<3>개인정보에도 등급이 있을까[정세진 변호사의 알쓸데이터법]

'민감도'에 따라 구분하는 개인정보

다음 ①~④의 개인정보 중 수집∙이용하기 위해 따로 구분하여 동의를 받아야 하는 정보는 어느 것일까?
①휴대전화번호, ②최종학력, ③생년월일, ④정치적 견해
정답은 ④이다. 개인정보 보호법은 개인정보를 크게 3가지로 분류하고 있는데 그 분류에 따르면①~③과 ④는 구분되는 정보이기 때문이다.

그렇다면 개인정보에도 등급이 있는 것일까? 어느 정도는 맞는 이야기이다.

개인정보 보호법에서는 모든 개인정보를 동일하게 취급하지 아니하고 그 민감도에 따라 일반 개인정보, 민감정보, 고유식별정보로 구분하고 있다.

민감정보는 개인정보 중 개인의 사생활을 침해할 우려가 큰 정보여서 보다 엄격히 보호될 필요성이 있는 정보를 의미한다. 사상·신념, 노동조합의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 유전자 검사 결과, 범죄경력정보 등이 이에 해당한다.

또한, 개인의 신체적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보도 민감정보에 해당한다. 즉, 앱서비스를 제공하는 회사가 지문이나 얼굴정보로 로그인을 하는 기능을 제공하고 있다면 이는 민감정보를 수집·이용하고 있는 것이다.고유식별정보란 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호를 말하는데, 법에서 개인을 고유하게 구별하기 위해 부여하는 정보를 의미한다. 예를 들어, 사번, 학번 등과 같은 정보는 개인을 고유하게 구별할 수 있는 정보이지만 법에서 부여한 것이 아니기에 고유식별정보에는 해당하지 않는다.

개인정보 구분하는 이유는

이 세 가지 분류에 대해 법에서는 어떠한 차이를 두고 있을까? 가장 중요한 점은 세 항목을 구분하여 각각 동의를 받아야 한다는 점이다(주민등록번호에 대해서는 다른 기준을 두고 있는데, 주민등록번호는 너무나 중요한 정보이니 별도 회차에서 설명할 예정이다). 예를 들어, 수집하려고 하는 정보에 일반 개인정보와 민감정보가 섞여 있다면 '일반 개인정보 동의란'과 '민감정보 동의란'을 따로 만들어서 동의를 받아야 한다. 또한 민감정보와 고유식별정보에 대해서는 동의없이 이용할 수 있는 예외사유를 엄격히 제한하고 있고 암호화 등 보관 시의 조치도 강화하고 있다. 더 중요한 정보이니 더 많은 제한을 두고 있는 것이다.

그러면, 개인 및 회사는 어떠한 점에 신경을 써야 할까?
서비스 이용하는 개인의 입장에서 생각해보면, 민감정보와 고유식별정보는 나한테 특히 중요한 정보라는 점을 인식해야 한다. 따라서 서비스 가입시 '민감정보' 또는 '고유식별정보'라는 글자가 들어가 있는 동의란이 있다면 그 목적을 꼼꼼히 읽어보고 가능한 엄격한 시각에서 동의여부를 결정할 필요가 있다.

고객의 개인정보를 이용해야 하는 회사의 입장이라면, 먼저 이용하고자하는 고객의 개인정보 항목을 정리한 뒤 이 중에 민감정보나 고유식별정보가 포함되어 있는지 확인하여야 한다. 만약 민감정보나 고유식별정보가 포함되어 있다면 별도의 동의란을 만들어서 동의를 받아야만 적법한 동의가 된다는 점을 잊지 말아야 한다. 또한 지문정보나 얼굴정보를 이용하여 로그인할 수 있는 기능을 제공하고 있다면 이는 민감정보를 수집∙이용하는 것이라는 점도 기억하도록 하자.

[필자 소개]
정세진 율촌 변호사(43·변호사시험 3회)는 핀테크·데이터 전문 변호사다. 카드3사 유출사건 등 주요 개인정보 유출 관련 사건을 수행했으며, 빅데이터, 마이데이터, 클라우드, 혁신금융서비스, AI, 가상자산, 토큰증권 등 핀테크 산업과 관련된 다양한 법률 자문을 제공하고 있다.

개발자 출신의 엔지니어이기도 했던 정 변호사는 개발자들 사이에서 '말이 잘 통하는 변호사'로 통한다. 전문분야인 디지털 금융의 기본 법률을 다룬 책 '디지털금융 기초 법률상식'을 지난해 10월 출간했다.

성균관대 법학전문대학원과 한국금융연수원에서 겸임교수로도 활동 중인 정 변호사는 다양한 디지털 금융 관련 강의도 진행하고 있다.

정세진 법무법인 율촌 변호사