<38C2F7C6EDC1FD2DB0B3C0CEC1A4BAB8BDC5B0EDBBF3B4E3BBE7B7CAC1FDBFF8B0ED2E687770>

Transcription

1 공공 민간 KISA-PR 년 개인정보 보호 상담 사례집

2

3 목 차 제1장 개 요 1 1. 개인정보침해신고센터 3 가. 개인정보침해신고센터 소개 3 나. 개인정보침해신고센터의 업무 5 다. 개인정보침해신고센터의 조사 권한 5 라. 침해신고 및 상담 업무처리 절차 년도 개인정보 침해신고 및 상담 현황 10 가. 침해신고 및 상담 접수 개요 10 나. 접수 유형별 분석 10 제2장 개인정보 보호 상담 주요사례 개인정보 수집 이용 ) 병원에서 초진 환자의 개인정보 수집시 동의 취득 여부 ) 기업에서 입사지원을 받기 위해 수집할 수 있는 최소한의 개인정보의 19 범위, 입사지원서 접수시 개인정보 수집 동의를 받아야 하는지 여부 1-3) 사내 복지 제공을 위한 직원 가족의 개인정보 수집시 동의 필요 여부 ) 직원 내선번호를 웹사이트에 공개할 수 있는지 여부 ) 이벤트를 통해 수집한 명함정보를 홍보마케팅에 활용할 수 있는지 여부 ) 기업의 고객만족도 조사를 위한 개인정보 이용 ) 눈이 가려진 피부과 시술 사진의 홈페이지 게재 가능 여부 ) 직원의 지문을 이용한 출입통제시스템을 설치할 수 있는지 여부 32 - i -

4 1-9) 신용정보회사가 채권추심을 위해 개인정보를 알아내는 행위의 위법성 여부 ) 공공기관에서 개인정보 수집 동의를 받지 않는 경우의 위법성 여부 ) 포인트카드 발급신청서에 주민등록증 발급일자를 기재하도록 한 경우 ) 금융회사의 전화 상담 주민등록번호 입력을 요구하는 행위의 40 위법성 여부 2. 개인정보 제3자 제공 ) 건설사 및 부동산중개업소 간의 개인정보 제3자 제공 ) 보험사 및 의료기관 간의 개인정보 제3자 제공 위법성 여부 ) 병원에 대한 수사기관의 개인정보 제공 요구 ) 민원 처리를 위한다는 목적으로 제3자에게 개인정보를 제공하는 51 행위의 위법성 여부 2-5) 회원 가입시 제3자 제공에 대한 동의를 강제하는 경우의 위법성 여부 처리위탁 및 영업양도 ) 개인정보 제3자 제공, 처리위탁, 영업양도의 구별 기준 ) 사업을 양도하면서 개인정보 이전사실 통지를 하지 않은 경우 ) 영업양도 양수를 공지하였으나 정보주체 개개인에게 통지를 하지는 62 않은 경우 3-4) 영업양도 양수 과정에서 개인정보 이전거부 요구를 했음에도 64 받아들여지지 않은 경우 4. 민감정보 및 고유식별정보 처리 ) 기부금 영수증 발급을 위해 주민등록번호를 수집하는 경우 69 - ii -

5 4-2) 주주명부 작성 비치를 위한 주민등록번호 이용 ) 주차단속 견인차량 반환 과정에서 주민등록번호를 요구하는 73 행위의 위법성 여부 4-4) 주민등록번호가 기재된 공문서를 공개하는 경우의 위법성 여부 ) 이벤트 경품 수령시에 주민등록번호를 요구하는 행위의 위법성 여부 개인정보 안전성 확보조치 ) 인터넷 검색사이트에서 사진 등의 개인정보가 계속 검색되는 문제 ) 인터넷 게시판에 고객 스스로가 개인정보를 게재하여 개인정보가 83 노출되는 경우 5-3) 인터넷 공동구매 관리자가 구매자의 개인정보 명단을 노출한 경우 ) 웹사이트 로그인 비밀번호를 일방향 암호화하지 않은 경우 ) 영업 대리점에서 가입신청서 서류 보관시 안전성 확보조치 ) 비회원 주문 비밀번호도 암호화를 해야 하는지 여부 ) 인터넷에서 개인정보가 모두 조회 가능한 관리자메뉴가 공개된 경우 개인정보 관리체계 ) 기업 그룹에서 개인정보 보호책임자의 지정 범위 ) 개인정보 보호책임자 직통 연락처를 게시하지 않은 행위의 103 위법성 여부 6-3) 개인정보 보호책임자가 퇴사한 후에도 이를 수정하지 않은 사례 개인정보 파기 ) 웹사이트에서 탈퇴 메뉴가 따로 마련되어 있지 않은 경우 ) 퇴사한 직원의 개인정보 보관 기간 ) 입사지원자 정보를 미파기한 경우의 위법성 여부 ) 지체 없는 개인정보 파기 의 구체적 기간 iii -

6 7-5) 보험 상담 후 미가입에도 불구하고 지속적으로 보험 TM을 받은 117 경우의 위법성 여부 8. 정보주체 권리 ) 웹사이트 회원 탈퇴시 주민등록등본 요구 ) 개인정보 삭제 및 처리정지 요구 대응 ) 콜센터에서 고객과의 통화 내용을 녹취할 수 있는 지 여부 ) 웹사이트에서 회원 탈퇴 메뉴가 갖춰져 있지 않은 경우 ) 개인정보 삭제요구에 대한 조치 기간 ) 개인정보가 포함된 게시글의 삭제 요구에 불응하는 경우 영상정보처리기기(CCTV) ) 휴대전화 카메라로 개인영상정보를 촬영하는 경우의 위법성 여부 ) 공공도서관에 설치한 CCTV에 녹음기능을 사용해도 되는지 여부 ) 찜질방 휴게실(마루)에 CCTV를 설치해도 되는지 여부 ) 학원 내부 강의실에 CCTV를 설치할 수 있는지 여부 ) 병원 진료실 내부에 CCTV 설치 가능한 지 여부 ) 공공기관이 설치한 CCTV를 새로 추가하거나 촬영범위를 변경하는 148 경우 반드시 의견수렴 절차를 거쳐야 하는지 여부 9-7) 사업장 내의 근로자 모니터링을 위하여 CCTV를 설치할 수 있는지 여부 ) CCTV 안내판의 적정한 크기에 관한 문의 ) 병원 응급실에 CCTV를 설치할 수 있는지 여부 기타 사례 ) 언론의 취재목적 개인정보 수집의 위법성 여부 ) 교회 웹사이트에 개인정보 암호화를 적용해야 하는지 여부 iv -

7 토막상식 주민등록 진위확인 서비스 41 금융회사 ARS 운영개선안 주요내용( 11.5) 44 개인정보 보호법에서의 동의, 고지, 통지, 공개의 차이 61 주요 검색사이트에서 개인정보 검색결과 삭제 방법 84 일방향 암호화 91 인터넷 홈페이지에서 개인정보 노출 원인 및 방지방법 99 개인정보 처리방침(개인정보 보호법)과 개인정보 취급방침(정보통신망법) 차이 106 통화 내용의 녹취와 관련한 법률 및 판례 128 휴대전화로 여성의 신체를 몰래 촬영하는 행위 v -

8 일러두기 개요 본 사례집에 수록된 개인정보 보호 상담 사례의 법리 적용 및 결론 등은 세부적 사 실관계에 따라 달라질 수 있습니다. 개인정보 보호 유형 분류 본 사례집에서는 개인정보 보호법 및 기타 관계법령의 체계를 참고하여 아래의 10개 유형에 따라 개인정보 보호 상담을 분류합니다. 유형 분류 기업 및 공공기관 등의 실무 예 1. 개인정보 수집 및 이용 회원 가입, 민원 신청 등 2. 개인정보 제3자 제공 업무 제휴, 기관간 정보공유 등 3. 처리위탁 및 영업양도 아웃소싱 등 4. 민감정보 및 고유식별정보 처리 주민등록정보, 병력( 病 歷 )정보 활용 등 5. 개인정보 안전성 확보조치 DB 접근통제, 암호화, 백신S/W 등 6. 개인정보 관리체계 (처리방침/보호책임자) 처리방침 홈페이지 게재, 보호책임자 의무 지정 등 7. 개인정보 파기 회원 탈퇴, 개인정보파일 보유기간 만료 등 8. 정보주체 권리 고객의 열람요구, 정보 삭제 요구 등 9. 영상정보처리기기 CCTV 설치, 안내판 설치 등 10. 기타 개인정보 유출통지, 개인정보 영향평가 등 - vi -

9 사례 적용대상 별 분류 본 사례집은 공공기관 및 민간기업 단체에서 공통적으로 참고 및 활용하실 수 있는 사례를 선별하여 수록하였습니다. 다만 개인정보 보호법 에는 공공기관에만 적용되 는 규정이 일부 존재하며, 또한 상담 사례의 내용에 따라서 각각 공공기관 또는 민간 기업에만 직접 관련되는 사례가 있을 수 있습니다. 따라서 본 사례집에서는 이해의 편 의를 돕기 위하여 아래와 같이 해당 사례의 적용대상을 확인할 수 있는 분류기호를 각 사례의 제목 앞에 표기하였습니다. - 공공기관, 민간기업 단체가 모두 참고할 수 있는 사례 : 공공 민간 - 공공기관이 참고할 수 있는 사례 : 공공 - 민간기업 단체가 참고할 수 있는 사례 : 민간 법령명 약어 본 사례집에서는 주요 법령명을 아래의 약어로 표기합니다. - 개인정보 보호법 : 개인정보 보호법 - 정보통신망 이용촉진 및 정보보호 등에 관한 법률 : 정보통신망법 - 신용정보의 보호 및 이용에 관한 법률 : 신용정보법 - ( 舊 ) 공공기관의 개인정보보호에 관한 법률 : 공공기관개인정보법 - 표준 개인정보 보호지침 (안전행정부 고시 제 호) : 표준지침 - 개인정보의 안전성 확보조치 기준 (안전행정부 고시 제 호) : 안전성 확보조치 고시 - 개인정보의 영향평가에 관한 고시 (안전행정부 고시 제 호) : 영향평가 고시 - vii -

10

11 제1장 개 요 1. 개인정보침해신고센터 년도 개인정보 침해신고 및 상담 현황 1

12

13 1. 개인정보침해신고센터 가. 개인정보침해신고센터 소개 개인정보침해신고센터는 일반 국민 및 공공기관, 사업자의 개인정보와 관련한 고충을 신속히 해결하고 침해신고 및 상담의 접수 처리를 위하여 법률에 따라 지정된 국내 유일의 전문기관이다. 개인정보침해신고센터는 개인정보 보호법 및 정보통신망 이용촉진 및 정보 보호 등에 관한 법률 에 설립 근거를 두고 있다. 개인정보 보호법 제62조(침해 사실의 신고 등) 1 개인정보처리자가 개인정보를 처리할 때 개인정보에 관한 권리 또는 이익을 침해받은 사람은 안전행정부장관에 그 침해 사실을 신고할 수 있다. 2 안전행정부장관은 제1항에 따른 신고의 접수 처리 등에 관한 업무를 효율적으 로 수행하기 위하여 대통령령으로 정하는 바에 따라 전문기관을 지정할 수 있다. 이 경우 전문기관은 개인정보침해 신고센터를 설치 운영하여야 한다. 3 신고센터는 다음 각 호의 업무를 수행한다. 1. 개인정보 처리와 관련한 신고의 접수 상담 2. 사실의 조사 확인 및 관계자의 의견 청취 3. 제1호 및 제2호에 따른 업무에 딸린 업무 시행령 제59조(침해 사실의 신고 등) 안전행정부장관은 법 제62조제2항에 따라 개인정 보에 관한 권리 또는 이익 침해 사실 신고의 접수 처리 등에 관한 업무를 효율적으 로 수행하기 위한 전문기관으로 한국인터넷진흥원을 지정한다. 3

14 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제52조(한국인터넷진흥원) 1 정부는 정보통신망의 고도화(정보통신망의 구축 개선 및 관리에 관한 사항을 제외한다)와 안전한 이용 촉진 및 방송통신과 관련한 국제 협력 국외진출 지원을 효율적으로 추진하기 위하여 한국인터넷진흥원(이하 인터 넷진흥원 이라 한다)을 설립한다. 3 인터넷진흥원은 다음 각 호의 사업을 한다. 8. 개인정보보호를 위한 대책의 연구 및 보호기술의 개발 보급 지원 9. 분쟁조정위원회의 운영 지원과 개인정보침해 신고센터의 운영 제64조(자료의 제출 등) 1 방송통신위원회는 다음 각 호의 어느 하나에 해당하는 경 우에는 정보통신서비스 제공자등(제67조에 따라 준용되는 자를 포함한다. 이하 이 조에서 같다)에게 관계 물품 서류 등을 제출하게 할 수 있다. 1. 이 법에 위반되는 사항을 발견하거나 혐의가 있음을 알게 된 경우 2. 이 법의 위반에 대한 신고를 받거나 민원이 접수된 경우 2의2. 이용자 정보의 안전성과 신뢰성 확보를 현저히 해치는 사건 사고 등이 발생 하였거나 발생할 가능성이 있는 경우 시행령 제66조(개인정보침해신고센터의 운영) 1 법 제52조제3항제9호에 따른 개인정보 침해 신고센터(이하 개인정보침해신고센터 라 한다)는 다음 각 호의 업무를 수행한다. 1. 개인정보 침해방지 및 보호와 관련한 법 제64조제10항에 따른 기술적 자문과 그 밖에 필요한 지원 2. 개인정보 침해 및 광고성 정보전송과 관련한 고충처리 및 상담 3. 개인정보 침해 관련 대책 연구 4. 개인정보 침해방지를 위한 교육 및 홍보 5. 제1호부터 제4호까지에 따른 업무와 관련되는 사업 개인정보침해신고센터는 2000년 4월 개소하였으며, 정보통신망법 에 설치근거 를 두고 운영하여 오다가 2011년 9월 개인정보 보호법 제정 시행에 따라 개 인정보 보호법 에도 운영 근거를 두게 되었다. 2013년 5월 현재 개인정보 보호 업무는 개인정보 보호법 에 근거하여 안전행정부가 수행하는 업무와 정보통신망법 에 근거하여 방송통신위원회가 정보통신서비스제공자 를 대상으로 수행하는 업무가 있으며, 개인정보침해신고센터는 상기 업무를 모두 지원 하고 있음 4

