핵심 요약: 성인의 건강정보는 본인이 정보주체이고, 개인정보 보호법 제23조 제1항 제1호의 별도 동의도 원칙적으로 본인이 해야 합니다. 법이 동의 주체로 명시한 법정대리인은 만 14세 미만 아동의 법정대리인뿐이고(제22조 제1항·제22조의2 제1항), 부모의 친권은 미성년 자녀에게만 미칩니다(민법 제909조 제1항·제911조). 성년후견인의 대리권과 신상결정 권한은 가정법원이 범위를 정할 수 있으므로(민법 제938조), 건강 관리 앱은 후견등기사항증명서로 그 범위를 확인한 뒤 대리 신청을 받는 편이 안전합니다. 법정대리인 동의만으로는 부족하다고 본 판결(서울행정법원 2023구합73991)은 위치정보법상 아동 사안이고 개인정보위 안내서는 반대로 설명하므로, 성인 가족 사안의 직접 근거는 아닙니다.

목차

건강 관리 앱이 가족 계정 기능을 내놓았다고 가정해 보겠습니다. 40대 딸이 경도 인지장애 진단을 받은 아버지의 복약 기록과 혈압을 대신 입력하고 조회합니다. 60대 부모가 30대 아들의 검사 결과를 함께 관리하는 가정도 있습니다. 두 경우 모두 동의 버튼을 누른 사람은 정보주체의 가족이므로, 다른 형제나 아들이 열람을 문제 삼으면 회사는 그 동의가 누구의 동의였는지를 설명해야 합니다.

부모와 자녀는 서로를 대신해 동의할 수 있나?

민법 제4조에 따라 사람은 19세에 성년이 되고, 제909조 제1항과 제911조는 친권과 법정대리권을 미성년 자녀에 대한 것으로 정합니다. 따라서 부모는 성인 자녀의 법정대리인이 아니고, 자녀도 후견인으로 선임되지 않은 이상 부모의 법정대리인이 아닙니다. 개인정보 보호법도 같은 구조입니다. 제22조 제1항은 동의를 받는 상대방인 정보주체에 「제22조의2제1항에 따른 법정대리인」을 포함시키는데, 그 법정대리인은 만 14세 미만 아동의 법정대리인입니다. 성인의 가족을 동의 주체로 정한 조문은 개인정보 보호법에 없습니다.

이 구조에서 가족이 입력한 건강정보는 회사가 정보주체 이외의 사람으로부터 수집한 개인정보가 됩니다. 제20조 제1항에 따라 회사는 정보주체가 요구하면 수집 출처, 처리 목적, 처리정지 요구권과 동의 철회권을 즉시 알려야 합니다. 나아가 회사가 부모 계정의 기록을 자녀 계정에 보여 주는 것은 제3자 제공이고, 건강정보이므로 제23조 제1항 제1호에 따라 제17조 제2항의 사항을 알리고 별도로 동의를 받아야 합니다. 그 동의를 할 사람은 원칙적으로 부모 본인입니다.

치매 진단을 받은 부모라면 누가 동의하나?

민법은 성년에게 적용되는 후견을 네 가지로 나눕니다. 성년후견은 사무 처리 능력이 지속적으로 결여된 사람에 대해 가정법원의 심판으로 개시되고(제9조), 후견인은 피후견인의 법정대리인이 됩니다(제938조 제1항). 다만 가정법원은 그 법정대리권과 신상결정 권한의 범위를 따로 정할 수 있고(같은 조 제2항·제3항), 피성년후견인은 상태가 허락하는 범위에서 자신의 신상을 단독으로 결정합니다(제947조의2 제1항). 한정후견인과 특정후견인은 가정법원이 정한 범위에서만 대리권을 갖습니다(제959조의4 제1항, 제959조의11 제1항).

