개인정보 수집·이용 분쟁에서 합의서와 계약 수정 시 확인할 조항

핵심 요약

주요 쟁점: 개인정보 수집·이용 분쟁에서는 개인정보 처리의 법적 근거, 수집 목적과 실제 이용 범위, 제3자 제공 또는 처리위탁 여부, 손해 발생과 책임 범위를 확인해야 합니다.

먼저 확인할 내용: 개인정보 수집 당시의 동의서와 처리방침, 서비스 계약서, 수집 항목, 이용·제공 기록, 보유기간, 삭제 요청 및 상대방의 문제 제기 내용을 검토해야 합니다.

초기 대응: 위법 여부와 분쟁 범위를 정리한 뒤 이용 중단, 삭제·정정, 계약 수정, 손해배상 등 합의 가능한 사항을 구분해야 합니다.

주의사항: 합의서를 작성했다고 해서 과거의 위법한 개인정보 처리가 소급하여 적법해지거나 법령상 신고·통지 등 의무가 없어지는 것은 아닙니다.

기업이나 사업자가 고객, 회원, 거래처 담당자의 개인정보를 수집·이용하는 과정에서 동의 범위와 실제 이용 목적을 둘러싼 분쟁이 발생할 수 있습니다. 정보주체가 삭제와 손해배상을 요구하거나 거래 상대방이 개인정보 처리 관련 계약 위반을 주장하는 경우도 있습니다.

이때 소송에 앞서 합의하거나 계약을 수정하는 방법을 검토할 수 있습니다. 다만 단순히 분쟁을 종결한다는 문구를 넣기보다 어떤 개인정보가 어떻게 처리되었고, 앞으로 어떤 조치를 이행해야 하는지를 명확히 정해야 합니다.

개인정보 수집·이용의 적법성부터 확인해야 합니다

개인정보 보호법 제15조는 개인정보 수집·이용이 가능한 법적 근거를 규정합니다. 정보주체의 동의뿐 아니라 법령상 의무 이행, 계약 이행에 필요한 경우 등 법에서 정한 다른 처리 근거가 존재할 수 있습니다.

따라서 동의서가 없다는 사실만으로 모든 개인정보 처리가 위법하다고 단정할 수는 없습니다. 반대로 계약관계가 있다는 이유만으로 계약 이행과 관계없는 광고·마케팅 목적의 이용까지 허용되는 것도 아닙니다.

먼저 수집 당시 어떤 목적을 고지했는지, 어떤 항목을 수집했는지, 실제로 어느 업무에 사용했는지 비교해야 합니다. 개인정보 처리방침과 실제 시스템 운영이 일치하는지도 확인해야 합니다.

개인정보 보호법 제16조에 따른 최소 수집 원칙도 검토해야 합니다. 서비스 제공에 필요한 범위를 넘어 개인정보를 수집했다면 합의 과정에서 수집 항목과 보유 범위를 조정할 필요가 있습니다.

합의서에서 개인정보 이용 중단 범위를 명확히 해야 합니다

정보주체가 특정 목적의 개인정보 이용을 문제 삼는다면 합의서에 어떤 처리를 중단할 것인지 구체적으로 정해야 합니다. 단순히 개인정보 이용을 중단한다고 기재하면 필수적인 계약 이행이나 법령상 보관까지 중단해야 하는지 불명확해질 수 있습니다.

예를 들어 마케팅 문자 발송에 사용한 연락처가 문제라면 광고 발송 중단과 기존 고객계약 이행을 위한 연락처 보관을 구분해야 합니다. 법적 근거가 다른 처리행위를 하나의 동의나 철회로 일괄 처리해서는 안 됩니다.

이용 중단 시점, 대상 시스템, 내부 담당자와 이행 확인 방법도 정할 필요가 있습니다. 외부 마케팅 업체에 정보를 전달했다면 해당 업체의 이용 중단 여부도 확인해야 합니다.

