동의받을 때 알려야 하는 네 항목

개인정보 동의서는 서식 문제처럼 보이지만 조문이 항목을 네 개로 지정해 두었습니다. 그리고 변경할 때도 다시 받아야 합니다.

제15조제2항의 네 항목

개인정보 보호법 제15조제2항은 개인정보처리자가 제1항제1호에 따른 동의를 받을 때 다음 각 호의 사항을 정보주체에게 알려야 한다고 정합니다.

• 제1호 개인정보의 수집·이용 목적
• 제2호 수집하려는 개인정보의 항목
• 제3호 개인정보의 보유 및 이용 기간
• 제4호 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

그리고 같은 항에 한 문장이 더 있습니다 — 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다입니다.

보유 기간을 늘리거나, 수집 항목을 추가하거나, 이용 목적을 넓히면 새로 동의를 받아야 합니다. 한 번 받은 동의로 계속 쓰는 구조가 아닙니다.

동의가 없어도 되는 경우가 일곱이다

제15조제1항은 개인정보를 수집·이용할 수 있는 근거 일곱 호를 둡니다.

• 정보주체의 동의를 받은 경우
• 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
• 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우
• 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우
• 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
• 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우
• 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

진료 자체는 네 번째(계약 이행)나 두 번째(법령상 의무)와 맞물릴 수 있습니다. 그런데 홍보는 이 일곱 호에서 바로 나오지 않습니다. 그래서 홍보에는 동의가 필요하고, 제22조제1항제7호가 그 동의를 구분해서 받도록 합니다.

동의 없이 처리하는 항목은 따로 알린다

제22조제3항은 개인정보처리자가 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다고 정합니다.

그리고 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다고 명시합니다. 병원 쪽이 근거를 대야 하는 구조입니다.

사례: 동의서 한 장을 다시 짤 때

상황과 조건 — 의원이 신환 접수 동의서를 쓰고 있습니다. 현재는 '개인정보 수집·이용에 동의합니다' 한 칸이고, 진료 목적과 홍보 목적이 구분되어 있지 않습니다.

입력값과 근거 — 구분 동의는 개인정보 보호법 제22조제1항(특히 제7호), 고지 항목은 제15조제2항, 서면 표시는 제22조제2항, 거부 효과는 제22조제5항입니다.

계산 과정 — 먼저 목적별로 칸을 나눕니다. 진료 목적 칸과 홍보 목적 칸을 분리하고, 홍보 칸은 제22조제1항제7호에 따라 별도 동의로 둡니다. 각 칸에 네 항목(목적·항목·보유 및 이용 기간·거부 권리와 불이익)을 적습니다. 서면이므로 중요한 내용을 명확히 표시합니다.

최종 결과 — 동의서는 최소 두 칸 × 네 항목 구조가 됩니다. 그리고 홍보 칸에 체크하지 않은 환자에게 제22조제5항에 따라 재화 또는 서비스 제공을 거부할 수 없습니다. 위반 시 제75조제2항제1호로 3천만원 이하의 과태료입니다.

결과를 바꾸는 예외 — 보유 기간이나 수집 항목을 나중에 바꾸면 제15조제2항 후문에 따라 다시 알리고 동의를 받아야 합니다. 그래서 처음 설계할 때 기간을 현실적으로 잡는 쪽이 재작업을 줄입니다.

독자의 다음 행동 — 동의서를 '목적 칸 × 네 항목' 표로 다시 그리는 것입니다. 칸이 하나뿐이면 제22조제1항의 구분 요건부터 어긋나 있습니다.

광고 쪽 요건과는 별개다

동의서를 완벽하게 만들어도 광고에 쓸 수 있는 내용이 늘어나지는 않습니다. 의료법 시행령 제23조제1항제2호의 치료경험담 금지, 제6호의 혐오감 기준, 제7호의 중요정보 누락은 동의와 무관하게 적용됩니다.

동의는 쓸 자격의 문제이고, 의료법은 쓸 내용의 문제입니다.

위 조문은 2026년 10월 19일에 개인정보 보호법 제15조 원문, 개인정보 보호법 제22조 원문, 개인정보 보호법 제75조 원문 쪽에서 직접 확인했습니다.