개인정보보호위원회(이하 '개인정보위')는 온라인 경품행사 각 단계에서 개인정보 처리 시 준수하여야 하는 사항을 모은 「개인정보 보호 가이드라인(온라인 경품행사편)」을 5월 3일 발표하였다. 그에 따라 앞으로는 온라인 경품행사 시 부적절한 개인정보 처리 관행이 개선될 것으로 전망된다.
그동안 온라인 경품행사에 응모할 때 성명, 연락처, 주소 등 상세 개인정보를 요구하여 불편을 느끼는 경우가 많았다. 또한 내 정보가 어떻게 처리되는지 잘 알지 못해서, 또는 잘못 이용될까 하는 우려도 많았으며, 행사를 운영하는 주체 역시 구체적인 개인정보 처리(수집·이용·파기 등) 절차를 잘 몰라서 개인정보 유·노출 등 침해사고로 처벌받는 경우가 종종 있었다.
가이드라인은 경품행사 시 개인정보보호법(이하 '보호법') 관련 조항에 따른 개인정보 보호 원칙을 제시하고 있으며, 경품행사 관련 개인정보 처리 시 준수사항을 ① 행사 기획·공지, ② 당첨자 추첨·발표, ③ 경품 발송, ④ 행사 종료의 4단계로 나누어 소개하고 있다.
또한 단계별 주요 점검 사항과 준수해야 하는 사항을 정리하였고, 좋은 사례 및 잘못된 사례를 예시로 제시하고 있으며, 주요 Q&A를 정리하여 소개하고 있다.
발표한 「개인정보 보호 가이드라인(온라인 경품행사편)」의 내용을 요약·정리하여 소개하고자 한다.
1. 개요
1) 필요성
- Social Network Service(이하 'SNS') 등 온라인 경품행사 시 개인정보 침해 사례 발생
- 참여자 개인정보 보호 방안 안내 필요
- 행사 운영 관련 개인정보 처리 시 준수해야 할 보호법상 원칙 및 법규 안내
2) 적용대상
SNS 등 온라인 경품행사 운영자 및 참여자
3) 적용범위
행사 기획·공지 단계부터 종료 단계까지 전 과정을 적용범위로 하며, 단계별 핵심은 다음과 같다.
| 단계 | 핵심 내용 |
|---|---|
| ① 행사 기획·공지 단계 | 개인정보 침해 사례별 준수사항을 반영하여 기획, 처리되는 개인정보 내용을 구체적으로 공지 |
| ② 당첨자 추첨·발표 단계 | 당첨자에게 개별 안내, 당첨자 전체 명단 발표 시 본인만 알아볼 수 있도록 처리 |
| ③ 경품 발송 단계 | 당첨자에 한하여 경품 발송에 필요한 최소한의 개인정보 수집, 수집 목적 외 개인정보 이용 금지 |
| ④ 행사 종료 단계 | 경품 발송 완료 등 행사가 종료되어 개인정보가 불필요하게 되었을 때 지체 없이 파기 |
2. 경품행사 시 개인정보 보호 원칙
- 개인정보의 처리 목적을 명확히 하고, 필요 최소한의 개인정보만을 적법하고 정당하게 수집하여야 함(보호법 제3조 제1항)
- 목적에 필요한 최소한의 개인정보만을 수집하여야 하고, 최소한이라는 입증책임은 개인정보처리자가 부담함(보호법 제16조 제1항)
- 개인정보의 처리 목적에 필요한 범위에서 적합하게 처리하여야 함(보호법 제3조 제2항)
- 당초 수집한 목적으로만 이용하여야 하며, 목적 외 이용 또는 제3자 제공을 하여서는 아니 됨(보호법 제18조 제1항)
- 처리 목적 달성 등으로 개인정보가 불필요하게 되었을 때 지체 없이 파기하여야 함(보호법 제21조 제1항)
- 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 함(보호법 제3조 제4항)
- 개인정보의 처리에 관한 사항을 공개하여야 하며, 정보주체의 권리를 보장하여야 함(보호법 제3조 제5항)
