개인정보보호위원회(이하 '개인정보위')는 지난 7월 21일 아동·청소년의 안전한 온라인 활동을 유도·지원하기 위한 「아동·청소년 개인정보 보호 가이드라인(이하 '가이드라인')」을 발표하였다.
이번 '가이드라인'은 7월 11일 발표한 「아동·청소년 개인정보 보호 기본계획」 후속조치의 일환*으로, 온라인에서 아동·청소년의 개인정보를 처리하는 개인정보처리자 등이 준수할 필요가 있는 사항을 알기 쉽게 제시하기 위해 마련한 것이다.
* ('22년) 가이드라인 제정·안내 → (~'24년) 아동·청소년 중심 개인정보 보호 법제 마련
디지털 사회로의 급격한 전환과 함께 아동·청소년이 온라인 활동에 참여하는 시기가 점점 빨라지고, 온라인 서비스 이용 과정에서 제공한 정보가 장기간 축적되면서 그동안 개인정보 침해에 대한 우려가 꾸준히 제기되었다.
이에 '개인정보위'는 2021년 하반기부터 학계·산업계·시민단체 등 전문가로 구성된 연구반 논의를 통해 초안을 마련하고, 아동·청소년과 학부모 등의 의견을 수렴하여 이번 '가이드라인'을 발표하게 되었다.
'가이드라인'의 주요 내용은 다음과 같이 구성되었다.
- 아동·청소년 연령을 기준으로 개인정보처리자 유형을 나눠 법적 의무사항과 권장사항 안내
- 개인정보처리자가 점검해야 할 항목을 처리단계(5개)별로 나누어 사례와 해외 동향 중심으로 소개
- 장난감·기기, 앱·서비스 제조·개발 기업의 역할 및 보호자 참고사항
'가이드라인'의 주요 내용을 정리하여 소개하면 다음과 같다.
1. 개인정보처리자의 유형 구분
- 유형1 : 만 14세 미만 아동의 개인정보를 처리하는 개인정보처리자
- 유형2 : 만 14세 이상 만 18세 미만 청소년의 개인정보를 처리하는 개인정보처리자
2. 개인정보 처리단계별 준수사항
1단계) 기획·설계 단계 : 개인정보 보호 중심 설계 원칙*에 따른 서비스 기획
- 1-1) 아동·청소년의 개인정보를 수집하고 서비스를 제공하는 경우, 위험 평가 결과에 따른 적절한 방법으로 연령 확인
- 1-2) 높은 수준의 개인정보 보호 기본값 설정
- 1-3) 아동·청소년에게 현금이나 아이템 등을 지급하는 대가로 개인정보를 입력하도록 하는 방식의 서비스 설계 자제
- 1-4) 위치추적 옵션은 비활성화를 기본값으로 설정, 위치정보를 수집하는 경우 아동·청소년이 위치추적 사실을 명확하게 인식할 수 있도록 함
- 1-5) 만 14세 미만의 아동이 연령을 허위로 기재하여 부정 사용하는 것을 방지할 수 있는 합리적인 장치 마련
* 개인정보 보호 중심 설계 원칙(Privacy by Design) : 서비스 개발 기획 단계부터 개인정보 처리의 전체 생애주기에 걸쳐 이용자의 프라이버시를 고려한 기술·정책을 설계에 반영하는 것
2단계) 수집 단계 : 만 14세 미만 아동의 개인정보 수집 동의 시 법정대리인 동의
- 2-1) 만 14세 미만 아동의 개인정보 수집·이용 동의 시 법정대리인 동의 및 동의 확인
- 2-2) 개인정보 수집 동의를 받거나 개인정보 처리방침 등 개인정보 관련 사항 고지 시 아동·청소년이 이해하기 쉬운 언어, 그림, 동영상 등을 사용하여야 함
- 2-3) 아동·청소년의 행태정보를 수집한 맞춤형 광고는 최소화해야 하며, 사전에 명확히 안내하고 동의를 받아야 함
- 2-4) 개인정보 보호에 부정적 영향을 미치는 넛지 기술*은 사용하지 않는 것이 바람직함
* 넛지 기술(nudge techniques) : 공급자가 심리적인 요소를 이용하여 의도한 대로 이용자의 의사결정을 유도하는 기술
