[개인정보보호 5] 개인정보 처리방침 위반 사례 – 학원·여행사·쇼핑몰의 유의사항

1. 사례 개요: 학원·여행사·쇼핑몰의 이벤트 운영

문제 제기

학원이나 여행사, 온라인 쇼핑몰 등이 전국 단위 경진대회 또는 일회성 이벤트를 개최하면서 개인정보를 제3자에게 제공하거나 위탁하면서도, 이를 개인정보 처리방침에 명시하지 않은 채 운영하는 경우가 발견되고 있음.

• 예: 학원이 전국 경시대회를 개최하면서 앨범 제작, 물품 배송, 상장 발송 등을 외주 위탁하거나 주최 기관과 공동 개최하면서 개인정보를 제공함.

2. 법령 해석 및 행정해석 요지

개인정보보호법 제30조에 따라

• 개인정보처리자는 처리방침에 개인정보 제공·위탁 사실 및 세부 내용을 기재해야 하며,
• 이를 누락하면 정보주체의 알 권리와 자기결정권을 침해하는 위법으로 간주될 수 있음.

개인정보처리방침 누락 시 문제점

• 일회성 이벤트라고 하더라도 예외 없이 처리방침에 명시해야 하며,
• 주최 측이 누구인지, 어떤 업무를 수행하는 수탁자인지 등의 정보가 모두 포함되어야 함.

 

3. 실무 적용 사례와 대응방안

적용 사례

• 학원 A는 ‘수학경시대회’를 전국 규모로 개최하면서 B출판사와 공동 주최, B사에 응시자 정보를 제공했으나 자체 개인정보 처리방침에는 이를 기재하지 않음.
• C여행사는 ‘SNS 팔로우 이벤트’를 운영하며 경품 배송을 위해 택배사에 정보를 넘겼지만, 이 역시 처리방침에 누락됨.

→ 이들 모두 법령 위반의 소지가 있음.

 

대응 방안

제3자 제공 시	제공받는 자, 목적, 항목, 보유기간 명시
업무 위탁 시	수탁자 명칭, 처리업무 범위, 보안조치 포함
간이형 처리방침 운영 시	라벨링 형식으로 요약 가능하나, 본문 공개 필수

블로그 독자에게 주는 실무 팁

• “일회성”이라는 말은 변명이 되지 않습니다.
  이벤트 목적이든 대회든, 개인정보를 처리한다면 반드시 처리방침에 투명하게 공개해야 합니다.
• 웹사이트 운영자라면 간이형(라벨링) 처리방침도 활용 가능!
  시각적 기호를 활용한 요약표 제공도 정보주체 이해를 돕는 수단으로 유효합니다.
• 업무 위탁·제공과 관련한 계약이 있다면 처리방침에 관련 내용을 즉시 반영하세요.
  특히 수탁자 명칭과 업무범위는 반드시 구체적으로 적시해야 합니다.

---

출처: 개인정보보호위원회 「2023 개인정보 법령해석 사례 30선」