[5] 민간사업자 개인정보 컴플라이언스

개인정보의 제3자 제공과 계열사 공유는 별도 동의 원칙이 핵심이다. 계열사 간 회원정보 DB 공유는 법인과 관계없이 제3자에 해당해 별도 동의가 필요하고, 제휴서비스 공동 공유는 제공 목적· 항목· 보유 기간· 거부권 등을 사전에 명시한 동의가 필요하다. 플랫폼 중개사업자는 계약 이행에 필요한 정보에 한해 동의 아래 전송이 가능하지만, 추가 데이터는 별도 동의가 필요하다. 이미 수집한 정보의 제공도 별도 동의가 원칙이나 법령 근거가 있으면 예외가 있다.

마케팅과 맞춤형 광고의 한계와 원칙은 명확하다. 기존 휴대전화번호를 마케팅에 사용하려면 별도 동의가 필요하며, 동의 없이 광고성 정보 전송은 법 위반이다. 광고 수신 동의자와 미동의자를 차별하는 규모의 차별은 원칙상 금지되며, 맞춤형 콘텐츠 추천은 서비스 개선 목적만으로는 가능하되 광고나 홍보 목적이 결합되면 별도 동의가 필요하다. 만 14세 미만 아동 대상 마케팅은 법정대리인 동의가 필요하고, 퇴직 후에도 원치 않는 문자 발송은 즉시 중단해야 한다.

보관·파기와 통지에 관한 원칙은 보안과 권리의 균형이다. 보유기간은 법령상 의무 기간과 달리 과도하게 오래 가질 수 없고, 만료 시 즉시 파기가 기본이다. 회원 탈퇴 후 일부 정보만 남겨 두는 행위는 위법하며, 동의 기간을 초과한 보관은 금지된다. 휴면계정 분리 보관의 폐지 이후에도 파기 사실 통지와 복원 시 안내를 처리방침에 명시하는 것이 권장된다. 이용·제공 내역 통지는 정보주체 수를 서비스 단위가 아닌 처리자 단위로 산정해야 한다. 영업양도 시 정보 이전 사실은 고지 또는 처리방침에 게시해야 한다.

안전조치와 권리보장은 명확한 기준이 필요하다. 파일 열기 비밀번호만으로 암호화로 보기는 어렵고, AES-256 같은 표준 암호화와 관리 절차가 필요하다. 열람 거부는 원칙적으로 불가하나 법령상 예외가 있을 수 있다. 과도한 요구는 최소한의 정보 수집 기준에 부합해야 하며, 경품 당첨 안내 시 수집 범위는 한정돼야 한다. 부동산 중개 시 권리관계 조사에는 목적의 최소 수집과 종료 후 파기가 필요하고, 아르바이트 직원도 개인정보취급자로 동일한 관리가 적용된다.

민간사업자 컴플라이언스 체크리스트는 동의 체계, 처리방침, 제3자 제공, 위수탁, 안전조치, 마케팅, 보유·파기, 이용·제공 내역 통지, 정보주체 권리, 직원 관리의 10개 항목으로 구성된다. 자주 묻는 질문에서는 만 14세 미만 아동 동의 절차, 무한 보관의 불가, SNS를 통한 삭제 요청의 처리, 자동결제 중단 시 파기 시점의 원칙 등을 다룬다.

요청 처리 중입니다...

[5] 민간사업자 개인정보 컴플라이언스 - 변호사 가이드 28가지

등록된 다른 글