업무사례

기업 운영 과정에서 서비스 기획과 투자 유치, 사용자 확보에 집중한 나머지 개인정보 보호 체계 구축에는 상대적으로 관심을 가지지 못하는 경우가 많습니다. 특히 개인정보 처리방침은 기재 사항이 누락되거나 처리 현황을 반영하지 못한 경우도 발견되고는 합니다.

이에 개인정보보호위원회(이하 “위원회”)는 지난 12월 개인정보 처리방침의 기재 항목 중 일부를 누락하거나 미흡하게 공개한 개인정보처리자에 대해 경고 조치를 의결하기도 하였는 만큼 개인정보 처리방침의 수립 및 업데이트는 개인정보 보호의 기본이 되는 요소입니다.

개인정보 처리방침 작성의 중요성

‘개인정보 처리방침’은 개인정보처리자가 개인정보를 처리하는 방식과 절차 등을 규정하는 문서를 말합니다. 정보주체인 이용자로서는 개인정보 처리방침을 통해 어떤 개인정보가 수집·이용·저장되는지, 어떻게 권리 행사를 할 수 있는지를 쉽게 확인할 수 있고, 개인정보 처리 전 주기에 관한 사항을 투명하게 공개함으로써 이용자가 안심하고 서비스를 이용할 수 있도록 한다는 점에서 중요한 의미를 가집니다.

개인정보 처리방침은 정보주체가 자신의 개인정보가 어떻게 처리되고 있는지를 공개하는 자료이기 때문에 개인정보처리자는 실제 개인정보 처리 현황과 일치하도록 작성하여야 하며, 이는 법정 의무사항으로 이를 위반한 경우 과태료가 부과될 수 있습니다. 그러나 많은 기업들의 실제 개인정보 처리 현황과 개인정보 처리방침 사이에는 차이가 존재하는 것이 현실입니다.

이처럼 개인정보 보유량이 많은 기업일수록, 과태료의 위험을 면하는 동시에 이용자로부터 신뢰를 얻을 수 있는 개인정보 처리방침의 적정성과 최신성은 곧 법적 리스크 관리 수준을 가늠하는 지표가 됩니다. 

개인정보 처리방침의 법정 기재 사항

개인정보 보호법 제30조에 따라 개인정보처리자는 개인정보 처리방침을 통해 개인정보의 처리 목적, 개인정보의 처리 및 보유 기간, 개인정보의 제3자 제공에 관한 사항, 개인정보의 파기절차 및 방법, 개인정보처리의 위탁에 관한 사항, 개인정보 보호책임자의 성명 또는 개인정보 보호 업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처 등을 공개해야 합니다.

그중에서도 위원회가 발표한 바에 의하면 개인정보처리자들이 주로 미흡하게 기재하는 항목은 아래와 같습니다.

개인정보 처리방침 작성 시 주의할 사항

 1. 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처

개인정보 보호책임자(CPO)에 관한 사항을 기재할 때에는 CPO 또는 담당 부서명만 기재하거나, 연락처만 기재하는 경우가 많습니다. CPO 또는 담당 부서 중 하나만 작성하여도 괜찮지만, 이때에도 CPO를 공개하는 경우에는 성명, 직위, 연락처를 모두 공개해야 하고 개인정보보호 담당 부서를 공개하는 경우에는 부서명과 연락처를 모두 공개해야 합니다.

2. 개인정보의 안전성 확보 조치에 관한 사항

개인정보의 안전성 확보 조치에 관한 사항은 누락하기 쉽지만, 법정 필수 기재 사항으로 반드시 공개해야 하며, 안전성 확보 조치는 개인정보처리자가 실제 실행하고 있는 조치들을 기재하여야 합니다.

개인정보 안전성 확보 조치에 관하여는 해당 칼럼​을 통해서도 확인하실 수 있습니다.

3. 개인정보 처리 및 보유 기간

많은 기업들이 개인정보 처리 및 보유 기간을 “목적 달성 시까지”와 같이 추상적으로 공개하거나 이용자로부터 동의 받은 기간과 다른 보유 기간으로 작성하기도 합니다.

그러나 개인정보 처리 목적과 항목에 따라 보유 기간은 구체적으로 정하여 기재하여 이용자가 개인정보 처리 현황을 알 수 있도록 해야 하고, 개인정보 처리방침을 통해 공개하는 보유 기간이 동의를 받은 기간 또는 법률에 따라 허용되는 기간과 일치하도록 확인해 이용자가 헷갈리지 않도록 해야 합니다.

4. 개인정보의 국외 수집 및 이전에 관한 사항

개인정보의 국외 수집 및 이전에 관한 사항을 개인정보의 제3자 제공 및 위탁과 함께 기재하는 경우가 많은데, 개인정보의 제3자 제공, 개인정보 처리업무의 위탁, 개인정보의 국외 이전에 관한 사항은 각각 구분해서 공개해야 하는 사항이므로 따로 나누어 작성해야 합니다.

특히 개인정보의 국외 수집에 관한 사항은 국내에서 처리되는 경우보다 공개해야 하는 사항들이 많기 때문에 이전 받는 자의 국가, 이전 방법, 법적 근거 등을 누락하지 않도록 꼼꼼하게 확인하는 것이 중요합니다.

 회사가 보유하는 개인정보가 많을수록 개인정보 처리방침에 작성해야 하는 내용도 다양해지고, 점검해야 하는 항목도 많아집니다. 위원회가 미흡한 개인정보 처리방침에 대해 경고 조치를 한 것처럼 개인정보 처리방침은 이용자에게 개인정보가 어떻게 이용되는지를 알려주는 문서인 동시에, 회사로서도 개인정보 처리 현황을 확인해 볼 수 있는 개인정보 보호의 시작입니다.

개인정보처리자는 공개한 개인정보 처리방침에 부족한 점은 없는지, 실제 처리방식과 부합하는지를 확인하여 사전에 개인정보 처리방침이 적절한지에 대한 검토를 받아보는 것이 바람직합니다.

법무법인 비트는 개인정보 보호법을 비롯한 데이터 규제 전반에 대한 축적된 자문 경험을 바탕으로, 개인정보 처리방침이 실제 서비스 구조·데이터 흐름·내부 운영 방식과 일치하도록 정비되는 데 초점을 둔 실무 중심의 검토를 제공해 왔습니다. 서비스 기획 단계에서의 개인정보 수집·이용 구조, 투자 유치 및 사용자 확대 과정에서 변경되는 처리 목적과 보유 기간, 국외 이전·위탁 구조 등 기업 운영 전반을 함께 살펴보며, 공개된 개인정보 처리방침이 법정 기재사항을 충실히 반영하고 실제 처리 현황과 괴리가 발생하지 않도록 점검합니다. 

이를 통해 기업이 과태료·제재 리스크를 예방하는 것은 물론, 이용자와의 신뢰를 기반으로 한 지속 가능한 데이터 운영 체계를 구축할 수 있도록 지원하고 있습니다. 특히 개인정보보호위원회 고문변호사, 개인정보보호인증 심사원, 개인정보보호 관리체계 인증 심사원 자격을 지닌 변호사 등을 중심으로 개인정보 분야에 대한 높은 이해도와 전문성을 보유하고 있는 것이 법무법인 비트의 강점입니다.

[법무법인 비트 개인정보센터 리걸튠에 문의하기]

감사합니다.
법무법인 비트 드림