개인정보 수집·이용 관련 내용증명·경고장 대응 시 주장 범위를 정하는 방법

핵심 요약

주요 쟁점: 개인정보 수집·이용에 관한 내용증명이나 경고장에 대응할 때에는 실제 개인정보 처리행위가 있었는지, 적법한 처리 근거가 존재하는지, 상대방의 요구가 법률상 인정되는 범위인지 구분해야 합니다.

먼저 확인할 내용: 경고장 원문, 개인정보의 종류와 수집 경위, 동의 기록, 계약관계, 개인정보 처리방침, 이용·제공 내역 및 보유기간을 확인해야 합니다.

초기 대응: 상대방의 주장을 사실관계별로 분류하고 확인된 사실, 다툼이 있는 사실, 추가 조사가 필요한 사실을 구분하여 회신 범위를 정해야 합니다.

주의사항: 충분한 조사 없이 위법행위를 포괄적으로 인정하거나 모든 주장을 부인해서는 안 됩니다. 관련 기록을 삭제하거나 불필요한 개인정보를 상대방에게 추가 제공하는 행동도 피해야 합니다.

고객정보나 회원정보, 거래처 담당자의 연락처 등을 수집·이용한 문제로 내용증명이나 경고장을 받는 경우가 있습니다. 상대방은 동의 없는 개인정보 수집, 목적 외 이용, 제3자 제공 또는 삭제 요구 불이행을 주장하면서 사용 중단이나 손해배상을 요구할 수 있습니다.

이때 중요한 것은 경고장에 기재된 표현을 그대로 받아들이거나 즉시 반박하는 것이 아닙니다. 실제 어떤 정보를 어떤 경위로 처리했는지 확인하고, 인정할 수 있는 사실과 법적으로 다툴 부분을 구분해야 합니다.

개인정보 수집·이용의 적법성을 판단하는 기준

개인정보 보호법 제15조는 개인정보를 수집·이용할 수 있는 법적 근거를 규정하고 있습니다. 정보주체의 동의뿐 아니라 법령상 의무 이행, 계약 이행에 필요한 경우, 일정한 정당한 이익 등 법률이 정한 사유가 문제될 수 있습니다.

따라서 동의서가 없다는 사실만으로 모든 개인정보 수집·이용이 위법하다고 단정해서는 안 됩니다. 반대로 개인정보 처리방침을 게시했다는 사정만으로 모든 처리행위가 적법해지는 것도 아닙니다.

개인정보 보호법 제16조는 수집 목적에 필요한 최소한의 개인정보를 수집하도록 규정하고 있습니다. 적법한 수집 근거가 있더라도 실제 수집한 항목이 목적에 비해 과도했는지 별도로 검토해야 합니다.

수집 이후 다른 목적으로 정보를 이용하거나 제3자에게 제공했다면 제17조와 제18조의 요건도 확인해야 합니다. 수집, 이용, 제공, 보관과 파기는 서로 구별되는 개인정보 처리행위입니다.

내용증명·경고장에서 먼저 확인할 요구사항

상대방이 보낸 문서에는 사실관계에 관한 주장과 법적 평가, 요구사항이 함께 기재되는 경우가 많습니다. 회신서를 작성하기 전에 이 세 가지를 분리하는 것이 좋습니다.

예를 들어 상대방이 동의 없이 연락처를 수집했다고 주장한다면 실제 수집 경위가 무엇인지 먼저 확인해야 합니다. 이후 그 수집에 적법한 근거가 있었는지, 상대방이 주장하는 손해와 관련성이 있는지를 검토해야 합니다.

내용증명은 상대방이 특정 내용을 통지했다는 사실을 입증하는 데 도움이 되는 문서입니다. 그 안에 적힌 법률 위반 주장이나 손해배상액이 법적으로 확정되었다는 의미는 아닙니다.

동의 기록과 개인정보 처리방침을 대조하는 방법

개인정보 수집·이용 동의가 쟁점이라면 동의 문구뿐 아니라 실제 동의를 받은 시점과 방식, 당시 화면 또는 서식의 내용을 확인해야 합니다.

