개인정보취급방침
온라인 플랫폼은, 고객이 상품 내지 서비스를 제공 받기 위해서는 대부분 회원가입 절차를 거치도록 하고 있으며, 이때 회사는 고객의 정보를 수집하게 된다. 고객의 정보에는 개인정보, 신용정보, 위치정보 등 다양한 관련 정보가 있다. 흔히 수집하게 되는 정보는 ‘개인정보’다. 온라인을 통해 개인정보를 수집하게 되는 경우에 기본적으로 적용되는 법률은 『정보통신망 이용촉진 및 정보보호 등에 관한 법률』(이하 ‘정보통신망법’)이다. 이 법에 따라 개인정보를 수집하면 된다.
먼저 ‘개인정보’가 무엇인지 이해하자. 쉽게 말하면, 살아 있는 개인을 다른 사람과 구별할 수 있는 정보를 말한다. 예를 들어 주민등록번호처럼 그 자체만으로 누구인지 알 수 있다면 이견 없이 개인정보에 해당된다.
그렇다면 휴대폰 번호 뒷자리는 개인정보일까?
여기서 개인정보의 개념을 이해할 수 있는 법원의 판단을 소개한다. 휴대폰 번호 뒷자리와 같은 정보는 그 자체만으로 누구인지 알아볼 수 없다. 그러니 개인정보가 아니라고 생각하기 쉽다. 그러나 실제 우리나라 법원에서는 휴대폰 번호 뒷자리 4자가 전화번호 사용자의 정체성이 담기는 현상이 점점 심화 되고 있다는 점 등을 근거로 개인정보에 해당한다고 판단한 사례가 있다. 법원은 추가적으로 설령 휴대전화번호 뒷자리 4자만으로는 그 전화번호 사용자를 알 수 없다 하더라도 그 뒷자리 번호 4자와 관련성이 있는 다른 정보(생일, 기념일, 집 전화번호, 가족 전화번호, 기존 통화내역 등)와 쉽게 결합했을 때 그 전화번호 사용자가 누구인지를 알아볼 수 있기 때문에 개인정보에 해당한다고 설명하고 있다(대전지방법원 논산지원 2013. 8. 9. 선고 2013고단17 판결 참조).
여기서 우리가 제대로 알아야 하는 것은, 개인정보 자체만으로 누구인지 몰라도 다른 정보와 쉽게 결합하여 정보의 주체가 누구인지 알 수 있다면 그 정보는 개인정보에 해당한다는 점이다. 개인정보인지 판단할 때 그 정보 자체만 보고 판단하지 말자.
사업자는 ①어떤 정보를 수집하고, ②어떤 목적으로 사용하며, ③보유·이용기간은 얼마나 되는지 구체적으로 제시하여 고객이 쉽게 알 수 있도록 하는 것이 중요하다.
Action 1 수집항목
서비스 제공을 위해서 꼭 필요한 개인정보(A)와 마케팅 등 사업자의 필요에 의해 수집하려는 개인정보(B)를 나누자.
개인정보 (A)
1) “반드시” 동의를 받아야 한다.
2) 동의 요구 가능. 즉, 동의 거부하면 서비스 제공하지 않아도 된다.
개인정보 (B)
1) 반드시 “별도의” 동의를 받아야 한다. – A정보의 동의와 별도로
2) 동의 요구 불가. 즉, 동의 거부해도 서비스 제공해야 한다.
Action 2 수집·이용목적
수집한 정보를 어떠한 목적으로 사용할지 “명확히” 정하자.
- 회원가입, 서비스 제공 목적 “등” (X)
- 회원가입, 서비스 제공 목적 (O)
Action 3 보유·이용기간
개인정보의 수집 목적을 달성한 경우에는 지체 없이 정보를 파기하는 것이 좋다.
기간설정은, 법률에서 정한 기간이 있다면 그 기간에 따라, 없다면 수집·이용 목적 내에서 최소 기간으로 정하면 된다.
위의 약관 파트에서 언급했듯이, 개인정보도 수집하는 것에만 집중하면 안 된다. 중요한 것은 수집 후 사업자가 개인정보에 대해 어떠한 의무를 부담하고 있는지 이해하고 대비하는 것이다. 최근 민감한 이슈인 개인정보 유출로 인한 피해를최소화 하려면 사실 개인정보 ‘관리’가 중요하다. 아래 내용은 개인정보 수집 후 사업자가 부담하는 기본적인 의무이다.처음 보는 의무라면 주의 깊게 읽어보시길 권한다.
● 파기의무 (정보통신망법 제29조, 제76조)
￭ 개인정보 수집 목적을 달성했거나, 보유 및 이용기간이 끝나면 개인정보를 복구나 재생이 불가능하도록 파기해야 한다.