3단계) 이용·제공 단계 : 수집한 아동·청소년의 개인정보는 안전하게 이용하고 보관
- 3-1) 수집한 개인정보는 법령에 따라 수집 목적 범위 내에서 이용·제공, 안전하게 보관
- 3-2) 당초 수집 목적과 다르게 개인정보를 이용·제공하려는 경우 별도의 동의를 받거나 목적 외 이용·제공을 위한 예외적 사유에 해당하는지 확인
- 3-3) 아동·청소년에게 문자·음성을 이용하여 대화하는 방식으로 서비스를 제공하는 경우 이용 과정에서 부당하게 개인정보를 수집하지 않도록 하며, 특히 만 14세 미만 아동에게 부적절한 내용의 정보가 제공되지 않도록 노력해야 함
- 3-4) 아동·청소년에게 아동·청소년의 개인정보를 활용한 프로파일링 기반 서비스를 제공하는 경우, 아동·청소년에게 유해한 영향을 미치지 않도록 적절한 보호조치를 마련하여야 함
4단계) 보관·파기 단계 : 명확하고 알기 쉽게 개인정보 관련 사항 안내·고지
- 4-1) 수집한 아동·청소년의 개인정보는 안전하게 보관하고 관리함
- 4-2) 아동·청소년의 개인정보가 불필요하게 되었을 때에는 지체 없이 파기해야 함
5단계) 권리 보장 단계 : 개인정보 정정·삭제 요구 등 권리 행사 적극적 지원
- 5-1) 아동의 법정대리인, 청소년 등이 개인정보 열람 등의 권리를 행사할 수 있도록 그 방법을 안내하고 지원해야 함
- 5-2) 아동·청소년이 개인정보의 자기게시물 접근 배제 등 요청 시 적극적으로 조치함
- 5-3) 개인정보 보호와 관련된 내용을 손쉽게 확인하고 권리를 행사할 수 있도록 적합한 수단·방법 제공
3. 안전한 이용 환경 조성을 위한 제조사 등의 역할
1) 아동 대상 장난감·완구 등 제조사
- 설계·제조 단계부터 개인정보 보호 중심 설계 원칙(PbD : Privacy by Design) 적용
- 사용 시작 전 개인정보 처리에 관한 사항을 명확하게 안내
- 개인정보가 수집되는 경우 다양한 방법(음성, 불빛 등)으로 이용자가 수집 사실을 인지할 수 있도록 하는 것이 바람직함
- 아동의 개인정보를 전송·저장 시 암호화, 안전한 파기 등 안전성 확보에 필요한 기술적·관리적 보호조치를 적용해야 함
2) 아동·청소년이 주요 이용자인 앱·서비스 개발자
- 서비스 기획·설계 및 개발 단계에서 개인정보 보호 중심 설계 원칙(PbD : Privacy by Design) 적용
- 개인정보 보호 기본값을 높은 수준으로 설정
- 아동 지향 서비스를 제공하는 경우 동영상, 그림, 오디오 등 다양한 방식을 통해 아동이 보호자의 도움을 받아 이용할 수 있도록 지원하는 것이 바람직함
(참고 1) 아동·청소년 개인정보 보호 원칙
| 특성 | 개인정보 보호 원칙 |
|---|---|
| 의사표시의 불완전성 | 아동·청소년의 개인정보 자기결정권 존중 |
| 수집한 정보의 지속성 | 아동 최선의 이익을 최우선적으로 고려 |
| 광범위한 활동 범위 | 권리 실현을 위한 적극적 지원 |
| 다양한 개인정보 관련 주체 | 투명성 확보를 통한 아동의 역량 강화 연령대별 특성을 고려한 보호조치 |
(참고 2) 개인정보 처리단계별 준수사항 총괄표
| 단계 | 단계별 보호 조치 | 유형1 | 유형2 |
|---|---|---|---|
| 1. 기획·설계 | 1-1. 적절한 방법으로 연령 확인 | 권장 | 권장 |
| 1. 기획·설계 | 1-2. 높은 수준의 개인정보 보호 기본값 설정 | 권장 | 권장 |
| 1. 기획·설계 | 1-3. 현금·상품 등을 지급하는 대가로 개인정보를 입력하는 방식으로 서비스 설계 자제 | 권장 | 권장 |
