37.5.

'별도의 동의서' 대신 '개인정보처리방침'으로 개인정보 수집 등에 대한 동의를 받는 것이 적법한가?

• 새 탭 열기
• 작성 이력 보기

보호법 제39조의3 제1항은 정보통신서비스 제공자는 제15조제1항에도 불구하고 이용자의 개인정보를 이용하려고 수집하는 경우 ①개인정보의 수집‧이용 목적, ②수집하는 개인정보의 항목, ③개인정보의 보유‧이용 기간(이하 ‘법정 고지사항’)의 모든 사항을 이용자에게 알리고 동의를 받도록 규정하고 있다.

이에 대한 연혁을 살펴보면, 개인정보 수집 및 이용 등에 관한 동의는 이용약관, 개인정보 처리방침과 별개의 것으로 규율하고 있는 것으로 확인된다.

보호법 제4조 제1호 및 제2호는 “개인정보의 처리에 관한 정보를 제공받을 권리”와 “개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리”를 정보주체가 가진다고 명시하고 있다.

또한, 제22조 제1항은 “개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다.”라고 규정하고 있으며, 동법 시행령 제17조 제1항 제4호에서 인터넷 홈페이지 등에 동의 내용을 게재하고 정보주체가 동의 여부를 표시하도록 하는 방법을 명시하고 있다.

나아가 제22조 제2항은 “개인정보처리자는 제1항의 동의를 서면(「전자문서 및 전자거래 기본법」제2조제1호에 따른 전자문서를 포함한다)으로 받을 때에는 개인정보의 수집·이용 목적, 수집·이용하려는 개인정보의 항목 등 대통령령으로 정하는 중요한 내용을 보호위원회가 고시로 정하는 방법에 따라 명확히 표시하여 알아보기 쉽게 하여야 한다.”고 규정하고 있으며, 개인정보 처리 방법에 관한 고시 제4조 제3호는 동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수 있도록 그 밖의 내용과 별도로 구분하여 표시하도록 규정하고 있다.

즉, 보호법은 개인정보의 처리에 관한 내용을 정보주체가 쉽게 확인하고 알아볼 수 있도록 명확히 표시하여 이용자로 하여금 동의 범위 등에 대한 실질적인 선택 및 결정권을 행사할 수 있도록 하고 있는 것이다.

(중략)

피심인이 피심인 서비스에 가입한 이용자의 개인정보로서 타사 행태정보를 수집‧이용하기 위해서는 그 수집·이용 주체22)인 피심인이 보호법 제39조의3 제1항에 따라 법정 고지사항을 이용자에게 명확히 알리고 동의를 받아야 한다.

아울러, 개인정보 수집·이용 동의 조항 연혁에서 살펴본 바와 같이 개인정보 수집·이용에 관한 동의와 개인정보 처리방침은 별개의 것으로 규율하고 있고, 개인정보 처리방침 전문이 아닌 별도의 개인정보 수집‧이용 동의를 통해 타사 행태정보 수집·이용에 관한 사항을 이용자에게 명확히 인지시키고 동의를 받아야 하나, 피심인은 이용자가 페이스북 및 인스타그램 계정을 생성하는 과정에서 “개인정보 처리방침” 전문을 확인하도록 한 것 외에 별도로 법정 고지사항을 제시하고 동의를 받고 있지 않다.

페이스북의 경우 개인정보 처리방침 전문(공백 포함 14,600여개 글자, 694줄)을 게시한 화면은 한 화면에 다섯 줄 밖에 보이지 않는 네모박스(폰트크기 16인 한글 기준 120글자)에 불과하므로 스크롤을 아래로 내려 사업자의 웹사이트 및 앱을 이용한 행태정보와 관련한 사항(“파트너가 제공하는 정보”)을 확인하기 쉽지 않고, 인스타
그램의 경우 “이용 약관에 동의” 화면에서 “데이터 정책(필수)” 아래의 “더 알아보기” 링크를 누르지 않으면 개인정보 처리방침 전문조차 확인이 불가능하고, 이를 확인하지 않고도 가입절차 진행이 가능한바, 이를 통해 피심인이 이용자의 타사 행태정보를 수집·이용하는 것과 관련하여 이용자에게 명확히 인지시키고 동의를 받고 있다고 보기 어렵다.