정부가 2023년 전면 개정된 개인정보보호법을 기업이나 기관들이 쉽게 이해할 수 있도록 '개인정보 처리 통합 안내서'를 공개했어요. 그동안 여러 번에 걸쳐 나눠서 안내했던 개정사항이랑 판례, 심결례 등을 한데 모아 정리한 거예요. 개인정보보호위원회가 14일에 이 통합 안내서를 공개하고, 29일에는 서울 송파구 한국광고문화회관에서 개인정보 담당자들을 위한 현장 설명회를 연다고 해요.
이 안내서에는 개인정보 처리 체계가 어떻게 개편됐는지, 필수동의 방식이 고지방식으로 어떻게 바뀌었는지, 자유로운 의사에 따른 동의는 어떻게 받아야 하는지, 대규모 수탁자와 위탁자 사이의 관리·감독은 어떻게 해야 하는지, 영업양도에 따른 이전 제한이 어떻게 되는지, 개인정보를 제공받은 사람의 의무는 무엇인지 등의 내용이 담겨 있어요.
서비스 이용 계약을 맺거나 이행하는 데 필요한 개인정보는 정보 주체가 충분히 예측할 수 있는 범위 안에 있으니까 따로 동의를 받을 필요가 없대요. 근데 서비스 이용 계약과 상관없는 개인정보 처리에 관한 내용을 예전처럼 필수동의에 넣어서 계속 운영하면 동의를 강제하는 거라 법 위반이 될 수 있다고 해요.
이전 법에서는 코로나19 같은 공중위생이나 공공 안전을 위해 긴급히 필요한 경우에는 개인정보 처리 의무 규정을 적용하지 않았는데, 2023년 법 개정으로 별도 동의 없이도 개인정보를 수집·이용하고 제공할 수 있게 됐어요. 하지만 개인정보가 안전하게 관리되도록 안전조치와 파기 의무 등은 꼭 지켜야 한다고 해요.
2023년 시행령 개정으로 개인정보를 수집한 목적과 합리적으로 관련된 범위 안에서 개인정보를 추가로 이용하거나 제공하려는 경우, 그게 지속적인 경우라면 개인정보 처리 방침에 판단 기준을 미리 공개해야 해요. 하지만 일시적인 경우에는 따로 공개하지 않고 자체 판단 기준에 따라 추가로 이용하거나 제공할 수 있게 됐대요.
최근 언론에서 보도된 판례 중에 수능 감독관이 수험생 개인정보를 개인적인 목적으로 이용한 행위에 대한 대법원 무죄 판결 내용도 소개했어요. 이 판례는 이전 법에 따라 판결한 거라서, 2023년 법 개정을 통해 개인정보를 사적으로 이용하는 행위는 형벌 대상에 포함됐다는 점을 안내해서 현장에서 오해가 없도록 했대요.
기업이 경영상 이유로 폐업이나 파산 같은 상황에 처해서 가지고 있던 개인정보가 필요 없게 됐을 때는 바로 그 개인정보를 없애야 한다고 안내했어요. 개인정보 처리의 기본적인 관계인 계약이나 서비스 등이 끝난 경우에는 개인정보 처리 목적이 달성된 걸로 볼 수 있고, 달성된 목적 범위에서 파기해야 할 의무가 생긴대요.
클라우드, 웹 호스팅, 채용 등 여러 분야에서 개인정보 처리 업무를 맡아서 전문적으로 처리하는 수탁자가 늘어나고 있는 점을 반영해서, 위탁자와 수탁자가 안전하게 개인정보를 협력해 처리할 수 있도록 이행 방법을 안내했어요.
수탁자가 위탁받은 개인정보 처리 업무에 대해 전문적인 관리기관과 연계해서 정기적으로 점검하면서 그 결과를 여러 위탁자에게 알리는 방식으로 관리·감독 등의 의무사항을 이행할 수 있다는 점을 명확히 했대요.
개인정보 처리 통합 안내서는 현장에서 필요로 하는 것에 맞춰 실무에 도움이 되도록 법 개정사항과 판례·심결례 등의 사례를 충실히 담았고 앞으로도 계속 보완해 나갈 거라고 해요. 복잡한 개인정보보호법을 현장 실무자들이 쉽게 이해하고 적용하는 데 큰 도움이 될 것 같아요. 특히 다양한 사례와 개정 사항을 한눈에 볼 수 있다는 점이 매우 유용해 보이네요.
<관련기사>
○ 개인정보 위탁과 제3자 제공의 구별과 차이점 (2025.07.21.)
○ 공공안전에 필요한 개인정보, 이용자 동의 없이 수집 가능 (2025.07.14.)
○ '개인정보 처리 통합 안내서' 현장 설명회 개최 (2025.07.14.)
