개인정보 과도 수집·보관 관행, 제동 걸린다

개인정보 최소 수집 위한 ‘온라인 개인정보 취급 가이드라인’ 시행

[보안뉴스 민세아] 웹사이트 이용시 서비스와 무관한 개인정보 수집·이용 동의를 강제하거나 무분별하게 제3자에게 제공되도록 포괄적으로 동의 받는 관행에 제동이 걸릴 전망이다.

뚜렷한 이유 없이 장기간 보관하던 개인정보 보유기간도 명확하게 규정된다. 작은 글씨나 장황한 표현으로 이용자가 읽지 않고 동의하도록 유도한 동의서는 한 눈에 들어오도록 쉽게 바뀐다.

방송통신위원회(위원장 최성준)는 12일 해당 내용을 담은 ‘온라인 개인정보 취급 가이드라인’(이하 ‘가이드라인’)을 발표했다.

금년 초 카드사, 통신사 등 연이은 대량 개인정보 유출사고 이후 이용자 동의를 강제하거나 개인정보를 과도하게 수집·보관하는 관행에 대해 개선 필요성이 대두됐다.

그간 정보통신망법상 △최소 수집 원칙(동법 23조②) △파기 원칙(29조) △동의 방법(26조의2) 등이 규정돼 있으나 구체적인 기준이 없어 일부 혼란이 존재했던 것도 사실이다.

이에 방통위는 온라인에서 이루어지는 개인정보 수집·이용·제공·파기 절차 전반에 걸쳐 모든 업종에서 공통적으로 적용되는 가이드라인을 처음으로 마련했다. 특히, 사업자들의 자발적인 준수를 유도하기 위해 포털·통신·유료방송·쇼핑·게임 등 업계 관계자 및 전문가와 20여 차례 이상 의견수렴 및 공개 토론회를 거쳤으며, 현장에서 쉽게 적용할 수 있도록 구체적인 해설과 예시를 중심으로 구성된 것이 특징이다.

가이드라인은 ①필요 최소한의 개인정보 수집 기준 ②단계별 개인정보 파기 기준 ③ 이해하기 쉬운 동의서 작성 기준으로 구성돼 있다.

1. 필요 최소한의 개인정보 수집 기준

먼저, ‘필요 최소한의 수집기준’에서는 서비스 제공에 꼭 필요한 최소한의 개인정보에 대해만 필수동의 항목으로 정하도록 했다. 기존에는 필수동의 항목에 다양한 정보들을 포함시켜 이용자가 서비스를 이용하기 위해서는 어쩔 수 없이 동의해야 하는 경우가 많았다.

▲필수동의 항목과 선택동의 항목의 구분(예시)

또한, 인터넷 쇼핑몰 이용시 결제·배송에 필요한 정보는 물품 구입시 수집하는 등 필요한 시점에 개인정보 수집·이용 동의를 받아 불필요한 개인정보 수집이 최소화되도록 했다. 아울러 회원가입 시 본인확인을 이유로 개인정보를 수집해 마케팅에 활용하지 않도록 불필요한 본인확인은 강요하지 않도록 하고, 본인확인이 필요한 경우에도 수집된 개인정보를 다른 목적으로 이용하지 않아야 한다.

2. 단계별 개인정보 파기 기준

다음으로, ‘개인정보 파기 기준’에서는 개인정보 수집·이용 목적과 보유기간을 모호하게 표시해 장기간 보관하지 않도록 이를 명확히 규정하도록 했다. 또한 복구할 수 없는 개인정보 파기방법을 구체적으로 예시해 개인정보가 안전하게 파기될 수 있도록 했다.

또한, 사업자가 개인정보를 제3자에게 무분별하게 제공하지 않도록 포인트 적립 등 서비스 제공과 관련이 있거나 이용자에게 혜택이 부여되는 경우에 대해서만 예외적으로 이용자의 동의를 받아 제공하도록 권고했다.

3. 이해하기 쉬운 동의서 작성 기준

마지막으로, ‘동의를 받는 방법’에 대해서는 이용자가 실제 읽고 동의 여부를 결정할 수 있도록 서식을 대폭 간소화했다. 선택 동의 항목에 동의하지 않아도 서비스 이용이 가능하다는 사실이나 개인정보 보유기간 등 이용자에게 중요한 내용은 글씨, 색깔 등을 활용해 쉽게 알아볼 수 있도록 표시해야 한다.

향후 방송통신위원회는 한국인터넷진흥원 및 관련 협회와 함께 국민 생활과 밀접한 업종(쇼핑·게임·포털·통신·유료방송)을 시작으로 가이드라인 적용을 위한 지원과 실태 점검을 병행해 나갈 예정이다.

이와 관련한 공개 설명회는 오는 20일 잠실 광고문화회관에서 개최되며, 다양한 교육 프로그램도 함께 진행된다. 교육프로그램은 11월부터 12월까지 진행되고 자세한 문의는 한국인터넷진흥원(02-405-5219)으로 하면 된다.

최성준 방송통신위원회 위원장은 “온라인 개인정보 관리 전반에 걸쳐 처음으로 마련된 해당 가이드라인 시행을 통해 사업자는 최소한의 개인정보만을 수집·보관해 유출 위험을 줄이고, 이용자는 동의 내용을 쉽게 파악·판단할 수 있을 것으로 기대된다”며, “국민들의 소중한 개인정보를 지키기 위해 제도개선과 전방위 실태조사를 병행하는 등 모든 노력을 강구하겠다”고 밝혔다.

[민세아 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)