15 나. 개인정보침해신고센터의 업무 개인정보침해신고센터는 한국인터넷진흥원에 설치되어 있으며, 관련 법률에 따라 아래의 업무를 수행한다. 개인정보침해신고센터 소관 업무 근거 법률 개인정보 보호법 정보통신망법 소관 업무 1. 개인정보 처리와 관련한 신고의 접수 상담 2. 사실의 조사 확인 및 관계자의 의견 청취 3. 상기 업무에 딸린 업무 1. 개인정보 침해방지 및 보호와 관련한 기술적 자문과 그 밖에 필요한 지원 2. 개인정보 침해와 관련한 고충처리 및 상담 3. 개인정보 침해 관련 대책 연구 4. 개인정보 침해방지를 위한 교육 및 홍보 5. 상기 업무와 관련되는 사업 다. 개인정보침해신고센터의 조사 권한 개인정보침해신고센터에는 소관 업무를 실효성 있게 수행하기 위하여 조사에 관한 행정적 권한이 부여되어 있다. 안전행정부장관 및 방송통신위원회는 각각 개인정보 보호법 및 정보통신망 법 에 따라 아래와 같이 한국인터넷진흥원 개인정보침해신고센터에 자료제출 요구권 및 검사권을 위탁 부여하고 있다. 5

16 개인정보침해신고센터 조사 권한 행정 권한 주요 내용 법률 근거 자료제출요구권 아래의 어느 하나에 해당하는 경우 관계 물 품 서류 등 자료 제출을 요구할 수 있음 1 개인정보 보호법 또는 정보통신망법 위반 사항 발견 또는 혐의 있음을 알게 된 경우 2 개인정보 보호법 또는 정보통신망법 위반 에 대한 신고를 받거나 민원 접수된 경우 3 개인정보 유출 등 정보주체의 개인정보에 관한 권리 또는 이익을 침해하는 사건 사 고 등이 발생하였거나 발생할 가능성이 상 당히 있는 경우(개인정보 보호법) 4 이용자 정보의 안전성과 신뢰성 확보를 현 저히 해치는 사건 사고 등이 발생하였거나 발생할 가능성이 있는 경우(정보통신망법) 개인정보 보호법 제63조(자료제출 요구 및 검사) 개인정보 보호법 시행령 제62조(권한의 위탁) 검사권 아래의 어느 하나에 해당하는 경우 사무소 나 사업장에 출입하여 업무상황, 장부, 서류 등을 검사할 수 있음 1 자료제출요구권에 따른 자료를 제출하지 않은 경우 2 개인정보 보호법 또는 정보통신망법을 위 반한 사실이 있다고 인정되는 경우 검사를 하는 개인정보 침해신고센터 직원 은 그 권한을 나타내는 증표를 지니고 이 를 관계인에게 내보여야 함 정보통신망법 제64조(자료제출 등) 제65조(권한의 위임 위탁) 조사 불응시 조치 관계 물품 서류 등 자료를 제출하지 아니하 거나 거짓으로 제출한 경우 출입 검사를 거부 방해 기피한 경우 1천만원 이하 과태료 부과 개인정보 보호법 제75조(과태료) 제3항제9호 및 제10호 정보통신망법 제76조(과태료) 제3항제22호 및 제24호 6

17 라. 침해신고 및 상담 업무처리 절차 1) 접수 개인정보 침해신고 또는 상담의 접수는 아래의 접수방법을 통하여 할 수 있다. 접수는 신청인이 직접 또는 대리로 신청할 수 있다. o 전 화 : 국번없이 118 o 인터넷 : o 이메일 : privacy@kisa.or.kr, 118@kisa.or.kr o 방 문 : 서울특별시 송파구 중대로 138 IT벤처타워(한국인터넷진흥원 118청사) 서관 4층 개인정보침해신고센터 개인정보 침해신고가 접수되면 신청인과 피신청인에게 접수사실을 통보한다. 상담의 경우는 별도로 접수통보는 하지 않으며 처리기간 내에 상담답변으로 접 수통보를 갈음한다. 2) 상담 처리 인터넷, 이메일 등을 통해 접수된 상담 문의는 담당자가 내용을 확인 후 원칙적 으로 7일 이내에 답변을 발송한다. 답변은 민원인의 이메일로 발송하는 것을 원칙으로 하며, 전화를 통하여 추가 내용을 안내하는 경우도 있다. 전화를 통해 접수된 상담 문의는 그 즉시 상담원이 관련 내용을 안내하고 상담 을 종결하며, 추후 보다 상세한 상담 답변을 하는 경우도 있다. 7

18 3) 침해신고 처리 개인정보 침해신고는 민원인의 정확한 침해 사실관계에 대한 서술 및 증거자료 첨부 등이 요구된다. 따라서 원칙적으로는 전화로 침해신고를 받지 않고 가급 적 인터넷 또는 전자우편, 문서 등을 통하여 접수함을 원칙으로 한다. 사실관계 서술이 모호한 경우, 증거자료를 갖추지 못하는 경우, 침해의 내용이 민원인의 일방적 주장에 그치는 경우 등에는 침해신고로 접수할 수 없음을 알리고 상담 으로 종결 처리한다. 민원인 중에는 인터넷을 사용하지 못하거나 사용할 수 없는 환경에 있는 경우 도 있으므로, 이러한 경우에는 담당자가 전화로 민원내용을 일차 접수하고 추 후 증거자료 등을 요구하고 있다. 침해신고 처리는 원칙적으로 접수일로부터 30일 이내에 완료하는 것을 원칙으 로 한다. 침해신고가 접수되면 개인정보침해신고센터의 조사담당자가 배정되 며, 담당자는 처리 가능여부를 먼저 판단하여 신고센터 소관사항이 아닐 경우 에는 해당 기관에 이관하고 그 사실을 민원인에게 통지한다. 또한 직접적으로 민사상 손해배상이나 분쟁해결을 요구하는 경우에는 개인정보 분쟁조정위원회 로 이관한다. 담당자는 자신이 배정받은 침해신고건에 대하여 피신고인(사업자, 공공기관 등) 에 대한 사실조사를 실시한다(개인정보 보호법 또는 정보통신망법에 따른 자료 제출요구권 및 검사권 행사). 사실확인 조사가 완료되면 그 결과에 따라 해당 피신고인에 대해 민원인의 고 충처리, 개선권고 등을 시행한다. 그리고 민원인에게 사실확인 결과 및 조치결 과를 통보한다. 8

19 담당자는 조치결과 통보가 종료된 후 개인정보침해신고사건 조사결과 보고서 를 작성한다. 동 보고서에는 사건개요와 사실확인 결과, 관련 법률, 검토의견, 조치결과 등이 기재된다. 만약 해당 침해신고건이 행정처분 또는 수사의뢰 등의 필요가 있는 경우에는 안전행정부 등 관련 중앙행정기관이나 수사기관에 조사결과를 통보한다. 개인정보침해신고센터의 침해신고 및 상담 접수 처리절차를 요약하면 다음과 같다. 개인정보 침해신고센터 업무처리 절차도 9

20 년도 개인정보 침해신고 및 상담 현황 가. 침해신고 및 상담 접수 개요 2012년도 개인정보침해신고센터에 접수된 침해신고 및 상담은 총 166,801건이다. 이 는 전년도 총 접수건수 122,215건보다 36.48% 증가한 수치이다. 개인정보 침해신고 및 상담 접수건수는 거의 매년 증가하는 추세를 보이고 있으며, 특히 최근 몇 년간은 대량 개인정보 유출사건이 빈발하면서 접수건수가 큰 폭으로 증 가하고 있음을 알 수 있다. 연도별 개인정보 침해신고 및 상담 접수 현황 구 분 2007년 2008년 2009년 2010년 2011년 2012년 신 고 ,139 1,788 2,556 2,058 상 담 25,118 38,823 33,028 53, , ,743 계 25,965 39,811 35,167 54, , ,801 나. 접수 유형별 분석 2012년도 개인정보침해신고센터에 접수된 침해신고 및 상담을 유형별로 분석하 여 보면 아래와 같다. 10

21 연도별 유형별 개인정보 침해신고 및 상담 접수 현황 접수 유형 2007년 2008년 2009년 2010년 2011년 2012년 개인정보 수집 요건 1,166 1,129 1,075 1,267 1,623 3,507 개인정보 수집시 고지 명시 의무 과도한 개인정보 수집 목적 외 이용 또는 제3자 제공 1,001 1,037 1,171 1,202 1,499 2,196 개인정보취급자에 의한 훼손 침해 등 개인정보 처리 위탁 영업 양도 양수 개인정보 보호책임자 개인정보 안전성 확보조치 522 1, ,551 10,958 3,855 개인정보 미파기 정보주체 권리 (열람, 정정요구 등) 열람 정정을 수집보다 쉽게 해야할 조치 아동 개인정보 수집 주민등록번호 등 타인 정보 훼손 침해 도용 9,086 10,148 6,303 10,137 67, ,724 타 법 관련 개인정보 사례 12,497 24,144 23,893 38,414 38,172 12,915 계 25,965 39,811 35,167 54, , , 년도에 가장 많이 접수된 유형은 주민등록번호 등 타인정보의 훼손 침해 도용 으로서 139,724건이 접수되었다. 이는 아직도 우리 사회에서 주민등록번호 와 같은 타인 개인정보의 도용 사례가 많이 발생함을 보여주고 있다. 이 외에 개인정보 안전성 확보조치 와 관련한 민원이 3,855건, 개인정보 수집 관련 민원이 3,507건, 목적외 이용 또는 제3자 제공 관련 민원이 2,196건 접수 된 것으로 나타났다. 11

22 타 법 관련 개인정보 사례 는 12,915건으로 전년 대비 크게 감소하였다. 2011년 이전에는 주로 정보통신망법 에 의거하여 개인정보 보호가 규율됨에 따라 동 법률의 적용범위에 포함되지 않는 타 사업자 등에 대한 민원이 많이 발생하였 다. 그러나 2011년 9월 30일 개인정보 보호법 이 시행되면서 사회 전 분야를 규율하는 일반법으로서 작용하게 되어 2012년도에는 타 법 관련 개인정보 사 례 가 크게 감소한 것으로 분석된다. 12

23 제2장 개인정보 보호 상담 주요사례 1. 개인정보 수집 이용 2. 개인정보 제3자 제공 3. 처리위탁 및 영업양도 4. 민감정보 및 고유식별정보 처리 5. 개인정보 안전성 확보조치 6. 개인정보 관리체계 (개인정보 처리방침, 개인정보 보호책임자) 7. 개인정보 파기 8. 정보주체 권리 9. 영상정보처리기기(CCTV) 10. 기타 사례 13

24

25 1. 개인정보 수집 이용

26

27 공공 민간 1-1) 병원에서 초진 환자의 개인정보 수집시 동의 취득 여부 의료기관에 환자가 처음으로 내원한 경우에 반드시 개인정보 수집 이용 동의서를 받 아야 하는지 궁금합니다. 의료기관이 의료법 에 따라 수집하는 개인정보는 정보주체의 동의 없이 수집 가능 합니다. 그러나 홍보 등과 같이 의료행위와 직접 관계없는 업무에 이용되는 개인정보 는 정보주체로부터 개인정보 수집 이용 동의를 받아야 합니다. 상세설명 개인정보처리자는 원칙적으로 정보주체(환자 등)이 동의를 받아 개인정보를 수집 이 용하여야 하나, 법률의 특별한 규정 또는 법령상의 의무 준수를 위해 불가피한 경우, 정 보주체와의 계약 체결 이행을 위하여 불가치한 경우 등에는 정보주체의 동의 없이도 개 인정보를 수집 이용할 수 있습니다. 이와 관련하여, 의료법 에서는 의료인 의료기관의 의료행위 및 진료기록부 기재, 처방전 작성 교부, 진단서 교부 등을 규정하고 있으므로, 이러한 법령상의 의무 준수 를 위해 불가피한 개인정보는 정보주체의 별도 동의 없이도 당연히 수집 이용이 가능 합니다. 진료기록부 기재사항(의료법 시행규칙 제14조) - 진료를 받은 자의 성명, 주민등록번호, 주소, 병력, 치료내용 등 진단서 기재사항(의료법 시행규칙 제9조) - 환자의 성명, 주민번호, 주소, 병명, 향후 치료 소견 등 17

28 또한 휴대전화번호 등 연락처 정보는 의료행위 결과 안내, 진료예약시간 설정, 환자에 대한 긴급한 연락 등에 이용되는 경우에는 법령상 의무(의료행위) 준수에 불가피한 경우 또는 정보주체와의 계약 체결 이행에 불가피한 경우 에 해당될 것이므로, 역시 정보주체 의 동의 없이 수집 이용이 가능합니다. 다만, 병원 소식 안내, 건강정보 홍보 등 정보주체에 대한 직접적 진료행위와 관계 없는 업무를 위해 개인정보를 수집 이용하는 경우에는 다음 사항을 정보주체에게 알 리고 수집 이용 동의를 받아야 합니다(개인정보 보호법 제15조제2항). 개인정보 수집시 고지사항 1 개인정보 수집 이용 목적 2 수집하려는 개인정보 항목 3 개인정보 보유 이용기간 4 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용 참고법령 개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경 우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 1. 정보주체의 동의를 받은 경우 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 4. 정보주체와의 계약의 체결 및 이행을 위하여 불가치하게 필요한 경우 참고자료 의료기관 개인정보보호 가이드라인 (안전행정부, 보건복지부) (개인정보보호 종합지원 포털(privacy.go.kr) 자료실 지침자료) 18

