개인정보 동의서, 이렇게 만들어야 유효합니다
동의서는 받아두면 안심되는 문서처럼 보이지만, 요건을 갖추지 못하면 동의 자체가 무효가 될 수 있습니다.
앞선 글에서 동의가 유일한 근거가 아니라는 점을 다뤘습니다. 이 글에서는 동의를 받기로 했다면 어떻게 받아야 하는지를 정리하겠습니다.
동의가 유효하려면
법은 동의를 받을 때 각각의 동의 사항을 구분하여 정보주체가 명확하게 인지할 수 있도록 알리고, 각각 동의를 받도록 하고 있습니다.
| 요건 | 의미 |
| 구분 | 목적별로 나눠서 |
| 명확한 인지 | 이해할 수 있게 |
| 개별 동의 | 각각 따로 체크 |
| 자유로운 의사 | 강요나 사전 체크 금지 |
네 가지 중 하나만 빠져도 문제가 됩니다. 특히 “각각 동의”가 자주 지켜지지 않습니다. 여러 목적을 한 칸에 묶는 구조는 흔한 위반입니다.
반드시 알려야 할 네 가지
동의받을 때 필수 고지 사항 | 업로드 파일 : ac1.png
| 항목 | 작성 예 |
| 수집·이용 목적 | 회원 관리 및 서비스 제공 |
| 수집하는 항목 | 이름, 이메일, 휴대전화번호 |
| 보유·이용 기간 | 회원 탈퇴 시까지 |
| 거부할 권리와 불이익 | 동의를 거부할 수 있으며, 거부 시 회원 가입이 제한됩니다 |
별도로 받아야 하는 동의
다음은 일반 수집·이용 동의와 분리해서 받아야 합니다.
| 구분 | 고지 항목 |
| 제3자 제공 | 제공받는 자 / 제공 목적 / 제공 항목 / 보유·이용 기간 / 거부 권리와 불이익 |
| 민감정보 | 별도 동의 필요 |
| 고유식별정보 | 별도 동의 필요 |
| 국외 이전 | 앞선 국외이전 편의 다섯 가지 고지 사항 |
| 마케팅 활용 | 선택 동의로 분리 |
주민등록번호는 별도 동의로도 처리할 수 없습니다. 법령에 구체적인 근거가 있는 경우 등으로 제한됩니다. 동의를 받았으니 괜찮다는 판단은 위험합니다.
이런 동의서는 문제가 됩니다
문제가 되는 동의서 유형 | 업로드 파일 : ac2.png
| 유형 | 무엇이 문제인가 |
| 한 칸에 여러 목적 | 각각 동의 요건 위반 |
| 필수와 선택 미구분 | 선택 거부권이 사라짐 |
| 작은 글씨·회색 텍스트 | 명확한 인지 요건 미충족 |
| '목적 달성 시까지'만 기재 | 기간이 특정되지 않음 |
| 사전 체크된 상태 | 자유로운 의사로 보기 어려움 |
| 거부 시 불이익 미고지 | 필수 고지 누락 |
사전 체크는 특히 자주 지적됩니다. 기본값으로 동의가 되어 있고 이용자가 해제해야 하는 구조는, 동의를 받았다고 보기 어렵습니다.
중요 내용 표시 방법
법은 중요한 내용을 명확히 표시하여 알아보기 쉽게 하도록 요구합니다.
| 방법 | 적용 예 |
| 글씨 크기 | 본문보다 크게 |
| 색상 | 다른 색으로 구분 |
| 굵기·밑줄 | 강조 표시 |
| 배치 | 맨 앞이나 별도 박스 |
무엇이 중요한 내용인가는 상황에 따라 다르지만, 일반적으로 수집 항목, 보유 기간, 제3자 제공 여부, 거부 시 불이익이 해당합니다.
동의 기록 보관
동의를 받았다는 사실을 입증할 수 있어야 합니다.
| 기록 항목 | 내용 |
| 동의 일시 | 언제 동의했는가 |
| 동의 내용 | 어떤 버전의 동의서였는가 |
| 동의 방법 | 웹, 앱, 서면 등 |
| 동의 항목 | 필수·선택 각각의 동의 여부 |
| 철회 이력 | 철회했다면 언제 |
동의서를 개정하면 버전 관리가 필요합니다. 3년 전 가입자가 동의한 내용과 현재 동의서가 다르다면, 그 시점의 동의서를 보여줄 수 있어야 합니다.
점검 체크리스트
| 항목 | 확인 |
| 목적별로 동의 항목을 구분했는가 | ☐ |
| 각각 개별 체크가 가능한가 | ☐ |
| 필수 고지 네 가지가 모두 있는가 | ☐ |
| 필수와 선택이 명확히 구분되는가 | ☐ |
| 사전 체크된 항목이 없는가 | ☐ |
| 중요 내용이 눈에 띄게 표시되어 있는가 | ☐ |
| 제3자 제공 동의가 분리되어 있는가 | ☐ |
| 민감정보·고유식별정보 동의가 별도인가 | ☐ |
| 동의 기록을 보관하고 있는가 | ☐ |
| 동의서 버전을 관리하고 있는가 | ☐ |
| 만 14세 미만 절차가 마련되어 있는가 | ☐ |
마치며
좋은 동의서는 짧고 명확한 동의서입니다. 길고 복잡할수록 읽히지 않고, 읽히지 않은 동의는 나중에 다투게 됩니다.
동의서를 줄이는 가장 좋은 방법은 동의가 필요 없는 항목을 걸러내는 것입니다. 앞선 법적 근거 편을 함께 보시면 무엇을 뺄 수 있는지 판단하실 수 있습니다.
이 글은 공개된 법령·고시와 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 조문과 기준은 개정될 수 있으므로 국가법령정보센터와 개인정보보호위원회·KISA의 최신 자료를 확인하시고, 중요한 사안은 전문가 자문을 받으시기 바랍니다.
'ISMS-P 인증 > 개인정보보호 실무' 카테고리의 다른 글
| 가명정보, 어디까지 쓸 수 있나 — 익명정보와의 차이부터 (0) | 2026.09.25 |
|---|---|
| 만 14세 미만 아동 개인정보, 무엇이 다른가 — 법정대리인 동의 실무 (0) | 2026.09.06 |
| 개인정보 영향평가(PIA), 대상과 절차 총정리 (0) | 2026.09.06 |
| 정보주체 권리 여섯 가지 — 열람·전송·정정·삭제·처리정지·자동화 결정 거부 (0) | 2026.09.03 |
| 개인정보 파기, 실무에서 가장 자주 틀리는 것들 (0) | 2026.09.01 |
