[기업자문]개인정보처리방침 개정사례

안녕하세요. 이요한 변호사입니다.

개인정보 보호문제는 IT를 기반으로 서비스하는 기업, 온라인 플랫폼 기업 등에서 피할 수 없는 주제입니다. 사업자들이 법률 규정에 부합하지 않는 모호한 처리방침을 유지할 경우, 「개인정보 보호법」 따라 과징금 부과 및 형사처벌 위험에 직면할 수 있습니다.

오늘은 제가 온라인 교육 플랫폼에서 수집되는 개인정보와 관련하여, 개인정보 처리방침을 검토, 수정한 사례에 대해 말씀 드리겠습니다.

사건의 개요

온라인 교육 플랫폼을 운영하는 의뢰인 기업은 미성년 학습자를 대상으로 동영상 강의, 1:1 질의응답, 맞춤형 학습 서비스를 제공하고 있었습니다. 해당 플랫폼의 구조상 유료 결제와 회원가입 신청은 주로 학부모(법정대리인)에 의해 진행되었으나, 실제 서비스를 이용하며 생성되는 계정 식별정보(ID, 비밀번호)와 플랫폼 내 학습 데이터(강좌 즐겨찾기, 수강 진도율, 질의응답 내역, 검색어 기록)는 미성년 자녀의 직접적인 활동에 의해 축적되었습니다.

그런데 의뢰인 회사의 기존 개인정보처리방침은 회원가입 주체를 단일하게 설정하여 학부모의 일괄 동의만으로 모든 데이터를 수집·이용하도록 구성되어 있었습니다. 그러나 이러한 일괄 수집 방식은 만 14세 이상 미성년자가 보유하는 독자적인 개인정보 자기결정권을 침해할 위험이 존재했습니다.

더욱이 이용자의 플랫폼 내 검색 및 수강 이력, 선호 강의 등 '온라인 행태정보'를 분석하여 추천 강좌를 제시하는 기능이 포함되어 있었음에도, 이에 대한 수집 항목·보유기간·거부권 보장 조항이 누락되어 있었습니다. 이에 의뢰인 회사는 저에게 개인정보처리방침의 검토를 요청했습니다.

자문서 제공

플랫폼 내에서 생성되는 계정 정보 및 활동 이력의 '개인정보성' 인정 여부와 만 14세를 기준으로 나누어지는 개인정보 처리 동의권'의 인정 범위가 쟁점이었습니다.

1. 만 14세 기준 미성년자의 개인정보처리

개인정보 보호법 시행령 제22조의2에 따라, 만 14세 미만 아동의 개인정보 처리는 법정대리인의 동의를 반드시 받아야 하며 휴대전화 본인인증, 공인전자서명, 서면 동의서 제출 등의 적법한 확인 절차를 거쳐야 합니다. 반면 만 14세 이상의 청소년 회원의 경우 법정대리인(부모)가 아닌 청소년 본인이 독자적인 개인정보 주체입니다.

만 14세를 기준으로 개인정보 처리방침을 이원화하여, 만 14세이상인 경우 부모가 임의로 가입 절차를 일괄 대행할 수 없도록 하고 청소년 본인이 직접 개인정보 처리 내역을 확인하고 동의 버튼을 클릭하도록 하는 절차의 도입을 권고했습니다.

2. 온라인 행태정보 처리 규정 신설

플랫폼 내 수강 목록, 검색 이력, 선호강의 등 온라인 행태정보는 최근 이를 이용한 맞춤형 광고가 성행함에 따라 중요성이 부각되는 개인정보 항목입니다.

개인정보보호위원회의 행태정보 수집 가이드라인을 충실히 반영하여,

① 수집하는 행태정보의 구체적 항목, ② 수집 방법(웹/앱 내 추적 도구), ③ 수집 목적, ④ 보유 및 이용기간, ⑤ 이용자가 이를 거부할 수 있는 설정 방법(브라우저 쿠키 차단, 앱 내 광고식별자 추적 해제) 등 행태정보 처리와 관련된 규정을 신설하였습니다.

3. 개인정보의 위탁, 제3자 제공

의뢰인 회사가 수집한 개인정보는 교육 콘텐츠 제공을 위해 결제대행사(PG사), 클라우드 호스팅사 등에 그 관리가 위탁되거나 제공되고 있었습니다. 개인정보 보호법에서는 개인정보의 위탁관리와 제3자제공을 다르게 보아 관리방법과 관리절차를 개별적으로 규정하고 있었으므로, 각 경우에 적합하도록 개인정보처리방침을 수정했습니다.