개인정보 보호법 제15조, 개인정보 수집·이용이 가능한 경우
인터넷 쇼핑몰에서 상품을 주문하거나, 병원에 접수할 때, 혹은 모바일 앱을 설치할 때마다 마주치는 ‘개인정보 수집·이용 동의서’. 기업이나 기관은 어떠한 법적 권한으로 우리의 이름, 전화번호, 주소를 요구하는 것일까요?
개인정보 보호법 제15조는 개인정보 처리의 첫 관문이자 가장 중요한 근간입니다. 원칙적으로 개인정보는 수집 목적의 범위 안에서만 이용할 수 있으며, 법률이 허용하는 6가지 엄격한 사유 중 하나에 해당해야만 적법하게 수집할 수 있습니다.
본 가이드에서는 제15조에서 규정한 합법적 수집 근거 6가지, 동의를 받을 때 반드시 고지해야 할 법정 필수 사항, 동의 없이도 처리가 가능한 예외 요건, 그리고 당초 수집 목적과 합리적으로 연관된 추가 이용 범위까지 알기 쉽게 정리해 드립니다.
- 제15조 핵심 원칙: 개인정보처리자는 정보주체의 동의를 받거나 법률상 근거가 있는 경우에 한하여 개인정보를 수집할 수 있으며, 그 목적 범위 내에서만 이용해야 합니다.
- 동의 시 4대 법정 고지사항: ① 수집·이용 목적, ② 수집하는 항목, ③ 보유 및 이용 기간, ④ 동의 거부 권리 및 불이익 내용을 고지하지 않은 동의는 법적 무효입니다.
- 동의 없는 수집 예외: 법률에 특별한 규정이 있거나, 정보주체와의 계약 체결 및 이행을 위해 불가피한 경우, 급박한 생명·신체 보호를 위한 경우에는 동의 없이 수집 가능합니다.
1. 개인정보 보호법 제15조의 입법 취지와 기본 구조
개인정보 보호법 제15조는 개인정보 처리자가 개인정보를 취득할 수 있는 적법한 문턱을 규정합니다. 헌법재판소 판례에 따라 개인정보 처리는 원칙적으로 ‘정보주체의 동의’ 또는 ‘법률의 명시적 허용’이 있어야만 정당성이 부여됩니다.
또한 제15조는 수집할 수 있는 개인정보의 양을 제한하는 ‘최소 수집의 원칙’을 내포하고 있습니다. 서비스를 제공하는 데 필요하지 않은 과도한 개인정보를 관행적으로 수집하는 행위는 설령 동의를 받았더라도 법 위반 소지가 있습니다.
법제처 및 개인정보보호위원회 공식 국가법령 포털에서 안전하게 법적 조항과 표준 서식을 즉시 확인하세요.
2. 개인정보를 수집·이용할 수 있는 6대 법적 근거
법 제15조 제1항에 따르면 다음 6가지 사유 중 하나에 해당해야만 합법적 수집·이용이 가능합니다.
| 호수 | 법적 요건 | 실무 적용 예시 |
|---|---|---|
| 제1호 | 정보주체의 동의를 받은 경우 | 웹사이트 회원가입, 뉴스레터 신청, 이벤트 응모 |
| 제2호 | 법률에 특별한 규정 또는 의무 준수 | 세법상 현금영수증 발급, 근로기준법상 근로자 명부 작성 |
| 제3호 | 공공기관이 소관 업무 수행을 위해 불가피 | 주민등록 관리, 세무조사, 경찰 수사, 복지급여 지급 |
| 제4호 | 계약 체결 및 이행을 위해 불가피 | 물품 배송 주소, 결제 대금 청구, 서비스 제공 계정 개설 |
| 제5호 | 생명·신체·재산의 급박한 이익 보호 | 의식불명 환자의 응급 처치, 재난 상황 긴급 구호 |
| 제6호 | 처리자의 정당한 이익 달성을 위한 경우 | 부정 이용(어뷰징) 방지, 서비스 보안 모니터링 |
3. 정보주체의 유효한 동의를 받기 위한 4대 필수 고지
제1호에 따라 정보주체에게 동의를 받을 때, 단순히 ‘동의함’ 체크박스만 두어서는 법적 효력이 없습니다. 법 제15조 제2항은 다음 4가지 사항을 명확히 고지하도록 강제하고 있습니다.
- 1) 개인정보의 수집·이용 목적: 무엇을 위해 정보를 수집하는지 구체적으로 명시 (예: 회원 식별 및 상품 배송).
- 2) 수집하려는 개인정보의 항목: 이름, 연락처, 배송지 주소 등 수집 대상 명시.