- 개인정보 처리 위탁 시 위탁 업무 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하여야 함(보호법 제26조 제2항)
- 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 함(보호법 제3조 제6항)
3. 경품행사 관련 개인정보 처리 시 준수사항
1) 행사 기획·공지 단계
[주요 점검 사항]
- 행사 기획 : 개인정보 침해 사례별 준수사항을 반영하여 행사 기획
- 행사 공지 : 경품행사 시 처리되는 개인정보 내용을 구체적으로 공지
개인정보 침해 사례별 준수사항을 반영하여 행사 기획
- 비밀댓글 기능 등을 활용하여 참여자의 ID 공개를 차단하되, 공개가 불가피한 경우 참여자가 주의하여야 할 사항을 사전에 충분히 안내
- 제출 양식에 경품 발송에 필요한 개인정보(성명, 연락처, 주소 등)는 제외
- 당첨자에게 개별적으로 안내하되, 당첨자 전체 명단 발표가 불가피한 경우 본인만 알아볼 수 있게 처리
경품행사 시 처리되는 개인정보 내용을 구체적으로 공지
- 경품행사 공지 시 : 개인정보 수집 시점 및 대상 안내
- ※ (예시) 경품 발송에 필요한 개인정보(성명, 연락처, 주소 등)는 당첨자 발표 이후 당첨자에 한하여 수집합니다.
- 개인정보 수집 시 : 개인정보 수집·이용 목적 및 항목, 보유 기간, 파기 시점 등 안내
- ※ (예시) 수집된 개인정보는 경품 발송에만 이용되며, 경품 발송 완료 등 행사 종료 후 지체 없이 파기됩니다.
2) 당첨자 추첨·발표 단계
[주요 점검 사항]
- 당첨자 추첨 : 취급자 최소화, 미당첨자의 개인정보 지체 없이 파기
- 당첨자 발표 : 개별 안내 원칙, 전체 명단 발표 시 본인만 알 수 있도록 처리
당첨자 추첨
- 추첨에 필요한 최소한의 인원만 관여할 수 있도록 취급자 제한
- 더 이상 행사에 필요하지 않는 정보*는 지체 없이 파기
- * 개별 메시지 또는 별도 양식을 통해 제출한 미당첨자의 참여 인증자료, SNS, ID 등을 추첨 완료 후 지체 없이 삭제
당첨자 발표
- 당첨자 전체 명단을 발표하지 않아도 행사 목적 달성에 지장이 없는 등 발표할 필요가 없을 시 개별적으로 안내하는 것이 바람직함
- 행사 투명성 확보 등 전체 명단 발표가 불가피한 경우, 본인만 알아볼 수 있도록 처리
- ※ (예시) ID의 끝 3문자(chppe***) 또는 중간(c*pp*ac*)을 처리
3) 경품 발송 단계
[주요 점검 사항]
- 당첨자에 한하여 경품 발송에 필요한 최소한의 개인정보 수집
- 개인정보는 경품 발송 목적으로만 이용(수집 목적 외 이용 금지)
경품 발송에 필요한 개인정보 수집
- (시점) 당첨자 발표 이후 당첨자에 한하여 개별 메시지 발송, 비밀댓글 등을 통해 개인정보 수집
- (항목) 경품의 종류 및 금액에 따라 경품 발송에 필요한 최소한의 개인정보 수집(보호법 제16조)
| 구분 | 기준 | 수집 가능한 개인정보 |
|---|---|---|
| 종류 | 모바일 쿠폰 | 연락처, 성명(발송에 필요한 경우에 한함) |
| 종류 | 실물 | 성명, 연락처, 주소 |
| 금액 | 5만원을 초과하여 제세공과금 납부가 필요한 경우 | 주민등록번호 |
-
주민등록번호는 법률·대통령령 등에 근거가 있는 경우에 한하여 수집 가능(보호법 제24조의2)하며, 수집 시 법적 근거를 명시하여야 한다.
