고객사는 온라인 플랫폼 기반 서비스를 운영하는 기업으로 정보보호 및 개인정보보호 관리체계에 따른 ISMS-P 인증 심사 과정에서 개인정보 수집·이용 동의 방식과 처리 항목 구분과 관련해 일부 결함 지적을 받음에 따라 해당 지적사항을 어떻게 개선하는 것이 적절한지에 대해 자문을 요청하였습니다.
법무법인 민후는 고객사의 개인정보 처리 흐름과 실제 서비스 운영 방식을 기준으로 이벤트 당첨자에 대한 경품 발송과 같이 서비스 이행에 필수적인 범위의 개인정보는 처리 목적과 보유 기간이 보다 명확히 드러나도록 표현을 정비할 필요가 있다는 점을 안내하였습니다. 이를 통해 개인정보를 이벤트 ‘참여’ 목적이 아닌 ‘당첨자 대상 경품 제공’ 목적에 한정해 처리하고 있다는 점이 분명히 드러나도록 문구를 조정하는 방향을 제시하였습니다.
또한 통계 목적의 개인정보 활용과 관련해 일반 개인정보를 동의 없이 사용하는 방식은 제한될 수 있으나 적절한 절차를 거친 가명정보 활용 구조를 도입할 경우 보다 안정적인 운영이 가능하다는 점을 설명하였습니다. 아울러 동의 없이 처리 가능한 개인정보에 대해 선택 동의를 함께 받고 있는 현재 구조 자체가 곧바로 제재로 이어지지는 않더라도 개인정보처리방침과 실제 운영 방식 간 불일치가 발생하지 않도록 정합성을 확보하는 것이 중요하다는 점을 강조하였습니다.
법무법인 민후는 이번 자문을 통해 고객사가 인증 유지 및 향후 점검에 대비해 개인정보 처리 목적, 동의 구조, 가명정보 활용 여부를 명확히 정리하고 이를 개인정보처리방침과 서비스 화면 전반에 일관되게 반영하는 것이 바람직하다는 방향의 자문을 제공하였습니다.
