개인정보보호법 실무 체크리스트: 수집 동의, 안전조치, 유출 통지와 정보주체 권리

 

핵심 요약
개인정보보호법은 개인정보를 수집할 때 목적·항목·기간·거부권을 알리고 동의를 받게 하고(제15조), 보관 단계에서는 접속기록 1년 이상 보관과 비밀번호 일방향 암호화 같은 안전조치를(제29조·안전성 확보조치 기준), 정보주체가 열람을 요구하면 10일 이내 조치를(제35조), 개인정보가 유출되면 72시간 이내 통지와 1천 명 이상일 때 신고를(제34조) 의무로 둡니다.

 
회원 명단을 엑셀로 정리하거나 홈페이지로 신청을 받는 작은 사업장, 동호회 총무, 쇼핑몰 운영자도 이름과 연락처를 다루는 순간 개인정보보호법의 적용을 받습니다. 어디까지 지켜야 하는지 감이 잡히지 않아 동의서 양식만 베껴 쓰거나, 유출 사고가 나야 비로소 규정을 찾는 경우가 많습니다.
 
이 글은 개인정보보호법을 수집, 보관, 정보주체 요구 처리, 유출 대응의 네 단계로 나눠 조항과 기한 중심으로 정리합니다. 수집 동의 고지 사항(제15조), 안전성 확보조치, 열람·정정·삭제·처리정지 요구 처리 기한(제35~37조), 72시간 유출 통지·신고(제34조)를 차례로 확인합니다.
 

 

목차
① 수집할 때: 동의와 고지 사항
② 보관할 때: 안전성 확보조치
③ 정보주체가 요구할 때: 열람·정정·삭제·처리정지
④ 유출됐을 때: 통지와 신고
⑤ 상황별 개인정보 처리 체크 11가지

 

1. 개인정보를 수집할 때 동의받는 방법 (제15조)

개인정보처리자가 개인정보를 수집·이용하려면 원칙적으로 정보주체의 동의를 받아야 합니다. 개인정보보호법 제15조 제2항은 동의를 받을 때 네 가지를 알리도록 정합니다. 수집·이용 목적, 수집하려는 개인정보 항목, 보유·이용 기간, 그리고 동의를 거부할 권리가 있다는 사실과 거부에 따른 불이익입니다.

알려야 할 사항	내용
수집·이용 목적	어떤 목적으로 쓰는지
수집 항목	이름·연락처 등 구체적인 항목
보유·이용 기간	언제까지 보관·이용하는지
동의 거부 권리	거부할 수 있다는 사실과 거부 시 불이익

 
수집은 목적에 필요한 최소한으로 합니다. 필수와 선택으로 동의 항목을 나누었다면 선택 항목에 동의하지 않는다는 이유로 재화나 서비스 제공을 거부할 수 없습니다. 주민등록번호는 제24조의2에 따라 법령에서 구체적으로 요구·허용한 경우 등 예외를 빼면 처리할 수 없으므로, 근거가 없으면 수집 항목에서 빼는 편이 안전합니다. 수집한 개인정보를 제3자에게 제공할 때는 별도의 동의가 필요합니다.
 

2. 개인정보를 보관할 때 안전성 확보조치 (제29조)

제29조는 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 기술적·관리적·물리적 조치를 하도록 합니다. 구체적인 기준은 개인정보보호위원회가 고시한 개인정보의 안전성 확보조치 기준에 담겨 있습니다.

구분	조치
관리적	내부 관리계획 수립, 접근권한 관리
기술적	비밀번호 등 인증정보 일방향 암호화, 접속기록 1년 이상 보관
점검	책임자가 연 1회 이상 이행 실태 점검

 
비밀번호나 생체인식정보 같은 인증정보는 복호화되지 않도록 일방향으로 암호화해 저장합니다. 개인정보취급자가 개인정보처리시스템에 접속한 기록은 1년 이상 보관·관리하고, 접근권한은 업무에 필요한 최소한으로 부여합니다. 개인정보보호책임자는 내부 관리계획의 이행 실태를 연 1회 이상 점검합니다.
 

