개인정보 보호 자주 묻는 질문

본 문서는 개인정보 보호 실무자 모임방에서 나오는 질문과 답변들을 정리한 문서로, 유권 해석이 아님을 알려드립니다. 개인정보 보호에 관한 더 많은 문서는 분류:개인정보보호 에서 확인 가능합니다. 위키 사용에 익숙하지 않은 분들은 위키:사용법을 읽어와서 편집해주세요! 사용법이 어려울 경우 그냥 어떻게든 내용만 넣어주시면 잘 아시는 분들이 다듬어주실 겁니다.

답변 완료

기존 작성된 형식을 맞춰서 내용을 추가해주시면 됩니다. 중제목, 소제목은 질문을 적절히 분류하는 수준으로 구성해주세요.

개인정보 수집

• Q. 개인정보 수집·이용 동의 시 이용기간을 "이용 목적 달성후 파기(법령에 의해 보관해야 하는 정보는 그 법령에서 정하는 기간까지 보관)"라고 불명확하게 표기해도 문제가 없는지?
  • 문제가 된다면 어떤 조항이나 지침, 가이드라인에 따른 것인지?
• A. 법령과 고시에 명문화 되어 있는 규정은 없음.
  • 다만, 개인정보 관련 가이드에(온라인 개인정보 처리 가이드라인 6P) 수집 목적 및 보유 기간을 구체적으로 명시하고 특정해야 한다고 언급
  • (추가답변1 by 펜더)"개인정보 처리방침 작성지침(공공기관편)"(2022.3. 개인정보보호위원회) 31페이지, "개인정보 처리방침 작성지침(일반)(2022.3. 개인정보보호위원회) 30페이지에 따르면, "보유기간은 '목적 달성시'와 같이 추상적으로 기재하지 않고 구체적으로 기재하여야하며, 개인정보 수집이용 시 동의 받는 사항과 일치하도록 기재하여야 함'"이라고 안내하고 있습니다.
  • (추가답변2 by 펜더)또한, "표준 개인정보보호지침" 제60조제1항에서는 보유기간은 전체 개인정보의 수집부터 삭제까지의 생애주기로서 보유목적에 부합된 최소기간으로 산정하도록 규정하고 있는 바, 질문에서 '이용 목적 달성 후 파기'라는 표현은 수집시점부터 '이용목적 달성 시점'까지를 보유기간으로 산정한다는 의미인데, '이용목적 달성 시점'의 경우 개인정보처리자가 자의적으로 해석이 가능하고, 정보주체 입장에서는 예측이 어려운 시점이므로 "개인정보보호법" 제4조제1호 및 제4호에 따른 정보주체의 권리를 침해할 가능성이 높습니다.

개인정보 이용

• Q. 가명처리를 통해 개인정보를 분석하고자 함. 가명처리가 제대로 되었는지에 대한 법률적 리스크 해소를 위해 가명처리가 잘 되었는지 국가 기관 등에 인증이나 심사를 받는 절차가 있는지?
• A. 가명처리의 적정성을 평가해주는 공적인 기관은 없음.
  • 개인신용정보를 익명처리한 경우엔 데이터전문기관에서 익명처리 적정성 평가를 받을 수 있음

개인정보 파기

• Q. 개인정보 파기 확인서에 담당자의 날인이 필요하다는 법률 근거 조항이 있는지?
• A. 법령과 고시에 명문화 되어 있는 규정은 없음.
  • 다만, 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기는 개인정보 보호책임자의 업무 중 하나이므로(개인정보 보호법 시행령 제32조) 개인정보 보호책임자 명의의 파기 확인서(직인 날인된 공문 등)를 요구하는 경우가 많음

답변 미완료

답변을 얻을 수 없었거나 불확실한 답변을 얻은 경우 이곳에 올려주십시오. 답변이 어느정도 완료된 경우 상단의 '답변 완료'로 이동시켜 주십시오.

• Q. 온라인 쇼핑몰에서 고객의 구매 정보를 분석해서 신제품 기획도 하고 마케팅 전략도 수립하려고 함. 회원 가입 시 '정보 분석을 통한 신제품 기획 및 마케팅 전략 수립' 이라는 목적을 명시하지 않았는데, 이렇게 고객의 구매 데이터를 통계적인 목적으로 분석을 하는 것도 목적으로 별도 명시해야 하는지?
• A.