🍖 로스규이에서 오늘은 ‘개인정보 수집 동의’를 노릇노릇하게 구워드려요.

• 개인정보 수집 동의, 제대로 안 받으면 과징금이 1억? 
• 한국소비자연맹이 말하는 삼쩜삼의 개인정보보호법 위반?, 타당한 지적인지 팩트 체크해요.
• 삼쩜삼 사례에서 배운 '개인정보 수집 동의'를 위한 3가지 교훈, 꼭 기억해둡시다!

💌 Editor's Note

안녕하세요, 변호사 O🐶입니다.

#지난 레터(삼쩜삼, 세무사법 위반?)에 이어서, 삼쩜삼 2탄은 개인정보보호 이슈예요!

이번엔 한국소비자연맹이 나섰어요. "삼쩜삼의 개인정보 수집과 활용이 도를 넘었다😠"며 개인정보보호위원회에 신고했는데요. 

'삼쩜삼 개인정보보호법 위반 사항' 중에는 제가 만난 창업가분들도 자주 하는 실수들이 많았어요. "서비스 런칭도 바쁜데 이용약관, 개인정보수집동의, 개인정보 처리방침 이걸 다 언제 만들어?" 하면서 일부만 만들거나, 다른 회사가 작성한 것을 그대로 가져다 쓰기도 하거든요. 새로운 투자를 받는 등 개인정보 관련 법령 컴플라이언스에 대한 요구가 높아질 때가 되어서야 점검해보죠.

대부분의 스타트업에서 개인정보를 허술하게 관리하고 있는 게 현실이에요. 꼭 지켜야 하지만, 까다로운 '개인정보보호법'을 삼쩜삼의 사례를 통해 님께 쉽게 알려줄 수 있을 것 같아 준비했어요.

오늘은 변호사 O🐶와 함께 삼쩜삼 서비스를 살펴보며, 개인정보 수집 동의를 받을 때 유의해야 할 점들을 알아보아요! 

⚠ 위반은 쉽고 처벌은 무거워

©  삼쩜삼

이용자가 동의한 내용을 살펴보니, 삼쩜삼이 받는 동의가 아니었어요. 이건 국세청의 간편인증서비스 이용을 위한 개인정보 수집, 개인정보 제3자 제공 동의였어요. 개인정보를 수집하는 주체가 삼쩜삼이 아닌 국세청🏦이라는 뜻이죠.

삼쩜삼은 자체적으로 홈택스 ID/PW, 주민등록번호, 환급계좌정보를 수집하고, 파트너 세무사에게 해당 정보를 제공하고 있다고 밝히고 있어요(삼쩜삼 개인정보처리방침). 하지만, 이용자들은 국세청이 정보를 수집, 제공하는 데에만 동의했지 삼쩜삼에게는 동의한 적이 없는거죠. 삼쩜삼이 직접 이용자들의 개인정보를 서비스에 활용하기 위해서는, 삼쩜삼을 주체로 한 동의 또한 별도로 받아야 할 거예요.

특히 삼쩜삼은 '홈택스 간편인증을 위해 아래 정보를 입력해주세요' '고객님의 소중한 정보는 환급액 조회 외 다른 목적으로 활용하지 않습니다.' 라고 말하고 있어요.

이용자들은 '아 홈택스에서 환급액 조회하려고 개인정보 입력하라고 하는구나' 하면서 개인정보를 입력했을 거예요. 수집 할 때 ‘환급액 조회’ 이외로는 사용되지 않는다고 했음에도, 세무사가 ‘세금 계산 및 신고’나 ‘세무 상담’ 목적으로 해당 정보를 이용할 수 있도록 제공하면 수집 시 고지한 이용목적을 넘어서 제3자에게 제공된 것으로도 볼 수 있겠죠.

또한 삼쩜삼이 자체적으로 개인정보 수집동의, 제3자 제공동의를 받더라도, 주민등록번호를 수집하고, 이를 제3자인 파트너 세무사에 제공한 것은 위법할 가능성이 높아요. 주민등록번호는 동의를 받더라도 법에 정해진 사유가 없으면 처리할 수 없어요.

