핵심 요약: 건강에 관한 정보는 민감정보이고, 개인정보 보호법 제23조 제1항 제1호는 정보주체에게 제15조 제2항의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받도록 정합니다. 개인정보위는 2023년 4월 12일 의결(제2023-006-054호)에서 민감정보를 별도로 동의받지 않고 포괄적으로 동의받은 행위를 제23조 제1항 위반으로 판단했습니다. 동의 방법(제22조 제1항~제3항) 위반은 1천만원 이하 과태료 사유이지만, 제23조 제1항 위반은 과징금(제64조의2 제1항 제3호)과 5년 이하 징역 또는 5천만원 이하 벌금(제71조 제4호)의 대상입니다. 지적을 받은 회사는 동의 화면을 나누는 것과 함께, 이미 받아 둔 건강정보의 처리 근거를 정리해야 합니다.
목차
건강 관리 앱을 운영하는 회사가 있다고 가정해 보겠습니다. 이 회사의 가입 화면에는 「서비스 이용약관 및 개인정보 수집·이용에 모두 동의합니다」라는 체크박스가 하나 있고, 펼쳐 보면 수집 항목에 이름·휴대전화번호와 함께 복용 중인 약과 혈압 기록이 나란히 적혀 있습니다. 어느 날 이용자 한 명이 마케팅 문자 수신을 문제 삼아 민원을 넣었고, 개인정보위가 자료를 요청하면서 가입 동의서 원본을 함께 받아 갔습니다. 이 회사가 대비하지 못한 지적은 마케팅 문자가 아니라 동의서 자체에서 나올 수 있습니다.
건강정보는 왜 따로 받아야 하나?
제23조 제1항 본문은 건강에 관한 정보를 민감정보로 정하고 원칙적으로 처리를 금지합니다. 예외는 두 가지뿐입니다. 하나는 정보주체에게 제15조 제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우이고, 다른 하나는 법령이 민감정보 처리를 요구하거나 허용하는 경우입니다. 나아가 제22조 제1항 제5호는 제23조 제1항 제1호의 동의를 구분하여 각각 받아야 하는 동의로 따로 열거합니다. 따라서 건강 관리 앱이 이름·연락처와 건강정보를 같은 동의 한 번으로 받았다면, 회사는 「별도로」라는 요건을 갖추었다고 주장하기 어렵습니다.
묶어서 받으면 어떤 위반으로 다뤄지나?
2023년 4월 12일 의결(제2023-006-054호)의 피심인은 공공기관이었습니다. 신고인이 문제 삼은 것은 상담신청서가 피심인이 고용한 사람에게 넘어간 일이었고, 개인정보위는 그 사람을 피심인의 지휘·감독을 받는 개인정보취급자로 보아 제3자 제공이 아니라고 판단했습니다. 그런데 같은 조사에서 개인정보위는 상담신청서의 동의 문안을 들여다보았고, 보유·이용 기간과 동의 거부권을 알리지 않은 점을 제15조 제2항 위반으로, 민감정보를 "별도로 동의를 받지 않고 포괄적으로 동의를 받은 행위"를 제23조 제1항 위반으로 인정했습니다. 신고된 쟁점은 받아들여지지 않았는데도 동의서에서 위반이 나온 것입니다. 피심인이 공공기관이어서 처분은 시정조치 권고였습니다.
민간 회사의 사례로는 2023년 6월 28일 ㈜자비스앤빌런즈 의결(제2023-011-116호)이 있습니다. 개인정보위는 이 회사가 장애인 여부 등 민감정보를 처리하면서 수집 항목과 목적을 명확하게 알리지 않고 별도 동의를 받지 않은 행위를 제23조 제1항 위반으로 보았고, 개인정보 처리방침을 통해 포괄 동의를 받으면서 소득정보 등의 수집 항목을 누락하고 목적과 보유 기간을 불명확하게 알린 행위를 구법 제39조의3 제1항 위반으로 보았습니다. 이 의결의 과징금 8억 5,410만 6천원은 제17조·제23조·제39조의3 위반을 함께 산정한 금액이므로, 그 금액 전부를 민감정보 위반 몫으로 읽어서는 안 됩니다.
두 의결이 보여 주는 것은 위반의 무게입니다. 동의 사항을 구분하지 않은 것 자체는 제22조 제1항~제3항 위반으로 1천만원 이하 과태료 사유(제75조 제4항 제3호)입니다. 반면 개인정보위가 민감정보에 대해 별도 동의가 없었다고 보면 제23조 제1항 위반이 되고, 이는 과징금 사유이자 형벌 조항의 구성요건입니다. 회사로서는 포괄 동의가 동의 방법의 하자에서 끝나지 않을 수 있다는 점을 전제로 대응해야 합니다. 같은 조문이 인정된 다른 처분은 민감정보 처리 제한 위반 제재 사례와 동의 방법 위반 제재 사례에서 확인할 수 있습니다.
지적된 뒤 무엇을 고치나?
첫째, 회사는 건강정보 동의를 다른 동의와 분리하고 제15조 제2항의 네 가지 사항을 그 동의 안에 다시 적어야 합니다. 시행령 제17조 제3항 제2호는 민감정보를 서면 동의의 중요한 내용으로 정하고 있으므로, 「개인정보 처리 방법에 관한 고시」 제4조에 따라 글씨 크기·색깔·굵기·밑줄 등으로 그 항목을 명확히 표시하고 동의 사항이 많으면 다른 내용과 구분해 보여 주어야 합니다. 이 고시는 컴퓨터 표시화면도 서면 동의 매체로 봅니다.
