꼰머의 보안공부

개인정보보호법에서는 정보주체에게 동의를 받을 경우 필수정보와 선택정보를 구분하여 동의를 받게 규정하고 있다.

제22조(동의를 받는 방법)
① 개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체(제6항에 따른 법정대리인을 포함한다. 이하 이 조에서 같다)의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다.

그런데, 회원가입을 진행하다 보면 "위 약관에 전체 동의합니다." 등의 문구와 체크박스가 있고 체크박스를 클릭하면 필수 항목과 선택항목이 한 번에 체크되는 것을 볼 수 있었다. 이 경우에는 앞서 말한 개인정보보호법 제22조를 위반하는 것이 아닌가 생각했다.

관련해서 찾아보았더니, 개인정보보호위원회의 "알기쉬운 개인정보 처리 동의 안내서(2022.3.)(수정).pdf"에서는 필수항목과 선택항목을 구분하여 각각의 동의를 받아야 한다고 나와있다. 그리고 선택동의 항목은 "개별적 동의"를 받도록 구성한다고 나와있다. 그렇다면 회원가입 과정의 "전체 동의" 또는 "일괄 동의"의 경우 개인정보보호법 제22조를 위반이라는 생각이 더욱 강해졌다.

조금 더 찾아보니 개인정보보호위원회의 "8. (개정) 온라인 개인정보 처리 가이드라인(2020.12월) 182.pdf"를 찾을 수 있었다. 여기에서는 필수 동의사항에 대해서만 일괄동의 기능을 적용할 수 있다고 나와있다.

두 가지 문서를 확인하고 생각을 정리한 결과, 사용자의 편의성을 위해 각각의 항목에 개별적인 동의 항목이 있는 경우에 한하여 일괄 동의 기능을 적용할 수 있다고 정리했다(정확한지 확실하지 않은 뇌피셜).

혹시나 해서 휴대폰에 앱을 설치해 확인해 보았다. 좌측 A 앱에서는 각각의 동의 항목에 개별 체크 기능이 있으며, 상단에 전체 동의 기능이 있다. 반면에 우측 B 앱에서는 동의하고 시작이라는 기능만 있을 뿐 약관을 확인하거나 선택할 수 있는 기능은 없었다.

두 번째 새로 알게 된 사실은 개인정보보호법 시행규칙이 20.08.05부터 폐지되었다. 폐지 사유는 개인정보보호법에서 행정안전부령으로 정하도록 하던 사항을 개인정보보호위원회가 정하여 고시하도록 개인정보보호법이 개정되었기 때문에 이를 반영하기 위함이다. 이는 법제처의 "개인정보 보호법 시행규칙 폐지(안) 입법예고"에서 확인할 수 있다.

세 번째 새로 알게 된 사실은 여러 법에서 "법률"과 "법령"이라는 단어를 볼 수 있었다. 두 단어에 대해 찾아보니 "법률"은 국회의 입법 절차를 거쳐 제정된 법, "법령"은 법률과 시행령, 시행규칙을 합쳐서 이르는 말이며, 법령을 더 큰 개념으로 이해했다. 그렇다면 "법률에 특별한 규정이 있는 경우" 또는 "법령상 의무를 준수하기 위한 경우"처럼 구분하지 않고 "법령상 규정이 있거나 의무를 준수하기 위한 경우"처럼 하나로 표현하면 되지않을까 생각했다. 

헌법에서 국민의 자유와 권리뿐만 아니라 통상적인 대부분의 경우 법령에 의거해 제한한다고 나와있다. 그렇다는 것은 "법령"으로 통일해 표시하는 것은 시행령, 시행규칙으로도 국민의 권리를 제한할 수 있다고 보일 수 있으며, 이는 오히려 국민의 권리를 침해하는 행위로 볼 수 있을 것이다. 법률을 시행하기 위해 위임하거나 세부적인 사항을 정의한 것이 시행령과 시행규칙인 것을 생각해 보면 당연하고 간단했던 것 같다.

대한민국헌법 제37조
①국민의 자유와 권리는 헌법에 열거되지 아니한 이유로 경시되지 아니한다.
②국민의 모든 자유와 권리는 국가안전보장ㆍ질서유지 또는 공공복리를 위하여 필요한 경우에 한하여 법률로써 제한할 수 있으며, 제한하는 경우에도 자유와 권리의 본질적인 내용을 침해할 수 없다.