핵심 요약. 건강 상태를 입력받아 신청서를 여러 후보에게 보여 주고 이용자가 한 명을 고르게 하는 플랫폼이라면, 회사는 동의를 세 갈래로 나누어 설계해야 합니다. 첫째, 건강에 관한 정보는 민감정보이므로 회사는 다른 동의와 별도로 동의를 받아야 합니다(개인정보 보호법 제23조 제1항 제1호, 제22조 제1항 제5호). 둘째, 이 법이 동의 주체로 따로 정한 대리인은 만 14세 미만 아동의 법정대리인뿐이어서(제22조의2 제1항), 보호자가 성인 정보주체를 위해 신청하면 회사는 그 대리권을 따로 확인해야 합니다. 셋째, 선정 전 후보 열람은 제3자 제공으로 볼 여지가 커서 회사는 단계마다 제공받는 자·항목·보유기간을 나누어 알리는 편이 안전하고, 후보를 미리 특정하기 어렵다면 그 사정과 후보의 유형을 알리는 방식을 검토할 수 있습니다(통합 안내서 69쪽).
목차
도움이 필요한 사람과 서비스를 제공할 사람을 연결하는 가상의 플랫폼을 놓고 보겠습니다. 신청인은 진단명 같은 건강 정보와 원하는 일정을 입력하고, 플랫폼은 조건이 맞는 후보 여러 명에게 신청서를 보여 준 뒤 신청인이 그중 한 명을 고르게 합니다. 신청서를 쓰는 사람이 정보주체 본인이 아니라 자녀나 배우자인 경우도 적지 않습니다. 이 구조에서 회사는 동의 시점, 동의하는 사람, 정보를 받는 사람을 각각 점검해야 합니다.
건강 정보 동의는 회원가입 화면에서 받아 두면 되나요?
개인정보 보호법 제23조 제1항은 건강에 관한 정보를 민감정보로 정하고 처리를 원칙적으로 금지합니다. 플랫폼이 기댈 예외는 대개 제1호로, 회사가 제15조 제2항 각 호의 사항(목적·항목·보유기간·거부권)을 알리고 "다른 개인정보의 처리에 대한 동의와 별도로" 동의를 받으라고 정하며, 제22조 제1항 제5호도 이 동의를 다른 동의와 구분해 받도록 합니다.
따라서 회원가입 동의서에 건강 정보를 한 줄 더하는 방식은 별도 동의의 요건을 채운다고 보기 어렵습니다. 회사는 건강 정보 칸이 열리는 신청 화면에 민감정보 동의를 따로 두는 편이 자연스럽습니다. 항목을 매칭에 꼭 필요한 것과 그렇지 않은 것으로 나누어 두면, 선택 항목에 동의하지 않았다는 이유로 서비스를 거부하지 못하게 한 제22조 제5항과도 어긋나지 않습니다.
보호자가 대신 신청하면 보호자의 동의로 충분한가요?
제22조 제1항은 동의를 받을 상대를 정보주체로 정하면서, 괄호로 제22조의2 제1항의 법정대리인만 여기에 포함시킵니다. 그 법정대리인은 만 14세 미만 아동의 법정대리인입니다. 성인 정보주체의 동의를 가족이 대신할 수 있다는 규정은 이 법에 없고, 확인한 개인정보위 안내서·질의응답 모음집에서도 성인의 동의 대리를 다룬 문장은 찾지 못했습니다.
그래서 회사는 보호자가 어떤 자격으로 신청하는지를 민법의 대리 법리에 비추어 확인해야 하는 것으로 보입니다. 성년후견인은 피후견인의 법정대리인이 되지만, 가정법원이 그 법정대리권의 범위를 정할 수 있습니다(민법 제938조 제1항·제2항).
실무에서는 신청 화면을 "본인 신청"과 "대리 신청"으로 나누고, 대리 신청이면 정보주체와의 관계와 대리 근거(위임장, 후견 사실 확인 서류)를 받는 방식을 생각할 수 있습니다. 열람 등 권리 행사의 대리인을 법정대리인과 위임받은 자로 정하고 위임장을 요구하는 법 제38조와 시행령 제45조의 구조가 참고가 됩니다. 정보주체가 아동일 때의 확인 방법(시행령 제17조의2 제1항)은 14세 미만 법정대리인 동의를 다룬 글에 정리해 두었습니다.
후보 여러 명에게 신청서를 먼저 보여 주는 것은 제3자 제공인가요?
후보는 대개 플랫폼의 업무를 대신 처리하는 수탁자가 아니라 신청을 받을지 스스로 판단하는 별개의 주체입니다. 그렇다면 회사가 후보에게 신청서를 보여 주는 행위는 제17조의 제공일 가능성이 높습니다. 제17조 제1항은 제공에 공유를 포함시키고, 개인정보위의 처리방침 작성지침도 제3자에게 접근 권한을 주는 것을 제공의 한 형태로 듭니다. 파일을 내려보내지 않고 화면으로만 보여 준다는 사정만으로 제공에서 벗어나기는 어렵습니다. 위탁과 제공을 가르는 기준은 처리방침에 SDK를 모두 '위탁'으로 적어 둔 경우를 다룬 글에서 다루었습니다.
