14세 미만 법정대리인 동의, 가입 화면 한 줄로 끝나지 않는 이유

핵심 요약. 만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 동의를 받고, 법정대리인이 동의했는지를 '확인’까지 해야 합니다(개인정보 보호법 제22조의2 제1항). 동의 확인 방법은 시행령 제17조의2 제1항이 정한 일곱 가지이고, 법정대리인의 성명·연락처는 아동에게서 직접 수집할 수 있습니다(법 제22조의2 제2항). 아동 대상 서비스가 아니어도 만 14세 미만 이용자를 인식했다면 동의를 받거나 계정 이용 중단·정보 파기로 대응해야 하며, 아동을 받지 않는 서비스라면 '만 14세 미만 이용 불가’를 분명히 표시하고 이용자 본인이 이를 별도로 확인하게 해야 합니다. 위반 시 5년 이하 징역 또는 5천만 원 이하 벌금(제71조 제3호)과 전체 매출액 3% 이하 과징금(제64조의2 제1항 제2호) 대상입니다. 자녀 위치 앱처럼 위치정보가 얽히면 위치정보법 제25조가 따로 적용되는데, 같은 조 제2항의 준용 목록에 제19조 제1항·제2항·제3항이 없어 법정대리인 동의가 아동 본인의 동의와 매회 통보 의무를 대체하지 못합니다. 방송통신위원회의 2023년 6월 28일 자녀안심 앱 5곳 처분이 그 선례입니다.

B2C 서비스를 만드는 스타트업이 언젠가 반드시 마주치는 질문이 있습니다. "우리 서비스, 14세 미만도 가입할 수 있게 되어 있나요?" 급하게 약관을 열어 보니 "만 14세 이상만 이용할 수 있습니다"라는 문장이 있습니다. 그래서 문제없다고 답합니다. 그런데 가입 화면에는 연령을 확인하는 절차가 전혀 없습니다. 이메일과 비밀번호만 넣으면 누구나 가입됩니다. 앱스토어 리뷰에는 초등학생이 쓴 것으로 보이는 후기가 여럿 달려 있습니다. 이 상태라면, 약관의 그 한 줄은 회사를 지켜주지 못할 가능성이 큽니다.

반대편에는 자녀의 스마트폰 위치를 부모 앱으로 보내 주는 서비스처럼 아동을 정면으로 받는 서비스가 있습니다. 이쪽 개발팀은 부모에게 동의를 받았으니 끝났다고 생각하고, 개인정보 보호법만 보면 그 판단이 틀리지 않습니다. 문제는 위치정보가 개인정보 보호법만으로 끝나지 않는다는 데 있습니다.

왜 기준이 '만 14세’인가?

개인정보 보호법 제22조의2가 기준선입니다.

개인정보 보호법 제22조의2(아동의 개인정보 보호)

① 개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 하며, 법정대리인이 동의하였는지를 확인하여야 한다.

포인트는 두 개입니다. 만 14세 미만 아동의 개인정보는 아동 본인이 아니라 법정대리인(대개 부모)의 동의가 있어야 수집할 수 있고, 동의를 받았다는 사실을 확인할 의무까지 사업자에게 있다는 것입니다. "부모님 동의를 받았나요?"라는 체크박스에 아동이 스스로 체크하게 하는 방식이 통하지 않는 이유입니다.

여기서 나이는 '만 나이’입니다. 그리고 판단 시점은 수집 시점, 실무적으로는 가입 시점입니다.

아동 대상 서비스가 아니어도 조치 의무가 있나?

개인정보위의 아동·청소년 개인정보 보호 가이드라인(2022. 7.)의 취지에 비추어 보면, 아동을 대상으로 하지 않는 서비스라 하더라도 만 14세 미만 이용자가 있음을 인식하였다면 그에 따른 조치를 취해야 합니다. 법정대리인 동의를 받아 적법하게 처리 근거를 갖추든가, 그럴 계획이 없다면 해당 계정의 이용을 중단시키고 수집된 개인정보를 파기하는 것입니다. 고객 문의, 결제 분쟁, 리뷰 등으로 아동 이용을 알게 되었는데도 계정을 그대로 두는 것은 그 자체로 위반 상태의 방치가 됩니다.

