정보통신서비스 제공자는 개인정보의 처리에 대하여 정보주체(법정대리인을 포함함))의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 합니다().
② 개인정보처리자는 제1항의 동의를 서면(「전자문서 및 전자거래 기본법」 제2조제1호에 따른 전자문서를 포함한다)으로 받을 때에는 개인정보의 수집·이용 목적, 수집·이용하려는 개인정보의 항목 등 대통령령으로 정하는 중요한 내용을 보호위원회가 고시로 정하는 방법에 따라 명확히 표시하여 알아보기 쉽게 하여야 한다. <신설 2017. 4. 18., 2017. 7. 26., 2020. 2. 4.>
③ 개인정보처리자는 제15조제1항제1호, 제17조제1항제1호, 제23조제1항제1호 및 제24조제1항제1호에 따라 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 정보주체와의 계약 체결 등을 위하여 정보주체의 동의 없이 처리할 수 있는 개인정보와 정보주체의 동의가 필요한 개인정보를 구분하여야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다. <개정 2016. 3. 29., 2017. 4. 18.>
④ 개인정보처리자는 정보주체에게 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보의 처리에 대한 동의를 받으려는 때에는 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다. <개정 2017. 4. 18.>
⑤ 개인정보처리자는 정보주체가 제3항에 따라 선택적으로 동의할 수 있는 사항을 동의하지 아니하거나 제4항 및 제18조제2항제1호에 따른 동의를 하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다. <개정 2017. 4. 18.>
⑥ 개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 한다. 이 경우 법정대리인의 동의를 받기 위하여 필요한 최소한의 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있다. <개정 2017. 4. 18.>
⑦ 제1항부터 제6항까지에서 규정한 사항 외에 정보주체의 동의를 받는 세부적인 방법 및 제6항에 따른 최소한의 정보의 내용에 관하여 필요한 사항은 개인정보의 수집매체 등을 고려하여 대통령령으로 정한다. <개정 2017. 4. 18.>(「개인정보보호법」 제22조).
개인정보의 수집·이용 목적
수집하는 개인정보의 항목
개인정보의 보유·이용 기간
정보통신서비스 제공자는 다음의 어느 하나에 해당하는 경우에는 위에 따른 동의 없이 이용자의 개인정보를 수집·이용할 수 있습니다(「개인정보보호법」 제39조의3제2항).
정보통신서비스(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제2호에 따른 정보통신서비스를 말함)의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우
정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우
다른 법률에 특별한 규정이 있는 경우
※ 명의도용방지서비스의 제공
전기통신역무의 종류, 사업규모, 이용자 보호 등을 고려하여 「전기통신사업법 시행령」 제37조의8에서 정하는 전기통신사업자는 명의도용으로 인한 피해를 방지하기 위해 다음의 서비스의 전부 또는 일부를 이용자에게 제공해야 합니다(「전기통신사업법」 제32조의6제1항).
√ 명의도용방지서비스: 이용자의 동의를 받아 이용자의 명의로 전기통신역무의 이용계약이 체결된 사실을 문자메시지 또는 등기우편물로 해당 이용자에게 알려주는 서비스(이 경우 본인 명의로 개통된 이동통신단말장치가 없거나 이동통신단말장치 분실신고를 한 이용자 등 문자메시지를 수신할 수 없는 이용자에 대하여는 「주민등록법」 제7조에 따른 주민등록표상의 주소지로 등기우편물을 발송하는 방법으로 명의도용방지서비스를 제공해야 함)
√ 가입사실현황조회서비스: 이용자가 본인의 명의로 가입된 전기통신역무가 있는지 여부를 조회할 수 있는 서비스
√ 가입제한서비스: 다른 사람이 이용자 본인의 명의로 전기통신역무 이용계약을 체결하는 것을 사전에 제한할 수 있는 서비스
위의 서비스를 제공하는 전기통신사업자는 이용자와 전기통신역무의 이용계약을 체결하는 경우 이용자에게 명의도용방지서비스, 가입사실현황조회서비스 및 가입제한서비스에 관하여 명확하게 알리고, 인터넷 홈페이지에 게시해야 합니다(「전기통신사업법」 제32조의6제2항).
정보통신서비스 제공자는 해당 서비스를 제공하기 위해 이용자의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 대해 접근할 수 있는 권한(이하 "접근권한"이라 함)이 필요한 경우 다음의 사항을 이용자가 명확하게 인지할 수 있도록 알리고 이용자의 동의를 받아야 합니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제22조의2제1항).
해당 서비스를 제공하기 위해 반드시 필요한 접근권한인 경우
√ 접근권한이 필요한 정보 및 기능의 항목
√ 접근권한이 필요한 이유
해당 서비스를 제공하기 위해 반드시 필요한 접근권한이 아닌 경우
√ 접근권한이 필요한 정보 및 기능의 항목
√ 접근권한이 필요한 이유
√ 접근권한 허용에 대하여 동의하지 않을 수 있다는 사실
정보통신서비스 제공자는 해당 서비스를 제공하기 위해 반드시 필요하지 않은 접근권한을 설정하는 데 이용자가 동의하지 않는다는 이유로 이용자에게 해당 서비스의 제공을 거부해서는 안 됩니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제22조의2제2항).