둘째, 회사는 거부 시 불이익을 다시 설계해야 합니다. 제22조 제5항이 서비스 제공 거부를 금지하는 대상에 민감정보 동의(제1항 제5호)는 들어 있지 않습니다. 다만 거부에 따른 불이익은 미리 알려야 하고, 필요한 최소한의 정보 외의 수집에 동의하지 않았다는 이유로 서비스 제공을 거부하는 것은 제16조 제3항이 따로 금지하므로(위반 시 3천만원 이하 과태료, 제75조 제2항 제1호), 건강정보가 필요 없는 기능까지 막는 설계는 허용되기 어렵습니다.
셋째, 회사는 이미 받아 둔 건강정보를 정리해야 합니다. 화면을 고친 날 이후의 가입자는 새 동의를 거치지만, 그 전에 수집된 건강정보는 여전히 별도 동의가 없는 상태로 남습니다. 재동의를 받을 범위와 처리를 멈출 범위를 나누어야 하고, 이 작업이 데이터 모수와 사업계획에 미치는 영향은 투자 실사에서 개인정보로 밸류에이션이 깎이는 세 가지에서 다루었습니다.
넷째, 회사는 고친 사실을 증빙으로 남겨야 합니다. 제2023-006-054호의 피심인은 사전통지를 받은 뒤 위반을 인정하고 전부 시정했다는 의견을 냈고, 주문은 처분통지일부터 60일 안에 이행 결과를 제출하도록 정했습니다. 동의 문안의 버전, 화면 변경일, 재동의 결과를 날짜별로 남겨 두어야 이행 결과를 낼 수 있습니다. 조사 단계의 자료 정리는 개인정보위 자료제출 요구를 받았을 때의 첫 회신에 정리했습니다.
외국계 회사가 본사의 동의 문안을 번역해 쓰는 경우에도 같은 문제가 생깁니다. 본사 문안이 특별 범주 정보를 일반 동의와 한 덩어리로 받도록 짜여 있다면, 한국 법인은 제23조를 기준으로 문안을 다시 나누어야 합니다. 본사 정책이 한국에서 어긋나는 다른 지점은 본사 글로벌 프라이버시 정책을 한국에 그대로 적용할 때 깨지는 지점에 있습니다.
자주 묻는 질문
Q. 가입 화면에 건강정보 동의 체크박스만 따로 두면 충분한가요?
체크박스를 나누는 것은 출발점일 뿐입니다. 제23조 제1항 제1호는 제15조 제2항의 네 가지 사항, 즉 수집·이용 목적, 항목, 보유·이용 기간, 동의 거부권과 거부에 따른 불이익을 알린 뒤 별도로 동의를 받도록 정합니다. 시행령 제17조 제3항 제2호가 민감정보를 중요한 내용으로 정하고 있으므로, 「개인정보 처리 방법에 관한 고시」 제4조에 따라 글씨 크기·색깔·굵기·밑줄 등으로 그 항목이 명확히 드러나게 표시해야 합니다.
Q. 건강정보 동의를 거부한 이용자의 가입을 막아도 되나요?
제22조 제5항이 동의 거부를 이유로 서비스 제공을 거부하지 못하게 한 대상은 선택 동의 사항과 제1항 제3호·제7호의 동의입니다. 민감정보 동의(제1항 제5호)는 그 목록에 없습니다. 따라서 건강정보가 서비스의 본질적 기능에 필요한 경우라면 거부 시 해당 기능을 제공하지 않는 설계가 가능할 여지가 있습니다. 다만 그 경우에도 거부에 따른 불이익의 내용을 미리 알려야 하고(제15조 제2항 제4호), 필요한 최소한의 정보 외의 수집에 동의하지 않았다는 이유로 서비스 제공을 거부하는 것은 제16조 제3항이 따로 금지하므로(위반 시 3천만원 이하 과태료, 제75조 제2항 제1호) 건강정보가 필요하지 않은 기능까지 막는 것은 허용되기 어렵습니다.
동의 문안의 구체적인 평가는 수집 항목과 서비스 구조에 따라 결론이 달라질 수 있습니다. 이 글은 일반적인 정보 제공을 목적으로 하며, 개별 사안에 대한 법률자문이 아닙니다.
참고 자료
- 개인정보 보호법 제15조 제2항, 제22조 제1항·제5항, 제23조 제1항, 제64조의2 제1항 제3호, 제71조 제4호, 제75조 제4항 제3호 — 국가법령정보센터, 법률 제21445호, 2026년 9월 11일 시행
- 개인정보 보호법 시행령 제17조 제3항 — 대통령령 제36671호, 2026년 9월 11일 시행
- 개인정보 처리 방법에 관한 고시 제4조 — 개인정보보호위원회 고시 제2026-10호, 2026년 8월 20일 시행
- 개인정보보호위원회 2023. 4. 12. 의결 제2023-006-054호(피심인 비공개, 시정조치 권고)
- 개인정보보호위원회 2023. 6. 28. 의결 제2023-011-116호(㈜자비스앤빌런즈)