지난 9월 개인정보 보호법 개정으로 1년 동안 인터넷 서비스를 이용하지 않으면 의무적으로 개인정보를 파기하거나 별도로 분리하여 저장하도록 한 제도(이하 유효기간제)가 폐지되면서 이에 대한 후속 조치에 대해 혼란을 겪는 사업자와 가입자가 많았다.

이에 개인정보보호위원회(이하 개인정보위)가 유효기간제 폐지와 관련한 온라인 사업자와 서비스 가입자별 조치 사항을 정리한 가이드라인을 공개했다.

개인정보위에 따르면 온라인 사업자는 법 개정 취지에 따라 자율적으로 개인정보 휴면 정책을 마련하되 정보 주체에게 사전 안내한 후 운영해야 한다. 이용자는 오랫동안 이용하지 않는 인터넷 서비스를 계속 이용할지 혹은 탈퇴(개인정보 파기)할지를 확인하여 필요한 조치를 취하여야 한다.

먼저 온라인 사업자는 서비스 환경에 맞게 휴면 정책을 개편해야 한다. 유효기간제 규정 삭제는 정보 주체와 개인정보 처리자의 의사를 존중하여 개별 서비스의 특성에 맞게 휴면 고객의 개인정보를 안전하게 관리하도록 한 것이므로 각 서비스의 특성에 맞게 휴면 정책을 개편해야 한다.

예를 들어 ▲'서비스 미이용 기준 기간 1년'을 서비스 특성에 맞춰 6개월이나 2년 등으로 변경할 수 있으며 ▲휴면 계정 처리도 지금의 '별도 분리 보관'에서 서비스 이용 고객의 개인정보와 통합 관리하되 휴면 고객의 특성에 맞는 안전 조치 방안 보완 등을 강구할 수 있다.

개인정보 휴면 정책이 변경된 경우에는 이를 가입자들에게 사전 안내해야 한다. 종전 유효기간제에 따라 별도로 분리하여 보관하고 있던 개인정보를 파기하거나 일반 회원 데이터베이스(DB)와 통합 관리할 경우에는 개인정보 정책에 중요한 변경이 발생한 것이므로 사전에 정보 주체에게 알릴 필요가 있다.

정보 주체에게 알릴 때에는 해당 개인정보를 파기하는 것인지 별도 분리하여 보관하던 개인정보를 통합하려는 것인지를 명확하게 기재하여 알리고 정보 주체가 이의를 제기할 수 있는 방법도 함께 알려야 한다.

특히 개인정보 보호법 개정으로 인해 휴면 정책을 변경한다는 사실과 이에 따라 정보 주체가 개인정보 파기 또는 서비스 계속 이용 여부를 선택할 수 있다는 사실을 명확히 알릴 필요가 있다.

유의할 점은 정책 변경 사항 안내를 마케팅 또는 광고 목적으로 이용하는 것은 개인정보 보호법(제22조, 홍보ㆍ판매 권유 별도 동의), 정보통신망법(제50조, 영리목적의 광고성 정보 전송) 등에 반할 소지가 있다는 점이다.

일반 회원과 휴면 회원 데이터베이스(DB) 통합 정책으로 전환 시 주의해야 할 사항도 있다.

첫째, 당초 회원 가입 시 정보 주체로부터 동의받은 내용과 현재의 서비스 내용 간에 변경된 사항이 있는 경우에는 반드시 변경된 사항에 대하여 추가적인 동의를 받아야 한다.

둘째, 마케팅을 위한 홍보를 위해 광고성 정보를 전송하려는 경우에는 정보 주체로부터 마케팅 활용 동의와 함께 정보통신망법(제50조)에 따른 수신 동의 절차를 거쳤는지 여부도 반드시 확인해야 한다. 약관법에 따라 서비스 이용약관에 유효기간제와 관련된 내용을 포함하여 운영하고 있는 경우에는 수정할 사항이 있는지 등을 확인해야 한다.

셋째, 국세기본법과 전자상거래법 등 다른 법률에 따라 개인정보를 일정 기간 이상 보관해야 하는 경우 분리 보관 의무(개인정보보호법 제21조제3항)는 유효기간제와는 별개의 의무 사항이므로 계속하여 분리 보관해야 한다는 점을 유의해야 한다.

넷째, 분리 보관하고 있던 휴면 회원의 개인정보를 통합한 후 운영하는 과정에서 개인정보 침해가 발생하지 않도록 휴면 상태였던 고객에 대하여는 반드시 본인 여부를 확인하는 절차(휴대전화 본인 확인, 전자우편 본인 확인 등)를 마련하여 운영할 필요가 있다.

인터넷서비스 이용자도 마찬가지로 오래전에 가입 후 이용하지 않는 서비스에서 유효기간제 폐지 관련 안내를 받은 경우에는 해당 서비스에 접속하여 자신의 개인정보를 현행화하여 서비스를 이용하거나, 회원 탈퇴를 통해 개인정보 처리자가 자신의 개인정보를 파기하도록 조치할 필요가 있다.

참고로 웹사이트 회원 탈퇴가 어려워 도움이 필요한 경우에는 개인정보위에서 운영하고 있는 웹사이트 회원탈퇴 서비스를 활용하여 지원받을 수 있다.

한편, 개인정보위 관계자는 유효 기간제가 정보 주체와 개인정보 처리자의 의사와 무관하게 1년이 지나면 무조건 파기 또는 별도 분리 보관하도록 함으로써 정보 주체의 개인정보 자기결정권을 제한하는 문제가 있었다고 말했다.

이에 2023년 법 개정을 통해 정보 주체의 자기결정권을 보장하고 개인정보 처리자는 서비스 특성에 맞게 스스로 안전한 휴면 정책을 마련할 수 있도록 하기 위해서 개선한 것이라고 강조했다.

석주원 기자 다른기사 보기