회원가입 화면에서 어떤 항목까지 필수 동의로 묶어도 되는지, 마케팅 문자 발송에 별도 동의가 필요한지, 해외 클라우드에 고객 데이터를 두는 것이 국외 이전에 해당하는지를 두고 망설이고 계신다면, 실무에서 판단이 갈리는 지점은 대체로 정해져 있습니다. 필요한 것은 사례 모음이 아니라 조문 단위의 확인입니다. 동의 없이 가능한 처리의 범위, 동의를 받을 때 알려야 할 항목, 위반이 확인됐을 때 제재가 정해지는 경로가 그 대상입니다. 아래 내용은 개인정보 보호법과 같은 법 시행령 조문만 근거로, 사업자가 점검할 순서대로 따라갑니다.
제15조가 열거한 수집·이용 근거: 동의는 그중 하나
개인정보의 수집ㆍ이용 근거를 정한 제15조는 정보주체의 동의를 받은 경우 외에도 다음 경우를 함께 열거합니다.
- 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
- 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우 등
- 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우
즉 모든 처리에 동의가 필요한 것은 아닙니다. 다만 동의가 아닌 근거로 처리한다면 어느 근거에 해당하는지 스스로 설명할 수 있어야 합니다.
동의를 근거로 삼는다면 알려야 할 항목이 정해져 있습니다.
- 개인정보의 수집ㆍ이용 목적
- 수집하려는 개인정보의 항목
- 개인정보의 보유 및 이용 기간
- 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용
이 사항을 변경하는 경우에도 알리고 다시 동의를 받아야 합니다.
최소 수집의 입증책임과 동의 사항 구분(제16조·제22조)
수집 범위도 제한됩니다. 개인정보의 수집 제한을 정한 제16조는 목적에 필요한 최소한의 개인정보만 수집하도록 하고, 최소한의 개인정보 수집이라는 입증책임을 개인정보처리자가 부담하도록 합니다. 또한 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 재화 또는 서비스의 제공을 거부해서는 안 됩니다.
동의를 받는 방법을 정한 제22조는 각각의 동의 사항을 구분하여 정보주체가 명확하게 인지할 수 있도록 알리고 동의를 받도록 합니다. 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보의 처리에 대한 동의를 받으려는 경우도 동의 사항을 구분하여 각각 받아야 하는 경우로 열거돼 있습니다.
서면으로 동의를 받을 때에는 수집ㆍ이용 목적, 수집ㆍ이용하려는 개인정보의 항목 등 대통령령으로 정하는 중요한 내용을 명확히 표시하여 알아보기 쉽게 해야 합니다. 선택적으로 동의할 수 있는 사항에 동의하지 아니하였다는 이유로 재화 또는 서비스의 제공을 거부하는 것도 금지됩니다.
민감정보·고유식별정보·주민등록번호와 만 14세 미만 아동
별도 동의나 법령 근거가 필요한 정보는 조문별로 기준이 다릅니다.
| 구분 | 조문 | 처리 기준 | 처리할 때 지켜야 할 것 |
|---|---|---|---|
| 민감정보(사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보) | 제23조 | 처리를 원칙적으로 금지. 법정 고지사항을 알린 뒤 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우나 법령에서 처리를 요구ㆍ허용하는 경우만 예외 | |
| 고유식별정보 | 제24조 | 별도 동의 또는 법령의 구체적 근거를 요구 | 암호화 등 안전성 확보에 필요한 조치 |
| 주민등록번호 | 제24조의2 | 법률ㆍ대통령령 등에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 등이 아니면 처리할 수 없음 | 암호화 조치를 통하여 안전하게 보관 |
주민등록번호는 기준이 더 좁습니다. 처리할 수 있는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공해야 합니다.
이용자에 아동이 포함된다면 기준이 하나 더 붙습니다. 만 14세 미만 아동의 개인정보를 처리하기 위하여 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 하고, 법정대리인이 동의하였는지를 확인해야 합니다. 아동에게 고지 등을 할 때에는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 사용해야 합니다.
외부 제공(제17조)과 업무위탁(제26조)은 절차가 다르다
개인정보의 제공을 정한 제17조는 정보주체의 동의를 받은 경우 등에 한하여 개인정보를 외부에 제공할 수 있도록 하고, 동의를 받을 때 알려야 할 사항을 함께 규정합니다. 제공 동의를 받을 때 알려야 할 사항은 다음과 같습니다.
