개인정보 보호 자주 묻는 질문

본 문서는 개인정보 보호 실무자 모임방에서 나오는 질문과 답변들을 정리한 문서로, 유권 해석이 아님을 알려드립니다. 참고로 개인정보보호위원회에서 제공하는 FAQ도 있으니 기초적인 내용은 해당 페이지 참고하세요.

• 개인정보 보호에 관한 더 많은 문서는 분류:개인정보보호 에서 확인 가능합니다.
• 위키 사용에 익숙하지 않은 분들은 위키:사용법을 읽어와서 편집해주세요!
• 사용법이 어려울 경우 그냥 어떻게든 내용만 넣어주시면 잘 아시는 분들이 다듬어주실 겁니다.

답변 완료

기존 작성된 형식을 맞춰서 내용을 추가해주시면 됩니다. 중제목, 소제목은 질문을 적절히 분류하는 수준으로 구성해주세요.

개인정보 수집

• Q. 개인정보 수집·이용 동의 시 이용기간을 "이용 목적 달성후 파기(법령에 의해 보관해야 하는 정보는 그 법령에서 정하는 기간까지 보관)"라고 불명확하게 표기해도 문제가 없는지?
  • 문제가 된다면 어떤 조항이나 지침, 가이드라인에 따른 것인지?
• A. 법령과 고시에 명문화 되어 있는 규정은 없음. 섬네일|대체글=|온라인 개인정보 처리 가이드라인 6P
  • 다만, 개인정보 관련 가이드에(온라인 개인정보 처리 가이드라인 6P) 수집 목적 및 보유 기간을 구체적으로 명시하고 특정해야 한다고 언급
  • (추가답변1 by 펜더)"개인정보 처리방침 작성지침(공공기관편)"(2022.3. 개인정보보호위원회) 31페이지, "개인정보 처리방침 작성지침(일반)(2022.3. 개인정보보호위원회) 30페이지에 따르면, "보유기간은 '목적 달성시'와 같이 추상적으로 기재하지 않고 구체적으로 기재하여야하며, 개인정보 수집이용 시 동의 받는 사항과 일치하도록 기재하여야 함'"이라고 안내하고 있습니다.
  • (추가답변2 by 펜더)또한, "표준 개인정보보호지침" 제60조제1항에서는 보유기간은 전체 개인정보의 수집부터 삭제까지의 생애주기로서 보유목적에 부합된 최소기간으로 산정하도록 규정하고 있는 바, 질문에서 '이용 목적 달성 후 파기'라는 표현은 수집시점부터 '이용목적 달성 시점'까지를 보유기간으로 산정한다는 의미인데, '이용목적 달성 시점'의 경우 개인정보처리자가 자의적으로 해석이 가능하고, 정보주체 입장에서는 예측이 어려운 시점이므로 "개인정보보호법" 제4조제1호 및 제4호에 따른 정보주체의 권리를 침해할 가능성이 높습니다.

• Q. 개인정보 처리방침 개정 시 일반적으로 7일 전에 사전 공지 하는 것이 관례처럼 되어 있는데 법적 근거가 있는 것인지?
• A. 개인정보 보호 관련 법제에 7일을 규정하고 있는 것은 없음.
  • 전자상거래 이용약관 개정 시 최소 7일 이전에 공지를 하도록 하는 지침(전자상거래 등에서의 소비자보호 지침)이 있어 이 관례를 따르는 경우가 많은 것으로 보임.
  • 또한 한국인터넷진흥원(KISA)에서 개인정보 처리방침 예시(양식)을 만들 때 7일로 명시해둔 바가 있어 이를 따르는 경우도 많았을 것으로 추정.
  • 공식적으로 정해진 구체적인 날짜는 없으며 이용자들이 피해를 보지 않을 선에서 적당한 날짜를 정해 사전 공지를 해주면 되는 것으로 확인됨.