29 공공 민간 1-2) 기업에서 입사지원을 받기 위해 수집할 수 있는 최소한의 개인정보의 범위, 입사지원서 접수시 개인정보 수집 동의를 받아야 하는지 여부 기업에서 입사지원서를 접수받기 위해 수집할 수 있는 최소 개인정보의 범위는 어떻 게 되는지요? 지원자들로부터 입사지원서를 접수받을 때도 개인정보 수집 이용 동의 서를 받아야 하는지 알고 싶습니다. 직원 채용 단계에서는 지원자 확인 및 연락에 필요한 성명, 전화번호, 주소 등과, 직 무수행 능력을 평가하기 위한 학력, 성적, 자격사항 등이 필요 최소한의 정보가 될 수 있습니다. 직원 채용에서 수집되는 개인정보는 근로기준법 에 따른 법령상 의무 및 고용계약 체 결에 필요한 정보에 해당하므로 정보주체(지원자) 동의 없이 수집 이용할 수 있습니다. 상세설명 기업, 공공기관 등에서 직원을 채용하기 위한 단계에서는 인재 선발에 반드시 필요 한 개인정보의 종류를 결정하고 개인정보 수집 이용 계획을 세워야 합니다. 직원 채용 에 필요한 최소한의 개인정보는 일률적으로 정해진 것은 아니며, 개별 기업, 공공기관 등의 직무특성과 채용방법 등에 따라 달라질 수 있습니다. 직원 채용 준비 단계에서 필요한 최소한의 개인정보의 예시를 들어본다면, 1) 지원자 확인 및 연락에 필요한 정보 : 성명, 전화번호, 주소 2) 지원자 직무수행 능력을 평가하는데 필요한 정보 : 학력, 성적, 자격사항 등을 들 수 있습니다. 19

30 기업 등이 직원을 채용하면서 개인정보를 수집 이용하는 것은 근로기준법 에 따른 근로자명부 및 임금대장 작성 등 법령상의 의무 를 이행하기 위해 필요한 경우에 해당 하며, 또한 고용계약의 체결 이행을 위해 불가피하게 필요한 경우에도 해당됩니다. 따 라서 기업 등이 채용을 위해 반드시 필요하다고 판단한 개인정보는 정보주체의 동의 를 받지 않고도 수집 이용할 수 있습니다. 다만, 고유식별정보(주민등록번호 등) 및 민감정보(종교, 장애여부 등)의 수집 이용 은 직원 채용 단계라 하더라도 원칙적으로 수집 이용이 금지됩니다. 채용 전형과정에 서 장애인, 국가유공자, 고령자 등의 우대 조건이 있을 경우 이에 필요한 장애여부 등 의 정보를 수집하는 것은 장애인복지법, 장애인고용촉진 및 직업재활법, 국가유 공자 등 예우 및 지원에 관한 법률 등 해당 법령에 근거한 것이므로 별도 동의 없이 도 수집 이용이 가능합니다. 채용이 결정된 단계에서는 임금대장 작성(근로기준법 시행령 제27조) 및 소득세 등의 원천징수의무 이행(소득세법) 등을 위해 주민등록번호 수집 이용 가능 관련법령 개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경 우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 1. 정보주체의 동의를 받은 경우 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 근로기준법 제41조(근로자의 명부) 1 사용자는 각 사업장별로 근로자 명부를 작성하고 근로자의 성명, 생년월일, 이력, 그 밖에 대통령령으로 정하는 사항을 적어야 한다. 제48조(임금대장) 사용자는 각 사업장별로 임금대장을 작성하고 임금과 가족수당 계산의 기초가 되는 사항, 임금액, 그 밖에 대통령령으로 정하는 사항을 임금을 지급할 때마다 20

31 적어야 한다. 근로기준법 시행령 제20조(근로자 명부의 기재사항) 법 제41조제1항에 따른 근로자 명부에는 고용노동부령으로 정하는 바에 따라 다음 각 호의 사항을 적어야 한다. 1. 성명 2. 성( 性 )별 3. 생년월일 4. 주소 5. 이력( 履 歷 ) 6. 종사하는 업무의 종류 7. 고용 또는 고용갱신 연월일, 계약기간을 정한 경우에는 그 기간, 그 밖의 고용에 관한 사항 8. 해고, 퇴직 또는 사망한 경우에는 그 연월일과 사유 9. 그 밖에 필요한 사항 제27조(임금대장의 기재사항) 1사용자는 법 제48조에 따른 임금대장에 다음 각 호의 사항 을 근로자 개인별로 적어야 한다. 1. 성명 2. 주민등록번호 3. 고용 연월일 4. 종사하는 업무 5. 임금 및 가족수당의 계산기초가 되는 사항 6. 근로일수 7. 근로시간수 8. 연장근로, 야간근로 또는 휴일근로를 시킨 경우에는 그 시간수 9. 기본급, 수당, 그 밖의 임금의 내역별 금액(통화 외의 것으로 지급된 임금이 있는 경 우에는 그 품명 및 수량과 평가총액) 10. 법 제43조제1항 단서에 따라 임금의 일부를 공제한 경우에는 그 금액 참고자료 개인정보보호 가이드라인(인사 노무편) (안전행정부) (개인정보보호 종합지원 포털(privacy.go.kr) 자료실 지침자료) 21

32 공공 민간 1-3) 사내 복지 제공을 위한 직원 가족의 개인정보 수집시 동의 필요 여부 사내 복지의 일환으로 직원 본인 및 가족에 대한 건강검진, 복지포인트 제공 등을 시 행하고 있습니다. 이를 위해서는 직원 가족의 개인정보 수집 이용이 필요한데, 이 때 직원 가족 개개인의 동의를 따로 받아야 합니까? 직원 가족에 대한 복리후생 제공을 위해서는 가족 개개인의 동의 없이도 가족의 개인 정보를 수집 이용하는 것이 허용됩니다. 상세설명 개인정보처리자는 법률의 특별한 규정이 있는 경우, 법령상 의무를 준수하기 위하여 불가피한 경우, 계약의 체결 이행에 불가피한 경우 등에는 정보주체의 동의 없이도 개 인정보를 수집 이용할 수 있습니다(개인정보 보호법 제15조제1항제2호 및 제4호). 본 질의와 같이 근로자 가족에 대한 자녀 학비 지원, 건강검진, 주택지원 등은 근로 복지기본법 에 따른 기업의 근로자에 대한 복지 제공의무 로 볼 수 있습니다(근로복지 기본법 제5조). 또한, 복지 제공이 근로조건에 포함되어 있다면 근로 계약의 체결 이 행에 필요한 경우 에도 해당합니다. 따라서 근로자 가족의 개별적 동의가 없더라도 개 인정보 수집 이용이 가능합니다. 근로자 가족에 대한 복지 제공을 위한 경우라 하더라도, 고유식별정보(주민등록번호 등) 및 민감정보의 수집 이용은 정보주체(근로자 가족)의 별도 동의가 필요함. 다만 가 족관계 및 연령확인 등을 위한 증명서 제출 시 가족의 주민등록번호 뒷자리를 가리고 관련 서류를 발급받거나 제출받는다면 고유식별정보 수집에 대한 동의는 불필요 22

33 관련법령 개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경 우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 표준 개인정보 보호지침 제6조(개인정보의 수집) 6 근로자와 사용자가 근로계약을 체결하는 경우 근로기준법 제2 조제5호의 임금지급, 교육, 증명서 발급, 근로자 복지제공을 위하여 근로자의 동의 없이 개인정보를 수집 이용할 수 있다. 근로복지기본법 제5조(사업주 및 노동조합의 책무) 1 사업주(근로자를 사용하여 사업을 행하는 자를 말한 다. 이하 같다)는 해당 사업장 근로자의 복지증진을 위하여 노력하고 근로복지정책에 협 력하여야 한다. 참고자료 개인정보보호 가이드라인(인사 노무편) (안전행정부) (개인정보보호 종합지원 포털(privacy.go.kr) 자료실 지침자료) 23

34 공공 민간 1-4) 직원 내선번호를 웹사이트에 공개할 수 있는지 여부 직원의 성명 및 내선번호를 웹사이트에 공개하려고 하는데, 이러한 경우에도 개인정 보 보호법에 따라 동의를 받아야 하나요? 개인정보처리자의 내부 구성원의 소속, 성명, 내선번호 등을 공개하는 것은 일반적으 로 해당 구성원(정보주체)의 동의 없이도 공개 가능합니다. 상세설명 개인정보처리자는 원칙적으로 정보주체의 동의를 받아 개인정보를 수집 이용하여 야 하나, 정보주체 동의 없이도 개인정보를 수집 이용할 수 있는 경우도 존재합니다. 예컨대 개인정보처리자(공공기관, 기업 등)의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우 에는 정보주체의 동의 없이도 개인정보를 수집 이용할 수 있습니다(개인정보 보호법 제15조제1항제6호). 공공기관이나 기업의 내부 구성원의 성명, 소속, 내선번호 등을 웹사이트나 조직도 등을 통하여 공개하는 것은 사회 통념상 공공기관이나 기업 등의 업무처리의 일환으 로 이해되고 있습니다. 즉 이 경우에는 개인정보처리자의 정당한 이익(업무수행 등) 달성을 위해 필요한 경우로 보아 동의 없이도 기본적 개인정보를 공개할 수 있다고 판 단됩니다. 24

35 관련법령 개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경 우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 1. 정보주체의 동의를 받은 경우 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우 4. 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으 로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주 체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련 이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. 25

36 민간 1-5) 이벤트를 통해 수집한 명함정보를 홍보마케팅에 활용할 수 있는지 여부 OOO 외식업체 매장에서는 명함통을 설치하고 명함을 투입한 고객에게 경품 증정 및 이벤트 소식을 알리고 있습니다. 명함통 앞에는 추첨을 통해 쿠폰을 선물로 드리고, 휴대폰 문자 또는 이메일을 통하여 OOO의 소식을 알려드립니다 라는 문구가 게재되 어 있습니다. 개인정보 보호법 제정에 따라서 이러한 경우도 동의를 받아야 하는지 궁금합니다. 명함 등을 제공받아 개인정보를 수집하는 경우에는 정보주체의 동의를 받지 않고 수집할 수 있으나, 사회 통념상으로 동의의사가 있었다고 인정되는 범위 내에서만 이용할 수 있습니다. 또한 개인정보의 수집 이용목적 등은 최대한 상세하고 명확히 알려야 합니다. 상세설명 개인정보처리자는 원칙적으로 정보주체의 동의를 받아 개인정보를 수집 이용하도 록 하고 있습니다(개인정보 보호법 제15조제1항제1호 참조). 그러나 일상적인 생활 및 거래 현장에서 매번 정보주체의 명시적 동의를 받아 개인정보를 수집하는 것이 현실 적으로 곤란한 경우들이 존재하며, 대표적으로 명함을 주고받거나 명함을 투입하는 경 우가 이에 해당합니다. 이에 대해 표준지침에서는 개인정보처리자가 정보주체로부터 직접 명함 또는 그와 유사한 매체를 제공받음으로써 개인정보를 수집하는 경우에는 정보주체가 동의의사를 명확히 표시하거나 그렇지 않은 경우 명함 등을 제공하는 정황 등에 비추어 사회통념 상 동의 의사가 있었다고 인정되는 범위 내에서만 이용할 수 있다 고 규정하고 있습니 다(표준지침 제6조제3항). 26

37 따라서 상담질의와 같이 매장에서 명함을 투입함으로써 개인정보를 수집하는 경우 에는 정보주체로부터 명시적 동의를 받지 않아도 무방합니다. 다만 이렇게 명함을 통 해 수집된 개인정보는 사회통념상 동의 의사가 있었다고 인정되는 범위 내 에서만 이 용할 수 있으므로, 명함 투입시에 정보주체에게 알려진 수집 이용 목적 범위 내에서만 이용되어야 할 것입니다. 이러한 경우에는 개인정보 보호법에 따른 개인정보 수집 이용 동의시의 고지사항에 준하여, 명함 투입에 대한 1) 개인정보 수집 이용목적 2) 수집 항목 3) 명함으로 수집 된 개인정보의 보유 이용기간 4) 명함투입거부 권리 및 거부시의 불이익 등을 명함통 등 수집 수단 장소에 명확히 게시하여 정보주체에 알리고, 그 범위 내에서만 이용해야 합니다. 관련법령 개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경 우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 1. 정보주체의 동의를 받은 경우 2 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보 주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리 고 동의를 받아야 한다. 1. 개인정보의 수집 이용 목적 2. 수집하려는 개인정보의 항목 3. 개인정보의 보유 및 이용 기간 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용 표준 개인정보 보호지침 제6조(개인정보의 수집) 3 개인정보처리자가 정보주체로부터 직접 명함 또는 그와 유사한 매체(이하 명함 등 이라 함)를 제공받음으로써 개인정보를 수집하는 경우, 정보주체가 동의의사를 명확히 표시하거나 그렇지 않은 경우 명함 등을 제공하는 정황 등에 비추어 사회통념상 동의 의사가 있었다고 인정되는 범위 내에서만 이용할 수 있다. 27