- 개인정보를 제공받는 자
- 제공받는 자의 개인정보 이용 목적
- 제공하는 개인정보의 항목
- 제공받는 자의 개인정보 보유 및 이용 기간
- 동의를 거부할 권리가 있다는 사실과 그에 따른 불이익의 내용
위탁은 제공과 절차가 다릅니다. 업무위탁에 따른 개인정보의 처리 제한을 정한 제26조가 위탁자에게 요구하는 사항은 아래와 같습니다.
| 위탁자가 할 일 | 내용 |
|---|---|
| 문서로 위탁 | 위탁업무 수행 목적 외 개인정보의 처리 금지, 기술적ㆍ관리적 보호조치 등의 내용이 포함된 문서로 위탁 |
| 공개 | 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개 |
| 홍보나 판매 권유 업무 위탁 시 통지 | 그 내용과 수탁자를 정보주체에게 알려야 하며, 내용이나 수탁자가 변경된 경우에도 같음 |
| 감독 | 수탁자 교육과 처리 현황 점검 등 감독 의무 |
해외 보관·해외 서비스 이용과 제28조의8 국외 이전
해외 서비스나 해외 보관을 이용한다면 국외 이전 규정을 확인해야 합니다. 개인정보의 국외 이전을 정한 제28조의8은 국외 제공ㆍ처리위탁ㆍ보관을 원칙적으로 금지하면서, 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우 등을 예외로 둡니다. 별도 동의를 받을 때에는 다음 사항을 미리 알려야 합니다.
- 이전되는 개인정보 항목
- 이전되는 국가와 시기 및 방법
- 이전받는 자의 이용목적 및 보유ㆍ이용 기간
- 이전을 거부하는 방법과 절차 및 거부의 효과
국외 이전 중지 명령을 받은 개인정보처리자는 명령을 받은 날부터 7일 이내에 보호위원회에 이의를 제기할 수 있습니다.
가명정보 기록 보관과 매장 카메라 운영 제한(제25조)
가명정보를 활용한다면 기록 의무가 따라옵니다. 가명정보의 처리 내용을 관리하기 위한 관련 기록을 작성하여 보관해야 하며, 가명정보를 파기한 경우에는 파기한 날부터 3년 이상 보관해야 합니다.
매장이나 사업장에 카메라를 두고 있다면 고정형 영상정보처리기기의 설치ㆍ운영 제한을 정한 제25조도 함께 봅니다.
- 설치 목적 및 장소, 촬영 범위 및 시간, 관리책임자의 연락처 등이 포함된 안내판을 설치하는 등 필요한 조치를 해야 합니다.
- 설치 목적과 다른 목적으로 임의로 조작하거나 다른 곳을 비출 수 없습니다.
- 녹음기능은 사용할 수 없습니다.
처리방침 공개(제30조), 보호책임자(제31조), 인증(제32조의2)
개인정보 처리방침의 수립 및 공개를 정한 제30조는 처리방침에 다음 사항 등을 담도록 합니다.
- 처리 목적
- 처리 및 보유 기간
- 파기절차 및 파기방법
- 위탁에 관한 사항
- 가명정보의 처리 등에 관한 사항
- 정보주체와 법정대리인의 권리ㆍ의무 및 그 행사방법
- 보호책임자의 성명 또는 고충사항을 처리하는 부서의 명칭과 연락처
처리방침은 정보주체가 쉽게 확인할 수 있도록 공개해야 합니다. 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용합니다.
개인정보 보호책임자의 지정 등을 정한 제31조는 처리 및 보호 업무를 총괄할 보호책임자를 지정하도록 합니다. 대통령령으로 정하는 기준에 해당하여 지정하지 아니하는 경우에는 사업주 또는 대표자가 보호책임자가 됩니다. 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 해야 합니다.
개인정보 보호 인증을 정한 제32조의2는 처리 및 보호와 관련한 일련의 조치가 이 법에 부합하는지 인증할 수 있도록 합니다. 매출액과 처리 규모 등 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 인증을 받아야 한다고 규정합니다. 인증의 유효기간은 3년이며, 보호위원회는 인증의 실효성 유지를 위하여 연 1회 이상 사후관리를 실시합니다.