그리고 아동을 받지 않기로 한 서비스라면, 그 정책이 이용자에게 분명히 전달되고 실제로 확인되는 구조여야 합니다. 두 가지가 필요합니다.

첫째, '만 14세 미만은 이용할 수 없다’는 점을 분명히 표시해야 합니다. 약관 본문 깊숙한 곳에 한 줄 넣어두는 것이 아니라, 가입 화면에서 이용자가 인지할 수 있는 방식으로 드러나야 합니다.

둘째, 이용자 본인이 '만 14세 미만이 아니다’라는 점을 구체적으로 확인하는 절차를 두어야 합니다. 여러 약관 동의에 묻어가는 일괄 체크로는 부족하고, 연령 요건에 대한 확인을 이용자가 별도로, 스스로 하게 해야 합니다. 연령을 아예 묻지도, 확인하게 하지도 않는 가입 흐름은 "우리는 이용자 나이를 몰랐다"는 항변이 아니라 알 수 있는 수단을 두지 않은 설계로 평가될 위험이 있습니다.

연령 확인을 위해 생년월일을 받아도 되나?

확인 '방법’을 고를 때 반대편에서 작동하는 원칙이 하나 있습니다. 개인정보 최소수집 원칙입니다. 개인정보처리자는 목적에 필요한 최소한의 개인정보만 수집해야 하고, 그것이 최소한이라는 입증책임은 사업자가 집니다(법 제3조 제1항, 제16조 제1항). 생년월일은 그 자체가 개인정보입니다. 서비스 제공에 생년월일이 필요하지 않은 서비스가 연령 확인을 이유로 생년월일을 수집·보관한다면, 아동 보호 리스크를 줄이려다 최소수집 원칙 위반이라는 별개의 위법 이슈를 만드는 셈이 됩니다.

그래서 확인 절차는 서비스 성격에 따라 층위를 나누는 것이 안전합니다.

• 생년월일이 서비스에 필요 없는 경우(대부분의 서비스). 개인정보를 새로 수집하지 않는 방식이 기본입니다. 가입 화면에 '만 14세 미만 이용 불가’를 표시하고, '본인은 만 14세 이상입니다’를 별도 항목으로 명시적으로 확인하게 하는 방식입니다. 확인력이 더 필요하면 생년월일을 입력받되 만 14세 이상 여부만 판정하고 생년월일 자체는 저장하지 않는 설계를 검토할 수 있습니다.
• 생년월일이 서비스에 실제로 필요한 경우. 연령별 콘텐츠 제공, 법령상 연령 확인 의무가 있는 서비스 등이라면 생년월일 수집에 목적상 근거가 있으므로 연령 게이트로 함께 확인하면 됩니다. 이 경우에도 수집 목적과 보유 기간을 처리방침에 밝혀야 합니다.

참고로 가이드라인은 연령 확인 방법으로 ①이용자가 '법정 생년월일’을 직접 입력하도록 하는 방법과 ②'만 14세 이상' 항목에 스스로 체크하도록 하는 방법 두 가지를 나란히 제시하고 있습니다. 이는 신분증 제출 같은 과도한 확인까지는 요구되지 않는다는 확인 강도의 상한을 말한 것이지, 모든 서비스가 생년월일을 수집해야 한다거나 수집해도 된다는 뜻이 아닙니다.

정리하면 회사의 선택지는 두 갈래입니다.

A. 14세 미만은 받지 않는다. 대부분의 스타트업에게 현실적인 선택입니다. 위에서 본 '분명한 표시 + 본인의 구체적 확인’을 가입 흐름에 심고, 만 14세 미만으로 확인되면 가입을 차단합니다. 표시와 확인 절차를 제대로 갖춘 회사와 아무것도 묻지 않은 회사는 사후 평가에서 전혀 다른 위치에 서게 됩니다. 운영 중 아동 이용 사실을 인식하게 됐을 때 계정을 정리하고 정보를 파기하는 내부 절차까지 갖춰야 방어가 완성됩니다.

