제2024-212-429호

안건번호 : 제2024-212-429호
안건명 : 개인정보보호 실태 개선권고에 관한 건
신청인 : (사업자등록번호 : )
의결연월일 : 2024. 6. 12.

1. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 하고, 동의 이외의 사유(예: 계약이행)를 근거로 하는 경우 개인정보의 보관기간을 합리적으로 설정하여야 한다.
나. 배달원 개인정보를 계열사 간 역할분담 하에 수집ㆍ이용ㆍ제공ㆍ위수탁하는 근거를 개인정보 처리방침 등을 통해 정보주체가 이해하기 쉬운 설명으로 제공하여야 한다.
다. 피심인은 가, 나의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 한다.

Ⅰ. 기초 사실

피심인은 배달중개플랫폼 ' ’ 서비스를 앱으로 제공하는 「개인정보 보호법」(각주:법률 제19234호, 2023. 3. 14., 일부개정, 2024. 3. 15. 시행) (이하 '보호법’이라 한다)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147395095" alt="1번째 이미지"></img>
Ⅱ. 조사 결과

1. 조사 배경

개인정보보호위원회는 피심인의 배달플랫폼 내 배달원 개인정보 처리 관련 민원 제기에 따라 사실관계를 확인(’23. 12. 18. ～ ’24. 4. 5.) 하였다.

2. 개인정보의 취급ㆍ운영 관련 사실관계

가. 배달원 개인정보 장기 보관 관련

피심인은 모바일앱을 통해, 배달원이 회원가입 시 동의를 받아 업무 중 이동 경로 정보*를 수집ㆍ처리하고 있으며, 수집 목적은 배달원의 배달수수료 산정, 보험처리용 운행기록 확인, 부정 이용(어뷰징) 탐지, 서비스 개선 등이다.

* (수집정보)

피심인의 개인정보 보관기간 방침은, 사실관계 확인 시작 시점에는 ’배달원 회원탈퇴 후 1개월'로 설정되어 있었으나, 이에 따르면 배달원이 배달업무를 중단하더라도 별도 회원탈퇴를 하지 않는 한 개인정보가 장기간 보관될 우려가 있어, 피심인은 사실관계 확인 기간 도중 이를 ’배달 완료 후 3년'으로 자발적으로 변경(’24. 3. 29.)하였다.

나. 배달원 개인정보의 연구목적 가명처리 관련

피심인의 배달원 정보 가명 처리 후 연구목적 활용과 관련하여, 사실관계 확인 시점을 기준으로 피심인은 가명처리를 통해 데이터를 활용하고 있지 않으며, 수집한 배달원의 위치 데이터는 적법한 보관기간 내에서 서비스(배달경로 추천, 배달 예상 시간 추정, 부정 이용 탐지) 개선 목적으로 활용하고 있음을 확인하였다.

다. 계열사 간 개인정보 공유ㆍ중첩 처리 관련

피심인은 모회사인 로부터 배달업무를 위탁받은 자회사이다. 은 위치정보의 보호 및 이용 등에 관한 법률(각주:법률 제18517호, 2021. 10. 19., 일부개정, 2022. 4. 20. 시행) 에 따른 개인위치정보사업자로서 배달원의 위치정보를 수집*하여 배달업무를 위탁한 자회사인 피심인에게 제공하고, 피심인은 데이터 처리를 위한 전산시스템 개발ㆍ유지관리 업무를 모회사에 위탁하고 있다.

* 위치정보의 보호 및 이용 등에 관한 법률 제5조에 따라 방송통신위원회에 개인위치정보사업자로 등록한 사업자만이 위치정보 수집 가능

Ⅲ. 위법성 판단

1. 관련법 규정

가. 보호법 제15조 제1항은 개인정보처리자는 정보주체의 동의를 받은 경우(제1호), 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우(제4호) 등에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다고 규정하고 있다.

나. 보호법 제28조의2 제1항은 “개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.”라고 규정하고 있다.

다. 개인정보 보호법 제17조 제1항은 개인정보처리자는 정보주체의 동의를 받은 경우(제1호)에는 개인정보를 제3자에게 제공(공유를 포함한다.)할 수 있다고 규정하고 있으며,

보호법 제26조제1항에서는 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항(제1호), 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항(제2호), 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항(제3호)에 대한 내용이 포함된 문서로 하여야 한다고 규정하고 있다.

2. 위법성 판단

가. 배달원 개인정보 장기 보관 관련

배달원이 별도 회원탈퇴를 하지 않는 한 개인정보를 계속 보관한다는 취지의 피심인의 과거 방침의 경우 배달원의 회원가입 시 받은 동의에 근거한 것인데, 이는 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 요구하는 보호법 시행령 제17조제1항(’24.9.15. 시행 예정)에 부합하지 않으므로, 피심인이 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 경우 개인정보의 보관기간을 합리적으로 설정하도록 개선을 권고하고자 한다.

한편, 피심인이 배달원의 데이터를 배달 완료 후 3년간 보관하는 현재 방침은, 피심인이 배달원의 운행 중 교통사고 등에 대비하여 산재보험에 가입하고 있는 점, 보험금 청구 시효가 3년인 점(상법 제662조, 산업재해보상법 제112조), 보험처리 대상 사고가 당해 배달 플랫폼 업무 수행 중에 발생하였음을 증빙하기 위해 배달원의 위치ㆍ시각 등 운행정보를 보험금 청구 시효기간 동안 보존할 필요성이 있는 점, 이러한 보험청구 사무지원은 피심인이 배달원과 체결한 계약에 부수된 보호 의무의 이행에 해당하는 점 등을 종합적으로 고려할 때, 계약이행을 위한 처리 또는 합리적 관련성 범위 내 추가 처리로서 적법하다고 볼 여지가 있다.

나. 배달원 개인정보의 연구목적 가명처리 관련

사실관계 확인 시점을 기준으로 피심인은 가명정보를 처리하지 않아 해당 사항이 없는 것으로 판단하였다.

다. 계열사 간 개인정보 공유ㆍ중첩 처리 관련

피심인의 계열사 간 개인정보 제3자 제공 또는 처리위탁한 행위는 보호법상 모ㆍ자회사 간 제3자 제공 및 처리위탁 관계로, 위법하다고 보기 어렵다.

다만, 피심인과 모회사인 간 개인정보의 제공ㆍ위탁이 혼재되어 있어 정보주체의 입장에서 개인정보 처리 흐름을 이해하기 어려울 수 있으므로, 보다 쉬운 설명을 제공하여 정보주체가 개인정보 처리 흐름을 쉽게 이해할 수 있도록 개선할 것을 권고하고자 한다.
Ⅳ. 처분 및 결정

1. 개선권고

피심인에 대하여 다음과 같이 개선을 권고한다.

가. 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 하고, 동의 이외의 사유(예: 계약이행)를 근거로 하는 경우 개인정보의 보관기간을 합리적으로 설정하여야 한다.

나. 배달원 개인정보를 계열사 간 역할분담 하에 수집ㆍ이용ㆍ제공ㆍ위수탁하는 근거를 개인정보 처리방침 등을 통해 정보주체가 이해하기 쉬운 설명으로 제공하여야 한다.

다. 피심인은 가, 나의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 한다.


Ⅴ. 결론

피심인의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.



이상과 같은 이유로 주문과 같이 의결한다.