이동통신단말장치의 기본 운영체제(이동통신단말장치에서 소프트웨어를 실행할 수 있는 기반 환경을 말함)를 제작하여 공급하는 자와 이동통신단말장치 제조업자 및 이동통신단말장치의 소프트웨어를 제작하여 공급하는 자는 정보통신서비스 제공자가 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 접근하려는 경우 접근권한에 대한 이용자의 동의 및 철회방법을 마련하는 등 이용자 정보 보호에 필요한 조치를 해야 합니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제22조의2제3항).
위반 시 제재
정보통신서비스 제공자는 해당 서비스를 제공하기 위해 반드시 필요하지 않은 접근권한을 설정하는 데 이용자가 동의하지 않는다는 이유로 이용자에게 해당 서비스의 제공을 거부한 자는 3천만원 이하의 과태료가 부과됩니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제76조제1항제1호).
정보통신서비스 제공자는 이용자의 개인정보를 제3자에게 제공하려면 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우 또는 이 법 또는 다른 법률에 특별한 규정이 있는 경우를 제외하고 다음의 모든 사항을 그 개인정보의 주체인 이용자에게 알리고 동의를 받아야 합니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2제1항 전단).
개인정보를 제공받는 자
개인정보를 제공받는 자의 개인정보 이용 목적
제공하는 개인정보의 항목
개인정보를 제공받는 자의 개인정보 보유 및 이용 기간
※ 정보통신서비스 제공자가 제3자에게 개인정보 제공할 경우 이용자의 동의를 받는 방법을 예시하면 다음과 같습니다.
<출처: 김대리, 개인정보보호 달인되기(행정안전부·한국인터넷진흥원), 39면>
정보통신서비스 제공자는 개인정보를 제공받는 자, 개인정보를 제공받는 자의 개인정보 이용 목적, 제공하는 개인정보의 항목, 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간 중 어느 하나가 변경된 경우에도 이를 이용자에게 알리고 동의를 받아야 합니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2제1항 후단).
정보통신서비스 제공자로부터 이용자의 개인정보를 제공받은 자는 다른 법률에 특별한 규정이 있는 경우 외에는 그 이용자의 동의 없이 개인정보를 제3자에게 제공하거나 제공받은 목적 외의 용도로 이용해서는 안 됩니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제24조의2제2항).
이용자의 동의권을 침해하여 개인정보를 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해집니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제71조제1항제3호).
법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 위의 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인도 5천만원 이하의 벌금에 처해집니다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 않은 경우에는 그렇지 않습니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제75조).
※ 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제71조제1항제3호의 죄가 성립하기 위해서는 먼저 그 행위자가 그 개인정보를 정보통신서비스제공자로부터 제공받았어야 하고 이에 해당하지 않는 사람으로부터 제공받은 개인정보를 이용하거나 제3자에게 제공한 것만으로는 위 조항에 의하여 처벌할 수 없습니다(대법원 2003. 12. 26.선고 2003도5791 판결).
개인정보의 제공에 대한 동의를 받을 때 개인정보의 수집·이용에 대한 동의와 구분하여 받지 않거나 이에 동의하지 않은 것을 이유로 서비스 제공을 거부한 자는 3천만원 이하의 과태료를 부과받습니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제76조제1항제2호의2).
정보통신서비스 제공자 등은 제3자에게 이용자의 개인정보를 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위(이하 “처리”라 한다)를 할 수 있도록 업무를 위탁(이하 '처리'라 함)하는 경우에는 개인정보 처리위탁을 받는 자 및 개인정보 처리위탁을 하는 업무의 내용을 그 개인정보의 주체인 이용자에게 알리고 동의를 받아야 합니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제25조제1항 전단).
※ 정보통신서비스 제공자가 개인정보 처리위탁에 대한 이용자의 동의를 받는 방법을 예시하면 다음과 같습니다.
<출처: 김대리, 개인정보보호 달인되기(행정안전부·한국인터넷진흥원), 43면>
정보통신서비스 제공자 등은 개인정보 처리위탁을 받는 자 및 개인정보 처리위탁을 하는 업무의 내용 중 어느 하나가 변경되는 경우에도 이를 이용자에게 알리고 동의를 받아야 합니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제25조제1항 후단).
법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 위의 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인도 5천만원 이하의 벌금에 처해집니다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 않은 경우에는 그렇지 않습니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제75조).
Q. 정보통신서비스 제공자 등은 개인정보 처리위탁을 하는 경우 이용자의 동의를 얻는 것 외에 어떠한 사항들을 지켜야 하나요
A. 정보통신서비스 제공자 등은 개인정보 처리위탁을 하는 경우에는 수탁자가 이용자의 개인정보를 처리할 수 있는 목적을 미리 정하여야 하며, 수탁자는 이 목적을 벗어나서 이용자의 개인정보를 처리해서는 안 됩니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제25조제3항).