B. 14세 미만도 받는다. 교육, 게임, 커뮤니티, 자녀 위치 앱처럼 아동이 핵심 이용자라면 법정대리인 동의 체계를 정면으로 구축해야 합니다.

14세 미만을 받는다면 법정대리인 동의를 어떻게 받고 확인하나?

시행령 제17조의2 제1항이 동의 확인 방법을 구체적으로 정하고 있습니다. 일곱 가지가 나열되어 있는데, 실무에서 쓸 만한 것 위주로 추리면 다음과 같습니다.

설계할 때 함께 챙길 세 가지가 있습니다.

1. 법정대리인 연락처는 아동에게 물어봐도 됩니다. "부모 동의를 받으려면 부모 연락처가 필요한데, 그 연락처도 개인정보 아닌가?"라는 순환 문제를 법이 직접 풀어 뒀습니다. 동의를 받기 위해 필요한 최소한의 정보(시행령상 법정대리인의 성명·연락처)는 법정대리인 동의 없이 아동으로부터 직접 수집할 수 있습니다(법 제22조의2 제2항, 시행령 제17조의2 제2항).
2. 동의가 끝내 확인되지 않으면 파기해야 합니다. 동의 절차를 위해 받아 둔 법정대리인 연락처를 포함해, 수집 목적이 달성되지 못한 정보는 보유할 근거가 없습니다.
3. 아동에게 하는 고지는 아동의 언어로. 만 14세 미만 아동에게 개인정보 처리 사항을 알릴 때에는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 사용해야 합니다(법 제22조의2 제3항). 성인용 처리방침을 그대로 보여주는 것으로는 부족하다는 뜻입니다.

법정대리인 동의 없이 수집하면 어떤 제재를 받나?

이 조항은 개인정보 보호법 안에서도 제재가 무거운 축에 속합니다.

• 형사처벌: 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 처리하면 5년 이하의 징역 또는 5천만 원 이하의 벌금 대상입니다(제71조 제3호).
• 과징금: 같은 위반이 전체 매출액의 3% 이하 과징금 부과 사유이기도 합니다(제64조의2 제1항 제2호). 위반 부분 매출이 아니라 전체 매출 기준에서 출발한다는 점, 그리고 2026년 9월 개정법의 과징금 상한 변화에서 정리했듯 9월 11일부터 고의·중과실의 중대·반복 위반에 대해 상한이 10%까지 올라갔다는 점을 같이 기억할 필요가 있습니다.

실제 사례도 있습니다. 2020년 방송통신위원회(당시 소관)는 틱톡이 법정대리인 동의 없이 만 14세 미만 아동의 개인정보 최소 6,007건을 수집했다는 등의 이유로 과징금 1억 8,000만 원(과태료 포함 1억 8,600만 원)을 부과했습니다. 당시 틱톡은 가입 시 연령 확인 절차 자체가 부실했다는 점이 문제됐습니다. 유출 사고 없이 아동 개인정보 처리만으로 처분이 나온 다른 사례는 우리 앱은 아동용이 아닙니다에 정리했습니다.

자녀 위치 앱은 왜 부모 동의만으로 끝나지 않나?

자녀 위치 앱의 가입 절차는 대개 이렇게 짭니다. 부모가 부모용 앱을 설치하고 이용약관에 동의한 뒤 자녀 계정을 만들고, 자녀 스마트폰에 자녀용 앱을 깔아 두 기기를 연결합니다. 자녀는 아무것도 누르지 않습니다.

제22조의2 제1항은 법정대리인의 동의를 받으라고 할 뿐, 아동 본인의 동의를 함께 받으라는 문언은 없습니다. 그런데 위치정보법 제4조는 위치정보의 수집·저장·보호·이용에 관하여 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따르도록 하고 있습니다.

위치정보법 제25조 제1항은 이렇게 정합니다. "위치정보사업자등이 14세 미만의 아동으로부터 제18조제1항, 제19조제1항ㆍ제2항 또는 제21조에 따라 개인위치정보를 수집ㆍ이용 또는 제공하고자 하는 경우에는 그 법정대리인의 동의를 얻어야 하고, 대통령령으로 정하는 바에 따라 법정대리인이 동의하였는지를 확인하여야 한다."