온라인 서비스에서는 회원가입 화면의 동의 항목, 체크박스 설정, 동의 시각과 이력, 약관 및 개인정보 처리방침의 버전 기록이 중요할 수 있습니다. 현재 화면이 적법하게 구성되어 있더라도 과거 수집 당시의 내용이 달랐다면 별도로 검토해야 합니다.

동의를 근거로 수집했다면 수집·이용 목적, 수집 항목, 보유·이용기간 및 동의 거부권 등에 관한 고지가 적절했는지 확인해야 합니다. 필수 동의와 선택 동의를 구분해야 하는 사안인지도 살펴야 합니다.

계약 이행이나 법령상 의무 등 동의 외의 근거를 주장하려는 경우에는 해당 개인정보가 그 목적을 달성하는 데 실제로 필요했는지 설명할 수 있어야 합니다. 단순히 사업 운영에 편리했다는 사정만으로 정당화되는 것은 아닙니다.

수집·이용·제3자 제공·처리위탁을 구분해야 합니다

개인정보 관련 경고장에서는 서로 다른 처리행위를 하나의 위반행위로 묶어 주장하는 경우가 있습니다. 그러나 개인정보를 직접 수집한 행위와 다른 회사에 제공한 행위, 외부업체에 처리업무를 맡긴 행위는 법적으로 구별해야 합니다.

예를 들어 고객에게 상품을 배송하기 위해 배송업체가 개인정보를 처리하는 경우에는 계약관계와 실제 처리 구조에 따라 개인정보 처리위탁 문제가 발생할 수 있습니다. 반면 다른 회사가 자신의 독립적인 목적을 위해 고객정보를 이용하도록 제공했다면 제3자 제공 여부를 검토해야 합니다.

처리위탁이라고 주장하려면 위탁계약과 업무 범위, 수탁자의 개인정보 이용 목적, 관리·감독 자료 등을 확인해야 합니다. 계약서 제목만 위탁계약이라고 되어 있다는 이유로 실제 처리행위의 성격이 결정되는 것은 아닙니다.

제3자 제공이나 목적 외 이용이 확인된다면 동의 또는 다른 법적 근거가 있었는지 검토해야 합니다. 경고장에 대한 회신에서도 어떤 처리행위에 관하여 적법성을 주장하는지 명확히 구분하는 것이 좋습니다.

회신서에서 인정할 사실과 다툴 주장을 나누는 방법

회신서를 작성할 때에는 확인된 객관적 사실과 법률적 판단을 분리해야 합니다. 개인정보를 보유하고 있다는 사실을 인정하는 것과 그 보유가 위법하다는 평가를 인정하는 것은 서로 다릅니다.

확인된 사실에 대해서는 수집 경위와 처리 목적, 관련 자료를 중심으로 설명할 수 있습니다. 반면 상대방이 주장하는 제3자 제공이나 목적 외 이용이 확인되지 않았다면 어떤 자료를 검토했고 어떤 부분이 확인되지 않았는지 구체적으로 밝히는 방안을 검토해야 합니다.

위반 가능성이 발견되었다면 이를 일괄적으로 부인하기보다 해당 처리행위의 범위와 기간, 영향을 받은 정보의 종류를 확인해야 합니다. 필요한 시정조치를 검토하면서 법적 책임의 범위에 대해서는 별도로 판단할 수 있습니다.

상대방이 요구하는 사과문이나 위법행위 인정서, 손해배상 확약서에 서명하기 전에는 문구의 법적 의미를 검토해야 합니다. 특정 사실을 인정하는 표현이 향후 민사소송이나 행정조사에서 어떻게 사용될 수 있는지도 살펴야 합니다.

상대방에게 제출할 자료의 범위를 정하는 기준

상대방이 동의 기록이나 개인정보 처리내역 전체를 제출하라고 요구하더라도 모든 내부자료를 그대로 제공해야 하는 것은 아닙니다. 요청자의 법적 지위와 자료의 성격, 개인정보 열람권의 범위 및 별도 법률상 제출의무를 확인해야 합니다.