영업의 전부 또는 일부의 양도·합병 등에 따른 개인정보 이전의 경우 개인정보를 이전받는 자는 그 개인정보의 주체인 이용자로부터 별도의 동의를 받아야만 정보통신서비스 제공자 등이 이용자의 개인정보를 이용하거나 제공할 수 있는 당초 목적의 범위 외의 목적으로 개인정보를 이용하거나 제공할 수 있습니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제26조제3항).
위반 시 제재
영업의 전부 또는 일부의 양도·합병 등에 따른 개인정보 이전의 경우 이용자로부터 별도의 동의를 받지 않고 개인정보를 이전받는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해집니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제71조제1항제3호).
법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 위의 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인도 5천만원 이하의 벌금에 처해집니다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 않은 경우에는 그렇지 않습니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제75조).
정보통신서비스 제공자 등은 이용자의 개인정보를 국외에 제공(조회되는 경우를 포함)·처리위탁·보관(이하 “이전”이라 함)하려면 다음의 사항을 모두 이용자에게 고지하고 동의를 받아야 합니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제63조제2항 본문 및 제3항).
정보통신서비스 제공자 등이 이용자의 동의를 받지 아니하고 이용자의 개인정보를 국외에 제공한 경우에는 해당 정보통신서비스 제공자 등에게 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있습니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제64조의3제1항제8호).
정보통신서비스 제공자는 만 14세 미만의 아동으로부터 개인정보 수집·이용·제공 등의 동의를 받으려면 그 법정대리인의 동의를 받아야 하고, 다음에서 정하는 바에 따라 법정대리인이 동의하였는지를 확인해야 합니다(「개인정보보호법」 제39조의3제4항 및 「개인정보보호법 시행령」 제48조의3제1항).
동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 정보통신서비스 제공자가 그 동의 표시를 확인했음을 법정대리인의 휴대전화 문자메시지로 알리는 방법
동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 신용카드·직불카드 등의 카드정보를 제공받는 방법
동의 내용을 게재한 인터넷사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 휴대전화 본인인증 등을 통하여 본인 여부를 확인하는 방법
동의 내용이 적힌 서면을 법정대리인에게 직접 발급하거나, 우편 또는 팩스를 통하여 전달하고 법정대리인이 동의 내용에 대하여 서명날인 후 제출하도록 하는 방법
동의 내용이 적힌 전자우편을 발송하고 법정대리인으로부터 동의의 의사표시가 적힌 전자우편을 전송받는 방법
전화를 통하여 동의 내용을 법정대리인에게 알리고 동의를 받거나 인터넷주소 등 동의 내용을 확인할 수 있는 방법을 안내하고 재차 전화 통화를 통하여 동의를 받는 방법
그 밖에 법정대리인에게 동의 내용을 알리고 동의의 의사표시를 확인하는 방법
정보통신서비스 제공자는 만 14세 미만의 아동에게 개인정보 처리와 관련한 사항의 고지 등을 하는 때에는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 사용해야 합니다(「개인정보보호법」 제39조의3제5항).
또한 정보통신서비스 제공자는 개인정보 수집 매체의 특성상 동의 내용을 전부 표시하기 어려운 경우 법정대리인에게 동의 내용을 확인할 수 있는 방법(인터넷주소·사업장 전화번호 등)을 안내할 수 있습니다(「개인정보보호법 시행령」 제48조의3제2항).
개인정보보호위원회는 개인정보 처리에 따른 위험성 및 결과, 이용자의 권리 등을 명확하게 인지하지 못할 수 있는 만 14세 미만의 아동의 개인정보 보호 시책을 마련해야 합니다(「개인정보보호법」 제39조의3제6항).
※ 아동의 법정대리인은 대부분의 경우 친권자인 부모입니다. 다만 부모가 사망하는 등의 사유로 친권자가 없는 경우에는 미성년후견인이 법정대리인이 됩니다(「민법」 제928조). 후견인은 친권자인 부모의 유언에 따른 지정이 없는 경우 가정법원의 직권으로 또는 미성년자, 친족, 이해관계인, 검사, 지방자치단체의 장의 청구에 따라 미성년후견인을 선임합니다(「민법」 제932조).
위반 시 제재
개인정보보호위원회는 법정대리인의 동의를 받지 않거나 법정대리인이 동의하였는지를 확인하지 않고 만 14세 미만인 아동의 개인정보를 수집한 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처햐집니다(「개인정보보호법」 제71조제1항제4호의6).
이용자의 동의를 받는 방법 
이용자의 동의
정보통신서비스 제공자는 개인정보의 처리에 대하여 정보주체(법정대리인을 포함함))의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 합니다().
개인정보의 수집·이용 목적
