하지 마라 + 정 수집해야 하면 동의받고 최선을 다해 안전하게 보관해라 정도입니다.
기본적으로 개인정보를 수집하고 활용하는 것은 다른 부모의 아이를 데려다가 필요한 곳에 활용한 뒤 그 부모에게 다시 돌려주는 것과 유사합니다.
1) 필요할 때에만 아기를 데여와서 활용하는 것이 좋겠죠, 그리고 필요 목적이 끝나면 그 부모에게 즉시 다시 데려다주어야 합니다. 2) 그 부모의 허락 없이 아이를 데리고 오면 큰일납니다. 부모의 허락을 받고 데려왔으면 그 허락의 내용대로만 활용해야지, 엄한 곳에 쓰거나 엄한 사람한테 다시 줘버리면 안됩니다. 3) 만약 그 아이가 약간 아프거나 자극에 취약한 아이라면 좀 더 조심해야 합니다.
위와 같이 개인정보를 처리할 때 남의 아이를 처리한다는(?) 관점을 가지면 대한민국의 개인정보 법령을 좀 더 쉽게 이해할 수 있습니다.
내 소중한 개인정보.. 잃을 수 없어!!아래에선 위 3가지를 좀 더 구체적으로 찬찬히 살펴보겠습니다.
웬만하면 수집하지 말 것
필요 최소 수집의 원칙
프로젝트 운영에 필요한 최소한의 개인정보만을 수집해야 합니다(개보법 제3조, 제15조 등). 이른바 '필요 최소 수집의 원칙'입니다. 수집 자체를 필요한 때에만 할 수 있도록 해서 소중한 개인정보가 쓸모없이 나돌아다니지 않도록 하는 첫 번째 규제입니다.
가끔 현업분들께서 '일단 수집하죠 뭐 나중에 필요할 수도 있으니까..' 이렇게 말씀하시는 경우가 있습니다. 혹시 필요할 수도 있으니 하는 마음으로 수집하는 것은 위 조항에 위배될 수 있습니다.
또 다른 예로 'ID'만으로 개인을 식별해서 서비스를 제공할 수 있는데, 괜히 '여자'인가? '주소' 어디 살지? '소득'이 얼마지? 이렇게 서비스를 제공하는 것과 전혀 상관없는 정보까지 수집하면 사단이 날 수 있습니다. 딱 필요한 정보만 궁금해할 필요가 있습니다.
그런데 실제 프로젝트를 준비해보면, 어느 범위까지 정보가 필요할지 판단이 애매한 부분이 생깁니다. 예를 들면 소개팅 어플리케이션을 만들려면 좋은 애인 후보를 선정해서 추천해줘야 하는데, 이를 위해 수집할만한 정보는 무궁무진하고 다양할 수 있습니다. 그 사람이 몇 살이지? 서울에 살고 있나? 직장은 어디지? 성격은 어떤 편인가? MBTI는? 별의별 정보들이 궁금할 수 있지요.
이렇게 필요한지 필요하지 않은지에 대한 생각은 보통 주관적일 수 있습니다. 그래서 실무에서는 '필요 최소 수집의 원칙'이 문제되기 어려운 것이 현실입니다. 그렇지만 너무 광범위하게 정보를 수집하면 개인정보 법령 위반이라는 지적이 있을 수 있으니 여전히 주의하실 필요는 있습니다.
즉시 파기의 원칙
아까 개인정보를 아이에 비유한 부분에서, 아이가 할일을 다 했으면 부모에게 즉시 돌려보내야 한다고 했었죠?
필요한 용도에 개인정보를 쓰고난 뒤 목적을 달성해서 동 개인정보가 불필요해지면 즉시 파기해야 합니다(개보법 제21조 등). 여기도 '즉시 파기의 원칙'이라고 좀 있어보이는 이름을 붙여보겠습니다. 필요 없는 정보는 재깍재깍 삭제해서 불필요하게 개인정보다 나돌아다니지 않게 하는 규제입니다.
가끔 채용을 진행해서 이력서를 받았는데, 채용이 끝난 뒤에도 이력서 파일을 지우지 않는 경우가 있습니다. 채용 종료 뒤에도 이력서를 보유하겠다고 따로 동의를 받은게 아니라면, 그 이력서 파일은 삭제하는 것이 맞습니다.
프로젝트 고객이 회원가입을 한 뒤 회원탈퇴를 했습니다. 가슴아픈 비유이지만 사귀던 사람이 이제 그만만나자 헤어지자고 한 거죠. 회원탈퇴한 고객의 정보를 불필요하게 계속 가지고 있으면 위 조항에 위배될 수 있습니다. 헤어졌으면 연락처 목록에서 삭제해야죠. 미련을 버리시기 바랍니다.