38 공공 민간 1-6) 기업의 고객만족도 조사를 위한 개인정보 이용 외식업 매장에서는 전화예약이 많이 이루어지며 고객명, 휴대전화번호 등의 개인정 보를 수집하게 됩니다. 이렇게 수집된 개인정보를 추후에 고객 만족도 설문조사(전 화)를 위해 활용할 수 있는지 알고 싶습니다. 서비스를 이용한 고객의 개인정보를 추후 만족도 조사만을 위해 이용하는 것은 계약 의 체결 이행에 불가피하게 필요한 경우 로 판단할 수 있으므로 별도 동의 없이도 이 용이 가능합니다. 다만 만족도 조사 이외에 다른 상품 서비스의 홍보 등에 이용하는 것은 목적외 이용에 해당될 수 있으므로 주의하여야 합니다. 상세설명 외식업 등 서비스 업종이나 인터넷으로 상품을 주문 배송하는 온라인 쇼핑몰 등에 서는 제품이나 서비스의 판매 이후에 사후적으로 만족도를 조사하는 경우가 많이 존 재합니다. 예를 들어, 제품이나 서비스 판매 이후 기업 측의 조사원이 실시하는 이른 바 해피콜 등이 이에 해당될 수 있겠습니다. 고객에 대해 제품 서비스에 문제는 없었는지, 정상적으로 배송되었는지, 상품에 하자 가 없었는지, 전반적 서비스에 대해 만족하였는지 등을 조사하고 이를 향후 영업에 반영 하는 활동은 기업의 영업활동에 필수적 요소라고 볼 수 있으며, 사회 통념상으로 제품 서비스의 판매 계약 의 이행에 포함되어 있는 것으로 볼 수 있습니다. 개인정보 보호법은 정보주체와의 계약 체결 이행을 위해 불가피하게 필요한 경우 에는 별도의 동의 없이도 개인정보의 수집과 이용을 허용하고 있으므로, 본 상담사례와 같이 고객의 개인정보를 이용하여 만족도 조사를 실시하는 것은 별도의 동의 없이도 가능하다고 판단됩니다. 28

39 다만, 고객이 만족도 조사를 원하지 않고 개인정보 처리정지나 파기를 요구한 경우 에는 지체없이 그에 대한 조치를 취해야 합니다. 또한 고객에 대한 만족도 조사를 위 해 수집한 개인정보를 이용하여 당초 고객이 동의한 바 없는 별도의 홍보나 마케팅 활 동을 하는 것은 개인정보의 목적외 이용 에 해당될 수 있으므로 각별한 주의가 필요하 겠습니다. 관련법령 개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경 우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 4. 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 29

40 민간 1-7) 눈이 가려진 피부과 시술 사진의 홈페이지 게재 가능 여부 저희 피부과는 홈페이지에 환자의 시술 전후사진을 게시하고 있는데 눈을 가리고 시 술 부위 위주로만 게시하기 때문에 누가 누구인지 알기 어렵다고 생각됩니다. 이러한 경우도 개인정보 보호법 적용을 받는지요? 시술 전후 사진이 신체 일부만을 노출하고 있고 눈 부분을 가리고 있다 하더라도 경 우에 따라서는 특정 개인을 식별할 가능성이 있으므로 개인정보 보호법에 따라 정보 주체(환자)의 동의를 받은 후 게시하여야 합니다. 상세설명 개인정보 란 생존하는 개인에 관한 정보로서 성명 주민등록번호 등에 의하여 특정 한 개인을 알아볼 수 있는 부호 문자 음성 음향 및 영상 등의 정보를 말합니다(개인정 보 보호법 제2조제1호). 또한 여기에는 해당 정보만으로는 특정 개인을 알아볼 수 없 더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우가 포함됩니다. 따라서 시술 전후 사진이 신체 일부만을 노출하고 있고 눈 부분을 가리고 있다고 해 도 경우에 따라서는 특정 개인을 식별할 가능성이 있을 수 있기 때문에 개인정보 보호 법의 적용이 될 수 있습니다. 또한 시술 전후사진으로 전혀 개인이 식별되지 않는다 하더라도, 시술 사진 그 자체로 의료법 에 따른 진료기록 등의 일부를 구성할 수도 있으므로, 정보주체(환자) 본인의 동의를 받아 공개 열람 여부를 결정하는 것은 당연 하다 하겠습니다(의료법 제21조 참조). 30

41 이에 따라, 환자의 시술 전후 사진을 홈페이지에 게시할 때에는 수집 이용에 관한 사항을 고지하고 정보주체의 동의를 받는 등 개인정보 보호법의 제반 조치를 준수해 야 할 것입니다. 관련법령 개인정보 보호법 제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다. 1. 개인정보 란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하 여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다. 31

42 공공 민간 1-8) 직원의 지문을 이용한 출입통제시스템을 설치할 수 있는지 여부 기업 영업비밀 보호를 위해 직원 지문을 이용한 출입통제시스템을 구축하려 하는데 법적 문제는 없는지요? 직원의 지문 정보를 수집하여 출입통제시스템에 활용하기 위해서는 개인정보 보호법 제15조에 따른 수집 이용 허용요건에 부합하여야 합니다. 상세설명 기업의 영업비밀 보호 등을 위해서 직원의 지문정보를 수집하여 근태관리 등에 활 용하는 것은 개인정보의 수집 이용 에 해당하므로, 개인정보 보호법 제15조에 따른 수 집 이용 요건에 부합하여야만 지문을 이용한 출입통제시스템의 설치가 허용될 수 있 습니다. 개인정보 수집 이용 요건 (개인정보 보호법 제15조제1항) 1 정보주체 동의 2 법률의 특별한 규정 또는 법령상 의무 준수를 위해 불가피 3 공공기관이 법령 등에서 정하는 소관 업무 수행에 불가피 4 정보주체와의 계약 체결 이행을 위하여 불가피 5 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요(정보 주체 또는 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사 전 동의를 받을 수 없는 경우) 6 개인정보처리자의 정당한 이익 달성에 필요한 경우로서 명백하게 정보주체의 권리 보다 우선하는 경우(개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한함) 32

43 본 상담의 경우, 정보주체로부터 지문정보의 수집 동의를 받아 출입통제시스템을 설 치하면 된다고 생각하기 쉽습니다. 그러나 기업에 고용되어 있는 근로자의 입장에서 는 출입등록시스템 설치에 대해 자유로운 의사에 근거하여 동의 여부를 선택하기가 현실적으로 곤란하고, 기업으로서도 만일 근로자(정보주체) 1인이라도 동의를 거부하 는 경우에는 사실상 그 출입통제시스템의 설치 운영을 포기하여야 하는 상황에 이르 게 됩니다. 따라서 본 상담의 경우에는, 기업과 근로자 간의 고용계약에 기업 영업비밀준수에 관한 사항이 포함되어 있다면 정보주체와의 계약 체결 이행에 불가피한 경우 로서 지 문정보 수집 이용이 허용된다고 판단할 수 있습니다(개인정보 보호법 제15조제1항제4 호 참조). 또한 지문에 기반한 출입통제시스템이 그 기업의 사업 특성이나 영업비밀 보호의 필요성 등 개인정보처리자(기업)의 정당한 이익달성에 필요한 경우 인지를 검 토하고, 이러한 개인정보처리자(기업)의 이익이 정보주체(근로자)의 권리보다 우선하 는지 여부를 판단하여 지문에 기반한 출입통제시스템의 설치 여부를 판단하는 방법도 있습니다(개인정보 보호법 제15조제1항제6호 참조). 관련법령 개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경 우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주 체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련 이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. 33

44 민간 1-9) 신용정보회사가 채권추심을 위해 개인정보를 알아내는 행위의 위법성 여부 신용정보회사가 채권추심을 위해서 저의 소재를 비롯한 개인정보를 모두 조사했습니 다. 본인 동의 없는 개인정보 수집은 위법 아닌가요? 다른 법률의 특별한 규정이 있는 경우에는 정보주체 본인 동의가 없어도 개인정보 수 집이 가능합니다. 신용정보법에 따라 채권추심업을 허가받은 신용정보회사는 특정인 의 소재 및 연락처를 알아내는 업무가 허용됩니다. 상세설명 개인정보처리자(사업자)는 원칙적으로 정보주체의 동의를 받아 개인정보를 수집 이 용하여야 하나, 정보주체 동의 없이도 개인정보를 수집할 수 있는 경우가 있습니다. 대표적으로, 법률에 특별한 규정이 있는 경우에는 동의 없이도 개인정보 수집이 허용 됩니다(개인정보 보호법 제15조제1항제2호). 이와 관련하여, 신용정보법 은 채권추심업을 허가받은 신용정보회사 는 그 채권추 심 업무를 하기 위하여 특정인의 소재 및 연락처를 알아내는 것을 허용하고 있습니다 (신용정보법 제40조제4호단서). 따라서 이 경우에는 정보주체의 동의가 없더라도 개인 정보를 수집 이용할 수 있습니다. 다만 이 경우 그 신용정보회사가 신용정보법 에 따라 금융위원회의 허가를 받는 등 법적 요건이 충족되어야 하고, 신용정보회사라도 채권추심업을 허가받지 않은 경우 에는 특정인의 소재 및 연락처를 알아내거나 금융거래 등 상거래관계 외의 사생활을 조사하는 행위는 금지됩니다. 34

45 신용정보업은 아래의 4종류로 구성되며, 각각의 업무 종류별로 금융위원회의 허가를 받아야 함(신용정보법 제4조 참조) 1 신용조회업 2 신용조사업 3 채권추심업 4 신용평가업 또한, 채권추심업을 허가받은 신용정보회사라 하더라도 그 채권추심의 방법과 절차 등에 대해서는 채권의 공정한 추심에 관한 법률 이 적용됩니다. 동 법률은 채권추심 방법 및 절차에 있어 폭행 협박, 불공정한 행위 등을 엄격히 금지하고 있습니다(채권 의 공정한 추심에 관한 법률 제9조, 제12조 등 참조). 관련법령 개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경 우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 신용정보의 이용 및 보호에 관한 법률 제40조(신용정보회사등의 금지사항) 신용정보회사등은 다음 각 호의 행위를 하여서는 아니 되며, 신용정보회사등이 아니면 제4호 본문의 행위를 업으로 하거나 제5호의 행위를 하 여서는 아니 된다. 4. 특정인의 소재 및 연락처(이하 "소재등"이라 한다)를 알아내거나 금융거래 등 상거래 관계 외의 사생활 등을 조사하는 일. 다만, 채권추심업을 허가받은 신용정보회사가 그 업무를 하기 위하여 특정인의 소재등을 알아내는 경우 또는 다른 법령에 따라 특 정인의 소재등을 알아내는 것이 허용되는 경우에는 그러하지 아니하다. 채권의 공정한 추심에 관한 법률 제9조(폭행ㆍ협박 등의 금지) 채권추심자는 채권추심과 관련하여 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다. (이하 생략) 제11조(거짓 표시의 금지 등) 채권추심자는 채권추심과 관련하여 채무자 또는 관계인에게 다 음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다. (이하 생략) 제12조(불공정한 행위의 금지) 채권추심자는 채권추심과 관련하여 다음 각 호의 어느 하나 에 해당하는 행위를 하여서는 아니 된다. (이하 생략) 35

46 공공 1-10) 공공기관에서 개인정보 수집 동의를 받지 않는 경우의 위법성 여부 구청을 방문하여 장애인 지원비용을 신청하는 과정에서 각종 진료비 명세, 금융계좌 등 상세한 개인정보를 수집하는데 이에 대한 동의도 받지 않습니다. 질의하신 사례는 공공기관이 법령에서 정하는 소관업무 수행을 위해서 개인정보를 수 집하는 경우 로서 별도의 동의를 요하지 않습니다. 상세설명 개인정보처리자(공공기관)는 법률에 특별한 규정이 있는 경우, 법령상 의무를 준수 하기 위하여 불가피한 경우, 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우 등에는 정보주체의 동의가 없더라도 해당 개인정보를 수집 이용할 수 있습니다 (개인정보 보호법 제15조제1항제2호 및 제3호). 예를 들어 본 상담사례과 같은 장애인 지원 업무의 경우, 대표적으로 장애인복지법 에서 국가 및 지방자치단체의 장애인 복지 업무를 규정하고 있으며, 관련 업무의 처리 를 위해서는 장애여부 증빙, 비용 지급을 위한 금융계좌 등의 정보가 필요합니다. 이 에 따라 장애인복지법 시행규칙에서는 이에 필요한 각종 서식을 상세히 규정하고 있습니다. 즉 이는 공공기관이 법령에서 정하는 소관 업무 수행을 위하여 필요한 경우 이므로 정보주체의 동의를 별도로 요하지는 않습니다. 36

47 관련법령 개인정보 보호법 제15조(개인정보의 수집 이용) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우 에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우 제16조(개인정보의 수집 제한) 1 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당 하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다. 장애인복지법 제21조(의료비 지급절차 등) 2 제1항에 따른 관계 서류를 제시받은 의료기관은 진료를 받으 려는 장애인이 의료비 지급대상자임을 확인하여야 하며, 해당 장애인에게 의료를 제공하 였을 때에는 국민건강보험법 에 따른 건강보험심사평가원(이하 건강보험심사평가원 이 라 한다)에 의료비 지급 심사 청구를 하여야 한다. 3 제2항에 따른 청구를 받은 건강보험심사평가원은 이를 심사한 후 그 결과를 의료비지 급대상자를 관할하는 시장 군수 구청장에게 통보하여야 한다. 4 제2항 및 제3항에도 불구하고 의료비 지급대상자는 의료비 지급대상자임을 확인할 수 없는 등의 불가피한 사유로 의료비를 의료기관에 지불한 경우에는 별지 제12호서식의 지 급청구서에 해당 장애인의 진료비명세서를 첨부하여 의료비 지급대상자를 관할하는 시 장 군수 구청장에게 직접 의료비를 청구하여야 한다. 37

