목차 Ⅰ. 추진배경 1 Ⅱ. 개인정보수집원칙 2 Ⅲ. 개인정보처리자조치요령 3 1. 필요최소한개인정보수집 3 2. 정보주체의실질적동의권보장 8 3. 고유식별정보및민감정보처리제한 12 < 참고 > 개인정보수집이용동의서 ( 예시 )

- 불필요한개인정보수집관행개선을위한 - 개인정보수집최소화가이드라인 2016. 11. 행정자치부

Ⅰ. 추진배경 개인정보처리자의불필요한개인정보수집관행을없애는한편, 정보 주체에게실질적동의권을보장하는등개인정보수집 이용환경을 개선하고자 개인정보수집최소화가이드라인 을마련함 불필요한개인정보수집관행개선필요 개인정보처리자 개인정보의수집목적이명확하지않거나수집 목적에비추어불필요한개인정보수집관행이상존 정보주체 개인정보수집이과도하고법령에따른개인정보수집 등에대하여도불필요하게동의를요구하는데대해불편호소 정보주체의사생활보호및개인정보유출사고사전차단 개인정보수집과정에서개인정보보호원칙이지켜지지않는사례가일부있어사생활침해우려제기 정보주체의약 64% 가개인정보유출사고의주요원인으로개인정보의불필요한과다수집을지적 년개인정보보호실태조사 업계의자율적인관행개선및형식적동의에따른국민불편해소 개인정보의수집관련현행법령에원칙과세부내용에대한구체적인안내를통해그간잘못된수집관행개선유도 동의내용에대한명확한안내및선택권부여로실질적동의권보장 개인정보를수집 이용하는모든분야에서본가이드라인이활용될수 있도록개인정보수집원칙과구체적인조치요령을제시 - 1 -

Ⅱ. 개인정보수집원칙 필요최소한의개인정보수집 정보주체의동의를받거나법령에따른개인정보수집또는계약의체결 이행등을위해불가피하게개인정보를수집하는경우에도필요최소한의개인정보만을수집하여야함 이경우개인정보를수집하고자하는목적에필요한범위내에서최소한의개인정보를수집하여야하며필요최소한의개인정보라는입증책임은개인정보처리자가부담함 정보주체의실질적동의권보장 개인정보처리자가정보주체의동의를받아개인정보를수집하는 때에는정보주체에게 동의의내용과 동의를거부할권리가 있다는사실및 ⅲ) 동의거부에따른불이익이있는경우그불이익의내용을구체적으로알리고동의를받아야함 정보주체의동의여부는정보주체가직접판단하여선택하는것을전제로하여야하며, 선택적으로동의할수있는사항을동의하지아니한다는이유로재화또는서비스의제공을거부해서는아니됨 고유식별정보및민감정보처리제한 주민등록번호를제외한고유식별정보및민감정보는법령에근거가있거나별도로동의를받은경우에만수집할수있음 주민등록번호대체수단도법령에서본인확인을요구하거나서비스과정에서본인특정이필요한경우등에한정하여사용하여야함 - 2 -

Ⅲ. 개인정보처리자조치요령 1 필요최소한의개인정보수집 1-1. 법률에특별한규정이있거나법령상의무를준수하기위하여개인 정보를수집하는경우에도필요최소한으로수집하여야합니다. 법률에특별한규정이있다는것은법률에서개인정보의수집 이용을 구체적으로요구하거나허용하고있어야함을의미합니다 법령상의무준수를위해개인정보를수집하는경우에도해당개인정보를수집하지않고는법령상의무를이행하는것이불가능하거나현저하게곤란한경우에한정됩니다 1-2. 정보주체와계약체결 이행등을위해개인정보를수집하는경우 에도필요최소한으로수집하여야합니다. 예를들어 채용계약시에는채용예정직무와관련이있는정보만 수집하고 직접관련이없는가족사항등은수집하지않는것이바람직합니다 < 사례 1> 채용계약과관련없는가족사항등과도한개인정보수집 - 3 -

