개인정보 업무 현장서 담당자가 실수하기 쉬운 ‘애매한’ 사례 소개
개인정보 보유·처리·활용만으로 개인정보보호법 ‘위반’ 아닐 수 있어
‘개인정보 처리자’ 해당 여부 및 개인정보 활용 형태·목적 등 고려해야


■ 방송 : 보안뉴스TV(bnTV) <김진환 변호사의 개인정보 지키다> 7화
■ 진행 : 이소미 보안뉴스 기자
■ 출연 : 김진환 변호사

□ 이소미 기자
bnTV 구독자 여러분, 안녕하세요. 보안뉴스와 김진환 변호사가 함께하는 ‘개인정보 지키다’ 진행에 이소미 기자입니다. 오늘은 특별히 개인정보 업무 담당자들을 위한 내용을 준비했습니다. 현장에서 업무를 눈에 띄게 잘 하는 것도 중요하지만, 무엇보다 업무 누수가 발생하지 않도록 실수할 수 있는 부분은 미리 사전에 철저히 준비해 두는 편이 좋을텐데요.


▲[김진환의 개인정보 지키다] 7화 시작 화면[이미지=보안뉴스]

[기억하고 있던 휴대전화번호를 알려주는 경우]
□ 이소미 기자
변호사님, 현장에서 개인정보 업무를 담당하는 실무자에게 중요한 기준은 무엇보다 개인정보보호법이 적용되는가, 적용되지 않는가 하는 부분인 것 같습니다. 왜냐하면 판단이 쉽지 않은 애매한 상황도 충분히 있을 거라 예상되는데요. 관련해서 반드시 염두에 두어야 할 사항에는 어떤 것들이 있을까요?

■ 김진환 변호사
네, 개인정보 관련 사항들이 워낙 실생활과 밀접한데다 표면적으로는 해당 논의 자체가 그리 어려운 편이 아닙니다. 그렇지만 한꺼풀 더 들어가면 그만큼 판단이 매우 난감한 경우도 적지 않거든요. 예를 들어, 회사원 A씨가 옆집에 살고 있는 거래처 사장 B씨의 휴대전화번호를 암기하고 있었는데 그 회사원의 또 다른 이웃인 C씨가 꼭 필요하다고 사정하는 바람에 B씨의 휴대전화번호를 A씨가 C씨에게 알려준 경우를 생각해 볼까요? 회사원 A씨는 거래처 사장 B씨의 동의 없이 함부로 휴대전화번호를 다른 이웃 C씨에게 알려주었기 때문에 동의 없이 개인정보를 제3자에게 제공한 경우로 해당돼 형사처벌을 받게 되는 처지에 놓이게 된 걸까요?

□ 이소미 기자
거래처 사장 B씨의 휴대전화번호를 제3자에게 ‘요청에 의해 공유했다’는 부분은 오히려 모두에게 필요했다는 생각이 드는데, 이로 인해 형사처벌을 받는다는 건 사실 상식적으로는 이해가 되지 않지만 또 법률상으로는 맞을 것도 같고요. 어떤 게 답인가요, 변호사님?

■ 김진환 변호사
사실 고작 휴대전화번호를 이웃에게 알려준 것 하나만으로 형사처벌까지 받는 건 지나치다고 볼 수 있고요. 하지만 휴대전화번호도 개인정보에 해당되기 때문에 이를 남에게 함부로 제공한 것 자체는 범죄 행위라고도 볼 수 있습니다.

그러나 제가 방금 말씀드린 케이스의 경우, 기본적으로 개인정보보호법이 적용되지 않기 때문에 회사원 A씨에게 ‘개인정보보호법 위반이 문제되지 않는다’ 이렇게 보는 게 맞을 것 같습니다.

[개인정보 보호법이 적용되는 경우]
□ 이소미 기자
변호사님 말씀을 듣고보니, 사실 개인정보와 관련된 사항이 실생활과 밀접하기 때문에 오히려 판단이 쉬울 거라 생각했는데 오히려 반대일 수도 있겠다는 생각이 드네요. 이 내용만 들어서는 크게 문제되지 않을 것 같지만, 동의없이 공유됐다는 점은 또 걸리는데요. 그런데 휴대전화번호가 개인정보에 해당되는데 왜 해당 사례는 개인정보보호법 적용 대상이 아닌 걸까요?

