본문바로가기

개인정보처리방침 및 이용약관 검토, AI 생체정보·아동 개인정보 보호체계 구축 법률자문 제공

[자문 핵심 요약]

  • 의뢰인: 교육기관을 대상으로 출결관리 및 운영지원 소프트웨어를 제공하는 IT 기업
  • 주요 쟁점: 미성년자 개인정보 처리, AI 기반 생체인식정보 수집·이용, 개인정보 처리위탁과 제3자 제공의 구분, 위치정보 처리 및 서비스 이용약관의 적법성
  • 자문 내용: 서비스 이용약관과 개인정보처리방침 검토·수정, 교육기관용 개인정보처리방침 및 각종 동의서 작성, 생체정보·위치정보 처리와 개인정보 위수탁 관계에 관한 계약서 정비

교육기관용 IT 서비스의 개인정보 보호체계에 관한 법률자문

법무법인 민후(現 법무법인 원)는 교육기관을 대상으로 출결관리 및 운영지원 서비스를 제공하는 IT 기업으로부터 개인정보 처리와 서비스 운영에 관한 종합적인 법률자문을 요청받았습니다.

의뢰기업은 교육기관이 수강생의 출결정보를 관리하고 보호자에게 알림을 전송하는 온라인 서비스를 제공하고 있었습니다.

이 과정에서는 수강생과 보호자의 기본정보뿐 아니라 출결기록, 사진, 생체인식정보 및 일부 위치정보 등이 처리될 수 있어 관련 법률문서를 체계적으로 정비할 필요가 있었습니다.

특히 서비스를 제공하는 IT 기업과 실제 교육기관 사이에서 개인정보 처리에 관한 책임을 어떻게 구분할 것인지가 중요한 문제였습니다.

법무법인 민후(現 법무법인 원)는 서비스 이용약관과 개인정보처리방침을 검토하고, 교육기관에서 활용할 수 있는 개인정보 관련 계약서 및 동의서의 수정안과 신규 초안을 마련하였습니다.

서비스 제공기업과 교육기관의 개인정보 처리책임 구분

교육기관이 외부 IT 서비스를 이용하여 수강생의 정보를 관리하는 경우, 개인정보 처리목적을 결정하는 교육기관과 시스템 운영업무를 수행하는 IT 기업의 역할을 구분해야 합니다.

법무법인 민후(現 법무법인 원)는 교육기관이 처리하는 수강생·보호자 정보와 서비스 제공기업이 처리하는 정보를 구분하여 개인정보처리방침을 검토하였습니다.

또한 개인정보 처리위탁계약서를 정비하면서 위탁업무의 범위, 정보의 보관·관리, 재위탁 및 개인정보 보호조치와 관련한 당사자의 책임을 검토하였습니다.

특히 교육기관을 위한 출결관리 업무와 서비스 제공기업이 자체적인 목적으로 정보를 이용하는 업무가 동일한 법률관계로 취급되지 않도록 구분하였습니다.

AI 생체인식정보의 수집·이용과 별도 동의체계 검토

AI 기반 출결관리 서비스에서는 얼굴 사진과 이를 분석하여 생성한 생체인식정보를 처리할 수 있습니다.

이러한 정보는 개인을 식별하거나 인증하는 용도로 활용될 수 있으므로 수집 목적과 처리항목, 보유기간 및 동의절차를 신중하게 설계해야 합니다.

법무법인 민후(現 법무법인 원)는 생체정보 수집·이용 동의서를 검토하면서 출결 인증을 위한 정보처리와 서비스 제공기업의 AI 기술 개선을 위한 정보처리를 구분하였습니다.

특히 AI 성능 개선을 위한 추가적인 정보 이용은 출결관리 목적과 별개로 동의 여부를 선택할 수 있도록 관련 문서의 구조를 정비하였습니다.

또한 생체인식 방식에 동의하지 않는 이용자도 대체적인 출결 방식을 활용할 수 있도록 안내사항을 검토하였습니다.

미성년자 개인정보와 보호자 동의절차 정비

교육기관용 서비스에서는 미성년자의 개인정보가 처리되는 경우가 많으므로 법정대리인의 동의 여부와 정보주체의 권리보장 절차가 중요합니다.

법무법인 민후(現 법무법인 원)는 만 14세 미만 아동의 개인정보 수집·이용 및 생체정보 처리와 관련한 법정대리인 동의절차를 검토하였습니다.

또한 개인정보 열람, 정정·삭제, 처리정지 및 동의 철회에 관한 안내사항을 관련 동의서에 반영하였습니다.

출결 인증 과정에서 촬영된 사진이 보호자에게 전달되거나 다운로드되는 경우를 고려하여, 사진의 보관·파기와 제3자의 개인정보가 포함될 가능성에 관한 안내사항도 검토하였습니다.

이를 통해 서비스의 주요 기능별로 개인정보 처리목적과 정보주체의 권리를 구분하도록 관련 문서를 정비하였습니다.