1-3. 동일한업무를목적으로유사한성격의개인정보여러개를동시에 수집하지않도록주의하여야합니다. 예를들어 고객연락처확보를위해서휴대폰집직장전화번호 집직장주소 이메일주소등을모두수집하지말아야하며 수집 목적을고려하여필요한최소한의연락처정보만수집하여야합니다 < 사례 2> 마케팅목적으로동시에여러개의연락처정보수집 1-4. 개인정보는계약체결또는회원가입단계에서미리포괄적으로수집 하지말아야하며, 해당정보가필요한시점에서수집하는것이 바람직합니다. 웹사이트회원가입시에웹사이트내특정서비스이용에만필요한개인정보는해당서비스이용시점에수집하는것이바람직합니다 예를들어 쇼핑몰홈페이지회원가입시회원가입에필요한개인 정보만수집하고 결제배송에필요한정보는추후물품구매시에수집하는것이바람직합니다 - 4 -

< 사례 3> 쇼핑몰홈페이지회원가입시결제 배송정보까지수집 1-5. 쿠키 (Cookie) * 등웹사이트이용과정에서자동으로생성되는정보도 필요최소한으로수집하여야합니다. 쿠키등을통해서비스제공에필요한정보 를수집하는경우그수집 목적 항목및보유기간등을개인정보처리방침에공개하여야합니다 < 사례 4> 개인정보처리방침에쿠키등의수집항목및이용목적안내미흡 - 5 -

홍보 마케팅등서비스제공과직접관련이없는개인정보를쿠키 등을통해수집하는경우에는수집목적 항목등을알리고정보주체의동의를받은후수집하여야합니다 < 사례 5> 마케팅을위해쿠키에포함된개인정보를동의받지않고수집한사례 1-6. 수집하고자하는개인정보가업무수행에꼭필요한정보인지는해당 개인정보를수집하는개인정보처리자가입증하여야합니다. 개인정보처리자는수집목적을위해필요한최소한의개인정보라는것을입증할책임을부담하며 수집한정보도불필요하게된경우파기하는등지속적으로관리해야합니다 < 사례 6> 마일리지회원관리를위해꼭필요하다고입증하기어려운개인정보를수집 - 6 -

1-7. 법령에근거가있거나정보주체의동의를받은경우등에개인정보를 제 3 자에게제공할수있으나, 이때에도꼭필요한범위내에서만 개인정보를제공하여야합니다. 개인정보를제 자에제공하는경우제공받는자를명확히알수 있도록안내해야합니다 특히 개인정보를제공받는자 제공받는자의이용목적 제공하는 개인정보항목등중요한사항은부호 색채및굵고큰글자등으로명확히표시하여알아보기쉽게하여야합니다 제공받는자의이용목적등과관련없이지나치게많은개인정보를제공하지않도록주의하여야합니다 < 사례 7> 이용목적과관련없이많은개인정보를제 3 자에게제공 1-8. 적법하게수집한개인정보는계약기간종료등이용목적을달성하거나 정보주체가파기를요청한경우지체없이파기하여합니다. 다만, 법령에따라보존하여야하는경우에는해당법령에따라야합니다. 예를들어 전자상거래법은표시 광고관련기록은 개월 소비자 불만 분쟁처리기록은 년 계약 청약철회등에관한기록은 년 대금결제등에관한기록은 년간보존하도록하고있습니다 - 7 -

2 정보주체의실질적동의권보장 2-1. 법령에근거가있거나계약체결 이행을위해불가피한경우에는 동의없이개인정보를수집할수있으나, 이경우에도정보주체에게 개인정보수집근거와수집목적 항목등을안내하도록합니다. 이경우정보주체에게안내하는방식은아래의 사례 과같이 업계에서관행적으로많이활용하는 필수정보동의방식 또는 사례 와같은 고지방식 을사용할수있습니다 < 사례 8> 동의없이수집할수있는개인정보안내 필수정보동의방식 < 사례 9> 동의없이수집할수있는개인정보안내 고지방식 - 8 -