(위반시: 3천만원 이하의 과태료)
￭ 서비스를 1년 동안 이용하지 않는 고객의 개인정보는 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장·관리해야 한다. 이 경우, 1년의 시점을 기준으로 기간 만료 30일 전까지 고객에게 알려야 한다. 보통 이메일로 이러한 내용을 받아본 경험이 있을테니 기억나는 이메일을 확인해 보는 것도 방법이다.조치의무 (정보통신망법 제30조, 제76조)
고객이 본인에 관한 정보 등을 열람 또는 제공할 것을 요구하면 지체 없이 이에 필요한 조치를 하여야 한다.
(위반시: 3천만원 이하의 과태료)
● 조치의무 (정보통신망법 제44조의2, 3)
사업자가 제공하는 플랫폼 등을 통해 고객의 사생활 침해나 명예훼손 등으로 고객의 권리 침해 문제가 발생하는 경우, 그 고객은 삭제 또는 반박내용의 게재를 요청할 수 있다. 이 경우 사업자는 지체 없이 삭제 등 필요한 조치를 하여야 한다.
위의 의무 외에 인적인 관리도 필요하다.
개인정보관리책임자를 지정하자(상시 종업원 수가 5명 이상인 경우). 상시 종업원 수가 5명 미만으로 전년도 말 기준으로 직전 3개월간의 플랫폼의 일일평균이용자가 1천명 이하인 사업장이라면 그 사업주 또는 대표자를 개인정보관리책임자로 지정하면 된다(정보통신망법 제27조, 동법 시행령 제13조 참조). 그리고 고객의 개인정보를 다루는 직원에 대한 개인정보취급방침의 준수는 물론 개인정보 보안을 위한 교육에 신경써야 한다.
아마 모든 사업자는 자신의 사업에 가치를 부여하고, 사업을 통해 성공하길 원할 것이다. 그런데 필자는 법률상담을 할 때 의아함을 느낄 때가 많다. 상품이나 서비스의 가치는 중요시 하면서, 상품이나 서비스 제공에 관하여 고객과 체결하는 계약이나 약관, 고객의 개인정보를 수집하기 위한 내용은 온라인에서 떠돌아다니는 정보를 변경 없이 그대로 사용하고 있기 때문이다. 내가 만난 고객 중 90%이상은 계약, 약관, 개인정보취급방침의 내용을 잘 알지 못했다. 사업주도 모르는 내용을 고객에게 알리고 있었던 것이다.
Action
✔ 지금 당신은 고객에게 제공되는 약관과 개인정보취급방침의 내용을 제대로 알고 있는가? 지금도 늦지 않았다.
✔ 그대로 복붙했던 약관과 개인정보취급방침을 꺼내라. 그리고 읽어라. 문제점을 발견했는가?
그렇다면 당신 사업의 법률 리스크는 이미 줄어들었다.
개인정보취급방침
온라인 플랫폼은, 고객이 상품 내지 서비스를 제공 받기 위해서는 대부분 회원가입 절차를 거치도록 하고 있으며, 이때 회사는 고객의 정보를 수집하게 된다. 고객의 정보에는 개인정보, 신용정보, 위치정보 등 다양한 관련 정보가 있다. 흔히 수집하게 되는 정보는 ‘개인정보’다. 온라인을 통해 개인정보를 수집하게 되는 경우에 기본적으로 적용되는 법률은 『정보통신망 이용촉진 및 정보보호 등에 관한 법률』(이하 ‘정보통신망법’)이다. 이 법에 따라 개인정보를 수집하면 된다.
먼저 ‘개인정보’가 무엇인지 이해하자. 쉽게 말하면, 살아 있는 개인을 다른 사람과 구별할 수 있는 정보를 말한다. 예를 들어 주민등록번호처럼 그 자체만으로 누구인지 알 수 있다면 이견 없이 개인정보에 해당된다.
그렇다면 휴대폰 번호 뒷자리는 개인정보일까?
여기서 개인정보의 개념을 이해할 수 있는 법원의 판단을 소개한다. 휴대폰 번호 뒷자리와 같은 정보는 그 자체만으로 누구인지 알아볼 수 없다. 그러니 개인정보가 아니라고 생각하기 쉽다. 그러나 실제 우리나라 법원에서는 휴대폰 번호 뒷자리 4자가 전화번호 사용자의 정체성이 담기는 현상이 점점 심화 되고 있다는 점 등을 근거로 개인정보에 해당한다고 판단한 사례가 있다. 법원은 추가적으로 설령 휴대전화번호 뒷자리 4자만으로는 그 전화번호 사용자를 알 수 없다 하더라도 그 뒷자리 번호 4자와 관련성이 있는 다른 정보(생일, 기념일, 집 전화번호, 가족 전화번호, 기존 통화내역 등)와 쉽게 결합했을 때 그 전화번호 사용자가 누구인지를 알아볼 수 있기 때문에 개인정보에 해당한다고 설명하고 있다(대전지방법원 논산지원 2013. 8. 9. 선고 2013고단17 판결 참조).
여기서 우리가 제대로 알아야 하는 것은, 개인정보 자체만으로 누구인지 몰라도 다른 정보와 쉽게 결합하여 정보의 주체가 누구인지 알 수 있다면 그 정보는 개인정보에 해당한다는 점이다. 개인정보인지 판단할 때 그 정보 자체만 보고 판단하지 말자.