48 공공 민간 1-11) 포인트카드 발급신청서에 주민등록증 발급일자를 기재하도록 한 경우 어떤 쇼핑몰의 회원가입 신청서에서 주민등록번호와 주민등록증 발급일자까지 꼭 기 재하도록 하고 있습니다. 과도한 개인정보 수집 아닐까요? 서비스의 특성에 따라 차이가 있을 수는 있으나, 회원가입 단계에서 주민등록증 발급 일자까지 의무적으로 기재하도록 하는 것은 과도한 개인정보 수집의 우려가 있습니다. 상세설명 개인정보처리자는 개인정보를 수집하는 경우 그 목적에 필요한 최소한의 개인정보 를 수집해야 합니다(개인정보 보호법 제16조제1항). 최소한의 개인정보가 어떤 것인지 는 일률적으로 정할 수는 없으며 그 서비스의 특성 등을 종합적으로 고려하여 판단하 여야 합니다. 일반적으로 주민등록증 발급일자 는 주민등록번호의 진위 확인에 이용됩니다. 질의 하신 상담 사례에서 주민등록증 발급일자까지 기재하도록 한 것은 해당 쇼핑몰이 신 원 확인을 명확히 하기 위한 목적이라고 추정됩니다. 그러나 일반적인 회원가입 단계 에서 필수적으로 주민등록증 발급일자까지 입력하도록 한 것은 과도한 개인정보 수집 우려가 있습니다. 다만, 예를 들어 고가의 경품 지급 등과 같이 명확한 신원확인이 필요한 때에 있어 서는 주민등록증 발급일자 정보를 통해 주민등록 진위확인을 하는 경우도 있을 수 있 습니다. 38

49 관련법령 개인정보 보호법 제16조(개인정보의 수집 제한) 1 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하 여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한 다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다. 토막상식 주민등록 진위확인 서비스 o 안전행정부는 전화 및 인터넷을 통하여 주민등록 진위확인 서비스를 제공하고 있음 성명, 주민등록번호 및 발급일자 대조를 통하여 진위 여부를 확인하는 방식임 (네모 부분이 발급일자) - 전화 : 국번없이 인터넷 : 민원24 ( 서비스 이용시 공인인증서 필요함 39

50 민간 1-12) 금융회사의 전화 상담시 주민등록번호 입력을 요구하는 행위의 위법성 여부 신용카드사에 전화로 상담을 신청했는데 주민등록번호를 반드시 입력하여야만 통화 가 가능합니다. 문제가 있는 것은 아닌지요? 전화 ARS 상담시에 무조건적으로 주민등록번호를 입력하도록 하는 것은 과도한 개인 정보 수집의 우려가 있습니다. 상세설명 개인정보처리자는 개인정보를 수집하는 경우 그 목적에 필요한 최소한의 개인정보 를 수집해야 합니다(개인정보 보호법 제16조제1항). 최소한의 개인정보가 어떤 것인지 는 일률적으로 정할 수는 없으며 그 서비스의 특성 등을 종합적으로 고려하여 판단하 여야 합니다. 기업의 전화 ARS 상담 시에 신원확인이나 부정거래 방지 등을 위해 주민등록번호를 의무적으로 입력하도록 하는 경우가 종종 있습니다. 일반적으로 기업 및 고객 간의 전 화 상담에서 고객의 본인 여부나 자사 회원 여부 등을 확인해야 하는 경우가 있습니 다. 그러나 통상적 수준의 신원 확인은 다른 개인정보 항목으로도 얼마든지 가능하며 (예를 들어 전화번호/휴대전화번호 입력 등), 주민등록번호 또한 도용의 위험성이 있 으므로 다른 개인정보 항목에 비해 신원확인 기능이 더 뛰어나다고 할 수도 없습니다. 따라서 기업의 전화 ARS 상담 시에 무조건적으로 주민등록번호를 입력하도록 하는 것 은 과도한 개인정보 수집 이용의 우려가 있습니다. 40

51 다만, 금융회사 등이 금융거래를 하는 경우에는 이른바 거래자의 실명(주민등록표 상의 명의 등) 으로 하여야 하므로(금융실명거래 및 비밀보장에 관한 법률 제2조 및 제 3조 참조), 단순히 전화 상담이 아니라 전화를 통한 금융거래 등에는 주민등록번호의 확인이 필요할 수도 있습니다. 금융감독원 금융회사 ARS 운영개선안 발표( 11.5) - 단순 상담을 위하여 금융사의 전화 ARS로 상담을 신청하는 경우에는 주민등록번호 를 입력하지 않고도 다른 개인정보의 확인만으로 상담사 통화가 가능하도록 함 - 다만 결제대금 확인 등 개인신용정보가 반드시 필요한 경우 주민등록번호 입력 허용 관련법령 개인정보 보호법 제16조(개인정보의 수집 제한) 1 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하 여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한 다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다. 금융실명거래 및 비밀보장에 관한 법률 제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다. 3. 금융거래 란 금융회사등이 금융자산을 수입( 受 入 ) 매매 환매 중개 할인 발행 상환 환급 수탁 등록 교환하거나 그 이자, 할인액 또는 배당을 지급하는 것과 이를 대행하는 것 또는 그 밖에 금융자산을 대상으로 하는 거래로서 총리령으로 정하는 것을 말한다. 4. 실지명의 란 주민등록표상의 명의, 사업자등록증상의 명의, 그 밖에 대통령령으로 정 하는 명의를 말한다. 제3조(금융실명거래) 1 금융회사등은 거래자의 실지명의(이하 실명 이라 한다)로 금융거래 를 하여야 한다. 2 금융회사등은 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 경우에는 실명 을 확인하지 아니할 수 있다. 1. 실명이 확인된 계좌에 의한 계속거래( 繼 續 去 來 ), 공과금 수납 및 100만원 이하의 송금 등의 거래로서 대통령령으로 정하는 거래 41

52 2. 외국통화의 매입, 외국통화로 표시된 예금의 수입( 受 入 ) 또는 외국통화로 표시된 채권 의 매도 등의 거래로서 대통령령으로 정하는 기간 동안의 거래 3. 다음 각 목의 어느 하나에 해당하는 채권(이하 특정채권 이라 한다)으로서 법률 제5493 호 금융실명거래및비밀보장에관한법률 시행일(1997년 12월 31일) 이후 1998년 12월 31 일 사이에 재정경제부장관이 정하는 발행기간 이자율 및 만기 등의 발행조건으로 발행 된 채권의 거래 가. 고용 안정과 근로자의 직업능력 향상 및 생활 안정 등을 위하여 발행되는 대통령령 으로 정하는 채권 나. 외국환거래법 제13조에 따른 외국환평형기금 채권으로서 외국통화로 표시된 채권 다. 중소기업의 구조조정 지원 등을 위하여 발행되는 대통령령으로 정하는 채권 라. 자본시장과 금융투자업에 관한 법률 제329조에 따라 증권금융회사가 발행한 사채 마. 그 밖에 국민생활 안정과 국민경제의 건전한 발전을 위하여 발행되는 대통령령으 로 정하는 채권 토막상식 금융회사 ARS 운영개선안 주요내용( 11.5) 주민등록번호 입력요구 최소화 ARS 첫 단계부터 주민등록번호를 요구하거나 단순상담(고객 불편사항 신고, 전화번 호 안내)시에도 주민등록번호의 강제 요구는 시정 다만, 개인 신용정보가 필요한 사항(대출신청, 카드결제대금 및 보험해약환급금 문 의 등)에 한하여 주민등록번호 입력요구 가능 상담원 연결기능 강화(각 단계별로 상담원 연결 가능) 상담원 연결은 첫 단계부터 가능하도록 하고, 각 단계마다 상담원 연결이 가능하도록 조치 구성단계의 간소화 및 메뉴의 표준화 도입 등 ARS의 구성단계를 가급적 3단계 이내로 구성하되, 5단계를 넘지 않도록 간소화 상담원 연결은 0 번, 이전 단계로 돌아가기는 # 번, 다시듣기는 * 번으로 표준화 된 번호를 부여하여 운영하고, ARS서비스 구성도(Tree)를 자사 홈페이지에 게시 상담원 연결 대기시간이 30초를 넘어갈 경우 상담원이 이용자에게 전화를 걸어 응답 하는 Call Back(전화회신) 서비스 제공 상담원에게 전 임직원 전화번호 제공하여 안내 실시 등 42

53 2. 개인정보 제3자 제공 43

54

55 민간 2-1) 건설사 및 부동산중개업소 간의 개인정보 제3자 제공 새로 분양한 아파트단지에 입주하였는데 인근 부동산중개업소에서 저의 정확한 동호 수, 전화번호, 성명 등을 알고 전월세 및 매매에 관한 홍보전화를 걸어옵니다. 부동산 중개업소에 물어보니 아파트건설사로부터 정보를 받았다고 하는데, 법적으로 문제가 있는 것 아닌지요? 아파트단지 입주자의 개인정보는 원칙적으로 정보주체(입주자) 본인의 별도 동의가 없었다면 부동산중개업소 등 제3자에게 제공될 수 없습니다. 상세설명 개인정보처리자(사업자)는 개인정보를 당초 수집한 목적 범위를 초과하여 이용하거 나 제3자에게 제공할 수 없으며, 다만 정보주체로부터 별도 동의를 받았거나 다른 법 률에 특별한 규정이 있는 경우 등은 제3자에게 제공이 허용됩니다(개인정보 보호법 제 18조제1항 및 제2항). 본 사례의 경우, 건설사와 부동산중개업소 간의 개인정보 제3자 제공(공유)과 관련 하여 다른 법률에 특별한 규정 이 존재하지 않으므로, 결국 정보주체(입주자) 개개인 의 별도 동의가 있는 경우에만 개인정보 제공이 허용될 수 있습니다. 비록 아파트건설사 등에서는 입주자들의 부동산 거래 편의를 위하여 개인정보를 제 공한 것 일수도 있으나, 이러한 경우에도 분양계약 체결 시에 개인정보를 부동산중개 업소에 제공하는데 대한 별도의 동의를 받은 후에 개인정보를 제공하여야 합니다. 45

56 개인정보 제3자 제공 위반 시에는 5년 이하의 징역 또는 5천만원 이하의 벌금 등 형 사벌이 부과됩니다. 또한 동의가 없이 개인정보가 제공되었다는 사정을 알고 영리 또 는 부정한 목적으로 개인정보를 제공받은 자도 같이 처벌됩니다. 따라서 사업자들이 영업을 함에 있어 각별한 주의가 필요합니다. 관련법령 개인정보 보호법 제18조(개인정보의 이용ㆍ제공 제한) 1 개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다. 2 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보 를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9 호까지의 경우는 공공기관의 경우로 한정한다. 1. 정보주체로부터 별도의 동의를 받은 경우 2. 다른 법률에 특별한 규정이 있는 경우 (이하 생략) 제71조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하 의 벌금에 처한다. 2. 제18조제1항 제2항, 제19조, 제26조제5항 또는 제27조제3항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자 46

57 공공 민간 2-2) 보험사 및 의료기관 간의 개인정보 제3자 제공 위법성 여부 교통사고를 당하여 보험사에 보험료 청구를 하였는데, 보험사가 확인을 한다면서 병 원으로부터 진료기록 일체를 제공받아 갔습니다. 아무리 보험사라도 의료기록을 제 공받으려면 동의가 필요한 것 아닌가요? 자동차보험진료수가 청구를 받은 보험회사 등은 정보주체 본인 동의가 없더라도 의 료법 및 자동차손해배상보장법 등 법률에 의거하여 의료기관에 대해 관계 진료기 록의 열람 및 사본교부를 청구할 수 있습니다. 상세설명 개인정보 보호법은 원칙적으로 개인정보를 수집 목적 범위를 초과하여 이용하거나 제3자에게 제공하는 행위를 금지하고 있으나, 예외적으로 다른 법률에 특별한 규정이 있는 경우 에는 비록 정보주체 본인 동의가 없다 하더라도 개인정보 제3자 제공이 허 용됩니다. 의료법 및 자동차손해배상보장법 은 의료기관으로부터 자동차보험진료수가 청 구를 받은 보험회사 등은 정보주체 본인 동의가 없더라도 의료기관에 대해 관계 진료 기록의 열람 및 사본교부를 청구할 수 있도록 규정하고 있습니다(의료법 제21조제2항 제9호, 자동차손해배상 보장법 제12조 및 제14조). 다만 자동차손해배상보장법 이나 의료법 등에서와 같이 환자 아닌 사람에게 환 자에 관한 기록의 열람이 가능하도록 법령에서 특별히 규정한 경우가 아니라면, 일반 47

58 적으로 보험회사가 의료기관으로부터 환자의 진료기록을 열람하기 위해서는 정보주체 (환자) 본인의 동의를 받아야 할 것입니다. 관련법령 개인정보 보호법 제18조(개인정보의 이용ㆍ제공 제한) 2 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다. 2. 다른 법률에 특별한 규정이 있는 경우 의료법 제21조(기록 열람 등) 1 의료인이나 의료기관 종사자는 환자가 아닌 다른 사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 내용을 확인할 수 있게 하여서는 아니 된다. 2 제1항에도 불구하고 의료인이나 의료기관 종사자는 다음 각 호의 어느 하나에 해당 하면 그 기록을 열람하게 하거나 그 사본을 교부하는 등 그 내용을 확인할 수 있게 하여 야 한다. 다만, 의사 치과의사 또는 한의사가 환자의 진료를 위하여 불가피하다고 인정 한 경우에는 그러하지 아니하다. 9. 자동차손해배상 보장법 제12조제2항 및 제14조에 따라 의료기관으로부터 자동차보 험진료수가를 청구받은 보험회사등이 그 의료기관에 대하여 관계 진료기록의 열람을 청구한 경우 참고자료 의료기관 개인정보보호 가이드라인 (안전행정부, 보건복지부) (개인정보보호 종합지원 포털(privacy.go.kr) 자료실 지침자료) 48

