개인정보보호법 위반, 몰랐으면 괜찮을까요?

개인정보보호 업무를 하다 보면 이런 말을 종종 듣습니다.

“그게 개인정보보호법 위반인 줄 몰랐어요.” “이 정도 제공은 괜찮다고 생각했어요.” “가명정보라서 동의 없이 제공해도 되는 줄 알았어요.”

실무에서는 충분히 나올 수 있는 말입니다. 개인정보보호법은 어렵고, 가명정보·제3자 제공·위탁·동의·보유기간·파기처럼 판단이 필요한 영역도 많기 때문이죠.

그런데 문제는 여기서 끝나지 않습니다. 정말 몰랐다면 책임이 없어질까요?

개인정보보호위원회에 따르면 업무 과실, 즉 실무자 실수로 인한 개인정보 유출사고가 23.4%를 차지해요.

무시할 수 없는 숫자죠.

이러한 실수로 일어난 유출, 결론부터 말하면, 단순히 “몰랐다”는 사정만으로 면책되기는 어렵습니다. 중요한 것은 “몰랐는지”가 아니라, 그 당시 무엇을 확인했고, 누구에게 자문을 구했고, 어떤 근거로 적법하다고 판단했는지가 기록으로 남아 있는지입니다.

제공 전 남겨야 할 5가지 기록

개인정보 또는 가명정보를 외부에 제공하거나 활용하기 전에는 최소한 아래 기록을 남겨두는 것이 좋습니다.

1. 데이터 속성 검토: 이 정보가 개인정보인지, 가명정보인지, 익명정보인지 검토한 기록

2. 목적의 명확성: 제공 또는 활용 목적이 무엇인지 정리한 기록

3. 법적 성격 구분: 제3자 제공인지, 처리위탁인지, 공동이용인지 구분한 기록

4. 유관 부서 검토: 내부 담당자, 개인정보보호 책임자(CPO), 법무팀, 외부 전문가 등에게 검토받은 기록

5. 최종 판단 근거: 최종적으로 왜 적법하다고 판단했는지에 대한 근거 자료

이 기록들이 있어야 나중에 문제가 생겼을 때 “우리는 그냥 몰랐다”가 아니라 “우리는 당시 이러한 법적 근거를 바탕으로 확인하고 판단했다”고 소명할 수 있습니다.

“몰랐다”는 말이 부족한 법적 이유

법 위반이 문제 되는 상황에서 “몰랐다”는 주장은 흔히 나옵니다. 하지만 법은 단순한 법률 지식의 부족을 쉽게 면책 사유로 보지 않습니다.

형법 제16조(법률의 착오) 자기의 행위가 법령에 의하여 죄가 되지 아니하는 것으로 오인한 경우에도, 그 오인에 정당한 이유가 있는 때에 한하여 벌하지 아니한다.

대법원도 정당한 이유가 있는지는 행위자가 위법 가능성을 심사숙고하거나 조회할 수 있었는지, 그리고 이를 회피하기 위한 진지한 노력을 다했는지를 기준으로 본다는 취지로 판단해 왔습니다.

쉽게 말하면 이런 구조입니다.

• “법을 몰랐다”는 말만으로는 부족합니다.

• “내 경우에는 적법하다고 믿을 만한 구체적인 이유가 있었다”는 점이 필요합니다.

• 그리고 그 이유가 사후 변명이 아니라, 행위 당시 실제로 확인한 자료와 기록으로 남아 있어야 합니다.

담당 공무원이나 법률전문가에게 자문을 구했는지, 내부적으로 충분히 검토했는지, 관련 법령과 가이드라인을 확인했는지 등이 중요한 이유가 바로 여기에 있습니다.

가명정보라고 해서 항상 자유로운 것은 아닙니다

특히 실무에서 착오가 많이 생기는 영역이 바로 ‘가명정보’입니다.

개인정보보호법상 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 정보주체의 동의 없이 가명정보를 처리할 수 있습니다. 다만 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위해 사용될 수 있는 정보(추가정보 등)를 포함해서는 안 됩니다.

즉, “가명처리했으니 무조건 괜찮다”가 아닙니다. 가명정보인지 여부, 처리 목적, 제공받는 자, 제공 항목, 추가정보 분리 보관, 접근권한 관리, 재식별 가능성 등을 종합적으로 함께 봐야 합니다. 가명정보도 결국 개인정보보호법 체계 안에서 엄격하게 관리되는 정보이기 때문입니다.

실제로 가명정보를 처리하는 경우에는 안전성 확보 조치가 필요하며, 가명정보 처리 목적, 가명처리한 개인정보의 항목, 이용내역, 제3자 제공 시 제공받는 자, 처리 기간 등에 관한 기록을 작성·보관해야 합니다. 관련 기록을 작성·보관하지 않은 것만으로도 과태료 부과 대상이 될 수 있습니다.

그러니 “가명정보라서 괜찮은 줄 알았다”는 말은 매우 위험합니다. 따라서 체크해봐야 할 내용은 아래와 같아요.

• “제공 전에 가명정보 해당성을 제대로 검토했나요?”

• “개인정보보호법 제28조의2, 제28조의3, 제28조의4 적용 여부를 확인했나요?”

• “그 판단 과정을 기록으로 남겼나요?”