📌정리하자면,

1. '개인정보 수집 동의'와 '제3자 제공 동의'는 따로 동의를 받아야하고, 회원가입 할 때 필요한 정보 외에는 정보 수집 직전에 그 때 그 때 받아야 한다.

• 삼쩜삼이 환급액 조회를 위한 정보를 수집하는 때, 회원가입 할 때와 별도의 개인정보 수집 동의를 받고 있다는 점에는 문제가 없어요.

3️⃣'삼쩜삼'이 알려주는 3가지 교훈

'삼쩜삼'이 이번에 한 실수는 사실 많은 스타트업들이 흔히 하고 있는 실수에요. 로스규이 독자님들께 개인정보 수집과 관련되어 자주 하는 실수들을 한 번 정리해서 자세히 알려드리고 싶어서, 이번 이슈를 꼼꼼히 살펴보게 되었어요. 오늘 다룬 삼쩜삼의 개인정보보호법 위반 논란을 통해 얻을 수 있는 3가지 교훈을 알려드릴게요.

✔ 하나, '개인정보 수집 동의'와 '제3자 제공 동의'는 별도로 받자!

개인정보를 수집하거나 제3자 제공하기 위해서는 '개인정보 수집 동의'와 '제3자 제공 동의'를 별도로 받아야 해요. (개인정보 처리방침이랑도 별도에요!)

회원 가입시에 개인정보 처리방침에 대한 동의만 받고 있었다면, 실은 개인정보 수집동의, 제3자 동의를 받아야하고요. 서비스 이용 중에 별도의 또 다른 목적으로 개인정보를 수집한다면 그때그때 별도로 개인정보 수집동의, 제3자 제공동의를 받아야 해요.

정보주체 동의 없이 개인정보 수집하면, 5천만원 이하 과태료💰를, 정보주체 동의 없이 개인정보 제3자 제공하면, 5년이하 징역⛓이나 5천만원 이하 벌금💰을 부과받을 수 있답니다.

✔ 둘, 개인정보를 수집할 때 고지 의무를 준수하고, 고지한 내용을 지키자! 

앞서 이야기했듯, 개인정보 수집 시에는 꼭 알려줘야하는 사항이 있어요. ① 수집·이용 목적 ② 수집·이용 항목 ③ 보유기간 ④ 동의 거부 권리 및 동의 거부 시 불이익의 내용을 고지하고 수집 동의를 받아야 한다는 점 잊지마세요!

⚠이용목적을 고지했다고 하더라도, 이용 목적을 초과한 수집·활용은 문제가 있어요. 개인정보 수집이나 제3자 제공 시 개인정보를 이용할 목적을 다 알려주어야 하고, 고지한 이용 목적 외에 다른 목적으로 개인정보를 활용해서는 안돼요!

개인정보를 수집할 때 고지한 내용 및 방법을 위반하면, 3천만원 이하 과태료💰를 부과받을 수 있어요.

✔ 셋, 주민등록번호는 동의받아도 처리 불가능!

주민등록번호는 동의를 받더라도 법에 정해진 사유가 없으면 처리할 수 없어요. 법에서는 주민등록번호 수집과 처리를 엄격하게 제한⛔하고 있어요. 법률이나 시행령, 규칙 등에서 구체적으로 주민등록번호의 처리를 허용한 경우이거나 정보주체 또는 제3자의 급박한 생명 ·신체 ·재산 ·이익을 위해 명백히 필요한 경우로 제한하고 있어요. 즉, 일반적인 서비스 활용 목적으로는 허용되기 어렵다고 보면 돼요.

주민등록번호 처리할 수 있는 사유가 아님에도 처리하면, 3000만원 이하 과태료💰 부과대상이랍니다. 국세청 간편인증 서비스에서도 주민등록번호가 아닌 생년월일만을 수집하고 있어요.

🍖오늘 로스규이에서는 삼쩜삼의 개인정보보호법 위반 논란을 살펴보았는데요.

개인정보 처리와 관련한 위반 사항은 정말 스타트업계에서 흔히 볼 수 있는 위반 사항이에요. 개인정보를 수집·활용·처리·제공하는 문제는 우리의 인식보다 훨씬 중요한 문제에요. 그리고 개인정보보호법 위반은 엄격하게 처벌하고 있기 때문에, 제대로 점검할 필요가 있답니다.