이미 수집 목적을 벗어난 이용이 있었다면 향후 중단 약정만으로 과거의 법적 책임이 모두 해결되는 것은 아닙니다. 과거 처리의 적법성과 향후 시정조치를 구분하여 합의해야 합니다.

동의서와 개인정보 처리방침을 수정할 때 확인할 조항

개인정보 수집·이용 동의서를 수정한다면 수집 목적, 수집 항목, 보유·이용기간, 동의 거부권 및 거부에 따른 불이익에 관한 고지가 적절한지 확인해야 합니다.

기존 동의 범위를 확대하거나 목적을 변경하는 경우에는 법령상 새로운 동의가 필요한지 검토해야 합니다. 처리방침의 문구만 변경했다고 해서 정보주체의 동의가 필요한 처리행위까지 허용되는 것은 아닙니다.

개인정보 처리방침에는 실제 개인정보 처리업무가 반영되어야 합니다. 보유기간이나 처리위탁 업체가 변경되었다면 관련 사항의 공개·고지 의무도 확인해야 합니다.

동의서와 서비스 이용약관은 목적이 다릅니다. 계약 체결에 필요한 조항과 개인정보 수집·이용 동의사항을 구분하고, 선택적 동의가 필요한 항목을 필수사항처럼 처리하지 않도록 검토해야 합니다.

제3자 제공과 처리위탁을 구분하여 계약을 수정해야 합니다

개인정보 보호법 제17조는 개인정보의 제3자 제공에 관한 기준을 규정하고 있으며, 제18조는 수집 목적 외 이용·제공의 제한을 규정합니다. 개인정보를 다른 업체에 전달했다면 그 법적 성격부터 확인해야 합니다.

제3자 제공은 제공받는 자가 자신의 업무 목적을 위해 개인정보를 처리하는 경우 등이 문제되는 반면, 처리위탁은 위탁자의 업무를 수탁자가 대신 수행하는 관계입니다. 명칭이 업무제휴 계약인지 위탁계약인지보다 실제 업무 구조가 중요합니다.

개인정보 보호법 제26조에 따른 처리위탁 계약에서는 위탁업무의 목적과 범위, 목적 외 처리 금지, 기술적·관리적 보호조치, 재위탁 관련 사항, 관리·감독 및 책임관계를 검토해야 합니다.

합의 이후 위탁업무를 종료한다면 수탁자가 보유한 개인정보의 반환 또는 파기, 백업자료 처리, 재수탁자에 대한 조치까지 확인해야 합니다. 개인정보를 이미 제3자에게 제공한 경우에는 제공받은 자의 처리 근거와 필요한 후속조치도 별도로 검토해야 합니다.

보유기간·삭제·파기 조항에서 확인할 사항

개인정보 보호법 제21조는 보유기간 경과나 처리 목적 달성 등 개인정보가 불필요하게 되었을 때의 파기 의무를 규정합니다. 다만 다른 법령에 따라 보존해야 하는 경우에는 그 근거와 보존 범위를 확인해야 합니다.

합의서에 모든 개인정보를 즉시 삭제한다고 기재하기 전에 실제 삭제 대상과 법정 보존 대상, 분쟁 해결을 위해 필요한 자료를 구분해야 합니다.

삭제 대상에는 운영 데이터베이스뿐 아니라 별도로 저장한 파일, 외부 위탁업체의 보유자료, 접근 가능한 백업자료 등이 포함되는지 확인할 필요가 있습니다. 시스템 구조상 즉시 삭제가 어려운 자료는 처리방법과 일정을 구체적으로 정해야 합니다.

파기 완료 여부를 확인하기 위한 이행확인서나 처리기록을 남기는 방안도 검토할 수 있습니다. 다만 확인서에 실제로 수행하지 않은 삭제·파기 조치를 완료했다고 기재해서는 안 됩니다.

손해배상과 책임 제한 조항을 합의할 때 주의할 점

개인정보 보호법 제39조는 법 위반행위로 손해를 입은 정보주체의 손해배상청구를 규정합니다. 따라서 손해배상 합의에서는 위반행위의 내용, 손해 발생 여부, 인과관계와 배상 범위를 구분해야 합니다.

