[보안칼럼] 당신은 정말 ‘동의’ 하셨습니까?

나의 개인정보가 어디로 유통·보관·제공되는지 아시나요?

‘다른 사람의 행위를 승인하거나 시인함’이라는 의미를 가진 ‘동의’. 개인정보와 관련된 중요한 행위중 하나인 이 동의와 관련된 여러 사례들이 요즘 이슈가 되고 있다.

한 가지는 사용자의 동의 없이 국제단말기 인증번호(IMEI), 범용 가입자식별모듈(USIM)일련번호 등 스마트폰 주요정보를 수집했다는 이유로 유죄 판결을 받은 사건이 있었고 또 다른 사례는 일부 회원에 대해 동의 받지 않고 제3자에 위탁하고 개인정보의 수집항목 및 이용목적에 대해서도 지나치게 포괄적으로 고지하고 동의를 받은 이유로 과징금을 받은 업체도 나타났다.

이렇듯 개인정보의 수집부터 제공, 위탁에 이르기까지 이용자의 동의 행위는 개인정보 취급자(사업자등)와 이용자 모두에게 중요한 부분임이 틀림없다. 이러한 상황에서 개인정보 취급자는 동의를 받은 형식이나 방법이 적절한 것인지 이용자가 쉽게 이해할 수 있는 내용으로 구성되어 있는지 등에 대해 검토 할 필요가 있고 이용자 입장에서도 본인의 동의를 통해 나의 개인정보가 언제까지 보관 되는지, 어디로 제공과 위탁이 이루어지고 있는지에 대해 관심을 가질 필요가 있겠다.

개인정보 취급자 입장에서는 동의를 받으면 개인정보 수집부터 이용 과정상에서 상당한 자유로움(?)을 가질 수 있기 때문에 이용자에게 ‘명확한 동의’를 받는 것이 중요하고 반대로 이용자 입장에서는 동의를 함으로서 본인의 개인정보에 대한 ‘결정권’을 상당부분 포기하는 상황이 될 수 있기 때문에 신중한 ‘동의 행위’가 필요하다.

많은 곳에서 온라인과 오프라인을 통해 수집 및 이용에 대해 동의 받는 모습은 작은 창에 작은 글씨로 수집목적과 수집항목, 제공 및 위탁업체, 보유 및 이용기간 등 다양하고 복잡해 보이는 내용을 보여주고 ‘동의 하도록’하고 있는 현실에서 과연 이용자가 어느 정도까지 이해하고 동의하고 있는 것인지 의문을 갖게 한다.

따라서 개인정보 취급자들은 개인정보의 최소 수집 원칙부터 준수할 필요가 있고 동의를 받는 형식과 방법 면에서 이용자들에게 이해하기 쉽고 명확하게 동의를 받으려는 다양한 노력이 필요한 상황이다.

이용자 입장에서도 무의식적인 동의 행위가 아닌, 본인의 ‘개인정보 주권’을 지키는 측면에서 확인할 부분은 확인하고 이해하기 어려운 부분은 개인정보 취급자들에게 쉽게 이해할 수 있도록 설명을 요구할 수 있는, 지금보다 적극적인 모습이 필요해 보인다.

글 _ 박나룡 보안전략연구소 소장(isssi@daum.net)

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)