이런 유형의 문제

서비스 가입자와 그 가입자의 최종 고객이 함께 참여해 정보를 주고받는 플랫폼의 운영사가 약관과 개인정보 처리방침의 검토를 의뢰한 유형입니다. 계약 당사자는 가입자인데 개인정보의 주인은 그 고객인 구조였고, 두 문서가 "이용자"라는 하나의 개념으로만 쓰여 있어 정작 정보주체인 고객에 대한 처리 근거가 불분명했습니다.

법리

계약 상대방의 동의만으로 다른 정보주체에 관한 동의 요건을 충족할 수는 없습니다. 민감정보 처리, 제3자 제공, 국외 이전은 각각 적법한 처리 근거와 고지 요건을 검토해야 하고, 동의를 근거로 하면 법이 요구하는 구분과 방식에 따라 받아야 합니다. 해외 사업자를 이용한다면 실제 저장·접근·처리 장소와 목적을 확인해 정보 흐름별로 위탁·제3자 제공·국외 이전 요건을 판단하며, 같은 사업자가 복수 역할을 맡으면 각 역할과 범위를 구분해 표시합니다.

실무에서 자주 걸리는 것

문서가 실제 사업보다 넓게 쓰여 있는 경우. 하지 않는 업무를 약관에 적어 두면 그 업무에 요구되는 등록·신고 요건을 검토해야 하는 상황이 생깁니다. 약관의 업무 범위는 실제 제공 기능에 맞춥니다.

제공받는 자와 보유·이용기간이 "제휴사", "목적 달성 시까지"로만 적힌 경우. 정보주체가 처리 범위를 이해할 수 있도록 명확히 표시해야 합니다.

구 법령 조문을 그대로 인용한 처리방침. 조문 번호는 같은데 내용이 바뀐 경우가 있어 현행 조문과 대조합니다.

방향

정보주체별 처리 근거를 확인하고, 처리방침과 동의 절차에서 대상·목적·항목을 명확히 구분하는 것이 첫 단계입니다. 그다음이 문서를 실제 사업 범위에 맞게 줄이는 일입니다. 약관은 넓게 쓸수록 안전한 것이 아니라, 하는 일만큼만 써야 안전합니다.

--- 일반적인 법률 쟁점을 설명한 글이며, 구체적인 사안의 판단은 사실관계와 적용 법령에 따라 달라집니다. 개별 사안에 대한 검토이며 다른 사안에 그대로 적용되지 않습니다. 광고책임변호사 허왕 · 법무법인 윈스