| 1. 기획·설계 | 1-4. 위치추적 옵션 비활성화 기본값 설정 | 권장 | 권장 |
| 1. 기획·설계 | 1-5. 연령 허위 기재를 방지할 수 있는 합리적인 장치 마련 | 해당없음 | 권장 |
| 2. 수집 | 2-1. 만 14세 미만 아동 법정대리인 동의 | 의무 | 해당없음 |
| 2. 수집 | 2-2. 명확하고 이해하기 쉬운 개인정보 관련 사항 고지 | 의무 | 권장 |
| 2. 수집 | 2-3-1. 행태정보를 수집하여 맞춤형 광고에 활용 시 사전 동의 | 의무 | 의무 |
| 2. 수집 | 2-3-2. 개인이 식별되지 않는 경우로서 만 14세 미만 아동임을 알고 있는 경우 맞춤형 광고 자제 | 권장 | 해당없음 |
| 2. 수집 | 2-4. 부적절한 넛지 기술 사용 자제 | 권장 | 권장 |
| 3. 이용·제공 | 3-1. 수집 목적 범위 내 개인정보 이용·제공 확인 | 의무 | 의무 |
| 3. 이용·제공 | 3-2. 목적 외 이용·제공 시 별도 근거 확인 | 의무 | 의무 |
| 3. 이용·제공 | 3-3. 문자·음성을 이용하여 대화하는 방식으로 서비스 제공 시 부적절한 내용의 정보 제공 금지 | 의무 | 권장 |
| 3. 이용·제공 | 3-4. 프로파일링에 기반한 서비스가 아동·청소년에게 유해한 영향을 미치지 않도록 적절한 보호 조치 마련 | 권장 | 권장 |
| 4. 보관·파기 | 4-1. 안전한 개인정보 보관·관리 | 의무 | 의무 |
| 4. 보관·파기 | 4-2. 개인정보 적법한 파기 | 의무 | 의무 |
| 5. 권리보장 | 5-1. 개인정보 열람 등 권리 행사 안내 | 의무 | 의무 |
| 5. 권리보장 | 5-2. 개인정보 자기게시물 접근 배제 등 적극 지원 | 권장 | 권장 |
| 5. 권리보장 | 5-3. 개인정보 처리방침 공개 및 안내 | 의무 | 의무 |
* (유형1) 만 14세 미만 아동의 개인정보를 처리하는 개인정보처리자 * (유형2) 만 14세 이상 만 18세 미만 청소년의 개인정보를 처리하는 개인정보처리자
가이드라인 활용과 향후 계획
'개인정보위'는 아동·청소년을 대상으로 온라인 서비스를 제공하는 개인정보처리자 등이 현장에서 '가이드라인'을 적극 활용할 수 있도록, '개인정보위' 누리집(www.pipc.go.kr) 및 개인정보보호 포털(privacy.go.kr) 등에 '가이드라인'을 공개하고 온·오프라인 교육과 홍보를 병행해 나갈 예정이다.
* 개인정보보호위원회(www.pipc.go.kr) : 정책·법령 > 법령정보 > 지침·가이드라인 * 개인정보보호 포털(privacy.go.kr) : 자료마당 > 지침자료
또한 학계·산업계·시민단체 등 전문가와 아동·청소년, 학부모 등 현장과의 지속적인 소통을 통해 '가이드라인'을 보완하고, 향후 아동·청소년 개인정보 보호 법제 마련 시에도 반영할 계획이다.
'개인정보위' 사무처장은 "그간 많은 논의와 연구를 통해 '가이드라인'에 사업자들이 실제로 참고할 수 있는 다양한 사례와 해외 동향을 개인정보 처리단계별로 풍부하게 담고자 노력했다."며, "이번 '가이드라인'이 디지털 시대 아동·청소년의 개인정보 보호를 이끌어 나가는 의미있는 첫 걸음이 되길 기대한다."고 밝혔다.
자료 출처
- '개인정보위' 보도자료 : "온라인 아동·청소년 개인정보 보호, 원칙과 기준 제시"(2022.07.21)
- '개인정보위' 가이드라인 : "아동·청소년 개인정보 보호 가이드라인"(2022.07. 제정)