과거에는 정보통신서비스 제공자가 이용자의 동의 없이 개인정보를 수집 및 이용할 수 있는 경우가 많지 않았습니다. 그러나 2023년 개인정보 보호법의 개정에 의해, 정보통신서비스 제공자가 이용자의 동의 없이 개인정보를 수집 및 이용할 수 있는 범위가 크게 확대되었습니다.

이번 글에서는 개인정보 보호법 개정 전과 후 개인정보 보호법상 개인정보의 수집 및 이용에 관한 동의 절차가 어떻게 달라졌는지 살펴보겠습니다.

개인정보 보호법 개정 전, A사의 케이스

인터넷 쇼핑몰을 운영하는A사는 이용자가 구매한 상품을 이용자의 주소로 배송해주는 사업을 하고 있습니다. 이를 위하여 이용자의 주소, 전화번호, 결제정보 등의 수집 및 이용이 필요합니다.

개정 전 개인정보 보호법 제15조 제1항에서는 ① 정보주체의 동의를 받은 경우, ② 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 등에 개인정보처리자가 개인정보를 수집 및 이용할 수 있도록 정하였습니다.

그러나 개인정보 보호법 제39조의3(온라인 특례)은 정보통신서비스 제공자는 개인정보 보호법 제15조 제1항에도 불구하고, 이용자의 개인정보를 이용하려고 수집하는 경우 ① 이용자에게 동의를 받아야 한다고 정하고, 다만, ② 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우 등에는 이용자의 동의 없이 개인정보를 수집 및 이용할 수 있다고 정했습니다.

즉, 과거에는 A사와 같은 정보통신서비스 제공자가 이용자의 개인정보를 수집 및 이용하는 경우 개인정보 보호법 제15조 제1항이 적용되지 않고, 개인정보 보호법 제39조의3이 적용되었습니다.

또한, A사는 계약을 이행하기 위하여 필요할 뿐 만 아니라, 이용자로부터 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우에만 예외적으로 이용자의 동의 없이 그 개인정보를 수집 및 이용할 수 있었습니다.

하지만 A사가 이용자로부터 주소, 전화번호, 결제정보를 수집 및 이용하는 것에 관하여 동의를 받는 것이 뚜렷하게 곤란하지 않으므로, A사는 이에 관하여 이용자의 동의를 얻어야 했습니다.

이처럼 과거에는 비록 이용자의 요청 및 이용자와 A 사이에 체결된 계약의 이행을 의하여 이용자로부터 주소, 전화번호, 결제정보를 수집 및 이용함에도 A사가 정보주체인 이용자의 동의를 얻어야 했으므로, A사는 동의를 얻을 수 있는 절차를 마련하고, 이용자는 그에 따른 동의 절차를 거쳐야 하는 불편함이 있었습니다.

하지만 2023년 3월 개인정보 보호법이 개정된 이후, 개인정보 수집 이용 절차의 범위가 확대되며 동의 절차를 축소할 수 있게 되었습니다. 또 다른 인터넷 쇼핑몰을 운영하는 B사의 사례로 어떤 부분이 바뀌었는지 살펴보도록 하겠습니다.

개인정보 보호법 개정 후, B사의 케이스

또 다른 인터넷 쇼핑몰을 운영하는B사는 A사와 같이, 이용자가 구매한 상품을 이용자의 주소로 배송해주는 사업을 하고 있습니다. 이를 위하여 이용자의 주소, 전화번호, 결제정보 등의 수집 및 이용이 필요합니다.

A사의 사례와 달리, 개정된 개인정보 보호법 제15조 제1항에서는 ① 정보주체의 동의를 받은 경우, ② 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우 등에 개인정보처리자가 개인정보를 수집 및 이용할 수 있도록 정하였습니다.

정보통신서비스 제공자에게 적용되던 개인정보 보호법 제39조의3(온라인 특례)은 삭제되었습니다. 따라서 정보통신서비스 제공자에 대해서도 개인정보 보호법 제15조 제1항이 적용됩니다.

또한, 개정 개인정보 보호법 제15조 제1항에서는 아래와 같이 “불가피하게”라는 문구가 삭제되어서, 개인정보처리자가 동의 없이 개인정보를 수집 및 이용할 수 있는 범위가 확대된 것으로 해석됩니다.

개정 전	개정 후
정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우	정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우

개정 개인정보 보호법에 의하여 B사는 이용자와 체결한 계약의 체결 및 이행을 위하여 필요한 경우에는 이용자로부터 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우가 아니더라도 이용자의 동의를 받지 않고 개인정보를 수집 및 이용할 수 있게 되었습니다.

따라서 B사 및 이용자 모두에게 불편한 동의 절차 없이도 B사는 이용자의 주소, 전화번호, 결제정보를 수집 및 이용할 수 있습니다.

결론

개정 개인정보 보호법이 시행된 지 상당한 기간이 경과하였습니다. 그러나 아직 정보통신서비스 제공자가 이용자와의 계약을 이행하기 위하여 필요한 개인정보를 수집 및 이용하는 경우에도 관행적으로 이용자로부터 동의를 받는 경우가 적지 않습니다.

불필요한 이용자 동의 절차는 조속히 제거함으로써 이용자의 사용 경험을 개선하는 것이 바람직합니다. 다만, 모든 경우에 개인정보 수집 및 이용에 관한 이용자의 동의가 필요 없는 것은 아니므로, 법률 전문가의 도움을 받아 해당 개인정보를 수집 및 이용함에 있어서 이용자의 동의를 받을 필요가 있는지 정확히 확인해야 할 것입니다.

• – 글 : 법무법인 세움 변승규 변호사
• – 원문 [변승규의 스타트업 법률 CASE STUDY] #34. 개인정보 수집 동의