(물론 필요한 경우가 가끔 있습니다. 고객이 탈퇴 후 재가입을 계속 반복해서 부정가입을 막을 필요가 있을 때, 요금을 안내고 탈퇴하려는 분이 계실 때.. 쉽게 놓아드릴 수 없죠. 그래서 실무에서 사업자들은 필요에 따라 탈퇴일로부터 N개월 정도 보유하는 경우도 있습니다.)
브런치 회원가입 개인정보 보유기간 안내, 탈퇴 후 지체없이 삭제라고 기재되어 있다. 활용해야 한다면 '동의'를 받고 활용할 것
개인정보 규제의 핵심, 동의
개인정보 법령은 정보주체의 "동의"를 중심으로 개인정보 처리를 규제하고 있습니다.
잠깐 비교를 해보겠습니다. 사람을 때리거나 상해입히는 행위는 피해자의 사전 동의가 있어도 용서되지 않습니다. 피해자가 다치면 치료비도 들고 노동도 못하게 되어 그 사람과 사회 모두에 큰 손실이 발생하기 때문에 피해자의 동의 여부와 상관없이 용납될 수 없는 행위인 것이지요. 요컨대 '그냥 하지마!' 제도입니다.
그런데 개인정보를 유용하는 행위는 사람을 때리거나 상해입히는 것만큼 심각한 행위는 아닙니다. 이전 글에서 말씀드린 것처럼 개인정보 법령의 기본적인 목적은 개인의 쪽팔림을 방지해주는 것입니다. 쪽팔림의 위험 정도는 감수할지 말지 개인의 선택에 맡겨도 됩니다. 요컨대 '니가 쪽팔릴까봐 개인정보를 보호해주는 건데, 너가 그 쪽팔림 감수할 생각이 있다면 우리도 굳이 말리진 않겠다' 제도입니다.
그래서 개인정보 법령은 정보주체의 동의를 받으면 그의 개인정보를 동의의 범위 내에서 처리할 수 있도록 하고 있고, 동의 없이 개인정보를 처리하면 처벌하고 있습니다.
회원가입 절차에서 절대 빠지지 않는 체크박스의 정체
어떤 분은 "아니 난 동의한 적이 없는데?"라고 반문하실 수도 있습니다. 하지만 그런 분들 조차도, 미처 인지하지는 못했을 뿐 회원가입을 할 때마다 개인정보 수집 및 이용에 계속 동의해오셨습니다.
사용하시는 포털 사이트 아무거나 들어가서 회원가입 버튼을 눌러보세요. 수없이 많은 체크박스와 함께 개인정보에 관한 고지사항을 확인하실 수 있습니다.
브런치 회원가입 장면, 체크박스 중에 '개인정보 수집 및 이용 동의'가 있다.우리는 대부분의 경우 읽어보지 않은 채 체크박스를 체크하고 회원가입을 완료하지만, 그 과정 가운데 '내 개인정보 가져가~ 그리고 필요한 목적에 따라 사용해~'와 같은 동의가 모두 포함되어 있는 것입니다.
동의 약관을 하나하나 살펴보기 어렵고, 또 살펴보더라도 그것을 수정할 여지는 거의 없으므로, 동의를 받도록 하는 규제가 과연 개인정보 보호에 실효성이 있는지 의문을 제기하는 견해도 있습니다. 사실 개인정보 사건을 여러번 다뤄본 변호사인 저조차도, 회원가입할 때에는 허겁지겁 체크박스 찾아서 누르기에 바쁘지 내용은 읽어보지 않습니다..
그래도 어쨌든 정보주체가 리스크를 판단하도록 하고 그가 리스크를 감수하기로 동의했다면 개인정보 활용이 가능하도록 하는 것이 개인정보 규제의 기본적인 태도입니다.
동의 취득 절차의 중요성
"필요한 정보만 수집했는지" 판단하는 것은 주관적이다보니 어렵다고 했던 거 기억하시나요? "동의를 받았는지" 판단하는 것은 비교적 훨씬 쉽습니다. 사이트 들어가서 체크박스 있는지 살펴보면 되니까요. 그래서 사업자들이 개인정보 관련해서 제재를 받는 경우 대부분은 1) 이 체크박스가 없거나, 2) 체크박스를 잘못 만들었거나, 3) 체크박스 내용과 다르게 개인정보를 처리한 경우입니다.
결국 정보주체로부터 제대로 된 동의를 취득하는 것이 적법하게 개인정보를 처리하는데 매우 중요하게 됩니다. 다음 글에서는 적법한 동의를 취득하는 방법에 대해 다뤄보겠습니다.
적용
1. 프로젝트가 개인정보를 수집한다면, 그 정보가 꼭 필요한지 체크해보세요
2. 프로젝트가 개인정보를 수집한다면, 이에 대해 정보주체의 동의를 받고 있는지 체크해보세요