2-2. 개인정보수집 이용동의가필요한경우정보주체에게개인정보수집 항목과목적등을구체적으로고지한후동의를받아야합니다. 개인정보수집 이용동의서에는수집하고자하는개인정보의항목 목적 보유 이용기간 동의를거부할권리가있다는사실및동의 거부시불이익이있는경우그불이익의내용을명시해야합니다 < 사례 10> 개인정보수집 이용동의서에개인정보수집목적안내미흡 개인정보수집항목등은구체적으로명시하여야하며 등 과 같이포괄적으로안내하는것을지양해야합니다 < 사례 11> 개인정보수집항목을포괄적으로고지한사례 - 9 -

동의거부시불이익의내용은구체적이고명확하게알려서정보 주체의동의선택권이침해되지않도록하여야합니다 < 사례 12> 개인정보수집동의서에동의거부시불이익안내미흡 2-3. 개인정보의수집 이용에관한동의를받을때에는정보주체에게 동의여부에대한실질적인선택권을보장하여야합니다. 예를들어 정보주체가동의여부를선택할수있는경우에는선택 사항임을명시하고 동의거부를이유로다른서비스이용을제한 하거나온라인에서다음화면으로넘어가지못하게해서는안됩니다 < 사례 13> 동의를하지않는경우다음화면으로못넘어가게하는경우 - 10 -

온라인에서개인정보수집동의서를작성하는경우 동의함 체크 박스가기본값으로설정되어있지않도록합니다 < 사례 14> 개인정보수집동의서의동의함이기본값으로설정 2-4. 상품및서비스홍보와마케팅목적으로개인정보를수집하는경우 에는그목적을명확히알수있도록고지하여야합니다. 홍보및마케팅 을목적으로개인정보를수집하면서 부가서비스제공 제휴서비스제공 등으로목적을기재하여서는안됩니다 상품홍보 마케팅목적으로수집하는개인정보는다른목적으로 수집하는정보와명확하게구분하여동의를받고수집하여야합니다 < 사례 15> 마케팅목적의개인정보를다른개인정보와구분없이수집 - 11 -

3 고유식별정보및민감정보처리제한 3-1. 고유식별정보 ( 주민등록번호제외 ) 나민감정보는법령에서요구하거나 허용한경우에한하여수집하는것이바람직합니다. 다만, 업무수행에 필요한경우다른개인정보와별도동의를받아수집할수있습니다. 고유식별정보 주민등록번호제외 나민감정보는법령상근거없이개인정보처리자의주관적필요에따라수집하는것을지양해야합니다 업무상필요에따라별도동의를받아수집하는경우에도그수집목적을명확히하여야하고 향후수집가능성이있다는이유로 고유식별정보나민감정보의수집 이용동의를받지말아야합니다 < 사례 16> 향후이용가능성이낮은데도민감정보수집 3-2. 주민등록번호수집법정주의 ( 개인정보보호법제 24 조의 2) 에따라주민등록 번호는법령에근거가있는경우에한하여수집할수있으며, 동의를 받아도수집할수없습니다. 주민등록번호는법률 대통령령 국회규칙 대법원규칙 헌법재판소규칙 중앙선거관리위원회규칙및감사원규칙에서구체적으로주민등록 번호의처리를요구하거나허용한경우에수집할수있습니다 - 12 -

주민등록번호를수집하는경우수집목적및근거법령등을개인정보 처리방침등을통해안내하는것이바람직합니다 < 사례 17> 주민등록번호수집에대한근거법령미기재 법령에따라주민번호를수집할수있는경우에도본인확인을위해 서는주민번호대체수단 공인인증서 휴대폰인증 아이핀등 을사용할 수있도록하는것이바람직합니다 3-3. 주민번호대체수단도법령에서본인확인을요구하거나서비스제공 과정에서본인특정이필요한경우등에한정하여사용하는것이 바람직합니다. 본인확인이필요한경우는아래와같습니다 - 13 -

참고개인정보수집 이용안내및동의서 ( 예시 ) - 14 -