- 3) 개인정보의 보유 및 이용 기간: 회원 탈퇴 시까지, 혹은 전자상거래법에 따른 5년 등 보관 기한 특정.
- 4) 동의를 거부할 권리가 있다는 사실 및 거부 시 불이익: 비필수 항목 동의 거부 시 서비스 이용 제한을 두어서는 안 된다는 사실 고지.
4. 동의 없이도 수집·이용이 허용되는 불가피한 예외 사유
실무에서 가장 잦은 혼선은 “동의가 없으면 절대 수집할 수 없는가?”입니다.
대표적으로 제4호(계약의 체결 및 이행)가 있습니다. 인터넷에서 책을 구매한 고객의 배송지 주소와 전화번호는 물품 배송이라는 계약을 이행하기 위해 필수적이므로, 별도의 체크박스 동의를 받지 않더라도 구매 계약 체결 자체에 포함되어 적법하게 처리됩니다.
5. 합리적 관련 범위 내 ‘추가적인 이용’ (제15조 제3항)
수집 당시 예측하지 못했던 새로운 서비스 개선을 위해 정보를 활용하고 싶다면 어떻게 해야 할까요?
법 제15조 제3항은 당초 수집 목적과 합리적으로 관련된 범위 내에서, 정보주체에게 불이익이 발생하지 않고, 암호화 등 안전성 확보조치를 거친 경우에는 정보주체의 추가 동의 없이도 개인정보를 이용할 수 있도록 길을 열어두고 있습니다. (예: 구매 고객에게 주문 상품의 배송 조회 안내 또는 필수 리콜 공지 발송).
6. 제15조 수집과 제18조 목적 외 이용의 명확한 차이
제15조와 제18조는 적용 국면이 다릅니다. 제15조는 정보를 ‘처음 취득하여 당초 목적대로 쓸 때’의 기준인 반면, 제18조는 이미 수집된 정보를 ‘당초 목적과 전혀 무관한 엉뚱한 용도로 쓰거나 외부 제3자에게 넘길 때’의 엄격한 차단 기준입니다.
7. 적법한 개인정보 수집을 위한 실무 체크리스트
- ✔️ 필수/선택 구분: 서비스 제공에 필수적인 정보와 부가 혜택(마케팅 등)을 구분하여 선택권을 보장했는가?
- ✔️ 4대 고지 명시: 목적, 항목, 보유기간, 거부권이 화면에 누락 없이 명시되었는가?
- ✔️ 기본 체크 금지: 동의 체크박스가 미리 체크(Pre-checked)되어 있지 않고 사용자가 직접 선택하도록 하였는가?
- ✔️ 최소 수집 준수: 신분증 번호나 가족관계 등 불필요한 과도 수집을 차단하였는가?
8. 자주 묻는 질문 (FAQ 8문 8답)
절대 불가능합니다. 개인정보 보호법 제16조 제3항에 따라 필수 항목 외의 선택 항목(마케팅 동의 등)에 동의하지 않는다는 이유로 기본 서비스 제공을 거부하면 3천만 원 이하의 과태료가 부과됩니다.
위법입니다. 정보주체의 진정한 의사에 의한 능동적 동의여야 하므로, 체크박스를 미리 채워두거나(디폴트 체크) 약관 전문에 동의를 끼워넣는 방식은 법적 효력이 인정되지 않습니다.
네, 텔레마케팅(TM) 등 유선 통화 시에도 법정 4대 고지사항(목적, 항목, 보유기간, 거부권)을 안내원이나 ARS 음성을 통해 명확히 낭독하고 구두 동의를 녹취해야 합니다.
안 됩니다. 배송 목적으로 수집한 주소를 마케팅 용도로 사용하는 것은 당초 수집 목적을 벗어난 행위이므로 사전에 별도의 마케팅 동의를 받지 않았다면 불법입니다.
법 제22조의2에 따라 반드시 법정대리인(부모 등)의 동의를 받아야 하며, 법정대리인이 동의했는지를 확인하는 절차를 필수적으로 거쳐야 합니다.
법 제21조에 따라 보유기간이 끝난 개인정보는 즉시 영구 삭제 및 파기해야 하며, 다른 법률에 따라 보존해야 하는 경우 다른 DB와 물리적·논리적으로 분리 보관해야 합니다.
거짓이나 부정한 방법으로 개인정보를 취득하거나 권한 없이 이용한 경우 제71조에 따라 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해질 수 있습니다.
세금 납부, 4대 보험 신고 등 법령상 의무 준수에 필요한 정보는 제15조 제1항 제2호에 따라 동의 없이 수집 가능하지만, 사내 동호회 명부나 복지 마일리지 등 부가 목적은 동의를 받아야 합니다.