특히 동의 이력이나 시스템 로그에는 다른 회원의 개인정보, 직원 정보, 보안상 민감한 내용이 함께 포함될 수 있습니다. 필요한 부분만 추출하거나 적절하게 가린 자료를 제공하는 방법을 검토해야 합니다.

정보주체 본인의 개인정보 열람 요구라면 개인정보 보호법상 열람청구 절차와 제한·거절 사유를 확인해야 합니다. 반면 경쟁업체나 거래 상대방이 보낸 경고장이라면 그 업체가 다른 사람의 개인정보 처리내역까지 요구할 권한이 있는지 별도로 검토해야 합니다.

자료를 제출할 때에는 제공한 문서의 버전과 범위, 제공일, 수신자를 기록해 두는 것이 좋습니다. 불필요한 원본 데이터베이스나 전체 고객명단을 첨부하는 행동은 추가적인 개인정보 침해 위험을 만들 수 있습니다.

삭제·처리정지 요구와 증거보존을 함께 검토해야 합니다

개인정보 삭제나 처리정지 요구가 있다면 해당 요구의 법적 근거와 처리 가능 범위를 확인해야 합니다. 보유기간이 경과했거나 처리 목적이 달성된 개인정보는 개인정보 보호법상 파기의무가 문제될 수 있습니다.

다만 다른 법령에 따른 보존의무가 있는 자료나 분쟁 대응에 필요한 기록은 보유 근거와 기간을 별도로 검토해야 합니다. 분쟁이 발생했다는 이유만으로 모든 개인정보를 무기한 보관할 수 있는 것은 아닙니다.

경고장을 받은 직후 관련 시스템 로그나 동의 기록을 임의로 삭제하면 당시 처리 경위를 확인하기 어려워질 수 있습니다. 반대로 위법 가능성이 있는 이용행위를 계속하는 것도 문제가 될 수 있으므로 현재의 처리 중단 여부와 과거 기록의 적법한 보존을 구분해야 합니다.

삭제·파기 조치를 실시했다면 처리 대상과 시점, 방법 및 근거를 기록하는 것이 좋습니다. 회신서에 이미 파기했다고 기재하기 전에는 실제 시스템과 백업자료의 처리 상태를 확인해야 합니다.

내용증명 회신 이후 진행될 수 있는 절차

내용증명이나 경고장에 회신했다고 해서 분쟁이 종료되는 것은 아닙니다. 상대방이 추가 자료를 요청하거나 개인정보 분쟁조정, 개인정보보호위원회 신고·민원, 손해배상청구 등의 절차를 진행할 수 있습니다.

개인정보보호위원회의 조사나 자료제출 요구가 있는 경우에는 단순한 사적 경고장과 달리 법령상 조사권한과 제출의무를 확인해야 합니다. 요구받은 자료의 범위와 제출기한, 개인정보 보호조치를 검토하여 대응해야 합니다.

손해배상청구가 제기된다면 위법행위와 손해 발생, 인과관계, 법률상 책임요건이 쟁점이 될 수 있습니다. 개인정보 보호법에는 일반적인 손해배상책임 외에 법정손해배상 등 특별한 규정도 있으므로 청구 근거를 확인해야 합니다.

행정조사와 민사분쟁, 형사절차가 함께 문제되는 경우에는 각 절차의 주장과 제출자료가 서로 모순되지 않도록 관리해야 합니다. 초기 회신서에서 불필요하게 넓은 범위의 사실을 인정하거나 단정적인 설명을 하는 것은 주의할 필요가 있습니다.

초기 대응에서 피해야 할 행동

경고장을 받았다는 이유로 관련 이메일과 서버 로그, 동의 기록을 일괄 삭제해서는 안 됩니다. 기록이 사라지면 적법한 처리 근거를 입증하기 어려워질 뿐 아니라 새로운 분쟁이 발생할 수 있습니다.

상대방을 압박하거나 법적 대응을 예고하는 감정적인 회신도 피하는 것이 좋습니다. 상대방의 주장 중 사실과 다른 부분은 객관적인 근거로 반박하고, 확인되지 않은 부분은 추가 확인이 필요하다는 점을 명확히 해야 합니다.