3. 정보주체가 요구할 때 처리 기한 (제35~37조)

정보주체는 자신의 개인정보에 대해 열람(제35조), 정정·삭제(제36조), 처리정지(제37조)를 요구할 수 있습니다. 각 요구마다 처리 기한이 정해져 있습니다.

요구	조항	처리 기한
열람	제35조	10일 이내 열람할 수 있도록 조치
정정·삭제	제36조	지체 없이 조사·조치, 10일 이내 결과 통지
처리정지	제37조	지체 없이 정지, 10일 이내 결과 통지

 
열람은 요구받은 날부터 10일 이내에 가능하게 해야 합니다. 법률상 열람이 제한되거나 다른 사람의 생명·신체·재산을 침해할 우려가 있는 등 제35조 제4항의 사유가 있으면 연기하거나 거절할 수 있는데, 이때는 연기·거절 통지서로 사유와 이의제기 방법을 알려야 합니다. 삭제한 개인정보는 복구·재생되지 않도록 처리합니다.

출처: 개인정보 포털 정보주체 권리행사 안내 화면

 
정보주체가 직접 기관에 신청할 수도 있고, 개인정보보호위원회가 운영하는 개인정보 포털에서 온라인으로 신청할 수도 있습니다. 온라인 신청은 권리행사 위임 동의가 필요하며, 시스템 부하를 막기 위해 1인당 하루 20건 이하로 제한됩니다.
 

4. 개인정보가 유출됐을 때 통지와 신고 (제34조)

개인정보가 유출된 사실을 알게 되면 제34조에 따라 72시간 이내에 정보주체에게 통지해야 합니다. 통지에는 유출된 개인정보 항목, 유출 시점과 경위, 피해를 최소화할 수 있는 방법, 처리자의 대응 조치와 구제 절차, 신고 접수 담당부서와 연락처를 담습니다.

구분	기준
정보주체 통지	유출을 알게 된 때부터 72시간 이내
신고 대상	1천 명 이상, 민감정보·고유식별정보, 외부의 불법 접근 유출
신고처	개인정보보호위원회·한국인터넷진흥원(KISA)
미신고 제재	3천만 원 이하 과태료

 
1천 명 이상 정보주체의 개인정보가 유출됐거나, 민감정보·고유식별정보가 유출됐거나, 외부의 불법적인 접근으로 유출된 경우에는 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다. 상거래기업·법인은 신용정보주체 1만 명 이상의 개인신용정보가 유출되면 신고 대상입니다. 신고를 하지 않으면 3천만 원 이하의 과태료가 부과될 수 있습니다.
 

출처: 개인정보보호위원회 개인정보 유출신고 제도 안내 화면

 

5. 상황별 개인정보 처리 체크 11가지

 

1. 홈페이지 회원가입을 받을 때 동의는 어떻게 받나요

가입 단계에서 수집·이용 목적, 수집 항목, 보유·이용 기간, 동의 거부 권리와 불이익을 알리고 동의를 받습니다. 필수 항목과 선택 항목을 구분해 각각 동의를 받고, 선택 항목은 동의하지 않아도 가입할 수 있게 해야 합니다.
 

2. 광고·마케팅 문자를 보내려면 동의가 따로 필요한가요

광고·마케팅 활용은 회원가입이나 서비스 제공에 꼭 필요한 목적이 아니므로 선택 동의 항목으로 따로 받아야 합니다. 이 선택 동의를 하지 않는다는 이유로 서비스 제공을 거부할 수 없습니다.
 

3. 주민등록번호를 수집해도 되나요

제24조의2에 따라 주민등록번호는 원칙적으로 처리할 수 없습니다. 법령에서 구체적으로 요구·허용한 경우나 정보주체·제3자의 급박한 생명·신체·재산의 이익을 위해 명백히 필요한 경우 등 예외만 가능합니다. 근거가 없으면 다른 식별 수단으로 대체합니다.
 

