서비스에 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 않았다는 이유로 재화나 서비스 제공을 거절해서는 안 된다(개인정보 보호법 제16조 제3항). 그렇다고 서비스에 꼭 필요한 정보까지 모두 제공하지 않아도 언제나 이용할 수 있다는 뜻은 아니다. 무엇이 최소한의 정보인지를 나누어 본다.
가입 화면의 필수와 선택을 나눈다
가령 회원가입 화면에서 서비스 이용과 직접 관련이 없어 보이는 개인정보까지 입력하고 동의하도록 요구한다고 하자. 설명용 가상 사례다. 입력 항목과 수집 목적, 동의하지 않았을 때 나타나는 안내를 확인한다. 화면에서 필수라고 표시한 사실만으로 법에서 정한 최소한의 정보인지까지 결정되는 것은 아니다. 반대로 이용자가 선택이라고 생각하는 사정만으로 해당 정보가 반드시 불필요하다고 단정할 수도 없다.
최소한이라는 입증은 누가 하는가
개인정보처리자는 수집 목적에 필요한 최소한의 개인정보를 수집해야 하고, 최소한의 수집이라는 입증책임은 개인정보처리자가 부담한다(제16조 제1항). 요구하는 항목이 그 목적과 어떻게 연결되는지를 확인해야 하는 이유다. 동의를 받아 수집할 때에는 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 않을 수 있다는 사실을 구체적으로 알려야 한다(제2항). 모든 동의란을 하나로 묶어 읽지 말고 어떤 항목에 대한 선택인지 확인한다.
거절 이유와 실제 화면을 남긴다
제3항의 제공 거절 금지는 필요한 최소한의 정보 외의 수집에 동의하지 않았다는 이유로 거절하는 경우에 관한 것이다. 다른 이용 제한 사유가 있는 경우까지 이 조문만으로 전부 해결되는 것은 아니다. 어떤 정보에 동의하지 않았고 회사가 무슨 이유로 이용을 막았는지 대조한다. 수집 항목과 목적을 보여 주는 안내, 동의 화면, 이용 거절 메시지와 문의 답변을 함께 정리한다. 개별 정보가 서비스에 반드시 필요한지는 실제 목적과 처리 내용을 확인할 일이며, 이 글만으로 특정 가입 거절이 위법하다고 확정하지 않는다.
