무엇을 열람할 수 있는가

우선 내가 제공한 개인정보가 있을 수 있습니다. 예를 들면, 네이버에 회원가입을 할 경우, 정보주체가 직접 제공한 개인정보는 필수항목으로 아이디, 비밀번호, 이름, 생년월일, 성별, 휴대전화번호, 선택항목을 동의했다면 이메일주소가 수집됩니다. 만 14세 미만 아동의 경우는 법정대리인 정보(법정대리인의 이름, 생년월일, 성별, 중복가입확인정보(DI), 휴대전화번호)를 추가로 수집됩니다. 휴대전화번호와 같이 내 개인정보가 변경되었거나, 혹은 잘못 기록되어 있을 수 있기 때문에 개인정보 열람이 필요할 수 있습니다. 물론 이러한 개인정보에 대해서는 해당 업체에서 이용자들이 언제든지 열람할 수 있도록 제공하고 있기도 합니다.

정보주체가 제공한 정보 외에 서비스 이용 등의 과정에서 자동적으로 생성된 정보가 있을 수 있습니다. 서비스 이용 과정에서 IP 주소, 쿠키, 서비스 이용기록(메일 수발신 기록, 선물하기 기능 사용기록, 상담내역 등), 기기정보, 위치정보가 생성되어 수집될 수 있고, 이미지 및 음성을 이용한 검색 서비스 등에서 이미지나 음성이 수집될 수 있습니다. 신용카드 및 교통카드 이용내역, 상품 구매 내역, 기지국에 기록된 휴대전화 번호 역시 서비스 이용 과정에서 생성된 개인정보입니다. 서비스 이용 과정에서 정보주체는 자신의 개인정보가 수집되고 있다는 것을 인지하기 힘들지만, 서비스 이용 과정에서 생성된 정보 역시 개인정보입니다.

개인정보처리자는 제3자 또는 공개된 정보원으로부터 개인정보를 수집할 수도 있습니다. 예를 들면, 내가 A 통신사가 제휴사인 B 보험회사에 내 동의를 받고 개인정보를 제공한 경우, 나에게 직접 수집하지는 않았지만 B 보험회사는 내 개인정보를 수집할 수 있습니다. 혹은 어떤 기업은 공개된 개인정보를 모아서 공인의 개인정보 데이터베이스를 구축할 수 있을 것입니다.

때로는 개인정보처리자가 내 개인정보를 생성하거나 다른 개인정보를 기반으로 추론하기도 합니다. 예를 들어, 병원이 보유하고 있는 내 개인정보는 의사의 진단을 통해 생성된 정보입니다. 이는 의사의 전문적인 판단에 의해 생성된 정보이기는 하지만, 분명 내 질병에 대한 진단 및 처방에 대한 정보이므로, 내 개인정보이기도 합니다. 학생에 대한 교사의 평가 역시 마찬가지입니다. 내 서비스 이용기록을 바탕으로 기업들이 내게 맞춤형 서비스나 표적 광고를 내보내기 위해 나에 대해 추론하기도 합니다. 예를 들어, 동영상 플랫폼에서 내가 선호하는 영화에 대해 ‘액션’이나 ‘공포’라는 태그를 붙여놓을 수 있습니다. 이 역시 내 의사와 무관하게 해당 업체(개인정보처리자)가 추론한 것이긴 하지만, 내 개인정보라고 할 수 있습니다.

개인정보 제3자 제공 현황은 내가 동의해서 제공한 내역, 권한이 있는 제3자가 요구해서 가져간 내역 등 개인정보처리자가 다른 개인정보처리자에게 제공한 내역을 의미합니다. 예를 들어, 카카오, 구글 등의 아이디로 다른 사이트에서 로그인할 때, 카카오나 구글에서 해당 사이트를 운영하는 업체로 내 개인정보 일부(아이디, 프로필 등)가 제공됩니다. 혹은 통신사가 자신과 제휴한 영화사로 이용자 개인정보를 제공할 수 있습니다. 이런 경우에는 당연히 내 동의를 받아야 합니다. 어쨌든 어떠한 제3자에게, 어떠한 목적으로 내 개인정보를 제공했는지 역시 나의 개인정보입니다. 그런데, 내가 개인정보에 동의한 게 맞나요? 동의한 사실이 기억나지 않을 수 있습니다. 이때 개인정보처리자에게 내가 동의한 내역 역시 열람요구할 수 있습니다. 때로는 내 동의없이 내 개인정보가 제3자에게 제공될 수도 있습니다. 법에서 요구하는 경우가 그렇겠지요. 예를 들어, 수사기관이 통신사에 가입자 정보를 요구할 수 있습니다. 또는 환자를 진료한 병원은 내 진료 기록을 건강보험공단에 전송해야 합니다. 이 과정에서 내 동의를 받지 않습니다. 내 동의를 받지 않고 제공된다고 해서, 내가 개인정보 열람권을 행사할 수 없는 것은 아닙니다. 나는 통신사에 가입자 정보를 수사기관에 제공한 내역에 대한 열람을 요구할 수 있습니다. 혹은 건강보험공단에 병원으로부터 제공받은 내 개인정보에 대한 열람을 요구할 수 있습니다.

(2024년 3월 15일부터) 개인정보처리자가 인공지능과 같은 자동화된 시스템을 통해 나에게 중대한 영향을 미치는 ‘자동화된 결정’(제37조의2)을 한 경우, 그 결정에 대하여 설명을 요구할 수 있습니다. 정보주체가 설명을 요구를 할 경우, 개인정보처리자는 정당한 사유가 없는 한 자동화된 결정의 적용을 적용하지 않거나, 사람이 다시 결정하도록 하거나, 혹은 그렇게 처리한 이유에 대해 설명해야 합니다. 정보주체는 ‘자동화된 결정’이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우 해당 결정을 거부할 수 있습니다. 개인정보보호법은 개인정보처리자로 하여금 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하도록 의무화하고 있으니, 공개된 정보를 확인해볼 필요도 있습니다.