■ 김진환 변호사
개인정보보호법이 적용되는 사안인지 여부를 판단하기 위해 담당자들은 우선 문제된 정보가 개인정보에 해당되는지부터 생각하는 경우가 많습니다. 그러나 어떤 정보가 개인정보에 해당된다 하더라도 항상 개인정보보호법이 적용되는 것은 아니거든요. 순수한 개인이든 법인이든 간에 개인정보를 처리하는 자가 개인정보보호법이 정한 개인정보 처리자에 해당돼야만 비로소 개인정보보호법이 적용될 수 있습니다.

그래서 아주 예외적인 경우를 제외하고는 이와 같이 개인정보 보호법이 적용될 수범자는 모든 국민이 아니고요. 특정한 범위의 법인이나 개인 등인데 이를 가리켜 ‘개인정보 처리자’ 라고 부르고 있습니다. 그런데 개인정보 보호법은 개인정보 처리자에 대한 정의 규정에서 ‘개인정보 처리자’란 업무를 목적으로 개인정보 파일을 운영하기 위해 스스로 또는 다른 사람을 통해 개인정보를 처리하는 자, 이렇게 정의돼 있습니다.

특히 개인정보 파일을 운용해야 한다고 돼 있는데요. 여기서 ‘개인정보 파일’은 개인 정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하는 식으로 구성된 개인정보 집합물을 말한다고 정의·규정돼 있기 때문에 개인정보 보호법이 적용되기 위해서는 개인정보가 검색이 용이한 형태로 존재해야 하는 것입니다.

그래서 다시 처음에 언급한 사안으로 돌아가 보면요. 그 A씨는 B씨의 개인 정보인 휴대전화번호를 머릿속에 암기하고 있다가 C씨에게 알려주었다고 말씀드렸잖아요? 근데 이와 같이 사람의 머릿속에 암기된 정보는 누가 보더라도 개인정보 파일 형태로 보존돼 있다고 평가할 수는 없을 겁니다. 따라서 이번 사례에서는 개인정보보호법이 적용될 수 없다고 말씀드릴 수 있습니다.

또한 실제 업무를 하면서 컴퓨터 파일을 이용하는 경우가 많기 때문에 대부분 개인정보 파일에 해당된다고 봐야겠지만, 예를 들어 종이 형태로 수령한 각종 고지서나 우편물·포스트잇 형태로 이용되는 메모장 등은 기본적으로 개인정보 파일이 아니라고 볼 수 있습니다. 다만 이런 종이 서류들도 인덱스 처리 등으로 검색에 용이하도록 배열해 두는 경우는 개인정보 파일에 해당된다고 해석되므로 주의해야 합니다.

□ 이소미 기자
그렇네요. 특정 형태에 따른 ‘개인정보 파일’을 보유하고 있는지 아닌지의 여부가 굉장히 중요한 기준이 될 것 같고요. 그렇기 때문에 사례로 들어드린 것처럼 개인정보라 하더라도 보호법 적용이 안 되는 경우도 있는데 개인이 휴대폰 번호를 단순히 암기하고 있다가 제3자에게 공유한 경우는 보호법 위반이 아니라는 점, 개인이든 법인이든 개인정보 처리자에 해당되는 경우만 보호법 적용 대상이 된다는 점을 기억하시면 되겠습니다.

[휴대폰에 등록된 전화번호를 알려주는 경우]
□ 이소미 기자
변호사님, 이외에도 또 다른 대표적인 사례로 뭐가 있을까요?

■ 김진환 변호사
네, 많이 오해하기 쉬운 사례를 한번 생각해 볼게요. 임차인 A씨가 임대인 B씨와 주택 임대차 계약을 체결한 이후, 어느 날 A씨가 B씨의 주소를 이웃 지인 C씨에게 알려준 경우를 한번 생각해 보죠. 처음에 말씀드린 사례와 거의 비슷하지만 이번 경우는 머리로 암기한 게 아니라 자신의 휴대폰에 전화번호를 저장해 둔 것이므로 아까 말씀드린 것처럼 검색이 용이하게 된 거잖아요? 그럼 ‘개인정보 파일’ 형태로 개인정보를 처리한 게 맞거든요. 그런데 이 경우 역시 개인정보보호법이 적용되지 않습니다.

□ 이소미 기자
앞서 말씀해 주신 ‘개인정보 처리자’에 대한 부분이 핵심일까요?

