회원가입을 할 때 이름과 연락처를 입력하거나, 금융서비스를 이용하면서 본인확인 정보를 제공하는 일은 일상적으로 발생합니다. 기업은 이렇게 수집한 개인정보를 서비스 제공, 계약 이행, 고객 관리 등의 목적으로 이용합니다.
하지만 기업이라고 해서 필요한 개인정보를 언제나 자유롭게 수집할 수 있는 것은 아닙니다. 개인정보를 수집하고 이용하려면 개인정보 보호법에서 정한 법적 근거가 있어야 하며, 수집 목적과 항목, 보유기간도 적절하게 관리해야 합니다.
CPPG 시험을 준비한다면 개인정보 보호법 제15조의 수집·이용 요건과 제16조의 최소수집 원칙을 함께 이해하는 것이 중요합니다. 특히 개인정보 수집에 동의가 필요한 경우와 동의 없이 처리할 수 있는 경우를 구분할 수 있어야 합니다.
1. 개인정보 수집·이용이란?
개인정보 수집은 개인에 관한 정보를 확보하는 행위를 말하며, 이용은 확보한 정보를 정해진 목적에 맞게 활용하는 것을 의미합니다.
예를 들어 온라인 쇼핑몰이 회원가입 과정에서 이름과 연락처를 입력받고, 주문한 상품을 배송하기 위해 해당 정보를 사용하는 경우 개인정보 수집·이용에 해당할 수 있습니다.
기업에서 흔히 발생하는 개인정보 수집·이용 사례는 다음과 같습니다.
- 회원가입을 위해 이름, 이메일 주소, 휴대전화 번호를 수집하는 경우
- 상품 주문을 처리하기 위해 배송지와 수령인 정보를 이용하는 경우
- 임직원 채용과 인사관리를 위해 지원자 및 직원 정보를 처리하는 경우
- 고객 문의에 답변하기 위해 상담 내용과 연락처를 확인하는 경우
- 금융서비스 제공을 위해 고객확인 및 계약 관련 정보를 처리하는 경우
- 보안 시스템에서 사용자 계정과 접속기록을 관리하는 경우
이러한 업무는 처리 목적과 법적 근거에 따라 적법하게 수행되어야 합니다. 단순히 업무에 필요하다는 이유만으로 모든 정보를 수집할 수 있는 것은 아닙니다.
2. 개인정보 보호법 제15조: 수집·이용의 법적 근거
개인정보 보호법 제15조 제1항은 개인정보처리자가 개인정보를 수집하고 그 수집 목적의 범위에서 이용할 수 있는 법적 근거를 규정하고 있습니다.
시험에서는 다음 7가지 근거를 구분해 학습하는 것이 좋습니다.
① 정보주체의 동의를 받은 경우
개인정보를 처리하기 위해 정보주체의 동의를 받는 경우입니다. 회원가입 화면에서 개인정보 수집·이용 동의를 받는 상황이 대표적인 예입니다.
동의를 받을 때에는 법에서 정한 사항을 알기 쉽게 안내해야 합니다. 동의는 형식적으로 체크박스를 만드는 것만으로 충분한 것이 아니라, 정보주체가 어떤 개인정보가 어떤 목적으로 처리되는지 이해하고 선택할 수 있도록 해야 합니다.
② 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위해 불가피한 경우
법률에 개인정보 처리에 관한 특별한 규정이 있거나 법령상 의무를 이행하기 위해 개인정보 처리가 불가피한 경우입니다.
예를 들어 특정 법률에서 사업자에게 고객 관련 기록을 작성하거나 보존하도록 의무를 부과한다면 해당 법률과 구체적인 요건을 확인해야 합니다. 단순히 내부 규정에 필요하다고 적혀 있다는 이유만으로 이 근거를 적용할 수 있는 것은 아닙니다.
③ 공공기관이 소관 업무 수행을 위해 불가피한 경우
공공기관이 법령 등에서 정하는 소관 업무를 수행하기 위해 개인정보 처리가 불가피한 경우입니다.