문언은 개인정보 보호법과 닮았지만, 갈리는 곳은 제2항입니다. 제25조 제2항은 "제18조제2항ㆍ제19조제5항 및 제24조의 규정은 제1항에 따라 법정대리인이 동의를 하는 경우에 이를 준용한다. 이 경우 '개인위치정보주체’는 '법정대리인’으로 본다"고 정합니다. 준용 목록이 세 개뿐입니다. 제19조 제1항, 제2항, 제3항은 그 목록에 없습니다.

따라서 위치기반서비스사업자는 14세 미만 아동에 대해 두 가지를 모두 해야 합니다. 제25조 제1항에 따라 법정대리인의 동의를 받고, 제19조 제1항·제2항에 따라 개인위치정보주체인 아동 본인의 동의도 받아야 합니다. 법정대리인 동의가 본인 동의를 대체하는 구조가 아닙니다.

이 대비는 8세 이하 규정과 견주면 더 분명해집니다. 위치정보법 제26조 제1항은 8세 이하의 아동, 피성년후견인, 일정한 중증 정신적 장애인에 대해 보호의무자가 생명 또는 신체의 보호를 위하여 동의하면 본인의 동의가 있는 것으로 본다고 정합니다. 같은 조 제4항은 제18조부터 제22조까지와 제24조를 준용하면서 "개인위치정보주체"를 "보호의무자"로 보도록 합니다. 입법자는 8세 이하에 대해서만 간주 조항과 넓은 준용 조항을 두었고, 14세 미만 일반 규정인 제25조에는 두지 않았습니다.

제19조 제3항은 개인정보 보호법에 대응 조문이 없습니다. 위치기반서비스사업자가 개인위치정보주체가 지정한 제3자에게 개인위치정보를 제공하는 경우에는 매회 개인위치정보주체에게 제공받는 자, 제공일시, 제공목적을 즉시 통보해야 합니다. 개인정보 보호법에는 제3자 제공을 할 때마다 정보주체에게 통보하라는 조문이 없으므로, 개인정보 동의서를 옮겨 쓴 회사가 이 의무를 설계에 넣지 못합니다. 빠져나갈 문은 제19조 제4항 하나입니다. 사업자가 대통령령으로 정하는 바에 따라 개인위치정보주체의 동의를 받으면 최대 30일의 범위에서 정해진 횟수나 기간마다 모아서 통보할 수 있습니다. 부모가 하루에도 여러 번 위치를 확인하는 서비스라면 매회 통보가 현실적이지 않으므로, 사업자는 제4항의 동의를 받아 두어야 합니다.

방송통신위원회는 자녀안심 앱 5곳을 어떻게 처분했나?

위치정보법을 집행하는 기관은 개인정보보호위원회가 아닙니다. 이 사건을 처분한 곳은 방송통신위원회이고, 그 권한은 2025년 10월 1일 방송미디어통신위원회로 넘어갔습니다. 아래에서 「방통위」는 처분 당시의 방송통신위원회를 가리킵니다.

국가인권위원회가 2021년 2월 자녀안심 앱의 위치 파악 기능이 아동의 사생활의 자유 등 기본권을 침해하는지 확인해 달라고 방송통신위원회에 권고했습니다. 방통위는 2021년 3월부터 2022년 4월까지 자녀안심 앱 사업자를 대상으로 서면점검과 현장점검을 했고, 위반 정황이 확인된 사업자에 대해 2022년 5월부터 11월까지 사실조사를 했습니다. 처분은 2023년 6월 28일에 나왔습니다.

다섯 건 모두에서 인정된 조문은 제19조 제2항입니다. 방통위는 사업자가 개인위치정보를 제3자인 법정대리인에게 제공하면서 제공받는 자와 제공목적을 법정대리인에게만 고지하고 자녀에게는 고지하지도 동의를 받지도 않은 행위를 제19조 제2항 위반으로 보았습니다. 세 건에서는 이용약관에 대한 자녀의 동의를 받지 않은 행위가 제19조 제1항 위반으로 더해졌습니다. 네 건이 제3항 위반으로 걸린 것은 제4항의 모아서 통보 동의도 받지 않고 매회 통보도 하지 않았기 때문입니다.