따라서 회사는 후견인이라는 말만 듣지 말고 그 사람의 권한이 건강정보 처리에 대한 동의까지 미치는지를 확인해야 합니다. 확인 수단은 후견등기사항증명서입니다. 후견등기에 관한 법률 제25조 제1항은 후견의 종류와 함께 법정대리권·신상결정 권한·대리권 수여의 범위를 등기하도록 정하고, 제15조 제1항은 본인, 배우자와 4촌 이내 친족, 후견인 등이 그 증명서를 발급받을 수 있다고 정합니다. 같은 조 제4항에 따라 회사는 제출받은 증명서를 사용 목적 외의 용도로 쓸 수 없습니다. 개인정보 동의가 성년후견인의 법정대리권과 신상결정 권한 중 어디에 속하는지는 개인정보 보호법에 명문이 없습니다. 통합 안내서는 아동의 법정대리인을 설명하면서 친권자와 함께 후견인(민법 제931조~제936조)을 예로 들 뿐이고(137쪽), 확인한 개인정보위 통합 안내서·질의응답 모음집·동의 안내서에서 성인 정보주체의 동의를 성년후견인이나 가족이 대신하는 경우를 다룬 문장은 찾지 못했으므로, 해석의 여지가 남아 있는 것으로 보입니다.

후견이 개시되지 않은 가정이라면 회사는 부모 본인의 동의를 기본으로 설계해야 합니다. 개인정보 보호법 제38조 제1항과 시행령 제45조는 열람·전송·정정·삭제·처리정지·동의 철회, 거부·설명 요구를 위임받은 자가 위임장을 내고 대리할 수 있게 합니다. 그러나 새로 동의를 주는 행위의 대리는 이 조문에 정하지 않았습니다. 급박한 생명·신체의 이익을 위한 수집 근거(제15조 제1항 제5호)도 민감정보에는 바로 쓰기 어렵습니다. 제23조 제1항 단서가 허용하는 경우는 별도 동의와 법령상 근거 두 가지뿐이기 때문입니다.

법정대리인이 동의했으면 본인 동의는 필요 없나?

위치기반서비스사업자가 방송통신위원회의 시정명령 등을 다툰 사건에서, 서울행정법원은 위치정보법 제25조 제1항의 법정대리인 동의가 같은 법 제19조 제1항·제2항이 요구하는 만 14세 미만 아동 본인의 동의를 갈음하지 않는다고 보고 청구를 기각했습니다(서울행정법원 2024. 9. 12. 선고 2023구합73991 판결). 항소도 기각되었습니다(서울고등법원 2025. 6. 12. 선고 2024누60567 판결). 같은 판결은 자녀의 개인위치정보를 부모에게 주는 것도 제3자 제공이라고 보았습니다. 법원은 "부모 역시 제3자에 해당할 뿐더러 경우에 따라서는 얼마든지 이해상반 관계에 있을 수 있"다고 판단했습니다. 위치정보법 사건이지만, 가족 사이라도 한 사람의 기록을 다른 가족에게 보여 주면 제3자 제공으로 본다는 앞의 판단과 같은 방향이어서 유추의 근거가 됩니다. 다만 개인정보 보호법에 관한 개인정보위 안내는 반대 방향입니다. 통합 안내서는 "법정대리인의 동의를 받은 경우에는 아동의 동의를 중복하여 받을 필요는 없다"고 설명합니다(개인정보 처리 통합 안내서 137쪽). 따라서 이 판결을 성인 가족 사안에 그대로 옮길 수는 없지만, 법원이 법정대리인 동의를 명시한 영역에서조차 본인 동의를 갈음하는 범위를 좁게 읽었다는 점은 참고가 됩니다. 명문 규정이 없는 성인 가족 사안이라면 회사는 본인 동의를 확보하는 설계를 기본으로 삼는 것이 안전하다고 판단됩니다.

만 14세 미만 자녀의 건강정보라면 제22조의2가 정면으로 적용되고, 그 동의 확인 방법은 14세 미만 법정대리인 동의, 가입 화면 한 줄로 끝나지 않는 이유에 정리했습니다.

