[노동법률] 박정택ㆍ윤아리 김앤장 법률사무소 변호사

1. 들어가며 

개인정보보호법은 제15조 제1호에서 개인정보처리자는 정보 주체의 동의를 받은 경우 개인정보를 수집할 수 있고, 그 수집 목적 범위에서 이용할 수 있다고 하며 정보 주체의 동의를 개인정보 수집 및 이용에 관한 보편적인 법적 근거로 인정하고 있다. 법상 동의 외에도 '계약 이행'이나 '정당한 이익' 등 다른 처리 근거들이 규정돼 있으나, 그간 동의 외의 다른 처리 근거들의 경우 인정 범위가 명확하지 않아 실무상 제한적으로 활용됐고, 동의가 주된 처리 근거로 활용돼 왔다. 또한, 마케팅 등 일부 경우를 제외하고는 정보 주체가 동의를 하지 않으면 계약 관계의 성립이나 계약상 급부 제공이 어렵게 되는, 이른바 '필수 동의'의 형태로 동의를 받는 경우가 상당수 존재했다. 이러한 필수 동의 관행의 경우 구법에서 계약 이행을 위해 개인정보 처리가 필요한 경우에도 일정한 제한적인 경우에만 동의 없는 수집을 가능하도록 한정적으로 규정한 것에 기인한 측면이 있다. 필수 동의와 관련해, 서비스 제공 계약에 필요하더라도 불필요하게 정보 주체의 동의를 받아야 한다는 지적과 함께 동의만 받으면 개인정보 수집·이용에 대한 책임이 정보 주체에게로 넘어간다는 지적이 제기되기도 했다.

한편, 2023년 개정된 개인정보보호법은 정보통신 서비스 제공자 특례 조항을 폐지하고, 일반 개인정보처리자의 경우에도 계약 이행을 위한 개인정보의 수집에 대해 '불가피하게'를 삭제해 계약 이행에 필요한 경우에는 정보 주체의 동의 없이 개인정보를 수집·이용할 수 있도록 했다. 나아가, 2024년 9월 시행된 법 시행령 제17조 제1항 제1호는 개인정보 처리에 관한 동의를 받을 때는 "정보 주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있어야 한다"고 명시했다. 이러한 일련의 법령 개정에 대해 최근 개인정보보호위원회(위원회)는 법 개정의 의미를 밝히면서, 향후 기존의 개인정보 필수 동의 관행을 단계적으로 개선하겠다는 의지를 밝힌 바 있다. 즉, 2023년 법 개정이 당사자 간 계약에 수반되는 개인정보에 대한 형식적인 필수 동의는 없애는 대신 동의가 필요한 영역에서는 알고 동의하는 문화를 정착시키기 위한 취지였다고 언급하며, 시행령 제17조는 정보 주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 동의받는 방법에 관한 원칙을 규정한 것이라고 설명했다. 

위원회는 이에 따라 개인정보 처리 시 동의 여부와 방법을 유형 별로 제시하고 있으며 구체적인 내용은 아래와 같다. 

2. 서비스 이용 계약 체결 및 이행에 필요한 개인정보 : 동의 없이 수집ㆍ이용 가능 

개인정보처리자는 서비스 이용 등 계약과 관련해 필요한 개인정보를 정보 주체의 동의 없이 수집·이용할 수 있다. 다만, 동의 없이 처리할 수 있는 필수적 개인정보라는 점은 개인정보처리자가 입증해야 한다(법 제22조 제3항). 

위원회는 계약과 관련해 필요한 개인정보에 대해 필수 동의를 받았다고 하더라도 그 효과는 해당 내용을 고지한 것에 그친다고 밝히면서, 서비스 이용과 연계해 필수 동의를 받는 것은 정보 주체의 '자유로운 의사'를 제약할 수 있어, 법상 동의를 받는 방법(법 제22조 및 법 시행령 제17조 제1항)에서 정한 원칙에 반할 수 있다고 설명했다. 다만, 정보 주체의 자유로운 의사를 제약하는지 여부는 서비스의 특성, 동의를 요구하는 상황 등 구체적인 사실관계를 고려해 개별적 판단이 필요하다고 밝혔다. 