59 공공 민간 2-3) 병원에 대한 수사기관의 개인정보 제공 요구 의료기관에는 검 경찰 등 수사기관에서 개인정보의 제공 요구를 하는 경우가 많습니 다. 이러한 경우는 어떻게 해야 하는지요? 의료기관이 보유한 진료기록 등의 제3자 제공에 대해서는 의료법 이 우선 적용됩니 다. 수사기관이 진료기록의 제공을 요구한 경우에는 형사소송법 에 따른 압수, 수 색, 검증 등의 경우에만 제공할 수 있습니다. 상세설명 개인정보 보호법은 원칙적으로 수집 목적 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하는 행위를 금지하고 있으나, 예외적으로 다른 법률에 특별한 규정이 있는 경우 에는 비록 정보주체 동의가 없더라도 개인정보 제3자 제공이 허용됩니다. 이와 관련하여 의료법 에서는 진료기록 등의 제공에 대한 명시적인 규정을 두고 있으므로, 만일 수사기관이 요구하는 자료가 환자의 진료기록에 관한 것이라면 의료 법 이 우선 적용됩니다. 따라서, 수사기관의 경우에는 압수, 수색, 검증 등에 따른 경 우에 진료기록을 제공할 수 있습니다(의료법 제21조제2항제6호, 형사소송법 제106조, 제215조, 제218조 참조). 참고로 법원에서 요구한 경우라면, 민사소송법 에 따라서 문 서제출 명령이 이루어진 경우에 한해 제공할 수 있습니다. 49

60 관련법령 개인정보 보호법 제18조(개인정보의 이용ㆍ제공 제한) 2 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다. 의료법 제21조(기록 열람 등) 2 제1항에도 불구하고 의료인이나 의료기관 종사자는 다음 각 호의 어느 하나에 해당하면 그 기록을 열람하게 하거나 그 사본을 교부하는 등 그 내용을 확 인할 수 있게 하여야 한다. 다만, 의사 치과의사 또는 한의사가 환자의 진료를 위하여 불가피하다고 인정한 경우에는 그러하지 아니하다. 6. 형사소송법 제106조, 제215조 또는 제218조에 따른 경우 7. 민사소송법 제347조에 따라 문서제출을 명한 경우 참고자료 의료기관 개인정보보호 가이드라인 (안전행정부, 보건복지부) (개인정보보호 종합지원 포털(privacy.go.kr) 자료실 지침자료) 50

61 공공 민간 2-4) 민원 처리를 위한다는 목적으로 제3자에게 개인정보를 제공하는 행위의 위법성 여부 인근 상점의 법 위반행위에 대해 관할 구청에 민원을 제기했는데, 이후 인근 상점에 서 제가 민원을 넣었다는 내용을 모두 알고 항의를 하는 일이 발생했습니다. 관할 구 청에서 원활한 민원 처리를 위해 정보를 알려주었다는데, 이는 문제가 있는 것 아닌 가요? 민원인의 개인정보를 동의 없이 피민원인에게 제공하는 것은 비록 원활한 민원처리를 위한 목적이라 하더라도 개인정보 제3자 제공 원칙에 위반될 여지가 있습니다. 상세설명 개인정보처리자(공공기관, 사업자 등)는 개인정보를 당초 수집한 목적 범위를 초과 하여 제3자에게 제공할 수 없으며, 다만 정보주체로부터 별도 동의를 받았거나 다른 법률에 특별한 규정이 있는 경우 등에 한하여 개인정보를 제3자에게 제공할 수 있습니 다(개인정보 보호법 제18조제1항 및 제2항). 따라서, 원칙적으로는 민원인의 별도 동의가 없는 이상 민원인의 신상 및 민원내 용 등을 제3자에게 알려주어서는 아니됩니다. 만약 신속한 분쟁 합의 유도 등 원활 한 민원처리를 위해 민원인의 신상 및 민원 내용을 제3자(예를 들어 민원 대상자)에 게 알릴 필요가 있을 경우에는 미리 민원인의 동의를 받고 개인정보를 제공하여야 합니다. 51

62 한편, 민원사무 처리에 관한 법률 에서는 행정기관의 장이 민원사무 처리와 관 련하여 알게 된 민원사항의 내용과 민원인의 신상정보 등이 누설되어 민원인의 권 익이 침해되지 않도록 노력해야 함 을 규정하고 있습니다(민원사무 처리에 관한 법 률 제26조). 관련법령 개인정보 보호법 제17조(개인정보의 제공) 1 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에 는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다. 1. 정보주체의 동의를 받은 경우 2. 제15조제1항제2호 제3호 및 제5호에 따라 개인정보를 수집한 목적 범위에서 개인정 보를 제공하는 경우 민원사무 처리에 관한 법률 제26조(정보 보호) 행정기관의 장은 민원사무의 처리와 관련하여 알게 된 민원사항의 내용 과 민원인의 신상정보 등이 누설되어 민원인의 권익이 침해되지 아니하도록 노력하여야 한다. 52

63 공공 민간 2-5) 회원 가입시 제3자 제공에 대한 동의를 강제하는 경우의 위법성 여부 어떤 서비스에 회원으로 가입하려고 하였는데, 회원 가입창을 살펴보니 다양한 기업 들에 마케팅 목적으로 개인정보를 제공한다고 적혀있고 게다가 개인정보 제3자 제공 동의란에 체크하지 않으면 아예 회원가입이 거부되게끔 되어 있습니다. 개인정보의 목적외 이용 제공에 대해 동의를 받을 때에는 다른 동의와 구분하여 별도 의 동의를 받아야 합니다. 동의 사항을 뭉뚱그려 한꺼번에 동의를 받는 이른바 포괄 동의 는 개인정보 보호법에 따라 금지됩니다. 상세설명 개인정보처리자는 개인정보의 목적 외 이용 제공에 대해 동의를 받을 때에는 다른 동의와 구분하여 별도 의 동의를 받아야 합니다(개인정보 보호법 제18조제2항제1호). 또한 개인정보 처리에 대해 정보주체의 동의를 받을 때에는 각각의 동의사항을 구분 하여 정보주체가 명확히 인지할 수 있도록 알리고 각각 동의를 받아야 합니다(개인정 보 보호법 제22조제1항). 개인정보 처리에 대한 각각의 동의사항을 따로 구분하지 않고 이를 뭉뚱그려 한꺼 번에 동의를 받는 것을 이른바 포괄동의 라 부르는데, 이는 개인정보 보호법에서 엄격 히 금지하고 있습니다. 예를 들어 본 상담사례와 같이 개인정보 수집 이용 동의(법 제15조제1항, 회원가입 단계)와 목적 외 이용 제공 동의(법 제18조제2항)를 구분하지 않고 한꺼번에 동의를 53

64 받고, 제3자 제공 동의에 거부할 경우 아예 회원가입 자체를 거부해버리는 경우가 대 표적인 포괄동의 사례에 해당합니다. 관련법령 개인정보 보호법 제18조(개인정보의 이용 제공 제한) 2 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다. 1. 정보주체로부터 별도의 동의를 받은 경우 제22조(동의를 받는 방법) 1 개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보 주체(제5항에 따른 법정대리인을 포함한다. 이하 이 조에서 같다)의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다. 표준 개인정보 보호지침 제13조(동의를 받는 방법) 3 개인정보처리자는 법 제18조제2항제1호에 따라 정보주체로부터 별도의 동의를 받고자 하는 경우에는 정보주체가 다른 개인정보처리의 목적과 별도로 동 의여부를 표시할 수 있도록 조치를 취하고 동의를 받아야 한다. 54

65 3. 처리위탁 및 영업양도

66

67 공공 민간 3-1) 개인정보 제3자 제공, 처리위탁, 영업양도의 구별 기준 개인정보 보호법에는 개인정보 제3자 제공, 처리위탁, 영업양도가 규정되어 있는데, 각각 어떤 특징이 있고 어떻게 구별하면 되는지 궁금합니다. 제3자 제공 은 제공받는 자의 목적을 위해 제공되는 것, 처리위탁 은 제공하는 자의 목적을 위해 제공되는 것, 영업양도 는 개인정보의 처리 목적은 그대로 유지되면서 개인정보 관리주체만 변경 이전되는 것입니다. 상세설명 개인정보 보호법은 개인정보가 제3자에게 이전되는 형태로서 1 개인정보 제3자 제공(법 제17조 및 제18조) 2 개인정보 처리위탁(법 제26조) 3 영업양도 합병시 개인정보 이전(법 제27조) 의 3가지를 규정합니다. 이 세가지 형태는 개인정보가 물리적으로 제3자에게 이전된다는 점에서는 동일하지 만, 그 목적이나 필요성 및 관리책임 등에서 크게 차이가 있으며 법률을 위반했을 경 우의 처벌에 있어서도 각기 다릅니다. 이를 알기 쉽게 표로 정리하여 보면 다음과 같 습니다. 57

68 <제3자 제공, 처리위탁, 영업양도시 개인정보 이전의 차이점> 구분 제3자 제공 처리위탁 영업양도시 개인정보 이전 목적 제공받는 자(제3자) 의 목 적 이익을 위해 개인정보 이전 제공하는 자(제3자) 의 목 적 이익을 위해 개인정보 이전 개인정보 처리목적(사업 목적, 사업형태 등)은 유 지되고 단지 개인정보의 보유 관리주체만 변경 관리책임 개인정보 이전 후에는 제 공받는 자(제3자) 의 관리 범위에 속함 개인정보 이전 후에도 원 칙적으로 제공하는 자 의 관리범위에 속함 영업양도 합병 후에는 양 수자의 관리범위에 속함 허용요건 정보주체 고지 동의 또는 법률의 규정 등 처리위탁사실 공개 정보주체에 통지 위반시 처벌 형사벌 (5년 이하 징역 또는 5천 만원 이하 벌금) 과태료 (1천만원 이하) 과태료 (1천만원 이하) 사례 기업간 이벤트 또는 업무 제휴 등을 통한 개인정보 제공 콜센터, A/S센터 등의 외 부 위탁 기업간 양도 합병 58

69 토막상식 개인정보 보호법에서의 동의, 고지, 통지, 공개의 차이 o 개인정보 보호법 및 하위법령, 고시 등에서는 각각의 개인정보 처리요건에 대해 동의, 고지, 통지, 공개 등의 용어가 사용되고 있어 이의 명확한 의미 및 규정예시를 정리함 구분 동의 의미 및 예시 정보주체가 개인정보의 처리에 대해 허락 승낙하겠다는 의사표시 (명시적 의사표시를 의미함) (규정예시) 개인정보 수집 이용(제15조), 제3자 제공(제17조), 목적외이용 또는 제3자 제공(제18조), 민감정보 또는 고유식별정보 처리(제23조 또는 제24조) 등 고지 개인정보 처리에 대한 동의를 받는 경우, 처리목적 등에 관한 사항을 동의서 등에 명시하거나 구두로 정보주체에게 알려주는 행위 (규정예시) 개인정보 수집 이용(제15조), 제3자 제공(제17조), 목적외이용 또는 제3자 제공(제18조), 민감정보 또는 고유식별정보 처리(제23조 또는 제24조) 등 개인정보 보호법이 정하는 일정 사항을 정보주체 개개인에게 도달되도록 알리는 행위 (서면, , 팩스, 전화, 문자전송 등) 개인정보보호법에서는 정보주체에게 알려야 한다 는 표현도 사용하고 있음 통지 (규정예시) 홍보 판매권유 위탁 통지(제26조제3항), 영업양도 통지(제27조제1 항), 개인정보 유출통지(제34조), 정정 삭제 및 처리정지 결과 통지(제36조, 제 37조) 등 수집출처 고지의무(제20조)는 고지 라는 표현을 사용하고 있으나 해석상 통지 에 보다 가까움 공개 개인정보 보호법이 정하는 일정 사항을 정보주체 누구나 용이하게 열람 확인 가능한 상태로 두는 것 (규정예시) 처리위탁 공개(제26조제2항), 개인정보 처리방침 공개(제30조), 영상 정보처리기기 운영관리방침 공개(시행령 제25조), 개인정보 보호책임자 공개(표 준지침 제23조), 개인정보파일 공개(제32조) 등 59

70 공공 민간 3-2) 사업을 양도하면서 개인정보 이전사실 통지를 하지 않은 경우 제가 회원가입되어 있는 OO회사에서 회사로 홈페이지 등 영업 일체가 양도되었 다는데 아무런 통보를 받지 못했습니다. 항의를 해보았는데 회원 탈퇴 시켜주면 되지 않느냐며 오히려 큰소리를 칩니다. 영업을 양도하거나 합병하여서 개인정보가 이전되는 경우에는 양도자 및 양수자가 반드시 정보주체(고객)에게 이전사실을 통지해야 합니다. 상세설명 개인정보처리자(사업자)는 영업의 양도 합병 등으로 개인정보를 이전하는 경우에는 서면, 전자우편, FAX, 전화, 문자전송 등의 방법으로 정보주체(고객)에게 반드시 통지 해야 합니다(개인정보 보호법 제27조제1항). 영업 양도 합병시 통지사항 1 개인정보를 이전하려는 사실 2 개인정보를 이전받는 자(영업양수자등)의 성명(법인명칭), 주소, 전화번호, 기타 연락처 3 정보주체가 개인정보 이전을 원치 아니하는 경우 조치방법 및 절차 영업의 양도 합병 통지는 원칙적으로 양도하는 자 및 영업양수자 양측이 모두 통지 해야 합니다. 다만 양도하는 자가 이미 통지를 한 경우에는 영업양수자 측은 통지하지 않아도 됩니다(개인정보 보호법 제27조제2항). 60