과태료 산정은 위치정보법 시행령 제38조 별표5를 따릅니다. 제19조 제2항부터 제4항까지의 고지·통보 위반은 1회 300만원이고, 위반행위 건별로 적용합니다. 제052호·제053호·제055호는 두 건이 인정되어 600만원이 기준금액이 되었고, 사전통지와 의견제출 기간 안에 시정 중이었다는 점이 참작되어 30퍼센트가 감경되어 420만원이 되었습니다. 제054호는 소상공인이고 자본금 잠식이 인정되어 기준금액의 70퍼센트가 감경되어 90만원이 되었습니다.

금액보다 무거운 것은 공표명령입니다. 방통위는 다섯 건 모두에 시정명령과 함께 공표명령을 붙였습니다(위치정보법 제36조의2 제1항 후단). 시정명령을 받은 날부터 1개월 안에 홈페이지 첫 화면에 전체화면 6분의 1 이상 크기의 팝업 창으로 4일 동안 게시하라는 내용이고, 모바일 웹과 앱, PC 웹페이지가 모두 대상입니다. 과태료 90만원을 낸 제054호 사업자도 자녀에게 제공일시 등을 통보하지 않아 시정명령을 받았다는 문안을 자기 앱 첫 화면에 4일 동안 띄워야 했습니다.

의결서에는 방통위가 제재를 덜어 준 대목이 따로 적혀 있습니다. 방통위는 제19조 제1항·제2항 위반에 대해 위치정보법 제14조 제1항 제3호에 따라 과징금을 부과할 수 있다고 하면서도, "법정대리인의 동의와 관련한 개인정보보호법 규정이 위치정보법과 문언적으로 일부 유사하여 사업자가 오인할 여지가 있는 점"을 들어 과징금을 부과하지 않고 시정명령으로 갈음했습니다. 형사고발도 같은 이유로 접었습니다. 제19조 제1항·제2항 위반은 위치정보법 제39조 제3호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금에 해당하는데, 방통위는 오인의 여지와 시정명령이 가능하다는 점을 들어 고발하지 않기로 했습니다.

이 사안의 법정형은 과태료가 아니라 징역형이고, 감경 사유는 오인 가능성입니다. 방통위가 다섯 건의 의결서에서 두 법의 관계를 판단해 공개한 이상, 같은 구조로 동의를 설계한 사업자가 앞으로 오인을 주장하기는 어렵습니다. 제052호 사업자는 위치기반서비스사업 신고를 하지 않은 상태여서 제9조 제1항 위반도 함께 인정되었는데, 신고 누락은 별도의 형사처벌 대상이며 인수 상황에서 어떻게 다루어야 하는지는 실사에서 위치기반서비스 신고 누락이 나왔다에 정리해 두었습니다.

아동 개인정보 규제는 앞으로 어떻게 바뀌나?

개인정보위는 2026년 업무 추진계획에서 아동·청소년 개인정보 보호 강화 방안 논의를 구체화하겠다고 밝히면서, 그 방안으로 법정대리인 동의 현실화, 계약 체결 시 법정대리인 확인, 맞춤형 광고 제한을 들었습니다.

보호 연령 확대와 연령대별 처리 체계를 담은 (가칭) 아동·청소년 개인정보 보호법 제정 계획도 있습니다. 다만 이 계획의 출처는 2022년 7월 11일 관계부처가 합동으로 발표한 「아동·청소년 개인정보 보호 기본계획」이고, 거기 적힌 제정 목표 시점은 2024년이었습니다. 그 법은 아직 제정되지 않았습니다. 그 사이 정책 문서에서 이 법이 차지하는 자리가 어떻게 달라졌는지, 그리고 규제가 실제로는 어느 경로로 오고 있는지는 별도의 글에 정리했습니다.