■ 김진환 변호사
꼭 그런 건 아니고요. 이런 경우에는 개인정보보호법에 적용받는 개인정보 처리자가 아니라고 하는데 여기서는 그 이유가 조금 다릅니다. 아까 말씀드렸다시피 개인정보보호법은 개인정보 처리자에게 적용되는데 개인정보 처리자는 ‘업무’를 목적으로 개인정보 파일을 운영·처리하는 자라고 말씀드렸잖아요? 근데 여기서 업무란 직업상 또는 사회생활상의 지위에서 지속적으로 종사하는 사무 등의 여러 가지 사업 형태를 의미합니다.

따라서 임차인 A씨가 임대인 B씨의 전화번호를 휴대전화와 같은 시스템 내에 저장해 두더라도 이는 업무 목적이 아닌 순수한 사적 목적이므로 A씨는 여전히 개인정보 처리자가 아니라고 봐야 됩니다.

□ 이소미 기자
결국 개인정보를 다루는 ‘목적’이 굉장히 중요하다고 볼 수 있겠네요. 해당 사례들은 기업이나 법인같이 업무 목적이 아닌 개인적인 즉 사적인 경우로 보호법 위반이라고 볼 수 없다는 점을 명확하게 인지하셔야 할 것 같습니다.

[잊지 말아야 할 개인정보 보호 적용이 안되는 사례]
□ 이소미 기자
변호사님, 개인정보 처리자가 특히 잊지 말아야 할 보호법 적용이 안 되는 항목들이 있다면 추가로 설명 부탁드립니다.

■ 김진환 변호사
기본적으로 업무 목적과 개인정보 파일 형태로 운영할 것을 요하기 때문에 첫째, 일상 생활 과정에서 지인들의 연락처를 수집해 이용하거나 다른 사람에게 제공하는 건 순수한 사적 용도로 봅니다. 둘째, 개인적으로 발생한 소송에 대응하기 위해 사진 촬영을 한다거나 증거를 확보하는 행위들도 업무 목적이 없다고 봐야합니다. 셋째, 메모지·수첩 등에 연락처와 같은 개인정보를 기재해 두었다가 활용하는 것은 개인정보 파일로 볼 수 없는 대표적인 사례입니다.

다만 제가 말씀드린 사례의 행위라도 업무 목적이 있는 경우나 개인정보 파일로 열람할 수 있는 경우에는 개인정보 처리자의 행위로 봅니다. 따라서 업무를 위해 고객 명단을 관리하는 경우 또는 회사가 관련된 소송에 대응하기 위해 사진 촬영을 하거나 증거물을 확보하는 과정들은 모두 보호법 적용 대상으로 본다는 점을 특별히 유의하셔야 될 것 같습니다.

종합적으로 정리해보면 현장에서 개인정보 업무를 담당하시다 보면, 애매하고 선뜻 동의가 어려운 상황들이 생길 때가 비일비재하게 발생하거든요. 그런 경우 무턱대고 보호법이 적용되면 어쩌나 걱정하시는 것보다는 해당 개인정보가 개인정보 파일 형태로 존재해 처리되고 있거나 개인정보를 업무 목적으로 처리하는지 여부 등을 우선적으로 검토하는 습관을 들이시면 합리적인 결론을 도출할 수 있는 데 많은 도움이 될 것 같습니다.

□ 이소미 기자
무엇이든 목적이 중요하다는 말씀인데 특히 개인정보 처리자 요건에 해당되는지 우선적으로 검토하는 과정이 꼭 필요하겠습니다.

□ 이소미 기자
오늘은 개인정보 업무 담당자가 간과해 놓칠 수 있는 내용들을 살펴봤습니다. 저희 ‘개인정보 지키다’ 코너에서는 개인정보보호와 관련된 시청자분들의 궁금증들을 해결해 드리려고 합니다. 방송 보시면서 궁금한 사항이나 꼭 다뤄주었으면 하는 내용이 있으시다면 언제든 ‘bntv 소통창구’로 의견 남겨주세요.

이메일 또는 유튜브 댓글로 자유롭게 의견 남겨주시면 방송을 통해 여러분의 궁금증 시원하게 해결해 드리겠습니다. 김진환 변호사와 함께하는 개인정보보호의 모든 것 ‘개인정보 지키다!’ 저희가 오늘 준비한 내용은 여기까지고요.

저희는 다음 시간에 더욱 알찬 내용으로 준비해서 찾아뵙도록 하겠습니다. 시청해 주신 여러분 고맙습니다.
[이소미 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>