결제 연동에 따른 개인정보 제3자 제공과 위탁 구분

교육기관용 IT 서비스에는 외부 결제서비스와 연동하여 이용요금의 납부 및 수납내역을 관리하는 기능이 포함될 수 있습니다.

이 경우 개인정보 처리업무의 단순 위탁인지, 독립적인 사업자에 대한 제3자 제공인지에 따라 적용되는 법률요건과 동의절차가 달라질 수 있습니다.

법무법인 민후(現 법무법인 원)는 외부 결제서비스 제공자와 플랫폼 운영기업의 역할을 구분하여 개인정보 제3자 제공 동의서를 검토·작성하였습니다.

특히 제공받는 자, 제공 목적, 제공 항목, 보유·이용기간 및 동의 거부에 따른 영향을 구분하여 안내하도록 관련 내용을 정비하였습니다.

위치정보 처리와 서비스 이용약관 정비

교육기관의 차량 운행을 지원하는 서비스에서는 운행자의 위치정보가 수집되어 이용자에게 제공될 수 있습니다.

법무법인 민후(現 법무법인 원)는 이러한 정보가 개인위치정보에 해당하는 경우를 고려하여 수집·이용 목적과 동의절차, 보유기간 및 정보주체의 권리를 명시하는 동의서 초안을 작성하였습니다.

또한 서비스 이용약관에서는 교육기관, 보호자 및 운행 담당자 등 이용자 유형별 권리·의무와 서비스 제공에 필요한 기본적인 계약관계를 검토하였습니다.

개인정보처리방침과 이용약관, 개별 동의서 및 처리위탁계약서 사이의 내용이 충돌하지 않도록 문서별 적용범위와 역할을 구분하는 데 중점을 두었습니다.

개인정보 보호체계 정비 법률자문의 의의

법무법인 민후(現 법무법인 원)는 이번 자문에서 서비스 이용약관과 개인정보처리방침뿐 아니라 교육기관용 개인정보처리방침, 개인정보 수집·이용 동의서, 생체정보 동의서, 제3자 제공 동의서, 위치정보 동의서 및 개인정보 처리위탁계약서를 종합적으로 검토하였습니다.

특히 교육기관의 출결관리 업무와 서비스 제공기업의 독자적인 정보 활용 목적을 구분하고, 미성년자 및 생체인식정보의 특성을 반영하여 관련 계약서와 동의서의 수정안 및 초안을 마련하였습니다.

이번 사례는 AI 기반 온라인 서비스를 운영하는 기업이 개인정보처리방침 하나만 작성하는 데 그치지 않고, 실제 서비스의 데이터 처리구조와 이용자별 동의절차, 위수탁 및 제3자 제공 관계를 종합적으로 검토해야 한다는 점에서 의미가 있습니다.

자주 묻는 질문(Q&A)

Q. 교육기관이 외부 출결관리 서비스를 이용한다면 개인정보처리방침은 누가 작성해야 하나요?

개인정보 처리목적과 수단을 결정하는 주체에 따라 책임이 달라집니다. 교육기관이 개인정보처리자로서 처리하는 정보에 대해서는 교육기관의 개인정보처리방침이 필요할 수 있으며, 서비스 제공기업도 자체적으로 처리하는 개인정보에 관한 의무를 이행해야 합니다.

Q. 안면인식 출결 서비스에서 받은 동의로 AI 기술 개발에도 생체정보를 활용할 수 있나요?

출결 인증에 대한 동의만으로 별도의 AI 기술 개선 목적까지 당연히 허용되는 것은 아닙니다. 이용 목적과 법적 근거를 구분하여 검토해야 하며, 민감정보 처리에 해당하는 경우 관련 법률요건을 충족해야 합니다.

Q. 결제서비스 연동 시 개인정보 처리위탁계약서만 작성하면 되나요?

반드시 그렇지는 않습니다. 외부 결제사업자가 개인정보를 어떤 지위에서 처리하는지에 따라 처리위탁 또는 제3자 제공 여부가 달라질 수 있습니다. 실제 정보의 흐름과 각 사업자의 처리목적 및 권한을 기준으로 판단해야 합니다.

관련 법조문

  • 개인정보 보호법 제15조: 개인정보의 수집·이용
  • 개인정보 보호법 제17조: 개인정보의 제공
  • 개인정보 보호법 제22조: 동의를 받는 방법
  • 개인정보 보호법 제22조의2: 아동의 개인정보 보호
  • 개인정보 보호법 제23조: 민감정보의 처리 제한
  • 개인정보 보호법 제26조: 업무위탁에 따른 개인정보의 처리 제한
  • 개인정보 보호법 제30조: 개인정보 처리방침의 수립 및 공개
  • 위치정보의 보호 및 이용 등에 관한 법률 제18조: 개인위치정보의 수집

관련 업무분야

기업자문 / 개인정보 / 정보보안 / IT / SW / 신기술 / 약관 / 계약서 / 공공기관 자문

최근 유사 업무사례
더보기 +