건강 정보가 함께 넘어가면 동의는 두 겹이 됩니다. 회사는 제17조 제1항 제1호의 제공 동의와 별도로, 제23조 제1항 제1호에 따라 제17조 제2항 각 호를 알리고 민감정보 제공에 대한 별도 동의를 받아야 합니다. 다만 제17조 제2항은 제공받는 자, 제공 항목, 제공받는 자의 보유·이용 기간을 알리게 하고, 그 사항이 바뀌면 다시 알리고 동의를 받으라고 정합니다. 선정 전후로 보여 주는 항목이 달라지는 플랫폼이라면 처음부터 단계를 나누어 알리는 편이 안전합니다.
| 단계 | 제공받는 자 | 제공 항목(예시) | 제공받는 자의 보유·이용 기간(예시) |
|---|---|---|---|
| 선정 전 열람 | 조건이 맞는 후보 | 지역, 일정, 지원 유형, 매칭 판단에 필요한 범위의 건강 정보 | 선정이 끝날 때까지. 선정되지 않은 후보의 열람 권한은 그 시점에 회수 |
| 선정 후 | 선정된 후보 1명 | 성명, 연락처, 상세 건강 정보 | 서비스 제공 기간 |
남는 문제는 동의 시점에 후보가 정해지지 않았다는 점입니다. 개인정보위 통합 안내서는 제공받는 자의 이름이나 상호를 알리도록 하면서도 "개인정보를 제공받는 제3자의 특정이 어려운 사정이 있는 경우, 특별한 사정 및 제3자의 유형 등을 알리고 동의를 받을 수도 있다"고 설명하며, 차량호출앱이 가입 때 호출하면 택시기사에게 연락처가 넘어간다는 사정을 알리고 동의받는 경우를 예로 듭니다(개인정보 처리 통합 안내서 69쪽). 다만 안내서는 이어지는 위반 사례에서, 제휴업체가 자주 바뀐다는 이유만으로 제공받는 자를 알리지 않은 서점도 미리 알릴 수 없는 사정과 제3자의 유형, 제공 목적은 알렸어야 한다고 적었습니다. 매칭 후보가 미정인 상태가 그 「사정」에 해당하는지를 안내서가 판단하지는 않았지만, 신청 뒤에 상대방이 정해지는 차량호출 예와 구조가 비슷하다고 볼 여지는 있습니다. 따라서 회사는 동의서에 후보를 미리 특정할 수 없는 이유와 후보의 유형을 적고, 신청서를 열람한 후보를 이용자가 마이페이지 등에서 확인할 수 있게 하는 편이 안전합니다. 신청서가 등록된 후보 전체에게 게시판처럼 열리는 구조라면, 회사는 민감정보의 공개 가능성과 비공개를 선택하는 방법도 서비스 제공 전에 알려야 합니다(제23조 제3항, 제30조 제1항 제3호의3).
사고나 조사에서는 이 설계가 어떻게 읽히나요?
후보 한 명이 열람한 건강 정보를 외부로 흘렸다면, 개인정보위는 회사가 무엇을 누구에게 어떤 동의로 넘겼는지를 먼저 확인할 것으로 보입니다. 그때 회사가 내놓을 것은 민감정보 별도 동의 화면, 동의서에 적은 제공 항목과 후보 화면에 실제로 보인 항목의 대조, 선정되지 않은 후보의 열람 권한이 닫힌 시점의 기록입니다. 대리 신청 건이라면 대리 근거를 받은 기록도 필요합니다. 개인정보위 제재 의결 1,051건(2026-10-26 수집분) 가운데 제23조 위반이 인정된 의결은 21건이며, 사건 목록은 제23조 제재 사례에 있습니다. 유출 뒤의 신고·통지 순서는 유출 대응 가이드에 정리해 두었습니다.
자주 묻는 질문
Q. 회원가입 때 받은 개인정보 수집·이용 동의에 건강 정보를 넣어 두면 되나요?
Q. 자녀나 배우자가 대신 신청하면 그 보호자의 동의로 충분한가요?
Q. 선정 전에 후보 여러 명에게 신청 내용을 보여 주려면 무엇을 알려야 하나요?
이 글은 공개된 법령과 개인정보위 자료를 근거로 한 일반적인 정리이고, 구체적인 사안에 대한 법률자문이 아니며, 개별 사안은 사실관계에 따라 결론이 달라질 수 있습니다.
참고 자료
- 개인정보 보호법 제15조 제2항, 제17조 제1항·제2항, 제22조 제1항·제5항, 제22조의2 제1항, 제23조 제1항·제3항, 제30조 제1항, 제38조 — 국가법령정보센터(현행 법률 제21445호, 2026. 9. 11. 시행)
- 개인정보 보호법 시행령 제17조의2 제1항, 제45조 — 국가법령정보센터(대통령령 제36671호, 2026. 9. 11. 시행)
- 민법 제938조 제1항·제2항 — 국가법령정보센터(법률 제21454호, 2026. 3. 17. 시행)
- 개인정보보호위원회, 「개인정보 처리 통합 안내서」(2025. 7.) 69~70쪽, 제3자 제공 동의 시 알릴 사항, 제공받는 자의 특정이 어려운 경우와 관련 위반 사례
- 개인정보보호위원회, 「개인정보 처리방침 작성지침」(2026. 4.) Part Ⅲ 7. 개인정보의 제3자 제공에 관한 사항
- 개인정보보호위원회, 「개인정보 질의응답 모음집」(2025. 12.), 성인 정보주체의 동의 대리를 다룬 문항 없음(2026년 10월 17일 확인)