개인정보 유출 등 법에서 정한 사고가 발생한 경우에는 제39조의2에 따른 법정손해배상청구도 문제될 수 있습니다. 그러나 단순한 수집·이용 동의 분쟁이 모두 법정손해배상 대상이 되는 것은 아닙니다.

합의금이 지급된다면 지급기일과 방법, 대상 분쟁, 추가 청구의 범위를 구체적으로 정해야 합니다. 특히 아직 확인되지 않은 피해나 제3자의 권리까지 포괄적으로 포기시키는 문구는 효력과 해석에 다툼이 생길 수 있습니다.

사업자 간 계약에서는 손해배상 한도, 구상권, 제3자 청구 대응, 조사 협조와 비용 부담을 정할 수 있습니다. 다만 계약상 면책조항이 개인정보 보호법상 의무나 감독기관의 권한을 배제하는 것은 아닙니다.

비밀유지·분쟁종결·재발방지 조항의 범위

합의서에는 분쟁 내용과 합의금액에 관한 비밀유지 조항을 둘 수 있습니다. 그러나 법령에 따른 신고·통지, 감독기관의 조사에 대한 협조, 적법한 권리행사까지 일률적으로 금지하는 문구는 신중하게 검토해야 합니다.

분쟁종결 조항에는 어떤 사실관계와 청구를 대상으로 합의하는지 명확히 기재하는 것이 좋습니다. 당사자 사이의 민사상 분쟁을 종결하는 것과 행정상 제재 또는 형사책임이 문제되는 것은 구분해야 합니다.

재발방지 조항에는 개인정보 접근권한 재정비, 내부 교육, 위탁업체 점검, 동의 절차 수정, 처리기록 관리 등 실제로 이행할 수 있는 조치를 기재해야 합니다.

각 조치의 담당자와 이행기한, 완료 확인자료를 정해 두면 합의 이후 새로운 분쟁을 줄이는 데 도움이 됩니다. 다만 재발방지 약정이 개인정보 보호법상 모든 안전조치 의무를 대체하는 것은 아닙니다.

합의서와 계약 수정 시 핵심 조항 비교

소송 전 협의와 개인정보 분쟁조정 절차

당사자 사이에서 직접 합의가 가능하다면 사실관계 확인과 시정조치, 배상 범위를 정리한 합의서를 작성할 수 있습니다. 합의가 어렵다면 개인정보분쟁조정위원회의 분쟁조정 절차도 검토할 수 있습니다.

개인정보 분쟁조정은 개인정보 처리와 관련된 분쟁에 대해 사실조사와 의견청취 등을 거쳐 조정안을 제시하는 절차입니다. 조정 전에 당사자 간 합의를 권고하는 절차가 진행될 수도 있습니다.

개인정보 보호법에 따라 적법하게 성립한 분쟁조정은 재판상 화해와 같은 효력을 갖습니다. 이는 당사자 사이에서 별도로 작성한 일반적인 사적 합의서와 법적 성격이 다르므로 구분해야 합니다.

조정이나 합의가 성립하지 않는 경우에는 손해배상청구 등 민사소송을 검토할 수 있습니다. 동시에 개인정보 침해신고나 감독기관의 조사 가능성이 있다면 그 절차에 대한 대응도 별도로 확인해야 합니다.

합의 전 준비해야 할 자료와 피해야 할 행동

개인정보 수집 당시의 동의 화면과 동의 이력, 처리방침의 이전 버전, 이용약관, 실제 이용·제공 기록, 위탁계약서, 정보주체의 요청과 답변 내역을 확보해야 합니다.

개인정보 유출이나 외부 제공이 문제라면 접속기록과 전송내역, 수탁자 보고서, 사고 발생·인지 시점 및 후속조치 자료도 확인해야 합니다. 필요한 법정 신고·통지 의무가 있는지 별도로 검토해야 합니다.

분쟁이 발생했다는 이유로 동의 이력이나 접속기록을 삭제하거나 기존 처리방침을 소급하여 수정하는 행동은 피해야 합니다. 변경 전후 자료와 수정일을 구분하여 보존하는 것이 중요합니다.