특히 맞춤형 광고는 지금도 주의 지점입니다. 현행 가이드라인은 만 14세 미만임을 알고 있는 아동에게는 맞춤형 광고를 제공하지 않도록 권장하는데, 광고·분석 SDK가 수집하는 행태정보는 이용자가 아동인지 가리지 않습니다. 얼마 전 틱톡·애플 제재에서 문제된 행태정보 이슈가 아동 보호 이슈와 겹쳐서 들어올 수 있는 구조입니다.

글로벌 서비스라면 기준선이 나라마다 다르다는 점도 챙겨야 합니다. 미국 COPPA는 13세 미만, EU GDPR은 회원국에 따라 13~16세 미만입니다. 한국 기준(만 14세)만 맞춘 연령 게이트로는 부족할 수 있습니다.

무엇을 점검해야 하나?

1. '만 14세 미만 이용 불가’가 분명히 표시되는가. 약관 속 한 줄이 아니라 가입 화면에서 이용자가 인지할 수 있게 드러나는지.
2. 본인의 구체적 확인 절차가 있는가. '만 14세 이상입니다’라는 별도의 명시적 확인을 이용자 스스로 하게 하는지. 반대로 서비스에 필요하지 않은 생년월일을 확인 명목으로 수집·보관하고 있지는 않은지(최소수집 원칙, 제16조 제1항)도 점검합니다.
3. 아동 이용을 인식했을 때의 조치 절차가 있는가. 고객 문의·결제 분쟁·리뷰 등으로 알게 된 경우 법정대리인 동의를 받거나, 계정 이용 중단·정보 파기로 이어지는 내부 프로세스가 있는지.
4. 허용 정책(B안)이라면. 시행령 제17조의2의 방법 중 하나로 법정대리인 동의를 받고 있는지, 동의 이력을 기록·보관하는지, 동의 불발 시 파기하는지.
5. 법정대리인 정보는 최소한만. 성명·연락처를 넘는 정보를 동의 확인 명목으로 수집하고 있지 않은지.
6. 아동용 고지. 아동에게 보여주는 동의 화면·처리방침이 쉬운 언어로 되어 있는지.
7. 광고·분석 SDK. 아동 이용자의 행태정보가 맞춤형 광고에 흘러 들어가는 구조는 아닌지.
8. 해외 출시 시. 진출국의 아동 연령 기준(COPPA 13세, GDPR 13~16세)에 맞춘 분기가 있는지.
9. 위치 공유 기능이 있다면. 개인위치정보주체(위치정보법 제2조 제3호, 위치를 보내는 사람이 아니라 위치가 측정되는 사람)가 14세 미만이면 법정대리인 동의와 본인 동의를 모두 받는 화면이 있는지, 8세 이하라면 제26조의 요건을 갖췄는지, 제3자 제공 동의를 이용약관 동의와 분리했는지, 매회 통보 또는 제19조 제4항의 모아서 통보 동의 중 하나가 구현되어 있는지, 위치기반서비스사업 신고를 마쳤는지.

위반의 상대방이 아동이라는 사실 자체가 제재 수위와 여론 양쪽에서 가중 요소로 작동합니다. 가입 화면의 연령 확인 절차와 그 로그는 조사가 시작되면 가장 먼저 확인되는 자료입니다. 사고를 인지한 뒤 72시간에 해야 할 일은 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.

선례 확인 — 동의 방법(보호법 제22조) 위반으로 실제 부과된 처분은 개인정보 동의 방법 위반 제재 사례에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 방송통신위원회와 그 뒤를 이은 방송미디어통신위원회가 위치정보법과 구 정보통신망법으로 한 처분은 의결서 348건을 정리한 표에서 조문별로 확인하실 수 있습니다.