이 근거는 법에서 정한 공공기관의 업무와 관련된 요건을 충족해야 합니다. 일반 기업이 업무상 필요하다는 이유만으로 이 조항을 적용할 수는 없습니다.
④ 계약 이행 또는 계약 체결 과정에서 필요한 경우
정보주체와 체결한 계약을 이행하거나, 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위해 필요한 경우입니다.
예를 들어 고객이 온라인으로 상품을 주문하고 배송을 요청했다면 주문 처리와 배송에 필요한 개인정보를 처리할 수 있는 법적 근거가 될 수 있습니다.
다만 계약과 관련이 있다는 이유만으로 무관한 정보를 모두 수집할 수 있는 것은 아닙니다. 실제 계약 이행에 필요한 정보인지, 법에서 정한 요건에 해당하는지 확인해야 합니다.
⑤ 급박한 생명·신체·재산상 이익을 보호하기 위해 필요한 경우
정보주체 또는 제3자의 급박한 생명, 신체, 재산상 이익을 위해 개인정보 처리가 필요하다고 인정되는 경우입니다.
예를 들어 긴급한 상황에서 피해자의 안전을 확보하기 위해 필요한 정보를 처리해야 하는 경우를 생각할 수 있습니다. 단순한 업무 편의나 일반적인 서비스 개선은 이 예외에 해당한다고 단정할 수 없습니다.
⑥ 개인정보처리자의 정당한 이익을 달성하기 위해 필요한 경우
개인정보처리자의 정당한 이익을 달성하기 위해 개인정보 처리가 필요하고, 그 이익이 정보주체의 권리보다 명백하게 우선하는 경우입니다.
이때 정당한 이익은 개인정보 처리와 상당한 관련이 있어야 하며 합리적인 범위를 초과해서는 안 됩니다. 기업이 필요하다고 판단했다는 이유만으로 자동으로 인정되는 근거가 아닙니다.
실무에서는 처리 목적의 정당성, 정보주체에게 미치는 영향, 처리 범위와 보호조치 등을 종합적으로 검토해야 합니다.
⑦ 공중위생 등 공공의 안전과 안녕을 위해 긴급히 필요한 경우
공중위생 등 공공의 안전과 안녕을 위해 개인정보 처리가 긴급하게 필요한 경우입니다. 이 근거 역시 법에서 정한 긴급성과 필요성을 충족해야 합니다.
이것의 대표적인 예로 코로나19 등 감염병 대유행 상황을 예시로 들 수 있습니다.
- 확진자 동선 공개 및 접촉자 추적
- 전자출입명부(QR코드, 전화번호 기록) 운영
- 감염병예방법 등과의 연계 방역 조치
CPPG 핵심: 개인정보 수집·이용은 동의만이 유일한 법적 근거가 아닙니다. 제15조 제1항의 각 근거가 실제 상황에 적용되는지 구체적으로 판단해야 합니다.
3. 동의를 받을 때 알려야 하는 4가지 사항
개인정보 보호법 제15조 제2항에 따라 개인정보처리자가 정보주체의 동의를 근거로 개인정보를 수집·이용하려면 다음 사항을 알려야 합니다. 이 사항 중 하나라도 변경하는 경우에도 이를 알리고 동의를 받아야 합니다.
| 항목 | 안내 내용 | 예시 |
|---|---|---|
| 수집·이용 목적 | 개인정보를 왜 처리하는지 | 회원가입 및 회원관리 |
| 수집 항목 | 어떤 개인정보를 수집하는지 | 이름, 이메일 주소 |
| 보유 및 이용 기간 | 얼마 동안 보유하고 이용하는지 | 회원 탈퇴 시까지 등 구체적인 기간과 조건 |
| 동의 거부 권리 및 불이익 | 동의를 거부할 수 있는지, 거부 시 불이익이 있는지 | 필수 정보에 대한 동의 거부 시 해당 서비스 이용이 제한될 수 있다는 안내 |
보유기간은 실제 처리 목적과 법령상 보존 의무 등을 고려해 정해야 합니다. 예시 문구를 그대로 사용하는 것이 아니라 서비스 특성에 맞게 구체적으로 작성해야 합니다.
