건강 상태를 입력받는 매칭 플랫폼 — 민감정보 동의, 보호자의 대리 신청, 후보에게 먼저 보여 주는 단계

건강 상태를 입력받아 여러 후보에게 보여 준 뒤 한 명을 고르게 하는 매칭 플랫폼은 동의를 세 갈래로 설계해야 합니다. 건강 정보는 민감정보라 다른 동의와 별도로 받아야 하고(개인정보 보호법 제23조 제1항 제1호), 성인 정보주체의 동의를 가족이 대신할 수 있다는 규정은 이 법에 없어 보호자의 대리권을 따로 확인해야 하며, 선정 전 후보 열람은 제3자 제공으로 볼 여지가 커서 단계마다 제공받는 자·항목·보유기간을 나누어 알리는 편이 안전합니다.

환자 대신 진료기록을 받아 주는 서비스를 설계한다면 — 의료법 제21조 대리 발급 서류와 14세 미만 환자

의료법 제21조 제2항은 병원이 환자 아닌 사람에게 진료기록을 내주는 것을 금지하고, 환자가 지정한 대리인은 시행규칙 제13조의3 제2항의 서류를 갖춘 경우에만 기록을 받을 수 있습니다. 요청자 신분증 사본, 환자가 자필 서명한 동의서(별지 제9호의2서식)와 위임장(별지 제9호의3서식), 환자 신분증 사본이 그 서류이고, 14세 미만 환자라면 동의서와 위임장을 법정대리인이 작성하고 법정대리인임을 확인할 서류를 붙여야 합니다. 환자 대신 기록을 받는 서비스를 설계하는 회사가 서류 수집 단계와 받은 기록의 처리 단계에서 확인할 것, 그리고 개인정보 보호법 제35조의2 전송요구와의 관계를 정리했습니다.

병원 연계 앱에서 자체 서비스도 운영합니다 — 병원 연계 데이터 사업자는 수탁자인가 제3자인가

병원의 업무만 병원의 지시·감독 아래 처리하는 병원 연계 데이터 사업자는 개인정보 보호법 제26조의 수탁자로 볼 여지가 큽니다. 다만 같은 앱에서 자기 회원 서비스나 자사 상품 홍보를 함께 하면, 병원 몫 정보를 그 용도로 쓰는 순간 제26조 제5항의 목적 외 이용이 되고 구조 전체가 제3자 제공으로 판단될 위험도 생깁니다. 지위를 회사 단위가 아니라 데이터 흐름 단위로 나누어야 하는 이유와, 병원(위탁자)과 사업자(수탁자)가 각각 갖출 문서·공개·동의를 정리했습니다.

한국 법인이 해외 이용자에게만 AI 서비스를 제공하면 AI기본법이 적용되나 — 역외 조항을 거꾸로 읽을 때 생기는 오해

AI기본법 제4조 제1항은 국외에서 이루어진 행위라도 국내 시장이나 이용자에게 영향을 미치면 법을 적용한다는 확장 규정입니다. 이 조문을 거꾸로 읽어 국내 이용자가 없으면 적용되지 않는다고 결론 내리는 것은 문언이 뒷받침하지 않는 것으로 보입니다. 한국 법인이 국내에서 개발·운영하는 행위는 처음부터 국내 행위이고, 의무 조문의 이용자에도 소재지 제한이 없습니다. 해외 투자자 실사에는 적용 없음 한 줄보다 조문별 판단으로 답하는 편이 안전합니다.

위치 권한 팝업은 받았는데 위치기반서비스 이용약관 동의는 없었다 — 방송통신위원회 의결은 이 차이를 어떻게 처분했나

앱이 운영체제의 위치 권한 팝업으로 받은 허용은 정보통신망법 제22조의2의 접근권한 동의이고, 위치정보법 제19조 제1항이 요구하는 위치기반서비스 이용약관 동의와는 근거와 내용이 다릅니다. 방송통신위원회 의결에서 제19조 제1항 위반은 약관 내용이 부족했던 사건과 동의 주체를 빠뜨린 사건으로 나뉘었고, 현행법은 앞의 것을 과태료로, 동의 없는 이용을 과징금과 형벌로 정합니다. 약관 동의가 아예 없는 앱은 무거운 쪽에 가깝다고 보입니다.

