3. 개인정보 life cycle과 침해 유형

◎ 개인정보 생명주기란?

사업자가 해당 서비스를 제공하기 위해 이용자의 개인정보를 수집, 저장/관리, 이용/제공, 파기하는 개인정보 관리의 단계

개인정보 라이프사이클

 

사업자의 개인정보보호 의무 발생 순간

: 개인정보를 수집한 그 순간부터!

 

개인정보처리자의 역할

: 이용자에게 수집 ∙ 이용 목적, 수집항목, 보유 및 이용 기간을 명시적으로 고지하고 동의를 얻어야 한다.

 

- 14세 이하 아동의 개인정보의 수집, 이용, 제공에 대한 동의를 받기 위해서는 사전에 반드시 법정대리인의 동의를 받아야 하고, 법정대리인의 동의를 위한 법정대리인의 성별, 연락처 등 최소한의 정보를 수집할 수 있다.

 

 

◎ 개인정보 수집 단계의 침해 유형

1) 동의 없이 개인정보를 수집할 때, 고지사항을 이행하지 않는 경우

 - 인터넷 쇼핑몰 등에서 개인정보에 대한 수집목적, 이용목적, 보유기간, 회원탈퇴 방법 등에 대한 사항이 전혀 고지되지 않은 경우나 고지되어 있다 하더라도 그와 달리 개인정보가 이용되는 경우

2) 동의 및 고지 없이 개인정보 주체 외로부터 개인정보를 수집하는 경우

 - 인터넷 마케팅 업체들이 쿠키를 사용해서 소비자들이 어느 웹사이트에 얼마나 머무르는지, 어떤 거래를 하는지에 대하여 동의를 구하지 않고 모니터링 하는 행위

3) 법정대리인의 동의 없이 개인정보를 수집하는 경우

 - 법정대리인(부모)의 동의 없이 만 14세 어린이를 회원으로 가입시켜 게임, 아이템 등을 결제하게끔 하는 행위

4) 서비스 이용과 관련 없는 과도한 개인정보를 수집하는 경우

 - 이메일을 사용하기 위해서 인터넷 이메일 계정을 신청할 때, 최소한의 개인정보를 넘어서 주소나 학력 등에 대한 개인정보를 필수항목으로 입력하는 것이 대표적

5) 해킹 등 불법 수단을 사용하여 개인정보를 수집하는 경우

 - 해킹 도구를 이용하여 키보드를 해킹하거나 웹 취약점을 이용하여 개인정보를 수집하는 경우

6) 가망에 의해 개인정보를 수집하는 경우

 - 계약직 직원 등을 모집한다고 인터넷에 글을 올리고 회원가입 시 많은 양의 개인정보를 입력하게 한 후, 이와는 상관없는 다른 사이트에 마케팅 등의 수단으로 수집한 해당 개인 정보를 판매하거나 제공하는 경우

 

 

◎ 개인정보 저장 및 관리 단계의 침해 유형

개인정보 저장 및 관리

• 수집된 개인정보를 데이터베이스 등에 저장
• 개인정보 보호정책에 따라 허가 받은 자만이 해당 개인정보에 접속할 수 있는 권한을 가짐
• 이용자가 서비스 탈퇴 요청 시 즉시 파기 (단, 법률적 근거에 의해 일정기간 보유해야 하는 경우 제외)

1) 조직 내부 취급자에 의한 개인정보의 유출, 훼손, 변경

 - 이용자의 동의 없이 개인정보가 노출되거나 권한 관리 또는 시스템/서비스 오류를 통해 노출되는 경우.
Ex) 성형외과에서 성형 전후의 사진을 광고 형태로 내보내는 것

2) 외부인의 불법적 접근에 의한 개인정보 유출, 훼손, 변경

 - 타인의 개인 메일 ID와 비밀번호를 알아내어 무단으로 메일 및 개인 웹사이트의 내용을 열람하는 것이 대표적인 사례

3) 사업자의 인식부족, 과실 등으로 인한 개인정보의 공개

 - 관리자가 실수로 이메일 첨부파일에 개인정보를 포함한 파일을 전송하거나 홈페이지 상에 개인정보를 게재하는 경우

4) 기술적, 관리적 조치 미비로 인한 개인정보 유출

 - 사업자는 수집한 이용자의 개인정보가 외부 시스템 침입 등을 통해서 불법적으로 유출되는 사고에 대비하여 안전한 장치를 통해 저장하여야 한다.

5) 고객의 개인정보 클레임에 대한 불응 또는 미조치

 - 이용자가 자신의 개인정보에 대한 삭제를 요구하거나 서비스 탈퇴를 요구했으나, 인터넷 서비스의 탈퇴 방법이 없거나 탈퇴신청 후에도 처리가 되지 않아 요금 부과 및 광고성 메일이 계속 보내지는 경우

 

 

◎ 개인정보 이용 및 제공 단계의 침해 유형

개인정보 이용 및 제공

• 수집 및 이용 목적에 한하여 사용해야 함
• 이용 목적이 변경되는 경우에는 반드시 이용자에게 별도의 동의를 구해야 함
• 이용자로부터 수집한 개인정보를 개인정보처리자에게 영리적으로 제공하는 경우는 ‘제3자 제공’ , ’개인정보의 취급 위탁’으로 구분
   - 제3자 제공  ex. 신용카드 고객의 개인정보를 마케팅을 위해 대형 할인 마트에 제공
   - 취급 위탁  ex. 홈쇼핑의 상품 배송을 위한 택배 이용 시, 고객 정보를 택배회사에 제공

1) 동의 없는 개인정보의 무단 제공 및 공유

 - 다수의 사업자 간에 다양한 개인정보를 제공하는 문제

2) 당초 수집 시 고지한 이용 목적을 넘어서는 개인정보의 이용

 - 서비스 이용자에게 이메일, SMS, 휴대전화 등으로 사전 동의없이 광고

3) 타인의 개인정보를 무단으로 이용

  - 마케팅이나 기타 다른 목적으로 수집된 이용자의 개인정보 분석이 이루어지는 경우  

 

 

◎ 개인정보 파기 단계의 침해 유형

개인정보의 파기

• 개인정보의 수집, 이용 목적을 달성한 경우
• 개인정보의 보유 및 이용 기간이 끝난 경우
• 사업을 폐업하는 경우
• 예외 : 국세기본법, 전자상거래상에서의 소비자 보호에 관한 법률, 통신비밀 보호법 (보유기간 상이함)
• 전자적으로 기록된 개인정보를 파기할 때에는 재생할 수 없는 기술적 방법으로 삭제하거나 기록된 매체를 물리적으로 분쇄 또는 완전히 파기

1) 수집 및 목적 달성 후 개인정보를 파기하지 않는 경우

2) 개인정보의 삭제 요구에 불응한 경우