동의 화면은 어떻게 구성해야 할까?
예를 들어 온라인 서비스의 회원가입 화면이라면 다음과 같은 항목을 명확하게 안내할 수 있습니다.
- 개인정보를 이용하는 목적
- 수집하는 개인정보 항목
- 개인정보의 보유 및 이용 기간
- 동의를 거부할 권리와 거부 시 불이익
실제 동의 화면을 설계할 때에는 목적과 항목을 모호하게 표시하지 말고, 정보주체가 이해할 수 있는 표현을 사용해야 합니다. 다른 법적 근거에 따라 처리하는 경우에는 동의가 반드시 필요한 것처럼 잘못 안내하지 않도록 주의해야 합니다.
4. 기업 실무 사례로 이해하는 개인정보 수집·이용
사례 1. 온라인 쇼핑몰의 회원가입
쇼핑몰이 회원가입을 위해 이메일 주소와 비밀번호를 입력받는다고 가정하겠습니다. 회사는 각 개인정보 항목이 어떤 목적에 필요한지 확인하고, 적용 가능한 법적 근거에 따라 처리해야 합니다.
동의를 근거로 수집한다면 제15조 제2항의 고지 사항을 안내해야 합니다. 또한 서비스에 필요한 최소한의 개인정보만 수집하도록 설계해야 합니다.
사례 2. 주문 및 배송 처리
고객이 상품을 주문하면서 수령인 이름과 배송지를 제공한 경우, 해당 정보는 주문 계약의 이행과 배송을 위해 필요할 수 있습니다.
이때 계약 이행에 필요한 처리가 제15조 제1항 제4호의 요건을 충족하는지 검토할 수 있습니다. 다만 배송과 관계없는 추가 정보를 관행적으로 수집하는 것은 별도로 판단해야 합니다.
사례 3. 고객정보를 활용한 광고 발송
기업이 서비스 제공을 위해 확보한 고객 연락처를 신규 상품 광고에 활용하려는 경우에는 기존 수집 목적과 광고 목적의 관계를 검토해야 합니다.
처음 개인정보를 수집할 수 있었다는 이유만으로 모든 광고 활용이 허용되는 것은 아닙니다. 별도의 동의가 필요한지, 다른 법적 근거가 적용되는지, 정보통신망 관련 규정 등 별도 법령이 적용되는지도 확인해야 합니다.
사례 4. 보안 시스템의 접속기록 수집
기업이 정보보호를 위해 사용자 계정, 접속 시각, 접속 IP, 시스템 활동 내역 등을 기록하는 경우 해당 기록에 개인정보가 포함될 수 있습니다.
보안 목적이라는 이유만으로 모든 기록을 무제한 수집·보관할 수 있는 것은 아닙니다. 적용되는 법령과 의무, 보안 목적, 수집 범위, 접근권한, 보유기간 등을 함께 검토해야 합니다.
5. 개인정보 수집 시 주의해야 할 최소수집 원칙
개인정보 보호법 제16조는 개인정보를 수집할 때 처리 목적에 필요한 최소한의 개인정보만 수집하도록 규정합니다. 최소한의 개인정보 수집이라는 점을 입증할 책임은 개인정보처리자에게 있습니다.
예를 들어 이메일 뉴스레터를 발송하는 서비스가 이메일 주소만으로 목적을 달성할 수 있는데도 주민등록번호와 상세 주소를 필수로 요구한다면 해당 정보가 정말 필요한지 검토해야 합니다.
또한 동의를 근거로 개인정보를 수집하는 경우에는 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 않을 수 있다는 사실을 구체적으로 알려야 합니다. 정보주체가 이러한 추가 정보 수집에 동의하지 않았다는 이유만으로 재화나 서비스 제공을 거부해서는 안 됩니다.