-
※ (예시) 소득세법 제21조(기타소득), 제127조(원천징수 의무), 제164조(지급명세서의 제출)
-
(방법) 당첨자와의 계약을 이행하기 위하여 필요한 경우로서 당첨자의 동의 없이 수집 가능(보호법 제15조 제1항 제4호)
- 다만, 당첨자가 개인정보 처리 내용을 인지할 수 있도록 수집 목적, 수집 항목, 보유 기간 등을 안내하는 것이 바람직함
수집 목적 외 이용 금지
- 경품 발송 목적으로 수집한 개인정보는 경품 발송을 위해서만 이용하여야 함(보호법 제18조). 마케팅 등 당초 수집 목적 범위를 초과한 이용 및 제3자 제공은 아니 됨
4) 행사 종료 단계
[주요 점검 사항]
- 경품 발송 완료 등 행사 종료 후 지체 없이 파기
- 발송을 제3자에게 위탁한 경우 수탁자의 파기 여부도 확인
행사 종료 후 수집한 개인정보를 지체 없이 파기(보호법 제21조)
- 처리 목적 달성* 등 개인정보가 불필요하게 되었을 경우, 수집한 개인정보를 지체 없이 파기
- * 당첨자의 경품 수신 여부 확인 및 관련 문의 응대 종료 후, 특별한 사정이 없는 한 경품 발송일부터 1개월 이내에 파기하여야 함
- 발송을 위한 개인정보 처리를 제3자에게 위탁한 경우, 수탁자가 당첨자의 개인정보를 파기하였는지도 확인
[참고] 주요 Q&A
Q. 경품행사의 공정성 확보 차원에서 중복 참여를 배제할 목적으로 행사 공지 시 참여자의 이름이나 연락처를 수집해도 되나요?
A. 온라인 경품행사 시 ID로 중복 참여 여부 확인이 가능한데도 이름이나 연락처를 추가로 수집하는 것은 개인정보 최소 수집 원칙에 부합하지 않습니다.
Q. 행사를 진행하는 SNS에 비밀댓글 기능이 없거나, 하루에 개별 메시지를 발송할 수 있는 한도가 있는 등 개별 메시지를 통해 당첨 사실을 알리는 것이 어려운 경우 전체 명단을 발표해도 되나요?
A. 가급적 개별 메시지를 통한 발표가 바람직하나, 당첨자 전체 명단을 공개하는 것이 불가피한 경우 본인만 알아볼 수 있도록 처리 후 발표할 수 있습니다.
Q. 당첨자 명단 발표 시, 닉네임이 실명인 경우 일부를 마스킹 처리하더라도 본인이 당첨되었는지 여부를 알지 못할 가능성이 있습니다. 이를 방지하기 위하여 연락처를 미리 수집하여 발표 시 사용해도 되나요?(예 : 홍*동, 1**4)
A. 연락처를 미리 수집하지 않더라도 당첨자 명단 발표와 함께 비밀댓글 또는 개별 메시지 등을 통해 개별적으로도 안내하여 당첨 여부를 알게 할 수 있습니다.
Q. 경품 발송을 위해 개인정보를 수집할 때 당첨자에게 동의를 받아야 하나요? 현재 개인정보 수집 시 '네/아니오' 형식으로 동의 여부를 체크하도록 하고 있는데, 동의 없이 수집 가능하다면 어떻게 수집해야 하나요?
A. 당첨자의 개인정보 수집은 당첨자와의 계약을 이행하기 위하여 필요한 경우로서 동의 없이 가능합니다. 또한, 동의를 받지 않더라도 개인정보 수집 목적·항목, 보유 기간 등을 안내하는 것이 바람직하므로, 본 가이드라인에서 제시하는 개인정보 수집·이용 안내서의 내용을 당첨자에게 안내 후 수집하여야 합니다.
개인정보위 개인정보정책국장은 "경품행사를 기획하는 공공기관은 물론 민간에서도 이번 지침(가이드라인)을 적극 참고하여 온라인상에서 개인정보 처리 환경이 보다 건전해지고 투명해지는 데 기여할 수 있기를 바란다."고 말했다.
자료 출처
- 개인정보위 보도자료 : "온라인 이벤트, 이제 개인정보 보호와 함께해요!"(2023.05.03)
- 개인정보위 지침자료 : "개인정보 보호 가이드라인(온라인 경품행사편)"(2023.5월 제정)