<질의요지>
개인정보처리자가 ｢개인정보 보호법｣ 제15조제1항제1호에 따라 개인정보수집·이용에 대한 정보주체의 동의를 받을 때, 같은 조제2항에서 정보주체에게 알려야 할 사항으로 규정하고 있는 개인정보의 수집·이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용기간에 대하여 개인정보 수집·이용에 대한 동의와 별도로 같은 법 제22조제1항에 따라 구분하여 정보주체의 동의를 받아야 하는 것인지?
[질의 배경]
민원인은 ｢개인정보 보호법｣ 제22조제1항에서 규정하고 있는 “각각의 동의사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다”의 의미를 행정자치부에 질의하였는데, 행정자치부로부터 같은 법 제15조제1항, 제17조제1항, 제18조제2항, 제23조제1항 등에 따른 동의를 별도로 받을 것을 의미한다는 답변을 받자 이에 이의가 있어 직접 법제처에 법령해석을 요청함.
<회 답>
개인정보처리자가 ｢개인정보 보호법｣ 제15조제1항제1호에 따라 개인정보수집·이용에 대한 정보주체의 동의를 받을 때, 같은 조제2항에서 정보주체에게 알려야 할 사항으로 규정하고 있는 개인정보의 수집·이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용기간에 대하여 개인정보 수집·이용에 대한 동의와 별도로 같은 법 제22조제1항에 따라 구분하여 정보주체의 동의를 받아야 하는 것은 아닙니다.
<이 유>
｢개인정보 보호법｣ 제15조제1항제1호에서는 개인정보처리자는 정보주체의 동의를 받은 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다고 규정하고 있고, 같은 조제2항에서는 개인정보처리자는 같은 조제1항제1호에 따른 동의를 받을 때에는 개인정보의 수집·이용 목적(제1호), 수집하려는 개인정보의 항목(제2호), 개인정보의 보유 및 이용 기간(제3호), 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용(제4호)을 정보주체에게 알려야 하며, 그 중 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다고 규정하고 있고, 같은 법 제22조제1항에서는 개인정보처리자는 같은 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다고 규정하고 있는바
이 사안은 개인정보처리자가 ｢개인정보 보호법｣ 제15조제1항제1호에 따라 개인정보수집·이용에 대한 정보주체의 동의를 받을 때, 같은 조제2항에서 정보주체에게 알려야 할 사항으로 규정하고 있는 개인정보의 수집·이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용기간에 대하여 개인정보 수집·이용에 대한 동의와 별도로 같은 법 제22조제1항에 따라 구분하여 정보주체의 동의를 받아야 하는 것인지에 관한 것이라 하겠습니다.
먼저, ｢개인정보 보호법｣ 제2조제2호에서는 개인정보의 처리를 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기로 정의하고 있고, 이와 같은 개인정보 처리 중 개인정보의 수집·이용, 개인정보의 제3자 제공과 국외 제3자 제공, 개인정보의 수집 목적 외 이용·제공 및 개인정보처리자로부터 개인정보를 제공받은 자의 이용·제공에 대해서 별도의 규정을 두어 정보주체의 동의를 받은 경우에 그 개인정보처리가 가능하도록 명시하는 한편｢개인정보 보호법｣ 제15조제2항과 같이 개인정보의 수집·이용에 대해 정보주체의 동의를 받을 때에 정보주체에게 알려주어야 할 사항을 세부적으로 규정하고 있는바, 이는 개인정보의 중요성 및 불법적인 처리에 따른 피해의 심각성 등을 고려하여 정보주체가 스스로 자신의 개인정보처리를 통제할 수 있도록 동의를 요구하고, 동의가 이루어진 정보처리의 범위를 처리의 목적, 처리되는 정보의 항목, 처리 기간 및 동의 거부권 고지를 통해 명확하게 하려는데 그 취지가 있다고 할 것입니다.