또한, 만약 필수 동의를 받아 온 동의 내용에 계약 이행 등에 필요한 개인정보가 포함돼 있다면, 이러한 정보는 동의 내용에서 제외하고, 개인정보 처리 방침에 동의를 받아 수집하는 개인정보 항목과 구분해 공개하는 조치가 필요하다고 덧붙였다. 

3. 서비스 이용 계약과 관련 없는 개인정보 : 정보 주체의 자유로운 의사에 따른 동의 필요 

개인정보처리자가 서비스 이용 등 계약 이행과 관련 없는 개인정보를 수집·이용하는 경우에는 정보 주체가 동의 내용을 충분히 알 수 있도록 쉬운 문구 등을 사용해 알리고 자유로운 의사에 따라 동의 여부를 선택적으로 결정할 수 있도록 해야 한다.  

위원회는 서비스 이용계약 이행 등에 필요하지 않은 개인정보임에도 불구하고 특별한 사정 없이 정보 주체가 자유로운 의사에 따라 동의 여부를 결정할 수 없도록 제한하거나, 동의 내용을 명확하게 알리지 않은 경우에는 동의의 적법 요건(법 제15조)을 충족하지 않게 될 수 있다는 점을 유의해야 한다고 했다. 

4. 민감정보 및 고유 식별정보 : 서비스에 불가피한 경우 필수 동의로 처리 

계약 이행이나 서비스 제공 특성상 정보 주체의 민감정보나 고유 식별정보(주민등록번호 제외)의 처리가 불가피하게 필요한 경우 개인정보처리자는 현재와 같이 별도의 필수 동의를 받아서 처리할 수 있다. 다만, 법령의 규정이 있는 경우에는 동의 없이 처리할 수 있다.

한편, 계약 이행이나 서비스 제공에 해당 정보가 반드시 필요하지 않은 경우에는 정보 주체로부터 자유로운 의사에 따른 별도의 선택 동의를 받아 처리할 수 있다.

5. 개인정보의 제3자 제공 관련

개인정보를 수집한 목적 범위에서 제3자에게 제공하는 경우(법 제17조), 개인정보를 제공하지 않으면 정보 주체와의 계약 이행이 곤란한 경우에는 개인정보처리자가 관련 사실을 알리고 필수 동의를 요구할 수 있다. 반면, 개인정보를 수집한 목적의 범위를 초과해 제3자에게 제공하는 경우(법 제18조)에는 정보 주체로부터 그와 관련된 별도의 선택 동의를 받아야 한다. 

6. 시사점 

이번 개정 및 위원회의 입장 발표는 그간 지속돼 온 필수 동의 관행에 대한 중대한 변동을 야기할 수 있다. 예컨대, 임직원 동의서의 경우에도 계약 이행과 정당한 이익 등 동의 없이 처리할 수 있는 부분을 구분해 업데이트하는 등 재검토가 필요할 수 있고, 개정법상 정보 주체의 동의 없이 처리할 수 있는 개인정보는 그 항목과 처리의 법적 근거를 정보 주체의 동의를 받아 처리하는 개인정보와 구분해 공개 또는 고지해야 하므로, 동의서의 개정과 함께 개인정보 처리 방침 등에 대한 개정도 필요할 수 있다. 

위원회는 2024년 12월 19일 열린 정책 종합 설명회에서 위와 같은 기본 입장을 재확인하면서, 위원회는 연말까지 개인정보 처리 통합 안내서(안)를 마련해 구체적인 상황별 사례를 안내하고 의견을 수렴할 예정임을 밝힌바, 위원회의 관련 동향을 지속적으로 모니터링할 필요가 있겠다.