한편 목적 외 이용ㆍ제공이 허용되는 사유 가운데 일부는 공공기관의 경우로 한정되므로, 거래·위탁 상대가 공공기관에 해당하는지도 따져야 합니다. 시행령은 공공기관의 범위에 지방공사와 지방공단, 지방자치단체 출자ㆍ출연 기관, 특별법에 따라 설립된 특수법인, 각급 학교 등을 포함하고 있습니다.
보호위원회 심의ㆍ의결로 정해지는 제재: 과징금과 과태료
법 위반이 확인됐을 때의 조치는 보호위원회의 심의ㆍ의결을 거쳐 정해집니다. 시정조치 등에 관한 사항, 고발 및 징계권고에 관한 사항, 처리 결과의 공표 및 공표명령에 관한 사항이 심의ㆍ의결 사항으로 규정돼 있습니다.
금전 제재는 두 갈래로 나뉩니다.
| 금전 제재 | 근거 조문 | 결정 경로 |
|---|---|---|
| 과징금 부과에 관한 사항 | 제64조의2 | 보호위원회의 심의ㆍ의결 대상 |
| 과태료 부과에 관한 사항 | 제75조 | 보호위원회의 심의ㆍ의결 대상 |
다만 위반 유형별 부과 금액과 산정 기준, 과징금과 과태료의 적용 대상 구분은 여기서 근거로 삼은 조문 범위에 담겨 있지 않아 해당 조문 원문으로 확인이 필요합니다.
동의 화면부터 영상기기까지, 사업자 자가 점검 질문
| 점검 항목 | 스스로 물어볼 질문 |
|---|---|
| 처리 근거 | 동의 없이 처리하는 항목이 있다면 법령상 의무, 계약 이행 등 법이 열거한 근거 가운데 어디에 해당하는지 설명할 수 있는가. |
| 고지 항목 | 동의 화면에 목적·항목·보유 및 이용 기간·거부 권리와 불이익 내용이 모두 표시돼 있는가. |
| 최소 수집 | 받고 있는 항목이 목적에 필요한 최소한인지, 입증책임이 개인정보처리자에게 있다는 전제에서 근거를 남기고 있는가. |
| 동의 분리 | 홍보·판매 권유 동의가 다른 동의와 구분돼 있고, 동의하지 않았다는 이유로 서비스 제공을 거부하고 있지는 않은가. |
| 특수 정보 | 민감정보·고유식별정보·주민등록번호가 섞여 있는지, 회원가입 단계에서 주민등록번호 없이 가입할 수 있는 방법을 제공하는가. |
| 아동 여부 | 이용자에 아동이 포함되는지, 포함된다면 법정대리인 동의와 동의 확인 절차가 마련돼 있는가. |
| 제공과 위탁 구분 | 외부로 넘어가는 개인정보가 외부 제공인지 처리위탁인지 구분하고, 위탁이라면 문서화와 수탁자 공개가 돼 있는가. |
| 국외 요소 | 해외 보관이나 해외 처리위탁이 있는지, 있다면 별도 동의 등 예외 근거와 고지 항목을 갖췄는가. |
| 공개 의무 | 처리방침에 담아야 할 사항이 빠짐없이 들어가고 정보주체가 쉽게 확인할 수 있게 공개돼 있는가. |
| 조직 체계 | 보호책임자를 지정했는지, 지정하지 아니하는 경우 사업주 또는 대표자가 보호책임자가 된다는 점을 인지하고 있는가. |
| 영상기기 | 촬영 설비를 운영한다면 안내판 설치와 녹음기능 금지 등 운영 제한을 지키고 있는가. |
시행 2026년 9월 11일 조문 기준과 다시 확인할 부분
위 내용은 시행 2026년 9월 11일 개인정보 보호법 조문과 같은 날 시행되는 개인정보 보호법 시행령 조문만을 근거로 한 것입니다. 조문은 이후 개정될 수 있으므로 적용 시점의 시행일 기준 조문을 다시 확인해야 하며, 과징금과 과태료의 구분 및 부과 금액도 원문 확인이 필요합니다. 여기 담긴 내용은 일반적인 설명이며 개별 사안은 다를 수 있으므로, 구체적 사안은 개인정보보호위원회 등 관련 기관·전문가 확인이 필요합니다.