한편 위와 같은 규정에 의해 정보주체에게 개인정보 처리에 대한 동의여부를 결정할 수 있는 권리가 인정되는 것은 맞지만, 정보주체의 동의를 받는 방법을 개인정보처리자의 임의에 맡겨둘 경우 개인정보처리자가 개인정보의 각종 처리에 대해 일괄 제시하고 정보주체로부터 일괄로 동의를 받는 방법을 통해 실제로는 정보주체가 가지는 개인정보자기결정권을 유명무실하게 만들 우려가 있습니다. 이런 점을 고려하여 ｢개인정보 보호법｣ 제22조제1항에서는 개인정보처리자가 정보주체로부터 개인정보처리에 대한 동의를 받을 경우 각각의 정보처리 별로 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 하는 것으로 그 동의를 받는 방법을 제한하고 이를 통하여 정보주체의 개인정보자기결정권을 실질적으로 보장하고 있습니다.
그렇다면 ｢개인정보 보호법｣ 제22조제1항에서 각각 구분하여 동의를 받아야 하는 상황으로 규정하고 있는 “이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때”란 이와 같이 개인정보처리자가 정보주체의 동의를 얻어서 개인정보를 처리하고자 하는 상황을 의미하고, 같은 규정상 구분하여 알리고 각각 구분하여 동의를 받아야 하는 것으로 정하고 있는 “동의사항”이란 개인정보처리 중 수집·이용, 개인정보의 제3자 제공, 국외 제3자 제공, 개인정보의 수입 목적외 이용·제공 등 ｢개인정보 보호법｣에서 동의를 요하고 있는 각종 개인정보처리를 의미하는 것으로 이해해야 할 것이지, 그 개인정보처리에 대한 동의를 받을 때 알려주어야 하는 정보처리의 목적, 수집항목, 처리 기간 등이라고 볼 수는 없는 것입니다.
한편, ｢개인정보 보호법｣ 제15조제2항 후단에서 정보처리에 대하여 정보주체의 동의를 받을 때 알려주어야 하는 사항 중 어느 하나의 것을 변경하는 경우에 이를 알리고 동의를 받아야 한다고 규정하고 있으므로 같은 항 각호의 사항들도 같은 법 제22조제1항에 따라 각각 구분하여 동의를 받아야 한다는 견해가 있을 수 있으나, 개인정보보호법 제22조제1항에서 각각 구분하여 동의를 받도록 정하고 있는 동의사항은 위에서 본 바와 같이 개인정보의 수집·이용, 개인정보의 제3자 제공 등과 같이 정보주체의 동의를 요하는 각 정보처리를 의미하는 것인 점, 같은 법 제15조제2항 후단은 수집·이용되는 개인정보를 한정하는 항목들이 변경되어 당초 정보주체가 동의한 정보처리의 범위와 내용이 달라질 수 있기 때문에 그 변경된 사항을 정보주체에게 알리고 다시 개인정보의 수집·이용에 관한 동의를 받으라는 의미인 점 및 같은 법 제15조제2항 각호의 사항들은 서로 연관되어 정보주체가 동의하는 개인정보처리의 범위를 특정하는 것들로서 내용과 취지상 서로 구분하여 동의를 받는 것이 불가능할 뿐만 아니라 오히려 불합리한 것으로 보이는 점에 비추어 볼 때 타당하지 않다고 할 것입니다.
이상과 같은 점을 종합해 볼 때, 개인정보처리자가 ｢개인정보 보호법｣ 제15조제1항제1호에 따라 개인정보수집·이용에 대한 정보주체의 동의를 받을 때, 같은 조제2항에서 정보주체에게 알려야 할 사항으로 규정하고 있는 개인정보의 수집·이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용기간에 대하여 개인정보 수집·이용에 대한 동의와 별도로 같은 법 제22조제1항에 따라 구분하여 정보주체의 동의를 받아야 하는 것은 아니라고 할 것입니다.
【법제처 16-0308, 2016.11.23.】