온라인쇼핑몰을 운영하는 사업자뿐 아니라 오프라인에서 제품을 판매하면서 웹사이트에서 회원가입을 받는 사업자도 정보통신망법에 따라 개인정보보호 의무를 이행해야 한다. 개인정보를 수집할 때, 이용자에게 정보통신망법에 따른 고지사항을 알리고 동의를 얻어야 한다. 형식만 갖춰서는 곤란하다. 이용자가 쉽게 알아볼 수 있도록 명확하게 표시해야 한다. 스마트폰 앱 개발업체의 경우 ‘접근권한 동의’와 ‘개인정보 수집·이용 동의’를 동일하게 인식하는 사례가 많아 주의가 필요하다.

다른 정보와 결합해 개인특정 가능하면 개인정보

17일 한국인터넷진흥원이 주최한 개인정보보호 정책세미나에서 박지용 한국인터넷진흥원 선임연구원은 “해당정보만으로는 개인을 특정할 수 없더라도, 다른 정보와 결합해 특정개인을 알 수 있다면 개인정보에 해당한다”며 “개인정보에 해당할 수 있는 정보를 숙지하고 적법한 보호조치를 취해야 한다”고 강조했다. 

정보통신망법에 따르면 개인정보는 생존하는 개인에 관한 정보로서, 특정한 개인에 대한 사실·판단·평가 등 개인에 관한 모든 정보를 의미한다. 해당정보만으로는 특정개인을 알아볼 수 없어도 다른 정보와 쉽게 결합해 알 수 있으면 개인정보에 해당한다. 박지용 선임연구원은 “다른 정보과 결합했을 경우를 상정하면 개인정보범위가 굉장히 넓어지게 된다. 다만 가이드라인에서 ‘입수가능성’이라는 개념을 적용하는데, 사업자가 다른 정보를 적법한 방법으로 구할 수 있어야 한다는 얘기다. 개인정보 범위를 일부 축소하려는 의도로 보인다”고 말했다.

17일 한국인터넷진흥원이 주최한 개인정보보호 정책 세미나에서 박지용 선임연구원은 “동의를 구하고 있다는 사실과 고지사항을 명확히 인식하고 자발적 의사에 따라 동의여부를 결정할 수 있어야 한다. 이용자 입장에서 알기 쉬워야 한다는 점이 핵심”이라고 설명했다.   ©중기이코노미

박지용 선임연구원은 “판례는 구체적인 사건에 대한 판단이다. 결론을 일반적으로 적용하는건 아니다. 다만, 논리는 다른 사건에서도 이용될 수 있다. 개인정보 여부는 사안에 따라 달라진다. 사업자가 가지고 있는, 입수할 수 있는 정보에 따라 판단이 달라진다. 상황을 고려해야 한다”고 설명했다.

개인정보보호 관련법률은 일반법 개인정보보호법과 정보통신·금융·의료·교육 분야에 특별법이 있다. 동일사항에 대해 일반법과 특별법이 충돌하면 특별법을 우선 적용한다.

정보통신망법은 정보통신서비스 이용자의 개인정보보호를 목적으로 하며, 전기통신설비를 이용해 통신을 매개하거나 정보를 제공하는 사업자, 정보통신서비스 제공자로부터 개인정보를 제공받은 자, 방송사업자 등에 적용한다. 초고속인터넷사업자, 이동통신사 등 기간통신사업자와 포털·게임 사이트, 온라인쇼핑몰사이트 등 부가통신사업자뿐 아니라, 오프라인으로 상품판매시 웹사이트에서 회원가입을 받는 경우에도 적용된다. 

고지와 동의, 이용자가 알기 쉽게 표시해야

정보통신망법 적용대상 사업자는 개인정보를 수집할 때 적법한 절차를 거쳐야 한다. 정보통신망법이 규정하는 개인정보수집 원칙에 따르면 이용자 개인정보를 수집할 때 법정사항을 이용자에게 알리고 동의를 받아야 한다. 박지용 선임연구원은 “동의를 받아야 한다는건 다들 인지하고 있는데, 진짜 중요한건 고지사항을 알렸는지 여부”라고 강조했다. 사업자는 수집·이용 목적, 수집하는 개인정보 항목, 보유 및 이용기간을 고지하고 동의를 받아야 한다.

고지방식도 형식적으로 해선 안된다. 적법한 동의를 받기 위해서는 이용자가 개인정보결정권을 자유롭게 행사할 수 있도록 고지사항 전부를 ‘명확하게’ 기재해야 한다. 고지사항을 제일 하단에 배치하고 팝업창에서 확인 버튼만 선택하면 동의한 것으로 간주하도록 한 사건에서, 적법한 동의를 받은 것으로 볼 수 없다고 판단한 판례도 있다. 이 판례에서 법원은 고지사항을 게재하는 부분과 이용자가 동의여부를 표시할 수 있는 부분이 밀접하게 배치돼야 적법하다고 했다. 

박 선임연구원은 “동의를 구하고 있다는 사실과 고지사항을 명확히 인식하고, 자발적 의사에 따라 동의여부를 결정할 수 있어야 한다. 이용자 입장에서 알기 쉬워야 한다는 점이 핵심”이라고 설명했다.

<자료=한국인터넷진흥원>

‘접근권한 동의’와 ‘개인정보 수집·이용 동의’ 구분해야

스마트폰 앱을 개발하는 업체라면 ‘접근권한 동의’ 의무를 이행해야 한다. 정보통신망법에 따르면 이용자 스마트폰에 서비스를 제공하기 위해 연락처 등에 대한 접근권한이 필요한 경우, 필수적·선택적 접근권한으로 분류해 법정사항을 고지하고 동의를 받아야 한다.

접근권한 획득시 안내사항은 접근권한이 필요한 정보 및 기능의 항목, 접근권한이 필요한 이유, 접근권한 허용에 대해 동의를 거부할 수 있다는 사실 등이다. 다만, 동의거부 여부는 해당접근권한이 서비스 제공에 반드시 필요한 경우에는 생략할 수 있다.

다만, 현실에서는 앱 설치시 접근권한 동의는 앱 개발업체가 아닌 스마트폰에 내장된 운영시스템에 의해 이뤄진다. 박지용 선임연구원은 “접근권한 동의는 OS가 자동으로 받기 때문에 개발업체는 고지만 제대로 하면 된다. 앱스토어에 올린 앱정보에 고지사항을 반드시 명시해야 한다”며 “앱 설치시뿐 아니라, 개발업체가 통제할 수 있는 앱 실행시에도 고지와 동의 절차를 거치는 방법이 가장 바람직하다”고 권고했다.

‘접근권한 동의’와 ‘개인정보 수집·이용 동의’를 구분해야 한다. 박지용 선임연구원은 “스마트폰 앱 접근권한을 받으면 개인정보를 수집해도 된다고 오해하는 경우가 많다”며 “접근권한에 대한 동의는 해당정보에 대한 수집 동의가 아니다. 해당정보가 개인정보 관련법령에 따라 보호받는 개인정보이고, 이를 앱 서비스 제공자가 수집하려면 개인정보 수집·이용에 대한 동의를 별도로 받아야 한다”고 경고했다.

<저작권자 ⓒ 중기이코노미. 무단전재 및 재배포 금지>

• 관련기사 ㅣ 개인정보 과다 제공, 동의절차 부적절 소셜로그인
• 관련기사 ㅣ 비식별 조치한 개인정보, 동의없이 활용한다
• 관련기사 ㅣ 제조사, AS위해 고객정보 관리하면 GDPR 적용
• 관련기사 ㅣ 개인정보 보호하고, 빅데이터 활용 높일 정책은