71 영업의 양도 합병에 따른 개인정보 이전사실을 통지하지 않은 경우에는 영업양도자 및 양수자 모두에게 1천만원 이하의 과태료가 부과되므로, 사업자 등은 영업의 양도 합병시 반드시 정보주체에 대한 통지의무를 준수하도록 주의를 기울여야 합니다. 참고법령 개인정보 보호법 제27조(영업양도 등에 따른 개인정보의 이전 제한) 1 개인정보처리자는 영업의 전부 또는 일 부의 양도 합병 등으로 개인정보를 다른 사람에게 이전하는 경우에는 미리 다음 각 호 의 사항을 대통령령으로 정하는 방법에 따라 해당 정보주체에게 알려야 한다. 1. 개인정보를 이전하려는 사실 2. 개인정보를 이전받는 자(이하 영업양수자등 이라 한다)의 성명(법인의 경우에는 법 인의 명칭을 말한다), 주소, 전화번호 및 그 밖의 연락처 3. 정보주체가 개인정보의 이전을 원하지 아니하는 경우 조치할 수 있는 방법 및 절차 61

72 민간 3-3) 영업양도 양수를 공지하였으나 정보주체 개개인에게 통지를 하지는 않은 경우 평소 이용하던 마트가 다른 마트와 통합되면서 포인트카드 회원도 통합되었다는데 저는 이에 대해 아무런 통지를 받지 못했습니다. 마트에 물어보니 매장에서 통합사실 을 공지했기 때문에 아무런 법적 문제가 없다고 하는데 이 말이 맞는지요? 영업을 양도하거나 합병하여서 개인정보가 이전되는 경우에는 정보주체(고객) 개개인 에게 이전 사실을 통지하는 것이 원칙입니다. 상세설명 개인정보처리자(사업자)는 영업의 양도 합병 등으로 개인정보를 이전하는 경우에는 아래 사항을 정보주체(고객)에게 알려야 합니다(개인정보 보호법 제27조). 영업 양도 합병시 통지사항 1 개인정보를 이전하려는 사실 2 개인정보를 이전받는 자(영업양수자등)의 성명(법인명칭), 주소, 전화번호, 기타 연락처 3 정보주체가 개인정보 이전을 원치 아니하는 경우 조치방법 및 절차 이 때, 영업양도 합병에 따른 통지는 원칙적으로 정보주체 개인에게 통지 하는 것을 의미합니다. 즉 서면, 전자우편, 문자전송 등의 방법으로 정보주체 개개인에게 알리는 것을 의미합니다. 다만 개인정보처리자(사업자)가 과실 없이 정보주체에게 알릴 수 없 는 경우에는 인터넷 홈페이지 게시 또는 사업장 게시(30일 이상)를 함으로써 통지를 62

73 대신할 수 있습니다(개인정보 보호법 시행령 제29조제2항). 따라서 질의하신 상담 사 례와 같이 고객들에게 통지를 할 수 있었음에도 단순히 매장에서 통합사실 게시만 한 경우에는 개인정보 보호법 위반 여지가 있습니다. 관련법령 개인정보 보호법 제27조(영업양도 등에 따른 개인정보의 이전 제한) 1 개인정보처리자는 영업의 전부 또는 일 부의 양도 합병 등으로 개인정보를 다른 사람에게 이전하는 경우에는 미리 다음 각 호의 사항을 대통령령으로 정하는 방법에 따라 해당 정보주체에게 알려야 한다. 1. 개인정보를 이전하려는 사실 2. 개인정보를 이전받는 자(이하 영업양수자등 이라 한다)의 성명(법인의 경우에는 법인 의 명칭을 말한다), 주소, 전화번호 및 그 밖의 연락처 3. 정보주체가 개인정보의 이전을 원하지 아니하는 경우 조치할 수 있는 방법 및 절차 2 영업양수자등은 개인정보를 이전받았을 때에는 지체 없이 그 사실을 대통령령으로 정 하는 방법에 따라 정보주체에게 알려야 한다. 다만, 개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다. 3 영업양수자등은 영업의 양도 합병 등으로 개인정보를 이전받은 경우에는 이전 당시 의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공할 수 있다. 이 경우 영업양수 자등은 개인정보처리자로 본다. 개인정보 보호법 시행령 제29조(영업양도 등에 따른 개인정보 이전의 통지) 2 법 제27조제1항에 따라 개인정보를 이전 하려는 자(이하 이 항에서 영업양도자등 이라 한다)가 과실 없이 제1항에 따른 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 영 업양도자등의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다. 63

74 민간 3-4) 영업양도 양수 과정에서 개인정보 이전거부 요구를 했음에도 받아들여지지 않은 경우 회원으로 가입하여 이용해 오던 서비스가 다른 기업 서비스와 통합된다는 안내를 받 고 개인정보 이전 거부와 회원탈퇴를 신청했는데 나중에 통합된 서비스에서 계속 홍 보물이 옵니다. 개인정보 보호 침해 아닌가요? 영업양도 양수 시에 정보주체가 개인정보 이전을 거부한 경우, 개인정보처리자(사업 자)는 이에 따라 회원탈퇴 등 필요한 조치를 반드시 취해야 합니다. 상세설명 개인정보처리자(사업자)는 영업의 양도 합병 등으로 개인정보를 이전하는 경우에는 개인정보 이전사실, 이전받는 자에 관한 정보, 정보주체가 개인정보 이전을 원치 않는 경우의 조치방법 및 절차를 통지하도록 되어 있습니다(개인정보 보호법 제27조). 여기서 정보주체가 개인정보 이전을 원치 아니하는 경우 조치방법 및 절차 란 현실 적으로 개인정보 이전 거부에 따른 회원탈퇴 조치 를 의미한다고 하겠습니다. 즉 영업 양도 양수가 이루어지는 경우, 영업을 양도하는 사업자는 정보주체가 개인정보 이전 을 거부하였다면 영업양도가 이루어지기 전에 반드시 해당 정보주체에 대해서 회원탈 퇴 등의 조치를 취해야 합니다. 64

75 질의하신 상담 사례와 같이 정보주체가 명확하게 개인정보 이전을 거부하였음에도 그에 따른 조치가 이루어지지 않은 경우에는 개인정보 보호법 위반 여지가 있습니다. 따라서 기업 간의 영업 양도 합병 등의 경우에는 정보주체에게 관련 사실을 통지하는 것뿐만 아니라 통지에 따른 정보주체 요구를 빠짐없이 이행하는 것도 중요합니다. 관련법령 개인정보 보호법 제27조(영업양도 등에 따른 개인정보의 이전 제한) 1 개인정보처리자는 영업의 전부 또는 일 부의 양도 합병 등으로 개인정보를 다른 사람에게 이전하는 경우에는 미리 다음 각 호의 사항을 대통령령으로 정하는 방법에 따라 해당 정보주체에게 알려야 한다. 1. 개인정보를 이전하려는 사실 2. 개인정보를 이전받는 자(이하 영업양수자등 이라 한다)의 성명(법인의 경우에는 법인 의 명칭을 말한다), 주소, 전화번호 및 그 밖의 연락처 3. 정보주체가 개인정보의 이전을 원하지 아니하는 경우 조치할 수 있는 방법 및 절차 65

76

77 4. 민감정보 및 고유식별정보 처리

78

79 공공 민간 4-1) 기부금 영수증 발급을 위해 주민등록번호를 수집하는 경우 기부금을 받았음을 증명해주는 기부금 영수증 을 발급하려면 기부자의 성명과 주민 등록번호가 필요합니다. 앞으로는 주민등록번호를 쓰면 안 된다고 하는데 이런 경우 는 어떻게 해야 하나요? 기부금 영수증의 주민등록번호 기재는 소득세법 및 동법 시행규칙 별지 서식에 의 한 것으로서, 법령에서 구체적으로 처리를 요구하거나 허용한 경우 에 해당하여 정 보주체 별도 동의 없이도 처리 가능합니다. 상세설명 개인정보 보호법은 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보 를 고유식별정보 로 분류하고 있으며, 여기에는 주민등록번호, 여권번호, 운전면허번 호, 외국인등록번호가 포함됩니다. 고유식별정보는 정보주체의 별도 동의를 받거나 법 령에서 구체적으로 처리를 요구 허용한 경우에만 처리할 수 있습니다(개인정보 보호 법 제24조제1항, 동법 시행령 제19조). 이와 관련하여 소득세법 은 사업자가 지출한 기부금에 관한 규정을 두고 있고(제 34조), 동법 시행규칙은 기부금 영수증 서식을 규정하고 있습니다(별지 제45호의2 서 식). 여기에는 기부자의 성명 및 주민등록번호를 기재하도록 하고 있으므로, 이는 개 인정보 보호법이 정한 법령에서 구체적으로 처리를 요구 허용한 경우 에 해당합니다. 따라서 이 경우는 별도 동의 없이도 주민등록번호의 수집과 이용이 가능합니다. 69

80 관련법령 개인정보 보호법 제24조(고유식별정보의 처리 제한) 1 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하 는 정보(이하 고유식별정보 라 한다)를 처리할 수 없다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인 정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우 소득세법 시행규칙 별지 제45호의2 서식 소득세법 시행규칙 [별지 제45호의2서식] <개정 > 일련번호 기 부 금 영 수 증 아래의 작성방법을 읽고 작성하여 주시기 바랍니다. ❶ 기부자 성명(법인명) 주소(소재지) 주민등록번호 (사업자등록번호) (이하 생략) 70

81 공공 민간 4-2) 주주명부 작성 비치를 위한 주민등록번호 이용 주식회사에서 주주명부를 작성하는 경우 성명, 주소와 주민등록번호를 기재하고 있 습니다. 개인정보 보호법에 따르면 주민등록번호를 기재하기 위해 동의를 받아야 하 는 것 아닌지요? 주주명부에는 법인세법 에 따라 주민등록번호를 기재하도록 되어 있으므로 정보주 체의 별도 동의 없이도 주민등록번호 이용이 가능합니다. 상세설명 개인정보 보호법은 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보 를 고유식별정보 로 분류하고 있으며, 여기에는 주민등록번호, 여권번호, 운전면허번 호, 외국인등록번호가 포함됩니다. 이러한 고유식별정보는 정보주체의 별도 동의를 받 거나 법령에서 구체적으로 처리를 요구 허용한 경우에만 처리할 수 있습니다. 법인세법 시행령에서는 주주명부 의 기재사항으로서 성명, 주소, 주민등록번호(재 외국민의 경우에는 여권번호 등, 외국인의 경우는 외국인등록번호)를 기재하도록 하고 있으므로, 이는 개인정보 보호법이 정하고 있는 법령에서 구체적으로 처리를 요구 허 용하는 경우 에 해당합니다. 따라서 주식회사에서 주주명부 기재를 위해 주민등록번호 나 여권번호, 외국인등록번호를 수집 이용하는 경우에는 정보주체의 별도 동의를 요 하지 않습니다. 71

82 관련법령 개인정보 보호법 제24조(고유식별정보의 처리 제한) 1 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하 는 정보(이하 고유식별정보 라 한다)를 처리할 수 없다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인 정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우 법인세법 시행령 제160조(주주명부 등의 작성 비치) 법 제118조에서 대통령령으로 정하는 사항이 적힌 주주 명부나 사원명부 란 상법 제352조의 규정에 의한 주주명부 또는 동법 제566조의 규정 에 의한 사원명부로서 다음 각호의 구분에 의한 주주 또는 사원의 인적 사항이 기재된 것을 말한다. 1. 개인의 경우에는 성명 주소 및 주민등록번호(재외국민의 경우에는 여권번호 또는 재외국민등록법 상의 등록번호) 2. 법인(법인으로 보는 단체를 포함한다)의 경우에는 법인명 본점등의 소재지 및 사업자 등록번호(제154조제3항에 규정하는 고유번호를 포함한다) 3. 법인이 아닌 단체의 경우에는 당해 단체를 대표하는 자의 성명 주소 및 주민등록번 호. 다만, 부가가치세법 에 의하여 고유번호를 부여받은 단체의 경우에는 그 단체 명 소재지 및 고유번호 4. 외국인 및 외국단체의 경우에는 출입국관리법 에 의한 등록외국인기록표 또는 외국 단체등록대장에 기재된 성명 단체명 체류지 및 등록번호. 다만, 외국인등록증이 발 급되지 아니한 자의 경우에는 여권 또는 신분증에 기재된 성명 및 번호 72

83 공공 4-3) 주차단속 견인차량 반환 과정에서 주민등록번호를 요구하는 행위의 위법성 여부 구청이 운영하는 주차위반 차량견인 보관소에서 차량을 반환받으려면 반드시 주민등 록번호와 운전면허번호를 적으라고 합니다. 주민등록번호 사용이 금지되었다고 들었 는데 이러한 행위는 위법 아닌가요? 주민등록번호는 개인정보 보호법에 따른 고유식별정보 에 해당합니다. 경찰청장등 및 도지사 시장 등은 도로교통법에 따라 주차 위반 차의 견인 및 보관업무 등을 위 해 고유식별정보를 처리할 수 있습니다. 상세설명 개인정보 보호법은 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보 를 고유식별정보 로 분류하고 있으며, 여기에는 주민등록번호, 여권번호, 운전면허번 호, 외국인등록번호가 포함됩니다. 고유식별정보의 처리는 원칙적으로 금지되지만, 정 보주체의 별도 동의를 받거나 법령에서 구체적으로 고유식별정보 처리를 요구 허용하 고 있는 경우에는 그 처리가 허용됩니다(개인정보 보호법 제24조제1항) 이와 관련하여 도로교통법 은 경찰공무원 및 도지사 시장 등이 주차위반 차량에 대해 주차방법 변경 또는 이동(견인)을 할 수 있도록 규정하고 있으며, 동법 시행령은 차의 견인 및 보관업무 를 위해 고유식별정보를 처리할 수 있도록 규정하고 있습니다 (도로교통법 시행령 제87조의3제1항). 따라서 차량견인 보관소에서 차량 반환을 위해 주민등록번호 등을 요구하는 것은 법령에 따른 적법한 행위입니다. 73