상대방에게 합의금을 지급하는 조건으로 모든 법적 문제 제기를 금지하거나 감독기관 신고를 철회하도록 압박하는 방식도 신중해야 합니다. 합의의 효력과 법정 권리·의무의 범위를 구분해야 합니다.

사건을 검토할 때 확인해야 할 사항

유왕현 변호사는 개인정보 수집·이용 분쟁을 검토할 때 개인정보의 수집 시점부터 실제 이용, 제3자 제공이나 위탁, 정보주체의 문제 제기와 후속조치까지 사실관계를 시간순으로 정리하는 관점에서 접근합니다.

그다음 동의서와 처리방침, 계약서의 내용이 실제 개인정보 처리방식과 일치하는지 비교해야 합니다. 사업자에게 유리한 계약 조항뿐 아니라 정보주체가 제기할 수 있는 목적 외 이용이나 동의의 적법성 문제도 함께 검토할 필요가 있습니다.

합의서에서는 금전배상만이 아니라 이용 중단, 삭제·파기, 계약 수정과 재발방지 조치가 실제로 이행될 수 있는지 확인해야 합니다. 또한 합의로 해결할 수 있는 민사상 분쟁과 별도로 준수해야 하는 개인정보 보호법상 의무를 구분해야 합니다.

상담 전 준비사항과 자주 묻는 질문

상담 전에는 개인정보 동의서와 처리방침, 서비스 이용약관, 개인정보 처리위탁 계약서, 문제된 처리내역, 상대방의 요구서, 기존 협의 내용, 피해 및 배상 관련 자료, 수정하려는 계약서 초안을 준비하는 것이 좋습니다.

개인정보 수집 동의를 받지 않았다면 합의로 해결할 수 있나요?

동의 외의 적법한 처리 근거가 있는지 먼저 확인해야 합니다. 위법한 처리가 있었다면 민사상 분쟁을 합의할 수 있는 경우에도 과거의 위법행위가 소급하여 적법해지는 것은 아닙니다.

개인정보 처리방침만 수정하면 기존 분쟁이 해결되나요?

처리방침 수정은 향후 처리의 적정성을 확보하기 위한 조치일 수 있지만, 과거 처리행위의 적법성과 손해배상 문제는 별도로 검토해야 합니다.

합의서에 개인정보를 모두 삭제한다고 기재해도 되나요?

삭제 대상과 법령상 보존해야 하는 자료를 구분해야 합니다. 위탁업체와 백업자료의 처리 가능성도 확인한 뒤 이행 가능한 범위로 정하는 것이 좋습니다.

개인정보 처리위탁 계약을 수정할 때 가장 중요한 조항은 무엇인가요?

위탁업무의 범위, 목적 외 처리 금지, 보호조치, 재위탁, 관리·감독, 계약 종료 후 반환·파기와 책임관계를 우선 확인해야 합니다.

합의금을 지급하면 개인정보 보호법상 책임이 모두 끝나나요?

합의의 범위에 따라 당사자 사이의 민사상 분쟁을 종결할 수 있지만 행정상 의무나 감독기관의 권한까지 당연히 소멸하는 것은 아닙니다.

개인정보 분쟁조정과 일반적인 합의서는 효력이 같은가요?

그렇지 않습니다. 개인정보 보호법에 따라 성립한 분쟁조정은 재판상 화해와 같은 효력을 갖지만, 당사자 사이에서 별도로 작성한 합의서는 그 내용과 법률상 요건에 따라 효력을 판단해야 합니다.

참고 법령과 절차

법률 고지

이 글은 개인정보 수집·이용 분쟁을 소송 전 합의나 계약 수정으로 해결할 때 확인해야 할 일반적인 법률 기준과 절차를 설명하기 위한 정보입니다. 실제 적용 법률과 대응 방향은 구체적인 사실관계, 증거와 사건 진행 상황에 따라 달라질 수 있습니다.