4. 매장이나 사무실에 CCTV를 설치할 때

제25조는 공개된 장소의 고정형 영상정보처리기기 설치를 제한합니다. 설치·운영할 때는 정보주체가 쉽게 알아볼 수 있도록 설치 목적과 장소, 촬영 범위와 시간, 관리책임자 연락처가 담긴 안내판을 설치해야 합니다.
 

5. 정보주체가 열람을 요구하면 며칠 안에 해야 하나요

제35조에 따라 요구받은 날부터 10일 이내에 열람할 수 있도록 조치해야 합니다. 법률상 제한 사유가 있어 연기하거나 거절할 때는 그 사유와 이의제기 방법을 통지서로 알려야 합니다.
 

6. 회원이 탈퇴했는데 개인정보는 언제 지우나요

제21조는 보유기간이 지났거나 처리 목적을 달성하는 등 개인정보가 불필요해지면 지체 없이 파기하도록 합니다. 다른 법령에 보존 의무가 있는 정보가 아니라면 계속 보관하지 않습니다. 삭제한 정보는 복구·재생되지 않도록 처리합니다.
 

7. 개인정보 처리방침을 꼭 홈페이지에 올려야 하나요

제30조는 개인정보 처리 절차와 기준을 담은 개인정보 처리방침을 수립하고 정보주체가 쉽게 확인할 수 있도록 공개하도록 합니다. 홈페이지가 있으면 이용자가 알아보기 쉬운 곳에 지속적으로 게시합니다.
 

8. 1인 사업자나 소상공인도 적용되나요

개인정보보호법은 업무를 목적으로 개인정보를 처리하는 공공기관, 법인, 단체, 개인을 모두 개인정보처리자로 보므로 1인 사업자나 소상공인도 적용 대상입니다. 영리·비영리를 가리지 않습니다.
 

9. 정정·삭제를 요구받으면 얼마 안에 처리하나요

제36조에 따라 지체 없이 조사해 필요한 조치를 하고, 요구받은 날부터 10일 이내에 조치 사실을 결과 통지서로 알립니다. 요구에 따르지 않을 때는 그 사실과 이유, 이의제기 방법을 함께 통지합니다.
 

10. 개인정보 유출 사고가 났을 때 가장 먼저 할 일

유출 사실을 안 때부터 72시간 이내에 정보주체에게 유출 항목·시점·경위, 피해 최소화 방법, 구제 절차를 통지합니다. 1천 명 이상이거나 민감정보·고유식별정보, 외부 불법 접근에 의한 유출이면 같은 72시간 안에 개인정보보호위원회 또는 KISA에 신고합니다.
 

11. 과징금이나 과태료는 얼마인가요

개정된 개인정보보호법은 법을 위반해 개인정보를 침해한 경우 전체 매출액의 100분의 3을 넘지 않는 범위에서 과징금을 부과할 수 있도록 했습니다. 다만 위반행위와 관련 없는 매출액은 제외합니다. 유출 신고 의무를 지키지 않으면 3천만 원 이하의 과태료가 부과될 수 있습니다.
 
 
개인정보를 다룰 때는 수집 단계의 동의 고지, 보관 단계의 안전조치, 요구 처리 기한, 유출 시 72시간 통지·신고를 순서대로 점검하면 큰 틀을 놓치지 않습니다. 조항과 기한은 개인정보보호위원회의 개인정보 포털에서 최신 내용을 확인한 뒤 자신의 상황에 맞춰 적용하는 것이 안전합니다.
 

참고 자료

• 개인정보 포털 - 정보주체의 권리행사 안내
• 개인정보보호위원회 - 개인정보 유출신고 제도
• 찾기쉬운 생활법령정보 - 개인정보의 열람·정정·삭제 요구의 처리

 
※ 더 보기
현대이지웰 해킹 개인정보 유출 대처법: 유출 확인, 명의도용·스미싱 막기, 신고처 118
빗썸 해킹 개인정보 유출 대처법: 유출 확인, 명의도용·스미싱 막기, 신고처 118·1332