건강에 관한 정보 등 법이 정한 민감정보는 일반 개인정보와 똑같이 처리할 수 없다. 개인정보 보호법 제23조 제1항은 민감정보 처리를 원칙적으로 금지하면서 별도 동의나 법령상 요구 · 허용에 따른 예외를 정한다. 가입에 동의했다는 사실만으로 민감정보의 처리 근거까지 확인된 것은 아니다.
어떤 정보에 대한 동의인지 나눈다
가령 서비스 신청서에 연락처뿐 아니라 건강 상태를 적는 항목도 있다고 하자. 설명용 가상 사례다. 회사가 어떤 건강정보를 무슨 목적으로 받으려는지 확인한다. 제23조 제1항은 사상 · 신념, 노동조합 · 정당 가입과 탈퇴, 정치적 견해, 건강, 성생활 등과 대통령령으로 정한 정보를 민감정보로 정한다. 개인적인 내용이라는 이유만으로 모든 정보가 이 조문의 민감정보라고 단정하는 것도 피한다.
다른 개인정보 동의와 별도로 받는다
동의를 근거로 민감정보를 처리하려면 법에서 정한 수집 · 이용 또는 제3자 제공의 고지사항을 알리고, 다른 개인정보 처리에 대한 동의와 별도로 동의를 받아야 한다(제23조 제1항 제1호). 일반 가입 동의만 읽고 이 조건도 충족됐다고 넘기지 않는다. 같은 항 제2호는 법령에서 민감정보 처리를 요구하거나 허용한 경우도 예외로 둔다. 따라서 민감정보를 물었다는 사실만으로 곧바로 위법하다고 확정할 수 없고, 회사가 어떤 처리 근거를 제시하는지 확인해야 한다.
공개 가능성과 안전조치도 확인한다
민감정보를 적법한 근거로 처리하더라도 제23조 제2항의 안전성 확보에 필요한 조치를 해야 한다. 서비스 과정에서 공개되는 정보에 민감정보가 포함돼 사생활 침해 위험이 있다고 판단되면, 제공 전에 공개 가능성과 비공개를 선택하는 방법을 쉽게 알려야 한다(제3항). 입력 화면과 고지문, 별도 동의 여부, 공개 설정 안내를 모아 어떤 정보가 어디까지 쓰이는지 대조한다. 이 글은 개별 건강정보 처리의 적법성이나 구체적 안전조치의 충족을 판정하지 않는다.