또한 담당 직원의 설명만으로 처리 구조를 확정해서는 안 됩니다. 실제 데이터베이스와 외부 서비스 연동, 위탁업체의 처리내역, 운영 당시 동의 화면을 함께 확인해야 합니다.

내부적으로 확인된 문제를 감추기 위해 처리방침이나 동의 기록을 소급하여 수정하는 행동도 피해야 합니다. 개선된 정책은 시행일과 변경 이력을 구분하여 관리해야 합니다.

사건을 검토할 때 확인해야 할 사항

유왕현 변호사는 개인정보 수집·이용 관련 경고장 대응을 검토할 때 먼저 상대방이 주장하는 처리행위를 수집, 이용, 제공, 위탁, 보관 및 파기 단계로 구분하는 관점에서 접근합니다.

그다음 실제 데이터 처리내역과 동의 기록, 개인정보 처리방침, 계약서 및 시스템 로그를 비교해야 합니다. 적법한 처리 근거를 뒷받침하는 자료뿐 아니라 수집 목적을 벗어난 이용이나 고지 누락 등 불리하게 해석될 수 있는 부분도 함께 검토할 필요가 있습니다.

회신서의 주장 범위는 확인된 사실과 확보된 증거를 기준으로 정해야 합니다. 상대방 요구에 대한 답변, 필요한 시정조치, 향후 분쟁에서 다툴 법적 쟁점을 구분하여 대응하는 것이 중요합니다.

상담 전 준비사항과 자주 묻는 질문

상담 전에는 받은 내용증명·경고장 원문, 발송·수령일, 개인정보 처리방침의 당시 버전, 동의 화면과 기록, 개인정보 수집 경위, 이용·제공 내역, 위탁계약서, 관련 시스템 로그 및 상대방과 주고받은 메시지를 준비하는 것이 좋습니다.

개인정보 수집 동의서가 없다면 개인정보보호법 위반인가요?

동의 외에도 개인정보 보호법 제15조에서 정한 적법한 처리 근거가 존재할 수 있습니다. 다만 실제 처리 목적과 수집 항목이 그 요건에 해당하는지 확인해야 합니다.

내용증명을 받으면 요구한 기한 내에 답변해야 하나요?

상대방이 임의로 정한 회신기한과 법령상 정해진 처리기한은 구분해야 합니다. 다만 정보주체의 법정 권리행사나 행정기관의 요구가 포함되어 있다면 해당 절차와 기한을 확인해야 합니다.

경고장에 적힌 위법행위를 전부 부인해도 되나요?

객관적으로 확인된 사실과 다툼이 있는 법률적 평가를 구분해야 합니다. 실제 처리행위가 확인되었다면 그 범위를 명확히 하고 적법성이나 책임 여부를 별도로 검토하는 것이 좋습니다.

상대방에게 고객정보 전체를 제출해야 하나요?

요구자의 법적 권한과 제출의무를 확인해야 합니다. 다른 정보주체의 개인정보가 포함된 자료를 무분별하게 제공하면 별도의 문제가 발생할 수 있습니다.

경고장을 받은 뒤 개인정보를 삭제하면 문제가 해결되나요?

삭제가 필요한 정보인지, 법정 보존의무가 있는지, 분쟁 관련 기록을 어떻게 적법하게 보존할 것인지 검토해야 합니다. 삭제만으로 과거 처리행위에 관한 법적 책임이 사라지는 것은 아닙니다.

개인정보 처리방침에 적혀 있으면 별도 동의 없이 이용할 수 있나요?

처리방침의 게시와 개인정보 수집·이용의 적법한 근거는 구분해야 합니다. 실제 처리행위가 개인정보 보호법상 어느 근거에 해당하는지 확인해야 합니다.

참고 법령과 절차

법률 고지

이 글은 개인정보 수집·이용 관련 내용증명이나 경고장에 대응할 때 주장 범위를 정하는 일반적인 기준과 절차를 설명하기 위한 정보입니다. 실제 적용 법률과 대응 방향은 구체적인 사실관계, 증거와 사건 진행 상황에 따라 달라질 수 있습니다.