 

실무자가 자주 놓치는 5가지 지점

개인정보보호법 위반은 악의적인 유출에서만 생기지 않습니다. 오히려 실무에서는 “이 정도는 괜찮겠지”라는 사소한 판단에서 문제가 시작되는 경우가 많습니다.

1. 제3자 제공과 위탁을 혼동하는 경우

외부 업체에 데이터를 전달할 때 가장 먼저 봐야 하는 것은 그 업체가 누구의 목적을 위해 데이터를 처리하는지입니다. 우리 회사의 업무를 대신 처리하는 구조라면 ‘위탁’에 가깝고, 외부 업체가 자기 목적을 위해 데이터를 이용한다면 ‘제3자 제공’에 가깝습니다. 이 구분을 하지 않고 “그냥 협력사에 전달한 것”으로 처리하면 법적 리스크가 발생합니다.

2. 동의 문구만 있으면 충분하다고 보는 경우

동의서를 받았다고 해서 모든 처리가 면죄부를 받는 것은 아닙니다. 무엇에 대한 동의인지, 필수 동의와 선택 동의가 구분되어 있는지, 제공받는 자와 제공 목적이 특정되어 있는지, 보유·이용 기간이 명확한지까지 확인해야 합니다. 동의는 형식이 아니라 ‘내용’이 중요합니다.

3. 보유기간을 “필요할 때까지”로 두는 경우

개인정보는 수집 목적이 달성되면 원칙적으로 파기해야 합니다. 그런데 실무에서는 “나중에 분석에 쓸 수도 있으니까”라는 모호한 이유로 계속 보관하는 경우가 있습니다. 명확한 보유 근거와 기한이 없다면 이는 명백한 법 위반입니다.

4. 가명정보와 익명정보를 혼동하는 경우

가명정보는 추가정보 없이는 특정 개인을 알아볼 수 없게 처리한 정보로 여전히 법적 규제 대상입니다. 반면 익명정보는 다른 정보를 결합해도 더 이상 개인을 알아볼 수 없는 정보입니다. “이름을 지웠으니 익명정보겠지”라고 판단하는 것은 위험합니다. 고객 ID, 구매 이력, 위치정보 등의 조합을 통해 개인이 다시 특정될 수 있기 때문입니다.

5. 처리방침 개정 이력을 남기지 않는 경우

개인정보 처리방침은 홈페이지용 장식 문서가 아니라, 우리 회사가 데이터를 처리하는 기준 문서입니다. 서비스 구조나 수탁사가 바뀌었는데 처리방침이 그대로라면, 실제 처리와 고지 내용이 어긋나게 됩니다. 따라서 변경될 때마다 개정 이력, 검토 일자, 변경 사유를 명확히 남겨야 합니다.

애매할수록 필요한 것은 “확실한 기록”

개인정보보호 업무에서 모든 판단이 처음부터 100% 명확할 수는 없습니다. 당연히 애매할 수 있죠! 하지만 애매하다는 이유로 확인을 생략해서는 안 됩니다. 오히려 애매할수록 확인 기록이 필요합니다.

• 관련 법 조항과 인사이트 자료를 확인한 기록

• 개인정보보호위원회 자료나 공식 가이드라인을 검토한 기록

• 내부 개인정보 담당자 또는 CPO에게 문의한 기록

• 법무팀 또는 외부 전문가에게 자문을 받은 기록

• 자문 결과를 바탕으로 최종 의사결정을 하고 데이터를 최소화한 기록

이런 과정이 남아 있으면 나중에 문제가 되더라도 “위법 가능성을 인지하고 회피하기 위해 진지한 노력을 다했다”는 점을 증명할 수 있습니다.

데이터 제공 전, 6가지 점검 리스트

혹시 외부 제공이나 제휴, 분석, 마케팅 활용을 앞두고 있나요? 아래 질문을 먼저 확인해 보세요.

• 첫째, 이 데이터의 법적 정의는 무엇인가요? (개인정보 / 가명정보 / 익명정보)

• 둘째, 왜 제공하나요? (법이 허용한 통계, 연구 목적 외의 목적은 아닌가요?)

• 셋째, 누구에게 제공하나요? (수탁자인지, 독자적 제3자인지 구분)

• 넷째, 무엇을 제공하나요? (목적 달성에 필요한 최소한의 범위인가요?)

• 다섯째, 언제까지 보관하나요? (명확한 파기 기준과 보유 기간 설정)

• 여섯째, 판단 기록이 남아 있나요? (“누가, 언제, 무엇을 근거로 판단했는가?”)

 

결국 필요한 것은 감이 아니라 ‘관리 체계’입니다

개인정보보호는 무조건 “하지 마세요”라고 사업을 막아서는 브레이크가 아닙니다. 어디로 가면 위험한지, 어떤 조건을 갖추면 안전하게 갈 수 있는지 알려주는 ‘내비게이션’이어야 합니다.

“몰랐다”보다 강한 말은 “확인했고, 기록했다”입니다.

캐치시큐는 개인정보 처리방침 관리, 수집·이용 동의서 자동화, 제3자 제공 및 위탁 현황 관리 등 실무자가 매번 수작업으로 남기기 어려운 ‘판단과 관리의 기록’을 시스템으로 투명하게 해결합니다. 데이터를 안전하게 활용하고 비즈니스를 성장시키고 싶다면, 지금 우리 조직의 개인정보 처리 흐름이 제대로 기록되고 있는지부터 점검해 보세요.