만 14세 미만 아동의 개인정보 처리에 법에 따른 동의가 필요하다면 법정대리인의 동의를 받고, 실제 동의했는지도 확인해야 한다(개인정보 보호법 제22조의2 제1항). 아동이 화면에서 동의란을 눌렀다는 사실과 법정대리인의 동의를 확인한 사실은 같지 않다.
동의가 필요한 처리인지부터 살핀다
가령 어린 자녀가 온라인 서비스에서 자기 개인정보를 입력하며 가입하려 한다고 하자. 설명용 가상 사례다. 아동의 나이와 수집 · 이용하려는 정보, 회사가 동의를 받는 처리의 내용을 먼저 정리한다. 제22조의2 제1항은 이 법에 따른 동의를 받아야 할 때의 규정이다. 모든 개인정보 처리가 언제나 동의만을 근거로 가능하다고 설명하는 조문은 아니다. 동의를 받는 대상과 법정대리인의 지위를 함께 확인한다.
동의와 동의 여부 확인이 모두 필요하다
법정대리인의 동의를 받아야 할 뿐 아니라 법정대리인이 동의했는지도 확인해야 한다. 회사가 어떤 방법으로 법정대리인의 동의를 받고 확인하는지 살핀다. 동의나 그 확인 방법의 세부사항은 대통령령으로 정하므로 이 글은 특정 인증 수단 한 가지만 법정 유일한 방법이라고 정하지 않는다. 부모라는 호칭이나 같은 집에 산다는 설명만으로 구체적 법정대리인 지위까지 확정하는 것도 피한다.
동의를 받기 위한 최소 정보의 예외
제22조의2 제2항은 법정대리인 동의를 받기 위해 필요한 최소한의 정보 중 대통령령으로 정한 정보는 동의 없이 아동에게 직접 수집할 수 있도록 한다. 이 예외를 이유로 서비스에 쓰려는 모든 아동 정보를 먼저 받아도 된다고 확대해서는 안 된다. 아동에게 개인정보 처리 사항을 알릴 때에는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 써야 한다(제3항). 가입 안내와 아동에게 제시한 문구, 동의 및 확인 절차를 함께 대조한다. 동의가 필요한 이유, 동의를 확인한 사람과 과정, 예외로 수집한다는 정보의 범위를 나누어 질문해야 확인할 사항이 분명해진다.
