주민등록번호 수집과 동의의 한계

동의서에 서명을 받았습니다

행사 참가자를 확인하기 위해 신청서에 주민등록번호 입력란과 개인정보 수집 동의란을 함께 두는 경우를 생각해 볼 수 있습니다. 그러나 동의를 받았다는 사실만으로 주민등록번호 수집·처리가 허용되는 것은 아닙니다.

일반 개인정보의 처리 근거를 주민등록번호에 그대로 적용하면 문제가 생깁니다. 주민등록번호에는 별도의 처리 제한이 있기 때문입니다.

동의 여부보다 처리 허용 근거를 먼저 확인합니다

개인정보 보호법 제24조의2는 법에서 열거한 경우를 제외하고 주민등록번호 처리를 제한합니다. 구체적으로 처리를 요구하거나 허용하는 법률·대통령령 등, 급박한 생명·신체·재산의 이익을 위해 명백히 필요한 경우, 법에서 정한 고시상 예외 등이 해당합니다. 정보주체의 동의 자체는 이 조항의 독립적인 예외가 아닙니다.

법령상 업무라는 설명만으로도 충분하지 않습니다. 해당 조문이 주민등록번호 처리를 구체적으로 허용하는지, 그 업무와 대상자에게 적용되는지 확인해야 합니다. 세무 등 특정 업무의 근거를 단순 행사 참가 확인까지 확대해서는 안 됩니다.

실무에서 확인할 사항

• 처리하려는 업무와 주민등록번호가 필요한 이유
• 제24조의2의 어느 예외에 해당하는지와 구체적인 근거
• 적용 대상·목적·처리 시점이 근거의 범위 안에 있는지
• 사번·접수번호 등 다른 식별수단으로 처리할 수 있는지
• 적법하게 처리하는 경우에도 암호화·접근통제·보유 및 파기가 관리되는지

암호화하거나 동의서를 보관하는 것은 처리 허용 근거를 대신하지 못합니다. 반대로 법령에서 정한 예외에 해당하는 업무까지 일률적으로 금지해서도 안 됩니다.

따라서 기존 서식과 시스템의 주민등록번호 입력 항목을 업무별로 점검하고, 처리 근거가 확인되지 않는 항목은 수집 필요성과 대체 절차를 재검토해야 합니다.