개인정보 질의응답 모음집(2025.12.)

최근 개인정보보호위원회에서 개인정보 질의응답 모음집 개정본을 공개했다.

https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=G010030000&nttId=11718

 

예전 내용과 중복되는 내용이 많고, 개인적으로 참고할 만한 내용을 정리해본다.

(아래 내용의 출처는 개인정보보호위원회, 「개인정보 질의응답 모음집」 (2025.12.)임을 밝힌다.)

 

(42페이지)

동일한 개인정보처리자 내에서의 개인정보 노출은 유출이 아닌 누설 또는 접근제한 위반에 해당한다고 봐야 함 (관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 되지 않았다고 봐야 할듯)

 

질문 : 민원처리를 위해 다른 직원에게 민원인 전화번호를 전달해도 되나요?

 

답변 : 권한 없는 직원에게 민원인의 개인정보를 전달하는 것은 개인정보 누설 또는 접근제한 위반에 해당할 수 있습니다.

 

(59페이지)

간혹 동의이력의 보관주기에 대해 질문을 받는 경우가 있는데 아래 사례를 근거로 개인정보 파기시 까지 보관하라고 안내하면 될듯

 

질문 : 고객에게 홍보 자료와 포인트 제공에 대한 동의를 받으려고 하는데 ARS를 통하여 개인정보 처리 동의를 받아도 되나요?

 

답변 : 정보주체의 음성을 녹음하는 등의 방법으로 동의의사를 확인받는 것이 필요합니다. 그리고 동의 받은 내용은 해당 개인정보를 파기할 때까지 보관하여야 합니다. 

 

(105페이지)

②, ③을 고려해봤을때 현실적으로 클라우드 서비스 제공자가 제공한 시스템(서비스)에서 개인정보를 처리한다면 개인정보 처리 위탁에 해당하지 않는 경우는 없다고 봐야 할듯

 

질문 : 클라우드(B2B) 사업자가 클라우드 이용사업자의 수탁자인가요?

 

답변 : ①서비스 목적·운영방식이 개인정보 ‘처리’를 예정하고 있는지, ②개인정보 저장 시스템 접근권한 등 안전조치에 대한 통제 권한이 있는지, ③개인정보 처리 과정에 관여하고 있는지 등을 기준으로 개별･구체적 상황을 고려하여 판단해야 합니다.