84 관련법령 개인정보 보호법 제24조(고유식별정보의 처리 제한) 1 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하 는 정보(이하 고유식별정보 라 한다)를 처리할 수 없다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인 정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우 도로교통법 시행령 제87조의3(민감정보 및 고유식별정보의 처리) 1 경찰청장, 지방경찰청장, 경찰서장, 도지사 및 시장등(법 제147조 및 이 영 제79조, 제86조에 따라 권한의 위임 위탁 등을 받은 자를 포함한다)은 다음 각 호의 사무를 수행하기 위하여 불가피한 경우 개인정보 보호법 제23조에 따른 건강에 관한 정보, 같은 법 시행령 제18조제2호에 따른 범죄경력자료에 해당하는 정보 및 같은 영 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호가 포함된 자료를 처리할 수 있다. 4. 법 제36조에 따른 차의 견인 및 보관업무 등의 대행에 관한 사무 74

85 공공 민간 4-4) 주민등록번호가 기재된 공문서를 공개하는 경우의 위법성 여부 제가 거주하는 아파트의 동대표 선거에 출마하였는데 저의 출마를 반대하는 부녀자 대표회의 측에서 과거 저의 법 위반행위에 대한 법원 결정문(주민등록번호 기재)을 아파트 게시판에 공개했습니다. 부녀자대표회의 측의 행위에 위법성은 없는지 알고 싶습니다. 공문서에 주민등록번호가 기재되어 있다 하더라도 이를 또다시 공중에 공개 게시하는 경우에는 원칙적으로 주민등록번호가 노출되지 않도록 하여야 합니다. 상세설명 고유식별정보 란 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보를 말하며, 여기에는 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호가 포함됩니 다(개인정보 보호법 제24조, 동법 시행령 제19조제4호). 개인정보처리자는 주민등록번호 등의 고유식별정보를 처리하는 경우에는 정보주체 본인 동의를 얻은 경우 및 다른 법령에 특별한 규정이 있는 경우에 한하여 처리할 수 있습니다(개인정보 보호법 제24조제1항). 본 상담사례의 경우, 법원 결정문과 같은 공적 문서를 일반 대중에게 공개할 수 있 는지 여부는 별개의 문제라 하더라도, 그에 기재된 주민등록번호까지 같이 공개하는 경우에는 이로 인해 추가적 피해(주민등록번호 도용 등)가 발생할 우려가 있습니다. 따라서 상담 신청인의 법 위반내용 같은 사실( 事 實 )의 적시만으로 충분한 경우에는 주 민등록번호를 확인할 수 없도록 이른바 마스킹 처리를 하는 것이 바람직합니다. 75

86 참고로, 법원의 공고 공시 게시 업무에는 개인의 주민등록번호를 불특정 다수인이 볼 수 없도록 해야 한다는 원칙을 적용하고 있으며, 다만 개인 특정을 위해 부득이한 경우 성명의 한자, 생년월일, 주소 등 표시는 허용하며 이 경우에도 필요 최소한의 개인정보 만 표시하도록 하고 있음( 공고 등에 있어서 개인정보의 보호요령, 대법원재판예규 제 1067호) 관련법령 개인정보 보호법 제24조(고유식별정보의 처리 제한) 1 개인정보처리자는 다음 각 호의 경우를 제외하고는 법 령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 고유식별정보 라 한다)를 처리할 수 없다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인 정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우 공고 등에 있어서 개인 정보의 보호요령(대법원재판예규 제1067호) 제3조(주민등록번호 등 개인 정보의 보호요령) 법원, 법원사무관등 또는 집행관은 제2조 각호 의 어느 하나에 해당하는 경우에는 다음과 같은 요령으로 업무를 처리하여 개인 정보를 보호하여야 한다. 1. 개인의 주민등록번호를 불특정 다수인이 볼 수 있도록 공고, 공시 또는 게시하여서는 아니된다. 2. 개인의 특정을 위하여 필요한 경우에는 성명의 한자(한자), 생년월일, 주소 등을 표시 하되, 이 경우에도 당해 재판사무의 목적달성을 위하여 필요한 최소한의 개인정보만을 표시하여야 한다. 76

87 민간 4-5) 이벤트 경품 수령시에 주민등록번호를 요구하는 행위의 위법성 여부 영화관이 개최한 경품이벤트에 응모하여 당첨이 되었는데, 이후에 경품을 수령하기 위해서 방문하자 신분증을 제시하고 주민등록번호를 확인해야만 경품이 지급된다고 합니다. 개인정보 보호법 위반이 아닌지 궁금합니다. 경품 지급시 법률에 따른 제세공과금 처리를 위해 주민등록번호가 필요할 수 있습니다. 상세설명 개인정보처리자는 주민등록번호 등 고유식별정보를 처리하는 경우에는 정보주체 본 인 동의를 얻은 경우 및 다른 법령에 특별한 규정이 있는 경우에 처리할 수 있습니다 (개인정보 보호법 제24조제1항). 그런데, 본 상담사례와 같이 추첨에 의한 경품 제공 은 부가가치세법 에 따라 부가 가치세 과세대상에 포함되며, 따라서 이벤트를 개최한 영화관 측은 당첨자의 부가가치 세 처리 등을 위해 부가가치세법 에 따라 주민등록번호를 수집할 필요성이 있습니 다. 따라서 본 상담사례는 다른 법령의 특별한 규정 에 따라 주민등록번호를 처리하는 경우로서 법 위반이 아닙니다. 77

88 관련법령 개인정보 보호법 제24조(고유식별정보의 처리 제한) 1 개인정보처리자는 다음 각 호의 경우를 제외하고는 법 령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 고유식별정보 라 한다)를 처리할 수 없다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인 정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우 부가가치세법 제2조(납세의무자) 1 다음 각 호의 어느 하나에 해당하는 자는 이 법에 따라 부가가치세를 납부할 의무가 있다. 1. 사업목적이 영리이든 비영리이든 관계없이 사업상 독립적으로 재화(제1조에 따른 재화 를 말한다. 이하 같다) 또는 용역(제1조에 따른 용역을 말한다. 이하 같다)을 공급하는 자(이하 사업자 라 한다) 2. 재화를 수입하는 자 제6조(재화의 공급) 3 사업자가 자기의 사업과 관련하여 생산하거나 취득한 재화를 자기나 그 사용인의 개인적인 목적 또는 그 밖의 목적으로 사용 소비하거나, 자기의 고객이나 불특정 다수인에게 증여( 贈 與 )하는 경우 대통령령으로 정하는 것은 재화의 공급으로 본다. 78

89 5. 개인정보 안전성 확보조치

90

91 공공 민간 5-1) 인터넷 검색사이트에서 사진 등의 개인정보가 계속 검색되는 문제 모델 기획사에 프로필 사진과 이력서를 제출하였는데 기획사 관리 실수로 홈페이지 에 노출이 되었습니다. 다행히 기획사 홈페이지에서는 삭제가 되었는데 검색사이트 에서 계속 검색이 됩니다. 방법이 없나요? 원래의 노출사이트에서 개인정보가 삭제되었더라도 검색사이트에서 계속 검색이 될 경우에는 해당 검색사이트에 직접 개인정보 삭제 요청을 하여야 합니다. 상세설명 일부 검색사이트는 보다 빠른 검색 처리를 위해서 검색 결과값을 저장하여 두는 이 른바 캐쉬(Cache) 페이지 를 사용하고 있습니다. 따라서 원래 개인정보가 노출된 홈페 이지에서 개인정보가 삭제되었더라도 검색사이트에서는 계속 해당 개인정보가 검색되 는 경우가 있을 수 있습니다. 이러한 경우에는 해당 검색사이트에 대해서 직접 캐쉬 페이지나 검색 결과값 삭제 를 요청하여야 합니다. 검색사이트에서 캐쉬 페이지 등이 삭제된 경우에는 더 이상 해 당 개인정보가 검색되지 않습니다. 참고자료 홈페이지 개인정보 노출방지 가이드라인 (Ver 4.0) (안전행정부) (개인정보보호 종합지원 포털(privacy.go.kr) 자료실 지침자료) 81

92 토막상식 주요 검색사이트에서 개인정보 검색결과 삭제 방법 1. 구글(Google) - 구글( 검색 창에 홈페이지 제거 요청 도구 검색 삭제 요청을 위해서는 구글 계정이 필요함 - 새로운 삭제 요청 작성하기 클릭 후 삭제할 URL(인터넷주소) 입력 삭제 요청하는 URL 주소는 정확해야 하며 대소문자, 띄어쓰기 등도 정확히 입력필요 2. 다음(Daum) - 다음( 고객센터 문의하기 다음 계정이 필요하며, 계정이 없을 경우 직접 이메일 발송 가능 - 문의 내용을 작성하여 문의하기 를 통해 요청 검색어, 삭제요청 URL, 삭제 사유, 삭제 요청자 등 3. 네이버(Naver) - 네이버( 고객센터 도움말 문의하기 웹검색 네이버 계정 필요 - 문의 내용을 작성하여 요청 검색 키워드, 삭제요청 URL 등 (필요시 파일 첨부 가능) 4. 네이트(Nate) - 네이트( 고객센터 신고센터 신고/소명요청 네이트 계정 필요 - 문의 내용을 작성하여 요청 검색 키워드, 삭제요청 URL 등 (필요시 파일 첨부 가능) 82

93 공공 민간 5-2) 인터넷 게시판에 고객 스스로가 개인정보를 게재하여 개인정보가 노출 되는 경우 저희 홈페이지는 회원가입을 받지 않고 오직 자유게시판만 운영하는데, 어떤 고객들 은 임의로 자신의 성명, 전화번호, 이메일주소 등 개인정보를 게재하는 경우가 있습 니다. 이 경우 어떠한 보호조치를 취해야 하는지요? 고객이 스스로 게재하는 개인정보에 대해서도 노출 방지를 위한 안전성 확보조치를 취하는 것이 바람직합니다. 노출방지를 위한 상세내용은 안전행정부에서 발간한 홈 페이지 개인정보 노출방지 가이드라인 을 참조하시기 바랍니다. 상세설명 고객이 인터넷 게시판을 이용하면서 스스로 공개하는 개인정보는 개인정보 보호법 에 따른 수집 이용 에 해당하지는 않으므로 동의 절차 등은 필요하지 않습니다. 다만 고객이 스스로 게재하는 개인정보를 방치할 경우 추가적인 노출 및 타인에 의 한 도용 등 2차적 피해가 발생할 수 있으므로, 기업 등으로서는 최대한 개인정보 노출 방지를 위한 안전성 확보조치를 취하는 것이 바람직합니다. 구체적으로는 게시판 안내문에 개인정보의 포함유무 확인 및 개인정보 노출로 인한 피해 문구를 게재하여 고객이 게시글 작성 전에 스스로 미리 확인토록 하고, 고객의 부 주의로 게재된 개인정보는 고객 의사를 확인하여 일부를 마스킹 처리하며, 게시판에 이 른바 비밀글 설정 기능을 활용하여 해당 게시물은 고객 본인만 확인이 가능하도록 하거 83

94 나, 개인정보 입력을 미리 예방할 수 있도록 개인정보 필터링 시스템 을 적용하는 방법 등이 있습니다. 참고자료 홈페이지 개인정보 노출방지 가이드라인 (Ver 4.0) (안전행정부) (개인정보보호 종합지원 포털(privacy.go.kr) 자료실 지침자료) 84

95 민간 5-3) 인터넷 공동구매 관리자가 구매자의 개인정보 명단을 노출한 경우 유명 블로거가 개최하는 인터넷 공동구매에 참여하였는데, 그 블로거가 구매 참여자 의 성명, 주소, 휴대전화번호, 구매제품 모델 등을 엑셀(Excel) 프로그램으로 정리해 블로그에 공개했습니다. 개인정보 유출이 아닌가요? 본 사례의 블로거는 개인정보처리자에 해당하므로 개인정보가 분실, 도난, 유출, 변조, 훼손되지 않도록 필요한 조치를 취할 의무가 있습니다. 구체적으로는 정보주체들의 별도 동의가 없었다면 필요 이상의 개인정보가 노출되지 않도록 조치를 취해야 합니다. 상세설명 개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개 인정보를 처리하는 경우에는 수집 이용시의 동의 등 일부 원칙의 적용이 배제되고 있 습니다(개인정보 보호법 제58조제3항). 그러나 본 상담사례와 같이 공동구매를 운영하는 인터넷 블로그 운영자의 경우에는 순수한 친목 도모의 성격으로 보기는 어려우며 공동구매를 통하여 수익을 창출하는 경우도 있으므로, 이때에는 일반적인 개인정보처리자 에 해당하여 개인정보 보호법에 따른 의무를 준수해야 할 것입니다. 구체적으로 개인정보처리자는 개인정보가 분실, 도난, 유출, 변조, 훼손되지 않도록 필요한 조치를 취할 의무가 있으며(개인정보 보호법 제29조), 특히 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유 출되지 않도록 하여야 합니다(안전성 확보조치 고시 제6조제3항). 85