아홉 번째 발걸음수집 목적과 법적 근거를 먼저 정한다

회원가입 화면에서 많은 항목을 한꺼번에 요구하고 마지막에 ‘모두 동의’를 붙이면 개인정보 처리가 적법해질까요? 동의는 중요한 근거지만 모든 처리를 정당화하는 만능 문구가 아닙니다. 먼저 어떤 업무를 위해 어떤 정보가 필요한지 정하고, 수집·이용할 수 있는 법적 근거가 무엇인지 판단해야 합니다. 동의받는 화면은 그 판단 뒤에 설계합니다.

개인정보 보호법 제15조는 동의 외에도 법률의 특별 규정이나 법령상 의무 이행의 불가피성, 공공기관의 소관 업무 수행, 정보주체와의 계약 이행이나 계약 과정에서 요청한 조치의 필요성 등 수집·이용 근거를 정합니다. 급박한 생명·신체·재산의 이익, 엄격한 조건의 정당한 이익, 공공 안전을 위한 긴급한 필요도 규정되어 있습니다. 각 근거에는 조건이 있으므로 편리한 이름 하나를 선택하는 방식으로 사용하지 않습니다.

온라인으로 주문한 책을 보내려면 수령인과 배송지, 연락에 필요한 정보가 필요할 수 있습니다. 계약 이행에 필요한 범위인지 검토할 수 있지만, 미래의 광고를 위해 상세한 가족관계나 건강정보까지 모으는 것은 같은 이유로 설명되지 않습니다. 최소 수집의 원칙에 따라 필요한 최소 정보만 수집해야 하며 그 최소성의 입증책임은 개인정보처리자에게 있습니다. 나중에 쓸지도 모른다는 이유만으로 항목을 늘리지 않습니다.

동의를 근거로 수집·이용할 때에는 목적, 항목, 보유·이용 기간, 거부할 권리와 거부에 따른 불이익이 있다면 그 내용을 알려야 합니다. 동의의 각 사항을 구분해 정보주체가 무엇을 허용하는지 알아볼 수 있게 합니다. 필요한 최소 정보 외의 수집에 동의하지 않는다는 이유로 재화나 서비스를 거부해서는 안 됩니다. 선택 동의를 사실상 강제하면서 ‘자유롭게 동의했다’고 기록하는 것은 동의의 취지를 훼손합니다.

법에 따라 동의 없이 처리할 수 있는 정보와 동의를 받아 처리하는 정보도 구분해야 합니다. 제22조는 동의 없이 처리하는 항목과 법적 근거를 구분해 공개하거나 정해진 방법으로 알리도록 합니다. 무엇이 계약 이행에 필요한지 설명하지 않고 모든 항목을 필수 동의로 묶으면, 정보주체도 조직 내부 담당자도 실제 처리 근거를 이해하기 어렵습니다. 근거를 구분하면 목적과 보유기간을 운영에서 관리하기도 쉬워집니다.

수집한 뒤에는 목적의 범위를 지킵니다. 배송을 위해 받은 주소를 별개 업체의 광고에 사용하는 일은 처음의 목적과 같다고 당연히 볼 수 없습니다. 법은 당초 목적과 합리적으로 관련된 범위에서 추가 이용·제공을 허용하는 규정도 두고 있으나, 관련성, 예측 가능성, 정보주체의 이익 침해 여부와 안전조치 등을 검토해야 합니다. ‘우리 회사의 사업에 도움이 된다’는 주장만으로 목적 제한이 사라지지 않습니다.

목적 밖의 이용·제공은 별도의 동의나 다른 법률의 특별 규정 등 법에서 정한 요건을 따져야 합니다. 공공기관에만 적용되는 사유도 있으므로 조문에 등장한 예외를 모든 민간 서비스에 가져오면 안 됩니다. 수집 근거, 목적 안의 이용, 목적 밖의 이용, 제3자 제공은 서로 연결되지만 다른 판단입니다. 처음에 수집할 수 있었다고 모든 후속 이용이 자동으로 허용되는 것은 아닙니다.

만 14세 미만 아동의 개인정보 처리에서 법에 따른 동의가 필요한 경우에는 법정대리인의 동의를 받고 실제 동의 여부를 확인해야 합니다. 이 문장은 모든 아동 정보 처리가 언제나 동의 하나로만 가능한 것이라는 뜻이 아닙니다. 아동에게 알릴 때에는 이해하기 쉬운 형식과 언어를 사용해야 합니다. 법정대리인 동의를 받기 위해 필요한 최소 정보에 대한 별도 규정도 있으므로 그 목적을 넘어 정보를 모으지 않습니다.

참고　[286] · [294]