자주 묻는 질문

Q. 아동 대상 서비스가 아니어도 만 14세 미만 확인 절차가 필요한가요?

필요합니다. 개인정보위의 아동·청소년 개인정보 보호 가이드라인(2022. 7.)의 취지에 비추어 보면, 아동을 대상으로 하지 않는 서비스라도 만 14세 미만 이용자가 있음을 인식했다면 법정대리인 동의를 받거나 해당 계정의 이용을 중단하고 수집된 개인정보를 파기해야 합니다. 아동을 받지 않는 정책이라면 '만 14세 미만 이용 불가’를 가입 화면에서 분명히 표시하고, 이용자 본인이 별도로 연령 요건을 확인하게 하는 절차를 두어야 합니다.

Q. 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 처리하면 어떤 제재를 받나요?

5년 이하의 징역 또는 5천만 원 이하의 벌금 대상이고(법 제71조 제3호), 전체 매출액의 3% 이하 과징금 부과 사유이기도 합니다(제64조의2 제1항 제2호). 2026년 9월 11일 시행 개정법(법률 제21445호)은 원칙적 상한 3%는 유지하되, ① 과징금 처분을 받은 날부터 3년이 지나기 전에 같은 호의 위반을 반복한 경우(고의·중대한 과실에 한정), ② 고의·중과실 위반으로 피해 정보주체가 1천만 명 이상인 경우, ③ 시정조치 명령 불이행으로 유출등이 발생한 경우에 한해 상한을 전체 매출액의 10%로 올렸습니다(제64조의2 제2항 신설). 2020년 방송통신위원회는 틱톡이 법정대리인 동의 없이 아동 개인정보 최소 6,007건을 수집한 건 등에 과징금 1억 8,000만 원을 부과한 바 있습니다.

Q. 자녀 위치를 부모에게 보내는 앱은 부모 동의만 받으면 되지 않나요?

개인정보 보호법에서는 그렇습니다. 제22조의2 제1항은 법정대리인의 동의를 받도록 정할 뿐 아동 본인의 동의를 따로 요구하지 않습니다. 위치정보법은 다릅니다. 제25조 제1항이 법정대리인의 동의를 요구하지만, 같은 조 제2항은 준용 대상을 제18조 제2항·제19조 제5항·제24조로 한정합니다. 제19조 제1항의 이용약관 동의와 제2항의 제3자 제공 동의는 그 목록에 없으므로, 위치기반서비스사업자는 아동 본인의 동의를 별도로 받아야 합니다.

Q. 자녀 위치를 부모에게 보낼 때마다 자녀에게 통보해야 하나요?

위치정보법 제19조 제3항은 개인위치정보주체가 지정한 제3자에게 개인위치정보를 제공할 때마다 제공받는 자, 제공일시, 제공목적을 즉시 통보하도록 정합니다. 다만 제4항이 예외를 둡니다. 대통령령으로 정하는 바에 따라 개인위치정보주체의 동의를 받으면 최대 30일의 범위에서 모아서 통보할 수 있습니다. 2023년 자녀안심 앱 처분 5건 중 4건이 이 동의도 받지 않고 매회 통보도 하지 않아 제3항 위반으로 걸렸습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제3조 제1항·제16조 제1항(최소수집 원칙과 입증책임), 제22조의2, 제64조의2 제1항 제2호, 제71조 제3호 — 국가법령정보센터
• 개인정보 보호법 시행령 제17조의2(법정대리인 동의 확인 방법, 최소 수집 정보) — 국가법령정보센터
• 위치정보의 보호 및 이용 등에 관한 법률 제2조 제3호, 제4조, 제9조 제1항, 제14조 제1항 제3호, 제19조, 제25조, 제26조, 제36조의2 제1항, 제39조 제3호 및 같은 법 시행령 제38조 별표5 — 국가법령정보센터
• 아동·청소년 개인정보보호 가이드라인(2022. 7. 제정) — 개인정보보호위원회 안내서
• 「2026년도 개인정보보호위원회 업무 추진계획」 발표(법정대리인 동의 현실화, 아동·청소년 맞춤형 광고 제한 논의) — 개인정보보호위원회 보도자료
• 방송통신위원회, 틱톡 제재 의결(2020. 7. 15.: 아동 개인정보 무단 수집 등)
• 방송통신위원회, 자녀안심 앱 사업자 위치정보법 위반 의결(2023. 6. 28., 제2023-21-051호부터 제055호)