1.

개인정보 수집·이용 시의 적법 근거 (제15조)

본 안내서는 실무상 활용도가 높은 ‘정보주체의 동의’, ‘계약 체결 및 이행’, ‘정당한 이익’ 등 개인정보 수집·이용의 적법 근거에 대해 구체적인 설명을 제시하고 있습니다.

(제1호) 정보주체의 동의를 받은 경우

본 안내서에서는 ‘동의와 다른 적법 처리 근거의 관계’에 관하여 다음과 같이 설명하고 있습니다.
 

• 다른 적법 처리 근거가 있는 경우라 하더라도 정보주체의 자유로운 의사에 따라 명시적인 동의를 받는 것은 가능하나, 정보주체가 자유로운 환경에서 동의 여부를 결정할 수 없는(정보주체의 선택권을 보장할 수 없는) 상황이라면 동의보다는 다른 적법 처리 근거를 채택해야 함

•  다른 적법 처리 근거에 따라 개인정보를 처리할 수 있음에도 정보주체에게 동의를 받으려는 경우에는, 동의하지 않더라도 다른 적법 처리 근거에 따라 개인정보의 처리가 가능하다는 점을 고려하여 해당 적법 처리 근거, 개인정보 수집·이용 목적, 수집·이용 항목 등을 정보주체에게 알림으로써 예측 가능성을 높이고 적법성을 더 강화하는 것이 바람직함
   

(제4호) 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우

서비스 이용 계약을 체결하거나 이행하기 위해 필요한 개인정보는 정보주체가 충분히 예측 가능한 범위 안에 있으므로 별도로 동의를 요구하지 않고 수집·이용할 수 있는데, 이와 관련하여 본 안내서는 개인정보의 수집·이용에 관한 사항을 이용약관 등에 포함하였더라도 그 수집·이용의 목적이 서비스와 무관하다면 ‘계약 이행을 위해 필요한 경우’로 보기 어려우므로 별도로 정보주체의 동의를 받아야 한다고 안내하고 있습니다.

또한, 본 안내서는 ‘정보주체와 체결한 계약을 이행하기 위해 필요한 경우’에 관한 사례를 안내하고 있으며, 초안에는 포함되어 있지 않았던 아래 사례들이 추가되었습니다.
 

2.

개인정보의 추가적 이용 및 제공 (제15조 제3항 및 제17조 제4항)

본 안내서는 2023년 개정된 ‘개인정보 보호법 시행령’을 반영하여, 당초 개인정보를 수집한 목적과 합리적으로 관련되는 범위 안에서 개인정보를 추가적으로 이용하거나 제공하려는 경우 그 이용 또는 제공이 지속적으로 이루어진다면 개인정보 처리방침에 판단기준을 미리 공개해야 하지만, 일시적이라면 별도의 공개 없이 자체 판단기준에 따라 추가적 이용 및 제공이 가능하게 되었다는 점을 안내하고 있으며, 이와 관련하여 “인터넷 쇼핑몰 운영 사업자가 회원에게 A/S를 효율적으로 제공하기 위해 예측 가능한 범위 내에서 상담서비스를 제공하는 경우에는 당초 수집한 개인정보를 인공지능 챗봇 상담기능 개선을 목적으로 이용할 수 있다”는 설명을 추가하였습니다.
 

3.

전문 수탁자에 대한 위탁자의 의무 이행 방식 (제26조)

본 안내서는, 다수의 위탁자로부터 개인정보 처리 업무를 위탁받아 전문적으로 처리하는 수탁자(전문 수탁자)의 경우, 수탁자가 위탁 받은 개인정보 처리 업무에 대해 전문적인 관리기관(예: 개인정보 보호 인증(ISMS-P), 클라우드서비스 보안인증(CSAP), 개인정보보호책임자 협의회)과 연계하여 주기적으로 점검하고 그 결과를 다수의 위탁자에게 알리는 방식으로 관리·감독 등의 의무사항을 이행할 수 있다고 안내하고 있습니다.

다만, 이를 위해 전문 수탁자는 관리 점검 체계 등에 대해 사전에 위탁 문서에 기재하고 다수의 위탁자와 감독 관계를 명시하여야 합니다. 예를 들어, 클라우드 사업자는 “표준 개인정보 위·수탁 계약서”를 마련하여 다수의 위탁자와 문서로 위·수탁 계약을 체결하면서 해당 계약서에 ‘교육’, ‘관리·감독’에 관한 사항을 구체화하고 이를 시행한 후 다수의 위탁자에게 그 결과를 알리는 방식으로 의무사항을 이행할 수 있습니다.