개인정보를 처리하는 기업에서 기본적으로 갖추어야 할 서식이 바로 '개인정보처리방침'이다. 개인정보처리방침은 개인정보보호법 제30조에 근거하고 있는데, 그 작성방법을 같이 살펴보기로 한다.
1. 명칭
개인정보처리방침이 정식 명칭이다. 따라서 개인정보취급방침, 프라이버시정책, 개인정보보호정책 등은 잘못된 문구이다.
2. 포함되어야 하는 항목
개인정보처리방침에는 아래의 항목이 반드시 포함되어 기술되어야 한다.
1) 처리되는 개인정보의 항목 및 개인정보처리목적
처리되는 개인정보가 열거되고, 열거된 개인정보에 대하여 처리목적이 구체적으로 적혀 있어야 한다. 예컨대 이메일 주소를 처리하는 경우, 그 처리목적이 서비스 제공이라면, 단순히 서비스 제공이라고 하지 말고 구체적으로 물품구매서비스 제공 등 이런 식으로 구체적으로 적는 것이 바람직하다.
2) 개인정보의 처리 및 보유 기간
개인정보를 언제까지 처리하고 보유하고 있는지가 기재되어야 한다. 예컨대 개인정보를 탈퇴시까지 보유하고 있으면 그렇게 적으면 되고, 탈퇴시로부터 1년까지 보유하고 있으면 그렇게 적으면 된다.
3) 개인정보의 제3자 제공에 대한 사항
개인정보를 제3자에게 제공하는 경우 이를 기재하여야 한다. 제공받는 업체, 제공목적, 제공하는 개인정보가 기재되어야 한다. 만일 제3자에게 제공하지 않는다면 굳이 적지 않아도 된다.
4) 개인정보의 파기절차 및 파기방법
개인정보를 처리한 후 어떻게 파기하는지, 그 파기 방법에 대하여 기재하여야 한다. 파기는 단순한 삭제가 아니라 복원 불가능한 방법으로 없애는 것을 의미하므로 단순히 삭제를 파기로 오해해서는 아니 된다. 다만 법령에 따라 개인정보를 보존해야 하는 경우는 그 보존근거 조문과 보존하는 개인정보 항목도 같이 기재하여야 한다.
5) 개인정보처리 위탁에 관한 사항
개인정보를 위탁하는 경우 그 사항을 적어야 한다. 위탁받는 업체, 위탁목적, 위탁하는 개인정보가 기재되어야 한다. 만일 위탁이 없으면 기재하지 않아도 된다.
6) 정보주체와 그 법정대리인의 권리, 의무와 그 행사방법에 관한 사항
정보주체의 권리를 기재해야 하는데, 이것은 개인정보보호법에 나온 열람권, 정정권, 삭제권 등을 의미한다. 법정대리인은 만 14세 미만의 이용자에게만 적용된다.
7) 개인정보보호책임자의 성명
개인정보보호책임자는 개인정보 처리에 관한 업무를 총괄해서 책임지는 사람을 의미하는데, 임원이 원칙이나 임원이 없는 경우는 부서장도 가능하다. 다만 소상공인 사업자의 경우는 별도의 지정을 하지 않아도 된다.
8) 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭 및 전화번호 등 연락처
개인정보 보호업무나 관련 고충사항을 처리하는 부서를 기재해야 하고, 연락처도 기재해야 한다.
9) 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치, 운영 및 그 거부에 관한 사항
만일 쿠키 정보 등을 수집하는 경우 그 내용을 처리방침에 기재해야 한다. 만일 쿠키 정보 등을 수집하지 않은 경우에는 적지 않아도 된다.
10) 개인정보의 안전성 확보조치에 대한 사항
개인정보를 어떻게 관리하고 기술적으로 어떤 보호장치를 사용하는지에 대하여 기재하여야 한다. 개인정보의 안전성 확보조치 기준이나 개인정보의 기술적, 관리적 보호조치 기준에 따르면 된다.
3. 공개방법
개인정보처리방침은 공개되어야 하는데, 공개방법으로는 인터네홈페이지에 게재하는 것이 원칙이나, 인터넷 홈페이지에 게재가 어려운 경우는 사업장 내 보기쉬운 장소, 계약서 등에 게재해도 된다. 특별한 사정이 없는 한 인터넷 메인페이지 하단에 링크로 게시하면 된다.
4. 위반시 제재사항
개인정보처리방침을 수립하지 않거나 공개하지 않은 경우에는 1,000만원 이하의 과태료에 처해진다.
5. 이용약관과의 관계
이용약관과는 구별되는 것으로서, 별개로 작성되어야 하고 그 내용도 다르다.
6. 개인정보동의서와의 관계
개인정보동의서와도 구별되는 것으로서, 개인정보처리방침과는 별도로 준비해야 한다.
* 법무법인 민후 김경환 대표변호사 작성, 블로그(2021. 2. 24.) 기고.