분쟁과 조사에서는 무엇이 확인되나?

가족 계정의 문제는 흔히 가족 사이의 다툼으로 드러납니다. 형제가 부모 기록 열람에 이의를 제기하거나, 회복한 부모가 공유에 동의한 적이 없다고 주장하면 회사는 동의 주체, 동의 일시, 대리 권한의 근거, 공유 대상과 항목을 기록으로 보여 주어야 합니다. 민원이 개인정보위 조사로 이어지면 같은 기록이 제23조 제1항의 별도 동의를 판단하는 자료가 됩니다. 민감정보 처리 제한 위반이 인정된 처분은 민감정보 처리 제한 위반 제재 사례에서 확인할 수 있습니다.

자주 묻는 질문

Q. 자녀가 치매 진단을 받은 부모 대신 건강정보 수집에 동의할 수 있나요?

자녀라는 지위만으로는 어렵습니다. 친권과 법정대리권은 미성년 자녀에 대한 것이고(민법 제909조 제1항·제911조), 개인정보 보호법 제22조 제1항이 동의 주체로 포함한 법정대리인은 제22조의2 제1항의 만 14세 미만 아동의 법정대리인뿐입니다. 자녀가 성년후견인으로 선임되어 있다면 후견인은 법정대리인이 되지만(민법 제938조 제1항), 가정법원이 대리권과 신상결정 권한의 범위를 정할 수 있으므로 후견등기사항증명서에 적힌 범위를 확인해야 합니다.

Q. 가족에게 부모의 건강 기록을 보여 주는 기능도 별도 동의가 필요한가요?

필요한 것으로 판단됩니다. 앱 운영사가 부모 계정의 건강정보를 다른 가족 계정에 보여 주는 것은 정보주체가 아닌 사람에게 개인정보를 제공하는 것이고, 건강정보는 민감정보입니다. 제23조 제1항 제1호는 제17조 제2항의 사항, 즉 제공받는 자, 그 이용 목적, 제공 항목, 보유·이용 기간, 거부권과 불이익을 알리고 다른 동의와 별도로 동의를 받도록 정합니다.

가족 구성과 후견 심판의 내용에 따라 결론이 달라질 수 있습니다. 이 글은 일반적인 정보 제공을 목적으로 하며, 개별 사안에 대한 법률자문이 아닙니다.

참고 자료

  • 개인정보 보호법 제15조 제1항 제5호, 제17조 제2항, 제20조 제1항, 제22조 제1항, 제22조의2 제1항, 제23조 제1항, 제38조 제1항 — 국가법령정보센터, 법률 제21445호, 2026년 9월 11일 시행
  • 개인정보 보호법 시행령 제45조 — 대통령령 제36671호, 2026년 9월 11일 시행
  • 민법 제4조, 제9조, 제909조 제1항, 제911조, 제938조, 제947조의2 제1항, 제959조의4 제1항, 제959조의11 제1항 — 법률 제21454호, 2026년 3월 17일 시행
  • 후견등기에 관한 법률 제15조, 제25조 — 법률 제14976호, 2019년 1월 1일 시행
  • 개인정보보호위원회, 「개인정보 처리 통합 안내서」(2025. 7.) 137쪽, 아동을 대신한 법정대리인의 동의(법정대리인의 예로 친권자와 후견인을 듦)
  • 개인정보보호위원회, 「개인정보 질의응답 모음집」(2025. 12.), 「알기쉬운 개인정보 처리 동의 안내서」(2022. 3.), 성인 정보주체의 동의를 성년후견인·가족이 대신하는 경우를 다룬 문장 없음(2026년 10월 17일 확인)
  • 서울행정법원 2024. 9. 12. 선고 2023구합73991 판결(위치정보법 제19조 제1항·제2항, 제25조 제1항), 항소심 서울고등법원 2025. 6. 12. 선고 2024누60567 판결(항소기각)