개인정보보호법위반

개인정보처리자는 정보주체의 동의, 법률상 의무, 계약 체결·이행 등 개인정보 보호법이 인정하는 근거가 있는 경우에만 필요한 범위에서 개인정보를 처리해야 합니다. 최초 수집목적과 합리적으로 관련되지 않은 용도로 이용하거나 제휴사·계열사·광고업체 등에 제공하려면 별도의 법적 근거가 필요합니다.

• 개인정보 항목별 수집출처와 처리근거를 정리하기
• 필수·선택 동의와 서비스 제공 필요성을 구분하기
• 목적 외 이용·제3자 제공 여부를 대조하기
• 민감정보·주민등록번호 등 별도근거를 확인하기
• 임직원·제휴사·수탁자의 실제 접근범위를 확인하기
• 보유기간·탈퇴·계약종료 후 파기 여부 점검하기

계약 이행·법적 의무·정당한 이익 등 동의 외 처리근거를 적용하려면 그 요건과 필요성을 객관적으로 설명할 수 있어야 합니다. 선택 동의를 거부했다는 이유로 본질적인 서비스를 제한하거나, 포괄적 문구로 서로 다른 처리목적을 한 번에 동의받는 방식은 문제가 될 수 있습니다.

수탁자가 개인정보를 처리하더라도 위탁자는 업무범위·보호조치·재위탁·관리감독을 계약과 실제 운영으로 통제해야 합니다. 제휴사가 독립적인 목적을 위해 이용하면 제3자 제공에 해당할 수 있으며, 국외 클라우드·SaaS·분석도구 사용은 이전국가·수탁자·항목·목적·보유기간과 보호조치를 검토해야 합니다.

개인정보처리자는 내부관리계획, 접근권한 부여·변경·말소, 접속기록 보관·점검, 암호화, 악성프로그램 방지와 물리적 출입통제 등 안전조치를 해야 합니다. 처리목적 달성·보유기간 경과 후에는 복구·재생되지 않도록 지체 없이 파기하고 백업·로그에 남은 정보도 별도 관리해야 합니다.

• 개인정보처리방침·동의서·약관·수집화면
• 수집항목·처리목적·보유기간·제공·위탁 자료
• DB·접근권한·접속기록·다운로드·메일·반출기록
• 암호화·취약점·패치·백업·외주·클라우드 자료
• 유출통지·신고·민원·피해·재발방지 자료
• 개인정보보호위원회 조사·과징금·고소·소송자료

개인정보 보호는 처리방침 작성만으로 끝나지 않습니다. 실제 서비스·조직·DB·제휴·외주와 일치하는 데이터 거버넌스를 운영해야 합니다.

• 개인정보 항목·처리목적·법적 근거를 전수조사하기
• 필수·선택 동의와 제3자 제공을 분리 설계하기
• 권한·로그·암호화·취약점·반출통제를 정기 점검하기
• 수탁자·클라우드·국외이전 계약과 감독을 강화하기
• 보유기간 종료·탈퇴·계약종료 시 자동 파기하기
• 유출 대응·통지·신고·포렌식 훈련을 실시하기

개인정보 사건은 초기 대응이 늦어질수록 통지·신고 위반과 2차 피해가 확대될 수 있습니다. 원인조사와 서비스 복구만 기다리지 말고 법정 기한을 별도로 관리해야 합니다.

• 유출·위반 사실을 안 시점과 의사결정을 기록하기
• 시스템·메일·파일·접근·통신 로그를 보전하기
• 처리근거·유출항목·인원·피해범위를 특정하기
• 72시간 통지·신고와 피해방지 조치를 검토하기
• 개보위 조사·자료제출·현장조사 대응자료 마련하기
• 과징금·형사고소·손해배상·분쟁조정을 함께 대비하기