「수백 개 고객사와 위수탁 계약을 다 맺을 수 없습니다」 — 수탁 SaaS의 약관과 정책 링크로 제26조 문서 요건이 서는가

고객사 수백 곳의 개인정보를 처리하는 B2B SaaS가 고객사마다 위수탁 계약서를 따로 맺지 않아도 되는지 정리했습니다. 개인정보위 안내서는 수탁자 서비스를 이용하는 형태의 위탁이면 약관으로 계약할 수 있다고 보지만, 법 제26조 제1항과 시행령 제28조 제1항의 기재 사항이 모두 들어가야 합니다. 재위탁 동의는 범위와 절차를 미리 정해 약관에 둘 수 있고, 재수탁자 목록은 수탁자 처리방침 링크로 공개하는 방식이 안내돼 있습니다. 고객사가 위탁 사실을 공개하지 않은 데 따른 과태료는 위탁자 몫입니다.

투자 실사가 임직원 개인정보를 보기 시작했습니다 — 일괄 동의서·퇴직자 기록·임직원 처리방침, 무엇이 선행조건이고 무엇이 확약으로 가나

투자 실사의 개인정보 항목이 고객 데이터에서 임직원 데이터로 넓어지고 있습니다. 지적이 잘 나오는 곳은 민감정보·고유식별정보를 구분 없이 한 번에 묶어 받은 입사 동의서, 법정 보존기간이 지난 퇴직자 기록, 임직원 처리 내용이 빠진 처리방침 세 곳입니다. 처리방침 정비와 보존기간이 지난 기록의 파기는 클로징 전에 완료할 수 있어 선행조건에 맞고, 이미 지난 처리의 흠은 확약으로 지워지지 않으므로 진술보증이나 면책으로 다뤄야 합니다.

가족 계정에서 자녀가 치매 부모의 건강정보를 관리해도 되나 — 성인 가족의 동의와 후견인 확인

성인의 건강정보는 본인이 정보주체이고, 부모와 자녀라는 관계만으로는 서로를 대신해 동의할 권한이 생기지 않습니다. 개인정보 보호법이 동의 주체로 명시한 법정대리인은 만 14세 미만 아동의 법정대리인뿐이며, 성년후견인이 대신 동의할 수 있는지는 가정법원이 정한 법정대리권과 신상결정 권한의 범위에 따라 달라질 여지가 있습니다. 건강 관리 앱의 가족 공유 기능을 본인 동의 중심으로 설계하는 방법과, 대리 신청을 받을 때 후견등기사항증명서로 권한 범위를 확인하는 방법을 정리합니다.

건강정보를 회원가입 동의에 함께 묶어 받아도 되나 — 조사에서 포괄 동의로 지적된 뒤 고칠 것

건강정보는 민감정보이므로 개인정보 보호법 제23조 제1항 제1호에 따라 다른 개인정보 처리에 대한 동의와 별도로 동의를 받아야 합니다. 회원가입 동의 한 번에 묶어 받으면 동의 방법의 하자를 넘어 민감정보를 동의 없이 처리한 것으로 다뤄질 수 있고, 이 경우 과징금(제64조의2 제1항 제3호)과 형벌(제71조 제4호)의 대상이 됩니다. 개인정보위가 포괄 동의를 제23조 제1항 위반으로 본 의결과, 지적된 뒤 동의 화면·고지·기존 데이터를 어떻게 정리해야 하는지를 정리합니다.

CCTV 영상을 넘기지 않고 말로만 전해도 「이용」입니까 — 대법원 2023도18539 파기환송과 남은 쟁점

CCTV 영상을 외부로 내보내지 않고 들여다본 뒤 그 내용을 말로 전해 징계 자료로 쓴 행위도 대법원은 개인정보의 「이용」이라고 보았습니다(대법원 2025. 6. 26. 선고 2023도18539 판결). 다만 이 판결은 파기환송이고 유죄 확정이 아니며, 그 이용이 수집 목적의 범위를 넘었는지와 영상을 본 사람이 개인정보처리자인지는 환송심에 남았습니다. 회사가 설치 목적과 개인정보 보호법 제18조 제2항의 근거를 어떤 순서로 확인할지, 그리고 목적 밖의 이용이나 동의 없는 제공을 다른 법률의 규정으로 정당화하려 한 공공기관 행정사건 두 건에서 결론이 어떻게 갈렸는지를 정리합니다.