여기서 주의할 점은 필수 정보와 선택 정보의 구분입니다. 실제 서비스 제공에 필요한 정보인지 검토한 후 구분해야 하며, 사업자가 편리하게 활용할 수 있다는 이유만으로 선택 정보를 필수 정보로 설정해서는 안 됩니다.
6. 보안 담당자가 확인할 실무 점검표
기업의 보안 담당자나 개인정보 보호 업무 담당자는 개인정보 수집·이용 과정에서 다음 사항을 점검할 수 있습니다.
- 개인정보 처리 목적이 구체적으로 정의되어 있는가?
- 각 개인정보 항목에 적용되는 법적 근거가 확인되어 있는가?
- 동의를 근거로 처리하는 경우 법정 고지 사항이 안내되어 있는가?
- 필수 정보와 선택 정보가 합리적으로 구분되어 있는가?
- 처리 목적에 필요한 최소한의 개인정보만 수집하는가?
- 개인정보 보유기간과 파기 기준이 정해져 있는가?
- 실제 시스템의 처리 방식이 개인정보 처리방침과 일치하는가?
- 개인정보 접근권한이 직무상 필요한 범위로 제한되어 있는가?
- 수집 목적이 변경되거나 새로운 이용 목적이 발생할 때 재검토 절차가 있는가?
이러한 점검 결과는 개인정보 처리 현황표, 개인정보 수집 화면, 동의 이력, 업무 절차서, 시스템 설정 및 관련 승인 기록 등으로 확인할 수 있도록 관리하는 것이 좋습니다.
7. CPPG 시험 대비 핵심 요약
| 구분 | 핵심 내용 |
|---|---|
| 제15조 제1항 | 개인정보 수집·이용의 7가지 법적 근거 |
| 제15조 제2항 | 동의 시 고지해야 할 4가지 사항 |
| 제15조 제3항 | 당초 수집 목적과 합리적으로 관련된 범위에서의 추가 이용 요건 |
| 제16조 제1항 | 목적에 필요한 최소한의 개인정보 수집 및 입증책임 |
| 제16조 제2항 | 최소한의 정보 외의 개인정보 수집에 동의하지 않을 수 있다는 사실을 구체적으로 안내 |
| 제16조 제3항 | 필요 최소한의 정보 외의 수집에 동의하지 않았다는 이유로 재화·서비스 제공을 거부할 수 없음 |
시험에서는 특히 다음 세 가지를 구분해 기억하세요.
- 수집·이용의 법적 근거: 개인정보 보호법 제15조 제1항
- 동의를 받을 때의 고지 사항: 제15조 제2항의 4가지 사항
- 최소수집 원칙: 제16조에 따른 최소수집과 정보주체의 선택권 보장
마무리
개인정보 수집·이용 동의는 단순히 회원가입 화면에 체크박스를 추가하는 작업이 아닙니다. 기업은 개인정보를 처리할 법적 근거를 확인하고, 목적에 필요한 최소한의 정보를 수집하며, 정보주체가 처리 내용을 이해하고 선택할 수 있도록 해야 합니다.
CPPG 시험을 준비한다면 개인정보 보호법 제15조의 7가지 수집·이용 근거와 동의 시 고지해야 할 4가지 사항, 제16조의 최소수집 원칙을 함께 정리해 두세요. 실제 업무에서는 법적 근거와 개인정보 처리 흐름이 일치하는지 확인하는 것이 중요합니다.
공식 자료 및 참고 법령
- 국가법령정보센터 – 개인정보 보호법
- 개인정보 보호법 제15조(개인정보의 수집·이용)
- 개인정보 보호법 제16조(개인정보의 수집 제한)
※ 법령은 개정될 수 있으므로 게시 및 실무 적용 전에 최신 시행 법령과 관련 시행령을 확인하시기 바랍니다. 이 글은 CPPG 학습을 위한 일반적인 설명이며 개별 사안에 대한 법률 자문은 아닙니다.