본문바로가기

법무법인 민후는 복수의 계열사를 두고 사업을 운영하는 기업 고객사로부터 계열사들이 각각 수집한 개인정보를 공용 관리시스템에서 통합 관리·활용하는 구조와 관련하여 개인정보보호법상 적법성 및 기존 개인정보 처리에 대한 보완방안에 관한 법률자문을 요청받았습니다. 특히 개인정보를 직접 수집하지 않은 다른 계열사가 해당 정보에 접근하거나 자체적인 영업·마케팅 목적으로 활용하는 경우의 법적 문제를 중점적으로 검토하였습니다.

법무법인 민후는 먼저 계열사 간 개인정보 공유가 개인정보 처리위탁에 해당하는지, 아니면 개인정보의 제3자 제공에 해당하는지를 검토하였습니다. 계열사가 다른 법인의 지시·감독 아래 위탁받은 업무만을 수행하는 것이 아니라 자체적인 사업이나 마케팅 등 독립적인 목적을 위하여 개인정보를 이용한다면 단순한 처리위탁이 아닌 제3자 제공으로 평가될 가능성이 있으므로, 실제 개인정보 처리 목적과 각 법인의 역할을 기준으로 법률관계를 판단할 필요가 있음을 검토하였습니다.

또한 과거 적법한 제3자 제공 동의 등이 확보되지 않은 상태에서 이미 계열사 사이에 공유된 개인정보에 대하여 사후적으로 동의를 취득함으로써 기존 개인정보 처리의 적법성을 보완할 수 있는지를 분석하였습니다. 사후 동의는 향후 개인정보 처리에 대한 적법한 근거를 마련하는 의미가 있으나 이미 이루어진 개인정보 처리까지 소급하여 적법하게 만드는 것은 아니라는 점을 전제로, 현재의 개인정보 처리 상태를 신속하게 점검하고 향후 처리의 적법성을 확보하는 방향으로 개선할 필요가 있음을 자문하였습니다.

아울러 기존 고객정보를 활용하여 다른 계열사의 서비스를 안내하거나 가입을 유도하는 경우에는 최초 개인정보 수집 목적과 기존 마케팅 동의의 범위를 확인할 필요성을 검토하였습니다. 기존에 수집한 연락처를 당초 목적과 다른 계열사의 서비스 홍보에 활용하는 경우 목적 외 이용 문제가 발생할 수 있으므로, 기존 동의의 구체적인 범위를 확인한 후 필요한 경우 새로운 동의를 확보하는 방식으로 개인정보 처리구조를 정비하도록 하였습니다.

이와 함께 공개된 온라인 정보를 활용하여 새로운 고객에게 접근하는 방식에 대해서도 검토하였습니다. 공개된 개인정보의 경우에도 정보주체가 정보를 공개한 목적과 합리적으로 관련된 범위에서 이용할 필요가 있으며, 이를 활용해 신규로 접촉한 이후에는 서비스 가입 과정에서 필요한 개인정보 처리 및 제공에 관한 동의를 적법하게 확보하는 방식으로 운영할 필요가 있음을 검토하였습니다.

법무법인 민후는 기존 개인정보 처리관계를 개선하기 위한 실무적인 방안도 함께 제시하였습니다. 우선 적법한 근거가 명확하지 않은 개인정보에 대한 접근을 제한하고, 현재 보유하고 있는 개인정보를 동의 및 처리근거의 유형에 따라 분류하여 계속 이용 가능 여부를 점검하도록 하였습니다. 아울러 각 계열사가 어떠한 목적으로 개인정보를 이용하는지를 기준으로 처리위탁과 제3자 제공 관계를 명확하게 구분하고, 이에 맞추어 개인정보처리방침과 관련 동의서를 정비하도록 자문하였습니다.

또한 향후 정보보호 관리체계 인증 등을 고려하여 실제 개인정보 처리현황과 내부 개인정보 관리체계의 정합성을 확보할 필요성도 검토하였습니다. 계열사별 접근권한과 개인정보 처리현황을 점검하고, 개인정보 공유구조와 관련 문서를 정비하는 한편 이러한 개선과정을 체계적으로 문서화하여 개인정보 관리체계를 강화할 수 있도록 단계적인 보완방안을 제시하였습니다.

법무법인 민후는 이번 자문을 통해 고객사가 계열사 간 개인정보 통합 관리 및 공유 과정에서 발생할 수 있는 제3자 제공과 처리위탁의 구별, 개인정보 이용범위 및 동의, 기존 처리관계의 개선방안 등을 종합적으로 점검하고, 향후 안정적인 개인정보 관리체계를 구축할 수 있도록 법률자문을 제공하였습니다.

업무 수행 변호사
최근 유사 업무사례
더보기 +
목록