사업자는 ①어떤 정보를 수집하고, ②어떤 목적으로 사용하며, ③보유·이용기간은 얼마나 되는지 구체적으로 제시하여 고객이 쉽게 알 수 있도록 하는 것이 중요하다.
Action 1 수집항목
서비스 제공을 위해서 꼭 필요한 개인정보(A)와 마케팅 등 사업자의 필요에 의해 수집하려는 개인정보(B)를 나누자.
개인정보 (A)
1) “반드시” 동의를 받아야 한다.
2) 동의 요구 가능. 즉, 동의 거부하면 서비스 제공하지 않아도 된다.
개인정보 (B)
1) 반드시 “별도의” 동의를 받아야 한다. – A정보의 동의와 별도로
2) 동의 요구 불가. 즉, 동의 거부해도 서비스 제공해야 한다.
Action 2 수집·이용목적
수집한 정보를 어떠한 목적으로 사용할지 “명확히” 정하자.
- 회원가입, 서비스 제공 목적 “등” (X)
- 회원가입, 서비스 제공 목적 (O)
Action 3 보유·이용기간
개인정보의 수집 목적을 달성한 경우에는 지체 없이 정보를 파기하는 것이 좋다.
기간설정은, 법률에서 정한 기간이 있다면 그 기간에 따라, 없다면 수집·이용 목적 내에서 최소 기간으로 정하면 된다.
위의 약관 파트에서 언급했듯이, 개인정보도 수집하는 것에만 집중하면 안 된다. 중요한 것은 수집 후 사업자가 개인정보에 대해 어떠한 의무를 부담하고 있는지 이해하고 대비하는 것이다. 최근 민감한 이슈인 개인정보 유출로 인한 피해를최소화 하려면 사실 개인정보 ‘관리’가 중요하다. 아래 내용은 개인정보 수집 후 사업자가 부담하는 기본적인 의무이다.처음 보는 의무라면 주의 깊게 읽어보시길 권한다.
● 파기의무 (정보통신망법 제29조, 제76조)
￭ 개인정보 수집 목적을 달성했거나, 보유 및 이용기간이 끝나면 개인정보를 복구나 재생이 불가능하도록 파기해야 한다.
(위반시: 3천만원 이하의 과태료)
￭ 서비스를 1년 동안 이용하지 않는 고객의 개인정보는 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장·관리해야 한다. 이 경우, 1년의 시점을 기준으로 기간 만료 30일 전까지 고객에게 알려야 한다. 보통 이메일로 이러한 내용을 받아본 경험이 있을테니 기억나는 이메일을 확인해 보는 것도 방법이다.조치의무 (정보통신망법 제30조, 제76조)
고객이 본인에 관한 정보 등을 열람 또는 제공할 것을 요구하면 지체 없이 이에 필요한 조치를 하여야 한다.
(위반시: 3천만원 이하의 과태료)
● 조치의무 (정보통신망법 제44조의2, 3)
사업자가 제공하는 플랫폼 등을 통해 고객의 사생활 침해나 명예훼손 등으로 고객의 권리 침해 문제가 발생하는 경우, 그 고객은 삭제 또는 반박내용의 게재를 요청할 수 있다. 이 경우 사업자는 지체 없이 삭제 등 필요한 조치를 하여야 한다.
위의 의무 외에 인적인 관리도 필요하다.
개인정보관리책임자를 지정하자(상시 종업원 수가 5명 이상인 경우). 상시 종업원 수가 5명 미만으로 전년도 말 기준으로 직전 3개월간의 플랫폼의 일일평균이용자가 1천명 이하인 사업장이라면 그 사업주 또는 대표자를 개인정보관리책임자로 지정하면 된다(정보통신망법 제27조, 동법 시행령 제13조 참조). 그리고 고객의 개인정보를 다루는 직원에 대한 개인정보취급방침의 준수는 물론 개인정보 보안을 위한 교육에 신경써야 한다.
아마 모든 사업자는 자신의 사업에 가치를 부여하고, 사업을 통해 성공하길 원할 것이다. 그런데 필자는 법률상담을 할 때 의아함을 느낄 때가 많다. 상품이나 서비스의 가치는 중요시 하면서, 상품이나 서비스 제공에 관하여 고객과 체결하는 계약이나 약관, 고객의 개인정보를 수집하기 위한 내용은 온라인에서 떠돌아다니는 정보를 변경 없이 그대로 사용하고 있기 때문이다. 내가 만난 고객 중 90%이상은 계약, 약관, 개인정보취급방침의 내용을 잘 알지 못했다. 사업주도 모르는 내용을 고객에게 알리고 있었던 것이다.
Action
✔ 지금 당신은 고객에게 제공되는 약관과 개인정보취급방침의 내용을 제대로 알고 있는가? 지금도 늦지 않았다.
✔ 그대로 복붙했던 약관과 개인정보취급방침을 꺼내라. 그리고 읽어라. 문제점을 발견했는가?
그렇다면 당신 사업의 법률 리스크는 이미 줄어들었다.