개인정보 이용

• Q. 가명처리를 통해 개인정보를 분석하고자 함. 가명처리가 제대로 되었는지에 대한 법률적 리스크 해소를 위해 가명처리가 잘 되었는지 국가 기관 등에 인증이나 심사를 받는 절차가 있는지?
• A. 가명처리의 적정성을 평가해주는 공적인 기관은 없음.
  • 참고로 개인신용정보를 익명처리한 경우엔 데이터전문기관에서 익명처리 적정성 평가를 받을 수 있음

• Q. 가명정보 결합을 하려고 하는데 금융회사의 정보와 비금융회사 정보가 결합되는 경우라면 신용정보법에 따른 데이터전문기관과 개인정보 보호법에 따른 결합전문기관 중 원하는 곳을 선택해서 진행할 수 있는지?
• A. 결합당사자 여럿 중에 하나라도 '신용정보회사등'인 경우엔 신용정보법에 따른 데이터전문기관에서 결합을 해야 함. 개인정보보호법이 일반법, 신용정보법이 특별법의 지위를 가지고 있으며 신용정보법에선 신용정보회사등이 제3자와 데이터를 결합하고자 하는 경우엔 신용정보법에 따른 데이터전문기관에서 결합해야 한다고 하였기 때문

개인정보 제공

• Q. 개인정보처리시스템 유지보수나 개발을 외부 업체에 위탁하였음. 개인정보 위수탁에 해당하는지?
• A. 어떤 방식으로 업무를 위탁하고 관리하는지에 따라 다름. 개발이나 유지보수 과정에서 개인정보에 접근이 가능하다면 개인정보 위탁으로 볼 수 있으며, 개인정보 위탁에 따른 관리·감독이나 교육 의무 등의 의무가 있음.단 개발이나 유지보수 업무를 위탁하면서도 실제 개인정보가 없는 개발·QA시스템에만 접근 가능토록하거나 다른 방법으로 개인정보에 대한 접근은 차단한 경우, 또는 업무상 개인정보를 볼 일이 없을 경우의 위탁(시스템 부품교체 등)은 개인정보 위탁이 아니라고 볼 수 있음.

(참고) Q. 시스템에 대한 단순 유지 보수를 위탁하는 경우에도 개인정보 처리 위수탁인가요?

A. 개인정보 처리 시스템의 유지 보수를 외부에 위탁한 경우, 개인정보 처리 위수탁으로 볼 수 있습니다. ‘개인정보 보호법’ 제2조 제2호에 의하면 ‘처리란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 유사한 행위’로 규정하고 있습니다. 유지 보수는 저장 또는 보유 업무의 일부를 구성하고, 또한 그와 유사한 행위에 해당하는 것으로 볼 수 있습니다. 다만, 시스템의 부품만 교체하는 등 개인정보에 접근하지 아니하는 경우라면 개인정보 처리 위수탁이 아닙니다. (개인정보 처리 위수탁 안내서, 행정안전부, 2018.7.)

개인정보 파기

• Q. 개인정보 파기 확인서에 담당자의 날인이 필요하다는 법률 근거 조항이 있는지?
• A. 법령과 고시에 명문화 되어 있는 규정은 없음.
  • 다만, 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기는 개인정보 보호책임자의 업무 중 하나이므로(개인정보 보호법 시행령 제32조) 개인정보 보호책임자 명의의 파기 확인서(직인 날인된 공문 등)를 요구하는 경우가 많음

답변 미완료

답변을 얻을 수 없었거나 불확실한 답변을 얻은 경우 이곳에 올려주십시오. 답변이 어느정도 완료된 경우 상단의 '답변 완료'로 이동시켜 주십시오.

• Q. 온라인 쇼핑몰에서 고객의 구매 정보를 분석해서 신제품 기획도 하고 마케팅 전략도 수립하려고 함. 회원 가입 시 '정보 분석을 통한 신제품 기획 및 마케팅 전략 수립' 이라는 목적을 명시하지 않았는데, 이렇게 고객의 구매 데이터를 통계적인 목적으로 분석을 하는 것도 목적으로 별도 명시해야 하는지?
• A.